کمیته رکن چهارم – فعالان تهدید شده با بدافزار TrickBot با یک باجافزار جدید به نام “Diavol” مرتبط شدهاند.
تروجان TrickBot، یک Trojan بانکی است که برای اولین بار در سال ۲۰۱۶ شناسایی شد، به طور سنتی یک راهحل نرمافزاری مبتنی بر ویندوز بوده و از ماژولهای مختلفی برای انجام طیف گستردهای از فعالیتهای مخرب در شبکههای هدف، از جمله سرقت اعتبارنامه و انجام حملات باج افزار استفاده میکند.
علیرغم تلاشهای نیروی انتظامی برای خنثی کردن شبکه بات، ثابت شده است که این بدافزار یک تهدید انعطافپذیر بوده، و آنچه با اپراتورهای مبتنی بر روسیه “اسپایدر عنکبوتی” نامیده میشود، به سرعت ابزار جدیدی برای اجرای حملات بیشتر بکار میگیرد.
گفته میشود دیاول در یک حادثه تا به امروز در طبیعت مستقر شده است، منبع نفوذ هنوز ناشناخته مانده است، آنچه واضح است، این است که کد منبع payload شباهتهایی با Conti دارد، حتی مشخص شده است که این بدافزار از زبان باجافزار Egregor استفاده مجدد میکند.
محققان گفتند: “به عنوان بخشی از یک روش رمزگذاری کاملاً منحصر بهفرد، Diavol با استفاده از تماسهای غیرهمزمان حالت کاربری کاربر بدون الگوریتم رمزگذاری متقارن عمل میکند،” “معمولاً نویسندگان باج افزار به دنبال تکمیل عملیات رمزگذاری در کمترین زمان هستند، الگوریتمهای رمزگذاری نامتقارن گزینه آشکاری نیستند زیرا به طور قابل توجهی کندتر از الگوریتمهای متقارن هستند.”
یکی دیگر از جنبههای باجافزار که برجسته است، اتکای آن به یک روش ضد تجزیه و تحلیل است تا کد خود را به شکل تصاویر نقشهبیتی کدگذاری کند، که از آنجا برنامههای روتین به یک بافر با اجازه اجرا بارگذاری میشوند.
قبل از قفل کردن پروندهها و تغییر تصویرزمینه دسکتاپ با یک پیام باج، برخی از عملکردهای اصلی انجام شده توسط Diavol شامل ثبت دستگاه قربانی با یک سرور از راه دور، خاتمه دادن فرایندهای در حال اجرا، یافتن درایوها و پروندههای محلی در سیستم برای رمزگذاری و جلوگیری از بازیابی با حذف نسخههای سایه است.
تلاش جدید باج افزار Wizard Spider با “تحولات جدید در ماژول تزریق وب TrickBot” همزمان است، که نشان میدهد گروه سایبری با انگیزه مالی هنوز به طور فعال در حال تجهیز کردن سلاحهای مخرب آن است.
محقق امنیت سایبری، مارکوس هاچینز در توئیتری نوشت: “TrickBot ماژول کلاهبرداری بانکی خود را بازگردانده است که برای پشتیبانی از تزریق وب به سبک Zeus بهروز شده است” “این میتواند نشان دهد که آنها در حال از سرگیری عملیات کلاهبرداری بانکی خود هستند و قصد دارند دسترسی به افرادی را که با قالب داخلی تزریق وب خود آشنا نیستند، گسترش دهند.”
منبع : thehackernews
