روابط عمومی شرکت ایدکو (توزیع کننده محصولات کسپرسکی در ایران)؛دو سال گذشته، پژوهشگران لابراتوار کسپرسکی مستقر در مسکو متوجه آلودگی ای در شبکه ی مجموعه ی خود شدند که توسط بدافزاری عجیب و خلاف آنچه که تا به حال دیده بودند، مورد حمله قرار گرفته بود. تقریبا تمام بدافزارها در حافظه ی کامپیوتر اقامت می گزینند و این ناحیه را تحت تاثیر آلودگی خود قرار می دهند، اما این بدافزار که در نوبه ی خودش شاهکار به حساب می آید توانسته بود آلودگی را به مدت شش ماه و حتی بیشتر به صورت غیر قابل تشخیص حفظ کند.

کسپرسکی در نهایت متوجه شد که که این بدافزار رفتاری شبیه Duqu 2.0 تروجانی که به ندرت دیده می شود و از مشتقات Stuxnet،(کرم های بسیار پیچیده که توسط آمریکا و اسرائیل برای خرابکاری در برنامه ی هسته ای ایران ایجاد شده بودند)، دارد.

در حال حاضر، بدافزار Fileless بخشی از یک نرم‌افزار مخرب است که برای اجرا شدن هیچ‌گونه فایل یا فولدری را بر روی هارد دیسک کپی نمی‌کند. به جای این کار، payload ها به صورت مستقیم بر روی حافظه فرآیندهای در حال اجرا تزریق می‌شوند و این بدافزار بر روی RAM سیستم مورد نظر اجرا می‌شود .طبق گزارش هایی که لابراتوار کسپرسکی در روز چهارشنبه منتشر ساخت، شبکه های متعلق به 140 بانک و شرکت های دیگر توسط همین بدافزار که در حافظه ی کامپیوترها به صورت نامرئی باقی مانده بود، آلوده شدند. از آنجا که این آلودگی بسیار وخیم و غیر قابل تشخیص بوده است، از آنجا که این حمله به‌سختی قابل شناسایی است، تعداد واقعی شبکه‌های آلوده شده را نمی توان دقیق مطرح کرد اما مطمئنا بیش از این مقدار است.

یکی دیگر از مواردی که باعث می شد این آلودگی غیر قابل تشخیص باقی بماند استفاده از موارد قانونی و مشروع در سیستم های اداری و ابزارهای امنیتی که شامل PowerShell، Metasploit و Metasploit برای تزریق بدافزار به حافظه ی کامپیوتر بود. با توجه به اینکه این بدافزار بر روی حافظه اجرا می‌شود، هنگامی‌که سیستم راه‌اندازی مجدد می‌شود، استفاده از حافظه بلااستفاده می‌شود و این امر پیدا کردن ردی از این بدافزار را برای متخصصان بررسی‌های دیجیتالی سخت می‌کند.

Kurt Baumgartner متخصص امنیتی در لابراتوار کسپرسکی به Ars گفت: جالب اینجا است که این حملات مداوم در سطح جهان در برابر بانک ها و موسسات مالی بوده است. بسیاری از این بانک ها به اندازه ی کافی برای مقابله با این حملات آماده نبودند. او در ادامه گفت که مجرمان این حملات دستگاه های خودپرداز را مورد هدف قرار داده اند و از این طریق پول ها را از بانک ها به سمت خود هدایت می کنند.

140 سازمان که تا به حال نام آن ها ذکر نشده است دچار آلودگی شده اند و این حمله 40 کشور مختلف آمریکا، فرانسه، اکوادور، کنیا و انگلستان که جزء 5 کشور برتر جهان هستند، را مورد هدف قرار داده است. محققان لابراتوار کسپرسکی همچنان اطلاع ندارند که چه کسانی پشت این حمله هستند و توسط چه هکرهایی این طرح آماده شده است.

سرقت رمز عبور

برای اولین بار محققان این بدافزار را در سال گذشته کشف کردند، زمانی که تیم امنیتی یک بانک یک کپی از Meterpreter ( جزئی در حافظه ی Metasploit ) در داخل حافظه ی فیزیکی یک کنترل کننده ی دامنه ی مایکروسافت یافته بودند.

پس از انجام آنالیزهای دقیق، محققان دریافتند که مهاجمان PowerShell ویندوز را مجبور ساخته بودند که یک کد Meterpreter را به صورت مستقیم و به جای اینکه آن را بر روی دیسک بنویسد، آن بر روی حافظه ذخیره کند.

کلاه‌برداران سایبری همچنین از ابزار NETSH networking متعلق به مایکروسافت استفاده کرده بودند تا بتوانند یک تونل پروکسی برای ارتباط برقرار کردن با سرور command and control راه‌اندازی کنند و به این وسیله قادر شوند از راه دور میزبان آلوده شده را کنترل کنند. برای به دست گرفتن دسترسی مدیریتی نیاز به انجام این کارها است و مهاجمان همچنین می بایستی بر دستور Mimikatz تکیه می کردند. برای کاهش شواهد به جا مانده در log یا هارد دیسک ها، مهاجمان دستورات PowerShell را در ریجستری ویندوز پنهان کرده بودند.

خوشبختانه شواهدی که روی کنترل کننده ی دامنه نمایان شده است کاملا دست نخورده و بی نقص به جا مانده علت آن هم می توان راه اندازی نشدن مجدد آن قبل از اینکه محققان لابراتوار کسپرسکی تحقیقات خود را آغاز کنند، دانست. و آنالیزهای مختلف روی محتویات حافظه و ریجستری های ویندوز امکان بازیابی کدهای Meterpreter و Mimikatz را به محققان می دهد. محققان بعد از مدتی متوجه شدند که مجرمان ابزاری برای جمع آوری رمزهای عبور مدیران سیستم به کار می بردند و از راه دور میزبان آلوده شده را کنترل می کردند.

محققان هنوز هم مطمئن نیستند که این بدافزار تا کی می تواند پنهان بماند. اما مشخص است که هدف نهایی مهاجمان دسترسی و پیدا کردن به کامپیوترهای در معرض خطر و کنترل ATM ها و درنهایت سرقت پول است. محققان لابراتوار کسپرسکی قصد دارند تا جزئیات بیشتری را در رابطه با این حمله که در مقیاس صنعتی و در سراسر جهان رخ داده است را در ماه آوریل ۲۰۱۷ منتشر کنند.

منبع: کسپرسکی آنلاین(ایدکو)

*  کسپرسکی اسم یکی از بزرگترین شرکتهای امنیتی و سازنده آنتی ویروس است که برخی از کاربران اشتباهاً این شرکت و محصولات آنتی ویروس آن را با عناوینی نظیر کسپرسکای،کاسپرسکی، کسپراسکی، کسپراسکای، و یا کاسپراسکای نیز می‌شناسد. همچنین لازم به ذکر است مدیرعامل این شرکت نیز یوجین کسپرسکي نام دارد.