حمله APT چیست؟ بررسی تهدیدات پیشرفته مستمر و راهکارهای مقابله

تصور کنید تیم امنیتی شما هر روز داشبوردهای ترافیک شبکه را بررسی می‌کند و همه‌چیز کاملا عادی به نظر می‌رسد. در همین حال، یک گروه هکری ماه‌هاست که از طریق یک در پشتی (Backdoor) ساده، در پس‌زمینه سرورهای صرافی یا پلتفرم مالی شما در حال شناسایی کیف پول‌های سازمانی و داده‌های حساس است، بدون اینکه حتی یک هشدار امنیتی فعال شود. در این مقاله، ساختار دقیق حملات APT را بررسی می‌کنیم و نشان می‌دهیم چگونه می‌توانید پیش از وقوع یک فاجعه، نشانه‌های خاموش این مهمانان ناخوانده را در شبکه‌های خود شناسایی کنید.

حمله APT یا تهدید پیشرفته مستمر چیست؟

وقتی صحبت از هک شدن به میان می‌آید، بیشتر ما تصور می‌کنیم که یک هکر در عرض چند دقیقه وارد سیستم می‌شود، اطلاعات را می‌دزدد یا همه‌چیز را خراب می‌کند و می‌رود. اما در دنیای امنیت سایبری، خطرناک‌ترین نوع نفوذ، حمله‌ی APT یا تهدید پیشرفته‌ی مستمر (Advanced Persistent Threat) است.

برای درک بهتر این موضوع، تصور کنید یک سارق به جای اینکه با سر و صدا شیشه‌ی خانه‌ی شما را بشکند، با استفاده از یک کلید کپی شده، خیلی آرام و محترمانه وارد خانه شود. او ماه‌ها در زیرزمین پنهان می‌شود، رفتار و ساعت خواب شما را زیر نظر می‌گیرد و هر روز بخش کوچکی از اسناد مهم یا سرمایه‌ی شما را بدون اینکه متوجه شوید، با خود می‌برد. حمله‌ی APT دقیقا همین کار را با شبکه‌های کامپیوتری و پلتفرم‌های مالی می‌کند. در این نوع نفوذ، هکرهای بسیار حرفه‌ای که معمولا توسط سازمان‌های بزرگ یا حتی دولت‌ها حمایت می‌شوند، به صورت کاملا پنهانی وارد شبکه‌ی هدف می‌شوند و برای مدت طولانی (ماه‌ها یا حتی سال‌ها) در آنجا کمین می‌کنند تا اطلاعات حساس را سرقت کنند.

تفاوت حمله APT با هک‌های معمولی و بدافزارهای ساده

برای اینکه تفاوت این نوع نفوذ را با هک‌های معمولی بهتر درک کنیم، باید به هدف و روش کار هکرها نگاه کنیم. هکرهای معمولی معمولا به دنبال ضربه زدن سریع و کسب درآمد فوری هستند. اما مهاجمان APT به دنبال یک حضور طولانی و کاملا خاموش هستند. تفاوت‌های اصلی آن‌ها را می‌توانیم در موارد زیر خلاصه کنیم:

• سرعت و سر و صدا: یک بدافزار ساده یا Ransomware (باج‌افزار - ویروسی که فایل‌های سیستم شما را قفل رمزنگاری می‌کند و در ازای باز کردن آن‌ها از شما پول می‌خواهد) بلافاصله پس از ورود، سیستم را مختل می‌کند و با یک پیام هشدار، حضور خودش را فریاد می‌زند. اما در حمله‌ی APT، مهاجمان بیشترین تلاش را می‌کنند تا هیچ ردپایی از خود به جا نگذارند و همه‌چیز در ظاهر کاملا عادی به نظر برسد.
• هدف‌گذاری دقیق: هکرهای معمولی معمولا تور خود را به صورت گسترده پهن می‌کنند تا شاید چند کاربر بی‌احتیاط به دام بیفتند (مثل ایمیل‌های اسپم). اما یک حمله‌ی APT کاملا هدفمند و شخصی‌سازی شده است. هکرها پیش از شروع حمله، ماه‌ها در مورد ساختار شبکه‌ی سازمان، رفتار کارمندان و نقاط ضعف سیستم تحقیق می‌کنند.
• میزان دسترسی: در هک‌های ساده، هکر به یک بخش کوچک نفوذ می‌کند و عملیاتش در همان سطح باقی می‌ماند. اما در تهدید پیشرفته‌ی مستمر، هکرها پس از ورود اولیه، به آرامی در تمام بخش‌های سیستم حرکت می‌کنند تا به هسته‌ی مرکزی، دیتابیس‌ها و اطلاعات حیاتی سازمان برسند.

چرا آنتی‌ویروس‌ها و فایروال‌های سنتی در برابر APT شکست می‌خورند؟

احتمالا می‌پرسید اگر این حملات تا این حد خطرناک هستند، پس نقش نرم‌افزارهای امنیتی چیست؟ چرا آنتی‌ویروس‌ها و فایروال‌ها (Firewall - سیستم امنیتی که ترافیک ورودی و خروجی شبکه‌ی شما را کنترل و فیلتر می‌کند تا جلوی ورود داده‌های مخرب را بگیرد) نمی‌توانند جلوی آن‌ها را بگیرند؟

دلیل این اتفاق بسیار ساده است؛ ابزارهای امنیتی سنتی بر اساس یک لیست سیاه کار می‌کنند. یعنی آن‌ها فقط بدافزارها و ویروس‌هایی را می‌شناسند که قبلا کشف شده باشند و امضای دیجیتال آن‌ها در دیتابیس آنتی‌ویروس ثبت شده باشد. مهاجمان APT برای دور زدن این سیستم‌ها از تکنیک‌هایی استفاده می‌کنند که برای نرم‌افزارهای امنیتی کاملا ناشناخته است. آن‌ها اغلب از آسیب‌پذیری‌های Zero-day (روز صفر - ضعف‌های امنیتی جدیدی در نرم‌افزارها که سازنده هنوز از آن‌ها بی‌خبر است و هیچ آپدیتی برای رفع آن‌ها منتشر نکرده است) استفاده می‌کنند.

