مطالب پربازدید

1404/07/10 - 08:30- جنگ سایبری

«حملات تخریبی» به کشور۳ برابر شد/ افشای نام «اهداف اصلی» حملات هکرها

بر اساس داده‌های گزارش سالانه گراف، هوش مصنوعی مولد (GenAI) چشم‌انداز تهدیدات ایران را در سال ۱۴۰۳ دگرگون کرد؛ جایی که حملات با LLMJacking، باج‌افزار و فریب‌های پیشرفته، نهادهای دولتی و آموزشی را در کانون هدف قرار دادند.

1404/06/26 - 14:35- جنگ سایبری

تمرکز اسرائیل بر «پیجر» و جنگ الکترونیک در نبردهای آینده با ایران

مقامات رژیم صهیونیستی، طراحی عملیات‌های غافلگیر کننده ای همچون عملیات پیجرها برای جنگ آینده با ایران را ضروری می دانند.

1404/08/05 - 14:27- جنگ سایبری

اسرار نظامی و اطلاعات سری پدافند لیزری اسرائیل به دست هکرها افتاد

گروه هکری جبهه پشتیبانی سایبری «الجبهة الإسناد السيبرانية» اعلام کرد که با نفوذ به شرکت نظامی مایا، به اطلاعات محرمانه پدافند پیشرفته لیزری Iron Beam و تعداد زیادی از سلاح‌های پیشرفته اسرائیل دست یافته است.

دانیال مشتاق

انتشار شده در تاریخ 1400/10/14 - 11:02

روباه بنفش؛ بدافزاری که از طریق فایل نصب کننده تلگرام دسکتاپ منتشر می شود

بدافزار Purple Fox می تواند از طریق یک فایل نصب کننده تلگرام دسکتاپ منتشر شود و پی لودهای مخربی را بر روی سیستم هدف اجرا کند.

به گزارش کارگروه امنیت سایبربان؛ یک فایل نصب کننده مخرب تلگرام دسکتاپ به منظور نصب دیگر پی لودهای مخرب بر روی دستگاه های آلوده، اقدام به انتشار بدافزار Purple Fox (روباه بنفش) می کند.

این نصب کننده، یک اسکریپت فشرده Autolt به نام Telegram Desktop.exe است که دو فایل را رها می کند:

نصب کننده واقعی تلگرام
دانلود کننده مخرب

نصب کننده واقعی تلگرام اجرا نمی شود و این، برنامه AutoIT است که دانلود کننده مخرب (TextInputh.exe) را اجرا می کند. هنگامی که TextInputh.exe اجرا می شود، پوشه جدیدی ("1640618495") را در "C:\Users\Public\Videos\" ایجاد می کند و برای دانلود یک آرشیو RAR و 7z به سرور کنترل و فرمان متصل می شود.

این آرشیو شامل پی لود و فایل های پیکربندی است در حالی که برنامه 7z همه چیز را در پوشه ProgramData قرار می دهد.

طبق بررسی های صورت گرفته توسط Minerva Labs، TextInputh.exe می تواند کارهای زیر را در دستگاه های نا ایمن صورت دهد:

کپی کردن 360.tct در پوشه ProgramData با نام “360.dll”، rundll3222.exe و svchost.txt
اجرای ojbk.exe با خط فرمان “ojbk.exe -a”
حذف 1.rar و 7zz.exe و خارج شدن از پروسه
جریان آلوده سازی بدافزار روباه بنفش

پس از آن، کلید رجیستری برای ماندگاری بدافزار ساخته می شود، rundll3222.dll کنترل حساب کاربر را غیر فعال می کند، پی لود اجرا می شود و 5 فایل اضافی دیگر بر روی سیستم آلوده رها سازی می شوند:

Calldriver.exe
Driver.sys
dll.dll
kill.bat
speedmem2.hg

هدف از رها سازی این فایل های اضافه، انسداد راه اندازی پروسه های 360 AV و جلوگیری از شناسایی روباه بنفش بر روی دستگاه های در معرض خطر است.

قدم بعدی این بدافزار، جمع آوری اطلاعات پایه ای سیستم برای بررسی کارکرد ابزار امنیتی و در نهایت ارسال تمامی آن ها به یک نشانی هارد کد شده سرور کنترل و فرمان است.

در صورت تکمیل این پروسه، روباه بنفش در فرم یک فایل .msi از سرور کنترل و فرمان دانلود می شود. این فایل شامل شل کدهای رمزنگاری شده سیستم های 32 و 64 بیت است.

پس از اجرای روباه بنفش، دستگاه آلوده برای تنظیم مجدد یک رجیستری جدید ری استارت می شود. روباه بنفش در نهایت می تواند فعالیت های مخربی مانند سرچ فایل و استخراج داده، دانلود و اجرای کد، حذف داده و انتشار به دیگر سیستم های ویندوز صورت دهد.