کمیته رکن چهارم – شرکت امنیتی فلش‌پوینت می‌گوید بدافزار گریه عمدتاً از طریق هرزنامه در قالب فاکتورهای جعلی از سوی خدمات مالی بین‌المللی توزیع می‌شود. موفقیت نسبی که سازندگان نمونه‌های باج‌افزار گریه و نات‌پِتیا در توزیع بدافزارهای خود با استفاده از روش انتشار کرم مانند داشتند، به‌نظر می‌رسد الهام‌بخش دیگران برای دنبال کردن همان رویکرد است.
شرکت امنیتی فلش‌پوینت این هفته اعلام کرد که نسخه‌ی جدیدی از تروجان بانکی Trickbot را که شامل یک ماژول انتشار کرم مانند می‌باشد، کشف کرد. این بدافزار عمدتاً از طریق هرزنامه در قالب فاکتورهای جعلی از سوی خدمات مالی بین‌المللی توزیع می‌شود. هنگامی‌که بدافزار سامانه را آلوده می‌کند، به‌گونه‌ای طراحی شده است تا از طریق سرویس SMB به‌طور محلی در شبکه گسترش یابد. ماژول انتشار جدید، آماده‌ی پویش یک دامنه‌ی آلوده برای کارگزارها و رایانه‌های آسیب‌پذیر از طریق شمارش واسط‌های برنامه‌نویسی NetServerEnum ویندوز و پروتکل دسترسی به فهرست راهنمای LDAP می‌باشد.
محقق امنیتی فلش‌پوینت در وبلاگ این هفته نوشت: «تاکنون هیچ‌گونه شواهدی از نسخه‌ی اصلاح‌شده‌ی Trickbot که از طریق اشتراک SMB توزیع شود، مشاهده نشده است. این امر نشان می‌دهد که سازندگان بدافزار هنوز به‌طور کامل این قابلیت را اجرا نکرده‌اند. به گفته‌ی محققان، احتمال دارد که سازندگان بدافزار چگونگی حرکت جانبی Trickbot در یک شبکه‌ی محلی را با هدف آلوده کردن رایانه‌های بیشتر و همکاری آن‌ها با یک بات‌نت آزمایش کنند.»
اخبار مربوط به ماژول جدید کرم مانند در Trickbot تنها چند روز پس از آن که فلش‌پوینت هشدار داد که Trickbot برای اولین بار از آن برای هدف‌گیری و آلوده کردن مشتریان بانک‌های آمریکا و موسسات مالی استفاده کرده است، منتشر شد. اگرچه Trickbot از اواسط سال ۲۰۱۶ میلادی تاکنون وجود داشته است، اما قربانیان را تنها خارج از آمریکا هدف قرار می‌دهد. اما از اواسط ماه ژوئیه، پویش جدیدی با استفاده از هرزنامه‌ی Trickbot توسط بات‌نت مشهور Necurs طراحی شده است، که کاربرانی را در آمریکا، انگلستان، نیوزیلند، کانادا، دانمارک و چندین کشور دیگر هدف قرار داده است.
بات‌نت Necurs یکی از بزرگترین بات‌نت‌های جهان با بیش از یک میلیون بات آلوده‌ی Necurs است که همیشه فعال هستند. این بات‌نت چندین سال است که برای ارائه‌ی طیف وسیعی از بدافزارها مورد استفاده قرار گرفته است. به‌تازگی برای افزودن یک جزء جدید که امکان استفاده از آن را برای راه‌اندازی حملات منع سرویس وجود دارد، تنظیم شده است.
شرکت امنیتی فلش‌پوینت گفت: «از ۱۷ ژوئیه، حداقل سه موج هرزنامه بات‌نت Necurs وجود داشته که آخرین بار شامل Trickbot بوده است. موج هرزنامه‌ی اولیه حاوی یک رایانامه با یک پرونده‌ی اسکریپت مخرب ویندوز بود که به‌نظر می‌رسید از سوی شرکت مخابراتی استرالیایی باشد. جدیدترین رایانامه‌ها تکامل یافته و شامل اسناد ماکروی مخرب به‌عنوان پرونده‌ی پیوست هستند.»
منبع : news.asis.io