آنتی‌ویروس شما شبیه به نگهبانی است که یک لیست از چهره‌ی مجرمان سابقه‌دار در دست دارد. اگر یک سارق با چهره‌ای کاملا جدید، کارت شناسایی جعلی و با لباس فرم کارمندان وارد شود، نگهبان به او شک نمی‌کند. مهاجمان APT دقیقا با همین چهره‌ی جدید و ابزارهای ناشناخته از سد دیوار آتش و آنتی‌ویروس‌های سنتی عبور می‌کنند و خود را به عنوان یک کاربر مجاز در سیستم جا می‌زنند.

نگاهی به تاریخچه حملات APT و تبدیل شدن آن‌ها به یک تهدید جهانی

شاید فکر کنید حمله‌ی APT یک پدیده‌ی کاملا جدید است، اما ریشه‌ی آن به دهه‌های گذشته برمی‌گردد. در اوایل دهه‌ی ۲۰۰۰ میلادی، این نوع حملات بسیار نادر بودند و بیشتر توسط دولت‌ها و ارتش‌ها برای جاسوسی سایبری از کشورهای دیگر استفاده می‌شدند. در آن زمان، هدف اصلی سرقت اطلاعات نظامی، سیاسی یا مالکیت معنوی بود.

اما با گذشت زمان و گسترش اینترنت، این ابزارهای مخرب به دست گروه‌های هکری مستقل و سازمان‌یافته نیز افتادند. از حدود سال ۲۰۱۰ به بعد، اهداف این حملات تغییر کرد و سازمان‌های تجاری بزرگ، بانک‌ها و شرکت‌های فناوری نیز در سیبل هکرها قرار گرفتند. امروزه، با رشد خیره‌کننده‌ی بلاک‌چین و بازار ارزهای دیجیتال، صرافی‌های دیجیتال و پلتفرم‌های مالی به یکی از جذاب‌ترین اهداف برای حمله‌ی APT تبدیل شده‌اند. دلیل این جذابیت واضح است، مهاجمان در این پلتفرم‌ها می‌توانند به جای سرقت اطلاعاتی که نیاز به فروش دارند، مستقیما به سرمایه‌ی دیجیتال دست پیدا کنند و آن را بدون هیچ ردپایی به سرقت ببرند. همین موضوع باعث شده تا تهدیدات پیشرفته‌ی مستمر از یک سلاح نظامی مخفی، به یک تهدید جهانی و روزمره برای تمام سازمان‌های مالی تبدیل شوند.

بررسی یک حمله APT: هکرها چگونه در سایه حرکت می‌کنند؟

برای درک بهتر نحوه‌ی عملکرد این حملات پیچیده، بیایید یک سرقت بزرگ از یک بانک را تصور کنیم. سارقان حرفه‌ای هرگز با اسلحه و سر و صدا از در اصلی وارد نمی‌شوند. آن‌ها نقشه‌ی ساختمان را بررسی می‌کنند، با لباس مبدل وارد می‌شوند، سیستم‌های هشدار را از کار می‌اندازند و در نهایت، به آرامی به خزانه‌ی اصلی می‌رسند. حمله‌ی APT در دنیای دیجیتال و پلتفرم‌های مالی دقیقا همین مسیر را طی می‌کند. هکرهای سازمان‌یافته برای رسیدن به هدف خود، یک مسیر پنج مرحله‌ای و بسیار دقیق را طراحی می‌کنند که در ادامه هر مرحله را با زبانی ساده بررسی می‌کنیم.

گام اول: نفوذ اولیه و دسترسی به شبکه هدف از طریق مهندسی اجتماعی

همه‌چیز از یک روزنه‌ی کوچک شروع می‌شود. برخلاف تصور عموم، هکرها همیشه سعی نمی‌کنند دیوارهای امنیتی پیچیده را با کدهای عجیب و غریب بشکنند؛ بلکه اغلب از ساده‌ترین نقطه‌ی ضعف یعنی انسان‌ها استفاده می‌کنند. در این مرحله، آن‌ها از تکنیکی به نام مهندسی اجتماعی (Social Engineering - فریب دادن روان‌شناختی افراد برای افشای اطلاعات محرمانه یا انجام یک کار خطرناک به جای هک کردن مستقیم سیستم) استفاده می‌کنند.

برای مثال، هکرها یک ایمیل به ظاهر معتبر برای یکی از کارمندان بخش پشتیبانی یک صرافی رمزارز می‌فرستند. این ایمیل ممکن است شبیه به یک فایل رزومه‌ی کاری یا یک هشدار امنیتی دروغین (Phishing) باشد. به محض اینکه کارمند روی لینک یا فایل پیوست کلیک می‌کند، درهای شبکه‌ی سازمان بدون هیچ سر و صدایی به روی هکرها باز می‌شود.

گام دوم: استقرار بدافزار و ایجاد دسترسی پنهان (ایجاد در پشتی یا Backdoor)

حالا که هکرها وارد شبکه‌ی سازمان شده‌اند، اولین کارشان این است که جای پای خود را محکم کنند. آن‌ها می‌دانند که اگر کارمند متوجه اشتباهش شود یا سیستم ری‌استارت شود، ممکن است دسترسی آن‌ها قطع شود. بنابراین، نرم‌افزارهای مخربی را در سیستم قربانی نصب می‌کنند که به آن‌ها اجازه می‌دهد یک در پشتی (Backdoor - یک مسیر مخفی و غیرمجاز در نرم‌افزار که هکرها برای ورود به سیستم بدون نیاز به رمز عبور ایجاد می‌کنند) بسازند.

