هکرها روش جدیدی برای تزریق کد ابداع کرده‌اند
https://startupforum.ir/images/cdn/2018/04/232.png
زمانی که محققان یک موسسه تحقیقاتی، بررسی‌های دقیقی روی نمونه‌های مختلف بدافزارها انجام می‌دادند، تکنیک جدیدی در تزریق کد (code injection) به نام Early bird کشف نمودند. این تکنیک حداقل توسط سه بدافزار پیچیده مورد استفاده قرار گرفته و کمک کرده مهاجمین شناسایی نشوند.
همانطور که از نامش مشخص است Early bird یک تکنیک ساده اما هنوز کارآمد می‌باشد که به مهاجمین اجازه می‌دهد یک کد مخرب را به داخل یک پردازش صحیح (legitimate) تزریق نمایند، قبل از اینکه بخش اصلی این پردازش آغاز شود. بنابراین توسط نرم‌افزارهای ضد بدافزار که از ابزارهای سیستم عامل ویندوز استفاده می‌کنند، شناسایی نمی شوند.
محققان می‌گویند: "در این تکنیک تزریق کد در مراحل اولیه بارگذاری پردازش و قبل از اینکه بسیاری از نرم‌افزارهای امنیتی اقدامات لازم را اتخاذ نمایند، کد مخرب تزریق می‌گردد. این مسئله به بدافزار اجازه می‌دهد بدون شناسایی شدن اعمال مخربش را انجام دهد. "
تکنیک به کار رفته مشابه تکنیک تزریق کد معروف به بمب اتمی می‌باشد که به توابع API ساده متکی نیست و به بدافزار اجازه می‌دهد کد را به روشی داخل پردازش تزریق کند که نرم افزارهای ضدبدافزار نتوانند تشخیص دهند.
https://startupforum.ir/image/jpeg;b...KbTqZTEAH/2QA=
این کد مخرب بر مبنای توابع APC ویندوز بنا شده که به برنامه‌ها اجازه می‌دهد به صورت غیر همزمان کدی را در داخل یک نخ (thread يا نخ بخشی از یک پردازش است) اجرا نمایند.
روش تزریق کد مخرب در داخل یک پردازش صحیح و قانونی به طریقی که قبل از اسکن برنامه‌های ضدبدافزار اجرا گردد به صورت قدم به قدم به شرح زیر است:
- ایجاد یک پردازش معلق از پردازش‌های صحیح ویندوز (مانند svchost.exe)
- اخذ حافظه در آن پردازش (svchost.exe) و نوشتن کد مخرب در حافظه اخذ شده
- قرار دادن تابع APC در صف مربوط به نخ اصلی پردازش
- به دلیل اینکه توابع APC تنها در حالت alertable می‌توانند پردازش را اجرا نمایند تابع NtTestAlert فراخوانی می‌گردد تا هسته (kernel ) را مجبور نماید کد مخرب را همزمان با نخ اصلی پردازش، اجرا کند.
براساس تحقیقات محققان، حداقل سه بدافزار که در لیست زیر به آنان اشاره شده از کد Early Bird استفاده می‌کنند:
- "TurnedUp" که به وسیله یک گروه هکری ایرانی توسعه یافته
- نسخه‌های مختلف بدافزار بانکی "Carberp"
- بدافزار "DorkBot"
https://startupforum.ir/image/png;ba...AASUVORK5CYIIA
بدافزار DorBot یک بات نت است که از طریق شبکه‌های اجتماعی، نرم‌افزارهای پیام‌رسان و ابزارهای آلوده انتقال اطلاعات، منتشر شده و به منظور سرقت اطلاعات کاربران برای بهره‌گیری از سرویس‌های آنلاین، سرویس‌های بانکی، شرکت در حملات DDOS، ارسال تبلیغات و انتقال بدافزار به سیستم قربانیان، مورد استفاده قرار می‌گیرد.
محققان همچین ویدئویی فراهم کرده‌اند که تکنیک Early Bird را در عمل نمایش می‌دهد.
مترجم: سينا بيات
منبع:
هكر نيوز
https://www.cyberpolice.ir/news/122591
