به گزارش کارگروه بین‌الملل سایبربان؛ موج جدیدی از حملات سایبری در روسیه در حال گسترش است زیرا مجرمان سایبری به اصطلاح «SilentCryptoMiner» را به کار می‌گیرند، یک ماینر ارز دیجیتال که به عنوان یک ابزار قانونی بای‌پس اینترنت ظاهر می‌شود.
بیش از 2000 کاربر از طریق بایگانی‌های به ظاهر بی‌ضرر و دستورالعمل‌های نصب آلوده شده‌اند که از قربانیان می‌خواهد نرم‌افزار امنیتی خود را غیرفعال کنند و سیستم‌های خود را در معرض تهدیدهای پنهان و مداوم قرار دهند.
یک ابزار بای‌پس قانونی پنهان شده
این کمپین بدافزاری از نیاز کاربران برای غلبه بر محدودیت‌های آنلاین سوء‌استفاده می‌کند. مهاجمان SilentCryptoMiner را در بایگانی‌هایی بسته‌بندی می‌کنند که به عنوان ابزارهای دور زدن بسته بازرسی عمیق (DPI) تبلیغ می‌شوند.
فایل‌های مخرب که از طریق کانال‌های محبوب یوتیوب با 60 هزار مشترک توزیع می‌شوند، کاربران ناآگاه را به این باور می‌رسانند که در حال دانلود ابزاری امن هستند که برای مقابله با بلوک‌های اینترنت طراحی شده است. در واقع، آرشیو شامل یک لودر مبتنی بر پایتون است که در نهایت بار ماینر را بازیابی می‌کند.
روش حمله و تاکتیک‌های فرار
به گفته محققان امنیت سایبری کسپرسکی (Kaspersky)، این بدافزار از ابزارهای «Windows Packet Divert» استفاده می‌کند، تکنیکی که به طور فزاینده برای توزیع بدافزار تحت پوشش نرم‌افزار مفید استفاده می‌شود.
عوامل تهدید با غیرفعال کردن برنامه‌های آنتی‌ویروس و با استناد به موارد مثبت کاذب، که تنها جای پای مهاجمان را در سیستم عمیق‌تر می‌کند، پا را فراتر گذاشتند. پس از اجرا، لودر محیط‌های «sandbox» را بررسی و حذف‌های مدافع ویندوز (Windows Defender) را قبل از راه‌اندازی ماینر پیکربندی می‌کند.
خود محموله، مبتنی بر استخراج‌کننده منبع باز «XMRig»، با داده‌های تصادفی پر شده تا به اندازه 690 مگابایت برسد که تجزیه و تحلیل خودکار توسط ابزارهای آنتی‌ویروس معمولی را پیچیده می‌کند. علاوه بر این، با استفاده از تکنیک‌های حفره فرآیند برای تزریق کد ماینر به فرآیندهای سیستم قانونی مانند «dwm.exe»، بدافزار مخفی باقی می‌ماند و از راه دور از طریق یک پنل وب کنترل می‌شود.
پیامدها و تهدیدات امنیت سایبری گسترده‌تر
این کمپین یک مطالعه موردی از نبوغ فنی و یک شاخص هشداردهنده از تحول استراتژی‌های جرایم سایبری است. فراتر از سرقت ارزهای دیجیتال، چنین حملاتی می‌تواند راه را برای بهره‌برداری بیشتر از جمله استقرار ابزارهای دسترسی از راه دور (RAT) و دزدها هموار کند. روش جعل هویت توسعه دهندگان مورد اعتماد برای دستکاری سازندگان محتوا، فریب لایه‌ای استفاده شده توسط هکرها را بیشتر نشان می‌دهد.
سازمان‌ها در هر اندازه و صنایعی باید توجه داشته باشند؛ این حمله نیاز حیاتی به بهداشت امنیت سایبری قوی، به ویژه در نظارت و فیلتر کردن دانلودها از منابع نامعتبر، را برجسته می‌کند.
آموزش کارکنان در مورد خطرات غیرفعال کردن نرم‌افزارهای امنیتی و بررسی دقیق دستورالعمل‌های نصب ناخواسته بسیار مهم است. حادثه SilentCryptoMiner نشان می‌دهد که تهدیدات سایبری دیگر محدود به حملات هدفمند نیستند، بلکه می‌توانند از فعالیت‌های معمولی ناشی شوند و نیاز به هوشیاری مداوم و اقدامات دفاعی پیشگیرانه دارند.
