ການແຮັກຂອງຫນຶ່ງໃນເຄື່ອງແມ່ຂ່າຍຂອງໂຄງການ Pale Moon ດ້ວຍການນໍາ malware ເຂົ້າໄປໃນບ່ອນເກັບມ້ຽນຂອງບັນຫາເກົ່າ

ຜູ້ຂຽນຂອງຕົວທ່ອງເວັບ Pale Moon ບໍ່ພົບ ຂໍ້ມູນກ່ຽວກັບການປະນີປະນອມຂອງເຊີບເວີ archive.palemoon.org, ເຊິ່ງເກັບຮັກສາການເກັບມ້ຽນຂອງຕົວທ່ອງເວັບທີ່ຜ່ານມາເຖິງ ແລະລວມທັງເວີຊັນ 27.6.2. ໃນລະຫວ່າງການ hack, ຜູ້ໂຈມຕີໄດ້ຕິດເຊື້ອໄຟລ໌ທີ່ປະຕິບັດໄດ້ທັງຫມົດກັບຕົວຕິດຕັ້ງ Pale Moon ສໍາລັບ Windows ທີ່ຕັ້ງຢູ່ໃນເຄື່ອງແມ່ຂ່າຍທີ່ມີ malware. ອີງຕາມຂໍ້ມູນເບື້ອງຕົ້ນ, ການທົດແທນ malware ໄດ້ດໍາເນີນໃນວັນທີ 27 ທັນວາ 2017, ແລະຖືກກວດພົບພຽງແຕ່ໃນວັນທີ 9 ກໍລະກົດ 2019, i.e. ຍັງບໍ່ມີໃຜສັງເກດເຫັນເປັນເວລາ XNUMX ປີເຄິ່ງ.

ເຊີບເວີທີ່ມີບັນຫາຢູ່ໃນຂະນະນີ້ອອບລາຍເພື່ອກວດສອບ. ເຊີບເວີທີ່ການປ່ອຍປະຈຸບັນໄດ້ຖືກແຈກຢາຍ
Pale Moon ບໍ່ໄດ້ຮັບຜົນກະທົບ, ບັນຫາພຽງແຕ່ມີຜົນກະທົບກັບ Windows ຮຸ່ນເກົ່າທີ່ຕິດຕັ້ງຈາກບ່ອນເກັບມ້ຽນ (ການປ່ອຍຈະຖືກຍ້າຍໄປບ່ອນເກັບມ້ຽນຍ້ອນວ່າສະບັບໃຫມ່ຖືກປ່ອຍອອກມາ). ໃນລະຫວ່າງການ hack, ເຊີບເວີໄດ້ແລ່ນ Windows ແລະແລ່ນຢູ່ໃນເຄື່ອງ virtual ທີ່ເຊົ່າຈາກຜູ້ປະກອບການ Frantech/BuyVM. ຍັງບໍ່ທັນເປັນທີ່ຈະແຈ້ງເທື່ອວ່າຊ່ອງໂຫວ່ປະເພດໃດຖືກຂູດຮີດ ແລະ ບໍ່ວ່າຈະເປັນສະເພາະຂອງ Windows ຫຼື ຜົນກະທົບຕໍ່ບາງແອັບພລິເຄຊັນເຊີບເວີຂອງພາກສ່ວນທີສາມ.

ຫຼັງຈາກເຂົ້າເຖິງ, ຜູ້ໂຈມຕີໄດ້ເລືອກຕິດເຊື້ອໄຟລ໌ exe ທັງໝົດທີ່ກ່ຽວຂ້ອງກັບ Pale Moon (ຕົວຕິດຕັ້ງ ແລະ ແຟ້ມເກັບຂໍ້ມູນດ້ວຍຕົນເອງ) ດ້ວຍຊອບແວ Trojan. Win32/ClipBanker.DY, ມີຈຸດປະສົງໃນການລັກ cryptocurrency ໂດຍການປ່ຽນແທນທີ່ຢູ່ bitcoin ໃນ clipboard. ໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ຢູ່ໃນແຟ້ມ zip ແມ່ນບໍ່ໄດ້ຮັບຜົນກະທົບ. ການປ່ຽນແປງຕົວຕິດຕັ້ງອາດຈະຖືກກວດພົບໂດຍຜູ້ໃຊ້ໂດຍການກວດສອບລາຍເຊັນດິຈິຕອນຫຼື SHA256 hashes ທີ່ຕິດກັບໄຟລ໌. ເມົາແວທີ່ໃຊ້ກໍ່ປະສົບຜົນສໍາເລັດເຊັ່ນກັນ ຖືກເປີດເຜີຍ antiviruses ປະຈຸບັນຫຼາຍທີ່ສຸດ.

