به گزارش حلقه وصل به نقل از مرکز مدیریت راهبردی افتای ریاست جمهوری، مجرمین سایبری، با پنهانسازی رفتار مخرب تروجان Adwind با استفاده از دستورات مجاز جاوا، اطلاعات احراز هویت بانکی، برنامههای تجاری و هرگونه گذرواژه ذخیره شده در یک مرورگر کاربران را به سرقت میبرند.
این بدافزار که با اسامی AlienSpy و jRAT نیز شناخته میشود، میتواند چندین سیستم عامل را هدف قرار دهد و به طور معمول قربانیان را از طریق ایمیلهای فیشینگ، فایل نصبی مخرب نرمافزارها یا وبسایتهای مخرب، انتخاب و آلوده میکند.
نوع جدیدی از این بدافزار اخیرا شناسایی شده که سیستم عامل ویندوز و برنامههای متداول ویندوز از جمله Internet Explorer و Outlook را همراه با مرورگرهای مبتنی بر Chromium، هدف قرار میدهد.
جدیدترین نوع Adwind توسط یک فایل JAR منتقل میشود و هدف آن در پشت چندین لایه مبهمسازی و رمزگذاری شده قرار دارد که باعث ناکارآمدی تشخیص مبتنی بر امضا میشود.
هنگامی که بدافزار لیست آدرسهای سرور فرمان و کنترل را باز کند، Adwind فعال شده و قادر به دریافت دستورالعملها و ارسال اطلاعات سرقت شده از جمله اطلاعات احرازهویت بانکی، برنامههای تجاری و هرگونه گذرواژه ذخیره شده در یک مرورگر، به سرور میزبان است.
در آخرین نسخه Adwind، عملکرد بدافزار با استفاده از دستورات جاوا مخفی میشود. توسعهدهندگان بدافزار این کار را با مخفی کردن فایلهای JAR مخرب در بین تعدادی از برنامه JAR مشروع انجام دادند و با استفاده از رمزگذاری، تشخیص فایل JAR اولیه و بارگذاری فایلهای JAR اضافی از یک سرور از راه دور را دشوار کردند. تمامی این موارد تشخیص فعالیت غیر طبیعی را دشوار میکنند.
فعالیت مخرب Adwind زمانی قابل شناسایی است که اطلاعات به سرقت رفته در حال ارسال به سرور از راه دور هستند. بدافزار طی این فرایند از دستوراتی غیر از جاوا استفاده میکند. با این حال، در این مرحله آسیب مورد نظر بدافزار به پایان رسیده است.
مجرمین سایبری، گونهای از تروجان Adwind را بیش از ۵ سال برای سرقت اطلاعات احراز هویت، ثبت رخدادهای صفحه کلید، ضبط صدا و سایر اطلاعات مربوط به قربانیان استفاده میکردند.
کارشناسان معاونت بررسی مرکز افتا میگویند: بررسی ترافیک وب و ایمیل از راهکارهایی است که میتواند برای شناسایی تروجان Adwind و چنین بدافزارهایی به کار رود.