وب سایت شما بخشی از بات‌نت StealRat است؟

به گزارش کارگروه امنیت سایبربان؛ چندین ماه پیاپی است که پژوهش‌گران اسپم‌باتی به نام StealRat را زیر نظر گرفته‌اند، این اسپم‌بات برای عملی کردن اهداف خود عمدتاً از وب‌گاه‌هایی کمک می‌گیرد که مورد نفوذ قرار گرفته‌اند.

پژوهش‌گران، عملیات StealRat را به‌طور پیوسته مورد نظارت قرار داده‌‌ و موفق به کشف ۱۹۵،۰۰۰ دامنه و IP شدند که در این جریان دچار آسیب شده‌اند. وجه مشترک میان این وب‌گاه‌های آسیب‌دیده این است که همه‌ی آن‌ها از سامانه‌های مدیریت محتوای آسیب‌پذیری همچون دروپال، وردپری و جوملا استفاده می‌کنند.

در این مطلب قصد داریم به مدیران وب‌گاه‌ها آموزش دهیم که چگونه می‌توانند متوجه شوند آیا وب‌گاه آن‌ها به عضوی از زنجیره‌ی بات‌نت2 StealRat مبدل شده است یا خیر. 

به عنوان اولین گام می‌بایست به دنبال اسکریپت‌های هرزنامه‌نگاران بود، اسکریپت‌هایی که معمولاً sm13e.php یا sm14e.php نام دارند. اما نباید فراموش کرد که ممکن است نام این اسکریپت‌ها تغییر کرده باشد، به همین خاطر بهتر است از کنار پرونده‌های ناملموس PHP راحت عبور نکنید و حتماً آن‌ها را بررسی کنید.

   

   یکی دیگر از راه‌های ممکن برای آگاهی از حضور پرونده‌ی مخرب PHP جست‌وجوی رشته‌های زیر در کد مورد نظر است:

die(PHP_OS.chr(49).chr(48).chr(43).md5(0987654321)

die(PHP_OS.chr(49).chr(49).chr(43).md5(0987654321)

کاربران لینوکسی می‌توانند با استفاده از دستور grep عملیات جست‌وجو را عملی کنند:

grep “die(PHP_OS.chr(49).chr(48).chr(43).md5(0987654321″ /path/to/www/folder/

کاربران بستر ویندوز می‌بایست این‌گونه به دنبال رشته‌های مورد نظر بگردند:

content:”die(PHP_OS.chr(49).chr(48).chr(43).md5(0987654321″

     

 

این رشته‌ها قسمتی از کد «die» پرونده‌ی PHP هستند (مثلاً زمانی که پارامترهای به‌خصوصی در نظر گرفته نشده‌اند). تاکنون محققان شرکت امنیتی DeepEnd Research یک نسخه‌ی رونوشت از sm14e.php را ارسال نموده‌اند. ظاهراً این جدیدترین نسخه‌ی اسکریپت‌ مورد نظر است که در مقایسه با sm13e.php و  sm14e.php از آدرس‌های رایانامه‌ی بیشتری برای فرستادن هرزنامه پشتیبانی می‌کند. علاوه بر این‌ها، اسکریپت‌ کشف‌شده کماکان همان پرونده‌ی PHP اصلی است که پارامترهای زیر را می‌پذیرد:

l: آدرس رایانامه‌ (برای ارسال هزرنامه به آن)

e: نُه نویسه که به‌طور تصادفی تولید شده‌اند

m: کارگزار رایانامه (به‌طور مثال گوگل‌میل3)  

d: قالب رایانامه‌

خروجی این پرونده بستگی به پارامترهای پذیرفته‌شده و نتیجه‌ی حاصل از روال هرزنامه‌نگاری دارد.

   

   

توصیه‌ی محققان به مدیران وب‌گاه‌ها این است که پرونده‌هایی را که دارای ویژگی‌های ذکرشده هستند پاک کنند، همچنین در اسرع وقت سامانه‌ی مدیریت محتوای خود، به ویژه جوملا، وردپرس و دروپال را به‌روز نمایند.

همان‌طور که گفتیمStealRAT یک بات‌نت هرزنامه است که از وب‌گاه‌های مورد نفوذ واقع‌شده برای ارسال هرزنامه استفاده می‌کند. StealRAT از ۳ جزء اصلی تشکیل شده است:

وب‌گاه‌های نقض‌شده برای فرستادن هرزنامه

سامانه‌های رایانه‌ای مورد نفوذ قرارگرفته برای جمع‌آوری و ارسال داده‌های هرزنامه‌

و استفاده از وب‌گاه‌هایی که کنترل آن‌ها به‌طور کامل در اختیار نفوذگران گرفته جهت ارائه‌ی عمل‌کردهای مخرب

 

StealRAT درواقع قادر است از سد فن‌آوری‌های امنیتی جدید عبور کند. کارگزار واقعی هرزنامه پشت ۳ لایه از قربانی‌های ناآگاه پنهان می‌شود: ۲ وب‌گاه نقض‌شده و ۱ رایانه که هدف حمله قرار گرفته است. رایانه‌ی آسیب‌دیده به عنوان رابطی میان کارگزار هرزنامه و وب‌گاه آسیب‌پذیر عمل می‌کند. از آنجایی که هیچ‌گونه ارتباطی میان کارگزار و هرزنامه وجود ندارد، به نظر می‌رسد که هرزنامه از سوی رایانه‌ی آسیب‌دیده نشأت گرفته است. هرزنامه‌های مورد نظر به خودی خود تهدید بدافزاری محسوب نمی‌شوند؛ از این رو هیچ ارتباط قابل مشاهده‌ای میان آن‌ها به چشم نمی‌خورد. عمل‌کرد هرزنامه‌ها هیچ ارتباطی به هم ندارد، همچنین تعامل میان آن‌ها نیز به حداقل رسیده تا به این ترتیب هرگونه سر نخی که بتواند آن‌ها را به یک‌دیگر مربوط سازد، وجود نداشته باشد. وب‌گاه‌های نقض‌شده دربرگیرنده‌ی پیوند متعلق به عمل‌کردهای مخرب و نیز یک اسکریپت هرزنامه می‌باشند. این عمل‌کرد مخرب اکثر اوقات منجر به هدایت به یک وب‌گاه‌ غیراخلاقی یا وب‌گاه داروخانه‌ی برخط می‌شود. این اسکریپت هرزنامه معمولاً به زبان PHP نوشته شده و منتظر اطلاعات رایانه‌ی قربانی‌ها (قربانیِ تروجان) می‌ماند.

رایانه‌ای که به آن نفوذ شده به کارگزار مخرب هرزنامه متصل می‌شود یا داده‌های مخرب را جمع‌آوری می‌کند، داده‌هایی که شامل کارگزار پشتیبان هرزنامه، نام فرستنده، آدرس دریافت‌کننده، و قالب رایانامه است. وب‌گاه نقض‌شده معمولاً دارای پوشه‌ای با نام تصادفی و نیز اسکریپت‌های متعدد PHP می‌باشد.

چگونه می‌توانید StealRat را تشخیص دهید؟

آیا نمی‌توانید برنامه‌های مورد نظرتان را در ویندوز اجرا کنید؟ ممکن است رایانه‌ی شما به بدافزاری آلوده شده باشد که در حافظه پنهان شده است، بدافزاری که راه برنامه‌های مختلف اعم از 4SpyHunter را برای اجرا در رایانه‌ی شما سد می‌کند.

یک توصیه‌ی ضروری: SpyHunter را در یک رایانه‌ی عاری از بدافزار بارگیری کنید، سپس آن را به DVD/CD، درایو USB یا هرگونه رسانه‌ی قابل حمل دیگر منتقل کنید، و در نهایت آن را روی رایانه‌ی آلوده‌ی خود نصب کرده و پویش‌گر بدافزار SpyHunter را اجرا نمایید.