شرح کلی
نوع : تروجان (Trojan)
درجه تخریب: بالا
میزان شیوع: متوسط
اسامی بدافزار
- Trojan.Win32.CastleRAT (Padvish)
- Win64/Loader.Lycaon.C Trojan (ESET-NOD32)
- Trojan.Win64.DllHijack.avp (Kaspersky)
- Trojan:Win32/Wacatac.B!ml(Microsoft)
تروجان (Trojan) چیست؟
تروجان‌ها نوعی بدافزار محسوب می‌شوند که خود را در قالب نرم‌افزاری سالم و قانونی جلوه می‌دهند و بسیار شبیه نرم‌افزارهای مفید و کاربردی رفتار می‌کنند. در حالی که پس از اجرا، خرابی‌های زیادی را برای سیستم ایجاد می‌کنند.
نرم‌افزارهای دانلود شده از اینترنت، جاسازی شدن در متن HTML، ضمیمه شدن به ایمیل و غیره از جمله راه‌های ورود تروجان‌ها هستند. تروجان‌ها برخلاف ویروس‌ها و کرم‌های کامپیوتری قادر به تکثیر خود نیستند.
بدافزار CastleRAT چیست؟
بدافزار CastleRAT با هدف جمع‌آوری اطلاعات سیستم قربانی و ارسال آنها به سرور کنترل و فرمان خود طراحی شده است. این بدافزار می‌تواند اطلاعات وارد شده در صفحات ورود (Login)، داده‌های مرتبط با منابع Media و ورودی‌های صفحه کلید و … را جمع‌آوری کند.
یکی از ویژگی‌های قابل توجه CastleRAT، نگهداری آدرس سرور کنترل و فرمان در یک منبع عمومی، از جمله صفحات پروفایل کاربران در وب‌سایت Steam Community است که بدافزار از طریق آن می‌تواند آدرس سرور کنترل و فرمان خود را دریافت کند.
توضیحات فنی
علائم آلودگی
❌ وجود فایل‌های زیر:
%UserProfile%\Pictures\oleacc.dll
%UserProfile%\Pictures\casteProtector.exe
%localappdata%PythonFilee2
%localappdata%keylog.txt
❌ ارتباط با دامنه‌های زیر:
SteamCommunity[.]com
justnewdmain[.]com
❌ وجود کلید رجیستری زیر:
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Value: VansProtect
Data: C:\Users\[Username]\Pictures\casteProtector.exe
شرح عملکرد
در گونه مورد بررسی از بدافزار CastleRAT، اجرای بدافزار از طریق یک فایل کتابخانه‌ای مخرب و با استفاده از تکنیک DLL Hijacking انجام می‌شود.
در این روش، فایل کتابخانه‌ای مخرب در کنار یک فایل اجرایی سالم قرار گرفته و توسط فایل اجرایی مذکور بارگذاری می‌شود. پس از بارگذاری کتابخانه، یکی از توابع Export آن اجرا شده و فرآیند راه‌اندازی بدافزار آغاز می‌شود.
در نمونه مورد بررسی، فایل اجرایی سالم با نام casteProtector.exe، فایل کتابخانه‌ای oleacc.dll را بارگذاری می‌کند.
کتابخانه مذکور که در واقع نقش راه‌انداز (Loader) بدافزار CastleRAT را بر عهده دارد، در ابتدای فعالیتش، فایل خود و فایل اجرایی سالم را در مسیر زیر کپی می‌کند:
%UserProfile%\Pictures\casteProtector.exe
%UserProfile%\Pictures\ oleacc.dll
همچنین به منظور ایجاد بقا، برای مسیر فایل اجرایی، یک مقدار در کلید Run رجیستری مربوط به کاربر ایجاد می‌کند. بدین ترتیب، با ورود مجدد کاربر به سیستم، فایل اجرایی مذکور می‌تواند به صورت خودکار اجرا شود.
پس از انجام مراحل فوق، فایل راه‌انداز نسبت به ایجاد و اجرای فایل اصلی بدافزار CastleRAT در حافظه پردازه سالم اقدام می‌کند. پس از راه‌اندازی، بدافزارCastleRAT با هدف ارسال اطلاعات سیستم قربانی به سرور از راه دور خود، اطلاعاتی شامل نام سیستم، نام کاربر، آدرس IP و مشخصات سیستم عامل را جمع‌آوری می‌کند.
بدافزارCastleRAT، آدرس سرور کنترل و فرمان خود را به صورت آنلاین از صفحه پروفایل یک کاربر در وب‌سایت SteamCommunity استخراج می‌کند. آدرس صفحه کاربر که به صورت هاردکد شده در فایل بدافزار درج شده است، به همراه تصویر بخشی از این صفحه در زیر قابل مشاهده است. همان‌گونه که در تصویر زیر مشخص است مهاجم آدرس سرور کنترل و فرمان خود را به عنوان نام کاربر در این پروفایل کاربری قرار داده است.
steamcommunity[.]com/id/krouvhsin34287f7h3
پس از عملیات بالا، بدافزار با ارسال اطلاعات قربانی به سرور کنترل و فرماندهی، ارتباط خود را با این سرور آغاز و سپس به صورت مکرر، دستورات مهاجم را از این سرور دریافت و اجرا می‌کند.
دستورات قابل اجرا به شرح جدول زیر است:
|
شماره دستور |
شرح دستور |
|
۲ و ۴ |
اجرای عملکرد Reverse Shell |
|
۴۸ |
دریافت و ذخیره یک فایل کتابخانه‌ای روی هارد دیسک سیستم قربانی و اجرای آن با برنامه rundll32.exe |
| ۴۹ |
ارسال محتوای فایل تعیین شده توسط مهاجم |
|
۸۹ |
اجرای عملکرد Socks Proxy |
|
۹۰ |
حذف دایرکتوری تعیین شده توسط مهاجم از سیستم قربانی |
|
۱۲۸ |
ایجاد یک Desktop مجزا با نام VccfixA یا vccfixU و تنظیم آن به عنوان Desktop ترد فعلی و جستجوی پنجره‌هایی با عناوین و کلاس‌های مشخص در آن و همچنین راه‌اندازی پردازه مربوط به مرورگرها در این Desktop. |
|
۱۵۰ |
ارسال اطلاعات فایل‌های زیر که توسط خود بدافزار ایجاد می‌شود:
|
|
۲۰۱ |
تهیه اسکرین‌شات از Desktop فعال سیستم |
|
۲۰۲ |
شناسایی منابع Media موجود در سیستم و تلاش برای دریافت خروجی آنها و ارسال آن به مهاجم |
|
۲۰۵ |
ارسال ورودی به Desktop فعال برای ورودی، شامل شبیه سازی کلیک ماوس یا فشردن کلیدهای صفحه کلید. |
روش مقابله و پاک‌سازی سیستم
آنتی‌ویروس پادویش این بدافزار را شناسایی و از سیستم حذف می‌کند. جهت پیشگیری از ورود این نوع از بدافزار به سیستم پیشنهاد می‌شود:
✔️ آنتی‌ویروس، سیستم‌عامل و سرویس‌دهنده‌های حیاتی خود را همواره به روز کنید.
✔️ از دانلود از مراجع نامعتبر و کلیک بر روی لینک‌های مشکوک خودداری فرمایید.
✔️ از اجرای فایل‌های مشکوک که منبع آنها مشخص یا مطمئن نیستند، خودداری کنید.