روابط عمومی شرکت ایدکو (توزیع‌کننده‌ی محصولات کسپرسکی در ایران)؛ اغلب از ما می‌پرسند چگونه تارگت‌ها به بدافزار آلوده می‌شوند. پاسخ ما تقریباً همیشه یکسان است: فیشینگ (هدف‌دار) طبیعتاً استثناهایی وجود خواهد داشت، زیرا هر از چند گاهی با آسیب‌پذیری‌های RCE مواجه می‌شویم، یا اگر مهاجم از قبل در شبکه باشد، از ابزارهایی مانند PsExec استفاده می‌کند. اما به غیر از موارد استثنا تقریباً همیشه روال همین بوده. ماه گذشته، روی روش‌های آلوده‌سازی مورد استفاده در کمپین‌های مختلف بدافزار متمرکز شدیم: روش‌هایی که اغلب شاهدشان نیستیم. در این مطلب قرار است به نمونه‌هایی از آنها بپردازیم. با ما همراه بمانید.
BlackBasta: روش انتشار جدید
بلک‌باستا، باج‌افزار بدنامی که قبلاً درباره آن نوشته‌ایم، اخیراً به‌روزرسانی شده. اکنون دارای دومین پارامتر خط فرمان اختیاری است: "-bomb".
- اتصال به AD با استفاده از آرشیو LDAP و بدست آوردن فهرستی از دستگاه‌های شبکه
- استفاده از فهرستی از ماشین‌ها. کپی کردن خودش در هر ماشین
- استفاده از Component Object Model (کام) و اجرای ریموت شدن روی هر دستگاه
مزیت استفاده از روش انتشار داخلی این است که آثار کمتری در سیستم باقی می‌گذارد و نسبت به استفاده از ابزارهای عمومی مخفی‌تر است. به عنوان مثال، یکی از ابزارهای مورد علاقه مهاجمان، PsExec، براحتی در شبکه شناسایی می‌شود. روش جدید به مدافعان شبکه امکان کمتری برای شناسایی فعالیت‌های مخرب می‌دهد.
CLoader: آلودگی از طریق تورنت‌های مخرب
مجرمان سایبری به ندرت از تورنت‌های مخرب برای آلوده کردن اهداف خود استفاده می‌کنند. با این وجود، این یک روش عفونتی است که نباید از آن سرسری گذشت. CLoader در آوریل 2022 کشف شد. سی‌لودر از بازی‌ها و نرم‌افزارهای کرک شده به عنوان طعمه برای فریب کاربران برای نصب بدافزار استفاده می‌کرد. فایل‌های دانلود شده نصب‌کننده NSIS بودند (حاوی کد مخرب در اسکریپت نصب).
به طور کلی، ما شاهد شش پی‌لود مختلف بودیم که دانلود شدند:
پروکسی مخرب Microleaves به عنوان پروکسی که در دستگاه آلوده کار می‌کند،
پروکسی مخرب Paybiz که به عنوان یک پروکسی در دستگاه آلوده کار می‌کند،
دانلودر MediaCapital که ممکن است بدافزار بیشتری را در سیستم نصب کند،
دانلودر CSDI که ممکن است بدافزار بیشتری را در سیستم نصب کند،
دانلودر Hostwin64 که ممکن است بدافزار بیشتری را در سیستم نصب کند،
Inlog backdoor : برنامه قانونی NetSupport را برای دسترسی ریموت به دستگاه نصب می‌کند.
وقتی ماجرا را از منظر قربانی‌شناسی نگاه می‌کنیم، می‌بینیم که کاربران در سراسر جهان آلوده هستند، اما این آلودگی در آمریکا، برزیل و هند بیشتر دیده می‌شود.
OnionPoison: آلودگی‌ها از طریق مرورگر جعلی Tor
آگوست 2022، کمپینی را کشف کردیم که حداقل از ژانویه در حال اجرا بود و بر کاربران چینی‌زبان تمرکز داشت. یک کانال محبوب چینی‌زبان یوتیوب ویدیویی را با دستورالعمل نصب مرورگر Tor منتشر کرد. این به خودی خود عجیب نیست، زیرا مرورگر Tor در چین مسدود شده است. با این حال، اگر کاربر بر روی لینک در توضیحات کلیک می‌کرد، نسخه آلوده‌ای از مرورگر Tor دانلود می‌شد. نسخه آلوده تقریباً مشابه نسخه اصلی است، به طوری که کاربر هیچ تفاوتی را متوجه نمی‌شود. تفاوت با نسخه بی‌خطر به شرح زیر است:
- نصب‌گر امضای دیجیتال ندارد
- یکی از DLL هایی که با نسخه اصلی ارائه می‌شود freebl3.dll) )کاملاً متفاوت است، زیرا حاوی کدهای بک‌در است
- یک فایل جدید اضافه شده است freebl.dll)) که همان freebl3.dll اصلی است.
