पुराने मुद्दों के संग्रह में मैलवेयर की शुरूआत के साथ पेल मून परियोजना के सर्वरों में से एक की हैकिंग

पेल मून ब्राउज़र के लेखक प्रकट Archive.palemoon.org सर्वर के समझौते के बारे में जानकारी, जिसने संस्करण 27.6.2 सहित पिछले ब्राउज़र रिलीज़ का संग्रह संग्रहीत किया है। हैक के दौरान, हमलावरों ने सर्वर पर स्थित विंडोज़ के लिए पेल मून इंस्टालर वाली सभी निष्पादन योग्य फ़ाइलों को मैलवेयर से संक्रमित कर दिया। प्रारंभिक आंकड़ों के अनुसार, मैलवेयर का प्रतिस्थापन 27 दिसंबर, 2017 को किया गया था और इसका पता 9 जुलाई, 2019 को चला। डेढ़ साल तक किसी का ध्यान नहीं गया।

समस्याग्रस्त सर्वर फिलहाल जांच के लिए ऑफ़लाइन है। सर्वर जिससे वर्तमान रिलीज़ वितरित किए गए थे
पेल मून प्रभावित नहीं होता है, समस्या केवल संग्रह से इंस्टॉल किए गए पुराने विंडोज़ संस्करणों को प्रभावित करती है (नए संस्करण जारी होते ही रिलीज़ को संग्रह में ले जाया जाता है)। हैक के दौरान, सर्वर विंडोज़ चला रहा था और ऑपरेटर फ्रैंटेक/बायवीएम से किराए पर ली गई वर्चुअल मशीन में चल रहा था। यह अभी तक स्पष्ट नहीं है कि किस प्रकार की भेद्यता का फायदा उठाया गया था और क्या यह विंडोज़ के लिए विशिष्ट था या कुछ चल रहे तृतीय-पक्ष सर्वर अनुप्रयोगों को प्रभावित किया था।

पहुंच प्राप्त करने के बाद, हमलावरों ने ट्रोजन सॉफ़्टवेयर के साथ पेल मून (इंस्टॉलर्स और सेल्फ-एक्सट्रैक्टिंग आर्काइव्स) से जुड़ी सभी exe फ़ाइलों को चुनिंदा रूप से संक्रमित कर दिया। Win32/क्लिपबैंकर.DY, जिसका उद्देश्य क्लिपबोर्ड पर बिटकॉइन पते को बदलकर क्रिप्टोकरेंसी चुराना है। ज़िप अभिलेखागार के अंदर निष्पादन योग्य फ़ाइलें प्रभावित नहीं होती हैं। इंस्टॉलर में परिवर्तन का पता उपयोगकर्ता को फ़ाइलों से जुड़े डिजिटल हस्ताक्षर या SHA256 हैश की जांच करके लगा होगा। उपयोग किया गया मैलवेयर भी सफल है पता चला है अधिकांश वर्तमान एंटीवायरस।

26 मई, 2019 को, हमलावरों के सर्वर पर गतिविधि के दौरान (यह स्पष्ट नहीं है कि ये वही हमलावर थे जो पहली हैक में थे या अन्य), Archive.palemoon.org का सामान्य संचालन बाधित हो गया था - होस्ट असमर्थ था रीबूट करने के लिए, और डेटा क्षतिग्रस्त हो गया था। इसमें सिस्टम लॉग का नुकसान शामिल था, जिसमें हमले की प्रकृति का संकेत देने वाले अधिक विस्तृत निशान शामिल हो सकते थे। इस विफलता के समय, प्रशासक समझौते से अनभिज्ञ थे और एक नए CentOS-आधारित वातावरण का उपयोग करके और HTTP के साथ FTP डाउनलोड को प्रतिस्थापित करके संग्रह को संचालन में बहाल कर दिया। चूँकि घटना पर ध्यान नहीं दिया गया, बैकअप से फ़ाइलें जो पहले से ही संक्रमित थीं, उन्हें नए सर्वर पर स्थानांतरित कर दिया गया।

समझौते के संभावित कारणों का विश्लेषण करते हुए, यह माना जाता है कि हमलावरों ने होस्टिंग स्टाफ खाते के पासवर्ड का अनुमान लगाकर, सर्वर तक सीधी भौतिक पहुंच प्राप्त करके, अन्य वर्चुअल मशीनों पर नियंत्रण हासिल करने के लिए हाइपरवाइजर पर हमला करके, वेब कंट्रोल पैनल को हैक करके पहुंच प्राप्त की। , एक दूरस्थ डेस्कटॉप सत्र को रोकना (आरडीपी प्रोटोकॉल का उपयोग किया गया था) या विंडोज सर्वर में भेद्यता का फायदा उठाकर। मौजूदा निष्पादन योग्य फ़ाइलों को बाहर से पुनः डाउनलोड करने के बजाय उनमें परिवर्तन करने के लिए एक स्क्रिप्ट का उपयोग करके सर्वर पर स्थानीय रूप से दुर्भावनापूर्ण कार्रवाइयां की गईं।

परियोजना के लेखक का दावा है कि केवल उनके पास सिस्टम तक व्यवस्थापक पहुंच थी, पहुंच एक आईपी पते तक सीमित थी, और अंतर्निहित विंडोज ओएस को अद्यतन किया गया था और बाहरी हमलों से संरक्षित किया गया था। उसी समय, रिमोट एक्सेस के लिए आरडीपी और एफ़टीपी प्रोटोकॉल का उपयोग किया गया था, और वर्चुअल मशीन पर संभावित रूप से असुरक्षित सॉफ़्टवेयर लॉन्च किया गया था, जो हैकिंग का कारण बन सकता था। हालाँकि, पेल मून के लेखक का मानना ​​​​है कि प्रदाता के वर्चुअल मशीन बुनियादी ढांचे की अपर्याप्त सुरक्षा के कारण हैक किया गया था (उदाहरण के लिए, एक समय में, मानक वर्चुअलाइजेशन प्रबंधन इंटरफ़ेस का उपयोग करके एक असुरक्षित प्रदाता पासवर्ड के चयन के माध्यम से) यह था हैक की गई ओपनएसएसएल वेबसाइट)।

स्रोत: opennet.ru