آشیان امروز
درباره سایت
آخرین مطالب
- [مسابقه] طراحی هدر انجمن آشیانه ویژه ماه محرم
- حذف خط تکراری در یک فایل تکست
- پسورد یوزری های ویندوز
- کداین برنامه
- نال کردن سی پنل
- نفوذپذیری شبکه های ایرگپ (AirGap)
- کسی اسم این نرم افزار میدونه چیه ؟
- تکنولوژی سخت افزاری هکر ها
- ماژول ها و سورس کد تست نفوذ با پایتون
- باز یابی صدا های ضبظ شده ای که از روی گوشی اند روید حذف شده اند
امکانات وب
به گزارش ایتنا ، مسلما مجرمان دست روی دست نمی گذارند تا کارشناسان امنیتی بتوانند راه های مقابله با آنها را منتشر کنند. اینطور که به نظر می رسد مجرمان در حال تغییر روش های سنتی حمله هستند تا تشخیص دادن آنها به این سادگی ها نباشد.
اما محققان امنیتی به تازگی یک باج افزار fileless جدید را کشف کرده اند که آن را " Sorebrect " نامیده اند. روند عملکرد این باج افزار به گونه ای است که کد مخرب را در یک فرآیند قانونی سیستم مانند svchost.exe بر روی سیستم مورد هدف تزریق کرده و برای فرار از تشخیص داده شدن و شناسایی نشدن به صورت خودکار خود را نابود می کند.
برخلاف بیشتر باج افزارها، Sorebrect به گونه ای طراحی شده است تا سرور سازمان ها و نود شبکه ها را مورد هدف قرار بدهد. پس از آلوده شدن سیستم، کد تزریق شده در سیستم شروع به رمزنگاری فایل بر روی سیستم محلی و سیستم های متصل به آن در شبکه می کند.
این باج افزار fileless ابتدا اعتبار نامه های مدیریتی را با روشی خشونت آمیز به خطر می اندازد و سپس از ابزار command-line مایکروسافت با نام " Sysinternals PsExec" برای رمزنگاری فایل ها استفاده می کند.
کمپانی Trend Micro برای استفاده از PsExec می گوید: به جای آنکه مجرمان یک login session را آماده و از آن استفاده کنند، یا اینکه به صورت دستی بدافزار مورد نظر را مانند RDPها به سیستم مورد هدف انتقال دهند، آنها با به کار گیری این ابزاردستورات را از راه دور اجرا و عملی می کنند.
رمزنگاری فایل های به اشتراک گذاشته شده در یک شبکه توسط Sorebrect
باج افزار Sorebrect زیرکانه عمل می کند. این گونه از بدافزارها تمامی شبکه های داخلی را جستجو می کند تا دیگر کامپیوترهای متصل را که دارای فایل های به اشتراک گذاشته هستند پیدا کند و این فایل ها را نیز قفل کند.
محققان می گویند: "اگر فولدر به اشتراک گذاشته شده گزینه دسترسی به صورت خواندن و نوشتن را برای همه افراد فعال کرده باشد، این فایل ها نیز رمزگذاری خواهند شد".
اما این باج افزار در مرحله نهایی تمامی logها را بر روی سیستم آلوده شده توسط wevtutil.exe و shodow copy ها با استفاده از vssadmin پاک می کند. این logها می توانند شواهد قانونی مانند اجرا شدن یک فایل بر روی سیستم و زمان اجرای آن ها را در اختیار قرار دهند که این باج افزار با پاک کردن این logها به سختی تشخیص داده می شود و به گونه ای ردی از خود باقی نمی گذارد.
علاوه براین Sorebrect از پروتکل شبکه Tor استفاده می کند تا ارتباطات خود را با سرور C&C خود ب صورت مخفیانه انجام دهد که این کارش مشابه روش استفاده شده در دیگر بدافزارها است.
گسترش Sorebrect در سراسر جهان
این باج افزار به طور کلی با هدف سیستم های متعلق به صنایع مختلف ازجمله تولیدکننده ها، فن آوری و ارتباطات طراحی شده است. بر طبق گفته شرکت Trend Micro، باج افزار Sorebrect در ابتدا کشورهایی در خاورمیانه مانند کویت و لبنان را مورد هدف قرار داده بود اما از ماه گذشته، این تهدید شروع به آلوده کردن سیستم ها در کانادا، چین، کرواسی، ایتالیا، ژاپن، مکزیک، روسیه، تایوان و ایالات متحده کرده است.
طبق گفته محققان امنیتی، با توجه به سودی که این روزها باج افزارها از حمله های خود کسب می کنند، نباید تعجب کنیم که چرا باج افزار Sorebrect راه خود را به دیگر کشورهای جهان و یا حتی به عنوان سرویس دهنده به مجرمان سایبری دیگر نیز باز کرده است.
