IPIment ، Firewall ، NGFirewall-UTM، آیپی ایمن، فایروال ایرانی ، فایروال بومی، یوتی ام بومی، یوتی ام ایرانی، فایروال نسل بعدی ایرانی، فایروال نسل بعدی بومی

بدافزار

شرکت تاکیان - توسعه امن کیان - تاکیان

احراز هویت دو مرحله ای، دیگر قابل اعتماد نیست

به گزارش سایت هک رید؛ تاکنون به کرات در اخبار، به واکاوی و بررسی وضعیت امنیت احراز هویت 2 مرحله ‌ای پرداخته شده و در برخی مواقع، غیرقابل نفوذ بودن این احراز هویت‌ها در بعضی سرویس‌ها مطرح شده است. البته در همه‌ی موارد، با فرض این مسئله که کاربران از دستگاه تلفن همراه خود، به خوبی مراقبت می‌کنند، امنیت احراز هویت 2 مرحله‌ای تأیید شده است.

Takian.ir hacker demonstrates how to bypass two factor authentication

بیشتر برنامه های رایانه ای، برای افزایش امنیت خود، از تأیید 2 مرحله ای را پیشنهاد می کنند و باور دارند که امکان دور زدن آن وجود ندارد. اما هم اکنون هکرها به روشی دست یافتند که به آسانی از این شیوه حفاظتی از طریق حملات فیشینگ عبور می کنند.

در این زمینه، هکرها به کمک حملات فیشینگ و جانمایی بدافزار «KnowBe4» می توانند اطلاعات مربوط به تأیید 2 مرحله ای را سرقت کرده، فرآیند تشخیص هویت را دور بزنند.

شرکت «Mitnick» -که در زمینه هک و نفوذ فعالیت می نماید- طی یادداشتی اعلام کرد: بدافزار «KnowBe4»، بیش از 17 هزار سازمان و نهاد را تحت تأثیر قرار داده است. این بدافزار، به یاری حملات فیشینگ، وارد دستگاه های رایانه ای می شود.

روش پیشین -که برای دور زدن تشخیص هویت 2 مرحله ای ارائه شد- به این ترتیب بود که اطلاعات با بهره گیری از روش ‌های مهندسی اجتماعی و سایر یورش های سنتی، علیه گذرواژه ‌ها انجام می گرفت و داشتنی های زیر، مورد نیاز بودند:

•    شناسه و گذرواژه‌ی حساب کاربری قربانی
•    شماره‌ تلفن همراه قربانی که سرویس احراز هویت 2 مرحله‌ای روی آن تعریف شده است
•    سرویس جعل شماره‌ی همراه
•    شماره‌ی رایانامه صوتی به منظور دسترسی از راه دور

اما در روشی نوین، هکرها با فرستادن رایانامه های فیشینگ، بدافزار بالا را به سامانه کاربران وارد می کنند و مقدمات سرقت اطلاعات مربوط به تأیید هویت 2 مرحله ای را فراهم می نمایند.

بدافزار Drees Code بعد از 16 ماه هنوز هم فعال است

به نقل از سایت arstechnica ، سال گذشته کمپانی امنیتی Check Point از کشف بدافزاری به نام DressCode خبر داد که از موبایل قربانی، یک بات نت ساخته و امکان کنترل آن را برای هکرها فراهم می کردTakian.ir - DressCODE malware.این بدافزار خود را در قالب اپلیکیشن های سالم و عمدتا کودکانه پنهان ساخته اما پس از نصب به سیستم عامل نفوذ کرده و از فعالیت های کاربر جاسوسی می کند. حتی در صورت نفوذ بیشتر بدافزار مذکور می تواند به شبکه های خصوصی کاربر نیز دسترسی پیدا کرده و اطلاعات مهم را برای خود ارسال کند.اکنون و پس از گذشت 16 ماه از شناسایی DressCode یک هکر ثابت کرده که این بدافزار کماکان به فعالیت خود ادامه داده و تاکنون حدود 4 میلیون دستگاه را آلوده ساخته است.آلوده شدن دستگاه های اندروید به این بدافزار بسیار خطرناک است چرا که با استفاده از پروتکل های SOCKS موبایل را مستقیما به هکرها متصل می کند. مهاجمان در ادامه می توانند به شبکه های خانگی یا اداری متصل شده و به دیگر کامپیوترها و سیستم های متصل نفوذ کنند.این هکر اعلام کرده است که مهاجمان از سیستم های آلوده برای اجرای تبلیغات کلیکی استفاده می کنند که سود سرشاری را نصیب آنها می کند.در حال حاضر لیست جدیدی از اپلیکیشن های آلوده به این بدافزار در گوگل پلی منتشر نشده اما بسیاری از اپ های آلوده کماکان در مارکت های شخص ثالث از قبیل APKPure در دسترس قرار دارند.سال گذشته تیم امنیت سایبری TrendLabs اعلام کرد که DressCode در بیش از 3 هزار اپلیکیشن تعبیه شده که حداقل 400 مورد از آنها در گوگل پلی منتشر شده اند. برای مثال می توان به GTA V برای بازی Minecraft: Pocket Edition اشاره کرد که در همان زمان بیش از پانصد هزار بار در گوگل پلی استور دانلود شده بود.چند ماه قبل نیز کمپانی سیمنتک اعلام کرد که بدافزار Sockbot در قالب اپلیکیشن هایی که اسکین های مختلف را برای کارکترهای بازی ماینکرفت ارائه می دهند روی دستگاه قربانی نصب شده و آن را به بات تبدیل می سازد.یکی از راه های معمول مقابله با این بدافزارها تحت کنترل درآوردن سرورهای اجرا کننده آنها است که Sinkholing نام دارد، با این حال مشخص نیست گوگل در این زمینه چه گام هایی را برداشته است، با این حال ارائه این شواهد از فعالیت DressCode کارایی راهکاری گوگل برای مقابله با بدافزارهایی از این دست را زیر سوال می برد.

بدافزار جدید با نام شمعون 3 در فرانسه شناسایی شد

به گزارش سایت سکیوریتی افیر، طبق گزارش منتشر شده در سایت «VirusTotal» نسل جدیدی از بدافزار شمعون به این سایت ارسال شده است. ویروس توتال یک سایت رایگلن برای بررسی آلوده بودن فایل ها به بدافزار است.takian.ir A new Shamoon sample uploaded to VirusTotal from France

به گزارش سایت ویروس توتال در 23 دسامبر 2018 یک فایل از IP کشور فرانسه در این سایت برای اسکن بارگذاری گردید که حاوی نوع جدیدی از بدافزار شمعون بوده است و به نام شمعون 3 توسط این سایت نامگذاری شده است.

ظاهرا این بدافزار با سوء استفاده از نام شرکت اینترنتی «Baidu» از تاریخ 25 مارس 2015  الی 26 مارس 2016 کاربران را فریب می داده است. نفوذگران فایل های ارسالی را با مطالبی مانند «Baidu WiFi Hotspot Setup» یا «Baidu PC Faster» نام گذاری می کردند تا کاربران را فریب دهند.

طبق تحقیقاتی که توسط آزمایشگاه «Anomali» منتشر شده است، این نوع جدید از بدافزار شمعون اولین بار از سوی یکی از کاربران فراسوی به این آزمایشگاه ارسال شده است .takian.ir A new Shamoon sample uploaded to VirusTotal from France

چندی پیش شرکت خدمات نفتی سایپم ایتالیا اندکی پس از هک و اختلال در سیستم هایش، مدعی شد که در طول این عملیات هکری حدود 300 رایانه این شرکت، با نوع جدیدی از بدافزار شمعون (Shamoon)، مورد حمله قرار گرفته است. این ادعا، حمله اخیر را به پرونده هک شرکت آرامکو، مربوط کرده است.این شرکت طی بیانیه ای در روز چهارشنبه 12 دسامبر 2018، اعلام کرد که حمله سایبری یاد شده، سرورهای این شرکت در خاورمیانه، هند، اسکاتلند و ایتالیا را از طریق یک نوع به روز شده از بدافزار شمعون، هدف قرار داده است. حال پس از این حمله، شرکت سایپم در تلاش است تا به صورت تدریجی و کنترل شده، اوضاع را به حالت معمول و پیش از وقوع حمله بازگرداند.

متخصصان غربی معتقدند که حملات سازمان‌دهی شده با بدافزار شمعون، از سوی یک دولت حمایت می‌شوند و آلیستر شفرد (Alister Shepherd)، رئیس بخش خاورمیانه و آفریقای شرکت امنیتی فایرآی (FireEye)، اخیراً در گفتگو با وبگاه خبری گلف نیوز (Gulf News) مدعی شد که ابزار استفاده‌شده در حمله سایبری اخیر به شرکت سایپم (Saipem)، همان بدافزار شمعون است که در سال 2012، سبب هک و توقف فعالیت شرکت‌های آرامکوی عربستان و راس گاز قطر شد و یک گروه هکری ایرانی مسئولیت این حمله را پذیرفته است.

بدافزار جدیدی که اطلاعات مهم را از برنامه های پیام رسان سرقت میکند

Takian.ir Malware for Android messenger apps

به گزارش سایت www.2-spyware.com، کارشناسان امنیتی یک بدافزار جدید را کشف کردند که که بدون اجازه به دستگاه‌های اندروید وارد می‌شود و اقدام به دزدی اطلاعت شخصی تایپ شده در برنامه های پیام رسان میکند. این برنامه مخرب به عنوان یک ویروس ساده ولی موثر است که قادر به پنهان کردن حضور خود در دستگاه به صورت موثر است.

این تروجان برای حفظ پایداری خود، تلاش میکند که فایل "/ etc / install-recovery.sh" را بر روی دستگاه هدف تغییر دهد. اگر این تغییر موفقیت‌آمیز باشد، ویروس با هر بار راه‌اندازی دستگاه مجددا فعال می‌شود.
به نظر می‌رسد که هدف اولیه این بدافزار، دزدیدن اطلاعات از همه پیام رسان های نصب‌شده روی دستگاه است و سپس آن را به یک Remote Server ارسال می‌کند. آدرس IP سرور ذکر شده از یک فایل پیکربندی محلی بازیابی شده‌است.این بدافزار فعالیت خود را بر روی پیام رسان های زیر به نتیجه میرساند:

  • Skype
  • Facebook Messanger
  • Twitter
  • Viber
  • Telegram Messenger
  • Line
  • Weibo
  • Tencent WeChat
  • Walkie Talkie Messenger, etc.

همان طور که مشاهده میکنید اکثر پیام رسان های محبوب در سراسر جهان به منظور استخراج اطلاعات، تحت‌تاثیر قرار می‌گیرند.

پیکربندی مبهم مانع تشخیص بد افزارهای مخرب می شود

با وجود عملکرد ابتدایی این بدافزار، متوجه میشویم که از رویکرد پیچیده‌ای برخوردار است که در هنگام گریز از تشخیص از آن استفاده می‌کند.به طور معمول نرم افزارهای امنیتی نمیتوانند این تهدید را تشخیص دهند، زیرا فایل پیکربندی و یک قسمت از ماژولهای آن را مسدود میکند. تحلیل و انالیز پویا نیز براحتی مقدور نیست زیرا این بدافزار از قابلیت های ضد شبیه سازی (anti-emulator) و اشکال زدایی (debugger) ستفاده می‌کند.
محققان امنیتی متوجه شده‌اند که بدافزار در داخل کد منبع خود، یک strings را پنهان کرده‌است تا در معرض قرار نگیرد. سرور C & C و مقادیر دیگر در یک فایل پیکربندی قرار گرفته اند که به بدافزار کمک می‌کند تا با کنترلر خود ارتباط برقرار کند.
این بدافزار اولین بار در یک برنامه چینی بنام ماژول ابری (Cloud Module) پیدا شد و از پکیجی با نام com.android.boxa استفاده کرد. با این حال، به این دلیل که هیچ فروشگاه نرم افزارهای اندروید (Play Store) در چین وجود ندارد، بسیار محتمل است که تهدید مغرضانه از طریق وب سایت‌های شخص ثالث و سایت‌های اپلیکیشن آندروید توزیع شود.

داده‌های نشت شده ممکن است برای اهداف غیر قانونی استفاده شوند

حتی اگر داده‌های جمع‌آوری‌شده ممکن است اطلاعات حیاتی مانند کلمه عبور بانکی را افشا نکنند، می‌تواند اطلاعات مفید دیگری مانند محل ملاقات، پروژه‌ها، نام‌ها و غیره را جمع‌آوری کند. این داده‌ها می‌توانند برای تعیین اهداف و گرایش‌های سازمان‌ها به کار روند.علاوه بر این، می توان آن را برای کمپین های جاسوسی یا برای کسب اطلاعات در مورد کارکنان خاص برای اجرای کمپین های فیشینگ و آلوده کردن شبکه ها با ransomware یا تهدیدات سایبری مشابه استفاده کرد.
مدیر خدمات مشاوره‌ای EMEA، آقای Neil Haskins نگران شیوه و روش شرکت‌ها و کارمندانی است که اطلاعات حساس را اداره می‌کنند:

"بسیاری از سازمان‌ها زمان، پول و منابع را صرف امنیت پلتفرم های ایمیل با آخرین و بزرگ‌ترین تکنولوژی می‌کنند. آن‌ها اسناد پالیسی های پست الکترونیکی را بیرون می‌آورند و سپس به کاربران در مورد استفاده مناسب از ایمیل آموزش می‌دهند، و فراموش می‌کنند که کارمندان نیاز دارند که اطلاعات بیشتری در خصوص پیام رسان ها دریافت ‌کنند، و در حقیقت، چون ایمیل آن‌ها را مسدود می‌کنند، آن‌ها از پیغام رسان ها برای عبور از فیلترینگ ایمیل ها استفاده می‌کنند. این طبیعت انسان است. با توجه به این حقیقت که اکثر مردم برنامه‌های پیام‌رسانی چندگانه در لب تاپ‌ها، تبلت ها و تلفن‌های همراه دارند، میبینیم که سطح حمله بسیار عظیم است."

