रनरेट के धोखेबाजों ने कोरोनोवायरस पर कैसे प्रतिक्रिया दी

कोरोनोवायरस से जुड़े साइबर हमले किस रूप में होते हैं , इस पर ध्यान देने के बाद , मैंने यह देखने का फैसला किया कि रूसी इंटरनेट ने एक महामारी का जवाब कैसे दिया और हमारे देश में साइबरहेट करने वालों और फ़िशिंग साइटों के साथ क्या होता है।



एक शुरुआती बिंदु के रूप में, मैंने अपनी DNS निगरानी और संरक्षण सेवा - सिस्को छाता का उपयोग करना शुरू किया , जो प्रति दिन 150 बिलियन से अधिक DNS प्रश्नों को संसाधित करता है और मैलवेयर के लिए उनका विश्लेषण करता है। सिस्को अंब्रेला इनवेस्टिगेशन इन्वेस्टिगेशन टूल का उपयोग करते हुए , पहली बात जो मैंने करने का फैसला किया वह यह जांचना था कि सक्रिय रूप से डोमेन कैसे बनाए जा रहे हैं जो कि उनके नाम में "कोविद" और "कोरोनावायरस" का उपयोग करते हैं। पिछले 7 दिनों में, निम्नलिखित दिखाई दिए:

- "कोरोनावायरस" के साथ 257 डोमेन, जिनमें से 170 हमने दुर्भावनापूर्ण रूप में वर्गीकृत किए



- 271 डोमेन "कोविद" के साथ, जिनमें से 121



- 349 डोमेन "मास्क" को दुर्भावनापूर्ण के रूप में वर्गीकृत किया गया था (और उनकी संख्या लगातार बढ़ रही है) जिनमें से केवल 9 को दुर्भावनापूर्ण और 1 को फ़िशिंग के रूप में वर्गीकृत किया गया है।



दुर्भावनापूर्ण डोमेन का वर्गीकरण अभी भी प्रारंभिक है, क्योंकि कई डोमेन केवल पंजीकृत हैं लेकिन अभी तक साइबर अपराधियों द्वारा उपयोग नहीं किए गए हैं।



उदाहरण के लिए, covid19-russia [।] आरयू डोमेन और उस पर एक ब्लिट्ज जांच करने की कोशिश करें:



डोमेन 17 मार्च को पंजीकृत किया गया था, जो आम तौर पर आश्चर्यजनक है और इस विशेष मामले में संदेह का कारण नहीं होना चाहिए, क्योंकि अन्य मामलों में जिसमें डोमेन की निर्माण तिथि है। दुर्भावनापूर्ण गतिविधि का पता लगाने के लिए एक बहुत महत्वपूर्ण संकेतक। एक कोरोनोवायरस महामारी के लिए, यह उम्मीद करना मुश्किल है कि पिछले साल या उससे पहले इसके बारे में क्या पता था। इसलिए, कोरोनोवायरस को समर्पित डोमेन अब केवल दिखाई देने लगे।



आइए उस आईपी पते को देखें जिस पर यह डोमेन लटका हुआ है। जैसा कि हम देख सकते हैं, यह कई डोमेन के लिए एक शरण भी है, जिनमें से कुछ वर्तमान महामारी से जुड़े हैं:



और हमारे पास कई दुर्भावनापूर्ण कार्यक्रमों से जुड़ा एक ही पता है जो या तो निर्दिष्ट आईपी पते या साइटों से फैला हुआ है जो उस पर लटक रहे हैं, या इस पते को एक किल स्विच के रूप में उपयोग करें, या इसे कमांड सर्वर के रूप में उपयोग करें, जो उचित आदेश भेजता है और दुर्भावनापूर्ण कोड से संक्रमित पीड़ितों से प्रतिक्रियाएं प्राप्त करता है। निर्दिष्ट आईपी से जुड़े दुर्भावनापूर्ण नमूनों की सूची में पहला, हम Emotet देखते हैं, जो पहले से ही पिछले लेख में उल्लिखित है:



इस नमूने का उपयोग इसके नेटवर्क इंटरैक्शन के विश्लेषण को देखते हुए अन्य अभियानों में किया जाता है:



यदि आप किसी अन्य सिस्को सेवा का उपयोग करते हैं, तो सैंडबॉक्ससिस्को थ्रेट ग्रिड , तो हम इस नमूने पर अधिक विस्तृत जानकारी प्राप्त कर सकते हैं, उदाहरण के लिए, इस मामले में "काम" करने वाले व्यवहार संकेतकों की एक विस्तृत सूची:



पीड़ित के कंप्यूटर पर Emotet के काम के हिस्से के रूप में लॉन्च की गई प्रक्रियाओं का विश्लेषण करना,



हम समझते हैं कि इसमें मामले में, यह एक MS Word दस्तावेज़ था जिसे IP पते और डोमेन के साथ बातचीत कर रहे एक पीड़ित द्वारा प्राप्त / डाउनलोड किया गया था:



यदि आवश्यक हो, तो हम पहचान किए गए संकेतकों को MITER ATT & CK मैट्रिक्स के साथ जोड़ सकते हैं, जो इसकी गतिविधियों के हिस्से के रूप में कई SOC के लिए उपयोग किया जाता है:



लेकिन आईपी पते के विश्लेषण के लिए हम उस पर रुचि रखते हैं, जिस पर कोरोनोवायरस थीम "हैंग" का फायदा उठाने वाले कई डोमेन हैं। यह पता स्वायत्त प्रणाली AS198610 में स्थित है, जो कुछ दुर्भावनापूर्ण गतिविधि से भी जुड़ा है, उदाहरण के लिए, ऑनलाइन वितरण मानचित्र COVID-19 कोरोनोवायरसैम्पोनलाइन [।] कॉम से:



जो 23 मार्च, 2020 को बनाया गया था:



और जिसकी वेबसाइट 1 अप्रैल को। दुर्भावनापूर्ण कोड दिखाई दिया है। शायद यह उद्देश्य पर हुआ, या शायद साइट को हैक किया गया था और उस पर मैलवेयर रखा गया था; इसके लिए एक अलग जांच की आवश्यकता है।



मैंने उन सभी सैकड़ों साइटों का विश्लेषण नहीं किया जो पिछले सप्ताह में बनाई गई थीं (और एक महीने में उनकी संख्या पहले ही एक हजार से अधिक हो गई है), लेकिन तस्वीर उन पर समान है। जिन साइटों के नाम में "कोविद" या "कोरोनावायरस" शब्द हैं, वे दुर्भावनापूर्ण हैं और एक महामारी के बारे में समाचारों की आड़ में, मामलों की वास्तविक संख्या के बारे में, COVID -19 से निपटने के तरीकों के बारे में, वे दुर्भावनापूर्ण कोड और उपयोगकर्ताओं को काफी "परिचित" मैलवेयर से संक्रमित करते हैं। कार्यक्रम।

दुर्भाग्य से, बड़े नामों के पीछे आमतौर पर कुछ भी नहीं है। अक्सर यह एक त्वरित रूप से बनाई गई वर्डप्रेस साइट है, उदाहरण के लिए, कोरोनोवायरस19-पैंडिमिया [।] आरयू: जैसे।



इसी समय, सिस्को थ्रेट ग्रिड के माध्यम से ऐसी साइटों को चलाने का प्रयास विभिन्न विसंगतियों को प्रकट करता है जो दुर्भावनापूर्ण कोड में निहित हो सकती हैं (हालांकि यह प्रोग्रामर के कुटिल हाथ हो सकते हैं जिन्होंने "जल्दी से साइट बनाई थी जो यह था)। मैंने समय की कमी के कारण प्रत्येक साइट का गहन विश्लेषण करना शुरू नहीं किया। लेकिन पिछली पोस्ट को याद करते हुए जहां मैंने वर्डप्रेस के लिए दुर्भावनापूर्ण प्लगइन का उल्लेख किया है, साथ ही साथ वर्डप्रेस साइटों को हैक करने और उनके माध्यम से दुर्भावनापूर्ण कोड का प्रसार करने का सामान्य अभ्यास है, मैं यह मान सकता हूं कि समय के साथ यह साइट अपना असली चेहरा दिखाएगी।



एक और दिलचस्प अवलोकन जो मैंने बनाया है वह निर्मित डोमेन के एक निश्चित समुदाय से संबंधित है। उदाहरण के लिए, जब हमने पहली बार उन पर ध्यान दिया था। किसी कारण से, उनमें से कई एक ही समय में हमारी दृष्टि में गिर गए।



