بدافزار DanaBot چیست؟ - XNET | اخبار مقالات امنیت سایبری

بدافزارها، به‌ویژه تروجان‌های پیچیده و چندمنظوره، یکی از بزرگ‌ترین تهدیدات پیش روی سازمان‌های ایرانی در دنیای امروز هستند. حملات سایبری اخیر و گزارش‌های متعدد از نفوذ به زیرساخت‌های حیاتی کشور، نشان‌دهنده این واقعیت است که دیگر نمی‌توان با رویکردهای سنتی امنیت را تأمین کرد. در این میان، بدافزارDanaBotبه دلیل قابلیت‌های تخریبی بالا، تکامل مداوم و تمرکز بر سرقت اطلاعات مالی و حساس، به یک تهدید جدی و قابل تأمل برای زیرساخت‌های IT سازمان‌ها، به‌ویژه در بخش‌های مالی و دولتی، تبدیل شده است. این مقاله به بررسی عمیق این بدافزار، نحوه عملکرد آن و راهکارهای مؤثر برای مقابله و پیشگیری از آلودگی می‌پردازد.

بدافزار DanaBot چیست؟

DanaBot یک تروجان بانکی (Banking Trojan) بسیار پیشرفته و ماژولار است که اولین بار در سال ۲۰۱۸ شناسایی شد. این بدافزار که به زبان برنامه‌نویسی Delphi نوشته شده، در ابتدا با هدف سرقت اطلاعات بانکی و مالی کاربران طراحی شده بود، اما به‌سرعت تکامل یافت و به یک ابزار دسترسی از راه دور (Remote Access Trojan – RAT) قدرتمند تبدیل شد. این تکامل به مهاجمان اجازه می‌دهد تا علاوه بر سرقت اطلاعات، کنترل کاملی بر روی سیستم آلوده به دست آورند، بدافزارهای دیگری مانند باج‌افزارها را بر روی آن مستقر کنند و از آن به عنوان نقطه‌ای برای نفوذ بیشتر به شبکه داخلی سازمان استفاده نمایند.

تاریخچه و تکامل

سیر تکاملی DanaBot نشان‌دهنده هوشمندی و سازمان‌یافتگی تیم توسعه‌دهنده آن است. نسخه‌های اولیه این بدافزار عمدتاً از طریق کمپین‌های فیشینگ و ایمیل‌های اسپم که حاوی فایل‌های مخرب Microsoft Office بودند، منتشر می‌شد. کاربران با فعال کردن ماکروهای مخرب، ناخواسته بدافزار را بر روی سیستم خود اجرا می‌کردند.

با گذشت زمان، DanaBot پیچیده‌تر شد

*ماژولار شدنقابلیت افزودن ماژول‌های جدید به بدافزار، به مهاجمان این امکان را داد تا بر اساس هدف خود، عملکردهای خاصی مانند ضبط کلیدهای فشرده شده (Keylogging)، سرقت رمزهای عبور ذخیره‌شده در مرورگرها، گرفتن اسکرین‌شات و حتی کنترل از راه دور دسکتاپ را به آن اضافه کنند.
*تکنیک‌های ضدتحلیلنسخه‌های جدیدتر از تکنیک‌های پیشرفته‌ای برای جلوگیری از شناسایی توسط نرم‌افزارهای امنیتی و دشوار ساختن تحلیل توسط کارشناسان امنیت استفاده می‌کنند. این تکنیک‌ها شامل رمزنگاری رشته‌ها، بررسی محیط اجرا (Sandbox Detection) و استفاده از کدهای مبهم‌سازی شده (Obfuscation) است.
*تغییر در مدل کسب‌وکارDanaBot از یک بدافزار خصوصی به یک مدل بدافزار به عنوان سرویس (Malware-as-a-Service – MaaS) تبدیل شد. این یعنی گروه‌های تبهکار مختلف می‌توانند این بدافزار را اجاره کرده و برای اهداف خود از آن استفاده کنند، که این امر منجر به گسترش سریع و جهانی آن شده است.

نحوه عملکرد DanaBot

عملکرد DanaBot را می‌توان به چند مرحله کلیدی تقسیم کرد. درک این مراحل برای شناسایی و مقابله با آن حیاتی است.

