صفحه جعلی، تله بدافزار؛ ROMULUS چه می‌کند؟

پژوهشگران امنیت سایبری از بستری به نام ROMULUS پرده برداشته‌اند که مجرمان سایبری از آن برای انتشار بدافزارهایی مانند LegionLoader استفاده می‌کنند. این بستر با نمایش صفحه‌های جعلی، کاربران را فریب می‌دهد تا تصور کنند برای رفع یک مشکل یا تکمیل یک فرایند باید دستورهایی را روی رایانه خود اجرا کنند. در واقع، همین اقدام می‌تواند راه را برای ورود بدافزار و سرقت اطلاعات باز کند. این روش نشان می‌دهد که مجرمان سایبری بیش از گذشته از فریب کاربران برای آلوده‌کردن دستگاه‌هایشان استفاده می‌کنند.

تله‌ای که کاربر خودش فعال می‌کند

تصور کن هنگام بازدید از یک وب‌سایت، پیامی روی صفحه ظاهر می‌شود که می‌گوید برای نمایش درست محتوا، رفع خطا یا تأیید هویت باید چند مرحله ساده را انجام بدهی. صفحه ممکن است کاملاً عادی به نظر برسد و حتی از نظر ظاهری شبیه یک سرویس معتبر باشد. اما پشت این ظاهر ساده، ممکن است یک تله پنهان شده باشد. مهاجمان در چنین حملاتی تلاش می‌کنند کاربر را متقاعد کنند که دستور یا کدی را روی رایانه خود اجرا کند. اگر کاربر این کار را انجام دهد، ممکن است ناخواسته زمینه نصب بدافزار را فراهم کند. این روش با نام ClickFix شناخته می‌شود؛ ترفندی که به‌جای تکیه بر نفوذ پیچیده به سیستم، از اعتماد کاربر و تمایل او به برطرف‌کردن یک مشکل سوءاستفاده می‌کند.

ROMULUS چیست و چرا اهمیت دارد؟

پژوهشگران شرکت امنیتی Forescout بستری به نام ROMULUS را شناسایی کرده‌اند که برای اجرای چنین حملاتی استفاده می‌شود. این بستر مانند یک سامانه توزیع بدافزار عمل می‌کند و می‌تواند مهاجمان را در رساندن فایل‌ها و برنامه‌های مخرب به رایانه قربانیان یاری دهد. بررسی پژوهشگران نشان داد که دست‌کم شش نشانی اینترنتی با این زیرساخت ارتباط داشته‌اند. همچنین مشخص شد ROMULUS تنها به یک فایل مخرب محدود نیست و می‌تواند مسیرهای مختلفی را برای رساندن بدافزار به دستگاه قربانی به کار بگیرد. با این حال، هویت گردانندگان این بستر هنوز مشخص نشده است. پژوهشگران نیز تأکید کرده‌اند که اطلاعات موجود برای نسبت‌دادن قطعی آن به یک گروه مشخص کافی نیست.

بدافزارها چگونه وارد رایانه می‌شوند؟

یکی از بدافزارهایی که در این حملات مشاهده شده، LegionLoader است. این بدافزار به‌عنوان ابزاری برای دریافت و اجرای بدافزارهای دیگر عمل می‌کند؛ به این معنا که ممکن است آلودگی به یک فایل محدود نماند و در ادامه، برنامه‌های مخرب دیگری نیز وارد دستگاه شوند. بسته به نوع حمله و بدافزار نهایی، پیامدها می‌توانند متفاوت باشند. برخی از این برنامه‌ها برای جمع‌آوری اطلاعات حساس، برقراری ارتباط با سرور مهاجم یا فراهم‌کردن امکان اجرای دستورات بیشتر استفاده می‌شوند. در نتیجه، خطری که با یک صفحه جعلی آغاز می‌شود، ممکن است به مشکلی جدی‌تر برای امنیت اطلاعات شخصی یا کاری کاربر تبدیل شود.