लेकिन अक्सर वे एक ही स्वायत्त प्रणाली में स्थित होते हैं। उदाहरण के लिए, तीन डोमेन पहले बताए गए कोरोनोवायरस 19-पांडिमिया [] आरयू, मास्कैकोरोनोवायरस []] आरयू और मास्क -3 एम []] आरयू हैं। किसी कारण से, वे तीनों 1976 के एएस में स्थित हैं और उनमें से कई को सिस्को अंब्रेला द्वारा दुर्भावनापूर्ण के रूप में चिह्नित किया गया है, जिसकी अधिकतम नकारात्मक रेटिंग 100 है। मास्क -3 एम [।] आरयू डोमेन स्वयं एक गैर-खतरनाक रेटिंग है (लेखन के समय, 28)। लेकिन इसे IP पते पर होस्ट किया जाता है 31 [।] 31 [।] 196 [।] 138, जो हमारे ब्लैकलिस्ट पर है और जो विभिन्न दुर्भावनापूर्ण गतिविधियों से जुड़ा हुआ है:



वैसे, 197695 के बाद यह स्वायत्त प्रणाली कई दुर्भावनापूर्ण संसाधनों का अड्डा बन गई है। उदाहरण के लिए, यह फ़िशिंग साइट टेलीग्राम 1 को होस्ट करता है। [Ru]



साथ ही साथ awitoo [।] आरयू, जो न केवल फ़िशिंग साइट जैसा दिखता है, बल्कि दुर्भावनापूर्ण कोड भी फैलाता है। यहां बताया गया है कि सिस्को थ्रेट रिस्पॉन्स सिस्टम इस डोमेन और विभिन्न कलाकृतियों के बीच के लिंक को कैसे प्रदर्शित करता है :



वॉयस 1 प्रोजेक्ट, फेसबुक सोशल नेटवर्क, अमेज़ॅन ऑनलाइन स्टोर, आईक्लाउड सेवा और अन्य ऐप्पल प्रोजेक्ट्स से जुड़े फ़िशिंग डोमेन हैं। ऑप्टिकल स्टोर "ओचकारिक", और कई अन्य लोगों के साथ।

कोरोनोवायरस से लड़ने के लिए पैसा इकट्ठा करने वाली साइटों के विषय को नजरअंदाज नहीं किया जाता है। उदाहरण के लिए, यहां एक कोरोनवायरस वायरस है जो इस तरह के दान एकत्र करता है (आपको बस एक कार्ड में पैसे स्थानांतरित करने की आवश्यकता है):



एक ऐसी ही तस्वीर कोविद-मनी [रु।] के साथ है, जो सिखाती है कि कैसे COVID-19 पर पैसा बनाना है। ऐसा करने के लिए, उपयुक्त एप्लिकेशन को छोड़ दें और एक प्रबंधक आपसे संपर्क करेगा, जो आपको कमाई के रहस्यों को बताएगा। सच है, इन दोनों साइटों, यूक्रेनी और रूसी, एक ही आईपी पर "लटका" जिसके साथ हमें संबंधित दुर्भावनापूर्ण कोड मिला:



एक अजीब संयोग के लिए, एक डोमेन भी इसके साथ जुड़ा हुआ था, माना जाता है, सिस्को:



वैसे, " साइबरकोरोनोवायरस के लिए प्रजनन का आधार, जब एक ही पते पर या एक एकल स्वायत्त नेटवर्क में, कई दुर्भावनापूर्ण संसाधन हैं, काफी। उदाहरण के लिए, आईपी 88 पर। [२१२]। आदि।



अब मैं उस डोमेन पर लौटना चाहूँगा जहाँ से मैंने यह लेख शुरू किया था। यह डोमेन IP पते पर "हैंग" 87 [।] 236 [।] 16 [।] 164, जिसके साथ, दर्जनों अन्य डोमेन के अलावा, एक दिलचस्प पते वाला एक डोमेन जुड़ा हुआ है: antivirus.ru [।] ​​कॉम। जब सिस्को थ्रेट रिस्पांस ने जांच के क्रम में उसे संदिग्ध के रूप में पहचाना, तो मुझे पहली बार लगा कि इस डोमेन की साइट पिछली बार की कहानी (साफ्टवेयर एंटीवायरस असली COVID-19 से लड़ते हुए) के साथ सादृश्य द्वारा एंटीवायरस वितरित कर रही थी।



