نزدیک به هفت ماه پیش، پس از گسترده‌تر شدن افشاگری‌های اسنودن، خشم فعالان امنیت و خصوصاً رمزنگاران به حدی رسید که تصمیم به بازنگری در ابزار‌های مورد استفاده‌ی خود گرفتند، در این میان گروهی از ریاضیدانان برزیلی، مجموعه‌ای از کدهای جدید را برای یک سامانه‌ی درهم‌ریختن داده به نام رمزنگاری elliptic-curve منتشر کردند تا افرادی که به کدهای ارائه شده توسط مراجع رسمی مشکوک هستند، از آنها استفاده کنند و یک گروه دیگر از رمزنگاران تلاش کردند با جمع‌آوری سرمایه‌ی لازم از افراد داوطلب، نرم‌افزار رمزنگاری معروف TrueCrypt را از لحاظ امنیتی بررسی کنند.
TrueCrypt یک ابزار رمزنگاری هارددیسک است که می‌توان از آن برای رمزنگاری یک بخش یا تمام یک هارددیسک استفاده کرد. اگر هر شخص دیگری به غیر از صاحب دیسک، به دیسک و یا یک کپی از آن دسترسی پیدا کند، چیزی جز داده‌های بی‌معنی نخواهد دید. تنها صاحب دیسک با دانستن گذرواژه می‌تواند این داده‌های بی‌معنی را به داده‌های قابل استفاده بازگرداند.
چندی پیش، پس از نزدیک به ۷ ماه بحث و برنامه‌ریزی، نتایج فاز اول از دو فاز مطرح‌شده در مورد بررسی کد TrueCrypt منتشر شد. (پرونده‌ی بررسی از پیوست قابل بارگیری است.)
اما نتیجه چه بود؟ iSEC، شرکتی که در طی یک قرارداد ملزم شده است تا bootloader و گرداننده‌های هسته‌ی ویندوز این نرم‌افزار را با هدف بررسی وجود درِ پشتی مورد بررسی قرار دهد، گزارشی را به صورت عمومی منتشر و اعلام کرد: «هیچ شواهدی مبنی بر وجود درِ پشتی و یا کد مخرب عمدی در کدهای بررسی‌شده وجود ندارد.»
اگرچه تیم تحلیل و بررسی این کد، چند آسیب‌پذیری نه‌چندان جدی را در کد نرم‌افزار TrueCrypt کشف کردند، iSEC، گزارش داد این آسیب‌پذیری‌ها عمدی نمی‌باشند و بیش‌تر می‌توان اسم «خطا»ی کدنویسی را روی آنها گذاشت تا اینکه برچسب درِ پشتی و کد مخرب را به آنها نسبت داد.
Matthew Green یکی از رهبران اصلی تحلیل و بررسی این نرم‌افزار، در اظهار نظری عنوان کرد که این کد واقعاً به اندازه‌ای که از آن انتظار می‌رود، قوی نیست، اما از طرف دیگر، هیچ نقطه‌ی تاریکی که این نرم‌افزار را به سازمان‌های جاسوسی ارتباط دهد وجود ندارد.
در فاز دوم تحلیل و بررسی این نرم‌افزار، محققان قصد دارند الگوریتم‌های رمزنگاری را بازنگری کنند تا مطمئن شوند روند الگوریتم رمزنگاری به نحوی نیست که قابل رمزگشایی باشد و البته در خود الگوریتم رمزنگاری هیچ خطای عمدی و غیرعمدی وجود ندارد.
در کل در گزارش iSEC عنوان شده که bootloader و گرداننده‌های هسته‌ی ویندوز، استاندارهای مورد انتظار کد منبع را نداشته‌اند. این استانداردها شامل ناکافی بودن توضیحات کد، استفاده از توابع ناامن و نامعتبر، به‌کارگیری نوع داده‌ی نادرست و برخی دیگر از استانداردها می‌باشد.
البته در پیوست دوم این گزارش، می‌توان ایرادات فنی عمیق‌تری را نیز یافت، و شایان ذکر است مستندات آموزش صحیح از این نرم‌افزار که در وبگاه آن موجود است، بسیار قوی است و کاربر را به سمتی سوق میدهد که گزینه‌های مورد نظر در مورد رمزنگاری را طوری تغییر دهد که رمزنگاری دقیق‌تر باشد.
این گروه یک ضعف بالقوه در بررسی Volume Heade کشف کرده که به نظر می‌رسد محافظت به نحوی است که قابل دور زدن می‌باشد، یعنی از رشته‌هایی برای رمزنگاری استفاده شده است که می‌بایست بدون تغییر باقی بمانند اما با سازو‌کار فعلی این اتفاق نمی‌افتد، مشخص نیست چرا توسعه‌دهندگان اصلی برای محافظت از یک تابع درهم‌ساز یا HMAC استفاده نکرده‌اند.
