[[{"content_id":437775,"content_number":0,"portal_id":184,"lang_id":"fa","content_title":"باج‌افزار Bucbi از طریق حملات جستجوی فراگیر","content_rtitr":"","content_short_title":null,"content_summary":"","content_summary_fill":0,"content_body":"محققان شرکت Palo Alto می‌گویند که باج‌افزار Bucbi تهدیدی که در اوایل سال ۲۰۱۴ کشف‌شده بود.\r\n\r\n\r\n\r\n\r\n\r\n\r\n\r\n\r\n\r\n\r\n\r\nبه گزارش واحد متخصصین سایبربان؛ یک به‎روزرسانی قابل‌توجه دریافت کرده است و اکنون از حملات جستجوی فراگیر RDP به‌عنوان مکانیسم گسترش خود استفاده می‌کند. \r\n\r\nاین بدافزار معمولاً از طریق یک بارگیری HTTP توسعه می‌یابد (با استفاده از یک کیت بهره‌بردار یا رایانامه فیشینگ) که به‌تازگی از طریق روش جستجوی فراگیر RDB  با تکیه‌بر کارگزار‌های ویندوز متصل به اینترنت (پروتکل دسکتاپ از راه دور) گسترش پیدا می‌کند. همچنین محققان می‌گویند که این باج‌افزار تغییریافته است و دیگر به اتصال اینترنت نیازی ندارد. محققان در اواخر ماه مارس به این نکته اشاره‌کرده‌اند که این حملات از طریق پنج آدرس IP انجام می‌شود و نویسندگان این بدافزار از مجموعه‌ای نام‌های کاربری عمومی در تلاش برای ورود به سامانه‌ها استفاده می‌کنند که ازجمله‌ی آن‌ها نام‌های کاربری خاص پایانه‌های فروش (PoS) است؛ بنابراین شرکت پالو آلتو می‌گوید که مهاجمان به دنبال دستگاه‌های PoS بودند اما پس‌ازاینکه متوجه شدند که دستگاه‌های آلوده تراکنش‌های مالی را پردازش نمی‌کنند، تاکتیک خود را تغییر دادند. \r\n\r\nپس‌ازاینکه یک دستگاه خاص با موفقیت به خطر افتاد، مهاجمان یک پرونده اجرایی را قرار می‌دهند که محققان دریافته‌اند یک ابزار جستجوی فراگیر RDPبه نام «RDP brute» است (با کد z668) و این ابزار برای دسترسی به دستگاه قربانی استفاده می‌شود. \r\n\r\nدر اوایل ماه آوریل، محققان تصادفاً یک نمونه پیدا کردند که دارای دو خط فرمان (CLI) بود \/install و \/uninstall. هنگامی‌که اولی ارائه می‌شد، بدافزار ابزار «FileService» را ایجاد می‌کرد و هنگامی‌که مؤلفه دوم اجرا می‌شد، آن را حذف می‌کرد. اگر هیچ شناسه‌ای ارائه نشود، این بدافزار به‌صورت خودکار سعی می‌کند که FileService را راه‌اندازی کند، چراکه تصور می‌کند این ابزار وجود دارد. \r\n\r\nدرحالی‌که این سرویس اجراشده است، این بدافزار تعدادی از دستورات اشکال‌زدایی را ایجاد کرده و آن‎ها را در سابقه پوشه پرونده  %ALLUSERSPROFILE% ذخیره می‌کند. این باج‌افزار از یک رمزنگاری بلوک GOST برای ایجاد نام پرونده منحصربه‎فرد استفاده