लेकिन नहीं। यह पता चला कि यह 6 मार्च को बनाए गए ऑनलाइन स्टोर की साइट है। मुझे यह आभास हुआ कि जिन लोगों ने इसे बनाया है, उन्होंने महिलाओं के कपड़ों के स्टोर के लिए तैयार इंजन को एक आधार के रूप में लिया और बस कोरोनोवायरस से संबंधित "हॉट" सामान जोड़ा - मेडिकल मास्क, एंटीसेप्टिक्स, हैंड जैल और दस्ताने।



लेकिन या तो डेवलपर्स ने इस पर अपना हाथ नहीं डाला, या वे ऐसा नहीं करना चाहते थे, लेकिन अब साइट पर कुछ भी खरीदना असंभव है - खरीद लिंक कहीं नहीं जाते हैं। अपने निष्पादन की प्रक्रिया में साइट पर एक बहुत ही विशिष्ट रोगाणुरोधी एजेंट और संदिग्ध गतिविधि का विज्ञापन करने के अलावा, साइट के पास कुछ भी उपयोगी नहीं है। और उसके पास जाने के लिए कुछ भी नहीं है, और इस संख्या को इकाइयों में मापा जाता है। लेकिन जैसा कि निम्नलिखित उदाहरण से पता चलता है, यदि आप इस डोमेन को खोलना शुरू करते हैं, तो यह साइबर अपराधियों द्वारा उपयोग किए जाने वाले बुनियादी ढांचे को जन्म दे सकता है।



जिन डोमेन के नाम के साथ "मास्क" शब्द का उल्लेख किया गया है, स्थिति तेजी से विकसित हो रही है। कुछ डोमेन विशेष रूप से बाद की बिक्री के लिए बनाए जाते हैं। कुछ डोमेन केवल बनाए गए हैं, लेकिन अभी तक शामिल नहीं हैं। कुछ डोमेन स्पष्ट रूप से फ़िशिंग हैं या सीधे दुर्भावनापूर्ण कोड फैलाते हैं। कुछ संसाधन केवल एक महामारी के विषय पर परजीवीकरण करते हैं और एक अत्यधिक कीमत पर वे श्वासयंत्र और चिकित्सा मास्क बेचते हैं, जो हाल ही में 3-5 रूबल की लागत तक। और बहुत बार ये सभी डोमेन आपस में जुड़े होते हैं, जैसा कि ऊपर दिखाया गया है। कोई व्यक्ति दुर्भावनापूर्ण डोमेन के इस तरह के बुनियादी ढांचे का निर्माण और प्रबंधन करता है, जो कोरोनोवायरस के विषय का शोषण करता है।

यह ध्यान दिया जाना चाहिए कि एक समान स्थिति न केवल रनेट में नोट की जाती है। डोमेन mygoodmask [।] कॉम को लें, जो 27 फरवरी को बनाया गया था और, इसके अनुरोधों के वितरण को देखते हुए, संयुक्त राज्य अमेरिका, सिंगापुर और चीन में दर्शकों के साथ लोकप्रिय था। उन्होंने मेडिकल मास्क भी बेचे। इस साइट ने अकेले कोई संदेह नहीं जताया और सिस्को थ्रेट रिस्पांस में अपना पता दर्ज करते हुए हम कुछ भी दिलचस्प नहीं देखेंगे:



लेकिन इस पर रोक के बिना, हम आगे बढ़ते हैं और समझते हैं कि जब हम mygoodmask [] पर ध्यान दें। इस मामले में व्यवहार संकेतक पिछले एक के समान हैं):



हम ग्रेटमास्क []] कॉम पर पुनर्निर्देशित हैं, जो दो आईपी पते - 37 [।] 72 [।] 184 [] 5 और 196 [।] 196 [।] 3 [।] 246 में से एक है, जिसमें से अंतिम दुर्भावनापूर्ण है। और पिछले कुछ वर्षों में कई दुर्भावनापूर्ण साइटों की मेजबानी की है। पहला आईपी पता मेडिकल मास्क की बिक्री से संबंधित कई डोमेन का निराकरण करता है - safetysmask [।] कॉम, फ्लुमास्कस्टोर [।] कॉम, मास्कहेल्थी [।] कॉम, आदि। (कुल एक दर्जन से अधिक)।