جالب است که توسعه‌دهندگان این نرم‌افزار به طرز مشکوکی ناشناس باقی مانده‌اند و تیم بررسی کد نرم‌افزار با شخصی به David Morgan که در وبگاه اصلی TrueCrypt.Com به‌عنوان توسعه‌دهنده معرفی شده و با احتمال زیادی یک شخص حقیقی نیست ارتباط برقرار کرده است که نتایج ارزیابی و بازنگری کد را به اطلاع آنها برساند.
David Morgan، در پاسخ به تیم تحلیل کد ضعف موجود در Volume Heade را تایید کرده و همچنین عنوان کرده است که نرم‌افزار TrueCrypt برای «حفاظت در مقابل برخی مسائل خاص» ایجاد شده و تا حدی که برخی انتظار دارند نباید بتوان کد شفاف و روراستی از آن به‌دست آورد.
TrueCrypt یک ابزار رمزنگاری هارددیسک است که می‌توان از آن برای رمزنگاری یک بخش یا تمام یک هارددیسک استفاده کرد. اگر هر شخص دیگری به غیر از صاحب دیسک، به دیسک و یا یک کپی از آن دسترسی پیدا کند، چیزی جز داده‌های بی‌معنی نخواهد دید. تنها صاحب دیسک با دانستن گذرواژه می‌تواند این داده‌های بی‌معنی را به داده‌های قابل استفاده بازگرداند.
چندی پیش، پس از نزدیک به ۷ ماه بحث و برنامه‌ریزی، نتایج فاز اول از دو فاز مطرح‌شده در مورد بررسی کد TrueCrypt منتشر شد. (پرونده‌ی بررسی از پیوست قابل بارگیری است.)
اما نتیجه چه بود؟ iSEC، شرکتی که در طی یک قرارداد ملزم شده است تا bootloader و گرداننده‌های هسته‌ی ویندوز این نرم‌افزار را با هدف بررسی وجود درِ پشتی مورد بررسی قرار دهد، گزارشی را به صورت عمومی منتشر و اعلام کرد: «هیچ شواهدی مبنی بر وجود درِ پشتی و یا کد مخرب عمدی در کدهای بررسی‌شده وجود ندارد.»
اگرچه تیم تحلیل و بررسی این کد، چند آسیب‌پذیری نه‌چندان جدی را در کد نرم‌افزار TrueCrypt کشف کردند، iSEC، گزارش داد این آسیب‌پذیری‌ها عمدی نمی‌باشند و بیش‌تر می‌توان اسم «خطا»ی کدنویسی را روی آنها گذاشت تا اینکه برچسب درِ پشتی و کد مخرب را به آنها نسبت داد.
Matthew Green یکی از رهبران اصلی تحلیل و بررسی این نرم‌افزار، در اظهار نظری عنوان کرد که این کد واقعاً به اندازه‌ای که از آن انتظار می‌رود، قوی نیست، اما از طرف دیگر، هیچ نقطه‌ی تاریکی که این نرم‌افزار را به سازمان‌های جاسوسی ارتباط دهد وجود ندارد.
در فاز دوم تحلیل و بررسی این نرم‌افزار، محققان قصد دارند الگوریتم‌های رمزنگاری را بازنگری کنند تا مطمئن شوند روند الگوریتم رمزنگاری به نحوی نیست که قابل رمزگشایی باشد و البته در خود الگوریتم رمزنگاری هیچ خطای عمدی و غیرعمدی وجود ندارد.
در کل در گزارش iSEC عنوان شده که bootloader و گرداننده‌های هسته‌ی ویندوز، استاندارهای مورد انتظار کد منبع را نداشته‌اند. این استانداردها شامل ناکافی بودن توضیحات کد، استفاده از توابع ناامن و نامعتبر، به‌کارگیری نوع داده‌ی نادرست و برخی دیگر از استانداردها می‌باشد.
البته در پیوست دوم این گزارش، می‌توان ایرادات فنی عمیق‌تری را نیز یافت، و شایان ذکر است مستندات آموزش صحیح از این نرم‌افزار که در وبگاه آن موجود است، بسیار قوی است و کاربر را به سمتی سوق میدهد که گزینه‌های مورد نظر در مورد رمزنگاری را طوری تغییر دهد که رمزنگاری دقیق‌تر باشد.