برای اجتناب از نشت داده‌های غیر ضروری، ما به کاربران Android توصیه می‌کنیم که هرگز برنامه‌های کاربردی را از طرف ثالث دانلود نکنند و تنها از گوگل و فروشگاه های معتبر برای این منظور استفاده کنند.

بدافزار مایلوبات، سیستم شما را مانند یک سرباز پیاده نظام به استخدام در میاورد

به گزارش سایت ویروس ریمووا، بدافزاری جدید یافت شده که با سوء استفاده از سیستم های کامپیوتری آنها را به یک بات نت، برای گسترش بیشتر خود تبدیل می نماید.Takian.ir Mylobot Malware Featured

نام این بدافزار «MyloBot» بوده است و در بازه زمانی برگزاری انتخابات آمریکا گسترش یافته است.

از طرفی این بدافزار بیشتر از طریق فضای دارک وب منتشر شده، زیرا بیش از 50 هزار سایت تبهکاری، جاسوسی و... در دارک وب وجود دارد که جولانگاه مناسبی برای بدافزارها است.

به طور معمول بدافزار های مختلفی در سطح جهان وجود دارد، اما پیچیدگی در طراحی و عملکرد این بدافزار ها آنها را متفاوت می کند.

بات نت «botnet MyloBot» سیستم قربانیان را به بردگی گرفته و علاوه بر آلوده کردن خود سیستم از رایانه قربانی برای انتشار بیشتر خود، سوء استفاده می کند.

به طور کلی هدف قرار گرفت سامانه کامپیوتری عبارت اند از: در اختیار گرفتن میزبانی، سرقت اطلاعات، نصب باج افزار، نصب بدافزار، غیر فعال کردن آنتی ویروس و....

بات نت یاد شده علاوه بر توانایی های فوق، سیستم قربانی را به یک منتشر کننده بات نت تبدیل می کند. این امکان بسیار منحصر به فرد بوده و گسترش این بات نت را هموار می سازد.

این بات نت پس از ورود به سیستم کاربر «Windows Defender» را غیر فعال کرده، به روز رسانی ها را میبندد، درگاه های خاص فایروال ویندوز را غیر فعال کرده و سپس در پوشه ای به نام « %APPDATA%» بدافزار قرار می دهد.

سیستم رایانه ای قربانی همانند بات نت زامبی به دنبال آلوده کردن سیستم های دیگر است.

این بدافزار در دارک وب منتشر شده و به سرعت گسترش یافته است، زیرا برخی هکرها از این نوع بات نت ها برای تخریب طیف گسترده ای از سیستم ها استفاده می کنند. به طور مثال هکرها با آلوده کردن چند سیستم رایانه ای در یک نهاد یا سازمان و تبدیل آن به زامبی برای آلوده کردن سامانه های دیگر بهره می برند.

بدافزارهای مخرب جاسوسی که از پورت سفارشی سازی شده استفاده میکنند

بدافزارهای مخرب جاسوسی
محققان امنیتی، یک کمپین جاسوسی سایبری بسیار هدفمند کشف کرده اند که گفته می شود با یک گروه هک شده در پس تروجان KHRAT همراه است و سازمان ها را در جنوب شرق آسیا هدف قرار داده است.به گفته محققان از Palo Alto، این گروه هک که RANCOR نامیده می شوند، با استفاده از دو خانواده جدید بدافزار PLAINTEE و DDKONG پیدا شده است که هدف اصلی آنها در سنگاپور و کامبوج قرار دارد.با این حال، در سال های گذشته، تهدید کنندگان تروجان KHRAT با یک گروه جاسوسی سایبری چینی، شناخته شده به عنوان DragonOK لینک شده اند.Takian.ir cyber espionage malware
محققان در حالی که مشغول نظارت بر زیرساخت های C&C مرتبط با تروجان KHRATبودند، انواع مختلفی از این دو خانواده بدافزار را شناسایی کردند، به نظر می رسد PLAINTEE آخرین سلاح در زرادخانه این گروه است که از یک پروتکل UDP سفارشی برای ارتباط با سرور کنترل و کنترل از راه دور استفاده می کند.برای تحویل هر دو PLAINTEE و DDKONG، مهاجمان از پیام های فیشینگ صریح با بردارهای آلوده مختلف استفاده می کنند، از جمله ماکروهای مخرب در فایل Microsoft Office Excel، HTA Loader و DLL Loader، که شامل فایل های فریبنده است.
محققان توضیح می دهند: "این دزدی ها حاوی جزئیاتی از مقالات خبری عمومی است که عمدتا در مورد اخبار و رویدادهای سیاسی متمرکز شده است و علاوه بر این، این اسناد دزدی در وب سایت های قانونی شامل وب سایت دولتی متعلق به دولت کامبوج و حداقل یک بار در مورد فیس بوک میزبانی می شوند. "علاوه بر این، PLAINTEE افزونه های اضافی را با استفاده از یک پروتکل UDP سفارشی که داده ها را در فرم رمزگذاری می کند، از سرور C&C خود بارگیری و نصب می کند.محققان می گویند: "این خانواده از بدافزارها از ارتباطات شبکه سفارشی برای بارگیری و اجرای پلاگین های مختلفی که توسط مهاجمان میزبانی شده اند، استفاده می کنند." "قابل توجه است که برنامه خرابکاری PLAINTEE" از یک پروتکل UDP سفارشی استفاده می کند و در هنگام تشخیص هویت های ناشناخته برای بدافزار ناشناخته ارزش دارد. "Takian.ir cyber espionage malware2
از سوی دیگر، DDKONG از فوریه 2017 توسط گروه هک استفاده شده است و هیچ پروتکل ارتباطی سفارشی مانند PLAINTEE ندارد.طبق تحقیقات، میزان بار نهایی هر دو خانواده مخرب نشان می دهد که هدف از هر دو بدافزار، به جای سرقت پول از اهداف خود، جاسوسی سایبری سیاسی از آنهاست. از آنجایی که RANCOR به طور عمده کاربرانی غیر تکنولوژیک را هدف قرار می دهد، همیشه توصیه می شود که هر سند ناخواسته ارسال شده از طریق ایمیل را اجرا نکرده و هرگز بر روی لینک های درون آن اسناد کلیک نکنید، مگر اینکه منبع دقیق را تأیید کنید.علاوه بر این، مهمتر از همه، استفاده از نرم افزار ضد ویروس مبتنی بر رفتار است که می تواند چنین نرم افزارهای مخرب را قبل از اینکه دستگاه شما را آلوده کند شناسایی و بلوک کند و همیشه آن را حفظ کرده و برنامه های دیگر را به روز نگه می دارد.

بدافزاری جهت استخراج بیت کوین از تلویزیون های هوشمند

به گزارس سایت هک رید؛ محققان امنیتی یک شرکت امنیت سایبری چینی به نام «Netlab» خبر از انتشار و گسترش سریع یک بدافزار به نام «ADB.miner» داد که این بدافزار «Android.CoinMine.15» هم نامیده می شود.Takian.ir monero mining malware infecting android smart tvs smartphones

محققان امنیتی با دقت این بدافزار را رصد کرده و متوجه این مسئله شدند که فعالیت آن به شدت روبه افزایش است.

این بدافزار بیشتر تلویزیون های هوشمند قابل حمل و دستگاه های اندرویدی را هدف قرار می دهد. به عبارتی دیگر تمامی تجهیزاتی که از سیستم عامل اندروید استفاده می کنند مانند تلفن های هوشمند، مدیا پلیر، روتر ها و سرویس هایی مانند « Raspberry Pi 3» در معرض خطر این بدافزار هستند.

این بدافزار از طریق پورت باز 5555 حملات و نفوذ خود را عملی می کند و هدف اصلی آن استخراج بیت کوین است.

بدافزار مذکور از طریق نرم افزار «Droidbot.apk» به تجهیزات اندرویدی وارد می شود و در همین راستا فایل هایی مخربی از جمله « sss ، nohup  و bot.dat» از طریق همین نرم افزار وارد سیستم شخص می شوند.

پس از نفوذ و استقرار پیدا کردن این بدافزار روی تجهیزات اندرویدی، این بدافزار به دنبال پورت باز 5555 میگردد که گفته می شود این پورت برای اتصال به اینترنت بوده است. طبق آزمایش هایی صورت گرفته این بدافزار از طریق 2.750 آدرس آی پی نفوذ کرده و بین کوین استخراج می کند.

Takian.ir monero mining malware infecting android smart tvs smartphones

طبق آخرین اطلاعات به دست آمده این بدافزار فقط در 24 ساعت بیش از 5000 سیستم کامپیوتری را آلوده کرده است.

حملات جدید توسط بات نت میرای

محققان شرکت امنیت سایبری «Fortinet»، اظهار کردند که نسخه جدید میرای، ابزاری بسیار قدرتمند است و از سال 2016 تا امروز در سراسر اروپا و آمریکا فعال بوده است.
Takian.ir Miray botnet

بات نت میرای به روش های گوناگون اقدام به نفوذ و تخریب سیستم ها می کند. به طور مثال نسخه اولیه میرای حملات اختلال سرویس توزیع شده (DDoS) را کلید زد، در ویرایش های بعدی این بات نت شاهد استخراج ارزهای دیجیتالی با سوءاستفاده از دستگاه های سخت افزاری کاربران بودیم. البته از آنجایی که عمده فعالیت های این بات نت در حوزه اینترنت اشیا بوده است، بیشتر در این جهت رشد داشته و شناخته شده است.

بسیاری از تجهیزات اینترنت اشیا به دلیل گستردگی فعالیت بات نت میرای مورد تهاجمات گسترده قرار گرفته اند.

در یک مورد از این حملات، با یافتن آسیب پذیری در دوربین های مدار بسته، مدل های « Netgear R7000 و R64000» امکان نفوذ و سرقت اطلاعات آنها فراهم شد. این آسیب پذیری با شناسه «CVE-2016-6277» معرفی شده است.

طبق بررسی های صورت گرفته توسط کارشناسان امنیت سایبری برخی بات نت ها ادامه دهنده راه میرای بوده و عملکردشان تفاوت زیادی با میرای ندارد.

به عنوان مثال بات نت «Sora botnet» یا «Owari bot» نمونه ای از این موارد هستند که عموما با رویکرد سرقت اطلاعات وارد سیستم کاربران می شود.

با توجه به گسترش اینترنت اشیا و گستردگی این حوزه هکرها اقبال بیشتری به هک و نفوذ در این زمینه نشان می دهند. همین موضوع سبب شده تا بات نت ها و بدافزار های موجود در این حوزه گسترش بیشتری پیدا کنند.

خطر حمله به سیستم‎های سازمانی در آسیب‌پذیری‌های Gemalto

تعداد قابل توجهی از سیستم‌های صنعتی و شرکت‌های بزرگ به علت وجود بیش از ده آسیب پذیری در محصولات امنیتی Gemalto در معرض خطر حملات از راه دور قرار گرفتند.Takian - gemalto to implement new identification security system in cameroon

