چاپ        ارسال به دوست

گزارش تحلیلی بدافزار PHORPIEX

اخیراً کاربران شبکه اینترنت درگیر باج‌افزاری به نام Gandcrabبودند که از طریق ایمیل منتشر می‌شد. این باج‌افزار و بسیاری از بدافزارهای دیگر از خانواده‌ای بدافزاری به نام Phorpiex  (یا Trick) برای انتشار خود استفاده می‌کنند. Phorpiexیک بات‌نت است که چندین سال است با استفاده از پروتکل IRCبا سرور فرماندهی و کنترل خود ارتباط برقرار می‌کند و فرمان‌های بدخواهانه شامل دانلود سایر بدافزارها، ارسال ایمیل و کرک میل سرور را روی سیستم قربانیان اجرا می‌کند. Phorpiexبدافزار پیشرفته و پیچیده‌‌ای محسوب نمی‌شود اما به مدت ده سال است که فعال بوده و برای انتشار بسیاری از خانواده‌های بدافزاری مورد استفاده قرار گرفته است.

تحلیل برخی از بدافزارهای این خانواده نشان دهنده آن است که مشخصات فایل pdbاین بدافزار که در زمان کمپایل تولید شده در رشته‌های برنامه موجود است. این رشته (C:\Users\x\Desktop\Home\Code\Trik v۶.۰ - WORK - doc\Release\Trik.pdb) در بسیاری از بدافزارها که مربوط به سال‌های اخیر بوده‌اند قابل مشاهده است و به نظر می‌رسد این بدافزارها نیز توسط توسعه دهنده این خانواده بدافزاری توسعه داده شده‌اند. نکته قابل توجه این است که اخیراً بدافزارهای دارای رشته مذکور با تکرار بالایی در سایت  virustotalبارگذاری شده‌اند که نشان دهنده آن است که احتمالاً این بدافزار به تازگی در کمپین‌های فعال بدافزاری در حال استفاده شدن است.

گزارش تحلیل
بررسی این بدافزار نشان دهنده آن است که بدافزار کد خود را مبهم‌سازی نکرده است. در اولین مرحله پس از اجرا شدن، بدافزار نسخه‌ای از خود را با یکی از نام‌های winsvc.exe، Winsrvc.exe، winmgr.exe، Winsam.exeیا Windsrcn.exeدر یکی از سه دایرکتوری زیر کپی می‌کند:
C:\Windows
C:\Users\$USERNAME\%TEMP%
C:\Users\$USERNAME\

بدافزار از روش‌‌های ساده‌ای برای گریز از تشخیص داده شدن و تحلیل استفاده کرده است

دریافت کامل گزارش تحلیلی

منبع: https://www.certcc.ir/news/12408


 دسته‌ها:  گزارشات تحلیلی

 


١٥:٥٦ - شنبه ٢ تير ١٣٩٧    /    شماره : ١٧٤٥١    /    تعداد نمایش : ١٠٤٠



خروج