«رايانه‌هاي ايراني در معرض تاخت و تاز يک ويروس خطرناک» اين خبري است که اين روزها بر خروجي اکثر خبرگزاري‌هاي خارجي و داخلي قرار گرفته است.

در ابتدا گمان مي‌رفت که اين يک حمله معمولي مانند هزاران حمله ويروسي است که روزانه ميليون‌ها رايانه در سراسر جهان را مورد هدف قرار مي‌دهد؛ اما گويا اين حمله بسيار جدي بوده و برعکس هميشه، بيشتر رايانه‌هاي ايران، اندونزي و هندوستان را مورد هجوم خود قرار داده است. همچنين براساس گزارش‌هاي منتشر شده، رايانه‌هاي شخصي در ايران بيش از ديگر کشورها به کرم رايانه‌اي خطرناکي به نام SCADAکه به Stuxnet نيز شهرت دارد، آلوده شده است. گفتني است که هدف اين کرم رايانه‌اي سرقت اطلاعات از سيستم‌هاي کنترل صنعتي است. حتي برخي کارشناسان آن را نخستين تروجاني مي‌دانند که اطلاعات صنعتي را به سرقت مي‌برد.

نخستين ويروس صنعتي
شايد اين اولين باري باشد که يک ويروس تا اين سطح وسيع از رايانه‌هاي کشور را مورد حمله خود قرار مي‌دهد، چرا که بر اساس اطلاعات جمع آوري شده توسط شرکت امنيتي سيمانتک در حدود 60 درصد از سيستم‌هاي رايانه‌اي که به اين ويروس آلوده شده‌اند، در ايران قرار دارند.به گفته الياس لووي، مدير ارشد فني بخش پاسخگويي ايمني سيمانتک، با توجه به تاريخ نشانه‌هاي ديجيتالي که از اين کرم رايانه‌اي به جا مانده، مي‌توان گفت اين نرم‌افزار از ماه ژانويه سال جاري ميان رايانه‌ها در گردش بوده است.Stuxnet ماه گذشته توسط يک شرکت بلاروسي به نام VirusBlockAda کشف شد. اين شرکت در آن زمان اعلام کرد اين ويروس را روي سيستم نرم‌افزاري يکي از مشتريان ايراني خود کشف کرده است.

هدف: سيستم‌هاي کنترل پروژه زيمنس
نام زيمنس و سيستم‌هاي کنترل پروژه به اين ويروس گره خورده است. به گفته کارشناسان امنيتي، اين کرم به دنبال سيستم مديريتي SCADA زيمنس که معمولا در کارخانه‌هاي بزرگ توليدي و صنعتي مورد استفاده قرار مي‌گيرد بوده و تلاش مي‌کند اسرار صنعتي رايانه‌هاي اين کارخانه‌ها را روي اينترنت بارگذاري (Upload) کند.

در همين حال مشخص نيست، چرا بيشترين موارد آلودگي در ايران ديده شده است، هر چند اين احتمال بسيار تقويت شده که اين ويروس مخصوص صنايع ايران طراحي شده باشد. سيمانتک در اين زمينه اعلام کرده نمي‌داند، چرا ايران و ديگر کشورها به اين اندازه تحت تاثير آلودگي‌هاي ويروسي قرار دارند. به گفته لووي، تنها مي‌توان گفت افرادي که اين نرم‌افزارهاي خاص را ساخته اند، آن را ويژه حمله به اين نقاط جغرافيايي خاص طراحي کرده‌اند.

