افتانا 24 دی 1398 ساعت 8:55 http://www.aftana.ir/fa/doc/news/16242/حمله-بدافزار-داستمن-باپکو -------------------------------------------------- عنوان : حمله بدافزار داستمن به باپکو -------------------------------------------------- آژانس امنیت سایبری عربستان سعودی از انتشار داستمن، بدافزار جدید وایپری داده و هک شرکت ملی نفت بحرین توسط آن خبر داد. متن : آژانس امنیت سایبری عربستان سعودی از انتشار داستمن، بدافزار جدید وایپری داده و هک شرکت ملی نفت بحرین توسط آن خبر داد. به گزارش افتانا (پایگاه خبری امنیت فناوری اطلاعات)، بنابر ادعای برخی منابع، هکرهای ایرانی از بدافزار جدید پاک کن داده در شبکه باپکو (Bapco)، شرکت ملی نفت بحرین، استفاده کرده اند. این اتفاق ۲۹ دسامبر سال گذشته رخ داد. به گفته کارشناسان، حادثه فوق اثر دلخواه هکرها را در پی نداشت، زیرا فقط بخشی از ناوگان رایانه ای باپکو تحت تأثیر قرار گرفت و شرکت پس از حمله به کار خود ادامه داد. ZDNet اظهار داشت که سازمان امنیت سایبری ملی عربستان سعودی هفته گذشته در مورد حمله سایبری به باپکو هشدار داده بود. مقامات سعودی نیز به شرکت های فعال در بازار انرژی در مورد حملات احتمالی هشدار دادند و از شرکت ها خواستند تا امنیت شبکه های خود را تأمین کنند. حادثه امنیتی باپکو در میان افزایش تنش های سیاسی بین ایالات متحده و ایران و پس از شهادت سردار سلیمانی به وسیله پهپاد آمریکایی مطرح شد. حمله باپکو با یک بدافزار جدید به نام داستمن (Dustman) رخ داد. بر این اساس تجزیه و تحلیل آژانس امنیت سایبری ملی عربستان، داستمن یک پاک کننده اطلاعات است و برای حذف داده ها در کامپیوترهای آلوده طراحی شده است. بنا به ادعای کارشناسان، داستمن نماینده سومین بدافزار پاک کننده داده با تهران ارتباط دارد و هکرهای ایرانی سابقه طولانی در استفاده از این گونه بدافزارها دارند. هکرهای ایرانی قبلاً در سال ۲۰۱۲ از بدافزار شمعون موسوم به Disttrack - گونه ای بدافزار برای پاک کردن بیش از ۳۲ هزار کامپیوتر در آرامکو (شرکت ملی نفت عربستان) در یکی از مشهورترین حملات سایبری جهان استفاده کرده بودند. دو نسخه دیگر شمعون نیز در سال های بعد با نام های Shamoon v2 (مورد استفاده در سال های ۲۰۱۶ و ۲۰۱۷) و Shamoon v3 (مورد استفاده در سال های ۲۰۱۸ و ۲۰۱۹) کشف شدند. طبق گزارش منتشر شده از IBM X-Force، هکرهای ایرانی با یک بدافزار ثانویه مختلف موسوم به ZeroCleare - که نخستین بار در سال ۲۰۱۹ کشف شد در این حملات دخالت داشته اند. به گفته مقامات سعودی، داستمن به نظر نسخه به روز شده و پیشرفته تر پاک کننده ZeroCleare است که پاییز سال قبل کشف شد و شباهت های چندگانه کد با شمعون اصلی داشت. مؤلفه اصلی مشترک بین هر سه نوع بدافزار، EldoS RawDisk، یک ابزار نرم افزاری قانونی برای تعامل با پرونده ها، دیسک ها و پارتیشن ها است. در این سه بدافزار از تکنیک های مختلف برای ارزیابی دسترسی اولیه به سطح اصلی، از محل اولیه و اجرای EldoS RawDisk برای پاک کردن داده ها در هاست های آلوده استفاده می شده است. از زمان