باید در تاریخ نوشت: شاهکار امنیتی مایکروسافت

هفته پیش مایکروسافت یک وصله امنیتی برای ویندوزهای ویستا، هفت و ۲۰۰۸ منتشر کرد. حفره امنیتی کشف شده واقعا پدیده‌ی باورنکردنی و تاریخی است:

«نفوذگر با ارسال تعدادی بسته UDP خاص به یک پورت بسته می‌تواند کدی را در سطح کرنل ویندوز اجرا کند»

این حفره فوق العاده خطرناک است:

1. اجرای کد در سطح کرنل، یعنی دسترسی حتی بالاتر از دسترسی ادمین سیستم. یعنی کنترل «کامل» کامپیوتر
2. هک کردن کامپیوتر از طریق پورت بسته؛ یعنی نفوذگر کاملا از راه دور و بدون نیاز به هیچ کار خاصی (حتی بدون رد شدن از فایروال ویندوز!) قادر به حمله کردن است.

واقعا قرار دادن چنین باگ فجیعی در یک برنامه کامپیوتری نبوغ(!) بالایی می‌خواهد و در نظر اول تا حدی به یک درب پشتی عمدی شبیه است که مایکروسافت درون محصول خودش جاسازی کرده باشد. هر چند جزئیات ماجرا شواهد کافی در اختیار نمی‌گذارد.

اگر چه مایکروسافت گزارش کرده که هنوز سواستفاده از این باگ توسط هکرها مشاهده نشده است، و استفاده از آن را اندکی مشکل می‌دانند، مطمئن باشید که مسابقه آغاز شده، و ظرف چند روز همه به ابزارهای حمله به این آسیب‌پذیری مجهز خواهند شد. پس مراقب باشید!

از من می‌شنوید، با اوضاع جاری در حوزه امنیت کامپیوتر؛ از استاکس‌نت گرفته تا حملات ایرانی‌ها به CAها (هک کومودو) و ... بعید نمی‌دانم که تا سال دیگر شاهد حملاتی به آسیب‌پذیری‌های سطح پایین‌تر مثل خود سی‌پی‌یو و کارت شبکه باشیم. حملاتی که مستقل از سیستم عامل، کامپیوتر هدف را از کار بیندازند و ما را کلا وارد فاز جدید (و ترسناکتری) از حملات سایبری کنند.

پ.ن: جالب اینجاست که این آسیب‌پذیری فقط در ویندوزهای ویستا به بعد (که بسیار بسیار امن‌تر تلقی می‌شوند) گزارش شده و فعلا ایکس پی و ۲۰۰۳ مشکلی نداشته‌اند.

ترفند 8 » محافظت از حافظه فلش درایو (USB) در برابر کرم‌های AutoRun

داستان: چقدر ویروس میل دارید؟

هر از چندی گذار آدم به زیراکسی‌ها میفتد تا چیزی را برایش چاپ کنند. من هر وقت سراغ زیراکسی دانشگاه می‌روم تا فایلی را از روی فلش درایو (USB) چاپ بگیرد، علاوه بر کاغذ چاپ شده، چندتا «ویروس» هم داخل فلش درایو «هدیه» می‌گیرم.
قبلا توضیح دادم که چطور می‌شود از ویندوز در برابر کرم‌های autorun.inf محافظت کرد. با این کار دیگر نیازی به نرم‌افزارهای (به زعم من) بی‌مصرفی مثل autorun blocker و anti autorun و غیره ندارید و ویندوز هرگز از این طریق آلوده نخواهد شد. [*]
اما این مانع از این نمی‌شود که ویروس (در واقع، کرم) تلاش نکند خودش را از این طریق منتقل کند. بنابراین، اگرچه کامپیوتر من آلوده نمی‌شود، اما کرم خودش را روی فلش درایو کپی می‌کند. و این یعنی من باید هر بار زحمت پاک کردن این مهمان ناخواسته را بکشم، حواسم باشد تا وقتی کرم پاک نشده، فلش درایو را به کامپیوتر دوستم متصل نکنم و از این دردسرها ... !
اما آیا راهی هست که به کرم بگوییم زحمت نکشد و روی فلش درایو هم کپی نشود؟ بله. تقریبا بله.

