حمله «بیگ بنگ» به خاورمیانه!

مرکز افتا هشدار داد

حمله «بیگ بنگ» به خاورمیانه!

مرکز مدیریت راهبردی فضای تولید و تبادل اطلاعات ریاست جمهوری نسبت به حمله یک گروه جاسوسی سایبری پیشرفته با نام «بیگ بنگ» که منطقه خاورمیانه را هدف قرارداده است، هشدار داد.

محققان از اوایل سال ۲۰۱۷ حملاتی را ردیابی کرده‌اند که در آن از بدافزار ناشناخته استفاده شده و به نظر می‌رسد دارای مقاصد خاص از لحاظ جغرافیایی باشند و هدفشان جاسوسی و دستیابی به نهادهای قانونگذاری، اجرایی و قضایی در سراسر جهان است.

حالا این بار نوبت به گروه BigBang رسیده است!

هشدار افتا

در چند هفته گذشته، تیم امنیتی Check Point یک گروه جاسوسی APT (گروه تهدید سایبری پیشرفته) را کشف کرده است که حملاتی را علیه نهادهایی در سراسر خاورمیانه، انجام داده است.

مرکز مدیریت راهبردی افتای ریاست جمهوری در این باره اعلام کرد: این حملات با ارسال ایمیل‌های فیشینگ به اهداف انجام می‌شود که ایمیل‌‌ها حاوی یک فایل پیوست آرشیو self-extracting و شامل دو فایل است: یک سند Word و یک فایل اجرایی مخرب. سند Word قربانی را منحرف می‌کند تا بدافزار در پس‌زمینه سیستم نصب شود.

نقشه نابودی به سبک BigBang

۱٫ از سیستم قربانی اسکرین‌شات تهیه می‌کند و آن را به سرور C&C ارسال می‌کند.

۲٫نام و شناسه‌های فرایندهای پردازشی در حال اجرا را در فایلی با نام sat.txt ذخیره و آن‌ را به سرور ارسال می‌کند.

۳٫لیستی از فایل‌های doc، odt، xls، ppt، pdf و… قربانی را ارسال می‌کند.

۴٫یک فایل با پسوند txt را از یک آدرس اینترنتی دانلود می‌کند و پس از تغییر پسوند آن به exe، آن‌ را اجرا می‌کند.

۵٫جزییات سیستم را به ‌صورت لاگ به سرور ارسال می‌کند.

۶٫سیستم را Reboot می‌کند.

۷٫یک فرایند پردازشی را براساس نام آن متوقف می‌کند.

۸٫بدنه را از startup حذف می‌کند و همچنین فایل اصلی آن را نیز پاک می‌کند.

۹٫فایل اجرایی بدافزار را به‌صورت خودکار پاک می‌کند.

۱۰٫لیستی از پارتیشن‌های موجود در سیستم قربانی را به سرور ارسال می‌کند.

سابقه حملات شبیه BigBang

هدف اصلی این حملات که BigBang نام گرفته است، هنوز مشخص نیست، اما واضح است که مهاجم پس از جمع‌آوری اطلاعات، مرحله دوم حملات را آغاز خواهد کرد.

گروه Talos در ماه ژوئن سال ۲۰۱۷، حملات دیگری از این گروه APT را کشف کرد و پس از آن تاکنون حملات وسیعی از این گروه گزارش نشده است. اما حمله BigBang دارای قابلیت‌ها و زیرساخت‌های تهاجمی بهبود یافته‌ای است.

نمونه‌های اولیه این حملات در اواسط ماه آوریل سال جاری مشاهده شده است، اما به کمک خبرهای استفاده شده در اسناد می‌توان دریافت که شروع حملات به مارچ ۲۰۱۸ برمی‌گردد.

ماهیت بد افزار!

بدافزار استفاده شده در این حملات، نسخه بهبود یافته از بدافزاری است که در سال گذشته مورد استفاده قرار گرفته است. بدافزار با زبان C++ نوشته شده است و به‌صورت یک فایل اجرایی self-extracting بسته‌بندی شده است.

نام فایل اجرایی DriverInstallerU.exe است، اما metadata آن نشان می‌دهد که نام اصلی فایل Interenet Assistant.exe است. پس از اجرای این فایل، ماژول‌های بدافزار پس از برقراری ارتباط با سرور C&C فعال می‌شوند.

باید اشاره کرد که این حملات براساس تجربه قبلی این گروه APT در سال گذشته انجام گرفته است و قابلیت‌ها و کاربران هدف آنها افزایش یافته است. مقاصد اصلی حملات مشخص نیست اما مرحله بعدی حملات در آینده صورت خواهد گرفت.

IOC‌ها (هش فایل‌های مربوط به حمله)

a۲۱۰ac۶ea۰۴۰۶d۸۱fa۵۶۸۲e۸۶۹۹۷be۲۵c۷۳e۹d۱b

۹۹۴ebbe۴۴۴۱۸۳e۰d۶۷b۱۳f۹۱d۷۵b۰f۹bcfb۰۱۱db

۷۴ea۶۰b۴e۲۶۹۸۱۷۱۶۸e۱۰۷bdccc۴۲b۳a۱۱۹۳c۱e۶

۵۱۱bec۷۸۲be۴۱e۸۵a۰۱۳cbea۹۵۷۲۵d۵۸۰۷e۳c۲f۲

۹e۰۹۳a۵b۳۴c۴e۵dea۵۹e۳۷۴b۴۰۹۱۷۳۵۶۵dc۳b۰۵b

دامنه‌های مربوط به حمله

lindamullins[.]info

spgbotup[.]club

namyyeatop[.]club

namybotter[.]info

sanjynono[.]website

exvsnomy[.]club

ezofiezo[.]website

hitmesanjjoy[.]pro