ایتنا- در این حمله مجرمان کاربرانی را مورد هدف قرار می‌دادند که در فروم‌های مسکن روسیه به بحث و گفتگو می‌پرداختند و از این راه به انتخاب می‌پردازند.

ما قبلا به این واقعیت پی برده‌ایم که حمله‌های پیچیده سایبری از آسیب‌پذیری‌های روز صفر، امضاهای دیجیتال، سیستم فایل‌های مجازی، الگوریتم های رمزنگاری غیر استاندارد و سایر ترفندها استفاده می‌کنند‌ اما گاهی اوقات آن ها با وجود تمام این راه های سخت و پر دردسر، از حملات ساده تری همانند حمله ای که ما آن را چندی پیش شناسایی کردیم و آن را Microcin نامیدیم، استفاده می‌کنند.


به گزارش ایتنا از کسپرسکی آنلاین، در این حمله ما یک فایل1RTF مشکوک را کشف کردیم. این اسناد شامل اکسپلویتی شناخته شده بود و در آسیب پذیری CVE-2015-1641 پچ شده بود. به طور قابل توجهی اسناد مخرب از طریق وب سایت هایی که مخاطبان بسیار محدودی دارند، به آلودگی کاربران پرداخته بودند. به همین دلیل است که ما در ابتدا تصور می‌کردیم با یک حمله هدفمند مواجه شده‌ایم.
 

1. اکسپلویت فعال می‌شود و یک نسخه مناسب (32 یا 64 بیتی) از برنامه های مخرب بر روی کامپیوتر نصب می شود.  نصب برنامه های مخرب بر روی کامیپوتر به سیستم عامل اجرا شده بر روی سیستم وابسته است. برای انجام این نصب کد مخرب به فرآیند سیستم ‘explorer.exe’ و نه به حافظه ی آن تزریق می‌شود. برنامه مخرب دارای ساختار کوچکی است: قسمت اصلی آن در رجیستری ذخیره می‌شود و این در حالی است که ماژول‌های افزودنی آن به دنبال دستورالعمل دریافت شده از سرور C&C در حال دانلود هستند. ربودن DLL (استفاده از یک کتابخانه سیستم اصلاح شده) برای اطمینان از اینکه ماژول اصلی در هربار راه اندازی می شود یا خیر مورد استفاده قرار می‌گیرد.
   
   ماژول اصلی برنامه مخرب، دستورالعملی برای دانلود و راه اندازی ماژول‌های اضافه است که قابلیت‌های جدیدی را برای مجرمان ایجاد می‌کند.
   
    ماژول‌های افزدونی مخرب فرصت‌های بی‌نظیری هستند که کنترل سیستم قربانی، تصاویری از پنجره ها و اطلاعات مربوط به رهگیری از صفحه کلیدی که آز آن استفاده کرده‌اند را برای مجرمان فراهم می کند.
   
   ما این موارد را در سایر کمپین های جاسوسی دیگر مشاهده کردیم.
    مجرمان با استفاده از PowerSploit، یک مجموعه اصلاح شده از اسکریپت‌های PowerShell و ابزارهای مختلف به سرقت فایل ها و کلمات عبور موجود در سیستم قربانی می‌پردازند.

•   پیلود ( حداقل یکی از ماژول‌ها ) با استفاده از برخی اسپیگرافی‌های ساده تحویل داده می‌شود. در این حین همه چیز کاملا معمولی به نظر می رشد و کاربران تصور می‌کنند که دانلود یک تصویر معمولی  JPEG است. اما غافل از اینکه پیلود رمزنگاری شده بلافاصله پس از داده‌های تصویر بارگیری می‌شود.

•  یافتن حفره‌های امنیتی برای حمله با استفاده از مایکروسافت آفیس؛
   ذخیره‌سازی بی‌نظیر از مجموعه اصلی توابع مخرب همانند شل کد، پاورشل و ماژول‌های افزودنی،
   تهاجم به فرآیند سیستم بدون تزریق کد در حافظه آن؛
    DLL برای فرآیند یک سیستم به عنوان وسیله‌ای برای اطمینان از راه اندازی اتوماتیک؛

1.  اگر که زیرساخت کمپانی شما به خوبی محافظت نشده است و امنیت آن نادیده گرفته شده است، پس باید منتظر حملات پیچیده  مجرمان باشید. بی شک مجرمان از کارمندان شما برای رخنه یه سیستم های شما شروع خواهند کرد. این مرحله یک منطق بسیار ساده را دنبال می کند: منابع شخصی کارمندان همانند دستگاه‌های تلفن همراه و کامیپوترهای شخصی می‌توانند همانند دروازه ای باشد که راه را برای مجرمان با کمترین هزینه و البته بدون دردسر به اطلاعات شخصی یک شرکت و مجموعه باز می‌کند. از همین رو آموزش به کاربران در مورد تهدیدات سایبری و نحوه مقابله با آنها از اهمیت بالایی برخوردار است.

1.    که یکی از کمپین‌های بسیار مخرب است و از ابزارها و روش‌هایی استفاده می کند که شناسایی آن توسط راهکارهای امنیتی استاندارد نیز سخت و دشوار است. بسیاری از بدافزارها وجود دارند که از تکنیک‌های پیچیده‌ای برای شناسایی نشدن استفاده می‌کنند و می‌توانند تا مدت‌ها در سیستم قربانیان به فعالیت و جاسوسی بپردازند.
   
   از همین رو پیشنهاد می‌شود شرکت‌های بزرگ، سازمان‌های دولتی حتما از راهکارهای امنیتی قوی و البته مورد اعتماد به منظور محافظت در برابر حملات پیچیده مجرمان استفاده نمایند. محصولات لابراتوار کسپرسکی قادر به تشخیص حملات مداوم هستند. حتی اگر پیچیده ترین حملات رخ دهد، این راهکارها از سیستم‌ها محافظت و فورا تمامی موارد مخرب مسدود خواهند شد.