این گروه یک ضعف بالقوه در بررسی Volume Heade کشف کرده که به نظر می‌رسد محافظت به نحوی است که قابل دور زدن می‌باشد، یعنی از رشته‌هایی برای رمزنگاری استفاده شده است که می‌بایست بدون تغییر باقی بمانند اما با سازو‌کار فعلی این اتفاق نمی‌افتد، مشخص نیست چرا توسعه‌دهندگان اصلی برای محافظت از یک تابع درهم‌ساز یا HMAC استفاده نکرده‌اند.
جالب است که توسعه‌دهندگان این نرم‌افزار به طرز مشکوکی ناشناس باقی مانده‌اند و تیم بررسی کد نرم‌افزار با شخصی به David Morgan که در وبگاه اصلی TrueCrypt.Com به‌عنوان توسعه‌دهنده معرفی شده و با احتمال زیادی یک شخص حقیقی نیست ارتباط برقرار کرده است که نتایج ارزیابی و بازنگری کد را به اطلاع آنها برساند.
David Morgan، در پاسخ به تیم تحلیل کد ضعف موجود در Volume Heade را تایید کرده و همچنین عنوان کرده است که نرم‌افزار TrueCrypt برای «حفاظت در مقابل برخی مسائل خاص» ایجاد شده و تا حدی که برخی انتظار دارند نباید بتوان کد شفاف و روراستی از آن به‌دست آورد.
🎯 فرصت شغلی:
گروه شرکت های شاتل برای تکمیل تیم نرم افزار، کارشناس VOIP استخدام می نماید:
شرایط احراز :
🔺 ساکن تهران
🔺آشنا به سیستم عامل لینوکس
🔺آشنا به Bash Scripting
🔺مسلط به سیستم های تلفنی Asterisk, Elastix) Open Source , غیره)
🔺آشنا به مفاهیم شبکه
🔺دارای حداقل 2 سال سابقه کار مرتبط
🔺آشنا به سخت افزار سرور
🔺 مسلط به Cisco Voip
🔺آشنا به MySQL
ارسال رزومه به آدرس [email protected] با عنوان کارشناس Voip
گروه شرکت های شاتل برای تکمیل تیم نرم افزار، کارشناس VOIP استخدام می نماید:
شرایط احراز :
🔺 ساکن تهران
🔺آشنا به سیستم عامل لینوکس
🔺آشنا به Bash Scripting
🔺مسلط به سیستم های تلفنی Asterisk, Elastix) Open Source , غیره)
🔺آشنا به مفاهیم شبکه
🔺دارای حداقل 2 سال سابقه کار مرتبط
🔺آشنا به سخت افزار سرور
🔺 مسلط به Cisco Voip
🔺آشنا به MySQL
ارسال رزومه به آدرس [email protected] با عنوان کارشناس Voip
🚨کشف آسیب پذیری در نرم افزار vlc_media_player
آسیب پذیری Buffer overflow در فانکشن DecodeAdpcmImaQT در قسمت
modules/codec/adpcm.c
در نرم افزار نمایش ویدئوی VLC قبل از ورژن 2.2.4 به مهاجم از راه دور این امکان را میدهد که باعث ایجاد denial of service و یا اجرای کد های اجرایی از طریق فایل QuickTime IMA بر روی سیستم قربانی شود.
آسیب پذیری Buffer overflow در فانکشن DecodeAdpcmImaQT در قسمت
modules/codec/adpcm.c
در نرم افزار نمایش ویدئوی VLC قبل از ورژن 2.2.4 به مهاجم از راه دور این امکان را میدهد که باعث ایجاد denial of service و یا اجرای کد های اجرایی از طریق فایل QuickTime IMA بر روی سیستم قربانی شود.
🚨لیست آسیب پذیریهای جدید:
در زیر لیستی از آسیب پذیریهایی که به تازگی کشف شده اند و Exploit آنها نیز تهیه شده است جهت بهره برداری و اصلاح مشکلات تقدیم میگردد:
📌ID: CVE-2016-0185
Title: Microsoft Windows Media Center Input Validation Remote Code Execution Vulneraiblity (MS16-059)
Vendor: Microsoft
Description: Media Center in Microsoft Windows Vista SP2, Windows 7 SP1, and Windows 8.1 allows remote attackers to execute arbitrary code via a crafted Media Center link (aka .mcl) file, aka "Windows Media Center Remote Code Execution Vulnerability."
CVSS v2 Base Score: 9.3 (AV:N/AC:M/Au:N/C:C/I:C/A:C)
📌ID: CVE-2016-4117
Title: Adobe Flash Player Integer Overflow Code Execution Vulnerability (APSA16-02)
Vendor: Adobe
Description: Adobe Flash Player 21.0.0.226 and earlier allows remote attackers to execute arbitrary code via unspecified vectors, as exploited in the wild in May 2016.
