نحوه مقابله با ویروس حمله کننده به وزارت نفت

[joyande]

سلام، ضمن مطالعه و اجرای دقیق دستورالعمل مندرج در این هشدارنامه، مطمئن شوند که دو فایل %windir%\system32\diskpart.exe و %windir%\system32\en-US\diskpart.exe.mui حذف و یا Rename شده و یا امکان دسترسی به آنها توسط آنتی ویروس گرفته شده است. بر اساس گزارشات، عملکرد این ویروس ویا بد افزار انتحاری بدین صورت است که پس از فعالیت، عملکرد سیستم را مختل کرده و کاربر ناچار به Restart می شود. کاربر پس از Restart متوجه می شود هیچ اطلاعاتی روی Hard Disk سیستم موجود نیست!
Diskpart.exe (جایگزین فرمان Fdisk.exe در سیستم عامل Dos) ابزاری است برای پارتیشن بندی Hard Disk که به وسیله آن می توان اعمالی نظیر ایجاد و یا حذف پارتیشن ها و حذف اطلاعات Hard Diskها را از طریق Command Line انجام داد.
ویروس Wipe با بهره گیری از DiskPart ، اطلاعات Hard Disk را پاک و غیر قابل بازیافت می کند. از آنجا که در این حمله انتحاری همه اطلاعات (از جمله خود ویروس) از بین می رود پیگیری و بررسی پیرامون این ویروس بسیار مشکل می باشد.
انتشار چنین ویروس هایی معمولا از طریق Cooldiskها و Autorunهای موجود در آنها صورت می گیرد.
توجه داشته باشید این ویروس پس از ورود به سیستم ممکن است بلافاصله فعالیت تخریبی خود را آغاز نکند و پس از انتشار کامل در سطح شبکه احتمالا راس ساعت خاصی همه سیستم های موجود در شبکه را مختل خواهد کرد!
برای تغییر نام فایلهای فوق می بایست از وضعیت Safe Mode استفاده کرد.
راهنمایی بیشتر

---

موضوعات مشابه:

• آموزش تصویری راه اندازی آنتی ویروس در شبکه(کلاینت-سرور)
• آموزش آنتی ویروس کسپراسکی
• آموزش آنتی ویروس کسپراسکی
• آنتی ویروس برای ویروس های لینوکسی

---

[nkm]

ابزار پاکسازیش آمده!

[amirkhatam]

یعنی وزارت نفت نمیدونست !
بازهم ممنون

[nkm]

اگر نفتی هستید - باید بزودی برسه دستتون

اما من از یک منبع دیگه شنیدم که فریمورهای سرورها را حتما بروز رسانی کنید - ولی اینکه چقدر ربط داره . من نمیدنم
ضرر نداره

شبکه گستر چیز خوبی را گفته - عدم دادن اطلاعات فنی واقعا کار را مشکل تر کرده

[mahdivaezi]

به نام خدا



عنوان مقاله:
شناخت و پاک سازی ویروس Viper

نویسنده: محمد مهدی واعظی نژاد متخصص امنیت شبکه استفاده از مطالب این مقاله به هر نحو ممکن ، بدون ذکر نام نویسنده شرعاً حرام است.

مقدمه
آغاز دومین حمله بزرگ سایبری سازمان یافته به تأسیسات زیربنایی کشورمان در قالب ویروس هوشمند اینترنتی "Viper"، آثار و پیامدهای بسیار مخربی را در بیشتر سازمان های دولتی ایران بر جای گذاشته و منجر به از دست رفتن اطلاعات بسیار زیادی گردیده است.
ویروس Viper که توسط دولت متخاصم اسرائیل، در ابتدا به منظور کاهش تولیدات نفتی، طراحی و به پیکره سیستم های وزارت نفت منتقل و سپس در سراسر شبکه دولتی ایران منتشر شده است، قادر به پاک کردن برگشت ناپذیر تمامی اطلاعات از سرورها بوده و بازیابی اطلاعات را تحت هر شرایطی، غیر ممکن می نماید. در ضمن، به علت ناشناخته بودن آن، تاکنون هیچ یک از شرکت های امنیتی موفق به شناسایی و تجزیه و تحلیل کدهای آن نشده اند.
به نظر می رسد که هدف اصلی این ویروس، نفوذ در همه سیستم های موجود در شبکه، به منظور پاک نمودن تمام اطلاعات موجود بر روی هارد دیسک های آن ها می باشد.
لازم به ذکر است که این تهدید، دومین حمله بزرگ سایبری در طی دو سال اخیر است که منجر به خسارات جبران ناپذیری به اطلاعات و سیستم های تأسیسات زیربنایی کشورمان گردیده است. نخستین حمله توسط دولت متخاصم اسرائیل، با ورود کرم اینترنتی Stuxnet به نیروگاه هسته ای بوشهر در سال 1389 با هدف تأخیر در راه اندازی ژنراتور برق هسته ای بوشهر، آغاز گردید که توانست تعداد بسیار زیادی از سانتریفیوژها را از چرخه تولید خارج نماید.

ساير نام ها
اين ویروس، به نام هاي زير شناخته مي شود:
Viper , Wiper
بهتر است یادآوری شود که ویروس Viper هیچ ارتباطی با ویروس Wipe که از تهدیدات امنیتی سال گذشته به شمار می رود، نداشته و اشتباهاتی که در این خصوص مطرح می شود، به دلیل نداشتن دانش و تخصص فنی و همچنین شباهت نزدیک اسمی آن ها به یکدیگر است.

