کاربران ایرانی هدف یک باجافزار فارسی
مرکز مدیریت امداد و هماهنگی عملیات رخدادهای رایانه‌ای کشور (ماهر) از انتشار باج‌افزاری موسوم به Tyrant خبر داده که با الهام از یک باجافزار کد باز در فضای سایبری منتشر شده و از صفحه باج‌خواهی به زبان فارسی به شکل زیر استفاده می‌کند.
مشخص است که این باجافزار برای هدف قرار دادن کاربران فارسی زبان طراحی شده است. Tyrant در بستر سیستم‌های عامل تحت Windows عمل می‌کند.
به گفته مرکز ماهر، این باجافزار با قفل کردن دسترسی به سامانه‌های قربانی و رمزنمودن فایل‌های سیستم، اقدام به مطالبه 15 دلار باج به شکل ارز الکترونیکی نموده و از بستر غیر قابل پیگیری تلگرام (Ttypern@) و ایمیل (rastakhiz@protonmail.com) برای برقراری ارتباط با قربانی و بررسی پرداخت باج، استفاده می‌نماید.
در گزارش‌های واصله به مرکز ماهر، روش انتشار این باجافزار استفاده از پوشش فیلترشکن سایفون بوده و از طریق شبکه‌های اجتماعی با فریفتن کاربران، آنها را تشویق به دریافت و اجرای فایلی اجرایی با ظاهر سایفون می کند که در حقیقت حاوی بدافزار می‌باشد.
برخی منابع دیگر نظیر سایت sensorstechforum.com به انتشار این باجافزار از طریق هرزنامه‌ها و ایمیل‌های با پیوست مخرب نیز اشاره کرده‌اند.
ضمن اینکه مرکز ماهر نیز با توجه به ماهیت حمله، استفاده از دیگر روش‌های مرسوم برای توزیع این بدافزار، از جمله پیوست ایمیل، انتشار از طریق سایت آلوده یا RDP حفاظت نشده محتمل دانسته است.
روش انتقال باج که این باجافزار از آن استفاده می‌کند، Web money می‌باشد و سازنده باجافزار، مدت 24 ساعت فرصت برای پرداخت باج، در نظر گرفته است. همچنین به منظور راهنمایی قربانی، آدرس تعدادی از سایت‌های فارسی ارائه کننده این نوع از ارز الکترونیکی توسط باجافزار معرفی می‌شوند.
به گزارش شرکت مهندسی شبکه گستر به نقل از مرکز ماهر، تحلیل‌های اولیه نشان می‌دهد که احتمالا این نسخه اول یا آزمایشی از یک حمله بزرگتر باشد چرا که با وجود مشاهده شدن کدهای مربوط به رمزگذاری فایل‌ها، گاهی باجافزار موفق به رمزگذاری فایل‌های قربانی نمی‌شود و از آن مهمتر اینکه با وجود ایجاد تغییرات بسیار در بخش Registry سیستم عامل قربانی، موفق به حفظ قابلیت اجرا در زمان پس از راه‌اندازی مجدد کردن سیستم نمی‌گردد. با این وجود به نظر نمی‌رسد که تا کنون از محل این باجافزار خسارت قابل توجه‌ای ایجاد شده باشد.
لازم به ذکر است که شرکت Enigma Software Group نیز در گزارشی Tyrant را مبتنی بر باجافزار DUMB اعلام کرده که پیش‌تر کاربران ترک زبان را هدف قرار داده بود.
همچون همیشه، برای ایمن ماندن از گزند باج‌افزارها، رعایت موارد زیر توصیه می‌شود:
- از ضدویروس قدرتمند و به‌روز استفاده کنید. نمونه اشاره شده در این خبر توسط ضدویروس‌های McAfee و Bitdefender بترتیب با نام‌های RDN/Ransom و Trojan.GenericKD.12493336 شناسایی می‌شود.
- از اطلاعات سازمانی به‌صورت دوره‌ای نسخه پشتیبان تهیه کنید. پیروی از قاعده ۱-۲-۳ برای داده‌های حیاتی توصیه می‌شود. بر طبق این قاعده، از هر فایل سه نسخه میبایست نگهداری شود (یکی اصلی و دو نسخه بعنوان پشتیبان). فایل‌ها باید بر روی دو رسانه ذخیره‌سازی مختلف نگهداری شوند. یک نسخه از فایل‌ها میبایست در یک موقعیت جغرافیایی متفاوت نگهداری شود.
- از نصب فوری آخرین اصلاحیه‌های امنیتی اطمینان حاصل کنید.
- با توجه به انتشار بخش قابل توجهی از باج‌افزارها از طریق فایل‌های نرم‌افزار Office حاوی ماکروی مخرب، بخش ماکرو را برای کاربرانی که به این قابلیت نیاز کاری ندارند با انتخاب گزینه “Disable all macros without notification” غیرفعال کنید. برای غیرفعال کردن این قابلیت، از طریق Group Policy، از این راهنما و این راهنما استفاده کنید.
- در صورت فعال بودن گزینه “Disable all macros with notification” در نرم‌افزار Office، در زمان باز کردن فایل‌های Macro پیامی ظاهر شده و از کاربر خواسته می‌شود برای استفاده از کدهای بکار رفته در فایل، تنظیمات امنیتی خود را تغییر دهد. آموزش و راهنمایی کاربران سازمان به صرف‌نظر کردن از فایل‌های مشکوک و باز نکردن آنها می‌تواند نقشی مؤثر در پیشگیری از اجرا شدن این فایل‌ها داشته باشد. برای این منظور می‌توانید از این داده‌نمایی‌ها استفاده کنید.
- ایمیل‌های دارای پیوست ماکرو را در درگاه شبکه مسدود کنید. بدین منظور می‌توانید از تجهیزات دیواره آتش، همچون Sophos بهره بگیرید.
- سطح دسترسی کاربران را محدود کنید. بدین ترتیب حتی در صورت اجرا شدن فایل مخرب توسط کاربر، دستگاه به باجافزار آلوده نمی‌شود.
- در دوره های آگاهی رسانی شرکت مهندسی شبکه گستر، شرکت کنید. شرکت در این دوره‌ها برای مشتریان شرکت مهندسی شبکه گستر رایگان است.
