جستجو در تالارهای گفتگو

این آموزش تهیه شده توسط آرش رضا پورخان می باشد که برگرفته از سایت استاد آنلاین می باشد. اهداف در اين دوره آموزشی تنها به ارائه ی کلیات مطالب پرداخته شده است . مباحث شامل سه فصل از مطالب کلی و نیز آشنایی با برنامه های مخرب می باشد . در فصولی که متعاقبا جهت تکمیل دروس این دوره ارائه خواهد گردید به مباحث گوناگونی از جمله : شرح كامل چند ويروس معروف ، نحوه مقابله و پاكسازي آنها ، تجزيه و تحليل كد سورس بعضي از ويروسهاي قديمي كه هنوز هم در بعضي سيستم‌ها ديده مي‌شوند و نيز اطلاعات و نتايج به دست آمده از مراكز و گروه‌هاي مختلف تحقيقاتي كامپيوتري ، پرداخته خواهد شد .

گسترش روزافزون اینترنت و خدمات وابسته به آن برنامه های مخرب از جمله ویروس ها نیز بین کاربران رواج پیدا کرد تا آنجا که هر ساله خسارات فراوانی به مردم سراسر جهان به همین دلیل وارد می شود اما آنچه طی چند سال اخیر گسترش فراوان یافته و برخی کارشناسان معتقدند از ویروس ها نیز مخرب تر و تاثیرگذارتر است، «کرم اینترنتی» است. این کرم ها در اصل برنامه های مخربی هستند که می توانند خود را در جاهای مختلف سیستم کپی کنند و به طور خودکار در شبکه ها و از جمله اینترنت منتشر شوند.شیوع کرم هایی نظیر slamer در سال های اخیر، خسارات فراوانی بر شبکه ها و سیستم ها وارد کرده است و کارشناسان را بر آن داشت تا راه حل جدی برای مقابله با کرم های اینترنتی بیابند. به طور کلی باید توجه داشت که این دسته برنامه ها مشابه ویروس ها، دارای مشخصه اصلی همتاسازی هستند، با این تفاوت که کرم خاصیت انگلی ندارد و انتشار خود را از طریق شبکه انجام می دهد. یک کرم برنامه یی است که می تواند خود را تکثیر کرده و کپی های تکثیر شده را در شبکه کامپیوتری از رایانه یی به رایانه دیگر منتقل کند. پس از ورود به یک سیستم، کرم ممکن است فعال شده شروع به تکثیر کند و مجددا انتشار یابد. گفتنی است علاوه بر انتشار، معمولا کرم کارهای ناخواسته یی را نیز انجام می دهد. یک ویروس پست الکترونیکی معمولا خواص یک کرم را داراست زیرا خود را از یک سیستم به سیستم دیگر منتقل می کند ولی فرآیند متفاوتی را دنبال می کند زیرا برای انتقال به دستگاه دیگر به یک واسطه انسانی نیاز است.در مجموع باید گفت یک کرم به طور فعال به دنبال آلوده کردن سیستم های دیگر است و هر ماشینی که فعال می شود، خود به عنوان یک پایگاه داده فعال برای حمله به ماشین های دیگر به کار می رود. برنامه های مربوط به کرم ها از ارتباطات شبکه یی برای انتقال از یک سیستم به سیستم دیگر استفاده می کند. این کرم ها طی سال های اخیر در انواع مختلف و با اهداف گوناگون وارد شده اند.اما یکی از خطرناک ترین و شایع ترین این کرم ها که به تازگی سومین نسخه از آن منتشر شده و تمامی کاربران در سراسر جهان را نگران کرده است، conficker نام دارد. کرم conficker که با نام downadup نیز شناخته می شود، یک برنامه مخرب کامپیوتری است که از اکتبر سال 2008 ظاهر شد و نسخه های مختلف سیستم عامل ویندوز را مورد هدف قرار داد. اگر کامپیوتری به این کرم آلوده شده باشد، این احتمال وجود دارد که اطلاعاتی از داخل سیستم قربانی به بیرون منتقل شود. این کرم ابتدا در اوج زمان گستردگی در میلیون ها رایانه گسترش یافت و توانست به رایانه های ارتش های آلمان، انگلیس و فرانسه هم نفوذ کند و عملکرد آنها را مختل سازد.کرم conficker معمولا از راه اینترنت یا حافظه های usb به سیستم وارد می شود. این کرم در پی ورود به سیستم های وزارت دفاع آلمان در برلین خسارات فراوانی را به دولت این کشور وارد کرد. سخنگوی این وزارت اعلام کرد در نخستین مرحله صدها کامپیوتر توسط این کرم آلوده و چندین سایت نیروی انتظامی آلمان از شبکه وزارت دفاع قطع شدند. به گفته وی این کرم در اقدامات جدید خود سعی در نفوذ به سیستم های دولتی دارد و تلاش می کند در سیستم های سازمان های دولتی تداخل به وجود آورد. کرم conficker توانسته است از طریق درایوهای usb بین کامپیوترهای وزارت دفاع آلمان منتشر شود و این طور که اخبار رسیده نشان می دهند، کارشناسان این مرکز هنوز موفق به حذف کامل این کرم نشده اند. پس از حمله به وزارت دفاع آلمان، این کرم پارلمان انگلیس را هدف قرار داد. طبق گزارش های منتشر شده توسط متخصصان امنیتی، شبکه های خانگی و پارلمان انگلیس هدف دولتی بعدی بودند که این کرم برای خود در نظر گرفت.پارلمان انگلیس در این خصوص اعلام کرده است کرم conficker توانسته به آهستگی سیستم های کامپیوتری این مرکز را آلوده کند، به طور گسترده منتشر شود و چندین حساب را قفل کند. مشاور امنیتی پارلمان انگلیس اعلام کرد این سازمان تصمیم به حذف آلودگی با نرم افزار های امنیتی دارد و تا زمانی که مشکل به طور کامل برطرف نشود، کاربران مجبورند کامپیوترهای شخصی و قابل حمل خود را به طور کامل از شبکه حذف و از نصب حافظه های usb و دستگاه های قابل انتقال برای ذخیره سازی یا انتقال اطلاعات خودداری کنند. با توجه به اینکه بستر اصلی این کرم خطرناک سیستم عامل ویندوز اعلام شده، شرکت مایکروسافت برای از بین بردن آن جایزه بزرگی را تعیین کرد. در آن زمان مایکروسافت اعلام کرد افرادی که اطلاعات مفیدی در مورد سازندگان و سرور کرم کامپیوتری conficker به نهادهای امنیتی بدهند، می توانند جایزه 250 هزار دلاری این شرکت را دریافت کنند. این تصمیم مایکروسافت بعد از این اتخاذ شد که این شرکت نتوانست سرویس دهنده های اینترنت و کاربران زیادی را برای نصب بسته امنیتی ترغیب کند. دردسر اصلی مایکروسافت زمانی شروع شد که این شرکت در بیانیه یی در ماه اکتبر سال 2008 اعلام کرد خدمات سرور مایکروسافت نسبت به یک کرم کامپیوتری خاص بسیار حساس است. هکرها نیز با شنیدن این خبر تهدید های خود را عملی ساختند و تا اواسط ماه ژانویه سال 2009 بیش از 9 میلیون کامپیوتر را آلوده ساختند و مدیر شرکت qualys پیش بینی کرد 25 تا 30 درصد سیستم های آسیب پذیر فاقد بسته امنیتی هستند.به نظر می رسد حملات هکرها همچنان ادامه دارد به همین دلیل هم مایکروسافت شرکت های کامپیوتری و فعال در زمینه امنیت سایبر، دانشگاه ها و مراکز تحقیقاتی، شرکت های سرویس دهنده اینترنت و زیرساخت های آن را به همکاری در زمینه مبارزه جدی با تهدید های این کرم فراخوانده و از آنها خواسته است از اطلاعات کاربران برای مبارزه با conficker استفاده کنند. تا به حال شرکت هایی مانند ,verisign secure f-، aol، سیمانتک و محققانی از موسسه جرجیاتک و انجمن shadow server به کمک مایکروسافت آمده اند و هدف همه آنها شناسایی و پیدا کردن سرنخ هایی به دامنه های مرتبط با conficker یا downadup است. کرم conficker به این صورت کار می کند که ابتدا به دنبال یکی از فایل های اجرایی و حساس ویندوز به نام services.exe می گردد و بخشی از کد برنامه این فایل می شود. به این ترتیب با تبدیل شدن به فایل های dll ویندوز و با اتصال به سرور خود شروع به تبادل اطلاعات از کامپیوتر آلوده می کند. نام این فایل معمولا پنج تا هشت کاراکتری است و از رجیستری ویندوز تنظیمات مهم و اساسی را خارج و آلوده می کند. بعد از انجام موفقیت آمیز این مرحله فایل های بازیابی سیستم را پاک و یک سرور http روی کامپیوتر آلوده ایجاد می کند. این سرور فایل های متعددی را از سرور سازنده ویروس دانلود می کند. بیشتر برنامه ها و ویروس های مخرب فایل های آلوده خود را از تنها یک سایت بارگذاری می کنند که این امر شناسایی آنها را آسان تر می سازد. کلید موفقیت conficker نیز در عدم استفاده از این روش است. به این ترتیب به جای ایجاد یک سرور از یک دامنه، conficker با استفاده از الگوریتم پیچیده یی روزانه هزاران دامنه با نام های تصادفی می سازد که تنها یکی از این سایت ها برای بارگذاری فایل ها مورد استفاده قرار می گیرد. با توجه به تعدد و پیچیده بودن رویه و الگوریتم ساخت این دامنه ها یافتن یک سایت از میان میلیون ها سایت تقریبا غیرممکن است. متخصصان در حال حاضر موفق به یافتن مرکز این کرم نشده اند و تنها تعداد کامپیوترهای آلوده را تخمین زده اند.بیشترین تعداد کاربران آلوده از چین، برزیل، روسیه و هند گزارش شده است. مایکروسافت همچنین اعلام کرده است هیچ محدودیتی از قبیل ملیت و موقعیت افراد برای شرکت در این کار ندارد و هر کسی می تواند مبلغ 250هزار دلار را برنده شود. اما این طور که اخبار جدید نشان می دهند، برای شناسایی و از بین بردن این کرم راه جدیدی پیدا شده است. تنها چند روز پیش از آنکه کرم conficker تماس مجدد خود را با سیستم های کنترلی برای زیرساخت های جدید برقرار کند، محققان یک حفره جدید در این کرم کشف کردند که شناسایی آن را روی کامپیوتر آلوده شده آسان می کند. تیلمن وارنر و فلیکس لدراز اعضای سازمان داوطلب honeynet project که در زمینه تهدیدات اینترنتی فعالیت می کند، دریافتند که کامپیوترهای شخصی آلوده به کرم conficker هنگام ارسال پیامrpc (remote procedure call) با پیغام های خطای غیرمعمول روبه رو می شوند. به دنبال یافته های جدید این افراد، کامپیوترهای شخصی که به کرم conficker.c، سومین نسخه از این کرم آلوده شده اند از اول آوریل برنامه ارتباطی جدیدی را مورد استفاده قرار می دهند تا بتوانند یک لینک جدید برای دسترسی به سرورهای کنترل و فرماندهی ایجاد کنند که این لینک مورد استفاده هکرها قرار می گیرد. مشکلی که در اینجا برای کارشناسان وجود دارد این است که نمی دانند تولیدکنندگان این کرم اینترنتی چه فرمانی را برای این سرورها صادر خواهند کرد. وارنر و لدر به همراه دان کامینسکی کارشناس امنیتی که تابستان گذشته حفره امنیتی خطرناک در نرم افزارdns (domain name system) را شناسایی کرد، با یافته های جدید خود اسکنری را که باعث می شد کامپیوترهای مجهز به سیستم عامل ویندوز به این کرم آلوده شوند، مورد بررسی قرار دادند. در این میان مایکروسافت نیز ادعا می کند با به روزرسانی ابزار امنیتی خود، موفق شده است این کرم را تا اندازه یی از پا دربیاورد. با توجه به اینکه کرم conficker یکی از حفره های windows server service را تحت پوشش خود قرار می داد، مایکروسافت ادعا می کند با این به روزرسانی مشکل کاربران حل می شود. با این وجود کارشناسان امنیتی شرکت سیمانتک هشدار دادند از اول آوریل conficker خود را برای مقاومت بیشتر آماده کرده است و در اقدام جدید خود در تلاش است نوع جدید خود را با نام c strain منتشر کند. کامپیوترهایی که به این نوع جدید آلوده شوند، قادر نخواهند بود وصله ها و به روزرسانی های امنیتی را دریافت کنند. بازیاب