ഒരു പുതിയ മാസ്‌കിൽ ട്രോളേഷ്: ഒരു ransomware വൈറസിന്റെ മാസ് മെയിലിംഗിന്റെ മറ്റൊരു തരംഗം

ഇന്നത്തെ തുടക്കം മുതൽ ഇന്നുവരെ, JSOC CERT വിദഗ്ധർ Troldesh എൻക്രിപ്റ്റിംഗ് വൈറസിൻ്റെ വൻതോതിലുള്ള ക്ഷുദ്രവ്യാപനം രേഖപ്പെടുത്തിയിട്ടുണ്ട്. ഇതിൻ്റെ പ്രവർത്തനം ഒരു എൻക്രിപ്റ്ററിൻ്റേതിനേക്കാൾ വിശാലമാണ്: എൻക്രിപ്ഷൻ മൊഡ്യൂളിന് പുറമേ, ഒരു വർക്ക്സ്റ്റേഷൻ വിദൂരമായി നിയന്ത്രിക്കാനും അധിക മൊഡ്യൂളുകൾ ഡൗൺലോഡ് ചെയ്യാനും ഇതിന് കഴിവുണ്ട്. ഈ വർഷം മാർച്ചിൽ ഞങ്ങൾ ഇതിനകം അറിയിച്ചു ട്രോൾഡേഷ് പകർച്ചവ്യാധിയെക്കുറിച്ച് - തുടർന്ന് ഐഒടി ഉപകരണങ്ങൾ ഉപയോഗിച്ച് വൈറസ് അതിൻ്റെ ഡെലിവറി മറച്ചുവച്ചു. ഇപ്പോൾ, വേർഡ്പ്രസിൻ്റെ ദുർബലമായ പതിപ്പുകളും cgi-bin ഇൻ്റർഫേസും ഇതിനായി ഉപയോഗിക്കുന്നു.

മെയിലിംഗ് വ്യത്യസ്ത വിലാസങ്ങളിൽ നിന്നാണ് അയച്ചിരിക്കുന്നത്, കൂടാതെ വേർഡ്പ്രസ്സ് ഘടകങ്ങളുള്ള അപഹരിക്കപ്പെട്ട വെബ് ഉറവിടങ്ങളിലേക്കുള്ള ഒരു ലിങ്ക് കത്തിൻ്റെ ബോഡിയിൽ അടങ്ങിയിരിക്കുന്നു. ലിങ്കിൽ ജാവാസ്ക്രിപ്റ്റിൽ ഒരു സ്ക്രിപ്റ്റ് അടങ്ങിയ ഒരു ആർക്കൈവ് അടങ്ങിയിരിക്കുന്നു. അതിൻ്റെ നിർവ്വഹണത്തിൻ്റെ ഫലമായി, ട്രോൾഡെഷ് എൻക്രിപ്റ്റർ ഡൗൺലോഡ് ചെയ്യുകയും സമാരംഭിക്കുകയും ചെയ്യുന്നു.

നിയമാനുസൃതമായ ഒരു വെബ് റിസോഴ്സിലേക്കുള്ള ലിങ്ക് അടങ്ങിയിരിക്കുന്നതിനാൽ മിക്ക സുരക്ഷാ ഉപകരണങ്ങളും ക്ഷുദ്രകരമായ ഇമെയിലുകൾ കണ്ടെത്തുന്നില്ല, എന്നാൽ ransomware തന്നെ നിലവിൽ മിക്ക ആൻ്റിവൈറസ് സോഫ്റ്റ്‌വെയർ നിർമ്മാതാക്കളും കണ്ടെത്തി. ശ്രദ്ധിക്കുക: ടോർ നെറ്റ്‌വർക്കിൽ സ്ഥിതി ചെയ്യുന്ന സി&സി സെർവറുകളുമായി ക്ഷുദ്രവെയർ ആശയവിനിമയം നടത്തുന്നതിനാൽ, രോഗബാധിതമായ മെഷീനിലേക്ക് അധിക ബാഹ്യ ലോഡ് മൊഡ്യൂളുകൾ ഡൗൺലോഡ് ചെയ്യുന്നത് സാധ്യമാണ്, അത് "സമ്പന്നമാക്കാൻ" കഴിയും.

ഈ വാർത്താക്കുറിപ്പിൻ്റെ പൊതുവായ ചില സവിശേഷതകൾ ഉൾപ്പെടുന്നു:

(1) വാർത്താക്കുറിപ്പ് വിഷയത്തിൻ്റെ ഉദാഹരണം - "ഓർഡർ ചെയ്യുന്നതിനെക്കുറിച്ച്"

(2) എല്ലാ ലിങ്കുകളും ബാഹ്യമായി സമാനമാണ് - അവയിൽ /wp-content/, /doc/ എന്നീ കീവേഡുകൾ അടങ്ങിയിരിക്കുന്നു, ഉദാഹരണത്തിന്:
Horsesmouth[.]org/wp-content/themes/InspiredBits/images/dummy/doc/doc/
www.montessori-academy[.]org/wp-content/themes/campus/mythology-core/core-assets/images/social-icons/long-shadow/doc/
chestnutplacejp[.]com/wp-content/ai1wm-backups/doc/

(3) ക്ഷുദ്രവെയർ ടോർ വഴി വിവിധ നിയന്ത്രണ സെർവറുകളിലേക്ക് പ്രവേശിക്കുന്നു

(4) ഒരു ഫയൽ സൃഷ്ടിച്ചു ഫയൽ നാമം: C:ProgramDataWindowscsrss.exe, SOFTWAREMicrosoftWindowsCurrentVersionRun ബ്രാഞ്ചിലെ രജിസ്ട്രിയിൽ രജിസ്റ്റർ ചെയ്തിട്ടുണ്ട് (പാരാമീറ്റർ നാമം - ക്ലയൻ്റ് സെർവർ റൺടൈം സബ്സിസ്റ്റം).

നിങ്ങളുടെ ആൻറി-വൈറസ് സോഫ്‌റ്റ്‌വെയർ ഡാറ്റാബേസുകൾ കാലികമാണെന്ന് ഉറപ്പാക്കാൻ ഞങ്ങൾ ശുപാർശ ചെയ്യുന്നു, ഈ ഭീഷണിയെക്കുറിച്ച് ജീവനക്കാരെ അറിയിക്കുക, കൂടാതെ സാധ്യമെങ്കിൽ, മുകളിൽ പറഞ്ഞ ലക്ഷണങ്ങളുള്ള ഇൻകമിംഗ് അക്ഷരങ്ങളുടെ നിയന്ത്രണം ശക്തിപ്പെടുത്തുക.

അവലംബം: www.habr.com