هدف کرم Stuxnet: ایران، نیروگاه اتمی؟ دیگر نشانه‌ها ...

در پست قبلی از شگفتی‌های کرم کامپیوتری استاکس نت (Stuxnet)، و تئوری حمله به ایران نوشتم:‌ هنگامیکه واقعیت از فیلم سینمایی عجیبتر است! کرم Stuxnet و حمله به ایران
گفتم که چرا Stuxnet پدیده‌ای بسیار نو و بدیع در امنیت کامپیوتر به شمار می‌رود و چرا به احتمال زیاد یک دولت پشت ساخت آن بوده است. در این پست چند نکته دیگر در رابطه با این کرم و اینکه چگونه ممکن است تاسیسات اتمی ایران هدف آن بوده باشد می‌نویسم.

هنگامیکه واقعیت از فیلم سینمایی عجیبتر است! کرم Stuxnet و حمله به ایران

بروزرسانی:‌ پست جدید من در مورد استاکس نت و تئوری حمله به تاسیسات اتمی ایران

هنگامیکه کرم کامپیوتری استاکس نت (Stuxnet) نخستین بار در ژوئن 2010، توسط شرکت VirusBlokAda شناسایی شد هیچ کس نمی‌دانست که با چه پدیده نو و شگفتی مواجه شده است. کرمی که ماه‌ها (و شاید یکسال) بود ناشناخته مانده بود!

درباره عجایب این کرم کامپیوتری همین بس که سیمانتک می‌گوید: «اگر یک ماه پیش کسی درباره چنین چیزی با ما صحبت می‌کرد، می‌گفتیم از لحاظ تئوری ممکن است، ولی بیشتر به سناریوی یک فیلم سینمایی شبیه است» (نقل به مضمون)
با توجه به پیچیدگی‌های کرم Stuxnet، اهدافش و سایر نکاتی که در ادامه می‌آید، بسیاری معتقدند که این نه یک بدافزار معمولی یا تجاری، بلکه در واقع نوعی جنگ بر علیه تاسیسات صنعتی یک کشور بوده است. و ایران، کشوری‌ست که بیشترین آلودگی به این ویروس در آن گزارش شده است. بخوانید و خودتان قضاوت کنید.

میان‌برنامه - حفره داغ LNK ویندوز

این در واقع یک خبر است و نه یک پست و فقط به دلیل اهمیت موضوع درج می‌شود.

اولین بار سه چهار روز پیش در وبلاگی نام حفره امنیتی LNK ویندوز را شنیدم که در تمامی نسخه‌های آن از XP و Vista گرفته تا 7 موجود است.
امروز که فرصت یافتم کمی درباره آن بیشتر بررسی کنم، به نکات زیر برخورد کردم:

1. این حفره بعد از این کشف شد که به صورت گسترده توسط بدافزارها مورد استفاده قرار گرفته بود. پس از کشف نیز توجه زیادی را جلب کرده و به سرعت بدافزارهای جدیدی به کمک آن منتشر می‌شوند.
2. این حفره در تمامی نسخه‌های ویندوز موجود است و تاکنون مایکروسافت برای رفع آن بسته‌ای منتشر نکرده است. (+)
   

   هشدار:
   بنابراین حتی اگر ویندوزتان بروز هم باشد در خطر هستید.

3. برای جلوگیری از آلوده شدن کامپیوترتان و تا زمانیکه مایکروسافت بالاخره بسته مناسب را منتشر می‌کند، می‌توانید از نرم‌افزار Windows Shortcut Exploit Protection Tool (در کنار آنتی‌ویروس‌تان) بهره بگیرید که دیروز توسط تیم امنیتی آنتی‌ویروس Sophos منتشر شده است.
4. با بهره‌گیری از این حفره، کد مخرب هنگامیکه ویندوز صرفا بخواهد شمایل (Icon) یک فایل lnk (فایل‌های میانبر) را نمایش دهد اجرا می‌شود. بدین ترتیب کافیست شما شاخه‌ای را که فایل مخرب در آن قرار دارد «رویت» کنید تا کامپیوترتان آلوده شود.
   
