توضیحاتی در مورد ویروس Shortcut

[Magsoud]

با توجه به مطلبی که در لینک زیر در مورد Shortcut Virus عنوان شد ، لازم دیدم که نکاتی را در اینمورد عرض کنم
http://www.ariadl.ir/showthread.php?...642#post327642

===============

شرکت امنیتی Symantec در رابطه با این ویروس چنین می نویسد :
=====================
ترجمه مفهومی و خلاصه از مطلب
=====================
وجودش تقریبا" حول وحوش 13 جولای 2010 کشف شد.
در منابع مربوطه بیشتر با نام Stuxnet شناخته شده ولی بنام های زیر هم شناخته می شود:

Troj/Stuxnet-A [Sophos], W32/Stuxnet-B [Sophos], W32.Temphid [Symantec], 
WORM_STUXNET.A [Trend], Win32/Stuxnet.B [Computer Associates], 
Trojan-Dropper:W32/Stuxnet [F-Secure], Stuxnet [McAfee], W32/Stuxnet.A [Norman], 
Rootkit.Win32.Stuxnet.b [Kaspersky], Rootkit.Win32.Stuxnet.a [Kaspersky]

در تمام ویندوز های از ویندوز 95 تا ویندوز 7 دیده شده است.
یک نوع کرم اینترنتی است که هدفش کارخانه های صنعتی بوده و ظاهرا" بیشتر کارخانجات هسته ای مورد نظرش
بوده و سعی میکند که کنترل کار را بدست بگیرد و نیز اطلاعات لازم را بدست آورده و به مرکزی ارسال می کند.

مشخصات سازندگانش مشخص نبوده ولی آنچه واضح است اینه که چیزی نیست که بتوان در مدت زمان کوتاهی ساخت
و مسلم است که اشخاصی کاملا" ماهر روی ساخت آن دوره دیده و کار کرده اند.

Stuxnet اولین ویروسی هست که از سیستم شورت کات در ویندوز بهره برده و تکثیر میشود.
Stuxnet یک کپی از خودش را در درایو هائیکه به کامپیوتر وصل میشوند ،کپی میکند. که کد مربوط به اجرایش در
شورت کات میباشد.

تذکر اینکه این کرم از چند سرویس دیگر ویندوز هم استفاده کرده و نیز خود را به داخل تمام کامپیوتر های دیگری که
با کامپیوتر مربوطه بصورت شبکه هستند و رمز ضعیفی دارند نیز کپی میکند.

کرم اولیه ساخته شده مخصوص کارخانجات صنعتی بوده ولی در ورژن های بعدی کامپیوتر های عادی را هم مورد
حمله قرار می دهد.

بیشتر در کشور های ایران و اندونزی و هند دیده می شود.که درصد دیده شده در کشور های مختلف بصورت زیر است:
ایران 58.84 درصد
اندونزی 18.22 درصد
هند 8.31 درصد
آذربایجان 2.57 درصد
USA 1.65 درصد
پاکستان 1.28 درصد
جا های دیگر 9.20 درصد

این کرم معمولا" در کارخانه های اصطلاحا" SCADA وارد شده و این قابلیت را دارد که برنامه نویسی هم کرده و کد
ایجاد شده را به سیستم برنامه ریز شرکت (PLC ) اضافه کند.

برای جلوگیری از نفوذ این کرم و یا به حداقل رسانیدن آلودگی به آن موارد زیر پیشنهاد شده است:
__ چون کرم از طریق USB و شبکه سیستم ها را آلوده میکند، بنابراین توجه کاربر که از فلاش های مشکوک استفاده
نکند مهم است.
__ ضد ویروس ها آپدیت بوده و از برنامه هائی در سیستم استفاده شود که کرک شده نباشند.
__ پچ های امنیتی زیر حتما" در سیستم نصب شوند:
http://technet.microsoft.com/en-us/s...letin/MS10-046
http://technet.microsoft.com/en-us/s...letin/ms08-067
http://technet.microsoft.com/en-us/s...letin/MS10-061

