هشدار جدی مرکز ماهر در خصوص بدافزار باج گیر CTB Locker

 

مرکز مدیریت امداد و هماهنگی عملیات رخدادهای رایانه ای (ماهر) در پیامی که در وب سایت خود منتشر کرده است ،درباره بد افزار باج گیر یا Ransomware با نام CTB Locker و اقدامات امنیتی پیرامون آن به همه کاربران ایرانی هشدار داد.این پیام پس از انتشار رسانه ای شد تا کاربران اطلاعات بیشتری را در مورد این بدافزار بدست آورده و امنیت سیستم های خود را بالا برند.

اکنون مدتی است، بد افزار CTB Locker در سرتاسر جهان قربانی می گیرد و از آنجایی که مستقیم داده ها و اطلاعات بعضا حساس کاربران را آماج می گیرد، از سوی شرکت های امنیتی بزرگ همچون کسپرسکی و سیمانتک در رده بد افزارهای خطرناک طبقه بندی شده است. 

در همین خصوص مرکز ماهر در پیامی که در وب سایت خود منتشر کرده است، به همه کاربران ایرانی در خصوص خطرات این بد افزار و نکات امنیتی پیرامون آن هشدار داده است. 

در پیام مرکز ماهر آمده است:پیرو گزارش های به دست آمده به مرکز ماهر و بررسی موارد متعدد، نمونه هایی از بدافزار باج گیر CTB locker در کشور رواج پیدا کرده است. این بدافزار از طریق پیوست های ایمیل انتشار پیدا کرده و با رمز کردن فایل های کاربر، برای بازگرداندن آن ها درخواست پول می کند. 

همچنین این مرکز در پیام خود اذعان کرده است:از لحاظ فنی راه حلی برای بازگرداندن این فایل های رمز شده وجود ندارد. برای همین، از کاربران ایرانی در خواست کرده تا اقدامات و نکات امنیتی لازم در این مورد را در دستور کار خود قرار دهند.

 

این گونه از بد افزار ها بر خلاف سایر نمونه ها، عملا با سیستم عامل کاری نداشته و هدف اصلی آن ها، فایل ها و اطلاعات شخصی کاربران است که با رمزگذاری یا Encrypt کردن این فایل ها از کاربر می خواهند برای باز گرداندن اطلاعات خود، مبالغی را که بعضا تا هزاران دلار افزایش می یابد پرداخت کنند. از همین روی به آن ها نام باج گیر را گفته می شود.

 

 

بد افزار CTB Locker نیز یک گونه بد افزار باج گیر است که البته از نوع شایع و خطرناک آن به شمار می رود. CTB Locker یا Curve-Tor-Bitcoin Locker که بعضا از آن با نام Critroni نیز یاد شده، بد افزاری است که تقریبا در میانه ماه جولای سال 2114 برای اولین بار ظاهر شد و همه نسخه های ویندوز از XP تا ویندوز 8 را آماج گرفته است. 

این بد افزار از تکنولوژی کریتوگرافیک بیضوی یا Eliptical Curve بهره می برد و با سرور Command and Control بر روی TOR ارتباط برقرار می کند. همچنین مؤسسه امنیتی Kafein اظهار کرده که این بد افزار، بخشی از کیت مخصوصی است که به بهای حدود 3 هزار دلار فروخته می شود و در نتیجه، احتمال وجود سایر بد افزارهای باج گیر مبتنی بر این کیت بسیار بالاست. 

وقتی سیستم قربانی به این بد افزار آلوده می شود، در ابتدا تمامی فایل های سیستم اسکن شده و رمز گذاری می شوند، به گونه ای که دیگر قابل دسترسی نیستند. نسخه های قبلی این بد افزار فایل های رمز شده را با پسوند CTB مشخص می کرد؛ اما در نسخه های جدید یک پسوند اتفاقی برای آن ها انتخاب می شود. 

بعد از آن یک صفحه به شما نمایش داده می شود که شما را از رمز شدن فایل ها آگاه کرده و دستور العملی برای پرداخت مبلغ جهت بازگرداندن آن ها به شما ارائه می کند.

 

نسخه های جدید این بد افزار حتی به کاربر اجازه می دهد برای اطمینان پنج مورد از فایل های رمز شده را رمزگشایی کند که این کار برای آن است که کاربر متوجه شود در صورت پرداخت مبلغ، فایل های خود را باز پس خواهد گرفت و از این طریق برای پرداخت مبلغ تشویق شود. 

 

 

مرکز ماهر در گزارش خود به چند نمونه اقدامات امنیتی پیشگیرانه اشاره کرده است؛

 

* گرفتن فایل پشتیبان(backup) از اطلاعات مهم،

* به کارگیری راه حل های امنیتی جهت ایمیل ها، مانند فعال سازی فیلتر کردن extensionهای فایل های ضمیمه مانند scrها جهت بلوکه کردن فایل های آلوده (در شبکه سازمان ها)، 

* خودداری از باز کردن ضمایم ایمیل هایی با ارسال کننده های نا شناس مانند فایل های. zip، office،. pdf و... ،

* پاک یا اسپم کردن ایمیل های مشکوک و هشدار به دیگران،

* و استفاده از ابزارهای امنیتی مناسب در شبکه و روی سیستم مانند آنتی ویروس به روز شده.

اما چنانچه سیستم شما به این بدافزار آلوده شد چه می توان کرد؟ فوری ترین کار اسکن سیستم با یک آنتی ویروس مطمئن و به روز است. متأسفانه اغلب کاربران تا هنگامی که با صفحه درخواست پول مواجه نشده اند، متوجه حضور این بد افزار در سیستم خود نمی شوند. آنتی ویروس قادر به حذف بد افزار است و در نتیجه با شروع دوباهر سیستم این بد افزار فعال نخواهد شد. 

متأسفانه هیچ راهی برای باز گرداندن فایل های رمز شده وجود ندارد؛ چنانچه گزارش ماهر نیز به آن اشاره کرده است. همچنین سایر ابزارهای رمزگشایی که از سوی شرکت های امنیتی برای مقابله با باج گیر ها عرضه شده در خصوص این بد افزار کاربردی ندارد. تنها راه باز گرداندن فایل ها یا Restore کردن آن هاست؛ آن هم در صورتی که پیش از این از آن ها نسخه پشتیبان یا Backup تهیه کرده باشید. 

اما تحلیلگران بر این باورند، این بد افزار قبل از رمز کردن فایل ها، یک کپی از آن ها تهیه و بعد از رمز گذاری این کپی را پاک می کند. در نتیجه احتمال دارد با استفاده از یک نرم افزار Recovery بتوانید تا فایل های خود را بازیابی کنید. 

براساس گزارش مرکز ماهر ، نمونه هایی از این بدافزار باج گیر در کشور اعلام شده است و کاربران ایرانی باید اقدامات امنیتی برای حفاظت از اطلاعات خود را جدی بگیرند.