পুরানো রিলিজের সংরক্ষণাগারে ম্যালওয়্যার প্রবর্তনের সাথে প্যাল ​​মুন প্রকল্পের একটি সার্ভার হ্যাক করা

পেল মুন ব্রাউজার লেখক অনাবৃত archive.palemoon.org সার্ভারের আপস সম্পর্কিত তথ্য, যা 27.6.2 সংস্করণ পর্যন্ত অতীতের ব্রাউজার রিলিজের সংরক্ষণাগার সংরক্ষণ করে। হ্যাক করার সময়, আক্রমণকারীরা সার্ভারে হোস্ট করা উইন্ডোজের জন্য প্যাল ​​মুন ইনস্টলার সহ সমস্ত এক্সিকিউটেবল ফাইল ম্যালওয়্যার দ্বারা সংক্রামিত হয়েছিল। প্রাথমিক তথ্য অনুসারে, ম্যালওয়্যার প্রতিস্থাপন 27 ডিসেম্বর, 2017-এ প্রতিশ্রুতিবদ্ধ হয়েছিল এবং শুধুমাত্র 9 জুলাই, 2019-এ সনাক্ত করা হয়েছিল, অর্থাৎ দেড় বছর ধরে অজ্ঞাত হয়ে গেল।

সমস্যা সার্ভার বর্তমানে তদন্তের জন্য ডাউন আছে. যে সার্ভার থেকে বর্তমান রিলিজ বিতরণ করা হয়েছে
প্যাল ​​মুন প্রভাবিত হয় না, শুধুমাত্র সংরক্ষণাগার থেকে ইনস্টল করা পুরানো উইন্ডোজ সংস্করণগুলি প্রভাবিত হয় (নতুন সংস্করণ প্রকাশের সাথে সাথে রিলিজগুলি সংরক্ষণাগারে সরানো হয়)। হ্যাক করার সময়, সার্ভারটি উইন্ডোজ চালাচ্ছিল এবং ফ্রানটেক/বাইভিএম থেকে ভাড়া করা ভার্চুয়াল মেশিনে চলছিল। কি ধরনের দুর্বলতা শোষণ করা হয়েছিল এবং এটি উইন্ডোজের জন্য নির্দিষ্ট নাকি কিছু চলমান তৃতীয় পক্ষের সার্ভার অ্যাপ্লিকেশনগুলিকে প্রভাবিত করেছে তা এখনও স্পষ্ট নয়।

অ্যাক্সেস পাওয়ার পর, আক্রমণকারীরা বেছে বেছে সমস্ত প্যাল ​​মুন-সম্পর্কিত exe ফাইল (ইনস্টলার এবং সেলফ-এক্সট্রাক্টিং আর্কাইভ) ট্রোজান দিয়ে সংক্রামিত করে। Win32/ClipBanker.DY, ক্লিপবোর্ডে বিটকয়েন ঠিকানাগুলির প্রতিস্থাপনের মাধ্যমে ক্রিপ্টোকারেন্সি চুরি করার লক্ষ্যে। জিপ আর্কাইভের মধ্যে এক্সিকিউটেবল ফাইলগুলি প্রভাবিত হয় না। ফাইলের সাথে সংযুক্ত ডিজিটাল স্বাক্ষর বা SHA256 হ্যাশ চেক করে ইনস্টলারের পরিবর্তনগুলি ব্যবহারকারী দ্বারা সনাক্ত করা যেতে পারে। ব্যবহৃত ম্যালওয়্যারও সফল আলোতে আসে সর্বাধিক বর্তমান অ্যান্টিভাইরাস।

