انتشار تروجان بانکی Battdil در دور دنیا توسط Downloader Waski

انتشار تروجان بانکی Battdil در دور دنیا توسط Downloader Waski

Waski یک نرم افزار مخرب است که توسط ایمیل با یک فایل فشرده (ZIP) ارسال میگردد. پس از دانلود فایل به کامپیوتر یا سیستم (Win32/TrojanDownloader.Waski) یک بدافزار برای دزدیدن اطلاعات احراز هویت بانکی فعال میگردد. به Waski دانلودر تروجان (Trojan downloader) گفته میشود. این برنامه کوچکی است که بدافزارهای دیگری را برای مجرمین سایبری به سیستم شما دانلود و سپس اجرآ میکند.
بر اساس آمار های اخیر Waski بیش از هر نوع بدافزار دیگری در سال 2015 شناسایی شده است. در ماه های گذشته شناسایی این بدافزار در آلمان و سوئیس به اوج خود رسید و حالا در کشورهای انگلیسی زبان (استرالیا، زیلاند نو، ایرلند، انگلستان، کانادا، آمریکا و غیره) نیز دیده شده است.
ایمیل های حاوی فایل فشرده Waski به بخش اسپم (Spam) شما میرود و دارای یک پیام ساده به شرح ذیل است.

Hi,
Does your company by chance buy used equipment? Please see the attached PDF.
Please let me know.
Thanks.

با کلیک نمودن روی فایل فشرده بدافزار دریافت میشود، که از لینک های مشخصی بدافزار های دیگری را به سیستم شما انتقال میدهد. یک نمونه از آن تروجان بانکی Battdil میباشد و در آدرس Win32/Battdil  یا  Win64/Battdilمستقر میگردد.
طریقه عملکرد Waski به شرح ذیل است.
1.    Waski یک فایل قابل اجرآ با ایکن فایل PDF است.
2.    در زمان اجرآ آن آدرس عمومی قربانی را توسط درخواست از checkip.dyndns چک میکند.
3.    با استفاده از IP و دیگر اطلاعات از کامپیوتر قربانی (اسم کامپیوتر، ورژن ویندوز و شماره Service Pack سیستم) یک شماره شناسایی خاص محاسبه میگردد و به مرکز فرماندهی و کنترل (C & C) Waski  ارسال میگردد.
4.    سپس Waski یک فایل زمرگذاری شده با پسوند PDF (که فایل PDF واقعی نیست) را دانلود میکند. این فایل در واقع ترکیبی از دو فایل است (بدافزار Win32/Battdil و یک فایل PDF معمولی)
5.    Waski  با مرکز فرماندهی و کنترل (C & C) خود تماس میگیرد و موفقیت آمیز بودن کار خود را گزارش میدهد.
Win32/Battdil شامل دو بخش است (injector و payload). پس از دانلود شدن توسط Waski این بدافزار کار خود را شروع میکند. Payload آن میتواند که اعتبار احراز هویت بانکی کاربر را در بسیاری از مرورگرهای اصلی برداشت کند. این بدافزار قادراست وب سایت های اصلی بانکی را پنهان کند و یک وب سایت تغییر یافته نشان دهد. در زمان مراجعه کاربر به سایت بانکی قلابی، Battdil اطلاعات کارت اعتباری و شماره PIN دریافت کرده و آنرا به مجرم ارسال میکند. اطلاعات دریافتی رمزگذاری شده و توسط SSL به مرکز فرماندهی و کنترل (C & C) ارسال میشود.  Battdilقادر است از طریق I2P بطور مخفی و anonymous به C & C متصل شود.
Waski در اواخر سال 2013 کشف شد و مجرمین از این طریق توانستند که بدافزار های خود را در اروپا و آمریکای شمالی انتشار دهند. دو نکته ذیل را در نظر داشته باشید.
•    ایمیل هایی که ضمیمه آن مشخص و شناخته شده نیست را باز نکنید.
•    Waski یک “دانلودر تروجان” است که بدافزار های دیگری را به سیستم شما ارسال میکند. ممکن است به غیر از دزدی اطلاعات بانکی در مواردی دیگری نیز آسیب ببینید.

Waski- Battdil