مسیریابهای میکروتیک تحت تأثیر جاسوسافزار Slingshot
محققان امنیتی در کسپرسکی یک گروه هکر APT را شناسایی کردهاند که از سال ۲۰۱۲ فعالیت میکنند، و به خاطر استفاده از تکنیکهای هوشمندانه و پیچیده تا کنون شناخته نشدهاند.
این گروه هک از از یک بدافزار پیشرفته_ به نام dubbed Slingshot_ استفاده کردهاند که از طریق هک روترها، صدها هزار قربانی را در آفریقا و خاورمیانه آلوده نموده است.
بر اساس یک گزارش ۲۵ صفحهای منتشر شده توسط کسپرسکی، این گروه آسیبپذیریهای ناشناخته در روترهای میکروتیک را اکسپلویت نموده تا به طور مخفیانه جاسوسافزارهای خود را به کامپیوترهای قربانی بفرستند.
اگرچه هنوز مشخص نیست این گروه چگونه به روترها آسیب میزند، اما کسپرسکی به WikiLeaks Vault 7 CIA Leaks که اکسپلویت ChimayRed را فاش نمود اشاره کرده است، که در حال حاضر نیز برای تسخیر روترهای میکروتیک بر روی گیتهاب در دسترس است.
هنگامی که روترها تسخیر شدند، مهاجمان یکی از فایلهای DDL آن را با یک فایل مخرب جایگزین میکنند، و به این ترتیب زمانی که کاربر نرمافزار Winbox Loader را اجرا میکند به طور مستقیم در حافظهی کامپیوتر قربانی بارگذاری میشود.
Winbox Loader یک ابزار مدیریت قانونی است که توسط میکروتیک برای کاربران ویندوز طراحی شده است تا به راحتی بتوانند روترهای خود را که برخی از فایلهای DDL را از روتر دانلود کرده و آنها را بر روی یک سیستم اجرا میکنند پیکربندی نمایند.
با این روش، فایل DDL مخرب بر روی کامپیوتر هدف اجرا شده و برای دانلود payload نهایی (یعنی بدافزارSlingshot) به یک سرور راه دور متصل میگردد.
بدافزار Slingshot شامل دو ماژول است:
Cahnadr (یک ماژول مد کرنل) و GollumApp (یک ماژول مد کاربر) است که برای جمعآوری اطلاعات، ثبات و استخراج داده طراحی شدهاند.
ماژول Cahnadr، (همانطور که میدانید مانند NDriver)، قابلیتهای ضد دیباگینگ، روتکیت، شنود، تزریق سایر ماژولها، ارتباطات شبکه و اساساً هر آنچه توسط ماژولهای مد کاربر مورد نیاز است را دارا میباشد. کسپرسکی در یک پست وبلاگ منتشر شده میگوید: " Cahnadr یک برنامه مد کرنل است که که قادر به اجرای کدهای مخرب بدون فروپاشی کل فایلسیستم یا نمایش صفحه آبی میباشد." همچنین میگوید: " Canhadr/Ndriver به زبان C نوشته شده است، و با وجود محدودیتهای امنیتی دستگاه، دسترسی کامل به هارددیسک و حافظه را فراهم نموده و کنترل اجزای مختلف سیستم را به منظور جلوگیری از دیباگینگ و تشخیصهای امنیتی به دست میگیرد."
اما ماژول GollumApp یک ماژول بسیار پیچیده است که دارای طیف گستردهای از قابلیتهای جاسوسی میباشد و به مهاجمان امکان گرفتن اسکرینشات، جمعآوری اطلاعات مرتبط با شبکه، پسوردهای ذخیره شده در مرورگر، کلیدهای فشرده شده و برقرار کردن ارتباطات با سرورهای کنترل و فرمان راه دور را می‌دهد.
از آنجا که GollumApp در مد کرنل اجرا میشود، و با داشتن حق دسترسی SYSTEM میتواند پردازشهای جدید اجرا کند، بنابراین این بدافزار میتواند کنترل کامل سیستمهای آلوده را به مهاجم بدهد.
اگرچه کسپرسکی این گروه را به هیچ کشوری نسبت نداده است، اما بر اساس تکنیکهای هوشمندانهای که مورد استفاده قرار گرفته و با توجه به اهداف محدودش، به نظر میرسد که این یک گروه هک بسیار حرفهای و انگلیسی زبان است.
محققان اذعان داشتند: " Slingshot بسیار پیچیده است، و توسعهدهندگان حامی آن، وقت و هزینه را صرف ایجاد آن کردهاند. سیر آلودگی آن قابل توجه بوده و تا آنجا که ما میدانیم منحصر به فرد است."
قربانیان این گروه اغلب اشخاص و سازمان‌های دولتی از کشورهای مختلف شامل کنیا، یمن، لیبی، افغانستان، عراق، تانزانیا، اردن، موریس، سومالی، جمهوری دموکراتیک کنگو، ترکیه، سودان و امارات می‌باشند.
منبع: https://thehackernews.com/2018/03/slingshot-router-hacking.html
