هفته گذشته خبری در خصوص سوءاستفاده از Unicode برای مخفی کردن فایل اجرایی برنامههای مخرب در این وبلاگ منتشر شد. تنها یک روز پس از آن، نمونه ویروسی که از این روش برای انتشار خود استفاده میکند توسط یکی از مشترکین شرکت مهندسی شبکه گستر، به دست بخش پشتیبانی رسید و این به معنای آغاز انتشار اینگونه ویروسها در ایران است. این موضوع بهانهای شد تا یکبار دیگر این روش را مورد بحث و بررسی قرار دهیم.
پسوند فایل میتواند نقش مهمی در فریب و تشویق کاربر به اجرای آن داشته باشد. روش رایج کنونی برای فریب کاربران، استفاده از نشان (icon) یک فایل غیراجرایی نظیر Doc و تغییر نام آن به something.doc.exe است. با توجه اینکه بصورت پیش فرض، سیستم عامل پسوند فایلها را نمایش نمیدهد، کاربرانی که از تنظیمات پیش فرض استفاده میکنند این فایل را بصورت something.doc میبینند. از آنجا که نشان فایل هم مشابه فایلهای نرمافزار Word است، کاربر مطمئن میشود که این فایل هر چه که باشد، اجرایی نیست! و این دقیقاً همان چیزی است که ویروسنویس به دنبال آن است. اما این روش چندان برای فریب کاربران حرفهای مناسب نبوده و نیست.
برگردیم به سراغ روش جدید. نمونه دریافتی ما Invoices_N83235_0912_Collexe.doc نام داشت و در زمان غیرفعال بودن گزینه “Hide extensions for known file types” در سیستم عامل، پسوند فایل به صورت doc نمایش داده میشد.
بررسی فایل با ابزارهای امنیتی نشان داد که نام واقعی فایل Invoices_N83235_0912_Coll [U+202E]cod.exe است.
[U+202E] همانطور که در خبر هفته گذشته اشاره شد، نمادها (Character) را بصورت راست به چپ نمایش میدهد و در نتیجه آنچه که کاربر میبیند exe.doc است. اما زمانی که فایل اجرا میشود، سیستم عامل با آن همانند یک فایل اجرایی رفتار میکند و در صورت به روز نبودن ضدویروس، دستگاه آلوده میشود. این فایل نمونه حاوی ویروسی از نوع “دریافت کننده فایل” (Downloader) است که درگاههایی را برای ارتباط با نفوذگر باز و فرمانها را از سرویسدهندههای مخرب دریافت میکند. توضیح آنکه ضدویروس McAfee نمونه مورد بررسی را با عنوان Generic.tfr!m شناسایی میکند.
اینگونه ویروسها اغلب از طریق نامههای الکترونیکی ارسال میشوند که هرزنامه (spam) بودن آنها به آسانی قابل تشخیص است. اما این روش میتواند نقطه عطفی برای ویروسنویسان هم باشد. دور از انتظار نیست که گونههای جدید بسیاری از ویروسها از این روش برای فریب کاربران و انتشار خود استفاده کنند.
رعایت نکات زیر میتواند نقش مهمی در پیشگیری از آلوده شدن به اینگونه ویروسها داشته باشد:
- ضدویروس خود را همیشه به روز نگه دارید.
- در صورت استفاده از سیستم پست الکترونیکی در سازمان خودتان، حتماً مطمئن شوید که ابزارهای ضدهرزنامه (Anti Spam) بر روی سرویسدهنده پست الکترونیکی نصب شده است.
- از باز کردن پیوست نامههای ناآشنا جداً خودداری کنید. همانطور که ذکر شد، با استفاده از این روش فریبکارانه، فایل اجرایی میتواند بصورت یک فایل متنی بیخطر نمایش داده شود. اگر ناچار به باز کردن فایل پیوست هستید موارد زیر را در نظر بگیرید:
- اگر در 3 یا 4 کاراکتر پایانی نام فایل، عبارتهایی مانند exe، tab و یا moc وجود دارد، احتمال استفاده از این روش فریبکارانه وجود دارد و این عباراتها میتوانند نشاندهنده پسوند و نوع واقعی فایل باشند. پس اگر یکی از این عبارتها را دیدید از خیر اجرا کردن آن فایل بگذرید.
- سرآیند (header) فایلهای اجرایی براساس سیستم 16تایی، 4D5A و در سیستم ASCII، MZ است. با باز کردن اینگونه فایلها در ویرایشگر (editor)های HEX و یا حتی Notepad میتوان عبارت MZ را مشاهده کرد.
به خاطر داشته باشید که در هر زمان میتوانید فایلهای مشکوک را برای بررسی بیشتر و دقیقتر به http://help.shabakeh.net ارسال کنید.