شکلک ها را تشخیص دهید: اقدامات ضد تروجان

Emotet – که در سال 2019 توسط BSI به عنوان "پادشاه بدافزار" معرفی شد – هنوز فعال است. علاوه بر اداره شهر ، مقامات ، درمانگاه ها و دانشگاه ها نیز بازداشت شدند. در گذشته ، باج افزار بسیار قابل تنظیم بود ، که این امر را بسیار خطرناک می کند. در گزارشی از وضعیت بدافزار 2019 (بارگیری PDF) ، Malwarebytes نشان داد که Emotet دومین تهدید شایع برای شرکت ها در سال 2019 است – درست پس از نرم افزار تبلیغاتی Yontoo ، که نسبت به سال گذشته با 6،000٪ افزایش یافت. در پست امروز ما نشان می دهیم که Emotet چه کاری انجام داده است و چه اقداماتی می تواند برای مبارزه با Trojan انجام شود.

ققنوس از خاکستر: Emotet فعال است

Emotet از سال 2014 فعالیت می کند. در مقاله ما "Spear-phishing with Emotet" ما ابتدا در مورد باج افزار موذی در سال 2018 گزارش دادیم ، اما تنها در دو سال گذشته Emotet واقعاً نشان داده است که بدافزارها چه کاری می توانند انجام دهند. چه کسی پشت بدافزار است؟ احتمالاً شما دقیقاً نمی دانید كه دفتر فدرال امنیت اطلاعات (BSI) در این باره اظهار نظر نمی كند. شایعاتی وجود دارد که در آن می توان اروپای شرقی یا روسیه را مناطقی از مبدا دانست ، اما هیچ مدرک جدی در دست نیست. BSI یقین دارد که "توسعه دهندگان Emotet نرم افزار و زیرساخت های خود را به اشخاص ثالث می دهند." آنها همچنین به نرم افزارهای مخرب دیگری که "اهداف خود را دنبال می کند" متکی هستند ، BSI توضیح می دهد. این اهداف مالی هستند ، BSI انتظار جاسوسی را ندارد. ظاهرا ، مجرمان سایبری نیز یک تعطیلات کوچک کریسمس را در پیش گرفتند. با این حال ، در مارس 2019 ، Pest با تمام توان به جلو آمد؛ ما گزارش شده است. بیایید ببینیم که Emotet از آن زمان تاکنون چه کار کرده است:

Emotet قصد دارد تا heise.de

هنگامی که کارمند کمی قبل از آن ایمیل باز کرد ساعت 15:00 دوشنبه ، 13 مه 2019 ، در رابطه با یک معامله واقعی در کسب و کار ، این فاجعه در دفتر تحریریه هایز اتفاق افتاد: شریک تجاری ادعا شده از طریق ایمیل از وی خواسته است تا به طور خلاصه اطلاعات موجود در سند پیوست Word را بررسی کند و در صورت لزوم تنظیم کند. یکی از کارمندان هایز سند را باز کرد و یک پیام خطایی (دستکاری شده) باعث شد که وی روی "فعال کردن ویرایش" کلیک کند. در نتیجه ، کارمند به Trojan یک چراغ سبز داد: Emotet با خوشحالی ویندوز را برای پخش در شبکه Heise آلوده کرد.

سرپرستان تیم تحریریه هایز تصمیم گرفتند از این شبکه ، از جمله رایانه های تازه نصب شده و Download Active Directory Directory استفاده کنند. در نتیجه اقدامات امنیتی دقیق تری ارائه شده است که به طور ایده آل از شرایط مشابه در آینده جلوگیری می کند یا حداقل آنها را پیچیده تر می کند. داده های موجود ، ابزارها و موارد مشابه با قدم های دقیق و با دقت زیادی به شبکه جدید منتقل شدند. گزارش کامل حادثه را می توانید مستقیماً در heise.de مطالعه کنید.

دادگاه اتاق برلین آنلاین نیست.

