بدافزار جدید نامرئی که بانک ها و سازمان های جهانی را مورد هدف قرار داده است !

بدافزار جدید نامرئی که بانک ها و سازمان های جهانی را مورد هدف قرار داده است !

#امنیت ؛ در این مقاله به معرفی و بررسی نحوه کارکرد بدافزار جدید می پردازیم که بصورت نامرئی بانک ها و سازمان های جهانی را هدف قرار اده است . با ما با این بدافزار جدید نامرئی همراه باشید : 
دو سال گذشته، پژوهشگران لابراتوار کسپرسکی مستقر در مسکو متوجه آلودگی ای در شبکه ی مجموعه ی خود شدند که توسط بدافزاری عجیب و خلاف آنچه که تا به حال دیده بودند، مورد حمله قرار گرفته بود. تقریبا تمام بدافزارها در حافظه ی کامپیوتر اقامت می گزینند و این ناحیه را تحت تاثیر آلودگی خود قرار می دهند، اما این بدافزار که در نوبه ی خودش شاهکار به حساب می آید توانسته بود آلودگی را به مدت شش ماه و حتی بیشتر به صورت غیر قابل تشخیص حفظ کند. کسپرسکی در نهایت متوجه شد که که این بدافزار رفتاری شبیه Duqu 2.0 تروجانی که به ندرت دیده می شود و از مشتقات Stuxnet،(کرم های بسیار پیچیده که توسط آمریکا و اسرائیل برای خرابکاری در برنامه ی هسته ای ایران ایجاد شده بودند)، دارد. ( بدافزار جدید )
در حال حاضر، بدافزار Fileless بخشی از یک نرم‌افزار مخرب است که برای اجرا شدن هیچ‌گونه فایل یا فولدری را بر روی هارد دیسک کپی نمی‌کند. به جای این کار، payload ها به صورت مستقیم بر روی حافظه فرآیندهای در حال اجرا تزریق می‌شوند و این بدافزار بر روی RAM سیستم مورد نظر اجرا می‌شود .طبق گزارش هایی که لابراتوار کسپرسکی در روز چهارشنبه منتشر ساخت، شبکه های متعلق به ۱۴۰ بانک و شرکت های دیگر توسط همین بدافزار که در حافظه ی کامپیوترها به صورت نامرئی باقی مانده بود، آلوده شدند. از آنجا که این آلودگی بسیار وخیم و غیر قابل تشخیص بوده است، از آنجا که این حمله به‌سختی قابل شناسایی است، تعداد واقعی شبکه‌های آلوده شده را نمی توان دقیق د بیش از این مقدار است.

 

بدافزار جدید نامرئی که بانک ها و سازمان های جهانی را مورد هدف قرار داده است !                         2

یکی دیگر از مواردی که باعث می شد این آلودگی غیر قابل تشخیص باقی بماند استفاده از موارد قانونی و مشروع در سیستم های اداری و ابزارهای امنیتی که شامل PowerShell، Metasploit و Metasploit برای تزریق بدافزار به حافظه ی کامپیوتر بود. با توجه به اینکه این بدافزار بر روی حافظه اجرا می‌شود، هنگامی‌که سیستم راه‌اندازی مجدد می‌شود، استفاده از حافظه بلااستفاده می‌شود و این امر پیدا کردن ردی از این بدافزار را برای متخصصان بررسی‌های دیجیتالی سخت می‌کند.
Kurt Baumgartner متخصص امنیتی در لابراتوار کسپرسکی به Ars گفت: جالب اینجا است که این حملات مداوم در سطح جهان در برابر بانک ها و موسسات مالی بوده است. بسیاری از این بانک ها به اندازه ی کافی برای مقابله با این حملات آماده نبودند. او در ادامه گفت که مجرمان این حملات دستگاه های خودپرداز را مورد هدف قرار داده اند و از این طریق پول ها را از بانک ها به سمت خود هدایت می کنند. ( بدافزار جدید )
۱۴۰ سازمان که تا به حال نام آن ها ذکر نشده است دچار آلودگی شده اند و این حمله ۴۰ کشور مختلف آمریکا، فرانسه، اکوادور، کنیا و انگلستان که جزء ۵ کشور برتر جهان هستند، را مورد هدف قرار داده است. محققان لابراتوار کسپرسکی همچنان اطلاع ندارند که چه کسانی پشت این حمله هستند و توسط چه هکرهایی این طرح آماده شده است. ( بدافزار جدید )
سرقت رمز عبور
برای اولین بار محققان این بدافزار را در سال گذشته کشف کردند، زمانی که تیم امنیتی یک بانک یک کپی از Meterpreter ( جزئی در حافظه ی Metasploit ) در داخل حافظه ی فیزیکی یک کنترل کننده ی دامنه ی مایکروسافت یافته بودند.
پس از انجام آنالیزهای دقیق، محققان دریافتند که مهاجمان PowerShell ویندوز را مجبور ساخته بودند که یک کد Meterpreter را به صورت مستقیم و به جای اینکه آن را بر روی دیسک بنویسد، آن بر روی حافظه ذخیره کند.

 

کلاه‌برداران سایبری همچنین از ابزار NETSH networking متعلق به مایکروسافت استفاده کرده بودند تا بتوانند یک تونل پروکسی برای ارتباط برقرار کردن با سرورcommand and control راه‌اندازی کنند و به این وسیله قادر شوند از راه دور میزبان آلوده شده را کنترل کنند. برای به دست گرفتن دسترسی مدیریتی نیاز به انجام این کارها است و مهاجمان همچنین می بایستی بر دستور Mimikatz تکیه می کردند. برای کاهش شواهد به جا مانده در log یا هارد دیسک ها، مهاجمان دستورات PowerShell را در ریجستری ویندوز پنهان کرده بودند. ( بدافزار جدید )
خوشبختانه شواهدی که روی کنترل کننده ی دامنه نمایان شده است کاملا دست نخورده و بی نقص به جا مانده علت آن هم می توان راه اندازی نشدن مجدد آن قبل از اینکه محققان لابراتوار کسپرسکی تحقیقات خود را آغاز کنند، دانست. و آنالیزهای مختلف روی محتویات حافظه و ریجستری های ویندوز امکان بازیابی کدهای Meterpreter و Mimikatz را به محققان می دهد. محققان بعد از مدتی متوجه شدند که مجرمان ابزاری برای جمع آوری رمزهای عبور مدیران سیستم به کار می بردند و از راه دور میزبان آلوده شده را کنترل می کردند. ( بدافزار جدید )
محققان هنوز هم مطمئن نیستند که این بدافزار تا کی می تواند پنهان بماند. اما مشخص است که هدف نهایی مهاجمان دسترسی و پیدا کردن به کامپیوترهای در معرض خطر و کنترل ATM ها و درنهایت سرقت پول است. محققان لابراتوار کسپرسکی قصد دارند تا جزئیات بیشتری را در رابطه با این حمله که در مقیاس صنعتی و در سراسر جهان رخ داده است را در ماه آوریل ۲۰۱۷ منتشر کنند. ( بدافزار جدید )

 

مقالات مرتبط :

 

جایزه یافتن باگ در سرویس های مایکروسافت دو برابر شد
بدافزار جدید شیمون ۲

 

پیمان قربانزاده
پیمان قربانزاده
با سلام . پیمان قربانزاده هستم . مدیر سایت پویا سیستم . من و تمام مجموعه پویا سیستم خوشحال می شویم که به شما در زمینه مشکلات نرم افزاری که دارید . کمک کنیم . پس با ما در ارتباط باشید .

سیستم نظردهی برای این مطلب توسط مدیریت بسته شده است.