سیستم های آسیب پذیر
Microsoft Windows Server 2003 SP2 , Windows XP on 32-bit Platforms

پراکنش جغرافيايي
Viper فقط براي حمله سایبری به جمهوری اسلامی ایران، طراحی و منتشر شده است. هدف اصلی این نرم افزار مخرب، تأسیسات زیربنایی ایران می باشد که با توجه به شواهدی که از حمله و نفوذ آن به وزارتخانه ها و سازمان های مهم کشورمان موجود است، این فرضیه قوت بیشتری می گیرد.
لازم به ذکر است که تاکنون به جز ایران، هیچ گزارشی از فعالیت های مخرب این ویروس در سایر کشورها گزارش نشده است.

تاریخچه کشف
اوایل اردیبهشت ماه سال جاری (1391)، نخستین بار ویروس Viper در سیستم های وزارت نفت و شرکت های تابعه آن گزارش گردید و منجر به ایجاد مرکز بحران در این وزارتخانه برای مقابله با آسیب های آن و همچنین آمادگی برای حملات مشابه بعدی شد. بر این اساس و به منظور کنترل این حمله سایبری، دسترسی به اینترنت برای کارکنان وزارتخانه نفت و کارکنان شرکت ملی نفت، شرکت های پتروشیمی، پالایشگاه و توزیع قطع گردید. همچنین، خدمات اینترنت در خارگ، بهرگان، سیری، لاوان، قشم و کیش نیز مسدود شد.
اگر چه این ویروس، مدتی قبل وارد سیستم های وزارت نفت گردید ولی به علت عدم تخصص و دانش کافی متخصصان امنیت اطلاعات این وزارتخانه، اقدام مناسبی برای مقابله با آن صورت نگرفت که در نهایت، به چنان مرحله بحرانی و حساسی رسید که حتی چند روز، منجر به قطع کامل تمامی ارتباطات و خدمات رسانی در سطح وزارتخانه نفت و شرکت های تابعه آن گردید. بلافاصله بعد از چند روز، این ویروس در سایر وزارتخانه ها و سازمان های مهم کشورمان نیز کشف گردید.
اگرچه هنوز در مورد زمان آغاز به کار Viper اتفاق نظر وجود ندارد ولی بنابر اظهارات و شواهد موجود، این ویروس از یک ماه پیش، در سیستم های وزارت نفت موجود بوده و در طول این مدت، بدون شناسایی شدن به کار خود ادامه داده است که البته این مطلب، از طریق بررسی تاریخ نشانه های دیجیتالی این ویروس، به خوبی قابل استناد و درک خواهد بود.

نامگذاری
Viper در اصلاح لغوی به معنای " آدم خائن و بد نهاد " می باشد که از همین نام نیز برای نفوذ در رایانه ها استفاده می کند.

طراحي و سازماندهي
این ویروس، به چندین زبان مختلف از جمله C، C++ و سایر زبان های شیء گرا نوشته شده است. Viper، چنان در نفوذ به سیستم ها، حتی با عبور از فایروال های قدرتمند و با تنظیمات صحیح و پیچیده همچون ISA ماهر است که به طور یقین، متخصصانی با پشتوانه فنی قوی و دارای انواع تخصص ها، آن را ایجاد کرده و هدایت می کنند.
با توجه به شناسایی کاملی که این ویروس انجام می دهد، پیچیدگی کد، خطرناک بودن حمله آن، نفوذ به مراکز خاص و همچنین منابع و هزینه های مورد نیاز برای انجام این حمله به همراه ریسک بالایی که پروژه در پی داشته است، تنها دولت ملی می تواند توانایی های آن را داشته باشد.
در شرایط فعلی، محتمل ترین سناریو در مورد این ویروس، سرویس جاسوسی سایبری دولت متخاصم اسرائیل می باشد چرا که از مدت ها قبل، وعده حمله به ایران در فروردین ماه امسال را داده بود که اکنون با حمله سایبری و هدف قرار دادن تأسیسات زیربنایی کشورمان، به این وعده خویش، جامه عمل پوشانده است. هر چند که این موضوع، تاکنون به تأیید مقامات اسرائیلی نرسیده است ولی اکثر کارشناسان، معتقد به این قضیه هستند.

عملکرد
با توجه به ناشناخته بودن نحوه نفوذ این ویروس، حتی با عبور از ISA، هنوز مشخص نیست که این ویروس از چه آسیب پذیری ها و حفره هایی در ویندوز بهره می برد.
با توجه به تجربیات اینجانب، احتمالاً این ویروس پس از نفوذ به شبکه، با سوء استفاده از یک آسیب پذیری ویندوز، می تواند حق دسترسی Admin به سایر pc ها را برای خود ایجاد کرده، سپس با استفاده از آسیب پذیری های دیگری،کنترل شبکه را در دست گرفته و با انتشار خود در تمام سیستم ها، اقدام به از بین بردن همه اطلاعات هارد دیسک ها می کند.
آنگاه پس از موفقیت آمیز بودن این عمل، ارتباط سیستم ها در شبکه قطع شده، هیچ سیگنالی به مانیتورها ارسال نگردیده و صفحه نمایشگر، مشکی می شود. پس از راه اندازی دوباره سیستم نیز، فقط تا مرحله بارگذاری بایوس پیش رفته و ویندوز بارگذاری نمی گردد. در بعضی از موارد نیز، صدای بوق ممتد از سیستم به گوش می رسد که بیانگر آسیب های سخت افزاری به آن می باشد. همه این ها، از عجایب ویروس Viper است.
به احتمال بسیار زیاد، Viper از یک آسیب پذیری منحصر به فرد دیگر نیز برای دور زدن فایروال ها و اتمام فرآیندهای امنیتی سیستم، استفاده می کند. هر چند که، برای به دست آوردن اطلاعات بیشتر در این خصوص، باید کد ویروس مورد بررسی و تحلیل عمیق قرار گیرد.