می‌کند و این تکنیکی است که مخصوص بوکبی است و شامل ایجاد دو پرونده کلیدی می‌شود. \r\n\r\nاین باج‌افزار همه‌ی پرونده‌ها را در درایوهای دستگاه رمزنگاری می‌کند به‌جز آن‎هایی که در پوشه‌های زیر قرار دارند:\r\n\r\nC:\\WINDOWS\r\n\r\nC:\\Windows\r\n\r\nC:\\Program Files\r\n\r\nC:\\Program Files (x86) \r\n\r\nهمچنین این بدافزار یک فرایند را نیز برای رمزنگاری منابع شبکه تولید می‌کند و WNetOpenEnum را فراخوانی می‌کند تا منابع دیسک‌های شبکه در دسترس باشند. \r\n\r\nبرخلاف سایر خانواده‌های باج‌افزارهای مرسوم، بوکبی یک پسوند خاص به فایل‌هایی که رمزنگاری‌شده، اضافه نمی‌کند. این بدان معناست که بعد از رمزنگاری، پرونده‌ها دوباره نوشته می‌شوند و با همان اسامی که قبلاً وجود داشته‌اند قرار می‌گیرند. پرونده‎های کلیدی که از قبل ایجادشده‌اند، حذف نمی‌شوند. \r\n\r\nهمچنین محققان مشاهده کرده‌اند که این بدافزار شامل یک‌روال رمزگشایی است که می‌تواند با تغییر یک باینری ساده پرونده‎ها را رمزگشایی کند، اگرچه هرگز بدافزار این روال را فراخوانی نمی‌کند. محققان می‌گویند که این روال می‌تواند برای قربانیان استفاده شود تا بدون پرداخت باج پرونده‎های خود را بازیابی کنند. \r\n\r\nویژگی‌های این نمونه باج‌افزار جدیداً کشف‌شده، شبیه به نسخه‌های قدیم است و شامل وجود نام پرونده اصلی FileCrypt در هر دو آن‎ها و استفاده از تابع رمزگشایی بلوک GOST است. علاوه بر این، همه نمونه‌ها از پرونده‎های کلیدی فوق استفاده می‌کنند و سبک‌های کد نویسی میان نمونه‌ها نیز با همدیگر سازگاری دارد. \r\n\r\nتفاوت‌های میان نسخه‌های قدیمی بوکبی که در سال ۲۰۱۴ ظاهرشده و نمونه جدید، شامل روش نصب آن، در کنار نشانه خطر فرمان \/install و \/uninstallمی‌شود. تابع رمزنگاری منابع شبکه نیز در این میان جدید است و همین‌طور فقدان یک مرکز C&C HTTP در نسخه‌های جدیدتر، تازگی دارد. \r\n\r\nهمچنین محققان اشاره‌کرده‌اند که این باج‌افزار روی دستگاه‌های آلوده یادداشتی با عنوان «حزب راست اوکراین» می‌نویسد که یک حزب سیاسی ملی‌گرا با عملکردهای شبه‌نظامی است و ظاهراً صاحب این بدافزار است. بااین‌حال روس‌ها در حملات اخیر متوجه شده‌اند که دقیقه نمی‌توان مطمئن بود که ادعای «حزب راست اوکراین» دقیق و صحیح است. \r\n\r\nفقط در هفته گذشته محققان مرکز Fox-IT جزییات حمله‌ای را افشاء کردند که در آن مجرمان سایبری باج‌افزار را از یک کارگزار آلوده‌شده‌ی راه دور دسکتاپ فعال کرده‌اند. \r\n\r\n\r\n\r\n\r\n\r\n\r\n\r\nمنبع: \r\n\r\n\r\nnews.asis.io","content_html":"

