<![CDATA[ايران ويج - ويروس]]> https://www.iranled.com/forum/ Fri, 23 Oct 2026 23:08:25 +0000 MyBB <![CDATA[تحلیل پویای یک بدافزار در بستر لینوکس]]> https://www.iranled.com/forum/thread-31318.html Tue, 01 Aug 2017 17:45:33 +0000 https://www.iranled.com/forum/thread-31318.html این لینک به وبلاگه خودمه و ترجمه هست...
لینک به مطلب


کلمات کلیدی:
اسنیف wireshark تحلیل بد افزار strace آنالیز لینوکس شبکه]]> این لینک به وبلاگه خودمه و ترجمه هست...
لینک به مطلب


کلمات کلیدی:
اسنیف wireshark تحلیل بد افزار strace آنالیز لینوکس شبکه]]> <![CDATA[Reversing Malware: CoinMiner]]> https://www.iranled.com/forum/thread-31310.html Sun, 30 Jul 2017 15:40:04 +0000 https://www.iranled.com/forum/thread-31310.html
کد:
https://secrary.com/ReversingMalware/CoinMiner
]]>
کد:
https://secrary.com/ReversingMalware/CoinMiner
]]> <![CDATA[Inject All the Things]]> https://www.iranled.com/forum/thread-31302.html Sat, 29 Jul 2017 20:16:23 +0000 https://www.iranled.com/forum/thread-31302.html
تزریق DLL یک تکنیکی است که توسط نرم افزار مشروع برای افزودن و گسترش قابلیت به برنامه های دیگر، اشکال زدایی یا مهندسی معکوس استفاده می شود، همچنین معمولا توسط نرم افزارهای مخرب در بسیاری از موارد استفاده می شود. این بدان معنی است که از دیدگاه امنیتی، ضروری است بدانیم چگونه تزریق DLL کار می کند.
اگر می خواهید نمونه هایی از تهدید با استفاده از تزریق DLL را ببینید، نگاهی به اینجا بیاندازید..

7 تکنیک مختلف تزریق DLL که برای هر دو 32 و 64 بیت کار میکند را در یک پروژه ویژوال استودیو (به زبان سی) موجود میباشد که برای دانلود آن میتوانید به این لینک سری بزنید:
کد:
https://github.com/fdiskyou/injectAllTheThings

[تصویر: screen.png]


تزریق DLL اساسا روند وارد کردن یا تزریق کد به یک فرایند در حال اجرا است.

میتوان کد را به صورتهای هر فایل assembly ،shellcode ،PE و غیره به فرآیند تزریق کرد حالا چرا باید از DLL استفاده کرد؟
 چون DLL های مورد نیاز در زمان اجرا بارگذاری می شوند (مثل libs مشترک در یونیکس). در این پروژه تنها از DLL استفاده شده است.

همچنین در نظر داشته باشید که برای شروع بازی با حافظه فرایندهای دیگر نیاز به یک سطح دسترسی مناسب داریم، با این حال درباره فرایندهای محافظت شده و سطوح امتیاز (privilege levels) ویندوز صحبت نمی کنم این یک موضوع کاملا متفاوت است.

همانطور که قبلا اشاره شد از تکنیک تزریق DLL در راه های قانونی هم استفاده میشود. به عنوان مثال، آنتی ویروس ها از این تکنیک برای قرار دادن قلاب ها (hooks) در همه ی فرایندهای در حال اجرا در سیستم استفاده میکنند با این تکنیک آنتی ویروس ها هر پروسه را نظارت میکنند. همچنین اهداف مخربی هم وجود دارد. یک روش رایج که اغلب مورد استفاده قرار می گیرد تزریق به فرآیند "lsass" است تا هش های رمز عبور دریافت شود.

DLL ها از اولین نسخه ی ویندوز وجود داشتند و API های ویندوز داخل فایل های DLL هستند که مهمترین آنها Kernel32.dll (که شامل توابع برای مدیریت حافظه، فرآیندها و موضوعات است)، User32.dll (توابع رابط کاربر) و GDI32.dll (توابع برای طراحی گرافیک و نمایش متن) هستند و همچنین API های مختلفی برای پیاده سازی تکنیک تزریق DLL وجود دارد.
شکل زیر روند تزریق DLL را نمایش میدهد:

[تصویر: diagram.png]
همانطور که میبینید تزریق DLL در چهار مرحله انجام میشود:

Attach to the target/remote process
Allocate memory within the target/remote process
Copy the DLL Path, or the DLL, into the target/remote process memory
Instruct the process to execute the DLL
تمام این مراحل با فراخوانی یک مجموعه خاص از توابع API انجام می شود. هر تکنیک نیاز به نصب خاصی دارد که هر تکنیک ضعف ها و مزیت های خاص خودش را دارد.
ما گزینه های متعددی برای اجرای DLL در یک پروسه داریم که شایع ترین آنها استفاده از توابع CreateRemoteThread و NtCreateThreadEx است. با این حال، امکان انتقال DLL به عنوان پارامتر به این توابع وجود ندارد ما باید یک آدرس حافظه داشته باشیم که نقطه شروع اجرای DLL را نگه دارد... برای این، میبایست ما تخصیص حافظه را انجام دهیم DLL را با تابع LoadLibrary را در حافظه بارگذاری کنیم.

روش های که در این تاپیک به بررسی آنها میپردازیم:
CreateRemoteThread
NtCreateThreadEx
QueueUserAPC
SetWindowsHookEx
RtlCreateUserThread
Code cave via SetThreadContext
Reflective DLL
تابع LoadLibrary():
همانطور که در MSDN گفته شد، تابع LoadLibrary() "ماژول مشخص شده را به فضای آدرس فرایند فراخوانی بار می کند. ماژول مشخص شده ممکن است ماژول های دیگر را بارگیری کند."
کد:
HMODULE WINAPI LoadLibrary(
 _In_ LPCTSTR lpFileName
);

پارامتر ورودی این تابع فقط نام فایل است و ممکن است بدانید که یک مسئله مهم در اینجا این است که تابع LoadLibrary مسیر و فایل DLL بارگذاری شده را در برنامه ثبت می کند به همین دلیل به راحتی میتوان DLL را شناسایی کرد، برای جلوگیری از شناسایی DLL هنوز تکنیکی پیدا نشده است و همچنین توجه داشته باشید که اگر DLL قبلا با LoadLibrary () بار شده باشد دوباره اجرا نخواهد شد.

Attach to the target/remote process:
برای شروع، ما نیاز به برقراری ارتباط با فرآیند که میخواهیم به آن DLL تزریق کنیم داریم و برای این منظور ما از تابع OpenProcess استفاده می کنیم.
کد:
HANDLE WINAPI OpenProcess(
 _In_ DWORD dwDesiredAccess,
 _In_ BOOL  bInheritHandle,
 _In_ DWORD dwProcessId
);

اگر مستندات را در MSDN بخوانید خواهید دید که ما باید یک مجموعه خاص از حقوق دسترسی را درخواست کنیم. لیست کامل دسترسی را می توان در اینجا یافت.

Allocate memory within the target/remote process:
برای اختصاص دادن حافظه برای مسیر DLL ما از تابع VirtualAllocEx استفاده می کنیم. همانطور که در MSDN گفته شده است تابع VirtualAllocEx وضعیت یک منطقه حافظه در فضای آدرس مجازی یک فرآیند را مشخص یا تغییر میدهد.
کد:
LPVOID WINAPI VirtualAllocEx(
 _In_     HANDLE hProcess,
 _In_opt_ LPVOID lpAddress,
 _In_     SIZE_T dwSize,
 _In_     DWORD  flAllocationType,
 _In_     DWORD  flProtect
);

اساسا، این کار را به این صورت انجام میدهند:
کد:
// calculate the number of bytes needed for the DLL's pathname
DWORD dwSize = (lstrlenW(pszLibFile) + 1) * sizeof(wchar_t);

// allocate space in the target/remote process for the pathname
LPVOID pszLibFileRemote = (PWSTR)VirtualAllocEx(hProcess, NULL, dwSize, MEM_COMMIT, PAGE_READWRITE);

اگر میخواهید فضای کامل DLL را اختصاص دهید:
کد:
hFile = CreateFileW(pszLibFile, GENERIC_READ, 0, NULL, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, NULL);

dwSize, = GetFileSize(hFile, NULL);

PVOID pszLibFileRemote = (PWSTR)VirtualAllocEx(hProcess, NULL, dwSize, MEM_COMMIT, PAGE_READWRITE);

Copy the DLL Path, or the DLL, into the target/remote process' memory:
مسیر DLL یا کل DLL را به حافظه فرآیند کپی کنید..

حال با استفاده از تابع WriteProcessMemory، فقط کپی مسیر DLL یا کل DLL را در فرآیند مقصد قرار می دهیم.
کد:
BOOL WINAPI WriteProcessMemory(
 _In_  HANDLE  hProcess,
 _In_  LPVOID  lpBaseAddress,
 _In_  LPCVOID lpBuffer,
 _In_  SIZE_T  nSize,
 _Out_ SIZE_T  *lpNumberOfBytesWritten
);

یا یه چیزی شبیه به ...

