GOLDEN_#1®
كبار الشخصيات
ظهرت أمس دودة جديدة انتشرت في عدد كبير من نوافذ المحادثة عبر برنامج AIM الشهير,
حيث تقوم الدودة الجديدة بعمل تكتيكي جديد يوفر لها إمكانية ارسال البيانات و المعلومات المسروقة من جهاز الضحية بطريقة جديدة !
سابقاً , كان الاختراق عبر برامج المحادثة يتم على الشكل التالي :
- يقوم من يريد الاختراق بارسال وصلة Link إلى الضحية .
- يقوم الضحية بالضغظ على الوصلة
- الوصلة تقوم بتحميل ملف إلى جهاز الضحية
- الملف الذي تم تنصيبه بجهاز الضحية يقوم بجلب برامج خبيثة إلى جهاز الضحية .
لكننا في هذه الحالة نكون قد جبلنا لانفسنا ملف واحد ,, من وصلة واحدة ,,
حيث تقوم بهذه الاثناء تلك الدودة بإرسال المعلومات التي سرقتها إلى الهدف
و سرعان ما تصيب جهازا ً أخرا ..
أما الطريقة الجديدة التي تمت برمجة هذه الدودة الجديدة عليها, فهي كالتالي ..
- يقوم من يحاول الاختراق بارسال وصلة بموقع معين يقوم بدوره بطلب احد برامج (سلسلة) ملفات
- يقوم تعيس الحظ بالضغط على الوصلة
- الوصلة تقوم بتحميل برنامج عشوائي من ضمن السلسلة ( بحسب حالة الضغط على باقي برامج السلسلة )
- البرنامج الذي تم تنصيبه مبرمج ليقوم بارسال رسائل المحادثة المخففة نفسها لباقي المتصلين لديك .
كما هو واضح في الصورة , فإننا بمجرد الضغط على الوصلة هذه سيتم تحميل ملف يدعى csts.exe .
ما هي وظيفة هذا الملف ؟؟
عمل هذا الملف هو طلب احد حلقات السلسلة , فهو يقوم تحميل باقي الملفات الموجودة في السلسلة إلى جهازك
حيث لن تكون هنالك مشكلة في حال تم تنصيب البرنامج رقم 3 مثلا على جهازك بدلا من رقم 1 .
لأن الملف سيقوم بإعادة طلب ملف أخر بعد قليل ,
وبماا أن جهازك مصاب بأحد البرامج الخبيثة , فهو على الاقل قادر على إصابة ضحية اخرى .
و في حال إصابة ضحية اخرة , فانها بارسالك رسالة ثانية اليك , وسيتم اكمال السلسلة على جهازك .
الملف هذا يقوم بالاتصال بعدة سيرفرات موجودة على شبكة الانترنيت , يظهر أن الأكثر تحكما به موجود في كوريا
قد يكون مثلا نصيبك هو تحميل الملف رقم 19 فرضا و ليكن مثلا دودة CueBot / Botnet (تفاصيل).
اوقد يكون نصيبك d227_seven2.exe الذي سيقوم بدوره بطلب رقم اخر من السلسلة
يقوم بتشغيل خدمة RPCDB و التي تقوم بفتح المنفذ 25 لبروتوكول SMTP ليتيح هجوم من نوع ADS -alternate data streams .
أو ربما سيتم تحميل Rootkit على جهازك !
من هنا ...
يبدو أن بعد جديد لمجال الختراق عبر برامج المحادثة قد بدأ ..
و لننتظر المزيد من التفاصيل ..
الجولدن
