улсын эрцүүл голдуу олон залуусын очиж ажиллаж ар амьдралаа залгуулдаг, ард нь гэрээ сахиж үлдсэн манай улсын олон эмэгтэйчүүдийн тархийг угааж муу ёрын өвчин, шал сулиатаа хүмүүсийн тухай олон ангит киногоор бөмбөгдөж соёлын довтолгоо хийхэд нь манай телевизийнхэн гайгүй дэмждэг, кимчи хэмээх өвс, сөөжү, Cass, Hite зэрэг ундны эх орон, “бие нь жижиг ч билчээр нь том” нэгэн улсад саяхан болсон, энэ өдрүүдийн халуун сэдвийн нэг болоод байгаа цахим халдлагын талаар гадаадын хэвлэл, мэдээллийн хэрэгслүүд дээр гарсан сонин хачинг хүргэхийг хичээв.Хором тутам энд тэндгүй л цахим орчинд зөрчил, будлиан, дайралт, сүйрэл болж л байдаг. Энэ удаагийнх юугаараа сонирхол татаж байгаа вэ гэхээр нэгэн зэрэг олон мянган компьютерийн мэдээллийг устгаж, унтраагаад буцаад хэвийн ажиллах боломжгүй болгосонд байгаа юм бол уу даа. Өмнө нь ийм төрлийн халдлага болж байсан үгүйг би хараахан мэдэхгүй байна.

Уг халдлага нь орон нутгийн цагаар 2013 оны 3 дугаар сарын 20-ний өдрийн үд дундын 14:20 цаг орчимд өмнөд Солонгосын KBS, MBC, YTN телевизүүд, Shinhan, Nonghyup, Jeju банк зэрэг нийт 6 байгууллагыг бусниулж “улс ардын аж ахуйд” хөөрхөөн будлиан тарив. Хамгийн анх уг будлианыг кибер халдлага болж байна гэж LG U+ хэмээх ISP мэдсэн бололтой.

Үүний улмаас 32’000 орчим компьютер халдлагад өртөж, мэдээлэл нь устгагдаж, өөрчлөгдсөн ба бараг бүгд нэгэн зэрэг унтраад ихэнхи нь тэр чигтээ “баяртай” болсон маягын мэдээллийг мэдээллийн хэрэгсэлүүдээр анхандаа хүргэж байв. Мэдээллийг нь огт сэргээх боломжгүй болгосон байна, үгүй зөвхөн хэсэгхэн мэдээллийг нь өөрчилж бичсэн гэнэ гэх мэтчилэн явган яриа маягын мэдээлэл нилээн түгсэн.

Үүнтэй зэрэгцээд, энэ хэргийн эзнийг олох ажилд мордсон байлгүй. Анхны таамаг, сэжгээр энэ халдлага БНХАУ-аас үүсэлтэй байна, өмнө нь Хятадын сүлжээг ашиглан хойдууд манайх руу халдаж байсан, үүний ард хойд Солонгос байж магадгүй гэсэн мэдээг албаны хүмүүс өгч эхлэсэн ба 2 хоногийн дараа энэ халдлага Хятадаас биш бололтой, анхны сэжигтэнээр тооцож байсан IP хаяг нь нэг банкных нь дотоодод ашигладаг хийсвэр /virtual/ хаяг байсан ба энэ нь БНХАУ-д бүртгэлтэй хаягтай санамсаргүй давхцсан байна. Гэхдээ энэ нь өмнөх таамгийг бүрэн үгүйсгэсэн хэрэг биш гэсэн мэдээллийг Зохицуулах Хорооны албан тушаалтан мэдээлэв.

Үүнтэй зэрэгцээд энэ халдлагад ийм тийм зүйлс ашиглагдсан байна, ийм тийм ул мөр үлдэж гэх мэт хангүг мэргэжилтнүүдийн үгс, таамаглал мэдээллийн хэрэгсэлээр цацагдав.

