معرفی مخرب‌ترین و بدترین ویروس‌های کامپیوتری تاریخ

بدافزار یا Malware یک اصطلاح کلی و چتری است که شامل هر نوع کد مخرب از جمله ویروس‌ها، کرم‌ها، تروجان‌ها، باج‌افزارها و جاسوس‌افزارها می‌شود. در مقابل، ویروس کامپیوتری تنها یک نوع خاص از بدافزار است که ویژگی اصلی آن، چسبیدن به فایل‌های اجرایی میزبان و نیاز به اقدام کاربر برای تکثیر و فعال‌سازی است.

تفاوت کلیدی در نحوه انتشار آن‌هاست. ویروس‌ها برای انتقال و آلوده‌سازی سیستم‌های دیگر به کمک انسان و فایل‌های آلوده نیاز دارند، در حالی که کرم‌های اینترنتی برنامه‌های مستقلی هستند که می‌توانند بدون نیاز به دخالت کاربر یا چسبیدن به فایلی خاص، به طور خودکار از طریق شبکه‌ها و آسیب‌پذیری‌های امنیتی تکثیر شوند.

باج‌افزار نوعی بدافزار مخرب است که پس از نفوذ به سیستم، فایل‌های حیاتی کاربر یا سازمان را با الگوریتم‌های پیشرفته رمزگذاری می‌کند و دسترسی به آن‌ها را غیرممکن می‌سازد. سپس مهاجمان با نمایش یک پیغام روی صفحه، برای ارسال کلید رمزگشایی درخواست مبالغ هنگفتی پول (معمولاً به صورت رمزارز مانند بیت‌کوین) می‌کنند.

تروجان بدافزاری است که خود را در قالب یک نرم‌افزار مفید، بازی یا فایل قانونی پنهان می‌کند تا کاربر را فریب دهد که آن را دانلود و اجرا کند. نام آن از افسانه اسب تروآ گرفته شده است؛ زیرا ظاهر آن کاملاً بی‌خطر به نظر می‌رسد اما پس از ورود به سیستم، دسترسی هکرها را فراهم می‌کند.

بدافزار ILOVEYOU یک کرم اینترنتی بسیار مخرب بود که در سال ۲۰۰۰ از طریق یک ایمیل با عنوان عاشقانه و پیوست فایلی به نام Love-Letter-For-You.TXT.vbs منتشر شد. به دلیل کنجکاوی کاربران، میلیون‌ها نفر آن را باز کردند و این کرم با دسترسی به مخاطبان Outlook، خود را به سرعت به تمام مخاطبان قربانی ارسال کرد.

کرم اینترنتی MyDoom که در سال ۲۰۰۴ شیوع پیدا کرد، با سرعت بی‌سابقه‌ای سیستم‌های سراسر جهان را آلوده کرد و مسئول ایجاد بخش عمده‌ای از ترافیک ایمیل‌های جهان در آن زمان بود. خسارت‌های ناشی از پاک‌سازی، کاهش بهره‌وری و آسیب به زیرساخت‌های فناوری اطلاعات توسط این بدافزار حدود ۳۸ تا ۵۵ میلیارد دلار برآورد شده است.

جاسوس‌افزارها بدافزارهایی هستند که به صورت مخفیانه روی سیستم نصب می‌شوند تا فعالیت‌های کاربر را زیر نظر بگیرند. این ابزارها اطلاعات حساسی مانند کلیدهای فشرده شده روی کیبورد (Keylogging)، تاریخچه مرورگر، اطلاعات حساب‌های بانکی و گذرواژه‌ها را جمع‌آوری کرده و بدون اجازه کاربر برای سرور مهاجم ارسال می‌کنند.

استاکس‌نت یک کرم کامپیوتری فوق‌پیشرفته و با حمایت دولتی بود که در سال ۲۰۱۰ کشف شد. بر خلاف بدافزارهای سنتی که به دنبال سرقت اطلاعات یا پول بودند، استاکس‌نت به طور ویژه برای هدف قرار دادن و تخریب فیزیکی تجهیزات صنعتی (سانتریفیوژهای هسته‌ای ایران) از طریق دستکاری سیستم‌های کنترل صنعتی زیمنس طراحی شده بود.

