خلاصه: متخصصان امنیتی در موسسه‌ی SANS کشف کردند که دو خانواده از بدافزارها یعنی NemucodAES و Kovter با یکدیگر در فایل های zip ضمیمه شده در برخی حمله‌های هرزنامه‌ایِ فعال وجود دارند، با این تفاوت که کشف و از بین بردن NemucodAES بسیار راحتتر از Kovter میباشد.
براد دانکن، محقق امنیتی در طول دو هفته گذشته متوجه افزایش قابل توجه در ارسال برخی هرزنامه‌های بدخواهانه‌ی حاوی فایلهای zip شده است. این هرزنامه‌ها محتوی فایلهای جاوا اسکریپتی هستند که اقدام به دانلود باج‌افزار NemucodAES و بدافزار Kovter (که از نوع بدافزارهای click-fraud میباشد) میکنند.
NemucodAES نوعی از دانلودکننده‌ی Nemucod Trojan به حساب می‌آید که به عنوان توزیع‌کننده‌ی باج‌افزارهای Locky و TeslaCrypt در سال ۲۰۱۶ شهرت دارد.
ابتدا در مارس ۲۰۱۶ گزارشاتی مبنی بر توقف دانلود باینری‌های باج‌افزار توسط Nemucod با هدف استفاده از باج‌افزار درونیِ خود که مبتنی بر اسکریپت بود مشاهده گردید. هم اکنون یعنی در ژوئیه ۲۰۱۷ شاهد فاز بعدی از باج‌افزارِ Nemucod یعنی NemucodAES هستیم. این گونه‌ی جدید در جاوا اسکریپت و PHP نوشته شده است که از الگوریتم‌های AES و RSA برای رمزگذاری فایل های قربانی استفاده میکند.
فعالیت‌های خراب‌کارانه‌ی باج‌افزارِ NemucodAES با استفاده از یک ابزارِ رمزگشا به راحتی قابل خنثی‌سازی میباشد. با این حال، Kovter click-fraud نوعی بدافزارِ بدون فایل است که به سختی کشف میشود. از Kovter به منظور دزدیدن اطلاعات شخصی و دانلود و اجرای برنامههای مخرب دیگر استفاده می‌گردد.
هرزنامه‌ها، فایلهای zip مخرب را در پوشش اطلاعیههایی از خدمات United Parcel Service منتقل میکنند. هرزنامه‌های دارای فایلهای زیپ که محتویِ فایلهای جاوا اسکریپت هستند، برای بیشتر سازمانها قابل شناسایی میباشند اما برخی از آنها ممکن است از فیلترها عبور کرده و سبب آلودهشدن سیستمها شوند. با استفاده از ابزارِ رمزگشایِ NemucodAES میتوان فایلها را بازیابی کرد. با این حال، دانکن پیش‌بینی میکند که این باج‌افزار به رشد و تحول خود ادامه دهد.
در حمله‌های گذشته، Kovter و باج‌افزار Locky هر دو در یک بسته استفاده شده‌اند. در ماه فوریه، کارشناسانِ مایکروسافت ایمیلهایی را کشف کردند که حاوی ضمیمههای “.lnk” با هدف گسترش باج‌افزارِ Locky و همینطور Kovter بودند.
در حمله‌های اخیر، NemucodAES و Kovter در فایلهای بدخواهانه‌ی zip قرارمیگیرند. هنگامی که قربانی بسته را از حالت فشرده خارج میکند، یک فایل جاوا اسکریپت استخراج میشود.
بر طبق نتایج تحقیقات، روند ترافیک شبکه پس از آلودگی به یکی از فایلهای “.js” یکسان است: در ابتدا درخواست های HTTP برای NemucodAES JavaScript مشاهده شده و به دنبال آن درخواستهای اجرایی مختلفی دیده میشود. سپس ترافیکِ مخصوص به