هشدار شرکت پاندا به وزارت نفت: حملات بعدی سایبری در راه است

هشدار شرکت پاندا به وزارت نفت: حملات بعدی سایبری در راه است

اما با اين حال، طبق تاييد مسوولان وزارت نفت، عامل اصلي بروز مشكلات فعلي در اين وزارتخانه، نفوذ يك ويروس رايانه& اي موسوم به «وايپر» در شبكه داخلي اين مركز بزرگ سازماني اعلام شده است. پايگاه اطلاع& رساني امنيت فضاي تبادل اطلاعات در اين& باره گزارش مي& دهد كه در ابتدا وجود اين ويروس به علت فعاليت& هاي تخريبي كه براي آن بيان شد (مانند سوزاندن مادربورد يا پاك كردن غيرقابل بازگشت هاردديسك در محيط ويندوز) توسط بسياري از كارشناسان مورد تاييد قرار نگرفت اما تحقيقات فني تازه& اي كه توسط شركت ايمن رايانه، نماينده رسمي و انحصاري شركت امنيتي & Panda Security در ايران انجام شده، نشان مي& دهد كه نفوذ ويروس «وايپر» يا دست& كم نفوذ ويروس ديگري با عملكردهاي كاملا شبيه به «وايپر» به برخي مراكز سازماني كشور امكان& پذير بوده است.
جالب اينجاست كه طيفي از سازمان& ها تابعه وزارت نفت ايران كه به نرم& افزارها يا سخت& افزارهاي امنيتي شركتPanda Security يا برخي ديگر از نرم& افزارهاي ضد ويروس مجهز بوده& اند، با اختلال& هاي ناشي از ويروس وايپر مواجه نشده& اند. بر اساس گزارش& هاي تاييدشده، تنها بخش& هايي از اين وزارتخانه آلوده شده& اند كه از «يك نوع خاص از برنامه& هاي ضدويروس» استفاده مي& كرده& اند. به همين دليل شايبه وجود حفره& هاي امنيتي اصلاح& نشده در اين نوع ضدويروس كه در رسانه& هاي معتبر جهان منتشر شده بود، قوت بيشتري يافته است.
از طرف ديگر، نشريه معتبر Virus Bulletin در شماره اكتبر 2011 (آبان 1390) خود از پراكندگي نسبتا وسيع يك ويروس عجيب و غريب تنها در كشور «كوبا» خبر داد. جالب اينكه هيچ كدام از ضدويروس& ها به جز يكي، حملات «موفقيت& آميز» اين ويروس را تاييد يا منتشر نكرده& اند! روند گزارش& دهي نيز به نحوي است كه گويا فقط كامپيوترهاي مجهز به همين ضد ويروس به صورت هدفدار مورد حمله واقع شده& اند. اين ويروس كه در آن زمان، W32/VRBAT نامگذاري شد، تنها در عرض چند روز، هزاران هاردديسك را فقط در محدوده كشور كوبا از كار انداخت و سپس به طور ناگهاني كاملا محو شد. بررسي دقيق رايانه& هاي آلوده، در ابتدا نتيجه& اي را به& دست نداد. اما اندكي بعد يك نقطه اشتراك ميان تمام آنها يافت شد: تمامي حافظه& هاي جانبي متصل& شده به اين رايانه& ها، حاوي يك فايل اجرايي با عنوان USBCheck. exe بودند كه بعدها به عنوان عامل اصلي تخريب معرفي شد.
شركت ايمن رايانه، با همكاري شركت پاندا، موفق شد تا نمونه& اي از ويروس& W32/VRBAT را به& دست آورد و با بررسي رفتار و عملكرد اين ويروس در لابراتوارهاي ضدبدافزار خود، به نتايج بسيار جالبي دست پيدا كرد كه تا حد زيادي پرده از راز ويروس حمله& كننده به وزارت نفت برمي& دارند. كاربراني كه از برنامه& هاي ايمن& ساز پورت& هاي يواس& بي، مثل نرم& افزار Panda USBVaccine استفاده نمي& كنند، به محض اتصال حافظه& هاي جانبي حاوي USBCheck. exe هدف حمله ويروس W32/VRBAT قرار مي& گيرند. در صورتي كه كاربر سطح دسترسي بالايي در شبكه نداشته باشد، اين ويروس، خود را در فولدر temp قرار داده و تمام حافظه& هاي جانبي متصل& شده به سيستم را تا زمان حصول دسترسي مديريتي آلوده مي& كند. اما در صورت اجراي ويروس با دسترسي سطح بالا، ويروس خود را به فولدر Windows و با نام svchost. exe منتقل مي& كند. اكنون پس از يك دوره خاموش كه ويروس در آن تنها اقدام به انتشار خود از طريق حافظه& هاي جانبي محافظت& نشده مي& كند، مرحله بعدي تخريب آغاز مي& شود: ايجاد تغيير در فايل& هاي حياتي سيستم مانند Ntldr، Bootmgr و نيز كپي كردن دو فايل ديگر با عنوان roco. sys وroco. bin در پارتيشن نصب ويندوز، بستر را براي ضربه نهايي آماده مي& كند. حال وقتي در آخرين مرحله، رايانه خود را روشن مي& كنيد، به جاي سيستم عامل فعلي شما، يك سيستم عامل ديگر توسط ويروس
& WIN32/VRBAT فعال (Boot) مي& شود.
در اين سيستم عامل ساده هر دستوري كه فكرش را بكنيد قابل اجراست؛ قفل كردن هاردديسك يا فرمت كردن، پاك كردن و حتي حذف كامل (wipe) اطلاعات. البته در كشور كوبا منتشركننده& هاي ويروس تنها هاردديسك& هاي هدف را با استفاده از گذاشتن رمز عبور روي آن قفل كردند و نكته جالب اينكه رمز عبور هر كدام از هارد ديسك& ها نيز شماره سريال آنها تعريف شده بود. يعني در نهايت هيچ خطر يا تهديد خاصي متوجه هيچ كدام از رايانه& هاي آلوده نشد و در عمل شاهد هيچ& گونه اختلالي نبوديم. اما آيا ويروس VRBAT تنها براي ضربه زدن به يك يا چند برند خاص ضدويروس طراحي، توليد و منتشر شده است؟ مي& توان فرضيه بسيار قدرتمندتري را نتيجه گرفت: حمله صورت& گرفته در كشور كوبا را مي& شود نوعي تمرين و آزمايش (بخوانيد رزمايش) براي حمله يا حملات بعدي به اهداف مهم و استراتژيك كشورهاي ديگر جهان از جمله ايران در نظر گرفت.
تمام بررسي& هاي فني صورت& گرفته روي كد منبع ويروس W32/VRBAT، شباهت فوق& العاده ميان عملكرد آن با عملكرد ويروس موسوم به «وايپر» را نشان مي& دهد و يك فرضيه قدرتمند ديگر را نيز مطرح مي& كند كه W32/VRBAT پدر ويروس «وايپر» است. حالا با هدف قرار گرفتن بزرگ& ترين وزارتخانه اقتصادي كشور، بايد هشدارهاي لازم به تمام بخش& هاي حساس و استراتژيك، شركت& هاي كوچك تا متوسط و حتي كاربران خانگي در جهت آمادگي براي مقابله با اين تهديدهاي خاموش و خزنده داده شود و راهكارهاي حفاظتي موثري هم براي پيشگيري از نفوذ اين& گونه بدافزارهاي مخرب و هدفدار در نظر گرفته شود.