دیسنا - وب سایت خبری و آموزشی شرکتها و محصولات آنتی ویروس
یک هکر کلاه سفید در پی هک بات نت Dridex اقدام به جابه‌جایی بدافزاری با یک آنتی ویروس کرد.
به گزارش دیسنا ( اولین خبرنامه تخصصی آنتی ویروس ها )، تروجان بانکی Dridex که مجرمان سایبری از آن برای توزیع گسترده بدافزار در سیستم‌های کاربران استفاده می‌کنند، اخیراً اقدام به توزیع نرم‌افزار امنیتی کرده است. قسمتی از بات نت تروجان Dridex احتمالاً از سوی یک هکر کلاه سفید ناشناس هک و یا دچار اختلال شده است، چون لینک‌های مخرب در این بات نت جای خود را به نصب‌کننده‌های Antivirus شرکت Avira داده‌اند .
بدافزار Dridexکه به نام‌های Bugat و Cridex هم شناخته می‌شود، از سوی مجرمان سایبری اروپای شرقی با هدف سرقت اطلاعات آنلاین بانکی ساخته شده است. با وجود آنکه در اواخر سال ۲۰۱۵ تلاش شد طی یک عملیات پرسروصدا بات نت این بدافزار پایین کشیده شود، اما این طور که پیدا است همچنان این بات نت در حال فعالیت است.
ویروس Dridex نوعاً از طریق هرزنامه‌ها یا ایمیل‌های حاوی پیوست‌های مخرب که اکثر اوقات فایل Microsoft Office یا سند Word حاوی ماکروهای مخرب هستند اقدام به توزیع خود می‌کنند.
به‌محض کلیک شدن فایل مخرب، ماکروها payload اصلی ویروس که همان برنامه تروجان است را از سرور تصاحب شده‌ای که بر روی رایانه قربانی نصب و اجرا شده است، دانلود و نصب می‌کنند. سپس برنامه تروجان Dridex یک keylogger را بر روی ماشین آلوده شده ایجاد و با کمک روش‌های transparent redirects و web-injects شروع به دستکاریوب سایت‌های بانکی می‌کند. درنهایت با این اقدام نه‌تنها موفق به سرقت داده‌های شخصی قربانی مثل نام‌های کاربری و گذرواژه‌های وی می‌شود بلکه به هدف نهایی خود که همانا خالی کردن حساب بانکی است نیز دست می‌یابد.
به‌جای توزیع تروجان بانکی، قسمتی از بات نت Dridex در حال پخش کپی‌های قانونی از نرم افزار رایگان آنتی ویروس شرکت Avira است.
به گفته Moritz Kroll، متخصص بدافزار این شرکت، محتوای پشت لینک دانلود بدافزار جایگزین شده است. این لینک در حال حاضر بجای فراهم کردن loader معمول Dridex اقدام به عرضه ی یک نصب‌کننده وبی روز آمده شده Avira کرده است.
به باور Avira ، هکر یا هکرهای کلاه سفید با استفاده از همان آسیب پذیری‌هایی که برنامه‌نویسان بدافزار از آنها استفاده می‌کنند، قسمتی از سرورهای وبی آلوده شده را هک و سپس کد مخرب را با نصب کننده Avira جایگزین کرده‌اند. در این شرایط، چنان‌چه کاربر به این بدافزار آلوده شود، به‌جای دریافت بدفزار Dridex ، کپی معتبر و امضا شده‌ای از نرم افزار آنتی ویروس Avira را دریافت خواهد کرد.
Kroll درباره علت و انگیزه انجام این کار گفت: علی رغم داشتن یکسری نظریه و فرضیه‌های احتمالی، هنوز دقیقاً نمی‌دانیم که چه کسی و به چه دلیل این کار را با نصب‌کننده‌های ما انجام داده است. مسلماً این اقدام از سوی شرکت ما صورت نگرفته است.
وی ادامه داد: اگرچه انگیزه‌های این اقدام هنوز برای خود ما هم نامشخص است، اما باید گفت که در بسیاری کشورها این دست اقدامات غیر قانونی محسوب می‌شوند.
با به‌کار بستن دستورالعمل‌های زیر می‌توان از آسیب بات نت تروجان بانکی Dridex در امان بود.
• مطمئن شوید که برنامه روزآمد شده آنتی ویروس در حال اجرا بر روی رایانه شخصی‌تان است. این برنامه باید بتواند پیوست‌های مخرب را پیش از باز شدن رهگیری کند.
• یکی از بهترین و موثرترین اقداماتی که می توانید برای امن نگه داشتن محیط آنلاین‌تان انجام دهید، اجرای یک سیستم شناسایی نفوذ در لایه شبکه است. این سیستم به‌خصوص زمانی که با real-time threat intelligence و راه‌حل SIEM مثل USM ادغام می‌شود، می‌تواند به‌سرعت بدافزار و دیگر تهدیدات موجود در شبکه را کشف کند.
• مراقب بازکردن پیوست‌های ایمیلی که از آدرس‌های ناشناس ارسال شده‌اند باشید. به‌خصوص فایل‌های Excel و Microsoft Word
• ماکروها را در Microsoft Word غیرفعال سازید و یا حداقل آنها را به نحوی تنظیم کنید که قبل از اجرا شدن درخواست مجوز کنند.
http://disna.ir/post/5652