پایگاه خبری تحلیلی اخبار محرمانه

آخرين مطالب

گسترش بدافزار استخراج ارز دیجیتال در خاورمیانه سياسي

گسترش بدافزار استخراج ارز دیجیتال در خاورمیانه

  بزرگنمايي:

اخبار محرمانه - به گزارش گرداب ، نسخه جدید ‫اکسپلویت EternalBlue در حال گسترش بوده و کارشناسان امنیتی جهان مشاهده کرده اند که این بدافزار اقدام به نصب نسخه جدید بدافزار استخراج رمز ارز ‫NRSMiner نیز می‌کند.
اکسپلویت EternalBlue یکی از ابزارهای جاسوسی سازمان امنیت ملی امریکا (NSA) است که توسط گروه دلالان سایه افشا شد و در حمله باج‌افزاری واناکرای نقش اصلی را بازی می‌کرد. این اکسپلویت پروتکل SMB نسخه 1 را که نسخه پرطرفداری بین هکرها است هدف قرار می‌دهد.
بررسی‌های شرکت امنیتی F-Secure نشان می‌دهد که جدیدترین نسخه بدافزار NRSMiner از اواسط ماه نوامبر شروع به توزیع کرده و با استفاده از اکسپلویت EternalBlue در کامپیوترهای آسیب‌پذیر در یک شبکه محلی توزیع می‌شود. این بدافزار بیشتر در آسیا توزیع شده و بعد از ویتنام که 54 درصد این آلودگی را به خود اختصاص داده، کشور ایران رتبه دوم آلودگی به این بدافزار را با بیش از 16 درصد دارد.
این بدافزار نسخه‌های قبلی خود را نیز با استفاده از دانلود ماژول‌های جدید و پاک کردن فایل‌های قدیمی به‌روز کرده است. این بدافزار به صورت چندنخی اجرا می‌شود تا بتواند همزمان قابلیت‌های مختلفی مانند استخراج رمزارز و فشرده‌سازی اطلاعات را انجام دهد.
این بدافزار بقیه تجهیزات محلی در دسترس را اسکن کرده و اگر پورت TCP شماره 445 آن‌ها در دسترس باشد، روی آن اکسپلویت EternalBlue را اجرا کرده و در صورت اجرای موفق درب پشتی DoublePulsar را روی سیستم قربانی جدید نصب می‌کند.
این رخنه امنیتی از طریق Wininit.exe گسترش می‌یابد که هنگام اجرا یک فایل svchost.exe را که به عنوانEternalBlue 2,2.0 شناخته می‌شود، از حالت فشرده خارج می‌کند. سپس Wininit.exe قبل از اجرای اکسپلویت، پورت 445 TCP را برای شناسایی سیستم‌های آسیب‌پذیر دیگر اسکن می‌کند.
در صورت موفقیت‌آمیز بودن فرایند بدافزار، درب پشتی DoublePulsar از طریق فایلی به نام spoolsv.exe اجرا می‌شود. این درب پشتی که یک payload سطح کرنل است، به سیستم‌های 32 و 64 بیتی متصل می‌شود و از پورت‌های سیستم برای آلوده‌کردن سیستم هدف توسط payloadهای اضافی و ایجاد مسیری برای ارتباط با سرور فرمان و کنترل (C&C) و سرقت اطلاعات، استفاده می‌کند. از این درب-پشتی برای حفظ پایداری در سیستم آلوده و همچنین برای اجرای سرویس Snmpstorsrv، که قادر به اسکن مداوم برای یافتن سیستم‌های آسیب‌پذیر جدید است، استفاده می‌شود.
این بدافزار از استخراج کننده رمزارز XMRig برای استخراج رمزارز استفاده می‌کند.
کاربرانی که به‌روزرسانی‌های مایکروسافت برای جلوگیری از حملات واناکرای را نصب کرده باشند از این طریق آلوده نمی‌شوند. اگر این وصله‌ها را به هر دلیلی نمی‌توانید نصب کنید، توصیه می‌شود که هرچه زودتر پروتکل SMB نسخه 1 را غیرفعال کنید.
نشانه‌های آلودگی (IoC):
هش (SHA-1):
32ffc268b7db4e43d661c8b8e14005b3d9abd306 - MarsTraceDiagnostics.xml
07fab65174a54df87c4bc6090594d17be6609a5e - snmpstorsrv.dll
abd64831ad85345962d1e0525de75a12c91c9e55 - AppDiagnostics folder (zip)
4971e6eb72c3738e19c6491a473b6c420dde2b57 - Wininit.exe
e43c51aea1fefb3a05e63ba6e452ef0249e71dd9 – tmpxx.exe
327d908430f27515df96c3dcd180bda14ff47fda – tmpxx.exe
37e51ac73b2205785c24045bc46b69f776586421 - WUDHostUpgradexx.exe
da673eda0757650fdd6ab35dbf9789ba8128f460 - WUDHostUpgradexx.exe
ace69a35fea67d32348fc07e491080fa635cc859 - WUDHostUpgradexx.exe
890377356f1d41d2816372e094b4e4687659a96f - WUDHostUpgradexx.exe
7f1f63feaf79c5f0a4caa5bbc1b9d76b8641181a - WUDHostUpgradexx.exe
9d4d574a01aaab5688b3b9eb4f3df2bd98e9790c - WUDHostUpgradexx.exe
9d7d20e834b2651036fb44774c5f645363d4e051 – x64.dll
641603020238a059739ab4cd50199b76b70304e1 – x86.dll
IPها:
167[.]179,79.234
104[.]248,72.247
172[.]105,229.220
207[.]148,110.212
149[.]28,133.197
167[.]99,172.78
181[.]215,176.23
38[.]132,111.23
216[.]250,99.33
103[.]103,128.151
URLها:
c[.]lombriz[.]tk
state[.]codidled[.]com
null[.]exhauest[.]com
take[.]exhauest[.]com
junk[.]soquare[.]com
loop[.]sawmilliner[.]com
fox[.]weilders[.]com
asthma[.]weilders[.]com
reader[.]pamphler[.]com
jump[.]taucepan[.]com
pluck[.]moisture[.]tk
handle[.]pamphler[.]com
منبع: خبرگزاری مهر




