بدافزار چیست؟#

بدافزار (Malware) مخفف Malicious Software، هر نرم‌افزاری است که با قصد مخرب نوشته شده باشد: سرقت داده، رمزگذاری فایل، جاسوسی، خرابکاری یا ایجاد بک‌دور. در سال ۲۰۲۶، بدافزار بزرگ‌ترین تک‌خطری برای سازمان‌هاست؛ طبق گزارش AV-TEST، روزانه بیش از ۴۵۰ هزار نمونهٔ بدافزار جدید شناسایی می‌شود و باج‌افزارها به‌تنهایی سالانه بیش از ۲۰ میلیارد دلار خسارت جهانی وارد می‌کنند.

بدافزارها دیگر کدهای پراکندهٔ نویسندگان تک‌نفری نیستند؛ امروز اکثر آن‌ها توسط «کارخانه‌های بدافزار» به‌صورت سرویس (RaaS یا Ransomware-as-a-Service) عرضه می‌شوند و توسعه‌دهنده ۲۰ تا ۳۰ درصد از باج دریافتی را به عنوان پورسانت می‌گیرد.

انواع بدافزار#

مسیرهای آلودگی#

بدافزار از چند راه اصلی وارد سیستم می‌شود:

۱. ایمیل و فیشینگ: فایل پیوست مخرب (مستند Word با ماکرو، آرشیو ZIP، PDF) یا لینک به سایت دروغین. بیش از ۹۰ درصد آلودگی‌های باج‌افزاری از ایمیل آغاز می‌شوند.

۲. Drive-by Download: بازدید از سایت آلوده باعث اجرای کد مخرب در مرورگر می‌شود، اغلب از طریق آسیب‌پذیری‌های مرورگر یا افزونه‌ها.

۳. حافظهٔ قابل‌حمل (USB): فایل خوداجرا (autorun.inf) یا فایل با نام فریبنده مانند Passwords.txt.lnk با آیکن پوشه.

۴. زنجیرهٔ تأمین (Supply Chain): مهاجم باینری رسمی نرم‌افزار را پیش از توزیع آلوده می‌کند؛ معروف‌ترین نمونه SolarWinds Orion بود که در ۲۰۲۰ حدود ۱۸ هزار سازمان را آلوده کرد.

۵. RDP باز: سرورهای Remote Desktop با رمز ضعیف در اینترنت، هدف اصلی باج‌افزارهای LockBit و BlackCat هستند.

آناتومی یک حملهٔ باج‌افزاری#

باج‌افزار امروزی دیگر فقط «رمز کن و باج بگیر» نیست؛ یک کمپین استاندارد شامل این مراحل است:

۱. دسترسی اولیه (Initial Access)      ← فیشینگ، RDP، یا آسیب‌پذیری
۲. اجرا و استقرار (Execution)         ← اجرای لودر، تزریق به فرایند قانونی
۳. کشف شبکه (Discovery)               ← شناسایی دامین کنترلر و سرور فایل
۴. حرکت جانبی (Lateral Movement)      ← PsExec، WMI، RDP
۵. جمع‌آوری و سرقت (Exfiltration)      ← فشرده‌سازی و ارسال به سرور C2
۶. رمزگذاری (Impact)                  ← حذف Shadow Copies و رمز فایل‌ها
۷. اخاذی مضاعف (Double Extortion)     ← تهدید به نشت داده + رمزگذاری

بدافزارهای تاریخی#

WannaCry (۲۰۱۷)#

از آسیب‌پذیری EternalBlue (MS17-010) در پروتکل SMBv1 ویندوز استفاده کرد که توسط NSA ساخته و توسط گروه Shadow Brokers لو رفته بود. در یک روز ۱۵۰ کشور و حداقل ۲۳۰ هزار سیستم آلوده شد؛ NHS بریتانیا فلج شد. با کشیدن دامنه kill-switch توسط Marcus Hutchins، گسترش متوقف شد.

Stuxnet (۲۰۱۰)#

اولین بدافزار شناخته‌شدهٔ سایبری-فیزیکی که توسط آمریکا و اسرائیل برای تخریب سانتریفیوژهای اورانیومNatanz ایران ساخته شد. از چهار آسیب‌پذیری Zero-Day ویندوز استفاده کرد و از طریق USB منتشر شد؛ نخستین بدافزاری است که تجهیزات صنعتی SCADA/PLC را هدف قرار داد.

