روابط عمومی شرکت ایدکو (توزیع کننده محصولات کسپرسکی در ایران)؛ باجافزاری با اسم بیروحِ 5ss5c باری دیگر به صحنه بازگشته و روندش هم رو به پیشرفت بوده است. طبق گفتههای محقق مستقل بارت بلیز، این بدافزار جانشین باجافزار شیطان است و عوامل دخیل در ساخت آن همچنان دارند هدفگیری متمرکز و ویژگیهای آن را مورد آزمایش قرار میدهند (فعلاً در چین).
بلیز در مصاحبهای به این موضوع اشاره کرد که بسیاری از مشخصههای کد 5ss5c و Satan با هم مشترکند. شیطان چند ماه پیش از محدودهی باجافزارها ناپدید شد؛ درست بعد از افزوده شدن اکسپلویت EternalBlue به سبدِ ترفندهایش. ظاهراً 5ss5c آمده است تا راه باجافزار شیطان را ادامه دهد و مأموریتش را به پایان برساند.
به گفتهی بلیز: «این گروه دستکم از نوامبر 2019 دارد روی باجافزار جدیدی کار میکند -5ss5c».
«مصنوعات باج افزار شیطان زیاد است (و همچنین تاکتیکها، ترفندها و روندهایش). بعنوان مثال یکی از آنها استفاده از پکرهای چندگانه برای مراقبت از دراپرها و پیلودهایش است».
به نقل از بلیز، 5ss5c درست مانند نیاکانش Satan یک بدافزار مرحلهدومی است که توسط دراپر دانلود میشود. همان دراپر همچنین کارش دانلود کردن اکسپلویت EternalBlue (یعنی بستهی اسپردر[1])، Mimikatz (سارق رمزعبور ویندوز) بعلاوهی سارق کمکیِ اطلاعات محرمانه و همچنین خود باجافزار نیز هست. این دراپر جدا از اینها مسئولیت ساخت لاگ را هم بر عهده دارد؛ هشدار میدهد که آیا سهامهای SMB موجود است یا نه (هدفِ اکسپلویت EternalBlue)؛ و اینکه آیا دانلودها موفقیتآمیز بودهاند یا نه.
اما 5ss5c به چند روش رویکردِ Satan را نیز پشت سر گذاشته است. نخست اینکه دراپر مذکور برای سرور C2 اطلاعات هاردکورشدهای را ارائه میدهد تا بدینطریق باجافزار بتواند از آن برای اتصال به پایگاه اطلاعاتی SQL (با فرمان xp_cmdshell ) استفاده کند. همچنین اپراتورها دارند از سه پکر برای مبهمسازی کد استفاده میکنند: MPRESS، Enigma و Enigma VirtualBox. مورد آخر برای پک کردن یک ماژول اضافیِ اسپردر به نام poc.exe مورد استفاده قرار میگیرد- شاید این نام، اختصار عبارت proof of concept (اثبات مفهوم) باشد و نشاندهندهی اینکه عاملین پشت این باجافزار هنوز هم در حال آزمایش و بررسیاند.
وقتی حرف این میشود که این باجافزار چه چیزی را رمزگذاری میکند، یک پیشرفت عالی به چشم میخورد. 5ss5c درست مانند شیطان «فهرست محرومیتی» از برخی انواع فایلها و فولدرها دارد که در طول پروسهی آلودگی رمزگذارینشده باقی خواهند ماند (شامل فولدرهای متعلق به شرکت امنیتیِ چینی به نام Qihoo 360.). با این حال، فهرست جدیدی هم از مورد هدف خود دارد که شامل فایلهایی با افزونههای زیر میشود: 7z, bak, cer, csv, db, dbf, dmp, docx, eps, ldf, mdb, mdf, myd, myi, ora, pdf, pem, pfx, ppt, pptx, psd, rar, rtf, sql, tar, txt, vdi, vmdk, vmx, xls, xlsx, zip..
به گفتهی بلیز، «این فهرست افزونه مثل قبل نیست و بیشتر شامل داکیومنتها، آرشیوها، فایلهای پایگاه اطلاعاتی و افزونههای مرتبط با VMware مانند vmdk میشود».
5ss5c علاوه بر این شیوهی باجگیریاش هم فرق دارد: یک یادداشت باج به زبان چینی میسازد که نامش _How to decrypt my file_.txt است (آن را روی درایو C میگذارد). در این یادداشت نوشته شده است: «برخی از فایلها رمزگذاری شدهاند. اگر میخواهید فایل رمزگذاریشده را بازیابی کنید، 1 بیتکوین به کیفپول من بفرستید. اگر پرداخت ظرف 48 ساعت آینده انجام نگیرد (از زمان شروع رمزگذاری) مبلغ کدگشایی دو برابر میشود. چنانچه سوالات دیگری داشتید میتوانید از طریق ایمیل با من در تماس باشید. جزئیات کدگشایی شما بدین شرح است: ایمیل: 5ss5c@mail.ru».
بلیز: «در این یادداشت، خبری از آدرس بیتکوین نیست. تازه دستورالعملهایی به چینی هم ندارد؛ نه تنها چینی که حتی انگلیسی و کرهای هم ندارد. سوال اینجاست که آیا 5ss5c قرار است قربانیان بیشتری بگیرد یا فقط در مرحلهی آزمایشی به سر میبرد (توسط گروه یا توسعه دهندگانش)؟».
طبق معمول، کاربران میتوانند با مدام دریافت کردن پچها و استفاده از آنتیویروس و فایروال و از همه مهمتر بکآپ گرفتن از فایلهایی که از بخش شبکه جداسازیشدهاند خود را در برابر این باجافزار محافظت کنید.
[1] spreader packag
منبع: کسپرسکی آنلاین (ایدکو)
کسپرسکی اسم یکی از بزرگترین شرکتهای امنیتی و سازنده آنتی ویروس است که برخی از کاربران اشتباهاً این شرکت و محصولات آنتی ویروس آن را با عناوینی نظیر کسپرسکای،کاسپرسکی، کسپراسکای، کسپراسکای، و یا کاسپراسکای نیز میشناسد. همچنین لازم به ذکر است مدیرعامل این شرکت نیز یوجین کسپرسکي نام دارد.
