هشدارهای افتایی
باج‌افزار Sodinokibi با بهره‌برداری از یک آسیب‌پذیری در مولفه Win32k در نسخه‌های مختلف ویندوز، در حال افزایش سطح دسترسی خود است. این باج‌افزار اولین بار در ماه آوریل، زمانی که سوء استفاده از یک آسیب‌پذیری بحرانی در Oracle WebLogic را آغاز کرد، شناسایی شد.
به گزارش معاونت بررسی مرکز افتا، به نقل از پایگاه اینترنتی BleepingComputer، باج‌افزار Sodinokibi (همچنین شناخته شده با نام REvil) از آسیب‌پذیری CVE-2018-8453 بهره‌برداری می‌کند. این آسیب‌پذیری توسط مایکروسافت در ماه اکتبر سال 2018 رفع شد.
بر اساس تحلیل انجام شده توسط پژوهشگران، در کد بدافزار یک بخش پیکربندی به صورت رمز شده وجود دارد که حاوی اطلاعات و تنظیمات مورد نیاز برای فعالیت بدافزار است. به طور جزئی‌تر، کد پیکربندی حاوی فیلدهایی برای کلید عمومی، شناسه‌های حمله و توزیع‌کننده باج‌افزار، پسوندهایی که نباید رمزگذاری شوند، نام فرایندهای پردازشی که باید متوقف شوند، آدرس سرورهای فرمان و کنترل، قالب متن باج‌خواهی و گزینه‌های دیگری است که استفاده از یک اکسپلویت را برای افزایش سطح دسترسی٬ فعال می‌کند.
نمونه بدافزار تحلیل شده توسط پژوهشگران کسپرسکی از یک فرایند ترکیبی برای رمزگذاری داده‌ها استفاده می‌کند. پژوهشگران متوجه شدند که باج‌افزار کلید عمومی و کلید خصوصی را در رجیستری ذخیره می‌کند. پس از رمزگذاری فایل‌ها، باج‌افزار به ازای هر سیستم قربانی یک پسوند تصادفی قرار می‌دهد. قربانی باید کلید و پسوند فایل‌های رمز شده را در سایت مهاجم وارد کند تا میزان مبلغ باج را مشاهده کند. این باج‌افزار سیستم‌های مختلفی را در سراسر جهان آلوده کرده است.

نشانه‌های آلودگی (IoC):
•    1ce1ca85bff4517a1ef7e8f9a7c22b16

منابع:

 
امتیاز دهی
 
 

  • ارسال به دوستان
نام ارسال کننده :  
ایمیل ارسال کننده:
نام دریافت کننده :
ایمیل دریافت کننده :  
موضوع ایمیل :
کد تصویری :
 
 
امتیاز دهی
 
 


آدرس:
تهران، خیابان استاد شهید مطهری، خیابان میرزای شیرازی، کوچه شهدا، پلاک یک، مرکز مدیریت راهبردی افتا


ایمیل:
info@afta.gov.ir

.