   این شاخه می‌تواند یک حافظه USB یک شاخه به اشتراک گذاشته شده در شبکه یا حتی اینترنت باشد. همچنین ممکن است فایل مخرب داخل فایل doc ورد یا مانند آن جایگذاری شده باشد.

منبع و اطلاعات بیشتر

بروزرسانی 1389/5/12: مایکروسافت patch امنیتی مرتبط با این حفره را منتشر کرد. (MS10-046)
بنابراین اکنون می‌توانید نخست ویندوزتان را بروز کنید و سپس نرم‌افزار Windows Shortcut Exploit Protection Tool را پاک کنید. :)

کلمات کلیدی: AntiVirus, LNK, Shortcut, Exploit, Rootkit, Windows, آنتی ویروس, امنیت, روت کیت, ویندوز, میان‌برنامه, میانبر, حفره

میان‌برنامه - درباره Rootkitها و ناگفته‌هایی از پرونده 1

تعریف مساله

مدتی پیش در مورد کرم کانفیکر (کیدو) مطلبی نوشتم. یکی از موضوعاتی که به منظور طولانی نشدن مطلب از پرداختن به آن خودداری کردم و فقط اشاره‌ای به آن شد، توضیحی در مورد روت‌کیت (Rootkit) بودن این کرم بود.
روت‌کیت در اصطلاح امنیت نرم‌افزار، به نوعی بدافزار (Malware) گفته می‌شود که با دستکاری کردن برخی توابع سیستم‌عامل، تلاش می‌کند حضور خود را از دید پنهان کند و یا در کار آن خللی ایجاد کند. روت‌کیت در واقع از شوم‌ترین انواع بدافزار است، چرا که در تئوری اگر کامپیوتری مبتلا به یک روت‌کیت قوی شود هرگز و با هیچ ابزاری از درون سیستم‌عامل نمی‌توان از وجود روت‌کیت مطلع شد یا آن را از بین برد. (البته همواره می‌توان از خارج از سیستم‌عامل و به کمک یک سیستم‌عامل سالم و بدون روت‌کیت، آن را شناسایی کرد)
به عنوان مثال: یک روت‌کیت می‌تواند فایل‌های مربوط به خود را از چشم سیستم‌عامل و تمامی برنامه‌ها (مثل آنتی‌ویروس) پنهان کند.
اما در عمل شناخت روت‌کیت از درون سیستم‌عامل میسر است، چرا که روت‌کیت‌ها عملا قادر به شبیه‌سازی کلیه توابع مرتبط سیستم‌عامل نیستند و فقط برخی از متداول‌ترین آنها را تغییر می‌دهند. از این رو می‌توان با مقایسه رفتار توابع مختلف سیستم و یافتن ناهمگونی در آنها به وجود روت‌کیت پی برد. بر همین اساس برنامه‌هایی وجود دارند که کارشان تشخیص روت‌کیت‌ها (شناخته شده و حتی ناشناخته) است.
در همان مثال قبل: معمولا می‌توان با رفتن به سراغ توابع سطح پایین کار با هارد دیسک، و مطابقت دادن ساختار فایل‌سیستم با آنچه سیستم‌عامل نشان می‌دهد ناهماهنگی‌ها را کشف و به وجود روت‌کیت پی برد.

مثال واقعی

کرم کانفیکری که در پرونده 1 با آن برخورد داشتیم نیز دارای یک بخش روت‌کیت بود که، با دستکاری توابع سیستمی، از ارتباط با سایت‌های امنیتی جلوگیری می‌کرد. اتفاقا نحوه کشف آن بسیار جالب بود که در ادامه مطلب می‌خوانید:
هنگامیکه متوجه شدم کامپیوتر سایت microsoft.com را نمی‌آورد، برای فهمیدن علت از دستور ping استفاده کردم. نتیجه چنین بود:

> ping microsoft.com
Ping request could not find host microsoft.com. Please check the 
name and try again.

