وبلاگ كوييك هيل

به نظر می رسد که رشد بدافزار در اندروید روز به روز در حال افزایش است. ما یک بدافزار جالب دریافت کردیم که می تواند اطلاعات تاریخچه‌ی تماس ها و صدای ضبط شده ی همه مکالمات تلفنی را ذخیره کرده، و آنها را به شخص بزهکار ارسال نماید.

بسیاری از بدافزارهای پیشین اندروید بدین صورت عمل می کنند که با ارسال یک پیام کوتاه یا برقراری یک تماس تلفنی با شماره های دارای سرویس ویژه هزینه ی گزافی را به کاربران تلفن همراه تحمیل کرده و بدین ترتیب به راحتی به درآمد هنگفتی می رسند.

اما این تروجان خاص، صدای مکالمات را به فرمت AMR با اجازه دسترسی که قبلاً توسط کاربر تایید شده، ذخیره می نماید:

در زمان نصب برنامه، این بدافزار مجوز دسترسی برای اجرای کارهای زیر درخواست می‌کند:
دسترسی به موقعیت مکانی Cell-ID و WiFi
دسترسی به آپدیت‌های Cell-ID و WiFi
دسترسی به موقعیت مکانی GPS
دسترسی به اطلاعات مرتبط با شبکه‌های WiFi
مجاز کردن دسترسی با سطح پایین مدیریت نیروی الکتریسیته
مجاز کردن دسترسی فقط خواندنی به وضعیت تلفن
مجاز کردن استفاده از PowerManager WakeLocks (قفل بیداری مدیریت نیرو) برای نگه‌داشتن پردازشگر در حالت نیمه‌فعال (sleeping) یا صفحه‌ی نمایش در حالت کاهنده (dimming)
برقراری تماس تلفنی بدون استفاده از واسط کاربری شماره‌گیر (بنابراین کاربر از تماس‌های برقرار شده توسط این تروجان بی‌خبر می‌باشد)
مانیتورینگ، تغییر یا قطع تماس‌های خروجی کاربر
باز کردن سوکت‌های شبکه
خواندن پیام‌های SMS
خواندن اطلاعات لیست تماس و دفترچه تلفن کاربر
ذخیره صدا
ارسال پیامک
نوشتن (بدون خواندن) اطلاعات تماس کاربر
نوشتن پیام‌های SMS
نوشتن در حافظه‌های جانبی

وقتی تروجان اجرا شد، خود را برای اجرای همیشگی در زمان روشن شدن گوشی برای شنود، با خط فرمان زیر ثبت می‌کند:
android.permission.ACTION_BOOT_COMPLETED

همچنین این بدافزار خطرناک ممکن است هر یک سرویس‌های زیر را فعال نماید:
GpsService
MainService
RecordService
SocketService
XM_SmsListener
XM_CallListener
XM_CallRecordService

این برنامه یک SMS شامل کد IMEI گوشی تلفن به شماره تلفن زیر ارسال می‌کند:
۱۵۸۵۹۲۶۸۱۶۱

سپس اقدام به ثبت اطلاعات زیر می‌کند:
لیست شماره تلفن‌ها
اطلاعات موقعیت جغرافیایی GPS
پیام‌های SMS دریافتی
پیام‌های SMS ارسالی

اطلاعات فوق در کارت SD در مکان زیر نوشته می‌شوند:
/sdcard/shangzhou/callrecord/

اطلاعات جمع‌‌آوری شده از طریق پورت ۲۰۱۸ به سرور زیر ارسال می‌گردد:
jin.56mo.com

بهترین اقدام در برابر این نوع از بدافزارها، توجه داشتن به اعطای اجازه دسترسی به برنامه‌ها می‌باشد. از خودتان بپرسید که آیا این برنامه واقعاً نیاز به این قابلیت‌ها دارد؟ اگر شک دارید، بگویید نه! علاوه بر اینکه تشخیص این موارد برای کاربران معمولی کمی دشوار به نظر می‌رسد، تکنیک‌های برقراری امنیت نیاز به تخصص، دانش و فعالیت گسترده دارد که این وظیفه بر عهده‌ی شرکتهای امنیتی می‌باشد. اخیراً کوییک‌هیل اقدام به انتشار راهکار امنیتی ویژه اندروید کرده است. کوییک‌هیل موبایل سکیوریتی  برای اندروید این تروجان را با نام Android.Nickispy.A شناسایی می‌کند.

