اخیرا اخبار درز سورس کد 1 (Source code) گروه هکری Carbanak در رسانه های مختلف منتشر شد. محققان امنیتی سورس کد این بدافزار مشهور را روی پورتال VirusTotal پیدا کرده اند. تا به امروز Carbanak به عنوان موفق ترین تهدید اینترنتی مالی شناخته شده و توانسته حدود 1 میلیارد دلار خسارت مالی به بار بیاورد.
نگاهی به تاریخچه ی Carbanak
این گروه اولین بار در سال 2014 توسط کارشناسان کسپرسکی کشف شد. آن ها در بررسی چندین فقره سرقت پول از عابربانک متوجه شدند این جرایم با هم مرتبط هستند. دزدها یک کمپین بزرگ بین المللی با هدف سرقت مقدار زیادی پول از بانک های مختلف در سراسر جهان تشکیل داده بودند. در ابتدا تمرکز کارشناسان فقط روی کشور های شرق اروپا بود، ولی چیزی نگذشت که قربانیانی از آمریکا، آلمان و چین پیدا شدند.
مانند بسیاری از حملات دیگر، این کمپین هم با فیشینگ هدفدار آغاز شد. در این مورد قربانی با ایمیلی آلوده به فایل های ضمیمه ی مخرب مواجه می شد. این فایل ها یک بک دور 2 (Back Door) برگرفته از بدافزار Carberp روی سیستم نصب می کردند که ورود به شبکه ی سازمان هدف (بانک ها) را فراهم می نمود. سپس هکرها با دستکاری کامپیوتر ها می توانستند پول برداشت کنند.
مجرمان برای رسیدن به پول راه های مختلفی داشتند. در بعضی موارد از راه دور به دستگاه های خودپرداز دستور می دادند پول نقد بپردازند و بعد دستیارانشان آن ها را جمع آوری می کردند. گاهی اوقات، از سیستم SWIFT برای انتقال مستقیم پول به حساب خودشان استفاده می کردند. از آنجا که این روش ها در سال 2014 خیلی متداول نبودند، Carbanak با استفاده از این گونه تکنولوژی ها، بانک ها و صنعت امنیت سایبری را دچار شوک بزرگی کرد.
در آینده چه اتفاقی خواهد افتاد؟
از زمان کشف Carbanak، متخصصان ما شاهد حملاتی (مانند Silence) بوده اند که از روش هایی مشابه روش Carbanak استفاده می کردند. همچنین علائمی حاکی از ادامه ی فعالیت گروه Carbanak وجود داشت. اما امروز با منتشر شدن سورس کد Carbanak به صورت عمومی، بیش از پیش شاهد این گونه حوادث خواهیم بود. حالا حتی خلافکارانی که مهارت های کدنویسی لازم برای تولید بدافزار های پیچیده را ندارند از آن بهره می برند. محقق لابراتوار کسپرسکی، سرگئی گولوانوف، که از ابتدا این کیس را در دست بررسی داشته، می گوید:
"قرار گرفتن سورس کد بدافزار مشهور Carbanak روی یک وب سایت اپن سورس نشانه ی بدی است. در واقع خود Carbanak نیز بعد از منتشر شدن سورس کد بدافزار Carberp به وجود آمد. اینطور که پیداست این سناریو قرار است بارها و بارها تکرار شود و ما در آینده شاهد نسخه های خطرناک تری از Carbanak خواهیم بود. خوشبختانه صنعت امنیت سایبری اخیرا پیشرفت چشمگیری داشته است و به راحتی می توان کد های تغییر یافته را تشخیص داد. ما از شرکت ها و افراد می خواهیم با یک راهکار امنیتی قوی خودشان را در برابر این تهدید و تهدیدات آینده ایمن کنند."
چگونه ایمن بمانیم؟
برای محافظت از خود در برابر تهدیدهایی همچون Carbanak، بهتر است توصیه های زیر را جدی بگیرید:
- فاکتور های هوش تهدید (Threat intelligence feeds 3 ) را با نرم افزار مدیریت وقایع و امنیت اطلاعات (SIEM 4 ) و کنترل های امنیتی دیگر ادغام کنید تا به مرتبط ترین و به روز ترین اطلاعات مربوط به تهدیدات دسترسی داشته و در برابر آن ها آماده باشید. برای مقابله با چنین تهدیدات پیشرفته ای، طبیعتا باید در مورد آن ها و اینکه به دنبال چه می گردند به خوبی بدانید. Threat intelligence feeds این اطلاعات مهم را برای شما فراهم می کنند.
- برای محافظت از اندپوینت ها و پیشگیری به موقع از حوادث، از راهکارهای EDR مانند Kaspersky Endpoint Detection and Response استفاده کنید. تشخیص فعالیت های شبه Carbanak روی یک اندپوینت نیازمند واکنش فوری ست، اینجاست که راهکار های EDR به کارتان می آیند.
- علاوه بر به کارگیری روش های حفاظت از اندپوینت، از یک راهکار امنیتی سازمانی مانند Kaspersky Anti Targeted Attack Platform استفاده کنید تا تهدیدات پیشرفته ی شبکه را در مراحل اولیه تشخیص دهد.
1- سورس کد (کد منبع): در برنامه نویسی کامپیوتر، به ورژن متنی هر نرم افزار سورس کد می گویند. کد منبع مجموعه ای از دستورالعمل هایی ست که کامپیوتر آن ها را اجرا می کند.
2- بک دور: یک روش پنهانی برای دور زدن اهراز هویت یا رمزنگاری در یک سیستم کامپیوتری، محصول یا مودم خانگی ست.
3- Threat intelligence feeds به اطلاعاتی گفته می شود که یک سازمان برای شناختن تهدیدات امنیتی اش به آن نیاز دارد. سازمان ها از این اطلاعات برای پیشگیری از تهدیدات سایبری استفاده می کنند.
4- SIEM: نرم افزار های "مدیریت وقایع و امنیت اطلاعات" از دستگاه های مختلف یک شبکه اطلاعات جمع آوری می کنند و با بررسی آن ها، الگوی هر گونه فعالیت غیرطبیعی را شناسایی می کنند. در انتها این اطلاعات برای استفاده های بعدی ذخیره می شوند. یک SIEM به سازمان کمک می کند تا تهدیدات خارجی و داخلی را شناسایی کرده و فعالیت کاربران و دسترسی به منابع را کنترل کند.
