تحلیل حمله فلج کننده Wiper به زیرساخت‌های حیاتی کشور توسط تیم CSIRT شرکت امن‌پردازان کویر

در این راستا تیم پاسخ به رخداد (CSIRT) شرکت امن پردازان کویر (APK) با استفاده از اطلاعات منتشر شده از این حمله توسط محققان شرکت Sentinel به تشریح ابعاد پیچیده آن پرداخته و ضمن آگاهی بخشیِ تیم­‌های پاسخ به رخداد سازمان­‌ها نسبت به زنجیره انجام این حمله، به ارائه راهکارهایی مبنی بر تشخیص آلودگی احتمالی در زیرساخت‌های اطلاعاتی می‌پردازد.

زنجیره حمله Meteor

و با توجه به مستندات موجود، این حمله با نام “Meteor”  شناخته شده است و تحقیقات در مورد ابعاد مختلف این حمله همچنان در حال انجام است. شکل زیر زنجیره گام­‌های انجام شده را بیان می­‌کند. در این حمله از طیف وسیعی از برنامه­‌های اجرایی (exe.)، اسکریپت­‌ها (bat.) و فایل­های Config استفاده شده است.

شکل ۱: گام­‌های حمله Meteo

گام اول: بارگذاری فایل Setup.bat و انتشار آن در شبکه

ابتدا مهاجم با قرار دادن فایل setup.bat در سرور دامین و با سوء استفاده از Group Policy اقدام به اجرای این فایل در سطح شبکه می­کند. فایل setup.bat به عنوان اولین جزء حمله، مسئولیت کپی و انتقال سایر فایل­های لازم برای انجام حمله را بر عهده دارد. این فایل ابتدا یک Task برنامه‌ریزی‌شده به نام AnalyzeAll را از مسیر دایرکتوری \Microsoft\Windows\Power Efficiency Diagnostics\ حذف کرده، سپس اقدام به انتقال یک فایل با فرمت cab. در سطح شبکه می­‌کند. فایل انتقال داده شده شامل سه فایل programs.rar ، update.bat و Rar.exe است.

گام دوم: اجرای فایل update.bat

فایل update.bat یک اسکریپت Batch است که وظیفه انتقال و بازگشایی سایر فایل‌­های حمله را بر عهده دارد و با فراخواندن اسکریپت‌های Batch پشت سر هم، سایر گام‌­های حمله را هدایت می‌کند. فایل update.bat با سه آرگومان رمز عبور hackemall، مسیرهای مربوطه و فایل Payload (env.exe) اجرا می­‌گردد در صورت عدم استفاده از Payload، اسکریپت سعی می‌کند فایل msapp.exe را اجرا کند. فایل­­های env.exe و msapp.exe فایل­­‌های اجرایی جهت انجام Payload حمله  Wiper Meteor است.

                                        شکل۲: اجرای فایل update.bat

در فایل Update.bat از اسکریپت­‌های bat. و برنامه­‌های اجرایی استفاده شده است. در شکل زیر فایل‌­ها و برنامه‌هایی که داخل فایل update.bat فراخوانی و اجرا می­‌شود نشان داده شده است.

شکل ۳: فایل­‌هایی که داخل فایل Update.bat فراخوانی می­‌شود.

در فایل update.bat فایل­‌های آرشیوی با نام­‌های ms.rar، bcd.rar  وprograms.rar با استفاده از برنامه Rar.exe که توسط خود مهاجم فراهم شده است و با رمز عبور «hackemall» از حالت فشرده، خارج می­‌شوند.

گام سوم: اجرای فایل Cache.bat به منظور آماده‌­سازی و پاک­سازی

فایل cache.bat بر روی پاکسازی موانع و آماده­‌سازی زمینه برای عناصر بعدی با استفاده از PowerShell تمرکز دارد. در این فایل ابتدا دستگاه آلوده از شبکه جدا و بررسی می­‌شود که آیا آنتی‌ویروس کسپرسکی روی دستگاه نصب شده است یا خیر و در صورت نصب بودن آنتی‌ویروس بر روی دستگاه، به اجرای اسکریپت خاتمه داده می­‌شود. در غیر این صورت اقدام به ایجاد یک لیست exclusions  در سرویس Windows Defender برای اجرای بدون موانع گام‌­های بعدی حمله می­‌نماید.

شکل ۴: لیست Exclusionهای انجام شده در سرویس Windows Defender

سپس مهاجم از طریق دستور wevtutil اقدام به پاک کردن لاگ­‌های مربوط به کانال­‌های Application، Security و System در سامانه­‌ها کرده و در پایان با استفاده از فایل sync.exe محتویات حافظه cache را به صورت دستی بر روی دیسک سخت انتقال می‌دهد.

گام چهارم: اجرای فایل bcd.bat به منظور خرابکاری در فرآیند بوت

در ادامه فایل Update.bat با فراخوانی فایل bcd.bat اقدام به غیرفعال‌کردن قابلیت بوت‌شدن دستگاه و پاک‌کردن تمام لاگ­‌های ایجاد شده می­کند. به منظور غیرفعال‌کردن قابلیت بوت‌شدن دستگاه، bcd.bat یک فایل boot.ini جایگزین ایجاد کرده و نسخه سیستم boot.ini را رونویسی می­کند، متاسفانه با این اقدام، دیگر امکان بوت مجدد دستگاه وجود نخواهد داشت.

شکل ۵: بازنویسی فایل boot.ini توسط فایل bcd.bat

گام پنجم: اجرای فایل msrun.bat جهت پیاده‌سازی payload حمله

بعد از اجرای فایل bcd.bat فایل update.bat اقدام به بازگشایی فایل ms.rar کرده که با آن فایل­‌های ،mssetup.exe msconf.conf ،mscap.bmp ،mscap.jpg ،mssetup.reg و msuser.reg در دسترس قرار می­‌گیرند. فایل­‌های تصویری، تصاویری هستند که بر روی تابلوی اعلانات نمایش داده شده است.

شکل ۶: تصویر فایل mscap.jpg

سپس فایل update.bat فایل msrun.bat را فراخوانی کرده و با استفاده از آن به پیاده‌­سازی گام نهایی و اجرای payload حمله می­‌پردازد. فایل msrun.bat اقدام به اجرای برنامه msapp.exe در قالب یک ScheduledTask به نام mstask می‌­نماید. اجرای برنامه  msapp.exe سبب قفل شدن سیستم و تغییر رمز عبور آن می‌شود.

روش مقابله و پاک‌سازی سیستم

• انجام عملیات Hunting جهت بررسی و اطمینان از عدم آلودگی احتمالی
• تمامی دسترسی­‌های سطح ادمین به اکتیودایرکتوری سازمان مورد بازبینی مجدد قرار گیرد و تمامی پسوردهای اکانت­‌های ادمین تغییر کند.
• بررسی و بازبینی مجوزهای دسترسی Root به سیستم­‌عامل­‌ها و تغییر تمامی پسوردها
• بررسی فرآیند پشتیبان­‌گیری آفلاین از سامانه­‌ها و اطمینان از صحت آن­ها

در پایان شرکت امن پردازان کویر در راستای ایجاد سازمان امن، آمادگی لازم جهت اعزام تیم‌ پاسخ به رخداد (CSIRT) جهت بررسی و تشخیص آلودگی احتمالی و انجام عملیات Hunting در سازمان‌­ها را دارد.

در صورت تمایل به کسب اطلاعات بیشتر، درخواست دمو یا مشاوره، نسبت به تکمیل فرم مورد نظر اقدام فرمایید.