__ در فایروال خود آدرس های زیر را مسدود کنید
www.mypremierfutbol.com
www.todaysfutbol.com
__ در شبکه های خود از پسورد هایی با بیش از 8 کارکتر استفاده نمائید که مخلوطی از حروف و اعداد و سمبول
ها باشد.
__ گرچه غیر عملیاتی بودن اتو ران جلوی کار این کرم را نمیگیرد ولی بهر حال بهتر است غیر عملیاتی باشد.
__ بهتر است کامپیوتر خود را طوری تنظیم کنید که در مقابل ابزار USB بصورت Read Only عمل کنند.(در اینمورد
به لینک زیر مراجعه فرمائید)

کنترل دسترسی به ابزار usb توسط تنظیمات رجستری

سعی میکنم در زمانی دیگر بقیه مطلب را هم عرض کنم

[eDvArDo]

سلام

استاد جان، این توضیحات (

Stuxnet) با ویروس

Shortcut Virus چه تشابهی داره؟ چون بنده لینک دادنش به اینجارو متوجه نشدم!
(نکنه بازم ضایع کردم

)
سپاس

[Magsoud]

...

eDvArDo عزیز
Stuxnet همان ویروس Shortcut است

[Mahm00d]

سلام
با تشکر از استاد گرامی ...
استاد تا اونجایی که یادم هست ویروس اکستاکس نت پسوندش tmp بود و به همین خاطر خیلی معروف شد چون حداقل من که با این پسوند تا بحال ویروسی ندیده بودم !
ویروس اکستاکس نت همان گونه که نوشتید به plc های زیمنس حمله می کرد و اطلاعاتشان را به سروش می فرستاد به همین خاطر بسیاری از اطلاعات شرکت های ایرانی لو رفت!

[Magsoud]

این کرم به روش های مختلفی سیستم ها را آلوده می سازد که عبارتند از:
1. __ استفاده از آسیب پذیری های سیستم. مثلا" تا زمانیکه این کرم نبود ،کسی از ضعف موجود در چگونگی کار
سیستم شورت کات در ویندوز مطلع نبود
(Microsoft Windows Shortcut 'LNK/PIF' Files Automatic File Execution Vulnerability (BID 41732)

این کرم دقیقا" الگوریتم ویندوز برای شورت کات را بکار میبرد (که این ویژگی ویندوز بصورت ریموت قابل کنترل است )
و خودش را به درایو های قابل حمل با نام های زیر کپی میکند

~WTR4132.tmp
~WTR4141.tmp

هردو فایل شدیدا" کد بندی شده و در اصل هردو ، فایل های DLL هستند
همچنین در درایو مذکور فایل های زیر را ایجاد میکنند:

Copy of Shortcut to.lnk
Copy of Copy of Shortcut to.lnk
Copy of Copy of Copy of Shortcut to.lnk
Copy of Copy of Copy of Copy of Shortcut to.lnk

حالا وقتیکه کاربر بهر طریقی وارد درایو فوق بشود ، سیستم عوض نشان دادن آیکن های فایل های گفته شده ، کد
موجود در فایل اول گفته شده در بالا ( ~WTR4132.tmp) را اجرا میکند.و این فایل هم فایل دوم (WTR4141.tmp) را
راه اندازی مینماید که در حافظه بار میشود و راحت مردم آزاری میکند

نکته جالب این است که اگر این فایل را آزمایش کنی می بینی مطابق شکل زیر مارک معتبر بودن از یک شرکت معتبر
را دارد!



چگونگی قابل کنترل بودن این خاصیت بطریق ریموت در لینک زیر در زبانه های مختلف صفحه صحبت شده است

http://www.securityfocus.com/bid/31874/info

البته از بعضی سرویس های دیگر ویندوز نیز بهمین روش استفاده میکند که بخاطر کم نگهداشتن حجم مطلب در
موردشان صحبت نمیکنم.برای مثال از ویژگی Microsoft Windows Print Spooler Service Remote Code استفاده
میکند که اجازه میدهد بتواند فایل هائی در پوشه سیستم ساخته شود و از آنجا مثل فایل های معمول سیستمی
عمل کرده و خودش را به سیستم های قربانی کپی نماید.

2.__ روش دیگری که برای آلوده کردن بکار میگیرد ، استفاده از اشتراک های شبکه ای ( Network Shares) است.
در شبکه ها خود را با نام زیر وارد میکند

“DEFRAG[RANDOM NUMBER].tmp 

که این فایل هم در اصل یک فایل DLL است که پس از کپی شدن ، اجرا شده و ماموریتش را شروع میکند.