نویسنده: Shrinivas

بیش از ۹۰۰۰۰ وب‌سایت آلوده یافت شده‌اند که با یک iFrame به سایت willysy(dot)com وصل می‌شوند.

وب‌سایت‌های که از پکیج متن‌باز osCommerce برای مدیریت فروشگاههای اینترنتی خود استفاده نموده‌اند، مورد حمله قرار گرفته‌اند.

یک iFame کد یک خطی است که داده را از سایت دیگر در صفحه وب فعلی بارگذاری می‌کند.
در صورتی که کاربر یک صفحه اینترنتی که یک iFrame آلوده در پایین صفحه‌ی آن وارد شده را باز نماید، این صفحه می‌تواند به صورت خودکار بدافزار خطرناک را به سیستم کاربر وارد می‌نماید.

این تغییر مسیر به سایت جدید منجر به نفوذ کیت آلوده و موجب بهره‌برداری از آسیب‌پذیری در جهت حملات بعدی و دانلود فایل مخرب به درون سیستم‌های می‌شود:

CVE-2010-0840
CVE-2010-0188
CVE-2010-0886
CVE-2006-0003

پس از اجرای بدافزار مخرب، برای بدست آوردن حساب کاربری و اطلاعات ضروری جهت ورود به سایت‌های بانکداری، شروع به جستجو در فایل‌های کوکی اینترنت، تاریخچه برای سرقت اطلاعات ورودی سیستم می‌کند.

کوییک‌هیل فایل‌های دانلود شده را شناسایی کرده و همچنین سایت‌های آلوده را از طریق ویژگی محافظ مرورگر خود مسدود می‌کند.

نویسنده: Shrinivas

نوع جدیدی از بوت‌کیت Bootkit.Trup به صورت گسترده در حال گسترش می‌باشد. این بدافزار خطرناک که برای آلودگی ثبات راه‌انداز اصلی (Master boot record) بروز شده است. رمزنگاری استفاده شده در نوع جدید بدافزار یعنی “Bootkit.Trup.B” بسیار شبیه نوع قدیمی آن “Bootkit.Trup.A” که از یک عملیات ساده چرخش به راست (ROR) استفاده می‌کند، می‌باشد.

این روتکیت موقعیت هندسه‌ی درایو دیسک آلوده را دریافت کرده سپس موقعیت نزدیک به انتهای پارتیشن را برای ذخیره MBR اولیه و دیگر اجزای سخت‌افزاری را محاسبه می‌نماید. این اجزا و پیمانه‌ها در بخش تخصیص نیافته پارتیشن نوشته می‌شوند، و در مواردی که دیسک پر شده باشد امکان رونویسی با داده‌های دیگر وجود دارد.

MBR اولیه و اجزای درایور به صورت رمزشده با استفاده از همان متد رمزنگاری ذخیره شده‌اند.کامپوننت درایو، بخش DriverStartIo متعلق به ATAPI جایی که عملیات نوشتن را رصد می‌کند، را هوک می‌کند. در مواردی که عملیات نوشتن قصد نوشتن در سکتور بوت رکورد اصلی (MBR) را دارد، روتکیت، عملیات نوشتن را تغییر می‌دهد. این روش با استفاده از محصولات امنیتی، عملیات تعمیر را دور می‌زند.

مکانیزم محافظتی MBR قبلاً در TDSS مشاهده شد. TDL4 در پایین پشته ذخیره‌سازی برای نظارت بر عملیات خواندن و نوشتن در اولین سکتور قرار دارد و اجزای رمزنگاری شده‌ی آن در فضای پارتیشن نشده‌ی دیسک مستقر می‌باشند.

