डिजिटल कोरोनावायरस - रैनसमवेयर और इन्फोस्टीलर का एक संयोजन

कोरोनोवायरस विषयों का उपयोग करने वाले विभिन्न खतरे ऑनलाइन दिखाई देते रहते हैं। और आज हम एक दिलचस्प उदाहरण के बारे में जानकारी साझा करना चाहते हैं जो स्पष्ट रूप से हमलावरों की अपने लाभ को अधिकतम करने की इच्छा को प्रदर्शित करता है। "2-इन-1" श्रेणी का ख़तरा स्वयं को कोरोना वायरस कहता है। और मैलवेयर के बारे में विस्तृत जानकारी कटौती के अंतर्गत है।

कोरोनोवायरस थीम का शोषण एक महीने से अधिक समय पहले शुरू हुआ था। हमलावरों ने महामारी के प्रसार और उठाए गए कदमों के बारे में जानकारी में जनता की रुचि का फायदा उठाया। इंटरनेट पर बड़ी संख्या में विभिन्न मुखबिर, विशेष एप्लिकेशन और फर्जी साइटें सामने आई हैं जो उपयोगकर्ताओं से समझौता करती हैं, डेटा चुराती हैं और कभी-कभी डिवाइस की सामग्री को एन्क्रिप्ट करती हैं और फिरौती की मांग करती हैं। कोरोना वायरस ट्रैकर मोबाइल ऐप ठीक यही करता है, डिवाइस तक पहुंच को अवरुद्ध करता है और फिरौती की मांग करता है।

मैलवेयर के प्रसार का एक अलग मुद्दा वित्तीय सहायता उपायों के साथ भ्रम था। कई देशों में, सरकार ने महामारी के दौरान आम नागरिकों और व्यापार प्रतिनिधियों को सहायता और समर्थन देने का वादा किया है। और लगभग कहीं भी यह सहायता सरल और पारदर्शी नहीं है। इसके अलावा, कई लोगों को उम्मीद है कि उन्हें आर्थिक मदद मिलेगी, लेकिन यह नहीं पता कि वे सरकारी सब्सिडी पाने वालों की सूची में शामिल हैं या नहीं। और जिन लोगों को पहले ही राज्य से कुछ मिल चुका है, उनके अतिरिक्त सहायता से इनकार करने की संभावना नहीं है।

हमलावर इसी का फायदा उठाते हैं। वे बैंकों, वित्तीय नियामकों और सामाजिक सुरक्षा अधिकारियों की ओर से मदद की पेशकश करते हुए पत्र भेजते हैं। आपको बस लिंक का अनुसरण करना होगा...

यह अनुमान लगाना कठिन नहीं है कि किसी संदिग्ध पते पर क्लिक करने के बाद, कोई व्यक्ति फ़िशिंग साइट पर पहुँच जाता है जहाँ उसे अपनी वित्तीय जानकारी दर्ज करने के लिए कहा जाता है। अक्सर, वेबसाइट खोलने के साथ-साथ, हमलावर व्यक्तिगत डेटा और विशेष रूप से वित्तीय जानकारी चुराने के उद्देश्य से ट्रोजन प्रोग्राम से कंप्यूटर को संक्रमित करने का प्रयास करते हैं। कभी-कभी ईमेल अनुलग्नक में एक पासवर्ड-सुरक्षित फ़ाइल शामिल होती है जिसमें स्पाइवेयर या रैंसमवेयर के रूप में "आप सरकारी सहायता कैसे प्राप्त कर सकते हैं इसके बारे में महत्वपूर्ण जानकारी" होती है।

इसके अलावा, हाल ही में इन्फोस्टीलर श्रेणी के कार्यक्रम भी सोशल नेटवर्क पर फैलने लगे हैं। उदाहरण के लिए, यदि आप कोई वैध विंडोज़ उपयोगिता डाउनलोड करना चाहते हैं, जैसे कि वाइजक्लीनर[.]बेस्ट, तो इन्फोस्टीलर इसके साथ बंडल में आ सकता है। लिंक पर क्लिक करने पर, उपयोगकर्ता को एक डाउनलोडर प्राप्त होता है जो उपयोगिता के साथ मैलवेयर डाउनलोड करता है, और पीड़ित के कंप्यूटर की कॉन्फ़िगरेशन के आधार पर डाउनलोड स्रोत का चयन किया जाता है।

