طی روزهای اخیر موج جدیدی از حملات باجگیری توسط بدافزارهایی موسوم
به تسلاکریپت و آلفاکریپت در کشورهای مختلف به راه افتاده است و این روزها
تمامی غولهای امنیتی دنیا به دنبال راهحلی قاطع برای مقابله با این نوع
بدافزارها هستند. ما هم به نوبه خود و به دلیل اهمیت موضوع، تصمیم گرفتیم
به بررسی این نوع حملات نوظهور بپردازیم و برای کسانی که به هر گونهای
دچار این نوع حملات شدهاند، راهحلی موفق و آزمایش شده معرفی کنیم.
«تسلاکریپت» و «آلفاکریپت» چیست؟
به گزارش سافت گذر به نقل اززومیت؛ تسلاکریپت و آلفاکریپت بدافزارهای خطرناک و پیشرفتهای هستند که تمامی
نسخههای سیستمعامل ویندوز را مورد هدف حملات خود قرار میدهند و با
رمزنگاری تمامی فایلها به کاربران اجازه دسترسی به آنها را نمیدهند. این
بدافزارها که به بدافزارهای «باجگیر» یا «باجافزار» مشهور هستند پس از
نفود به رایانه کاربران تمامی اطلاعات و فایلها آنها را اسکن کرده و با
روش رمزنگاری AES تمامی آنها را رمزگذاری میکنند و تا وقتی که مبلغی یه
عنوان باج از آنها نگیرند، اجازه نمیدهند تا به رایانه یا فایلهایشان
دسترسی داشته باشند.
این نوع بدافزارها پس از اتمام فرآیند رمزنگاری، دستورالعملی برای کاربر
نمایش میدهند که او چگونه قادر است اطلاعات خود را رمزگشایی کند. در
دستورالعمل به نمایش گذاشته شده از کاربر خواسته میشود که در ازای
بازگردانی فایلهای خود، مبلغی در حدود 500 دلار از طریق بیتکوین پرداخت
کند. با این ترفند شناسایی سودجویان و متصدیان این قضیه تقریبا غیرممکن
میگردد! چرا که برای هر کاربر، آدرس یکتایی برای پرداخت وجه موردنظر تولید
میشود.
زمانی که تسلاکریپت یا آلفاکریپت در سیستم قربانی نفوذ میکند، در پوشه
«%AppData%» برنامه اجرایی با نام تصادفی ایجاد میکند. این برنامه تمامی
درایوها را اسکن کرده و تمامی فایلهای مورد نظر خود را رمزنگاری کرده و به
انتهای آنها پسوندی اضافه میکند. پسوند اضافه شده به انتهای فایلها
بستگی به نوع بدافزار دارد. در تسلاکریپت به انتهای فایلها پسوند .EXX یا
.ECC و در آلفاکریپت .EZZ افزوده میشود.
پسوندهایی مورد هدف تسلاکریپت:
پسوندهای مورد هدف آلفاکریپت:
این بدافزارها تمامی اطلاعات حافظهها و درایوهای متصل به سیستم قربانی
اعم از دیسکهای سخت، حافظههای قابلحمل، فایلهای به اشتراک گذاشته در
شبکه و حتی دراپباکس را شناسایی کرده و با رمزنگاری آنها به هیچ فایلی
رحم نمیکنند.
بعد از اتمام مراحل رمزنگاری تمامی نسخههای پشتیبان موسوم به Shadow از
روی سیستم قربانی حذف میگردد تا امید کاربر برای بازگرداندن فایلها
کاملا از بین برود. در انتها پیغامهایی شبیه تصاویر زیر برای کاربران
نمایان میگردد.همچنین در کنار فایلهای رمزنگاری شده، فایلهای متنی
HELP_TO_DECRYPT_YOUR_FILES.txt، HELP_RESTORE_FILES.txt و یا
HELP_TO_SAVE_FILES.txt را میتوان مشاهده کرد.
بعد از آلوده شدن رایانه خود، چه باید بکنیم؟
اگر متوجه شدید که سیستمتان مورد حمله قرار گرفته است، سریعا رایانه
خود را خاموش کرده و در صورت امکان از اطلاعات کنونی خود نسخه پشتیبان تهیه
کنید. این کار باعث خواهد شد که اگر در آینده برنامهای برای رمزگشایی
اطلاعات از سوی فعالان حوزه امنیت به بیرون درز کند، بتوانید فایلهای خود
را رمزگشایی کنید.
چگونه رایانهتان آلوده میشود؟
وجود ضعف های امنیتی فراوان در سیستمعامل ویندوز و دیگر نرم افزارهای
کاربردی نظیر جاوا، ادوبی فلش و آکروبات ریدر در رخ دادن حملههای سایبری
بیتاثیر نیستند. ولی بنا به گفته فعالان حوزه امنیت سر منشا این نوع حملات
هنوز مشخص نشده است و گفته میشود هکرها راهها و شیوههای مختلفی برای
نفوذ به رایانهها برمیگزینند.