تغييرات در سيستم
هنوز از فایل ها و سرویس هایی که توسط این ویروس در سیستم آلوده ایجاد می شود، اطلاعاتی در دست نیست و همچنین مشخص نیست که چه تغییراتی در Registry ویندوز به وجود می آید اما همانطور که اشاره گردید، تمامی فایل ها از روی هارد دیسک حذف گردیده و چنانچه فایلی نیز باقی بماند از هر نوع فرمت نوشتاری همچون .doc , .docx , pdf , .xls , … و حتی فرمت های تصویری، پس از باز شدن فایل مربوطه، تمامی اطلاعات آن به یکباره پاک می گردد. اگرچه ممکن است هیچ تغییری در حجم فایل ها ایجاد نگردد و در ظاهر، فایل ها دارای محتویات باشند، اما در اصل، فاقد هر گونه اطلاعاتی بوده و اطلاعات آن ها نیز غیر قابل بازیابی می باشد.
در ضمن، هنوز مدارکی در دست نیست که این ویروس، اطلاعاتی را از طریق HTTP به آدرس های مشخصی که سرورهای آن هستند، ارسال می نماید یا خیر.
با این تفاسیر، حذف تمامی فایل ها، حتی فایل های سیستمی سیستم عامل، از مهمترین مشخصه های این ویروس محسوب می شود.

انتشار
Viper علاوه بر اینترنت، با كپي كردن خودش در درایوهای USB يا فايل هاي به اشتراك گذاشته شده در شبکه های رایانه ای، منتشر مي شود.

جلوگیری
شركت های امنیتی به دلیل نشناختن این ویروس و عدم مواجهه با آن، تاکنون هیچ تحقیق یا گزارشی را به شرکت مايكروسافت ارایه نکرده اند و بنابراین، به روز رسانی و یا اصلاحیه ای نیز برای از بین بردن آسیب پذیری های مورد استفاده این ویروس، عرضه نشده است. هم اکنون، هیچ یک از آنتی ویروس ها نیز قادر به شناسایی و پاک سازی این ویروس نیستند.
با این وجود، انجام فعاليت هاي زير توسط همه مديران و كاربران سيستم مي تواند باعث جلوگيري و يا كاهش خطر اين ویروس شود:
· غير فعال كردن ويژگي AutoRun يا AutoPlay سيستم براي جلوگيري از اجراي خودكار فايل هاي قابل اجرا در درايوهاي قابل جابجايي.
· تهیه نسخه های پشتیبان از داده ها و اطلاعات، به صورت مرتب و در فاصله های زمانی کم و مشخص و نگهداری آن ها بر روی یک سیستم دیگر، جدا از شبکه.
· غیر فعال کردن درايوهاي قابل جابجایی و تمامی درایورها (Floppy , CD , DVD) از طریق Setup سیستم و در نظر گرفتن يك رمز عبور قوی براي setup
· اصلاح نقاط آسيب پذير نرم افزارهاي نصب شده در سیستم.
· به روز رسانی سیستم عامل و نصب آخرین وصله های امنیتی بر روی آن.
· به روز رسانی نرم افزار آنتي ويروس در فاصله هاي زماني كوتاه مدت و فعال کردن گزينه automatic updates براي دريافت خودكار آخرين updateها.
· محدود کردن شدید دسترسي به آدرس هاي اینترنتی، با استفاده از فايروال و Router تا زمان برطرف شدن خطر و رفع تهدید.
· استفاده از رمز عبور پيچيده كه تركيبي از عدد، حروف بزرگ و كوچك و نمادها مي باشد براي كلمه عبور كاربران، به نحوي كه اين رمزها توسط dictionary attackها به راحتي قابل شناسايي و كشف نبوده و در عين حال، براي كاربران هم به ياد ماندني باشد.
· همه ارتباطات ورودی از اينترنت به سرويس هاي سازمان كه نبايد در دسترس عموم باشد را با استفاده از فایروال deny كرده و تنها به سرويس هايي اجازه دهيد كه به مردم خدمات ارائه می دهند.
· هرگز نبايد با يوزر administrator به سيستم login كرد. كاربران و برنامه ها هم بايد پايين ترين سطح دسترسي لازم را داشته باشند.
· غيرفعال كردن اشتراك گذاري منابع و فايل ها در شبكه، اگر به اشتراك گذاري آن ها نيازي نيست. در صورت نياز، از ACL ها استفاده كرده و مشخص نماييد كه چه افراد يا كامپيوترهايي اجازه دسترسي به آن ها را دارند.
· غيرفعال كردن و حذف سرويس هاي غيرضروري فعال در سيستم. اگر هم كد مخربي عليه يكي از سرويس ها پيدا شد، تا زمانيكه patch آن سرويس در سيستم نصب نشده است، آن سرويس را غير فعال كرده و يا دسترسي به آن را محدود نماييد.
· سرويس هايي همچون HTTP، FTP، Mail و DNS مهمترين سرويس هاي يك شبكه متصل به اينترنت هستند. بنابراين، هميشه patchهاي اين سرويس ها را مهم درنظر گرفته و به روز نگهداريد. همچنين توسط فايروال، دسترسي به آن ها را كنترل نماييد.
· پیکربندی email سرور در جهت حذف نامه هاي الكترونيكي كه حاوي فايل ضميمه است. از این فایل ها برای گسترش تهديداتي همچون .vbs، .bat ، .exe ، .pif و .scr استفاده مي شود.
· كامپيوترهاي آلوده را به سرعت براي جلوگيري از گسترش بيشتر آلودگي در شبكه ايزوله كنيد و تا زمانيكه از برطرف شدن آلودگي مطمئن نشده ايد، آن ها را وارد شبكه نكنيد.
· استفاده نکردن از Bluetooth در شبکه. در صورت نياز، ديد دستگاه را در حالت Hidden تنظيم کنید تا توسط دستگاه هاي ديگر پيدا نشده و حتماً از رمز عبور نيز براي برقراري ارتباط بین دستگاه ها استفاده كنيد.

