بدافزار انتقال کاوشگر ارزدیجیتال شناسایی شد

به گزارش مهر به نقل از معاونت بررسی مرکز افتا، هدف اصلی بدافزار BlackSquid نصب اسکریپت کاوشرمزارز XMRig روی وب سرورها، درایوهای شبکه و دستگاه‌های ذخیره‌سازی قابل حمل است.

بدافزار BlackSquid از اکسپلویت‌های خطرناکی از جمله EternalBlue، DoublePulsar، CVE-۲۰۱۴-۶۲۸۷ (اکسپلویتمربوط به باگ Rejetto HTTP File Server) و CVE-۲۰۱۷-۱۲۶۱۵ (نقص امنیتی در Apache Tomcat) و CVE-۲۰۱۷-۸۴۶۴ (یک نقص Shell در Microsoft Server) و سه اکسپلویت مرتبط با ThinkPHP بهره می‌برد.

علاوه بر این اکسپلویت‌ها، BlackSquid دارای قابلیت‌های انجام حمله جستجو فراگیر (Brute-force)، ضد مجازی‌سازی، جلوگیری از دیباگ، تکنیک‌های ضد سندباکس و همچنین انتشار به صورت کرم است.

فرایند آلودگی توسط این بدافزار از یکی از این سه نقطه آغاز می‌شود، یک صفحه وب آلوده، اکسپلویت‌ها یا درایوهایشبکه قابل حمل.

به منظور جلوگیری از شناسایی و تحلیل، بدافزار بررسی‌های مختلفی مانند وجود نام‌کاربری، درایور یا DLLهایی که بیانگرسندباکس یا مجازی‌سازی هستند را انجام می‌دهد.

بدافزار پس از نفوذ به یک وب سرور، با استفاده از یک نقص اجرای کد از راه دور سطح دسترسی یک کاربر سیستمی محلی را به دست می‌آورد و سپس payloadهای نهایی را اجرا و در ادامه بدافزار خود را در شبکه منتشر می‌کند.

payloadهای بدافزار BlackSquid دو مؤلفه کاوش رمزارز XMRig هستند که یکی از آن‌ها منبع آن است و دیگری در سرور آلوده دانلود می‌شود.

در صورتی که یک کارت گرافیکی Nvidia و AMD در سیستم هدف یافت شود، مؤلفه دیگری منتقل می‌شود تا رمزارزبیشتری توسط پردازنده گرافیکی استخراج شود.

نشانه‌های آلودگی (IoC) این بدافزار در سایت مرکز افتا آمده است.