نماد سایت اتاق خبر شبکه گستر

نگاهی به بدافزار مخرب Dilemma

21 خرداد 1401، مرکز مدیریت راهبردی افتا با انتشار اطلاعیه‌ای از شناسایی یک بدافزار جدید با نام Dilemma در زیرساخت‌های کشور خبر داد [1]. در این مطلب، نگاهی گذرا به پیشینه و عملکرد این بدافزار مخرب انداخته‌ایم.

پیشینه

Dilemma بدافزاری با عملکرد Wiper است. این نوع بدافزارها با رونویسی بخش MBR و در برخی موارد فایل‌ها عملاً موجب از کار افتادن دستگاه و معدوم شدن اطلاعات ذخیره شده بر روی آن می‌شوند.

 

هر چند نمونه‌هایی از باج‌افزارها نیز بجای رمزگذاری فایل‌ها، اقدام به رمزنگاری بخش MBR می‌کنند اما در بسیاری از موارد آن چه مهاجمان انجام می‌دهند نه رمزنگاری که معدوم‌سازی کامل MBR است. برای مثال، درسال 1395 بدافزار NotPetya توانست تعداد زیادی دستگاه را در کشورهای مختلف از جمله اوکراین دچار اختلال کند. اگر چه پیام نمایش داده شده بر روی دستگاه‌های آلوده به NotPetya تداعی‌کننده حمله‌ای باج‌افزاری بود اما بررسی‌های بیشتر نشان داد که این بدافزار فاقد هر گونه سازوکار برای بازگرداندن اطلاعات بوده و هدف آن صرفاً از کاراندازی دستگاه‌های سازمان‌های قربانی بوده است [2].

 

گردانندگان این حملات، قربانیان خود را به‌صورت کاملاً هدفمند انتخاب می‌کنند. فرایند نفوذ و آلوده‌سازی نیز معمولاً محدود به چند ساعت و حتی چند روز نبوده و در مواردی هفته‌ها زمان برده است [3]. هدف، شناسایی دقیق سرورهای حاوی اطلاعات حساس و در نتیجه وارد آوردن حداکثر خسارت و البته جلب بیشترین توجه است.

 

گزارش‌های منتشر شده از سوی نهادها و شرکت امنیتی در خصوص حملات چند سال اخیر نشان می‌دهد که گسترش دامنه نفوذ و توزیع بدافزار در سطح شبکه در بسیاری موارد مشابه بوده است [1][4][5][6]. برای مثال در اکثر موارد فایل‌های Batch و فرامین Scheduled Task علیرغم سادگی ماهیت آنها نقشی کلیدی در حمله داشته‌اند.

 

همچنین مهاجمان این گونه حملات تلاش می‌کنند تا با اعمال تغییرات مکرر بر روی فایل‌های مخرب خود احتمال شناسایی آنها توسط محصولات امنیتی را به حداقل برسانند.

نسخه اخیر

بدافزار با عملکرد Wiper که در اطلاعیه اخیر مرکز مدیریت راهبردی افتا به آن اشاره شده فایلی با نام dilemma.exe و مشخصات زیر است:

File Description: Dilemma
File Version: 1.0.0.0
Internal Name: dilemma.exe
Original Filename: dilemma.exe
Copyright: Copyright 2020
Product Name: Dilemma de modify
Product Version: 1.0.0.0
SHA-1: 2ce90ab46c620f84dfb36a3e97ae8f27122b142a

در برخی حملات پیشین، مهاجمان از نام msdskint.exe برای پروسه این بدافزار استفاده کرده بودند [5].

Dilemma علاوه بر معدوم‌سازی بخش MBR اقدام به رونویسی فایل‌ها نیز می‌کند.

