باج افزار

باج افزار چيست؟

باج‌افزار، نوعي بدافزار است كه كاربران را از دسترسي به سيستم يا فايل‌هاي شخصي خود بازمي‌دارد و براي دسترسي مجدد درخواست باج مي‌كند. درحالي‌كه برخي از مردم ممكن است فكر كنند “ويروس كامپيوتر من را قفل كرده است”، باج‌افزار معمولاً به‌عنوان يك بدافزار متفاوت از ويروس طبقه‌بندي مي‌شود. اولين گونه‌هاي باج‌افزار در اواخر دهه ۱۹۸۰ توسعه يافتند. امروزه، درخواست پول از طريق ارز ديجيتال توسط مهاجمان به افراد، مشاغل و سازمان‌هاي مختلف را هدف قرار مي‌دهند صورت مي‌گيرد. برخي از نويسندگان باج‌افزار اين سرويس را به مجرمان سايبري ديگر مي‌فروشند كه با نام Ransomware-as-a-Service يا RaaS شناخته مي‌شود.

باج گيري اينترنتي

به‌بيان‌ديگر باج‌افزار بدافزاري است كه براي ممانعت از دسترسي كاربر يا سازمان به فايل‌هاي رايانه‌شان طراحي‌شده است. اين بدافزارها با رمزگذاري اين فايل‌ها و درخواست پرداخت باج براي دريافت كليد رمزگشايي، سازمان‌ها را در موقعيتي قرار مي‌دهند كه پرداخت باج ساده‌ترين و ارزان‌ترين راه براي دسترسي مجدد به فايل‌هايشان است. برخي از انواع باج افزارها، قابليت‌هاي اضافي مانند سرقت داده‌ها را اضافه كرده‌اند تا براي قربانيان باج‌افزار انگيزه بيشتري براي پرداخت باج فراهم كنند.

حملات باج افزاري از چه طريقي صورت مي‌گيرند

هرزنامه

هرزنامه يا spam mail يكي از روش‌هاي مرسوم حملات باج افزارها است. برخي از عوامل تهديد از هرزنامه استفاده مي‌كنند، جايي كه ايميلي را با يك پيوست مخرب براي عده زيادي از افراد ارسال مي‌كنند و مي‌بينند چه كسي پيوست را باز مي‌كند و به‌اصطلاح «طعمه را مي‌گيرد». هرزنامه مخرب يا malspam ايميل ناخواسته‌اي است كه براي ارسال بدافزار استفاده مي‌شود. اين ايميل ممكن است شامل پيوست هاي معمولي مانند فايل‌هاي PDF يا Word باشد. همچنين ممكن است حاوي پيوندهايي به وب‌سايت‌هاي مخرب باشد.

تبليغات آلوده

يكي ديگر از روش‌هاي رايج انتشار، تبليغات آلوده است. تبليغات آلوده به بدافزار است، استفاده از تبليغات آنلاين براي توزيع بدافزار بدون نياز به تعامل كاربر نيز امكان‌پذير است. در حين جستجو در صفحات وب، حتي سايت‌هاي قانوني، ممكن است كاربران حتي بدون كليك بر روي آگهي به سرورهاي مجرم هدايت شوند. اين سرورها جزئيات مربوط به رايانه‌هاي قرباني و مكان آن‌ها را فهرست بندي مي‌كنند و سپس بدافزار مناسب براي حمله را انتخاب مي‌كنند.

بدافزارها معمولاً از يك نمايه Iframe آلوده يا يك عنصر مخفي وب براي اهداف خود استفاده مي‌كنند. نمايه آلوده قرباني را به يك صفحه فرود جديد هدايت كرده و با استفاده از exploit kit كدهاي مخرب را به قرباني منتقل مي‌كند. اين اتفاق معمولاً بدون اينكه قرباني از حمله مطلع شده باشد در پي يك واكنش مانند فشردن دگمه دانلود اتفاق مي‌افتد.

 رمزگيري

يك وسيله هدفمندتر براي حمله باج‌افزار از طريق نيزه رمزگيري Spear phishing است. نمونه‌اي از رمزگيري مي‌تواند ارسال ايميل به كارمندان يك شركت خاص باشد، با اين ادعا كه مديرعامل از شما مي‌خواهد در نظرسنجي مهم كارمندان شركت كنيد، يا بخش منابع انساني از شما مي‌خواهد كه يك خط‌مشي جديد را دانلود و بخوانيد. اصطلاح “صيد نهنگ” براي توصيف چنين روش‌هايي استفاده مي‌شود كه هدف آن تصميم‌گيرندگان سطح بالا در يك سازمان، مانند مديرعامل يا ساير مديران اجرايي است.

تفاوت اين روش با هرزنامه‌ها در اين است كه در هرزنامه حملات به‌صورت انبوه و غير هدفمند صورت مي‌گيرد ولي درروش رمزگيري مخاطبان حمله دست‌چين شده و منحصر به يك گروه يا سازمان خاص هستند.

