باج افزاری که به شیوه ای منحصربفرد سیستم های ویندوزی و لینوکسی را نشانه گرفت

ديجياتو/ محققان امنيتي بدافزار جديدي را کشف کرده اند که در يک کمپين هدفمند سيستم هاي ويندوزي و لينوکسي را نشانه گرفته است. باج افزار تايکون (Tycoon) که از دسامبر سال ۲۰۱۹ فعال بوده ظاهرا حاصل تلاش جمعي از مجرمان سايبري است که اهدافي به شدت گزينش شده دارند. اين بدافزار همچنين نوع غيررايجي از تکنيک اجرا را به کار مي برد که به آن کمک مي کند در شبکه هاي تضعيف شده به راحتي خود را پنهان نمايد. اصلي ترين اهداف تايکون سازمان هاي فعال در صنايع آموزشي و نرم افزاري هستند. تايکون با تلاش جمعي از محققان بلک بري کشف شد که مشغول همکاري با تحليلگران امنيتي KPMG بودند. اين کد مخرب شکل نامعمولي از يک باج افزار است چراکه با زبان جاوا نوشته شده، به عنوان يک سيستم زمان اجراي جاوا خود را معرفي کرده و در ايميج فايل جاوا (Jimage) کامپايل شده است تا تمايلات مخرب خود را پنهان نمايد. اريک ميلم معاون تحقيقات و اطلاعات بلک بري در اين باره گفته است: اينها همگي روش هاي يکتايي به شمار مي روند. جاوا به ندرت براي نوشتن بدافزار اندپوينت مورد استفاده قرار مي گيرد زيرا براي اجراي کد نياز به سيستم زمان اجرا دارد. ايميج فايل هاي جاوا نيز کمتر براي حملات بدافزاري به کار مي روند. او صحبت هايش را اينطور ادامه داد: مهاجمان مرتبا به زبان هاي برنامه نويسي غير رايج و فرمت هاي منسوخ داده اي روي مي آورند. در اين باج افزار نيازي به پنهان سازي کد نبوده اما هکرها کاملا در اين کار موفق عمل کرده اند. عليرغم اين، نخستين مرحله از حملات باج افزار تايکون کاملا مرسوم است و از طريق نفوذ به سرورهاي RDP ناامن سمت اينترنت رقم مي خورد. اين يک روش حمله بسيار رايج براي کمپين هاي بدافزاري است و معمولا در آنها از پسوردهاي ضعيف يا پيشتر تضعيف شده سرورها استفاده مي شود. بعد از آنکه باج افزار وارد شبکه شد مهاجمان از تنظيمات IFEO که غالبا از سوي توسعه دهندگان براي رفع باگ نرم افزارها به کار گرفته مي شود استفاده مي کنند تا حضور خود در شبکه را پايدار نمايند. مهاجمان همچنين از امتيازهاي خود براي غيرفعال کردن نرم افزار ضد بدافزار کمک مي گيرند تا مانع از شناسايي حمله شان شوند. ميلم در ادامه صحبتهايش اشاره کرد: از بدافزارها ميتوان در زبان هاي بسيار پيشرفته نظير جاوا استفاده کرد و آنها را به شيوه هاي غيرمنتظره اي اجرا کرد. بعد از اجرا بدافزار شبکه را با استفاده از فايل هاي رمزگذاري شده توسط تايکون (از جمله .redrum/ .grinch و يا .thanos) رمزگذاري مي کند و در ادامه مهاجمان از صاحبان شبکه درخواست باج مي کنند تا فايل هايشان را رمزگشايي کنند. آنها معمولا خواستار دريافت بيت کوين هستند و در چانه زني هاي خود مي گويند که قيمت بستگي به سرعت عمل قرباني در پاسخ گويي به ايميل هايشان دارد. محققان باور دارند که باج افزار تايکون به بدافزار ديگري به نام Dharma ارتباط دارد؛ علت هم شباهت آدرس هاي ايميلي به کار رفته، اسامي فايل هاي رمزگذاري شده توسط آنها و متن يادداشت باج خواهي شان است. در کانال آي‌تي و ™CanaleIT هم کلي عکس و ويدئوي دسته اول و جذاب داريم