જૂના પ્રકાશનોના આર્કાઇવમાં માલવેરની રજૂઆત સાથે પેલ મૂન પ્રોજેક્ટના સર્વરમાંથી એકને હેક કરવું

પેલ મૂન બ્રાઉઝરના લેખક .ંકાયેલ archive.palemoon.org સર્વરની સમજૂતી વિશેની માહિતી, જે 27.6.2 સહિતની આવૃત્તિ સુધીના ભૂતકાળના બ્રાઉઝર રિલીઝના આર્કાઇવને સંગ્રહિત કરે છે. હેક દરમિયાન, હુમલાખોરોએ સર્વર પર હોસ્ટ કરેલા Windows માટે પેલ મૂન ઇન્સ્ટોલર્સ સાથેની તમામ એક્ઝિક્યુટેબલ ફાઇલોને માલવેરથી સંક્રમિત કરી. પ્રારંભિક માહિતી અનુસાર, માલવેર અવેજી 27 ડિસેમ્બર, 2017 ના રોજ પ્રતિબદ્ધ કરવામાં આવી હતી, અને તે ફક્ત 9 જુલાઈ, 2019 ના રોજ મળી આવી હતી, એટલે કે. દોઢ વર્ષ સુધી કોઈનું ધ્યાન ગયું નહીં.

સમસ્યા સર્વર હાલમાં તપાસ માટે ડાઉન છે. સર્વર કે જેમાંથી વર્તમાન પ્રકાશનોનું વિતરણ કરવામાં આવ્યું હતું
નિસ્તેજ ચંદ્ર અપ્રભાવિત છે, ફક્ત આર્કાઇવમાંથી ઇન્સ્ટોલ કરેલા વિન્ડોઝના જૂના સંસ્કરણો પ્રભાવિત થાય છે (નવા સંસ્કરણો પ્રકાશિત થતાંની સાથે પ્રકાશન આર્કાઇવમાં ખસેડવામાં આવે છે). હેકના સમયે, સર્વર વિન્ડોઝ ચલાવતું હતું અને Frantech/BuyVM પાસેથી ભાડે લીધેલા વર્ચ્યુઅલ મશીનમાં ચાલી રહ્યું હતું. કેવા પ્રકારની નબળાઈનો ઉપયોગ કરવામાં આવ્યો હતો અને શું તે Windows માટે વિશિષ્ટ છે અથવા કેટલીક ચાલી રહેલ તૃતીય-પક્ષ સર્વર એપ્લિકેશનોને અસર કરે છે તે હજી સ્પષ્ટ નથી.

ઍક્સેસ મેળવ્યા પછી, હુમલાખોરોએ પસંદગીપૂર્વક પેલ મૂન-સંબંધિત એક્સી ફાઇલો (ઇન્સ્ટોલર્સ અને સ્વ-એક્સટ્રેક્ટીંગ આર્કાઇવ્સ) ને ટ્રોજન વડે ચેપ લગાડ્યો. Win32/ClipBanker.DY, ક્લિપબોર્ડમાં બિટકોઈન એડ્રેસના અવેજી દ્વારા ક્રિપ્ટોકરન્સીની ચોરી કરવાનો હેતુ છે. ઝિપ આર્કાઇવ્સની અંદર એક્ઝિક્યુટેબલ ફાઇલોને અસર થતી નથી. ફાઈલો સાથે જોડાયેલ ડીજીટલ હસ્તાક્ષરો અથવા SHA256 હેશને તપાસીને ઈન્સ્ટોલરમાં ફેરફાર યુઝર દ્વારા શોધી કાઢવામાં આવ્યા હશે. વપરાયેલ માલવેર પણ સફળ છે પ્રકાશમાં આવે છે સૌથી વર્તમાન એન્ટીવાયરસ.