کد:
DWORD n = WriteProcessMemory(hProcess, pszLibFileRemote, (PVOID)pszLibFile, dwSize, NULL);
 
Instruct the process to execute the DLL:

CreateRemoteThread():

می توانیم بگوییم که CreateRemoteThread یک تکنیک کلاسیک و محبوب تزریق DLL است. همچنین، به خوبی تایید شده است که شامل مراحل زیر است:



پروسه هدف را با OpenProcess باز کنید
آدرس LoadLibrary را با استفاده از GetProcAddress پیدا کنید
برای استفاده از حافظه ذخیره شده برای مسیر DLL در فضای آدرس فرآیند از VirtualAllocEx استفاده کنید
نوشتن مسیر DLL در حافظه قبلی با WriteProcessMemory
استفاده از CreateRemoteThread برای ایجاد یک Thread جدید و فراخوانی تابع LoadLibrary با مسیر DLL به عنوان پارامتر

اگر به تابع CreateRemoteThread در MSDN سری بزنید می توانید ببینید که ما نیاز به یک اشاره گر به عملکرد تعریف شده کاربردی (application-defined function) از نوع LPTHREAD_START_ROUTINE داریم که از طریق اجرای Thread بدست میاید و نشان دهنده آدرس اولیه Thread در فرایند است این به این معناست که برای اجرای DLL ما فقط باید فرآیند را برای انجام این کارها سوق دهیم. تمام مراحل اولیه ذکر شده در بالا را ببینید:

کد:
HANDLE hProcess = OpenProcess(PROCESS_QUERY_INFORMATION | PROCESS_CREATE_THREAD | PROCESS_VM_OPERATION | PROCESS_VM_WRITE, FALSE, dwProcessId);

// Allocate space in the remote process for the pathname
LPVOID pszLibFileRemote = (PWSTR)VirtualAllocEx(hProcess, NULL, dwSize, MEM_COMMIT, PAGE_READWRITE);

// Copy the DLL's pathname to the remote process address space
DWORD n = WriteProcessMemory(hProcess, pszLibFileRemote, (PVOID)pszLibFile, dwSize, NULL);

// Get the real address of LoadLibraryW in Kernel32.dll
PTHREAD_START_ROUTINE pfnThreadRtn = (PTHREAD_START_ROUTINE)GetProcAddress(GetModuleHandle(TEXT("Kernel32")), "LoadLibraryW");

// Create a remote thread that calls LoadLibraryW(DLLPathname)
HANDLE hThread = CreateRemoteThread(hProcess, NULL, 0, pfnThreadRtn, pszLibFileRemote, 0, NULL);

برای اطلاعات کاملتر فایل t_CreateRemoteThread.cpp را بخوانید.

NtCreateThreadEx:
گزینه دیگری استفاده از NtCreateThreadEx است که یک تابع "ntdll.dll" نامشخص (undocumented) است و ممکن است در آینده حذف شود یا تغییر کند. این تکنیک کمی پیچیده تر است.
کد:
struct NtCreateThreadExBuffer {
 ULONG Size;
 ULONG Unknown1;
 ULONG Unknown2;
 PULONG Unknown3;
 ULONG Unknown4;
 ULONG Unknown5;
 ULONG Unknown6;
 PULONG Unknown7;
 ULONG Unknown8;
};

توضیحات خوبی در مورد این تابع وجود دارد. پیاده سازی این روش بسیار شبیه به آنچه که ما برای CreateRemoteThread انجام دادیم.
کد:
PTHREAD_START_ROUTINE ntCreateThreadExAddr = (PTHREAD_START_ROUTINE)GetProcAddress(GetModuleHandle(TEXT("ntdll.dll")), "NtCreateThreadEx");

LPFUN_NtCreateThreadEx funNtCreateThreadEx = (LPFUN_NtCreateThreadEx)ntCreateThreadExAddr;

NTSTATUS status = funNtCreateThreadEx(
 &hRemoteThread,
 0x1FFFFF,
 NULL,
 hProcess,
 pfnThreadRtn,
 (LPVOID)pszLibFileRemote,
 FALSE,
 NULL,
 NULL,
 NULL,
 NULL
 );

برای اطلاعات بیشتر سورس کد مربوط به 't_NtCreateThreadEx.cpp' بخوانید.

QueueUserAPC:
یک جایگزین برای تکنیک های قبلی که یک Thread جدید در فرآیند هدف را ایجاد نمی کند استفاده از تابع QueueUserAPC است.
همانطور که در MSDN مستند شده است، این فراخوانی، یک شی تماس نامتقارن در مد کاربر (APC یا asynchronous procedure call) را به صف APC در Thread هدف اضافه می کند.
کد:
DWORD WINAPI QueueUserAPC(
 _In_ PAPCFUNC  pfnAPC,
 _In_ HANDLE    hThread,
 _In_ ULONG_PTR dwData
);

بنابراین اگر ما نمیخواهیم Thread خودمان را ایجاد کنیم میتوانیم از QueueUserAPC برای ربودن (hijack) یک Thread موجود در فرآیند هدف استفاده کنیم.
یعنی، فراخوانی این تابع یک فراخوانی روش نامتقارن در Thread مشخص شده را صف می کند.

ما می توانیم به جای LoadLibrary یک تابع برگشتی APC استفاده کنیم، پارامتر می تواند یک اشاره گر به نام فایل DLL باشد که ما می خواهیم آن را تزریق کنیم.
کد:
DWORD dwResult = QueueUserAPC((PAPCFUNC)pfnThreadRtn, hThread, (ULONG_PTR)pszLibFileRemote);

اگر شما این تکنیک را امتحان میکنید ممکن است متوجه این موضوع شوید که هیچ زمانبندی به دنبال صف APC نیست، به این معنی که صف فقط زمانی مورد بررسی قرار می گیرد که Thread قابل تشخیص باشد (thread becomes alertable).

به همین دلیل ما اساسا هر Thread را hijack می کنیم، کد زیر را ببینید:


کد:
BOOL bResult = Thread32First(hSnapshot, &threadEntry);
 while (bResult)
 {
   bResult = Thread32Next(hSnapshot, &threadEntry);
   if (bResult)
   {
     if (threadEntry.th32OwnerProcessID == dwProcessId)
     {
       threadId = threadEntry.th32ThreadID;

       wprintf(TEXT("[+] Using thread: %i\n"), threadId);
       HANDLE hThread = OpenThread(THREAD_SET_CONTEXT, FALSE, threadId);
       if (hThread == NULL)
         wprintf(TEXT("[-] Error: Can't open thread. Continuing to try other threads...\n"));
       else
       {
         DWORD dwResult = QueueUserAPC((PAPCFUNC)pfnThreadRtn, hThread, (ULONG_PTR)pszLibFileRemote);
         if (!dwResult)
           wprintf(TEXT("[-] Error: Couldn't call QueueUserAPC on thread> Continuing to try othrt threads...\n"));
         else
           wprintf(TEXT("[+] Success: DLL injected via CreateRemoteThread().\n"));
         CloseHandle(hThread);
       }
     }
   }
 }

به عنوان یک مطالعه جانبی خوب است که بدانید این تکنیک توسط DOUBLEPULSAR استفاده شده است.
برای اطلاعات بیشتر سورس کد مربوط به 't_QueueUserAPC.cpp' بخوانید.

SetWindowsHookEx:
برای استفاده از این تکنیک میبایست درک کنیم که چگونه هوک ها در ویندوز کار می کنند در حقیقت هوک ها راهی برای رد کردن رویدادها هستند و به آنها عمل می کنند.

پست ادامه دارد....

.png   diagram.png (اندازه: 50.26 KB / تعداد دفعات دریافت: 84)

.png   screen.png (اندازه: 17.48 KB / تعداد دفعات دریافت: 85) ]]>
تزریق DLL یک تکنیکی است که توسط نرم افزار مشروع برای افزودن و گسترش قابلیت به برنامه های دیگر، اشکال زدایی یا مهندسی معکوس استفاده می شود، همچنین معمولا توسط نرم افزارهای مخرب در بسیاری از موارد استفاده می شود. این بدان معنی است که از دیدگاه امنیتی، ضروری است بدانیم چگونه تزریق DLL کار می کند.
اگر می خواهید نمونه هایی از تهدید با استفاده از تزریق DLL را ببینید، نگاهی به اینجا بیاندازید..

7 تکنیک مختلف تزریق DLL که برای هر دو 32 و 64 بیت کار میکند را در یک پروژه ویژوال استودیو (به زبان سی) موجود میباشد که برای دانلود آن میتوانید به این لینک سری بزنید:
کد:
https://github.com/fdiskyou/injectAllTheThings

[تصویر: screen.png]


تزریق DLL اساسا روند وارد کردن یا تزریق کد به یک فرایند در حال اجرا است.

میتوان کد را به صورتهای هر فایل assembly ،shellcode ،PE و غیره به فرآیند تزریق کرد حالا چرا باید از DLL استفاده کرد؟
 چون DLL های مورد نیاز در زمان اجرا بارگذاری می شوند (مثل libs مشترک در یونیکس). در این پروژه تنها از DLL استفاده شده است.

همچنین در نظر داشته باشید که برای شروع بازی با حافظه فرایندهای دیگر نیاز به یک سطح دسترسی مناسب داریم، با این حال درباره فرایندهای محافظت شده و سطوح امتیاز (privilege levels) ویندوز صحبت نمی کنم این یک موضوع کاملا متفاوت است.

همانطور که قبلا اشاره شد از تکنیک تزریق DLL در راه های قانونی هم استفاده میشود. به عنوان مثال، آنتی ویروس ها از این تکنیک برای قرار دادن قلاب ها (hooks) در همه ی فرایندهای در حال اجرا در سیستم استفاده میکنند با این تکنیک آنتی ویروس ها هر پروسه را نظارت میکنند. همچنین اهداف مخربی هم وجود دارد. یک روش رایج که اغلب مورد استفاده قرار می گیرد تزریق به فرآیند "lsass" است تا هش های رمز عبور دریافت شود.

DLL ها از اولین نسخه ی ویندوز وجود داشتند و API های ویندوز داخل فایل های DLL هستند که مهمترین آنها Kernel32.dll (که شامل توابع برای مدیریت حافظه، فرآیندها و موضوعات است)، User32.dll (توابع رابط کاربر) و GDI32.dll (توابع برای طراحی گرافیک و نمایش متن) هستند و همچنین API های مختلفی برای پیاده سازی تکنیک تزریق DLL وجود دارد.
شکل زیر روند تزریق DLL را نمایش میدهد:

[تصویر: diagram.png]
همانطور که میبینید تزریق DLL در چهار مرحله انجام میشود:

Attach to the target/remote process
Allocate memory within the target/remote process
Copy the DLL Path, or the DLL, into the target/remote process memory
Instruct the process to execute the DLL
تمام این مراحل با فراخوانی یک مجموعه خاص از توابع API انجام می شود. هر تکنیک نیاز به نصب خاصی دارد که هر تکنیک ضعف ها و مزیت های خاص خودش را دارد.
ما گزینه های متعددی برای اجرای DLL در یک پروسه داریم که شایع ترین آنها استفاده از توابع CreateRemoteThread و NtCreateThreadEx است. با این حال، امکان انتقال DLL به عنوان پارامتر به این توابع وجود ندارد ما باید یک آدرس حافظه داشته باشیم که نقطه شروع اجرای DLL را نگه دارد... برای این، میبایست ما تخصیص حافظه را انجام دهیم DLL را با تابع LoadLibrary را در حافظه بارگذاری کنیم.

روش های که در این تاپیک به بررسی آنها میپردازیم:
CreateRemoteThread
NtCreateThreadEx
QueueUserAPC
SetWindowsHookEx
RtlCreateUserThread
Code cave via SetThreadContext
Reflective DLL
تابع LoadLibrary():
همانطور که در MSDN گفته شد، تابع LoadLibrary() "ماژول مشخص شده را به فضای آدرس فرایند فراخوانی بار می کند. ماژول مشخص شده ممکن است ماژول های دیگر را بارگیری کند."
کد:
HMODULE WINAPI LoadLibrary(
 _In_ LPCTSTR lpFileName
);

پارامتر ورودی این تابع فقط نام فایل است و ممکن است بدانید که یک مسئله مهم در اینجا این است که تابع LoadLibrary مسیر و فایل DLL بارگذاری شده را در برنامه ثبت می کند به همین دلیل به راحتی میتوان DLL را شناسایی کرد، برای جلوگیری از شناسایی DLL هنوز تکنیکی پیدا نشده است و همچنین توجه داشته باشید که اگر DLL قبلا با LoadLibrary () بار شده باشد دوباره اجرا نخواهد شد.

Attach to the target/remote process:
برای شروع، ما نیاز به برقراری ارتباط با فرآیند که میخواهیم به آن DLL تزریق کنیم داریم و برای این منظور ما از تابع OpenProcess استفاده می کنیم.
کد:
HANDLE WINAPI OpenProcess(
 _In_ DWORD dwDesiredAccess,
 _In_ BOOL  bInheritHandle,
 _In_ DWORD dwProcessId
);

اگر مستندات را در MSDN بخوانید خواهید دید که ما باید یک مجموعه خاص از حقوق دسترسی را درخواست کنیم. لیست کامل دسترسی را می توان در اینجا یافت.

Allocate memory within the target/remote process:
برای اختصاص دادن حافظه برای مسیر DLL ما از تابع VirtualAllocEx استفاده می کنیم. همانطور که در MSDN گفته شده است تابع VirtualAllocEx وضعیت یک منطقه حافظه در فضای آدرس مجازی یک فرآیند را مشخص یا تغییر میدهد.
کد:
LPVOID WINAPI VirtualAllocEx(
 _In_     HANDLE hProcess,
 _In_opt_ LPVOID lpAddress,
 _In_     SIZE_T dwSize,
 _In_     DWORD  flAllocationType,
 _In_     DWORD  flProtect
);

اساسا، این کار را به این صورت انجام میدهند:
کد:
// calculate the number of bytes needed for the DLL's pathname
DWORD dwSize = (lstrlenW(pszLibFile) + 1) * sizeof(wchar_t);

// allocate space in the target/remote process for the pathname
LPVOID pszLibFileRemote = (PWSTR)VirtualAllocEx(hProcess, NULL, dwSize, MEM_COMMIT, PAGE_READWRITE);

اگر میخواهید فضای کامل DLL را اختصاص دهید:
کد:
hFile = CreateFileW(pszLibFile, GENERIC_READ, 0, NULL, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, NULL);

dwSize, = GetFileSize(hFile, NULL);

PVOID pszLibFileRemote = (PWSTR)VirtualAllocEx(hProcess, NULL, dwSize, MEM_COMMIT, PAGE_READWRITE);

Copy the DLL Path, or the DLL, into the target/remote process' memory:
مسیر DLL یا کل DLL را به حافظه فرآیند کپی کنید..

حال با استفاده از تابع WriteProcessMemory، فقط کپی مسیر DLL یا کل DLL را در فرآیند مقصد قرار می دهیم.
کد:
BOOL WINAPI WriteProcessMemory(
 _In_  HANDLE  hProcess,
 _In_  LPVOID  lpBaseAddress,
 _In_  LPCVOID lpBuffer,
 _In_  SIZE_T  nSize,
 _Out_ SIZE_T  *lpNumberOfBytesWritten
);

یا یه چیزی شبیه به ...

کد:
DWORD n = WriteProcessMemory(hProcess, pszLibFileRemote, (PVOID)pszLibFile, dwSize, NULL);
 
Instruct the process to execute the DLL:

CreateRemoteThread():

می توانیم بگوییم که CreateRemoteThread یک تکنیک کلاسیک و محبوب تزریق DLL است. همچنین، به خوبی تایید شده است که شامل مراحل زیر است:



پروسه هدف را با OpenProcess باز کنید
آدرس LoadLibrary را با استفاده از GetProcAddress پیدا کنید
برای استفاده از حافظه ذخیره شده برای مسیر DLL در فضای آدرس فرآیند از VirtualAllocEx استفاده کنید
نوشتن مسیر DLL در حافظه قبلی با WriteProcessMemory
استفاده از CreateRemoteThread برای ایجاد یک Thread جدید و فراخوانی تابع LoadLibrary با مسیر DLL به عنوان پارامتر

اگر به تابع CreateRemoteThread در MSDN سری بزنید می توانید ببینید که ما نیاز به یک اشاره گر به عملکرد تعریف شده کاربردی (application-defined function) از نوع LPTHREAD_START_ROUTINE داریم که از طریق اجرای Thread بدست میاید و نشان دهنده آدرس اولیه Thread در فرایند است این به این معناست که برای اجرای DLL ما فقط باید فرآیند را برای انجام این کارها سوق دهیم. تمام مراحل اولیه ذکر شده در بالا را ببینید:

کد:
HANDLE hProcess = OpenProcess(PROCESS_QUERY_INFORMATION | PROCESS_CREATE_THREAD | PROCESS_VM_OPERATION | PROCESS_VM_WRITE, FALSE, dwProcessId);

// Allocate space in the remote process for the pathname
LPVOID pszLibFileRemote = (PWSTR)VirtualAllocEx(hProcess, NULL, dwSize, MEM_COMMIT, PAGE_READWRITE);

// Copy the DLL's pathname to the remote process address space
DWORD n = WriteProcessMemory(hProcess, pszLibFileRemote, (PVOID)pszLibFile, dwSize, NULL);

// Get the real address of LoadLibraryW in Kernel32.dll
PTHREAD_START_ROUTINE pfnThreadRtn = (PTHREAD_START_ROUTINE)GetProcAddress(GetModuleHandle(TEXT("Kernel32")), "LoadLibraryW");

// Create a remote thread that calls LoadLibraryW(DLLPathname)
HANDLE hThread = CreateRemoteThread(hProcess, NULL, 0, pfnThreadRtn, pszLibFileRemote, 0, NULL);

برای اطلاعات کاملتر فایل t_CreateRemoteThread.cpp را بخوانید.

NtCreateThreadEx:
گزینه دیگری استفاده از NtCreateThreadEx است که یک تابع "ntdll.dll" نامشخص (undocumented) است و ممکن است در آینده حذف شود یا تغییر کند. این تکنیک کمی پیچیده تر است.
کد:
struct NtCreateThreadExBuffer {
 ULONG Size;
 ULONG Unknown1;
 ULONG Unknown2;
 PULONG Unknown3;
 ULONG Unknown4;
 ULONG Unknown5;
 ULONG Unknown6;
 PULONG Unknown7;
 ULONG Unknown8;
};

توضیحات خوبی در مورد این تابع وجود دارد. پیاده سازی این روش بسیار شبیه به آنچه که ما برای CreateRemoteThread انجام دادیم.
کد:
PTHREAD_START_ROUTINE ntCreateThreadExAddr = (PTHREAD_START_ROUTINE)GetProcAddress(GetModuleHandle(TEXT("ntdll.dll")), "NtCreateThreadEx");

LPFUN_NtCreateThreadEx funNtCreateThreadEx = (LPFUN_NtCreateThreadEx)ntCreateThreadExAddr;

NTSTATUS status = funNtCreateThreadEx(
 &hRemoteThread,
 0x1FFFFF,
 NULL,
 hProcess,
 pfnThreadRtn,
 (LPVOID)pszLibFileRemote,
 FALSE,
 NULL,
 NULL,
 NULL,
 NULL
 );

برای اطلاعات بیشتر سورس کد مربوط به 't_NtCreateThreadEx.cpp' بخوانید.

QueueUserAPC:
یک جایگزین برای تکنیک های قبلی که یک Thread جدید در فرآیند هدف را ایجاد نمی کند استفاده از تابع QueueUserAPC است.
همانطور که در MSDN مستند شده است، این فراخوانی، یک شی تماس نامتقارن در مد کاربر (APC یا asynchronous procedure call) را به صف APC در Thread هدف اضافه می کند.
کد:
DWORD WINAPI QueueUserAPC(
 _In_ PAPCFUNC  pfnAPC,
 _In_ HANDLE    hThread,
 _In_ ULONG_PTR dwData
);

بنابراین اگر ما نمیخواهیم Thread خودمان را ایجاد کنیم میتوانیم از QueueUserAPC برای ربودن (hijack) یک Thread موجود در فرآیند هدف استفاده کنیم.
یعنی، فراخوانی این تابع یک فراخوانی روش نامتقارن در Thread مشخص شده را صف می کند.

ما می توانیم به جای LoadLibrary یک تابع برگشتی APC استفاده کنیم، پارامتر می تواند یک اشاره گر به نام فایل DLL باشد که ما می خواهیم آن را تزریق کنیم.
کد:
DWORD dwResult = QueueUserAPC((PAPCFUNC)pfnThreadRtn, hThread, (ULONG_PTR)pszLibFileRemote);

اگر شما این تکنیک را امتحان میکنید ممکن است متوجه این موضوع شوید که هیچ زمانبندی به دنبال صف APC نیست، به این معنی که صف فقط زمانی مورد بررسی قرار می گیرد که Thread قابل تشخیص باشد (thread becomes alertable).

به همین دلیل ما اساسا هر Thread را hijack می کنیم، کد زیر را ببینید:


کد:
BOOL bResult = Thread32First(hSnapshot, &threadEntry);
 while (bResult)
 {
   bResult = Thread32Next(hSnapshot, &threadEntry);
   if (bResult)
   {
     if (threadEntry.th32OwnerProcessID == dwProcessId)
     {
       threadId = threadEntry.th32ThreadID;

       wprintf(TEXT("[+] Using thread: %i\n"), threadId);
       HANDLE hThread = OpenThread(THREAD_SET_CONTEXT, FALSE, threadId);
       if (hThread == NULL)
         wprintf(TEXT("[-] Error: Can't open thread. Continuing to try other threads...\n"));
       else
       {
         DWORD dwResult = QueueUserAPC((PAPCFUNC)pfnThreadRtn, hThread, (ULONG_PTR)pszLibFileRemote);
         if (!dwResult)
           wprintf(TEXT("[-] Error: Couldn't call QueueUserAPC on thread> Continuing to try othrt threads...\n"));
         else
           wprintf(TEXT("[+] Success: DLL injected via CreateRemoteThread().\n"));
         CloseHandle(hThread);
       }
     }
   }
 }

به عنوان یک مطالعه جانبی خوب است که بدانید این تکنیک توسط DOUBLEPULSAR استفاده شده است.
برای اطلاعات بیشتر سورس کد مربوط به 't_QueueUserAPC.cpp' بخوانید.

SetWindowsHookEx:
برای استفاده از این تکنیک میبایست درک کنیم که چگونه هوک ها در ویندوز کار می کنند در حقیقت هوک ها راهی برای رد کردن رویدادها هستند و به آنها عمل می کنند.

پست ادامه دارد....

.png   diagram.png (اندازه: 50.26 KB / تعداد دفعات دریافت: 84)

.png   screen.png (اندازه: 17.48 KB / تعداد دفعات دریافت: 85) ]]> <![CDATA[اجرای پی در پی تابع __NR_write و مزیت هوک]]> https://www.iranled.com/forum/thread-31299.html Tue, 25 Jul 2017 23:47:30 +0000 https://www.iranled.com/forum/thread-31299.html من از طریق system call table سیستم کال __NR_write هوک کردم و تابع ای که جایگزین کردم فقط یه printk معمولی هست وقتی ماژولمو اجرا میکنم، dmesg که میخونم پشت سر هم مثل یه لوپ تابع جایگزینم که یه printk هست اجرا میشه:


.jpg   Untitled.jpg (اندازه: 187.77 KB / تعداد دفعات دریافت: 95)

این یعنی اینکه همیشه سیستم کال __NR_write در حال صدا زدن هست ؟؟؟؟؟؟؟؟ اکثر سیستم کال ها به همین صورت هستند؟
خب اگه قرار باشه انقدر تکرار بشه مثلا بدافزارها چه تابعی جایگزین میکنن ؟ که لازمه این همه تکرار بشه؟]]> من از طریق system call table سیستم کال __NR_write هوک کردم و تابع ای که جایگزین کردم فقط یه printk معمولی هست وقتی ماژولمو اجرا میکنم، dmesg که میخونم پشت سر هم مثل یه لوپ تابع جایگزینم که یه printk هست اجرا میشه:


.jpg   Untitled.jpg (اندازه: 187.77 KB / تعداد دفعات دریافت: 95)

این یعنی اینکه همیشه سیستم کال __NR_write در حال صدا زدن هست ؟؟؟؟؟؟؟؟ اکثر سیستم کال ها به همین صورت هستند؟
خب اگه قرار باشه انقدر تکرار بشه مثلا بدافزارها چه تابعی جایگزین میکنن ؟ که لازمه این همه تکرار بشه؟]]> <![CDATA[DLL Execution via Excel.Application RegisterXLL() method]]> https://www.iranled.com/forum/thread-31298.html Tue, 25 Jul 2017 21:59:11 +0000 https://www.iranled.com/forum/thread-31298.html روشی جدید برای بدافزارها Biggrin
یک DLL را می توان از طریق اکسل بارگیری و اجرا کرد توسط مقداردهی اولیه اشیاء Excel.Application COM و انتقال DLL به روش RegisterXLL
کد:
https://gist.github.com/ryhanson/227229866af52e2d963cf941af135a52
]]> روشی جدید برای بدافزارها Biggrin
یک DLL را می توان از طریق اکسل بارگیری و اجرا کرد توسط مقداردهی اولیه اشیاء Excel.Application COM و انتقال DLL به روش RegisterXLL
کد:
https://gist.github.com/ryhanson/227229866af52e2d963cf941af135a52
]]> <![CDATA[مقاله فارسی معرفی و بررسی بد افزار های Fileless]]> https://www.iranled.com/forum/thread-31280.html Thu, 29 Jun 2017 15:58:36 +0000 https://www.iranled.com/forum/thread-31280.html ترجمه و ویرایش : یاشار محمودنیا
تعداد صفحات : 9
توسط : گروه تحقیق و توسعه بایت امن
زمان اتشار : تیر 1396

[تصویر: gze44dzzezmd.jpg]
لینک دانلود:
https://goo.gl/V9SNqs]]> ترجمه و ویرایش : یاشار محمودنیا
تعداد صفحات : 9
توسط : گروه تحقیق و توسعه بایت امن
زمان اتشار : تیر 1396

[تصویر: gze44dzzezmd.jpg]
لینک دانلود:
https://goo.gl/V9SNqs]]> <![CDATA[یه سوال]]> https://www.iranled.com/forum/thread-29633.html Sat, 07 Feb 2015 19:42:16 +0000 https://www.iranled.com/forum/thread-29633.html <![CDATA[ویروس Indian grl.avi.exe]]> https://www.iranled.com/forum/thread-28949.html Mon, 29 Sep 2014 20:02:25 +0000 https://www.iranled.com/forum/thread-28949.html دوستان پدرم در اومد

ناخواسته دچارش شده pc

فایلش ضمیمه شده

1.هر چند دقیقه، 4 تا web page باز میکنه
2. بعد پاک کردنش با nod32، دسترسی اینترنت قطع شده
3. ظاهر یه چیزی مثل مشکل داریور پیش میاره که موقع بوت شدن ویندوز xp، همون جا گیر میکنه. ( لوگوی ویندوز و پس زمینه ی سیاه؛ اونجا رو میگم)


و براحتی با فلش پخش میشه.
فکر کنم ویندوز هم بزنم، بازم ویروسی میشه...Biggrin

.zip   Indian girl.avi.exe.zip (اندازه: 165.67 KB / تعداد دفعات دریافت: 687) ]]> دوستان پدرم در اومد

ناخواسته دچارش شده pc

فایلش ضمیمه شده

1.هر چند دقیقه، 4 تا web page باز میکنه
2. بعد پاک کردنش با nod32، دسترسی اینترنت قطع شده
3. ظاهر یه چیزی مثل مشکل داریور پیش میاره که موقع بوت شدن ویندوز xp، همون جا گیر میکنه. ( لوگوی ویندوز و پس زمینه ی سیاه؛ اونجا رو میگم)


و براحتی با فلش پخش میشه.
فکر کنم ویندوز هم بزنم، بازم ویروسی میشه...Biggrin

.zip   Indian girl.avi.exe.zip (اندازه: 165.67 KB / تعداد دفعات دریافت: 687) ]]> <![CDATA[ویروسی با عملکرد مشابه HowDecrypt سراغ دارید ؟]]> https://www.iranled.com/forum/thread-28140.html Wed, 23 Apr 2014 22:26:54 +0000 https://www.iranled.com/forum/thread-28140.html متاسفانه سیستم 2 نفر از دوستام دچار مشکل شده
فایل های آفیس و پی دی اف ها باز نمیشه
مطمئن نیستم ویروسه یا نه !
نود آپدیت چیزی پیدا نکرد

سیتم ری استور هم میگه نمیتونه به علت مشکل درایو c برگردونه
درایو c تو لیست درایو های قسمت disk defragment وجود نداره !

جالب اینه که فایل ها دارند کم کم خراب میشند
یعنی هر فایل رو باز میکنم و میبندم دیگه باز نمیشه

با برنامه های مختلف ریکاوری تست کردم فایده نداشت
طبق راهنمایی این تایپیک
http://www.iranled.com/forum/thread-27557-page-9.html
نتونستم با 7zip بازش کنم میگه
---------------------------
7-zip
---------------------------
فايل 'C:\Users\administrator\Desktop\ber.xlsx' يك آرشيو شناخته شده نيست
---------------------------
OK
---------------------------
حجم فایل های اکسل رو به کمتر از 100 کیلو بایت تغییر داده
یکی از فایل ها پیوست شد
کسی میتونه کمکی بکنه ؟

.7z   fff.7z (اندازه: 100.31 KB / تعداد دفعات دریافت: 115) ]]> متاسفانه سیستم 2 نفر از دوستام دچار مشکل شده
فایل های آفیس و پی دی اف ها باز نمیشه
مطمئن نیستم ویروسه یا نه !
نود آپدیت چیزی پیدا نکرد

سیتم ری استور هم میگه نمیتونه به علت مشکل درایو c برگردونه
درایو c تو لیست درایو های قسمت disk defragment وجود نداره !

جالب اینه که فایل ها دارند کم کم خراب میشند
یعنی هر فایل رو باز میکنم و میبندم دیگه باز نمیشه

با برنامه های مختلف ریکاوری تست کردم فایده نداشت
طبق راهنمایی این تایپیک
http://www.iranled.com/forum/thread-27557-page-9.html
نتونستم با 7zip بازش کنم میگه
---------------------------
7-zip
---------------------------
فايل 'C:\Users\administrator\Desktop\ber.xlsx' يك آرشيو شناخته شده نيست
---------------------------
OK
---------------------------
حجم فایل های اکسل رو به کمتر از 100 کیلو بایت تغییر داده
یکی از فایل ها پیوست شد
کسی میتونه کمکی بکنه ؟

.7z   fff.7z (اندازه: 100.31 KB / تعداد دفعات دریافت: 115) ]]> <![CDATA[ویروسی شدن / بسته شدن ناگهانی Task Manager و regedit]]> https://www.iranled.com/forum/thread-27768.html Sat, 08 Feb 2014 19:58:15 +0000 https://www.iranled.com/forum/thread-27768.html امروز یه فلش زدم تو کامپیوتر وارد فلش شدم ویروسی بود فلش
کامپیوترم ویروسی شده الان
تسک منیجر به محض اجرا بسته میشه
cmd هم همینطور
msconfig هم غیرفعال شده Sad
کسی راه حلی برای رفع این ویروس داره ؟
الان نمیزاره برنامه ای رو باز کنم کنم
مصرف cpu رو 100 هست
به زور میشه 2-3 برنامه باز کرد زیاد قفل میکنه
/m\
:|]]> امروز یه فلش زدم تو کامپیوتر وارد فلش شدم ویروسی بود فلش
کامپیوترم ویروسی شده الان
تسک منیجر به محض اجرا بسته میشه
cmd هم همینطور
msconfig هم غیرفعال شده Sad
کسی راه حلی برای رفع این ویروس داره ؟
الان نمیزاره برنامه ای رو باز کنم کنم
مصرف cpu رو 100 هست
به زور میشه 2-3 برنامه باز کرد زیاد قفل میکنه
/m\
:|]]> <![CDATA[سورس چند ویروس]]> https://www.iranled.com/forum/thread-26336.html Fri, 05 Jul 2013 19:06:42 +0000 https://www.iranled.com/forum/thread-26336.html من خیلی وقته پیش توی سایت ایران ویج بودم . اون موقع اسم لینک سایت ایران ویج بود .

الان سورس چندتا ویروس رو که خیلی وقته پیش نوشته بودم رو براتون آماده کردم تا شاید بدرد بعضی از دوستان بخوره .


در پست اول : یه ویروس ساخته بودم که یوزر اکانت میساخت . توی ویندوز XP که خوب کار میکرد توی سون یا ایت امتحان نکردم .

پسهای بعدی هر 1 ساعت .

.rar   User Virus.rar (اندازه: 19.33 KB / تعداد دفعات دریافت: 129) ]]> من خیلی وقته پیش توی سایت ایران ویج بودم . اون موقع اسم لینک سایت ایران ویج بود .

الان سورس چندتا ویروس رو که خیلی وقته پیش نوشته بودم رو براتون آماده کردم تا شاید بدرد بعضی از دوستان بخوره .


در پست اول : یه ویروس ساخته بودم که یوزر اکانت میساخت . توی ویندوز XP که خوب کار میکرد توی سون یا ایت امتحان نکردم .

پسهای بعدی هر 1 ساعت .

.rar   User Virus.rar (اندازه: 19.33 KB / تعداد دفعات دریافت: 129) ]]> <![CDATA[ویروس جدید!!!]]> https://www.iranled.com/forum/thread-25956.html Thu, 16 May 2013 09:46:32 +0000 https://www.iranled.com/forum/thread-25956.html یه ویروس جدید اومده روی لپ تاپ دوستم هر فلشی که بهش وصل میشه رو اینطوری می کنه
[تصویر: 26876754435496604423.jpg]
من فلش رو با لینوکس باز کردم و دیدم این فایل ها بهش اضافه شدن و تمامی محتویاتش توی پوشه ای که اسم نداره ریخته شدن
[تصویر: 66972814875522917369.png]
فلش درست شد ولی لپ تاپ نمی دونم چکار کنم نود32 هم ویروس رو شناسایی نکرد
فایل هایی که به فلش اضافه شده بود رو ضمیمه کردم
توی این فایل یه فایل زیپ دیگه هست که باید از آخرش 10 رو بردارین تا تبدیل بشه به زیپ و توی اون فایل ویروسه
با تشکر

.rar   virus.rar (اندازه: 404.44 KB / تعداد دفعات دریافت: 290) ]]> یه ویروس جدید اومده روی لپ تاپ دوستم هر فلشی که بهش وصل میشه رو اینطوری می کنه
[تصویر: 26876754435496604423.jpg]
من فلش رو با لینوکس باز کردم و دیدم این فایل ها بهش اضافه شدن و تمامی محتویاتش توی پوشه ای که اسم نداره ریخته شدن
[تصویر: 66972814875522917369.png]
فلش درست شد ولی لپ تاپ نمی دونم چکار کنم نود32 هم ویروس رو شناسایی نکرد
فایل هایی که به فلش اضافه شده بود رو ضمیمه کردم
توی این فایل یه فایل زیپ دیگه هست که باید از آخرش 10 رو بردارین تا تبدیل بشه به زیپ و توی اون فایل ویروسه
با تشکر

.rar   virus.rar (اندازه: 404.44 KB / تعداد دفعات دریافت: 290) ]]> <![CDATA[کمک]]> https://www.iranled.com/forum/thread-25684.html Tue, 02 Apr 2013 09:55:49 +0000 https://www.iranled.com/forum/thread-25684.html من یک ویروس دارم تقریبا شبیه ویروسه autorun.inf ولی‌ فقط تو فلش هست هر فلشیو وصل کنم به pc عمل می‌کنه وقتی‌ هم که از cmd می‌خوام پاکش کنم میگه از یک جایی‌ داره این فیل استفاده می‌شه پس پاک نمی‌شه محل اصلیشم تو ویندوز پیدا نمی‌کنه نه nod32 نه symantec شنسایش نمی‌کنه تو safe mod هم پاک نمی‌شه فایلی هم که تو فلش میسازه هم اینان
~$WMT.FAT
autorun.inf
desktop.ini
ie faile shortcut ke toosh etelaate flash hast
Thumbs.db
جالبش اینجاست کل هاردمو format کردم بازم نرفت وقتی‌ دوباره ویندوز نصب کردم یه‌ فلش که ویروس ندشتو زدم روش بازم فلش آلوده شد
یک عکس از فلش
http://upload7.ir/images/99030397456530412393.jpg

.jpg   raaaaammmmmmmm.JPG (اندازه: 195.11 KB / تعداد دفعات دریافت: 78) ]]> من یک ویروس دارم تقریبا شبیه ویروسه autorun.inf ولی‌ فقط تو فلش هست هر فلشیو وصل کنم به pc عمل می‌کنه وقتی‌ هم که از cmd می‌خوام پاکش کنم میگه از یک جایی‌ داره این فیل استفاده می‌شه پس پاک نمی‌شه محل اصلیشم تو ویندوز پیدا نمی‌کنه نه nod32 نه symantec شنسایش نمی‌کنه تو safe mod هم پاک نمی‌شه فایلی هم که تو فلش میسازه هم اینان
~$WMT.FAT
autorun.inf
desktop.ini
ie faile shortcut ke toosh etelaate flash hast
Thumbs.db
جالبش اینجاست کل هاردمو format کردم بازم نرفت وقتی‌ دوباره ویندوز نصب کردم یه‌ فلش که ویروس ندشتو زدم روش بازم فلش آلوده شد
یک عکس از فلش
http://upload7.ir/images/99030397456530412393.jpg

.jpg   raaaaammmmmmmm.JPG (اندازه: 195.11 KB / تعداد دفعات دریافت: 78) ]]> <![CDATA[استاکس نت در کمین است]]> https://www.iranled.com/forum/thread-25628.html Sun, 24 Mar 2013 20:15:37 +0000 https://www.iranled.com/forum/thread-25628.html
از چند ماه پیش اخبار مربوط به نفوذ این ویروس به رایانه های داخل کشور منتشر شد. اين ويروس براي اولين بار توسط يك شركت كوچك امنيتي در بلاروس و در كامپيوتر يك از تجار ايراني پيدا شد. به گفته مسئولین این ویروس از حدود یک سال پیش به ایران راه پیدا کرده و در این مدت فعالیت خود را آغاز کرده است. ویروس استاکس نت، به طور خاص محصولات شرکت زیمنس آلمان (که در بسیاری از مراکز صنعتی و زیرساختی مهم کشور ما استفاده می شود) را مورد حمله قرار داده است. این تجهیزات در مراکز حساسی چون نیروگاهها، چاههای نفت، مراکز دیس پچینگ و بسیاری از صنایع دیگر به کار برده می شوند و اخلال در عملکرد آنها می تواند باعث بروز حوادث خطرناکی مانند انفجار یا تخریب تجهیزات گردد. از سوی دیگر بنا به اعلام مسئولین کشور این ویروس امکان استخراج اطلاعات از این سیستمها و ارسال آن به مراکز خارج از کشور را داشته است. منتشر کنندگان این ویروس به صورت مرتب آن را به روز رسانی کرده و قابلیتهای جدیدی به آن اضافه می کنند.



