به نقل از «ايتنا»

تروجانی که سازمان‌های مالی را هدف قرار داد!

تاریخ انتشار: ۱۵ آبان ۱۳۹۶ | کد خبر: ۱۵۴۷۳۲۷۷

ایتنا- قربانیان این حمله، بانک‌های روسیه بودند اما چند مورد آلودگی در سازمان‌های مالزی و ارمنستان نیز مشاهده شد.

کارشناسان ما در سپتامبر ماه 2017، یک حمله جدید که موسسات مالی را مورد هدف قرار داده بود، شناسایی نمودند.


به گزارش ایتنا از کسپرسکی آنلاین، از نظر تاکتیکی این حمله بسیار شبیه حمله پیشرفته notorious Carbanak بود، حمله‌ای که در آن ایمیل‌های فیشینگ با پیوست‌های مخرب به کارکنان بانک‌ها و سازمان‌های مالی ارسال شد و به دنبال جاسوسی از کاربران، حمله به طور ناگهانی به معامله‌ای جعلی تبدیل گشت.

بیشتر بخوانید: اخباری که در وبسایت منتشر نمی‌شوند!

 با استفاده از این روش مجرمان توانستند میلیاردها دلار پول بدست آورند و همین انگیزه‌ای برای تکرار این حمله شده است.

با این حال و با گذشت زمان، مجرمان حمله فیشینگ را کامل‌تر و جامع‎تر از قبل عملی ساختند. پس از آلوده شدن و محکم کاری در زیرساخت‌های یک سازمان، مجرمان به ارسال "قرارداد" بین شرکای بانک اقدام نمودند. قربانی بعدی، پیام فیشینگ را از طریق آدرس لینک شخص واقعی که در بانک فعالیت می کند، دریافت می‌کند. احتمال کلیک کردن بر روی لینک از این طریق می‌تواند بسیار بالا باشد.

تروجان Silence چگونه عمل می‌کند؟
قربانی یا یک کارمند مالی "قرارداد" را که فایل ضمیمه شده‌ای با فرمت chm. است را باز می‎کند. فایل HTML جاسازی شده، شامل کد جاوا اسکریپت مخربی است که یک دراپر را بارگذاری و فعال می سازد و سپس ماژول تروجان Silence را که به عنوان سرویس دهنده های ویندوز عمل می‌کند را بارگذاری می‌کند. ما در بین دستورات این حمله ماژول هایی برای کنترل و نظارت، ضبط صفحه ی نمایش و ارتباط با سرورهای کنترل به علاوه برنامه‌هایی برای اجرای دستورات از راه دور کنسول یافتیم.

این ماژول‌ها به مجرمان اجازه جمع آوری اطلاعات از شبکه و ضبط تصاویر از صفحه نمایش کاربران را می‌دهد. مجرمان در ابتدا همه آنها را نظارت می‌کنند، پس از اینکه متوجه شدند اطلاعات مالی مفیدی هستند بر روی آنها تمرکز کرده و اولویت خود را روی آنها قرار می دهند. هنگامی که مجرمان شناخت کاملی نسبت به نحوه عملکرد سیستم های اطلاعاتی قربانیان بدست آوردند، دستور انتقال وجه به حساب‌های خود را از حساب های قربانیان می‌دهند.

جزئیات فنی
مجرمان سایبری با استفاده از تروجان Silence ایمیل‌های فیشینگ را به عنوان بردارهای آلوده ارسال می کنند، آن ها اغلب با استفاده از آدرس ایمیل های کارمندانی که قبلا آلوده شده‌اند، عملیات فیشینگ را انجام می‌دهند. پیامی که در ایمیل نمایان می شود درخواستی کاملا روتین و معمولی است. مجرمان با استفاده از فریب مهندسی اجتماعی به کاربران ثابت می‌کنند که همه چیز طبیعی است و هیچ مورد مشکوکی وجود ندارد.
 
فرمت chm. مخرب
پیوستی که ما در این حمله‌ فیشینگ شناسایی کردیم یک فایل “Microsoft Compiled HTML Help” است. این فایل یک قالب اختصاصی مایکروسافت است کهشامل مجموعه ای از صفحات HTML، نمایه‌سازی و دیگر ابزارهای نویگیشن می‌شود. این فایل‌ها به صورت فشرده شده و با فرمت باینری در پسوند chm. قرار گرفته است.

