जुन्या समस्यांच्या संग्रहणात मालवेअरच्या परिचयासह पेल मून प्रकल्पाच्या सर्व्हरपैकी एकाचे हॅकिंग

फिकट चंद्र ब्राउझरचे लेखक उघडा archive.palemoon.org सर्व्हरच्या तडजोडीबद्दल माहिती, ज्याने 27.6.2 आवृत्ती पर्यंत आणि त्यासह मागील ब्राउझर प्रकाशनांचे संग्रहण संग्रहित केले आहे. हॅक करताना, हल्लेखोरांनी सर्व एक्झिक्युटेबल फाइल्स मालवेअरसह सर्व्हरवर असलेल्या Windows साठी पेल मून इंस्टॉलर्ससह संक्रमित केल्या. प्राथमिक माहितीनुसार, मालवेअरचे प्रतिस्थापन 27 डिसेंबर 2017 रोजी करण्यात आले होते आणि ते केवळ 9 जुलै 2019 रोजी आढळले होते, म्हणजे. दीड वर्ष कोणाच्याही लक्षात आले नाही.

समस्याग्रस्त सर्व्हर सध्या तपासणीसाठी ऑफलाइन आहे. सर्व्हर ज्यावरून वर्तमान प्रकाशन वितरीत केले गेले
फिकट चंद्र प्रभावित होत नाही, समस्या फक्त आर्काइव्हमधून स्थापित केलेल्या जुन्या विंडोज आवृत्त्यांवर परिणाम करते (नवीन आवृत्त्या रिलीझ झाल्यामुळे रिलीझ संग्रहणात हलविल्या जातात). हॅक दरम्यान, सर्व्हर Windows चालवत होता आणि ऑपरेटर Frantech/BuyVM कडून भाड्याने घेतलेल्या व्हर्च्युअल मशीनमध्ये चालत होता. हे अद्याप स्पष्ट झालेले नाही की कोणत्या प्रकारची असुरक्षा वापरली गेली आणि ती Windows साठी विशिष्ट होती किंवा काही चालत असलेल्या तृतीय-पक्ष सर्व्हर अनुप्रयोगांवर परिणाम झाला.

प्रवेश मिळवल्यानंतर, हल्लेखोरांनी निवडकपणे पेल मून (इंस्टॉलर्स आणि सेल्फ-एक्सट्रॅक्टिंग आर्काइव्ह) शी संबंधित सर्व exe फाइल्स ट्रोजन सॉफ्टवेअरसह संक्रमित केल्या. Win32/ClipBanker.DY, क्लिपबोर्डवरील बिटकॉइन पत्ते बदलून क्रिप्टोकरन्सी चोरण्याचा उद्देश आहे. झिप आर्काइव्हमधील एक्झिक्युटेबल फाइल्स प्रभावित होत नाहीत. फायलींसोबत जोडलेल्या डिजिटल स्वाक्षरी किंवा SHA256 हॅश तपासून इंस्टॉलरमधील बदल वापरकर्त्याने शोधले असतील. वापरलेले मालवेअर देखील यशस्वी आहे उघड आहे सर्वात वर्तमान अँटीव्हायरस.

26 मे 2019 रोजी, हल्लेखोरांच्या सर्व्हरवरील क्रियाकलापादरम्यान (हे पहिल्या हॅक प्रमाणेच हल्लेखोर होते की इतर हे स्पष्ट नाही), archive.palemoon.org चे सामान्य ऑपरेशन विस्कळीत झाले होते - होस्ट अक्षम होता रीबूट करण्यासाठी, आणि डेटा खराब झाला. यामध्ये सिस्टम लॉगचे नुकसान समाविष्ट होते, ज्यामध्ये हल्ल्याचे स्वरूप दर्शविणारे अधिक तपशीलवार ट्रेस समाविष्ट केले जाऊ शकतात. या अपयशाच्या वेळी, प्रशासकांना तडजोडीबद्दल माहिती नव्हती आणि नवीन CentOS-आधारित वातावरणाचा वापर करून आणि HTTP सह FTP डाउनलोड बदलून संग्रहण पुनर्संचयित केले. घटना लक्षात न आल्याने, आधीच संक्रमित झालेल्या बॅकअपमधील फायली नवीन सर्व्हरवर हस्तांतरित केल्या गेल्या.

तडजोडीच्या संभाव्य कारणांचे विश्लेषण करताना असे गृहीत धरले जाते की आक्रमणकर्त्यांनी होस्टिंग कर्मचार्‍यांच्या खात्यातील पासवर्डचा अंदाज घेऊन प्रवेश मिळवला, सर्व्हरवर थेट प्रत्यक्ष प्रवेश मिळवला, इतर व्हर्च्युअल मशीनवर नियंत्रण मिळविण्यासाठी हायपरवाइजरवर हल्ला केला, वेब कंट्रोल पॅनेल हॅक केले. , डेस्कटॉपवर रिमोट ऍक्सेसचे सत्र रोखणे (RDP प्रोटोकॉल वापरले होते) किंवा Windows Server मधील भेद्यतेचे शोषण करून. विद्यमान एक्झिक्युटेबल फाइल्समध्ये बदल करण्यासाठी स्क्रिप्टचा वापर करून स्थानिक पातळीवर दुर्भावनायुक्त क्रिया बाहेरून पुन्हा-डाउनलोड करण्याऐवजी सर्व्हरवर केल्या गेल्या.

प्रकल्पाच्या लेखकाचा दावा आहे की केवळ त्याच्याकडे सिस्टममध्ये प्रशासक प्रवेश होता, प्रवेश एका IP पत्त्यापर्यंत मर्यादित होता आणि अंतर्निहित Windows OS अद्यतनित केले गेले होते आणि बाह्य हल्ल्यांपासून संरक्षित होते. त्याच वेळी, रिमोट ऍक्सेससाठी आरडीपी आणि एफटीपी प्रोटोकॉल वापरले गेले आणि व्हर्च्युअल मशीनवर संभाव्य असुरक्षित सॉफ्टवेअर लॉन्च केले गेले, ज्यामुळे हॅकिंग होऊ शकते. तथापि, पेल मूनच्या लेखकाचा असा विश्वास आहे की प्रदात्याच्या व्हर्च्युअल मशीन इन्फ्रास्ट्रक्चरच्या अपर्याप्त संरक्षणामुळे (उदाहरणार्थ, एका वेळी, मानक व्हर्च्युअलायझेशन व्यवस्थापन इंटरफेस वापरून असुरक्षित प्रदाता संकेतशब्द निवडून) हॅक केले गेले. होते हॅक OpenSSL वेबसाइट).

स्त्रोत: opennet.ru