26 মে, 2019-এ, আক্রমণকারীদের সার্ভারে কার্যকলাপ চলাকালীন (এটি প্রথম হ্যাকের সময় বা অন্যদের মতো একই আক্রমণকারী ছিল তা পরিষ্কার নয়), archive.palemoon.org-এর স্বাভাবিক ক্রিয়াকলাপ ব্যাহত হয়েছিল - হোস্ট রিবুট করতে পারেনি , এবং তথ্য দূষিত হয়েছে. সিস্টেম লগগুলি সহ হারিয়ে গেছে, যা আক্রমণের প্রকৃতি নির্দেশ করে আরও বিস্তারিত ট্রেস অন্তর্ভুক্ত করতে পারে। এই ব্যর্থতার সময়, অ্যাডমিনিস্ট্রেটররা আপস সম্পর্কে অবগত ছিলেন না এবং CentOS-এর উপর ভিত্তি করে একটি নতুন পরিবেশ ব্যবহার করে এবং HTTP এর সাথে FTP আপলোড প্রতিস্থাপন করে সংরক্ষণাগারটি পুনরুদ্ধার করেছিলেন। যেহেতু ঘটনাটি লক্ষ্য করা যায় নি, ইতিমধ্যে সংক্রামিত ব্যাকআপ কপি থেকে ফাইলগুলি নতুন সার্ভারে স্থানান্তর করা হয়েছে।

সমঝোতার সম্ভাব্য কারণগুলি বিশ্লেষণ করে, ধারণা করা হয় যে আক্রমণকারীরা হোস্টিং স্টাফ অ্যাকাউন্টে পাসওয়ার্ড অনুমান করে, সার্ভারে সরাসরি শারীরিক অ্যাক্সেস লাভ করে, অন্যান্য ভার্চুয়াল মেশিনের উপর নিয়ন্ত্রণ পেতে হাইপারভাইজারকে আক্রমণ করে, ওয়েব কন্ট্রোল প্যানেল হ্যাক করে, রিমোট ডেস্কটপ সেশনে বাধা দেওয়া (আরডিপি প্রোটোকল ব্যবহার করে) অথবা উইন্ডোজ সার্ভারে একটি দুর্বলতা কাজে লাগিয়ে। বিদ্যমান এক্সিকিউটেবল ফাইলগুলিতে পরিবর্তন করার জন্য একটি স্ক্রিপ্ট ব্যবহার করে সার্ভারে স্থানীয়ভাবে ক্ষতিকারক ক্রিয়া করা হয়েছিল, বাইরে থেকে পুনরায় ডাউনলোড করে নয়।

প্রকল্পের লেখক দাবি করেছেন যে কেবলমাত্র তার সিস্টেমে প্রশাসকের অ্যাক্সেস ছিল, অ্যাক্সেস একটি আইপি ঠিকানায় সীমাবদ্ধ ছিল এবং অন্তর্নিহিত উইন্ডোজ ওএস আপডেট করা হয়েছিল এবং বাহ্যিক আক্রমণ থেকে সুরক্ষিত ছিল। একই সময়ে, দূরবর্তী অ্যাক্সেসের জন্য RDP এবং FTP প্রোটোকল ব্যবহার করা হয়েছিল, এবং ভার্চুয়াল মেশিনে সম্ভাব্য অনিরাপদ সফ্টওয়্যার চালু করা হয়েছিল, যা হ্যাকিংয়ের কারণ হতে পারে। যাইহোক, প্যালে মুনের লেখক এই সংস্করণের দিকে ঝুঁকছেন যে প্রদানকারীর ভার্চুয়াল মেশিন পরিকাঠামোর অপর্যাপ্ত সুরক্ষার কারণে হ্যাকটি সংঘটিত হয়েছিল (উদাহরণস্বরূপ, এক সময়ে স্ট্যান্ডার্ড ভার্চুয়ালাইজেশন ম্যানেজমেন্ট ইন্টারফেস ব্যবহার করে একটি অবিশ্বস্ত প্রদানকারীর পাসওয়ার্ড নির্বাচনের মাধ্যমে। মনে হচ্ছিল হ্যাক করা OpenSSL সাইট)।

উত্স: opennet.ru