فایل‌های مخرب مذکور تعاملی هستند و قادرند یک نمونه از تکنولوژی های شامل جاوا اسکریپت را اجرا کنند. به عنوان مثال پس از باز کردن فرمتchm. می تواند قربانی را به سمت یک URL خارجی هدایت نماید. مجرمان به اکسپلویت فایل‌های CHM برای بارگیری خودکار پیلودهای مخرب اقدام می‌کنند. هنگامی که فایل پیوست توسط قربانی باز می شود، محتویات جاسازی شده htm. اجرا می‌شود. این فایل شامل جاوا اسکریپت است و هدف اصلی آن دانلود و اجرای یک مرحله‌ دیگر از یک hard coded URL است.
 
هدف اسکریپت دانلود و اجرای یک VBS script مبهم است که مجدداً به دانلود و اجرای دراپر می‌پردازد.
 
دراپر
دراپر یک فایل باینری win32 قابل اجرا است که هدف آن برقراری ارتباط با سرور فرمان و کنترل (C&C)، ارسال شناسه دستگاه آلوده و در نهایت دانلود و اجرای پیلودهای مخرب است.

 

پس از اجرا دراپر با استفاده از یک درخواست GET به سرور (C&C) متصل می‎شود و شناسه‎ قربانی را ارسال، پیلودها را دانلود و آنها را با استفاده از تابعCreateProcess اجرا می‌کند.
 
پیلودها
پیلودها تعدادی از ماژول ها هستند که بر روی سیستم آلوده به منظور انجام برخی وظایف همانند ضبط صفحه‌ی نمایش، آپلود داده‌ها و غیره اجرا می‌شوند. تمام ماژول‌های پیلودی که ما قادر به شناسایی آن ها بودیم، به عنوان سرویس های ویندوز ثبت شده بودند.

 

نظارت و کنترل ماژول
وظیفه اصلی این ماژول نظارت بر فعالیت قربانی است. برای انجام این کار چندین اسکرین شات از صفحه نمایش فعال قربانی گرفته می‌شود و شبه ویدئویی از تمام فعالیت‌های قربانی ارائه می‌شود. این یک تکنیکی است که مشابه آن در پرونده‌ Carbanak مورد استفاده قرار گرفته بود و توانسته بود فعالیت روزمره‌ی قربانی را ضبط کند.

 

این ماژول توسط یک سرویس ویندوز با نام “Default monitor” ثبت و آغاز می‌شود. پس از راه اندازی اولیه، آن یک pipe با یک مقدار سخت‌افزاری – “\\.\pipe\{73F7975A-A4A2-4AB6-9121-AECAE68AABBB}”. ایجاد می‌کند که از آن برای اشتراک گذاری داده‌ها در ارتباطات مخرب بین پردازش ماژول‌ها مورد استفاده قرار می‌گیرد.

 
بدافزار، داده های مسدود شده را رمزنگاری و آنها را عنوان یک فایل باینری با اسم hardcoded “mss.exe” در یک مکان موقت در ویندوز ذخیره و سپس آن را با استفاده از تابع CreateProcessAsUser  اجرا می‌کند.
این دراپر باینری ماژولی است که مسئول ضبط فعالیت‌های صفحه نمایش است. پس از آن ماژول نظارت، منتظر یک ماژول دراپ برای آغاز اشتراک گذاری داده های ضبط شده با دیگر ماژول‌هایی که از named pipe استفاده می کردند، می ماند.

ماژول جمع‌آوری فعالیت‌های صفحه نمایش
این ماژول از هر دو رابط گرافیکی ویندوز (GDI) و API برای ضبط فعالیت‌های صفحه قربانی استفاده می‌کند. این کار با استفاده از توابع CreateCompatibleBitmap و GdipCreateBitmapFromHBITMAP انجام می‌شود.
از این پس ماژول به named pipe که توسط ماژولی که در بالا آن را شرح دادیم متصل می شود و داده‌ها را در آن جا می‌نویسد.
 
ماژول ارتباطی C&C با کنسول backconnect
ماژول ارتباطی C&C همانند دیگر ماژول‌ها، یکی از سرویس‌های ویندوز است. این ماژول، دسترسی backconnect را به دستگاه قربانی با استفاده از دستور فرمان کنسول فراهم می‌سازد که این ویژگی یکی از قابلیت‌های اصلی ماژول ارتباطی C&C است.
پس از گذشت این مرحله، این ماژول Windows API function names را رمزگشایی و آن ها را با استفاده از LoadLibrary بارگذاری و با استفاده از توابع GetProcAddress آنها را انتخاب می‌کند.
 