کشف داستمن در نسخه نهایی ZeroCleare، بیشتر کدها یکسان هستند، اما مقامات سعودی معتقدند که داستمن دو تفاوت مهم دارد: - توانایی مخرب داستمن و تمامی درایورها و بارگذارهای مورد نیاز در یک پرونده اجرایی برخلاف دو مورد دیگر ارائه شده است، همان طور که در مورد ZeroCleare نیز وجود داشت. - داستمن توده را بازنویسی می کند، درحالی که ZeroCleare با نوشتن آن با داده های زباله حجم را پاک می کند (0x55) هدف گیری باپکو به گفته منابع آگاه، هدف قرار دادن باپکو یا داستمن در حالت معمول با هکرهای ایرانی باید مرتبط باشد. از نظر تاریخی، پیش از استقرار داستمن هکرهای ایران از شمعون و ZeroCleare در شرکت های نفت و گاز استفاده می کردند. اهداف گذشته شامل شرکت های سعودی و آرامکو (شرکت نفت و گاز عربستان) بودند. ایران و عربستان سعودی از سال ۱۹۷۰ به دلیل اختلاف نظر در تفسیر اسلام و رقابت در بازار صادرات نفت روابط تیره ای دارند. باپکو یک شرکت بحرینی است که به علت روابط تجاری شناخته شده با آرامکو، روبط سیاسی خوبی با ایران ندارد. نحوه رخداد حادثه باپکو به نظر تنها قربانی حمله به وسیله داستمن است، اما این بدان معنا نیست که بدافزار در شبکه سایر اهداف مستقر نشده است. به گزارش CNA، مهاجمان ظاهراً قصد استفاده از داستمن در آن زمان را نداشته اند، اما فرایند پاک کردن داده ها به عنوان آخرین تلاش برای از بین بردن شواهد در اشتباهات متعدد شبکه هک بوده است. منابع آگاه در گفت وگو با ZDNet ادعا کرده اند که شرکت بحرینی در تابستان گذشته مورد حمله قرار گرفته است. مقامات سعودی سی ان ای با چندین منبع دیگر تأیید کردند که نقطه شروع، سرورهای وی پی ان شرکت بوده است. گزارش سی ان ای نشان می دهد که آسیب پذیری های راه دور در یک دستگاه وی پی ان در ماه ژوئیه ۲۰۱۹ کشف شده و این نقطه شروع ورود مهاجمان به باپکو است. با وجود اینکه مقامات دستگاه خاصی را به عنوان مقصر معرفی نکرده اند، اما به گزارش منتشر شده از Devcore در تابستان گذشته اشاره می کنند که اشکالات اجرا از راه دور در سرورهای وی پی ان درجه سازمانی مانند مواردی در فورتینت (Fortinet)، Pulse Secure و شبکه های پالو آلتو (Palo Alto) را نشان می داد. برخی محققان معتقدند که هکرها از آسیب پذیری در سرورهای Pulse Secure استفاده می کنند در حالیکه دیگران به سرورهای وی پی ان فورتینت اشاره دارند. موتور جست وجوی BinaryEdge نشان می دهد که بخشی از شبکه vpn.bapco.net در واقع روی تجهیزات وی پی ان فورتینت اجرا می شود. با این وجود، احتمالاً باپکو در گذشته سرورهای Pulse Secure را اجرا می کرده است. منابع درخصوص سرور دقیق وی پی ان مورد استفاده در حمله اختلاف نظر دارند. به گزارش سی ان ای در عربستان، هکرها ابتدا کنترل سرور وی پی ان را در اختیار گرفتند و سپس دسترسی خود را به کنترل کننده دامنه محلی افزایش دادند. در این گزارش آمده است: عامل تهدید حساب های مدیریت و سرویس دامنه را در شبکه قربانی به دست آورد و بدافزار داستمن را روی همه سیستم های قربانی نصب کرد. مهاجم از حساب سرویس کنسول مدیریت آنتی ویروس برای