🚀 أصبحت CloudSek أول شركة للأمن السيبراني من أصل هندي تتلقى استثمارات منها ولاية أمريكية صندوق
اقرأ المزيد
النوع الاستشاري
ذكاء البرامج الضارةنوع البرامج الضارة
لودراسم البرامج الضارة
أداة تحميل الملفاتنظام التشغيل المستهدف
شبابيكالبلدان المستهدفة
أمريكا الشمالية وكوريا الجنوبية وألمانيا وفرنساملخص تنفيذي
Gootloader هو إطار عدوى قائم على جافا سكريبت ولديه آلية جديدة لتقديم حمولته. قام مشغلو هذه البرامج الضارة باختراق أكثر من 400 خادم يستضيف مواقع ويب شرعية؛ يقومون بتحرير محتوى مواقع الويب المخترقة لبدء مناقشات تبدو مشروعة بمساعدة الكلمات الرئيسية التي تجيب على استفسارات المستخدمين. يستفيد مشغلو Gootloader من تقنيات تحسين محركات البحث (SEO) التي تسمح لـ Google بفهرسة مواقع الويب المخترقة لمساعدتها على الظهور كجزء من نتائج البحث. يعمل ناقل الهجوم في بعض البلدان ومحركات بحث معينة (مثل Google). وفي حالة عدم تطابق البحث مع معايير أداة التحميل، ستكون نتيجة البحث صفحات ويب شرعية. يوفر برنامج Gootloader الضار GootKit RAT بدون ملفات وRevil رانسوم وير وكوبالتسترايك وكرونوس تروجان.التفاصيل الفنية
- الحمولة الأولية هي ملف جافا سكريبت واحد داخل ملف مضغوط. يتم توفير هذا بدوره كرابط قابل للتنزيل على نفس سلسلة المنتدى التي يزورها الضحايا المحتملون. يتم تشويش حمولة جافا سكريبت مرتين لتجنب الاكتشاف بواسطة أدوات حماية نقطة النهاية.
- بعد تشغيل البرنامج النصي، يتصل بخادم C2 لتلقي سلسلة من الأرقام التي تمثل أحرف ASCII لحمولة المرحلة الثانية والتي سيتم تحميلها مباشرة في الذاكرة دون ترك أي أثر لوجودها في النظام.
- الحمولة الثانية، بعد فك تشفير القيم الرقمية إلى نص، وتكتب المفاتيح/القيم في السجل ضمن خلية HKCU/Software.
- كما أنه يقوم بإنشاء تشغيل تلقائي لبرنامج PowerShell النصي، والذي يتم تشغيله في كل مرة يقوم فيها النظام بالتمهيد، ويقوم بفك تشفير حمولة محمل .NET وتشغيلها.
- يقوم البرنامج النصي PowerShell بإنشاء مفتاح تشغيل التسجيل كآلية آمنة لتنفيذ الحمولة في إعادة التشغيل التالية.
- يحتوي مُحمل .Net على مُحمل يستند إلى Delphi. يحتوي المُحمل على تسلسلين من الأرقام السداسية العشرية في الكود الخاص به، لملفين قابلين للتنفيذ. الملف الأول هو ملف تنفيذي شرعي يتم تشغيله بواسطة أداة التحميل. بمساعدة تقنية تفريغ العملية، يقوم المُحمل بالتفريغ على الملف القابل للتنفيذ الثاني، والذي يقوم بتحميل مكون Delphi. وبالتالي فإن الملف التنفيذي الثاني هو الحمولة الخبيثة النهائية التي يمكن أن تكون Revil أو GootKit أو Kronos أو CobaltStrike.
التأثير
- تستفيد هذه البرامج الضارة من تقنيات تحسين محركات البحث لجذب الضحايا المحتملين لزيارة مواقع الويب المخترقة.
- يستخدم Gootloader تقنيات التشويش لتجنب الاكتشاف بواسطة AV.
- كما أنها تستخدم تقنية بدون ملفات لتقديم سلالات أخرى من البرامج الضارة التي تؤدي إلى مزيد من الهجمات.
التخفيف
- تحقق مرة أخرى من نتيجة البحث الأولى عند زيارة أي موقع ويب. تحقق من اسم المجال ومحتوى صفحات الويب، خاصة إذا كان غير متوافق مع اسم المجال.
- تجنب النقر وتنزيل أي مستندات مشبوهة مقدمة في صفحات الويب المشبوهة.
- استخدم أدوات اكتشاف الحالات الشاذة لاكتشاف السلوكيات الضارة لمنع مثل هذه الهجمات.
