کشف بدافزار ایرانی مارمولک/ شناسایی از طریق صفحه کلید

به گزارش خبرنگار علمی «خبرگزاری دانشجو»، نخستین ظهور keylogger ها (نرم افزار ثبت ضربات صفحه کلید) به یک فروم در خاورمیانه باز می‌‌گردد. اگرچه ممکن است برخی keylogger ها ضربات صفحه کلید را برای مقاصد قانونی ثبت کند اما این نرم‌افزار قربانیان خود را با یک payload پنهان گمراه می‌سازد.

 

به نظر می‌رسد که تولید کننده این بدافزار با قرار دادن آن در فروم مذکور، قصد حمله به سایر اعضای این فروم را داشته است که این کار تکنیکی مرسوم است.

 

نویسندگان بدافزارها اغلب برای جلوگیری از شناسایی شدن، از ابزارهای ارزان و ساده‌ای استفاده می‌کنند که بدافزار را با یک برنامه فشرده سازی یا رمزگذاری، تغییر می‌دهد. البته در این مورد خاص، فایل‌های مرتبط توسط یک نسخه تغییر یافته از ابزار مشهور UPX پنهان شده‌اند.

 

برهمین اساس این فایل در هنگام اجرا یک کپی از خود با نام Mcsng.sys در فولدر Sysytem32 ایجاد می‌کند. این بدافزار همچنین پروسه‌ای را اجرا می‌کند که فایل 1stmp.sys را در فولدر system32\config جایگذاری کرده و می‌نویسد.

 

اگرچه پسوند این فایل .sys (فایل سیستمی) است، اما در حقیقت این فایل سیستمی نیست. هدف این فایل این است که به عنوان یک فایل لاگ عمل کند که محتوی ضربات صفحه کلید کاربر است که به صورت رمز شده ذخیره شده‌اند. هربار که یک کلید فشرده می‌شود، این پروسه ضربات صفحه کلید را ثبت می‌کند، آن را رمز کرده و به 1stmp.sys اضافه می‌کند.

 

اگرچه الگوریتم رمزگذاری مورد استفاده برای این کار ساده است، ولی از رمزگذاری انتخابی با دو تکنیک استفاده می‌کند. هر بایت درصورتی‌که فرد باشد با استفاده از تکنیک یک رمز می‌شود و درصورتی‌که زوج باشد، با استفاده از تکنیک 2 رمزگذاری خواهد شد.

 

پس از رمزگشایی نه تنها ضربات صفحه کلید بلکه اطلاعات زمانی ثبت این اطلاعات نیز قابل مشاهده است. پس از ثبت و رمز گذاری ضربات صفحه کلید، این بدافزار این اطلاعات را برای نویسنده خود ایمیل می‌کند. این بدافزار همچنین نام کامپیوتر و نام کاربر را نیز برای سازنده خود می‌فرستد. لاگ رمز شده به آدرس marmoolak@red-move.tk ارسال می‌شود که بر روی دامنه‌ای میزبانی قرار می‌گیرد که به میزبانی بدافزارها مشهور است.

 

مک‌آفی این تروجان keylogger و نسخه‌های مختلف آن را با عنوان Keylog-FAG می‌شناسد. برای جلوگیری از آلوده شدن توسط انواع keylogger ها، باید آنتی‌ویروس خود را به‌روز نگه دارید و از منابع نامطمئن دانلود نکنید.