کسپرسکی در گزارش تازه‌ای از شناسایی مجموعه‌ای از بدافزارهای ناشناخته خبر داده که به گروه جاسوسی سایبری «Mirage Kitten» نسبت داده شده‌اند؛ گروهی که شرکت‌های امنیتی دیگر آن را با نام‌های UNC1549، Smoke Sandstorm و Nimbus Manticore دنبال می‌کنند.
این گروه هکری منتسب به جمهوری اسلامی است. گوگل و شرکت Mandiant نیز با «اطمینان متوسط» UNC1549 را یک گروه جاسوسی مستقر در ایران معرفی کرده‌اند و از نشانه‌هایی درباره ارتباط احتمالی آن با سپاه پاسداران سخن گفته‌اند.
بدافزار اصلی این عملیات «NightLedger» نام دارد؛ یک درِ پشتی برای ویندوز که پس از ورود به کامپیوتر، امکان کنترل مخفیانه آن را در اختیار مهاجم قرار می‌دهد. هکرها از طریق این بدافزار می‌توانند:
- مشخصات کاربر، کامپیوتر و شبکه را جمع‌آوری کنند.
- برنامه‌ها و فرمان‌های دلخواه خود را اجرا کنند.
- پوشه‌ها، فایل‌ها، درایوها و پردازش‌های فعال را بررسی کنند.
- فایل تازه‌ای روی سیستم قرار دهند یا فایل‌های موجود را کپی، سرقت و حذف کنند.
- از صفحه‌نمایش قربانی عکس بگیرند.
- پردازش‌های فعال را متوقف کنند و ابزارهای مخرب دیگری را وارد سیستم کنند.
اما خطر فقط به سرقت اطلاعات یک کامپیوتر محدود نمی‌شود. دو ابزار دیگر با نام‌های «BridgeHead» و «ArcBridge» می‌توانند دستگاه آلوده را به یک مسیر ارتباطی مخفی تبدیل کنند. به زبان ساده، هکر از کامپیوتر قربانی مانند یک تونل استفاده می‌کند تا ترافیک خود را وارد شبکه داخلی سازمان کند و به سامانه‌هایی دسترسی پیدا کند که مستقیماً از اینترنت قابل مشاهده نیستند.
این روش همچنین باعث می‌شود فعالیت مهاجم ظاهرا از داخل شبکه قربانی انجام شود؛ موضوعی که شناسایی حمله را دشوارتر می‌کند. کسپرسکی استفاده از BridgeHead را پس از نفوذ به سیستم‌هایی در مصر و یک مجموعه فعال در صنایع هوافضا و هوانوردی پاکستان مشاهده کرده است. قربانیانی در اردن، تانزانیا، اتیوپی و بورکینافاسو نیز شناسایی شده‌اند.
راه ورود این بدافزارها در بیشتر نمونه‌های تازه هنوز به طور قطعی مشخص نشده است. با این حال، سابقه این گروه یک هشدار جدی به همراه دارد:
مهاجمان خود را به جای شرکت‌های معتبر، مسئول استخدام یا برگزارکننده مصاحبه آنلاین جا می‌زنند و قربانی را به دانلود فایل آلوده می‌کشانند. صفحات جعلی ویدئوکنفرانس، آگهی‌های ساختگی استخدام و فایل‌های فشرده‌ای که ظاهراً حاوی شرح شغل یا مدارک جلسه هستند، از جمله طعمه‌های گزارش‌شده‌اند.
چگونه گرفتار این حملات هکری نشویم؟
- به پیشنهادهای شغلی ناخواسته در ایمیل، لینکدین و پیام‌رسان‌ها با احتیاط برخورد کنید.
- نام دامنه شرکت و آدرس فرستنده را حرف‌به‌حرف بررسی کنید؛ ظاهر حرفه‌ای یک صفحه، نشانه معتبر بودن آن نیست.
- برای حضور در مصاحبه، برنامه یا فایل ناشناخته دانلود نکنید.
- فایل‌های فشرده، DLL و برنامه‌های اجرایی ارسال‌شده از سوی افراد ناشناس را باز نکنید.
- درباره پیشنهاد شغلی، از طریق وب‌سایت رسمی یا شماره تماس واقعی شرکت استعلام بگیرید.
- ویندوز و نرم‌افزارهای امنیتی را به‌روز نگه دارید و ورود چندمرحله‌ای را برای حساب‌های مهم فعال کنید.
- در محیط‌های سازمانی، مشاهده ارتباطات مشکوک یا فایل‌های ناشناس باید فوراً به تیم امنیت گزارش شود.