پس از بارگذاری موفق تابع WinAPI، بدافزار تلاش می‌کند تا با استفاده از یک ادرس آی.پی hardcoded به سرور C&C متصل شود.
بدافزار درخواست‌های خاصی را با شناسه ی خودش به سرور فرماندهی ارسال می‌کند و سپس منتظر پاسخ می ماند تا کدها برای عملیات اجرا شوند. این کدها به صورت زیر هستند:   htrjyytrn”: در زبان انگیسی به معنای "اتصال مجدد" می‌باشد.
  htcnfhn” : در زبان انگیسی به معنای "راه اندازی مجدد" می‌باشد.
  ytnpflfybq”: در زبان انگیسی به معنای "بدون وظیفه" می‌باشد. در نهایت بدافزار دستورالعمل‌هایی را در مورد اینکه کدام کنسول‌ها فرمان اجرا می‌دهند، را دریافت می‌کند.
 
روش شرح داده شده به مجرمان اجازه می‌دهد تا بتوانند هر ماژول مخرب دیگری را نصب کنند. فعالیت مخرب می‌تواند به راحتی و با استفاده از دستور “sc create” کنسول صورت گیرد.

ابزار Winexecsvc
ما همچنین بر روی برخی از کامپیوترهای آلوده ابزاری را به نام "Winexesvc" یافتیم. این ابزار مشابه عملکرد ابزار شناخته شده ی “psexec” عمل می نماید. تفاوت اصلی آن این است که ابزار Winexesvc دستورات را از راه دور بر روی سیستم عامل لینوکس اجرا می کند. هنگامی که باینری "winexe" علیه ویندوز سرور ایجاد می شود، winexesvc.exe به عنوان یک سرویس ایجاد و نصب می شود.
چگونه می توان از کسب و کار خود در برابر حمله ی Silence محافظت نمود؟
همانطور که متوجه شدید یادآوری به کارمندان برای باز نکردن فایل های پیوست در ایمیل های خارجی کافی نیست. برای محافظت از موسسات مالی در برابر حملات سایبری امروزه توصیه می شود که:   به منظور افزایش آگاهی کارمندان خود نسبت به مسائل امنیت سایبری جلسات و کارگاه های آموزشی برگذارکنید؛
  از راهکارهای امنیتی قوی که قادر به شناسایی تهدیدات در شبکه و زیرساخت ها هستند، استفاده کنید. راهکارهای امنیتی کسپرسکی برای کسب و کارها از وجود هرگونه تهدید در شبکه جلوگیری و فورا آن را مسدود می سازد. راهکارهای امنیتی لابراتوار کسپرسکی تروجان Silence را با عنوان های زیر شناسایی کرده است: کارشناسان ما در سپتامبر ماه 2017، یک حمله ی جدید که موسسات مالی را مورد هدف قرار داده بود، شناسایی نمودند. قربانیان این حمله، بانک های روسیه بودند اما چند مورد آلودگی در سازمان های مالزی و ارمنستان نیز مشاهده شد. از نظر تاکتیکی این حمله بسیار شبیه حمله ی پیشرفته ی notorious Carbanak بود، حمله ای که در آن ایمیل های فیشینگ با پیوست های مخرب به کارکنان بانک ها و سازمان های مالی ارسال شد و به دنبال جاسوسی از کاربران، حمله به طور ناگهانی به معامله ای جعلی تبدیل گشت. با استفاده از این روش مجرمان توانستند میلیاردها دلار پول بدست آورند و همین انگیزه‌ای برای تکرار این حمله شده است.
با این حال و با گذشت زمان، مجرمان حمله ی فیشینگ را کامل‌تر و جامع‎تر از قبل عملی ساختند. پس از آلوده شدن و محکم کاری در زیرساخت های یک سازمان، مجرمان به ارسال "قرارداد" بین شرکای بانک اقدام نمودند. قربانی بعدی، پیام فیشینگ را از طریق آدرس لینک شخص واقعی که در بانک فعالیت می کند، دریافت می کند. احتمال کلیک کردن بر روی لینک از این طریق می تواند بسیار بالا باشد.
تروجان Silence چگونه عمل می کند؟
قربانی یا یک کارمند مالی "قرارداد" را که فایل ضمیمه شده ای با فرمت chm. است را باز می‎کند. فایل HTML جاسازی شده، شامل کد جاوا اسکریپت مخربی است که یک دراپر را بارگذاری و فعال می سازد و سپس ماژول تروجان Silence را که به عنوان سرویس دهنده های ویندوز عمل می کند را بارگذاری می کند. ما در بین دستورات این حمله ماژول هایی برای کنترل و نظارت، ضبط صفحه ی نمایش و ارتباط با سرورهای کنترل به علاوه ی برنامه هایی برای اجرای دستورات از راه دور کنسول یافتیم.
این ماژول ها به مجرمان اجازه ی جمع آوری اطلاعات از شبکه و ضبط تصاویر از صفحه ی نمایش کاربران را می دهد. مجرمان در ابتدا همه ی آن ها را نظارت می کنند، پس از اینکه متوجه شدند اطلاعات مالی مفیدی هستند بر روی آن ها تمرکز کرده و اولویت خود را روی آن ها قرار می دهند. هنگامی که مجرمان شناخت کاملی نسبت به نحوه ی عملکرد سیستم های اطلاعاتی قربانیان بدست آوردند، دستور انتقال وجه به حساب های خود را از حساب های قربانیان می دهند.
جزئیات فنی
مجرمان سایبری با استفاده از تروجان Silence ایمیل های فیشینگ را به عنوان بردارهای آلوده ارسال می کنند، آن ها اغلب با استفاده از آدرس ایمیل های کارمندانی که قبلا آلوده شده اند، عملیات فیشینگ را انجام می‌دهند. پیامی که در ایمیل نمایان می شود درخواستی کاملا روتین و معمولی است. مجرمان با استفاده از فریب مهندسی اجتماعی به کاربران ثابت می کنند که همه چیز طبیعی است و هیچ مورد مشکوکی وجود ندارد.