بدافزارها از راه‌های مختلفی نفوذ می‌کنند؛ از جمله ایمیل‌های فیشینگ حاوی پیوست‌های آلوده، دانلود نرم‌افزارهای کرک شده و غیرقانونی از سایت‌های نامعتبر، کلیک روی تبلیغات مخرب (Malvertising)، استفاده از فلش‌مموری‌های آلوده، و بهره‌برداری مستقیم از آسیب‌پذیری‌های وصله‌نشده در سیستم‌عامل یا مرورگرها.

فرآیند با اجرای فایل آلوده توسط کاربر آغاز می‌شود. پس از اجرا، کد ویروس در حافظه موقت (RAM) بارگذاری می‌شود. سپس ویروس به دنبال فایل‌های اجرایی دیگر با پسوندهایی مانند .exe می‌گردد و کد مخرب خود را به درون آن‌ها تزریق می‌کند تا با هر بار اجرای آن برنامه‌ها، ویروس نیز مجدداً فعال و تکثیر شود.

بدافزارهای بدون فایل از ابزارهای قانونی و پیش‌فرض سیستم‌عامل مانند PowerShell یا WMI برای اجرای کدهای مخرب خود استفاده می‌کنند. این کدهای مخرب مستقیماً در حافظه RAM اجرا می‌شوند و هیچ فایلی روی هارد دیسک ذخیره نمی‌کنند، به همین دلیل شناسایی آن‌ها برای آنتی‌ویروس‌های سنتی بسیار دشوار است.

این فرآیند شامل پنج مرحله است: ۱. نفوذ اولیه (از طریق فیشینگ یا پروتکل RDP)، ۲. استقرار و ارتقای سطح دسترسی در شبکه، ۳. شناسایی و سرقت داده‌های حساس (برای باج‌گیری دوگانه)، ۴. رمزگذاری فایل‌های محلی و تحت شبکه با کلیدهای قوی، و ۵. نمایش پیام باج‌خواهی و دستورالعمل پرداخت رمزارز.

کرم پس از آلوده کردن اولین سیستم، شروع به تولید آدرس‌های IP تصادفی یا هدفمند در شبکه داخلی می‌کند. سپس پورت‌های خاصی را برای یافتن آسیب‌پذیری‌های شناخته‌شده اسکن می‌کند. در صورت یافتن سیستم آسیب‌پذیر، اکسپلویت مربوطه را ارسال کرده، کد خود را کپی می‌کند و این چرخه را به صورت خودکار تکرار می‌کند.

این سیستم‌ها به جای جستجوی کدهای شناخته‌شده (امضا)، رفتار برنامه‌ها را در زمان اجرا تحلیل می‌کنند. اگر برنامه‌ای رفتارهای مشکوکی مانند تلاش برای اصلاح فایل‌های سیستمی حساس، تزریق کد به فرآیندهای دیگر، یا رمزگذاری سریع تعداد زیادی فایل را نشان دهد، آنتی‌ویروس بلافاصله آن را مسدود می‌کند.

مهاجمان ایمیل‌هایی طراحی می‌کنند که ظاهری کاملاً رسمی و شبیه به بانک‌ها، ادارات دولتی یا همکاران قربانی دارد. این ایمیل‌ها حاوی یک فایل پیوست مخرب (مانند سند ورد حاوی ماکرو) یا لینکی به یک سایت جعلی هستند. کاربر با باز کردن پیوست یا کلیک روی لینک، ناخواسته بدافزار را روی سیستم خود دانلود و اجرا می‌کند.

در این روش، متخصصان امنیت بدافزار را در یک ماشین مجازی کاملاً ایزوله و شبیه‌سازی‌شده به نام Sandbox اجرا می‌کنند. آن‌ها تمام رفتارها، فایل‌های ایجاد شده، تغییرات رجیستری و ارتباطات شبکه‌ای بدافزار را بدون اینکه خطری سیستم‌های واقعی یا شبکه اصلی را تهدید کند، رصد و ثبت می‌کنند.

بدافزارها برای اینکه پس از ری‌استارت شدن کامپیوتر همچنان فعال بمانند، از روش‌های پایداری استفاده می‌کنند. این روش‌ها شامل اضافه کردن خود به بخش استارت‌آپ ویندوز، ایجاد کلیدهای رجیستری جدید (مانند Run یا RunOnce)، تعریف تسک‌های زمان‌بندی‌شده (Scheduled Tasks) یا نصب خود به عنوان یک سرویس سیستمی پس‌زمینه است.

