بدافزار Glupteba، سارق بیت‌کوین و عامل نفوذ به مسیریاب‌های میکروتیک شناسایی شد
تاریخ انتشار
شنبه ۲۳ شهريور ۱۳۹۸ ساعت ۱۷:۰۱
آی‌تی‌من- به گزارش مرکز افتا، به نقل از وب‌سایت BleepingComputer، بدافزار Glupteba قبلا به عنوان payload ثانویه تروجان Alureon توزیع می‌شد. این تروجان در سال ۲۰۱۱ به منظور انجام فرایند سرقت کلیک طراحی شده بود. همچنین عوامل تهدید عملیات Windigo در سال ۲۰۱۴ از این بدافزار استفاده کردند. علاوه‌بر این، در سال ۲۰۱۸ از این بدافزار در یک عملیات مخرب دیگر نیز استفاده شده بود.
پژوهشگران Trend Micro اخیرا نوع جدیدی از Glupteba را کشف کرده‌اند که به عنوان آگهی‌افزار عمل می‌کند اما دو ماژول دیگر در خود جای داده است. ماژول اول به‌روزرسانی‌کننده آدرس سرورهای C&C توسط زنجیره بلوک بیت‌کوین است که یک سارق اطلاعات و ماژول دوم اکسپلویتی برای هدف قرار دادن مسیریاب‌های میکروتیک محلی است.
دیاگرام حمله
هنگامی که بدافزار یک رایانه را آلوده می‌کند، شروع به جمع‌آوری اطلاعات سیستم می‌کند و آن‌ها را در رجیستری ویندوز ذخیره می‌کند. این داده‌ها بعدا با AES رمزگذاری شده و توسط درخواست POST به سرور C&C ارسال می‌شوند. این بدافزار همچنین از چندین روش برای بالا بردن سطح دسترسی خود استفاده می‌کند تا مجوزهای سطح SYSTEM را بدست آورد و توابع طراحی شده برای بررسی وجود نرم‌افزارهای ضدبدافزار، دستکاری قوانین دیوارآتش و بررسی دستورات جدید سرور C&C را اجرا کند.
Glupteba دارای قابلیت درپشتی است که به مهاجمین اجازه می‌دهد تا دستگاه آلوده را به یک ربات کاوش رمزارز XMR تبدیل، فایل‌های مختلف را بارگیری و اجرا کنند، از صفحه نمایش اسکرین‌شات بگیرند و موارد مخرب دیگر انجام دهند. مولفه سارق اطلاعات بدافزار نیز می‌تواند پرونده‌ها، کوکی‌ها، گذرواژه‌ها و سایر اطلاعات را از مرورگرها دریافت کند.
ماژول مربوط به مسیریاب‌های میکروتیک این بدافزار آسیب‌پذیری CVE-۲۰۱۸-۱۴۸۴۷ را هدف قرار می‌دهد و پس از نفوذ موفق، اطلاعات احرازهویت مسیریاب را به سرور C&C ارسال می‌کند. عوامل مخرب مسیریاب مورد نفوذ را به عنوان یک پراکسی SOCKS پیکربندی می‌کنند تا ترافیک مخرب را از آن عبور دهند.
نشانه‌های آلودگی (IOC):
هش‌ها:
Glupteba دارای قابلیت درپشتی است که به مهاجمین اجازه می‌دهد تا دستگاه آلوده را به یک ربات کاوش رمزارز XMR تبدیل، فایل‌های مختلف را بارگیری و اجرا کنند، از صفحه نمایش اسکرین‌شات بگیرند و موارد مخرب دیگر انجام دهند. مولفه سارق اطلاعات بدافزار نیز می‌تواند پرونده‌ها، کوکی‌ها، گذرواژه‌ها و سایر اطلاعات را از مرورگرها دریافت کند.
ماژول مربوط به مسیریاب‌های میکروتیک این بدافزار آسیب‌پذیری CVE-۲۰۱۸-۱۴۸۴۷ را هدف قرار می‌دهد و پس از نفوذ موفق، اطلاعات احرازهویت مسیریاب را به سرور C&C ارسال می‌کند. عوامل مخرب مسیریاب مورد نفوذ را به عنوان یک پراکسی SOCKS پیکربندی می‌کنند تا ترافیک مخرب را از آن عبور دهند.
نشانه‌های آلودگی (IOC):
هش‌ها:
• ۵۴۸۶f۰۷cccc۳۰۰dd۹۳۹b۴۹۳۶daeb۳۷b۸۳d۴c۸۱۸d۱۷۳۵۴۷۰bf۷۹۱b۶fd۱۱۲db۲۵d
• ab۵۴f۳f۴۸۵۱aa۰۶ce۶eccafc۹۲۲f۰fba۶e۵۳۸۷bd۰۲۲۰fb۲fbd۴۵۶۳۲a۶fe۶ace۷
• ۲۰e۹۸۳e۹۰۱۴۴c۳۸۵۹۹۶eeb۲edb۵۸۴d۶۵۴d۸۹۸c۳۴۷۲۵e۱۴۹۶۸۲۱۷۰f۸۷۰ee۱۲۸۷۰
• ۴۶f۸d۴dcdbec۷۵۲ba۵۷a۶۸۲d۶۲۲۶۵۲۲۱e۰a۲db۶۷a۳۷b۵ccd۸۵۱dcb۴۴b۹۰۷a۳۲d
• ۱e۷۱۹۶۵e۲۰aa۵۰df۲۱۳۷۵a۱db۰۰۳e۹۲۸۲۳abacac۱c۱۸۵۰c۲d۰۹۲۲d۴۳۴۲۰e۲d۳۰
• ۶۹c۴۰f۹۷۱۴۰۲۹۴۵d۱۸۸a۶۶e۱fd۹۱۱۷۹۶۵fd۷c۱۱af۷۱۵۱۴e۳f۸۱۵۲a۹c۸۷۳b۶۰۰d
• b۵۶۲ad۸c۷۴۰ba۴۵۴۹be۹c۷dc۶۹۳c۱f۷۷bd۲ba۳bac۳۳۱۲۸۷۶۹d۵a۷e۰۷۹bfdedec
• ۰dedb۷۰۳da۸d۷aeae۵d۶f۶da۳e۳۷b۳d۳fc۴۲d۰۸۷۲b۸۴۷۰a۸۱۰۶۶a۴۴۹۱f۲۴۵۵f۲
• ۰۷d۱ea۵c۰b۴a۱b۴۳۷d۲۱۴۶fd۹c۹۱۸d۷۲a۱۶c۲۹۵۰d۲۴d۴c۷f۱f۹۵f۸۴۰۹d۲۶۱۹b۳
دامنه‌ها و IPها:
• ۵[.]۹[.]۱۵۷[.]۵۰
• keepmusic[.]xyz
• playfire[.]online
• venoxcontrol[.]com
• okonewacon[.]com
• blackempirebuild[.]com
• bigtext[.]club
• clubhouse[.]site
• nxtfdata[.]xyz
• lienews[.]world
• phonemus[.]net
• akebad۱[.]com