تعداد قابل توجهی از سیستم‌های صنعتی و شرکت‌های بزرگ به علت وجود بیش از ده آسیب پذیری در محصولات امنیتی Gemalto در معرض خطر حملات از راه دور قرار گرفتند.Gemalto Sentinel LDK یک نرم‌افزار امنیتی است که ارگان‌های بسیاری در سراسر جهان چه سازمان‌ها و چه ICSها (سیستم‌های کنترل صنعتی) از آن استفاده می‌کنند. این راهکار علاوه بر اجزای نرم‌افزاری، راهکار محافظت مبتنی بر سخت افزار را نیز فراهم می‌کند که به طور خاصی یک دانگل USB با نام SafeNet Sentinelدارد که کاربران هنگام اتصال به یک رایانه یا یک سرور می توانند از آن استفاده کنند.
به گزارش کسپرسکی آنلاین، محققان در لابراتوار کسپرسکی کشف کردند که هنگامی که توکن به دستگاه متصل می شود درایوهای لازم نصب می‌شوند که این موارد یا توسط ویندوز دانلود می شوند یا توسط نرم‌افزارهای شخص ثالث ارائه می‌گردد و پورت 1947 به لیست استثناها در فایروال ویندوز اضافه می‌شود. پورت حتی هنگام خارج کردن دانگل از قسمت USB باقی خواهد ماند و با این مورد اجازه دسترسی از راه دور فراهم می‌گردد.
کارشناسان در مجموع 14 آسیب‌پذیری را در اجزای Sentinel یافته اند که این آسیب پذیری‌ها اجازه استفاده از حمله (DoS)، اجرای کد دلخواه با امتیازات سیستم و ضبط هش NTLM را به مجرمان می‌دهد. از آنجا که پورت 1947 اجازه دسترسی به سیستم را می‌دهد این آسیب‌پذیری و نقوص می‌تواند توسط یک مجرم از راه دور اکسپلویت شود.
کسپرسکی پس از این موضوع تصمیم به آنالیز نرم‌افزار گرفت. تحقیقات نشان داد که مجرمان می‌توانند شبکه را برای پورت 1947 شناسایی و از راه دور اسکن کنند یا که اگر به دستگاه دسترسی فیزیکی داشته باشند می‌توانند دستگاه‌ها را مورد هدف قرار دهند، آنها با اتصال به دانگل USB (حتی در زمانی که سیستم قفل باشد) می‌توانند از راه دور دسترسی کامل بیابند و اهداف خرابکارانه‌ خود را اجرا سازند. تغییر پراکسی به مهاجم اجازه می‌دهد که هش NTLM برای حساب کاربری که در حال اجرای فرایند لایسنس است را بدست آورد.
یازده آسیب پذیری توسط لابراتوار کسپرسکی در اواخر سال 2016 و اوایل سال 2017 کشف شد و سه مورد دیگر آنها در ماه ژوئن سال 2017 یافت شد. در آن زمان هشدارهای لازم در مورد Gemalto داده شد و این شرکت نسخه 7.6 خود را منتشر ساخت. در اواخر ژوئن سال 2017 تعدادی از آسیب پذیری‌ها پچ شد اما این در حالی بود که Gemalto  از میزان خطرات این آسیب پذیری‌ها و آپدیت‌های لازم به کاربران خود چیزی نگفته بود. چندین توسعه دهنده نرم‌افزاری که از این لایسنس‌ها استفاده می کردند به کسپرسکی اعلام کردند که آن ها هرگز از باگ های امنیتی مطلع نبودند و همچنان در حال استفاده از نسخه‌های دارای مشکل هستند.
علاوه بر نصب آخرین نسخه از Sentinel driver، لابراتوار کسپرسکی به کاربران توصیه می‌کند که پورت 1947 خود را در صورتی که برای فعالیت‌های خاصی از آن استفاده نمی‌کنند، ببندند.
در حالی که تعداد دقیق دستگاه‌های مصرف کننده از محصول Gemalto نامشخص است اما کسپرسکی معتقد است تعداد آنها می تواند میلیونی باشد. مطالعات سال 2011 Frost و Sullivan نشان می‌دهد که SafeNet Sentinel 40 درصد از سهام بازار را در زمینه راهکارهای کنترل لایسنس یا همان مجوز را در آمریکای شمالی و 60 درصد در اروپا دارد.
آسیب‌پذیری نرم‌افزار Gemalto در محصولات چندین کمپانی از جملهABB, General Electric, HP, Cadac Group Siemens و Zemax یافت شده است.هفته ی گذشته ICS-CERT و کمپانی Siemens هشدار دادند که بیش از ده نسخه از SIMATIC WinCC Add-On تحت تاثیر سه آسیب پذیری بحرانی شدید توسط نرم‌افزار Gemalto قرار گرفته است. کمپانی Siemens اطلاع داد که این نقص می‌تواند احتمال حملات DoS و اجرای کد دلخواه را به مجرمان بدهد.
Siemens به کاربران خود اطلاع رسانی لازم را اعلام نمود و گفت نرم‌افزار آسیب‌پذیر Gemalto در افزونه‌های SIMATIC WinCC که در سال 2015 و قبل از آن منتشر شده بود، مورد استفاده قرار گرفته است.
Vladimir Dashchenko مدیر گروه تحقیقات آسیب پذیری در ICS CERT  لابراتوار کسپرسکی هشدار داد که "با توجه به گستردگی این سیستم مدیریت مجوز، مقیاس احتمالی عواقب بسیار زیاد است، زیرا این توکن‌ها نه تنها در محیط‌های سازمان‌ها بلکه در مکان‌های حیاتی با قوانین دسترسی از راه دور مورد استفاده قرار می گیرد. وی افزود شبکه‌های بحرانی و حیاتی می‌توانند به راحتی توسط این آسیب‌پذیری دچار آلودگی و در معرض خطر قرار گیرند.

خنثی کردن یک بمب سایبری توسط هکرهای کلاه سفید

به گزراش هک رید؛ گروه های مختلفی از هکر ها وجود دارند که برای مقاصد خوب یا بد، دست به این کار می زنند. هکر ها با القاب مختلفی از جمله هکرهای کلاه سفید، کلاه خاکستری، کلاه صورتی و کلاه سیاه معرفی می شوند که هر کدام از اینها توضیحات مربوط به خودرا دارند. در این خبر هم شاهد آن هستیم که هکرها با اقدامی بی سابقه اطلاعات یک توسعه دهنده بدافزار های جاسوسی را حذف کرده اند.Takian.ir hacker erase 1 terabyte of data from spyware developers servers

اخیرا یک گروه هکری بمب سایبری طراحی کرده و قصد استفاده علیه یک شرکت توسعه نرم افزار به نام «Retina-X Studios» داشته است. این هکر های کلاه سفید با اطلاع از این موضوع اقدام به حذف یک ترابایت از اطلاعات گروه هکری مذکور کرده است. گفتنی است این اطلاعات روی بستر ابری ذخیره شده بود که توسط هکرهای کلاه سفید حذف شد.

شرکت توسعه دهنده نرم افزار «Retina-X Studios» در کشور آمریکا فعالیت می کند و برای کامپیوتر ها و تلفن های هوشمند برنامه طراحی می کند.

این شرکت به نقض حریم شخصی و جاسوسی در آوریل 2017 متهم شد، زیرا برای اینکه مشتریان خود را راضی نگه دارد، از آنها جاسوسی می کرده است.

این اولین برای نیست که توسعه دهندگان برنامه های جاسوسی مورد حمله سایبری قرار می گیرند. پیش از این هم گروه جاسوسی به نام « mSpy» اطلاعات مربوط به 400000 نفر را سرقت کرده بود، مورد حمله قرار گرفت یا در موردی مشابه سال گذشته اسرائیل گوشی های هوشمند شرکت «Cellebrite» را به نقض داده متهم کرده بود که حجم این اطلاعات سرقت شده 900 گیگابایت بوده است و آن هم مورد حمله سایبری قرار گرفت.

شبکه تحویل محتوای گوگل (CDN) میزبان تصاویر آلوده به بدافزارها شد

به گزارش سایت هکرید، این بدافزار سایت های مورداعتماد گوگل را هدف قرار داده است.
فیلدهای متادیتای عکس های آپلود شده در CDN گوگل، از طریق هکرها مورد سواستفاده قرار گرفته است تا با استفاده از کدهای مخرب، امنیت وب سایت ها را به خطر بیاندازند. این روش از سوءاستفاده،در واقع نوعی آسیب پذیری است زیرا کاربران هرگز تصاویر را به‌منظور کشف نرم افزارهای مخرب اسکن نمیکنند.Takian.ir googleusercontent cdn hosting images infected with malware 1
این بدافزار تزریق شده از فرمت EXIF (فایل عکس قابل تغییر) برای مخفی کردن کد استفاده می کند و تصاویر خطرناک در سایت های رسمی گوگل از جمله شبکه اجتماعی Google+، سایت های GoogleUserContent و وبلاگنویسان مانند Blogger.com در دسترس هستند.
حمله مشابهی قبلا در GitHub و Pastebin دیده شده بود، جایی که مجرمان سایبری قادر به پنهان کردن نرم افزارهای مخرب در تصاویر آپلود شده بودند.این موضوع توسط شرکت امنیتی سایبری Sucuri کشف شد و یافته ها در روز پنج شنبه منتشر شد. 
یکی از محققان امنیتی به نام Dennis Sinegubko در Sucuri طرح توزیع بدافزار را شناسایی کرد که از GoogleUserContent CDN برای میزبانی یکی از تصاویر آلوده استفاده کرد. بنابراین هنگامی که چنین تصویری دانلود می شود، بدافزار بلافاصله سایت را آلوده می کند. مهاجم فقط باید منتظر دریافت یک گزارش از سمت تصویر آلوده باشد و سپس اقدام به راه اندازی حمله برعلیه این سایت ها میکند.
Sinegubko در گزارش خود که در روز چهارشنبه منتشر شد، اظهار داشت که تمرکز شناسایی این کمپین بر سرقت توکن های امنیتی PayPal با هدف جلوگیری از فرآیند تأیید پی پال است.
هکرها با لود کردن تصویری که توسط گوگل میزبانی شده بود و با استفاده از تکنیک استگانوگرافی (steganography) میزبانی میگردید، توانستند بدافزار را در سرور نصب کنند. آنچه در steganography اتفاق می افتد این است که هکرها فایل را استخراج کرده و کد مخرب را در فیلد متادیتای کاربر EXIF ​​پنهان می کنند. کد مورد استفاده در این کمپین یک رشته کدگذاری Base64 است.
هنگامی که این رشته بیش از یک بار رمزگشایی می شود، آن را به یک اسکریپت تبدیل می کند که می تواند یک Shell از پیش تعریف شده بر روی سرور هدف را با دیگر فایل ها آپلود کند. این Shell در حال حاضر قادر به خرابکاری سرور است و مهاجم می تواند آدرس های سایت هایی را که با موفقیت مورد سوء استفاده قرار گرفته اند دریافت کنند.Takian.ir googleusercontent cdn hosting images infected with malware 2
Sinegubko ادعا می کند که پنهان کردن نرم افزارهای مخرب به فایل های EXIF ​​برای او خیلی هم نگران کننده نیست؛ نگران کننده ترین چیز این بود که هکرها از GoogleUserContent CDN برای تحقق اهداف نابکار خود استفاده می کردند. این کاملا یک ایده جدید است که مطمئنا شبهای پرسر و صدا را به محققان امنیتی تحمیل می کند.
دلیل اصلی برای نگرانی این است که هیچ راه استانداردی برای اطلاع گوگل در مورد تصویر آلوده شده وجود ندارد، زیرا این شرکت یک فرآیند گزارش دهی برای نقض حق نسخه برداری و نه مسائل مرتبط با امنیت را اجرا کرده است. Sinegubko می نویسد:

"گوگل ابزارهای بسیاری برای حذف محتوا دارد، اما مشخص نیست که چگونه بدافزار موجود در تصاویر را میخواهد گزارش دهد. اکثر ابزارهای آنها نیاز به ارائه پیوندهایی به پستهای اصلی، صفحات یا نظرات حاوی محتوای نقض‌کننده دارند. تصویر در اینجا جزء برخی از محتوای عمومی شناخته شده نیست. "

محققان نمی توانند منبع آپلود بدافزار را شناسایی کنند. محققان در Sucuri اذعان کرده اند که:

"دشوار است بگوییم که منبع اصلی تصاویر کجاست، زیرا URL های آنها ناشناس هستند و فرمت مشابعی دارند."

كنترل تلگرام از راه دور با استفاده از آسيب پذيری

پاول دورف مؤسس تلگرام نسبت به گزارش کسپرسکی درباره وجود آسیب پذیری در نسخه دسکتاپ تلگرام واکنش نشان داده است. او در کانال تلگرامی خود ادعا کرد این یک شکاف امنیتی واقعی در تلگرام دسکتاپ نیست.Takian.ir telegram hack

او در ادامه نوشت: هیچکس نمی تواند از راه دور رایانه یا تلگرام شما را کنترل کند مگر آنکه یک فایل حاوی بدافزار را باز کرده باشید. این شکاف امنیتی یک نوع مهندسی اجتماعی است.

در حقیقت این یک فایل js در قالب فایل png پنهان شده و تنها درصورتی فعال می شود که کاربر روی گزینه Run کلیک کند. بنابراین اگر فایل بدافزاری را باز نکرده باشید، رایانه شما کاملاً ایمن است.

این در حالی است که طبق گزارش کسپرسکی در ماه اکتبر هکرها با ترغیب کاربران به دانلود یک بدافزار از توان سیستم کاربر برای استخراج ارزهای مجاز استفاده می کردند. تلگرام این مشکل را در ماه نوامبر حل کرد.

هکرها اطلاعات 1000 پناهجوی کره ای را دزدیدند

به گزارش سایت رویترز، وزارت دادگستری کره جنوبی دیروزجمعه اعلام کرده است که اطلاعات بالغ بر ۱۰۰۰ نفر از پناهندگان اهل کره شمالی که به همسایه جنوبی خود فرار کرده بودند، توسط هکرها به سرقت رفته است.takian.ir Hackers steal data on 1000 North Korean defectors in South korea

تازه‌ترین اخبار منتشر شده حاکی از آن است که هکرهای تحت حمایت دولت کره شمالی در یک تلاش بی وقفه سعی داشتند آن دسته از افرادی که از شرایط سخت و طاقت فرسای این کشور فرار کرده و در همسایه جنوبی و پیشرفته خود یعنی کره جنوبی، به دنبال شغل و زندگی بهتر بروند، شناسایی کرده و تحت تعقیب قانونی و قضایی قرار دهند و اطلاعات آنها را از آژانس‌های امنیتی مربوطه در کره جنوبی به سرقت ببرند.

مقامات وزارت اطلاعات کره جنوبی هفته گذشته متوجه شدند سرور مرکز Hana در شهر Gumi از طریق بدافزار آلوده‌شده و اسم، تاریخ تولد و آدرس ۹۹۷ نفر فراری لورفته است.

