IPImen ، Firewall ، NGFirewall-UTM، آیپی ایمن، فایروال ایرانی ، فایروال بومی، یوتی ام بومی، یوتی ام ایرانی، فایروال نسل بعدی ایرانی، فایروال نسل بعدی بومی

Cryptocurrencies

کلمات رایج امنیت شبکه و فناوری اطلاعات IPImen

حمله به مک های اپل مبتنی بر M1 از طریق پروژه Xcode

 

یک کمپین بدافزار مک (Mac)، با هدف قرار دادن توسعه دهندگان Xcode جهت افزودن امکان پشتیبانی از تراشه های جدید M1 اپل و گسترش ویژگی های آن برای سرقت اطلاعات محرمانه از برنامه های رمزارزها، مجدداً مورد استفاده قرار گرفته است.

به نقل از هکر نیوز، XCSSET در آگوست سال 2020 و پس از اینکه از طریق پروژه های تغییر Xcode IDE، که در طی فرایند ساخت برای اجرای بارگیری اطلاعات تنظیم شده بودند، مورد توجه قرار گرفت. این بدافزار برای تقلید از برنامه های مجاز مَک، که بطور کامل مسئول آلوده کردن پروژه های محلی Xcode و تزریق اطلاعات اصلی برای اجرا در هنگام ایجاد پروژه در معرض خطر است، ماژول های اطلاعات را مجددا بارگیری می کند.

ماژول های XCSSET دارای قابلیت سرقت گواهی ها، گرفتن اسکرین شات، تزریق جاوا اسکریپت مخرب به وب سایت ها، سرقت داده های کاربر از برنامه های مختلف و حتی رمزگذاری فایل ها برای باجگیری است.

سپس در ماه مارس 2021، محققان کسپرسکی نمونه های XCSSET را كه برای تراشه های جدید Apple M1 جمع آوری شده بود، کشف كردند و این کشف حاكی از آن بود كه فعالیت این بدافزار نه تنها تاکنون ادامه داشته است، بلكه مهاجمان نیز به طور فعال اقدامات اجرایی خود را با آن تطبیق می داده اند و آنها را برای اجرا بر روی مک های جدید سیلیکون اپل، بومی سازی می كرده اند.

takian.ir apple mac hack with xcode

 

آخرین تحقیقات ترند میکرو نشان می دهد که XCSSET برای اعمال بک دور جاوا اسکریپت به وب سایت ها با استفاده از حملات Universal Cross-Site Scripting (UXSS) همچنان از نسخه در دست توسعه مرورگر سافاری سوءاستفاده می کند.

محققان ترند میکرو، در تحلیلی که روز جمعه منتشر شد، اعلام کردند: "این بدافزار، بسته های بروزرسانی سافاری را در سرور command-and-control میزبانی می کند، سپس بسته را بسته به نسخه سیستم عامل کاربر دانلود و نصب می کند. همچنین برای سازگاری با نسخه تازه منتشر شده Big Sur ، بسته های جدیدی برای سافاری 14، اضافه شده است".

این بدافزار علاوه بر تروجان سازی سافاری به منظور نفوذ به داده ها، با سوءاستفاده از حالت اشکال زدایی از راه دور در مرورگرهای دیگر مانند گوگل کروم، مرورگر بِرِیو، مایکروسافت اِج، موزیلا فایرفاکس، اوپرا، مرورگر کیهو 360 و مرورگر یاندکس برای انجام حملات UXSS شناخته می شود.

بعلاوه این بدافزار حتی سعی در سرقت اطلاعات حساب از چندین وب سایت از جمله سیستم عامل های معاملات ارزهای رمزنگاری هیوبی، بایننس، NNCall.net، اِنواتو و 163.com دارد که توانایی جایگزینی آدرس کیف پول رمزارز کاربر را با موارد تحت کنترل مهاجم دارد.

نحوه انتشار XCSSET از طریق پروژه های تحقیقاتی Xcode، تهدیدی جدی قلمداد می شود، زیرا توسعه دهندگانی که آلوده شده اند، ناخواسته کار خود را در GitHub به اشتراک می گذارند و می توانند بدافزار را در قالب پروژه های Xcode که در معرض خطر هستند، به کاربران خود منتقل کنند و به متعاقب آن منجر به سلسله حملاتی مانند حملات زنجیره تامین بشوند و کاربرانی را که به این دیتابیس ها در پروژه های خود وابستگی و اعتماد دارند، بشدت در معرض خطر و آلودگی قرار دهند.

خیرخواهی بدافزارها؟! جلوگیری از دسترسی قربانیان به سایت های غیرقانونی مانند Pirate Bay

بدافزاری که توسط محققان با عنوان Vigilante مطرح شده است، از ورود سیستم های کاربران به سایتهایی که توزیع نرم افزار و داده های غیرقانونی و کرک شده را برعهده دارند، جلوگیری می کند.

به نقل از هک رید، محققان امنیت فناوری اطلاعات در SophosLabs در مورد یک بدافزار جدید غیرمعمول با عنوان vigilante گزارشی ارائه داده اند. محققان ادعا می کنند که عملکرد این بدافزار در مقایسه با نمونه های نسبتا مشابه خود، کاملاً متفاوت است.

محققان به آن لقب "Vigilante" داده اند زیرا این بدافزار به عنوان یک عملگر هوشیار عمل می کند و از ورود سیستم ها به سایتهایی که مرکز توزیع نرم افزارهای کرک شده و سرقتی و داده های دزدی هستند، جلوگیری می کند. این بدان معناست که از دسترسی قربانیان به سیستم عامل های نرم افزاری دزدی و کرک شده جلوگیری می کند.

بدافزار Vigilante چگونه کار می کند؟
طبق گفته اندرو برانت، محقق ارشد SophosLabs، بدافزار Vigilante پس از اینکه کسی نرم افزار یا بازی کرک شده یا غیرقانونی ای را بارگیری و اجرا کند، به سیستم حمله می کند. این بدافزار را می توان در سرویس های چارت بازی در Discord یا URLهای BitTorrent یافت.

برانت در مقاله خود نوشت: "با دقت بیشتر در بررسی این فایل هایی که با فایل نصب کننده همراه هستند، روشن میشود که آنها فایده عملی دیگری ندارند، جز اینکه به آرشیو شکل و ظاهر فایل هایی که معمولاً از طریق BitTorrent به اشتراک گذاشته می شوند را بدهند و با افزودن داده های تصادفی مقادیر هش را اصلاح کنند".

بدافزار نام فایل اجرا شده به همراه آدرس IP دستگاه را به سروری که توسط مهاجم کنترل می شود ارسال میکند تا شرایط را برای حملات آینده فراهم باقی بگذارد. Vigilante همچنین تغییراتی در دستگاه ایجاد می کند تا قربانی با ایجاد تغییر در فایل HOSTS دستگاه، نتواند به بیش از 1000 وب سایت از جمله ThePirateBay.com دسترسی پیدا کند.

takian.ir malware blocks victims visit the pirate bay 1

 

علاوه بر این، فایل مد نظر حاوی چندین وب سایت شناخته شده دیگر است که به دلیل محتوای خود، غیرقانونی شناخته میشوند و این سایت ها را به آدرس IP لوکال‌هاست 127.0.01 که آدرس رایانه شخصی آنها است، بازهدایت می کند و به همین خاطر سایت ها برای کاربر دیگر قابل دسترسی نخواهند بود.

takian.ir malware blocks victims visit the pirate bay 2

 

آیا توسعه دهندگان بدافزار سعی در محافظت از مردم دارند؟
تعیین هدف اصلی تولید بدافزار Vigilante مشکل است. این روش، یک تکنیک غیرمعمول برای محافظت از کاربران در برابر دسترسی به نرم افزارهای غیرقانونی و نهایتا گرفتار شدن در دام تهدید کلاهبرداری های مهاجمان و مجرمان سایبری است.

عموماً، عاملان تهدید از نرم افزارهای سرقت شده برای توزیع بدافزار در قالب جدیدترین بازی یا فیلم تازه منتشر شده، استفاده می کنند. چنین بدافزاری معمولاً سرقت کننده اطلاعات، استخراج کننده رمزارز یا باج افزار است. برندت در توییتر خود نوشت: یک چیز مسلم است و آن اینکه این یک بدافزار معمول نیست.

"دیدن چنین چیزی واقعاً غیرمعمول است زیرا معمولاً تنها یک انگیزه در پشت بیشتر بدافزارها وجود دارد: سرقت چیزها؛ حتی اگر این چیز، رمزهای عبور، دکمه های ورودی، کوکی ها، مالکیت معنوی، دسترسی و یا حتی سیکل پردازنده برای استخراج رمزارز باشد، انگیزه اصلی سرقت است. اما در این مورد، اینطور نیست. در این نمونه فقط چند کار انجام دادند که هیچ یک منطبق با انگیزه معمول و رایج مجرمان بدافزار نبوده است”.

سوء استفاده از منابع کاربران با بدافزار های موجود در یوتیوب

به نقل از سایت Lowyat ، در حالی که صدها ارز مجازی (Cryptocurrencies) در بازار حضور دارد ولی در این بین بیت کوین به خاطر نوسانات قیمت شدیدش در راس توجهات قرار گرفته است. با وجود اینکه عده ای به سادگی و از طریق درگاه های مخصوص این نوع ارزها را خریداری می کنند ولی تعدادی دیگر نیز سعی دارند با روش استخراج میلیونر شوند.در حالی که صدها ارز مجازی (Cryptocurrencies) در بازار حضور دارد ولی در این بین بیت کوین به خاطر نوسانات قیمت شدیدش در راس توجهات قرار گرفته است. با وجود اینکه عده ای به سادگی و از طریق درگاه های مخصوص این نوع ارزها را خریداری می کنند ولی تعدادی دیگر نیز سعی دارند با روش استخراج میلیونر شوند.

YouTube Mining Malware Ad
البته استخراج در موقعیت های محدودی راه مناسبی به شمار می رود ولی همچنان نیازمند هزینه های فراوان و تجهیزات قدرتمند است. اما اگر از منابع بقیه مردم استفاده شود چه اتفاقی می افتد؟ بعضی ها از همین روش کمک می گیرند، آن ها درون وب سایت ها یا ویدیوهای تبلیغاتی کدهای استخراج ارز مجازی می گذارند تا از کامپیوترهای بقیه استفاده کنند.
اکنون به نظر می رسد که به تازگی این نوع کدها به ویدیوهای تبلیغاتی یوتوب هم راه یافته اند. چند روز پیش برخی از کاربران توییتر اعلام کردند که آنتی ویروس آن ها هنگام تماشای ویدیوهای یوتوب متوجه حضور بدافزار می شود و حالا مشخص گردیده که علت این اتفاق کدهای استخراج مرزی مخفی تبلیغات یوتوب است.
با توجه به اطلاعات به دست آمده، تبلیغات دارای کد جاوا اسکریپتی هستند که ارز مونرو را استخراج می کنند. بنابراین کاربران همان موقع که از تماشای محتویات وب سایت ها لذت می برند، منابع کامپیوتر خود را نیز در اختیار سوء استفاده کنندگان قرار می دهند.
هر چند گوگل گفته این نوع تبلیغات بعد از دو ساعت پاک می شوند ولی گفته های ترند میکرو چیز دیگری را نشان می دهند؛ تبلیغات آلوده بعد از چند روز و حتی تا یک هفته حذف نشده اند. اگر می خواهید شما هم طعمه این روش نشوید، حتما یک آنتی ویروس مطمئن نصب کنید.

ضبط سرورها و محدودیت حساب بیتکوین باج افزار DarkSide بعد از حمله به زیرساخت های سوخت ایالات متحده

 

باند بدافزار DarkSide در پشت حمله سایبری اخیر به Colonial Pipeline بوده است اما مشخص نیست که چه کسی در پشت پرده اختلال در زیرساخت های سایبری DarkSide بوده است.

گروه مجرمان سایبری باج افزار DarkSide که باعث بروز وقفه ای شش روزه در خط لوله Colonial Pipeline در هفته گذشته که منجر به کمبود سوخت و افزایش قیمت در سراسر ایالات متحده شده بودند، در حال پایان دادن به آن هستند.

این باند مجرمین اعلام کرد پس از آنکه سرورهای آنها ضبط شد و همچنین در پی درز اطلاعات حساب رمزارز این گروه توسط عاملان ناشناس، که برای پرداخت های خود از آن استفاده میکردند، عملیات خود را متوقف می کند.

در صورت دسترسی از طریق TORبه دارک وب و بررسی آدرس سایت DarkSide، اعلانی نمایش داده میشود که اعلام میکند این آدرس قابل یافتن نیست.

takian.ir bitcoin servers darkside ransomware gang seized 1

پیامی که توسط این گروه ارسال شده، بدین مضمون است: "چند ساعت پیش، ما دسترسی به بخش عمومی زیرساخت های خود را از دست دادیم".

در ادامه این پیام توضیح داده است که این خسارت بر وبلاگ قربانیان که اطلاعات سرقت شده از قربانیانی که از پرداخت باج خودداری کرده اند، منتشر می شود، تأثیر گذاشته است.

این حمله همچنین سرور پرداخت آنها و مواردی که ویژگی DoS آن را تأمین می کنند و برای تهییج کردن قربانیانی که از پرداخت باج ممانعت میکنند، مورد استفاده قرار میگرفته، از کار انداخته است.

این بروزرسانی همچنین ادعا میکند که سازمان دهندگان DarkSide در حال انتشار ابزارهای رمزگشایی برای تمام شرکت هایی هستند که تحت حمله باج افزاری قرار گرفته اند، اما هنوز هزینه ای پرداخت نکرده اند.

در این دستورالعمل ها آمده است: "پس از آن، شما آزاد خواهید بود هر کجا که خواستید با آنها ارتباط برقرار کنید".

takian.ir bitcoin servers darkside ransomware gang seized 2

همانطور که توسط برخی از متخصصان، به ویژه Intel471 اعلام شده است، برخی از اعضای اصلی DarkSide نیز با باند REvil گره خورده اند. جای تعجب نیست که برخی از متن های جزئیات پیام توسط DarkSide ظاهراً توسط یکی از رهبران پلتفرم سرویس باج افزار REvil نوشته شده است.

به گفته برایان کربس، نماینده REvil گفته است که برنامه آن ایجاد محدودیت های جدید در سازمان هایی است که شرکت های وابسته آنها می توانند هدف حملات باج افزاری واقع شوند؛ و از این پس حمله به "بخش اجتماعی" (که به عنوان موسسات بهداشتی و آموزشی تعریف شده است) و سازمانها در "بخش دولت" (ایالت) هر کشور ممنوع است. همکاران وابسته نیز قبل از آلوده کردن قربانیان ملزم به دریافت تأییدیه می شوند.

در زمان انتشار این مقاله، هنوز مشخص نبود که چه کسی وب سایت Darkside را مجبور به قطع ارتباط وب کرده و چه کسی پشت تخلیه حساب رمزنگاری شده آنها است.