APT मैलवेयर फैलाने के लिए कोरोना वायरस का उपयोग करता है

एपीटी खतरों के एक समूह को हाल ही में अपने मैलवेयर वितरित करने के लिए कोरोनोवायरस महामारी का फायदा उठाने के लिए स्पीयर फ़िशिंग अभियानों का उपयोग करते हुए खोजा गया था।

विश्व इस समय वर्तमान कोविड-19 कोरोना वायरस महामारी के कारण एक असाधारण स्थिति का अनुभव कर रहा है। वायरस के प्रसार को रोकने की कोशिश के लिए, दुनिया भर में बड़ी संख्या में कंपनियों ने रिमोट (दूरस्थ) काम का एक नया तरीका लॉन्च किया है। इससे हमले की सतह में काफी विस्तार हुआ है, जो सूचना सुरक्षा के मामले में कंपनियों के लिए एक बड़ी चुनौती है, क्योंकि उन्हें अब सख्त नियम स्थापित करने और कार्रवाई करने की आवश्यकता है। अनेक उपाय उद्यम और उसके आईटी सिस्टम के संचालन की निरंतरता सुनिश्चित करने के लिए।

हालाँकि, विस्तारित हमले की सतह ही एकमात्र साइबर जोखिम नहीं है जो पिछले कुछ दिनों में उभरा है: कई साइबर अपराधी सक्रिय रूप से फ़िशिंग अभियान चलाने, मैलवेयर वितरित करने और कई कंपनियों की सूचना सुरक्षा के लिए खतरा पैदा करने के लिए इस वैश्विक अनिश्चितता का फायदा उठा रहे हैं।

एपीटी महामारी का फायदा उठाता है

पिछले सप्ताह के अंत में, विसियस पांडा नामक एक एडवांस्ड पर्सिस्टेंट थ्रेट (एपीटी) समूह का पता चला था जो इसके खिलाफ अभियान चला रहा था। भाला फ़िशिंग, अपने मैलवेयर को फैलाने के लिए कोरोनोवायरस महामारी का उपयोग कर रहे हैं। ईमेल ने प्राप्तकर्ता को बताया कि इसमें कोरोनोवायरस के बारे में जानकारी है, लेकिन वास्तव में ईमेल में दो दुर्भावनापूर्ण आरटीएफ (रिच टेक्स्ट फॉर्मेट) फाइलें थीं। यदि पीड़ित ने इन फ़ाइलों को खोला, तो एक रिमोट एक्सेस ट्रोजन (आरएटी) लॉन्च किया गया था, जो अन्य चीजों के अलावा, स्क्रीनशॉट लेने, पीड़ित के कंप्यूटर पर फ़ाइलों और निर्देशिकाओं की सूची बनाने और फ़ाइलों को डाउनलोड करने में सक्षम था।

अभियान ने अब तक मंगोलिया के सार्वजनिक क्षेत्र को लक्षित किया है, और कुछ पश्चिमी विशेषज्ञों के अनुसार, यह दुनिया भर में विभिन्न सरकारों और संगठनों के खिलाफ चल रहे चीनी अभियान में नवीनतम हमले का प्रतिनिधित्व करता है। इस बार, अभियान की ख़ासियत यह है कि यह अपने संभावित पीड़ितों को अधिक सक्रिय रूप से संक्रमित करने के लिए नई वैश्विक कोरोनोवायरस स्थिति का उपयोग कर रहा है।

फ़िशिंग ईमेल मंगोलियाई विदेश मंत्रालय का प्रतीत होता है और इसमें वायरस से संक्रमित लोगों की संख्या के बारे में जानकारी होने का दावा किया गया है। इस फ़ाइल को हथियार बनाने के लिए, हमलावरों ने रॉयलरोड का उपयोग किया, जो चीनी खतरा निर्माताओं के बीच एक लोकप्रिय उपकरण है जो उन्हें एम्बेडेड ऑब्जेक्ट के साथ कस्टम दस्तावेज़ बनाने की अनुमति देता है जो जटिल समीकरण बनाने के लिए एमएस वर्ड में एकीकृत समीकरण संपादक में कमजोरियों का फायदा उठा सकते हैं।

उत्तरजीविता तकनीक

एक बार जब पीड़ित दुर्भावनापूर्ण RTF फ़ाइलें खोलता है, तो Microsoft Word दुर्भावनापूर्ण फ़ाइल (intel.wll) को Word स्टार्टअप फ़ोल्डर (%APPDATA%MicrosoftWordSTARTUP) में लोड करने के लिए भेद्यता का फायदा उठाता है। इस पद्धति का उपयोग करने से, न केवल खतरा लचीला हो जाता है, बल्कि यह सैंडबॉक्स में चलने पर संपूर्ण संक्रमण श्रृंखला को विस्फोट होने से भी रोकता है, क्योंकि मैलवेयर को पूरी तरह से लॉन्च करने के लिए वर्ड को पुनरारंभ करना होगा।