نقش صفحات جعلی و فریب کاربران

مهم‌ترین ویژگی ClickFix این است که مهاجم تلاش می‌کند خود کاربر را به اجرای مرحله خطرناک وادار کند. ممکن است صفحه جعلی ادعا کند که مرورگر به‌روزرسانی می‌خواهد، یک خطا باید اصلاح شود یا برای ادامه کار لازم است دستور مشخصی اجرا شود. در چنین شرایطی، کاربر ممکن است تصور کند دستور ارائه‌شده بخشی از یک فرایند عادی است. اما اجرای دستورات ناشناس می‌تواند به مهاجم اجازه دهد فایل‌های مخرب را دریافت یا اجرا کند. پژوهشگران همچنین به کارزار دیگری اشاره کرده‌اند که در آن از نسخه‌های دست‌کاری‌شده GPTهای سفارشی برای هدایت کاربران به یک نشانی جعلی استفاده شده بود. این موضوع به معنای آلوده‌بودن خود ChatGPT نیست؛ بلکه نشان می‌دهد مهاجمان ممکن است از ابزارهای آنلاین و اعتماد کاربران به آن‌ها برای هدایت قربانی به صفحات خطرناک سوءاستفاده کنند. این نمونه بار دیگر اهمیت شناخت ترفندهای مهندسی اجتماعی را نشان می‌دهد؛ روش‌هایی که در آن مهاجم به‌جای حمله مستقیم، تلاش می‌کند با فریب یا ایجاد حس فوریت، کاربر را به انجام کاری ناامن وادار کند.

چگونه از افتادن در این دام جلوگیری کنیم؟

برای محافظت از رایانه، لازم نیست متخصص امنیت سایبری باشی. رعایت چند نکته ساده می‌تواند احتمال گرفتارشدن در این نوع حملات را کاهش دهد.

• دستورهای ناشناس را اجرا نکن: اگر وب‌سایتی از تو خواست عبارتی را در پنجره اجرای ویندوز یا ابزارهای خط فرمان وارد کنی، ابتدا صحت درخواست را بررسی کن.
• به هشدارهای فوری اعتماد نکن: پیام‌هایی مانند «برای ادامه همین حالا اقدام کن» یا «برای رفع خطا این دستور را اجرا کن» می‌توانند بخشی از یک ترفند فریبکارانه باشند.
• برنامه‌ها را از منابع معتبر دریافت کن: برای نصب یا به‌روزرسانی نرم‌افزار، از وب‌سایت رسمی سازنده یا فروشگاه معتبر استفاده کن.
• سیستم و نرم‌افزارها را به‌روز نگه دار: به‌روزرسانی‌های امنیتی می‌توانند برخی از راه‌های نفوذ را مسدود کنند.
• در صورت اجرای دستور مشکوک، سریع اقدام کن: اتصال دستگاه به شبکه را قطع کن، از واردکردن رمزهای عبور در آن دستگاه خودداری کن و با کمک متخصص، سیستم را بررسی کن. اگر احتمال سرقت اطلاعات ورود وجود دارد، از یک دستگاه سالم رمزهای مهم را تغییر بده.

جمع‌بندی؛ هر دستور ساده‌ای بی‌خطر نیست

شناسایی ROMULUS نشان می‌دهد که ابزارهای توزیع بدافزار در حال پیشرفت‌اند و مهاجمان می‌توانند از صفحه‌های جعلی برای رساندن چند نوع بدافزار به کاربران استفاده کنند. در این روش، گاهی یک کلیک یا اجرای یک دستور کافی است تا مشکل امنیتی آغاز شود. گزارش پژوهشگران به این معنا نیست که هر صفحه تأیید هویت یا هر پیام خطایی خطرناک است؛ نکته اصلی این است که هیچ وب‌سایتی نباید بدون بررسی، کاربر را به اجرای دستورهای ناشناس روی رایانه ترغیب کند. در فضای آنلاین، بهترین واکنش به درخواست غیرمنتظره برای اجرای کد یا دستور، مکث و بررسی است. چند ثانیه احتیاط می‌تواند از آلودگی رایانه و افشای اطلاعات مهم جلوگیری کند.

برای مطالعه مقالات بیشتر به سایت خانه متاورس ایران سر بزنید.