سرور مرکزی از طریق بازکردن یک ایمیل حاوی بدافزار آلوده‌شده است.

مرکز Hana یکی از ۲۵ مرکزی است که بیش از ۳۲ هزار فراری اهل کره شمالی را در خود جای‌داده است. مردم کره شمالی به دلایل سیاسی و یا مالی، برای داشتن زندگی بهتر از شمال به جنوب فرار کرده و در چنین مراکزی اقامت دارند و اگر مشخصات‌شان لو برود، ممکن است دچار مشکل شوند.

در این حمله سایبری اطلاعات بالغ بر ۱۰۰۰ نفر از پناهندگان و افراد فراری اهل کره شمالی به سرقت رفته است که شامل اطلاعاتی نظیر نام ، نام خانوادگی، آدرس و شماره تلفن و تاریخ تولد نیز می‌شود.

در بیانیه‌ای که توسط مقامات مربوطه قضایی و امنیتی در کره جنوبی منتشر شده است ، همچنین آمده است که هکرها و مجرمان سایبری تحت حمایت دولت کره شمالی با بهره گیری از یک بدافزار جدید اقدام به ارسال ایمیل به قربانیان و افراد موردنظر کرده اند تا اطلاعات دقیق آنها را به دست آورده و هویت آنها را شناسایی کنند.  
با توجه به شرایط دشوار سیاسی و معیشتی در کره شمالی سالانه صدها و هزاران نفر از این کشور برای یافتن رفاه ، آرامش و امنیت بیشتر به کشورهای اطراف بخصوص کره جنوبی که یک کشور توسعه یافته و پیشرفته محسوب می شود، فرار و به صورت غیرقانونی مهاجرت می‌کنند.

هکرها بیش از دویست هزار روتر میکروتیک را آلوده به بدافزارهای ماینینگ کردند

محققان امنیتی حداقل سه کمپین عظیم مخرب برای گسترش بدافزارها را کشف کرده اند که از صدها هزار روتر MikroTik سوء استفاده می کنند تا بصورت مخفیانه بدافزارهای ماینر ارزهای دیجیتال (cryptocurrency miners) را بدون اجازه در رایانه های متصل به آنها نصب کنند.Takian.ir Mining Monero in Mikrotik
در مجموع، کمپین های بدافزاری بیش از 210،000 روتر از شرکت ارائه دهنده سخت افزار شبکه لتونی (Latvian network hardware provider Mikrotik) در سراسر جهان را به خطر انداخته اند، که هنوز هم در حال افزایش هستند.
هکرها از یک آسیب پذیری شناخته شده در Winbox روتر MikroTik بهره می گیرند که در اردیبهشت ماه سال جاری(1397) کشف شد و طی یک روز از کشف آن پچ شده است که بار دیگر نشان میدهد که پچ نکردن بروزرسانی ها چقدر میتواند دردسرساز باشد.
این نقص امنیتی به طور بالقوه می تواند به مهاجم این اجازه را بدهد که از راه دور به هر روتر میکروتیک آسیب پذیری دسترسی داشته باشد.
اولین کمپین برای اولین بار توسط توسط محققان Trustwave کشف شد که با هدف قرار دادن تجهیزات شبکه در برزیل آغاز شده بود، جایی که یک هکر یا گروهی از هکرها بیش از 183،700 روتر MikroTik را به خطر انداختند.
از آنجا که هنوز هم بسیاری از روترهای میکروتیک موجود در دنیا، پچ های مرود نظر را نصب نکرده اند و هکرها هرروز اطلاعات بیشتری در مورد این باگ کشف میکنند، احتمال میرود که این حملات در مقیاس گسترده تری در جهان گسترش یابند.
تروی مورچ (Troy Mursch)، یکی از محققان امنیتی، دو کمپین مشابه بدافزار را شناسایی کرده است که 25،500 و 16،000 روتر MikroTik را در مولدووا آلوده کرده است، که این بدافزارها عمدتاً به منظور ماینینگ ارزهای دیجیتال بوده و از سرویس CoinHive بهره برده اند. روش کار به این صورت است که مهاجمان کد جاوا اسکریپت Coinhive را به صفحات وبی تزریق میکنند که از مسیر یک روتر آسیب پذیر مشاهده شود تا در نهایت هر کامپیوتر متصل را به صورت ناشناس به یک ماینر ارز دیجیتالی مونرو (Monero) تبدیل کند.
سایمون کنین (Simon Kenin) محقق شرکت Trustwave می گوید: "مهاجم یک صفحه خطای سفارشی با اسکریپت CoinHive را ایجاد کرده است" و "اگر کاربر هنگام مرور صفحات وب، یک صفحه خطا (از هر نوع) را دریافت کند، این صفحه خطای سفارشی برای کاربر ارسال میگردد و شروع به ماینینگ میکند."  آنچه در مورد این کمپین ها قابل توجه است، این است که مهاجمان بجای اینکه با استفاده از روش های پیچیده استفاده کنند، توانسته اند به همین راحتی کلاینت های بسیار زیادی را آلوده کرده و به هدفشان برسند.
سایمون کنین همچنین گفت: "صدها هزار دستگاه از این دستگاه ها (MikroTik) در سرتاسر جهان وجود دارد، در ISP ها و سازمان ها و کسب و کارهای مختلف، هر دستگاه حداقل ده ها و نه صدها کاربر روزانه را خدمت می کند. این یک زنگ اخطار خوب برای کاربران و مدیران فناوری اطلاعات است که در حال حاضر روترهای MikroTik آسیب پذیر را در محیط خود به کار می گیرند تا در اسرع وقت دستگاه های خود را بروزرسانی و پچ کنند".
این اولین بار نیست که روترهای MikroTik برای گسترش نرم افزارهای مخرب هدف قرار گرفته اند. در اسفند ما سال 1396 نیز، یک گروه هک پیشرفته APT از آسیب پذیری های ناشناخته در روترهای MikroTik به منظور مخفی ساختن نرم افزارهای جاسوسی به رایانه های قربانیان بهره برداری کرد.
حرف آخر:با توجه به بالا رفتن قیمت ارز و قیمت پایین تجهیزات میکروتیک ، استفاده از این فایروال روتر بسیار فراگیر شده است، برای جلوگیری از بروز حملات رایج مطرح شده در این چند ماه و درگیر شدن با کمپین های بدافزاری، حتما فایروال روتر میکروتیک خود را بروزرسانی کرده و دسترسی های آن را محدود نمایید و در سناریوهای تخصصی تر حتما از فایروال های حرفه ای استفاده نمایید.

هکرها بیش از ۷۰۰ هزار وب‌سایت و پلت‌فرم استخراج ارزهای دیجیتالی را هک کردند

به گزارش ZDnet ، گروهی از هکرها موفق شدند به بیش از ۷۰۰ هزار وب‌سایت و پلت‌فرم استخراج ارزهای دیجیتالی رمزنگاری شده نفوذ یابند و بیت‌کوین به سرقت ببرند.takian.ir Crypto Exchange GateIO Suspends StatCounter Service After Reports Of Hackers Hijacking Bitcoin Transactions

به تازگی ماتیوس فاو بعنوان یکی از محققان و پژوهشگران فعال در شرکت امنیتی ESETدریافته و اعلام کرده‌ که هکرها و مجرمان سایبری در هفته گذشته توانسته‌اند به بیش از ۷۰۰ هزار وب‌سایت و پلت‌فرم مخصوص استخراج ارزهای دیجیتالی رمزنگاری شده نفوذ پیدا کرده و بعد از دسترسی به آن، بیت‌کوین‌های موجود در آن را به سرقت ببرند.

از آنجا که این روزها تب استخراج ارزهای دیجیتالی رمزنگاری شده در کشورهای مختلف جهان بالا گرفته است، کاربران و هکرهای بسیاری نیز از ابررایانه‌هایی که پردازنده و کارت گرافیک‌های بسیار قدرتمندی دارند، برای استخراج  و ماینینگ ارزهای مجازی استفاده می‌کنند و در این طریق هم درآمدهای هنگفتی را کسب می‌کنند.
پژوهشگران فعال در موسسه تحقیقاتی گوگل آنالتیکس نیز به تازگی در گزارشی جداگانه اعلام کرده‌اند که هکرها با انتشار بدافزار مخصوص پلتفرم ارزهای دیجیتالی توانسته‌اند وب سایت‌های بسیاری را آلوده کنند که در نتیجه، کاربران بسیاری تحت تاثیر این بدافزار قرار گرفته و بیت‌کوین‌های خود را از دست داده‌اند.

گفته می‌شود این وب سایت و پلت‌فرم‌های مورد حمله هکرها از محبوبیت و استقبال مناسبی از سوی کاربران ارزهای دیجیتالی رمزپایه برخوردار بوده است، بنابراین حملات سایبری و بدافزاری این هکرها در مقیاس گسترده‌ای صورت گرفته است.

طی چند سال اخیر ارزهای دیجیتالی رمزنگاری شده بسیاری هم‌چون بیت کوین، مونرو، ریپل و اتریوم از محبوبیت و استقبال بی‌نظیری برخوردار شده و کاربران بسیاری در جهان به‌دنبال استخراج و تبدیل پول‌های خود به ارزهای دیجیتالی هستند؛ چراکه این روزها بسیاری از افراد با خرید و استخراج این ارز توانسته‌اند به پول زیادی دست پیدا کنند.

بیت‌کوین از سال ۲۰۰۹ میلادی معرفی شد و به‌تدریج به مشهورترین ارز دیجیتالی در سراسر جهان که ارزش بسیار بالایی پیدا کرد، تبدیل شد. گفته می‌شود ارزهای دیجیتالی رمزپایه غیرقابل هک هستند و باید به‌صورت ناشناس و با استفاده از سخت‌افزارهای قدرتمندی از پلت‌فرم‌های مخصوص استخراج این نوع ارزهای مجازی، استخراج یا به اصطلاح ماینینگ شوند.

پشت پرده حمله سایبری به المپیک زمستانی 2018 چه بود؟

به گزارش سایت تریت پست؛ مقامات و مسئولان برگزارکننده المپیک زمستانی در کره جنوبی وقوع حمله سایبری را در حین برگزاری افتتاحیه این بازی ها تأیید کرده اند.به نقل تریت پست؛ مقامات و مسئولان برگزارکننده المپیک زمستانی در کره جنوبی وقوع حمله سایبری را در حین برگزاری افتتاحیه این بازی ها تأیید کرده اند.Takian.ir olympics hack

 

کارشناسان فعال در حوزه امنیت اطلاعات عنوان کردند که این حملات سایبری دو وجه داشته اند یکی تخریب و مختل کردن عملکرد سیستم های کامپیوتری و دیگری سرقت اطلاعات بوده است.
سختگوی المپیک زمستانی «Mark Adams » طی گفتگویی اعلام کرد که حفظ امنیت مسابقات به خصوص امنیت سایبری شرکت کنندگان و حفاظت و حراست از اطلاعات آنها وظیفه اصلی ما است.
محققان شرکت امنیت سایبری سیسکو تالوس (Cisco Talos) اعلام کرد که ساختار حملات سایبری صورت گرفته به المپیک زمستانی بسیار پیچیده و ویرانگر بوده است. ضمناً کارشناسان این شرکت اعلام کرده‌اند که میزان نفوذ و تخریب هنوز به طور حتم مشخص نیست و نمی توان تشخیص داد، اما از شواهد این گونه پیدا است که این بدافزار به دنبال اطلاعات از روند بازی نیست بلکه قصد اختلال در بازی ها را دارد.
هدف اصلی نفوذگران این بوده که سیستم های کامپیوتری را به طور کلی ساقط کنند به عبارت دیگر سیستم ها را غیر قابل استفاده کنند.
اتفاقات پیش آمده و هک های صورت گرفته شباهت بسیاری به عملکرد بدافزار های Bad Rabbit و  Nyeyta ransomware بوده است.
پس از هک سیستم های کامپیوتری المپیک، کارشناسان به بررسی سیستم ها پرداخته و متوجه این موضوع شدند که تعدادی فایل در قابلت باینری روی اسن سیتم ها وجود داشته که عامل این موضوع بوده است.
شرکت امنیت سایبری سیسکو تالوس اعلام کرد که هنوز مشخص نیست از چه طریقی این بدافزار ها وارد سیستم های کامپیوتری المپیک شده اند، ولی شباهت آنها به بدافزار های « Bad Rabbit و Nyeyta » مشهود است.این بدافزار جدید شامل دو قسمت بوده است. یکی ماژول سرقت اطلاعات کاربر که مرورگرهای اینترنت اکسپلور، فایر فاکس و کروم است و دیگری ماژول با نفوذ به زیرساخت های سیستم اقدام به تخریب میکند.
سیستم های میزبان وب توسط بدافزاری به نام « vssadmin.exe » آلوده شده و بدافزار « wbadmin.exe» اقدام به تخریب سیستم های کامپیوتری مینماید.
بازی های المپیک زمستانی در کره جنوبی در جریان بوده و در حملات اتفاق افتاده برخی افراد انگشت اتهام را سوی کره شمالی گرفته اند.
اما طبق اطلاعاتی که از طریق حملات فیشینگ از گروه هکری روس به نام «Fancy Bear » منتشر شده اعلام کرده اند که این حملات توسط روسیه انجام شده است.
در این باره وزارت امور خارجه روسیه واکنش نشان داده و عنوان کرده که این موضوعات شبه تحقیقات هم نبوده است و هیچ مدرکی دال بر حمله سایبری روسیه به المپیک زمستانی وجود ندارد.