در سپتامبر 2019 ، دادگاه اتاق برلین توسط Emotet سرنگون شد و یا از اینترنت محروم شد. یک ایمیل آلوده مسیر Emotet را به سمت شبکه عالی دادگاه کیفری و مدنی پاک کرد. در ابتدا ، به طور رسمی اعلام شد كه هیچ دزدی به سرقت نرفته است ، اما گزارش های اخیر تأیید می كند كه داده ها به سرقت رفته است

تیم پاسخ فوریت های سایبری از T-Systems گزارش كارشناسی تهیه كردند (به مطبوعات در Berlin.de مراجعه كنید) كه داده ها را نشان می دهد. کسر شده اند طبق نظر کارشناسان ، Emotet و Trickbot بدون نظارت در شبکه قضایی ، چندین روز دیوانه شدند و بدین ترتیب داده هایی مانند جزئیات ورود به سیستم استخراج شدند. همچنین نشانه هایی وجود دارد مبنی بر اینکه مهاجمان ممکن است دسترسی دستی و تعاملی داشته باشند.

اگر دادگاه اتاق در ابتدا مشخص كرد كه احتمالاً تا اوایل سال 2020 همچنان آفلاین خواهد بود ، دادگاه اتاق تا اطلاع ثانوی به تلفن ، فكس و پستی تغییر می دهد. همانطور که می توانید در وب سایت بخوانید. صندوق پستی الکترونیکی وکالت در حال کار است ، همچنین می توانید دوباره از طریق ایمیل به دادگاهی برسید. با این حال ، در دسترس بودن محدود است – تا زمانی که مشخص نیست.

حمله به دانشگاه Gießen

دانشگاه Gießen نیز پس انداز نشد: در دسامبر سال 2019 ، دانشگاه گزارش داد که کاملا آفلاین است و می ترسید که قربانی حمله هکرها شود. سرورها در اسرع وقت خاموش شدند. امکان استفاده از اینترنت ، سیستم های ایمیل یا شبکه های داخلی امکان پذیر نبود.

خاموش کردن سرور ایده خوبی بود: اگرچه بدافزار – احتمالاً Emotet – از قبل روی سیستم بود ، اما تمام داده های علمی را بسته و همچنین از داده های اداری محافظت می کند. در ماه دسامبر ، تدریس و تحقیق در حالت اضطراری قرار داشتند. از ماه ژانویه به تدریج وضعیت عادی ترمیم می شود.

اداره امور مالیاتی ایالتی یک دوره توهین آمیز را اتخاذ می کند

آژانس های بخش دولتی و خصوصی می خواهند از حملات مشابه جلوگیری کنند – از جمله در نیدرزاکسن. شما مطمئناً می توانید بر روی سازماندهی مجدد زیرساخت های فناوری اطلاعات خود کار کنید تا از مقاومت کافی برخوردار شود. با این حال ، نیدرزاکسن مسیر دیگری را دنبال می کند و گزینه های ارتباطی خود را محدود می کند: ماه ها است که دولت ایمیل هایی را که حاوی اسناد اداری باشد ، قبول نکرده است. همانطور که دولت در اطلاعیه مطبوعاتی اطلاع می دهد ، تمام پیام های حاوی پیوند به دفاتر مالیاتی منطقه نیدرزاکسن ، اداره امور مالیاتی نیدرزاکسن و آکادمی مالیات دهی ساکسونی مسدود شده اند. همچنین در اینجا نشانه ای مبنی بر مسدود شدن ایمیل های پیوست Office وجود دارد.

ما متقاعد شده ایم كه داشتن امنیت كافی فناوری اطلاعات منطقی تر خواهد بود. در بخش های بعدی یاد خواهیم گرفت که چگونه بدون وقفه در برقراری ارتباط در برابر Emotet محافظت کنیم.

Emotet از ترس از coronavirus سوء استفاده می کند

ترس مردم غالباً عیدی برای مجرمان سایبری است. جای تعجب نیست که نگرانی هایی که هم اکنون توسط ویروس عروق کرونر مطرح شده است نیز می تواند با کمک Emotet مورد سوء استفاده قرار بگیرد. همانطور که شرکت امنیت سایبری Proofpoint آموخته است ، گفته می شود که مجرمان سایبری مدارکی را برای شفاف سازی ارسال می کنند. با این حال ، این اسناد آلوده شده و باید همچنان به انتشار Emotet ادامه یابد.

