اوایل سال 2020 میلادی اخباری مبنی بر حمله بدافزاری با ویژگی Wiper (پاک کننده) به تأسیسات نفت و انرژی کشور عربستان در فضای سایبری منتشر شد. براساس شواهد موجود و تحقیقات صورت‌گرفته توسط محققان امنیتی، بدافزار Dustman# که از آن به عنوان سلاحی برای جنگ سایبری یاد می‌شود، شباهت بسیار زیادی به بدافزار ZeroCleare دارد که اوایل سپتامبر 2019 میلادی مشاهده شد. این شباهت‎ها شامل فایل اصلی ایجاد شده درون سیستم، الگوی رفتاری مشابه، Key License یکسان برای فایل اصلی و هدف سیاسی مشابه دو بدافزار می‌باشد.

حمله WildPressure نهادهای مرتبط با صنعت را در خاورمیانه هدف قرار می‌دهد. در آگوست 2019 آزمایشگاه Kaspersky، کمپین مخربی که یک تروجان کاملاً فرّار C++ به نام Milum منتشر می‌کرد را کشف کرد. همه قربانیان ثبت شده این تروجان، سازمان‌های واقع در خاورمیانه بودند. برخی از آنها به بخش صنعت مرتبط بودند. موتور اختصاصی تهدید Kaspersky هیچ شباهت کدی با کمپین‌های شناخته شده مشاهده نکرده است؛ و تا کنون اهداف مشابهی یافت نشده است. در واقع سه نمونه یکسان در یک کشور اتفاق افتاده است. بنابراین ما حملات را هدف قرار داده و در حال حاضر این عملیات را WildPressure نام‌گذاری کرده‌ایم.

#‫باج_افزار_pysa به عنوان جدیدترین باج افزار شناسایی شده است. محققان امنیت سایبری متوجه شدند این تهدید متعلق به خانواده Mespinoza Ransomware می باشد. اکثر باج افزارها به شیوه ای یکسان عمل میکنند آنها به یک سیستم هدفمند نفوذ می کنند، داده ها را رمزنگاری می کنند و سپس از قربانی می خواهند برای دریافت کلید رمزنگشایی باج پرداخت کنند . که قرار هست پرونده های اسیب دیده را باز کنند. بیشتر اوقات، نویسندگان باج افزار مبلغ سنگین و به ندرت چندین صد دلار درخواست می کنند.

بدافزار TrickBot احراز هویت دو مرحله‌ای را در خدمات بانکی اینترنتی از طریق موبایل دور می‌زند. نویسندگان بدافزار در پشت پرده تروجان بانکی TrickBot یک نرم‌افزار اندرویدی ایجاد کرده‌اند که می‌تواند کد احراز هویت یک بار مصرف ارسال شده توسط پیامک یا ارسال اعلان‌ (ایمن‌تر) به مشتریان بانکی اینترنتی را قطع کرده و عملیات کلاهبرداری خود را تکمیل کند.

اخیراً مهاجمان برای اجرای خودکار یک بدافزار دانلود کننده به نام #Ostap که پیش‌تر به‌کارگیری آن توسط بدافزار Trickbot مشاهده شده بود، از Remote Desktop ActiveX Control در ویندوز 10 و مستندات ورد استفاده می‌کنند. ویژگی Remote Desktop ActiveX Control به مایکروسافت اجازه می‌دهد تا مرتباً سیستم عامل را برای محافظت هر چه بیشتر از سیستم به‌روزرسانی کند؛ اما در این حمله از این ویژگی برای اجرا ماکروهای مخرب که حاوی بدافزار دانلودکننده‌ی Ostap هستند، استفاده شده است. در این گزارش به بررسی عملکرد این بدافزار می‌پردازیم.

آغاز کار با فیشینگ

اهداف مالی، همواره یکی از محرک های جدی برای مجرمان سایبری بوده است و همچنین همواره مهاجمان برای استخراج رمزارزها، اقدام به سوءاستفاده از قدرت محاسباتی سیستم های کاربران و سرورها کرده اند. استخراج رمزارزها از جمله روش هایی است که منجر به تولید آسان و بدون ریسک پول می شود؛ از این رو بدافزارهای استخراج کننده روی دستگاه ها در حال افزایش و روش ها و تکنیک های مورد استفاده برای این کار، در حال پیشرفت هستند. در این گزارش به بررسی یك بدافزار جدید برای استخراج رمزارزها به نام Lemon_Duck می پردازیم که از اکسپلویت Eternalblue برای انتشار در شبكه استفاده می کند.

اخیرا محققان یک آسیب پذیری بحرانی در مودم های کابلی پیدا کرده اند که ممکن است صدها میلیون مودم را در سراسر جهان تحت تاثیر قرار دهد. این آسیب پذیری مربوط به سیستم های روی یک تراشه Broadcom است که در بسیاری از مودم های کابلی مورد استفاده قرار می گیرد، به ویژه در نرم افزارهایی برای مقاومت در برابر افزایش قدرت سیگنال، تحلیلگر spectrum را اجرا می کنند. در ادامه به بررسی بیشتر این آسیب پذیری خواهیم پرداخت.

دانلود پیوست

بدافزار جدید Mozart که دستورات را گرفته و ترافیک را با استفاده از DNS پنهان می‌کند.
یک بدافزار دربِ‌پشتی جدید به نام #Mozart با استفاده از پروتکل DNS با مهاجمین از راه دور ارتباط برقرار می‌کند تا از شناسایی‌شدن توسط نرم‌افزارهای امنیتی و سیستم‌های تشخیص نفوذ، جلوگیری کند.
معمولاً وقتی یک بدافزار برای دریافت دستوراتی که باید اجرا شود با سرور ارتباط می‌گیرد، این کار را با استفاده از پروتکل‌های HTTP/S برای سهولت استفاده و ارتباط انجام می‌دهد.

یک #‫تروجان با دسترسی از راه دور (RAT) به نام #Parallax به طور گسترده در حال توزیع از طریق کمپین های مخرب اسپم می باشد. هنگامی که یک سیستم ویندوزی به این تروجان آلوده شود مهاجم می تواند کنترل کامل آن سیستم را در دست بگیرد.
مهاجم از این بدافزار برای دسترسی به سیستم قربانی استفاده می کند تا به نام کاربری و رمزهای عبور ذخیره شده در سیستم دسترسی پیدا کند و همچنین بتواند دستورات دلخواه خود را اجرا کند سپس از این اطلاعاتی که جمع آوری کرده است میتواند برای سرقت هویت قربانی، دسترسی به حساب های بانکی و توزیع بیشتر این تروجان استفاده کند.

یک #‫آسیب‌پذیری بحرانی با درجه حساسیت مهم در یکی از معروف‌ترین افزونه‌های وردپرسی به نام Duplicator یافت شده است. بیش از یک میلیون سایت وردپرسی تحت تاثیر این آسیب‌پذیری که به مهاجم اجازه‌ی دانلود فایل دلخواه از وب‌سایت قربانی را می‌دهد، قرار دارند. در این گزارش به بررسی قطعات کد آسیب‌پذیر، اهمیت آن و جزییات حملات در حال انجام توسط این آسیب‌پذیری می‌پردازیم.

دانلود پیوست