روی خط خبر

موضوع: تحلیل ارزهای رمزگذاری شده منبع: زومیت
امتیاز: 5 5

خبر " مایکروسافت: بدافزار جدید dexphot بیش از ۸۰ هزار کامپیوتر را آلوده کرده است از منبع زومیت " با موضوع analysis-تحلیل ارزهای رمزگذاری شده در تاریخ ۱۳۹۸/۰۹/۰۶ منتشر شد.

مایکروسافت: بدافزار جدید dexphot بیش از ۸۰ هزار کامپیوتر را آلوده کرده است


بدافزار جدیدی به‌نام Dexphot با کاربرد معدن‌کاوی رمزارز کشف شده که به‌گفته‌ی مایکروسافت،‌ تاکنون بیش از ۸۰ هزار کامپیوتر را آلوده کرده است.

بدافزار جدیدی به نام Dexphot با کاربرد معدن کاوی رمزارز کشف شده که به گفته ی مایکروسافت، تاکنون بیش از ۸۰ هزار کامپیوتر را آلوده کرده است.محققان امنیتی مایکروسافت جزئیات عملکردی بدافزار جدیدی به نام Dexphot را منتشر کردند. این بدافزار از اکتبر ۲۰۱۸ فعالیت خود را شروع و تعداد زیاد کامپیوترهای مجهز به ویندوز را آلوده کرده است. بدافزار Dexphot از منابع پردازشی کامپیوتر قربانی برای معدن کاوی رمزارز استفاده می کند. اوج فعالیت Dexphot در ژوئن سال جاری بود که آمار کامپیوترهای آلوده به آن، به ۸۰ هزار سیستم رسید. از آن زمان تعداد حمله ها وارد روند کاهشی شد. مایکروسافت می گوید پیاده سازی رویکردهای امنیتی برای تشخیص بهتر و جلوگیری از حمله ها، در کاهش آن ها مؤثر بوده اند.مقاله های مرتبط:بدافزاری با نژاد پیچیده و اهداف سادههدف نهایی Dexphot، یعنی معدن کاوی رمزارز با سوءاستفاده از منابع پردازشی قربانی، ساده به نظر می رسد. تکنیک های استفاده شده ی در این بدافزار، به دلیل پیچیدگی فراوان توجه زیادی را به خود جلب کرد. مایکروسافت در خبر خود به پیچیدگی ذاتی بدافزار مذکور اشاره کرد. هیزل کیم، تحلیلگر بدافزار گروه Microsoft Denender ATP Research، با اشاره به هدف ساده ی Dexphot برای معدن کافی رمزارز و نه دزدیدن داده، درباره ی آن می گوید:Dexphot از آن دسته حمله هایی نیست که توجه رسانه های عمومی را به خود جلب کند. این بدافزار یکی از کمپین های بی شماری محسوب می شود که همیشه فعال هستند. هدف او در گروه های مجرمان سایبری مرسوم و متداول محسوب می شود: نصب معدن کاو سکه که منابع پردازشی را می دزدد و برای مجرمان درآمدزایی می کند. بدافزار Dexphot با وجود هدف ساده، پیچیدگی و تکامل بسیاری دارد که فراتر از تهدیدهای روزمره ی اینترنتی است. گذر از محدودیت ها و حفاظ های امنیتی متعدد و توانایی فعالیت بدون شناسایی در ابزارهای امنیت سایبری آن را به پدیده ای پیچیده تبدیل می کند.کیم درادامه ی گزارش مفصل خود درباره ی Dexphot، به روش های حرفه ای آن در دورزدن محدودیت های امنیتی اشاره می کند. روش هایی همچون اجرا بدون نیاز فایل، تکنیک های چندشکلی و مکانیزمی هوشمند و پایدار که دربرابر بارگذاری مجدد سیستم هم مقاوم باشد، از خصوصیت های پیچیده ی Dexphot هستند.فرایند آلوده سازیمایکروسافت می گوید محققان امنیتی از اصطلاح Second stage payload برای تعریف Dexphot استفاده می کنند. چنین اصطلاحی برای بدافزارهایی به کار می رود که روی سیستم های آلوده به بدافزارهای دیگر نصب و اجرا می شوند. بدافزار مذکور روی سیستم هایی نصب می شد که قبلا به بدافزار ICLoader آلوده شده بودند. بدافزار ICLoader عموما به صورت افزونه ای درکنار بسته های نرم افزاری به سیستم قربانی تزریق و روی آن نصب می شود. احتمال نصب بدافزار مذکور زمانی افزایش می یابد که کاربر از سرویس های کرک شده و از منابع نامعتبر برای دریافت نرم افزار استفاده کند.