کشف کمپین بدافزاری گستردهی روسی بر علیه دولتها
محققین Websense به تازگی کمپین بدافزاری گستردهای را در روسیه شناسایی کردهاند که با استفاده از بدافزار Mevade نهادهای دولتی و اقتصادی چندین کشور از جمله آمریکا را هدف گرفته است.
محققین Websense به تازگی کمپین بدافزاری گستردهای را در روسیه شناسایی کردهاند که با استفاده از بدافزار Mevade نهادهای دولتی و اقتصادی چندین کشور از جمله آمریکا را هدف گرفته است.
این کمپین که از کشورهای روسیه و اوکراین میشود بخشهای تولیدی، حملونقل و نیز بخشهای دولتی کشورهای مختلف همچون کانادا، هند، انگلیس، آمریکا و بسیاری کشورهای دیگر را هدف قرار داده است. از زمان آغاز این کمپین در ماه جولای تا کنون، بیشترین موارد آلودگی در آمریکا و کمترین میزان در اروپا و آمریکای جنوبی گزارش شده است.
در میان مراکزی که هدف حمله قرار گرفتهاند، بیشترین آسیبها به بخش اقتصادی وارد شده و تاکنون ۴۴ سازمان فعال در این عرصه از حملات مذکور آسیب دیدهاند. بخش تولیدی و کارخانجات هم از این حملات بینصیب نبوده و تا کنون ۳۲ مرکز تولیدی هدف حملهی موفقیت آمیز قرار گرفتهاند. تعداد سازمانهای دولتی آسیبدیده در این حملات هم تا کنون به عدد ۲۸ رسیده است.
بدافزار Mevade پیشتر مسئول افزایش بیسابقهی ترافیک شبکهی TOR شناخته شده بود؛ در آن زمان مشخص گردید که این بدافزار با اتکا بر شبکهی TOR عملاً خود را برای مدتها پنهان نگه داشته است. این بدافزار نسخههای آسیبپذیری از TOR را در رایانههای قربانی بارگیری و نصب نموده و سپس از طریق آن با کارگزارهای فرماندهی و کنترل خود ارتباط برقرار میکرد. در این کارگزارها تا کنون اکسپلویتهای بسیاری از جمله CVE-2012-4681 کشف شده است. ترافیک سنگین Mevade در روسیه و اوکراین و نیز قرار گرفتن زیربنای موردنیاز این کمپین در این کشورها حاکی از ماهیت روسی و اوکراینی مجرمین سایبری طراح آن است.
Websense در گزارش خود آورده است: «تحلیل Mevade نشان میدهد که این بدافزار همانند بدافزار Shylock دارای قابلیت پروکسی برعکس1 است و رهاساز2 بسیار انعطافپذیری دارد که امکان بازنشانی مسیرهای شبکه، سرقت هدفمند اطلاعات و نیز ایجاد یک درپشتی در سطح شبکه را داراست.»
همچنین به گفتهی کارشناسان استفاده از ابزار 3proxy در این بدافزار به نفوذگران اجازه میدهد تا به سادگی «ترافیک را مستقیماً از طریق بدافزار به شبکهی هدف عبور دهند.» به گفتهی آنها در چنین مواردی پروکسی به عنوان یک پروکسی برعکس راهاندازی میگردد که میتواند با ایجاد تونل از طریق محیطهای NAT3 به کارگزارهای نفوذگران متصل شده و یک درپشتی مستقیم را به شبکهی هدف ایجاد میکند (با استفاده از SSL و پورت ۴۴۳).
به اعتقاد کارشناسان Websense استفاده از پروکسیهای برعکس نشاندهندهی آن است که نفوذگران قصد دارند تا شبکهها را به صورت دستی پویش نموده و حرکتی جانبی نسبت به نرمافزارها و اطلاعات مهمتری داشته باشند که ممکن است بر روی سامانههای آلوده وجود داشته باشند (همچون مراکز داده، سامانههای حیاتی، کد منبع و مخازن اسناد).
پراکندگی جغرافیایی اهداف (رنگ آبی) و کارگزارهای فرماندهی و کنترل (رنگ قرمز) در تصویر ذیل نشان داده است:
