ایتنا- روند باج‌افزار Sorebrect به گونه‌ای است که کد مخرب را در یک فرآیند قانونی سیستم مانند svchost.exe بر روی سیستم مورد هدف تزریق کرده و برای فرار از تشخیص داده شدن و شناسایی نشدن به ‌صورت خودکار خود را نابود می‌کند.

در مورد این موضوع که هکرها با گذشت زمان ماهرانه‌تر عمل می‌کنند و با هوشمند شدن اشیاء روند حمله آنها هم هوشمندانه‌تر می‌شود، شکی نداریم. آنها حمله‌های جدید خود را با روش‌های مخفیانه انجام می‌دهند و کدهای خود را با شیوه‌های موذیانه وارد سیستم می‌کنند.


به گزارش ایتنا از کسپرسکی آنلاین، مسلما مجرمان دست روی دست نمی‌گذارند تا کارشناسان امنیتی بتوانند راه‌های مقابله با آنها را منتشر کنند. اینطور که به نظر می‌رسد مجرمان در حال تغییر روش‌های سنتی حمله هستند تا تشخیص دادن آنها به این سادگی‌ها نباشد.

اما محققان امنیتی به تازگی یک باج‌افزار fileless جدید را کشف کرده‌اند که آن را "Sorebrect " نامیده‌اند. روند عملکرد این باج افزار به گونه‌ای است که کد مخرب را در یک فرآیند قانونی سیستم مانند svchost.exe بر روی سیستم مورد هدف تزریق کرده و برای فرار از تشخیص داده شدن و شناسایی نشدن به ‌صورت خودکار خود را نابود می‌کند.

برخلاف بیشتر باج‌افزارها، Sorebrect به گونه‌ای طراحی شده است تا سرور سازمان‌ها و نود شبکه‌ها را مورد هدف قرار بدهد. پس از آلوده شدن سیستم، کد تزریق شده در سیستم شروع به رمزنگاری فایل بر روی سیستم محلی و سیستم‌های متصل به آن در شبکه می‌کند.

این باج‌افزار fileless ابتدا اعتبار‌نامه‌‌های مدیریتی را با روشی خشونت آمیز به خطر می‌اندازد و سپس از ابزار command-line مایکروسافت با نام " Sysinternals PsExec" برای رمزنگاری فایل ها استفاده می‌کند.

کمپانی Trend Micro برای استفاده از PsExec می‌گوید: به ‌جای آنکه مجرمان یک login session را آماده و از آن استفاده کنند، یا اینکه به ‌صورت دستی بدافزار مورد نظر را مانند RDPها به سیستم مورد هدف انتقال دهند، آنها با به کار گیری این ابزاردستورات را از راه دور اجرا و عملی می‌کنند.

رمزنگاری فایل های به اشتراک گذاشته‌شده در یک شبکه توسط Sorebrect
باج‌ افزار Sorebrect ریزکانه عمل می‌کند. این گونه از بدافزارها تمامی شبکه‌‌های داخلی را جستجو می‌کند تا دیگر کامپیوترهای متصل را که دارای فایل‌های به اشتراک گذاشته هستند پیدا کند و این فایل‌ها را نیز قفل ‌کند.

محققان می‌گویند: "اگر فولدر به اشتراک گذاشته ‌شده گزینه دسترسی به‌ صورت خواندن و نوشتن را برای همه افراد فعال کرده باشد، این فایل‌ ها نیز رمزگذاری خواهند شد".

اما این باج افزار در مرحله نهایی تمامی logها را بر روی سیستم آلوده‌ شده توسط wevtutil.exe و shodow copy ها با استفاده از vssadmin پاک می‌کند. این logها می‌توانند شواهد قانونی مانند اجرا شدن یک فایل بر روی سیستم و زمان اجرای آن‌ها را در اختیار قرار دهند که این باج‌افزار با پاک کردن این logها به ‌سختی تشخیص داده می‌شود و به گونه‌ای ردی از خود باقی نمی گذارد.
علاوه براین Sorebrect از پروتکل شبکه Tor استفاده می‌کند تا ارتباطات خود را با سرور C&C خود به‌ صورت مخفیانه انجام دهد که این کارش مشابه روش استفاده شده در دیگر بدافزارها است.