👡 ⏺️ 🤽🏽 BazarBackdoor: एंटरप्राइज सिस्टम्स के लिए नया प्रवेश बिंदु 🤚🏽 🖍️ 🔎

मार्च के मध्य में, आरडीपी कनेक्शनों पर क्रूर बल के हमलों की संख्या में तेजी से वृद्धि हुई । इन हमलों का उद्देश्य दूरस्थ श्रमिकों की संख्या में अचानक वृद्धि का लाभ उठाना और उनके कॉर्पोरेट कंप्यूटरों पर नियंत्रण हासिल करना था।

सूचना सुरक्षा विशेषज्ञों ने एक नया फ़िशिंग अभियान खोजा है जो एक छिपे हुए पिछले दरवाजे को बढ़ावा देता है जिसे बाज़ारबेकडर (ट्रिकबॉट ऑपरेटरों से नया मैलवेयर) कहा जाता है , जिसका उपयोग कॉर्पोरेट नेटवर्क को हैक करने और पूरी पहुँच प्राप्त करने के लिए किया जा सकता है।

साथ के रूप में साइबर हमलों के 91% , इस हमले के एक फ़िशिंग ईमेल के साथ शुरू होता है। ईमेलों को निजीकृत करने के लिए विभिन्न विषयों का उपयोग किया जाता है: ग्राहक शिकायतें, कोरोनावायरस के विषय पर वेतन रिपोर्ट, या कर्मचारी ले-ऑफ सूची। इन सभी पत्रों में Google डॉक्स द्वारा होस्ट किए गए दस्तावेज़ों के लिंक हैं। दुर्भावनापूर्ण ईमेल भेजने के लिए साइबर अपराधी Sendgrid मार्केटिंग प्लेटफॉर्म का उपयोग करते हैं।

यह अभियान तथाकथित "स्पीयर फ़िशिंग" का उपयोग करता है, जिसका अर्थ है कि अपराधियों ने ईमेल से जुड़ी वेबसाइटों को ईमेल के विषय के लिए वैध और प्रासंगिक प्रतीत करने के लिए हर संभव प्रयास किया है।

दुर्भावनापूर्ण दस्तावेज़

MarketBackdoor के साथ अभियान में अगला कदम पीड़ित को दस्तावेज़ डाउनलोड करने के लिए प्राप्त करना है। इन "डमी" वेबसाइटों में वर्ड, एक्सेल या पीडीएफ प्रारूप में फाइलें प्रदर्शित करने में समस्याएं होती हैं, और इसलिए उपयोगकर्ताओं को एक दस्तावेज डाउनलोड करने के लिए प्रेरित किया जाता है ताकि वे इसे अपने कंप्यूटर पर स्थानीय रूप से देख सकें।

जब पीड़ित लिंक पर क्लिक करता है, तो एक निष्पादन योग्य फ़ाइल डाउनलोड की जाती है जो वेबसाइट पर प्रदर्शित दस्तावेज़ के प्रकार से जुड़े आइकन और नाम का उपयोग करती है। उदाहरण के लिए, "COVID-19 के दौरान पेरोल रिपोर्ट" लिंक प्रीव्यूआरपोर्ट। डॉक। Exe नामक एक दस्तावेज को लोड कर देगा। चूंकि विंडोज़ डिफ़ॉल्ट रूप से फ़ाइल एक्सटेंशन नहीं दिखाता है, इसलिए अधिकांश उपयोगकर्ता बस प्रीव्यूपोर्टपोर्ट को देखते हैं और यह मानते हुए इस फ़ाइल को खोलते हैं। वैध दस्तावेज।

छिपे हुए पिछले दरवाजे

इस दुर्भावनापूर्ण दस्तावेज़ में छिपाई गई निष्पादन योग्य फ़ाइल, MarketBackdoor के लिए बूटलोडर है। जब कोई उपयोगकर्ता दुर्भावनापूर्ण दस्तावेज़ लॉन्च करता है, तो बूटलोडर बाज़ार प्रबंधन को डाउनलोड करने के लिए बाहरी प्रबंधन सर्वर से कनेक्ट होने से पहले थोड़े समय के लिए छिपा रहता है।

प्रबंधन सर्वर का पता प्राप्त करने के लिए, MarketLoader विभिन्न डोमेन नाम का उपयोग करने के लिए एमजीआर विकेंद्रीकृत डीएनएस सेवा का उपयोग करेगा। बजार डोमेन का उपयोग केवल इमेरकोइन डीएनएस सर्वरों पर किया जा सकता है, और चूंकि यह विकेंद्रीकृत है, इसलिए कानून प्रवर्तन एजेंसियों के लिए आवश्यक होस्ट का पता लगाना मुश्किल (यदि असंभव नहीं) है।

प्रबंधन सर्वर के लिए उपयोग किए जाने वाले होस्ट नाम:

forgame.bazar
bestgame.bazar
thegame.bazar
newgame.bazar
portgame.bazar

जैसे ही प्रबंधन सर्वर का आईपी पता प्राप्त होता है, बूटलोडर पहले एक सी 2 से जुड़ जाएगा और पंजीकरण पूरा करेगा। इस बैकडोर का परीक्षण करने वाले विशेषज्ञों के अनुसार, यह अनुरोध हमेशा एक HTTP 404 त्रुटि कोड

