به گزارش کارگروه حملات سایبری سایبربان؛ سیستم راه آهن ایران ماه جاری در پی یک حمله سایبری دچار اختلال شد و رهبر ایران را از طریق هک صفحه نمایش حمل و نقل عمومی دچار دردسر کرد.
طبق ادعای یک محقق امنیتی، در این حمله از بدافزار وایپری به نام Meteor استفاده شده است. بدافزار نام برده پیش از این هیچ جایی دیده نشده بود. ظاهرا این بدافزار برای استفاده دوباره طراحی شده است.
طبق گفته Guerredo-Saade، محقق شرکت Sentinel Systems حمله اولیه به نام MeteorExpress 9 جولای و در زمانی اتفاق افتاد که یک حمله ی وایپر سیستم راه آهن ایران را فلج کرد.
این حمله توانست سرویس را مختل کند و مسافران را برای کسب اطلاعات بیشتر از طریق صفحات نمایشگر به سوی تماس با شماره 64411 هدایت کرد. ( شماره تلفن دفتر آیت الله خامنه ای)
روز بعد، مهاجمین توانستند وبسایت و سیستم های کامپیوتر کارمندان وزارت راه و شهرسازی ایران را نیز هک کنند.
محققین SentinelLabs بخش عمده ای از حمله زنجیره ای به سیستم راه آهن ایران را بازسازی کردند و یک بدافزار وایپر جدید به نام Meteor را در آن شناسایی کردند. ظاهرا مهاجمین دخیل در این حمله نیز ناشناخته هستند. این احتمال وجود دارد که آن ها گروهی از هکرهای جدید باشند که هنوز در حال یافتن ریتم حملات خود هستند.
در مجموع، کیت ابزاری که این حمله را ترتیب داد شامل ترکیبی از فایل های بچی بود که اجزای دراپ شده متفاوتی از آرشیوهای RAR را اعمال می کرد. مهاجمین با استفاده از این فایل های بچ با موفقیت حمله را اجرایی کردند.
Meteor فایل های سیستم را بر اساس یک پیکربندی رمزنگاری شده رمز نگاری می کند، nti.exe، استاندارد MBR را دچار خرابی و mssetup.exe، سیستم را قفل می کند.
محققین توانستند فایل های زیادی را بازیابی کنند اما نتوانستند تمام این حمله را بازیابی کنند. نبود مخرب MBR مورد توجه است چون فایل های نوشته شده توسط این جزء شباهت زیادی با فایل های نوشته شده توسط باج افزار NotPetya دارند.
مهاجمین حمله کننده به راه آهن ایران همچنین اسکرین لاکر مستقلی به نام messetup.exe را مورد استفاده قرار دادند که داده های ورودی کاربر را پیش از ساخت پنجره ای تمام صفحه بر روی نمایشگر مسدود می کند و سپس کاربر را به صورت کامل از دور خارج می کند.
