مجرمان چگونه با ابزارهایی ساده به حملات پیچیده می‌پردازند؟
 
ما قبلا به این واقعیت پی برده ایم که حمله های پیچیده سایبری از آسیب پذیری های روز صفر، امضاهای دیجیتال، سیستم فایل های مجازی، الگوریتم های رمزنگاری غیر استاندارد و سایر ترفندها استفاده می کنند اما گاهی اوقات آن ها با وجود تمام این راه های سخت و پر دردسر، از حملات ساده تری همانند حمله ای که ما آن را چندی پیش شناسایی کردیم و آن راnbsp;Microcinnbsp;نامیدیم، استفاده می کنند. به گزارش ایتنا از کسپرسکی آنلاین، در این حمله ما یک فایل1RTFnbsp;مشکوک را کشف کردیم. این اسناد شامل اکسپلویتی شناخته شده بود و در آسیب پذیریnbsp;CVE-2015-1641nbsp;پچ شده بود. به طور قابل توجهی اسناد مخرب از طریق وب سایت هایی که مخاطبان بسیار محدودی دارند، به آلودگی کاربران پرداخته بودند. به همین دلیل است که ما در ابتدا تصور می کردیم با یک حمله هدفمند مواجه شده ایم. nbsp; در این حمله مجرمان کاربرانی را مورد هدف قرار می دادند که در فروم های مسکن روسیه به بحث و گفتگو می پرداختند و از این راه به انتخاب می پردازند. اینطور که بنظر می رسد این رویکرد کاملا موثر بنظر می رسید، زیرا احتمال بازکردن اسناد مخرب از جانب کاربران، دانلود و در نهایت دریافت کدهای مخرب بسیار زیاد است. از آنجایی که مجرمان میزبان چنین فروم هایی بودند و البته کمتر کسی به این موضوع فکر می کند که فروم ها محل اسکن مجرمان نیستند، پس همه چیز مشروع بنظر می رسید. تمام لینک ها در پیام های فروم ها به آدرسnbsp;URLهاییnbsp;files[.]maintr**plus[.]com، در جایی که اسنادnbsp;RTFnbsp;اکسپلویت شده بود، ختم می شد. گاهی اوقات مجرمان از فایل هایnbsp;PPTnbsp;که شامل یک فایلnbsp;PEnbsp;قابل اجرا بود و البته حاوی اکسپلویت نبود، به عنوان پیلودی که توسط یک اسکریپت در یک فایلnbsp;PPTnbsp;جاسازی شده است؛ استفاده می کنند. اگر یک آسیب پذیری در مایکروسافت به طور موفقیت آمیز مورد اکسپلویت قرار بگیرد، اکسپلویت یک فایلnbsp;PEnbsp;اجرایی را روی هارد دیسک ایجاد کرده و آن را برای اجرا راه اندازی می کند. برنامه ی مخرب یک پلتفرم است که برای اعمال ماژول های مخرب اضافی (افزودنی) مورد استفاده قرار می گیرد و آن ها را به صورت مخفی ذخیره می کند و از همین رو قابلیت های جدیدی را برای مجرمان و تهدید کاربران بوجود می آورد. این حمله به مراحل زیر قابل اجرا است: اکسپلویت فعال می شود و یک نسخه مناسب (32 یا 64 بیتی) از برنامه های مخرب بر روی کامپیوتر نصب می شود.nbsp; نصب برنامه های مخرب بر روی کامیپوتر به سیستم عامل اجرا شده بر روی سیستم وابسته است. برای انجام این نصب کد مخرب به فرآیند سیستم lsquo;explorer.exersquo; و نه به حافظه ی آن تزریق می شود. برنامه مخرب دارای ساختار کوچکی است:nbsp;قسمت اصلی آن در رجیستری ذخیره می شود و این در حالی است که ماژول های افزودنی آن به دنبال دستورالعمل دریافت شده از سرورnbsp;Camp;Cnbsp;در حال دانلود هستند. ربودنnbsp;DLLnbsp;(استفاده از یک کتابخانه سیستم اصلاح شده) برای اطمینان از اینکه ماژول اصلی در هربار راه اندازی می شود یا خیر مورد استفاده قرار می گیرد. ماژول اصلی برنامه مخرب، دستورالعملی برای دانلود و راه اندازی ماژول های اضافه است که قابلیت های جدیدی را برای مجرمان ایجاد می کند. nbsp;ماژول های افزدونی مخرب فرصت های بی نظیری هستند کهnbsp;کنترل سیستم قربانی، تصاویری از پنجره ها و اطلاعات مربوط به رهگیری از صفحه کلیدی که آز آن استفاده کرده اند را برای مجرمان فراهم می کند. ما این موارد را در سایر کمپین های جاسوسی دیگر مشاهده کردیم. nbsp;مجرمان با استفاده ازnbsp;PowerSploit، یک مجموعه اصلاح شده از اسکریپت هایnbsp;PowerShellnbsp;و ابزارهای مختلف به سرقت فایل ها و کلمات عبور موجود در سیستم قربانی می پردازند. مجرمان سایبری عمدتا به فایل های .doc،nbsp;ppt،nbsp;xls،nbsp;docx، .pptx، .xlsx، .pdf، .txtnbsp;و .rtfnbsp;سیستم های قربانیان نفوذ می کنند. فایل های آرشیو شده به صورت محافظت شده با رمزعبور به سرور مجرمان ارسال می شود. به طور کلی تاکتیک ها، تکنیک ها و روش هایی که مجرمان سایبری در حملات خود استفاده می کنند، می تواند پیچیده