این در پشتی مانند کلید یدکی خانه‌ی شماست که زیر پادری پنهان شده است. از این لحظه به بعد، حتی اگر رمز عبور کارمند تغییر کند، هکرها می‌توانند هر زمان که بخواهند، مخفیانه وارد سیستم شوند و ابزارهای پیشرفته‌تری را برای ادامه‌ی کار وارد شبکه کنند.

گام سوم: گسترش نفوذ و حرکت جانبی در سیستم‌ها برای یافتن اطلاعات حیاتی

کامپیوتری که در گام اول هک شده است (مثلا سیستم کارمند پشتیبانی)، معمولا اطلاعات ارزشمندی مثل کلیدهای خصوصی کیف پول‌های صرافی را در خود ندارد. بنابراین، هکرها باید در داخل شبکه جابه‌جا شوند تا به سرورهای اصلی برسند. به این فرایند، حرکت جانبی (Lateral Movement - جابه‌جا شدن هکر از یک کامپیوتر ضعیف‌تر به سرورهای حساس‌تر در همان شبکه برای پیدا کردن اطلاعات اصلی) می‌گویند.

در این مرحله، مهاجمان شبیه به شبحی در راهروهای سازمان حرکت می‌کنند:

• پسوردهای ذخیره شده در سیستم اول را استخراج می‌کنند.
• به دنبال دسترسی‌های سطح بالاتر (مثل دسترسی مدیر شبکه) می‌گردند.
• از یک سیستم به سیستم دیگر می‌پرند تا در نهایت به خزانه‌ی اصلی یعنی دیتابیس کاربران یا سرورهای مدیریت دارایی برسند.

گام چهارم: شناسایی داده‌های حساس و آماده‌سازی برای سرقت

وقتی هکرها به هدف نهایی خود رسیدند، بلافاصله اقدام به سرقت نمی‌کنند. آن‌ها ابتدا داده‌های ارزشمند را شناسایی و دسته‌بندی می‌کنند. در دنیای رمزارزها، این داده‌ها می‌تواند شامل اطلاعات هویتی کاربران، کدهای مربوط به قراردادهای هوشمند یا دسترسی به کیف پول‌های گرم (Hot Wallets) باشد.

مهاجمان این اطلاعات حیاتی را در یک گوشه‌ی پنهان از شبکه‌ی سازمان جمع‌آوری می‌کنند. سپس برای اینکه حجم این اطلاعات جلب توجه نکند، آن‌ها را فشرده کرده و حتی رمزنگاری می‌کنند. این کار شبیه به این است که سارقان بانک، پول‌ها را در کیسه‌های سیاه و غیرقابل شناسایی بسته‌بندی کنند تا هنگام خروج، کسی متوجه محتوای آن‌ها نشود.

گام پنجم: استخراج بی‌سروصدای اطلاعات و پاک کردن ردپاها

مرحله‌ی آخر و مرگبارترین بخش یک حمله‌ی APT، خارج کردن داده‌ها از شبکه‌ی هدف است. به این فرایند استخراج داده (Exfiltration - فرایند انتقال غیرمجاز و مخفیانه‌ی اطلاعات از کامپیوتر قربانی به سرور هکر در خارج از سازمان) گفته می‌شود.

برای اینکه فایروال‌ها متوجه خروج این حجم از اطلاعات نشوند، هکرها داده‌ها را به صورت قطره‌چکانی و در میان ترافیک عادی اینترنت به بیرون می‌فرستند. پس از اینکه تمام اطلاعات با موفقیت سرقت شد، هکرها شروع به پاک کردن ردپای خود می‌کنند. آن‌ها فایل‌های ثبت وقایع سیستم (Log files) را حذف می‌کنند تا هیچ‌کس نفهمد آن‌ها از کجا آمده‌اند، چه مدت در سیستم حضور داشته‌اند و دقیقا چه چیزی را با خود برده‌اند. این پاک‌سازی به قدری حرفه‌ای انجام می‌شود که سازمان‌ها گاهی تا ماه‌ها پس از سرقت، متوجه از دست رفتن اطلاعات خود نمی‌شوند.

نشانه‌های خاموش: چگونه یک حمله APT را پیش از فاجعه تشخیص دهیم؟

همان‌طور که پیش‌تر گفتیم، مهاجمان در یک تهدید پیشرفته‌ی مستمر، تمام تلاش خود را می‌کنند تا نامرئی بمانند. شناسایی این حملات شبیه به پیدا کردن موریانه در چارچوب چوبی خانه‌ی شما است؛ شما خود موریانه‌ها را نمی‌بینید، اما اگر با دقت نگاه کنید، خاک‌اره‌های کوچکی را روی زمین پیدا خواهید کرد. در دنیای امنیت شبکه‌های کامپیوتری و پلتفرم‌های ارز دیجیتال نیز، هکرها هرچقدر هم که محتاط باشند، ردپاهای بسیار کوچکی از خود به جا می‌گذارند. تیم‌های امنیتی با بررسی دقیق این نشانه‌های خاموش می‌توانند پیش از اینکه سرمایه‌ی دیجیتال یا اطلاعات کاربران به سرقت برود، دست هکرها را بخوانند.

ورودهای غیرعادی به حساب‌های کاربری با سطح دسترسی بالا در ساعات نیمه‌شب

یکی از اولین نشانه‌های خطر، بررسی زمان و مکان ورود افراد به سیستم است. فرض کنید یکی از کارمندان ارشد یک صرافی رمزارز که به کیف پول‌های گرم (Hot Wallets - کیف پول‌های ارز دیجیتال که به اینترنت متصل هستند و برای تراکنش‌های روزمره استفاده می‌شوند) دسترسی دارد، همیشه از ساعت ۸ صبح تا ۵ عصر کار می‌کند. حالا ناگهان سیستم نشان می‌دهد که حساب کاربری این شخص در ساعت ۳ بامداد وارد شبکه‌ی صرافی شده و در حال دانلود فایل‌های حساس است.