ໃນວັນທີ 26 ພຶດສະພາ 2019, ໃນລະຫວ່າງການເຄື່ອນໄຫວໃນເຊີບເວີຂອງຜູ້ໂຈມຕີ (ມັນບໍ່ຊັດເຈນວ່ານີ້ແມ່ນຜູ້ໂຈມຕີແບບດຽວກັນກັບການແຮັກຄັ້ງທຳອິດ ຫຼື ອື່ນໆ), ການເຮັດວຽກປົກກະຕິຂອງ archive.palemoon.org ຖືກລົບກວນ - ເຈົ້າພາບບໍ່ສາມາດ ເພື່ອ reboot, ແລະຂໍ້ມູນເສຍຫາຍ. ນີ້ລວມເຖິງການສູນເສຍບັນທຶກຂອງລະບົບ, ເຊິ່ງສາມາດປະກອບມີຮ່ອງຮອຍລະອຽດເພີ່ມເຕີມທີ່ຊີ້ບອກລັກສະນະຂອງການໂຈມຕີ. ໃນຊ່ວງເວລາທີ່ລົ້ມເຫລວນີ້, ຜູ້ບໍລິຫານບໍ່ຮູ້ເຖິງການປະນີປະນອມແລະຟື້ນຟູການເກັບຂໍ້ມູນຄືນໃຫມ່ໂດຍໃຊ້ສະພາບແວດລ້ອມທີ່ອີງໃສ່ CentOS ແລະປ່ຽນແທນການດາວໂຫຼດ FTP ດ້ວຍ HTTP. ເນື່ອງຈາກເຫດການດັ່ງກ່າວບໍ່ໄດ້ສັງເກດເຫັນ, ໄຟລ໌ຈາກການສໍາຮອງທີ່ຕິດເຊື້ອແລ້ວໄດ້ຖືກໂອນໄປຫາເຄື່ອງແມ່ຂ່າຍໃຫມ່.

ການວິເຄາະເຫດຜົນທີ່ເປັນໄປໄດ້ສໍາລັບການປະນີປະນອມ, ມັນສົມມຸດວ່າຜູ້ໂຈມຕີໄດ້ຮັບການເຂົ້າເຖິງໂດຍການຄາດເດົາລະຫັດຜ່ານຂອງບັນຊີພະນັກງານໂຮດຕິ້ງ, ໄດ້ຮັບການເຂົ້າເຖິງໂດຍກົງກັບເຄື່ອງແມ່ຂ່າຍ, ການໂຈມຕີ hypervisor ເພື່ອໃຫ້ໄດ້ຮັບການຄວບຄຸມເຄື່ອງຈັກ virtual ອື່ນໆ, ການ hack ແຜງຄວບຄຸມເວັບໄຊຕ໌. , ການຂັດຂວາງເຊດຊັນ desktop ຫ່າງໄກສອກຫຼີກ (RDP protocol ຖືກນໍາໃຊ້) ຫຼືໂດຍການຂຸດຄົ້ນຊ່ອງຫວ່າງໃນ Windows Server. ການກະທໍາທີ່ເປັນອັນຕະລາຍໄດ້ຖືກປະຕິບັດຢູ່ໃນເຄື່ອງແມ່ຂ່າຍຂອງທ້ອງຖິ່ນໂດຍໃຊ້ສະຄິບເພື່ອເຮັດການປ່ຽນແປງໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້, ແທນທີ່ຈະດາວໂຫລດໃຫມ່ຈາກພາຍນອກ.

ຜູ້ຂຽນຂອງໂຄງການອ້າງວ່າພຽງແຕ່ລາວມີການເຂົ້າເຖິງຜູ້ເບິ່ງແຍງລະບົບ, ການເຂົ້າເຖິງໄດ້ຖືກຈໍາກັດພຽງແຕ່ຫນຶ່ງທີ່ຢູ່ IP, ແລະ Windows OS ພື້ນຖານໄດ້ຖືກປັບປຸງແລະປ້ອງກັນຈາກການໂຈມຕີພາຍນອກ. ໃນຂະນະດຽວກັນ, ໂປໂຕຄອນ RDP ແລະ FTP ໄດ້ຖືກນໍາໃຊ້ສໍາລັບການເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກ, ແລະຊອບແວທີ່ບໍ່ປອດໄພທີ່ອາດຈະຖືກເປີດຕົວໃນເຄື່ອງ virtual, ເຊິ່ງອາດຈະເຮັດໃຫ້ເກີດການ hack. ຢ່າງໃດກໍຕາມ, ຜູ້ຂຽນຂອງ Pale Moon ມີແນວໂນ້ມທີ່ຈະເຊື່ອວ່າການ hack ໄດ້ຖືກປະຕິບັດເນື່ອງຈາກການປົກປ້ອງບໍ່ພຽງພໍຂອງໂຄງສ້າງພື້ນຖານຂອງ virtual machine ຂອງຜູ້ໃຫ້ບໍລິການ (ຕົວຢ່າງເຊັ່ນ, ໃນເວລາດຽວ, ໂດຍຜ່ານການຄັດເລືອກລະຫັດຜ່ານຂອງຜູ້ໃຫ້ບໍລິການທີ່ບໍ່ປອດໄພໂດຍໃຊ້ການໂຕ້ຕອບການຈັດການ virtualization ມາດຕະຖານ. ແມ່ນ ຖືກແຮັກ ເວັບໄຊທ໌ OpenSSL).

ແຫຼ່ງຂໍ້ມູນ: opennet.ru