چگونگی تحلیل بدافزار و معرفی ابزار‌ها و منابع امنیتی

جای امیدواری است که صنعت امنیت سایبری روش‌های مختلفی را برای تجزیه‌وتحلیل بدافزارها توسعه داده است و البته هرکدام مجموعه نقاط قوت و ضعف خود را دارند. این به این معنی است که درحالیکه استفاده از فقط یک روش تجزیه‌وتحلیل بدافزار می‌تواند یک شبکه را در معرض خطر قرار دهد، اجرای روش‌های تجزیه‌وتحلیل‌ متعدد با ترتیب درست، می‌تواند با احتمال بالاتری از نفوذ بدافزارها به شبکه جلوگیری کند.takian.ir malware analysis tools

یک گروه امنیتی میتواند با اجرای متوالی روش های مختلف تحلیل بدافزار، تقریباً اکثر تهدیدات را بصورت خودکار تشخیص دهد در صورتی که بدون استفاده از مدل های اجرایی موفق و کسب اطلاعات کافی در مورد تهدید، ممکن است تنها به یک بازی حدش و گمان بسنده کنند که در نهایت نیز محکوم به شکست است.در محیط های تحلیل بدافزار ما با 3 نوع تحلیل مواجه هستیم:

1 - تحلیل ایستا (Static Analysis): تجزیه‌وتحلیل ایستا، خط اول دفاع است که شامل شکستن یک پرونده‌ی ناشناخته به مولفه‌هایی برای بررسی آن و بدون خراب شدن پرونده است و یک‌راه فوق‌العاده سریع و دقیق برای تشخیص بدافزارهای شناخته‌شده و انواع دیگر است که بخش عمده‌ای از حملاتی که معمولاً در سازمان‌ها دیده‌شده را تشکیل می‌دهد.

2 - تحلیل با استفاده از یادگیری ماشین (Machine Learning Analysis):  یادگیری ماشین شامل ایجاد و خودکارسازی یک سامانه برای طبقه‌بندی رفتارهای مخرب به گروه‌های متفاوت است. این گروه‌ها می‌توانند برای شناسایی محتوای مخرب در آینده بدون نیاز به ساخت الگوی دستی مورداستفاده قرار گیرند و هرچه نمونه بدافزارهای بیشتری مورد بررسی قرار گیرد و فهرست شود، توانایی سامانه برای تشخیص حملات در طول زمان رشد می‌کند

3 - تحلیل های پویا (Dynamic Analysis): آنچه عموماً به‌عنوان تحلیل پویا شناخته می‌شود معمولاً شامل ارسال یک نمونه مشکوک به یک محیط مبتنی بر ماشین مجازی و سپس فعال کردن آن در یک محیط کاملاً کنترل‌شده (بانام مستعار Sand box یا جعبه شنی) است که رفتار آن مشاهده می‌شود و از آن اطلاعاتی استخراج می‌شود.
ازآنجا که تجزیه‌وتحلیل ایستا و یادگیری ماشین هر دو نیاز به درجه‌ای از آشنایی قبلی با بدافزار دارند، برای آن‌ها شناسایی فعالیت‌های مخرب کاملاً جدید دشوار است. چالش تجزیه‌وتحلیل پویا مقیاس‌پذیری آن است که نیاز به محاسبات عظیم، ذخیره‌سازی و خودکارسازی دارد. گفته می‌شود اگر هر دو تجزیه‌وتحلیل ایستا و یادگیری ماشین انجام‌شده باشد آن‌ها به‌ احتمال ‌زیاد  بخش عمده‌ای از بدافزارها را شناسایی کرده‌اند.
برای اینکه بتوانید اقدامات اصلی را برای تحلیل بدافزار انجام دهید نیاز به ابزارهایی دارید که در اینجا به معرفی برخی از مهم‌ترین ابزار‌ها، کتاب‌ها و منابعی پرداخته خواهد شد که در تجزیه و تحلیل بدافزار و مهندسی معکوس مورد استفاده قرار می‌گیرد.

 

استفاده از ویراستار‌های Hex

یک ویراستار‌ Hex (یا ویراستار فایل باینری یا Byteeditor) نوعی برنامه‌ی کامپیوتری است که به کاربر توانایی دستکاری داده‌های باینری اساسی را می‌دهد و یک فایل کامپیوتری را تشکیل می‌دهند. نام «Hex» از واژه‌ی «Hexadecimal» می‌آید، فرمت استاندارد عددی برای نمایش داده‌های باینری است. در زیر چند برنامه ویراستار به همراه لینک توضیحات آن ارائه شده است.

 

معرفی Disassemblerها

Disassembler یک برنامه‌ی کامپیوتری است که زبان ماشین را به زبان اسمبلی ترجمه می‌کند (عملیات معکوس نسبت به Assembler). لازم به ذکر است که Disassembler با Decompiler متفاوت است زیرا هدف Decompiler زبانی در سطح بالا است و نه یک زبان اسمبلی. فرمت Disassembly که خروجی Disassembler است، معمولا برای خواندن توسط انسان‌ها تعیین می‌شود، نه برای ورودی یک Assembler و این امر باعث می‌شود که این ابزار اساسا مبتنی بر مهندسی معکوس باشد.

 

ابزارهای شناسایی و طبقه‌بندی

  • Assemblyline: چهارچوبی مقیاس‌پذیر برای تجزیه‌و‌تحلیل فایل توزیعی است.
  • BinaryAlert: یک AWS Pipeline متن باز و بدون سرور که براساس مجموعه‌ای از قوانین YARA فایل‌های آپلودشده را اسکن کرده و درموردشان هشدار می‌دهد.
  • chkrootkit: ابزاری برای شناسایی Rootkit مربوط به Local Linux است.
  • ClamAV: نوعی موتور آنتی‌ویروس متن باز است0
  • Detect:It:Easy : برنامه‌ای برای تعیین نوع فایل‌ها است.
  • ExifTool: فراداده‌ی (Metadata) مربوط به خواندن، نوشتن و ویرایش فایل است.
  • File Scanning Framework: راهکاری ماژولار و بازگشتی(Recursive) برای اسکن کردن فایل‌هاست.
  • hashdeep: ابزاری برای محاسبه‌ی Hash Digestها با الگوریتم‌های مختلف به شمار می رود.
  • Loki: نوعی اسکنر مبتنی بر Host برای IOCها است.
  • Malfunction: فهرست اطلاعات یا کاتالوگ است و به مقایسه‌ی بدافزار در سطح عملکرد می‌پردازد.
  • MASTIFF: چهارچوب تجزیه‌و‌تحلیل استاتیک است.
  • MultiScanner: چهارچوبی ماژولار است که برای اسکن و یا تجزیه‌و‌تحلیل فایل استفاده می شود.
  • nsrllookup: ابزاری برای جستجوی Hashها در دیتابیس National Software Reference Library متعلق به NIST است.
  • packerid: یک پلتفرم مبتنی بر پایتون است که جایگزینی برای PEiD محسوب می‌گردد.
  • PEV: یک Multiplatform Toolkit برای کار کردن با فایل‌های PE، که ابزار‌هایی با ویژگی‌های متنوع را برای تجزیه‌و‌تحلیل باینری‌های مشکوک فراهم می‌نماید.
  • Rootkit Hunter: ابزاری است که Rootkitهای Linux را شناسایی می‌نماید.
  • ssdeep: ابزاری که Hashهای مبهم (Fuzzy) را محاسبه می‌کند.
  • TrID: شناسه‌ی (Identifier) فایل.
  • YARA: ابزاری برای تطابق الگو (Pattern Matching) برای تحلیل‌گران است.
  • Yara rules generator : ابزاری که بر اساس مجموعه‌ای از نمونه‌های بدافزار، قواعد Yara را ایجاد می‌کند. همچنین حاوی یک DB مناسب است که منجر به اجتناب از خطا در اعلام هشدار می‌گردد.

 

ابزارهای دقیق  Dynamic Binary

در زیر به معرفی ابزارهای باینری داینامیک دقیق یا در اصطلاح Dynamic Binary Instrumentation می‌پردازیم.

 

ابزارهای رمزگشایی Mac

ابزار Mac Decrypting به شرح زیر می باشند:

 

معرفی ابزارهای شبیه سازی (Emulator)

 

معرفی ابزارهای آنالیز مستندات

 

تجزیه‌و‌تحلیل داینامیک

این مبحث، توضیحاتِ مقدماتی در زمینه‌ی تجزیه‌و‌تحلیل بدافزادها به صورت پویا می‌باشد و برای کسانی کاربرد دارد که در زمینه‌ی آنالیز بدافزار (Malware) شروع به کار کرده‌اند و یا می‌خواهند از مشکلاتی که بدافزار‌ها به جا می گذارند با ابزارهای مختلف مطلع شوند.

 

معرفی ابزارهای XOR معکوس و دیگر روش‌های سوء استفاده از کد

  • Balbuzard : یک ابزار برای تجزیه‌و‌تحلیل بدافزار برای Obfuscation معکوس (XOR، ROLو …) و موارد دیگر.
  • de4dot : برای NET deobfuscator.  و  unpacker
  • ex_pe_xor و iheartxor : دو ابزار از سوی Alexander Hanel برای کار کردن با فایل‌های رمزنگاری شده‌ی Single:Byte XOR.
  • FLOSS :یا همان FireEye Labs Obfuscated String Solver از تکنیک‌های تجزیه‌و‌تحلیل استاتیک پیشرفته استفاده می‌کند تا به طور خودکار Stringها را از باینری‌های بدافزار جهت سوء استفاده خارج نماید.
  • NoMoreXOR : حدس یک کلیدXOR 256 بایتی با استفاده از تجزیه‌و‌تحلیل فرکانس.
  • PackerAttacker : یک استخراج‌کننده‌ی (Extractor) کد مخفی عمومی برای بدافزارهای ویندوز.
  • Unpacker : بدافزار خودکارسازی شده برای بدافزارهای ویندوز مبتنی بر WinAppDbg.
  • unxor : ابزاری برای حدس کلید‌های XOR با استفاده از حملات Known:Plaintext.
  • VirtualDeobfuscator : ابزار مهندسی معکوس برای ساختارهای مجازی‌سازی.
  • XORBruteForcer : یک اسکریپت پایتون جهت انجام حمله Brute Force روی کلید‌های Single:Byte XOR.
  • XORSearch و XORStrings : دو برنامه از Didier Stevens برای یافتن داده‌های XORed.
  • xortool : حدس طول کلید XOR و همچنین خود کلید.

 

معرفی ابزارهای Debugging

در این لیست می‌توان ابزاری برای Disassemblerها و Debuggerها و همچنین دیگر ابزار تجزیه‌و‌تحلیل استاتیک و داینامیک را مشاهده کرد.

ابزار Debugging بصورت پلتفرم

ابزار Debugging متعلق به ویندوز

تنها ابزار Debugging متعلق به لینوکس

 