CVSS v2 Base Score: 10.0 (AV:N/AC:L/Au:N/C:C/I:C/A:C)
📌ID: CVE-2016-0189
Title: Microsoft Internet Explorer Scripting Engine Memory Corruption Vulnerability
Vendor: Microsoft
Description: The Microsoft (1) JScript 5.8 and (2) VBScript 5.7 and 5.8 engines, as used in Internet Explorer 9 through 11 and other products, allow remote attackers to execute arbitrary code or cause a denial of service (memory corruption) via a crafted web site, aka "Scripting Engine Memory Corruption Vulnerability," a different vulnerability than CVE-2016-0187.
CVSS v2 Base Score: 7.6 (AV:N/AC:H/Au:N/C:C/I:C/A:C)
📌ID: CVE-2016-1287
Title: Cisco ASA Software IKEv1 and IKEv2 Buffer Overflow Vulnerability
Vendor: Cisco
Description: Buffer overflow in the IKEv1 and IKEv2 implementations in Cisco ASA Software before 8.4(7.30), 8.7 before 8.7(1.18), 9.0 before 9.0(4.38), 9.1 before 9.1(7), 9.2 before 9.2(4.5), 9.3 before 9.😔3.7), 9.4 before 9.4(2.4), and 9.5 before 9.5(2.2) on ASA 5500 devices, ASA 5500-X devices, ASA Services Module for Cisco Catalyst 6500 and Cisco 7600 devices, ASA 1000V devices, Adaptive Security Virtual Appliance (aka ASAv), Firepower 9300 ASA Security Module, and ISA 3000 devices allows remote attackers to execute arbitrary code or cause a denial of service (device reload) via crafted UDP packets, aka Bug IDs CSCux29978 and CSCux42019.
CVSS v2 Base Score: 10.0 (AV:N/AC:L/Au:N/C:C/I:C/A:C)
📌ID: CVE-2016-1019
Title: Adobe Flash Player Code Execution Vulnerability
Vendor: Adobe
Description: Adobe Flash Player 21.0.0.197 and earlier allows remote attackers to cause a denial of service (application crash) or possibly execute arbitrary code via unspecified vectors, as exploited in the wild in April 2016.
CVSS v2 Base Score: 10.0 (AV:N/AC:L/Au:N/C:C/I:C/A:C)
📌ID: CVE-2016-1010
Title: Adobe Flash Player Integer Overflow Code Execution Vulnerability
Vendor: Adobe
Description: Integer overflow in Adobe Flash Player before 18.0.0.333 and 19.x through 21.x before 21.0.0.182 on Windows and OS X and before 11.2.202.577 on Linux, Adobe AIR before 21.0.0.176, Adobe AIR SDK before 21.0.0.176, and Adobe AIR SDK & Compiler before 21.0.0.176 allows attackers to execute arbitrary code via unspecified vectors, a different vulnerability than CVE-2016-0963 and CVE-2016-0993.
CVSS v2 Base Score: 9.3 (AV:N/AC:M/Au:N/C:C/I:C/A:C)
در زیر لیستی از آسیب پذیریهایی که به تازگی کشف شده اند و Exploit آنها نیز تهیه شده است جهت بهره برداری و اصلاح مشکلات تقدیم میگردد:
📌ID: CVE-2016-0185
Title: Microsoft Windows Media Center Input Validation Remote Code Execution Vulneraiblity (MS16-059)
Vendor: Microsoft
Description: Media Center in Microsoft Windows Vista SP2, Windows 7 SP1, and Windows 8.1 allows remote attackers to execute arbitrary code via a crafted Media Center link (aka .mcl) file, aka "Windows Media Center Remote Code Execution Vulnerability."
CVSS v2 Base Score: 9.3 (AV:N/AC:M/Au:N/C:C/I:C/A:C)
📌ID: CVE-2016-4117
Title: Adobe Flash Player Integer Overflow Code Execution Vulnerability (APSA16-02)
Vendor: Adobe
Description: Adobe Flash Player 21.0.0.226 and earlier allows remote attackers to execute arbitrary code via unspecified vectors, as exploited in the wild in May 2016.
CVSS v2 Base Score: 10.0 (AV:N/AC:L/Au:N/C:C/I:C/A:C)
📌ID: CVE-2016-0189
Title: Microsoft Internet Explorer Scripting Engine Memory Corruption Vulnerability
Vendor: Microsoft
Description: The Microsoft (1) JScript 5.8 and (2) VBScript 5.7 and 5.8 engines, as used in Internet Explorer 9 through 11 and other products, allow remote attackers to execute arbitrary code or cause a denial of service (memory corruption) via a crafted web site, aka "Scripting Engine Memory Corruption Vulnerability," a different vulnerability than CVE-2016-0187.
