وب نوشت شخصی محمد مهدی احمدیان

از «الف» امنیت تا «ی» فلسفه زندگی - عقل معاش در کنار عقل معاد حقیقت زندگی است.

۲۳ مطلب با موضوع «امنیت :: امنیت- بدافزار» ثبت شده است

کانال عجیب چنگال دوست داشتنی و فرضیه احتمال وجود نشانه های بدافزاری

کانال عجیب چنگال دوست داشتنی و فرضیه احتمال وجود نشانه های بدافزاری

اخیرا توسط یکی از دوستان عزیزم، آقا مصطفی م.، با کانال  lovelyfork@  در تلگرام  آشنا شدم. کانال lovelyfork، کانالی است که از 21 آبان سال نود و چهار فعالیت خود را  تلگرام شروع کرده است و از آن تاریخ هر شب عکس یک چنگال تکراری را در کانالش قرار میدهد. نکته ی جالب در رابطه با این کانال تعداد اعضای آن است که هر روز در حال افزایش است!نکته دیگر اینکه دقیقا کانال مشابه ی با نام Same Photo of a Fork Everyday در فیسبوک نیز وجود دارد!

اگرچه به ظاهر عکس غالب چنگال های مشابه است اما به عنوان یک محقق امنیتی اندکی مشکوک شدم،احتمال میدهم این کانال می تواند  Master یک بدافزار(معمولا بات نت) باشد که برای  Command and Control از تکنیک هایی  اختفا اطلاعات(پنهان نگاری) مثل استگانوگرافی  درون عکس استفاده می کند و دستوراتش رو درون تصویر چنگال ها پنهان می کند؛فرصت لازم برای برسی اعتبار این فرضیه را نداشتم اما در بررسی اولیه روی برخی تصاویر چنگال ها متوجه تفاوت هایی شدم که طبیعتا برای چشم انسانی قابل تشخیص نیست و در تصویر ذیل نمونه ای از تفاوت اندازه و کد درهم سازی(MD5 hash) آنها را مشاهده می کنید:

۲ نظر موافقین ۰ مخالفین ۰
چارچوبی به منظور تشخیص باجگیرافزارها (باج افزارها)

چارچوبی به منظور تشخیص باجگیرافزارها (باج افزارها)

در این پست، ارائه جلسه دفاع کارشناسی ارشد خودم (مربوط به دو سال قبل) با موضوع «چارچوبی مبتنی بر تحلیل رفتار برنامه به منظور تشخیص باجگیرافزارها» را جهت استفاده برخی دوستان که درخواست کرده بودند قرار می دهم؛ امیدوارم که مفید باشد.


لینک به ارائه

۰ نظر موافقین ۰ مخالفین ۰
فهرست برخی مجلات معتبر حوزه امنیت اطلاعات

فهرست برخی مجلات معتبر حوزه امنیت اطلاعات

در طول  یک سال گذشته چند نفر از مخاطبان گرامی وبنوشت، لیست ژورنال های حوزه امنیت اطلاعات را تقاضا کرده بودند. ذیلا لیست برخی از ژورنال هایی که در حوزه های عمومی امنیت اطلاعات(ژورنال های معتبر و مطرح) اقدام به چاپ مقالات می کنند را قرار داده ام. چنانچه شما بزرگواران نیز ژورنال هایی را می شناسید که در این لیست نیست لطفا در همین پست اطلاع دهید تا به لیست اضافه شوند(باتشکر).

توجه: این لیست به مرور به روزرسانی می شود.

۰ نظر موافقین ۰ مخالفین ۰
ارائه صحت جریان کنترل

ارائه صحت جریان کنترل

در این پست ارائه  صحت جریان کنترل(Control Flow Integrity) را جهت استفاده علاقمندان قرار می دهم. امیدوارم که مفید باشد.


لینک ارائه

۰ نظر موافقین ۰ مخالفین ۰
باجگیر افزار (باج افزار) سامانه های کنترل صنعتی

باجگیر افزار (باج افزار) سامانه های کنترل صنعتی

همانطور که در پست  «هشدار به کارشناسان امنیت سامانه های کنترل صنعتی در مورد باجگیرافزارها » پیشبینی کرده بودم و هشدار داده بودیم باجگیرافزارهای سامانه های کنترل صنعتی رسما پا به عرصه گذاشتند. دو محقق از مؤسسه فناوری جورجیا، باجگیرافزاری آزمایشی ساخته‌اند که قادر است ضمن قطع دسترسی به دستگاه PLC تنظیمات آن را نیز تغییر دهد. این محققان این نمونه باجگیرافزار را روز دوشنبه 25 بهمن در کنفرانس RSA ارائه کردند.

در دنیای واقعی تجهیزات PLC دریچه‌ها، موتورها، پمپ‌ها، حسگرها، آسانسورها، پله‌های برقی، ورودی‌های ولتاژ، زمان‌سنج‌ها، سیستم‌های تهویه و بسیاری از سیستم‌های مکانیکی دیگر را کنترل می‌کنند.

تجهیزات PLC که در موقعیت های مختلف پراکنده‌اند خود نیز از طریق نرم‌افزارهای اسکادا که معمولاً بر روی یک کامپیوتر معمولی نصب شده‌اند توسط راهبر یا بصورت خودکار کنترل و پیکربندی می‌شوند.

۱ نظر موافقین ۰ مخالفین ۰
هشدار به کارشناسان امنیت سامانه های کنترل صنعتی در مورد باجگیرافزارها (باج افزارها)

هشدار به کارشناسان امنیت سامانه های کنترل صنعتی در مورد باجگیرافزارها (باج افزارها)

با در نظر گرفتن انگیزه‌های اقتصادی می توان به این نتیجه رسید که تنوع و پیچیدگی بدافزارها به‌صورت قابل‌توجهی افزایش پیداکرده است. برای مثال باجگیرافزار(باج افزار)های خطرناک که گونه ای نسبتاً جدید بدافزارها می باشند در اواخر سال 2012 میلادی به‌شدت رشد کرده اند. از سویی دیگر به نظر میرسید که سال 2012 مهم‌ترین سال برای باجگیرافزارها باشد اما این روند از این سال بعد کماکان ادامه پیداکرده است[1].

New Ransomware Samples

تعداد نمونه باجگیرافزارهای جدید از 2010 تا 2015 [2]


بدافزار KillDisk که قبلا به سامانه های کنترل صنعتی اوکراین خسارات بالایی را وارد کرده بود اخیرا دارای ماژول هایی جدیدی شده است که می تواند این بدافزار را تبدیل به باجگیرافزار(باج افزار) نماید. بنابراین اگرچه هنوز گزارشی رسمی  از وقوع این نوع اخاذی بر روی سامانه های کنترل صنعتی اعلام نشده است اما کارشناسان امنیت سامانه های کنترل صنعتی آگاه باشند که باجگیرافزارها  قلمرو خود را به سامانه های کنترل صنعتی نیز  گسترش داده اند؛ البته این مسئله پیش بینی هم می شد؛ چرا که سامانه های کنترل صنعتی می توانند هدف مناسب  برای طراحان باجگیرافزارها باشند زیرا که:

  • عموما سطح امنیتی سامانه های کنترل صنعتی به نسبت سطح امنیتی سامانه های عمومی حوزه ICT پایین تر است.
  •  غالب منابع  سامانه های کنترل صنعتی بسیار ارزشمند بوده و در صورت  موفقیت باجگیرافزارها در آلوده سازی این سامانه ها امکان اخاذی مبالغ بالا وجود دارد.
  • چنانچه باجگیرافزار بتواند پایداری سامانه های کنترل صنعتی را با اختلال رو به رو کند قطعا می تواند مبلغ اخاذی بالایی را مطالبه کند.
  • به نظر بنده به لحاظ اهمیت اطلاعات موجود بر روی سامانه های کنترل صنعتی احتمال اینکه در آینده باجگیرافزارها به سمت حملات اخاذی اطلاعات(به این پست مراجعه کنید) بر روی این سامانه ها حرکت کنند وجود دارد.
۰ نظر موافقین ۰ مخالفین ۰
دوره آموزشی امنیت سایبری در سامانه های صنعتی

دوره آموزشی امنیت سایبری در سامانه های صنعتی

در این پست اسلایدهای دوره آموزشی (مقدماتی)امنیت سایبری در سامانه های صنعتی (بخش مقدمات بدافزارها و تهدیدات دایمی پیشرفته ) که برای برخی  وزارت خانه ها و شرکت ها از جمله وزارت نفت و شرکت ملی گاز ارائه شده است  را برای استفاده عموم قرار می دهم. امیدوارم که مفید باشد.

امنیت سایبری در سامانه های صنعتی

لینک


مطالب مرتبط:

۲ نظر موافقین ۱ مخالفین ۰
معرفی رمزکار ویروس شناسی ،تهدیدات امنیتی، راهکاری های حفاظت و مقابله با آنها

معرفی رمزکار ویروس شناسی ،تهدیدات امنیتی، راهکاری های حفاظت و مقابله با آنها

 سمنیار « معرفی رمزکار ویروس شناسی ،تهدیدات امنیتی، راهکاری های حفاظت و مقابله با آنها » و گزارشات حاصل از آن اولین پژوهش بنده حقیر در حوزه رمزکاربدافزارشناسی به عنوان جایگاه اصلی باجگیرافزارها در سال 1392 بود که جهت استفاده علاقمندان و  محققین آن را منتشر می کنم، امیدوارم که مفید باشد.

برخی دستاوردهای حاصل از این پژوهش (البته با تصحیح ایرادات) در آثار ذیل چاپ و منتشر شده اند:

۰ نظر موافقین ۰ مخالفین ۰
اطلاع نگاشت (اینفوگرافیک) آینده پژوهشی حوزه بدافزارها و ضدبدافزارها

اطلاع نگاشت (اینفوگرافیک) آینده پژوهشی حوزه بدافزارها و ضدبدافزارها


مهرماه سال ۹۳ بود که در راستای تز کارشناسی ارشد خود آینده پژوهی در حوزه بدافزارهای و ضد بدافزارها انجام دادم. اطلاع نگاشت (Infograpich) ذیل بخشی از خروجی این کار بود.در این اطلاع نگاشت وضعیت بدافزارها و ضدبدافزارها در سه بازه زمانی گذشته، حال و آینده ترسیم شده است. به عنوان نمونه بر اساس پیش بینی های این آینده پژوهی تصور شد که در آینده نزدیک شاهد گسترش خدمات مجرمانه به عنوان  یک سرویس در حوزه بدفزارها از جمله باجگیرافزارها باشیم. حدود ۴ ماه بعد شاهد شناسایی اولین پایگاه خدمات باجگیرافزار به عنوان  یک سرویس (ransomware as a service) تحت عنوان TOX Virus توسط شرکت مکافی بودیم. جهت مشاهده اطلاع نگاشت با اندازه بزرگتر بر روی تصویر ذیل کلیک نمایید.