یا حتی پرخرج باشد. با این حال چند چیز وجود دارد که توجه ما را به خود جلب کرد: nbsp;nbsp;پیلود ( حداقل یکی از ماژول ها ) با استفاده از برخی اسپیگرافی های ساده تحویل داده می شود.nbsp;در این حین همه چیز کاملا معمولی به نظر می رشد و کاربران تصور می کنند که دانلود یک تصویر معمولیnbsp; JPEGnbsp;است. اما غافل از اینکه پیلود رمزنگاری شده بلافاصله پس از داده های تصویر بارگیری می شود. نتیجه گیری هیچ فناوری بنیادی جدیدی در چنین برنامه های مخربی، بدون آسیب پذیری صفر روزه یا نوآوری در تهاجم و یا تکنیک های دستکاری شده برای حمله نمی تواند موفق باشد. ابزار مجرمان سایبری برای حملات گسترده خود شامل موارد زیر می شود: nbsp;یافتن حفره های امنیتی برای حمله با استفاده از مایکروسافت آفیس؛ nbsp;ذخیره سازی بی نظیر از مجموعه اصلی توابع مخرب همانند شل کد، پاورشل و ماژول های افزودنی، nbsp;تهاجم به فرآیند سیستم بدون تزریق کد در حافظه آن؛ nbsp;nbsp;DLLnbsp;برای فرآیند یک سیستم به عنوان وسیله ای برای اطمینان از راه اندازی اتوماتیک؛ مجرمان در برخی از حملات خود همچنین از اسکریپت های پاورشل که به طور گسترده ای می تواند کاربردی باشد، استفاده می کنند. در بررسی های مختلف دیده شده است که حملات درب پشتی در بسیاری از موارد می تواند استفاده قرار می گیرد، این در حالی است کهnbsp;PowerSploitnbsp;یک پروژه منبع باز است. کاملا واضح است که مجرمان سایبری اهداف مشخصی دارند و با استفاده از فناوری های پیشرفته و البته شناخته شده دست به حمله می زنند و کاربران را مورد هدف قرار می دهند. جالبترین بخش این مبارزان مخرب از نظر ما بردارهای حمله ای است که در آنها مورد استفاده مجرمان قرار می گیرد. سازمان هایی که اغلب در لیست سیاه هدف های مجرمان سایبری قرار می گیرند اغلب به چنین بردارهایی توجه ندارند و آنها را در نظر نمی گیرند. راه های مقابله در برابر حملات پیچیده مجرمان سایبری nbsp;اگر که زیرساخت کمپانی شما به خوبی محافظت نشده است و امنیت آن نادیده گرفته شده است، پس باید منتظر حملات پیچیدهnbsp; مجرمان باشید.nbsp;بی شک مجرمان از کارمندان شما برای رخنه یه سیستم های شما شروع خواهند کرد. این مرحله یک منطق بسیار ساده را دنبال می کند:nbsp;منابع شخصی کارمندان همانند دستگاه های تلفن همراه و کامیپوترهای شخصیnbsp;می توانند همانند دروازه ای باشد که راه را برای مجرمان با کمترین هزینه و البته بدون دردسر به اطلاعات شخصی یک شرکت و مجموعه باز می کند.nbsp;از همین رو آموزش به کاربران در مورد تهدیدات سایبری و نحوه مقابله با آنها از اهمیت بالایی برخوردار است. nbsp;nbsp;nbsp;که یکی از کمپین های بسیار مخرب است و از ابزارها و روش هایی استفاده می کند که شناسایی آن توسط راهکارهای امنیتی استاندارد نیز سخت و دشوار است. بسیاری از بدافزارها وجود دارند که از تکنیک های پیچیده ای برای شناسایی نشدن استفاده می کنند و می توانند تا مدت ها در سیستم قربانیان به فعالیت و جاسوسی بپردازند. از همین رو پیشنهاد می شود شرکت های بزرگ، سازمان های دولتی حتما ازnbsp;راهکارهای امنیتی قوی و البته مورد اعتمادnbsp;به منظور محافظت در برابر حملات پیچیده مجرمان استفاده نمایند.nbsp;محصولات لابراتوار کسپرسکی قادر به تشخیص حملات مداوم هستند. حتی اگر پیچیده ترین حملات رخ دهد، این راهکارها از سیستم ها محافظت و فورا تمامی موارد مخرب مسدود خواهند شد. پیاده سازی یک سیستم امنیتی جامع می تواند به طور قابل ملاحظه ای قربانی شدن یک سازمان را به حداقل برساند و تهدیدات پیچیده را کاهش دهد. بدون در نظر گرفتن نرم افزار امنیتی هیچ راهکار دیگری برای مقابله با حملات مخرب سایبری وجود ندارد. حال چند لحظه به این مسئله فکر کنید که اطلاعات ارزشمند و چندساله ی شما تا چه اندازه برای شما اهمیت دارد؟ سرقت آنها برای شما هزینه برتر خواهد بود یا خرید یک راهکار امنیتی که امنیت مجموعه شما را تا حد زیادی تضمین می کند؟ nbsp; 1. RTFnbsp;يك فايل عمومیnbsp;است كه می تواند خوانده شده و مورد استفاده طيف وسيعیnbsp;از برنامه های مختلف قرار گيرد. nbsp;

منبع خبر: ایتنا




کلیه حقوق این سایت متعلق به شرکت ارتباطات طیف گستر است.
اجرا و پشتیبانیNikaIT