मालवेअर पसरवण्यासाठी APT कोरोनाव्हायरस वापरते

एपीटी धोक्यांचा एक गट अलीकडेच त्यांच्या मालवेअरचे वितरण करण्यासाठी कोरोनाव्हायरस साथीच्या रोगाचा फायदा घेण्यासाठी स्पिअर फिशिंग मोहिमेचा वापर करून शोधला गेला.

सध्याच्या Covid-19 कोरोनाव्हायरस साथीच्या आजारामुळे जग सध्या अपवादात्मक परिस्थिती अनुभवत आहे. व्हायरसचा प्रसार रोखण्याचा प्रयत्न करण्यासाठी, जगभरातील मोठ्या संख्येने कंपन्यांनी रिमोट (रिमोट) कामाचा एक नवीन मोड सुरू केला आहे. यामुळे हल्ल्याच्या पृष्ठभागाचा लक्षणीय विस्तार झाला आहे, जे माहिती सुरक्षिततेच्या दृष्टीने कंपन्यांसाठी एक मोठे आव्हान आहे, कारण त्यांना आता कठोर नियम स्थापित करणे आणि कारवाई करणे आवश्यक आहे. अनेक उपाय एंटरप्राइझ आणि त्याच्या आयटी सिस्टमच्या ऑपरेशनची सातत्य सुनिश्चित करण्यासाठी.

तथापि, गेल्या काही दिवसांत वाढलेला हल्ला हा एकमेव सायबर धोका नाही: अनेक सायबर गुन्हेगार फिशिंग मोहिमा आयोजित करण्यासाठी, मालवेअर वितरित करण्यासाठी आणि अनेक कंपन्यांच्या माहिती सुरक्षिततेला धोका निर्माण करण्यासाठी या जागतिक अनिश्चिततेचा सक्रियपणे फायदा घेत आहेत.

एपीटी साथीच्या रोगाचा फायदा घेते

गेल्या आठवड्याच्या अखेरीस, विशियस पांडा नावाचा प्रगत पर्सिस्टंट थ्रेट (एपीटी) गट शोधला गेला जो विरुद्ध मोहीम चालवत होता. भाला फिशिंग, त्यांचे मालवेअर पसरवण्यासाठी कोरोनाव्हायरस साथीच्या रोगाचा वापर करत आहे. ईमेलने प्राप्तकर्त्याला सांगितले की त्यात कोरोनाव्हायरसबद्दल माहिती आहे, परंतु प्रत्यक्षात ईमेलमध्ये दोन दुर्भावनापूर्ण RTF (रिच टेक्स्ट फॉरमॅट) फाइल्स आहेत. जर पीडितेने या फायली उघडल्या तर, रिमोट ऍक्सेस ट्रोजन (आरएटी) लाँच केले गेले, जे इतर गोष्टींबरोबरच, स्क्रीनशॉट घेण्यास, पीडिताच्या संगणकावर फायली आणि निर्देशिकांची सूची तयार करण्यास आणि फायली डाउनलोड करण्यास सक्षम होते.

या मोहिमेने आतापर्यंत मंगोलियाच्या सार्वजनिक क्षेत्राला लक्ष्य केले आहे आणि काही पाश्चात्य तज्ञांच्या मते, जगभरातील विविध सरकारे आणि संघटनांविरुद्ध चालू असलेल्या चिनी ऑपरेशनमधील नवीनतम हल्ल्याचे प्रतिनिधित्व करते. यावेळी, मोहिमेचे वैशिष्ठ्य म्हणजे ते नवीन जागतिक कोरोनाव्हायरस परिस्थितीचा वापर करून संभाव्य बळींना अधिक सक्रियपणे संक्रमित करत आहे.

फिशिंग ईमेल मंगोलियन परराष्ट्र व्यवहार मंत्रालयाचा असल्याचे दिसते आणि व्हायरसने संक्रमित लोकांच्या संख्येबद्दल माहिती असल्याचा दावा केला आहे. या फाईलला शस्त्र बनवण्यासाठी, हल्लेखोरांनी RoyalRoad चा वापर केला, जे चीनी धमकी निर्मात्यांमध्ये लोकप्रिय साधन आहे जे त्यांना एम्बेडेड ऑब्जेक्ट्ससह सानुकूल दस्तऐवज तयार करण्यास अनुमती देते जे जटिल समीकरणे तयार करण्यासाठी MS Word मध्ये समाकलित केलेल्या समीकरण संपादकातील भेद्यतेचा फायदा घेऊ शकतात.