محققان شرکت Palo Alto می‌گویند که باج‌افزار Bucbi تهدیدی که در اوایل سال ۲۰۱۴ کشف‌شده بود.<\/h1>\n\n
\n
\n
\"\"<\/div>\n<\/div>\n<\/div>\n\n
\n
\n
\n
\n

به گزارش واحد متخصصین سایبربان؛ یک به‎<\/span>روزرسانی قابل‌توجه دریافت کرده است و اکنون از حملات جستجوی فراگیر RDP<\/span> به‌عنوان مکانیسم گسترش خود استفاده می‌کند. <\/p>\n\n

این بدافزار معمولاً از طریق یک بارگیری HTTP<\/span> توسعه می‌یابد (با استفاده از یک کیت بهره‌بردار یا رایانامه فیشینگ) که به‌تازگی از طریق روش جستجوی فراگیر RDB<\/span>  با تکیه‌بر کارگزار‌های ویندوز متصل به اینترنت (پروتکل دسکتاپ از راه دور) گسترش پیدا می‌کند. همچنین محققان می‌گویند که این باج‌افزار تغییریافته است و دیگر به اتصال اینترنت نیازی ندارد. محققان در اواخر ماه مارس به این نکته اشاره‌کرده‌اند که این حملات از طریق پنج آدرس IP<\/span> انجام می‌شود و نویسندگان این بدافزار از مجموعه‌ای نام‌های کاربری عمومی در تلاش برای ورود به سامانه‌ها استفاده می‌کنند که ازجمله‌ی آن‌ها نام‌های کاربری خاص پایانه‌های فروش (PoS<\/span>) است؛ بنابراین شرکت پالو آلتو می‌گوید که مهاجمان به دنبال دستگاه‌های PoS<\/span> بودند اما پس‌ازاینکه متوجه شدند که دستگاه‌های آلوده تراکنش‌های مالی را پردازش نمی‌کنند، تاکتیک خود را تغییر دادند. <\/p>\n\n

پس‌ازاینکه یک دستگاه خاص با موفقیت به خطر افتاد، مهاجمان یک پرونده اجرایی را قرار می‌دهند که محققان دریافته‌اند یک ابزار جستجوی فراگیر RDP<\/span>به نام «RDP brute<\/span>» است (با کد z<\/span>668<\/span>) و این ابزار برای دسترسی به دستگاه قربانی استفاده می‌شود. <\/p>\n\n

در اوایل ماه آوریل، محققان تصادفاً یک نمونه پیدا کردند که دارای دو خط فرمان (CLI<\/span>) بود \/install<\/span> و \/uninstall<\/span>. هنگامی‌که اولی ارائه می‌شد، بدافزار ابزار «FileService<\/span>» را ایجاد می‌کرد و هنگامی‌که مؤلفه دوم اجرا می‌شد، آن را حذف می‌کرد. اگر هیچ شناسه‌ای ارائه نشود، این بدافزار به‌صورت خودکار سعی می‌کند که FileService<\/span> را راه‌اندازی کند، چراکه تصور می‌کند این ابزار وجود دارد. <\/p>\n\n

درحالی‌که این سرویس اجراشده است، این بدافزار تعدادی از دستورات اشکال‌زدایی را ایجاد کرده و آن‎<\/span>ها را در سابقه پوشه پرونده  %ALLUSERSPROFILE<\/span>% ذخیره می‌کند. این باج‌افزار از یک رمزنگاری بلوک GOST<\/span> برای ایجاد نام پرونده منحصربه‎<\/span>فرد استفاده می‌کند و این تکنیکی است که مخصوص بوکبی است و شامل ایجاد دو پرونده کلیدی می‌شود. <\/p>\n\n

این باج‌افزار همه‌ی پرونده‌ها را در درایوهای دستگاه رمزنگاری می‌کند به‌جز آن‎<\/span>هایی که در پوشه‌های زیر قرار دارند:<\/p>\n\n

C:\\WINDOWS<\/span><\/p>\n\n

C:\\Windows<\/span><\/p>\n\n

C:\\Program Files<\/span><\/p>\n\n

C:\\Program Files (x<\/span>86<\/span>) <\/span><\/p>\n\n

همچنین این بدافزار یک فرایند را نیز برای رمزنگاری منابع شبکه تولید می‌کند و WNetOpenEnum<\/span> را فراخوانی می‌کند تا منابع دیسک‌های شبکه در دسترس باشند. <\/p>\n\n

برخلاف سایر خانواده‌های باج‌افزارهای مرسوم، بوکبی یک پسوند خاص به فایل‌هایی که رمزنگاری‌شده، اضافه نمی‌کند. این بدان معناست که بعد از رمزنگاری، پرونده‌ها دوباره نوشته می‌شوند و با همان اسامی که قبلاً وجود داشته‌اند قرار می‌گیرند. پرونده‎<\/span>های کلیدی که از قبل ایجادشده‌اند، حذف نمی‌شوند. <\/p>\n\n