فرمت chm. مخرب
پیوستی که ما در این حمله‌ی فیشینگ شناسایی کردیم یک فایل “Microsoft Compiled HTML Help” است. این فایل یک قالب اختصاصی مایکروسافت است کهشامل مجموعه ای از صفحات HTML، نمایه‌سازی و دیگر ابزارهای نویگیشن می‌شود. این فایل ها به صورت فشرده شده و با فرمت باینری در پسوند chm. قرار گرفته است. فایل های مخرب مذکور تعاملی هستند و قادرند یک نمونه از تکنولوژی های شامل جاوا اسکریپت را اجرا کنند. به عنوان مثال پس از باز کردن فرمتchm. می تواند قربانی را به سمت یک URL خارجی هدایت نماید. مجرمان به اکسپلویت فایل های CHM برای بارگیری خودکار پیلودهای مخرب اقدام می‌کنند. هنگامی که فایل پیوست توسط قربانی باز می شود، محتویات جاسازی شده ی htm. اجرا می شود. این فایل شامل جاوا اسکریپت است و هدف اصلی آن دانلود و اجرای یک مرحله‌ی دیگر از یک hard coded URL است.

هدف اسکریپت دانلود و اجرای یک VBS script مبهم است که مجدداً به دانلود و اجرای دراپر می پردازد.

دراپر
دراپر یک فایل باینری win32 قابل اجرا است که هدف آن برقراری ارتباط با سرور فرمان و کنترل (C&C)، ارسال شناسه ی دستگاه آلوده و در نهایت دانلود و اجرای پیلودهای مخرب است.

پس از اجرا دراپر با استفاده از یک درخواست GET به سرور (C&C) متصل می‎شود و شناسه‎ی قربانی را ارسال، پیلودها را دانلود و آنها را با استفاده از تابعCreateProcess اجرا می‌کند.

پیلودها
پیلودها تعدادی از ماژول ها هستند که بر روی سیستم آلوده به منظور انجام برخی وظایف همانند ضبط صفحه‌ی نمایش، آپلود داده ها و غیره اجرا می شوند. تمام ماژول های پیلودی که ما قادر به شناسایی آن ها بودیم، به عنوان سرویس های ویندوز ثبت شده بودند.
نظارت و کنترل ماژول
وظیفه ی اصلی این ماژول نظارت بر فعالیت قربانی است. برای انجام این کار چندین اسکرین شات از صفحه ی نمایش فعال قربانی گرفته می شود و شبه ویدئویی از تمام فعالیت های قربانی ارائه می شود. این یک تکنیکی است که مشابه آن در پرونده‌ی Carbanak مورد استفاده قرار گرفته بود و توانسته بود فعالیت روزمره‌ی قربانی را ضبط کند.

این ماژول توسط یک سرویس ویندوز با نام “Default monitor” ثبت و آغاز می شود. پس از راه اندازی اولیه، آن یک pipe با یک مقدار سخت افزاری – “\\.\pipe\{73F7975A-A4A2-4AB6-9121-AECAE68AABBB}”. ایجاد می‌کند که از آن برای اشتراک گذاری داده ها در ارتباطات مخرب بین پردازش ماژول ها مورد استفاده قرار می گیرد.