CVSS v2 Base Score: 7.6 (AV:N/AC:H/Au:N/C:C/I:C/A:C)
📌ID: CVE-2016-1287
Title: Cisco ASA Software IKEv1 and IKEv2 Buffer Overflow Vulnerability
Vendor: Cisco
Description: Buffer overflow in the IKEv1 and IKEv2 implementations in Cisco ASA Software before 8.4(7.30), 8.7 before 8.7(1.18), 9.0 before 9.0(4.38), 9.1 before 9.1(7), 9.2 before 9.2(4.5), 9.3 before 9.😔3.7), 9.4 before 9.4(2.4), and 9.5 before 9.5(2.2) on ASA 5500 devices, ASA 5500-X devices, ASA Services Module for Cisco Catalyst 6500 and Cisco 7600 devices, ASA 1000V devices, Adaptive Security Virtual Appliance (aka ASAv), Firepower 9300 ASA Security Module, and ISA 3000 devices allows remote attackers to execute arbitrary code or cause a denial of service (device reload) via crafted UDP packets, aka Bug IDs CSCux29978 and CSCux42019.
CVSS v2 Base Score: 10.0 (AV:N/AC:L/Au:N/C:C/I:C/A:C)
📌ID: CVE-2016-1019
Title: Adobe Flash Player Code Execution Vulnerability
Vendor: Adobe
Description: Adobe Flash Player 21.0.0.197 and earlier allows remote attackers to cause a denial of service (application crash) or possibly execute arbitrary code via unspecified vectors, as exploited in the wild in April 2016.
CVSS v2 Base Score: 10.0 (AV:N/AC:L/Au:N/C:C/I:C/A:C)
📌ID: CVE-2016-1010
Title: Adobe Flash Player Integer Overflow Code Execution Vulnerability
Vendor: Adobe
Description: Integer overflow in Adobe Flash Player before 18.0.0.333 and 19.x through 21.x before 21.0.0.182 on Windows and OS X and before 11.2.202.577 on Linux, Adobe AIR before 21.0.0.176, Adobe AIR SDK before 21.0.0.176, and Adobe AIR SDK & Compiler before 21.0.0.176 allows attackers to execute arbitrary code via unspecified vectors, a different vulnerability than CVE-2016-0963 and CVE-2016-0993.
CVSS v2 Base Score: 9.3 (AV:N/AC:M/Au:N/C:C/I:C/A:C)
ه گزارش Zscaler و PhishMe تروجان دسترسی راه دور۱ njRAT در حال بازگشت به عرصه‌ی جرایم رایانه‌ای است.
در سال ۲۰۱۴ میلادی شرکت مایکروسافت تلاش کرد تا خانواده‌ی بدافزارهای njRAT (Bladabindi) و NJw۰rm (Jenxcus) را از بین ببرد. اکنون پس گذشت ماه‌هایی که خبری از این بدافزارها نبود، محققان مجددا متوجه افزایش آلودگی‌های njRAT شدند.
این بدافزار که تحت .NET توسعه داده شده است، به مهاجمان امکان میدهد تا کنترل کامل دستگاه آلوده شده را به دست بگیرند. این بدافزار قادر است کلیدهای فشرده شده بر روی دستگاه هدف را ضبط کرده، پرونده‌هایی را بارگیری و اجرا کند، امکان دسترسی remote desktop را فراهم سازد، اعتبارنامه‌های برنامه‌ها۲ را به سرقت ببرد و یا به دوربین و میکروفن رایانه‌ی آلوده شده دسترسی پیدا کند.
PshishMe گزارش میدهد که njRAT سابق بر این از طریق هرزنامه‌هایی با موضوع آموزش تقلب در بازی «Need for Speed: World» منتشر شده بود. Zscaler نیز می‌گوید قفل‌شکن‌های بازی‌های رایانه‌ای و نرم‌افزارهای تولیدکننده‌ی کلید برنامه‌های کاربردی اغلب به عنوان طعمه برای به دام انداختن قربانیان استفاده می‌شوند.