از آنجا که بسیاری از هکرهای سازمان‌یافته در کشورهای دیگر و با مناطق زمانی متفاوت زندگی می‌کنند، یا ترجیح می‌دهند زمانی که تیم پشتیبانی سازمان خواب است کار کنند، این ورودهای دیرهنگام یک زنگ خطر بزرگ محسوب می‌شود. وقتی حساب یک ادمین (Admin - مدیر سیستم که بالاترین سطح کنترل و رمزهای عبور را در اختیار دارد) رفتاری خارج از عادت همیشگی نشان می‌دهد، باید بلافاصله دسترسی او مسدود و سیستم بررسی شود.

کشف تروجان‌ها و ابزارهای ناشناخته در پس‌زمینه شبکه

هکرها برای اینکه بتوانند ماه‌ها در سیستم شما بمانند و اطلاعات را جمع‌آوری کنند، نیاز به ابزارهایی دارند. آن‌ها معمولا از بدافزارهایی به نام تروجان (Trojan - یک برنامه‌ی مخرب که خود را به جای یک نرم‌افزار مفید و بی‌خطر جا می‌زند تا هکرها بتوانند از طریق آن سیستم را در دست بگیرند) استفاده می‌کنند.

این ابزارها طوری طراحی شده‌اند که در پس‌زمینه‌ی سرورها اجرا شوند و هیچ هشدار یا تصویری به کاربر نشان ندهند. اما اگر مدیران شبکه به صورت دوره‌ای برنامه‌های در حال اجرا را پایش کنند، ممکن است با نرم‌افزارها یا فایل‌های ناشناخته‌ای روبه‌رو شوند که کسی آن‌ها را نصب نکرده است. پیدا کردن یک برنامه‌ی ناآشنا در سرورهای مرکزی صرافی، درست مانند پیدا کردن یک دستگاه شنود در اتاق جلسات هیئت مدیره است؛ نشانه‌ای قطعی از اینکه کسی در حال جاسوسی از شما است.

جریان‌های غیرعادی داده: بررسی تفاوت ترافیک عادی و مشکوک (جدول راهنمای تشخیص ترافیک مخرب)

در نهایت، هکرها باید اطلاعات سرقت شده را از شبکه‌ی شما خارج کنند. حرکت دادن حجم زیادی از اطلاعات، ترافیک اینترنت و شبکه‌ی شما را تغییر می‌دهد. به این جابجایی داده‌ها، جریان داده می‌گویند. بررسی این جریان‌ها یکی از بهترین راه‌ها برای مچ‌گیری هکرها است. مثلا اگر سرور دیتابیس کاربران که معمولا فقط اطلاعات متنی کوچکی را در داخل شرکت رد و بدل می‌کند، ناگهان شروع به ارسال بسته‌های بزرگ چند گیگابایتی به یک سرور ناشناس در خارج از کشور کند، یک جای کار می‌لنگد.

برای درک بهتر این موضوع، در جدول زیر تفاوت‌های ترافیک عادی و ترافیک مشکوکی که می‌تواند نشان‌دهنده‌ی یک حمله‌ی APT باشد را مقایسه کرده‌ایم:

با پایش مداوم این الگوها، تیم‌های امنیتی در پلتفرم‌های مالی می‌توانند از خروج بی‌سروصدای اطلاعات جلوگیری کرده و راه‌های نفوذ را پیش از وقوع یک سرقت بزرگ مسدود کنند.

حمله APT در بازار ارزهای دیجیتال: شکارچیان خاموش سرمایه

در گذشته‌های نه‌چندان دور، هکرهای سازمان‌یافته بیشتر به دنبال سرقت اطلاعات نظامی، سیاسی یا جاسوسی صنعتی بودند. اما امروزه، این شکارچیان خاموش مسیر خود را تغییر داده‌اند و به سمت پرپول‌ترین و جذاب‌ترین هدف ممکن یعنی دنیای رمزارزها حرکت کرده‌اند. بازار ارزهای دیجیتال به دلیل ماهیت خاص خود، به یک زمین بازی ایده‌آل برای حملات پیشرفته‌ی مستمر تبدیل شده است. هکرها دیگر نیازی ندارند اطلاعات محرمانه را بدزدند و سپس برای آن‌ها در بازار سیاه به دنبال خریدار بگردند؛ آن‌ها حالا مستقیما خود پول را به سرقت می‌برند.

چرا صرافی‌های کریپتو و پلتفرم‌های دیفای هدف محبوبی برای حملات APT هستند؟

دلیل این علاقه‌ی شدید هکرها به بازار کریپتو چیست؟ چرا آن‌ها صرافی‌ها و پلتفرم‌های دیفای (DeFi - سیستم‌های مالی غیرمتمرکز که خدمات مالی مانند وام‌دهی و تبادل ارز را بدون نیاز به بانک یا واسطه‌ی انسانی ارائه می‌دهند) را هدف قرار می‌دهند؟ چند دلیل کلیدی برای این موضوع وجود دارد:

