به گزارش کارگروه حملات سایبری سایبربان؛ باج افزار نایت در حال انتشار در کمپین اسپمی است که در ظاهر شکایات مربوط شرکت آمریکایی تریپ اَدوایزر است.
تریپ ادوایزر (TripAdvisor) یک شرکت مجری وبسایت و اپلیکیشن با محتوای گردشگری است که در آن می توانید اطلاعات بسیار خوبی از هتلها، رستورانها، اقامت گاه های مختلف و هر چیزی که در رابطه با سفر است به دست آورید.
باج افزار نایت نام جدید باج افزار Cyclop می باشد که در اواخر جولای 2023 تغییر پیدا کرده است. عاملین این باج افزار اعلام کردند که به منظور پشتیبانی از قابلیت نشر دسته ای نام این باج افزار را تغییر داده اند و سایت نشت داده جدیدی را راه اندازی کرده اند.
محققین شرکت سوفوس این هفته کمپین جدیدی را شناسایی کردند که در آن، بازیگران مخرب با سوء استفاده از نام شرکت معروف تریپ ادوایزر آمریکا اقدام به نشر بدافزار نایت می کنند.
ایمیل های ارسالی از سوی بازیگران مخرب شامل فایل زیپی به نام 'TripAdvisorComplaint.zip' است که حاوی یک فایل قابل اجرا به نام 'TripAdvisor Complaint - Possible Suspension.exe' می باشد.
نسخه های جدیدتر این کمپین حاوی یک فایل ضمیمه HTML به نام 'TripAdvisor-Complaint-[random].PDF.htm' نیز می باشد.
هنگامی که فایل HTML باز می شود بازیگران مخرب با استفاده از تکنیک فیشینگی به نام Mr.D0x یک پنجره مرورگر را به تریپ ادوایزر باز می کند.
این پنجره مرورگر جعلی در ظاهر یک انتقاد و شکایت به یک رستوران است. کلیک بر روی دکمه خواندن شکایت منجر به دانلود یک فایل اکسل به نام 'TripAdvisor_Complaint-Possible-Suspension.xll' می شود.
Mark-of-the-Web (MotW) یکی از قابلیتهای مایکروسافت که علامت ویژهای بر روی فایلهای دریافتی از اینترنت، درایوهای USB و دیگر منابع غیر مطمئن قرار میدهند تا ویندوز هنگام اجرای آنها تدابیر امنیت ویژهای اتخاذ کند. برای نمونه در زمان دابل کلیک بر روی فایلهای آفیس، ماکروها مسدود میشوند و ویندوز از کاربر میپرسد آیا واقعاً قصد اجرای آن را دارد یا نه.
خبر بد اینکه مشخص شده به راحتی میتوان قابلیت MotW و SmartScreen ویندوز را دور زد و فایلهای آلوده به بدافزار را اجرا کرد. برای نمونه میتوان یک فایل ZIP دریافت شده از طریق اینترنت را اجرا و سیستم را به بدافزار یا باج افزار آلوده کرد.
از کار انداختن و دور زدن قابلیت MotW ویندوز باعث میشود شانس آلوده شدن سیستم شما به باج افزارها و بدافزارها به طرز چشمگیری افزایش یابد.
بدتر اینکه گزارشهای منتشر شده نشان میدهد همین حالا باج افزارهایی وجود دارند که از این حفره امنیتی ویندوز استفاده میکنند. متأسفانه هنوز مایکروسافت وصله امنیتی برای رفع این مشکل امنیتی ویندوز ارائه نکرده است.
باج افزار نایت هم با دور زدن قابلیت نام برده، در یک فرآیند explorer.exe جدید تزریق می شود و شروع به رمزنگاری فایل ها بر روی کامپیوتر شما می کند. در هنگام رمزنگاری شدن افزونه .knight_l به فایل ها اضافه می شود.
عاملین باج افزاری همچنین فایل txt ای را برای بازیابی فایل ها قرار داده اند. میزان باج درخواستی آن ها در این کمپین 5 هزار دلار است.