कोरोनावायरस 2022

हमने यह पूरा भ्रमण क्यों किया? तथ्य यह है कि नया मैलवेयर, जिसके रचनाकारों ने नाम के बारे में बहुत लंबे समय तक नहीं सोचा था, ने सभी बेहतरीन चीजों को अवशोषित कर लिया है और पीड़ित को एक ही बार में दो प्रकार के हमलों से प्रसन्न किया है। एक तरफ, एन्क्रिप्शन प्रोग्राम (कोरोनावायरस) लोड किया गया है, और दूसरी तरफ, केपीओटी इन्फोस्टीलर।

कोरोनावीरस रैंसमवेयर

रैनसमवेयर अपने आप में 44KB की एक छोटी फ़ाइल है। खतरा सरल लेकिन प्रभावी है. निष्पादन योग्य फ़ाइल स्वयं को एक यादृच्छिक नाम के अंतर्गत कॉपी करती है %AppData%LocalTempvprdh.exe, और रजिस्ट्री में कुंजी भी सेट करता है WindowsCurrentVersionRun. एक बार प्रतिलिपि रख देने के बाद, मूल हटा दिया जाता है।

अधिकांश रैनसमवेयर की तरह, कोरोना वायरस निम्नलिखित सिस्टम कमांड चलाकर स्थानीय बैकअप को हटाने और फ़ाइल शैडोइंग को अक्षम करने का प्रयास करता है:
C:Windowssystem32VSSADMIN.EXE Delete Shadows /All /Quiet
C:Windowssystem32wbadmin.exe delete systemstatebackup -keepVersions:0 -quiet
C:Windowssystem32wbadmin.exe delete backup -keepVersions:0 -quiet

इसके बाद, सॉफ़्टवेयर फ़ाइलों को एन्क्रिप्ट करना शुरू करता है। प्रत्येक एन्क्रिप्टेड फ़ाइल का नाम शामिल होगा [email protected]__ शुरुआत में, और बाकी सब कुछ वैसा ही रहता है।
इसके अलावा, रैंसमवेयर C ड्राइव का नाम बदलकर कोरोना वायरस कर देता है।

प्रत्येक निर्देशिका में जिसे यह वायरस संक्रमित करने में कामयाब रहा, एक कोरोनावायरस.txt फ़ाइल दिखाई देती है, जिसमें भुगतान निर्देश होते हैं। फिरौती केवल 0,008 बिटकॉइन या लगभग $60 है। मुझे कहना होगा, यह बहुत मामूली आंकड़ा है। और यहां मुद्दा यह है कि या तो लेखक ने खुद को बहुत अमीर बनने का लक्ष्य निर्धारित नहीं किया था... या, इसके विपरीत, उसने फैसला किया कि यह एक उत्कृष्ट राशि थी जिसे आत्म-अलगाव में घर पर बैठा प्रत्येक उपयोगकर्ता भुगतान कर सकता था। सहमत हूँ, यदि आप बाहर नहीं जा सकते हैं, तो आपके कंप्यूटर को दोबारा काम पर लाने के लिए $60 उतना अधिक नहीं है।

इसके अलावा, नया रैनसमवेयर अस्थायी फ़ाइल फ़ोल्डर में एक छोटी DOS निष्पादन योग्य फ़ाइल लिखता है और इसे BootExecute कुंजी के तहत रजिस्ट्री में पंजीकृत करता है ताकि अगली बार कंप्यूटर रीबूट होने पर भुगतान निर्देश दिखाए जा सकें। सिस्टम सेटिंग्स के आधार पर, यह संदेश प्रकट नहीं हो सकता है। हालाँकि, सभी फ़ाइलों का एन्क्रिप्शन पूरा होने के बाद, कंप्यूटर स्वचालित रूप से पुनरारंभ हो जाएगा।