Бусад гадаад улсуудын мэдээллийн аюулгүй байдлын судалгаа, шинжилгээний томоохон төв, лабориториуд өөрсдийн тойм, таамаг төдий мэдээллийг залгуулаад цацав. Их Британы Sophos, ОХУ-ын Касперский лаборитори, Испани угшилтай компани AlienVault, АНУ-ын Symantec корпораци нар өөрсдийн мэдээг хүргэв. Гэхдээ ихэнхи нь харзнасан байдалтай, товч мэдээлэл нийтэлсэн бол AlienVault-ийн судлаач Jaime Blasco гэдэг хүн баримтад тулгуурлан нилээн бодитой, үнэмшилтэй таамаглал дэвшүүлсэн юм. Түүний нийтлэлд бага сага өөрчлөлт оруулан та бүхний мэргэн оюунд толилуулъя. Буруу зөрүү ойлгож, орчуулсан бол санал шүүмжийг хүлээн авч залруулахад нээлттэй гэдгээ илэрхийлж байна.

Халдлагын талаар анхны нилээн дэлгэрэнгүй мэдээллийг БНСУ-ын Nshc хэмээх мэдээллийн аюулгүй байдлын чиглэлээр ажилладаг компаны фэйсбүүк хуудсандаа тавьсан нийтлэл болон бусад сувгуудаас цуглуулж тэдгээр зүйлсдээ тулгуурлан судлаач маань ажлаа эхэлсэн бололтой.

Уг мэдээллээс авсан түүврүүдээс дүгнэхэд, хортой код нь системийн MBR-ийн мэдээллийг “HASTATI, PRINCPES, NCPES” зэрэг үгсээр дарж бичээд системийг унтраасны дараа эхлүүлэх боломжгүй болгожээ.

ApcRunCmd.exe гэх мэт хэдэн програм эдгээр зүйлсийг хийжээ.

MBR-ийн мэдээллийг дарж бичсэн байдал.

Үүнийхээ дараа системийг унтрааж асаах shutdown -r -t 0 тушаалыг системд өгчээ. Мөн Солонгосын өөрсдийнх нь бүтээл бололтой нууцлал, хамгаалалтын 2 программын ажиллагааг зогсоосон байна.

Уг халдлагад ашигласан хэрэгсэлүүд нь техникийн хувьд хэрхэн даалгавараа гүйцэтгэж, ямар үр дүнд хүрсэнийг шинжээчид ерөнхийдөө тогтоогоод дүгнэлтүүдээ хийгээд эхэлжээ.AlienVault-аас бусад компаниуд юу болсон тухай л яриад байгаа болохоос энэ ажиллагааг хийхийн тулд сүлжээ, системд хэрхэн нэвтэрч энэ олон компьютерийг нэгэн зэрэг удирдсан тухай нэг их ярихгүй байна гэжээ.

Түүний таамаглал асуултаар эхлэв.

Хэрвээ энэ халдлагын зорилго нь үймээн, самуун, наргиан /panic/ үүсгэх байсан бол тэдэнд золиос болох байгууллагуудын тодорхой жагсаалт хэрэгтэй гэж үү?

Түүний үзэж байгаагаар, нилээд олон буюу ойролцоогоор 32’000 золиосны нөхдийг нэг их хүч гаргахгүйгээр эрхшээлдээ оруулж удирдлагыг гартай авах хамгийн хялбар арга нь:

- Хортой програм худалдаж аваад вэбийг нь хайкдаж, хэрэглэгчдийг нь өөрсөд рүүгээ хандуулах,

эсвэл

- Олон мянган зомби бүхий сүлжээ ботнэтийг түрээслэж сонирхол татсан зомбинууд дотроос золиосоо олж тогтоох ба энэ нь өмнөхөөсөө илүү боломжтой хувилбар юм гэжээ.

Өмнө нь Zeus зэрэг томоохон ботнэт нь Bank of America, Amazon, NASA зэрэг том байгууллагын сүлжээн дэх системүүдийн удирдлагыг гартаа авч байсан.

