KeePass प्रोजेक्ट डोमेनपासून वेगळे न करता येणार्‍या डोमेनच्या जाहिरातींद्वारे मालवेअरचे वितरण

मालवेअरबाइट्स लॅबच्या संशोधकांनी Google जाहिरात नेटवर्कद्वारे मालवेअर वितरीत करणार्‍या मोफत पासवर्ड व्यवस्थापक KeePass साठी बनावट वेबसाइटची जाहिरात ओळखली आहे. हल्ल्याचे वैशिष्ठ्य म्हणजे “ķeepass.info” डोमेनचा हल्लेखोरांनी केलेला वापर, जो पहिल्या दृष्टीक्षेपात “keepass.info” प्रकल्पाच्या अधिकृत डोमेनमधील स्पेलिंगमध्ये अभेद्य आहे. Google वर “keepass” हा कीवर्ड शोधताना, अधिकृत साइटच्या लिंकच्या आधी बनावट साइटची जाहिरात प्रथम स्थानावर ठेवली गेली.

वापरकर्त्यांची फसवणूक करण्यासाठी, आंतरराष्ट्रीयीकृत डोमेन (IDN) च्या नोंदणीवर आधारित, homoglyphs - लॅटिन अक्षरांसारखे दिसणारे वर्ण, परंतु भिन्न अर्थ असलेले आणि त्यांचा स्वतःचा युनिकोड कोड असलेल्या वर्णांवर आधारित, एक दीर्घ-ज्ञात फिशिंग तंत्र वापरण्यात आले. विशेषतः, डोमेन “ķeepass.info” प्रत्यक्षात पनीकोड ​​नोटेशनमध्ये “xn--eepass-vbb.info” म्हणून नोंदणीकृत आहे आणि जर तुम्ही अॅड्रेस बारमध्ये दाखवलेल्या नावाकडे बारकाईने पाहिले तर तुम्हाला “अक्षराखाली एक बिंदू दिसेल. ķ”, जे बहुसंख्य वापरकर्त्यांद्वारे समजले जाते ते स्क्रीनवरील एका ठिपक्यासारखे आहे. खुल्या साइटच्या सत्यतेचा भ्रम या वस्तुस्थितीमुळे वाढला की बनावट साइट HTTPS द्वारे आंतरराष्ट्रीयीकृत डोमेनसाठी प्राप्त केलेल्या योग्य TLS प्रमाणपत्रासह उघडली गेली.

गैरवापर अवरोधित करण्यासाठी, निबंधक IDN डोमेनच्या नोंदणीला परवानगी देत ​​​​नाहीत जे भिन्न अक्षरांमधील वर्ण मिसळतात. उदाहरणार्थ, एक डमी डोमेन apple.com (“xn--pple-43d.com”) लॅटिन “a” (U+0061) ला सिरिलिक “a” (U+0430) सह बदलून तयार केले जाऊ शकत नाही. डोमेन नावामध्ये लॅटिन आणि युनिकोड वर्णांचे मिश्रण करणे देखील अवरोधित केले आहे, परंतु या निर्बंधाला अपवाद आहे, ज्याचा हल्लेखोर फायदा घेतात - समान वर्णमाला असलेल्या लॅटिन वर्णांच्या गटाशी संबंधित युनिकोड वर्णांमध्ये मिसळण्याची परवानगी आहे. डोमेन उदाहरणार्थ, विचाराधीन हल्ल्यात वापरलेले “ķ” हे अक्षर लॅटव्हियन वर्णमालेचा भाग आहे आणि लाटवियन भाषेतील डोमेनसाठी स्वीकार्य आहे.

Google जाहिरात नेटवर्कच्या फिल्टरला बायपास करण्यासाठी आणि मालवेअर शोधू शकणारे बॉट्स फिल्टर करण्यासाठी, एक इंटरमीडिएट इंटरलेयर साइट keepassstacking.site जाहिरात ब्लॉकमध्ये मुख्य लिंक म्हणून निर्दिष्ट केली गेली होती, जी विशिष्ट निकष पूर्ण करणाऱ्या वापरकर्त्यांना डमी डोमेनवर पुनर्निर्देशित करते “ķeepass .माहिती".

डमी साइटचे डिझाईन अधिकृत KeePass वेबसाइट सारखे बनवण्यात आले होते, परंतु अधिक आक्रमकपणे पुश प्रोग्राम डाउनलोड करण्यासाठी बदलले गेले (अधिकृत वेबसाइटची ओळख आणि शैली जतन केली गेली). विंडोज प्लॅटफॉर्मसाठी डाउनलोड पृष्ठाने वैध डिजिटल स्वाक्षरीसह आलेला दुर्भावनायुक्त कोड असलेला msix इंस्टॉलर ऑफर केला. जर डाउनलोड केलेली फाइल वापरकर्त्याच्या सिस्टीमवर कार्यान्वित केली गेली असेल तर, फेकबॅट स्क्रिप्ट देखील लॉन्च केली गेली आहे, वापरकर्त्याच्या सिस्टमवर हल्ला करण्यासाठी बाह्य सर्व्हरवरून दुर्भावनापूर्ण घटक डाउनलोड करणे (उदाहरणार्थ, गोपनीय डेटा रोखणे, बॉटनेटशी कनेक्ट करणे किंवा क्रिप्टो वॉलेट नंबर बदलणे. क्लिपबोर्ड).

स्त्रोत: opennet.ru