گسترش دامنه حملات APT در سال 2015

کاستین رایو (Costin Raiu)، مدیر تیم تجزیه و تحلیل و تحقیقات جهانی GReAT در آزمایشگاه امنیتی کسپرسکی، نظرات گوناگونی را در مورد نحوه حملات APT در سال آینده، همراه با چالش‌های پیش رو ارائه کرده است.

اطلاعاتی که در مورد تهدیدات مداوم پیش‌رفته در دسترس است، نسبت به اطلاعاتی که هنوز از آنها بی‌خبر هستیم بسیار کم است. کمبود این اطلاعات به این دلیل است که یکی از اهداف اصلی این تهدیدات پیچیده بودن بیش از حد است به گونه‌ای که مشابه آن تا زمان حمله وجود نداشته باشد و همچنین یکی از مبانی که مهاجمین این حملات همیشه به خاطر می‌سپارند اصل پنهان‌ ماندن است.

در حملات پیشرفته و مستمر، هرقدر یک سازمان و یا شرکت دارای اطلاعات ارزشمندتری باشد، احتمال این که قربانی حملات APT باشد بالاتر می‌رود.

کاستین رایو پیش بینی می کند که گروه های بزرگ APT، به گروه های کوچکتری انشعاب پیدا می کنند، چرا که هدف آنها تغییر پیوسته نامگذاری و استفاده از روش های مختلف برای هدف قرار دادن قربانیان است. وی در ادامه به طور مستقیم به پنج تبعه چینی اشاره می کند که برای نفوذ به شبکه های سازمانی ایالات متحده مجرم شناخته شدند.

کاستین رایو در ادامه به حملات پیشرفته و مستمر سال 2014 و بدافزارهای به کار گرفته شده در آنها اشاره می کند. اکثر این حملات برای جاسوسی علیه دولت‌ها و زیرساخت های اصلی کشورهای مختلف طراحی شده بودند و صدمات جبران ناپذیری را در برخی از کشورها بر جای گذاشتند. گفته می شود که آثار این حملات همچنان ادامه دارد و حتی تولیدکنندگان آنها در صدد به روزرسانی و افزایش شدت تخریب بدافزارهای به کار گرفته شده در حملات می باشند.

 در ذیل به طور خلاصه به مهمترین حملات APT در سال 2014 اشاره شده است:

1- Regin

چندی پیش، شرکت امنیتی سیمانتک موفق به شناسایی تروجان جدیدی با نام Regin شد که کمتر توسط محققان امنیتی مشاهده شده بود. این تروجان که در عملیات جاسوسی علیه دولت‌ها، اپراتورهای زیرساخت، کسب و کارها، محققان و دانشمندان، و افراد خصوصی مورد استفاده واقع می شود، یکی از خطرناکترین ابزارهای جاسوسی است که چندی پیش توسط محققان امنیتی سیمانتک کشف گردید. بنا به گفته این شرکت، این تروجان بصورت درب پشتی (back door) عمل می کند و حداقل از سال 2008، به جاسوسی از اهداف خود پرداخته است.

محققان امنیتی با بررسی های خود متوجه شدند که جنبه های بارگذاری چند مرحله ای Regin بسیار شبیه به بدافزار Duqu یا استاکس نت است. از همین رو اعلام داشتند که توسعه این بدافزار ممکن است ماه ها بلکه سالها زمان برده باشد.

به گفته کارشناسان سیمانتک، بیشترین میزان جاسوسی Regin، در کشور روسیه با میزان  28 درصد آلودگی انجام شده است. همچنین سیمانتک از ایران نیز به عنوان یکی از اهداف این بدافزار جاسوسی یاد کرده است.