بدافزار، داده های مسدود شده را رمزنگاری و آن ها را عنوان یک فایل باینری با اسم hardcoded “mss.exe” در یک مکان موقت در ویندوز ذخیره و سپس آن را با استفاده از تابع CreateProcessAsUser  اجرا می کند.
این دراپر باینری ماژولی است که مسئول ضبط فعالیت‌های صفحه ی نمایش است. پس از آن ماژول نظارت، منتظر یک ماژول دراپ برای آغاز اشتراک گذاری داده های ضبط شده با دیگر ماژول هایی که از named pipe استفاده می کردند، می ماند.
ماژول جمع آوری فعالیت های صفحه نمایش
این ماژول از هر دو رابط گرافیکی ویندوز (GDI) و API برای ضبط فعالیت های صفحه ی قربانی استفاده می کند. این کار با استفاده از توابعCreateCompatibleBitmap و GdipCreateBitmapFromHBITMAP انجام می شود.
از این پس ماژول به named pipe که توسط ماژولی که در بالا آن را شرح دادیم متصل می شود و داده ها را در آن جا می نویسد.

ماژول ارتباطی C&C با کنسول backconnect
ماژول ارتباطی C&C همانند دیگر ماژول‌ها، یکی از سرویس‌های ویندوز است. این ماژول، دسترسی backconnect را به دستگاه قربانی با استفاده از دستور فرمان کنسول فراهم می سازد که این ویژگی یکی از قابلیت های اصلی ماژول ارتباطی C&C است.
پس از گذشت این مرحله، این ماژول Windows API function names را رمزگشایی و آن ها را با استفاده از LoadLibrary بارگذاری و با استفاده از توابعGetProcAddress آن ها را انتخاب می کند.

پس از بارگذاری موفق تابع WinAPI، بدافزار تلاش می کند تا با استفاده از یک ادرس آی پی hardcoded به سرور C&C متصل شود.

بدافزار درخواست های خاصی را با شناسه ی خودش به سرور فرماندهی ارسال می کند و سپس منتظر پاسخ می ماند تا کدها برای عملیات اجرا شوند. این کدها به صورت زیر هستند:
  htrjyytrn”: در زبان انگیسی به معنای "اتصال مجدد" می باشد.
  htcnfhn” : در زبان انگیسی به معنای "راه اندازی مجدد" می باشد.
  ytnpflfybq”: در زبان انگیسی به معنای "بدون وظیفه" می باشد.
ابزار Winexecsvc
ما همچنین بر روی برخی از کامپیوترهای آلوده ابزاری را به نام "Winexesvc" یافتیم. این ابزار مشابه عملکرد ابزار شناخته شده ی “psexec” عمل می نماید. تفاوت اصلی آن این است که ابزار Winexesvc دستورات را از راه دور بر روی سیستم عامل لینوکس اجرا می کند. هنگامی که باینری "winexe" علیه ویندوز سرور ایجاد می شود، winexesvc.exe به عنوان یک سرویس ایجاد و نصب می شود.
چگونه می توان از کسب و کار خود در برابر حمله ی Silence محافظت نمود؟
همانطور که متوجه شدید یادآوری به کارمندان برای باز نکردن فایل های پیوست در ایمیل های خارجی کافی نیست. برای محافظت از موسسات مالی در برابر حملات سایبری امروزه توصیه می شود که:
   به منظور افزایش آگاهی کارمندان خود نسبت به مسائل امنیت سایبری جلسات و کارگاه های آموزشی برگذارکنید؛
  از راهکارهای امنیتی قوی که قادر به شناسایی تهدیدات در شبکه و زیرساخت ها هستند، استفاده کنید. راهکارهای امنیتی کسپرسکی برای کسب و کارها  از وجود هرگونه تهدید در شبکه جلوگیری و فورا آن را مسدود می سازد.راهکارهای امنیتی لابراتوار کسپرسکی تروجان Silence را با عنوان های زیر شناسایی کرده است:
کارشناسان ما در سپتامبر ماه 2017، یک حمله ی جدید که موسسات مالی را مورد هدف قرار داده بود، شناسایی نمودند. قربانیان این حمله، بانک های روسیه بودند اما چند مورد آلودگی در سازمان های مالزی و ارمنستان نیز مشاهده شد. از نظر تاکتیکی این حمله بسیار شبیه حمله ی پیشرفته ی notorious Carbanak بود، حمله ای که در آن ایمیل های فیشینگ با پیوست های مخرب به کارکنان بانک ها و سازمان های مالی ارسال شد و به دنبال جاسوسی از کاربران، حمله به طور ناگهانی به معامله ای جعلی تبدیل گشت. با استفاده از این روش مجرمان توانستند میلیاردها دلار پول بدست آورند و همین انگیزه‌ای برای تکرار این حمله شده است.
با این حال و با گذشت زمان، مجرمان حمله ی فیشینگ را کامل‌تر و جامع‎تر از قبل عملی ساختند. پس از آلوده شدن و محکم کاری در زیرساخت های یک سازمان، مجرمان به ارسال "قرارداد" بین شرکای بانک اقدام نمودند. قربانی بعدی، پیام فیشینگ را از طریق آدرس لینک شخص واقعی که در بانک فعالیت می کند، دریافت می کند. احتمال کلیک کردن بر روی لینک از این طریق می تواند بسیار بالا باشد.
تروجان Silence چگونه عمل می کند؟
قربانی یا یک کارمند مالی "قرارداد" را که فایل ضمیمه شده ای با فرمت chm. است را باز می‎کند. فایل HTML جاسازی شده، شامل کد جاوا اسکریپت مخربی است که یک دراپر را بارگذاری و فعال می سازد و سپس ماژول تروجان Silence را که به عنوان سرویس دهنده های ویندوز عمل می کند را بارگذاری می کند. ما در بین دستورات این حمله ماژول هایی برای کنترل و نظارت، ضبط صفحه ی نمایش و ارتباط با سرورهای کنترل به علاوه ی برنامه هایی برای اجرای دستورات از راه دور کنسول یافتیم.
این ماژول ها به مجرمان اجازه ی جمع آوری اطلاعات از شبکه و ضبط تصاویر از صفحه ی نمایش کاربران را می دهد. مجرمان در ابتدا همه ی آن ها را نظارت می کنند، پس از اینکه متوجه شدند اطلاعات مالی مفیدی هستند بر روی آن ها تمرکز کرده و اولویت خود را روی آن ها قرار می دهند. هنگامی که مجرمان شناخت کاملی نسبت به نحوه ی عملکرد سیستم های اطلاعاتی قربانیان بدست آوردند، دستور انتقال وجه به حساب های خود را از حساب های قربانیان می دهند.
جزئیات فنی
مجرمان سایبری با استفاده از تروجان Silence ایمیل های فیشینگ را به عنوان بردارهای آلوده ارسال می کنند، آن ها اغلب با استفاده از آدرس ایمیل های کارمندانی که قبلا آلوده شده اند، عملیات فیشینگ را انجام می‌دهند. پیامی که در ایمیل نمایان می شود درخواستی کاملا روتین و معمولی است. مجرمان با استفاده از فریب مهندسی اجتماعی به کاربران ثابت می کنند که همه چیز طبیعی است و هیچ مورد مشکوکی وجود ندارد.