Intel.wll फ़ाइल फिर एक DLL फ़ाइल लोड करती है जिसका उपयोग मैलवेयर डाउनलोड करने और हैकर के कमांड और नियंत्रण सर्वर के साथ संचार करने के लिए किया जाता है। कमांड और कंट्रोल सर्वर प्रत्येक दिन सख्ती से सीमित समय के लिए काम करता है, जिससे संक्रमण श्रृंखला के सबसे जटिल हिस्सों का विश्लेषण और उन तक पहुंच बनाना मुश्किल हो जाता है।

इसके बावजूद, शोधकर्ता यह निर्धारित करने में सक्षम थे कि इस श्रृंखला के पहले चरण में, उचित कमांड प्राप्त होने के तुरंत बाद, आरएटी लोड और डिक्रिप्ट किया जाता है, और डीएलएल लोड किया जाता है, जिसे मेमोरी में लोड किया जाता है। प्लगइन जैसी वास्तुकला से पता चलता है कि इस अभियान में देखे गए पेलोड के अलावा अन्य मॉड्यूल भी हैं।

नए एपीटी के विरुद्ध सुरक्षात्मक उपाय

यह दुर्भावनापूर्ण अभियान अपने पीड़ितों के सिस्टम में घुसपैठ करने और फिर उनकी सूचना सुरक्षा से समझौता करने के लिए कई तरकीबों का उपयोग करता है। ऐसे अभियानों से खुद को बचाने के लिए कई तरह के उपाय करना जरूरी है।

पहला बेहद महत्वपूर्ण है: ईमेल प्राप्त करते समय कर्मचारियों के लिए चौकस और सावधान रहना महत्वपूर्ण है। ईमेल मुख्य आक्रमण वाहकों में से एक है, लेकिन लगभग कोई भी कंपनी ईमेल के बिना काम नहीं कर सकती। यदि आपको किसी अज्ञात प्रेषक से कोई ईमेल प्राप्त होता है, तो इसे न खोलना ही बेहतर है, और यदि आप इसे खोलते हैं, तो किसी भी अटैचमेंट को न खोलें और न ही किसी लिंक पर क्लिक करें।

अपने पीड़ितों की सूचना सुरक्षा से समझौता करने के लिए, यह हमला वर्ड में एक भेद्यता का फायदा उठाता है। वास्तव में, अप्रकाशित कमजोरियाँ इसका कारण हैं कई साइबर हमलों की सफलता, और अन्य सुरक्षा मुद्दों के साथ, वे बड़े डेटा उल्लंघनों का कारण बन सकते हैं। यही कारण है कि भेद्यता को जल्द से जल्द बंद करने के लिए उचित पैच लगाना बहुत महत्वपूर्ण है।

इन समस्याओं को खत्म करने के लिए, विशेष रूप से पहचान के लिए डिज़ाइन किए गए समाधान हैं, पैच का प्रबंधन और स्थापना. मॉड्यूल स्वचालित रूप से कंपनी के कंप्यूटरों की सुरक्षा सुनिश्चित करने के लिए आवश्यक पैच की खोज करता है, सबसे जरूरी अपडेट को प्राथमिकता देता है और उनकी स्थापना को शेड्यूल करता है। जिन पैच के लिए इंस्टॉलेशन की आवश्यकता होती है, उनके बारे में जानकारी शोषण और मैलवेयर का पता चलने पर भी व्यवस्थापक को रिपोर्ट की जाती है।

समाधान तुरंत आवश्यक पैच और अपडेट की स्थापना को ट्रिगर कर सकता है, या यदि आवश्यक हो तो अनपैच किए गए कंप्यूटरों को अलग करके उनकी स्थापना को वेब-आधारित केंद्रीय प्रबंधन कंसोल से शेड्यूल किया जा सकता है। इस तरह, व्यवस्थापक कंपनी को सुचारू रूप से चलाने के लिए पैच और अपडेट प्रबंधित कर सकता है।

दुर्भाग्य से, विचाराधीन साइबर हमला निश्चित रूप से व्यवसायों की सूचना सुरक्षा से समझौता करने के लिए वर्तमान वैश्विक कोरोनोवायरस स्थिति का लाभ उठाने वाला आखिरी हमला नहीं होगा।

स्रोत: www.habr.com