توزیع بدافزار Mirai از طریق یک تروجان ویندوزی

[IrIsT]

بدافزار Mirai احتمالاً بزرگ‌ترین بدافزار مبتنی بر اینترنت اشیاء است که سال قبل پدیدار شد و با انجام حمله‌ی منع سرویس توزیع‌شده علیه ارائه‌دهنده‌ی سرویس DNS با نام Dyn، بخش وسیعی از اینترنت را قطع کرد.
اینک این بدافزار خود را به‌روزرسانی کرده تا نرخ توزیع و انتشار خود را بیشتر کند. محققان امنیتی از شرکت روسی Dr.Web یک تروجان ویندوزی را کشف کردند که تلاش می‌کند در توزیع بدافزار Mirai در دستگاه‌های ویندوزی به نفوذگران کمک کند.
بدافزار Mirai یک برنامه‌ی مخرب برای دستگاه‌های اینترنت اشیاء مبتنی بر لینوکس است که دستگاه‌های مختلف را برای پیدا کردن دستگاه‌های ناامن اینترنت اشیاء پویش می‌کند. پس از پیدا کردن این دستگاه‌های آسیب‌پذیر، آن‌ها را به بات‌نت خود اضافه کرده و در حملات منع سرویس توزیع‌شده از آن‌ها استفاده می‌کند. این بدافزار با استفاده از گواهی‌نامه‌ی پیش‌فرض دستگاه‌ها توسط پروتکل Telnet توزیع می‌شود. این بدافزار از مهر ماه سال جاری بیش از پیش توزیع شد چرا که کد منبع آن به‌طور عمومی و برخط منتشر شد.
تروجان جدید با نام Trojan.Mirai.۱ رایانه‌های ویندوزی را هدف قرار داده و بر روی شبکه‌هایی که کاربران در آن قرار دارند، برای پیدا کردن دستگاه‌های لینوکسی متصل به اینترنت پویش انجام می‌دهد. این تروجان پس از نصب بر روی دستگاه ویندوزی، به کارگزار دستور و کنترل خود متصل می‌شود تا پرونده‌ی پیکربندی را دریافت کند. این پرونده‌ی پیکربندی حاوی بازه‌ی آدرس‌های IP است که باید پویش شوند. تروجان تلاش می‌کند بر روی این آدرس‌های IP و با استفاده از درگاه‌های شماره ۲۲، ۲۳، ۱۳۵، ۴۴۵، ۱۴۳۳، ۳۳۰۶ و ۳۳۸۹ به پویش بپردازد.
اگر فرآیند احزار هویت بر روی سامانه‌های هدف با موفقیت انجام شود، بر روی آن دستوراتی که در پرونده‌ی پیکربندی قرار دارد، اجرا خواهد شد. این دستورات به نوع دستگاهِ آلوده نیز بستگی دارد. در مورد سامانه‌های لینوکسی که از طریق پروتکل Telnet آلوده شده‌اند، این تروجان یک باینری مخرب را بر روی دستگاه قربانی بارگیری می‌کند که در ادامه بدافزار Linux.Mirai را نصب و اجرا خواهد کرد.
پس از آلوده شدن سامانه، تروجان می‌تواند خود را بر روی دستگاه‌های ویندوزی دیگر توزیع کند تا به نفوذگران در روند توزیع این بدافزار کمک کرده باشد. علاوه بر این، محققان امنیتی اشاره کردند این بدافزار می‌تواند سرویس‌های پایگاه داده بر روی درگاه‌ها را نیز شناسایی کرده و آلوده کند. از جمله‌ی این پایگاه داده‌ها می‌توان MySQL و کارگزار SQL مایکروسافت را نام برد. بدافزار بر روی این پایگاه داده‌ها، حسابی با شناسه‌ی phpminds و گذرواژه‌ی phpgodwith ایجاد می‌کند که به نفوذگران اجازه می‌دهد اطلاعات این پایگاه داده را به سرقت ببرند.
در حال حاضر مشخص نیست چه کسی این تروجان ویندوزی را طراحی کرده است اما بردار حمله نشان می‌دهد که حتی دستگاه‌های اینترنت اشیاء که به اینترنت متصل نیستند نیز در معرض خطر قرار دارند. این تروجان با آلوده کردن دستگاه‌های ویندوزی، بر روی شبکه‌ی آن‌ها پویش انجام داده و دستگاه‌های اینترنت اشیاء را آلوده می‌سازد.

منبع : [External Link Removed for Guests]