Cyber security

گوگل به نظر می رسد مشکلی در توقف برنامه های مخرب از غرق شدن در فروشگاه Play داشته باشد.

در مواردی که به نظر می رسد مورد دیگری از نرم افزارهای مخرب که به عنوان یک برنامه مشروع شناخته می شوند، محققان امنیتی Symantec یک برنامه جدید را پیدا کرده اند که خود را به عنوان یک نسخه غیر رسمی نرم افزار پیام رسان Telegram معرفی می کند - فقط برای فشار دادن وب سایت های مخرب در پس زمینه.

به نام MobonoGram 2019، این برنامه از کد منبع باز برنامه Telegram معتبر استفاده کرد، اما قبل از انتشار آن در فروشگاه Google Play، با نرم افزارهای مخرب تزریق شد.


کد مخرب در دستگاه آلوده به منظور انتشار نرم افزارهای مخرب "Android.Fakeyouwon" مورد استفاده قرار گرفت و URL های مخرب دریافت شده از یک سرور فرمان و کنترل (C & C) را بارگیری کرد.

Google Play به عنوان یک حفره برای نرم افزارهای مخرب است
این اولین بار نیست که برنامه های مخرب در فروشگاه Play گوگل پیدا شده اند. در عرض چند ماه گذشته، غول جستجو با شمار زیادی از برنامه های مخرب در فروشگاه App مبارزه کرده است.

بخاطر ماهیت باز پلتفرم، مسئله ای است که به وقوع می پیوندد.

از برنامه های تقلبی و بازی ها برای کپی کردن برنامه هایی که به طور صریح تبلیغاتی در دستگاه های آلوده، از نرم افزارهای جاسوسی به برنامه های تبلیغاتی به منظور تولید درآمد ناامن استفاده می کنند، میزان تهدیدات دستگاه های اندرویدی بسیار گسترش یافته است.

از سوی دیگر، گوگل توانسته است Google Play Protect را به عنوان وسیله ای برای محافظت از دستگاه ها از برنامه های کاربردی مضر استفاده کند.

در حالی که تلاش های این شرکت باعث حذف بیش از 700،000 برنامه تنها در سال گذشته شد، شکاف در روند بررسی آن بارها و بارها باعث شده است که برنامه های بد با گذشت زمان و بار دیگر از بین بروند.

مسائل نیز با مشکلی بزرگتر از Play Store همراه شده است: بازیگران بد می توانند قصد واقعی خود را از طریق مخرب کردن کد مخرب در پشت موانع رمزگذاری که سخت افزار را برای تشخیص نرم افزارهای مخرب دچار مشکل می کنند، مسدود کنند.

با وجود این جریان مستمر از گزارشهای مربوط به ابزارهای تبلیغاتی جدید و سایر بدافزارهایی که در فروشگاه Google Play یافت میشوند، گوگل همچنان بر این تأکید است که نرخها در واقع بسیار پایین هستند و کاربران تنها تنها برنامههای نصب شده از Google Play را امنتر میکنند.

اما این حوادث به منظور نشان دادن محدودیت های فیلتر برنامه های خود گوگل، افزایش نگرانی های امنیتی در مورد فروشگاه آن ظاهرا بررسی شده است.

چگونه بدافزار MobonoGram کار می کند
MobonoGram موجود در زبان انگلیسی و فارسی، کاربران را در کشورهایی مانند ایران و روسیه هدف قرار داده است - جایی که برنامه رسما ممنوع است - و ایالات متحده.

محققان دریافتند که اگر چه برنامه قابلیت ارسال پیام های اساسی را فراهم می کند، همچنین نشان داده شد که مخفیانه چند سرویس در دستگاه را بدون رضایت کاربر اجرا می کند، همچنین بارگیری و مرور جریان بی پایان وب سایت های مخرب در پس زمینه.

