لا يمكنك ضمان أن الملف هو بالفعل صورة أو مقطع فيديو أو ملف PDF أو ملف نصي من خلال النظر إلى امتدادات الملفات. على نظام Windows ، يمكن للمهاجمين تنفيذ ملف PDF كما لو كان EXE.
هذا أمر خطير للغاية ، لأن الملف الذي تقوم بتنزيله من الإنترنت ، ويظن أنه ملف PDF ، قد يحتوي في الواقع على فيروس ضار جدًا. هل تساءلت يومًا كيف يفعل المهاجمون ذلك؟
شرح فيروسات طروادة
اشتقت فيروسات طروادة اسمها من هجوم الآخيين (اليونانيين) في الأساطير اليونانية على مدينة طروادة في الأناضول. تقع تروي داخل حدود مدينة Çanakkale الحالية. وفقًا للروايات ، كان هناك نموذج حصان خشبي بناه أوديسيوس ، أحد الملوك اليونانيين ، للتغلب على أسوار مدينة طروادة. اختبأ الجنود داخل هذا النموذج ودخلوا المدينة سرا. إذا كنت تتساءل ، لا تزال توجد نسخة من نموذج الحصان هذا في Çanakkale ، تركيا.
كان حصان طروادة يمثل خداعًا ذكيًا وإنجازًا هندسيًا بارعًا. ومع ذلك ، يُنظر إليه اليوم على أنه برنامج ضار رقمي خبيث هدفه الوحيد هو إلحاق الضرر بأجهزة الكمبيوتر المستهدفة التي لم يتم اكتشافها. هذا
يسمى الفيروس حصان طروادة بسبب مفهوم عدم الاكتشاف والتسبب في الأذى.يمكن لأحصنة طروادة قراءة كلمات المرور وتسجيل المفاتيح التي تضغط عليها على لوحة المفاتيح أو أخذ جهاز الكمبيوتر بأكمله كرهينة. فهي صغيرة جدًا لهذا الغرض ويمكن أن تسبب أضرارًا جسيمة.
ما هي طريقة RLO؟
يمكن كتابة العديد من اللغات من اليمين إلى اليسار ، مثل العربية والأردية والفارسية. يستخدم العديد من المهاجمين هذه الطبيعة اللغوية لشن هجمات مختلفة. قد يكون النص الذي يكون مفيدًا وآمنًا بالنسبة لك عند قراءته بدءًا من اليسار مكتوبًا بالفعل من اليمين ويشير إلى ملف مختلف تمامًا. يمكنك استخدام طريقة RLO الموجودة في نظام التشغيل Windows للتعامل مع اللغات التي تُكتب من اليمين إلى اليسار.
هناك حرف RLO لهذا في Windows. بمجرد استخدام هذه الشخصية ، سيبدأ الكمبيوتر الآن في قراءة النص من اليمين إلى اليسار. يحصل المهاجمون الذين يستخدمون هذا على فرصة جيدة لإخفاء أسماء الملفات القابلة للتنفيذ والامتدادات.
على سبيل المثال ، لنفترض أنك تكتب كلمة إنجليزية من اليسار إلى اليمين ، وهذه الكلمة هي البرمجيات. إذا قمت بإضافة حرف Windows RLO بعد الحرف T ، فسيتم قراءة أي شيء تكتبه بعد ذلك من اليمين إلى اليسار. نتيجة لذلك ، ستكون كلمتك الجديدة هي Softeraw.
لفهم هذا بشكل أفضل ، راجع الرسم البياني أدناه.
هل يمكن وضع حصان طروادة في ملف PDF؟
في بعض هجمات PDF الضارة ، من الممكن وضع برامج استغلال أو نصوص ضارة داخل ملف PDF. يمكن للعديد من الأدوات والبرامج المختلفة القيام بذلك. علاوة على ذلك ، من الممكن القيام بذلك عن طريق تغيير الرموز الموجودة في ملف PDF دون استخدام أي برنامج.