مهندسي اجتماعي

مهاجمين ممكن است از مهندسي اجتماعي براي فريب دادن افراد براي باز كردن پيوست‌ها يا كليك كردن بر روي پيوندها با نشان دادن مشروعيت خودشان استفاده كنند. ممكن است خود را به‌جاي يك موسسه قابل‌اعتماد يا يك دوست جا بزنند. مجرمان سايبري از مهندسي اجتماعي در انواع ديگر حملات باج‌افزار استفاده مي‌كنند، مثلاً انتشار نسخه رايگان يك كتاب موردنياز گروهي از دانشجويان يك رشته خاص.

مثال ديگري از مهندسي اجتماعي اين است كه يك عامل تهديد اطلاعاتي را از پروفايل‌هاي عمومي رسانه‌هاي اجتماعي شما در مورد علايق شما، مكان‌هايي كه اغلب بازديد مي‌كنيد، شغلتان و غيره جمع‌آوري كند و از برخي از اين اطلاعات براي ارسال پيامي كه براي شما آشنا به نظر مي‌رسد استفاده كند.

روش مهندسي اجتماعي باعث ايجاد اعتماد لحظه‌اي و به تبعان غفلت قرباني و ورود به صفحه يا دانلود فايل آلوده مي‌شود.

باج‌افزار چگونه كار مي‌كند

براي موفقيت، باج‌افزار بايد به يك سيستم هدف دسترسي پيدا كند، فايل‌ها را در آنجا رمزگذاري كند و از قرباني باج بگيرد.

درحالي‌كه جزئيات پياده‌سازي از يك نوع باج‌افزار به باج‌افزار ديگر متفاوت است، همه سه مرحله بنيادين يكساني دارند.

مرحله ۱٫ آلوده نمودن سيستم

باج‌افزار، مانند هر بدافزار، مي‌تواند به روش‌هاي مختلف به دستگاه‌هاي سازمان دسترسي پيدا كند. بااين‌حال، اپراتورهاي باج‌افزار تمايل دارند چند روش خاص را ترجيح دهند.

يكي ديگر از روش‌هاي آلود سازي محبوب توسط باج‌افزار مورداستفاده توسط مهاجمين زماني است كه قرباني از خدماتي مانند پروتكل دسكتاپ از راه دور Remote Desktop Protocol (RDP) بهره مي‌برد. با RDP، مهاجمي كه اطلاعات ورود يك كارمند را به سرقت برده يا حدس زده است، مي‌تواند از آن‌ها براي احراز هويت و دسترسي از راه دور به يك رايانه در شبكه سازماني استفاده كند. با اين دسترسي، مهاجم مي‌تواند مستقيماً بدافزار را وارد كرده و آن را بر روي دستگاه تحت كنترل خود اجرا كند.

مرحله ۲٫ رمزگذاري داده‌ها

پس‌ازاينكه باج‌افزار به يك سيستم دسترسي پيدا كرد، مي‌تواند رمزگذاري فايل‌هاي خود را آغاز كند. ازآنجايي‌كه قابليت رمزگذاري در يك سيستم‌عامل تعبيه‌شده است، مهاجم به‌سادگي مي‌تواند به فايل‌ها دسترسي پيداكرده و آن‌ها را با كليدي كه تنها در اختيار خود اوست رمزگذاري نموده و با فايل‌هاي اصلي جايگزين نمايد. برخي از باج افزارها فايل‌هاي پشتيان موجود را نيز از سيستم به‌طور دائم حذف مي‌كنند.

رمز گذاري

مرحله ۳٫درخواست باج

هنگامي‌كه رمزگذاري فايل كامل شد، باج‌افزار براي درخواست باج آماده مي‌شود. انواع مختلف باج‌افزار اين كار را به روش‌هاي متعددي اجرا مي‌كنند، معمولاً تغيير پس‌زمينه نمايش به يادداشت باج يا درج فايل‌هاي متني در هر فهرست رمزگذاري‌شده حاوي يادداشت باج، متداول است.

به‌طورمعمول، اين يادداشت‌ها درازاي دسترسي به فايل‌هاي قرباني، مقدار مشخصي ارز ديجيتال را طلب مي‌كنند. اگر باج پرداخت شود، اپراتور باج‌افزار يا يك كپي از كليد خصوصي مورداستفاده براي محافظت از كليد رمزگذاري متقارن يا يك كپي از خود كليد رمزگذاري متقارن ارائه مي‌دهد. اين اطلاعات را مي‌توان در يك برنامه رمزگشا (كه توسط مجرم سايبري نيز ارائه مي‌شود) وارد كرد كه مي‌تواند از آن براي معكوس كردن رمزگذاري و بازگرداندن دسترسي به فايل‌هاي كاربر استفاده كند.

درحالي‌كه اين سه مرحله اصلي در همه انواع باج‌افزار وجود دارد، باج‌افزارهاي مختلف مي‌توانند شامل پياده‌سازي‌هاي متفاوت يا مراحل اضافي باشند. براي مثال، انواع باج‌افزار مانند Maze، اسكن فايل‌ها، اطلاعات رجيستري و سرقت داده‌ها را قبل از رمزگذاري داده‌ها انجام مي‌دهند، و باج‌افزار WannaCry ساير دستگاه‌هاي آسيب‌پذير را براي آلوده كردن و رمزگذاري اسكن مي‌كند.

