تبلیغات
تبلیغات متنی
آموزشگاه آرایشگری مردانه شفیع رسالت
دکتر علی پرند فوق تخصص جراحی پلاستیک
بهترین دکتر پروتز سینه در تهران
محبوبترینها
راهنمای انتخاب شرکت‌های معتبر باربری برای حمل مایعات در ایران
چگونه اینورتر های صنعتی را عیب یابی و تعمیر کنیم؟
جاهای دیدنی قشم در شب که نباید از دست بدهید
سیگنال سهام چیست؟ مزایا و معایب استفاده از سیگنال خرید و فروش سهم
کاغذ دیواری از کجا بخرم؟ راهنمای جامع خرید کاغذ دیواری با کیفیت و قیمت مناسب
بهترین ماساژورهای برقی برای دیسک کمر در بازار ایران
بهترین ماساژورهای برقی برای دیسک کمر در بازار ایران
آفریقای جنوبی چگونه کشوری است؟
بهترین فروشگاه اینترنتی خرید کتاب زبان آلمانی: پیک زبان
با این روش ساده، فروش خود را چند برابر کنید (تست‌شده و 100٪ عملی)
خصوصیات نگین و سنگ های قیمتی از نگاه اسلام
صفحه اول
آرشیو مطالب
ورود/عضویت
هواشناسی
قیمت طلا سکه و ارز
قیمت خودرو
مطالب در سایت شما
تبادل لینک
ارتباط با ما
مطالب سایت سرگرمی سبک زندگی سینما و تلویزیون فرهنگ و هنر پزشکی و سلامت اجتماع و خانواده تصویری دین و اندیشه ورزش اقتصادی سیاسی حوادث علم و فناوری سایتهای دانلود گوناگون
مطالب سایت سرگرمی سبک زندگی سینما و تلویزیون فرهنگ و هنر پزشکی و سلامت اجتماع و خانواده تصویری دین و اندیشه ورزش اقتصادی سیاسی حوادث علم و فناوری سایتهای دانلود گوناگون
آمار وبسایت
تعداد کل بازدیدها :
1869295578
بدافزاری كه در رجیستری ویندوز شما خانه می‌كند
واضح آرشیو وب فارسی:باشگاه خبرنگاران: رخدادهای رایانه‌ای؛
بدافزاری كه در رجیستری ویندوز شما خانه می‌كند
محققان امنیتی هشدار دادند كه یك برنامه بدافزاری جدید به نام Poweliks سعی می‌كند با اجرای كامل از روی رجیستری سیستم و بدون ایجاد فایلی بر روی سیستم، از شناسایی و تحلیل خود توسط متخصصان امنیتی جلوگیری کند.
به گزارش دریچه فناوری اطلاعات باشگاه خبرنگاران؛ ایده بدافزار «بدون فایل» كه صرفاً در حافظه سیستم وجود دارد جدید نیست، ولی چنین تهدیداتی نادر هستند، چرا كه نوعاً در راه‌اندازی‌های مجدد سیستم و پس از پاك شدن حافظه، نمی‌توانند به حیات خود ادامه دهند. اما در مورد Poweliks این مسأله صادق نیست. به گفته محققان بدافزارهای شركت امنیتی G Data Software، این بدافزار از روش جدیدی برای بقای خود استفاده می‌كند و در عین حال هیچ فایلی نیز ایجاد نمی‌كند.
هنگامی كه Poweliks سیستمی را آلوده می‌كند، یك مدخل در رجیستری ایجاد می‌کند كه فایل ویندوزی معتبر rundll32.exe و سپس كد جاوا اسكریپت رمز شده‌ای را اجرا می‌كند. این كار پردازه‌ای را راه‌اندازی می‌كند. كد جاوا اسكریپت مزبور بررسی می‌كند كه آیا Windows PowerShell كه یك پوسته خط فرمان و محیط اسكریپتینگ است بر روی سیستم وجود دارد یا خیر. درصورتی‌كه این پوسته وجود نداشته باشد، آن را دانلود كرده و نصب می‌کند و سپس كدهای دیگری را كه در حقیقت یك اسكریپت PoweShell است رمزگشایی می‌كند.
این اسكریپت PowerShell با استفاده از ترفندی برای دور زدن محافظ پیش‌فرض ویندوز كه از اجرای اسكریپت‌های ناشناس PowerShell بدون تأیید كاربر جلوگیری می‌كند، اجرا می‌گردد. سپس این اسكریپت Shellcode را كه یك DLL را مستقیماً به حافظه سیستم تزریق می‌كند، رمزگشایی كرده و اجرا می‌کند.
هنگامی كه این DLL تقلبی در حال اجرا در حافظه است، به دو آدرس آی‌پی در قزاقستان متصل شده و دستورات را دریافت می‌كند. این بدافزار می‌تواند بسته به تمایل مهاجم برای دانلود و نصب سایر تهدیدات به كار رود. در طول این پروسه، از زمان اجرای كد جاوا اسكریپت تا تزریق نهایی DLL، این بدافزار هیچ فایل خرابكاری بر روی هارد دیسك ایجاد نمی‌كند كه این مسأله، شناسایی آن را برای آنتی‌ویروس‌ها مشكل می‌سازد.
علاوه بر اینها، نام كلید رجیستری ایجاد شده توسط Poweliks یك كاراكتر غیر اسكی است. این ترفندی است كه از نمایش این مدخل رجیستری توسط regedit (ابزار ویرایش رجیستری ویندوز) و احتمالاً سایر برنامه‌ها جلوگیری می‌كند و به این ترتیب شناسایی دستی آلودگی را برای كاربر و نیز تحلیلگران بدافزار مشكل می‌سازد.
برخی ویرایش‌های Poweliks از طریق اسناد خرابكار Word كه به هرزنامه‌ها پیوست شده بودند و وانمود می‌كردند كه از پست كانادا یا پست ایالات متحده ارسال شده‌اند، منتشر گشته‌اند. این اسناد خرابكار از یك آسیب‌پذیری اجرای كد از راه دور در آفیس 2003، 2007 و 2010 كه در آوریل 2012 اصلاح شده بود استفاده می‌كردند. البته با توجه به سایر گزارش‌ها، این بدافزار همچنین از طریق حملات drive-by download كه از نقایص وب استفاده می‌كنند نیز منتشر شده است.
آنتی‌ویروس‌ها برای مسدود كردن بدافزاری مانند Powliks باید یا فایل Word اولیه را پیش از اجرا و ترجیحاً پیش از رسیدن به صندوق پستی كاربر توقیف کنند یا اینكه در خط بعدی دفاعی، پس از اجرای فایل قادر به شناسایی كد سوء استفاده كننده از آسیب‌پذیری نرم‌افزار باشند، و یا در نهایت، رفتار غیرمعمول را تشخیص داده و پردازه مربوطه را مسدود كرده و به كاربر هشدار دهند.
منبع: certcc
تاریخ انتشار: ۱۴ مرداد ۱۳۹۳ - ۱۸:۰۱
این صفحه را در گوگل محبوب کنید
[ارسال شده از: باشگاه خبرنگاران]
[مشاهده در: www.yjc.ir]
[تعداد بازديد از اين مطلب: 109]
-
گوناگون
پربازدیدترینها