توزیع بدافزار در شبکه استفاده کرده است. عامل تهدید پس از دسترسی به شبکه قربانی، بدافزار و ابزار اجرا از راه دور را با نام PSEXEC را در سرور کنسول مدیریت آنتی ویروس کپس کرده و به دلیل ماهیت عملکردی آن به کلیه دستگاه های موجود در شبکه قربانی متصل شده است. چند دقیقه بعد ، مهاجم به سرور ذخیره سازی قربانیان دسترسی یافته و همه حجم ها را به صورت دستی پاک کرده است. مهاجمان سپس برای توزیع بدافزار در تمامی دستگاه های متصل، دستورهای مربوط به کنترل آنتی ویروس و از طریق (PSEXEC) بدافزار را اجرا و پرونده های اضافی، دو درایور و پاک کن را رها کردند. بیشتر دستگاه های متصل پاک شدند. حملات موفقیت آمیز که منجر به پاک شدن سیستم ها شدند، حاوی پیام BSOD، صفحه آبی مرگ بودند. مقامات سعودی توضیح دادند: در اقدامات مهاجم احساس فوریت وجود داشته است. دلیل این فوریت مشخص نیست. بدافزار داستمن احتمالاً روی زیرساخت عامل تهدید چند دقیقه پیش از نصب روی شبکه قربانی تهیه شده بود. این امر با حملات مخرب شناخته شده مغایرت دارد، زیرا معمولاً قبل از اجرا آزمایش می شوند. با این حال، این عجله و عدم آزمایش بر موفقیت عملیات پاک کن تأثیر گذاشت و بدافزار در برخی از سیستم ها به درستی کار نکرد. مقامات سعودی معتقدند که مهاجمان به پاک کردن های شکست خورده توجه داشتند و در عین حال تلاش می کردند تا مصنوعات داستمن را از این سیستم ها حذف کنند؛ سپس قبل از خروج از شبکه این شرکت گزارش های دسترسی را روی سرور وی پی ان پاک کردند. مقامات باپکو یک روز بعد و زمان ورود کارمندان به شرکت متوجه حمله شدند. آنها پس از بررسی، بدافزار داستمن را شناسایی کردند، زیرا برخی از ایستگاه های کاری زمان حمله در حالت خواب بوده اند. پس از شروع به کار سیستم ها، آنها سعی کردند بدافزار را اجرا کنند، اما آنتی ویروس (غیرفعال در زمان حمله اصلی) حمله را تشخیص داد و از آن جلوگیری کرد. انتشار آنلاین نمونه های بدافزار داستمن یکی از نمونه های بدافزار روی Hybrid-Analysis، محیط آنالیز جعبه آنلاین در همان روز کشف حمله بارگذاری شده بود. پرونده ها درنهایت در توییتر و VirusTotal در مسیر خود قرار گرفتند. پاک کن های سال ۲۰۱۹ دخیل در رویدادهای خلیج فارس: ۱۸c۹۲f۲۳b۶۴۶eb۸۵d۶۷a۸۹۰۲۹۶۰۰۰۲۱۲۰۹۱f۹۳۰b۱fe۹e۹۲۰۳۳f۱۲۳be۳۵۸۱a۹۰f f۰۷b۰c۷۹a۸c۸۸a۵۷۶۰۸۴۷۲۲۶af۲۷۷cf۳۴ab۵۵۰۸۳۹۴a۵۸۸۲۰db۴db۵a۸d۰۳۴۰fc۷ ۲fc۳۹۴۶۳b۶db۴۴۸۷۳c۹c۰۷۷۲۴ac۲۸b۶۳cdd۷۲f۵۸۶۳a۴a۷۰۶۴۸۸۳e۳afdd۱۴۱f۸d مقامات امنیتی در گفتگو با ZDNet اظهار داشتند که به دلیل عدم دید کامل نسبت به حمله نتوانسته اند این حادثه را به گروه خاص هکری در ایران نسبت دهند. البته مک آفی حملات شمعون را به یک گروه هکری ایرانی موسوم به APT33 نسبت داد، در حالی که شرکت آی بی ام ZeroCleare را به دو گروه به نام های xHunt و APT34 تخصیص داد. مقامات باپکو با وجود درخواست های مکرر هنوز اظهارنظر خاصی در این خصوص نداشته اند. گزارش سعودی سی ان ای همچنین حاوی پیشنهادهایی برای شرکت های فعال در زمینه نفت و گاز بود که به عنوان هدف برای حملات با بدافزار داستمن به شمار می روند.