- لقد اكتشف الباحثون برنامجًا خبيثًا جديدًا للتشفير لم يشاهد في البرية من قبل.
- تسمى هذه البرامج الضارة الجديدة "نورمان" وتتميز بمجموعة غنية من أساليب التعتيم والاختباء.
- يركز XMRig cryptominer على Monero ، وهو فعال بشكل خاص في نشاط التعدين.
وفقا لتقرير صادر عن فريق بحث الأمن فارونيس، يتم دعم أحدث حملات التشفير المستمر بواسطة متغير جديد من البرامج الضارة أطلقوا عليه اسم "نورمان". يستخدم هذا البرنامج الخبيث الجديد تقنيات جديدة للبقاء مخفياً عن الباحثين وأدوات AV بينما يتمتع بأداء تعدين عالي. تعتمد معظم المتغيرات التي تم تحليلها بواسطة الباحثين على خدمة DuckDNS لتواصلهم مع خادم C&C ، وجميعهم يستندون إلى XMRig ويركزون على استخراج عملة التشفير Monero.
بدأ التحقيق مع Varonis مع فريق الطب الشرعي التابع لهم بالرد على سؤال من أحد زبائنهم الذين أبلغوهم بنشاط الشبكة المشبوهة وغير الطبيعية. بعد التحقيق ، وجد الفريق أن العدوى الأولية قد حدثت منذ أكثر من عام ، وبحلول وقت الاكتشاف ، أصيبت جميع خوادم ومحطات عمل موكلهم. هذا يوضح كيف يمكن أن يظل نورمان مخفيًا في الشبكة ، حيث أن العدوى قد تحققت بالفعل من خلال مجموعة غنية من الأدوات ، بما في ذلك المتغيرات المختلفة من نورمان cryptominer ، وأدوات إلقاء كلمة المرور ، وقذائف PHP ، وغيرها من المخلفات.
مصدر الصورة: varonis.comيتم تنفيذ Norman من خلال ملف باسم "ملف Svchost.exe" والذي تم تجميعه باستخدام نظام NSIS. يحتوي الأرشيف على ملفات DLL متعددة البيانات وملفات البيانات التي تجعل حقنه ممكنًا. لتجنب الاكتشاف ، يقوم ملف Svchost.exe بإنشاء عملية نسخ متطابقة لنفسه وينتهي ، بينما تتولى العملية الثانية دور تشغيل إما Notepad أو Explorer ، وحقن cryptominer فيها.
اعتمادًا على ما إذا كان النظام المستهدف هو نظام تشغيل 32 بت أو 64 بت ، يتبع نورمان عملية مختلفة لبدء التشغيل. إذا قام المستخدم بفتح "إدارة المهام" للتحقق مما يجري بالموارد ، فسيتم إنهاء العملية التي تم إطلاقها بواسطة البرامج الضارة. بمجرد إغلاق إدارة المهام ، يتم إعادة تشغيل العملية وإعادة حقن عامل المنجم.
مصدر الصورة: varonis.comاستنادًا إلى تحليل العينات ، يعتقد فريق Varonis أن Norman ينبع من فرنسا ، حيث أن التعليقات الموجودة في ملف SFX مكتوبة باللغة الفرنسية ، كما أن إصدار WinRAR الذي تم استخدامه لتجميع الأرشيف كان أيضًا باللغة الفرنسية.
للحفاظ على الحماية من التهديدات مثل هذا التهديد ، يجب عليك تحديث جميع برامجك ومراقبة حركة مرور الشبكة ووكلاء الويب وإعداد قيود محددة ومستهدفة من خلال نشر جدار حماية. أيضًا ، لا تنس مراقبة نشاط وحدة المعالجة المركزية على أجهزة الكمبيوتر لديك ، ومراقبة DNS ، واستخدام أدوات AV القوية.
لديك ما تقوله على ما سبق؟ لا تتردد في مشاركة أفكارك معنا في التعليقات أدناه ، أو على مواقع التواصل الاجتماعي لدينا ، على Facebook و Twitter.