شرکت زيمنس که نرم افزارهايش تحت حمله اين ويروس قرار گرفته، تعداد مشتريان خود را در ايران اعلام نمي‌کند، اما به تازگي اعلام کرده دوشرکت آلماني به واسطه اين ويروس آلوده شده اند. بر اساس گزارش‌هاي منتشر شده نرم افزار آنتي‌ويروس رايگاني که طي چند روز گذشته روي وب سايت زيمنس قرار گرفته تاکنون هزار و 500 بار دانلود شده است.سيمانتک اطلاعات خود را به واسطه همکاري با صنايع و تغيير مسير ترافيک به وجود آمده به منظور اتصال به سرورهاي کنترل و فرمان کرم رايانه‌اي به سوي رايانه‌هاي خود جمع‌آوري کرده است. طي دوره‌اي سه روزه رايانه‌هايي که در 14 هزار آدرس IP حضور داشتند تلاش کردند با اين سرورهاي کنترل و فرمان ارتباط برقرار کنند که اين نشان مي‌دهد تعداد کمي‌از رايانه‌هاي خانگي در سرتاسر جهان به اين کرم آلوده شده اند. تعداد دقيق رايانه‌هاي آلوده مي‌تواند در حدود 15 تا 20 هزار باشد، زيرا بسياري از شرکت‌ها براي چند رايانه يک آدرس IP در نظر مي‌گيرند.به اين دليل که سيمانتك مي‌تواند آدرس‌هاي IP مورد استفاده سيستم‌هاي رايانه‌اي را براي اتصال به سرورهاي کنترل و فرمان مشاهده کند، مي‌تواند تعيين کند کدام رايانه آلوده شده است. به گفته اين شرکت، رايانه‌هاي آلوده شده به سازمان‌هاي متعددي تعلق داشتند که از نرم افزار و سيستم‌هاي SCADA استفاده مي‌کردند، ويژگي که به روشني مورد هدف حمله هکرها بوده است.


بر اساس گزارش PCworld، کرم Stuxnet توسط ابزارهاي USB دار انتقال پيدا مي‌کند، زماني که ابزاري آلوده به اين شکل به رايانه اتصال پيدا مي‌کند، کدهاي آن به جست‌وجوي سيستم‌هاي زيمنس گشته و خود را روي هر ابزار USB دار ديگري که بيابد، کپي خواهد کرد.به نوشته سيمانتک دليل اصلي توليد اين ويروس مشخص نيست، اما انگيزه‌هاي جاسوسي صنعتي، تروريسم صنعتي يا حتي انگيزه‌هاي منفي برخي کارکنان و همچنين انگيزه‌هاي کشف اطلاعات محرمانه توسط رقبا ممکن است از جمله دلايل ايجاد اين ويروس بوده باشد.


هشدار به کاربران ايراني
براساس گزارش‌هاي منتشر شده در اکثر سايت‌هاي معتبر دنيا اين بدافزار جاسوسي با سوء استفاده از يك آسيب‌پذيري جديد و اصلاح نشده در ويندوز، به سرعت در حال گسترش است.
در همين زمينه اسماعيل ذبيحي، مسوول اطلاع‌رساني شرکت ايمن رايانه پندار، نماينده انحصاري شرکت پاندا در ايران مي‌گويد: «‌ريشه گسترش اين ويروس اين حفره امنيتي مربوط به شرکت مايکروسافت است و اگر اين حفره امنيتي وجود نداشت اين ويروس تا اين حد گسترش پيدا نمي‌کرد، البته شرکت مايکروسافت اصلاحيه موقت خود را منتشر کرده و اگر کاربران از اين اصلاحيه استفاده کنند به مشکلي بر نخواهند خورد.» وي در خصوص گسترش اين بدافزار در کشور مي‌گويد: «اين ويروس تنها دستگاه‌هاي scada را مورد حمله قرار مي‌دهد؛ يعني سيستم‌هاي کنترل مديريت پروژه در صنايع بزرگ. و از آنجايي که ايران در صنايع بزرگ از محصولات زيمنس استفاده مي‌کند بنابراين بيشتر دچار آسيب شده است.‌ همچنين از آنجايي که اين ويروس به صورت نامحسوس است بدون اينکه صاحبان صنايع متوجه شوند اطلاعات نشت پيدا مي‌کند.» براساس اظهارات وي هنوز مشخص نيست که چرا ايران و شرکت زيمنس در اين بين قرباني شده‌اند. همچنين به گفته وي 13 درصد آلودگي‌ها از طريق ايميل و دانلود مستقيم از اينترنت صورت گرفته است و بيشترين عامل پخش اين ويروس در ايران از طريق USB بوده است با اين حال به گفته ذبيحي تاکنون تنها 2 درصد کامپيوتر کشور به اين ويروس آلوده شده‌اند.


