هشدارهای افتایی
مجرمان سایبری با استفاده از فضای ایجاد شده بدلیل کاهش تعداد رقبا، از تکنیک Process Hollowing برای پنهان کردن وجود بدافزار کاوش‌گر رمزارز در سیستم آلوده استفاده می‌کنند.
به‌گزارش معاونت بررسی مرکز افتا، پژوهشگران امنیتی Trend Micro  تایید کرده‌اند که مجرمان چندین کشور را هدف قرار داده‌اند. 
آنان ردی برای شناسایی و تحلیل فعالیت مخرب باقی نمی‌گذارند و  فایل منتقل شده آنان به سیستم های قربانیان با دور زدن اسکن‌های بدافزاری، به عنوان بدافزار درنظر گرفته نمی‌شود.
پژوهشگران امنیتی یادآوری کرده‌اند: تکنیک استفاده شده در این کارزار بسادگی قابل پیاده‌سازی است و سایر مجرمین سایبری نیز می‌توانند از آن بهره‌برداری کنند. 
کاوش رمزارز به طور پنهانی، در پس زمینه انجام شده و نتیجه آن به کیف پول الکترونیکی تحت کنترل مهاجم ارسال می‌شود.
فایل منتقل شده در این عملیات هم به عنوان منتقل‌کننده بدافزار و هم بسته بدافزاری عمل می‌کند اما به خودی خود مخرب نیست. این فایل حاوی فایل اجرایی اصلی و نرم‌افزار کاوش رمزارز است. 
فایل مذکور  که از تکنیک Process Hollowing بهره می‌برد، فرایند اجرایی اصلی را غیرفعال نشان می‌دهد تا کنترل‌های حفاظتی را دور بزند.
منتقل‌کننده بدافزار یک فایل باینری ۶۴ بیتی است که به خودی خود کاربردی ندارد و هیچ هدف مخربی را دنبال نمی‌کند. برای فعال شدن فعالیت مخرب آن، این منتقل‌کننده نیاز به مجموعه بخصوصی از آرگومان‌های خط فرمان  (command line) دارد، این کار باعث می‌شود تا ردی برای شناسایی و تحلیل فعالیت مخرب باقی نماند و فایل منتقل شده به عنوان بدافزار درنظر گرفته نشود.
به منظور دور زدن اسکن‌های بدافزاری، کد مخرب در یک دایرکتوری بدون هیچ پسوندی پنهان می‌شود. مهاجم می‌تواند با استفاده از آرگومان‌های خاص، بدافزار را فعال کند و منجر به آن شود که این بدافزار از طریق یک "فرآیند فرزند" که در حالت تعلیق قرار گرفته است، بسته شده و یک کاوش‌گر رمزارز XMRig Monero به سیستم تزریق شود.
کارشناسان امنیت سایبری می‌گویند: سازمان‌ها باید سیستم‌های حفاظتی چندلایه‌ای را بکار برند تا اطمینان حاصل شود که این نوع تهدیدات باعث به خطر افتادن منابع و دارایی آن‌ها نمی‌شود.
پایگاه اینترنتی ZDNet  نوشته است: فعالیت‌های مخرب مجرمان سایبری در اوایل ماه نوامبر ( اواسط آبان‌ماه)  افزایش یافته که با انتقال یک بدافزار کاوش‌گر رمزارز، سیستم‌های قربانیان  را آلوده کرده‌اند.
به گفته پژوهشگران Trend Micro، در حالی که تعداد روش‌های جدید برای کاوش رمزارز مخرب افزایش یافته، اما به طور کلی شناسایی فعالیت‌های کاوش رمزارز مخرب در سال جاری کاهش یافته است. 

نشانه‌های آلودگی (IoC):
هش:
•    dd775ba66d6921035cc0cda61a6abff8f118a04a31eea082523157b48add4821
•    04b495ee51e370fc93f431553bfdb592f678543c432137016d9ba4c64901a92a
آدرس اینترنتی:
•    39[.]99[.]146[.]107:47905
•    37[.]187[.]154[.]37:4466
منابع:

 
امتیاز دهی
 
 

  • ارسال به دوستان
نام ارسال کننده :  
ایمیل ارسال کننده:
نام دریافت کننده :
ایمیل دریافت کننده :  
موضوع ایمیل :
کد تصویری :
 
 
امتیاز دهی
 
 


آدرس:
تهران، خیابان استاد شهید مطهری، خیابان میرزای شیرازی، کوچه شهدا، پلاک یک، مرکز مدیریت راهبردی افتا


ایمیل:
info@afta.gov.ir

.