درک بهتر حمله سایبری جهانی با PetrWraper یا NotPetya یا NyietPetya یا GoldenEye

ساخت وبلاگ

آخرین مطالب

امکانات وب

درک بهتر حمله سایبری جهانی با PetrWraper یا NotPetya یا NyietPetya یا GoldenEye

حمله سایبری وسیع جهانی با باج افزار PetrWraper که شرکتهائی در سراسر جهان را الوده کرده توسط محققین در امنیت انفورماتیک انالیز شده و از قسمت اعظم این ملویر اطلاعاتی که در زیر امده اند حاصل شده است.

در 27 ژوئن موجی از حملات با باج افزار جدیدی ده ها هزار رایانه را در 65 کشور الوده کرد که در این میان اوکراین و روسیه بیش از همه الوده شده اند.

کسپرسکی میگوید که این بدافزار جدید که انرا PetrWraper نامیده تمام داده های موجود روی رایانه را با الگوریتمهای AES 128 و RSA 2048 رمز گذاری میکند و سپس MBR (Master Boot Record) را تغییر میدهد و رایانه را ریستارت میکند و رایانه کاملا مسدود میگردد. سپس پیام درخواست باجی نقدی به مبلغی معادل 300 دلار را نمایش میدهد.


نام این باج افزار جدید چیست ؟

به این باج افزار جدید نامهای بسیاری داده شده و چون بعضی قسمتهای کد ان از یک باج افزار قدیمی و شناخته شده به نام Petya گرفته شده است بعضی محققین انرا "PetrWraper" و برخی دیگر به سادگی Petya نامیده اند. اما عده ای از محققین نیز معتقدند که این ملویر بیش از ان متفاوت از "Petya" است که بخواهد به ان وابسته و یا به همان نام نامیده شود و با همین منطق انرا "NotPetya" و یا "NyietPetya" نامیده اند. از طرفی دیگر دسته ای نیز نام "GoldenEye" را برای ان برگزیده اند.

در ادامه این مقاله این باج افزار را به نام "NotPetya" که تلفظ ان اسانتر از "PetrWraper" بوده و نشان میدهد که متفاوت از باج افزار Petya میباشد برگزیده ایم.


چگونه NotPetya قرابانیان خود را الوده میسازد ؟

این باج افزار همانند WannaCry بخصوص شرکتها و سازمان را هدف میگیرد اما برعکس WannaCry اما بصورت وحشی از طریق اینترنت انتشار نمیابد.

مایکروسفت میگوید که اولین الودگی در اوکراین بوده و عاملین ان از بروز رسانی نرم افزار حسابداری MEDoc برای رخنه کد مخرب در شبکه یک شرکت محلی استفاده کرده اند.

کسپرسکی عامل الودگی دیگری کشف کرده است که سایت شهر Bakhmut در اوکراین در منطقه Donetsk میباشد. عاملین این باج افزار صفحه استقبال را به صورتی که پنهانی یک فایل اجرائی بروز رسانی ویندوز را دانلود کنند تییر داده اند. احتمال دارد که این مجرمین سایبری از عوامل دیگری چون ارسال ایمیل نیز استفاده کرده باشند اما برای تائید این موضوع هنوز کمی زود است.


NotPetya چگونه در شبکه های انفورماتیک انتشار میابد ؟

این باج افزار پس از اینکه به رایانه ای از شبکه شرکت نفوذ یافت, تلاش میکند تا از طریق شبکه داخلی شرکت سایر رایانه ها را به دام انداخته و یا الوده کند. برای اینکار این باج افزار چند تیر در کمان دارد. ابزار هک ربوده شده از سازمان امنیت ملی امریکا که توسط گروه ShadowBrokers انتشار یافته اند چون EternalBlue و EternalRomance در ان ادغام شده اند که هر دوی اینها امکان کنترل دستگاهی را از طریق پروتکل SBMv1 و اسیب پذیریهائی که از چند ماه پیش شناسائی و حتی اصلاح شده بودند استفاده میکنند.

اگر پروتکل SMB نتیجه ای ندهد, NotPetya رمز عبور ادمینیستراتور روی دستگاه را جستجو کرده و یا در غیر اینصورت سعی مینماید تا توسط پورت TCP 139 و 445 به ترمینالهای دیگر کانکت شود. اگر یک سرور و یا حتی بهتر, یک کنترولر دامین را بیابد روی ان یک فایل اجرائی که از راه دور با ابزار مدیریت از راه دور مایکروسفت یعنی PSEXEC و WMIC فعال میگردد را قرار میدهد. مزیت این روش این است که مجرمین سایبری میتوانند ولو دستگاه ها بروز رسانمیهای امنیتی را داشته باشند انها را الوده سازند.

اگر شبکه شرکت به شبکه سایر شرکتهای همکار کانکت باشد, هیچ چیز مانع این مخربین سایبری برای الوده کردن سایر سازمانها و شرکتها از این طریق نخواهد بود.


ایا پس از پرداخت مبلغ باج میتوان به داده های خود دست یافت ؟

خیر. مراحل برداشتن رمزنگاری از زمانیکه میزبان المانی Posteo تنها ادرس ایمیلی که قربانیان باید برای تائید پرداخت باج استفاده میکردند را غیر فعال کرده, این مخربین حتی اگر بخواهند نمیتوانند پرداخت کننده را شناسائی و در نتیجه کلید رمز را برایش ارسال کنند.

از طرفی Matt Suiche, محقق در امنیت, معتقد است که پیام درخواست باج فقط دامی برای تغذیه مدیا و هدف اصلی ان حمله و خرابکاری است. او بر اساس انالیزهایش میگوید که داده های MBR در هیج کجا ذخیره نشده و فقط با چیزی دیگر جایگزین میگردند و در هر حال دیسک غیر قابل بازیابی خواهد بود. این باج افزار برای اینکه یک wiper (ابزاری برای پاکسازی یا انهدام دائم) باشد ساخته شده و نه یک باج افزار.


چگونه میتوان دستگاه یا شبکه خود را محافظت کرد ؟

اکنون اکثر انتی ویروسها این باج افزار را شناسائی میکنند. برای احتراز از انتشار ان باید که ادمینیستراتوهای شبکه ترافیک SMBv1 و ابزار مدیریت PSEXEC et WMIC را غیر فعال سازند.


واکسنی برای پیشگیری از الودگی با NotPetya

Amit Serper, محقق در امیت انفورماتیک, واکسنی برای این باج افزار یافته است. NotPetya قبل از رمزنگاری داده ها حضور فایل "perfc" را جستجو میکند و اگر موجود باشد به عملیات نحس خود خاتمه میدهد. در نتیجه کافی است که یک فایل دروغین به این نام ساخته شود تا مانع الودگی با این باج افزار گردد.

این مقاله زرو ان نت انحصارا برای ترفندستان ترجمه شده و کلیه حقوق مادی و معنوی ان مربوط و متعلق به وب سایت ترفندستان است. کپی این مقاله فقط با قید نام ترفندستان مجاز است.
تصاوير پيوست شده
ترفدهای جدید ایرانی در تکنولوژی...
ما را در سایت ترفدهای جدید ایرانی در تکنولوژی دنبال می کنید

برچسب : نویسنده : ایمان اصلاحی torfand بازدید : 183 تاريخ : پنجشنبه 8 تير 1396 ساعت: 17:00

آرشیو مطالب

پيوندهای روزانه

لینک دوستان

خبرنامه