هشدارهای افتایی
یک پژوهشگر امنیتی روش جدیدی را کشف کرده است که در صورت استفاده از آن توسط مهاجمان، بدافزار می‌تواند پس از راه اندازی مجدد در سیستم آلوده باقی بماند. روش‌های مختلفی وجود دارد که نویسنده بدافزار می‌تواند به کمک آنها پایداری بدافزار را پس از راه اندازی مجدد سیستم حفظ کند، از جمله ویرایش بخش‌های راه‌اندازی، ربودن سیستم COM ویندوز یا سرقت فایل‌های میان‌بر و DLL. این در حالی است که محبوب‌ترین روش، استفاده از رجیستری ویندوز برای افزودن کلیدهای رجیستری است تا فرایند پردازشی بدافزار در هنگام راه اندازی سیستم فراخوانی شود.
یک کارشناس امنیتی نروژی با نام Oddvar Moe، روش جدیدی را کشف کرده است که در صورت بهره‌برداری مهاجمان از این روش امکان پایداری بدافزار پس از راه اندازی سیستم فراهم می‌شود. گفتنی است که در این روش از رجیستری ویندوز سوء استفاده می‌شود و از این طریق ویندوز را وادار به اجرای فرایند بدافزار پس از راه اندازی سیستم می‌کند. روش ارایه شده توسط Moe تنها روی ویندوز 10 و تنها با برنامه‌هایی که برای (Universal Windows Platform (UWP توسعه داده شده باشند کار می‌کند. پلت‌فرم  Universal یک سیستم runtime است که مایکروسافت آنرا در سال 2015 منتشر کرد. بنابراین این تکنیک زمانی مفید است که از برنامه‌های UWP که ویندوز 10 پس از راه اندازی بطور خودکار اجرا می‌کند، مانند برنامه‌های Cortana و People، استفاده شود. در این روش بدافزار پس از آلوده کردن سیستم یک کلید رجیستری اضافه می‌کند که تنظیمات راه اندازی برنامه‌های UWP را ویرایش می‌کند. در هنگام راه اندازی مجدد، کلید رجیستری جدید برنامه UWP را در حالت دیباگ قرار می‌دهد و یک برنامه دیباگ‌کننده را اجرا می‌کند تا به کاربر یا توسعه‌دهنده کمک کند تا مشکلات برنامه UWP را برطرف کند. این پژوهشگر می‌گوید این برنامه دیباگ‌کننده می‌تواند هر برنامه دلخواهی، از جمله یک فرایند پردازشی بدافزار باشد.
از مزایای این روش این است که برنامه People یا Cortana ربوده شده در لیست برنامه‌های Autorun ویندوز 10 نمایش داده نمی‌شوند و بدافزار از دید مدیر سیستم مخفی می‌ماند. مزیت دیگر این روش عدم نیاز به دسترسی مدیریت برای اضافه کردن کلیدهای رجیستری است. مهاجم تنها کافیست کاربر را با روشی مانند مهندسی اجتماعی آلوده کند.
بسته به پیچیدگی و ویژگی‌های نرم‌افزارهای امنیتی، این روش قابل شناسایی است. اما بسته به بدنه بدافزار، ممکن است توسط آنتی‌ویروس شناسایی نشود.

منبع:

 

 
امتیاز دهی
 
 

  • ارسال به دوستان
نام ارسال کننده :  
ایمیل ارسال کننده:
نام دریافت کننده :
ایمیل دریافت کننده :  
موضوع ایمیل :
کد تصویری :
 
 
امتیاز دهی
 
 


آدرس:
تهران، خیابان استاد شهید مطهری، خیابان میرزای شیرازی، کوچه شهدا، پلاک یک، مرکز مدیریت راهبردی افتا


ایمیل:
info@afta.gov.ir

.