فرمت chm. مخرب
پیوستی که ما در این حمله‌ی فیشینگ شناسایی کردیم یک فایل “Microsoft Compiled HTML Help” است. این فایل یک قالب اختصاصی مایکروسافت است کهشامل مجموعه ای از صفحات HTML، نمایه‌سازی و دیگر ابزارهای نویگیشن می‌شود. این فایل ها به صورت فشرده شده و با فرمت باینری در پسوند chm. قرار گرفته است. فایل های مخرب مذکور تعاملی هستند و قادرند یک نمونه از تکنولوژی های شامل جاوا اسکریپت را اجرا کنند. به عنوان مثال پس از باز کردن فرمتchm. می تواند قربانی را به سمت یک URL خارجی هدایت نماید. مجرمان به اکسپلویت فایل های CHM برای بارگیری خودکار پیلودهای مخرب اقدام می‌کنند. هنگامی که فایل پیوست توسط قربانی باز می شود، محتویات جاسازی شده ی htm. اجرا می شود. این فایل شامل جاوا اسکریپت است و هدف اصلی آن دانلود و اجرای یک مرحله‌ی دیگر از یک hard coded URL است.

هدف اسکریپت دانلود و اجرای یک VBS script مبهم است که مجدداً به دانلود و اجرای دراپر می پردازد.

دراپر
دراپر یک فایل باینری win32 قابل اجرا است که هدف آن برقراری ارتباط با سرور فرمان و کنترل (C&C)، ارسال شناسه ی دستگاه آلوده و در نهایت دانلود و اجرای پیلودهای مخرب است.

پس از اجرا دراپر با استفاده از یک درخواست GET به سرور (C&C) متصل می‎شود و شناسه‎ی قربانی را ارسال، پیلودها را دانلود و آنها را با استفاده از تابعCreateProcess اجرا می‌کند.

پیلودها
پیلودها تعدادی از ماژول ها هستند که بر روی سیستم آلوده به منظور انجام برخی وظایف همانند ضبط صفحه‌ی نمایش، آپلود داده ها و غیره اجرا می شوند. تمام ماژول های پیلودی که ما قادر به شناسایی آن ها بودیم، به عنوان سرویس های ویندوز ثبت شده بودند.
نظارت و کنترل ماژول
وظیفه ی اصلی این ماژول نظارت بر فعالیت قربانی است. برای انجام این کار چندین اسکرین شات از صفحه ی نمایش فعال قربانی گرفته می شود و شبه ویدئویی از تمام فعالیت های قربانی ارائه می شود. این یک تکنیکی است که مشابه آن در پرونده‌ی Carbanak مورد استفاده قرار گرفته بود و توانسته بود فعالیت روزمره‌ی قربانی را ضبط کند.

