סימנטק: כך פועלת הנוזקה מדרום קוריאה

בעקבות הדיווחים האחרונים של התקפות האקרים על רשתות שידור ובנקים בדרום קוריאה.

ההתקפה כללה השחתה של ספק ISP/טלקום קוריאני וכן שיתוק של מספר שרתים ששייכים למגוון ארגונים. ההשחתה מציגה דף אינטרנט מאויר משוכלל עם אפקטים קוליים, המראה 3 גולגולות וכולל גם מסר מפי התוקפים, המכנים עצמם צוות "Whois".

ההתקפה התגלתה כאשר מספר אתרים החלו לחוות בעיות. לקוחות בנקים לא הצליחו לגשת לחשבון שלהם מהאינטרנט, ודיווחים החלו לצוף על אתרים אחרים שנפלו. למרות שלא כל הפרטים ידועים עתה, דווח כי מספר באתרים שהותקפו נמחקו כוננים קשיחים שלמים, אשר השאירו אתרים אלה במצב מאוד קשה.

הנוזקה אותה זיהתה סימנטק היא מסוג Trojan Horse/Trojan.Jokra ו-WS.Reputation.1.

כיצד פועלת הנוזקה?

• יוצרת אובייקט מיפוי קבצים (File Mapping Object) בכדי ליצור ייחוס עצמי, תחת השם: JO840112-CRAS8468-11150923-PCI8273V

• מסיימת שני תהליכים הקשורים לספקי מוצרי אנטי וירוס או הגנה מקומיים: pasvc.exe, clisvc.exe

• הנוזקה מונה את כל הכוננים ומתחילה לדרוס MBR (רשומת אתחול ראשית) וכל מידע אחר השמור עליהם, על-ידי כתיבה של המחרוזת PRINCIPES"" או HASTATI"." (כולל נקודה בשם בסוף המחרוזת). אלה מוחקות את כל המידע על הכונן הקשיח.

• הנוזקה יכולה לבצע אותה פעולת מחיקה גם על כל כונן קשיח המחובר אל המחשב הנגוע.

• הנוזקה מכריחה את המחשב לבצע אתחול מחדש על-ידי פקודת "shutdown -r -t 0" אשר הופכת את המחשב ללא שמיש מאחר שכל ה-MBR והתוכן בכוננים חסרים.

• סימנטק זיהתה רכיב אשר מאפשר מחיקה של מכונות Linux:

• הרכיב, אשר במפתיע מוחק מכונות Linux בעודו פועל על מערכות Windows, בודק מחשבים עם מערכות הפעלה Windows7 או Windows XP, ומחפש יישום הנקרא mRemote – מנהל מולטי-פרוטוקול של חיבורים מרחוק בקוד פתוח – אשר שומר קובץ תצורה של חיבורים שמורים, ומנתח קובץ XML זה כדי לחפש חיבורים עם הרשאות שורש (root) באמצעות שימוש בפרוטוקול SSH. לאחר מכן הוא מושך את הפרמטרים המשמשים לחיבור.

תוצאה של מחיקת כוננים קשיחים עולה בקנה אחד עם הפסקות קודמות בחשמל שנגרמו באותו אזור. למעשה, פעילות של מחיקת כוננים קשיחים אינה חדשה; לדוגמא, תקרית שונה באוגוסט 2012, בה מספר ארגונים במזרח התיכון נפגעו על-ידי תולעת שכונתה shamoon, אשר גרמה לנזק דומה על-ידי מחיקת כוננים קשיחים.

כרגע אין אינדיקציות למקור ההתקפה או לאופן בו התוקפים הסתננו למערכות הנגועות. גם המניעים האמיתיים של התקיפה אינם ברורים עדיין, אך יש המשייכים זאת למתיחות הפוליטית בין קוריאה הדרומית והצפונית, כך שיתכן שהתקפות אלו הן חלק ממתקפה חשאית או ממקרה בו האקרים לאומניים לוקחים את העניינים לידיהם.