نماد سایت اتاق خبر شبکه گستر

Silence؛ نفوذگرانی حریص اما صبور

شبکه گستر

کارزارهای اجرا شده توسط گروه Silence را می‌توان از جمله مخرب‌ترین تهدیدات موسوم به پیشرفته و مستمر (APT) در سال‌های اخیر دانست. این گروه منتسب به مهاجمان روسی، اجرای کارزارهای موفق بر ضد بانک‌ها و مؤسسات مالی و سرقت میلیون‌ها دلار از آنها را در کارنامه دارد.

اگر چه تمرکز اصلی Silence بر روی کشورهای عضو اتحاد جماهیر شوروی سابق است اما نمونه‌های مختلفی مبنی بر نفوذ این گروه به شبکه بانک‌ها در دیگر کشورهای جهان نیز گزارش شده است.

به گزارش شرکت مهندسی شبکه گستر، این مهاجمان با در اختیار گرفتن کنترل دستگاه‌های خودپرداز، اقدام به سرقت پول از آنها می‌کنند.

در اکثر این کارزارها، گردانندگان Silence با بکارگیری ترفندهای مهندسی اجتماعی و ارسال ایمیل‌های فیشینگ اختصاصی و هدفمند، کارکنان بانک را هدف قرار می‌دهند.

عنوان و متن معمولاً مفصل و طولانی این ایمیل‌ها و دامنه مورد استفاده در ارسال آنها همگی القا کننده معتبر بودن آنهاست. در ایمیل‌های ارسالی دامنه‌هایی به چشم می‌خورد که بانک‌های صاحب آنها از پودمان‌هایی همچون Sender Policy Framework – به اختصار SPF – و Domain-based Message Authentication, Reporting and Conformance – به اختصار DMARC – جهت حفاظتشان استفاده نکرده‌اند.

برای عبور از سد محصولات ضدهرزنامه بسیاری از این ایمیل‌ها مجهز به گواهینامه‌های موسوم به Self-signed هستند.

پیوست ایمیل‌های ارسالی، اسناد Word حاوی ماکروی مخرب یا مجهز به بهره‌جوی (Exploit) یک یا تعدادی از آسیب‌پذیری‌های زیر است:

در مواردی نیز پیوست ایمیل‌ها، فایل‌های غیرمتداول CHM، اسکریپت‌های JS یا میانبرهای LNK بوده است.

نمونه هایی از این ایمیل ها در تصاویر زیر قابل مشاهده است:

 

 

در صورت به دام افتان قربانی و اجرای فایل پیوست ایمیل، بدافزار Silence.Downloader (که با نام TrueBot نیز شناخته می‌شود) بر روی دستگاه نصب و در ادامه از طریق آن کد مخرب اصلی با عنوان Silence.Main از سرور فرماندهی (C2) دریافت و اجرا می‌شود. در مواردی این فرایند در قالب موسوم به Fileless بوده و Ivoke که یک دریافت‌کننده (Download) مبتنی بر PowerShell است بر روی دستگاه اجرا می‌شود.

با استقرار Silence.Main دستگاه به تسخیر مهاجمان در آمده و سپس با استفاده از ابزارهای زیر امکان برقراری ارتباط با سرور فرماندهی فراهم می‌شود:

مهاجمان برای مدتی با صبورانه و به آرامی با تصویربرداری و ضبط ویدئو اقدام به استخراج اطلاعات و یادگیری روش کار در بانک قربانی می‌کنند. هدف، دستیابی به دستگاه‌های خودپرداز متصل به شبکه بانک و در اختیار گرفتن کنترل آنهاست.

پس از کشف هر دستگاه خودپرداز در شبکه، نفوذگران از بدافزار Atmosphere برای کنترل فرایند خروج پول از دستگاه بهره می‌گیرند.

این مهاجمان، مبالغ را از طرق مختلفی از دستگاه خودپرداز برداشت می‌کنند. از جمله، برداشت، توسط افراد اجیرشده که اصطلاحاً به آنها قاطر پول (Mule) گفته می‌شود. در یکی از این نمونه‌ها تصاویر دوربین‌های مدار بسته نشان می‌دهد که قاطر پول پیش از برداشت، اقدام به برقراری یک تماس تلفنی می‌کند. پس از هر تماس، فرمانی به دستگاه ارسال می‌گردد که موجب خروج پول از آن می‌شود. تصاویر زیر افرادی را نشان می‌دهند که در جریان حمله گروه Silence به بانک Dutch-Bangla در کشور بنگلادش نقش قاطر پول را ایفا کرده بودند.

تنها در حمله به یکی از بانک‌ها، مهاجمان موفق به سرقت 3 میلیون دلار از آن شدند.

بررسی کد بدافزارها و ابزارهای مورد استفاده این گروه، از روسی‌زبان بودن گردانندگان Silence حکایت دارد.

متأسفانه این اخبار مانند فیلم‌های جیمزباندی تخیلی نیستند. این‌گونه حملات می‌تواند هشداری باشد به تمامی مؤسسات مالی و بانکی داخل کشور که علاوه بر بکارگیری نرم‌افزارها و تجهیزات امنیتی به‌روز، آموزش کارکنان را نیز مدنظر قرار دهند.

بدافزارهای مورد استفاده توسط Silence که در این گزارش به آنها پرداخته شده با نام‌های زیر قابل شناسایی هستند:

Bitdefender

 

McAfee

 

Sophos

 

لازم به ذکر است که در این گونه کارزارهای هدفمند، مهاجمان، در هر حمله، معمولاً از بدافزارهای خاص، با امضایی متفاوت از نمونه‌های قبلی بهره می‌گیرند. لذا استفاده از راهکارهای پیشرفته‌ای همچون McAfee Threat Intelligence Exchange جهت شناسایی نمونه‌های جدید و ناشناخته می‌تواند نقشی اساسی در کشف زودهنگام این حملات هدفمند داشته باشد.

خروج از نسخه موبایل