APT માલવેર ફેલાવવા માટે કોરોનાવાયરસનો ઉપયોગ કરે છે

APT ધમકીઓનું જૂથ તાજેતરમાં તેમના માલવેરને વિતરિત કરવા માટે કોરોનાવાયરસ રોગચાળાનું શોષણ કરવા માટે ભાલા ફિશિંગ ઝુંબેશનો ઉપયોગ કરીને શોધાયું હતું.

વર્તમાન કોવિડ-19 કોરોનાવાયરસ રોગચાળાને કારણે વિશ્વ હાલમાં અસાધારણ પરિસ્થિતિનો અનુભવ કરી રહ્યું છે. વાયરસના ફેલાવાને રોકવાનો પ્રયાસ કરવા માટે, વિશ્વભરની મોટી સંખ્યામાં કંપનીઓએ રિમોટ (રિમોટ) કાર્યનો એક નવો મોડ શરૂ કર્યો છે. આનાથી હુમલાની સપાટી નોંધપાત્ર રીતે વિસ્તરી છે, જે માહિતી સુરક્ષાના સંદર્ભમાં કંપનીઓ માટે એક મોટો પડકાર છે, કારણ કે તેમને હવે કડક નિયમો સ્થાપિત કરવાની અને પગલાં લેવાની જરૂર છે. સંખ્યાબંધ પગલાં એન્ટરપ્રાઇઝ અને તેની આઇટી સિસ્ટમના સંચાલનની સાતત્યની ખાતરી કરવા.

જો કે, વિસ્તરેલ હુમલાની સપાટી એ એક માત્ર સાયબર જોખમ નથી જે છેલ્લા કેટલાક દિવસોમાં ઉભરી આવ્યું છે: ઘણા સાયબર ગુનેગારો ફિશિંગ ઝુંબેશ ચલાવવા, માલવેરનું વિતરણ કરવા અને ઘણી કંપનીઓની માહિતી સુરક્ષા માટે જોખમ ઊભું કરવા માટે આ વૈશ્વિક અનિશ્ચિતતાનો સક્રિયપણે ઉપયોગ કરી રહ્યા છે.

APT રોગચાળાનું શોષણ કરે છે

ગયા અઠવાડિયે અંતમાં, વિશિયસ પાંડા નામનું એડવાન્સ્ડ પર્સિસ્ટન્ટ થ્રેટ (એપીટી) જૂથ શોધી કાઢવામાં આવ્યું હતું જે વિરુદ્ધ ઝુંબેશ ચલાવી રહ્યું હતું. ભાલા ફિશિંગ, તેમના માલવેર ફેલાવવા માટે કોરોનાવાયરસ રોગચાળાનો ઉપયોગ કરે છે. ઈમેલમાં પ્રાપ્તકર્તાને કહેવામાં આવ્યું હતું કે તેમાં કોરોનાવાયરસ વિશેની માહિતી છે, પરંતુ હકીકતમાં ઈમેલમાં બે દૂષિત RTF (રિચ ટેક્સ્ટ ફોર્મેટ) ફાઈલો છે. જો પીડિતાએ આ ફાઇલો ખોલી હોય, તો રિમોટ એક્સેસ ટ્રોજન (RAT) લૉન્ચ કરવામાં આવ્યું હતું, જે અન્ય બાબતોની સાથે, સ્ક્રીનશૉટ્સ લેવા, પીડિતાના કમ્પ્યુટર પર ફાઇલો અને ડિરેક્ટરીઓની સૂચિ બનાવવા અને ફાઇલો ડાઉનલોડ કરવા માટે સક્ષમ હતું.

