🥇वारोनिसले क्रिप्टोमाइनिङ भाइरस पत्ता लगाए: हाम्रो अनुसन्धान

हाम्रो साइबरसुरक्षा अनुसन्धान टोलीले भर्खरै एउटा मध्यम आकारको कम्पनीमा लगभग पूर्ण रूपमा क्रिप्टोमाइनिङ भाइरसबाट संक्रमित भएको नेटवर्कको अनुसन्धान गर्‍यो। विश्लेषण
सङ्कलन गरिएको मालवेयर नमूनाहरूले नयाँ परिमार्जन फेला परेको देखाएको छ
यस्तो भाइरस, भनिन्छ Normanआफ्नो उपस्थिति लुकाउने विभिन्न तरिकाहरू प्रयोग गर्दै। साथै, यो पत्ता लाग्यो अन्तरक्रियात्मक वेब शेल, जुन खानी सञ्चालकहरूको लागि सान्दर्भिक हुन सक्छ।

अध्ययन अवलोकन

Varonis कम्पनीले क्रिप्टोमाइनरहरूसँग ठूलो मात्रामा संक्रमण पहिचान गरेको छ: कम्पनीका लगभग सबै सर्भरहरू र वर्कस्टेशनहरू त्यस्ता सफ्टवेयरबाट संक्रमित थिए।
प्रारम्भिक संक्रमण एक वर्ष भन्दा बढी भएदेखि, परिमार्जन र संक्रमित उपकरणहरूको संख्या लगातार बढ्दै गएको छ।
हामीले एक नयाँ प्रकारको मोनेरो क्रिप्टोमिनर (नर्मन) पत्ता लगायौं जसले पत्ता लगाउनबाट बच्न सुरक्षा सफ्टवेयरद्वारा विश्लेषणबाट लुकाउन विभिन्न विधिहरू प्रयोग गर्दछ।
धेरै मालवेयर भेरियन्टहरूले नियन्त्रण केन्द्र (C&C सर्भरहरू) मा जडान गर्न र कन्फिगरेसन प्यारामिटरहरू प्राप्त गर्न वा नयाँ डाटा पठाउन DuckDNS (नि:शुल्क डायनामिक DNS सेवा) प्रयोग गर्थे।
नर्मन खुला स्रोत खानीमा आधारित एक उच्च प्रदर्शन मोनेरो क्रिप्टोकरेन्सी खानी हो - XMRig
हामीसँग क्रिप्टोमाइनरहरूलाई अन्तरक्रियात्मक PHP शेलसँग जोड्ने अकाट्य प्रमाणहरू छैनन्। यद्यपि, तिनीहरू एउटै आक्रमणकारीबाट आउँदैछन् भनेर विश्वास गर्ने राम्रो कारणहरू छन्। अनुसन्धानकर्ताहरूले त्यस्तो जडानको उपस्थिति वा अनुपस्थितिको लागि थप प्रमाणहरू सङ्कलन गर्दैछन्।
यस लेखमा तपाईले टाढाको वेब शेलहरू र क्रिप्टोमाइनरहरू विरुद्ध सुरक्षाको सन्दर्भमा Varonis सिफारिसहरूसँग परिचित हुन सक्नुहुन्छ।

अनुसन्धान

अर्को पायलट प्रोजेक्टको समयमा अनुसन्धान सुरु भयो प्लेटफर्महरू
साइबर सुरक्षा Varonis (Varonis डाटा सुरक्षा प्लेटफर्म), जसले फाइल प्रणालीमा असामान्य कार्यहरूसँग सम्बन्धित इन्टरनेट अनुरोधहरू (वेब प्रोक्सी मार्फत) को समयमा नेटवर्क स्तरमा धेरै संदिग्ध असामान्य घटनाहरू द्रुत रूपमा पहिचान गर्न सम्भव बनायो।
ग्राहकले तुरुन्तै औंल्याए कि हाम्रो प्लेटफर्म द्वारा पहिचान गरिएको उपकरणहरू
उही प्रयोगकर्ताहरू हुन् जसले भर्खरै एप्लिकेसन क्र्यास र नेटवर्क सुस्त भएको रिपोर्ट गरेका थिए।

हाम्रो टोलीले म्यानुअल रूपमा ग्राहकको वातावरण जाँच गर्‍यो, Varonis प्लेटफर्म द्वारा उत्पन्न अलर्टहरू अनुसार एक संक्रमित स्टेशनबाट अर्कोमा सर्दै। घटना प्रतिक्रिया टोलीले विशेष नियम बनाएको छ डाटा अलर्ट मोड्युल सक्रिय रूपमा खनन गरिएका कम्प्युटरहरू पत्ता लगाउन, जसले खतरालाई छिट्टै हटाउन मद्दत गर्‍यो। संकलित मालवेयरका नमूनाहरू फोरेन्सिक र विकास टोलीहरूलाई पठाइयो, जसले नमूनाहरूको थप परीक्षण आवश्यक छ भनी सल्लाह दिए।
तिनीहरूले गरेको कलहरूको कारण संक्रमित नोडहरू पत्ता लगाइयो DuckDNS, एक गतिशील DNS सेवा जसले प्रयोगकर्ताहरूलाई आफ्नै डोमेन नामहरू सिर्जना गर्न र IP ठेगानाहरू परिवर्तन गर्न द्रुत रूपमा नक्सा बनाउन अनुमति दिन्छ। माथि उल्लेख गरिए अनुसार, घटनामा धेरै मालवेयरले नियन्त्रण केन्द्र (C&C) मा जडान गर्न DuckDNS पहुँच गर्यो, जबकि अरूले कन्फिगरेसन प्यारामिटरहरू पहुँच गरे वा नयाँ डेटा पठाए।