Тэгэхээр, иймэрхүү ботнэтээс халдлагын золиос болгох KBS, MBC, YTN зэрэг байгууллагуудын системийг олж эрхшээлдээ оруулах нь “үдийн будаа” биз дээ? гэжээ.

Интернэтэд гарсан мэдээллүүдээс халдлагад ашиглагдсан хэд хэдэн файлын нэрс (apcruncmd.exe, imbc.exe, sbs.exe, kbs.exe, Bull.exe, Sun.exe, asd.exe, 38.exe, 39.exe, Sad.exe, down.exe, v3lite.exe)-ийг олоод тэдний гарал үүсэл, БНСУ-тай ямар хамааралтайг анхаарч судлав. Ингээд эхний үр дүн гарч өнөөх файлуудын нэг imbc.exe нь халдлага болохоос 2 өдрийн өмнө VirusTotal.com-д БНСУ-ын IP хаягаас анх бүртгэгдсэнийг олж тогтоов.

Энэхүү жижиг программ ажиллахад дараахи файлуудыг системд үүсгэдэг байна. Үүнд:

- \Local Settings\Temp\1.tmp\bat.bat

- \WINDOWS\Temp\125.exe

- \Temp\imbc.exe

bat.bat файлын дотор дараахи зүйлс бичигдсэн байв.

Энэ код нь Microsoft Internet Explorer вэб хөтөчийн кэйшийг цэвэрлээд, системийн hosts файл дотор өөрчлөлт оруулна. Өөрчлөлт нь эдгээр компьютероос www.hanabank.com, www.kbstar.com, 0bank.kbstar.com, pib.wooribank.com, banking.shinhan.com, www.ibk.co.kr, banking.nonghyap.com, mybank.ibk.co.kr гэсэн банкны вэбүүд рүү хийгдэх хандалтыг Хонконгд байршилтай 103.14.114.156 хаягтай сервер лүү гуйвуулах зорилготой байв. Үүнээс гадна уг хорт програм нь тодорхой заасан цагт хорлон сүйтгэх үйлдлийг гүйцэтгэх ажиллагааг эхлүүлээд, эцэст нь байнгын хараандаа байлгахын тулд автоматаар ажиллаж байх зарим зүйлсийг хийсэн бололтой.Уг хортой код нь Япон улсад бүртгэлтэй 126.7.217.163 хаяг бүхий home1.hades08.com гэдэг сервер руу холбогдох ба үүнээс гадна ижилхэн ажиллагаатай өөр хэд хэдэн зүйлс олсон ба тэд бас home2.hades08.com, home3.hades08.com гэсэн өөр нэрс ашиглан удирдлага, хяналтын (C&C) сервер лүү холбогддог байна.

Ерөнхийдөө дээр дурдсан нэр бүхий программууд нь ижил ажиллагаатай, мөн тэдгээрийн эх код нь хоорондоо бараг ялгаагүй буюу энэ бүгд Win32.Morix төрлийн хортой кодын бүлийнх байна гэж зарим нөхдүүд дүгнэжээ.

Учиг цааш хөвөрсөөр, hades08.com домэйн нэрийг ердөө 7 хоногийн өмнө smokeno@163.com гэсэн цахим шуудангийн хаягтай нөхөр худалдаж аван бүртгүүлжээ. Уг домэйн нь хэд хэдэн дэд домэйнтой ба тэдгээр дээр нь Хятадын GonDad гэдэг хортой кодыг байршуулж, тараадаг бололтой. Өөр бас нэг d41.asdasd2012.com гэдэг цахим хуудас олсон ба энэ нь мөн GonDad-д үйлчилдэг аж. Гэтэл уг домэйныг өнөөх smokeno@163.com гэгч hades08.com-г авсныхаа маргааш нь авсан байв.

dl.hades08.com, mb.asdasd2012.com 2 домэйн хоёулаа 126.7.217.163 хаяг руу заагдсан нь хоорондоо холбоотойг дахин батлав.