برخی از مجرمان توسعه دهنده ی بدافزار پس از نصب ICLoader، از آن برای دانلود و اجرای نصب کننده ی Dexphot استفاده می کنند. مایکروسافت می گوید نصب کننده ی Dexphot، تنها بخشی است که روی دیسک حافظه ی سیستم قربانی نوشته و آن هم پس از مدت کوتاهی پاک می شود. تمامی بخش های دیگر Dexphot از روشی به نام «اجرای بدون فایل» (fileless execution) استفاده می کنند و تنها در مموری سیستم اجرا می شوند. چنین رویکردی باعث می شود راهکارهای کلاسیک آنتی ویروس ها، یعنی بررسی سیگنجر فایل ها در حافظه ی دائمی، توانایی شناسایی Dexphot را نداشته باشند.Dexphot کمترین ردپا را در حافظه ی دائمی سیستم قربانی برجا می گذاردDexphot علاوه بر روش اجرایی بدون نیاز به فایل، از روشی به نام living off the land یا LOLbins نیز استفاده می کند. در روش مذکور، از فرایندهای صحیح و معتبر ویندوز برای اجرای کدهای مخبر استفاده می شود. درواقع بدافزار، با استفاده از روش مذکور، به فرایندها و اجراکننده های اختصاصی نیازی ندارد و از منابع ویندوز بهره می برد.مایکروسافت می گوید Dexphot معمولا از فرایندهای msiexec.exe ، unzip.exe ، rundll32.exe ، schtasks.exe و powershell.exe سوءاستفاده می کند. همه ی فرایندهای مذکور اپلیکیشن های معتبری هستند که در سیستم های ویندوزی از ابتدا نصب شده اند. Dexphot با استفاده از فرایندهای مذکور برای اجرای کد مخرب، از دیگر اپلیکیشن های محلی تمایزناپذیر می شود که از فرایندها بهره می برند.مجرمان توسعه دهنده ی Dexphot در پیچیده سازی بدافزار خود بازهم فراتر رفته اند. در سال های اخیر، آنتی ویروس ها از سیستم های مبتنی بر خدمات ابری استفاده می کنند تا الگوی اجراهای بدون نیاز به فایل و LOLbins را ذخیره و بررسی کنند؛ درنتیجه، بدافزار پیچیده ی جدید از روش دیگری به نام polymorphism هم بهره می برد. این تکنیک در بدافزارها به معنای تغییر متناوب ساختار آن ها است. مایکروسافت می گوید توسعه دهندگان Dexphot هر ۲۰ تا ۳۰ دقیقه نام فایل ها و آدرس های وب فعالیت های مخرب خود را تغییر می دهند. به محض اینکه آنتی ویروس بتواند الگوی آلوده سازی را در زنجیره ی Dexphot کشف کند، الگو تغییر می کند؛ درنتیجه، گروه مجرمان پشت صحنه ی Dexphot همیشه یک قدم جلوتر از محافظان امنیتی هستند.مکانیزم های ماندگاری چندلایههیج بدافزاری تا ابد ناشناس نمی ماند. مجرمان سایبری توسعه دهنده ی Dexphot برای این موقعیت نیز راهکاری در نظر گرفته اند. مایکروسافت می گوید بدافزار مذکور با مکانیزم پایداری پیچیده ای عمل می کند و سیستم های قربانی که تمامی انواع Dexphot را شناسایی و پاک نکنند، مجددا آلوده می شوند.Dexphot در ابتدا از روشی به نام خالی کردن فرایندها استفاده کرد. دو فرایند مجاز ویندوزی به نام های svchost.exe و nslookup.exe را بدافزار اجرا و محتوای آن ها را خالی می کند. سپس، کدهای مخرب ازطریق فرایندهای مجاز اجرا شدند. فرایندهای مذکور که با ظاهر مجاز به عنوان زیرمجموعه هایی از Dexphot فعالیت می کنند، به نوعی نگهبان اجرای صحیح همه ی بخش های دیگر بدافزار هستند. در زمان متوقف شدن هریک از بخش ها نیز، همین دو فرایند باردیگر آن ها را نصب می کنند. ازآنجاکه دو فرایند به عنوان نگهبان عمل می کنند، درصورت متوقف شدن یکی از آن ها، دیگری به عنوان پشتیبان وارد عمل می شود و مجددا فرایند را اجرا می کند.