۱.نقطه ورود و آلودگی اولیه (Initial Infection)

رایج‌ترین روش انتشار DanaBot، ایمیل‌های فیشینگ است. این ایمیل‌ها معمولاً با عناوین فریبنده مانند «فاکتور پرداخت نشده»، «ابلاغیه قضایی» یا «گزارش مالی» ارسال می‌شوند و حاوی یک فایل پیوست مخرب (مانند فایل Word یا Excel با ماکروی آلوده) یا یک لینک به یک وب‌سایت جعلی هستند. به محض اینکه کاربر فایل را باز کرده و ماکروها را فعال کند یا فایل اجرایی را از لینک دانلود شده اجرا نماید، فرآیند آلودگی آغاز می‌شود.

۲.ایجاد پایداری (Persistence)

پس از اجرا، DanaBot بلافاصله تلاش می‌کند تا جای پای خود را در سیستم قربانی محکم کند. این کار معمولاً از طریق ایجاد کلیدهایی در رجیستری ویندوز (مانند `Run` یا `RunOnce`) یا ایجاد وظایف زمان‌بندی شده (Scheduled Tasks) انجام می‌شود تا اطمینان حاصل شود که بدافزار پس از هر بار راه‌اندازی مجدد سیستم، دوباره اجرا خواهد شد.

۳.ارتباط با سرور کنترل و فرمان (C&C Communication)

یکی از ویژگی‌های برجسته DanaBot، استفاده از شبکه‌های ناشناس‌ساز مانندTorبرای ارتباط با سرورهای کنترل و فرمان (Command and Control – C&C) است. این کار شناسایی و مسدودسازی سرورهای مهاجمان را برای تیم‌های امنیتی بسیار دشوار می‌سازد. بدافزار پس از برقراری ارتباط، اطلاعات اولیه سیستم قربانی (مانند نسخه ویندوز، نام کاربری و لیست نرم‌افزارهای نصب‌شده) را برای سرور ارسال می‌کند.

۴.تکنیک‌های پیشرفته

DanaBot از تکنیک‌های پیچیده‌ای برای عملیات خود بهره می‌برد

*تزریق وب (Web Injection)این بدافزار می‌تواند کدهای مخرب جاوا اسکریپت را به صفحات وب بانکی که کاربر در مرورگر خود باز می‌کند، تزریق کند. این کدها به مهاجم اجازه می‌دهند تا فرم‌های ورود جعلی نمایش دهند، اطلاعات لاگین را سرقت کنند یا تراکنش‌های بانکی را در پس‌زمینه دستکاری نمایند.
*نودهای BackconnectDanaBot می‌تواند سیستم آلوده را به یک پراکسی (Proxy) یا نود backconnect تبدیل کند. این بدان معناست که مهاجم می‌تواند ترافیک خود را از طریق سیستم قربانی هدایت کرده و هویت واقعی خود را پنهان سازد. این ویژگی برای انجام حملات دیگر یا دسترسی به منابع شبکه داخلی سازمان بسیار خطرناک است.
*جمع‌آوری اطلاعاتماژول‌های مختلف DanaBot به طور مداوم در حال جمع‌آوری اطلاعات حساس هستند، از جمله

* رمزهای عبور ذخیره‌شده در مرورگرها و نرم‌افزارهای ایمیل.

* اطلاعات مربوط به کیف پول‌های ارز دیجیتال (Cryptocurrency Wallets).

* کلیدهای فشرده شده توسط کاربر (Keylogging).

* اطلاعات مربوط به FTP و VNC.

آسیب‌پذیری‌های رایج و نقاط ضعف سیستم‌ها

موفقیت بدافزارهایی مانند DanaBot صرفاً به دلیل پیچیدگی آن‌ها نیست، بلکه به دلیل وجود نقاط ضعف و آسیب‌پذیری‌های گسترده در زیرساخت‌های IT سازمان‌ها نیز می‌باشد.

چالش‌های زیرساخت‌های سازمانی در ایران

در سازمان‌های ایرانی، برخی چالش‌ها و مشکلات شایع، زمینه را برای نفوذ این‌گونه بدافزارها فراهم‌تر می‌کنند