این اولین باری نیست که مجرمان باج افزارهای fileless را کشف می کنند. حدود دو ماه گذشته، محققان شرکت Talos یک حمله از نوع DNSMessenger را کشف کردند که به طور کامل fileless بود و از توانایی های پیام رسان DNS TXT استفاده می کرد تا سیستم ها را به خطر بیندازد.
همچنین در فوریه ۲۰۱۷، محققان لابراتوار کسپرسکی یک بدافزار fileless را کشف کردند که به تنهایی در حافظه کامپیوترهای مورد هدف قرار می گرفت و بانک ها، شرکت های مخابراتی و سازمان های دولتی را در ۴۰ کشور مختلف هدف قرار داده بود.
چگونه در برابر باج افزار Sorebrect از خود محافظت کنیم؟
به خاطر این که این باج افزار تنها سازمان ها و مدیران سیستم را مورد هدف قرار داده است؛ جای نگرانی برای کاربران معمولی نیست. برای سازمان ها موارد زیر توصیه می شود:
• محدود کردن مجوز نوشتن کاربران: یکی از مهمترین عامل هاکه فایل های به اشتراک گذاشته شده در شبکه را در معرض آلوده شدن توسط این باج گیر افزار قرار میدهد این است که به تمامی کاربران اجازه کامل برای خواندن و نوشتن فایلها بر روی شبکه داده شود.
• محدود کردن اختیارات PsExe :PsExe را محدود کنید و اجازه اجرا شدن آن را فقط به مدیران سیستم بدهید.
• شبکه و سیستم خود را بروزرسانی کنید: بروزرسانی سیستم های عامل، نرم افزارها و دیگر برنامه ها اقدامات مهمی است که نباید آن را دست کم گرفت.
• بک آپ گیری را فراموش نکنید: به منظور حفظ و سالم نگه داشتن فایل های مهم و پرونده های دیجیتالی، همیشه و به صورت مرتب از آن ها و در یک محل ذخیره خارجی که همیشه به سیستم متصل نیست، بک آپ بگیرید.
• نیروهای خود را نسبت به مسائل امنیت سایبری آگاه کنید: آموزش کارمندان در ارتباط با بدافزارها، شاخص های تهدید و اقدامات امنیتی همیشه نقش مهمی در سازمان ها به منظور جلوگیری از به وجود آمدن چنین تهدیداتی دارد.
• از راهکارهای امنیتی برای سازمان و کسب و کارهای کوچک استفاده کنید: راهکارهای امنیتی لابراتوار کسپرسکی برای کسب و کارها کوچکترین نشانه ی مشکوکی را شناسایی و فورا آن را مسدود می کند.
اما محققان امنیتی به تازگی یک باج افزار fileless جدید را کشف کرده اند که آن را " Sorebrect " نامیده اند. روند عملکرد این باج افزار به گونه ای است که کد مخرب را در یک فرآیند قانونی سیستم مانند svchost.exe بر روی سیستم مورد هدف تزریق کرده و برای فرار از تشخیص داده شدن و شناسایی نشدن به صورت خودکار خود را نابود می کند.
برخلاف بیشتر باج افزارها، Sorebrect به گونه ای طراحی شده است تا سرور سازمان ها و نود شبکه ها را مورد هدف قرار بدهد. پس از آلوده شدن سیستم، کد تزریق شده در سیستم شروع به رمزنگاری فایل بر روی سیستم محلی و سیستم های متصل به آن در شبکه می کند.
این باج افزار fileless ابتدا اعتبار نامه های مدیریتی را با روشی خشونت آمیز به خطر می اندازد و سپس از ابزار command-line مایکروسافت با نام " Sysinternals PsExec" برای رمزنگاری فایل ها استفاده می کند.
کمپانی Trend Micro برای استفاده از PsExec می گوید: به جای آنکه مجرمان یک login session را آماده و از آن استفاده کنند، یا اینکه به صورت دستی بدافزار مورد نظر را مانند RDPها به سیستم مورد هدف انتقال دهند، آنها با به کار گیری این ابزاردستورات را از راه دور اجرا و عملی می کنند.
رمزنگاری فایل های به اشتراک گذاشته شده در یک شبکه توسط Sorebrect
باج افزار Sorebrect زیرکانه عمل می کند. این گونه از بدافزارها تمامی شبکه های داخلی را جستجو می کند تا دیگر کامپیوترهای متصل را که دارای فایل های به اشتراک گذاشته هستند پیدا کند و این فایل ها را نیز قفل کند.
