सुरक्षा सप्ताह 22: एक वर्चुअल मशीन में रैंसमवेयर

पिछले हफ्ते, सोफोस विशेषज्ञों ने एक दिलचस्प राग्नार लॉकेट एन्क्रिप्शन ट्रोजन ( जेडडीईएनटी में लेख , सोफोस के ब्लॉग पर तकनीकी पोस्ट ) के विवरण का खुलासा किया । रैंसमवेयर हमले प्रणाली में एक पूर्ण वर्चुअल मशीन को खींचता है, जिसमें यह शुरू होता है, मेजबान फ़ाइल सिस्टम तक पहुंच प्राप्त करता है और डेटा को एन्क्रिप्ट करता है। अन्य बातों के अलावा, यह मामला दर्शाता है कि इंस्टॉलर मुद्रास्फीति मैलवेयर तक पहुंच गई है। आकार में 49 किलोबाइट के वास्तविक दुर्भावनापूर्ण कोड को छिपाने के लिए, पीड़ित को एक 122 मेगाबाइट इंस्टॉलर दिया जाता है, जो कि 282 मेगाबाइट से विघटित हो जाता है।

सोफोस के अनुसार, रैंसमवेयर एक व्यवसाय-उन्मुख समूह का उपयोग करता है। एक उदाहरण बिजली आपूर्तिकर्ता Energias de Portugal पर हमला है। कथित तौर पर, उनसे 10 टेराबाइट डेटा चुराया गया था, और साइबर अपराधियों द्वारा डिक्रिप्शन के लिए 1580 बिटकॉइन की मांग की गई थी। मीडिया में, एंटीवायरस मशीन को बायपास करने के लिए एक वर्चुअल मशीन ऑपरेशन को एक प्रभावी ट्रिक बताया गया है। लेकिन वास्तव में, इस तरह के "नवाचार" को सुरक्षा प्रौद्योगिकियों में किसी भी बदलाव की आवश्यकता नहीं होती है।

केवल मौजूदा लोगों का सही आवेदन आवश्यक है।

कंपनी की रिपोर्ट में यह नहीं बताया गया है कि कंप्यूटर कैसे संक्रमित है। दुर्भावनापूर्ण ऑब्जेक्ट लॉन्च करने के लिए, आपको उपयोगकर्ता को ऐसा करने के लिए मना लेना चाहिए या भेद्यता का लाभ उठाना चाहिए। एक आरडीपी कनेक्शन के लिए छेद या सरल पासवर्ड का शोषण करने का केवल एक संकेत है। प्रबंधित सेवा प्रदाताओं पर, दूसरे शब्दों में, किसी अन्य कंपनी के दूरदराज के प्रशासक, जिनके पास संभावित पीड़ित के बुनियादी ढांचे तक पूरी पहुंच है, का भी उल्लेख किया गया है। अपने ग्राहकों पर हमला करने में सक्षम होने के लिए ऐसे संगठन में हैक करने के लिए पर्याप्त है।

और फिर सब कुछ सरल है। ओरेकल वर्चुअलबॉक्स वर्चुअल मशीन को कंप्यूटर पर स्थापित किया जाता है, और यह अविश्वसनीय रूप से प्राचीन है - 2009 की रिलीज़, सूर्य की ओर से भी। स्क्रिप्ट का उपयोग करते हुए, वर्चुअल मशीन के कॉन्फ़िगरेशन पैरामीटर प्रेषित होते हैं। विंडोज एक्सपी की एक छंटनी की गई छवि लॉन्च की गई है (माइक्रोएक्सपी 0.82, बिल्ड 2008)। एक वर्चुअल नेटवर्क कनेक्शन स्थापित है और मेजबान डिस्क पर सभी डिस्क तक पहुंच है:

सोफोस प्रकाशन में एन्क्रिप्शन प्रक्रिया का वर्णन नहीं किया गया है। उससे पहले, एक और स्क्रिप्ट संपादन योग्य फ़ाइलों को अनलॉक करने के लिए मुख्य सिस्टम पर एप्लिकेशन और सेवाओं की सूची को बंद कर देती है। अंत में, फिरौती मांग के साथ एक पाठ फ़ाइल को हमले वाले कंप्यूटर पर रखा गया है।