*سیستم‌های قدیمی و فاقد پشتیبانیاستفاده از نسخه‌های قدیمی ویندوز (مانند ویندوز 7 یا ویندوز سرور 2008) که دیگر به‌روزرسانی‌های امنیتی دریافت نمی‌کنند، یک ریسک بزرگ است. مهاجمان به خوبی از آسیب‌پذیری‌های شناخته‌شده این سیستم‌ها آگاه هستند و به راحتی می‌توانند از آن‌هااکسپلویتکنند.
*ضعف در مدیریت وصله‌های امنیتی (Patch Management)بسیاری از سازمان‌ها فرآیند منظم و مدونی برای نصبوصله‌های امنیتیبر روی سیستم‌عامل‌ها و نرم‌افزارها ندارند. یک آسیب‌پذیری ساده در نرم‌افزاری مانند Microsoft Office یا یک مرورگر وب می‌تواند نقطه ورود اولیه برای DanaBot باشد.
*استفاده از سرورهای ایمیل قدیمی و ناامنسرورهای ایمیل، به خصوص نسخه‌های قدیمیMicrosoft Exchangeکه به درستی امن‌سازی (Hardening) نشده‌اند، یکی از اهداف اصلی مهاجمان هستند. آسیب‌پذیری‌هایی مانند ProxyLogon و ProxyShell در سال‌های اخیر نشان دادند که چگونه یک سرور ایمیل آسیب‌پذیر می‌تواند به دروازه‌ای برای ورود به کل شبکه سازمان تبدیل شود. ایمیل‌های فیشینگ که ناقل DanaBot هستند، به راحتی از فیلترینگ ضعیف این سرورهای قدیمی عبور می‌کنند.
*عدم آگاهی کاربرانخطای انسانی همچنان یکی از بزرگ‌ترین عوامل موفقیت حملات سایبری است. کاربرانی که آموزش کافی در زمینه شناسایی ایمیل‌های فیشینگ ندیده‌اند، به راحتی فریب خورده و فایل‌های مخرب را اجرا می‌کنند.
*پیکربندی نادرست تجهیزات امنیتیوجود فایروال‌ها و آنتی‌ویروس‌ها به تنهایی کافی نیست. اگر این ابزارها به درستی پیکربندی نشده باشند یا قوانین آن‌ها به طور منظم بازبینی نشود، کارایی خود را از دست می‌دهند.

مقابله با DanaBot و جلوداری از آلودگی

مقابله با تهدیدی پیچیده مانند DanaBot نیازمند یک رویکرد چندلایه و جامع است که شامل اقدامات پس از آلودگی و استراتژی‌های پیشگیرانه می‌شود.

اقدامات لازم پس از آلودگی

اگر مشکوک به آلودگی سیستمی با DanaBot هستید، باید فوراً اقدامات زیر را انجام دهید

1.جداسازی فوری سیستماولین و مهم‌ترین قدم، قطع ارتباط سیستم آلوده از شبکه سازمان (هم شبکه داخلی و هم اینترنت) است. این کار از گسترش بدافزار به سایر سیستم‌ها و جلوگیری از ارتباط آن با سرور C&C جلوگیری می‌کند.

2.شناسایی و تحلیلبا استفاده از ابزارهای مانیتورینگ پردازش (مانند Process Explorer) و شبکه (مانند Wireshark)، پردازه‌های مشکوک و ارتباطات شبکه‌ای ایجاد شده توسط بدافزار را شناسایی کنید. DanaBot معمولاً خود را در پوشه‌های سیستمی پنهان کرده و نام‌های عمومی برای پردازه‌های خود انتخاب می‌کند.

3.پاکسازی و حذف پایداری

* پردازه مخرب را خاتمه دهید.

* فایل‌های مرتبط با بدافزار را از روی دیسک حذف کنید.

* کلیدهای رجیستری و وظایف زمان‌بندی شده‌ای که برای پایداری ایجاد شده‌اند را پاک کنید.

4.تغییر تمامی رمزهای عبوراز آنجایی که DanaBot یک سارق اطلاعات است، باید فرض کنید که تمام رمزهای عبور ذخیره‌شده بر روی سیستم آلوده (ایمیل، حساب‌های کاربری شبکه، حساب‌های بانکی) به سرقت رفته‌اند. تمامی این رمزها باید فوراً از یک سیستم پاک و امن تغییر داده شوند.

5.بازیابی از پشتیبان یا نصب مجدد سیستم‌عاملدر بسیاری از موارد، مطمئن‌ترین راه برای اطمینان از پاکسازی کامل، فرمت کردن سیستم و نصب مجدد سیستم‌عامل از یک منبع معتبر و سپس بازیابی اطلاعات از یک نسخه پشتیبان پاک است.

جلوگیری از بازگشت بدافزار

اقدامات واکنشی کافی نیستند. یک استراتژی دفاعی مؤثر باید بر پیشگیری تمرکز داشته باشد

*آموزش و آگاهی‌رسانی به کاربرانبرگزاری دوره‌های آموزشی منظم در مورد شناسایی ایمیل‌های فیشینگ و مهندسی اجتماعی، خط مقدم دفاعی سازمان را تقویت می‌کند.
*استفاده از راهکارهای امنیتی پیشرفته

*Endpoint Detection and Response (EDR)ابزارهای EDR رفتار سیستم‌ها را به صورت مداوم تحلیل کرده و قادر به شناسایی فعالیت‌های مشکوک DanaBot، حتی اگر امضای آن برای آنتی‌ویروس ناشناخته باشد، هستند.