توسعه دهندگان بدافزار Dexphot علاوه بر رویکرد گفته شده، تعدادی وظایف زمان بندی شده نیز در برنامه ی خود لحاظ کرده بودند تا سازوکار اجرا بدون نیاز به فایل، پس از هربار بارگذاری مجدد یا در هر ۹۰ تا ۱۱۰ دقیقه، باردیگر اجرا شود. ازآنجاکه دوره ی زمانی منظمی برای اجرای وظایف در نظر گرفته شده بود، مجرمان توسعه دهنده توانایی ارائه ی به روزرسانی برای Dexphot را هم در سیستم های آلوده داشتند.تغییر دائمی نام و ساختار Dexphot، شناسایی آن را برای آنتی ویروس ها بسیار دشوار می کندمایکروسافت در گزارش خود می گوید هربار که یکی از وظایف زمان بندی شده اجرا می شد، فایلی را از سرور مجرمان سایبری دانلود می کرد که شامل دستور العمل های به روز از سمت توسعه دهندگان بود. با چنین رویکردی، در تمامی میزبانان قربانی Dexphot روند جدیدی برای آلوده سازی اجرا می شد؛ درنتیجه، درصورت پیاده سازی هرگونه راهکار امنیتی از طرف آنتی ویروس ها، مجددا دستورالعملی برای دورزدن آن ها تزریق می شد. راهکار چندشکلی برای وظایف هم اجرا شد و با هربار تزریق، نام وظایف نیز تغییر می کرد. روش ساده ی اخیر، از هرگونه راهکار امنیتی رد می شد که وظایف را براساس نامشان فیلتر می کرد.همان طورکه گروه تحقیقاتی مایکروسافت گفته بود، روش های پیاده سازی بدافزار واقعا پیچیده و حرفه ای بودند. در نگاه اولیه به پیچیدگی روش های اجرا، شاید تصور شود گروه های حرفه ای هکری در ابعاد بزرگ و حتی گروه هایی با پشتیبانی برخی دولت ها، توسعه ی Dexphot را برعهده داشته باشند. به هرحال، روش های پیچیده ی دورزدن حفاظ های امنیتی در سال های گذشته بین گروه های هکری هم رواج پیدا کرده اند. درنهایت، شاید همین توسعه باعث شود حتی در بدافزاری با هدف کوچک معدن کاوی مانند Dexphot، از روش های دورزدن حرفه ای استفاده شود. از نمونه های دیگر می توان به تروجان دزدی اطلاعات مانند Astroth و بدافزار سوءاستفاده ی کلیکی Noderosk اشاره کرد.همان طورکه توضیح دادیم، Dexphot روی سیستم هایی اجرا می شود که به بدافزار دیگری آلوده هستند. بدافزار اول نیز عموما ازطریق دانلود نرم افزارهای کرک شده به سیستم قربانی منتقل می شود. بااین همه، رویکردهای امنیتی اولیه برای هر کاربر ویندوزی حیاتی به نظر می رسند که از آلودگی به بدافزارهای مخرب این چنینی تا حد زیادی جلوگیری می کنند. پتنت جدید مایکروسافت خنک سازی دستگاه های تاشدنی مایکروسافت را نشان می دهد سقوط ارزش بیت کوین دراثر خط و نشان دولت چین اسلک: مایکروسافت تیمز نه تنها محصولات، بلکه تبلیغات ما را نیز کپی می کند اولین خودپرداز بیت کوین در نمایشگاه ITE 2019 چگونه کار می کند آگهی کاریابی تأیید کرد اپلیکیشن های Win32 در ویندوز 10X اجرایی خواهند شد

کریپتو هگزا سایت بازنشر خبری است و در قبال محتوای اخبار نشر شده هیچ مسولیتی ندارد.

جدیدترین اخبار ارزهای رمزگذاری شده در حوزه analysis-تحلیل ارزهای رمزگذاری شده، نشر خبر " مایکروسافت: بدافزار جدید dexphot بیش از ۸۰ هزار کامپیوتر را آلوده کرده است از منبع زومیت. "

اخبار گوناگون