हम एक ही जानकारी प्रदर्शित कर सकते हैं, लेकिन अलग-अलग प्रस्तुत किए गए, सिस्को थ्रेट रिस्पांस का उपयोग करते हुए, घटनाओं की जांच के लिए एक नि: शुल्क समाधान, जिसके लिए मैंने पहले ही हैबे पर कई लेख समर्पित किए हैं:



सिस्को अंब्रेला इनवेस्टिगेट का उपयोग करते हुए पिछले सप्ताह के आंकड़ों का एक ब्लिट्ज विश्लेषण बताता है कि हमारे पास अभी भी एक स्पष्ट "नेता" है जो कोरोनोवायरस महामारी के साथ जुड़े सभी दुर्भावनापूर्ण संसाधनों का लगभग 80% जमा करता है, 197695 के बाद स्वायत्त प्रणाली:



यह, इसके अलावा ऊपर वर्णित सभी उदाहरणों में, वास्तव में, यह न केवल COVID-19 विषय, बल्कि कई अन्य भी कार्य करता है, जो बताता है कि हमलावरों को वर्तमान महामारी के लिए कोई वरीयता नहीं है। यह सिर्फ इतना है कि उन्होंने एक सूचना के अवसर का लाभ उठाया और इसकी लहर पर दुर्भावनापूर्ण कोड का प्रसार किया, फ़िशिंग साइटों के लिए उपयोगकर्ताओं को लुभाया और अन्यथा सामान्य रनर उपयोगकर्ताओं को नुकसान पहुँचाया।



जब महामारी के आसपास प्रचार कम हो जाता है, तो अन्य विषयों को बढ़ावा देने के लिए समान बुनियादी ढांचे का उपयोग किया जाएगा। उदाहरण के लिए, उपर्युक्त अवसंरचना, जिसकी जांच साइट mygoodmask [] से शुरू हुई थी। कॉम, वास्तव में हाल ही में मेडिकल मास्क के विषय को "बढ़ावा देना" शुरू हुआ - इससे पहले, यह धूप के चश्मे सहित खेल की घटनाओं, फैशन के सामान के बारे में मेलिंग के वितरण में लगा था। बैग, आदि और इसमें, हमारे साइबर अपराधी अपने विदेशी सहयोगियों से बहुत अलग नहीं हैं।



खैर, इस ब्लिट्ज जांच से निष्कर्ष, जो मैंने 1 अप्रैल की रात को आयोजित किया था, सरल होगा - धोखेबाज किसी का भी उपयोग करते हैं, यहां तक ​​कि सीओवीआईडी ​​-19 वायरस जैसी उच्च मृत्यु दर के साथ, उनकी गतिविधि के कारण। इसलिए, किसी भी मामले में आपको आराम नहीं करना चाहिए और सोचना चाहिए कि जिस साइट पर हम ऑनलाइन महामारी वितरण कार्ड के साथ जाते हैं, या न्यूज़लेटर एक श्वासयंत्र खरीदने की पेशकश कर रहे हैं, या यहां तक ​​कि सोशल नेटवर्क लिंक जो टेलीकांफ्रेंस के लिए साइट पर जाते हैं, शुरू में सुरक्षित हैं। जागरूकता! यही वह है जो इंटरनेट पर सर्फिंग करते समय हमारी सुरक्षा को बढ़ाने में हमारी मदद करता है। और इस लेख में वर्णित सिस्को समाधान ( सिस्को छाता जांच , सिस्को खतरा ग्रिड , सिस्को खतरा प्रतिक्रिया) विशेषज्ञों की जांच करने में मदद करते हैं और वर्णित साइबर खतरों की समय पर पहचान करते हैं।

PS दूसरे दिन के लिए, एक विषय जो ज़ूम ऑनलाइन इवेंट मैनेजमेंट सिस्टम से संबंधित नकली साइटों के बड़े पैमाने पर निर्माण के बारे में था, मुझे RuNet पर अभी तक ऐसे संसाधन नहीं मिले हैं, जो बाकी इंटरनेट के बारे में नहीं कहा जा सकता है, जहां बहुत सारे ऐसे डोमेन बनाए गए थे।