زمانی که مایکروسافت در سال ۲۰۱۴ به مبارزه با njRAT رفت، حدود ۲۴ دامنه‌ی متعلق به تامین‌کننده‌ی DNS پویای No-IP را مصادره کرد. دلیل مایکروسافت برای این اقدام این بود که دامنه‌های مذکور ۹۳٪ اوقات برای آلوده‌نمودن از طریق njRAT و NJw۰rm استفاده شده بودند. با این حال این شرکت تامین‌کننده‌ی DNS شدیدا از این حرکت انتقاد کرد؛ زیرا اقدام مایکروسافت در مصادره‌ی این دامنه بدون صدور هشدار قبلی، بسیاری از مشتریان معتبر این شرکت را نیز دچار مشکل کرد.
Zscaler و PhishMe گزارش کرده‌اند که هنوز از خدمات No-IP جهت انتشار njRAT استفاده می‌شود. Zscaler بیش از ۲۰ DNS پویا را شناسایی کرده است که توسط ایجادکنندگان بدافزار جهت ارتباطات کنترل و فرماندهی (C&C) استفاده می‌شوند.
این شرکت همچنین خبر از افزایش آلودگی‌های H-Worm میدهد. H-Worm یک RAT مبتنی بر VBScript است که دارای کدی مشترک با njRAT بوده و در ماه سپتامبر ۲۰۱۳ زمانی که برای هدف قرار دادن شرکت‌های صنعت انرژی مورد استفاده شده بود، توسط FireEye مورد تحلیل قرار گرفت.
به گفته‌ی محققان گونه‌های جدید H-Worm در حال ظهور هستند. Zscaler مجموع ۱۶ گونه‌ی فعال این بدافزار را در سال ۲۰۱۵ شناسایی کرده است.
این محققان در مطلبی در وبلاگ خود گفته‌اند: «علی‌رغم تلاش‌های مایکروسافت جهت برهم زدن کانال C&C این بدافزار در سال ۲۰۱۴، همچنان شاهد استفاده از گونه‌های مختلف سرویس‌های DNS پویا توسط مولفان این بدافزار جهت ارتباطات C&C هستیم. این بدافزار هنوز یکی از شایع‌ترین و محبوب‌ترین RATهای امروز است.»
در ماه ژانویه، شرکت Trend Micro گزارش داده بود که کدمنبع NJw۰rm که در انجمن‌های نفوذگری منتشر شده، توسط نویسندگان بدافزار جهت ایجاد RATهای جدید استفاده شده است. یکی از این تهدیدهای جدید، که نام «Sir DoOom» برای آن انتخاب شده در ماه دسامبر سال ۲۰۱۴ ظهور کرد. از این بدافزار می‌توان برای انجام کارهای مختلفی استفاده کرد؛ از جمله تولید بیت‌کوین، انجام حملات انسداد سرویس توزیع‌شده (DDoS) به دست گرفتن کنترل رایانه‌ها و خاتمه‌دادن به پردازش نرم‌افزارهای ضدبدافزار.
در سال ۲۰۱۴ میلادی شرکت مایکروسافت تلاش کرد تا خانواده‌ی بدافزارهای njRAT (Bladabindi) و NJw۰rm (Jenxcus) را از بین ببرد. اکنون پس گذشت ماه‌هایی که خبری از این بدافزارها نبود، محققان مجددا متوجه افزایش آلودگی‌های njRAT شدند.
این بدافزار که تحت .NET توسعه داده شده است، به مهاجمان امکان میدهد تا کنترل کامل دستگاه آلوده شده را به دست بگیرند. این بدافزار قادر است کلیدهای فشرده شده بر روی دستگاه هدف را ضبط کرده، پرونده‌هایی را بارگیری و اجرا کند، امکان دسترسی remote desktop را فراهم سازد، اعتبارنامه‌های برنامه‌ها۲ را به سرقت ببرد و یا به دوربین و میکروفن رایانه‌ی آلوده شده دسترسی پیدا کند.
PshishMe گزارش میدهد که njRAT سابق بر این از طریق هرزنامه‌هایی با موضوع آموزش تقلب در بازی «Need for Speed: World» منتشر شده بود. Zscaler نیز می‌گوید قفل‌شکن‌های بازی‌های رایانه‌ای و نرم‌افزارهای تولیدکننده‌ی کلید برنامه‌های کاربردی اغلب به عنوان طعمه برای به دام انداختن قربانیان استفاده می‌شوند.
زمانی که مایکروسافت در سال ۲۰۱۴ به مبارزه با njRAT رفت، حدود ۲۴ دامنه‌ی متعلق به تامین‌کننده‌ی DNS پویای No-IP را مصادره کرد. دلیل مایکروسافت برای این اقدام این بود که دامنه‌های مذکور ۹۳٪ اوقات برای آلوده‌نمودن از طریق njRAT و NJw۰rm استفاده شده بودند. با این حال این شرکت تامین‌کننده‌ی DNS شدیدا از این حرکت انتقاد کرد؛ زیرا اقدام مایکروسافت در مصادره‌ی این دامنه بدون صدور هشدار قبلی، بسیاری از مشتریان معتبر این شرکت را نیز دچار مشکل کرد.
