صرافی رمز ارز ژاپنی قربانی حمله باج افزاری

به گزارش کارگروه بین الملل سایبربان،یک صرافی رمزارز ناشناخته واقع در ژاپن اوایل ماه جاری هدف حمله جدیدی جهت استقرار یک درپشتی (backdoor) مک او اس (macOS) به نام جوکر اِس پی وای (JokerSpy) قرار گرفت.

بَکدور (Backdoor) نوعی نرم افزار مخرب است که میتواند برای دستیابی غیرمجاز به سیستم رایانه ای ، از محدودیت های امنیتی دور بزند. به عبارت ساده تر ، بَکدور (Backdoor) یک قطعه کد است که به دیگران اجازه میدهد بدون اینکه تشخیص داده شوند به یک سیستم وارد و از آن خارج شوند.

تیم تخصصی امنیتی اِلاستیک  سِکیوریتی لبز (Elastic Security Labs) که مجموعه نفوذ را تحت نام آر ای اِف 9134 (REF9134) رصد میکند، گفت که این حمله منجر به نصب سوئیفت بلت (Swiftbelt) یک ابزار شمارش مبتنی بر سوئیفت شد که از ابزار منبع باز به نام سیت بلت (SeatBelt) الهام گرفته شده است.

این بدافزار پیچیده که JokerSpy نام دارد، طیف وسیعی از قابلیت‌ها از جمله سرقت اطلاعات، دانلود و اجرای فایل‌های تهدیدآمیز و قابلیت‌های بین پلتفرمی بالقوه را نشان می‌دهد.

 JokerSpy که در پایتون نوشته شده است، از  سوئیفت بلت (Swiftbelt) استفاده می کند، ابزاری منبع باز که در ابتدا برای آزمایش امنیتی قانونی در نظر گرفته شده بود. افشای اولیه JokerSpy از طریق یک گزارش امنیتی فاش شد که وجود آن را آشکار کرد و نگرانی‌هایی را در مورد در دسترس بودن بالقوه آن در پلتفرم‌های ویندوز و لینوکس ایجاد کرد. این توسعه چالش‌های جاری صرافی‌های ارز دیجیتال و نیاز دائمی به اقدامات امنیتی قوی برای محافظت در برابر تهدیدات نوظهور را برجسته می‌کند.

بدافزار JokerSpy پس از شناسایی یک فایل باینری مشکوک به نام xcc توسط یک ابزار محافظت از نقطه پایانی خاص ظاهر شد. قربانی هدف این بدافزار یک صرافی معروف ارزهای دیجیتال در ژاپن بود. هنگامی که فایل xcc ظاهر شد، هکرهای پشت JokerSpy سعی کردند از حفاظت های امنیتی macOS، معروف به TCC، که برای دسترسی برنامه ها به داده ها و منابع حساس به مجوز صریح کاربر نیاز دارد، دور بزنند. عوامل تهدید، پایگاه داده TCC موجود را با پایگاه داده خود جایگزین کردند، احتمالاً برای جلوگیری از نمایش هشدارها هنگام فعال بودن .JokerSpy در حملات قبلی، هکرها از آسیب‌پذیری‌های موجود در حفاظت‌های TCC برای دور زدن آن‌ها سوء استفاده کردند و محققان حملات مشابهی را نشان داده‌اند.

همانطور که گزارش شده است، هنگامی که یک سیستم در معرض خطر قرار میگیرد و با بدافزاری مانند JokerSpy آلوده می شود، مهاجم کنترل قابل توجهی بر سیستم به دست می آورد. با این حال، با درب پشتی، مهاجمان حتی می‌توانند اجزای اضافی را به‌طور محتاطانه نصب کنند و به طور بالقوه سوء استفاده‌های بیشتری را اجرا کنند، اقدامات کاربران را مشاهده کنند، اعتبار ورود یا کیف پول‌های رمزنگاری را جمع‌آوری کنند و سایر فعالیت‌های مضر را انجام دهند.

این حمله یک ارائه‌دهنده خدمات ارز دیجیتال مستقر در ژاپن را هدف قرار داد که بر مبادله دارایی‌ها برای تجارت بیت‌کوین، اتریوم و سایر ارزهای دیجیتال رایج تمرکز داشت. نام این شرکت تاکنون فاش نشده است.