اما علي رضا صالحي، روابط عمومي‌‌شرکت کسپراسکاي، بر اين باور است که اين بد افزار آن طور که رسانه‌ها آن را بزرگ جلوه مي‌دهند، خطرناک نيست و مشکل جدي به وجود نخواهد آورد. وي در ادامه مي‌گويد: «اين بدافزار جديد كه در واقع يك rootkit است، از يك آسيب پذيري در فايل‌هاي shortcut با پسوند .lnk سوء استفاده مي‌كند.


بدافزار مذكور نرم‌افزار Siemens WinCC Scada را كه روي ويندوز 7 نسخه Enterprise و سيستم‌هاي x86 اجرا مي‌شود، آلوده مي‌سازد. اين ويروس از طريق درايوهاي USB گسترش پيدا مي‌كند و زماني كه يك آيكون Shortcut روي صفحه نمايش قرباني نشان داده مي‌شود، به صورت اتوماتيك اجرا مي‌شود.» وي در ادامه مي‌افزايد: «‌ هدف بدافزار مذكور گرفتن حق دسترسي مديريتي و دسترسي به داده‌هاي سيستم‌هاي Scada است كه معمولا توسط سازمان‌هاي داراي زيرساخت‌هاي حياتي مورد استفاده قرار مي‌گيرد. اين بدافزار از نام كاربري و كلمه عبوري كه در نرم‌افزار Siemens به صورت hard-coded وجود دارد، سوءاستفاده مي‌كند.» همچنين گفته مي‌شود که اين بدافزار جديد از يک امضاي ديجيتالي مربوط به معتبرترين شرکت سخت‌افزاري يعني Realtek Semiconductor Corporation براي اعتباردهي به درايورهاي خود استفاده مي‌كند.


به گفته صالحي پس از انتشار اين بدافزار شرکت کسپر اسکاي در 13 جولاي، شرکت مکافي در 16 جولاي و شرکت سيمانتک در 17 جولاي آن را شناسايي و براي آن برنامه لازم را نوشته و انتشار داده اند.به گفته کارشناسان يکي از دلايل اصلي انتشار اين بدافزار در کشور به ضعف سيستم امنيتي سازمان‌هاي از جمله سازمان‌هاي صنعتي کشور باز مي‌گردد. در اين خصوص صالحي مي‌گويد: ‌« در سه سال اخير توجه به حوزه امنيت پر رنگ‌تر شده و اغلب شرکت‌ها و سازمان‌هاي مهم و بزرگ به سمت استفاده از آنتي ويروس‌هاي اصل روي آورده‌اند. طبيعتا کساني که از آنتي ويروس استاندارد و اصل استفاده مي‌کنند مشکل چنداني نخواهند داشت، اما آن دسته از سازماني‌هايي که از آنتي‌ويروس قفل شکسته استفاده مي‌کنند طبيعتا با مشکل مواجه خواهند شد.» به باور وي اين دسته از شرکت‌ها نه تنها در اين مورد خاص بلکه در اکثر مواقع دچار مشکل مي‌شوند و تنها راه‌حلي که اين شرکت‌ها يا سازمان‌ها را مي‌تواند در مقابل اين حملات پشتيباني کند اين است که در کنار اختصاص دادن بودجه به ساير موارد سازمان خود به بخش امنيت اطلاعات خود نيز توجه ويژه‌اي نشان دهند.


صالحي در ادامه يادآور مي‌شود از آن جايي که اين ويروس، آن‌طور که گفته مي‌شود خطرناک نيست کمتر کاربران خانگي را مورد هدف قرار مي‌دهد، اما کاربران مي‌توانند با استفاده از آنتي‌ويروس‌هاي اصل و استفاده از اصلاحيه شرکت مايکروسافت ضريب امنيت دستگاه خود را بالا ببرند.