2-  Epic Turla

در ماه آگوست سال جاری میلادی، مقامات کسپرسکی از شناسایی کمپین جاسوسی سایبری با نام Epic Turla  پرده برداشتند که به آلوده ساختن بسیاری از رایانه های سازمانهای دولتی، وزارت های امور خارجه، ارگان های نظامی و سفارتخانه‌های بیش از ۴۵ کشور جهان پرداخته است. در بین کشورهای مورد هدف این کمپین جاسوسی، کشور فرانسه در صدر لیست قرار گرفت و کشورهای ایالات متحده، ایران و روسیه در رتبه بعدی این حملات قرار گرفتند. مقامات امنیتی کسپرسکی اعلام داشتند که این کمپین حداقل از سال 2012 آغاز به کار کرده و هدف حملات آن به طور خاص کاربران اروپا، آمریکا و خاورمیانه بوده است.

نحوه آلوده ساختن رایانه ها توسط این کمپین در چند مرحله انجام می شود، اولین مرحله با Epic Turla برای تائید پروفایل قربانی صورت می پذیرد سپس در مرحله دوم درب پشتی Turla Carbon شروع به کار می کند. گفته می شود که این عملیات جاسوسی همچنان ادامه دارد.

3- Mask

محققان امنیتی کسپرسکی، در فوریه 2014، کمپین بدافزاری دیگری با نام Mask را شناسایی کردند که دست ‌کم به مدت هفت سال، و از سال ۲۰۰۷ میلادی فعال بوده و سیستم‌های حساس دولتی ۲۷ کشور جهان را مورد حمله قرار داده است. نام "Mask" از کلمه عامیانه اسپانیایی "Careto " برگرفته شده است که به معنای ماسک و یا صورت زشت می‌باشد که کدنویسان در برخی از ماژول‌های بدافزارهای مخرب از آن استفاده می‌کنند. هدف اصلی Careto  هدف قرار دادن نهاد‌های دولتی، دفاتر دیپلماتیک و سفارتخانه ها، شرکت‌های انرژی و نفت و گاز، موسسات تحقیقاتی، شرکت‌های سهام خصوصی و فعالان سیاسی عنوان شد. این آلودگی در کشورهای الجزایر، آرژانتین، بلژیک، بولیوی، برزیل، چین، کلمبیا، کاستاریکا، کوبا، مصر، فرانسه، آلمان، گواتمالا، عراق، لیبی، مالزی، مکزیک، مراکش، نروژ، پاکستان، لهستان، آفریقای جنوبی، اسپانیا، سوئیس، تونس، ترکیه، انگلستان، ایالات متحده، ونزوئلا و حتی کشور عزیزمان ایران نیز مشاهده گرید.

4- DarkHotel 

در اواسط ماه نوامبر، مجددا محققان شرکت امنیتی کسپرسکی موفق به شناسایی و رصد یک کمپین جاسوسی با نام DarkHotel شدند. آنها در گزارش امنیتی خود اعلام کردند که هکرهای DarkHotel با استفاده از حملات مداوم پیشرفته، حفره های Zero day، کی لاگرهای توسعه یافته، نصب درب های پشتی و بدافزارهای پیشرفته به رایانه های سیاستمداران و مذاکره کنندگان هسته ای دست یافته و اطلاعات آنها را سرقت می کنند.

در این گزارش عنوان شده بود که تیمی از هکرهای نخبه توانسته اند با نفوذ به سیستم های Wi-Fi هتل های لوکس، به رایانه های سیاستمداران سطح بالا کشورهای مختلف دست یابند. همچنین احتمال سرقت اسرار هسته ای از رایانه های این سیاستمداران بسیار بالا ارزیابی گردید.

همانطور که در بالا مشاهده شد، تعدادی از تهدیدات پیشرفته و مستمر در سال 2014 به طور خلاصه بیان شدند. با این حال، محققان امنیتی ادعا می‌کنند که سال آینده میلادی، کشورهای بیشتری از حملات سایبری APT متضرر خواهند شد، چرا که دامنه و گستردگی این حملات رو به فزونی است و هکرهای فعال در این زمینه از حملات پیشرفته تری استفاده خواهند کرد.

هکرها در سال 2014 تلاش کردند تا حملات سایبری خود را بر روی سیستم های 64 بیتی به اجرا در آورند.  بنابراین رشد استفاده از سیستم عامل های 64 بیتی، دلیل دیگری برای رشد حملات APT خواهد بود.