مهندسی معکوس

  • angr : چهارچوبی جهت آنالیز باینری پلتفرم Agnostic که در Seclab متعلق به UCSB توسعه داده شده است.
  • bamfdetect: اطلاعات را شناسایی کرده و آن‌ها را از Botها و دیگر بدافزارها خارج می‌نماید.
  • BAP : چهارچوبی برای تجزیه‌و‌تحلیل باینری چند پلتفرمی و متن باز در Cylab متعلق به CMU.
  • BARF : چهارچوبی برای آنالیز باینری و مهندسی معکوس متن باز و Multiplatform.
  • Binnavi : تجزیه‌و‌تحلیل باینری برای مهندسی معکوس مبتنی بر Graph Visualization.
  • Binary ninja : یک پلتفرم مهندسی معکوس که جایگزین IDA است.
  • Binwalk : ابزار تجزیه‌و‌تحلیل Firmware.
  • Bokken : یک GUI برای Pyew و Radare. (Mirror)
  • Capstone : چهارچوب Disassembly برای تجزیه‌و‌تحلیل باینری و Reversing، با قابلیت پشتیبانی از بسیاری از معماری‌ها.
  • codebro : مرورگر کد مبتنی بر وب که برای فراهم کردن تجزیه‌و‌تحلیل ابتدایی کد از Clang استفاده می‌کند.
  • Dynamic Executable Code Analysis Framework یا به اختصار DECAF : یک پلتفرم تجزیه‌و‌تحلیل باینری مبتنی بر QEMU است و DroidScope اکنون افزونه‌ای برای DECAF است.
  • dnSpy: ویراستار Net Assembly.، Decompiler و Debugger.
  • Evan’s Debugger) EDB): یک Debugger ماژولار با یک Qt GUI.
  • Fibratus: ابزاری برای کاوش و ردیابی هسته‏ی ویندوز.
  • FPort: در یک سیستم روی پورت‌های TCP/IP و UDP گزارش‌گیری می‌کند و آن‌ها را به برنامه‌ی کاربردی مربوطه Map می‌نماید.
  • GDB: یک Debugger مربوط به GNU.
  • GEF: قابلیت‌های پیشرفته‌ی GDB برای Exploiterها و مهندسان معکوس.
  • hackers:grep: کاربردی برای جستجوی Stringها در فایل‌های قابل اجرای PE شامل Importها، Exportها و نشانه‌های Debug.
  • Hopper: یک Disassembler متعلق به macOS و لینوکس.
  • IDA Pro: یک Disassembler و Debugger ویندوز، به همراه یک نسخه‌ی رایگان.
  • Immunity Debugger :یک Debugger برای تجزیه‌و‌تحلیل بدافزارها و موارد دیگر، به همراه یک Python API.
  • ILSpy این ابزار در واقع یک مرورگر و Decompiler مربوط به Net Assembly. متن باز می‌باشد.
  • Kaitai Struct: درواقع یک DSL برای فرمت‌های فایل، پروتکل‌های شبکه، ساختارهای داده، مهندسی معکوس و Dissection، همراه با ایجاد کد برای ++C، #C، Java، JavaScript، Perl، PHP، Python و Ruby است.
  • LIEF : یک Library بین پلتفرمی را برای مجزا نمودن، اصلاح کردن و جداسازی فرمت‌های ELF، PE و MachO فراهم می‌نماید.
  • ltrace: ابزاری برای تجزیه‌و‌تحلیل دینامیک برای فایل‌های قابل اجرای لینوکس می‌باشد.
  • objdump: بخشی از Binutilهای GNU برای تجزیه‌و‌تحلیل استاتیک باینری‌های لینوکس.
  • OllyDbg: یک Debugger در سطح Assembly برای فایل‌های قابل اجرای ویندوز است.
  • PANDA: پلتفرمی برای معماری: تجزیه‌و‌تحلیل دینامیک بصورت بی طرف.
  • PEDA یا Python Exploit Development Assistance برای GDB، نمایشگری پیشرفته با دستورات اضافی.
  • pestudio: اجرای تجزیه‌و‌تحلیل استاتیک برای فایل‌های قابل اجرای ویندوز.
  • Pharos: می‌توان از چهارچوب Pharos برای تجزیه‌و‌تحلیل باینری برای اجرای تجزیه‌و‌تحلیل استاتیک خودکارسازی‌شده‌ی باینری‌ها استفاده کرد.
  • Plasma : یک Disassembler تعاملی برای x86، ARM، MIPS.
  • (PPEE (Puppy : یک مرورگر فایل PE حرفه‌ای برای Reverserها، پژوهشگران برافزار و کسانی که می‌خواهند فایل‌های PE را به طور استاتیک و به صورت جزئی‌تر بررسی نمایند.
  • Process Explorer : یک Task Manager پیشرفته برای ویندوز.
  • Process Hacker : ابزاری که منابع سیستم را مانیتور می‌کند.
  • Process Monitor : یک ابزار مانیتورینگ پیشرفته برای برنامه‌های ویندوز.
  • PSTools : ابزار خط دستور ویندوز که به مدیریت و بررسی سیستم‌های زنده کمک می‌کند.
  • Pyew : ابزار پایتون برای تجزیه‌و‌تحلیل بدافزار.
  • PyREBox :درواقع Sandbox مهندسی معکوس Scriptable متعلق به Python تولید شده توسط تیم Talos در Cisco.
  • Radare2 : چهارچوب مهندسی معکوس با پشتیبانی از Debugger.
  • RegShot : ابزار مقایسه‌ی Registry که Snapshotها را مقایسه می‌کند.
  • RetDec: یک Machine:Code Decompiler با قابلیت هدف‌گذاری مجدد (Retargetable) با یک سرویس Decompilation آنلاین و API که کاربر می‌تواند در ابزارهای خود از آن استفاده کند.
  • ROPMEMU : چهارچوبی برای تجزیه‌و‌تحلیل، Dissect و Decompile کردن حملات Code:Reuse پیچیده.
  • SMRT : یا همان Sublime Malware Research Tool، افزونه‌ای است برای Sublime 3 با هدف کمک به تجزیه‌و‌تحلیل بدافزار.
  • strace : تجزیه‌و‌تحلیل دینامیک برای فایل‌های قابل اجرای لینوکس.
  • Triton: یک چهارچوب تجزیه‌و‌تحلیل باینری دینامیک.
  • Udis86: یک Library و ابزار Disassembler برای x86 و x64.
  • Vivisect: ابزار Python برای تجزیه‌و‌تحلیل بدافزار.
  • WinDbg:یک Debugger چندکاربردی برای سیستم عامل ویندوز، از آن برای Debug کردن برنامه‌های کاربردی User Mode، درایورهای دستگاه و Memory Dumpهای Kernel:Mode استفاده می‌شود.
  • X64dbg : یک Debugger x64/x32 متن باز برای ویندوز است.

 

فرمت باینری و تجزیه‌و‌تحلیل باینری

Compound File Binary Format اصلی‌ترین Container مورد استفاده توسط فرمت‌های فایل مختلف مایکروسافت مانند مستندات Microsoft Office و بسته‌های Microsoft Installer می‌باشد.

منابع تجزیه‌و‌تحلیل باینری

معرفی Decompiler

Decompiler برنامه‌ای کامپیوتری است که یک فایل قابل اجرا را به عنوان ورودی می‌گیرد و سعی می‌کند یک سورس فایل سطح بالا بسازد که بتوان آن را به طور موفقیت آمیزی Recompile نمود. در نتیجه نقطه‌ی مقابل Compiler محسوب می‌شود زیرا Compiler یک فایل منبع را می‌گیرد و آن را به فایل قابل اجرا تبدیل می‌نماید.

معرفی  Decompiler پرکاربرد

معرفی Decompilerهای جاوا

معرفی Decompilerهای NET.

معرفی Decompilerهای زبان دلفی

معرفیDecompilerهای زبان پایتون

 

معرفی ابزار تجزیه‌و‌تحلیل Bytecode

 

معرفی ابزارهای Import Reconstruction

 

Sandboxها و اسکنرهای آنلاین

از ابزارهایی که در ادامه معرفی می‌شوند به عنوان اسکنرهای Multi:AV مبتنی بر وب و Sandboxهای بدافزار برای تجزیه‌و‌تحلیل خودکارسازی‌شده استفاده می‌گردد.

  • io : یک Sandbox آنلاین است.
  • AndroTotal : آنالیز آنلاین رایگان برای APKها در مقابل چندین برنامه‌ی آنتی‌ویروس موبایل.
  • AVCaesar: اسکنر آنلاین lu و مخزن (Repository) بدافزار.
  • Cryptam: تحلیل اسناد مشکوک Office.
  • Cuckoo Sandbox: یک Sandbox متن باز و Self Hosted و سیستم تجزیه‌و‌تحلیل خودکارسازی‌شده.
  • cuckoo:modified: نسخه‌ی اصلاح‌شده‌ی Cuckoo Sandbox که تحت GPL منتشر شده است. به دلایل قانونی و صلاح‌دید مولف Merged Upstream نیست.
  • cuckoo:modified:api: یک Python API که برای کنترل یک Sandbox که Cuckoo:Modified است مورد استفاده قرار می‌گیرد.
  • DeepViz : تحلیلگر فایل چند فرمتی با طبقه‌بندی Machine:Learning.
  • detux : یک Sandbox که توسعه داده شده است تا تجزیه‌و‌تحلیل ترافیک بدافزارهای لینوکس و IOCهای Capturing را انجام دهد.
  • DRAKVUF : سیستم تجزیه‌و‌تحلیل بدافزار دینامیک.
  • re : تقریبا هر بسته‌ی Firmwareای را Unpack، اسکن و تجزیه‌و‌تحلیل می‌کند.
  • HaboMalHunter : یک ابزار تجزیه‌و‌تحلیل بدافزار خودکارسازی شده برای فایل‌های ELF لینوکس.
  • Hybrid Analysis : ابزار تجزیه‌و‌تحلیل بدافزار آنلاین که VxSandbox قدرت موردنیاز آن را تامین می‌کند.
  • IRMA : یک پلتفرم تجزیه‌و‌تحلیل Asynchronous و قابل سفارشی‌سازی برای فایل‌های مشکوک.
  • Joe Sandbox : تجزیه‌و‌تحلیل بدافزار به‌صورت عمقی با Joe Sandbox.
  • Jotti : اسکنر Multi:AV آنلاین رایگان.
  • Limon :یک Sandboxی برای تحلیل بدافزار لینوکس.
  • Malheur : ابزاری برای تجزیه‌و‌تحلیل خودکار رفتار بدافزار در Sandbox.
  • malsub : یک چهارچوب Python RESTful API برای بدافزارهای آنلاین و خدمات تجزیه‌و‌تحلیل URL.
  • Malware config : ابزاری برای Extract، Decode و نمایش آنلاین تنظیمات پیکربندی از بدافزارهای عادی.
  • Malwr : تجزیه‌و‌تحلیل رایگان با یک Cuckoo Sandbox Instance آنلاین.
  • com : اسکن کردن یک فایل، Hash یا آدرس IP برای بدافزار (رایگان).
  • NetworkTotal: سرویسی که فایل‌های pcap را آنالیز کرده و شناسایی سریع ویروس‌ها، Wormها، Trojanها و انواع بدافزار را با استفاده از Suricata که با EmergingThreats Pro پیکربندی شده است تسهیل می‌نماید.
  • PDF Examiner : ابزاری برای تجزیه‌و‌تحلیل فایل‌های PDF مشکوک استفاده می‌شود.
  • ProcDot : یک Toolkit گرافیکی برای تجزیه‌و‌تحلیل بدافزار است.
  • Recomposer : یک اسکریپت کمک‌کننده برای آپلود ایمن باینری‌ها به سایت‌های Sandbox به شمار می‌رود.
  • Sand droid : سیستمی کامل و خودکار برای تجزیه‌و‌تحلیل برنامه‌های کاربردی اندروید است.
  • SEE یا Sandboxed Execution Environment چهارچوبی است برای ساختن خودکارسازی تست در محیط‌های ایمن است.
  • VirusTotal – ابزاری برای تجزیه‌و‌تحلیل آنلاین رایگان نمونه‌های بدافزار و URLها.
  • Zeltser’s List : یک Sandboxها و خدمات خودکارسازی‌شده‌ی رایگان که توسط Lenny Zeltser جمع‌آوری شده‌اند.

 

معرفی تجزیه‌و‌تحلیل مستندات

 

بررسی ابزارهای Scripting

 

معرفی ابزارهای اندروید

 

بررسی منابع Yara

 

Artifactهای ویندوز

  • AChoir : یک اسکریپت پاسخ رویداد، جهت جمع‌آوری Artifactهای ویندوز است.
  • python:evt :کتابخانه متعلق به Python برای مجزا نمودن Event Logهای ویندوز.
  • python:registry : کتابخانه متعلق به Python برای مجزا نمودن فایل‌های Registry.
  • RegRipper : ابزار تجزیه‌و‌تحلیل Registry مبتنی بر Plugin.

 

بررسی ابزارهای Storage و Workflow

  • Aleph : سیستم Pipeline تجزیه‌و‌تحلیل بدافزار متن باز.
  • CRITs : پژوهش مبتنی بر همکاری در مورد تهدیدات، یک بدافزار و مخزن (Repository) تهدید.
  • FAME : چهارچوبی برای تجزیه‌و‌تحلیل بدافزار، دارای یک Pipeline که می‌توان با استفاده از ماژول‌های سفارشی آن‌ها را گسترش داد. می‌توان این ماژول‌ها را زنجیروار به هم متصل کرد تا با یک دیگر تعامل داشته باشند تا تجزیه‌و‌تحلیل بصورت End-to-End اجرا گردد.
  • Malwarehouse : ذخیره‌سازی، Tag کردن و جستجوی بدافزار.
  • Polichombr : یک پلتفرم تجزیه‌و‌تحلیل بدافزار که طراحی شده است تا به تحلیل‌گران کمک کند قابلیت همکاری بدافزارها را برعکس نمایند.
  • stoQ : چهارچوبی برای تجزیه‌و‌تحلیل محتوای توزیع‌شده با پشتیبانی گسترده از افزونه‌ها، از ورودی تا خروجی و تمام موارد بین آن‌ها.
  • Viper : چهارچوبی برای مدیریت و تجزیه‌و‌تحلیل باینری برای تحلیل‌گران و پژوهشگران.

 

ابزارهای جمع آوری نمونه‌هایی از بدافزار

  • Clean MX : دیتابیس Realtime از بدافزارها و دامین‌های مخرب.
  • Contagio: مجموعه‌ای از نمونه‌ها و تجزیه‌و‌تحلیل‌های اخیر مربوط به بدافزارها.
  • Exploit Database : نمونه‌های Exploit و Shellcode.
  • Malshare : مجموعه ای بزرگ از بدافزارهایی که فعالانه از سایت‌های مخرب گرفته شده‌اند.
  • MalwareDB : مجموعه ای از نمونه‌های بدافزار.
  • Open Malware Project : اطلاعات و دانلود‌های نمونه Offensive Computing.
  • Ragpicker : افزونه‌ای مبتنی بر Crawler بدافزار همراه با قابلیت‌های Pre:Analysis و گزارش‌گیری.
  • theZoo : نمونه‌های بدافزار برای تحلیل‌گران.
  • ViruSign : دیتابیس بدافزاری که توسط بسیاری از برنامه‌های بدافزار به غیر از ClamAV شناسایی شده است.
  • VirusShare : مخزن بدافزار، نیازمند ثبت‌نام.
  • VX Vault : مجموعه‌ای فعال از نمونه‌های بدافزار
  • Zeltser’s Sources : لیستی از منابع نمونه‌های بدافزار که توسط Lenny Zeltser جمع‌آوری شده است.
  • Zeus Source Code : منبع Zeus trojan که در سال 2011 فاش شد.