حملات مشهور باج افزارها

 حمله باج افزار به مدارس دولتي بوفالو

انواع باج افزارها ازنظر عملكرد

باج افزارهاي رمزنگاري يا رمزگذارها encryptors

يكي از شناخته‌شده‌ترين و مخرب‌ترين انواع هستند. اين نوع فايل‌ها و داده‌هاي درون يك سيستم را رمزگذاري مي‌كند و محتوا را بدون كليد رمزگشايي غيرقابل دسترسي مي‌كند.

باج افزارهاي قفل كننده Lockers به‌طور كامل دسترسي شما را به سيستم خودتان قفل مي‌كنند، بنابراين فايل‌ها و برنامه‌هاي شما غيرقابل دسترسي هستند. يك صفحه قفل تقاضاي باج را نشان مي‌دهد، احتمالاً با يك ساعت شمارش معكوس براي افزايش فوريت و وادار كردن قربانيان به اقدام و واكنش سريع به خواسته باج گير.

هراس افزارها Scareware

نرم‌افزار جعلي است كه ادعا مي‌كند ويروس يا مشكل ديگري را در رايانه شما شناسايي كرده است و به شما دستور مي‌دهد براي رفع مشكل پول پرداخت كنيد. برخي از انواع نرم‌افزارهاي ترسناك كامپيوتر را قفل مي‌كنند، درحالي‌كه برخي ديگر به‌سادگي صفحه را با هشدارهاي پاپ آپ بدون آسيب رساندن به فايل‌ها پر مي‌كنند.

نشت افزارها Doxware

تهديد مي‌كند كه اطلاعات حساس شخصي يا شركتي را به‌صورت آنلاين توزيع مي‌كند و بسياري از مردم وحشت مي‌كنند و باج مي‌پردازند تا از افتادن داده‌هاي خصوصي به دست افراد نادرست يا ورود به دامنه عمومي جلوگيري كنند. يكي از انواع باج‌افزار با مضمون پليس است كه ادعا مي‌كند مجري قانون است و هشدار مي‌دهد كه فعاليت آنلاين غيرقانوني شناسايي‌شده است، اما مي‌توان با پرداخت جريمه از زندان جلوگيري كرد.

باج‌افزار به‌عنوان سرويس RaaS به بدافزاري اطلاق مي‌شود كه به‌طور ناشناس توسط يك هكر حرفه‌اي ميزباني مي‌شود كه تمام جنبه‌هاي حمله، از توزيع باج‌افزار گرفته تا جمع‌آوري پرداخت‌ها و بازگرداندن دسترسي، درازاي پول را مديريت مي‌كند.

باج افزارهاي معروف

ده ها نوع باج‌افزار وجود دارد كه هركدام ويژگي‌هاي منحصربه‌فرد خود رادارند. بااين‌حال، برخي از گروه‌هاي باج‌افزار پركارتر و موفق‌تر از سايرين بوده‌اند و باعث مي‌شوند كه آن‌ها را از بقيه متمايز كنند.

پشتيبانگيري مداوم از داده‌ها:

تعريف باج‌افزار مي‌گويد كه بدافزاري است كه به‌گونه‌اي طراحي‌شده است كه پرداخت باج تنها راه براي بازگرداندن دسترسي به داده‌هاي رمزگذاري است. پشتيبان خودكار و محافظت‌شده از داده‌ها، سازمان را قادر مي‌سازد تا پس از حمله با حداقل از دست دادن داده و بدون پرداخت باج، بازيابي كند. تهيه نسخه پشتيبان به‌طور منظم از داده‌ها به‌عنوان يك فرآيند زمان‌بندي‌شده يك عمل بسيار مهم براي جلوگيري از دست رفتن داده‌ها و امكان بازيابي آن‌ها در صورت حمله باج‌افزار يا خرابي سخت‌افزار ديسك است.

Patching يك مؤلفه حياتي در دفاع در برابر حملات باج‌افزار است زيرا مجرمان سايبري اغلب به دنبال آخرين سوءاستفاده‌هاي كشف نشده در Patch هاي موجود مي‌گردند و سپس دستگاه‌هايي را هدف قرار مي‌دهند كه هنوز از Patch استفاده نكرده‌اند. به‌اين‌ترتيب، بسيار مهم است كه سازمان‌ها اطمينان حاصل كنند كه همه سيستم‌ها آخرين Patch هاي اعمال‌شده روي آن‌ها رادارند، زيرا اين امر تعداد آسيب‌پذيري‌هاي بالقوه در كسب‌وكار را براي مهاجم كاهش مي‌دهد.

احراز هويت كاربر:

دسترسي به خدماتي مانند RDP با اطلاعات كاربري دزديده‌شده يكي از روش‌هاي موردعلاقه مهاجمان باج‌افزار است. استفاده از احراز هويت قوي يا دوگانه كاربر مي‌تواند استفاده مهاجم از رمز عبور حدس زده يا دزديده‌شده را دشوارتر كند.