هشدار درباره بدافزار چند زبانه

به گزارش کارگروه بین‌الملل سایبربان؛ تیم تحقیقاتی تهدید «Wolf Security» در یک پست وبلاگ جدید هشدار داد که عوامل تهدید فرصت‌طلب می‌توانند از تکنیک‌های ساده و ابزارهای جرایم سایبری ارزان برای دور زدن ویژگی‌های امنیتی ویندوز و اسکنرهای ضد ویروس استفاده کنند.

در این مورد، عوامل تهدید ترکیبی از ترفندهای ساده اما مؤثر و هوشمندانه را برای آلوده کردن رایانه‌های شخصی قربانی با «AsyncRAT»، یک تروجان دسترسی از راه دور که اطلاعات حساس را سرقت می‌کند، استفاده کردند :

هنر توهم : مهاجمان با برچسب اشتباه انواع فایل‌های غیرمعمول (مانند فایل‌های دسته‌ای) به عنوان چیزی آشناتر (مانند PDF)، می‌توانند کاربران را فریب دهند تا روی پیوست‌های مخرب کلیک کنند. این تکنیک پایه به طور پیش فرض از مخفی کردن پسوندهای فایل ویندوز بهره می‌برد؛ به عنوان مثال، اگر یک فایل دسته ای (bat.) را به عنوان «hello.pdf.bat» ذخیره کنید، در «Windows File Explorer» به صورت «hello.pdf» نشان داده می‌شود. در حالیکه این تکنیک جدید نیست، کارشناسان شاهد استفاده بیشتر از آن از سوی عوامل تهدید کالا هستند.

یک‌ها و صفرها : مهاجمان به طور مصنوعی فایل‌های مخرب خود را با پر کردن میلیون‌ها عدد یک و صفر بی‌معنی، پر می‌کنند. اندازه برخی از آنها تقریباً 2 گیگابایت بود که برای بسیاری از اسکنرهای ضد بدافزار قابل تجزیه و تحلیل بسیار بزرگ بود و به بدافزار اجازه می‌داد تا از یک معیار تشخیص حیاتی عبور کند. از آنجایی که بخش متورم از یک الگوی تکراری پیروی می‌کند، بدافزار را می‌توان در یک فایل بایگانی تنها چند مگابایت، ایده‌آل برای انتشار بدافزار در کمپین‌های هرزنامه، فشرده کرد.

قسمت هوشمندانه : بدافزار چند زبانه، با استفاده از چندین زبان برنامه‌نویسی، عامل تهدید با رمزگذاری محموله با استفاده از رمزنگاری نوشته شده در «Go»، قبل از غیرفعال کردن ویژگی‌های اسکن ضد بدافزار که معمولاً آن را شناسایی می‌کنند، از شناسایی فرار می‌کند. سپس این حمله زبان را به ++C تغییر می‌دهد تا با سیستم عامل قربانی تعامل داشته باشد و بدافزار دات‌نت را در حافظه اجرا کند و کمترین اثر را روی رایانه شخصی باقی بگذارد.

پاتریک شلافر (Patrick Schläpfer)، تحلیلگر بدافزار در تیم تحقیقاتی HP Wolf Security، توضیح داد :

«عوامل تهدید آگاه از فناوری اطلاعات می‌توانند از ابزارهای ساده‌ای که به راحتی در وب تاریک خریداری می‌شوند برای انجام حملات پیچیده استفاده کنند. به احتمال زیاد حمله خاص از سوی یک فرد یا یک گروه کوچک انجام شده، زیرا حمله از همان سرور با یک آدرس IP برای توزیع ایمیل‌های هرزنامه و تنظیم یک فرمان و کنترل استفاده می‌کند، در حالیکه گروه‌های تهدید بزرگ‌تر مانند «QakBot» حملات هرزنامه‌ای بزرگ، با استفاده از اعتبارنامه‌های به خطر افتاده و اتصال از طریق چندین سرور پراکسی به زیرساخت C2 خود ایجاد می‌کنند.»