Emotet#

ابتدا یک تروجان بانکی بود و سپس به سکوی توزیع بدافزار (Loader) تبدیل شد. بنابر گزارش‌ها، عامل ۳۰ درصد آلودگی‌های نهادی جهان بود تا اینکه در ژانویهٔ ۲۰۲۱ عملیات بین‌المللی آن را سرکوب کرد؛ اما در نوامبر ۲۰۲۱ بازگشت.

Colonial Pipeline (۲۰۲۱)#

حملهٔ باج‌افزاری DarkSide به بزرگ‌ترین خط لولهٔ سوخت آمریکا باعث شد ۱۷ ایالت وضعیت اضطراری اعلام کنند. مهاجم تنها از یک حساب VPN با رمز لو‌رفته استفاده کرد و Colonial حدود ۴٫۴ میلیون دلار باج پرداخت کرد.

روش‌های تشخیص#

۱. Signature-Based (مبتنی بر امضا): آنتی‌ویروس کد را با پایگاه داده‌ای از امضاهای بدافزارهای شناخته‌شده مقایسه می‌کند. سریع اما در برابر بدافزار نو ظهور (Zero-Day) بی‌اثر است.

۲. Heuristic (اکتشافی): ویژگی‌های ساختاری کد را بررسی می‌کند (مثلاً تلاش برای تغییر رجیستری، اجرای خودکار، تزریق به فرایند). می‌تواند بدافزار جدید را تا حدی شناسایی کند اما نرخ هشدار کاذب بالاتر دارد.

۳. Behavioral (رفتاری): رفتار برنامه را در محیط ایزوله (Sandbox) یا در لحظهٔ اجرا تحلیل می‌کند. اگر Excel ناگهان بخواهد PowerShell با دستور کدگذاری‌شده اجرا کند، نشانهٔ قطعی ماکرو بدافزار است.

۴. Machine Learning: مدل‌های آموزش‌دیده بر روی میلیون‌ها نمونه، الگوهای مخرب را می‌شناسند. EDRهای مدرن مانند CrowdStrike و Microsoft Defender for Endpoint از این روش استفاده می‌کنند.

آنتی‌ویروس و EDR#

تفاوت کلیدی آنتی‌ویروس کلاسیک با EDR این است که EDR همهٔ رویدادهای Endpoint را ثبت می‌کند (تا ۹۰ روز)، رفتار مشکوک را با تهدیدات شناخته‌شده همبسته می‌کند و می‌تواند فرایند مخرب را به‌طور خودکار ایزوله کند.

تمرین عملی: اسکن فایل با ClamAV#

ClamAV یک آنتی‌ویروس متن‌باز است که برای اسکن فایل‌ها روی سرور لینوکس، گیتوی ایمیل و اشیای ذخیره‌سازی استفاده می‌شود.

# نصب
sudo apt update
sudo apt install clamav
 
# به‌روزرسانی پایگاه امضا (FreshClam)
sudo systemctl stop clamav-freshclam
sudo freshclam
sudo systemctl start clamav-freshclam
 
# اسکن یک پوشه (بدون حذف)
clamscan -r /home/user/downloads/
 
# اسکن و انتقال فایل آلوده به قرنطینه
clamscan -r --move=/tmp/quarantine /home/user/downloads/
 
# اسکن با نمایش فقط آلوده‌ها
clamscan -r -i /var/www/html/

خروجی نمونه:

/home/user/downloads/invoice.pdf: Win.Test.EICAR-HDB-1 FOUND
/home/user/downloads/report.docx: OK
 
----------- SCAN SUMMARY -----------
Known viruses: 8692341
Engine version: 1.3.0
Scanned files: 47
Infected files: 1
Data scanned: 23.40 MB
Data read: 18.62 MB (ratio 1.26:1)
Time: 4.210 sec (0 m 4 s)

خلاصه و گام بعدی#

در این فصل با انواع بدافزار از ویروس تا کریپتوژکینگ آشنا شدید، مسیرهای آلودگی را شناختید، آناتومی یک کمپین باج‌افزاری را مرحله‌به‌مرحله بررسی کردید و بدافزارهای تاریخی WannaCry، Stuxnet، Emotet و Colonial Pipeline را مرور کردید. همچنین روش‌های تشخیص (Signature، Heuristic، Behavioral، ML) و تفاوت آنتی‌ویروس کلاسیک با EDR را آموختید و در پایان یک اسکن عملی با ClamAV انجام دادید.

در فصل بعد، سراغ بزرگترین عامل آلودگی یعنی مهندسی اجتماعی و فیشینگ می‌رویم؛ جایی که مهاجم به‌جای نفوذ به سیستم، به انسان نفوذ می‌کند.