پیشگیری
پیشگیری از حوادث و کنترل امنیت سیستم نیاز به یک رویکرد چند لایه دارد که از آن با عنوان " دفاع در عمق " یاد می شود. این لایه، شامل سیاست ها و رویه ها، آگاهی و آموزش، تقسیم بندی شبکه، کنترل دسترسی ها، اقدامات امنیتی فیزیکی، سیستم های نظارتی همچون فایروال و آنتی ویروس، سیستم های تشخیص نفوذ (IDS)، رمز کاربری و ... است.
بهترین روش برای پیشگیری هم معمولاً تجزیه و تحلیل خطر، شناسایی نقاط آسیب پذیر سیستم ها و شبکه، کنترل سیستم ارزیابی امنیتی و همچنین توسعه برنامه های اولویت بندی برای از بین بردن یا به حداقل رساندن ریسک خطر است.

[joyande]

ابزار پاکسازیش آمده!

خیر. فعلا فقط این روش پیشگیری شناسایی شده

اگر نفتی هستید - باید بزودی برسه دستتون

اما من از یک منبع دیگه شنیدم که فریمورهای سرورها را حتما بروز رسانی کنید - ولی اینکه چقدر ربط داره . من نمیدنم
ضرر نداره

شبکه گستر چیز خوبی را گفته - عدم دادن اطلاعات فنی واقعا کار را مشکل تر کرده

خیر، بنده در مجموعه نفت نیستم. با پیام شما مبنی بر عدم دادن اطلاعات فنی و مشکلتر شدن کار به شدت موافقم. جالب اینکه که از نهادهای مسئول مثل مراکز آپا، مرکز ماهر(Cert ملی) هم که پیگیری میکنی به هیچ نتیجه خاصی که کمک کنه شما اقدام پیشگیرانه انجام بدی، نمی رسی!!!

[dhcp]

ویروس به وزارت علوم و تحقیقات هم رسیده

[Gitex]

این ویروس برای لینوکس هم هست ؟

[MustafaJF]

این ویروس برای لینوکس هم هست ؟

معلومه که نه
گنو/لینوکس باگهای بسیار کمتری نسبت به ویندوز داره که همون تعداد هم به سرعت تعمیر میشن
و از اینها گذشته به خاطر ساختار گنو هیچ ویروسی برای گنو وجود نداره و تنها تعدادی بد افزار وجود دارن که قابلیت خود اجرایی ندارن و تنها روشی که اونها می تنن اجرا بشن اینه که کاربر خودش به اونها مجوز اجرا بده

اینی که کل ساختار یک مملکت روی ویندوزه اونم ویندوزی که دزدیه و لایسنس نداره واقعا شرم آوره
سرورهای هاتمیل از ترکیبی از سرورهای BSD و ویندوز استفاده می کنی اونم در شرکتی که خودش سازنده ویندوزه کاملا ازش استفاده نمی کنه و سیستم عامل مک از هسته بهینه سازی شده BSD استفاده می کنه

[hoshi]

من نزیدیک 6 سال قبل شنیدم که دارن لینوکس ملی میسازن و کل سرورهای ادرات کشور رو لینوکسی کنن به گمانم اینم به دهه و صده میرسه.

[mkm]

به نام خدا



عنوان مقاله:
شناخت و پاک سازی ویروس Viper

نویسنده: محمد مهدی واعظی نژاد متخصص امنیت شبکه استفاده از مطالب این مقاله به هر نحو ممکن ، بدون ذکر نام نویسنده شرعاً حرام است.

مقدمه
آغاز دومین حمله بزرگ سایبری سازمان یافته به تأسیسات زیربنایی کشورمان در قالب ویروس هوشمند اینترنتی "Viper"، آثار و پیامدهای بسیار مخربی را در بیشتر سازمان های دولتی ایران بر جای گذاشته و منجر به از دست رفتن اطلاعات بسیار زیادی گردیده است.
ویروس Viper که توسط دولت متخاصم اسرائیل، در ابتدا به منظور کاهش تولیدات نفتی، طراحی و به پیکره سیستم های وزارت نفت منتقل و سپس در سراسر شبکه دولتی ایران منتشر شده است، قادر به پاک کردن برگشت ناپذیر تمامی اطلاعات از سرورها بوده و بازیابی اطلاعات را تحت هر شرایطی، غیر ممکن می نماید. در ضمن، به علت ناشناخته بودن آن، تاکنون هیچ یک از شرکت های امنیتی موفق به شناسایی و تجزیه و تحلیل کدهای آن نشده اند.
به نظر می رسد که هدف اصلی این ویروس، نفوذ در همه سیستم های موجود در شبکه، به منظور پاک نمودن تمام اطلاعات موجود بر روی هارد دیسک های آن ها می باشد.
لازم به ذکر است که این تهدید، دومین حمله بزرگ سایبری در طی دو سال اخیر است که منجر به خسارات جبران ناپذیری به اطلاعات و سیستم های تأسیسات زیربنایی کشورمان گردیده است. نخستین حمله توسط دولت متخاصم اسرائیل، با ورود کرم اینترنتی Stuxnet به نیروگاه هسته ای بوشهر در سال 1389 با هدف تأخیر در راه اندازی ژنراتور برق هسته ای بوشهر، آغاز گردید که توانست تعداد بسیار زیادی از سانتریفیوژها را از چرخه تولید خارج نماید.

