هکران کلاه‌سفید و حملات باج افزار Locky

به گزارش واحد هک و نفوذ سایبربان؛ به گفته محقق شرکت اویرا، اسون کارلسن، این حمله با یک هرزنامه جی‌میل آغاز می‌شود تا دریافت‌کنندگان را برای باز کردن یک پرونده ضمیمه و گفتن اینکه یک صورت‌حساب پرداخت‌نشده دارند، فریب دهند. 

پرونده ضمیمه درواقع یک بارگیری کننده‌ی بدافزار است که به نحوی پیکربندی‌شده تا باج‌افزار لاکی را از یک کارگزار که مکان آن بر اساس الگوریتم ایجاد دامنه (DGA) مشخص‌شده است، بارگیری کند. سپس این بارگیری‎کننده، پرونده را اجرا می‌کند. 

بااین‌حال، در حمله‌ای که توسط شرکت اویرا تجزیه‌وتحلیل شده است، این بارگیری‎کننده، درواقع پرونده Locky را بارگیری نمی‌کند و به‌جای آن‌یک پرونده اجرایی ۱۲ کیلوبایتی را که حاوی پیام «Stupid Locky» است دریافت می‌کند. ازآنجایی‌که این پرونده دارای یک ساختار معتبر نیست، این بارگیری‎کننده نمی‌تواند آن را اجرا کند و در نتیجه یک پیغام خطا ظاهر می‌شود. 

کارلسن معتقد است که کسی (به‌احتمال زیاد یک هکر کلاه سفید) به کارگزار C&C مجرمان سایبری نفوذ کرده و پرونده اجرایی Locky را با یک پرونده بی‎ضرر جایگزین کرده‌ است. 

این اولین باری نیست که هکران کلاه سفید، تلاش کرده‌اند تا یک حمله‌ی بدافزاری را از کار بیاندازند. در ماه فوریه، اویرا گزارش داده است که شخصی یکی از کانال‌های انتشار بات‌نت Dridex را مورد حمله قرار داده و این بدافزار بانکی را با یک رونوشت از ضد بدافزار اویرا جایگزین کرده است. 

کارلسن می‌گوید: «من معتقد نیستم که مجرمان سایبری خود این عملیات را انجام داده‌ باشند، زیرا که موجب صدمه‌ی بالقوه به شهرت و درآمد آن‎ها می‌شود. همچنین من نمی‌توانم بگویم که Locky بعدازاین عملیات مرده است. همچنان که ما می‌دانیم، آن‎ها هنوز فعال هستند و کار خود را به‌خوبی بلدند؛ اما پس از نمونه‌هایی در مورد Dridex و بعدازآن Locky به نظر می‌رسد که حتی مجرمان سایبری و استادان استتار کردن نیز آسیب‌پذیر هستند». 

Locky برای رمزنگاری ۱۶۰ پرونده مختلف در سامانه‌های آلوده طراحی‌شده است و معمولاً از قربانیان خواسته می‌شود تا بین ۲۲۰ و ۸۸۰ دلار را برای بازیابی پرونده‎های خود بپردازند. گزارشی که این هفته به وسیله Cloudmark منتشرشده است، نشان می‌دهد که در سه‌ماهه اول سال ۲۰۱۶، بیشترین و پایدارترین حملات متوجه آمریکا، ایتالیا و انگلستان بوده است. همچنین ژاپن و نروژ نیز در دوره‌های زمانی کوتاه به شدت آماج حملات این باج‌افزار بوده‌اند. 

محققان اخیراً اشاره‌کرده‌اند که بات‌نت Dridex نیز برای انتشار باج‌افزار Locky مورد استفاده قرار می‌گیرد.