जगण्याची तंत्रे

एकदा पीडित व्यक्तीने दुर्भावनापूर्ण RTF फाइल उघडल्यानंतर, Microsoft Word दुर्भावनायुक्त फाइल (intel.wll) Word स्टार्टअप फोल्डरमध्ये (%APPDATA%MicrosoftWordSTARTUP) लोड करण्याच्या असुरक्षिततेचा फायदा घेते. या पद्धतीचा वापर करून, धोका केवळ लवचिक बनत नाही, तर सँडबॉक्समध्ये चालत असताना संपूर्ण संक्रमण साखळीचा स्फोट होण्यापासून देखील प्रतिबंधित करते, कारण मालवेअर पूर्णपणे लॉन्च करण्यासाठी Word रीस्टार्ट करणे आवश्यक आहे.

intel.wll फाइल नंतर एक DLL फाइल लोड करते जी मालवेअर डाउनलोड करण्यासाठी आणि हॅकरच्या कमांड आणि कंट्रोल सर्व्हरशी संवाद साधण्यासाठी वापरली जाते. कमांड आणि कंट्रोल सर्व्हर दररोज काटेकोरपणे मर्यादित कालावधीसाठी कार्य करतो, ज्यामुळे संक्रमण साखळीतील सर्वात जटिल भागांचे विश्लेषण करणे आणि त्यात प्रवेश करणे कठीण होते.

असे असूनही, संशोधक हे निर्धारित करण्यात सक्षम होते की या साखळीच्या पहिल्या टप्प्यात, योग्य आदेश मिळाल्यानंतर, RAT लोड आणि डिक्रिप्ट केले जाते आणि DLL लोड केले जाते, जे मेमरीमध्ये लोड केले जाते. प्लगइन सारखी आर्किटेक्चर सुचवते की या मोहिमेत पेलोड व्यतिरिक्त इतर मॉड्यूल्स आहेत.

नवीन APT विरुद्ध संरक्षणात्मक उपाय

ही दुर्भावनापूर्ण मोहीम तिच्या पीडितांच्या सिस्टममध्ये घुसखोरी करण्यासाठी आणि नंतर त्यांच्या माहितीच्या सुरक्षिततेशी तडजोड करण्यासाठी अनेक युक्त्या वापरते. अशा मोहिमांपासून स्वतःचे संरक्षण करण्यासाठी, विविध उपाययोजना करणे महत्वाचे आहे.

पहिला अत्यंत महत्त्वाचा आहे: ईमेल प्राप्त करताना कर्मचाऱ्यांनी लक्ष देणे आणि सावधगिरी बाळगणे महत्त्वाचे आहे. ईमेल हे मुख्य आक्रमण वेक्टर्सपैकी एक आहे, परंतु जवळजवळ कोणतीही कंपनी ईमेलशिवाय करू शकत नाही. जर तुम्हाला एखाद्या अनोळखी प्रेषकाकडून ईमेल आला असेल तर तो न उघडणे चांगले आहे आणि जर तुम्ही ते उघडले तर कोणतेही संलग्नक उघडू नका किंवा कोणत्याही लिंकवर क्लिक करू नका.

पीडितांच्या माहितीच्या सुरक्षिततेशी तडजोड करण्यासाठी, हा हल्ला Word मधील असुरक्षिततेचा फायदा घेतो. किंबहुना, न पटलेल्या भेद्यता हे कारण आहे अनेक सायबर हल्ले यशस्वी, आणि इतर सुरक्षा समस्यांसह, ते मोठ्या डेटा उल्लंघनास कारणीभूत ठरू शकतात. म्हणूनच शक्य तितक्या लवकर असुरक्षा बंद करण्यासाठी योग्य पॅच लागू करणे खूप महत्वाचे आहे.

या समस्या दूर करण्यासाठी, विशेषत: ओळखण्यासाठी डिझाइन केलेले उपाय आहेत, पॅचचे व्यवस्थापन आणि स्थापना. मॉड्युल आपोआप कंपनीच्या संगणकांची सुरक्षितता सुनिश्चित करण्यासाठी आवश्यक पॅच शोधते, अत्यंत तातडीच्या अद्यतनांना प्राधान्य देते आणि त्यांचे इंस्टॉलेशन शेड्यूल करते. प्रतिष्ठापन आवश्यक असलेल्या पॅचेसबद्दल माहिती प्रशासकाला कळवली जाते जरी शोषण आणि मालवेअर आढळले तरीही.

सोल्यूशन त्वरित आवश्यक पॅचेस आणि अपडेट्सची स्थापना ट्रिगर करू शकते किंवा त्यांची स्थापना वेब-आधारित केंद्रीय व्यवस्थापन कन्सोलवरून शेड्यूल केली जाऊ शकते, आवश्यक असल्यास अनपॅच केलेले संगणक वेगळे केले जाऊ शकतात. अशा प्रकारे, प्रशासक कंपनी सुरळीत चालू ठेवण्यासाठी पॅच आणि अद्यतने व्यवस्थापित करू शकतो.

दुर्दैवाने, व्यवसायांच्या माहितीच्या सुरक्षिततेशी तडजोड करण्यासाठी सध्याच्या जागतिक कोरोनाव्हायरस परिस्थितीचा फायदा घेण्यासाठी प्रश्नातील सायबर हल्ला नक्कीच शेवटचा नसेल.

स्त्रोत: www.habr.com