ایده بدافزار <<بدون فایل>> كه صرفاً در حافظه سیستم وجود دارد جدید نیست، ولی چنین تهدیداتی نادر هستند، چرا كه نوعاً در راه اندازی های مجدد سیستم و پس از پاك شدن حافظه، نمی توانند به حیات خود ادامه دهند. اما در مورد Poweliks این مسأله صادق نیست. به گفته محققان بدافزارهای شركت امنیتی G Data Software، این بدافزار از روش جدیدی برای بقای خود استفاده می كند و در عین حال هیچ فایلی نیز ایجاد نمی كند.

هنگامی كه Poweliks سیستمی را آلوده می كند، یك مدخل در رجیستری ایجاد می کند كه فایل ویندوزی معتبر rundll32.exe و سپس كد جاوا اسكریپت رمز شده ای را اجرا می كند. این كار پردازه ای را راه اندازی می كند. كد جاوا اسكریپت مزبور بررسی می كند كه آیا Windows PowerShell كه یك پوسته خط فرمان و محیط اسكریپتینگ است بر روی سیستم وجود دارد یا خیر. درصورتی كه این پوسته وجود نداشته باشد، آن را دانلود كرده و نصب می کند و سپس كدهای دیگری را كه در حقیقت یك اسكریپت PoweShell است رمزگشایی می كند.

ایده بدافزار <<بدون فایل>> كه صرفاً در حافظه سیستم وجود دارد جدید نیست، ولی چنین تهدیداتی نادر هستند، چرا كه نوعاً در راه اندازی های مجدد سیستم و پس از پاك شدن حافظه، نمی توانند به حیات خود ادامه دهند. اما در مورد Poweliks این مسأله صادق نیست. به گفته محققان بدافزارهای شركت امنیتی G Data Software، این بدافزار از روش جدیدی برای بقای خود استفاده می كند و در عین حال هیچ فایلی نیز ایجاد نمی كند.

هنگامی كه Poweliks سیستمی را آلوده می كند، یك مدخل در رجیستری ایجاد می کند كه فایل ویندوزی معتبر rundll32.exe و سپس كد جاوا اسكریپت رمز شده ای را اجرا می كند. این كار پردازه ای را راه اندازی می كند. كد جاوا اسكریپت مزبور بررسی می كند كه آیا Windows PowerShell كه یك پوسته خط فرمان و محیط اسكریپتینگ است بر روی سیستم وجود دارد یا خیر. درصورتی كه این پوسته وجود نداشته باشد، آن را دانلود كرده و نصب می کند و سپس كدهای دیگری را كه در حقیقت یك اسكریپت PoweShell است رمزگشایی می كند.

این اسكریپت PowerShell با استفاده از ترفندی برای دور زدن محافظ پیش فرض ویندوز كه از اجرای اسكریپت های ناشناس PowerShell بدون تأیید كاربر جلوگیری می كند، اجرا می گردد. سپس این اسكریپت Shellcode را كه یك DLL را مستقیماً به حافظه سیستم تزریق می كند، رمزگشایی كرده و اجرا می کند.

هنگامی كه این DLL تقلبی در حال اجرا در حافظه است، به دو آدرس آی پی در قزاقستان متصل شده و دستورات را دریافت می كند. این بدافزار می تواند بسته به تمایل مهاجم برای دانلود و نصب سایر تهدیدات به كار رود. در طول این پروسه، از زمان اجرای كد جاوا اسكریپت تا تزریق نهایی DLL، این بدافزار هیچ فایل خرابكاری بر روی هارد دیسك ایجاد نمی كند كه این مسأله، شناسایی آن را برای آنتی ویروس ها مشكل می سازد.

علاوه بر اینها، نام كلید رجیستری ایجاد شده توسط Poweliks یك كاراكتر غیر اسكی است. این ترفندی است كه از نمایش این مدخل رجیستری توسط regedit (ابزار ویرایش رجیستری ویندوز) و احتمالاً سایر برنامه ها جلوگیری می كند و به این ترتیب شناسایی دستی آلودگی را برای كاربر و نیز تحلیلگران بدافزار مشكل می سازد.

برخی ویرایش های Poweliks از طریق اسناد خرابكار Word كه به هرمه ها پیوست شده بودند و وانمود می كردند كه از پست كانادا یا پست ایالات متحده ارسال شده اند، منتشر گشته اند. این اسناد خرابكار از یك آسیب پذیری اجرای كد از راه دور در آفیس 2003، 2007 و 2010 كه در آوریل 2012 اصلاح شده بود استفاده می كردند. البته با توجه به سایر گزارش ها، این بدافزار همچنین از طریق حملات drive-by download كه از نقایص وب استفاده می كنند نیز منتشر شده است.

آنتی ویروس ها برای مسدود كردن بدافزاری مانند Powliks باید یا فایل Word اولیه را پیش از اجرا و ترجیحاً پیش از رسیدن به صندوق پستی كاربر توقیف کنند یا اینكه در خط بعدی دفاعی، پس از اجرای فایل قادر به شناسایی كد سوء استفاده كننده از آسیب پذیری نرم افزار باشند، و یا در نهایت، رفتار غیرمعمول را تشخیص داده و پردازه مربوطه را مسدود كرده و به كاربر هشدار دهند.

سلام خدمت بازدیدکنندگان محترم وبلاگ

امروز یک برنامه کاربردی خدمتتون ارائه می کنم که شاید به درد خیلی ها بخوره، برنامه ای برای رمز کردن یک عبارت متنی!

مثلا وقتی شما می خواین یک رایانامه یا پیامک رمزی برای کسی بفرستید، یا مثلا می خواهید یک عبارتی رو جایی بنویسید که دیگران هم می بینند و شما نمی خواهید که کسی معنی اون عبارت رو بفهمه.

یک شاه رمز یا کلید رمز برای خودتون انتخاب می کنید، سپس متن تون رو وارد می کنید، پس از کلیک بر روی دکمه ldquo;رمزیrdquo; آنچه به دست خواهد آمد یک سری حروف درهم و برهم است که کسی از آن سر در نمی آورد.
برای برگرداندن این حروف درهم و برهم به عبارت اولیه، حتما آن شاه رمز یا کلید رمز لازم است.

برای دانلود به ادامه مطلب بروید

سلام خدمت بازدیدکنندگان محترم وبلاگ

امروز یک برنامه کاربردی خدمتتون ارائه می کنم که شاید به درد خیلی ها بخوره، برنامه ای برای رمز کردن یک عبارت متنی!

مثلا وقتی شما می خواین یک رایانامه یا پیامک رمزی برای کسی بفرستید، یا مثلا می خواهید یک عبارتی رو جایی بنویسید که دیگران هم می بینند و شما نمی خواهید که کسی معنی اون عبارت رو بفهمه.

یک شاه رمز یا کلید رمز برای خودتون انتخاب می کنید، سپس متن تون رو وارد می کنید، پس از کلیک بر روی دکمه ldquo;رمزیrdquo; آنچه به دست خواهد آمد یک سری حروف درهم و برهم است که کسی از آن سر در نمی آورد.
برای برگرداندن این حروف درهم و برهم به عبارت اولیه، حتما آن شاه رمز یا کلید رمز لازم است.

دانلود با لینک مستقیم