ومع ذلك ، فإن طريقة RLO مختلفة. باستخدام طريقة RLO ، يقدم المهاجمون EXE موجودًا كما لو كان ملف PDF لخداع المستخدم المستهدف. لذلك فقط صورة EXE تتغير. من ناحية أخرى ، يفتح المستخدم المستهدف هذا الملف معتقدًا أنه ملف PDF بريء.
كيفية استخدام طريقة RLO
قبل شرح كيفية إظهار EXE كملف PDF باستخدام طريقة RLO ، راجع الصورة أدناه. أي من هذه الملفات هو PDF؟
لا يمكنك تحديد هذا في لمحة. بدلاً من ذلك ، Y = تحتاج إلى إلقاء نظرة على محتويات الملف. لكن في حال كنت تتساءل ، فإن الملف الموجود على اليسار هو ملف PDF الفعلي.
هذه الحيلة سهلة التنفيذ. يكتب المهاجمون أولاً تعليمات برمجية ضارة ويجمعونها. يعطي الكود المترجم مخرجات بتنسيق exe. يغير المهاجمون اسم ورمز EXE ويحولون مظهره إلى ملف PDF. فكيف تتم عملية التسمية؟
هنا يأتي دور RLO. على سبيل المثال ، افترض أن لديك اسم EXE iamsafefdp.exe. في هذه المرحلة ، سيضع المهاجم بين شخصية RLO iamsafe و fdp.exe ل أعد تسمية الملف. من السهل جدًا القيام بذلك في Windows. فقط انقر بزر الماوس الأيمن أثناء إعادة التسمية.
كل ما عليك أن تفهمه هنا هو أنه بعد أن يرى Windows حرف RLO ، فإنه يقرأ من اليمين إلى اليسار. لا يزال الملف EXE. لم يتغير شيء. يبدو فقط وكأنه ملف PDF في المظهر.
بعد هذه المرحلة ، سيقوم المهاجم الآن باستبدال أيقونة EXE بأيقونة PDF وإرسال هذا الملف إلى الشخص المستهدف.
الصورة أدناه هي إجابة سؤالنا السابق. تم إنشاء EXE الذي تراه على اليمين باستخدام طريقة RLO. في المظهر ، كلا الملفين متماثلان ، لكن محتواهما مختلف تمامًا.
كيف يمكنك الحماية من هذا النوع من الهجوم؟
كما هو الحال مع العديد من مشكلات الأمان ، هناك العديد من الاحتياطات التي يمكنك اتخاذها مع مشكلة الأمان هذه. الأول هو استخدام خيار إعادة التسمية للتحقق من الملف الذي تريد فتحه. إذا اخترت خيار إعادة التسمية ، فسيقوم نظام التشغيل Windows تلقائيًا بتحديد المنطقة خارج امتداد الملف. لذلك سيكون الجزء غير المحدد هو الامتداد الفعلي للملف. إذا رأيت تنسيق EXE في الجزء غير المحدد ، فلا يجب عليك فتح هذا الملف.
يمكنك أيضًا التحقق مما إذا كان قد تم إدراج حرف مخفي باستخدام سطر الأوامر. لهذا ، ببساطة استخدم ال دير يأمر على النحو التالي.
كما ترى في لقطة الشاشة أعلاه ، هناك شيء غريب حول اسم الملف المسمى الاستفادة. يشير هذا إلى أن هناك شيئًا يجب أن تشك فيه.
اتخذ الاحتياطات قبل تنزيل أي ملف
كما ترى ، حتى ملف PDF البسيط يمكن أن يجعل جهازك يقع تحت سيطرة المهاجمين. لهذا السبب لا يجب عليك تنزيل كل ملف تراه على الإنترنت. مهما كنت تعتقد أنهم آمنون ، فكر دائمًا مرتين.
قبل تنزيل أي ملف ، هناك العديد من الاحتياطات التي يمكنك اتخاذها. بادئ ذي بدء ، يجب عليك التأكد من أن الموقع الذي تقوم بالتنزيل منه موثوق به. يمكنك التحقق من الملف الذي ستقوم بتنزيله لاحقًا عبر الإنترنت. إذا كنت متأكدًا من كل شيء ، فالأمر متروك لك تمامًا لاتخاذ هذا القرار.