• غیرقابل برگشت بودن تراکنش‌ها: در سیستم بانکی سنتی، اگر پولی به سرقت برود یا به اشتباه جابه‌جا شود، بانک مرکزی یا نهادهای قانونی می‌توانند تراکنش را مسدود یا لغو کنند. اما در شبکه‌ی بلاک‌چین، زمانی که یک تراکنش تایید و ثبت شد، دیگر هیچ راهی برای بازگرداندن آن وجود ندارد. مهاجمان می‌دانند که اگر موفق شوند دارایی را از سیستم خارج کنند، پول برای همیشه از چنگ صاحبانش خارج شده است.
• حجم بالای نقدینگی متمرکز: صرافی‌های بزرگ و استخرهای دیفای (DeFi Pools - محلی که کاربران سرمایه‌های خود را برای تامین نقدینگی و دریافت سود در آن قفل می‌کنند) روزانه میزبان میلیون‌ها و گاهی میلیاردها دلار سرمایه‌ی دیجیتال هستند. این تمرکز ثروت، یک هدف بسیار وسوسه‌کننده برای گروه‌های هکری است که حاضرند ماه‌ها برای نفوذ به آن زمان صرف کنند.
• ناشناس بودن و سهولت در پول‌شویی: اگرچه تراکنش‌های بلاک‌چین شفاف و قابل پیگیری هستند، اما هکرها با استفاده از ابزارهایی مانند میکسرها (Mixers - سرویس‌هایی که با مخلوط کردن ارزهای دیجیتال افراد مختلف، مبدأ و مقصد پول را پنهان می‌کنند) می‌توانند مسیر حرکت سرمایه‌ی سرقت شده را مخفی کرده و آن را به پول نقد تبدیل کنند.

ترفندهای مهاجمان برای نفوذ به کیف پول‌های سازمانی و شبکه‌های بلاک‌چینی

شاید بپرسید هکرها چگونه از دیوارهای امنیتی قدرتمند صرافی‌ها عبور می‌کنند؟ پلتفرم‌های معتبر معمولا دارایی‌های اصلی خود را در کیف پول‌های سازمانی و به صورت چندامضایی (Multi-sig - نوعی فناوری امنیتی که در آن برای انجام هر تراکنش به تایید و رمز عبور همزمان چند نفر نیاز است) نگهداری می‌کنند. این یعنی یک هکر نمی‌تواند فقط با هک کردن کامپیوتر یک نفر، کل پول‌ها را بدزدد.

اما در یک حمله‌ی APT، هکرها بسیار صبور هستند و با تکنیک‌های زیر این موانع را دور می‌زنند:

• مهندسی اجتماعی طولانی‌مدت: مهاجمان ممکن است ماه‌ها وقت بگذارند تا با چندین نفر از مدیران ارشد یک صرافی در شبکه‌های اجتماعی ارتباط دوستانه برقرار کنند. سپس در یک فرصت مناسب، فایلی آلوده را در قالب یک رزومه‌ی کاری یا یک قرارداد جذاب برای آن‌ها ارسال می‌کنند تا همزمان به سیستم چند مدیر مختلف نفوذ کنند و تاییدیه‌های چند امضایی را به دست آورند.
• نفوذ به شبکه‌ی تامین‌کنندگان (زنجیره تامین): گاهی اوقات هکرها مستقیما به خود پلتفرم مالی حمله نمی‌کنند. آن‌ها شرکت‌های شخص ثالثی که به صرافی خدمات می‌دهند (مانند ارائه‌دهندگان سرور، نرم‌افزارهای حسابداری یا سیستم‌های پشتیبانی مشتریان) را هک می‌کنند و از طریق شبکه‌ی آسیب‌پذیر آن‌ها، به آرامی وارد هسته‌ی مرکزی صرافی می‌شوند.
• کمین در قراردادهای هوشمند: در پلتفرم‌های دیفای، هکرها کدهای قرارداد هوشمند (Smart Contract - کدهای برنامه‌نویسی خودکاری که روی بلاک‌چین اجرا می‌شوند و توافقات مالی را بدون نیاز به واسطه انجام می‌دهند) را هفته‌ها و ماه‌ها بررسی می‌کنند. هدف آن‌ها پیدا کردن یک روزنه‌ی بسیار کوچک در کدنویسی است تا در زمان مناسب، از همان طریق تمام موجودی قرارداد را تخلیه کنند.

بررسی نمونه‌های واقعی از سرقت‌های سازمان‌یافته در دنیای رمزارزها

برای اینکه درک کنیم این نوع نفوذها در واقعیت چقدر ویرانگر هستند، کافی است به یکی از بزرگ‌ترین سرقت‌های تاریخ کریپتو یعنی هک شبکه‌ی رونین نگاهی بیندازیم.

شبکه‌ی رونین پشتیبان مالی یک بازی بسیار معروف بر بستر بلاک‌چین بود. گروه هکری لازاروس که یک گروه سازمان‌یافته و بسیار خطرناک است، یک حمله‌ی APT کلاسیک را علیه سازندگان این شبکه ترتیب داد. روش کار آن‌ها بی‌نظیر و در عین حال ترسناک بود:

هکرها ابتدا از طریق لینکدین، به مهندسان ارشد این شرکت پیام دادند و خود را به عنوان نماینده‌ی یک شرکت معتبر فناوری جا زدند. پس از چند دوره مصاحبه‌ی کاری دروغین، یک فایل پی‌دی‌اف حاوی پیشنهاد حقوق بسیار بالا برای یکی از مهندسان ارسال کردند.

به محض اینکه این مهندس فایل را روی کامپیوتر شرکت باز کرد، بدافزار به صورت کاملا خاموش وارد شبکه‌ی سازمان شد. هکرها با استفاده از این دسترسی اولیه، به آرامی در سیستم حرکت کردند و توانستند کنترل پنج گره یا نود اعتبارسنج (Validator Node - کامپیوترهای قدرتمندی که وظیفه‌ی تایید تراکنش‌ها و حفظ امنیت کل شبکه را بر عهده دارند) را در دست بگیرند. با در اختیار داشتن این گره‌ها، آن‌ها موفق شدند در یک چشم‌به‌هم‌زدن بیش از ۶۰۰ میلیون دلار دارایی دیجیتال را به سرقت ببرند. این مثال به خوبی نشان می‌دهد که ترکیب صبر، فریب انسانی و دانش فنی بالا در حملات APT تا چه حد می‌تواند برای بازار رمزارزها کشنده باشد.