این ماژول توسط یک سرویس ویندوز با نام “Default monitor” ثبت و آغاز می شود. پس از راه اندازی اولیه، آن یک pipe با یک مقدار سخت افزاری – “\\.\pipe\{73F7975A-A4A2-4AB6-9121-AECAE68AABBB}”. ایجاد می‌کند که از آن برای اشتراک گذاری داده ها در ارتباطات مخرب بین پردازش ماژول ها مورد استفاده قرار می گیرد.

بدافزار، داده های مسدود شده را رمزنگاری و آن ها را عنوان یک فایل باینری با اسم hardcoded “mss.exe” در یک مکان موقت در ویندوز ذخیره و سپس آن را با استفاده از تابع CreateProcessAsUser  اجرا می کند.
این دراپر باینری ماژولی است که مسئول ضبط فعالیت‌های صفحه ی نمایش است. پس از آن ماژول نظارت، منتظر یک ماژول دراپ برای آغاز اشتراک گذاری داده های ضبط شده با دیگر ماژول هایی که از named pipe استفاده می کردند، می ماند.
ماژول جمع آوری فعالیت های صفحه نمایش
این ماژول از هر دو رابط گرافیکی ویندوز (GDI) و API برای ضبط فعالیت های صفحه ی قربانی استفاده می کند. این کار با استفاده از توابعCreateCompatibleBitmap و GdipCreateBitmapFromHBITMAP انجام می شود.
از این پس ماژول به named pipe که توسط ماژولی که در بالا آن را شرح دادیم متصل می شود و داده ها را در آن جا می نویسد.

ماژول ارتباطی C&C با کنسول backconnect
ماژول ارتباطی C&C همانند دیگر ماژول‌ها، یکی از سرویس‌های ویندوز است. این ماژول، دسترسی backconnect را به دستگاه قربانی با استفاده از دستور فرمان کنسول فراهم می سازد که این ویژگی یکی از قابلیت های اصلی ماژول ارتباطی C&C است.
پس از گذشت این مرحله، این ماژول Windows API function names را رمزگشایی و آن ها را با استفاده از LoadLibrary بارگذاری و با استفاده از توابعGetProcAddress آن ها را انتخاب می کند.

پس از بارگذاری موفق تابع WinAPI، بدافزار تلاش می کند تا با استفاده از یک ادرس آی پی hardcoded به سرور C&C متصل شود.

بدافزار درخواست های خاصی را با شناسه ی خودش به سرور فرماندهی ارسال می کند و سپس منتظر پاسخ می ماند تا کدها برای عملیات اجرا شوند. این کدها به صورت زیر هستند:
  htrjyytrn”: در زبان انگیسی به معنای "اتصال مجدد" می باشد.
  htcnfhn” : در زبان انگیسی به معنای "راه اندازی مجدد" می باشد.
  ytnpflfybq”: در زبان انگیسی به معنای "بدون وظیفه" می باشد.
ابزار Winexecsvc
ما همچنین بر روی برخی از کامپیوترهای آلوده ابزاری را به نام "Winexesvc" یافتیم. این ابزار مشابه عملکرد ابزار شناخته شده ی “psexec” عمل می نماید. تفاوت اصلی آن این است که ابزار Winexesvc دستورات را از راه دور بر روی سیستم عامل لینوکس اجرا می کند. هنگامی که باینری "winexe" علیه ویندوز سرور ایجاد می شود، winexesvc.exe به عنوان یک سرویس ایجاد و نصب می شود.
چگونه می توان از کسب و کار خود در برابر حمله ی Silence محافظت نمود؟
همانطور که متوجه شدید یادآوری به کارمندان برای باز نکردن فایل های پیوست در ایمیل های خارجی کافی نیست. برای محافظت از موسسات مالی در برابر حملات سایبری امروزه توصیه می شود که:
   به منظور افزایش آگاهی کارمندان خود نسبت به مسائل امنیت سایبری جلسات و کارگاه های آموزشی برگذارکنید؛
  از راهکارهای امنیتی قوی که قادر به شناسایی تهدیدات در شبکه و زیرساخت ها هستند، استفاده کنید. راهکارهای امنیتی کسپرسکی برای کسب و کارها  از وجود هرگونه تهدید در شبکه جلوگیری و فورا آن را مسدود می سازد.راهکارهای امنیتی لابراتوار کسپرسکی تروجان Silence را با عنوان های زیر شناسایی کرده است:
در نهایت بدافزار دستورالعمل هایی را در مورد اینکه کدام کنسول ها فرمان اجرا می دهند، را دریافت می کند.

