باج‌افزار Bash 2.0

باج‌افزار همچنان یکی از مخرب‌ترین تهدیدات پیش روی افراد و سازمان‌ها است. یک نفوذ موفق می‌تواند فایل‌های شما را از بین ببرد، عملیات تجاری را متوقف کند و داده‌های حساس را در معرض خطر اخاذی قرار دهد. محافظت پیشگیرانه، کنترل‌های امنیتی لایه‌ای، هوشیاری کاربر و پشتیبان‌گیری‌های قابل اعتماد، همیشه هزینه کمتری نسبت به پرداخت به مجرمان (و در عین حال عدم بازیابی اطلاعات شما) خواهد داشت. باج‌افزار Bash 2.0 که با نام Bash Red نیز شناخته می‌شود، یادآوری به موقعی است که خانواده‌های نوظهور همچنان به تکرار کدهای حمله اثبات‌شده ادامه می‌دهند و در عین حال تاکتیک‌های فشار خود را علیه قربانیان اصلاح می‌کنند.

با BASH 2.0 (BASH RED) آشنا شوید

محققان هنگام بررسی فعالیت‌های بدافزار جدید، Bash 2.0 را شناسایی کردند. این تهدید بر اساس کد باج‌افزار Chaos ساخته شده است، چارچوبی که در چندین نسخه فرعی مورد استفاده مجدد قرار گرفته است. استفاده از Chaos به مهاجمان یک مزیت می‌دهد: رمزگذاری هسته، مدیریت فایل و روال‌های یادداشت باج از قبل وجود دارند و می‌توانند برای کمپین‌های جدید سفارشی شوند. Bash 2.0 از این قابلیت‌های به ارث رسیده برای قفل کردن داده‌ها و اخاذی استفاده می‌کند.

چه اتفاقی برای فایل‌های شما می‌افتد؟

پس از اجرای Bash 2.0 روی یک سیستم، تلاش می‌کند داده‌های قابل دسترسی را رمزگذاری کند. هر فایل آسیب‌دیده یک پسوند اضافی متشکل از چهار کاراکتر تصادفی دریافت می‌کند و چیزی مانند '1.png' را به '1.png.2rf9' تبدیل می‌کند (پسوند تصادفی در هر آلودگی متفاوت است). این قرارداد تغییر نام به مهاجمان (و ابزارهای خودکار) کمک می‌کند تا آنچه را که قفل شده است ردیابی کنند و در عین حال فوراً به قربانیان علامت دهند که داده‌هایشان دیگر قابل استفاده نیست. این باج‌افزار همچنین تصویر زمینه دسکتاپ را تغییر می‌دهد تا پیام اخاذی را از نظر بصری تقویت کند.

پیام باج: Bashred-README.TXT

پس از تکمیل رمزگذاری، Bash 2.0 یک یادداشت متنی با نام 'bashred-reAdmE.txt' ارسال می‌کند. این پیام به قربانی اطلاع می‌دهد که فایل‌ها رمزگذاری شده‌اند و ادعا می‌کند که تنها مسیر بازیابی مناسب، دریافت یک کلید رمزگشایی منحصر به فرد و نرم‌افزار از مهاجمان است. به قربانیان دستور داده می‌شود که با آنها تماس گرفته و باج را پرداخت کنند. این یادداشت هشدار می‌دهد که تغییر نام، اصلاح یا تلاش برای رمزگشایی داده‌های قفل شده به طور مستقل می‌تواند آنها را برای همیشه خراب کند. تغییر تصویر زمینه معمولاً همان مضامین را منعکس می‌کند و فوریت را افزایش می‌دهد.

بازیابی اطلاعات چقدر واقعی است؟

در بیشتر حوادث باج‌افزاری، رمزگشایی بدون همکاری مهاجمان از نظر فنی غیرممکن است زیرا رمزگذاری به گونه‌ای طراحی شده است که از نظر رمزنگاری قوی باشد. تنها در موارد نادر، معمولاً زمانی که نویسندگان بدافزار اشتباهات جدی در پیاده‌سازی مرتکب می‌شوند، رمزگشایی بدون دخالت آنها امکان‌پذیر است. حتی پرداخت وجه نیز تضمینی نیست: قربانیان مرتباً گزارش می‌دهند که هرگز ابزارهای کاری دریافت نکرده‌اند، رمزگشایی‌های ناقصی دریافت کرده‌اند یا با کلیدهای خراب مواجه شده‌اند. پرداخت وجه همچنین عملیات مجرمانه بیشتر را تأمین مالی می‌کند و به طور بالقوه شما را به یک هدف تکراری تبدیل می‌کند. به همین دلایل، متخصصان امنیتی به شدت از پذیرش درخواست‌های باج‌خواهی خودداری می‌کنند.