लगभग सबै सर्भर र कम्प्युटरहरू मालवेयरबाट संक्रमित थिए। मुख्य रूपमा प्रयोग गरिन्छ
क्रिप्टोमाइनरहरूको सामान्य भिन्नताहरू। अन्य मालवेयरमा पासवर्ड डम्प उपकरण र PHP शेलहरू समावेश थिए, जबकि धेरै उपकरणहरू धेरै वर्षदेखि काम गरिरहेका थिए।

हामीले ग्राहकलाई परिणामहरू प्रदान गर्यौं, तिनीहरूको वातावरणबाट मालवेयर हटायौं, र थप संक्रमणहरू रोक्यौं।

क्रिप्टोमाइनरहरूको सबै पत्ता लगाइएको नमूनाहरू मध्ये, एउटा बाहिर खडा भयो। हामीले उनको नाम राख्यौं Norman.

भेट्नुहोस्! नर्मन। क्रिप्टोमाइनर

Norman XMRig कोडमा आधारित एक उच्च प्रदर्शन Monero cryptocurrency खानी हो। फेला परेका अन्य खानी नमूनाहरूको विपरीत, नर्मनले पत्ता लगाउनबाट बच्न र थप फैलिनबाट रोक्न सुरक्षा सफ्टवेयरद्वारा विश्लेषणबाट लुकाउन प्रविधिहरू प्रयोग गर्दछ।

पहिलो नजरमा, यो मालवेयर svchost.exe नाम अन्तर्गत लुकाइएको नियमित खानी हो। यद्यपि, अध्ययनले पत्ता लगाउनबाट लुकाउन र चीजहरू चलिरहेको राख्न थप रोचक विधिहरू प्रयोग गरेको पत्ता लगायो।

यस मालवेयरको डिप्लोइमेन्ट प्रक्रियालाई तीन चरणमा विभाजन गर्न सकिन्छ:

प्रदर्शन;
कार्यान्वयन;
खानी।

चरण-दर-चरण विश्लेषण

चरण 1. कार्यान्वयन

पहिलो चरण कार्यान्वयन योग्य फाइल svchost.exe बाट सुरु हुन्छ।

मालवेयर NSIS (Nulsoft Scriptable Install System) को प्रयोग गरेर कम्पाइल गरिएको छ, जुन असामान्य छ। NSIS एक खुला स्रोत प्रणाली हो जुन Windows स्थापनाकर्ताहरू सिर्जना गर्न प्रयोग गरिन्छ। SFX जस्तै, यो प्रणालीले फाइलहरूको अभिलेख र स्क्रिप्ट फाइल सिर्जना गर्दछ जुन स्थापनाकर्ता चलिरहेको बेला कार्यान्वयन हुन्छ। स्क्रिप्ट फाइलले कुन फाइलहरू चलाउने र अभिलेखमा रहेका अन्य फाइलहरूसँग अन्तर्क्रिया गर्न सक्ने कार्यक्रमलाई बताउँछ।

नोट: कार्यान्वयनयोग्य फाइलबाट NSIS स्क्रिप्ट फाइल प्राप्त गर्न, तपाईंले 7zip संस्करण 9.38 प्रयोग गर्नुपर्छ, किनकि पछिका संस्करणहरूले यो सुविधा लागू गर्दैनन्।

NSIS संग्रहित मालवेयरले निम्न फाइलहरू समावेश गर्दछ:

CallAnsiPlugin.dll, CLR.dll - .NET DLL प्रकार्यहरू कल गर्नका लागि NSIS मोड्युलहरू;
5zmjbxUIOVQ58qPR.dll - मुख्य पेलोड DLL;
4jy4sobf.acz, es1qdxg2.5pk, OIM1iVhZ.txt - पेलोड फाइलहरू;
Retreat.mp3, Cropped_controller_config_controller_i_lb.png केवल फाइलहरू हुन् जुन कुनै पनि हिसाबले थप दुर्भावनापूर्ण गतिविधिसँग सम्बन्धित छैनन्।

पेलोड चलाउने NSIS स्क्रिप्ट फाइलबाट आदेश तल दिइएको छ।

मालवेयर 5zmjbxUIOVQ58qPR.dll प्रकार्यलाई कल गरेर कार्यान्वयन गरिन्छ, जसले अन्य फाइलहरूलाई प्यारामिटरहरूको रूपमा लिन्छ।

