بر نا رفیقان شرم باد: لو رفتن عملیات اکتبر قرمز/جاسوسی سایبری علیه دیپلماتهای جهان و ایران

۱۳۹۱ دی ۲۸, پنجشنبه

لو رفتن عملیات اکتبر قرمز/جاسوسی سایبری علیه دیپلماتهای جهان و ایران

لو رفتن عملیات اکتبر قرمز/جاسوسی سایبری علیه دیپلماتهای جهان و ایران

کسپرسکی اعلام کرد شبکه بزرگ جاسوسی سایبری علیه دیپلماتهای جهان از جمله ایران را کشف کرده است.

کشورهای عضو شوروی سابق و کشورهای آسیای مرکزی و خاورمیانه هدف اصلی این عملیات بوده اند که ظاهرا هنوز ادامه دارد.

جمع آوری اطلاعات حساس از تلفن های موبایل، سیستم های کامپیوتری و لپ تاپ و پی سی مستقر در سفارتخانه ها و نیز سرورها و تجهیزات شبکه نا امن ؛ کار اصلی این عملیات سایبری-جاسوسی بوده است.

اطلاعات جمع آوری شده به سرورهای موسوم به command-and-cintrol (شبیه آنچه در بدافزار فلیم کشف شد) ارسال می شود.

بدافزار از طریق ایمیل و فیشینگ به اهداف از پیش تعیین شده و دقیق ارسال می شوند که با کلیک روی لینکهای جعلی بدافزار روی سیستم قربانی نصب می شود. از سه اکسپلویت موجود روی مایکروسافت اکسل و ورد سوء استفاده می شود. تروجان نصب شده شروع به جستجو برای سیستم های آسیب پذیر روی شبکه می کند.

عملیات با فایلهای .dll انجام شده و در نهایت بعد از ارسال به سرور حمله کننده، سعی می شود ردپاها از بین رود.

کارهای اصلی تحت one-time به شرح زیر است:

- انتظار برای فایل پی دی اف و سایر اسناد تا کد مخرب داخل آن هنگام ذخیره شدن، جاسازی شود.

- ایجاد کانال ارتباطی جدید با سرور حمله کننده

- ساخت تصویر از هر نوع حرکت کیبورد و ... به صورت اسکرین شات

- بازخوانی ایمیل ها و فایل های ضمیمه

- جمع آوری اطلاعات کلی نرم افزار و سخت افزار

- ذخیره پسورد از روی مرورگرهای کروم، اینترنت اکسپلورر،فایرفاکس و اپرا و نیز هیستوری مرورگرها

- گرداوری هش ویندوز hashes

- گرداوری اطلاعات اکانت آتلوک مایکروسافت

- جمع آوری و جاسوسی از دستگاههای سیسکو

- نه تنها فایلهای رمز گذاری شده را می خواند و می برد بلکه فایلهای دیلیت شده را نیز جستجو کرده و با خود می برد.

مانند پلاگین به مایکروسافت ویندوز می چسبد و ظاهر شدن آلودگی را از بین می برد. دسترسی به دیتابیس ایمیل ها، سرقت اطلاعات از روی سرورهای اف تی پی و هاردهای اکسترنال از دیگر کارهای این بدافزار است که طی جاسوسی سایبری از سرورها و لپ تاپ های دیپلماتها و مقامات کشوری و لشگری انجام می دهد.

بیش از 60 سرور در کشورهای مختلف برای جاسوسی اختصاص داده شده است که سیستم های قربانی اطلاعات خود را روی این 60 سرور ارسال می کرده اند. کسپرسکی از روی دومین سرورها حدس می زند که عملیات مذکور قدمتی 5 ساله دارد.

کسپرسکی می گوید اطلاعات اغلب ژئوپلیتیک به سرقت رفته به درد حکومتها می خورد تا افراد. همچنین ممکن است این اطلاعات بعدا به صورت مبادله ای در قبال دریافت پولهای هنگفت، به خریدار منتقل شود.

شبکه ای از اطلاعات سرقت رفته برای استفاده های بعدی هکرها به صورت دیتابیس واحد برداشت می شود؛ یک شبکه کامل جاسوسی با آنالیز لحظه ای از رخدادهای سیاسی- دیپلماتیک در کشورهای مورد نظر.(39 کشور مورد حمله قرار گرفته شده منهای چین)

کسپرسکی معتقد است هکرها و طراحان عملیات اکتبر قرمز و بدافزار روس زبان هستند چرا که ایمیل افرادی هم که اطلاعات به آنها بزا می گردد روس بوده و زبان روسی بیس برنامه نویسی بدافزاری آنها بوده و اکسپلویتها به زبان چینی هستند.

اولین گزارش از عملیات اکتبر قرمز توسط منابع ناشناس در اکتبر 2012 به کسپرسکی داده شده است.