مرکز مدیریت امداد و هماهنگی عملیات رخدادهای رایانه ای نسبت به گسترش یک نمونه از بدافزار استخراج ارز دیجیتال در خاورمیانه هشدار داد و اعلام کرد: ایران در رتبه دوم این آلودگی سایبری قرار دارد.
تاریخ انتشار: ۱۹ دی ۱۳۹۷ - ۱۲:۵۸
کد خبر: ۲۸۱۹۲
به گزارش گرداب، نسخه جدید ‫اکسپلویت EternalBlue در حال گسترش بوده و کارشناسان امنیتی جهان مشاهده کرده اند که این بدافزار اقدام به نصب نسخه جدید بدافزار استخراج رمز ارز ‫NRSMiner نیز می‌کند.

اکسپلویت EternalBlue یکی از ابزارهای جاسوسی سازمان امنیت ملی امریکا (NSA) است که توسط گروه دلالان سایه افشا شد و در حمله باج‌افزاری واناکرای نقش اصلی را بازی می‌کرد. این اکسپلویت پروتکل SMB نسخه ۱ را که نسخه پرطرفداری بین هکرها است هدف قرار می‌دهد.

بررسی‌های شرکت امنیتی F-Secure نشان می‌دهد که جدیدترین نسخه بدافزار NRSMiner از اواسط ماه نوامبر شروع به توزیع کرده و با استفاده از اکسپلویت EternalBlue در کامپیوترهای آسیب‌پذیر در یک شبکه محلی توزیع می‌شود. این بدافزار بیشتر در آسیا توزیع شده و بعد از ویتنام که ۵۴ درصد این آلودگی را به خود اختصاص داده، کشور ایران رتبه دوم آلودگی به این بدافزار را با بیش از ۱۶ درصد دارد.

این بدافزار نسخه‌های قبلی خود را نیز با استفاده از دانلود ماژول‌های جدید و پاک کردن فایل‌های قدیمی به‌روز کرده است. این بدافزار به صورت چندنخی اجرا می‌شود تا بتواند همزمان قابلیت‌های مختلفی مانند استخراج رمزارز و فشرده‌سازی اطلاعات را انجام دهد.

این بدافزار بقیه تجهیزات محلی در دسترس را اسکن کرده و اگر پورت TCP شماره ۴۴۵ آن‌ها در دسترس باشد، روی آن اکسپلویت EternalBlue را اجرا کرده و در صورت اجرای موفق درب پشتی DoublePulsar را روی سیستم قربانی جدید نصب می‌کند.

این رخنه امنیتی از طریق Wininit.exe گسترش می‌یابد که هنگام اجرا یک فایل svchost.exe را که به عنوانEternalBlue ۲,۲.۰  شناخته می‌شود، از حالت فشرده خارج می‌کند. سپس Wininit.exe قبل از اجرای اکسپلویت، پورت ۴۴۵ TCP را برای شناسایی سیستم‌های آسیب‌پذیر دیگر اسکن می‌کند.

در صورت موفقیت‌آمیز بودن فرایند بدافزار، درب پشتی DoublePulsar از طریق فایلی به نام spoolsv.exe اجرا می‌شود. این درب پشتی که یک payload سطح کرنل است، به سیستم‌های ۳۲ و ۶۴ بیتی متصل می‌شود و از پورت‌های سیستم برای آلوده‌کردن سیستم هدف توسط payloadهای اضافی و ایجاد مسیری برای ارتباط با سرور فرمان و کنترل (C&C) و سرقت اطلاعات، استفاده می‌کند. از این درب-پشتی برای حفظ پایداری در سیستم آلوده و همچنین برای اجرای سرویس Snmpstorsrv، که قادر به اسکن مداوم برای یافتن سیستم‌های آسیب‌پذیر جدید است، استفاده می‌شود.

این بدافزار از استخراج کننده رمزارز XMRig برای استخراج رمزارز استفاده می‌کند.

کاربرانی که به‌روزرسانی‌های مایکروسافت برای جلوگیری از حملات واناکرای را نصب کرده باشند از این طریق آلوده نمی‌شوند. اگر این وصله‌ها را به هر دلیلی نمی‌توانید نصب کنید، توصیه می‌شود که هرچه زودتر پروتکل SMB نسخه ۱ را غیرفعال کنید.


نشانه‌های آلودگی (IoC):
هش (SHA-۱):

    ۳۲ffc۲۶۸b۷db۴e۴۳d۶۶۱c۸b۸e۱۴۰۰۵b۳d۹abd۳۰۶ - MarsTraceDiagnostics.xml
    ۰۷fab۶۵۱۷۴a۵۴df۸۷c۴bc۶۰۹۰۵۹۴d۱۷be۶۶۰۹a۵e - snmpstorsrv.dll
    abd۶۴۸۳۱ad۸۵۳۴۵۹۶۲d۱e۰۵۲۵de۷۵a۱۲c۹۱c۹e۵۵ - AppDiagnostics folder (zip)
    ۴۹۷۱e۶eb۷۲c۳۷۳۸e۱۹c۶۴۹۱a۴۷۳b۶c۴۲۰dde۲b۵۷ - Wininit.exe
    e۴۳c۵۱aea۱fefb۳a۰۵e۶۳ba۶e۴۵۲ef۰۲۴۹e۷۱dd۹ – tmpxx.exe
    ۳۲۷d۹۰۸۴۳۰f۲۷۵۱۵df۹۶c۳dcd۱۸۰bda۱۴ff۴۷fda – tmpxx.exe
  ۳۷e۵۱ac۷۳b۲۲۰۵۷۸۵c۲۴۰۴۵bc۴۶b۶۹f۷۷۶۵۸۶۴۲۱ - WUDHostUpgradexx.exe
    da۶۷۳eda۰۷۵۷۶۵۰fdd۶ab۳۵dbf۹۷۸۹ba۸۱۲۸f۴۶۰ - WUDHostUpgradexx.exe
   ace۶۹a۳۵fea۶۷d۳۲۳۴۸fc۰۷e۴۹۱۰۸۰fa۶۳۵cc۸۵۹ - WUDHostUpgradexx.exe
   ۸۹۰۳۷۷۳۵۶f۱d۴۱d۲۸۱۶۳۷۲e۰۹۴b۴e۴۶۸۷۶۵۹a۹۶f - WUDHostUpgradexx.exe
    ۷f۱f۶۳feaf۷۹c۵f۰a۴caa۵bbc۱b۹d۷۶b۸۶۴۱۱۸۱a - WUDHostUpgradexx.exe
    ۹d۴d۵۷۴a۰۱aaab۵۶۸۸b۳b۹eb۴f۳df۲bd۹۸e۹۷۹۰c - WUDHostUpgradexx.exe
  ۹d۷d۲۰e۸۳۴b۲۶۵۱۰۳۶fb۴۴۷۷۴c۵f۶۴۵۳۶۳d۴e۰۵۱ – x۶۴.dll
    ۶۴۱۶۰۳۰۲۰۲۳۸a۰۵۹۷۳۹ab۴cd۵۰۱۹۹b۷۶b۷۰۳۰۴e۱ – x۸۶.dll

IPها:


    ۱۶۷[.]۱۷۹,۷۹.۲۳۴
   ۱۰۴[.]۲۴۸,۷۲.۲۴۷
   ۱۷۲[.]۱۰۵,۲۲۹.۲۲۰
    ۲۰۷[.]۱۴۸,۱۱۰.۲۱۲
    ۱۴۹[.]۲۸,۱۳۳.۱۹۷
    ۱۶۷[.]۹۹,۱۷۲.۷۸
    ۱۸۱[.]۲۱۵,۱۷۶.۲۳
    ۳۸[.]۱۳۲,۱۱۱.۲۳
    ۲۱۶[.]۲۵۰,۹۹.۳۳
  ۱۰۳[.]۱۰۳,۱۲۸.۱۵۱
URLها:

 c[.]lombriz[.]tk
    state[.]codidled[.]com
    null[.]exhauest[.]com
    take[.]exhauest[.]com
   junk[.]soquare[.]com
    loop[.]sawmilliner[.]com
   fox[.]weilders[.]com
   asthma[.]weilders[.]com
   reader[.]pamphler[.]com
    jump[.]taucepan[.]com
    pluck[.]moisture[.]tk
   handle[.]pamphler[.]com


نظر شما :
نام:
ایمیل:
* نظر:
* کد امنیتی:
Chaptcha
حروفي را كه در تصوير مي‌بينيد عينا در فيلد مقابلش وارد كنيد