مبدا ويروس استاكس نت:

بنا به گفته مسئولین کشور و برخی منابع خارجی این ویروس توسط برخی دولتها و با هدف ایجاد اخلال در کشورهای مورد نظرشان تهیه شده است. کارشناسان فناوری اطلاعات معتقدند پیچیدگی این کرم اینترنتی نشان دهنده آن است که این کرم فراتر از کرمهای معمول بوده و احتمالا توسط سازمان یا دولتی و با هدف ایجاد اخلال در کشورهای مورد نظر تهیه شده است. همچنین اين امکان وجود دارد که هدف اصلی این ویروس حمله به نیروگاه هسته ای بوشهر و ایجاد اختلال در برنامه هسته ای ایران بوده باشد. در منبع اين ويروس نشانه هايي از دست داشتن اسرائيل در انتشار آن يافت شده است. کشور هند نیز که بعد از ایران در رده دوم قربانیان این ویروس قرار دارد، چین را متهم به تولید و انتشار این ویروس کرده است.

پيچيده تر شدن اين ويروس­ها مي­تواند در آينده مشكلات بيشتري را براي مراكز صنعتي و استرات‍ژيك كشور پديد آورد و لازم است مسئولين امر تمهيدات پيشگيرانه لازم را براي مقابله با اين خطر مهم در نظر بگيرند.

پایگاه خبری تحلیلی انتخاب (Entekhab.ir) : فارس: بازرسان دولت فدرال که در حال بررسی پرونده افشای اطلاعات محرمانه‌ای درباره عملیات سایبری هستند که برنامه هسته‌ای ایران را هدف گرفته بود، فشارها بر مقامات ارشد کنونی و سابق آمریکا که مظنون به مشارکت در این افشاگری بودند، افزایش یافته است.

افرادی که با این تحقیقات و بازرسی‌ها ارتباط نزدیکی دارند اعلام کردند که این تحقیق و تفحص که توسط «اریک هولدر» دادستان کل آمریکا در ژوئن سال گذشته آغاز شد، در حال بررسی افشاگری‌ها و درز اطلاعات درباره یک ویروس رایانه‌ای است که به طور مشترک توسط آمریکا و اسرائیل به منظور آسیب رساندن به سانتریفیوژهای هسته ای نیروگاه غنی‌سازی اورانیوم ایران به وجود آمد.

اسم رمز آمریکا برای این عملیات «بازی‌های المپیک» بود اما جهان پهناور این کرم رایانه‌ای اسرارآمیز را به اسم «استاکس‌نت» می‌شناسند.

یکی از افرادی که از این تحقیق و تفحص اطلاع دارد، می‌گوید: دادستان‌ها همه را حتی افراد عالیرتبه را مورد پیگرد قرار دادند. افراد زیادی هستند که با سازمان های گوناگون در ارتباط هستند.

مأموران اف بی آی و دادستان‌های دولت فدرال با برخی از مقامات ارشد سابق و کنونی مرتبط با افشای این اطلاعات مصاحبه کرده است و اعلام کرده که شواهدی وجود دارد که آنها با خبرنگاران در ارتباط بوده‌اند.

به گفته برخی از افراد آشنا به این تحقیقات، بازرسان اف بی آی، ایمیل‌‌ها و تماس‌های تلفنی مقامات سابق و کنونی دولت آمریکا را تجزیه و تحلیل کرده‌اند تا اطلاعاتی درباره ارتباط آنها با خبرنگاران به دست آورند.

این افراد که این اطلاعات را فاش کردند، به هیچ عنوان تمایلی به فاش شدن نامشان نداشتند. وزارت دادگستری آمریکا از اظهار نظر در اینباره خودداری کرد.

دولت اوباما، 6 نفر از مقام آمریکایی را به دلیل افشای اطلاعات محرمانه مورد پیگرد قانونی قرار داده است اما تحقیق و تفحص درباره ویروس استاکس‌نت یکی از بحث برانگیزین تحقیقات و بررسی‌هایی است که تاکنون انجام شده است و ممکن است مقامات عالیرتبه را نیز دربرگیرد.

بر اساس این گزارش، اطلاعات در زمینه این ویروس احتمالاً تا حد زیادی تفکیک شده است و به مجموعه کوچکی از آمریکایی‌ها و اسرائیلی‌ها محدود شده است.

روزنامه آمریکایی «نیویورک‌تایمز» در مقاله‌ای نوشت که «باراک اوباما» با استفاده از یک ویروس رایانه‌ای که با همکاری اسرائیل به وجود آورده است، دستور حملات سایبری علیه ایران را صادر کرده است در دیگر روزنامه هایی چون واشنگتن‌پست نیز گزارش‌های مشابهی منتشر شده بود و همچنین از ارتباط بین ویروس‌های «شعله» و «استاکس‌نت» سخن به میان آمده بود.

اوباما از افشای چنین مطلبی خشمگین شد و اریک هولدر پس از آن «راد روزنستین» دادستان مریلند را منصوب کرد تا در خصوص ویروس استاکس‌نت و افشای آن تحقیقات انجام دهد.]]>
از چند ماه پیش اخبار مربوط به نفوذ این ویروس به رایانه های داخل کشور منتشر شد. اين ويروس براي اولين بار توسط يك شركت كوچك امنيتي در بلاروس و در كامپيوتر يك از تجار ايراني پيدا شد. به گفته مسئولین این ویروس از حدود یک سال پیش به ایران راه پیدا کرده و در این مدت فعالیت خود را آغاز کرده است. ویروس استاکس نت، به طور خاص محصولات شرکت زیمنس آلمان (که در بسیاری از مراکز صنعتی و زیرساختی مهم کشور ما استفاده می شود) را مورد حمله قرار داده است. این تجهیزات در مراکز حساسی چون نیروگاهها، چاههای نفت، مراکز دیس پچینگ و بسیاری از صنایع دیگر به کار برده می شوند و اخلال در عملکرد آنها می تواند باعث بروز حوادث خطرناکی مانند انفجار یا تخریب تجهیزات گردد. از سوی دیگر بنا به اعلام مسئولین کشور این ویروس امکان استخراج اطلاعات از این سیستمها و ارسال آن به مراکز خارج از کشور را داشته است. منتشر کنندگان این ویروس به صورت مرتب آن را به روز رسانی کرده و قابلیتهای جدیدی به آن اضافه می کنند.



مبدا ويروس استاكس نت:

بنا به گفته مسئولین کشور و برخی منابع خارجی این ویروس توسط برخی دولتها و با هدف ایجاد اخلال در کشورهای مورد نظرشان تهیه شده است. کارشناسان فناوری اطلاعات معتقدند پیچیدگی این کرم اینترنتی نشان دهنده آن است که این کرم فراتر از کرمهای معمول بوده و احتمالا توسط سازمان یا دولتی و با هدف ایجاد اخلال در کشورهای مورد نظر تهیه شده است. همچنین اين امکان وجود دارد که هدف اصلی این ویروس حمله به نیروگاه هسته ای بوشهر و ایجاد اختلال در برنامه هسته ای ایران بوده باشد. در منبع اين ويروس نشانه هايي از دست داشتن اسرائيل در انتشار آن يافت شده است. کشور هند نیز که بعد از ایران در رده دوم قربانیان این ویروس قرار دارد، چین را متهم به تولید و انتشار این ویروس کرده است.

پيچيده تر شدن اين ويروس­ها مي­تواند در آينده مشكلات بيشتري را براي مراكز صنعتي و استرات‍ژيك كشور پديد آورد و لازم است مسئولين امر تمهيدات پيشگيرانه لازم را براي مقابله با اين خطر مهم در نظر بگيرند.

پایگاه خبری تحلیلی انتخاب (Entekhab.ir) : فارس: بازرسان دولت فدرال که در حال بررسی پرونده افشای اطلاعات محرمانه‌ای درباره عملیات سایبری هستند که برنامه هسته‌ای ایران را هدف گرفته بود، فشارها بر مقامات ارشد کنونی و سابق آمریکا که مظنون به مشارکت در این افشاگری بودند، افزایش یافته است.

افرادی که با این تحقیقات و بازرسی‌ها ارتباط نزدیکی دارند اعلام کردند که این تحقیق و تفحص که توسط «اریک هولدر» دادستان کل آمریکا در ژوئن سال گذشته آغاز شد، در حال بررسی افشاگری‌ها و درز اطلاعات درباره یک ویروس رایانه‌ای است که به طور مشترک توسط آمریکا و اسرائیل به منظور آسیب رساندن به سانتریفیوژهای هسته ای نیروگاه غنی‌سازی اورانیوم ایران به وجود آمد.

اسم رمز آمریکا برای این عملیات «بازی‌های المپیک» بود اما جهان پهناور این کرم رایانه‌ای اسرارآمیز را به اسم «استاکس‌نت» می‌شناسند.

یکی از افرادی که از این تحقیق و تفحص اطلاع دارد، می‌گوید: دادستان‌ها همه را حتی افراد عالیرتبه را مورد پیگرد قرار دادند. افراد زیادی هستند که با سازمان های گوناگون در ارتباط هستند.

مأموران اف بی آی و دادستان‌های دولت فدرال با برخی از مقامات ارشد سابق و کنونی مرتبط با افشای این اطلاعات مصاحبه کرده است و اعلام کرده که شواهدی وجود دارد که آنها با خبرنگاران در ارتباط بوده‌اند.

به گفته برخی از افراد آشنا به این تحقیقات، بازرسان اف بی آی، ایمیل‌‌ها و تماس‌های تلفنی مقامات سابق و کنونی دولت آمریکا را تجزیه و تحلیل کرده‌اند تا اطلاعاتی درباره ارتباط آنها با خبرنگاران به دست آورند.

این افراد که این اطلاعات را فاش کردند، به هیچ عنوان تمایلی به فاش شدن نامشان نداشتند. وزارت دادگستری آمریکا از اظهار نظر در اینباره خودداری کرد.

