حمله هکرهای چینی به سامانههای ایزوله نظامی
به گزارش کارگروه حملات سایبری سایبربان؛ بر اساس گزارش پژوهشگران ترند میکرو، یک گروه هکری به نام تروپیک تروپر (Tropic Trooper APT) که با نام «کی بوی» (KeyBoy) نیز شناخته میشود در حال حمله به شبکههای نظامی ایزوله (Air Gap) تایوان و فیلیپین است.
محققان شرح دادند تروپیک تریپر فعالیت خود را از سال 2011 آغاز کرد؛ اما اولین بار در سال 2015 شناسایی شد. این گروه در گذشته وزارتخانههای دولتها و صنایع سنگین تایوان و ارتش فیلیپین را هدف قرار داده بود. کی بوی همچنین به دفاتر دولتی، ارتشها، مراکز بهداشت، حملونقل و صنایع سطح بالا فیلیپین، هنگکنگ و تایوان حمله کرده است.
هکرها از دسامبر 2014 در حال استفاده از بدافزاری به نام «USBferry» هستند. از این بدافزار به منظور حمله سازمانهای نیروی دریایی، نهادهای دولتی، بیمارستانهای ارتش و بانکهای مرکزی بهره گرفته میشود.
در گزارش ترند میکرو آمده است:
ما به تازگی متوجه شدهایم که تروپیک تروپر محیطهای ایزوله فیزیکی ارتشهای فیلیپین و تایوان را با استفاده از USBferry مورد حمله قرار داده است. این بدافزار دارای انواع مختلفی است که با توجه به نوع هدف، دستورات مختلفی را اجرا میکند. همچنین میتواند قابلیتهای خود را به منظور پنهان ماندن و سرقت اطلاعات حافظههای ذخیرهسازی خارجی که از طریق درگاه USB به سامانهها متصل میشوند، با یکدیگر ترکیب کند. در نتیجه امکان سرقت دادههای حساس فراهم میآید.
پژوهشگران ترند میکرو اعلام کردند حملات USBferry همچنان ادامه داشته و دولت و ارتش کشورهای آسیایی را هدف قرار داده است. تروپیک تروپر در ابتدا سازمانهای نظامی یا دولتی که از امنیت پایینتری برخوردار هستند حمله کرده، سپس از آنها به عنوان یک پروکسی برای حمله به اهداف واقعی بهره میگیرند. برای مثال مهاجمان به یک بیمارستان نظامی حمله کرده و از طریق سیستمهای آن به شبکه ایزوله ارتش دست یافتند.
ترند میکرو تاکنون حداقل 3 نوع مختلف از USBferry را شناسایی کرده است. در بخش دیگری از گزارش این شرکت آمده است:
تروپیک تروپر از روشی قدیمی برای آلوده سازی استفاده میکند. در این روش فایل نصب بدافزار از طریق یک USB به سامانه ایزوله شده انتقال مییابد. آنها به واسطه یک ابزار USB بدافزار را به داخل شبکهای ایمن وارد میکنند.
هکرها به منظور نقشهبرداری از معماری شبکه هدف، از دستورهای «Tracert» و «Ping» استفاده میکنند. آنها تلاش میکنند تا تشخیص دهند که آیا سیستم آلوده به یک شبکه داخلی و درگاه ایمیل دسترسی دارد یا خیر. در صورت عدم شناسایی اتصالات شبکه، بدافزار اطلاعات را جمعآوری و در ابزار خارجی کپی میکند.
محققان همچنین متوجه شدند هکرها در حملات اخیر خود از دربهای پشتی (Backdoor) مختلفی مانند «WelCome To Svchost»، «Welcome To IDShell» و «Hey! Welcome Server» سو استفاده کردهاند.
