سازندگان بدافزارهای فلیم و استاکسنت با هم همکاری داشتند
شواهد تازهای که کسپرسکیلب از آنها پرده برداشته است نشان میدهد که فلیم و نسخهی اولیهی استاکسنت کد مشترکی داشتهاند.
به گزارش سیتنا، به گفتهی محققان، وجود این کد مشترک حاکی از این است که سازندگان این دو بدافزار در ابتدا با هم همکاری داشتند و سپس در سال 2010 به راه خود رفتند.
محققان کسپرسکیلب معتقدند آنچه یافتهاند پیوند میان فلیم و استاکسنت است که هدف آن سانتریفوژهای اورانیوم در مراکز هستهای ایران بود.
بنا به اعلام کسپرسکی، جزء اصلی فلیم حاوی کدی است که به آنچه در نسخهی اولیهی استاکسنت وجود داشت شبیه است. این کشف مهم است زیرا خیلیها این سؤال را مطرح کردهاند که آیا پیوندی بین استاکسنت، دوکو- که آن نیز با استاکسنت مرتبط میشود- و فلیم وجود دارد یا خیر؟
این نکته آشکار شده است که نسخهی اولیهی استاکسنت، که کسپرسکی آن را استاکسنت A مینامد، در سال 2009 ظاهر شد و با نسخههای بعدی آن تفاوت بسیاری داشت. برای مثال، نسخهی سال 2009 برای پخش شدن از نقطه ضعف فایل MS10-046 LNK استفاده نمیکرد اما با استفاده از اتوران ترفند خاصی را به کار میبرد.
اما مهمترین تغییر آن به چیزی موسوم به "resource 207" مرتبط است؛ یک فایل 520, 192- bit DLL که در سال 2010 وقتی کد آن با اجزاء دیگری ادغام شد به کل کنار گذاشته شد.
الکساندر گاستف، رییس گروه تحلیل و تحقیق جهانی در کسپرسکیلب چنین توضیح داد: "کارکرد اصلی resource 207 تضمین این نکته بود که استاکسنت از طریق autoraun.inf به درایوهای قابل جابهجایی یواسبی راه مییابد، و علاوه بر این، از نقطه ضعفی در win32k.sys استفاده میکرد که در آن زمان ناشناخته بود و به کمک آن در مرحلهی آلوده شدن از طریق درایو یواسبی امکان استفاده از سیستم را افزایش میداد."
گاستف خاطرنشان کرد: "گسترش از طریق autorun.inf ترفند دیگری است که هم نسخهی سال 2009 استاکسنت و هم نسخههای فعلی فلیم از آن استفاده میکنند."
روئل شوئنبرگ، تحلیلگر ارشد ویروس در کسپرسکی میگوید کد مشترک مذکور ثابت میکند که بین این بدافزارها پیوند مستقیمی وجود دارد و مابین سازندگان آنها از ابتدا همکاری وجود داشته است.
او میگوید: "فکر میکنم وقتی موضوع کد مرجع مطرح باشد، احتمال آن بسیار کم است که کسی کد مرجع خود را بدون دلیل با کسی شریک شود. این کد را با هر کسی نمیتوان شریک شد."
به گزارش سیتنا (CITNA.IR)، اخیراً گزارشی در نیویورک تایمز منتشر شد که در آن منابع مختلفی اعلام کرده بودند که اوباما دستور استفاده از حملات سایبری علیه ایران را صادر کرده است. این تلاشها که مبتنی بر طرحهای تهیه شده در دوران ریاست جمهوری جرج دبلیو بوش بود با هدف جلوگیری از برنامهی هستهای ایران صورت گرفت.
به گفتهی فرانسیس سیانفروکا، مسئول ارشد اجرایی در بیشورنتورکس (Bayshore Networks) "اشارههای ضمنی به جنگ به دو دلیل جالب توجهاند. نخست، باید فرض را بر این گذاشت که عاملان متعددی – که احتمالاً شامل نیروهای حاکم نیز میشود- در این زمینه تلاش میکنند؛ و دوم، همان طور که در این مورد دیدیم، فناوری قابل انتقال است. این بدان معنی است که وقتی حملات شناخته شده و عمومی میشوند، تکنیکهای به کار رفته در آنها به آسانی برای سایرین قابل بهرهبرداری خواهد شد. به بیان دقیقتر، استفاده از سلاح سایبری موجب ارتقاء این نوع سلاح میشود. فکر کردن به مسابقهی تسلیحاتی در دنیای پنهان سایبری کاملاً موجه است."
طی تحلیل دوکو که نخستین بار در سال 2011 ردگیری شد، محققان مشابهتهایی با استاکس نت در آن یافتند و سرانجام نیز متوجه شدند که این دو با استفاده از پلتفرم واحدی ساخته شدهاند که به تیلدد معروف است. اما، به رغم حقایق تازه کشف شده، محققان مطمئن بودند که فلیم و تیلدد پلتفرمهایی کاملاً جدا از هماند، و نیز گروههای استاکسنت و فلیم از سال 2010 به بعد به طور مستقل به کار خود ادامه دادند.
به گفته آقای گاستف، " هرکدام از این دو معماریهای متفاوتی دارند و برای آلوده کردن سیستمها و انجام کارهای اصلی خود از ترفندهای خاص خود بهره میبرند. پروژهها به واقع جدا و مستقل از هم بودند. اما یافتههای جدید – این که گروههای مذکور لااقل در مراحل اولیه از کد مرجعی واحد در یکی از اجزای خود استفاده کردهاند ثابت میکند که گروههای مذکور لااقل یک بار با هم همکاری کردند. آنچه ما یافتهایم شاهدی بسیار قدرتمند بر این نکته است که سلاحهای سایبری استاکس نت/ دوکو و فلیم با هم پیوند دارند."
منبع خبر: ئی ویک، ترجمه: سازمان فناوری اطلاعات ایران
افزودن دیدگاه جدید