આ અભિયાને અત્યાર સુધી મંગોલિયાના જાહેર ક્ષેત્રને નિશાન બનાવ્યું છે, અને કેટલાક પશ્ચિમી નિષ્ણાતોના મતે, તે વિશ્વભરની વિવિધ સરકારો અને સંસ્થાઓ સામે ચાલી રહેલા ચાઈનીઝ ઓપરેશનમાં તાજેતરના હુમલાનું પ્રતિનિધિત્વ કરે છે. આ વખતે, ઝુંબેશની ખાસિયત એ છે કે તે નવી વૈશ્વિક કોરોનાવાયરસ પરિસ્થિતિનો ઉપયોગ તેના સંભવિત પીડિતોને વધુ સક્રિય રીતે સંક્રમિત કરવા માટે કરી રહી છે.

ફિશિંગ ઈમેલ મોંગોલિયન વિદેશ મંત્રાલયનો હોવાનું જણાય છે અને તેમાં વાયરસથી સંક્રમિત લોકોની સંખ્યા વિશેની માહિતી હોવાનો દાવો કરવામાં આવ્યો છે. આ ફાઇલને હથિયાર બનાવવા માટે, હુમલાખોરોએ રોયલરોડનો ઉપયોગ કર્યો, જે ચાઇનીઝ ધમકી ઉત્પાદકોમાં લોકપ્રિય સાધન છે જે તેમને એમ્બેડેડ ઑબ્જેક્ટ્સ સાથે કસ્ટમ દસ્તાવેજો બનાવવાની મંજૂરી આપે છે જે જટિલ સમીકરણો બનાવવા માટે MS વર્ડમાં સંકલિત સમીકરણ સંપાદકમાં નબળાઈઓનો ઉપયોગ કરી શકે છે.

સર્વાઇવલ તકનીકો

એકવાર પીડિત દૂષિત RTF ફાઇલો ખોલે છે, માઇક્રોસોફ્ટ વર્ડ દૂષિત ફાઇલ (intel.wll) ને વર્ડ સ્ટાર્ટઅપ ફોલ્ડર (%APPDATA%MicrosoftWordSTARTUP) માં લોડ કરવાની નબળાઈનો ઉપયોગ કરે છે. આ પદ્ધતિનો ઉપયોગ કરીને, માત્ર ખતરો સ્થિતિસ્થાપક બનતો નથી, પરંતુ તે સેન્ડબોક્સમાં ચાલતી વખતે સમગ્ર ચેપ શૃંખલાને વિસ્ફોટ થતો અટકાવે છે, કારણ કે મૉલવેરને સંપૂર્ણપણે લૉન્ચ કરવા માટે વર્ડને પુનઃપ્રારંભ કરવું આવશ્યક છે.

intel.wll ફાઇલ પછી DLL ફાઇલ લોડ કરે છે જેનો ઉપયોગ માલવેર ડાઉનલોડ કરવા અને હેકરના આદેશ અને નિયંત્રણ સર્વર સાથે વાતચીત કરવા માટે થાય છે. કમાન્ડ અને કંટ્રોલ સર્વર દરરોજ સખત મર્યાદિત સમયગાળા માટે કાર્ય કરે છે, જેનાથી ચેપ શૃંખલાના સૌથી જટિલ ભાગોનું વિશ્લેષણ કરવું અને તેને ઍક્સેસ કરવું મુશ્કેલ બને છે.

આ હોવા છતાં, સંશોધકો એ નિર્ધારિત કરવામાં સક્ષમ હતા કે આ સાંકળના પ્રથમ તબક્કામાં, યોગ્ય આદેશ પ્રાપ્ત કર્યા પછી તરત જ, RAT લોડ થાય છે અને ડિક્રિપ્ટ થાય છે, અને DLL લોડ થાય છે, જે મેમરીમાં લોડ થાય છે. પ્લગઇન જેવું આર્કિટેક્ચર સૂચવે છે કે આ ઝુંબેશમાં પેલોડ ઉપરાંત અન્ય મોડ્યુલ પણ છે.

