تروجان Taidoor و تحولی شگرف در روش فرار از شناسایی

به گزارش کارگروه امنیت سایبربان؛  ویروس‌ها در دنیای واقعی به مرور زمان در برابر آنتی‌بیوتیک‌ها مقاوم می‌شوند. ویروس‌های دنیای مجازی هم کم و بیش چنین رویه‌ای دارند. تحلیل تروجان Taidoor گواهی بر این مدعا بوده و نشان می‌دهد که یک تروجان تا چه حد می‌تواند با شرایط سازگار و از دیدها مخفی بماند. در تحلیل شرکت FireEye آمده «این تروجان از سال ۲۰۰۸ تا امروز با موفقیت تمام در حال فعالیت است.»

در دنیای فناوری اطلاعات هر بدافزاری که بتواند به مدت ۵ سال دوام آورده و با قدرت به کارش ادامه دهد مطمئناً از سدهای دفاعی بسیار خوبی در برابر شناسایی برخوردار است.

نارت ویلِنیو از محققین FireEye معتقد است که Taidoor یک تهدید پیشرفته‌ی مستمر است که مدام در حال تکامل است. نسخه‌های ابتدایی این بدافزار معمولاً در حملات اسپیر فیشینگ مورد استفاده قرار می‌گیرد؛ بدین ترتیب که ابتدا در قالب یک رایانامه و به عنوان پیوست برای کاربر ارسال می‌شود. اگر کاربر این پیوست را باز کرده و سامانه‌ای آسیب‌پذیر داشته باشد به Taidoor آلوده خواهد شد. البته کاربران در زمان باز کردن پرونده‌های آلوده متوجه چیزی نشده و معمولاً فقط پرونده‌ای را می‌دیدند که به ظاهر هخیچ اشکالی متوجه آن نبود. این نخستین تاکتیک Taidoor برای فرار از شناسایی بود.

اما به گفته‌ی ویلنیو شرایط در سال‌های ۲۰۱۱ و ۲۰۱۲ دگرگون گردید. در آن سال‌ها گردانندگان Taidoor  تاکتیک خود را تغییر دادند؛ آن‌ها به جای ارسال مستقیم Taidoor، بارگیری‌کننده هایی را به پیوست ارسال می‌کردند که پس از ورود به سامانه‌ی قربانی، تروجان Taidoor را از  اینترنت بارگیری می‌کرد. از این طریق احتمال شناسایی بدافزار بسیار کاهش می‌یافت چرا که بارگیری‌کننده‌ها ابزار کوچکی بودند که هیچ ویژگی مشکوک خاصی نداشتند. امتیاز این روش برای نفوذگران این بود که می‌توانستند در زمان دلخواه بدافزار را به سامانه انتقال داده و امید بیشتری به موفقیت داشته باشند.

اما عمل‌کرد این تروجان به این روش‌ها محدود نمی‌شود چرا که اخیراً محققین FireEye دریافته‌اند که نسخه‌ی جدید این بدافزار از یک تاکتیک بسیار پیچیده و جدید استفاده می‌کند؛ Taidoor جدید به جای ارتباط با کارگزارهای فرمان‌دهی و کنترل، به یک وبلاگ یاهو متصل شده و دستورالعمل‌های لازم خود را از آن دریافت می‌کند. به گفته‌ی ویلنیو در این شیوه «وبلاگ توسط طراح تروجان ایجاد گردیده و مطلبی که در آن منتشر شده است در اصل همان کد مخرب است. بدین ترتیب که محتوای بین دو نشانگر ctxugfbyyxyyyxyy و yxyyyxyyctxugfby در این وبلاگ با استاندارد base64 کدگذاری شده و سپس با RC4 به حالت رمز درآمده است. FireEye همچنین دریافته است که کلید رمزنگاری که عبارت asdfasdf می‌باشد هم در داده‌های base64 وبلاگ به حالت رمز قرار داده شده است. محتوای رمزگشایی‌شده‌ی مطلب منتشر‌شده در وبلاگ هم یک پرونده‌ی DLL است که در‌واقع همان تروجان Taidoor می‌باشد.»

این یک شیوه‌ی کاملاً جدید برای فرار از شناسایی است. به گفته‌ی ویلنیو «در این حمله هیچ مورد مشکوکی در ترافیک مبادله‌شده مشاهده نخواهد شد چرا که ارتباط با سرویس Yahoo Blog در ظاهر کاملاً ایمن است.» با این روش شناسایی حمله از سوی سدهای دفاعی رایج بسیار دشوار خواهد بود. همچنین به گفته‌ی ویلنیو این روش به نفوذگران اجازه می‌دهد تا Taidoor را در یک حمله‌ی ثانویه مجدداً به سامانه‌ی قربانی انتقال دهد. آن‌ها حتی می‌توانند از این روش برای بدافزارهای جدیدتر و قوی‌تر هم استفاده کنند.

به‌نظر می‌رسد که در حال حاضر نفوذگران نتلاش چندانی برای مخفی‌ کردن خود این وبلاگ‌ها به عمل نمی‌آورند. جالب اینجاست که نفوذگران در این روش به‌جای نفوذ به وبلاگ‌های معتبر و سوءاستفاده از آن‌ها ترجیح می‌دهند که خود وبلاگ‌هایی معمولی را در سرویس‌‌های معتبر ایجاد نمایند. به گفته‌ی ویلنیو در این وبلاگ‌ها به غیر از مطلب حاوی کدهای مخرب هیچ مطلب دیگری منتشر نشده است. در عین حال همین مطالب هم به ظاهر مطالبی عادی بوده و کاملاً عاری از هرگونه نکته‌ی مشکوک هستند. نفوذگران حتی این مطالب را مخفی هم نمی‌کنند و بدین‌ ترتیب هر کسی می‌تواند آن‌ها را مشاهده کند. البته به غیر از خود نفوذگران هیچ‌کس از ماهیت مخرب این پست‌ها باخبر نخواهد بود.

این شیوه‌ی جدید در انتشار بدافزارها بسیار موثر به‌نظر می‌آید؛ مخصوصاً که در صورت شناسایی و غیرفعال کردن سریع وبلاگ‌ها هم کسی نمی‌تواند مانع از ایجاد وبلاگ‌های جدید توسط نفوذگران گردد. باید دید در آینده چه تدبیری برای مقابله‌ی مؤثر با این ترفند جدید اندیشیده می‌شود.