حمله بدافزار بدون فایل LOtL چیست؟

مجرمان سایبری برای حمله، نیازی به نصب بدافزار روی سیستم شما ندارند. آنها میتوانند بی سروصدا از برنامه‌های موجود برای بدست گرفتن کنترل استفاده کنند.

در بیشتر حملات سایبری، بدافزار، کامپیوتر قربانی را آلوده میکند و بعنوان ایستگاه اتصال مهاجم عمل میکند.

یافتن و حذف این ایستگاه اتصال با ضد بدافزار نسبتاً آسان است. اما روش حمله دیگری وجود دارد که در آن مجرم سایبری نیازی به نصب بدافزار ندارد.

در عوض، یک مهاجم اسکریپتی را اجرا میکند که از منابع موجود در دستگاه برای حمله سایبری استفاده میکند. و بدتر از همه، حمله بدافزار بدون فایل Living off the Land (LotL) میتواند برای مدت طولانی شناسایی نشود.

با اینحال، پیشگیری، یافتن و خنثی کردن این حملات امکانپذیر است.

حمله بدافزار بدون فایل Living Off The Land چیست؟

حمله LotL نوعی حمله بدافزار بدون فایل است که در آن یک هکر بجای استفاده از بدافزار، از برنامه‌های موجود در دستگاه استفاده میکند. این روش، امکان کشف حمله را کمتر میکند.

برخی از برنامه‌های بومی که هکرها اغلب برای حملات LotL استفاده میکنند عبارتند از:

– command line console
– PowerShell
– Windows registry console
– Windows Management Instrumentation command line

هکرها همچنین از‌هاست‌های اسکریپت مبتنی بر ویندوز و مبتنی بر کنسول (WScript.exe و CScript.exe) استفاده میکنند. ابزارها با هر کامپیوتر ویندوزی ارائه میشوند و برای اجرای کارهای اداری عادی ضروری هستند.

حملات بدافزار بدون فایل (LotL) چگونه اتفاق می‌افتد؟

اگرچه حملات LotL نوعی از حملات بدافزار بدون فایل هستند، هکرها همچنان به ترفندهای مهندسی اجتماعی آشنا برای یافتن اینکه چه کسی را هدف قرار دهند، تکیه میکنند.

در ابتدا، بسیاری از حملات زمانی اتفاق می‌افتند که کاربر از یک وبسایت ناامن بازدید میکند، یک ایمیل فیشینگ باز میکند یا از درایو USB آلوده استفاده میکند. این وبسایت‌ها، ایمیلها یا دستگاههای مدیا، کیت حمله حاوی اسکریپت بدون فایل را دارا میباشند.

در مرحله بعدی هک، کیت برنامه‌های سیستم را از نظر آسیب‌پذیری اسکن میکند و اسکریپت را برای به‌خطر انداختن برنامه‌های آسیب‌پذیر اجرا میکند.

از اینجا به بعد، مهاجم میتواند از راه دور به کامپیوتر دسترسی داشته باشد و داده‌ها را سرقت کند یا با استفاده از برنامه‌های سیستم، درهای پشتی آسیب‌پذیری ایجاد کند.

اگر قربانی حمله LotL بدافزار بدون فایل هستید چه باید کرد؟

از آنجاییکه حملات بدافزار بدون فایل LotL از برنامه‌های بومی استفاده میکنند، آنتی ویروس شما ممکن است حمله را شناسایی نکند.

اگر شما یک کاربر قدرتمند ویندوز هستید یا از فناوری آگاه هستید، میتوانید از بازرسی command-line برای شناسایی مهاجمان و حذف آنها استفاده کنید. در اینصورت شما به‌دنبال گزارشهای فرآیندی خواهید بود که مشکوک به‌نظر میرسند.

با فرآیندهای بازرسی شروع کنید؛ با حروف و اعداد تصادفی؛ دستورات مدیریت کاربر در مکانهای غیرعادی، اجرای مشکوک اسکریپت؛ اتصال به URL‌ها یا آدرسهای IP مشکوک؛ و پورتهای آسیب پذیر و باز.

• Turn off the Wi-Fi

اگر مانند بسیاری از افراد برای محافظت از دستگاه خود به ضد بدافزار متکی هستید، ممکن است تا مدتها بعد متوجه آسیبی نشوید.

اگر شواهدی دارید که نشان میدهد هک شده‌اید، اولین کاری که باید انجام دهید اینست که کامپیوتر خود را از اینترنت جدا کنید. بدین ترتیب، هکر نمیتواند با دستگاه ارتباط برقرار کند.

همچنین باید دستگاه آلوده را از دستگاههای دیگر جدا کنید اگر بخشی از یک شبکه گسترده‌تر است. با اینحال، خاموش کردن وایفای و ایزوله کردن دستگاه آلوده کافی نیست.

بنابراین سعی کنید روتر را خاموش کرده و کابلهای اترنت را جدا کنید. همچنین ممکن است در حین انجام کارهای بعدی برای مدیریت حمله، لازم باشد دستگاه را خاموش کنید.

• Reset Account Passwords

باید فرض کنید که حسابهای آنلاین شما در معرض خطر قرار گرفته‌اند و آنها را تغییر دهید. انجام اینکار برای جلوگیری یا توقف سرقت هویت قبل از اینکه هکر آسیب جدی وارد کند، مهم است.