دولت اوباما، 6 نفر از مقام آمریکایی را به دلیل افشای اطلاعات محرمانه مورد پیگرد قانونی قرار داده است اما تحقیق و تفحص درباره ویروس استاکس‌نت یکی از بحث برانگیزین تحقیقات و بررسی‌هایی است که تاکنون انجام شده است و ممکن است مقامات عالیرتبه را نیز دربرگیرد.

بر اساس این گزارش، اطلاعات در زمینه این ویروس احتمالاً تا حد زیادی تفکیک شده است و به مجموعه کوچکی از آمریکایی‌ها و اسرائیلی‌ها محدود شده است.

روزنامه آمریکایی «نیویورک‌تایمز» در مقاله‌ای نوشت که «باراک اوباما» با استفاده از یک ویروس رایانه‌ای که با همکاری اسرائیل به وجود آورده است، دستور حملات سایبری علیه ایران را صادر کرده است در دیگر روزنامه هایی چون واشنگتن‌پست نیز گزارش‌های مشابهی منتشر شده بود و همچنین از ارتباط بین ویروس‌های «شعله» و «استاکس‌نت» سخن به میان آمده بود.

اوباما از افشای چنین مطلبی خشمگین شد و اریک هولدر پس از آن «راد روزنستین» دادستان مریلند را منصوب کرد تا در خصوص ویروس استاکس‌نت و افشای آن تحقیقات انجام دهد.]]> <![CDATA[ویروس چندریخت]]> https://www.iranled.com/forum/thread-25244.html Mon, 21 Jan 2013 15:49:08 +0000 https://www.iranled.com/forum/thread-25244.html برای یه تحقیق در مورد بدافزارهای چندریخت نیاز به سورس چندتا ویروس به زبان c یا ++c دارم که توشون از حلقه های for استفاده شده باشه،ممنون میشم اگه کمک کنید.]]> برای یه تحقیق در مورد بدافزارهای چندریخت نیاز به سورس چندتا ویروس به زبان c یا ++c دارم که توشون از حلقه های for استفاده شده باشه،ممنون میشم اگه کمک کنید.]]> <![CDATA[ایا این سایت دارای بد افزار است؟]]> https://www.iranled.com/forum/thread-25073.html Thu, 27 Dec 2012 14:39:00 +0000 https://www.iranled.com/forum/thread-25073.html من با دوتا از انتی ویروس ها وارد این سایت شدم(کسپرسکی و نود32)هردوشون این سایت رو بلاک میکنند ولی با یک انتی ویروس دیگه واردش شدم بلاکش نکرد میخوام بدونم داراه ی بد افزار هست یا نه؟Exclamation
www.iransetup.ir]]> من با دوتا از انتی ویروس ها وارد این سایت شدم(کسپرسکی و نود32)هردوشون این سایت رو بلاک میکنند ولی با یک انتی ویروس دیگه واردش شدم بلاکش نکرد میخوام بدونم داراه ی بد افزار هست یا نه؟Exclamation
www.iransetup.ir]]> <![CDATA[فرستادن ویروس به startup کامپیوتر client]]> https://www.iranled.com/forum/thread-25005.html Sat, 15 Dec 2012 12:58:51 +0000 https://www.iranled.com/forum/thread-25005.html کمکم کنید چی کار کنم]]> کمکم کنید چی کار کنم]]> <![CDATA[ویروس funny.exe]]> https://www.iranled.com/forum/thread-24458.html Mon, 10 Sep 2012 07:17:58 +0000 https://www.iranled.com/forum/thread-24458.html تو سیستم ویروس funny.exe رو دارم
میاد داخل فلش ها خودش رو کپی میکنه
یه تایمر داره که هر چند لحظه تو فلش کپی میشه
یه جاهایی خودش رو میره پخش میکنه و تغییر نام میده تا ساده پیدا نشه
توی پروسسس ها نیست
آنتی هم نمیشناسش
با نرم افزار فقط تونستم بفهمم که میاد اینجا C:\Users\abbasali\AppData\Local\Temp و داخل پوشه هایی که ابتدای اونها is هست خودشو ذخیره میکنه

اما جاهای دیگه هم میره - کسی میتونه روش حذفش رو بگه؟]]> تو سیستم ویروس funny.exe رو دارم
میاد داخل فلش ها خودش رو کپی میکنه
یه تایمر داره که هر چند لحظه تو فلش کپی میشه
یه جاهایی خودش رو میره پخش میکنه و تغییر نام میده تا ساده پیدا نشه
توی پروسسس ها نیست
آنتی هم نمیشناسش
با نرم افزار فقط تونستم بفهمم که میاد اینجا C:\Users\abbasali\AppData\Local\Temp و داخل پوشه هایی که ابتدای اونها is هست خودشو ذخیره میکنه

اما جاهای دیگه هم میره - کسی میتونه روش حذفش رو بگه؟]]> <![CDATA[ویروس شعله]]> https://www.iranled.com/forum/thread-24434.html Thu, 06 Sep 2012 21:43:14 +0000 https://www.iranled.com/forum/thread-24434.html هادیانفر در خصوص ویروس‌های رایانه‌ای که برای سازمان‌ها و نهادهای مهم کشور طراحی شده‌اند، گفت: «پس از ویروس استاکس نت به شدت حملات سایبری نسبت به ایران زیاد شده است که با توجه به تمهیداتی که در کشور صورت گرفته تا کنون هیچ آسیبی به ساختار سازمان‌ها و زیرساخت‌های کشور وارد نشده است.»

وی با اشاره به اینکه سال گذشته ویروسی به نام "وایپ" یا "وایپر" که هدفش حذف کامل اطلاعات رایانه‌ای بود، شناسایی شد، اظهار داشت: «پس از شناسایی، آنتی ویروس وایپ را مرکز "ماهر" (مرکز مدیریت امداد و هماهنگی عملیات رخدادهای رایانه‌ای) تولید کرد و این ضد ویروس در اختیار تمامی دستگاه‌های کشور قرار گرفت.»

جدیدترین اقدامات درباره حمله سایبری به وزارت نفت
رئیس پلیس فتا حمله به وزارت نفت را یکی دیگر از حملات سایبری دانست که با آن مقابله شد و در این راستا دو IP مظنون در آمریکا کشف و از طریق وزارت خارجه و پلیس بین‌الملل این مسئله پیگیری شده که آمریکا باید هویت این IP ها را به ایران معرفی کند تا معلوم شود به وسیله چه کسانی حمله علیه کشورمان صورت گرفته است.

وی ویروس‌های "شعله"، "کی‌دو" و "دوکو" را بخشی از ویروس‌های وارداتی که با فلش مموری جابه جا می‌شوند، دانست و با بیان اینکه ویروس‌ها چند دسته‌اند، افزود: «دسته‌ای از ویروس‌ها ایجاد اختلال و دسته‌ای دیگر مانند جاسوس خاموش در کامپیوتر می‌نشینند و به محض وصل شدن به اینترنت اطلاعات را به مکانی که از قبل برایشان تعریف شده ارسال می‌کنند.»

هادیانفر با بیان اینکه دسته دیگری از ویروس‌ها مانند وایپر ریشه را می‌زند و تمام سرورهایتان را می‌سوزاند، گفت: «این ویروس با لوگوی ارائه دهنده خدمات دسترسی به کاربر پیشنهاد می‌دهد که برای افزایش سرعت و پهنای باند بیشتری فایل فشرده شده پیوست را روی سیستم دانلود کنید.»

رئیس پلیس فتا ادامه داد: «پس از وارد کردن رمز مربوطه و باز شدن فایل ویروس روی سامانه‌ نصب شده و شروع به دزدی اطلاعات می‌کند.»

وی ادامه داد: «عوامل ترویج کننده این ویروس در داخل کشور شناسایی شده‌اند و اینکه به چه واسطه‌ای این افراد این اطلاعات را گرفته‌اند و در داخل منتشر کرده‌اند، بعد از دستگیری‌ها مشخص می‌شود.»

هادیانفر در خصوص ویروس شعله که جدیدا به کشور وارد شده است، نیز گفت: «ویروس شعله پیغام می‌دهد که از شما عکس خصوصی دارم. اگر می‌خواهید عکس را مشاهده کنید، کلیک کنید.»

رئیس پلیس فتا افزود: «پس از کلیک کردن کاربر هیچ عکسی را مشاهده نمی‌کند ولی عملا برنامه با این کلیک سرقت اطلاعات و پاک کردن سیستم را آغاز می کند.»

منبع: مهر
قسمت دوم:
به گزارش گرداب، پایگاه خبری "میدل‌ایست آنلاین" به نقل از کارشناسان سایبری ایرانی اعلام کرد: ایران نرم‌افزار آنتی‌ویروس ویروس "شعله" را پیدا کرده است.

این کارشناس سایبری ایران گفت: «بدافزار مورد نظر با 43 برنامه آنتی‌ویروس قابل شناسایی نبود و به همین خاطر تیم تحقیقات سایبری ایران مجبور شد برنامه‌ای برای مقابله با این ویروس بسازد.»

امروز محققان شرکت سایبری کسپراسکی اعلام کردند: یک ویروس رایانه‌ای بسیار پیشرفته رایانه‌های کشور ایران و سایر کشورهای خاورمیانه را آلوده کرده است.

طبق اعلام این کارشناسان این ویروس حداقل پنج سال پیش برای انجام جاسوسی سایبری دولتی در این کشورها به کار گرفته شده است.

چنانکه شواهد امر نشان می‌دهد این ویروس موسوم به شعله (Flame) از سوی همان کشور یا کشورهایی ساخته شده است که ویروس "استاکس‌نت" را برای حمله به تأسیسات هسته‌ای ایران طراحی کردند.

محققان این شرکت می‌گویند هنوز برای آنها مشخص نیست آیا ویروس Flame مأموریتی مانند استاکس‌نت دارد یا خیر.

ویروس Flame که بیش از 20 برابر استاکس‌نت کد دارد، می‌تواند فایل‌های داده را جمع‌آوری کند، تنظیمات رایانه‌ها را از راه دور تغییر دهد، میکروفون رایانه‌های شخصی را روشن کرده و مکالمات را ضبط کند و عکس‌برداری کند.

