شناسایی گروه هک Poisoned Hurricane

محققان امنیتی بدافزار PlugX را شناسایی کردند که با دامنه های معتبری مانند adobe.com، update.adobe.com و outlook.com ارتباط برقرار می کند. این بدافزار توسط گروه Poisoned Hurricane توسعه یافته است.

هکرهای این گروه از تکنیک های مختلفی استفاده می کنند و برای کدهای مخرب خود، اعتبارنامه های قانونی ثبت می کنند. آن ها از اعتبارنامه های Police Mutual Aid Association استفاده می کنند. هم چنین از اعتبارنامه های تاریخ گذشته کمپانی MOCOMSYS نیز استفاده می کردند. آن ها از چندین دامنه قانونی مشهور نیز استفاده می کنند. استفاده از این دامنه ها به منظور هدایت ترافیک از سیستم های قربانی به این دامنه ها بوده است.

بدافزار PlugX که توسط این گروه استفاده می شود، تنظیم شده است تا جست و جوهای DNS را مسموم کرده و آن را به سمت DNS داخلی کمپانی Hurricane Electric هدایت کند. تنها کاربرانی که از این دامنه ها بازدید کرده اند، بدافزار PlugX بر روی سیستم آن ها نصب شده است. تعداد این دامنه ها 21 عدد بوده است.

هر کسی می تواند برای استفاده از DNS عمومی کمپانیHurricane Electric  یک اکانت رایگان ایجاد کند. این کار به کاربر اجازه می دهد تا یک zone و آدرس های رکورد برای آن ثبت کند. این آدرس ها می توانند به منظور سرقت دامنه های قانونی به هر IP خاصی مانند adobe.com اشاره کنند.

DNS کمپانی Hurricane Electrics برسی نمی کند که zone هایی که توسط کاربران ایجاد شده اند، قبلا قانونی ثبت شده اند یا نه. این کمپانی نیز هیچ پاسخی درباره دامنه های به سرقت رفته نداده است.  

این گروه توسط Google Code توانسته بود سرورهای C&C خود را نیز مخفی نگه دارد. لیست سرورهای C&C در زیر آمده است:

گروه هک Poisoned Hurricane از روش های جدیدی استفاده نمی کند. اما با ترکیب این روش ها توانسته است به هدف های مورد نظر خود دست پیدا کند. روش های عمده استفاده شده توسط این گروه عبارتند از:

        استفاده از اعتبارنامه های قانونی برای ثبت بدافزار خود

        استفاده از DNS عمومی Hurricane Electrics به منظور هدایت ترافیک سرور C&C

        استفاده از Google Code به منظور پنهان سازی سرور C&C