امنیت

فناوری اطلاعات

May 26, 2014
9:54 دوشنبه، 5ام خردادماه 1393
کد خبر: 62386

شناسایی یک بدافزار ایرانی با نام “مارمولک”

مرکز مدیریت امداد و هماهنگی عملیات رخدادهای رایانه ای ایران از شناسایی یک بدافزار ایرانی با نام "مارمولک" خبر داد و اعلام کرد: این بدافزار از طریق ثبت ضربات صفحه کلید، رمز کردن آنها و ارسال آن برای نویسنده، اطلاعات را جمع آوری و سرقت می کند.
 
 
حملات هدفمند از چندین مرحله تشکیل می‌شوند که به زنجیره قتل APT شناخته می‌شوند. مهاجمان به عنوان بخشی از فاز مسلح کردن خود، اغلب Payload ی را در یک فایل قرار می‌دهند که زمانی که نصب می‌ شود در فاز دستور و کنترل (C2) به مهاجم متصل می‌شود.
 
یک payload بسیار معمولی مورد استفاده بسیاری از بدافزارهای سرقت کلمه عبور، نرم افزار ثبت ضربات صفحه کلید (keylogger) است و هدف از ثبت ضربات صفحه کلید این است که ضربات صفحه کلید کاربر ضبط شود و اطلاعات اعتباری وی و لینک‌ها به منابع داخلی و خارجی جمع‌آوری شود.
 
از این رو مرکز ماهر ایران اعلام کرد: اخیرا بدافزار موسوم به مارمولک که یک نرم افزار ایرانی ثبت ضربات صفحه کلید است با MD5 برابر با F09D2C65F0B6AD55593405A5FD3A7D91 شناسایی شده است.
 
نخستین ظهور این keylogger به یک فروم در خاورمیانه باز می‌گردد. اگرچه ممکن است برخی keylogger ها ضربات صفحه کلید را برای مقاصد قانونی ثبت کنند اما این نرم‌افزار قربانیان خود را با یک payload پنهان گمراه می‌سازد. به نظر می‌رسد که تولید کننده این بدافزار با قرار دادن آن در فروم مذکور، قصد حمله به سایر اعضای این فروم را داشته که این کار تکنیکی مرسوم است.
 
نویسندگان بدافزارها اغلب برای جلوگیری از شناسایی شدن، از ابزارهای ارزان و ساده‌ای استفاده می‌کنند که بدافزار را با یک برنامه runtime فشرده سازی یا رمزگذاری، تغییر می‌دهد؛ البته در این مورد خاص، فایل‌های مرتبط توسط یک نسخه تغییر یافته از ابزار مشهور UPX پنهان شده‌اند.
 
این فایل در هنگام اجرا یک کپی از خود با نام Mcsng.sys در فولدر Sysytem32 ایجاد می‌کند. این بدافزار همچنین پروسه‌ای را اجرا می‌کند که فایل 1stmp.sys را در فولدر system32\config جایگذاری کرده و می‌نویسد.
 
اگرچه پسوند این فایل .sys (فایل سیستمی) است، اما در حقیقت این فایل سیستمی نیست. هدف این فایل این است که به عنوان یک فایل لاگ عمل کند که محتوی ضربات صفحه کلید کاربر است که به صورت رمز شده ذخیره شده‌اند. هربار که یک کلید فشرده می‌شود، این پروسه ضربات صفحه کلید را ثبت می‌کند، آن را رمز کرده و به 1stmp.sys اضافه می‌کند.
 
اگرچه الگوریتم رمزگذاری مورد استفاده برای این کار ساده است، ولی از رمزگذاری انتخابی با دو تکنیک استفاده می‌کند: هر بایت درصورتی‌که فرد باشد با استفاده از تکنیک 1 رمز می‌شود و درصورتی‌که زوج باشد، با استفاده از تکنیک 2 رمزگذاری خواهد شد؛ براین اساس پس از رمزگشایی نه تنها ضربات صفحه کلید قابل مشاهده هستند، بلکه اطلاعات زمانی ثبت این اطلاعات نیز قابل مشاهده است.
 
پس از ثبت و رمز گذاری ضربات صفحه کلید، این بدافزار این اطلاعات را برای نویسنده خود ایمیل می‌کند.
 
این بدافزار همچنین نام کامپیوتر و نام کاربر را نیز برای سازنده خود می‌فرستد.
 
لاگ رمز شده به آدرس marmoolak@red-move.tk ارسال می‌ شود که بر روی دامنه‌ای میزبانی می‌شود که به میزبانی بدافزارها مشهور است.
 
مک‌آفی این تروجان keylogger و نسخه‌های مختلف آن را با عنوان Keylog-FAG می‌شناسد.
 
مرکز مدیریت امداد و هماهنگی عملیات رخدادهای رایانه ای ایران به کاربران ایرانی هشدار داد: برای جلوگیری از آلوده شدن توسط انواع keylogger ها، باید آنتی‌ویروس خود را به‌روز نگه داشته و از منابع نامطمئن دانلود نکنند.
  • مشترک شوید!

    برای عضویت در خبرنامه روزانه ایستنا؛ نشانی پست الکترونیکی خود را در فرم زیر وارد نمایید. پس از آن به صورت خودکار ایمیلی به نشانی شما ارسال میشود، برای تکمیل عضویت خود و تایید صحت نشانی پست الکترونیک وارد شده، می بایست بر روی لینکی که در این ایمیل برایتان ارسال شده کلیک نمایید. پس از آن پیامی مبنی بر تکمیل عضویت شما در خبرنامه روزانه ایستنا نمایش داده میشود.

    با عضویت در خبرنامه پیامکی آژانس خبری فناوری اطلاعات و ارتباطات (ایستنا) به طور روزانه آخرین اخبار، گزارشها و تحلیل های حوزه فناوری اطلاعات و ارتباطات را در هر لحظه و هر کجا از طریق پیام کوتاه دریافت خواهید کرد. برای عضویت در این خبرنامه، مشترکین سیمکارت های همراه اول لازم است عبارت 150 را به شماره 201464 و مشترکین سیمکارت های ایرانسل عبارت ozv ictn را به شماره ۸۲۸۲ ارسال کنند. دریافت موفق هر بسته خبری که محتوی پیامکی با حجم ۵پیامک بوده و ۴ تا ۶ عنوان خبری را شامل میشود، ۳۵۰ ریال برای مشترک هزینه در بردارد که در صورتحساب ارسالی از سوی اپراتور مربوطه محاسبه و از اعتبار موجود در حساب مشترکین سیمکارت های دائمی کسر میشود. بخشی از این درآمد این سرویس از سوی اپراتور میزبان شما به ایستنا پرداخت میشود. مشترکین در هر لحظه براساس دستورالعمل اعلامی در پایان هر بسته خبری قادر خواهند بود اشتراک خود را در این سرویس لغو کنند. هزینه دریافت هر بسته خبری برای مشترکین صرفا ۳۵۰ ریال خواهد بود و این هزینه برای مشترکین در حال استفاده از خدمات رومینگ بین الملل اپراتورهای همراه اول و ایرانسل هم هزینه اضافه ای در بر نخواهد داشت.