آسیب‌پذیری روز صفر یک حفره امنیتی در نرم‌افزار یا سیستم‌عامل است که برای شرکت سازنده ناشناخته است و هیچ وصله امنیتی برای آن وجود ندارد. بدافزارها با استفاده از اکسپلویت‌های روز صفر می‌توانند بدون هیچ مانعی از سدهای دفاعی عبور کنند، زیرا سیستم‌های امنیتی هنوز راهی برای شناسایی یا مسدود کردن آن‌ها ندارند.

مبهم‌سازی فرآیندی است که در آن نویسندگان بدافزار، کدهای خود را با استفاده از روش‌های رمزگذاری، فشرده‌سازی یا تغییر ساختار ظاهری، پیچیده و غیرقابل خواندن می‌کنند. این کار باعث می‌شود که موتورهای آنتی‌ویروس مبتنی بر امضا و تحلیل‌گران امنیتی نتوانند به راحتی کدهای مخرب را شناسایی و مهندسی معکوس کنند.

باج‌افزار WannaCry در سال ۲۰۱۷ از یک اکسپلویت توسعه‌یافته توسط آژانس امنیت ملی آمریکا (NSA) به نام EternalBlue استفاده کرد. این اکسپلویت از یک آسیب‌پذیری بحرانی در پروتکل اشتراک‌گذاری فایل مایکروسافت یعنی SMBv1 بهره‌برداری می‌کرد و به بدافزار اجازه می‌داد بدون نیاز به هیچ تعاملی از سوی کاربر، در شبکه منتشر شود.

باج‌افزارهای مدرن از ترکیب هر دو استفاده می‌کنند. ابتدا فایل‌های قربانی را با الگوریتم متقارن (مانند AES) که بسیار سریع است رمزگذاری می‌کنند. سپس کلید متقارن استفاده شده را با یک الگوریتم نامتقارن (مانند RSA) رمزگذاری می‌کنند. کلید رمزگشایی نهایی فقط در اختیار سرور فرماندهی مهاجم است و بدون آن بازگردانی فایل‌ها غیرممکن است.

سرور C2 کامپیوتری است تحت کنترل هکرها که دستورات لازم را به سیستم‌های آلوده (بات‌ها) ارسال می‌کند. بدافزارهای مستقر روی سیستم قربانیان به طور مداوم با این سرور ارتباط برقرار می‌کنند تا دستورات جدید (مانند شروع یک حمله DDoS، دانلود بدافزار جدید یا ارسال اطلاعات سرقت شده) را دریافت کنند.

بدافزار پلی‌مورفیک با هر بار تکثیر، بخش اصلی کد خود را با یک کلید جدید رمزگذاری می‌کند تا امضای دیجیتال آن تغییر کند، اما روال رمزگشایی آن ثابت می‌ماند. بدافزار متامورفیک بسیار پیچیده‌تر است؛ این بدافزار در هر بار تکثیر، کل ساختار و کدهای خود را بازنویسی می‌کند بدون اینکه رفتار و کارکرد نهایی آن تغییر کند.

روت‌کیت مجموعه‌ای از ابزارهای نرم‌افزاری است که دسترسی در سطح ریشه (Administrator یا Kernel) را به هکر می‌دهد. روت‌کیت‌ها با اصلاح توابع سیستمی و دستکاری هسته سیستم‌عامل (Kernel)، فرآیندها، فایل‌ها و پورت‌های شبکه متعلق به بدافزار را از لیست‌های ارائه‌شده به کاربر و آنتی‌ویروس‌ها حذف و پنهان می‌کنند.

اگرچه NotPetya در ظاهر شبیه به باج‌افزار Petya بود و درخواست باج می‌کرد، اما از نظر فنی یک وایپر (Wiper) بود. این بدافزار بخش جدول فایل‌های اصلی (MFT) و رکورد راه‌اندازی سیستم (MBR) را به طور کامل و غیرقابل بازگشت تخریب می‌کرد؛ به این معنی که حتی در صورت پرداخت باج، بازیابی اطلاعات عملاً غیرممکن بود.

تزریق کد یک تکنیک دفاع‌گریز است که در آن بدافزار، کدهای مخرب خود را به فضای آدرس یک فرآیند قانونی و در حال اجرای سیستم (مانند explorer.exe یا svchost.exe) تزریق می‌کند. با این کار، فعالیت‌های مخرب بدافزار تحت پوشش یک فرآیند معتبر و قابل اعتماد سیستم‌عامل انجام می‌شود و شناسایی آن سخت‌تر می‌گردد.