نظرات شما

ارسال دیدگاه

Protected by FormShield

ساير مطالب

29 بهمن تبریز؛ سرسلسله قیام‌های انقلاب اسلامی

برخورد قاطع سپاه با صیادهای چینی

انتقاد پزشکیان از افراطی‌گری‌هایی که با آن برخورد نمی‌شود

تجلیل 221 نماینده از حضور مردم در راهپیمایی "22 بهمن"

پیام تسلیت جهانگیری در پی درگذشت همشیره آیت‌الله هاشمی

پاکستان حرمت همسایه را نگاه نمی‌دارد!

سناتور دموکرات آمریکا از پشت ایران در آمد

داوودی: پذیرش FATF تحریم‎های فلج‎کننده در پی دارد

آیت‌الله ممدوحی: می‌خواهند دست و پایمان را زنجیر کنند

چرا آمریکا کالا‌های لوکس را تحریم نمی‌کند؟

لاریجانی عازم چین شد

احمدی‌نژاد دوباره با یک رسانه اصلاح‌طلب به مصاحبه نشست

بازدید روحانی از یک محله محروم

تذکرات کتبی نمایندگان به مسئولان اجرایی کشور

رئیس دستگاه قضا: مردم دارای فهم سیاسی عمیق شده‌اند

قرائت کیفرخواست محیط زیستی‌ها پایان یافت

آملی‌لاریجانی‌: بیانیه «گام دوم انقلاب» منبعث از یک روح بزرگ است

هادی خامنه‌ای درگذشت پوران شریعت رضوی را تسلیت گفت

بررسی آخرین تحولات سوریه در نشست کمیسیون امنیت ملی مجلس

سردار صفوی: سیستان و بلوچستان با بودجه‌های مختصر دولتی قابل پیشرفت نیست

جهانگیری: عده‌ای حسود دنبال زمین‌زدن ثروتمندان هستند

آیت‌الله نوری‌همدانی: ایمان اولین سرمایه نیروهای مسلح در ایران است

روایت نماینده مجلس از پرونده نوبخت

لاریجانی: ایران و چین همیشه ارتباطات نزدیکی با یکدیگر داشته‌اند

حدادعادل: شرایط امروز مانند مرداد 32 است

مطهری: شهید مطهری اولین فردی بود که امام را در قم کشف کرد

دبیرخانه بیانیه «گام دوم انقلاب» در مرکز پژوهش‌های‌ مجلس تشکیل می‌شود

قزاقستان حادثه تروریستی زاهدان را محکوم کرد

جزئیات شکایت نوبخت از امضا کنندگان نامه به رئیس جمهور

آخرین وضعیت مرزبانان ربوده شده در میرجاوه

پیغام محکم سرلشکر باقری به تروریست‌ها

واکنش «فلاحت‌پیشه» به ادعای ترامپ درباره داعش

رئیس جمهور: انصاف و مروت نیست که کارهای بزرگ دولت را نادیده بگیریم

پاسخ فرانسه به گزافه‌گویی معاون ترامپ درباره اینستکس

روایت روحانی از تکلیف مقام رهبری به ایشان در دوران دفاع مقدس

انتقاد رئیس جمهور از اختلافات و بهانه‌جویی ها بر سر مسائل جزئی

صادرات رادیوداروهای ایران به 15 کشور جهان

توکلی: اگر مردم مرفه بودند FATF را نمی‌پذیرفتیم

انتظار ایران از دولت پاکستان درباره ماجرای خونبار

روحانی: پیروزی بزرگ ما در سازمان ملل چند بار توسط صدا و سیما و روزنامه ها اعلام شد؟

روایت سردار باقری از اقدامات پاکستان ‌علیه گروهک‌های تروریستی

هشدار رهبر انقلاب درباره اروپا؛ مراقب خدعه آنها باشید

خلأ قانونی اخذ رأی در انتخابات پس از ساعت 24 رفع می‌شود

ضرب شست سپاه به عاملان جنایت تروریستی زاهدان

پاسخ‌گویی به سبک نوبخت؛ معاون روحانی طلبکار شد

حمله تند و نوبرانه مهناز افشار به روحانی

وقتی رئیس جمهور فرانسه به مقاله شریعتمداری استناد می‌کند!

تشکر رهبر انقلاب از حضور پرشور مردم در 22 بهمن

توضیح کاظم جلالی درباره تحرکات انتخاباتی لاریجانی

اظهارات مهم رهبر انقلاب درباره حادثه تروریستی زاهدان