FrostyGoop
بدافزارها به ابزاری مرکزی در درگیریهای مدرن تبدیل شدهاند، که اغلب به عنوان روشی برای ایجاد اختلال قابل توجه بدون درگیری فیزیکی مستقیم عمل میکنند. در سالهای اخیر، حملات سایبری که زیرساختهای حیاتی را هدف قرار میدهند، بر اهمیت اقدامات امنیتی سایبری قوی برای محافظت در برابر چنین تهدیداتی تأکید کردهاند.
فهرست مطالب
مقدمه ای بر FrostyGoop
در ماه ژانویه، بدافزاری که پروتکل ارتباطی صنعتی پرکاربرد Modbus را هدف قرار داده بود، اختلالی بزرگ در اوکراین ایجاد کرد که منجر به از دست دادن گرمای بیش از 600 ساختمان آپارتمان به مدت دو روز شد. این بدافزار که توسط محققان FrostyGoop نامگذاری شده است، از پروتکل Modbus برای فعال کردن مهاجمان برای به خطر انداختن سیستم های کنترل شده صنعتی (ICS) سوء استفاده می کند.
کشف و اسناد
مرکز موقعیت امنیت سایبری (CSSC)، بخشی از سرویس امنیتی اوکراین، اطلاعات مهمی را ارائه کرد که به کارشناسان infosec کمک کرد تا تشخیص دهند که FrostyGoop مسئول این قطع است. با وجود شناسایی بدافزار، سازنده آن ناشناخته باقی مانده است و هیچ عامل تهدید خاصی به توسعه آن نسبت داده نشده است. سازندگان ناشناخته تحت شناسه TAT2024-24 ردیابی می شوند و FrostyGoop را به عنوان نهمین بدافزار منحصر به فرد متمرکز بر ICS که در حملات یا اختلالات استفاده می شود، نشان می دهد.
جزئیات فنی و تاثیر
اعتقاد بر این است که FrostyGoop اولین بدافزاری است که ICS را هدف قرار می دهد که از پروتکل Modbus برای ایجاد اختلالات فیزیکی در فناوری عملیاتی (OT) استفاده می کند. اگرچه این بدافزار بسیار پیچیده نیست، اما توانایی این بدافزار برای هدف قرار دادن زیرساختهای حیاتی، تمرکز فزاینده مهاجمان را بر روی سیستمها و پروتکلهای زمانی مبهم و ضروری برای عملکرد ابزارهایی مانند برق و آب برجسته میکند.
بردار حمله و اجرا
مهاجمان در ابتدا با سوء استفاده از یک آسیب پذیری در روتر Microtik تقریباً ده ماه قبل از حمله، شبکه های ارائه دهنده انرژی شهری را به خطر انداختند. در طول ماههای بعد، آنها فعالیتهای مقدماتی مختلفی از جمله اخذ اعتبار کاربری را انجام دادند. ساعاتی قبل از حادثه، اتصالات از آدرس های IP مستقر در مسکو شناسایی شد که نشان دهنده حضور مهاجمان در شبکه است.
زمینه گسترده تر حملات سایبری
حمله FrostyGoop همزمان با یک حمله سایبری در مقیاس بزرگ در اوکراین بود که چندین نهاد کلیدی از جمله بزرگترین شرکت نفت و گاز کشور و خدمات پست ملی آن را تحت تأثیر قرار داد. این تلاش هماهنگ یک استراتژی روانشناختی را برای بیثبات کردن و تضعیف روحیه جمعیت، با استفاده از ابزارهای سایبری به جای عملیات جنبشی سنتی، پیشنهاد میکند.
مقایسه و اهمیت
در حالی که FrostyGoop در مقایسه با سایر ابزارهای پیچیده مانند Pipedream نسبتاً ساده است، اثربخشی آن در ایجاد اختلال نشان می دهد که حتی حملات کم هزینه نیز می توانند تأثیرات قابل توجهی بر سیستم های صنعتی داشته باشند. برخلاف Pipedream که از نظر پیچیدگی شبیه Cobalt Strike است، سادگی FrostyGoop از خطر آن نمی کاهد.
پیشینه های تاریخی
تنها واحد هک شناخته شده دیگری که چنین تأثیری بر زیرساخت های حیاتی اوکراین دارد، Sandworm است، گروهی که با اداره اطلاعات اصلی روسیه مرتبط است. کرم شنی بارها و بارها شبکه برق اوکراین را هدف قرار داده است، آخرین بار در اکتبر 2022. این زمینه بر چشم انداز تهدید دائمی و در حال تحول اوکراین تاکید می کند.
اقدامات امنیتی برای حفاظت
برای محافظت در برابر عفونتهای بدافزار مانند FrostyGoop، کاربران و سازمانها باید اقدامات جامع امنیت سایبری را اجرا کنند:
- به روز رسانی منظم سیستم : اطمینان حاصل کنید که همه نرم افزارها، از جمله سیستم های ICS، با آخرین وصله های امنیتی به روز هستند.
- تقسیمبندی شبکه : شبکههای حیاتی ICS را از شبکههای فناوری اطلاعات عمومی جدا کنید تا گسترش بدافزار را محدود کنید.
- مدیریت آسیبپذیری : ارزیابیهای امنیتی منظم را انجام دهید و هر آسیبپذیری شناساییشده را به سرعت برطرف کنید.
- احراز هویت قوی : از احراز هویت چند عاملی (MFA) برای دسترسی ایمن به سیستم های حساس استفاده کنید.
- سیستمهای تشخیص نفوذ (IDS) : IDS را برای نظارت بر ترافیک شبکه برای نشانههای فعالیت مشکوک مستقر کنید.
- آموزش کاربر : به کارکنان در مورد اهمیت امنیت سایبری و خطرات مرتبط با فیشینگ و سایر حملات مهندسی اجتماعی آموزش دهید.
نتیجه
ظهور بدافزارهایی مانند FrostyGoop نیاز حیاتی به هوشیاری و اقدامات امنیت سایبری قوی برای محافظت از سیستمهای کنترل صنعتی را برجسته میکند. با درک تهدیدات و اجرای اقدامات امنیتی موثر، کاربران می توانند بهتر از زیرساخت های خود در برابر حملات سایبری که پتانسیل ایجاد اختلال گسترده را دارند محافظت کنند.