Ноён гүүгэл /Mr Google/-д бүртгэгдсэнээр уг d41.asdasd2012.com сервер нь сүүлийн 90 хоногийн дотор БНСУ-ын appstory.co.kr вэбийг оруулаад нийт 4 хуудсыг хорлосон байна. Нөгөө талаас, v3lite.exe нэртэй файл бүхий зомбигийн C&C серверийн хаяг нь БНСУ-д бүртгэлтэй 121.156.58.135 гэж олдсон ба энэ хаяг руу ямар домэйнууд заагдсан байгааг шалгажээ. Шалгалтаар frcvb.com-ийн хэд хэдэн дэд домэйнуудыг сүүлийн хэд хоногт энэ хаяг руу заасан байлаа. Тэр дэд домэйнууд нь tt.frcvb.com, aaa.frcvb.com, qqq.frcvb.com, ttt.frcvb.com, zzz.frcvb.com.

frcvb.com домэйн нь 1 сар орчмын өмнө бүртгэгдсэн ба сүүлийн 90 хоногийн дотор өмнөд Солонгосын koreanmovie.com, chinawoo.kr 2-г оруулаад нийтдээ 18 вэбийг хорлосон байв. Үүнээс гадна frcob.com гэж дахиад нэг домэйн гарч ирсэн ба тэр нь энд яриад байгаа хоролмаа нарын C&C серверээр ажиллан тархийг угааж, ясыг нь барьдаг аж.

Хэрэг үүгээр дууссангүй, frcob.com, frcvb.com вэбүүд дээр байгаа GonDad хоролмаад БНСУ-ын өөр нилээд хэдэн хуудас хорлогдоод амжсан байв. Тэдгээр нь:www.knbox.com
www.keduac.co.kr
raya.co.kr
chinawoo.kr
goam.co.kr
bohumbest.net

Ингээд, судлаачийн дүгнэснээр,

Баримт гэвэл Өмнөд Солонгосын вэбүүдийг хордуулж, болж өнгөрсөн халдлагатай хамааралтай хоролмаа GonDad-ийг байршуулж байгаа олон тооны домэйнуудыг бид үзүүлж чадах байна.

Энэ нь GonDad руу самуурч байгаа хэдэн зуун вэб өмнөд Солонгост байгаа ба уг вэбийн хэдэн мянган хэрэглэгч аль хэдийнээ самуурсан гэсэн үг. Өөрөөр хэлбэл, ботнэтийн нэг эд эс, зомби болсон байна. Хэрвээ уг халдлагын ард байгаа хүмүүс энэ ботнэтийн хэсэгт хандалттай байсан бол өмнөд Солонгосын хэдэн мянга биш юмаа гэхэд хэдэн зуун системийг удирдаж өөрийн сонирхсон байгууллагыг золиосоор сонгож системийг нь бусниулах бүрэн хүч, бололцоотой байсан. Тэд нэгэнт удирдлагыг гартаа авсан тохиолдолд өнөөх яриад байгаа мэдээлэл устгах, өөрчлөх гэдэг зүйлс маш хялбархан зүйл.

Энэ бол зөвхөн таамаг ба энэ халдлагад ашигласан зүйлс нь том зүйлийн өчүүхэн бага хэсэг ч байж болно. Эсвэл магадгүй тэд Zeus, Blackhole, Koobface зэрэг том ботнэтээр үйлчлүүлсэн ч байж болно.

Өөр нэг таамаглал нь гэвэл уг халдлагад ашиглагдсан хоролмаа нь Хятад угшилтай байж болох ч довтлогч этгээд үүнийг хар захаас худалдаж авсан, түрээсэлсэн байх боломжтой. Мөн өнөөх домэйнуудын заримыг бүртгүүлэхэд ашиглагдсан хаяг нь Хятадынх байсаан гэж тэрбээр дүгнэлтээ төгсгөжээ.

эх сурвалж: gdatacenter blog

www.bolod.mn