Zscaler و PhishMe گزارش کرده‌اند که هنوز از خدمات No-IP جهت انتشار njRAT استفاده می‌شود. Zscaler بیش از ۲۰ DNS پویا را شناسایی کرده است که توسط ایجادکنندگان بدافزار جهت ارتباطات کنترل و فرماندهی (C&C) استفاده می‌شوند.
این شرکت همچنین خبر از افزایش آلودگی‌های H-Worm میدهد. H-Worm یک RAT مبتنی بر VBScript است که دارای کدی مشترک با njRAT بوده و در ماه سپتامبر ۲۰۱۳ زمانی که برای هدف قرار دادن شرکت‌های صنعت انرژی مورد استفاده شده بود، توسط FireEye مورد تحلیل قرار گرفت.
به گفته‌ی محققان گونه‌های جدید H-Worm در حال ظهور هستند. Zscaler مجموع ۱۶ گونه‌ی فعال این بدافزار را در سال ۲۰۱۵ شناسایی کرده است.
این محققان در مطلبی در وبلاگ خود گفته‌اند: «علی‌رغم تلاش‌های مایکروسافت جهت برهم زدن کانال C&C این بدافزار در سال ۲۰۱۴، همچنان شاهد استفاده از گونه‌های مختلف سرویس‌های DNS پویا توسط مولفان این بدافزار جهت ارتباطات C&C هستیم. این بدافزار هنوز یکی از شایع‌ترین و محبوب‌ترین RATهای امروز است.»
در ماه ژانویه، شرکت Trend Micro گزارش داده بود که کدمنبع NJw۰rm که در انجمن‌های نفوذگری منتشر شده، توسط نویسندگان بدافزار جهت ایجاد RATهای جدید استفاده شده است. یکی از این تهدیدهای جدید، که نام «Sir DoOom» برای آن انتخاب شده در ماه دسامبر سال ۲۰۱۴ ظهور کرد. از این بدافزار می‌توان برای انجام کارهای مختلفی استفاده کرد؛ از جمله تولید بیت‌کوین، انجام حملات انسداد سرویس توزیع‌شده (DDoS) به دست گرفتن کنترل رایانه‌ها و خاتمه‌دادن به پردازش نرم‌افزارهای ضدبدافزار.
سال گذشته دست کم ۳۰ شرکت از طریق حمله‌ای که به نام شکارچی حفره «bug proaching» نامگذاری شده است مورد حمله قرار گرفتند. در این عملیات نفوذگران به کارگزارهای شرکت‌ها نفوذ کرده و داده‌ها را به سرقت می‌برند، آنگاه برای اینکه به خود شرکت‌ها نشان دهند این کار چگونه انجام شده است، درخواست هزینه و مبلغی می‌کردند.
در این تکنیک که توسط محققان خدمات مدیریت امنیت آی‌بی‌ام کشف شده است، مجرمان معمولاً با استفاده از حملات تزریق SQL علیه وبگاه‌ها، وارد کارگزارهای شرکت‌ها می‌شوند. در هیچکدام از مواردی که آی‌بی‌ام در مورد آنها تحقیق کرده است، از بهره‌برداری‌های روز-صفرم استفاده نشده است و به جای آن، مجرمان تنها از حفره‌های شناخته شده و رایج برنامه‌نویسی استفاده کرده‌اند که وصله نشده‌اند.
این مهاجمان به بررسی کارگزارهای که در آنها نفوذ کرده بودند، پرداختند تا بتوانند داده‌های آسیب‌پذیر را پیدا کرده و همه را در یک حساب ذخیره‌سازی ابری برای خود ذخیره کنند. سپس به قربانی یک رایانامه ارسال کرده و در آن عنوان می‌شد که داده‌ها مورد دسترس قرار گرفته‌اند و یک پیوند به وبگاه ذخیره‌سازی داده‌ها برای آنها ارسال می‌کردند. سپس مهاجمان برای نشان دادن اینکه چگونه موفق شده‌اند به این داده‌ها دسترسی پیدا کنند، تقاضای ۳۰ هزار دلار جایزه می‌کردند.
