همکاری چند بدافزار برای حمله به کره ‌جنوبی

به گزارش واحد هک و نفوذ سایبربان؛ شرکت آمریکایی سیمنتک ادعا می‌کند یک کمپین بدافزاری را شناسایی کرده است که از جولای 2015 تاکنون بخش‌های زیرساختی کره جنوبی را هدف حمله قرار داده است. یکی از بدافزارهای این کمپین، دوزر (Duuzer) نام دارد. دوزر یک تروجان درپشتی است و به هکرها اجازه می‌دهد تا از راه دور به رایانه‌ی قربانی دسترسی داشته و کنترل آن را در اختیار بگیرند.

به ادعای سیمنتک، اغلب قربانیان دوزر، رایانه‌های مراکز زیرساختی کره جنوبی بوده‌اند.

بر اساس گزارش سیمنتک، دوزر هیچ تفاوتی بین قربانیان خود قائل نشده و هر دو نوع رایانه‌های 32 بیتی و 64 بیتی را هدف قرار می‌دهد.

هنوز، سیمنتک مطمئن نیست دوزر چگونه کار می‌کند؛ اما به گفته‌ی این شرکت با در نظر گرفتن حملات مشابهی که در چند سال اخیر به مراکز دولتی کره جنوبی صورت گرفته است، می‌توان حدس زد به احتمال فراوان حمله‌ی موردنظر از نوع فیشینگ بوده است.

محققان امنیت سایبر برای شناسایی بدافزارها معمولاً از محیط‌های مجازی مانند VMWare و Virtual Box استفاده می‌کنند. به نظر می‌رسد طراحان دوزر نیز از این مسئله باخبر بوده و به همین دلیل نیز قطعه کدی را درون آن قرار داده‌اند که به دوزر امکان تشخیص اینکه آیا بر روی سیستم‌عامل اصلی کار می‌کند، یا در یک محیط مجازی قرار دارد را می‌دهد. درصورتی‌که دوزر تشخیص بدهد در یک محیط مجازی قرار دارد به‌سرعت فعالیت خود را متوقف می‌کند تا از شناسایی شدن جلوگیری کند. اما درصورتی‌که تشخیص بدهد در محیط اصلی سیستم‌عامل قرار دارد، در اولین فرصت یک درپشتی را بر روی سامانه‌ی قربانی نصب کرده و امکان دسترسی از راه دور را برای هکرها فراهم می‌کند.

پس‌ازاینکه هکرها به رایانه‌ی قربانی دسترسی پیدا کنند، می‌توانند کارهای زیادی از قبیل جمع‌آوری اطلاعات محرمانه و شخصی سازمان‌ها و افراد، راه‌اندازی برنامه‌های موردنظر هکر، دریافت و بارگذاری فایل را انجام دهد.

محققان امنیتی سیمنتک، علاوه بر دوزر، دو بدافزار دیگر به نام‌های برامبول (Brambul) و جوانپ (Joanap) را نیز شناسایی کردند. برامبول و جوانپ نیز ازجمله بدافزارهای فعال در این کمپین بوده‌اند. برامبول یک کرم رایانه‌ای و جوانپ نیز یک تروجان درپشتی است. برامبول و جوانپ در اغلب مواقع با یکدیگر فعالیت می‌کنند. این دو بدافزار برای ورود به سامانه‌ی قربانی و نظارت بر فعالیت‌های سامانه‌ی قربانی استفاده می‌شوند. معمولاً برامبول ابتدا رایانه‌ی قربانی را آلوده کرده و جوانپ را بر روی رایانه‌ی قربانی بارگذاری می‌کند.

به ادعای سیمنتک، رایانه‌های آلوده‌شده به برامبول، به‌عنوان سرورهای فرماندهی و کنترل برای دوزر عمل می‌کنند.

زمانی که برامبول رایانه‌ی قربانی را آلوده کرد، به‌سرعت به دنبال آدرس IP رایانه‌های دیگر گشته و به‌این‌ترتیب یک شبکه را آلوده می‌کند.

همچنین برامبول، توانایی دارد تا نام‌های کاربری و کلمه‌ی عبور قربانی را به سرقت ببرد.

به گفته‌ی سیمنتک، برامبول توانایی این را دارد تا تروجان‌های دوزر و جوانپ را بر روی رایانه‌ی قربانی بارگذاری کند و درواقع مسیر ورود به سامانه‌ی قربانی را برای دوزر و جوانپ باز می‌کند.

جوانپ می‌تواند فایل‌های قربانی را برای هکرها ارسال کند و برنامه‌های موردنظر هکرها را در رایانه‌ی قربانی نصب کند.

به ادعای سیمنتک، در حملات سایبری معمولاً از یک بدافزار برای حمله استفاده می‌کنند؛ اما استفاده از چندین بدافزار در این کمپین نشان می‌دهد این کمپین، یک کمپین دولتی است و قطعاً هکرهای دولتی با سرمایه‌های دولتی پشت این کمپین قرار دارند.