यहां कोई उन्नत तकनीक नहीं हैं: यह एक तैयार वर्चुअल मशीन और स्क्रिप्ट का एक गुच्छा है। एक सुरक्षात्मक समाधान के दृष्टिकोण से, इस तरह के हमले को मूल रूप से एक संक्रमित कंप्यूटर के कॉर्पोरेट नेटवर्क पर उपस्थिति से अलग नहीं होता है जिसमें नेटवर्क फ़ोल्डर्स तक पहुंच होती है। हां, एक बारीकियों है - स्पष्ट रूप से हमला मशीन पर दुर्भावनापूर्ण सॉफ़्टवेयर भी प्रकट नहीं होता है: यह एक आभासी छवि के अंदर छिपा हुआ है, और केवल वैध सॉफ़्टवेयर लॉन्च किया गया है।

प्रोग्राम के व्यवहार या दूरस्थ कंप्यूटर से कार्यों को स्पष्ट मार्करों के लिए विश्लेषण करके हल किया जाता है "मैं यहां कुछ एन्क्रिप्ट करना चाहता हूं।" जटिल दुर्भावनापूर्ण प्रौद्योगिकियों के विकास पर बचाने का एक उत्सुक तरीका।

और क्या हुआ?

रजिस्टर ने ईज़ीजेट पर हमले का विवरण प्रकाशित किया है । अक्टूबर 2019 और जनवरी 2020 के बीच, साइबर अपराधियों ने अपेक्षाकृत कम संख्या में ग्राहकों (आधिकारिक आंकड़ों के अनुसार, लगभग 2200) से क्रेडिट कार्ड की जानकारी चुरा ली। पीड़ितों की रिपोर्टों को देखते हुए, आरक्षण की जानकारी के लीक (लेकिन भुगतान डेटा नहीं) ने लाखों उपयोगकर्ताओं को प्रभावित किया है।

ट्रस्टवेव की रिपोर्ट है कि हमलावर Google Firebase सेवा का उपयोग करते हैं। डेवलपर्स के लिए बनाई गई एक सेवा का उपयोग फ़िशिंग पृष्ठों को होस्ट करने के लिए किया जाता है। यह साइबर हमलों में Google के वैध उपकरणों का उपयोग करने के कई प्रयासों में से एक है।

साइबर अपराधियों ने एक महामारी के शिकार लोगों को मुआवजा देने के लिए सेवाओं पर हमला किया। ताजा (लेकिन केवल एक ही नहीं)एक उदाहरण संयुक्त राज्य अमेरिका में सरकारी सेवाओं पर हमला है। समूह, कथित रूप से नाइजीरिया से संचालित हो रहा है, अपने बैंक खाते में क्षतिपूर्ति भेजने के लिए निवासियों और कंपनियों के डेटा का उपयोग करता है। संग्रह 1 के रूप में ज्ञात उपयोगकर्ता नाम और पासवर्ड डेटाबेस के कथित वितरक को

गिरफ्तार किया गया था । मूल रूप से काले बाजार में उपलब्ध, 773 मिलियन प्रविष्टियों का यह डेटाबेस सार्वजनिक रूप से पिछले जनवरी में उपलब्ध कराया गया था।

यूके, जर्मनी और स्विट्जरलैंड के शोधकर्ताओं ने ब्लूटूथ प्रोटोकॉल ( समाचार , अनुसंधान कार्य) में एक नई भेद्यता पाई) प्राधिकरण प्रक्रिया में कमियां एक हमलावर को एक उपकरण का अनुकरण करने की अनुमति देती हैं जिसके साथ पीड़ित ने पहले से ही एक कनेक्शन स्थापित किया है। 28 विभिन्न चिपसेट पर ब्लूटूथ के साथ 31 उपकरणों के नमूने पर समस्या की पुष्टि की गई थी।