این بدافزار مرورگرهای پرطرفدار را برای تزریق کد و افزودن قابلیت تبلیغات کلیکی برای کسب منافع مالی هدف قرار داده است. روتیکیت مذکور اطلاعات تبلیغات کلیک شده را در یک فایل INI ذخیره می‌کند.

برخی نرم‌افزارهای امنیتی آلودگی MBR را با عنواینی نظیر:  Trojan:DOS/Popureb.B و بدافزار بوت‌کیت را با عنوان Trojan:Win32/Popureb.E شناسایی می‌کنند.برخی از مقالات منتشر شده درباره این روتکیت پیشهناد حذف و نصب مجدد ویندوز را برای حذف این بدافزار می‌دهند.

کاربران کوییک‌هیل می‌توانند از ابزار BootKitRemover برای شناسایی و پاکسازی این بوت‌کیت استفاده نمایند. برای تکمیل فرایند ترمیم نیاز به راه‌اندازی مجدد سیستم می‌باشد.

نویسنده: راجش نیکام – لابراتوار تکنولوژی کوییک‌هیل

امروز یک ایمیل بر روی فیس‌بوک دریافت کردم که حاوی پیام زیر بود. ایمیل درباره ویدیوی جدید قتل اسامه اختصاصی از CNN از بود. این ایمیل اطلاع‌رسانی در رابطه با بروزرسانی دیواره فیس بوک من بود که لینک کلیپ ویدئوی اختصاصی بن لادن توسط یکی از دوستانم ارسال شده بود.

با مطالعه دقیق متوجه شدم که نوعی از کلاهبرداری توسط مجرمان سایبری می‌باشد که تلاش می‌کنند با بهره‌گیری از داغ‌ترین اخبار جهان کامپیوترهای جدید را آلوده نماید. هیچ فیلمی از CNN یا دیگر بنگاه‌های خبری درباره اعدام بن‌لادن منتشر نشده است. این پیامی که شما از دوستان خود بر روی Facebook wall دریافت می‌کنید، ممکن است نتیجه آلودگی توسط کرم رایانه‌ای باشد که از حساب‌های کاربری آلوده به همه‌ی دوستان کاربری که بر روی لینک کلیک کرده و آلوده شده، ارسال می‌گردد. در این زمان آلودگی دوباره به همه دوستان کاربر جدید گسترش می‌یابد.

به همه‌ی کاربران توصیه می‌کنیم چنین لینک‌های ویدئویی دریافتی بر روی دیواره فیس‌بوک را کلیک نکرده و حتی پیوست‌های ایمیل را نیز دانلود نکنند. مجرمان اینترنتی از آخرین اخبار برای گسترش آلودگی و افزایش قربانیان جدید استفاده می‌نمایند.

“شما مرتکب جرم و جنایت شبکه شده اید!” هشداری جعلی است (ransomware) که بیان می کند که شما به تماشای موادی با محتوای پورنوگرافیک (مستهجن) و یا در حال دانلود نرم افزار بدون مجوز، فیلم و موسیقی هستید. این ransomware همچنین بیان می کند که تمام نمونه های موجود در کامپیوتر شما  به عنوان مدرک در دادگاه به شما خدمت خواهند کرد.شما باید طی ۲۴ ساعت با ما تماس بگیرید و اقدام به دریافت نرم افزار کد باز کنید چون که نرم افزار بدون مجوز و محتوای پورنوگرافیک (مستهجن) حذف خواهد شد.اگر شما کاری که آنها خواستند را انجام ندهید آنها شما را ظرف دو روز بازداشت خواهند کرد.این یک کلاهبرداری کامل است!این فقط یک هشدار جعلی طراحی شده به منظور کلاهبرداری دریافت پول از مردم است.نرم‌افزار جعلی هشدار، به زبان انگلیسی و بعضی زبان های دیگر قابل دسترسی است.

کوییک هیل این بدافزار را به عنوان “TrojanDownloader.Agent.gen”‌شناسایی می کند.