شناسایی بدافزار پیشرفتهی «Remaiten»
به گزارش واحد امنیت سایبربان؛ اینترنت اشیاء درواقع به شبکهای از اشیاء ازجمله لوازمخانگی گفته میشود که به اینترنت دسترسی دارند. یکی دیگر از اجزای اینترنت اشیاء، لوازم بیمارستانی است؛ بنابراین حتی بحث نفوذ به اینترنت اشیاء مانند یک کابوس است و میتواند خسارتهای بسیار سنگینی بهجای بگذارد.
پژوهشگران شرکت امنیتی ESET بهتازگی موفق به شناسایی قطعه بدافزاری شدهاند که باهدف حمله به دستگاههای خاصمنظوره و تعبیهشده مانند مسیریابها و سایر دستگاهها مانند گِیتوی و نقاط اتصال وایفای خانگی و ... توسعه پیداکرده است. برخلاف بسیاری از نرمافزارهای دیگر که هدف آنها حمله به دستگاههای تلفن همراه هوشمند و رایانههای خانگی است.
این بدافزار چگونه کار میکند؟
بدافزار به نام Linux/Remaiten نامگذاری شده است. ترکیبی از بدافزار Tsunami و Gafgyt است که البته قابلیتهای جدیدتری را هم شامل میشود. تاکنون سه نسخهی متفاوت از این بدافزار مشاهدهشده که بهصورت ۲٫۰، ۲٫۱ و ۲٫۲ نامگذاری شدهاند. بر اساس اطلاعات بهجامانده در کد این بدافزار، نویسندهی این بدافزار آن را KTN-Remastered یا KTN-RM نامگذاری کرده است.
قابلیتهای بدافزار Gafgyt بهمنظور پویش Telnet مورداستفاده قرارگرفته است، بهاینترتیب با پویش شبکه بدافزار به آدرسهای آیپی تصادفی متصل میشود و برای این کار از درگاه (پورت) ۲۳ که مخصوص تِلنت است استفاده میکند؛ در صورت موفقیتآمیز بودن اتصال، بدافزار از فهرست از پیش آمادهی شناسه/گذرواژه که مربوط به دستگاههای تعبیهشده است (شناسه و گذرواژههای پیشفرض دستگاههای موجود) سعی میکند اطلاعات هر دستگاه را حدس بزند. اگر بهصورت موفقیتآمیز وارد دستگاه شود، یک فرمان را برای بارگیری بدافزار اصلی اجرا میکند (نسخههای مختلف برای معماریهای مختلف وجود دارد که همه را بارگیری میکند) و تلاش میکند پروندهی بارگیری شده را اجرا کند.
البته این روش بسیار وقتگیر است، بنابراین نسخهی جدید بدافزار یک نسخه از پروندهی اجرایی بدافزار را با خود به همراه دارد (این نسخه معروفترین نسخهای است که در بیشتر سیستمعاملها اجرا میشود)، درصورتیکه این نسخه با دستگاه سازگار نباشد، از کارگزار فرماندهی و کنترل یک نسخهی سازگار درخواست میشود.
این نسخه از بدافزار به کمک فرمانهای IRC قابل هدایت است، درواقع این خصلتها از بدافزار معروف Tsunami به ارث رسیده است.
بدافزار Tsunami بیشتر برای ایجاد یک شبکه از رایانههای فرمانبر یا بتنت مورداستفاده قرارگرفته است که هدف آنها راهاندازی حملات انسداد سرویس توزیعشده بوده است.
هدف این شبکهی آلوده و اینکه مهاجمان قصد دارند به کم آنچه حملاتی را راهاندازی نمایند هنوز بهصورت کامل مشخص نیست، اما با احتمال زیادی هدف راهاندازی حملات انسداد سرویس توزیعشده است که شناسایی آن از راه مسیریابها و سایر تجهیزات شبکه بسیار سخت است.