آینده پژوهی بدافزارها و ضدبدافزارها

۰ نظر موافقین ۰ مخالفین ۰
الگوریتم‌های تولید دامنه (DGA) در بدافزارها

الگوریتم‌های تولید دامنه (DGA) در بدافزارها

الگوریتم­های تولید دامنه(Domain generation algorithm ) ، قطعه کد­هایی هستند که امروزه باهدف تولید تعداد زیادی از دامنه ­های اینترنتی به‌صورت دوره­ای در بدافزارهای متعددی مورداستفاده قرار می­گیرند. هدف اصلی استفاده از این الگوریتم­ ها این بوده است که  بدافزارها در برابر روش‌های شناسایی لیست ایستای آدرس­های دامنه که به‌راحتی توسط مکانیزم‌های امنیتی لیست سفید و سیاه شناسایی می­شوند از درجه محافظت بالاتری برخوردار شوند. ازآنجایی‌که دامن ه­های تولیدی توسط این ­الگوریتم­های عموماً شبه تصادفی هستند و فرکانس تولید دامنه توسط این الگوریتم­ ها بسیار بالا است این الگوریتم ­ها توسط مکانیزم­های امنیتی لیست سیاه‌ وسفید کنونی به راحتی  شناسایی نمی­شوند و همین امر سبب شده است بسیاری از بدافزارها  به ویژه باجگیرافزارها و بات نت ها به طرق مختلف از این دامنه ­های استفاده نمایند. در کد ذیل نمونه‌ای از الگوریتم ­های تولید خودکار دامنه در بدافزارها آورده شده است.

کد ‏21: یک نمونه شبه کد الگوریتم DGA

suffix = ["anj", "ebf", "arm", "pra", "aym", "unj","ulj", "uag", "esp", "kot", "onv", "edc"]

 

def generate_daily_domain():

 t = GetLocalTime()

 p = 8

 return generate_domain(t, p)

def scramble_date(t, p):

 return (((t.month ^ t.day) + t.day)*p) +t.day + t.year

 

def generate_domain(t, p):

 if t.year < 2014:

 t.year = 2014

 s = scramble_date(t, p)

 c1 = (((t.year >> 2) & 0x3fc0) + s) % 25 + ’a’

 c2 = (t.month + s) % 10 + ’a’

 c3 = ((t.year & 0xff) + s) % 25 + ’a’

 if t.day*2 <0|| t.day*2 >9:

 c4 = (t.day*2) % 25 + ’a’

 else:

 c4 = t.day% 10 +1

 return c1 +’h’+c2+c3+’x’+c4+suffix[t.month - 1]

 

ازآنجایی‌که طراح یا کنترل‌کننده باجگیرافزار از الگوریتم جاسازی‌شده در باجگیرافزارها ی خود اطلاع دارد برخی از دامنه ­هایی را که به‌صورت قطعی الگوریتم تولید می­کند را به کمک روش‌های ثبت دامنه در لحظه[1] و آماده خدمات‌دهی به باجگیرافزارهای مورد هدف می­کند. ازآنجایی‌که عموماً تعداد دامنه ­های تولیدی بسیار بالا می­باشد اتخاذ تصمیمات و اعمال مکانیزم­های امنیتی و پلیسی برای شناسایی و انهدام سرور­های فرمان و کنترل کاری بسیار دشوار به‌حساب می­ آید. از این دامنه‌ها طراحان بدافزار استفاده‌های متعددی ازجمله ارسال فرمان و دریافت اطلاعات و به­روزرسانی بدافزارهای خود می‌نمایند. در بدافزارهای پیشرفته‌تر حتی شنود و رهگیری بستر ارتباطی با این دامنه ها نیز در بسیاری از موارد ناکارآمد است چراکه در این موارد بدافزارهای از مکانیزم های حفظ محرمانگی و حتی صحت داده‌ها نظیر سیستم‌های رمزنگاری کلید عمومی بهره می‌برند.


منبع: احمدیان، محمد مهدی، چارچوبی مبتنی بر تحلیل رفتار برنامه به‌منظور تشخیص باجگیر‌افزارها,پایان‌نامه کارشناسی ارشد دانشکده مهندسی کامپیوتر و فناوری اطلاعات، دانشگاه صنعتی امیرکبیر تهران، ایران،1394


[1] just in time registration

۰ نظر موافقین ۰ مخالفین ۰