آشنایی با مشهورترین گروه‌های هکری سازمان‌یافته در جهان

وقتی درباره‌ی هکرها صحبت می‌کنیم، شاید تصویر یک جوان با هودی مشکی در یک اتاق تاریک به ذهنتان خطور کند. اما در دنیای تهدیدات پیشرفته‌ی مستمر یا همان حملات APT، ما با این تصویر سینمایی روبه‌رو نیستیم. در اینجا ما با سازمان‌های عظیمی طرف هستیم که مانند یک ارتش سایبری عمل می‌کنند. این گروه‌ها کارمندان حرفه‌ای، بودجه‌های کلان و برنامه‌ریزی‌های طولانی‌مدت دارند.

شرکت‌های بزرگ امنیت سایبری برای شناسایی، پیگیری و دسته‌بندی این گروه‌های خطرناک، به آن‌ها لقب‌های خاصی می‌دهند که معمولا از نام حیوانات الهام گرفته شده است و به منشا جغرافیایی آن‌ها اشاره دارد. در ادامه‌ی این بخش، با دو مورد از معروف‌ترین و خطرناک‌ترین این گروه‌ها آشنا می‌شویم تا ببینیم در پس‌زمینه‌ی این دنیای دیجیتال چه کسانی در حال فعالیت هستند.

گروه هکری Fancy Bear و اهداف بین‌المللی آن

گروه هکری Fancy Bear یکی از شناخته‌شده‌ترین و پیچیده‌ترین تیم‌های APT در جهان است. در ادبیات امنیت سایبری، کلمه‌ی خرس معمولا برای اشاره به گروه‌های هکری سازمان‌یافته و مستقر در روسیه استفاده می‌شود. این گروه شبیه به یک سازمان اطلاعاتی بسیار زبده عمل می‌کند و اهداف آن معمولا دولت‌ها، ارتش‌ها، سازمان‌های بین‌المللی و گاهی اوقات زیرساخت‌های مالی بزرگ است.

ابزار اصلی این گروه برای نفوذ، استفاده از تکنیک فیشینگ نیزه‌ای (Spear-phishing - ارسال ایمیل‌های فریبنده و کاملا شخصی‌سازی شده برای یک فرد خاص در یک سازمان جهت سرقت رمز عبور یا نصب بدافزار) است. آن‌ها با دقت یک تک‌تیرانداز، ایمیل‌هایی را طراحی می‌کنند که دقیقا شبیه به نامه‌های کاری، معتبر و مهم است و با همین ترفند ساده اما مهلک، به عمیق‌ترین لایه‌های یک شبکه‌ی امنیتی نفوذ می‌کنند. هدف اصلی Fancy Bear بیشتر جمع‌آوری اطلاعات استراتژیک و تاثیرگذاری بر معادلات جهانی است، اما ابزارها و کدهای مخرب آن‌ها گاهی توسط گروه‌های دیگر کپی‌برداری می‌شود تا از آن‌ها برای سرقت در بازار رمزارزها و پلتفرم‌های مالی استفاده کنند.

گروه هکری Goblin Panda و تمرکز بر جاسوسی سایبری

گروه Goblin Panda یکی دیگر از بازیگران قدرتمند در دنیای حملات APT است. همان‌طور که از کلمه‌ی پاندا در نام این گروه پیداست، متخصصان امنیتی این تیم را به هکرهای سازمان‌یافته در چین مرتبط می‌دانند. اگر گروه قبلی را یک سازمان اطلاعاتی در نظر بگیریم، این گروه بیشتر شبیه به یک جاروبرقی دیجیتال و کاملا خاموش است که ماموریت اصلی آن، مکیدن و سرقت اطلاعات باارزش است.

تمرکز اصلی این هکرها روی جاسوسی سایبری (Cyber Espionage - نفوذ پنهانی به سیستم‌های کامپیوتری برای سرقت اطلاعات محرمانه، اسناد تجاری و اسرار فناوری رقبا یا کشورهای دیگر) قرار دارد. اهداف آن‌ها معمولا شرکت‌های حوزه‌ی فناوری، انرژی و بخش‌های مهم دولتی است.

نحوه‌ی کار Goblin Panda معمولا شامل استراتژی‌های زیر است:

• استفاده از اسناد آلوده: آن‌ها اسناد متنی ظاهرا مفیدی (مانند فایل‌های Word یا PDF) را برای کارمندان یک سازمان می‌فرستند که در پس‌زمینه‌ی خود، کدهای مخرب را به صورت پنهانی روی سیستم اجرا می‌کنند.
• ایجاد ابزارهای سفارشی: این گروه برنامه‌های مخربی می‌سازد که به طور خاص برای دور زدن آنتی‌ویروس‌ها و سیستم‌های دفاعی همان شبکه‌ی هدف طراحی شده‌اند، بنابراین نرم‌افزارهای امنیتی سنتی متوجه حضور آن‌ها نمی‌شوند.
• سرقت مالکیت معنوی: هدف نهایی آن‌ها در بیشتر مواقع، سرقت نقشه‌ها، کدهای برنامه‌نویسی و اسناد محرمانه است. در دنیای فناوری و بلاک‌چین، دسترسی به این نوع اطلاعات زیرساختی گاهی بسیار ارزشمندتر از سرقت مستقیم پول نقد است، زیرا به هکرها اجازه می‌دهد تا کنترل کامل پلتفرم را در آینده به دست بگیرند.