با تغییر رمزعبور حسابهایی که دارایی‌های مالی شما را در اختیار دارند، شروع کنید. سپس، به سراغ حسابهای کاری و رسانه‌های اجتماعی بروید، بخصوص اگر این حسابها احراز هویت دو مرحله‌ای فعال، نداشته باشند.

برای ایجاد پسوردهای امن نیز میتوانید از یک password manager استفاده کنید. همچنین، 2FA را در حساب خود فعال کنید، اگر پلتفرم از آن پشتیبانی میکند

• Remove Your Drive & Back Up Your Files

اگر دانش درستی دارید،‌ هارد دیسک را از کامپیوتر آلوده جدا کنید و آنرا بعنوان یک‌ هارد دیسک خارجی به کامپیوتر دیگری متصل کنید.

یک اسکن عمیق از‌ هارد دیسک انجام دهید تا هر چیز مخربی را از کامپیوتر قدیمی پیدا کرده و حذف کنید. سپس، فایلهای مهم خود را در یک درایو تمیز و قابل جابجایی دیگر کپی کنید. اگر به کمک فنی نیاز دارید، از دریافت کمک نترسید.

• Wipe the Old Drive

اکنون که یک نسخه بکاپ از فایلهای مهم خود دارید، زمان آن رسیده است که درایو قدیمی را پاک کنید. درایو قدیمی را به کامپیوتر آلوده برگردانید و یک پاک کردن عمیق انجام دهید.

• Do a Clean Install of Windows

یک نصب تمیز، همه چیز را در کامپیوتر شما پاک میکند. به‌نظر میرسد تدابیر بیش از حد بالا باشد، اما بدلیل ماهیت حملات بدافزار بدون فایل LotL ضروری است.

هیچ راهی وجود ندارد که بگوییم یک مهاجم چه تعداد برنامه بومی را در معرض خطر قرار داده یا درهای پشتی را پنهان کرده است.

مطمئن ترین شرط این است که همه چیز را پاک و تمیز نصب کنید.

• Install Security Patches

احتمال وجود دارد که فایل نصبی در مورد به‌روزرسانی‌های امنیتی عقب بماند. بنابراین، پس از نصب یک سیستم‌عامل تمیز، به‌روزرسانی‌ها را اسکن و نصب کنید.

حذف bloatware را درنظر بگیرید – آنها بد نیستند، اما فراموش کردن آنها آسان است تا زمانیکه متوجه شوید چیزی منابع سیستم شما را تحت فشار قرار داده است.

چگونه از حملات بدافزار LotL جلوگیری کنیم

اگر هکرها مستقیماً به کامپیوتر شما دسترسی نداشته باشند، همچنان به راهی برای تحویل محموله خود نیاز دارند.

فیشینگ رایج‌ترین روش است که هکرها می‌یابند که چه کسی را هک کنند.

راههای دیگر عبارتند از هک بلوتوث و حملات man-in-the-middle.

به هر ترتیب، محموله در فایلهای قانونی، مانند فایل مایکروسافت آفیس حاوی اسکریپت‌های کوتاه و قابل اجرا برای جلوگیری از شناسایی پنهان میشود. بنابراین، چگونه از این حملات جلوگیری میکنید؟

• نرم‌افزار خود را به‌روز نگه دارید

محموله در حملات بدافزار بدون فایل LotL هنوز برای اجرا به آسیب‌پذیری‌های یک برنامه یا سیستم‌عامل شما متکی است.

تنظیم دستگاه و برنامه‌هایتان برای دانلود و نصب به‌روزرسانی‌های امنیتی به محض در دسترس قرار گرفتن، میتواند محموله را به یک محتوی تبدیل کند.

• پالیسی‌های محدودیت نرم افزار را تنظیم کنید

به‌روز نگهداشتن نرم‌افزار، شروع خوبی است، اما چشم‌انداز امنیت سایبری به‌سرعت تغییر میکند.

ممکن است یک پنجره به‌روزرسانی را برای از بین برد‌ن آسیب‌پذیری‌ها قبل از سوءاستفاده مهاجمان از دست بدهید.

بدین ترتیب، بهتر است در وهله اول نحوه اجرای دستورات یا استفاده از منابع سیستم توسط برنامه‌ها را محدود کنید.

در اینجا دو گزینه دارید: لیست سیاه و لیست سفید برنامه‌ها.

لیست سفید زمانیست که به فهرستی از برنامه‌ها بطور پیشفرض دسترسی به منابع سیستم را میدهید. سایر برنامه‌های موجود و جدید بطور پیشفرض محدود شده‌اند.

برعکس، لیست سیاه زمانیست که شما لیستی از برنامه‌هایی تهیه میکنید که نمیتوانند به منابع سیستم دسترسی داشته باشند.

بدین ترتیب، سایر برنامه‌های موجود و جدید میتوانند بطور پیشفرض به منابع سیستم دسترسی داشته باشند.

هر دو گزینه مزایا و معایب خود را دارند، بنابراین شما باید تصمیم بگیرید که کدامیک برای شما بهترین است.

هیچ محصول یا روش یا ترفندی برای حملات سایبری وجود ندارد

ماهیت حملات بدافزار بدون فایل Living off the Land به این معناست که بیشتر مردم تا زمانیکه مشکلی جدی پیش نیاید متوجه هک شدن خود نخواهند شد.

حتی اگر از نظر فنی باهوش باشید، هیچ راهی برای تشخیص نفوذ یک دشمن به شبکه شما وجود ندارد

بهتر است در وهله اول با انجام اقدامات احتیاطی معقول از حملات سایبری خودداری کنید.