ino

کد خبر: 73187 - تاریخ انتشار 2 اردیبهشت 1397 - 9:3- دسته بندی: فناوری اطلاعات
روش جدید هکرها  برای تزریق کد

زمانی که محققان یک موسسه تحقیقاتی، بررسی‌های دقیقی برروی نمونه‌های مختلف بدافزارها انجام می‌دادند، تکنیک جدیدی در تزریق کد (code injection) به نام Early bird کشف کردند که حداقل توسط سه بدافزار پیچیده مورد استفاده قرار گرفته و کمک کرده مهاجمین شناسایی نشوند.

به گزارش پایگاه خبری تحلیلی «میهن صنعت»، همانطور که از نامش مشخص است Early bird یک تکنیک ساده اما هنوز کارآمد است که به مهاجمان اجازه می‌دهد یک کد مخرب را به داخل یک پردازش صحیح (legitimate) تزریق کنند، قبل از اینکه بخش اصلی این پردازش آغاز شود. بنابراین توسط نرم‌افزارهای ضد بدافزار که از ابزارهای سیستم عامل ویندوز استفاده می‌کنند، شناسایی نمی‌شوند.

محققان می‌گویند که در این تکنیک تزریق کد در مراحل اولیه بارگذاری پردازش و قبل از اینکه بسیاری از نرم‌افزارهای امنیتی اقدامات لازم را اتخاذ کنند، کد مخرب تزریق می‌گردد. این مسئله به بدافزار اجازه می‌دهد بدون شناسایی شدن اعمال مخربش را انجام دهد.

تکنیک به کار رفته مشابه تکنیک تزریق کد معروف به بمب اتمی است که به توابع API ساده متکی نیست و به بدافزار اجازه می‌دهد کد را به روشی داخل پردازش تزریق کند که نرم افزارهای ضدبدافزار نتوانند تشخیص دهند.

این کد مخرب بر مبنای توابع APC ویندوز بنا شده که به برنامه‌ها اجازه می‌دهد به‌صورت غیر همزمان کدی را در داخل یک نخ (thread یا نخ بخشی از یک پردازش است) اجرا کنند.
روش تزریق کد مخرب در داخل یک پردازش صحیح و قانونی به طریقی که قبل از اسکن برنامه‌های ضدبدافزار اجرا گردد به صورت قدم به قدم به شرح زیر است: 

ایجاد یک پردازش معلق از پردازش‌های صحیح ویندوز (مانند svchost.exe).

اخذ حافظه در آن پردازش (svchost.exe) و نوشتن کد مخرب در حافظه اخذ شده و قرار دادن تابع  APC در صف مربوط به نخ اصلی پردازش.

بر اساس اطلاعات سایت پلیس فتا، ‌ به دلیل اینکه توابع APC تنها در حالت alertable می‌توانند پردازش را اجرا کنند، تابع NtTestAlert  فراخوانی می‌گردد تا هسته (kernel ) را مجبور کند کد مخرب را همزمان با نخ اصلی پردازش، اجرا کند. براساس تحقیقات محققان، حداقل سه بدافزار که در لیست زیر به آنان اشاره شده از کد Early Bird استفاده می‌کنند؛   "TurnedUp" که به وسیله یک گروه هکری ایرانی توسعه یافته، نسخه‌های مختلف بدافزار بانکی "Carberp" و بدافزار "DorkBot".

بدافزار DorBot یک بات نت است که از طریق شبکه‌های اجتماعی، نرم‌افزارهای پیام‌رسان و ابزارهای آلوده انتقال اطلاعات، منتشر شده و به منظور سرقت اطلاعات کاربران برای بهره‌گیری از سرویس‌های آنلاین، سرویس‌های بانکی، شرکت در حملات DDOS، ارسال تبلیغات و انتقال بدافزار به سیستم قربانیان، مورد استفاده قرار می‌گیرد./ایسنا/

mihansanat
کلمات کلیدی : اخبار صنعت صنعت هک    تزریق کد    هکر   
عضویت در خبرنامه

نظرات خوانندگان

ثبت نظر

در زمینه‌ی انتشار نظرات مخاطبان رعایت چند مورد ضروری است:
  • لطفاً نظرات خود را با حروف فارسی تایپ کنید.
  • «میهن صنعت» مجاز به ویرایش ادبی نظرات مخاطبان است.
  • میهن صنعت از انتشار نظراتی که حاوی مطالب کذب، توهین یا بی‌احترامی به اشخاص، قومیت‌ها، عقاید دیگران، موارد مغایر با قوانین کشور و آموزه‌های دین مبین اسلام باشد معذور است.
  • نظرات پس از تأیید مدیر بخش مربوطه منتشر می‌شود.
 
داتیس خودرو ال کا

سایر رسانه ها

Top