*دروازه ایمیل امن (Secure Email Gateway)استفاده از یک راهکار قدرتمند برای فیلترینگ ایمیل که بتواند پیوست‌های مخرب، لینک‌های آلوده و ایمیل‌های اسپم را قبل از رسیدن به صندوق ورودی کاربر مسدود کند، حیاتی است.

*مدیریت سختگیرانه وصله‌های امنیتیایجاد یک برنامه منظم برای اسکن آسیب‌پذیری‌ها و نصب فوری وصله‌های امنیتی برای سیستم‌عامل‌ها و تمامی نرم‌افزارهای کاربردی.
*سخت‌سازی (Hardening) سیستم‌هاغیرفعال کردن سرویس‌های غیرضروری، محدود کردن دسترسی کاربران بر اساس اصل حداقل دسترسی (Principle of Least Privilege) و پیکربندی صحیح فایروال‌ها، سطح حمله را به شدت کاهش می‌دهد.
*جداسازی شبکه (Network Segmentation)تقسیم‌بندی شبکه به بخش‌های کوچک‌تر و کنترل ترافیک بین آن‌ها، از گسترش سریع بدافزار در صورت نفوذ اولیه جلوگیری می‌کند.

تجزیه و تحلیل IOC

شاخص‌های آلودگی یا (Indicators of Compromise – IOCs) داده‌هایی هستند که وجود یک فعالیت مخرب در شبکه یا روی یک سیستم را نشان می‌دهند. در مورد DanaBot، این شاخص‌ها می‌توانند به تیم‌های امنیتی کمک کنند تا آلودگی را سریع‌تر شناسایی کرده و به آن پاسخ دهند.

چگونه IOCها به شناسایی بدافزارها کمک می‌کنند

IOCها شامل موارد زیر می‌شوند

*هش فایل‌ها (File Hashes)مقادیر هش (MD5, SHA-1, SHA-256) مربوط به فایل‌های اجرایی DanaBot.
*آدرس‌های IP و دامنه‌هاآدرس IP سرورهای C&C که بدافزار با آن‌ها ارتباط برقرار می‌کند.
*کلیدهای رجیستریکلیدهایی که بدافزار برای پایداری خود در رجیستری ویندوز ایجاد می‌کند.
*قوانین ترافیک شبکهالگوهای خاص در ترافیک شبکه، مانند ارتباط با پورت‌های غیرمعمول یا استفاده از پروتکل Tor.

تیم‌های امنیتی می‌توانند این IOCها را در ابزارهای خود مانندSIEM (Security Information and Event Management)فایروال‌ها و سیستم‌های تشخیص نفوذ (IDS/IPS) وارد کنند تا در صورت مشاهده هر یک از این شاخص‌ها، هشدارهای لازم را دریافت نمایند.

نتیجه‌گیری

بدافزار DanaBot یک نمونه برجسته از تهدیدات سایبری مدرن است: پیچیده، چندمنظوره و در حال تکامل دائمی. مقابله با این تهدید جدی نیازمند یک استراتژی دفاع در عمق (Defense in Depth) است که شامل فناوری‌های پیشرفته، فرآیندهای امنیتی مدون و آگاهی کاربران باشد. سازمان‌های ایرانی باید با درک چالش‌های بومی خود، از جمله زیرساخت‌های قدیمی و ضعف در مدیریت وصله‌ها، رویکردی فعالانه برایامن‌سازیدارایی‌های دیجیتال خود اتخاذ کنند.

در این مسیر، مدرن‌سازی زیرساخت‌های کلیدی مانند سرور ایمیل و جایگزینی پلتفرم‌های آسیب‌پذیر با راهکارهای امن و یکپارچه مانند IceWarp، گامی حیاتی در جهت کاهش سطح حمله و تقویت وضعیت امنیتی سازمان است. با این حال، امنیت یک فرآیند مستمر است و هیچ راه‌حل واحدی به تنهایی کافی نیست. مشاوره با کارشناسان امنیت سایبری و دریافت راهنمایی تخصصی برای ارزیابی ریسک‌ها و تدوین یک نقشه راه امنیتی، بهترین سرمایه‌گذاری برای حفاظت از سازمان در برابر تهدیدات روزافزون دنیای دیجیتال است.

برای ارزیابی پایداری، امنیت و نگهداری این زیرساخت، راهنمای پشتیبانی شبکه را نیز مطالعه کنید.