ساير نام ها
اين ویروس، به نام هاي زير شناخته مي شود:
Viper , Wiper
بهتر است یادآوری شود که ویروس Viper هیچ ارتباطی با ویروس Wipe که از تهدیدات امنیتی سال گذشته به شمار می رود، نداشته و اشتباهاتی که در این خصوص مطرح می شود، به دلیل نداشتن دانش و تخصص فنی و همچنین شباهت نزدیک اسمی آن ها به یکدیگر است.

سیستم های آسیب پذیر
Microsoft Windows Server 2003 SP2 , Windows XP on 32-bit Platforms

پراکنش جغرافيايي
Viper فقط براي حمله سایبری به جمهوری اسلامی ایران، طراحی و منتشر شده است. هدف اصلی این نرم افزار مخرب، تأسیسات زیربنایی ایران می باشد که با توجه به شواهدی که از حمله و نفوذ آن به وزارتخانه ها و سازمان های مهم کشورمان موجود است، این فرضیه قوت بیشتری می گیرد.
لازم به ذکر است که تاکنون به جز ایران، هیچ گزارشی از فعالیت های مخرب این ویروس در سایر کشورها گزارش نشده است.

تاریخچه کشف
اوایل اردیبهشت ماه سال جاری (1391)، نخستین بار ویروس Viper در سیستم های وزارت نفت و شرکت های تابعه آن گزارش گردید و منجر به ایجاد مرکز بحران در این وزارتخانه برای مقابله با آسیب های آن و همچنین آمادگی برای حملات مشابه بعدی شد. بر این اساس و به منظور کنترل این حمله سایبری، دسترسی به اینترنت برای کارکنان وزارتخانه نفت و کارکنان شرکت ملی نفت، شرکت های پتروشیمی، پالایشگاه و توزیع قطع گردید. همچنین، خدمات اینترنت در خارگ، بهرگان، سیری، لاوان، قشم و کیش نیز مسدود شد.
اگر چه این ویروس، مدتی قبل وارد سیستم های وزارت نفت گردید ولی به علت عدم تخصص و دانش کافی متخصصان امنیت اطلاعات این وزارتخانه، اقدام مناسبی برای مقابله با آن صورت نگرفت که در نهایت، به چنان مرحله بحرانی و حساسی رسید که حتی چند روز، منجر به قطع کامل تمامی ارتباطات و خدمات رسانی در سطح وزارتخانه نفت و شرکت های تابعه آن گردید. بلافاصله بعد از چند روز، این ویروس در سایر وزارتخانه ها و سازمان های مهم کشورمان نیز کشف گردید.
اگرچه هنوز در مورد زمان آغاز به کار Viper اتفاق نظر وجود ندارد ولی بنابر اظهارات و شواهد موجود، این ویروس از یک ماه پیش، در سیستم های وزارت نفت موجود بوده و در طول این مدت، بدون شناسایی شدن به کار خود ادامه داده است که البته این مطلب، از طریق بررسی تاریخ نشانه های دیجیتالی این ویروس، به خوبی قابل استناد و درک خواهد بود.

نامگذاری
Viper در اصلاح لغوی به معنای " آدم خائن و بد نهاد " می باشد که از همین نام نیز برای نفوذ در رایانه ها استفاده می کند.

طراحي و سازماندهي
این ویروس، به چندین زبان مختلف از جمله C، C++ و سایر زبان های شیء گرا نوشته شده است. Viper، چنان در نفوذ به سیستم ها، حتی با عبور از فایروال های قدرتمند و با تنظیمات صحیح و پیچیده همچون ISA ماهر است که به طور یقین، متخصصانی با پشتوانه فنی قوی و دارای انواع تخصص ها، آن را ایجاد کرده و هدایت می کنند.
با توجه به شناسایی کاملی که این ویروس انجام می دهد، پیچیدگی کد، خطرناک بودن حمله آن، نفوذ به مراکز خاص و همچنین منابع و هزینه های مورد نیاز برای انجام این حمله به همراه ریسک بالایی که پروژه در پی داشته است، تنها دولت ملی می تواند توانایی های آن را داشته باشد.
در شرایط فعلی، محتمل ترین سناریو در مورد این ویروس، سرویس جاسوسی سایبری دولت متخاصم اسرائیل می باشد چرا که از مدت ها قبل، وعده حمله به ایران در فروردین ماه امسال را داده بود که اکنون با حمله سایبری و هدف قرار دادن تأسیسات زیربنایی کشورمان، به این وعده خویش، جامه عمل پوشانده است. هر چند که این موضوع، تاکنون به تأیید مقامات اسرائیلی نرسیده است ولی اکثر کارشناسان، معتقد به این قضیه هستند.