"ترجمه مبالغهام یک نسخه غیر رسمی جریان اصلی Telegram است که بدون هیچ گونه فیلتر شکن کار می کند و ویژگی های بسیار بیشتری از Telegram و سایر نسخه های غیر رسمی دارد"، ترجمه فارسی توضیحات برنامه را می خواند.

برنامه مخرب دارای یک مکانیزم ماندگاری بود که برنامه را هر بار که دستگاه را بوت کرد یا هر بار که یک برنامه نصب یا به روز شد، راه اندازی کرد.

بر طبق محققان، این ویژگی Autostart که به عنوان یک سرویس پیش زمینه اجرا می شود یا پس از گذشت دو ساعت در صورت خاتمه سرویس، دوباره شروع می شود، برای ایجاد تعدادی از سرویس های اضافی بدون دانش کاربر استفاده می شود.

هنگامی که برنامه در حال اجرا بود، به مجموعه ای از سرویس دهنده های C & C دسترسی پیدا کرد تا URL های خرابکارانه، یک عامل کاربر مرورگر برای مخفی کردن منبع درخواست و سه کد جاوا اسکریپت را دریافت کند.

محققان اظهار داشتند که کد جاوا اسکریپت برای ایجاد تقلب کلیک و ایجاد درآمد آگهی تقلبی طراحی شده است.

"رویدادهای کلیک در عمل دیده نمی شد، حتی اگر همه جاوا اسکریپت ها واقعا لود شده بودند. با این وجود، ما نمیتوانیم به طور کامل امکان استفاده از نرم افزارهای مخرب را برای تقلب در کلیک یا برخی دیگر از سرقتهای مخرب رد کنیم. "

به غیر از این، محققین سیمانتک نیز دریافتند که برخی از URL ها وجود دارند که باعث ایجاد یک حلقه بی نهایت درخواست ها به یک وب سایت مخرب می شود. چنین فعالیتی می تواند باتری دستگاه را از بین ببرد، در حالی که به طور بالقوه باعث خرابی آن می شود.

بر اساس داده های دور سنجی بین ماه های ژانویه تا ماه مه سال 2019، شرکت امنیتی سایبری اعلام کرد که 1،235 عفونت مربوط به خانواده بدافزار Android.Fakeyouwon را شناسایی کرده و مسدود کرده است، با بیشترین تعداد عفونت در ایالات متحده، ایران، هند و امارات متحده عربی.

بلافاصله مشخص نیست که چه مدت MobonoGram 2019 در دسترس بود. اما این برنامه بیش از 100000 بار دانلود شده است، و توسعه دهنده - RamKal Developers - حداقل تا پنج روز به روز رسانی را پیش از آنکه گوگل آن را از فروشگاه Play حذف کرد. همان توسعه دهنده نیز یک برنامه دوم به نام Whatsgram منتشر کرد که رفتار مشابه مشابهی را نشان داد.

با این حال، یک جستجوی ساده نشان می دهد که برنامه ها همچنان در مخازن برنامه های غیر رسمی شخص ثالث در دسترس هستند.

هفته گذشته نشان داد که یک آسیب پذیری صفر روز اینترنت اکسپلورر می تواند بازیگران تهدید را قادر به سرقت اطلاعات محدود از رایانه های تحت ویندوز 7، ویندوز 10 و ویندوز سرور 2012 (R2). نوشتن برای Forbes، جیسون Evangelho توضیح داد که در حالی که این یک مرورگر وب قدیمی است، آسیب پذیری می تواند "حتی اگر شما هرگز عمدا از اینترنت اکسپلورر استفاده نمی شود" مورد سوء استفاده قرار گیرد. این به اندازه کافی بد بود، اما تا حدودی اثری از اثبات مفهوم بهره برداری به اثبات رسیده بود که این فایل system.ini بود که می توان آن را exfiltrated کرد و به طوری که نیاز به چند کلیک برای اجرای موفقیت آمیز بود. در حال حاضر همه چیز بدتر شده است، خیلی بدتر.