Emotet به WLAN حمله می کند

Emotet یک هنرمند سریع در حال تغییر است که دائما در حال تغییر است. همانطور که در فوریه مشخص شد ، این باج افزار اکنون برای WLAN های آلوده در رایانه های اطراف اسکن می شود. محققان امنیتی در جستجوی باینری توضیح دادند که از لیست رمز عبور داخلی برای حملات WLAN استفاده شده است. در تجزیه و تحلیل Emotet ، دانشمندان با برنامه های worm.exe و service.exe بایگانی RAR خود استخراج کردند. این ابزارها لیستی از کلیه شبکه های رادیویی قابل تشخیص را در رایانه های WLAN ایجاد می کنند. سپس این بدافزار سعی می کند در آنجا وارد سیستم شود و تمام رمزهای عبور موجود در لیست را بطور منظم امتحان کند.

سپس برنامه رایج Emotet دنبال می شود تا تمام رایانه های ویندوز موجود در WLAN را آلوده کند. این شامل دسترسی به اشتراک پرونده ها ، بلکه حساب های Windows یا Active Directory نیز می شود. بدافزار کلیه اطلاعات جمع آوری شده از جمله نام شبکه های رادیویی و کلمه عبور آنها را به سرور فرمان و کنترل (C2) گزارش می دهد. جستجوی دودویی نشان داده است که این ماژول WLAN به زودی دو ساله خواهد شد ، اما هنوز مشخص نیست.

حملات بی رحمانه هیچ کاری را نمی توانند در برابر رمزهای عبور ایمن WLAN انجام دهند. با این وجود ، استفاده از رمزهای عبور استاندارد خطرناک است و باید از طریق آن فکر کرد.

Emotet و Microsoft Office 365

یکی از مهمترین اقدامات محافظتی در برابر Emotet جلوگیری از کار ماکرو در Microsoft Office است. به هر حال اکثر کاربران دفاتر از ماکرو استفاده نمی کنند – فقط می توانید با استفاده از خط مشی Group در شرکت ها ، آنها را پیکربندی کنید. حداقل باید اینگونه فکر کنید. با این حال ، از آنجا که مایکروسافت با استفاده از Group Policy ، مدیریت را بدتر کرده است ، این محافظت همانطور که معمولاً تصور می شود قابل اعتماد نیست.

سرپرستان تیم تحریریه هایز با اتفاق جالب اما تصادفی روبرو شدند: اگر در سازمان شما وجود دارد ، از Office Professional Plus استفاده کنید ، اما دیگران قبلاً روی "Office 365 Business Premium" تغییر کرده اند ، سیاست گروه دوم نادیده گرفته می شود. این با هشدار همراه نمی شود بلکه به صورت پنهانی ، بی سر و صدا و بی صدا اتفاق می افتد. در این مقاله ، Heise خود نسخه های Office را لیست می کند که در آن دستورالعمل های گروهی نادیده گرفته می شود. در این مقاله همچنین ذکر شده است که اجرای کلان می تواند با استفاده از مدخل های رجیستری غیرفعال شود و سپس از طریق Group Policy توزیع شود. با این حال ، بدون کنه نه آسان است و نه ممکن است. هایز در پست مربوط به جزئیات توضیح می دهد.

هایز همچنین اظهار داشت که این یک مشکل مهم Office 365 نیست و این آسیب پذیری روی نسخه های تجاری ارزان قیمت تأثیر می گذارد. نسخه های گران قیمت و فروخته شده Enterprise دوباره از راهنماهای گروه پشتیبانی می کنند.

اقدامات علیه Emotet و سایر Trojans

هنگامی که صحبت از محافظت در برابر Emotet و سایر Trojan ها می شود ، معنی ندارد که فقط به نرم افزار ضد ویروس تکیه کنید. تشخیص شکلک ها دشوار است: ویروس پلی مورفیک هر بار که بخواهید کد خود را کمی تغییر دهد ، بنابراین می تواند در طول جستجوهای مبتنی بر امضا ، مانند برنامه هایی که توسط بسیاری از برنامه های ضد ویروس انجام می شود ، کشف نشده باقی بماند.