که نشان می‌دهد مشکلی در سرویس DNS وجود داشته و موفق نشده است آدرس سایت را پیدا کند. بنابراین با دستور nslookup موضوع را بررسی کردم و با کمال تعجب با پاسخی مانند زیر روبرو شدم:

>nslookup microsoft.com
Server:  google-public-dns-a.google.com
Address:  8.8.8.8

Non-authoritative answer:
Name:    microsoft.com
Addresses:  207.46.197.32, 207.46.232.182

وقتی یکبار دیگر ping را اجرا کردم و باز همان پاسخ قبلی را دریافت کردم یقین پیدا کردم که موضوع از بدافزاری غیرعادی نشات می‌گیرد. بسیاری از بدافزارها مانع دسترسی به سایت‌های امنیتی می‌شوند، اما این کار معمولا با دستکاری فایل hosts و برگرداندن یک آدرس جعلی انجام می‌گیرد. در حالیکه در اینجا ping اصلا آدرسی را پیدا نمی‌کرد و این نشان می‌داد این تغییر به نحو هوشمندانه‌تری (و احتمالا با تغییر توابع سیستمی) انجام شده است.
نهایتا هنگامیکه برنامه Kido Killer مشغول پاکسازی کرم بود، پیغامی را مبنی بر پاکسازی یکی از توابع سرویس DNS نمایش داد که تاییدی بر تردیدهای قبلی بود.

کلمات کلیدی: Conficker, Kido, Rootkit, Windows, Worm, امنیت, روت کیت, ویندوز, کانفیکر, کرم, کیدو

ترفند 1 » از کار انداختن AutoRun ویندوز

برای: ویندوز - همه نسخه‌ها (از 95 تا XP تا Vista تا ویندوز هفت)
سطح: متوسط	مواد لازم: دو دقیقه وقت!

بسیاری از بدافزارهای امروزی از طریق درایوهای USB منتقل می‌شوند. چنین رفتاری کرم USB نامیده می‌شود. برای پیشگیری از این نوع بدافزارها نیاز به هیچ برنامه خاصی نیست؛ شما می‌توانید AutoRun ویندوز را از کار بیاندازید تا دیگر از طریق حافظه USB آلوده نشود:

1. برنامه Notepad را بازکنید و کد زیر را عینا درون آن کپی کنید:
   

   REGEDIT4
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
   @="@SYS:DoesNotExist"

2. از منوی File گزینه Save as را انتخاب کنید.
3. کادر انتخاب واقع در پایین پنجره را از Text Files به All Files تغییر دهید. (این تغییر لازم است وگرنه فایل با نام صحیح ذخیره نخواهد شد)
4. فایل را با نام مثلا DisableAutoRun.reg ذخیره کنید.
5. فایل را اجرا کنید. به پیغام‌هایی که داده می‌شود جواب مثبت بدهید.

عوارض جانبی: با این کار ویندوز هرگز به سراغ فایل autorun.inf نمی‌رود. بنابراین دیگر سی‌دی‌ها نیز خودبخود اجرا نخواهند شد و باید به صورت دستی آنچه می‌خواهید را از روی آنها فراخوانی کنید. همچنین احتمالا شکلک مخصوص هر سی‌دی نیز دیگر قابل رویت نخواهد بود. حواستان باشد!

تمام شد؛ اما اگر می‌خواهید می‌توانید اطلاعات بیشتر را در ادامه مطلب بخوانید:

پرونده 1 » چراغی که مدام در حال چشمک زدن بود

اولين نشانه‌ها

ديشب متوجه شدم چراغ کارت شبکه کامپيوتر يکي از بچه‌هاي اتاق مدام در حال چشمک زدنه. اين در حالي بود که کامپيوتر فعاليت شبکه‌اي خاصي هم نداشت. وقتي به نشانگر شبکه (کنار ساعت) دقت کردم، متوجه شدم کامپيوتر فقط در حال ارساله و چيزي دريافت نمي‌کنه.

مشخصه که مساله مشکوکه؛ چون ارسال حجم بالايي از اطلاعات بدون دريافت؛ اونهم زماني که کامپيوتر مشغول کار خاصي نيست عجيبه. اولين چيزي که به ذهن من رسيد اين بود که ممکنه با يه کرم کامپيوتري (Worm) مواجه باشم که در تلاشه کامپيوترهاي ديگه شبکه رو آلوده کنه...