شرح کلی
نوع: کرم (Worm)
درجه تخریب: زیاد
میزان شیوع: متوسط
اسامی بدافزار
- Worm.Win32.Mothyfil.a (Padvish)
- Worm:Win32/Mothyfil!pz (Microsoft)
- Win32/AutoRun.VB.BRR Worm (ESET-NOD32)
- Backdoor.Win32.VB.gjph (Kaspersky)
کرم (worm) چیست؟
کرم‌های کامپیوتری هم‌چون Mothyfil نوعی از بدافزار محسوب می‌شوند که به صورت خودکار، توان تکثیر کردن خود را دارند. کرمها برای بقا روش‌هایی را تنظیم می‌کنند تا در هر بار راه‌اندازی سیستم، آلودگی تداوم داشته باشد.
ویژگی بارز کرمها در نحوه انتشار آن‌ها است که عموماً از طریق درایوهای قابل حمل و دایرکتوری‌های به اشتراک گذاشته شده در شبکه صورت می‌گیرد.
بدافزار Mothyfil چیست؟
بدافزار Mothyfil نوعی Worm است که با کپی کردن خود در درایو اصلی سیستم و همچنین درایوهای قابل حمل، سعی در انتشار خود دارد. این بدافزار همچنین به دانلود بدافزارهای دیگر عموما از نوع ماینر، بدافزارهای استخراج رمز ارز اقدام می‌کند.
توضیحات فنی
علائم آلودگی
❌ وجود فایل‌هایی با اسامی زیر در مسیر %SystemRoot%:
a62c6.exe
b619c.exe
❌ وجود مسیر فایل بدافزار در کلیدهای رجیستری Run و Winlogon با هدف ایجاد بقا:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\<randomName>
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
❌ وجود فایل اجرایی بدافزار با نام مشابه یکی از پوشه‌های موجود در درایو قابل حمل، همراه با مخفی شدن پوشه اصلی.
❌ وجود فایل autorun.inf و نسخه‌ای از فایل اجرایی بدافزار در درایو قابل حمل.
شرح عملکرد
این بدافزار پس از اجرا، نسخه‌ای از فایل اجرایی خود را در مسیر %SystemRoot% و با نام‌هایی مشابه a62c6.exe و b619c.exe کپی می‌کند. همچنین، در صورت شناسایی درایوهای قابل حمل، با اعمال تغییراتی در آن‌ها، از دو روش زیر کاربر را به اجرای نمونه آلوده ترغیب کرده یا به صورت خودکار موجب انتشار بدافزار از طریق این درایوها می‌شود:
- پیاده‌سازی مکانیزم اجرای خودکار از طریق فایل autorun.inf:
در این روش، بدافزار یک نسخه از فایل اجرایی خود و فایل autorun.inf را در درایو قابل حمل ایجاد می‌کند. در فایل autorun.inf تعریف شده است که در صورت وقوع رویدادهایی مانند باز کردن درایو (فرمان Open) یا مرور فایل‌های موجود در آن (فرمان Explore)، فایل بدافزار اجرا شود.
- پنهان‌سازی پوشه‌های موجود در درایو قابل حمل و ایجاد نسخه‌هایی از فایل بدافزار با نام پوشه‌ها:
در این روش، بدافزار پوشه‌های موجود در درایو قابل حمل را پنهان کرده و نسخه‌هایی از فایل اجرایی خود را با نام این پوشه‌ها ایجاد می‌کند.
بدین ترتیب، کاربر ممکن است بدون توجه به نوع فایل و صرفاً با هدف باز کردن پوشه‌های خود، فایل اجرایی بدافزار را اجرا کند.
در تصویر زیر هر دو روش بالا را مشاهده می کنید.
🔺 همچنین بدافزار با ثبت مسیر فایل خود در کلید رجیستری Run و Winlogon برای فایل خود، بقا ایجاد می‌کند:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\<randomName>
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
در برخی گونه‌های خانواده Mothyfil مشاهده شده است که بدافزارهایی از خانواده‌ها و انواع دیگر را دانلود کرده و روی سیستم قربانی اجرا می‌کند. به عنوان نمونه، در یکی از گونه‌های این خانواده، دو فایل نشان داده شده در تصویر زیر در درایو سیستمی ایجاد و اجرا می‌شوند.
در این گونه:
- فایل regex.exe نمونه‌ای از بدافزارهای Clipboard Hijacker است که با پایش داده‌های موجود در Clipboard سیستم قربانی، در صورت شناسایی الگویی مشابه با آدرس کیف پول‌های رمزارزی، محتوای Clipboard را با آدرس کیف پول تحت کنترل مهاجم جایگزین می‌کند.
- فایل Serviceamd10.exe نیز نمونه‌ای از بدافزارهای Cryptominer است که با استفاده از منابع پردازشی سیستم قربانی، اقدام به استخراج رمز ارز کرده و حاصل استخراج را به استخر استخراج مورد نظر مهاجم ارسال می‌کند.
روش مقابله و پاک‌سازی سیستم
آنتی ویروس پادویش با دارا بودن قابلیت UMP که جزء محافظت رفتاری آن است، جلوی آلوده شدن سیستم از طریق درایو قابل حمل را می‌گیرد.
از این رو، جهت پیشگیری از آلودگی به انواع بدافزارهایی مانند این بدافزار که از طریق درایو قابل حمل انتقال می‌یابند، پیشنهاد می‌شود با نصب پادویش از ورود بدافزار به سیستم خود جلوگیری کنید.