جان کان محقق ارشد امنیتی شرکت آی‌بی‌ام می‌گوید: «این مجرمان ترسی از نفوذ به شبکه سازمان‌ها برای سرقت اطلاعات نداشتند. آنها استدلال می‌کنند که شیوه‌ی آنها اثبات می‌کند که سامانه‌های شرکت‌ها آسیب‌پذیر است. با عدم افشاء و نابود نکردن کامل اطلاعات، آنها مسائل اخلاقی را رعایت کرده‌اند (همچون کلاه سفیدها) که موجب می‌شود کاملا شبیه به یک کلاه سیاه نباشند. اما با وجود این مسأله، در هر حال این کار سرقت اطلاعات و اخاذی است، چه اینکه نیت خوبی در پس آن باشد یا نباشد».
کان توصیه کرده است که این مبلغ باج پرداخت نشود، چرا که به ندرت ممکن است نیاز شود تا از نحوه سرقت اطلاعات باخبر شوند. سوابق موجود در کارگزار اینترنتی یک منبع باارزش برای اطلاعاتی از این دست است، همینطور بررسی‌های جرم‌شناسانه روی این دستگاه‌ها نیز کمک فراوانی می‌کند. شما تنها باید امیدوار باشید که این داده‌ها به صورت شخصی باقی بمانند؛ اگر داده‌های شخصی افراد نشت کنند، سازمان‌ها باید در هر حال آن را اعلام کنند.
البته واضح‌ترین تاکتیکی که می‌توان به کار برد، مستحکم‌تر کردن دفاع قبل از انجام حملات است. وصله‌ها را اعمال کنید، آزمایش‌های نفوذ را اجرا کنید و از کارشناسان امنیتی که می‌دانند چگونه باید این کار را انجام داد کمک بگیرید.
در این تکنیک که توسط محققان خدمات مدیریت امنیت آی‌بی‌ام کشف شده است، مجرمان معمولاً با استفاده از حملات تزریق SQL علیه وبگاه‌ها، وارد کارگزارهای شرکت‌ها می‌شوند. در هیچکدام از مواردی که آی‌بی‌ام در مورد آنها تحقیق کرده است، از بهره‌برداری‌های روز-صفرم استفاده نشده است و به جای آن، مجرمان تنها از حفره‌های شناخته شده و رایج برنامه‌نویسی استفاده کرده‌اند که وصله نشده‌اند.
این مهاجمان به بررسی کارگزارهای که در آنها نفوذ کرده بودند، پرداختند تا بتوانند داده‌های آسیب‌پذیر را پیدا کرده و همه را در یک حساب ذخیره‌سازی ابری برای خود ذخیره کنند. سپس به قربانی یک رایانامه ارسال کرده و در آن عنوان می‌شد که داده‌ها مورد دسترس قرار گرفته‌اند و یک پیوند به وبگاه ذخیره‌سازی داده‌ها برای آنها ارسال می‌کردند. سپس مهاجمان برای نشان دادن اینکه چگونه موفق شده‌اند به این داده‌ها دسترسی پیدا کنند، تقاضای ۳۰ هزار دلار جایزه می‌کردند.
جان کان محقق ارشد امنیتی شرکت آی‌بی‌ام می‌گوید: «این مجرمان ترسی از نفوذ به شبکه سازمان‌ها برای سرقت اطلاعات نداشتند. آنها استدلال می‌کنند که شیوه‌ی آنها اثبات می‌کند که سامانه‌های شرکت‌ها آسیب‌پذیر است. با عدم افشاء و نابود نکردن کامل اطلاعات، آنها مسائل اخلاقی را رعایت کرده‌اند (همچون کلاه سفیدها) که موجب می‌شود کاملا شبیه به یک کلاه سیاه نباشند. اما با وجود این مسأله، در هر حال این کار سرقت اطلاعات و اخاذی است، چه اینکه نیت خوبی در پس آن باشد یا نباشد».
کان توصیه کرده است که این مبلغ باج پرداخت نشود، چرا که به ندرت ممکن است نیاز شود تا از نحوه سرقت اطلاعات باخبر شوند. سوابق موجود در کارگزار اینترنتی یک منبع باارزش برای اطلاعاتی از این دست است، همینطور بررسی‌های جرم‌شناسانه روی این دستگاه‌ها نیز کمک فراوانی می‌کند. شما تنها باید امیدوار باشید که این داده‌ها به صورت شخصی باقی بمانند؛ اگر داده‌های شخصی افراد نشت کنند، سازمان‌ها باید در هر حال آن را اعلام کنند.
البته واضح‌ترین تاکتیکی که می‌توان به کار برد، مستحکم‌تر کردن دفاع قبل از انجام حملات است. وصله‌ها را اعمال کنید، آزمایش‌های نفوذ را اجرا کنید و از کارشناسان امنیتی که می‌دانند چگونه باید این کار را انجام داد کمک بگیرید.