اکسپلویت EternalBlue و آلودگی کاربران ویندوز توسط تروجان بانکی Retefe
 
به تازگی مجرمان پشت تروجان بانکی Retefe، با استفاده از اکسپلویت EternalBluenbsp;nbsp;گروهNSA اجزای جدیدی را به بدافزارهای خود اضافه کردند و آن را ارتقا دادند. از جمله قربانیان این آسیب پذیری کاربران ویندوز در سوئیس بودند که پس از حملات گسترده واناکرای و Notpetya nbsp;دچار آلودگی توسط این آسیب پذیری شدند. به گزارش ایتنا از کسپرسکی آنلاین، با وجود اینکه Retefe هیچ گاه از لحاظ شهرت و مقیاس به گرد پای تروجان هایی همانند Dridex یا Zeus نمی رسد، اما جالب است که این تروجان برای جلب توجه و نشان قدرتمندی اش کاربران اتریش، سوئد، ژاپن و اخیرا انگلستان راnbsp; مورد هدف قرار داده است و کشورهای مورد هدف آن محققان امنیتی را متعجب و شگفت زده کرده است. یک محقق امنیتی در وبلاگ روز پنجشنبه Proofpoint گفته است: برخلاف Dridex یا دیگر تروجان های بانکی که به تزریق وب (وب اینجکت ها) برای سرقت موبایل بانک ها و پرداخت های آنلاین می پردازند، Retefenbsp;با هدایت ترافیک از سمت بانک قربانی به سرورهای پروکسی که اغلب در شبکهnbsp;Tornbsp;nbsp;قرار دارند، اطلاعات را ارسال می کنند. ارسال اطلاعات در تصویر زیر نمایان شده است. nbsp; در طی چندماه گذشته، محققان موجی از کمپین های جدید Retefe را یافتند که ایمیل های ناخواسته حاوی اسناد مخرب مایکروسافت آفیس را شامل می شد. محققان بر این باور هستند اساس حمله این تروجان با استفاده از nbsp;پیام های فیشینگ است و از این طریق به فریب کاربران می پردازد. فایل های آفیس حاوی Shell Objectsnbsp;یاnbsp;Object Linking می باشند که در واقع شورتکات های (کلید میانبر) ویندوزی .lnknbsp;می باشند.nbsp; هنگامی که کاربر کلید میانبر را باز کند، اجرای دستورات پاورشل آغاز شده و یک فایل Zip ، از طریق سرور راه دور بر روی سیستم قربانی دانلود می شود. فایل Zip حاوی نصب کننده یا اینستالر جاوااسکریپتی است که چندین پارامتر پیکربندی را شامل می شود. یکی از پارامترهای پیکربندی pseb نام دارد که برای اجرای اسکریپتی است که اکسپلویت EternalBlue را اجرا می کند. کد مخرب، یک اسکریپت پاورشل را از سرور راه دور دانلود می کند که شامل فایل اجرایی نصب کننده بدافزارRetefe nbsp;است. nbsp; هنگامی که محققان نصب کننده جاوا اسکریپت را مسدود کردند، چندین پارامتر مربوط به تنظیمات را یافتند. در هفته گذشته محققان پارامتر pseb را که برای اجرای اسکریپتی است که اکسپلویت EternalBlue را اجرا می کند، یافتند. از pseb برای گسترش در شبکه های هدفمند استفاده می شود. محققان در مقاله خود نوشتند: ما ابتدا پارامتر pseb را در 5 سپتامبر مشاهده کردیم. Pseb، اکسپلویت EternalBlue را اجرا و بیشتر کد را از یک کد اثبات مفهومی در دسترس و منتشرشده بر روی گیت هاب قرض می گیرد. nbsp;Psebnbsp;همچنین قابلیت هایی برای ورود به جزئیات مربوط به نصب و پیکربندی قربانی و آپلود آن ها بر روی کارگزارnbsp;FTP می باشد. در تاریخ 20 سپتامبر، بخشquot;pseb:quot;با یک بخش جدیدquot;pslog:quot;nbsp;تعویض شد که تنها شامل توابع ورود به سامانه بود.به گفته محققان امنیتی، این حمله به صورت هدفمند انجام شده است و اکسپلویت EternalBlue به منظور بهبود انتشار تروجان Retefe nbsp; بوده است. محققان توصیه می کنند که کاربران حتما از پچ شدن آسیب پذیری های (EternalBlue (CVE-2017-0144nbsp;اطمینان حاصل کنند. این آسیب پذیری تا به حال قربانیان بسیاری داشته است و از همین رو راه عقلانی این است که کاربران همین حالا پچ های منتشر شده را نصب کنند. Proofpoint تاکید دارد که سازمان ها باید در برابر اکسپلویت های EternalBluenbsp;پچ های لازم را اعمال و ترافیک های مربوط به این تروجان را در سامانه هایnbsp;IDSnbsp; و فایروال مسدود کنند. nbsp;

منبع خبر: ایتنا




 
 
 

کلیه حقوق این سایت متعلق به شرکت ارتباطات طیف گستر است.
اجرا و پشتیبانیNikaIT