آسیب پذیری لبه چیست؟

تحقیقات جدید نشان داده است که کاربران ویندوز 10 اگر از مرورگر وب مایکروسافت استفاده کنند، خطر بیشتری دارند. محقق امنیتی Mitja Kolsek افشا کرد که چگونه اثبات اصلی مفهوم بهره برداری می تواند به نحوی بهبود یابد تا پرونده های به مراتب بیشتری را از بین ببرد و فایل مخرب به طور مستقیم از طریق Edge باز شود. این فایل مخرب از نوع MIME HTML (MHT) است. اینترنت اکسپلورر یک فایل MHT تک ایجاد می کند تا یک صفحه وب کامل را به یک درایو محلی ذخیره کند، که شامل تمام تصاویر، CSS، جاوا اسکریپت و لینک های داخلی است.

چیزی که کلسک در تحلیل آن که روز صفر روز اینترنت اکسپلورر را تحت تاثیر قرار داده بود، ویژگی ویندوز 10 نامشخص بود، که باید امنیت این پرونده ذخیره شده را علیه کدهای مخرب که میتواند در ساندویچ Edge اجرا شود، تقویت کند. به نظر می رسد این ویژگی امنیتی به طور موثری دیگری را که به عنوان علامت-the-web شناخته می شود، غیرفعال می کند که توسط اینترنت اکسپلورر استفاده می شود تا فایل ها را از اینترنت به عنوان نامعلوم پرچم گذاری کند. "ما متوجه شده ایم که فایل MHT مخرب نباید بارگیری شود و دستی توسط کاربر باز شود، فقط می توان آن را به طور مستقیم از Edge نیز باز کرد"، کولسک توضیح می دهد. علاوه بر این، کلسک می گوید استثنا نیز می تواند افزایش یابد تا آن را با خلوص بیشتری کار کند و "فایل های محلی را با استفاده از یک فایل MHT تکثیر کند."


پاسخ مایکروسافت

به گفته ZDNet، مواردی همچنان بدتر می شود، زیرا مایکروسافت قبلا رد کرد که یک پچ برای نفوذ سایبری اصلی را منتشر کند، که به این شرکت گزارش می دهد: "ما تصمیم گرفتیم که یک نسخه از این محصول یا سرویس در نظر گرفته شود. در این زمان، ما به طور مداوم به روز رسانی وضعیت وضعیت اصلاح این موضوع را ارائه نمی دهیم، و این پرونده را بسته ایم. "

مطمئنا این تحقیق جدید این قضاوت را تغییر خواهد داد؟ خوب، شاید نه بر اساس یک ایمیل از یک نماینده مایکروسافت که توسط Ars Technica منتشر شد، "تکنیک توصیف شده بر مهندسی اجتماعی متکی است و نیاز کاربر را به دانلود و باز کردن یک فایل مخرب MHT دارد. ما مشتریان را تشویق می کنیم که عادت های محاسباتی ایمن را به صورت آنلاین انجام دهند، از جمله استفاده از احتیاط در هنگام کلیک کردن لینک ها، باز کردن فایل های ناشناخته، و یا پذیرش انتقال فایل. "

چگونه ریسک را کاهش دهیم

Kolsek می گوید فقط کاربران لبه در معرض خطر هستند، بنابراین استفاده از مرورگر مایکروسافت حس خوبی نخواهد داشت. طبق گفته کلسک، هیچ کس دیگر مرورگرهای وب پیشین و مشتریان ایمیل که ما آزمایش کرده ایم با استفاده از پرچم امنیتی نامشخص در فایل های دانلود شده است که به طور موثر سوء استفاده را متوقف می کند. به نظر می رسد که مایکروسافت این مسئله را بازبینی کرده و پچ را توسعه می دهد. در همین حال، به عنوان یکی از بنیانگذاران سرویس پیکربندی Micro-patch، 0patch، رایگان است که برای استفاده شخصی و غیر انتفاعی آموزشی استفاده می شود، Kolsek همچنین چنین پچی میکرو برای کاربران ویندوز 10 را ایجاد کرده است.