عملکرد
با توجه به ناشناخته بودن نحوه نفوذ این ویروس، حتی با عبور از ISA، هنوز مشخص نیست که این ویروس از چه آسیب پذیری ها و حفره هایی در ویندوز بهره می برد.
با توجه به تجربیات اینجانب، احتمالاً این ویروس پس از نفوذ به شبکه، با سوء استفاده از یک آسیب پذیری ویندوز، می تواند حق دسترسی Admin به سایر pc ها را برای خود ایجاد کرده، سپس با استفاده از آسیب پذیری های دیگری،کنترل شبکه را در دست گرفته و با انتشار خود در تمام سیستم ها، اقدام به از بین بردن همه اطلاعات هارد دیسک ها می کند.
آنگاه پس از موفقیت آمیز بودن این عمل، ارتباط سیستم ها در شبکه قطع شده، هیچ سیگنالی به مانیتورها ارسال نگردیده و صفحه نمایشگر، مشکی می شود. پس از راه اندازی دوباره سیستم نیز، فقط تا مرحله بارگذاری بایوس پیش رفته و ویندوز بارگذاری نمی گردد. در بعضی از موارد نیز، صدای بوق ممتد از سیستم به گوش می رسد که بیانگر آسیب های سخت افزاری به آن می باشد. همه این ها، از عجایب ویروس Viper است.
به احتمال بسیار زیاد، Viper از یک آسیب پذیری منحصر به فرد دیگر نیز برای دور زدن فایروال ها و اتمام فرآیندهای امنیتی سیستم، استفاده می کند. هر چند که، برای به دست آوردن اطلاعات بیشتر در این خصوص، باید کد ویروس مورد بررسی و تحلیل عمیق قرار گیرد.

تغييرات در سيستم
هنوز از فایل ها و سرویس هایی که توسط این ویروس در سیستم آلوده ایجاد می شود، اطلاعاتی در دست نیست و همچنین مشخص نیست که چه تغییراتی در Registry ویندوز به وجود می آید اما همانطور که اشاره گردید، تمامی فایل ها از روی هارد دیسک حذف گردیده و چنانچه فایلی نیز باقی بماند از هر نوع فرمت نوشتاری همچون .doc , .docx , pdf , .xls , … و حتی فرمت های تصویری، پس از باز شدن فایل مربوطه، تمامی اطلاعات آن به یکباره پاک می گردد. اگرچه ممکن است هیچ تغییری در حجم فایل ها ایجاد نگردد و در ظاهر، فایل ها دارای محتویات باشند، اما در اصل، فاقد هر گونه اطلاعاتی بوده و اطلاعات آن ها نیز غیر قابل بازیابی می باشد.
در ضمن، هنوز مدارکی در دست نیست که این ویروس، اطلاعاتی را از طریق HTTP به آدرس های مشخصی که سرورهای آن هستند، ارسال می نماید یا خیر.
با این تفاسیر، حذف تمامی فایل ها، حتی فایل های سیستمی سیستم عامل، از مهمترین مشخصه های این ویروس محسوب می شود.

انتشار
Viper علاوه بر اینترنت، با كپي كردن خودش در درایوهای USB يا فايل هاي به اشتراك گذاشته شده در شبکه های رایانه ای، منتشر مي شود.

جلوگیری
شركت های امنیتی به دلیل نشناختن این ویروس و عدم مواجهه با آن، تاکنون هیچ تحقیق یا گزارشی را به شرکت مايكروسافت ارایه نکرده اند و بنابراین، به روز رسانی و یا اصلاحیه ای نیز برای از بین بردن آسیب پذیری های مورد استفاده این ویروس، عرضه نشده است. هم اکنون، هیچ یک از آنتی ویروس ها نیز قادر به شناسایی و پاک سازی این ویروس نیستند.
با این وجود، انجام فعاليت هاي زير توسط همه مديران و كاربران سيستم مي تواند باعث جلوگيري و يا كاهش خطر اين ویروس شود:
· غير فعال كردن ويژگي AutoRun يا AutoPlay سيستم براي جلوگيري از اجراي خودكار فايل هاي قابل اجرا در درايوهاي قابل جابجايي.
· تهیه نسخه های پشتیبان از داده ها و اطلاعات، به صورت مرتب و در فاصله های زمانی کم و مشخص و نگهداری آن ها بر روی یک سیستم دیگر، جدا از شبکه.
· غیر فعال کردن درايوهاي قابل جابجایی و تمامی درایورها (Floppy , CD , DVD) از طریق Setup سیستم و در نظر گرفتن يك رمز عبور قوی براي setup
· اصلاح نقاط آسيب پذير نرم افزارهاي نصب شده در سیستم.
· به روز رسانی سیستم عامل و نصب آخرین وصله های امنیتی بر روی آن.
· به روز رسانی نرم افزار آنتي ويروس در فاصله هاي زماني كوتاه مدت و فعال کردن گزينه automatic updates براي دريافت خودكار آخرين updateها.
· محدود کردن شدید دسترسي به آدرس هاي اینترنتی، با استفاده از فايروال و Router تا زمان برطرف شدن خطر و رفع تهدید.
· استفاده از رمز عبور پيچيده كه تركيبي از عدد، حروف بزرگ و كوچك و نمادها مي باشد براي كلمه عبور كاربران، به نحوي كه اين رمزها توسط dictionary attackها به راحتي قابل شناسايي و كشف نبوده و در عين حال، براي كاربران هم به ياد ماندني باشد.
· همه ارتباطات ورودی از اينترنت به سرويس هاي سازمان كه نبايد در دسترس عموم باشد را با استفاده از فایروال deny كرده و تنها به سرويس هايي اجازه دهيد كه به مردم خدمات ارائه می دهند.
· هرگز نبايد با يوزر administrator به سيستم login كرد. كاربران و برنامه ها هم بايد پايين ترين سطح دسترسي لازم را داشته باشند.
· غيرفعال كردن اشتراك گذاري منابع و فايل ها در شبكه، اگر به اشتراك گذاري آن ها نيازي نيست. در صورت نياز، از ACL ها استفاده كرده و مشخص نماييد كه چه افراد يا كامپيوترهايي اجازه دسترسي به آن ها را دارند.
· غيرفعال كردن و حذف سرويس هاي غيرضروري فعال در سيستم. اگر هم كد مخربي عليه يكي از سرويس ها پيدا شد، تا زمانيكه patch آن سرويس در سيستم نصب نشده است، آن سرويس را غير فعال كرده و يا دسترسي به آن را محدود نماييد.
· سرويس هايي همچون HTTP، FTP، Mail و DNS مهمترين سرويس هاي يك شبكه متصل به اينترنت هستند. بنابراين، هميشه patchهاي اين سرويس ها را مهم درنظر گرفته و به روز نگهداريد. همچنين توسط فايروال، دسترسي به آن ها را كنترل نماييد.
· پیکربندی email سرور در جهت حذف نامه هاي الكترونيكي كه حاوي فايل ضميمه است. از این فایل ها برای گسترش تهديداتي همچون .vbs، .bat ، .exe ، .pif و .scr استفاده مي شود.
· كامپيوترهاي آلوده را به سرعت براي جلوگيري از گسترش بيشتر آلودگي در شبكه ايزوله كنيد و تا زمانيكه از برطرف شدن آلودگي مطمئن نشده ايد، آن ها را وارد شبكه نكنيد.
· استفاده نکردن از Bluetooth در شبکه. در صورت نياز، ديد دستگاه را در حالت Hidden تنظيم کنید تا توسط دستگاه هاي ديگر پيدا نشده و حتماً از رمز عبور نيز براي برقراري ارتباط بین دستگاه ها استفاده كنيد.

پیشگیری
پیشگیری از حوادث و کنترل امنیت سیستم نیاز به یک رویکرد چند لایه دارد که از آن با عنوان " دفاع در عمق " یاد می شود. این لایه، شامل سیاست ها و رویه ها، آگاهی و آموزش، تقسیم بندی شبکه، کنترل دسترسی ها، اقدامات امنیتی فیزیکی، سیستم های نظارتی همچون فایروال و آنتی ویروس، سیستم های تشخیص نفوذ (IDS)، رمز کاربری و ... است.
بهترین روش برای پیشگیری هم معمولاً تجزیه و تحلیل خطر، شناسایی نقاط آسیب پذیر سیستم ها و شبکه، کنترل سیستم ارزیابی امنیتی و همچنین توسعه برنامه های اولویت بندی برای از بین بردن یا به حداقل رساندن ریسک خطر است.

اگر این ویروس ناشناخته بوده و هنوز هیچ آنتی ویروسی نمیتونه بشناستش و هیچ کمپانی ازش خبر نداره پس اسمشو ملت از کجا میدونن که Wiper یا viper هستش ؟

[yavar]

اگر این ویروس ناشناخته بوده و هنوز هیچ آنتی ویروسی نمیتونه بشناستش و هیچ کمپانی ازش خبر نداره پس اسمشو ملت از کجا میدونن که Wiper یا viper هستش ؟

اسمشو گذاشتن wiper یعنی جارو میکنه و میره
توی دیکشنری بزنی میبینی
بهش هم میاد این اسم چون همه اطلاعات توی هارد رو جارو میکنه

[mohamad-23]

اولا که اکثر باگ های مایکروسافت به علت دانش کم ادمین اون شبکه است که بلد نبوده اونجور که باید کانفیگ کنه ...
بعدشم شما وقتی میتونی علیه ویندوز جبهه بگیری که از محصول اصل و orginal یا همون کرک نشده اون شرکت استفاده کنی ...
ضمنا با عقل جور در نمیاد که یه محصول رایگان از یه محصول پولی خیلی بهتر باشه ... اگر عکس این بود این همه آدم تو دنیا پول کلان نمیدادن واسه ویندوز ....

[Gitex]

دلیل باگ کمتر نیست. بلکه کاربران ویندوز چندین برابر لینوکس هستند. مسلما ویندوز با این همه کاربر باید هر روز باگ های بیشتری درش کشف بشه.

فکر نمی کنم منظورتون از هیچ نوع ویروسی درست باشه. بالاخره ویروس ویروس هست و سیستم عامل هم نرم افزار.

در مورد ساختار ویندوز دزدی مملکت هم من کاملا تایید میکنم این کار رو. هیچ کس از پشت صحنه هیچ سیستم عاملی به طور کامل آگاه نیست. پس طبیعی هست (بخاطر مسایل استراتژیک) .

کجا نوشته سرور های هاتمیل از ترکیب bsd و ویندوز هست ؟ راجع به این مساله اولین بار هست میشنوم. اما اگر صحت هم داشته باشه, تکنولوژی که جوابگو هست و امکان استفاده داره باید استفاده بشه.

کسی منکر مزایا و معایب ویندوز و لینوکس هر دو نیست.

معلومه که نه
گنو/لینوکس باگهای بسیار کمتری نسبت به ویندوز داره که همون تعداد هم به سرعت تعمیر میشن
و از اینها گذشته به خاطر ساختار گنو هیچ ویروسی برای گنو وجود نداره و تنها تعدادی بد افزار وجود دارن که قابلیت خود اجرایی ندارن و تنها روشی که اونها می تنن اجرا بشن اینه که کاربر خودش به اونها مجوز اجرا بده

اینی که کل ساختار یک مملکت روی ویندوزه اونم ویندوزی که دزدیه و لایسنس نداره واقعا شرم آوره
سرورهای هاتمیل از ترکیبی از سرورهای BSD و ویندوز استفاده می کنی اونم در شرکتی که خودش سازنده ویندوزه کاملا ازش استفاده نمی کنه و سیستم عامل مک از هسته بهینه سازی شده BSD استفاده می کنه

[MustafaJF]

دلیل باگ کمتر نیست. بلکه کاربران ویندوز چندین برابر لینوکس هستند. مسلما ویندوز با این همه کاربر باید هر روز باگ های بیشتری درش کشف بشه.

فکر نمی کنم منظورتون از هیچ نوع ویروسی درست باشه. بالاخره ویروس ویروس هست و سیستم عامل هم نرم افزار.

در مورد ساختار ویندوز دزدی مملکت هم من کاملا تایید میکنم این کار رو. هیچ کس از پشت صحنه هیچ سیستم عاملی به طور کامل آگاه نیست. پس طبیعی هست (بخاطر مسایل استراتژیک) .

کجا نوشته سرور های هاتمیل از ترکیب bsd و ویندوز هست ؟ راجع به این مساله اولین بار هست میشنوم. اما اگر صحت هم داشته باشه, تکنولوژی که جوابگو هست و امکان استفاده داره باید استفاده بشه.

کسی منکر مزایا و معایب ویندوز و لینوکس هر دو نیست.

۱- وجود کاربرای بیشتر ویندوز هم بی تاثیر نبوده ولی وقتی که در مورد سیستم عاملهای شبکه برای شبکه های بزرگ صحبت می کنی ۳ تا انتخاب بیشتر نداری GNU/Linux - BSD - UNIX
۲- بازم تاکید می کنم هیچ نوع ویروسی اگه شک دارید تعریف ویروس رو دوباره بخونید و در مورد گنو بیشتر تحقیق کنید
۳- لینوکس و سیستم عاملش گنو اپن سورس و مهمتر از همه آزاد هستن کد اینها رو می تونی کنترل و ویرایش کنی هیچ کسی تاحالا نگفته یک خط کد مخرب توی کدهای گنو/لینوکس وجود داره چون تا حالا هیچی پیدا نشده و وجود هم نداره
استراتژیک چه معنی میده دزدی دزدیه
۴- اینکار برای حفظ امنیته نه عدم وجود زیریساخت و قابلیت ویندوز - ویندوز بسیار آسیب پذیره بازم میگم می تونی سرچ کنی

اولا که اکثر باگ های مایکروسافت به علت دانش کم ادمین اون شبکه است که بلد نبوده اونجور که باید کانفیگ کنه ...
بعدشم شما وقتی میتونی علیه ویندوز جبهه بگیری که از محصول اصل و orginal یا همون کرک نشده اون شرکت استفاده کنی ...
ضمنا با عقل جور در نمیاد که یه محصول رایگان از یه محصول پولی خیلی بهتر باشه ... اگر عکس این بود این همه آدم تو دنیا پول کلان نمیدادن واسه ویندوز ....

۱- اونی که شما میگی میشه ضعف امنیتیه و نه باگ - باگ تعریف کاملا متفاوتی داره
۲-من جبهه گبری نکردم فقط نظرم رو گفتم
۳- من از اوبونتو که یکی از نسخه های رایگان گنو/لینوکس هستش استفاده می کنم
۴ - گنو آزاده و نه رایگان البته بیشتر شرکتها اون رو بصورت رایگان عرضه می کنن و اونهایی هم که پولی هستن مثل ردهت و سوزه از طریق پشتیبانی پول میگرین
۵- خوب بودن نرم افزار به رایگان و یا پولی بودن اون نیست بحث سره آزاد و انحصاری بودن اون هستش ما نمی دونیم که مایکروسافت موقع اتصال ما به اینترنت چیکار می کنه ولی در مورد گنو اصلا اینطور نیست

۶- و مهمتر از همه اینه که دلیل استقبال از ویندوز سادگی و انحصار و باندبازی مایکروسافت بوده و نه بی نقص بودن بیشتر مردم دنبال سادگی در کار کردن هستند تا امنیت و کارایی

من نزیدیک 6 سال قبل شنیدم که دارن لینوکس ملی میسازن و کل سرورهای ادرات کشور رو لینوکسی کنن به گمانم اینم به دهه و صده میرسه.

گنو/لینوکس یک سیستم عامل جهانیه چطور می خوان ملی درست کنن اینها همه بازی با کلماته کل کدهایی که توی گنو لینوکس توسط ایرانیها نوشته شده یک میلیونم کل کدها نمی شه جالا چطور انتظار داری که بتونن یک سیستم عامل درست کنن
ما توی این مملکت هنوز نمی تونیم از سرورهای ویندوزی درست و حسابی استفاده کنیم چه برسه به استفاده گسترده از گنو که ساختار کاملا متفاوتی با ویندوز داره