 

معرفی دوره‌های آموزشی مهندسی معکوس

 

بررسی دامین‌ها و آدرس‌های IP

  • com : سرویس IP blacklist اجتماع‌محور.
  • boomerang : ابزاری که برای ثبت مداوم و ایمن از منابع وب شبکه طراحی شده است.
  • Cymon : ردیاب هوش تهدیدات، همراه با جستجوی IP، دامین و Hash.
  • me : ابزاری نیازمند تنها یک کلیک، با هدف بازیابی Metadata به بیشترین حد ممکن برای یک سایت و همچنین با هدف ارزیابی مناسب آن.
  • dnstwist : موتور جایگشت (Permutation) نام دامین برای شناسایی Typo Squatting، Phishing و Corporate Espionage.
  • IPinfo : جمع‌آوری اطلاعات درمورد یک IP یا دامین با جستجو در منابع آنلاین.
  • Machinae : ابزار OSINT برای جمع‌آوری اطلاعات درمورد URLها، IPها و یا Hashها. مشابه Automator.
  • MaltegoVT : دگرگونی Maltego برای VirusTotal API. تحقیق در مورد دامین و IP و همچنین جستجو برای File Hashها و گزارشات Scan را ممکن می‌سازد.
  • Multi rbl : چندین DNS Blacklist و Forward Confirmed Reverse DNS برای بیش از 300 RBL.
  • NormShield Services : خدمات API رایگان برای شناسایی دامین‌های Phishing احتمالی، آدرس‌های IP که Blacklist شده‌اند و حساب‌هایی که دچار نقض امنیتی گشته‌اند.
  • SpamCop : یک Spam Block List مبتنی بر IP است.
  • SpamHaus : یک Block List مبتنی بر دامین‌ها و IPها است.
  • Sucuri SiteCheck : بدافزار وب‌سایت رایگان و اسکنر امنیتی.
  • Talos Intelligence : ابزاری برای جستجو برای صاحب IP، دامین و شبکه. (در گذشته SenderBase بوده است.)
  • TekDefense Automater : ابزار OSINT برای جمع‌آوری اطلاعات درمورد URLها، IPها و یا Hashها.
  • URLQuery : اسکنر URL رایگان.
  • Whois : ابزاری برای جستجوی Whois آنلاین رایگان DomainTools.
  • Zeltser’s List : ابزار آنلاین رایگان برای تحقیق در مورد وب‌سایت‌های مخرب، جمع‌آوری شده توسط Lenny Zeltser
  • ZScalar Zulu : تحلیلگر ریسک Zulu URL.

 

اسناد و Shellcode

  • AnalyzePDF : ابزاری برای تحلیل PDFها و سعی بر تعیین اینکه آیا مخرب هستند یا خیر.
  • box:js : ابزاری برای مطالعه‌ی بدافزار JavaScript، با پشتیبانی از JScript و WScript و شبیه‌سازی ActiveX.
  • diStorm :یک Disassembler برای تحلیل Shellcode مخرب است.
  • JS Beautifier :یک Unpacking و Deobfuscation برای جاوا اسکریپت است.
  • JS Deobfuscator :یک Deobfuscate کننده‌ی Javascript ساده است که از Eval یا write برای پنهان کردن کد خود استفاده می‌کند.
  • Libemu : ابزار برای شبیه‌سازی x86 Shellcode است.
  • Malpdfobj : جدا کننده‌ی PDFهای مخرب در یک نمایش از JSON.
  • OfficeMalScanner : اسکن کردن ردهای مخرب در اسناد MS Office.
  • olevba : اسکریپتی برای مجزا نمودن اسناد OLE و OpenXML و Extract کردن اطلاعات مفید.
  • Origami PDF : ابزاری برای تحلیل PDFهای مخرب و موارد بیشتر.
  • PDF X:Ray Lite : ابزاری برای تحلیل PDF، نسخه‌ی Backend:Free از PDF X:RAY.
  • peepdf : ابزار Python برای کاوش در PDFهایی که احتمال مخرب بودنشان وجود دارد.
  • QuickSand : QuickSand یک چهارچوب Compact C است برای تحلیل اسناد مشکوک بدافزار با هدف شناسایی Exploitها در Streamهایی از Encodingهای متفاوت و همچنین با هدف پیدا کردن و Extract کردن فایل‌های قابل اجرای کارگزاری‌شده.
  • Spidermonkey : موتور JavaScript متعلق به Mozilla، برای debug کردن JS مخرب.

 

معرفی کتاب‌ها در زمینه معندسی معکوس

 

ابزار هوش تهدیدات متن باز

  • AbuseHelper : چهارچوبی متن باز برای دریافت و توزیع دوباره‌ی Feedهای مزاحم و هوش تهدیدات.
  • AlienVault Open Threat Exchange : ابزاری برای به اشتراک گذاری و همکاری در توسعه‌ی هوش تهدیدات.
  • Combine : ابزاری برای جمع‌آوری شاخص‌های هوش تهدیدات از منابعی که به طور عمومی در دسترس می‌باشند.
  • Fileintel : ابزاری برای به دست آوردن اطلاعات به ازای File Hash.
  • Hostintel : ابزاری برای به دست آوردن اطلاعات به ازای Host.
  • IntelMQ : ابزاری برای CERTها به منظور پردازش داده‌های مربوط به رخدادها با استفاده از یک Message Queue.
  • OC Editor : ویراستاری رایگان برای فایل‌های XML IOC.
  • ioc_writer : کتابخانه متعلق به پایتون برای کار کردن با Objectهای OpenIOC از Mandiant.
  • Massive Octo Spice : در گذشته به عنوان Collective Intelligence Framework یا به اختصار CIF شناخته می‌شد و در واقع IOCها را از لیست‌های مختلف کنار هم جمع می‌کند.
  • Pulsedive : یک پلتفرم هوش تهدیدات رایگان و مبتنی بر جامعه که IOCها را از Feedهای متن باز جمع‌آوری می‌کند.
  • PyIOCe : یک ویراستار OpenIOC متعلق به زبان پایتون است.
  • threataggregator : تهدیدات امنیتی را از منابع مختلف، شامل منابعی که در ادامه در بخش «منابع دیگر» فهرست شده‌اند، کنار هم جمع می‌کند.
  • ThreatCrowd : یک موتور جستجو برای تهدیدات، همراه با مصورسازی گرافیکی است.
  • ThreatTracker : یک اسکریپت مبتنی بر زبان پایتون است که برای ایجاد و مانیتور کردن هشدارها براساس IOCهایی که توسط مجموعه‌ی از Google Custom Search Engines، ایندکس شده‌اند.
  • TIQ:test : مصورسازی داده و تجزیه‌و‌تحلیل آماری Feedهای هوش تهدیدات.

 

معرفی منابع دیگر

  • APT Notes : مجموعه‌ای از مقالات و یادداشت‌های مربوط به تهدیدات مداوم پیشرفته.
  • File Formats posters : مصورسازی خوب از فرمت‌های فایلی که عموما مورد استفاده قرار می‌گیرند (از جمله PE و ELF).
  • Honeynet Project : ابزار Honeypot، مقالات و دیگر منابع.
  • Kernel Mode : انجمن فعال مختص به تجزیه‌و‌تحلیل بدافزار و توسعه‌ی Kernel.
  • Malicious Software : بلاگ و منابع Malware جمع‌آوری‌شده توسط Lenny Zeltser.
  • Malware Analysis Search : موتور جستجوی سفارشی Google از Corey Harrell.
  • Malware Analysis Tutorials : دوره‌های آموزشی تجزیه‌و‌تحلیل بدافزار توسط Xiang Fu، منبعی عالی برای یادگیری تجزیه‌و‌تحلیل کاربردی بدافزار.
  • Malware Samples and Traffic : این بلاگ روی ترافیک شبکه مرتبط آلودگی‌های بدافزار متمرکز است.
  • Practical Malware Analysis Starter Kit : این بسته حاوی اکثر ارجاعات نرم‌افزاری در کتاب Practical Malware Analysis می‌باشد.
  • Windows Registry specification : مشخصات فرمت فایل Registry ویندوز.

کاربران خانگی آماج اصلی باج‌افزارها

باج‌افزار تمام داده‌ها را برروی رایانه یا دستگاه تلفن همراه رمزگذاری کرده و دسترسی مالک آنها را به این داده‌ها مسدود می‌کند.Ransomware

سازندگان باج‌افزار، کاربران خانگی، کسب‌وکارها و نهادهای دولتی را مورد هجوم قرار می‌دهند و دلیل این هجوم می‌تواند عدم پشتیبان‌گیری داده‌ها، کمبود دانش امنیتی آنلاین، به‌روز نکردن نرم‌افزارها در کابران خانگی، آسیب‌پذیری سیستم‌های کامپیوتری در کسب‌وکارها و مدیریت پایگاه‌های اطلاعاتی عظیم شخصی و محرمانه توسط نهادهای دولتی باشد. باج‌افزار یک نوع نرم‌افزار مخرب (بدافزار) است که تمام داده‌ها را برروی رایانه یا دستگاه تلفن همراه رمزگذاری کرده و دسترسی مالک آنها را به این داده‌ها مسدود می‌کند. هنگامی که این آلوگی اتفاق می‌افتد، قربانی پیامی دریافت می‌کند که در آن دستورالعمل‌های چگونگی پرداخت باج (معمولا در بیت‌کوین‌ها) ارائه شده است. فرآیند اخاذی اغلب شامل محدودیت‌ زمانی برای پرداخت می‌شود. پرداخت جریمه هم باید کلید رمزگشایی را به قربانی بدهد اما هیچ تضمینی وجود ندارد که این اتفاق بیفتد.
دو نوع باج‌افزار رایج وجود دارد؛ باج‌افزار رمزگذاری که شامل الگوریتم‌های رمزنگاری پیشرفته است. این برنامه برای مسدود کردن فایل‌های سیستم و تقاضای باج است و برای دسترسی قربانی به آنها، کلیدی وجود دارد که می‌تواند محتوای مسدود شده را رمزگشایی کند.
نوع دیگر باج‌افزار مسدودکننده است که قربانی را به وسیله سیستم عامل مسدود می‌کند و امکان دسترسی به دسک‌تاپ و هر برنامه یا فایلی را غیرممکن می‌سازد. پرونده‌ها در این مورد رمزگذاری نمی‌شوند، اما مهاجمان باز هم برای کامپیوتر آلوده باج‌گیری می‌کنند.
باج‌افزار دارای برخی ویژگی‌های کلیدی است که آن را از  دیگر نرم‌افزارهای مخرب مجزا می‌کند؛ از ویژگی‌های آن رمزگذاری غیرقابل شکست است. بدان معنی که شما نمی‌توانید فایل‌ها را خودتان رمزگشایی کنید. باج‌افزار می‌تواند انواع فایل‌ها، از اسناد تا تصاویر، فایل‌های صوتی و سایر مواردی که ممکن است روی رایانه باشد، رمزگذاری کند.
همچنین باج‌افزار می‌تواند نام فایل‌ها را رمزگذاری کند، بنابراین نمی‌توان فهمید کدام اطلاعات تحت تاثیر قرار گرفته‌اند. این یکی از ترفندهای مهندسی اجتماعی است که برای جلب توجه و قربانی کردن قربانیان برای پرداخت باج استفاده می‌شود.باج افزار یک افزونه متفاوت به فایل‌ها اضافه خواهد کرد و گاهی اوقات یک نوع خاصی از آسیب، باج‌افزار را سیگنال می‌کند. باج‌افزار تصویر یا پیامی را نشان می‌دهد که نشان‌دهنده رمزگذاری شدن اطلاعات شما هست و برای بازگرداندن آنها مبلغ خاصی را از شما درخواست می‌کند همچنین درخواست پرداخت در بیت‌کوین را می‌دهد، زیرا این رمزگذاری نمی‌تواند توسط محققان امنیتی سایبری یا سازمان‌های قانونی انجام می‌شود.
معمولا این باج‌گیری‌ها محدودیت زمانی دارند تا سطح دیگری از محدودیت‌ها برای این طرح اخاذی، اضافه شود. معمولا گذشت از زمان سررسید به معنای افزایش باج است، اما این می‌تواند بدین معنا باشد که اطلاعات ناقص شده یا برای همیشه از بین رفته است.باج‌افزار همچنین از مجموعه پیچیده‌ای از تکنیک‌های گریز از آنتی‌ویروس‌های سنتی استفاده و اغلب رایانه‌های آلوده به بات‌نت را جذب می‌کند، بنابراین مجرمان اینترنتی می‌توانند زیرساخت‌های خود را افزایش دهند و حملات آینده را تقویت کنند و نیز می‌تواند به دیگر رایانه‌های شخصی متصل به شبکه محلی انتشار یابد و باعث ایجاد آسیب بیشتر شود.
اما اولین باج‌افزار در سال ۱۹۸۹ ظاهر شد. این تروجان ایدز نامیده می‌شد که امروزه عملیات modus آن را خنثی می‌کند. این باج‌افزار از طریق فلاپی دیسک پخش شد. اما ظهور بیت کوین و تکامل الگوریتم‌های رمزنگاری، باعث شد که باج‌افزار از یک تهدید جزئی که در خرابکاری‌های سایبری استفاده می‌شد، به یک ماشین پول‌سازی کامل تبدیل شود.
چرا کاربران خانگی، کسب‌وکارها و نهادهای دولتی مورد هجوم قرار می‌گیرند؟ اینکه چرا سازندگان و توزیع‌کنندگان باج‌افزار، کاربران خانگی را هدف قرار می‌دهند، دلایل متعددی دارد. زیرا کاربران خانگی پشتیبان‌گیری داده‌ها را ندارند، آموزش امنیت سایبری ندیده‌اند و ممکن است روی هر چیزی کلیک کنند. کمبود دانش امنیتی آنلاین باعث می‌شود تا مهاجمان سایبری بتوانند به راحتی دسترسی به اطلاعات‌شان داشته باشند.
کاربران خانگی حتی امنیت پایه سایبری را ندارند و نرم‌افزار خود را به روز نگه نمی‌دارند، آنها موفق به سرمایه‌گذاری در راه‌حل‌های امنیت سایبری نشده‌اند و به شانس اعتقاد دارند تا آنها را امن نگه دارد. اکثر کاربران خانگی هنوز به طور انحصاری به آنتی‌ویروس اعتماد می‌کنند تا از همه تهدیدات محفاظت شوند که اغلب در تشخیص و توقف باج‌افزار ناکارآمد هستند و بخش زیادی از کاربران اینترنتی، می‌توانند قربانیان بالقوه شوند.
اما سازندگان و توزیع‌کنندگان باج‌افزار، کسب‌وکارها را نیز به دلایل متعدد هدف قرار می‌دهند. زیرا در کسب‌وکارها پول زیادی وجود دارد، مهاجمان می‌دانند که یک آلودگی موفق می‌تواند باعث اختلال در کسب‌وکار بزرگ شود و شانس آنها جهت دریافت پول افزایش می‌یابد. سیستم‌های کامپیوتری در شرکت‌ها اغلب پیچیده و مستعد آسیب‌پذیری هستند که می‌توانند از طریق وسایل فنی مورد استفاده قرار گیرند.
بر اساس اطلاعات سایت مرکز ماهر، همچنین عامل انسانی هنوز یک مسئولیت بزرگ است که می‌تواند مورد سوءاستفاده قرار گیرد اما از طریق تاکتیک‌های مهندسی اجتماعی. باج‌افزار با نفوذ به هسته کسب‌وکار، می‌تواند نه تنها کامپیوترها را بلکه سرورها و سیستم‌ها به اشتراک‌گذاری فایل مبتنی بر ابر را نیز تحت تاثیر قرار دهد و همچنین کسب‌وکارهای کوچک اغلب آماده مقابله با حملات پیشرفته سایبری نیستند.
سازندگان و توزیع‌کنندگان باج‌افزار، نهادهای دولتی را نیز هدف قرار می‌دهند. موسسات دولتی مانند ادارات دولتی، پایگاه‌های اطلاعاتی عظیم شخصی و محرمانه را مدیریت می‌کنند که مجرمان سایبری می‌توانند آنها را به فروش برسانند. کاهش بودجه و مدیریت غیرمستقیم اغلب بر بخش‌های سایبری تاثیر می‌گذارد، همچنین کارکنان برای کشف و جلوگیری از حملات سایبری آموزش ندیده‌اند (نرم‌افزارهای مخرب اغلب از تاکتیک‌های مهندسی اجتماعی برای سوءاستفاده از ناهنجارهای انسانی و ضعف‌های روحی استفاده می‌کنند).
موسسات دولتی اغلب از نرم‌افزار و تجهیزات قدیمی استفاده می‌کنند، بدان معنی که سیستم‌های کامپیوتری آنها با حفره‌های امنیتی، پیکربندی می‌شود و مورد سوءاستفاده قرار می‌گیرند. یک آلودگی موفق تاثیر زیادی بر انجام فعالیت‌های معمول دارد و باعث اختلالات زیادی می‌شود و حمله موفقیت‌آمیز به نهادهای دولتی، جنایتکاران سایبری را برای حملات بیشتر وسوسه می‌کند.