این بدافزار در یکی از سه حالت زیر قابل اجرا است:

 

 

پروسه Dilemma از طریق پارامترهای زیر قابل فراخوانی است:

پارامتر

شرح

mbr

فعالسازی فلگ معدوم‌کننده MBR

fork-bomb

اجرای دو Instance دیگر از Wiper

sessions

متوقف کردن Session سایر کاربران بر روی دستگاه

delete-users

حذف نام کاربری افراد مورد نظر از طریق فرمان net user

break-users

رونویسی کردن گذرواژه نام‌های کاربری مورد نظر

logs

حذف سوابق Windows Event Log

passwords

در حال حاضر فاقد عملکرد

shadows

معدوم‌سازی رونوشت‌های موسوم به Shadow Copies

start-iis

اجرای سرویس IIS از طریق پروسه iisreset

stop-iis

متوقف کردن سرویس IIS از طریق پروسه iisreset

config

استخراج تنظیمات از فایل معرفی شده

light-wipe

معدوم کردن بخشی از فایل به میزان تعیین شده به همراه مؤلفه

wipe-exclude

پوشه‌های معرفی شده به همراه این مؤلفه از گزند Wiper در امان خواهند بود

delete

پس از رونویسی، فایل از روی دستگاه حذف خواهد شد

processes

پروسه‌های تعیین شده را توسط فرمان taskkill حذف خواهد کرد

wipe-stage-2

فایل‌ها را با روش پیش‌فرض رونویسی کرده و سپس حذف می‌کند

purge

کل فایل – و نه فقط بخشی از آن – را رونویسی می‌کند

wipe-only

فایل‌های تعیین شده را رونویسی می‌کند

wipe-all

تمامی فایل‌ها را رونویسی می‌کند

 

برای مثال، در جریان یکی از این حملات مهاجمان از طریق پارامترهای زیر اقدام به مستثنی‌سازی مسیرهای مرتبط با ضدویروس سیمانتک کرده بودند تا دست‌درازی به فایل‌های آن موجب حساسیت این محصول امنیتی نشود:

“-wipe-exclude”, “C:\\\\Program Files\\\\Symantec*”
“-wipe-exclude”, “C:\\\\Program Files (x86)\\\\Symantec*”

 

نکته قابل توجه این که مهاجمان پیش از معدوم‌سازی MBR و فایل‌ها از طریق بدافزارهای دیگر اقدام به سرقت اطلاعات می‌کنند.

 

مقابله

 

همان طور که اشاره شد که گردانندگان این حملات هدفمند با صرف زمان و منابع قابل‌توجه سعی در به حداکثر رساندن خسارات به سازمان قربانی را دارند. رعایت موارد زیر می‌تواند شانس موفقیت این تبهکاران سایبری را به حداقل برساند:

 

 

توضیح این که نسخه‌ای از بدافزار Dilemma که در این گزارش به آن پرداخته شد با نام‌های زیر قابل شناسایی می‌باشد:

Bitdefender: IL:Trojan.MSILZilla.15370
McAfee: RDN/Wiper
Sophos: Mal/Generic-S

لازم به ذکر است علیرغم درخواست تبادل بیشتر اطلاعات در این زمینه از مراکز امنیتی کشور، فقط بر اساس اطلاعات جمع‌آوری شده شرکت مهندسی شبکه گستر، این خبر در این زمان، تنظیم شده است. در صورت دریافت اطلاعات بیشتر این خبر به‌روز خواهد شد.

 

منابع:

[1] https://www.afta.gov.ir/fa-IR/Portal/4927/news/view/14608/2129

[2] https://securelist.com/expetrpetyanotpetya-is-a-wiper-not-ransomware/78902/

[3] https://www.afta.gov.ir/fa-IR/Portal/1/news/view/14594/1889/

[4] https://www.sentinelone.com/labs/meteorexpress-mysterious-wiper-paralyzes-iranian-trains-with-epic-troll/

[5] https://research.checkpoint.com/2022/evilplayout-attack-against-irans-state-broadcaster/

[6] https://research.checkpoint.com/2021/indra-hackers-behind-recent-attacks-on-iran/

خروج از نسخه موبایل