محققان می گویند: "اگر فولدر به اشتراک گذاشته شده گزینه دسترسی به صورت خواندن و نوشتن را برای همه افراد فعال کرده باشد، این فایل ها نیز رمزگذاری خواهند شد".
اما این باج افزار در مرحله نهایی تمامی logها را بر روی سیستم آلوده شده توسط wevtutil.exe و shodow copy ها با استفاده از vssadmin پاک می کند. این logها می توانند شواهد قانونی مانند اجرا شدن یک فایل بر روی سیستم و زمان اجرای آن ها را در اختیار قرار دهند که این باج افزار با پاک کردن این logها به سختی تشخیص داده می شود و به گونه ای ردی از خود باقی نمی گذارد.
علاوه براین Sorebrect از پروتکل شبکه Tor استفاده می کند تا ارتباطات خود را با سرور C&C خود ب صورت مخفیانه انجام دهد که این کارش مشابه روش استفاده شده در دیگر بدافزارها است.
گسترش Sorebrect در سراسر جهان
این باج افزار به طور کلی با هدف سیستم های متعلق به صنایع مختلف ازجمله تولیدکننده ها، فن آوری و ارتباطات طراحی شده است. بر طبق گفته شرکت Trend Micro، باج افزار Sorebrect در ابتدا کشورهایی در خاورمیانه مانند کویت و لبنان را مورد هدف قرار داده بود اما از ماه گذشته، این تهدید شروع به آلوده کردن سیستم ها در کانادا، چین، کرواسی، ایتالیا، ژاپن، مکزیک، روسیه، تایوان و ایالات متحده کرده است.
طبق گفته محققان امنیتی، با توجه به سودی که این روزها باج افزارها از حمله های خود کسب می کنند، نباید تعجب کنیم که چرا باج افزار Sorebrect راه خود را به دیگر کشورهای جهان و یا حتی به عنوان سرویس دهنده به مجرمان سایبری دیگر نیز باز کرده است.
این اولین باری نیست که مجرمان باج افزارهای fileless را کشف می کنند. حدود دو ماه گذشته، محققان شرکت Talos یک حمله از نوع DNSMessenger را کشف کردند که به طور کامل fileless بود و از توانایی های پیام رسان DNS TXT استفاده می کرد تا سیستم ها را به خطر بیندازد.
همچنین در فوریه ۲۰۱۷، محققان لابراتوار کسپرسکی یک بدافزار fileless را کشف کردند که به تنهایی در حافظه کامپیوترهای مورد هدف قرار می گرفت و بانک ها، شرکت های مخابراتی و سازمان های دولتی را در ۴۰ کشور مختلف هدف قرار داده بود.
چگونه در برابر باج افزار Sorebrect از خود محافظت کنیم؟
به خاطر این که این باج افزار تنها سازمان ها و مدیران سیستم را مورد هدف قرار داده است؛ جای نگرانی برای کاربران معمولی نیست. برای سازمان ها موارد زیر توصیه می شود:
• محدود کردن مجوز نوشتن کاربران: یکی از مهمترین عامل هاکه فایل های به اشتراک گذاشته شده در شبکه را در معرض آلوده شدن توسط این باج گیر افزار قرار میدهد این است که به تمامی کاربران اجازه کامل برای خواندن و نوشتن فایلها بر روی شبکه داده شود.
• محدود کردن اختیارات PsExe :PsExe را محدود کنید و اجازه اجرا شدن آن را فقط به مدیران سیستم بدهید.
• شبکه و سیستم خود را بروزرسانی کنید: بروزرسانی سیستم های عامل، نرم افزارها و دیگر برنامه ها اقدامات مهمی است که نباید آن را دست کم گرفت.
• بک آپ گیری را فراموش نکنید: به منظور حفظ و سالم نگه داشتن فایل های مهم و پرونده های دیجیتالی، همیشه و به صورت مرتب از آن ها و در یک محل ذخیره خارجی که همیشه به سیستم متصل نیست، بک آپ بگیرید.
• نیروهای خود را نسبت به مسائل امنیت سایبری آگاه کنید: آموزش کارمندان در ارتباط با بدافزارها، شاخص های تهدید و اقدامات امنیتی همیشه نقش مهمی در سازمان ها به منظور جلوگیری از به وجود آمدن چنین تهدیداتی دارد.
• از راهکارهای امنیتی برای سازمان و کسب و کارهای کوچک استفاده کنید: راهکارهای امنیتی لابراتوار کسپرسکی برای کسب و کارها کوچکترین نشانه ی مشکوکی را شناسایی و فورا آن را مسدود می کند.
برچسب:
نویسنده: محمد رضا جوادیان