- باینری فایرفاکس که با TOR همراه است یک بایت با نسخه اصلی متفاوت است، یعنی یک کاراکتر در URL مورد استفاده برای بروزرسانی. به این ترتیب مهاجمین از بروزرسانی مرورگر جلوگیری می‌کنند.
- فایل پیکربندی مرورگر برای ارائه حالت ناشناسیِ کمتر، تغییر یافته است. به عنوان مثال، تاریخچه مرور اکنون روی دیسک ذخیره می‌شود.
عملکرد Freebl3.dll در بک‌در ساده است. تمام عملکردها را به DLL اصلی پراکسی و همچنین یک DLL اضافی را از C2 دانلود می‌کند. DLL دانلود شده حاوی اکثر عملکردهای مخرب است. از جمله قابلیت‌های زیر را دارد:
- اجرای فرمان‌ها در سیستم
- ارسال تاریخچه وبگردی تور در c2
- ارسال آی‌دی‌های وی‌چت و کیوکیو قربانی‌ها در c2
AdvancedIPSpyware: ابزار بی‌خطر بک‌در شده و امضاشده
افزودن کدهای مخرب به نرم‌افزارهای بی‌خطر به منظور پنهان کردن فعالیت غیرقانونی و فریب دادن کاربر، تکنیکی است که اغلب شاهدش هستیم. چیزی که ما اغلب نمی‌بینیم این است که باینری بک‌در امضا شده است. این دقیقا سناریویی است که برای AdvancedIPSpyware صادق است: نسخه‌ای است بک‌درشده از ابزار قانونی Advanced IP Scanner که توسط مدیران شبکه برای کنترل شبکه‌های محلی استفاده می‌شود. گواهی استفاده شده برای امضای بدافزار به احتمال زیاد سرقتی است. این بدافزار در دو سایت میزبانی می‌شد که دامنه آنها تقریباً مشابه وب سایت قانونی Advanced IP Scanner بود و فقط یک کاراکتر در URL تفاوت داشت. علاوه بر این، وبسایت‌ها یکسان به نظر می‌رسند. تنها تفاوت دکمه "دانلود رایگان" در وبسایت های مخرب است.
یکی دیگر از ویژگی‌های غیر معمول AdvancedIPSpyware معماری آن است که ماژولار است. به طور معمول، یک معماری ماژولار از سوی دولت حمایت می‌شود نه از سوی یک بدافزار جنایی. ما سه ماژول زیر را مشاهده کردیم که از طریق IPC با یکدیگر در ارتباط هستند:
- ماژول اصلی: یا خود را آپدیت می‌کند یا حذف. یا هم نمونه دیگری را ایجاد می‌کند!
- ماژول اجرای فرمان: کارایی معمول جاسوس‌افزار از جمله جمع‌آوری اطلاعات، اجرای فرمان و غیره
- ماژول ارتباط شبکه: مدیریت همه کارایی‌های مربوط به شبکه (پیام‌های مربوط به ضربان قلب و غیره)
کمپین AdvancedIPSpyware دارای قربانی‌شناسی گسترده‌ای است. ما چندین قربانی را در آمریکای لاتین، آفریقا، اروپای غربی، آسیای جنوبی، استرالیا و کشورهای مستقل مشترک المنافع شناسایی کرده‌ایم. تعداد کل قربانیان آلوده در طول این کمپین حدود 80 نفر است.
جمع‌بندی
حتی اگر بازیگران مخرب تکیه‌شان بر ایمیل بعنوان ناقل عفونت اولیه باشد باز هم روش‌های دیگر را نباید نادیده گرفت. تایپیک دامنه و نرم‌افزارهای کرک شده قابل دانلود از طریق تورنت تنها دو ترفند جایگزینی هستند که مجرمان برای فریب قربانیان برای نصب بدافزار بر روی سیستم‌های خود استفاده می‌کنند. توسعه‌دهندگان باج‌افزار بدافزار خود را به روز می‌کنند. این بار، BlackBasta عملکردی را اضافه کرده که تحقیقات قانونی و تشخیص را دشوارتر می‌کند، زیرا بدافزار اکنون می‌تواند از طریق خود شبکه منتشر شود.
منبع: کسپرسکی آنلاین (ایدکو)
کسپرسکی اسم یکی از بزرگترین شرکتهای امنیتی و سازنده آنتی ویروس است که برخی از کاربران اشتباهاً این شرکت و محصولات آنتی ویروس آن را با عناوینی نظیر کسپرسکای،کاسپرسکی، کسپراسکای، کسپراسکای، و یا کاسپراسکای نیز می‌شناسد. همچنین لازم به ذکر است مدیرعامل این شرکت نیز یوجین کسپرسکی نام دارد.
