بدافزارها تنظیمات DNS مسیریاب‌ها را از طریق دستگاه‌های همراه تغییر دادند

محققان به یک قطعه از بدافزار جاوا اسکریپت دست پیدا کرده‌اند که قادر است تنظیمات DNS مسیریاب‌های خانگی را با اجرا در دستگاه‌های موبایل تغییر دهد.
این بدافزار که به وسیله ترند میکرو JS_JITON نام گرفته است، از طریق وب‌گاه‌های آلوده در روسیه و چند کشور آسیایی دیگر منتشر شده است. هنگامی که این وب‌گاه‌های آلوده شده از راه دستگاه‌های تلفن همراه بازدید شوند، JS_JITON ارسال شده و یک تهدید را که به عنوان JS_JITONDNS کشف شده است، بارگیری می‌کند، این بدافزار طراحی شده تا تنظیمات DNS مسیریابی را که دستگاه‌های آلوده به آن متصل هستند، تغییر دهد.
بر اساس گزارش ترند میکرو، این حمله در دسامبر ۲۰۱۵ آغاز شد و عمدتاً کاربران را در تایوان (۲۷ درصد)، ژاپن (۱۹ درصد) چین (۱۲ درصد) آمریکا (۸ درصد) و فرانسه (۴ درصد) آلوده کرده است. این آلودگی‌ها به علاوه کشورهای کانادا، استرالیا، کره، هنگ‌کنگ، هلند و دیگر کشورها نیز دیده شده است.
تحلیلی از کد JS_JITON نشان می‌دهد که این بدافزار شامل ۱۴۰۰ ترکیب از اعتبارنامه‌هایی است که می‌توانند برای دسترسی به رابط کاربری مدیریت مسیریاب‌ها مورد استفاده قرار گیرند، که آن هم به نوبه خود موجب دسترسی مهاجمان به دستگاه و تغییر تنظیمات DNS می‌شود.
علاوه بر این کارشناسان، سوء‌استفاده از آسیب‌پذیری CVE-۲۰۱۴-۲۳۲۱ را نیز کشف کرده‌اند که اجازه دسترسی مهاجمان راه دور را برای مدیریت برای برخی از مودم‌های ZTE می‌دهد.
در حالی که این بدافزار شامل کدی برای هدف قرار دادن محصولات چندین سازنده مطرح مسیریاب نظیر دی‌لینک (DLink) و تی‌پی‌لینک (TPLink) است، ترند میکرو می‌گوید که بیش‌تر بخش‌های کدها با ارائه توضیحاتی غیرفعال شده‌اند. در حال حاضر،‌ به نظر می‌رسد که تنها بهره‌برداری از مودم‌های ZTE فعال باشد و تنها در صورتی کار می‌کند که بدافزار از یک دستگاه موبایل اجرا شود.
محققان اشاره کرده‌اند که وب‌گاه‌های آلوده، در صورتی که از طریق یک رایانه رومیزی هم به آن‌ها دسترسی صورت گیرد می‌توانند JS_JITON را ارائه کنند، اما در آن صوت روش آلودگی متفاوت خواهد بود.
ترند میکرو خاطرنشان می‌کند که اسکریپت‌های آلوده تقریباً به وسیله نویسندگان بدافزار به‌روزرسانی می‌شوند؛ در بعضی مواقع آن‌ها شامل کی‌لاگر‌ها (قطعه بدافزاری که فعالیت‌های کاربر از جمله کلمات فشرده شده در صفحه کلید را ضبط می‌کند) هستند که داده‌هایی را که در وب‌گاه‌های خاصی وارد می‌شوند، سرقت می‌کنند؛ که می‌تواند نشانگر آن باشد که این تهدید هنوز در مرحله آزمایش قرار دارد.
چیساتور روکومیا از شرکت ترند میکرو می‌گوید: «مجرمان سایبری که در پس این حوادث هستند، از سازوکارهای فرار استفاده می‌کنند تا از دید ضدبدافزارها دور باشند و حمله خود را بدون افزایش سوء‌ظن کاربرانی که در معرض حمله قرار دارند، ادامه دهند. این فنون به طور منظم کدهای جاوا اسکریپت را به‌روز‌رسانی می‌کنند تا خطاها را اصلاح کرده و به صورت پیوسته مسیریاب‌های خانگی مورد هدف را تغییر دهند.»

منبع: asis

درباره نماد امنیت وب

“نماد امنیت وب” به عنوان یکی از شرکت های پیشتاز در زمینه امنیت نرم افزار و سرویس های تحت وب، با ارائه سرویس های امنیتی برای تمامی کسب و کار ها و دارای نمایندگی شرکت Acunetix (اکوانتیکس) بعنوان محبوب ترین اسکنر امنیتی black box در دنیا، ایمنی وب سایت شما را در مقابل حمله هکر ها تضمین می کند.

اسکن امنیتی رایگان
(5000 تومان)

نوع وب سایت: وبلاگ، شرکتی، تجارت الکترونیک و کسب و کارحرفه ای
آسیب پذیری های OWASP (شامل بررسی 10 آسیب پذیری متداول)
اسکن نرم افزار/وب سایت توسط Acunetix نسخه 11
اسکن تمامی پورت ها با ابزار Nmap
اسکن وب سرور و پیکربندی آن توسط ابزار Nikto
اسکن تزریق توسط نرم افزار قدرتمند SQLmap