استراتژی دفاعی: چگونه در برابر حملات APT از شبکه‌ها و دارایی‌ها محافظت کنیم؟

اکنون که می‌دانیم هکرهای سازمان‌یافته چقدر بی‌سروصدا و خطرناک عمل می‌کنند، سوال اصلی این است که چگونه باید از سرمایه‌ی دیجیتال و اطلاعات خود دفاع کنیم؟ برای مقابله با تهدید پیشرفته مستمر، داشتن یک دیوار بلند (مثل یک آنتی‌ویروس ساده) دیگر کافی نیست. شما باید قلعه‌ی خود را طوری طراحی کنید که حتی اگر کسی از دیوار عبور کرد، نتواند به خزانه‌ی اصلی برسد و در تله‌های امنیتی گرفتار شود. دفاع در برابر این حملات نیازمند یک رویکرد همه‌جانبه است که در ادامه مهم‌ترین بخش‌های این استراتژی دفاعی را با هم بررسی می‌کنیم.

ارتقای آگاهی سازمانی و آموزش مداوم امنیت سایبری به تیم‌ها

هرچقدر هم که سیستم‌های امنیتی یک صرافی یا پلتفرم مالی پیشرفته باشد، خطای انسانی می‌تواند تمام این سدها را در هم بشکند. در دنیای امنیت سایبری جمله‌ی معروفی وجود دارد که می‌گوید امنیت یک سیستم دقیقا به اندازه‌ی ضعیف‌ترین حلقه‌ی آن است و اغلب اوقات، انسان‌ها همان حلقه‌ی ضعیف هستند.

بسیاری از حملات APT با یک حمله‌ی فیشینگ (Phishing - تلاش برای فریب دادن افراد جهت افشای اطلاعات حساس مانند رمز عبور، معمولا از طریق ارسال ایمیل‌ها یا پیام‌های جعلی که شبیه به منابع معتبر طراحی شده‌اند) آغاز می‌شوند. بنابراین، اولین و مهم‌ترین خط دفاعی، آموزش مداوم تیم‌ها است. کارمندان یک پلتفرم رمزارزی باید یاد بگیرند که روی هر لینکی کلیک نکنند، فایل‌های پیوست ایمیل‌های ناشناس را باز نکنند و تکنیک‌های مهندسی اجتماعی را بشناسند. این آموزش‌ها نباید فقط یک بار در سال برگزار شوند، بلکه باید به یک فرهنگ سازمانی و روزمره تبدیل گردند.

پیاده‌سازی سیستم‌های امنیتی چندلایه و پایش لحظه‌ای (Zero Trust Architecture)

در گذشته، سازمان‌ها فرض می‌کردند هر کسی که در داخل شبکه‌ی آن‌ها حضور دارد، قابل اعتماد است. اما حملات APT ثابت کردند که این یک اشتباه بزرگ است. امروزه بهترین راهکار دفاعی، استفاده از معماری اعتماد صفر (Zero Trust Architecture - یک رویکرد امنیتی مدرن که در آن هیچ کاربر یا دستگاهی، چه در داخل و چه در خارج از سازمان، به صورت پیش‌فرض قابل اعتماد نیست و باید برای هر درخواستی هویت او تایید شود) است.

برای درک بهتر، یک ساختمان اداری را تصور کنید. در سیستم‌های قدیمی، نگهبان فقط در ورودی کارت شناسایی شما را چک می‌کرد و بعد از آن می‌توانستید به تمام اتاق‌ها بروید. اما در معماری اعتماد صفر، روی در تک‌تک اتاق‌ها یک نگهبان ایستاده است و برای ورود به هر بخش، باید دوباره کارت شناسایی خود را نشان دهید. با اجرای این سیستم و پایش لحظه‌ای ترافیک شبکه، حتی اگر یک هکر موفق شود وارد سیستم یک کارمند شود، نمی‌تواند به راحتی در شبکه‌ی صرافی حرکت کند و به سرورهای نگهداری رمزارز برسد.

نقش حیاتی احراز هویت چندعاملی یا 2FA و محدود کردن دسترسی به داده‌های حساس

یکی از ساده‌ترین اما قدرتمندترین سدهای دفاعی، استفاده از احراز هویت دو مرحله‌ای (2FA - یک لایه‌ی امنیتی اضافی که برای ورود به حساب کاربری، علاوه بر رمز عبور، به یک کد تایید موقت از طریق پیامک یا اپلیکیشن‌های خاص مانند گوگل اتنتیکیتور نیاز دارد) است. با فعال کردن 2FA، حتی اگر هکرها رمز عبور مدیر سیستم را هم به دست بیاورند، بدون داشتن گوشی موبایل او نمی‌توانند وارد شبکه شوند.

در کنار این موضوع، باید از اصل حداقل دسترسی (Principle of Least Privilege - دادن حداقل دسترسی ممکن به هر کارمند، فقط در حدی که بتواند وظایف روزمره‌ی خود را انجام دهد) استفاده کرد. قرار نیست همه‌ی کارمندان بخش پشتیبانی به کلیدهای خصوصی کیف پول‌های سازمانی یا دیتابیس اصلی کاربران دسترسی داشته باشند. با دسته‌بندی و محدود کردن این دسترسی‌ها، جلوی گسترش نفوذ هکرها به شدت گرفته می‌شود.

مدیریت رمزهای عبور پیچیده و به‌روزرسانی مداوم زیرساخت‌ها

یکی از راه‌های مورد علاقه‌ی هکرها برای ورود به سیستم، سوءاستفاده از نرم‌افزارهای قدیمی و به‌روزرسانی نشده است. وقتی سازنده‌ی یک نرم‌افزار متوجه یک نقطه‌ی ضعف امنیتی می‌شود، یک فایل اصلاحی برای آن منتشر می‌کند. به این کار مدیریت وصله‌های امنیتی (Patch Management - فرایند بررسی و نصب مداوم به‌روزرسانی‌های نرم‌افزاری برای رفع نقاط ضعف و باگ‌هایی که ممکن است توسط مهاجمان سوءاستفاده شوند) می‌گویند. اگر پلتفرم‌های دیفای یا صرافی‌ها، سرورها و سیستم‌عامل‌های خود را به صورت مداوم آپدیت نکنند، هکرها از همان درهای باز وارد می‌شوند.