همانطور که قبلاً در مقاله ما Emotet ذکر شد ، "امنیت 100٪ وجود ندارد ، هیچ ابزاری به طور خاص علیه تروجان ها وجود ندارد ، به ویژه اگر آنها به اندازه Emotet متغیر باشند. با این وجود می توان اقدامات سازمانی و فنی را برای کاهش چشمگیر خطر عفونت انجام داد. BSI لیستی از فعالیتهایی که باید انجام شود و فعالیتهایی که باید اجرا شوند را تهیه می کند. هر دو مورد در زیر ارائه شده است.

اقدامات فوری علیه Emotet & Co.

• حساسیت: مرتباً تغییرات بعدی را بررسی کنید. به عنوان مثال ، می توانید اطلاعات خود را خودتان بررسی کنید یا در خبرنامه مشترک شوید تا اطلاعات به صورت خودکار دریافت شود. شما می توانید در خبرنامه BSI یا خبرنامه ما در زیر لینک ها مشترک شوید. به عنوان یک سازمان ، حساس کردن کلیه کارمندان درگیر در زیرساخت های فناوری اطلاعات ، به عنوان مثال از طریق آموزش مناسب. کاربران باید بتوانند به طور مستقل ناهنجاریهای ظریف را تشخیص دهند و اقدامات لازم از قبیل گزارش به یک افسر امنیتی فناوری اطلاعات را انجام دهند.
• به روزرسانی های امنیتی: به روزرسانی های امنیتی ارائه شده توسط تولید کنندگان باید بلافاصله برای سیستم عامل ها و برنامه های کاربردی نصب شوند. در حالت ایده آل ، بروزرسانی ها از طریق توزیع نرم افزار مرکزی انجام می شوند.
• نرم افزار AV: در سازمان ها و شرکت ها ، نرم افزار ضد ویروس باید بصورت مرکزی اداره شود. این شامل چک کردن مرتب بودن به روزرسانی های امضای AV برای همه مشتری ها است.
• تهیه نسخه پشتیبان: به طور مرتب از داده ها در چندین سطح تهیه کنید. فراموش نکنید که برنامه راه اندازی مجدد را انجام دهید و بازیابی داده ها را آزمایش کنید. در مواقع اضطراری باید کار کند!
• نظارت: معقول است که با نظارت دستی بر روی داده های ورود ، مانیتور اتوماتیک ، از جمله هشدار در صورت بروز بی نظمی ، را تکمیل کنیم.
• تقسیم بندی: تولید جداگانه ، مشتری ، کنترل کننده دامنه ، و همچنین شبکه های سرور ، از جمله مدیریت جدا شده با توجه به مناطق مختلف اعتماد ، مناطق و / یا مناطق برنامه کاربردی.
• مجوزها: یکی از بزرگترین تهدیدها اشتباهاتی است که کاربران شبکه داخلی مرتکب شده اند. بنابراین ، تمام حسابهای کاربری فقط می توانند مجوزهای لازم را برای انجام وظایف خود داشته باشند.