برای دسترسی به فایلها، آیا مبلغ تعیین شده را پرداخت کنیم؟
در صورتی که بدافزار فرصت کافی داشته و موفق به رمزگذاری فایلها شود،
هیچکدام از نرم افزارهای ضدویروس در دنیا قادر به بازگرداندن فایلهای رمز
شده نیستند و تنها اقدام به شناسایی و حذف فایلهای مخرب و مرتبط با بدافزار
میکنند. تنها راهحل عملی برای بازگرداندن فایلها، پرداخت باج است.
اما این نکته را در نظر داشته باشید که پرداخت مبلغ تعیین شده تنها باعث
تشویق و ترغیب هکرها و افراد سودجو خواهد شد چرا که بعد از پرداخت مبلغ
تعیین شده هیچ تضمینی مبنی بر بازگشت فایلها وجود ندارد.
آیا راهحلی برای رمزگشایی فایلهای EXX، ECC و EZZ وجود دارد؟
خوشبختانه تا به این لحظه (تا لحظه نوشتن این متن)، دو ابزار رایگان
«TeslaDecrypt» و «TeslaDecoder» برای رمزگشایی فایلهای آسیب دیده پیشنهاد
شده است که قادرند فایلهای رمزگذاری شده را رمزگشایی کنند. یک از این
برنامهها که «TeslaDecrypt» نام دارد متعلق به شرکت سیسکو است و تنها قادر
است فایلهای .ECC را رمزگشایی کند. اما برنامه نسبتا جدیدی دیگری با نام
«TeslaDecoder» قادر است تمامی پسوندهای اشاره شده را رمزگشایی کند.
توجه داشته باشید که این برنامهها در حالت بتا قرار دارند و ممکن است
نتوانند فایلها را به درستی رمزگشایی کنند! لذا عواقب ناشی از استفاده این
برنامهها به عهده خود کاربران میباشد و نویسنده این مطلب و سایت زومیت
هیچگونه مسئولیتی در برابر خرابیهای احتمالی ندارد.
رمزگشایی فایلها با استفاده از برنامه «TeslaDecoder»:
این ابزار رایگان، 23 اردیبهشت سال جاری توسط یکی از کاربران سایت
bleepingcomputer برنامهنویسی شده است و همانطور که قبلا اشاره کردیم
قادر است فایلهای رمزنگاری شده توسط تسلاکریپت و آلفاکریپت را رمزگشایی
کند. قبل از انجام هر کاری حتما رایانه خود را با یکی از نرمافزارهای
Malwarebytes، HitmanPro و یا SpyHunter اسکن نمایید تا فایلهای مخرب و
مرتبط با بدافزار پاک شوند. سپس آخرین نسخه برنامه را از لینک زیر دانلود
نمایید:
بعد از دانلود فایل مربوطه و خارج کردن آن از حالت فشرده، فایل
TeslaDecoder.exe را اجرا کنید. بلافاصله بعد از اجرا شدن، برنامه به صورت
خودکار از مسیرهای از پیش تعیین شده به دنبال فایلهای «storage.bin» یا
«key.dat» میگردد تا کلید اختصاصی را از فایلهای مذکور استخراج کند. اگر
برنامه بتواند کلید اختصاصی را با موفقیت پیدا کند پیغامی مشابه، عکس زیر
برایتان نمایان میشود. همچنین شما میتوانید با کلیک بر روی دکمه «Load
data file» به صورت دستی مسیر فایلهای «storage.bin» یا «key.dat» را مشخص
سازید.
بعد از پیدا شدن کلید اختصاصی، برای راستی آزمایی برنامه
«TeslaDecoder»، پوشهای ایجاد کرده و تعدادی از فایلهای آسیب دیده را
درون آن کپی کنید. سپس با کلیک بر روی «Decrypt Folder» مسیر پوشه ایجاد
شده را مشخص نمایید. اگر همه چیز بر وفق مراد باشد تمامی فایلها با موفقیت
رمزگشایی خواهد شد. بعد از مرحله راستی آزمایی و اطمینان از درست کار کردن
برنامه، فایلهای خود را با خیال راحت رمزگشایی کنید.
برای در امان ماندن از گزند این نوع حملات، چه باید کنیم؟
براساس گزارش شرکتهای امنیتی ویروسهای باجافزار هر روز پیشرفتهتر
میشوند و در چند سال اخیر رشد چشمگیری داشتهاند. لذا برای در امان ماندن
از گزند این نوع حملات انجام اقدامات پیشگیرانه ضروری به نظر میرسد.برخی
از اقدامات پیشگیرانه:
- علاوه بر تجهیز رایانه خود به ضدویروسهای قدرتمند و معتبر از بهروز بودن آنها اطمینان حاصل کنید.
- به ضدویروسها اکتفا نکنید و در صورت امکان از برنامههای ضد بدافزار و
هرزنامه از قبیل Malwarebytes، HitmanPro و غیره در کنار ضدویروسها
استفاده کنید.
- بروزرسانی سیستمعامل و نرمافزارهای کاربردی و نصب اصلاحیههای امنیتی آنها را هرگز فراموش نکنید.