پنهان كردن دستور خرابكار در قالب فايل تصويری

شماره: IRCNE200910417
محققان حوزه امنيت يك botnet جديد كشف كرده اند كه با استفاده از يك تكنيك جالب، سعي مي­كند اهداف شوم خود را پنهان نمايد. بر اساس گفته هاي يك محقق امنيتي شركت SecureWorks، اين Botnet كه Monkif/DIKhora نام دارد، دانلود كننده هاي تروجان را به سيستم آلوده وارد كرده، و دستورات خود را طوري رمز مي­كند كه به نظر برسد سرور دستور و كنترل، در حال باز گرداندن يك فايل تصوير JPEG است.
وي اظهار داشت كه اين سرور، هدر HTTP را در قسمت نوع محتوا به «image/jpeg» تنظيم كرده و دستورات Botnet را با يك هدر 32 بايتي تقلبي JPEG آغاز مي­نمايد. كامپيوتر مورد نظر نيز پس از دريافت پيغام از سرور دستور و كنترل، چك مي­كند كه هدر اين پيغام با هدري كه سرور تنظيم كرده است همخواني داشته باشد. آنگاه بقيه پيغام را رمزگشايي كرده و دستور سرور را دريافت و اجرا مي­نمايد.
بدافزاري كه مشاهده شده است توسط Monkif نصب مي­شود، يك تروجان BHO (Browser Helper Object) است كه معمولا بعنوان ExeDot شناخته مي­شود. اين تروجان، عمليات سرقت تبليغات و كليك روي تبليغات را انجام مي­دهد.
اين تروجان كه اين Botnet را همراهي مي­كند، همچنين سعي مي­كند كه آنتي ويروس و نرم افزار فايروال شخصي را از كار انداخته و جاي پاي خود را روي سيستم آسيب ديده محكم كند.