همچنین، استفاده از رمزهای عبور تکراری و ساده یکی دیگر از نقاط ضعف مرگبار است. مدیران شبکه‌های بلاک‌چینی باید از برنامه‌های مدیریت رمز عبور استفاده کنند تا برای هر حساب کاربری، یک رمز طولانی، پیچیده و کاملا منحصربه‌فرد ایجاد شود.

اهمیت زمان و واکنش سریع تیم‌های امنیتی در خنثی‌سازی تهدیدات

مهم‌ترین سرمایه‌ی هکرهای APT در طول یک حمله، زمان است. آن‌ها به زمان نیاز دارند تا اطلاعات را جمع‌آوری و برای خروج آماده کنند. در دنیای امنیت، مفهومی به نام زمان ماندگاری (Dwell Time - مدت زمانی که یک هکر بدون اینکه شناسایی شود، به صورت پنهانی در شبکه‌ی هدف حضور دارد) وجود دارد. هرچه این زمان کوتاه‌تر باشد، احتمال به سرقت رفتن دارایی‌های دیجیتال کمتر می‌شود.

برای کاهش این زمان، پلتفرم‌های مالی به یک طرح واکنش به حادثه (Incident Response Plan - یک برنامه‌ی دقیق و از پیش تعیین شده که به تیم‌های امنیتی می‌گوید در لحظه‌ی کشف نفوذ، دقیقا چه اقداماتی را برای مهار هکرها و رفع خطر انجام دهند) نیاز دارند. داشتن این طرح باعث می‌شود تا تیم امنیتی در زمان بحران دچار سردرگمی نشود و در سریع‌ترین زمان ممکن، دسترسی هکرها را قطع کرده و از خروج داده‌ها یا انتقال غیرمجاز رمزارزها جلوگیری کند.

سخن پایانی: چرا امنیت در برابر APT یک مسیر همیشگی است، نه یک مقصد؟

رسیدن به امنیت کامل در دنیای دیجیتال، شبیه به ساختن یک گاوصندوق جادویی و همیشه امن نیست؛ بلکه بیشتر شبیه به مراقبت روزانه از سلامتی بدن است. شما نمی‌توانید فقط با یک بار رفتن به باشگاه ورزشی، برای تمام عمر سالم و قوی بمانید. امنیت شبکه‌های بلاک‌چینی و پلتفرم‌های معاملاتی نیز دقیقا همین حالت را دارد. در برابر یک حمله‌ی APT یا همان تهدید پیشرفته‌ی مستمر، ما با نرم‌افزارهای ثابت و بی‌جان روبه‌رو نیستیم؛ بلکه با گروه‌هایی از انسان‌های بسیار باهوش، صبور و باانگیزه طرف هستیم که هر روز روش‌های نفوذ خود را تغییر داده و ارتقا می‌دهند.

همان‌طور که در این مقاله یاد گرفتیم، هکرهای سازمان‌یافته دیگر به دنبال خودنمایی یا تخریب‌های پرسروصدا نیستند. آن‌ها در سکوت و تاریکی شبکه‌های کامپیوتری حرکت می‌کنند و هدف نهایی آن‌ها، دسترسی به کلیدهای خصوصی و سرمایه‌ی دیجیتال پلتفرم‌ها است. در اکوسیستم ارزهای دیجیتال که ماهیت غیرمتمرکز دارد، تراکنش‌ها پس از انجام شدن دیگر غیرقابل برگشت هستند. این یعنی یک غفلت کوچک و باز کردن یک ایمیل آلوده، می‌تواند به قیمت از دست رفتن سرمایه‌ی هزاران کاربر تمام شود.

بنابراین، بهترین رویکرد برای سازمان‌های مالی و حتی کاربران عادی، پذیرش مفهوم دفاع پیشگیرانه (Proactive Defense - یک استراتژی امنیتی که در آن به جای صبر کردن برای وقوع حمله، به صورت مداوم به دنبال شناسایی نقاط ضعف و خنثی کردن تهدیدات احتمالی می‌گردیم) است. در این رویکرد، ما همیشه فرض می‌کنیم که مهاجمان در حال تلاش برای ورود هستند یا حتی ممکن است پیش از این وارد سیستم شده باشند.

برای اینکه در این مسیر همیشگی، دارایی‌های دیجیتال خود را از دستبرد شکارچیان خاموش در امان نگه داریم، رعایت این اصول ضروری است:

• آموزش مستمر انسان‌ها: آگاهی‌بخشی به تیم‌های پشتیبانی، مدیران و کاربران باید به یک برنامه‌ی روزمره تبدیل شود، زیرا فریب دادن انسان‌ها همیشه آسان‌تر از هک کردن کامپیوترها است.
• پایش بدون توقف: بررسی ترافیک شبکه و رفتار کاربران برای پیدا کردن نشانه‌های مشکوک، باید به صورت شبانه‌روزی و بدون لحظه‌ای توقف انجام شود.
• ارتقای دائمی و سریع زیرساخت‌ها: سیستم‌عامل‌ها، کیف پول‌های سازمانی و نرم‌افزارهای امنیتی باید به محض انتشار نسخه‌های جدید، به‌روزرسانی شوند تا روزنه‌های نفوذ بسته بمانند.

در نهایت، به خاطر داشته باشید که امنیت یک کالا نیست که بتوانید آن را بخرید و خیالتان برای همیشه راحت شود. امنیت یک فرهنگ و یک فرایند همیشگی است. با درک درست از شیوه‌ی کار مهاجمان APT و اجرای سیستم‌های دفاعی چندلایه، می‌توانیم با خیالی آسوده‌تر در بازار رمزارزها فعالیت کنیم و از سرمایه‌ی ارزشمند خود در برابر پیچیده‌ترین تهدیدات سایبری محافظت نماییم.