کشف بدافزار اندرویدی HenBox در دستگاههای Xiaomi در چین

به گزارش سایت هک رید؛ شرکت امنیت سایبری پالو آلتو (PaloAlto Networks) طی گزارشی از واحد 42 خود اعلام کرد که بدافزاری به نام «HenBox» با رویکرد آلوده کردن تجهیزات اندرویدی شناسایی شده است.Takian.ir android malware henbox xiaomi minority in china

این بدافزار همه تجهیزات اندرویدی را هدف قرار داده، به عبارت دیگر تمام تجهیزاتی که از سیستم عامل اندروید استفاده می کنند دربرابر خطر هستند مانند گوشی های هوشمند، تلویزیون و...

این بدافزار از روش های منحصر به فردی وارد سیستم کاربر می شود به طور مثال از طریق برنامه های «VPN» برای نفوذ به سیستم کاربر استفاده می کند. برخی کاربران زمان دانلود و بارگذاری این بدافزار تصور می کنند که برنامه به صورت هوشمند سرگرم اجرای فعالیتی است، اما متوجه نیستند که دستگاه آن ها آلوده شده است.

کارشناسان اعلام کردند که برنامه های مختلفی اقدام به دریافت این بدافزار می کنند و هنوز هم از طریق فروشگاه اینترنتی گوگل (Google Play) قابل دریافت هستند.

این گزارش در 13 مارس 2018 ازسوی شرکت امنیت سایبری پالو آلتو منتشر شد و در آن آمده بود که این بدافزار منطقه ویژه ای از چین را هدف قرار داده و هدف اصلی این بدافزار «Uyghur» بوده است. محل نام برده در شمال غرب چین واقع شده است و مردم آن عموما مسلمان هستند، ضمنا هنوز انگیزه هکرها برای نشانه گرفتن این مکان مشخص نیست.

بدافزار هن باکس (HenBox) گوشی های تلفن همراه ساخته شده به وسیله شرکت «Xiaomi» و تجهیزات توسط «MIUI» اجرا می شوند را هدف قرار داده است.

گفتنی است یکی از برنامه هایی که اقدام به دریافت بدافزار می کند و در حال حاضر از طریق فروشگاه اینترنتی گوگل در دسترس است «DroidVPN» است.

Takian.ir android malware henbox xiaomi minority in china DroidVPN

 

کشف بدافزار جدید ماینینگ ارز دیجیتالی با قدرت بسیار بالا بنام ZombieBoy

به گزارش سایت ambcrypto.com، یک کارشناس امنیتی مستقل با نام James Quinn خانواده جدیدی از ماینرهای ارز دیجیتالی را کشف کرده است. این ماینرکه ZombieBoy نام گذاری شده است، طبق تحلیل‌های این کارشناس، دارای سرعت کاوش 43 KH/s 43000) Hash در ثانیه) است که قادر به استخراج 1000 دلار در ماه است. این ماینر یا همان کاوشگر از زبان چینی استفاده می‌کند که از این رو احتمالا در کشور چین توسعه داده شده است.Takian.ir ZombieBoy Malware Threatens The Security of Cryptocurrency Worldwide
Quinn در بلاگ خود توضیح داده است که این کاوشگر مشابه massminer است که در اوایل ماه می معرفی شد. بدلیل استفاده این بدافزار از ZombieBoyTools، آنرا ZombieBoy نامگذاری کرده‌اند. باید اشاره کرد که ZombieBoyTools دارای ارتباطاتی با IronTigerAPT است و یک ویرایش از تروجان Gh0st است.
بدافزار به کمک این ابزار اولین فایل dll خود را در سیستم قربانی قرار می‌دهد. علاوه بر این، Quinn ادعا می‌کند که این کرم از اکسپلویت‌های مختلف برای گسترش در سیستم استفاده می‌کند. تفاوتی که بین massminer و ZombieBoy وجود دارد در استفاده از ابزار اسکن میزبان است که ZombieBoy به جای MassScan از WinEggDrop استفاده می‌کند. نکته قابل توجه و البته نگران کننده این بدافزار بروزرسانی آن بصورت مداوم است. علاوه بر این، بدافزار می‌تواند از CVEهای مختلفی برای دور زدن برنامه‌های امنیتی بهره ببرد. این CVEها شامل یک آسیب‌پذیری RDP یعنی CVE-2017-9073 و اکسپلویت‌های CVE-2017-0143 و CVE-2017-0146 هستند.Takian.ir ZombieBoy
بدافزار از اکسپلویت‌های DoublePulsar و EternalBlue برای ایجاد در پشتی استفاده می‌کند. از آنجایی که بدافزار می‌تواند چندین درپشتی ایجاد کند، بنابراین راه ورود سایر برنامه‌های مخرب مانند keyloggerها، باج‌افزارها و بدافزارهای دیگر باز می‌شود.

کشف بدافزار پیشرفته جاسوسی Norxa توسط مرکز مدیریت راهبردی افتا

بدافزار پیچیده و ناشناخته ای که سیستم عامل های ویندوز را هدف قرار می دهد، در تازه ترین بررسی های کارشناسان مرکز افتا، شناسایی شد .

Taskian.ir Malware Norxa
به گزارش روابط عمومی مرکز مدیریت راهبردی افتا، این بدافزار کاملا منحصر به فرد، که توسط این مرکز کشف و Norxa نامیده شده ؛ با هدف جاسوسی و جمع آوری اطلاعات طراحی شده است. 
این بدافزار دارای قابلیت دریافت دستور از سرور C&C و  اجرای عملیات های خرابکارانه در سیستم قربانی نیز هست.
کارشناسان مرکز افتا، پس از مشاهده ناهنجاریهای ترافیکی در یکی از سازمان ها، موفق به شناسایی این بدافزار جاسوسی پیشرفته شدند . 
ساختار و قابلیت های این بدافزار، که بسیار خاص و هدفمند طراحی شده، به نحوی است که کمترین حساسیت را در سیستم عامل ایجاد می‌کند.
با توجه به تاریخ ایجاد فایل های مشکوک در سیستم‌های مورد بررسی که سال ۲۰۱۴ است، حداقل زمان فعالیت این بدافزار حدود ۴ سال تخمین زده می شود.
متخصصان مرکز مدیریت راهبردی افتا، این بدافزار را در تعداد کمی از سازمان ها شناسایی کرده اند . 
گفتنی است تحقیقات تکمیلی برای کشف تمامی اهداف این بدافزار همچنان در دستور کار مرکز افتاست و گزارش های تکمیلی متعاقبا منتشر خواهد شد . 
باتوجه به مخاطرات تاثیرگذار و مخرب این بدافزار، اطلاعات مربوط به آن به صورت عمومی به اشتراک گذاشته شده است، تا دستگاه‌ها و قربانیان بتوانند محافظت‌ها و اقدامات لازم را در خصوص شناسایی و حذف آن به عمل آورند.
کارشناسان مرکز افتا توصیه می کنند تا در صورت تشخیص ماژول های بدافزار، سیستم آلوده با سیستم امن‌سازی شده دیگری جایگزین شود.
برای شناسایی و مقابله با این بدافزار در سیستم های آلوده می توانید، ابزارزیر را از حالت فشرده خارج کرده و سپس فایل Norxa_Detector_Loki.exe با سطح دسترسی مدیر (Run as administrator) اجرا وسپس فایل لاگ تولید شده را در همان مسیر بررسی کنید.
ابزار شناسایی بدافزارNorxa
اطلاعات فنی و تخصصی درباره مشخصات این بدافزار، در فایل پیوست قابل دسترسی است .
فایل پیوست:اطلاعات فنی بدافزارNorxa
Taskian.ir Malware Norxa loki

کشف بدافزاری از پیش تعبیه شده روی 5 میلیون گوشی محبوب اندورویدی

به گزارش سایت thehackernews.com، محققان امنیتی شرکت CheckPoint بدافزاری به نام RottenSys را شناسایی کردند که به عنوان نرم افزار  'System Wi-Fi service' بر روی میلیون ها دستگاه گوشی هوشمند  از برندهای مختلف، پیش از رسیدن به دست کاربران نصب شده است.Takian.ir android botnet malware

از جمله این برندها می توان به این موارد اشاره کرد: Huawei, Xiaomi, OPPO, Vivo, Samsung, GIONEE
محققان معتقدند در March 12, 2018 تعداد دستگاههای آلوده به  4,964,460  رسیده و همچنین تخمین می زنند انتشار  این بدافزار از September 2016  آغاز شده است.

این بد افزار از طریق ارتباط با Command & Control Server خود امکان نصب هرگونه نرم افزار و به عبارتی کنترل کامل دستگاه را در اختیار سازندگان خود قرار می دهد.

چگونگی اطمینان یابیم که این بدافزار روی دستگاه ما نصب نیست؟

لیست نرم افزارهای نصب شده بر روی دستگاه Android خود را از مسیر settings→ App Manager و برای یافتن بسته های نرم افزاری زیر بررسی کنید:

  • com.android.yellowcalendarz (每日黄历)
  • com.changmi.launcher (畅米桌面)
  • com.android.services.securewifi (系统WIFI服务)
  • com.system.service.zdsgt

چنانچه بر روی دستگاه خود بسته های نرم افزاری فوق را  مشاهده کردید در اسرع وقت آن را uninstall کنید.