بدافزاری تازه برای سرقت ارزهای دیجیتالی از ایران

کارشناسان امنیت سایبری اعلام کردند این اکسپلویت پروتکل SMB نسخه یک را که نسخه پرطرفداری بین هکرها است هدف قرار می‌دهد.

شرکت امنیت سایبری «F-Secure» طی گزارشی اعلام کرد که جدیدترین نسخه از بدافزار «NRSMiner» شناسایی‌شده است. این بدافزار از اواسط ماه نوامبر فعالیت خود را آغاز کرده است. اساس کار این بدافزار در ابتدای امر این‌گونه بوده که با استفاده از اکسپلویت «EternalBlue» در کامپیوتر‌های آسیب‌پذیر در یک شبکه محلی منتشرشده است. این بدافزار بیشتر در حوزه آسیا منتشرشده و سیستم‌های موجود در این محدوده را آلوده کرده است و سپس از ویتنام که 54 درصد این آلودگی را به خود اختصاص داده، همچنین کشور ایران رتبه دوم آلودگی به این بدافزار را با بیش از 16 درصد دارد.

این بدافزار نسخه‌های قبلی خود را نیز با استفاده از دانلود ماژول‌های جدید و پاک کردن فایل‌های قدیمی به‌روز نموده است و به‌صورت چند وجهی اجرا می‌شود تا بتواند هم‌زمان قابلیت‌های مختلفی مانند استخراج رمز ارز و فشرده‌سازی اطلاعات را انجام دهد.

طبق بررسی‌های انجام‌شده این بدافزار همه تجهیزات محلی در دسترس را اسکن نموده و اگر پورت TCP شماره 445 آن‌ها در دسترس باشد، روی آن اکسپلویت EternalBlue را اجرا نموده و در صورت اجرای موفق درب پشتی «DoublePulsar» را روی سیستم قربانی جدید نصب می‌نماید. تا از طریق این درب پشتی به‌راحتی به مقاصد خود دست یابد.

مهاجمان از این بدافزار برای استخراج رمز ارز «XMRig» استفاده می‌کند. کارشناسان هشدار دادند کاربرانی که به‌روز‌رسانی‌های مایکروسافت برای جلوگیری از حملات واناکرای را نصب نموده باشند از این طریق آلوده نمی‌شوند. اگر این وصله‌ها را به هر دلیلی نمی‌توانید نصب نمایید، توصیه می‌شود که هرچه سریع‌تر پروتکل «SMB» نسخه یک را غیرفعال کنید.

بارها شاهد بودیم که هکرها از طریق پروتکل «SMB» به رایانه قربانیان نفوذ می‌نمایند و اهداف خود مانند حملات باج افزاری یا سرقت ارزهای دیجیتالی را عملیاتی می‌کنند.