محققان کسپراسکی می گویند ویروس‌های استاکس‌نت و Flame هر دو با سازوکارهای مشابهی رایانه‌ها را آلوده می‌کنند.

یک کارشناس این شرکت می‌گوید این امر نشان می‌دهد این ویروس جدید به وسیله همان تیمی ساخته شده که در طراحی استاکس‌نت نقش داشته‌اند.

"شوانبرگ" افزود: «تنها یک کشور هست که توانایی ساخت چنین ویروسی را دارد، اما از اظهار نظر در مورد اینکه چه کشوری ممکن است این کار را انجام داده باشد، خودداری کرد.»

با آنکه هنوز در مورد کشور طراحی‌کننده این ویروس بحث و جدل وجود دارد اما بعضی از کارشناسان معتقدند این ویروس به دست آمریکا و رژیم صهیونیستی ساخته شده است.

روزنامه نیویورک‌تایمز در سال 2011 در تحقیقی در مورد طراحان ویروس استاکس‌نت اظهار کرد آمریکا و رژیم صهیونیستی از حوالی سال 2004 طرح مشترکی را برای مقابله با برنامه هسته‌ای ایران آغاز کرده‌اند و نتیجه گرفت ویروس استاکس‌نت از سوی این دو کشور ساخته شده است.

علاوه بر این معاون نخست وزیر رژیم صهیونیستی، "موشه یالون" در سخنانی به تلویح گفت که این ویروس از سوی اسرائیل طراحی شده است.

وی گفت که اسرائیل از لحاظ فناوری پیشرفت‌های زیادی داشته و توان استفاده از راه‌های مختلف برای آسیب زدن به ایران را دارد.

مرکز تحقیقات رایانه‌ای، موسوم به "ماهر" (مرکز مدیریت امداد و هماهنگی عملیات رخدادادهای رایانه‌ای) اعلام کرده است ابزارهایی برای شناسایی و پاک کردن این بدافزار ساخته است و حاضر است آن را در اختیار شرکت‌ها و سازمان‌های ایرانی قرار دهد.

این مرکز تحقیقاتی در مورد جزئیات این برنامه آنتی‌ویروس توضیحاتی نداده است.

منبع: فارس]]> هادیانفر در خصوص ویروس‌های رایانه‌ای که برای سازمان‌ها و نهادهای مهم کشور طراحی شده‌اند، گفت: «پس از ویروس استاکس نت به شدت حملات سایبری نسبت به ایران زیاد شده است که با توجه به تمهیداتی که در کشور صورت گرفته تا کنون هیچ آسیبی به ساختار سازمان‌ها و زیرساخت‌های کشور وارد نشده است.»

وی با اشاره به اینکه سال گذشته ویروسی به نام "وایپ" یا "وایپر" که هدفش حذف کامل اطلاعات رایانه‌ای بود، شناسایی شد، اظهار داشت: «پس از شناسایی، آنتی ویروس وایپ را مرکز "ماهر" (مرکز مدیریت امداد و هماهنگی عملیات رخدادهای رایانه‌ای) تولید کرد و این ضد ویروس در اختیار تمامی دستگاه‌های کشور قرار گرفت.»

جدیدترین اقدامات درباره حمله سایبری به وزارت نفت
رئیس پلیس فتا حمله به وزارت نفت را یکی دیگر از حملات سایبری دانست که با آن مقابله شد و در این راستا دو IP مظنون در آمریکا کشف و از طریق وزارت خارجه و پلیس بین‌الملل این مسئله پیگیری شده که آمریکا باید هویت این IP ها را به ایران معرفی کند تا معلوم شود به وسیله چه کسانی حمله علیه کشورمان صورت گرفته است.

وی ویروس‌های "شعله"، "کی‌دو" و "دوکو" را بخشی از ویروس‌های وارداتی که با فلش مموری جابه جا می‌شوند، دانست و با بیان اینکه ویروس‌ها چند دسته‌اند، افزود: «دسته‌ای از ویروس‌ها ایجاد اختلال و دسته‌ای دیگر مانند جاسوس خاموش در کامپیوتر می‌نشینند و به محض وصل شدن به اینترنت اطلاعات را به مکانی که از قبل برایشان تعریف شده ارسال می‌کنند.»

هادیانفر با بیان اینکه دسته دیگری از ویروس‌ها مانند وایپر ریشه را می‌زند و تمام سرورهایتان را می‌سوزاند، گفت: «این ویروس با لوگوی ارائه دهنده خدمات دسترسی به کاربر پیشنهاد می‌دهد که برای افزایش سرعت و پهنای باند بیشتری فایل فشرده شده پیوست را روی سیستم دانلود کنید.»

رئیس پلیس فتا ادامه داد: «پس از وارد کردن رمز مربوطه و باز شدن فایل ویروس روی سامانه‌ نصب شده و شروع به دزدی اطلاعات می‌کند.»

وی ادامه داد: «عوامل ترویج کننده این ویروس در داخل کشور شناسایی شده‌اند و اینکه به چه واسطه‌ای این افراد این اطلاعات را گرفته‌اند و در داخل منتشر کرده‌اند، بعد از دستگیری‌ها مشخص می‌شود.»

هادیانفر در خصوص ویروس شعله که جدیدا به کشور وارد شده است، نیز گفت: «ویروس شعله پیغام می‌دهد که از شما عکس خصوصی دارم. اگر می‌خواهید عکس را مشاهده کنید، کلیک کنید.»

رئیس پلیس فتا افزود: «پس از کلیک کردن کاربر هیچ عکسی را مشاهده نمی‌کند ولی عملا برنامه با این کلیک سرقت اطلاعات و پاک کردن سیستم را آغاز می کند.»

منبع: مهر
قسمت دوم:
به گزارش گرداب، پایگاه خبری "میدل‌ایست آنلاین" به نقل از کارشناسان سایبری ایرانی اعلام کرد: ایران نرم‌افزار آنتی‌ویروس ویروس "شعله" را پیدا کرده است.

این کارشناس سایبری ایران گفت: «بدافزار مورد نظر با 43 برنامه آنتی‌ویروس قابل شناسایی نبود و به همین خاطر تیم تحقیقات سایبری ایران مجبور شد برنامه‌ای برای مقابله با این ویروس بسازد.»

امروز محققان شرکت سایبری کسپراسکی اعلام کردند: یک ویروس رایانه‌ای بسیار پیشرفته رایانه‌های کشور ایران و سایر کشورهای خاورمیانه را آلوده کرده است.

طبق اعلام این کارشناسان این ویروس حداقل پنج سال پیش برای انجام جاسوسی سایبری دولتی در این کشورها به کار گرفته شده است.

چنانکه شواهد امر نشان می‌دهد این ویروس موسوم به شعله (Flame) از سوی همان کشور یا کشورهایی ساخته شده است که ویروس "استاکس‌نت" را برای حمله به تأسیسات هسته‌ای ایران طراحی کردند.

محققان این شرکت می‌گویند هنوز برای آنها مشخص نیست آیا ویروس Flame مأموریتی مانند استاکس‌نت دارد یا خیر.

ویروس Flame که بیش از 20 برابر استاکس‌نت کد دارد، می‌تواند فایل‌های داده را جمع‌آوری کند، تنظیمات رایانه‌ها را از راه دور تغییر دهد، میکروفون رایانه‌های شخصی را روشن کرده و مکالمات را ضبط کند و عکس‌برداری کند.

محققان کسپراسکی می گویند ویروس‌های استاکس‌نت و Flame هر دو با سازوکارهای مشابهی رایانه‌ها را آلوده می‌کنند.

یک کارشناس این شرکت می‌گوید این امر نشان می‌دهد این ویروس جدید به وسیله همان تیمی ساخته شده که در طراحی استاکس‌نت نقش داشته‌اند.

"شوانبرگ" افزود: «تنها یک کشور هست که توانایی ساخت چنین ویروسی را دارد، اما از اظهار نظر در مورد اینکه چه کشوری ممکن است این کار را انجام داده باشد، خودداری کرد.»

با آنکه هنوز در مورد کشور طراحی‌کننده این ویروس بحث و جدل وجود دارد اما بعضی از کارشناسان معتقدند این ویروس به دست آمریکا و رژیم صهیونیستی ساخته شده است.

روزنامه نیویورک‌تایمز در سال 2011 در تحقیقی در مورد طراحان ویروس استاکس‌نت اظهار کرد آمریکا و رژیم صهیونیستی از حوالی سال 2004 طرح مشترکی را برای مقابله با برنامه هسته‌ای ایران آغاز کرده‌اند و نتیجه گرفت ویروس استاکس‌نت از سوی این دو کشور ساخته شده است.

علاوه بر این معاون نخست وزیر رژیم صهیونیستی، "موشه یالون" در سخنانی به تلویح گفت که این ویروس از سوی اسرائیل طراحی شده است.

وی گفت که اسرائیل از لحاظ فناوری پیشرفت‌های زیادی داشته و توان استفاده از راه‌های مختلف برای آسیب زدن به ایران را دارد.

مرکز تحقیقات رایانه‌ای، موسوم به "ماهر" (مرکز مدیریت امداد و هماهنگی عملیات رخدادادهای رایانه‌ای) اعلام کرده است ابزارهایی برای شناسایی و پاک کردن این بدافزار ساخته است و حاضر است آن را در اختیار شرکت‌ها و سازمان‌های ایرانی قرار دهد.

این مرکز تحقیقاتی در مورد جزئیات این برنامه آنتی‌ویروس توضیحاتی نداده است.

منبع: فارس]]> <![CDATA[ویروس الوده کننده فایل های اجرایی]]> https://www.iranled.com/forum/thread-24066.html Thu, 26 Jul 2012 14:27:00 +0000 https://www.iranled.com/forum/thread-24066.html