کمیته رکن چهارم – آی تی آنالیز :امروزه هکرها با بکار گیری از طرح نسخه اصلی برنامه های کاربردی، نسخه جعلی آنها را تولید می کنند و کاربران را بدون هیچ ردی از خود فریب می دهند.
به گزارش کمیته رکن چهارم،کار اینگونه بدافزارها جاسوسی و سرقت اطلاعات حساب کاربری مشترکان این نوع برنامه ها می باشد.
چندی پیش در پایگاه اینترنتی شرکت امنیتی پاندا خبری مبنی بر تولید یک گونه بدافزار هوشمند و مخرب از روی نسخه اصلی یک برنامه محبوب و کاربردی در زمینه مدیریت FTP ، موسوم به FileZilla منتشر شد.
پروتکل انتقال فایل یا FTP روشی است که در آن مدیران وب می توانند فایل های مورد نظر خود را از یک رایانه به فضای میزبانی خود منتقل سازند. فایل زیلا یک برنامه رایگان است که اولین نسخه آن در سال ۲۰۰۱ توسط یک تیم توسعه دهنده منتشر شد و امروزه، نسخه های مختلف آن، سیستم های عامل ویندوز، لینوکس و مک را هم فرا گرفته است.
به گزارش روابط عمومی شرکت ایمن رایانه پندار نماینده انحصاری ضد ویروس پاندا در ایران، اخیراً کارشناسان امنیتی به نسخه آلوده این برنامه محبوب برخورده اند که در حین وارد سازی اطلاعات هاست و گذرواژه ها، این اطلاعات را به سرقت برده و فوراً به توسعه دهنده خود مخابره می کند.
مطابق این گزارش، تا به امروز نسخه های ۳.۵.۳ و ۳.۷.۳ آلوده این برنامه در فضای مجازی منتشر شده است. اشکال کار اینجاست که تشخیص نسخه مخرب و اصلی بدلیل تشابه بسیار زیاد، برای کاربران و مدیران وب کار ساده ای بنظر نمی رسد.
سیستم عملکرد برنامه های FTP ساده است، آنها با دسترسی از قبل تعیین شده در بخش مدیریت هاست و به کمک برخی اطلاعات از جمله آدرس، پورت، نام کاربری و گذرواژه می توانند اجازه انتقال فایل را از رایانه های شخصی به فضای میزبانی فراهم سازند.
طبیعتاً با وارد سازی این اطلاعات، از طریق فایل زیلا، کار برای مدیران وب بسیار ساده تر می شود؛ اما نباید فراموش کرد که با اینگونه اطلاعات محرمانه، سارقان اینترنتی می توانند اطلاعات و دیتاهای یک وب را به سرقت برده یا هرگونه تغییری در آنها اعمال کنند و اینگونه امنیت اطلاعات هاست یک سازمان را تحت تأثیر قرار دهند.
مطابق آخرین گزارش پاندا، کارشناسان امنیتی به تازگی دریافته اند که اطلاعات به سرقت رفته توسط بدافزار FileZilla، از طریق دو آدرس اینترنتی برای سازنده این بدافزار مخابره می شوند.
این دو آدرس “aliserv2013.ru” و “go-upload.ru” می باشند که از طریق وب سایت روسی “Naunet.ru” ثبت و تولید شده اند. به کمک این دو آدرس اینترنتی، بدافزار با توسعه دهنده خود ارتباط برقرار می کند.
یکی از تفاوت های اصلی نسخه تقلبی و اصلی فایل زیلا در نحوه عملکرد در بخش به روز رسانی این برنامه می باشد. نسخه بدافزار فایل زیلا هرگز به نسخه های بالاتر به روز رسانی نمی شود.
تفاوت ظاهری میان نسخه اصلی و بدافزار فایل زیلا وجود ندارد، اما به نظر می رسد که برخی از اطلاعات درج شده در توضیحات محصول این دو نسخه متفاوت است. همانطور که در عکس زیر مشاهده می کنید، اطلاعات ثبت شده در دو بخش “Build Information” و “Linked against” با هم مغایرت دارند.
filzila.jpg
GnuTLS و SQLite استاندارد هایی هستند که تضمین می کنند یک برنامه برای انتقال داده ها از سیستم های رمزنگاری استفاده می کنند. این دو سیستم رمزنگاری متن باز و رایگان هستند. در عکس فوق می توان اختلاف میان اطلاعات درج شده در این دو سیستم رمزنگاری را مشاهده نمود.
تفاوت دیگر میان این دو نسخه، وجود دو فایل dll اضافی به نام هایibgcc_s_dw2-1.dll و libstdc++-6.dllدر دایرکتوری این برنامه می باشد که البته به نظر نمی رسد اثرات مخربی روی سیستم کاربر داشته باشند.
شرکت پاندا سکیوریتی تولید کننده محصولات امنیتی خانگی و تحت شبکه برای مقابله از انتشار این بدافزار روی رایانه های شخصی و سازمانی، از تمامی کاربران خواسته تا در صورتی که از نرم افزار FileZilla استفاده می کنند حتماً برنامه خود را به آخرین نسخه موجود به روز رسانی نمایند تا در صورت اشکال یا عدم به روز رسانی پی در پی، نسخه آلوده ساده تر شناسایی شود.
ضمن اینکه اطلاعات موجود در توضیحات برنامه را می توان با اطلاعات نسخه رسمی مقایسه کرد و از آن نتیجه گیری مطمئن تری داشت. به تمامی کاربران پیشنهاد می شود تا در صورت وجود هرگونه تردید در جعلی بودن برنامه موجود خود، آن را حذف کرده و مجدد نسخه اصلی این برنامه را از وب سایت رسمی آن و یا از طریق وب سایت های معتبر در زمینه دانلود نرم افزار دریافت نمایند.
منبع:امنیت
