باج افزار اندرویدی جدید با پیامک توزیع می شود
باج افزارهای مبتنی بر سیستم‌عامل موبایل روزبه‌روز پیشرفت می کنند و ابزارهای توزیع و نفوذ آن‌ها نیز با سرعت بالایی تغییر می کند.
محققان امنیتی ادعا می کنند که خانواده ی جدیدی از باج افزارهای اندرویدی با استفاده از پیامک بین کاربران توزیع می شوند. متخصصان امنیت سایبری ESET در جدیدترین گزارش خود، نتایج بررسی یک بدافزار اندرویدی به‌نام Android/Filecoder.C را منتشر کردند. انتشار اخبار جدید به نوعی یک نشانه برای پایان دو سال روند نزولی تشخیص بدافزارهای اندرویدی محسوب می‌شود.
بدافزار فایل‌کدر حداقل از ۱۲ ژوئیه ۲۰۱۹ فعال بوده است و از طریق پست‌های آلوده در انجمن‌های آنلاین توزیع می شود. از میان انجمن ها می توان به ردیت و فروم مشهور توسعه ی اندروید یعنی XDA Developers اشاره کرد. حجم عمده ای از پست های آلوده که کاربران را به دریافت بدافزار مذکور دعوت می کنند، موضوعاتی با محوریت هرزنگاری دارند. به‌علاوه، تحقیقات ESET می‌گوید که در اکثر آن‌ها از ابزار bit.ly برای تغییر آدرس بدافزار استفاده می شود.
به محض اینکه فایل‌کدر در دستگاه اندرویدی قربانی نصب شود، به فهرست مخاطبان او دسترسی پیدا می کند. سپس پیام‌های متنی به‌صورت پیامک به کل فهرست ارسال می شود. لینک مخرب به‌صورت تبلیغی برای یک اپلیکیشن کاربردی ارسال می‌شود درحالی‌که به اپلیکیشنی مرتبط با بدافزار فایل‌کدر متصل خواهد بود. شایان ذکر است پیامک مخرب بسته به زبان دستگاه قربانی ارسال می شود و توانایی ارسال پیام به ۴۲ زبان را دارد. به‌علاوه نام مخاطب نیز در متن پیام درج می شود.
اگر قربانی روی لینک موجود در پیامک کلیک کند، بدافزار به‌صورت دستی نصب شده که عموما باز هم از محتوای هرزنگاری برای تبلیغ آن استفاده می شود. به هر حال هدف نهایی از اپلیکیشن مخرب مذکور، اجرای آن در پس‌زمینه خواهد بود. اپلیکیشن شامل تنظیمات command-and-control یا C2 است که آدرس کیف‌های پول بیت کوین نیز درون آن قرار دارد. به‌علاوه ابزاری به‌نام Patebin در داخل کدهای بدافزار دیده می شود که برای اجرای فرایند Dynamic Retrieval کاربرد دارد.
فایل کدر پس از آنکه پیام های تبلیغاتی را برای فهرست مخاطبان ارسال کرد، به‌دنبال حافظه ی دستگاه می گردد و بخش اعظم آن را رمزنگاری می کند. از میان فایل‌هایی که توسط بدافزار رمزنگاری می شوند میتوان به فایل های متنی و تصویر اشاره کرد. باج افزار مذکور توانایی دستکاری در فایل های اختصاصی اندروید همچون apk و dex را ندارد. محققان ESET اعتقاد دارند فرایند رمزنگاری به نوعی یک روند کپی و الصاق از WannaCry است. جهت یادآوری باید بدانید که واناکرای یکی بدافزارهای بسیار حرفه‌ای و مخرب است.
پس از رمزنگاری فایل های قربانی، پیامی مبنی بر درخواست وجه به او نمایش داده می شود. پیامی که باج به ارزش ۹۸ تا ۱۸۸ دلار را در فرم رمز ارز درخواست می‌کند. در حال حاضر هیچ گزارشی از پاک شدن فایل ها پس از دوره ی تهدیدی وجود ندارد. به‌علاوه باج افزار فعالیتی به‌صورت قفل کردن دستگاه یا متوقف کردن فعالیت آن انجام نمی دهد. البته اگر کاربر اپلیکیشن را حذف کند، فایل‌ها رمزگشایی نمی شوند. البته عدم رمزگشایی آن‌ها ربطی به تهدید مجرمان سایبری ندارد و دلیل اصلی آن، رمزنگاری ناقص است. به هرحال باز هم کاربر می تواند بدون پرداخت هزینه ی زیاد، فایل‌های خود را بازیابی کند.
متخصصان امنیت سایبری می گویند بدون پرداخت هزینه هم میتوان فرایند رمزگشایی را با استفاده از کلید خصوصی انجام داد. آن‌ها ادعا می کنند که می توان فرایند رمزنگاری را به رمزگشایی تبدیل کرد. برای انجام چنین فرایندی، تنها به UserID نیاز خواهد بود که آن هم از سوی مجرم سایبری در پیام درخواست وجه ارائه می‌شود. به بیان دیگر متخصصان ESET علاوه بر تشخیص بدافزار جدید، راهکار عملی را هم برای آن ارائه کرده اند.
متخصصان ESET در متنی که مرتبط با بدافزار بالا منتشر کردند، درباره‌ی اثرگذاری آن نوشتند:
با توجه به هدف‌گیری محدود و ایراد در اجرا و همچنین پیاده‌سازی رمزنگاری، اثر این باج‌افزار محدود است. به‌هرحال اگر توسعه دهنده های آن ایرادات را برطرف کنند و جامعه‌ی هدف هم گسترده تر شود، احتمالا باج افزار Android/Filecoder.C به تهدیدی بزرگ تر بدل خواهد شد.
با توجه به توضیحاتی که پیرامون روش اجرا و توزیع بدافزار اندرویدی مطرح شد، باز هم اهمیت آگاهی کاربر برای جلوگیری از آلودگی مشخص می شود. اگر قربانیان پیامک‌های مخرب یا کاربران انجمن های آنلاین، در باز کردن لینک های تبلیغاتی و همچنین نرم‌افزارهای متفرقه احتیاط لازم را داشته باشند، قطعا اجرای فرایند باج گیری سایبری حتی شروع هم نخواهد شد.
فایل‌کدر در زمان رمزنگاری فایل‌های کاربر، یک کلید عمومی و یک کلید خصوصی ایجاد می کند. کلید خصوصی با استفاده از الگوریتم RSA رمزنگاری شده و برای مجرم سایبری (یا همان اپراتور C2) ارسال می‌شود. درنتیجه اگر قربانی هزینه ی درخواستی را پرداخت کند، هکر قابلیت رمزگشایی فایل ها را خواهد داشت.