بعضی از فعالیت های دیگر این کرم بشرح زیر است:

_ ممکن است فایل های زیر در بعضی سیستم های آلوده دیده شوند:

%System%\drivers\mrxcls.sys
%System%\drivers\mrxnet.sys 
%DriveLetter%\~WTR4132.tmp
%DriveLetter%\~WTR4141.tmp
%DriveLetter%\Copy of Shortcut to.lnk
%DriveLetter%\Copy of Copy of Shortcut to.lnk
%DriveLetter%\Copy of Copy of Copy of Shortcut to.lnk
%DriveLetter%\Copy of Copy of Copy of Copy of Shortcut to.lnk
%Windir%\inf\oem6C.PNF
%Windir%\inf\oem7A.PNF
%Windir%\inf\mdmcpq3.PNF
%Windir%\inf\mdmeric3.PNF

__ ظاهرا" نه فایلی را در سیستم پاک میکند و نه فایلی را تغییر میدهد.
__ ورودی های زیر را در رجستری سیستم وارد میکند:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MRxCls\"ImagePath" = "%System%\drivers\mrxcls.sys"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MRxNet\"ImagePath" = "%System%\drivers\mrxnet.sys"

__ از پروسه های ویندوز ، پروسه های iexplorer.exe و lsass.exe را برای تزریق کدهایش بکار میگیرد.
__ پس از نفوذ به کامپیوتر سالم فایل های زیر را که کپی های خودش هستند قرار میدهد

%System%\drivers\mrxcls.sys 
%System%\drivers\mrxnet.sys 

که بعد این فایل ها را ثبت کرده و با استفاده از تغییرات رجستری که در بالا گفته شد از آن ها بصورت سرویس استفاده میکند.
__ همچنین فایل های زیر را که کپی کدبندی شده خودش هستند را به سیستم اضافه میکند:

%Windir%\inf\oem6C.PNF
%Windir%\inf\oem7A.PNF
%Windir%\inf\mdmcpq3.PNF
%Windir%\inf\mdmeric3.PNF

زمانیکه سعی در پاک کردن سیستم بکنیم و بعضی کپی های این کرم را حذف نمائیم فایل (mrxcls.sys) که در سطور
بالا در موردش صحبت کردیم ، فایل های بالا را از کدبندی درآورده و مجددا" سیستم را آلوده میکند

[Magsoud]

این کرم قادر است فایل هائی را از سرور C&C دانلود کرده و در کامپیوتر قربانی اجرا نماید.
میتواند اطلاعات جمع آوری شده از کامپیوتر قربانی را به سرور مربوطه ارسال نماید.
با استفاده از پورت 80 معمولا" با لینک های زیر ارتباط برقرار میکند:

www.mypremierfutbol.com
www.todaysfutbol.com

پس از ارسال اطلاعات به لینک های مختلف سرور مربوطه (C&C) ، از سرور دستورات لازم برای اجرا را دریافت و اجرا
میکند.

اعمالی که این کرم در کامپیوتر قربانی انجام می دهد و یا میتواند انجام دهد بسیار زیاد بوده و خارج از حوصله و گاها"
خارج از درک بنده هستند.
لذا فقط به چند عمل دیگر این کرم اشاره کرده و تاپیک را بپایان میرسانم:

این کرم درجه امنیتی سیستم را با تزریق کدش در فایل iexplorer.exe پائین می آورد تا بتواند از سد فایروال رد شود.

پروسه های امنیتی زیر را خاموش میکند:

vp.exe
Mcshield.exe
avguard.exe
bdagent.exe
UmxCfg.exe
fsdfwd.exe
rtvscan.exe
ccSvcHst.exe
ekrn.exe
tmpproxy.exe

در کل با مطالب فراوان ومتنوعی که در مورد این کرم گفته شده ، اگر سیستم بنده به این کرم آلوده شود ، ترجیح
میدهم که سیستمم را از نو پارتیشن بندی کرده و ویندوز جدید نصب نمایم.
چون بنظر میرسد آنقدر خرابکاری های معلوم و غیر معلوم در سیستم وجود دارد که حتی با پاک کردن سیستم از این
ویروس ، باز هم سیستم کامل و درست کار نخواهد کرد.