خونریزی را متوقف کنید: برداشتن و مهار کردن

حذف Bash 2.0 از یک محیط آلوده برای جلوگیری از رمزگذاری فایل‌های اضافی و جلوگیری از گسترش تهدید به سیستم‌های متصل ضروری است. با این حال، پاکسازی بدافزار، داده‌های قفل‌شده‌ی قبلی را رمزگشایی نمی‌کند. بازیابی واقعی به داشتن پشتیبان‌های ایمن، آفلاین و بدون مشکل بستگی دارد. قبل از بازیابی، دستگاه‌های آسیب‌دیده را از شبکه جدا کنید، یک اسکن کامل بدافزار را با ابزارهای به‌روز انجام دهید و در جایی که نمی‌توان از اعتماد اطمینان حاصل کرد، آنها را بازسازی یا از نو ایمیج کنید. فقط پس از تأیید پاک بودن سیستم‌های بازیابی‌شده، آنها را دوباره وصل کنید.

چگونه BASH 2.0 در سطح اینترنت گسترش می‌یابد

مهاجمان شبکه‌ی گسترده‌ای را ایجاد می‌کنند. بردارهای توزیع رایج مرتبط با کمپین‌های باج‌افزاری و مرتبط با Bash 2.0 عبارتند از:

• پیوست‌ها یا لینک‌های مخرب که از طریق هرزنامه، فیشینگ هدفمند یا پلتفرم‌های پیام‌رسان اجتماعی ارسال می‌شوند.
• نصب‌کننده‌های همراه یا آلوده به تروجان که خود را به عنوان نرم‌افزار، بازی، کدک رسانه یا ابزار بهره‌وری قانونی جا می‌زنند.
• دانلودهای ناخواسته (Drive-by) که از طریق سایت‌های آلوده یا مخرب، که اغلب از طریق تبلیغات مخرب (malvertising) انجام می‌شوند، انجام می‌شوند.
• کانال‌های دانلود شخص ثالث، نرم‌افزار رایگان و نظیر به نظیر با کنترل‌های یکپارچگی ضعیف.
• کرک‌های نرم‌افزارهای غیرقانونی، کیجن‌ها و ابزارهای فعال‌سازی تقلبی که مخفیانه بدافزارها را منتقل می‌کنند.
• پیام‌های به‌روزرسانی جعلی (مرورگر، افزونه، سیستم عامل یا برنامه) که به جای نصب وصله‌های امنیتی، بدافزار نصب می‌کنند.

برخی از بدافزارهای مخرب قادر به حرکت جانبی یا خود تکثیری هستند و سعی می‌کنند از شبکه‌های محلی عبور کنند یا خود را در رسانه‌های قابل حمل مانند فلش مموری‌های USB و دیسک‌های خارجی کپی کنند.

بهترین شیوه‌های امنیتی برای تقویت دفاع شما

• پشتیبان‌های نسخه‌بندی‌شده، آفلاین و مرتباً آزمایش‌شده را نگهداری کنید. حداقل یک مجموعه پشتیبان خارج از شبکه (حافظه تغییرناپذیر یا رسانه نوشتنی ترجیح داده می‌شود) ذخیره کنید.
• سیستم‌عامل‌ها، برنامه‌ها، مجموعه‌های امنیتی و میان‌افزار را به‌طور کامل وصله‌شده نگه دارید. در صورت امکان، به‌روزرسانی‌های خودکار را فعال کنید.
• راهکارهای معتبر ضد بدافزار/EDR را با قابلیت تشخیص رفتاری باج‌افزار و قابلیت‌های بازگردانی به حالت قبل، پیاده‌سازی کنید.
• از فیلترینگ ایمیل، سندباکسینگ پیوست‌ها و درگاه‌های اسکن لینک برای کاهش خطر فیشینگ استفاده کنید؛ به کاربران آموزش دهید تا فرستندگان جعلی و پیوست‌های غیرمنتظره را تشخیص دهند.

نکات پایانی

باج‌افزار Bash 2.0 نشان می‌دهد که عاملان تهدید چقدر سریع می‌توانند کدهای موجود را به ابزارهای اخاذی جدید تبدیل کنند. مدافعانی که صرفاً به تشخیص مبتنی بر امضا یا واکنش لحظه آخری متکی هستند، در موقعیت نامساعدی قرار خواهند گرفت. با ترکیب استراتژی‌های پشتیبان‌گیری منظم، بهداشت قوی وصله‌ها، دفاع لایه‌ای از نقاط پایانی و ایمیل، طراحی با حداقل امتیاز و دستورالعمل‌های پاسخ‌دهی تمرین‌شده، شما به طور چشمگیری احتمال و تأثیر یک رویداد باج‌افزار را کاهش می‌دهید.