سایر اقدامات اختیاری

• پاکسازی: هرچه تعداد برنامه های در دسترس شما و کارمندان شما باشد ، آسیب پذیری های احتمالی کمتری وجود دارد. بنابراین ، نرم افزارهای غیر ضروری همیشه باید حذف شوند. اجرای محتوای فعال در مرورگرهای وب محدود کنید و افزونه های غیر ضروری مرورگر را حذف کنید
• Macros: ماکروها و اشیاء OLE را در Microsoft Office غیرفعال کنید و فقط از ماکروهای امضا شده استفاده کنید. استفاده از نرم افزار رایگان LibreOffice منطقی است زیرا ماکرو Emotet با یک راه حل منبع باز کار نمی کند.
• WSH: غیرفعال کردن میزبان اسکریپت ویندوز (WSH).
• لیست های سفید: از برنامه لیست سفید استفاده کنید. ابزارهای مختلفی برای این کار وجود دارد ، به عنوان مثال Microsoft AppLocker.
• گذرواژه‌های سرپرست: از گذرواژه‌های اداری محلی جلوگیری کنید و سهام اداری را غیرفعال کنید.
• 2FA: برای ورود به سیستم ، از مجوز 2-عامل استفاده کنید. در این روش از پخش خودکار بدافزارها در شبکه با کمک داده های دسترسی جعلی جلوگیری می شود.
• پسوند پرونده: پسوند پرونده به طور پیش فرض نمایش داده شود. این باعث می شود تا پایان های دوگانه مانند "Explanation.pdf.exe" به رسمیت شناخته شود.
• متن ساده: مشتریان پست الکترونیکی گزینه نمایش پیام ها به صورت HTML یا متن ساده را ارائه می دهند. از نمایشگر متن ساده ("متن ساده" یا "متن ساده" یا "متن ساده") استفاده کنید – این یک اثر محافظ عالی است. علاوه بر این ، به راحتی می توانید URL های سرهم خورده را در متن نمایش تشخیص دهید ، و گرفتگی در ایمیل های HTML آسان است. حداقل محتوای فعال در ایمیل های HTML را متوقف کنید ، اما بهتر است به متن ساده بروید.
• نمایش اطلاعات: برای به نظر رسیدن قابل اعتماد ، مهاجمان اغلب آدرس های ایمیل خود را مخفی می کنند. فرستنده جعلی در نام نمایشگر وارد می شود. با این حال ، فرستنده واقعی احتمالاً یک آدرس شکسته و سوءاستفاده است. مشتری مشتری خود را پیکربندی کنید تا علاوه بر نام صفحه نمایش ، آدرس ایمیل کامل فرستنده را نیز نمایش دهد.
• پیکربندی سرور نامه الکترونیکی: پیکربندی سرور نامه الکترونیکی را به عنوان خارجی رد کنید ، قرنطینه را انتقال دهید یا حداقل نامه های الکترونیکی ارسال شده از سازمان خود را علامت گذاری کنید یا حداقل آنها را به عنوان مشکوک علامت گذاری کنید.
• پرونده های اجرایی: در حالت ایده آل ، ایمیل هایی با پرونده های اجرایی مسدود شده یا قرنطینه شده اند. فیلتر کلی انواع پرونده ها و / یا گیرندگان ممکن است مفید باشد. اگر این امکان پذیر نباشد ، ایمیل های مربوطه می توانند به وضوح در موضوع مشخص شوند
• رمزگذاری: رمزگذاری ارتباطات ایمیل ، جلوگیری از نرم افزارهای جاسوسی از محتوای ایمیل. اگر به طور مداوم به امضاهای دیجیتال اعتماد کنید ، اعتبار سنجی ارسال کنندگان شناخته شده ایمیل موفقیت آمیز خواهد بود. برای این منظور ، اطلاعات مربوط به تأیید کاملاً در وب سایت موجود است.
• Firewall: با استفاده از فایروال از اتصال مستقیم بین مشتری ها در شبکه جلوگیری کنید.

بهتر است از ابزار تست Emotet استفاده نکنید.

CERT ژاپنی دارای این ابزار تست Emotet است که توسط EmoCheck صادر شده است. به آن اعتماد نکنید: با توجه به ماهیت چند شکل ، Emotet می تواند تغییر کند ، که می تواند منجر به عدم شناسایی Trojan از ابزار شود. نسخه های قدیمی Emotet به خوبی از این ابزار شناخته شده است ، اما شما نباید به عباراتی مانند "سیستم شما تمیز باشد" اعتماد نکنید. EmoCheck می خواهد زنجیره های مشخص را بشناسد و از این رو بتواند درباره Trojan هشدار دهد. با این حال ، تنوع آن را غیرممکن می کند.

حال با شما چگونه است: آیا تاکنون موفق شده اید با ایمن از Emotet دور شوید ، یا آیا Trojan نیز به شما اصابت کرده است؟ با ما صحبت کنید – ما منتظر نظرات شما هستیم!