روش شرح داده شده به مجرمان اجازه می دهد تا بتوانند هر ماژول مخرب دیگری را نصب کنند. فعالیت مخرب می تواند به راحتی و با استفاده از دستور “sc create” کنسول صورت گیرد.در نهایت بدافزار دستورالعمل هایی را در مورد اینکه کدام کنسول ها فرمان اجرا می دهند، را دریافت می کند.

روش شرح داده شده به مجرمان اجازه می دهد تا بتوانند هر ماژول مخرب دیگری را نصب کنند. فعالیت مخرب می تواند به راحتی و با استفاده از دستور “sc create” کنسول صورت گیرد.

منبع: ايتنا

درخواست حذف خبر:

«خبربان» یک خبرخوان هوشمند و خودکار است و این خبر را به‌طور اتوماتیک از وبسایت www.itna.ir دریافت کرده‌است، لذا منبع این خبر، وبسایت «ايتنا» بوده و سایت «خبربان» مسئولیتی در قبال محتوای آن ندارد. چنانچه درخواست حذف این خبر را دارید، کد ۱۵۴۷۳۲۷۷ را به همراه موضوع به شماره ۱۰۰۰۱۵۷۰ پیامک فرمایید. لطفاً در صورتی‌که در مورد این خبر، نظر یا سئوالی دارید، با منبع خبر (اینجا) ارتباط برقرار نمایید.

با استناد به ماده ۷۴ قانون تجارت الکترونیک مصوب ۱۳۸۲/۱۰/۱۷ مجلس شورای اسلامی و با عنایت به اینکه سایت «خبربان» مصداق بستر مبادلات الکترونیکی متنی، صوتی و تصویر است، مسئولیت نقض حقوق تصریح شده مولفان در قانون فوق از قبیل تکثیر، اجرا و توزیع و یا هر گونه محتوی خلاف قوانین کشور ایران بر عهده منبع خبر و کاربران است.

خبر بعدی:

راهنمایی مدیریت مالی بهتر در «دخل و خرج»

رادیو صبا با برنامه‌ای جدید تحت عنوان «دخل و خرج» با موضوع مدیریت مالی بهتر مخاطبانش را همراه می‌کند.

به گزارش ایسنا، «دخل و خرج» عنوان یکی از برنامه‌های جدید این شبکه رادیویی است که در فضایی متفاوت مخاطبان را دعوت به مدیریت مالی می‌کند.

امیر اکبری، تهیه‌کننده و مجری این برنامه در توضیح «دخل و خرج» خاطرنشان کرد: امروزه با افزایش تورم و تغییر شرایط اقتصادی به خصوص افزایش هزینه‌های اقتصادی نمی‌توانیم براساس آنچه خواسته‌ ما هست و مد نظر داریم، خرج کنیم به همین دلیل ممکن است با مسائل مالی مواجه شویم که برای برطرف کردنشان نیاز داریم روش‌های مدیریت هزینه زندگی را بشناسیم.

وی ادامه داد: پول، عامل مهمی است که می‌تواند در خوشبخت بودن یا نبودن انسان‌ها موثر باشد و همه افراد به دنبال افزایش پول خود هستند تا بتوانند کارهایی را که دلشان می‌خواهد، انجام بدهند تا در نهایت احساس رضایت و خوشبختی کنند. ما در این برنامه به دنبال این نیستیم که به مردم بگوییم خرج نکنید و پس‌انداز کنید، این برنامه راهکارهای ساده‌ای برای ترک عادت‌های بد اقتصادی ارائه می‌کند تا با درآمدی که داریم زندگی خوبی داشته باشیم.

این برنامه‌ساز یادآور شد: در این برنامه مردم را به مشارکت‌های اقتصادی دعوت می‌کنیم و به آنها راهکارهایی پیشنهاد می‌کنیم تا با سرمایه‌های اندکی که دارند کسب و کار راه بیندازند و به دنبال کسب درآمد باشند.

به گزارش ایسنا، «دخل و خرج» در هر قسمت یک موضوع اقتصادی را بیان می‌کند و از نگاه‌های متفاوت به نقد و بررسی آن می‌پردازد و در پایان نظر کارشناسان اقتصادی و روانشناسی را پخش می‌کند.

«دخل و خرج» شنبه تا چهارشنبه ساعت ۱۸ به تهیه‌کنندگی و اجرای امیر اکبری از رادیوصبا پخش می شود.

انتهای پیام