حمله باج‌افزاری WannaCry که بیش از ۲۰۰ هزار کامپیوتر را در ۱۵۰ کشور جهان آلوده کرد، خسارت‌های سنگینی به بار آورد. برآوردها نشان می‌دهد که این حمله در مجموع حدود ۴ میلیارد دلار خسارت مالی به سازمان‌ها، بیمارستان‌ها (مانند سازمان بهداشت ملی بریتانیا NHS) و شرکت‌های بزرگ جهانی وارد کرده است.

بدافزار NotPetya که در سال ۲۰۱۷ منتشر شد، مخرب‌ترین حمله سایبری تاریخ از نظر خسارت مالی به شمار می‌رود. کاخ سفید خسارت‌های ناشی از این حمله را در سراسر جهان بیش از ۱۰ میلیارد دلار برآورد کرد. شرکت‌های بزرگی مانند Maersk (کشتیرانی) و Merck (داروسازی) هر کدام صدها میلیون دلار خسارت دیدند.

علاوه بر باج پرداختی یا هزینه مستقیم تعمیر سیستم‌ها، هزینه‌های پنهان شامل توقف تولید و عملیات (Downtime)، از دست رفتن فرصت‌های فروش، جریمه‌های قانونی به دلیل لو رفتن داده‌های مشتریان، افزایش حق بیمه سایبری، هزینه‌های روابط عمومی برای بازسازی اعتبار برند و کاهش ارزش سهام شرکت در بازار می‌شود.

پرداخت باج به هیچ عنوان تضمین‌کننده بازگشت اطلاعات نیست؛ آمارها نشان می‌دهد حدود ۵۰ درصد از پرداخت‌کنندگان، بخشی از داده‌های خود را هرگز پس نمی‌گیرند. علاوه بر این، پرداخت باج باعث تامین مالی هکرها برای حملات بعدی می‌شود و سازمان پرداخت‌کننده را به عنوان یک هدف آسان و سودآور در لیست سیاه هکرها قرار می‌دهد.

بر اساس گزارش‌های امنیتی سال‌های اخیر، هزینه متوسط بازیابی از یک حمله بدافزاری یا باج‌افزاری برای شرکت‌های کوچک و متوسط (SMEs) بین ۱۰۰,۰۰۰ تا ۳۰۰,۰۰۰ دلار متغیر است. این هزینه‌ها شامل استخدام کارشناسان فارنزیک، بازسازی شبکه‌ها، خرید تجهیزات جدید و جبران خسارت‌های ناشی از توقف کار است.

کارشناسان امنیت سایبری توصیه می‌کنند که سازمان‌ها باید بین ۱۰ تا ۱۵ درصد از کل بودجه فناوری اطلاعات (IT) خود را به طور ویژه به امنیت سایبری اختصاص دهند. سرمایه‌گذاری در بخش‌های پیشگیری، آموزش کارکنان و سیستم‌های پشتیبان‌گیری بسیار ارزان‌تر از پرداخت هزینه‌های سنگین بازیابی پس از یک حمله موفق است.

تحت قوانینی مانند GDPR در اروپا، شرکت‌هایی که به دلیل ضعف‌های امنیتی و بدافزارها دچار نشت اطلاعات مشتریان می‌شوند، با جریمه‌های سنگینی مواجه می‌شوند. به عنوان مثال، شرکت Equifax به دلیل نشت اطلاعات ناشی از هک، مجبور به پرداخت بیش از ۵۷۵ میلیون دلار جریمه و خسارت به مشتریان و نهادهای نظارتی شد.

حمله به یک حلقه ضعیف در زنجیره تأمین می‌تواند کل شبکه را فلج کند. به عنوان مثال، آلودگی بدافزاری در یک شرکت لجستیکی یا تأمین‌کننده قطعات، تحویل کالا به صدها شرکت دیگر را متوقف می‌کند. این امر منجر به خسارت‌های تصاعدی، جریمه‌های دیرکرد قراردادها و اختلال شدید در بازارهای جهانی می‌شود.