केपीओटी इन्फोस्टीलर

यह रैनसमवेयर KPOT स्पाइवेयर के साथ भी आता है। यह इन्फोस्टीलर विभिन्न ब्राउज़रों के साथ-साथ पीसी पर इंस्टॉल किए गए गेम (स्टीम सहित), जैबर और स्काइप इंस्टेंट मैसेंजर से कुकीज़ और सहेजे गए पासवर्ड चुरा सकता है। उनकी रुचि के क्षेत्र में एफ़टीपी और वीपीएन तक पहुंच विवरण भी शामिल है। अपना काम पूरा करने और वह सब कुछ चुरा लेने के बाद, जो वह कर सकता था, जासूस निम्नलिखित आदेश के साथ खुद को हटा देता है:

cmd.exe /c ping 127.0.0.1 && del C:tempkpot.exe

अब यह सिर्फ रैनसमवेयर नहीं है

यह हमला, एक बार फिर से कोरोनोवायरस महामारी की थीम से जुड़ा हुआ है, एक बार फिर साबित करता है कि आधुनिक रैंसमवेयर आपकी फ़ाइलों को एन्क्रिप्ट करने के अलावा और भी बहुत कुछ करना चाहता है। इस मामले में, पीड़ित को विभिन्न साइटों और पोर्टलों के पासवर्ड चोरी होने का जोखिम होता है। मेज़ और डोपेलपेमर जैसे उच्च संगठित साइबर अपराधी समूह उपयोगकर्ताओं को ब्लैकमेल करने के लिए चुराए गए व्यक्तिगत डेटा का उपयोग करने में माहिर हो गए हैं यदि वे फ़ाइल पुनर्प्राप्ति के लिए भुगतान नहीं करना चाहते हैं। वास्तव में, अचानक वे इतने महत्वपूर्ण नहीं रह जाते हैं, या उपयोगकर्ता के पास एक बैकअप सिस्टम होता है जो रैनसमवेयर हमलों के प्रति संवेदनशील नहीं होता है।

अपनी सरलता के बावजूद, नया कोरोना वायरस स्पष्ट रूप से दर्शाता है कि साइबर अपराधी भी अपनी आय बढ़ाना चाहते हैं और मुद्रीकरण के अतिरिक्त साधन तलाश रहे हैं। यह रणनीति अपने आप में नई नहीं है - कई वर्षों से, एक्रोनिस विश्लेषक रैंसमवेयर हमलों को देख रहे हैं जो पीड़ित के कंप्यूटर पर वित्तीय ट्रोजन भी लगाते हैं। इसके अलावा, आधुनिक परिस्थितियों में, रैंसमवेयर हमला आम तौर पर हमलावरों के मुख्य लक्ष्य - डेटा रिसाव से ध्यान हटाने के लिए तोड़फोड़ के रूप में काम कर सकता है।

किसी भी तरह, ऐसे खतरों से सुरक्षा केवल साइबर रक्षा के लिए एक एकीकृत दृष्टिकोण का उपयोग करके ही प्राप्त की जा सकती है। और आधुनिक सुरक्षा प्रणालियाँ मशीन लर्निंग प्रौद्योगिकियों का उपयोग करके अनुमानी एल्गोरिदम का उपयोग शुरू करने से पहले ही ऐसे खतरों (और उनके दोनों घटकों) को आसानी से रोक देती हैं। यदि बैकअप/आपदा पुनर्प्राप्ति प्रणाली के साथ एकीकृत किया जाता है, तो पहली क्षतिग्रस्त फ़ाइलें तुरंत बहाल हो जाएंगी।

रुचि रखने वालों के लिए, IoC फ़ाइलों का हैश योग:

CoronaVirus Ransomware: 3299f07bc0711b3587fe8a1c6bf3ee6bcbc14cb775f64b28a61d72ebcb8968d3
Kpot infostealer: a08db3b44c713a96fe07e0bfc440ca9cf2e3d152a5d13a70d6102c15004c4240

केवल पंजीकृत उपयोगकर्ता ही सर्वेक्षण में भाग ले सकते हैं। साइन इन करेंकृपया।

क्या आपने कभी एक साथ एन्क्रिप्शन और डेटा चोरी का अनुभव किया है?

• 19,0% तक हाँ4

• 42,9% तक नंबर 9

• 28,6% तक हमें और अधिक सतर्क रहना होगा6

• 9,5% तक मैंने इसके बारे में सोचा भी नहीं2

21 उपयोगकर्ताओं ने मतदान किया। 5 उपयोगकर्ता अनुपस्थित रहे।

स्रोत: www.habr.com