مقدمه

باج افزارها یکی از سه تهدید مهم حال حاضر دنیای فناوری اطلاعات هستند که باتوجه به نقاط ضعف و سهل انگاری ها در زمینه ملاحظات امنیتی، نحوه مقابله با این قبیل حوادث جزء ابهامات و دغدغه­های اصلی کارشناسان ذیربط است. فرض کنید اکنون در سیستم یکی از کاربران علایم باج افزار مشاهده شده و کلیه اطلاعات محلی و شبکه شما رمز شده است. شما بعنوان کارشناس امنیت، اولین اقدامی که انجام خواهید داد، چه خواهدبود؟ با چه مرجعی تماس می گیرید؟ اطلاع رسانی به کارکنان و مشتریان کسب و کارتان چگونه خواهدبود؟ و سوالاتی از این دست که وقتی در بطن ماجرا قرار بگیرید، اهمیت آمادگی و اقدام صحیح و به موقع روشن خواهدشد. در این محتوی سعی شده است، اقدامات عملی و استاندارد مواجهه با این رویداد و اتخاذ تدابیر لازم در زمان وقوع حادثه معرفی شود.

• آمادگی اولیه
  • دانش خود را در زمینه خط مشی های[1] امنیتی سیستم عاملهای رایج افزایش دهید.
  • دانش خود را در زمینه خط مشی های رایج نمایه[2] کاربران افزایش دهید.
  • از به­روزبودن محصولات امنیتی داخل و لبه شبکه اطمینان حاصل نمایید.
  • از آنجاکه این تهدید اغلب ازطریق کاربران نهایی درک و گزارش می شود، سعی کنید آگاهی نیروهای پشتیبان فناوری اطلاعات را از این حیث ارتقاء بخشید.
  • نسبت به وجود پشتیبان های جامع، به­روز و در دسترس از داده­های شبکه و محلی کاربران اطمینان حاصل کنید.

 

• شناسایی تهدید:

 

علایم عمومی ظهور باج افزار

2-1) دریافت ایمیل­های شغلی عجیب (عموماً در ظاهر مبدل صورتحساب) که دارای پیوست هستند.

2-2) ظهور یک پیام باج­خواهی روی دسکتاپ کاربر با مضمون رمزشدن اطلاعات و مطالبه وجه  برای رفع مشکل (شکل 1)

 

شکل 1) پیام باج افزار واناکریپت در دسکتاپ کاربر

 

2-3) شکایت کاربران از حذف یا خراب­شدن فایلهای محلی یا شبکه­ یا تغییر عجیب پسوند فایلها (نظیر .abc , .xyz , .aaa )

2-4) تغییر تعداد بیشماری از فایل­های شبکه در مدت زمان بسیار کوتاه

 

علایم مبتنی بر میزبان[3]

2-5) جستجو کنید آیا کدهای باینری اجرایی در پروفایل کاربران (%ALLUSERSPROFILE% , %APPDATA%) و نیز %SystemDrive% وجود دارد؟

2-6) مضمون پیامهای باج­افزاری و وجود پسوندهای عجیب نظیر بند 2-3 را بررسی کنید.

2-7) درصورت امکان از حافظه رایانه یک تصویر تهیه کنید[4].

2-8) در خصوص وقوع فرآیندهای غیرمعمول، جستجو و بررسی انجام دهید.

2-9) در زمینه وجود الگوهای غیرعادی پیوست ایمیل­ها، بررسی انجام دهید.

2-10) فعالیتهای غیرعادی مرورگر وب یا شبکه­تان خصوصاً تلاش برای ارتباط با آی­پی­های I2P , Tor و وب­سایتهای پرداخت بیت کوین را بررسی کنید.

 

علایم مبتنی بر شبکه

2-11) الگوهای ارتباطی با منابع مخرب[5] را جستجو و درصورت وجود، بررسی کنید.

2-12) الگوهای ارتباطی با منابع باج­افزاری[6] را جستجو و درصورت وجود، بررسی کنید.

2-13) در این قسمت نیز موارد 2-9 و 2-10 را انجام دهید.

 

• مهار

3-1) ارتباط تمام رایانه­هایی که در معرض خطر هستند، از شبکه قطع کنید.

3-2) درصورتی­که امکان ایزوله­سازی رایانه­ها وجود ندارد، ارتباط شبکه درایوهای اشتراکی[7] را قطع نمایید.

3-3) ترافیک به سمت سرورهای فرمانی-کنترلی باج­افزارها[8] را بررسی و مسدود نمایید.

3-4) الگوهای ناشناخته مشاهده­شده را برای پشتیبان امنیت نهایی(مشاور امنیت شبکه برون­سازمانی) خود ارسال نمایید.

3-5) آدرسهای آی­پی، نامهای دامنه و آدرسهای وب ناشناس مخرب را برای مسئول امنیت داخلی سازمان ارسال کنید.

 

• ترمیم

4-1) تمامی کدهای باینری را از پروفایلهای آسیب­دیده (%ALLUSERSPROFILE% , %APPDATA%) و همچنین %SystemDrive%  بیابید و حذف کنید.

4-2) اگر مورد فوق مقدور نبود، به ناچار بایستی یک ایمیج پاک از ویندوز برگردانید.

 

• بازیابی

هدف: بازگشت سیستم به حالت عادی پیش از حمله

5-1) آنتی ویروس­تان را به نحوی بروزرسانی نمایید که کدهای باینری مخرب را دفع نماید.

5-2) اطمینان حاصل نمایید قبل از برقراری ارتباط بین سیستمها هیچ کد باینری مخربی درون آنها موجود نباشد.

5-3) مطمئن شوید ترافیک شبکه به حالت عادی اولیه بازگشته باشد.

5-4) مستندات و داده های کاربران را از آرشیوها بازگردانید.

تمامی مراحل فوق بایستی گام به گام و همراه با مانیتورینگ فنی انجام شوند.

 

 

 

• مستندسازی

تهیه گزارش

بایستی پس از رفع آسیبها و بازگشت فعالیتها به روند عادی، یک گزارش از حادثه تهیه شود به­طوری­که در دسترس همه دست­اندرکاران قرار گیرد.

گزارش بهتر است شامل مضامین زیر باشد:

• نحوه شناسایی اولیه حادثه
• اقدامات و جداول زمانی عملکردها
• اقداماتی که بدرستی انجام شدند.
• اقداماتی که به اشتباه انجام شدند.
• هزینه حادثه برای سازمان

 

سرمایه­گذاری:

لازم است اقدامات مربوط به بهبود فرآیندهای شناسایی تهدیدات شبکه و بدافزارها تعریف شود تا در راستای این تجربه، سرمایه­گذاری لازم صورت گیرد.

 

 

 

 

منبع:

• IRM #17

Web: https://cert.societegenerale.com

IRM Author: CERT SG / Jean-Philippe Teissier

IRM version: 1.0

E-Mail: cert.sg@socgen.c

 

[1] Policy

[2] Profile

[3] Host

[4] Capture a memory Image

[5] Exploit Kits

[6] Ransomware C&C

 

[7] Shared Drives

[8] Ransomeware’s C&C