26 મે, 2019 ના રોજ, હુમલાખોરોની સર્વર પરની પ્રવૃત્તિ દરમિયાન (તે સ્પષ્ટ નથી કે આ એ જ હુમલાખોરો છે જેમ કે પ્રથમ હેક દરમિયાન અથવા અન્ય), archive.palemoon.org ની સામાન્ય કામગીરી ખોરવાઈ ગઈ હતી - હોસ્ટ રીબૂટ કરી શક્યું નથી , અને ડેટા દૂષિત હતો. સિસ્ટમ લોગ્સ સહિત ખોવાઈ ગયા હતા, જેમાં હુમલાની પ્રકૃતિ દર્શાવતા વધુ વિગતવાર ટ્રેસનો સમાવેશ થઈ શકે છે. આ નિષ્ફળતા સમયે, સંચાલકો સમાધાનથી અજાણ હતા અને CentOS પર આધારિત નવા વાતાવરણનો ઉપયોગ કરીને અને FTP અપલોડને HTTP સાથે બદલીને આર્કાઇવને પુનઃસ્થાપિત કર્યું. આ ઘટનાની નોંધ લેવામાં આવી ન હોવાથી, બેકઅપ કોપીમાંથી ફાઈલો જે પહેલાથી જ સંક્રમિત હતી તે નવા સર્વર પર ટ્રાન્સફર કરવામાં આવી હતી.

સમાધાનના સંભવિત કારણોનું વિશ્લેષણ કરતાં, એવું માનવામાં આવે છે કે હુમલાખોરોએ હોસ્ટિંગ સ્ટાફ એકાઉન્ટમાં પાસવર્ડનો અનુમાન લગાવીને ઍક્સેસ મેળવ્યો હતો, સર્વરની સીધી ભૌતિક ઍક્સેસ મેળવી હતી, અન્ય વર્ચ્યુઅલ મશીનો પર નિયંત્રણ મેળવવા માટે હાઇપરવાઇઝર પર હુમલો કરીને, વેબ કંટ્રોલ પેનલને હેક કરીને, રિમોટ ડેસ્કટોપ સત્રને અટકાવવું (આરડીપી પ્રોટોકોલનો ઉપયોગ કરીને) અથવા વિન્ડોઝ સર્વરમાં નબળાઈનો ઉપયોગ કરીને. દૂષિત ક્રિયાઓ હાલની એક્ઝિક્યુટેબલ ફાઇલોમાં ફેરફાર કરવા માટે સ્ક્રિપ્ટનો ઉપયોગ કરીને સર્વર પર સ્થાનિક રીતે કરવામાં આવી હતી, અને તેને બહારથી ફરીથી ડાઉનલોડ કરીને નહીં.

પ્રોજેક્ટના લેખક દાવો કરે છે કે સિસ્ટમમાં ફક્ત તેમની પાસે એડમિનિસ્ટ્રેટર એક્સેસ હતી, એક્સેસ એક IP એડ્રેસ સુધી મર્યાદિત હતી, અને અંતર્ગત Windows OS અપડેટ કરવામાં આવ્યું હતું અને બાહ્ય હુમલાઓથી સુરક્ષિત હતું. તે જ સમયે, રિમોટ એક્સેસ માટે RDP અને FTP પ્રોટોકોલનો ઉપયોગ કરવામાં આવ્યો હતો અને વર્ચ્યુઅલ મશીન પર સંભવિત અસુરક્ષિત સોફ્ટવેર લોન્ચ કરવામાં આવ્યું હતું, જે હેકિંગનું કારણ બની શકે છે. જો કે, પેલ મૂનના લેખક એ સંસ્કરણ તરફ વલણ ધરાવે છે કે પ્રદાતા પર વર્ચ્યુઅલ મશીન ઇન્ફ્રાસ્ટ્રક્ચરની અપૂરતી સુરક્ષાને કારણે હેક કરવામાં આવ્યું હતું (ઉદાહરણ તરીકે, એક સમયે પ્રમાણભૂત વર્ચ્યુઅલાઇઝેશન મેનેજમેન્ટ ઇન્ટરફેસનો ઉપયોગ કરીને અવિશ્વસનીય પ્રદાતા પાસવર્ડની પસંદગી દ્વારા. હતી હેક ઓપનએસએસએલ સાઇટ).

સોર્સ: opennet.ru