خیر، بیمه‌های سایبری دارای شرایط و استثناهای سختی هستند. اگر اثبات شود که سازمان استانداردهای امنیتی پایه (مانند آپدیت سیستم‌ها یا احراز هویت دو مرحله‌ای) را رعایت نکرده، بیمه ممکن است از پرداخت خسارت خودداری کند. همچنین، خسارت‌های مربوط به از دست رفتن مالکیت معنوی و آسیب‌های طولانی‌مدت به برند معمولاً پوشش داده نمی‌شوند.

بله، بر اساس قانون جرایم رایانه‌ای ایران (مصوب ۱۳۸۸)، تولید، فروش، انتشار یا در دسترس قرار دادن بدافزارها، نرم‌افزارهای مخرب و ابزارهای هک جرم محسوب می‌شود. طبق ماده ۲۵ این قانون، مرتکبان به مجازات‌های حبس از نود و یک روز تا یک سال، یا جزای نقدی، یا هر دو مجازات محکوم خواهند شد.

کنوانسیون بوداپست اولین معاهده بین‌المللی است که به جرایم رایانه‌ای و اینترنتی می‌پردازد. هدف این معاهده هماهنگ کردن قوانین ملی کشورها، بهبود تکنیک‌های تحقیقاتی و افزایش همکاری‌های بین‌المللی در زمینه ردیابی، دستگیری و استرداد مجرمان سایبری و نویسندگان بدافزارهای مخرب فرامرزی است.

در بسیاری از حوزه‌های قضایی، مدیران ارشد و اعضای هیئت مدیره وظیفه مراقبت (Duty of Care) از داده‌های حساس را بر عهده دارند. اگر مشخص شود نشت اطلاعات ناشی از سهل‌انگاری مدیریتی و عدم پیاده‌سازی تدابیر امنیتی مناسب بوده است، مدیران ممکن است با شکایت‌های مدنی گروهی، جریمه‌های شخصی و حتی برکناری مواجه شوند.

در برخی کشورها مانند ایالات متحده، پرداخت باج به گروه‌هایی که در لیست تحریم‌های دولتی (مانند لیست OFAC) قرار دارند، غیرقانونی است و می‌تواند جریمه‌های سنگینی برای سازمان پرداخت‌کننده به همراه داشته باشد. نهادهای قانونی معتقدند این کار به تأمین مالی تروریسم و جرایم سازمان‌یافته کمک می‌کند.

طبق قانون حفاظت از داده‌های عمومی اتحادیه اروپا (GDPR)، سازمان‌هایی که دچار نقض داده‌ها به دلیل حملات بدافزاری می‌شوند، موظف هستند حداکثر ظرف ۷۲ ساعت پس از شناسایی حمله، موضوع را به مقامات نظارتی گزارش دهند. عدم گزارش‌دهی به موقع می‌تواند منجر به جریمه‌های سنگین تا ۲۰ میلیون یورو یا ۴ درصد از درآمد سالانه شرکت شود.

کارشناسان جرم‌شناسی دیجیتال با استفاده از روش‌های استاندارد و حفظ زنجیره حضانت (Chain of Custody)، کدهای بدافزار و لاگ‌های سیستم را استخراج می‌کنند. این مدارک باید به گونه‌ای جمع‌آوری شوند که صحت و عدم دستکاری آن‌ها تضمین شود تا در دادگاه به عنوان مدرک معتبر برای انتساب جرم به هکرها پذیرفته شوند.

مرز اصلی بین این دو، «مجوز کتبی و قانونی» است. هکرهای اخلاقی (کلاه سفید) تنها با اجازه رسمی مالک سیستم و در چارچوب یک قرارداد مشخص اقدام به تست نفوذ و کشف آسیب‌پذیری‌ها می‌کنند. هرگونه نفوذ، تست یا اجرای کد مخرب بدون داشتن مجوز کتبی، از نظر قوانین بین‌المللی جرم سایبری تلقی می‌شود.

خیر، در اکثر قوانین ملی و بین‌المللی، هک متقابل یا تلافی‌جویانه توسط شرکت‌های خصوصی غیرقانونی است. این کار ممکن است به زیرساخت‌های بی‌گناهی که هکرها از آن‌ها به عنوان واسطه استفاده کرده‌اند آسیب بزند. اقدامات تدافعی فعال و تلافی‌جویانه منحصراً در صلاحیت نهادهای نظامی و اطلاعاتی دولتی است.