लौटाता है । दूसरा अनुरोध, C2, हालांकि, एन्क्रिप्टेड XOR पेलोड को लोड करता है, जो दुर्भावनापूर्ण प्रोग्राम है, MarketBbackdoor backdoor।

पेलोड लोड होने के बाद, इसे प्रक्रियाहीन तरीके से C: \ Windows \ system32 \ svchost.exe में एम्बेड किया जाएगा। तकनीकी रिपोर्ट प्रकाशित करने वाले सेफ्टी रिसर्चर विटाली क्रैमज़ ने ब्लेपिंगकम्प्यूटर को बताया कि यह प्रोसेस होलोइंग और प्रोसेस डॉपेलगिंगिंग विधियों का उपयोग करके किया जाता है ।

जैसा कि विंडोज उपयोगकर्ताओं को टास्क मैनेजर में चल रहे svchost.exe प्रक्रियाओं के लिए उपयोग किया जाता है, अधिकांश उपयोगकर्ताओं के बीच एक और svchost.exe प्रक्रिया संदेह पैदा करने की संभावना नहीं है।

उपयोगकर्ता द्वारा विंडोज में लॉग इन करने पर बूट लोडर को शुरू करने के लिए निर्धारित कार्य भी कॉन्फ़िगर किया जाएगा, जो आपको पिछले दरवाजे के नए संस्करणों को नियमित रूप से डाउनलोड करने और उन्हें svchost.exe प्रक्रिया में दर्ज करने की अनुमति देगा।

बाद में, सुरक्षा शोधकर्ताओं क्रेमज़ और जेम्स ने बताया कि पिछले दरवाजे ने कोबाल्ट स्ट्राइक पैठ परीक्षण और पीड़ित के कंप्यूटर पर इस मशीन के बाद के संचालन के लिए उपयोगिताओं का एक विशेष सेट निष्पादित किया है।

कोबाल्ट स्ट्राइक एक वैध सूचना सुरक्षा अनुप्रयोग है जिसे "प्रतिकूल मॉडलिंग प्लेटफॉर्म" के रूप में प्रचारित किया जाता है और एक नकली जटिल खतरे के खिलाफ नेटवर्क सुरक्षा मूल्यांकन करने के लिए डिज़ाइन किया गया है जो एक हमलावर नेटवर्क पर रखने की कोशिश कर रहा है।

हालांकि, हमलावर अक्सर नेटवर्क के खतरों को फैलाने, क्रेडेंशियल्स चोरी करने और मैलवेयर को तैनात करने के दौरान कोबाल्ट स्ट्राइक के हैक किए गए संस्करणों का उपयोग अपने टूलकिट के हिस्से के रूप में करते हैं।

कोबाल्ट स्ट्राइक को लागू करते समय, यह स्पष्ट है कि इस छिपे हुए बैकडोर का उपयोग कॉर्पोरेट नेटवर्क में पदों को सुरक्षित करने के लिए किया जाता है ताकि क्रिप्टोग्राफर्स को पेश किया जा सके, डेटा चोरी कर सके या अन्य हमलावरों को नेटवर्क एक्सेस बेचा जा सके।

बराबरी मजदूर और ट्रिकबोट के बीच समानता

BazarBackdoor एक एंटरप्राइज क्लास मालवेयर है। सूचना सुरक्षा शोधकर्ताओं का मानना है कि इस पिछले दरवाजे को उसी टीम द्वारा विकसित किया गया था जिसने ट्रिकबोट ट्रोजन को विकसित किया था: दोनों दुर्भावनापूर्ण कार्यक्रमों में समान कोड के कुछ हिस्सों, साथ ही समान वितरण विधियों और काम करने के सिद्धांत हैं।

बैकडोर के खतरे

किसी भी जटिल हमले में, चाहे वह जबरन वसूली हो, औद्योगिक जासूसी हो या कॉर्पोरेट डेटा की निकासी, इस तरह की पहुंच की उपलब्धता बेहद महत्वपूर्ण है। यदि कोई साइबर क्रिमिनल कंपनी के IT सिस्टम में MarketBackdoor स्थापित करने का प्रबंधन करता है, तो यह एक गंभीर खतरा हो सकता है, और इस पिछले दरवाजे का उपयोग करके भेजे गए ईमेल की मात्रा को देखते हुए, यह एक आम खतरा है।

जैसा कि हमने देखा, MarketBackdoor कई आपराधिक उपकरणों और उपकरणों के लिए एक प्रवेश बिंदु हो सकता है। इस संबंध में, यह जरूरी है कि इस तरह के खतरों से संभावित नुकसान को रोकने के लिए उद्यमों को मज़बूती से संरक्षित किया जाए।

स्रोत: ब्लीडिंगकंप्यूटर

BazarBackdoor: एंटरप्राइज सिस्टम्स के लिए नया प्रवेश बिंदु

दुर्भावनापूर्ण दस्तावेज़

छिपे हुए पिछले दरवाजे

बराबरी मजदूर और ट्रिकबोट के बीच समानता

बैकडोर के खतरे

More articles: