تحلیل شبکه بات Zorenium
در
ماه مارس 2014 هنگامی که مولف بات Zorenium (W32.Zorenium) ادعا کرد که
بدافزار سرقت اطلاعات با ویژگی های جدید به روز شده است، مورد توجه قرار
گرفت . مطابق گفته مولف بدافزار، REX، این بدافزار قابلیت اجرا بر روی
سیستم عامل اندروید و IOS ، سرقت اعتبارات بانکی، پشتیبانی ارتباطات point
2 point و انتشار از طریق Skype و Facebook را دارد.
بر اساس تحلیل
صورت گرفته توسط شرکت امنیتی سمانتک، اگر ادعای REX درست باشد بنابراین
Zorenium یک تهدید مهم محسوب می شود. در حالی که این ادعاها هرگز ثابت نشده
است.
بر اساس تعداد محدودی نمونه بات Zorenium ، سیمانتک به ردیابی
تکامل این بدافزار پرداخته است. اولین نمونه مشاهده شده دارای برچسب زمانی
2013 و 40 KB می باشد. برچسب زمانی که در هدر فایل های اجرایی است می تواند
جعلی باشد اما هدر در همه نمونه های Zorenium، قابل اعتماد به نظر می رسد.
این نمونه دارای قابلیت محدودی از نوعی تروجان backdoor را از قبیل
توانایی برقراری ارتباط با مهاجم از طریق کانال IRC ، ضبط تصاویر و تغییر
فایل کامپیوتر قربانی را شامل می شود.
گروه دوم دارای برچسب زمانی
دسامبر 2013 و حجم 50KB می باشند. این نمونه ها، از لحاظ قابلیت بسیار شبیه
نمونه اول می باشند با این تفاوت که با سواستفاده از منابع سیستم قربانی
به جمع آوری اعتبار مالی، bitcoin، می پرداختند.
گروه سوم دارای برچسب
زمانی آوریل 2014، حجم 1MB می باشند. این گروه ویژگیهای بیشتری نسبت به دو
گروه قبل دارا می باشند از جمله این ویژگیها می توان به موارد زیر اشاره
نمود.
• برقراری ارتباط با مهاجم از طریق کانال IRC
• ضبط تصاویر، دانلود و اجرای فایل ها
• ایجاد یک سرور FTP
• انتشار خود به دیگر سیستمها از طریق پیوست ایمیل
• نصب Key logger به منظور سرقت اطلاعات حساب از پرداخت های آنلاین و سرویس های بازی
• سواستفاده از سیستم قربانی برای انجام حملات DOS و انجام حملات پورت اسکن
• و خاتمه دادن به پروسه مربوط به آنتی ویروس سیستم
همانطور
که می بینیم بر طبق نمونه بات های مشاهده شده این تهدید شامل ویژگیهای
مخرب زیادی جهت استفاده مهاجمین می باشد. با این حال هنوز مدرکی برای اثبات
برخی از ویژگیهای ادعا شده همچون موارد زیر وجود ندارد:
• اجرا در سیستم های IOS 5 و 7
• اجرا بر روی بسیاری از پلتفرم های Debian و آخرین نسخه های تبلت های اندرویدی
• شباهت عملکرد با بدافزار پیچیده TLD-4
• توانایی به گسترش از طریق Skype و facebook