નવી APT સામે રક્ષણાત્મક પગલાં

આ દૂષિત ઝુંબેશ તેના પીડિતોની સિસ્ટમમાં ઘૂસણખોરી કરવા અને પછી તેમની માહિતી સુરક્ષા સાથે ચેડા કરવા માટે બહુવિધ યુક્તિઓનો ઉપયોગ કરે છે. આવા અભિયાનોથી પોતાને બચાવવા માટે, વિવિધ પગલાં લેવાનું મહત્વપૂર્ણ છે.

પ્રથમ અત્યંત મહત્વપૂર્ણ છે: કર્મચારીઓ માટે ઇમેઇલ્સ પ્રાપ્ત કરતી વખતે સચેત અને સાવચેત રહેવું મહત્વપૂર્ણ છે. ઈમેલ એ મુખ્ય એટેક વેક્ટર્સમાંનું એક છે, પરંતુ લગભગ કોઈ પણ કંપની ઈમેલ વિના કરી શકતી નથી. જો તમને કોઈ અજાણ્યા પ્રેષક તરફથી ઈમેલ મળે છે, તો તેને ન ખોલવું વધુ સારું છે, અને જો તમે તેને ખોલો છો, તો પછી કોઈપણ જોડાણો ખોલશો નહીં અથવા કોઈપણ લિંક પર ક્લિક કરશો નહીં.

તેના પીડિતોની માહિતી સુરક્ષા સાથે સમાધાન કરવા માટે, આ હુમલો વર્ડમાં રહેલી નબળાઈનો ઉપયોગ કરે છે. હકીકતમાં, અનપેચ્ડ નબળાઈઓ કારણ છે ઘણા સાયબર હુમલાઓની સફળતા, અને અન્ય સુરક્ષા સમસ્યાઓ સાથે, તેઓ મોટા ડેટા ભંગ તરફ દોરી શકે છે. તેથી જ શક્ય તેટલી વહેલી તકે નબળાઈને બંધ કરવા માટે યોગ્ય પેચ લાગુ કરવું ખૂબ જ મહત્વપૂર્ણ છે.

આ સમસ્યાઓને દૂર કરવા માટે, ખાસ કરીને ઓળખ માટે રચાયેલ ઉકેલો છે, પેચોનું સંચાલન અને સ્થાપન. મોડ્યુલ આપમેળે કંપનીના કમ્પ્યુટર્સની સુરક્ષાને સુનિશ્ચિત કરવા માટે જરૂરી પેચો શોધે છે, સૌથી વધુ તાકીદના અપડેટ્સને પ્રાધાન્ય આપે છે અને તેમના ઇન્સ્ટોલેશનને શેડ્યૂલ કરે છે. જ્યારે શોષણ અને માલવેર મળી આવે ત્યારે પણ પેચો વિશેની માહિતી કે જેને ઇન્સ્ટોલેશનની જરૂર હોય છે તે એડમિનિસ્ટ્રેટરને જાણ કરવામાં આવે છે.

સોલ્યુશન તરત જ જરૂરી પેચો અને અપડેટ્સના ઇન્સ્ટોલેશનને ટ્રિગર કરી શકે છે અથવા જો જરૂરી હોય તો અનપેચ્ડ કમ્પ્યુટર્સને અલગ કરીને વેબ-આધારિત સેન્ટ્રલ મેનેજમેન્ટ કન્સોલમાંથી તેમનું ઇન્સ્ટોલેશન શેડ્યૂલ કરી શકાય છે. આ રીતે, એડમિનિસ્ટ્રેટર કંપનીને સરળતાથી ચલાવવા માટે પેચો અને અપડેટ્સનું સંચાલન કરી શકે છે.

કમનસીબે, વ્યવસાયોની માહિતી સુરક્ષા સાથે સમાધાન કરવા માટે વર્તમાન વૈશ્વિક કોરોનાવાયરસ પરિસ્થિતિનો લાભ લેવા માટે પ્રશ્નમાં સાયબર હુમલો ચોક્કસપણે છેલ્લો રહેશે નહીં.

સોર્સ: www.habr.com