همچنین محققان مشاهده کرده‌اند که این بدافزار شامل یک‌روال رمزگشایی است که می‌تواند با تغییر یک باینری ساده پرونده‎<\/span>ها را رمزگشایی کند، اگرچه هرگز بدافزار این روال را فراخوانی نمی‌کند. محققان می‌گویند که این روال می‌تواند برای قربانیان استفاده شود تا بدون پرداخت باج پرونده‎<\/span>های خود را بازیابی کنند. <\/p>\n\n

ویژگی‌های این نمونه باج‌افزار جدیداً کشف‌شده، شبیه به نسخه‌های قدیم است و شامل وجود نام پرونده اصلی <\/span>FileCrypt در هر دو آن<\/span>‎ها و استفاده از تابع رمزگشایی بلوک <\/span>GOST است. علاوه بر این، همه نمونه‌ها از پرونده<\/span>‎های کلیدی فوق استفاده می‌کنند و سبک‌های کد نویسی میان نمونه‌ها نیز با همدیگر سازگاری دارد.<\/span> <\/p>\n\n

تفاوت‌های میان نسخه‌های قدیمی بوکبی که در سال ۲۰۱۴ ظاهرشده و نمونه جدید، شامل روش نصب آن، در کنار نشانه خطر فرمان \/install<\/span> و \/uninstall<\/span>می‌شود. تابع رمزنگاری منابع شبکه نیز در این میان جدید است و همین‌طور فقدان یک مرکز C<\/span>&C HTTP<\/span> در نسخه‌های جدیدتر، تازگی دارد. <\/p>\n\n

همچنین محققان اشاره‌کرده‌اند که این باج‌افزار روی دستگاه‌های آلوده یادداشتی با عنوان «حزب راست اوکراین» می‌نویسد که یک حزب سیاسی ملی‌گرا با عملکردهای شبه‌نظامی است و ظاهراً صاحب این بدافزار است. بااین‌حال روس‌ها در حملات اخیر متوجه شده‌اند که دقیقه نمی‌توان مطمئن بود که ادعای «حزب راست اوکراین» دقیق و صحیح است. <\/p>\n\n

فقط در هفته گذشته محققان مرکز Fox-IT<\/span> جزییات حمله‌ای را افشاء کردند که در آن مجرمان سایبری باج‌افزار را از یک کارگزار آلوده‌شده‌ی راه دور دسکتاپ فعال کرده‌اند. <\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n

\n
\n
منبع: <\/div>\n\n
\n
news.asis.io<\/div>\n<\/div>\n<\/div>\n<\/div>","content_source":"","content_url":"","content_date_start":"2016-05-23 09:52:54","content_date_event":"2016-05-23 09:52:54","content_date_event_start":null,"content_date_event_end":null,"content_show_title_slider":1,"content_date_last_edit":"2016-05-23 09:53:44","content_date_register":"2016-05-23 09:53:44","content_columns":0,"content_show_img":1,"content_show_details":0,"content_show_related_img":0,"content_show_slider":1,"content_comment":1,"content_score":0,"tag_id":0,"score_average":null,"score_count":null,"score_date_last":null,"uid":15356,"eid":0,"attach_title":null,"attaches":[{"sizes":{"150":".\/cache\/184\/attach\/201605\/41036_3913971750_150_104.webp","300":".\/cache\/184\/attach\/201605\/41036_3913971750_260_180.webp","400":".\/cache\/184\/attach\/201605\/41036_3913971750_260_180.webp","600":".\/cache\/184\/attach\/201605\/41036_3913971750_260_180.webp","900":".\/cache\/184\/attach\/201605\/41036_3913971750_260_180.webp","1200":".\/cache\/184\/attach\/201605\/41036_3913971750_260_180.webp"},"ext":"jpg","file_media":1,"token":3913971750,"files":{"original":{"url":".\/file\/184\/attach\/201605\/41036_3913971750.jpg","width":260,"height":180,"size":0}}}]}]]