بررسی تروجان مخرب Volgmer
به گزارش کارگروه امنیت سایبربان؛ پس از ارائه هشدارهای مشترک وزارت امنیت داخلی و پلیس فدرال آمریکا در رابطه با فعالیت باج افزارها مشخص شد که باج افزار «Volgmer» فعالیت مخرب خود را روی زیرساخت‌هایی مانند آدرس‌های اینترنتی (IP) و سایر شاخص‌های ارتباطی اجرا کرده است. مجدداً دولت آمریکا، کره شمالی را مقصر اصلی و سازنده این تروجان اعلام کرده است. در این میان سیستم‌های شبکه از مهم‌ترین تجهیزات و زیرساخت‌های تحت حمله توسط این تروجان شناخته شده‌اند.
مهاجمان در قالب گروهی به نام «کبرای پنهان» (HIDDEN COBRA)، این تروجان را منتشر کرده‌اند.
توضیحات بیشتر
تروجان نام‌برده به‌عنوان یکی از درب پشتی‌های مورداستفاده در زیرساخت‌ها به شمار می‌رود که برای دسترسی پنهان به سیستم‌های آسیب‌دیده طراحی شده است. این در حالی است که سازندگان این بدافزار از قابلیت‌های تروجان ساخته‌شده، زیرساخت‌های صنایع دولتی، مالی، خودرویی و رسانه‌ای را تحت حملات خود قرار داده‌اند. بررسی‌های انجام‌شده حاکی از آن است که بدافزار نام‌برده فعالیت خود را در وهله اول با استفاده از حملات فیشینگ اجرا می‌کند.
پس از شناسایی IP آدرس‌های استاتیک موجود در زیرساخت‌های سیستم شبکه مشخص شد که بدافزار نام‌برده با استفاده از نفوذ به حداقل 94 آدرس مختلف و آدرس‌های پویا، فعالیت خود را در کشورهای مختلف اجرا کرده است که در زیر بیشترین درصد استفاده از این آدرس‌ها را نشان داده‌شده است.
• هند، 772 آدرس 25.4 درصد
• ایران، 373 آدرس 12.3 درصد
• پاکستان، 343 آدرس، 11.3 درصد
• عربستان سعودی، 182 آدرس، 6 درصد
• تایوان، 169 آدرس، 5.6 درصد
• تایلند، 140 آدرس 4.6 درصد
• سریلانکا، 121 آدرس، 4 درصد
• چین، 82 آدرس که سهم هنگ‌کنگ 12 آدرس با 2.7 درصد
• ویتنام، 80 آدرس،2.6 درصد
• اندونزی، 68 آدرس، 2.2 درصد
• روسیه، 68 آدرس، 2.2 درصد
جزییات فنی
ازجمله توانایی‌های این بدافزار می‌توان به جمع‌آوری اطلاعات سیستم، به‌روزرسانی کلیدهای رجیستری سرویس، بارگیری و آپلود فایل‌ها، اجرای دستورات اشاره کرد و همچنین در آخرین بررسی‌ها، کنترل بوت را نیز می‌توان به قابلیت‌های این بدافزار اضافه کرد.
محتویات «Volgmer» در فرم 32 بیتی به‌عنوان فایل‌های قابل اجرا یا کتابخانه پویا (dll.) مشاهده شده است. این بدافزار با استفاده از یک پروتکل باینری سفارشی، برای بازگشت به سرور کنترل و فرمان (C2) که اغلب از طریق پورت TCP 8080 یا 8088 هست- استفاده می‌کند. همچنین تروجان فوق، برای ایجاد اختلال در ارتباطات از رمزگذاری SSL استفاده می‌کند.