चरण 2. कार्यान्वयन

फाइल 5zmjbxUIOVQ58qPR.dll मुख्य पेलोड हो, जस्तै माथिको NSIS लिपिबाट देख्न सकिन्छ। मेटाडेटाको द्रुत विश्लेषणले पत्ता लगायो कि DLL लाई मूल रूपमा Norman.dll भनिन्छ, त्यसैले हामीले यसलाई नाम दियौं।

DLL फाइल .NET मा विकसित गरिएको छ र ट्रिपल ओफसकेसनद्वारा रिभर्स इन्जिनियरिङबाट सुरक्षित गरिएको छ।
प्रसिद्ध व्यावसायिक उत्पादन Agile .NET Obfuscator प्रयोग गर्दै।

कार्यान्वयनको क्रममा, आत्म-इंजेक्शनका धेरै कार्यहरू यसको आफ्नै प्रक्रियामा, साथै अन्य प्रक्रियाहरूमा संलग्न हुन्छन्। OS बिट गहिराईमा निर्भर गर्दै, मालवेयर हुनेछ
प्रणाली फोल्डरहरूमा विभिन्न मार्गहरू चयन गर्नुहोस् र विभिन्न प्रक्रियाहरू सुरु गर्नुहोस्।

प्रणाली फोल्डर मार्गमा आधारित, मालवेयरले चलाउन विभिन्न प्रक्रियाहरू छनौट गर्नेछ।

इन्जेक्टेड पेलोडमा दुई मुख्य कार्यहरू छन्: क्रिप्टोमाइनर कार्यान्वयन गर्ने र पत्ता लगाउने रोक्न।

यदि OS 64-bit छ

जब मूल svchosts.exe फाइल (NSIS फाइल) निष्पादित हुन्छ, यसले आफ्नै नयाँ प्रक्रिया सिर्जना गर्छ र यसमा पेलोड (१) इन्जेक्ट गर्छ। चाँडै पछि, यसले notepad.exe वा explorer.exe सुरु गर्छ, र यसमा क्रिप्टोमाइनर इन्जेक्ट गर्छ (२)।

यस पछि, मूल svchost.exe फाइल बाहिर निस्कन्छ, र नयाँ svchost.exe फाइललाई एक कार्यक्रमको रूपमा प्रयोग गरिन्छ जसले माइनर प्रक्रियालाई निगरानी गर्दछ।

यदि OS 32-bit छ

जब मूल svchosts.exe फाइल (NSIS फाइल) चल्छ, यसले 64-बिट संस्करण जस्तै आफ्नै प्रक्रियाको नक्कल गर्छ र यसमा पेलोड इन्जेक्ट गर्छ।

यस अवस्थामा, मालवेयरले प्रयोगकर्ताको explorer.exe प्रक्रियामा पेलोड इन्जेक्ट गर्छ। त्यहाँबाट, मालिसियस कोडले नयाँ प्रक्रिया सुरु गर्छ (wuapp.exe वा vchost.exe) र यसमा एक खानी इन्जेक्सन गर्छ।

मालवेयरले यो तथ्य लुकाउँछ कि यसले wuapp.exe र खाली मानहरू जाने बाटोमा पहिले इन्जेक्ट गरिएको कोड ओभरराइट गरेर explorer.exe मा इन्जेक्ट गरेको छ।

64-बिट वातावरणमा चलिरहेको अवस्थामा, मूल svchost.exe प्रक्रिया बाहिर निस्कन्छ, र दोस्रो एक प्रयोग गरीन्छ यदि प्रयोगकर्ता द्वारा प्रक्रिया समाप्त भयो भने explorer.exe मा दुर्भावनापूर्ण कोड पुन: इन्जेक्सन गर्न प्रयोग गरिन्छ।

कार्यान्वयन एल्गोरिथ्मको अन्त्यमा, मालवेयरले सधैं क्रिप्टोमाइनरलाई वैध प्रक्रियामा इन्जेक्ट गर्दछ जुन यो सुरु हुन्छ।

यो प्रयोगकर्ताले टास्क प्रबन्धक सुरु गर्दा माइनर समाप्त गरेर पत्ता लगाउन रोक्न डिजाइन गरिएको हो।

कृपया ध्यान दिनुहोस् कि टास्क प्रबन्धक सुरु गरेपछि, wuapp.exe प्रक्रिया समाप्त हुन्छ।

कार्य प्रबन्धक बन्द गरेपछि, मालवेयरले wuapp.exe प्रक्रिया बारम्बार सुरु गर्दछ
खानीले त्यसमा इन्जेक्सन गर्छ।

स्टेज ३. खानी

माथि उल्लेखित XMRig माइनरलाई विचार गर्नुहोस्।

मालवेयरले नोटप्याड, exe, explorer.exe, मा माइनरको प्रच्छन्न UPX संस्करण इन्जेक्ट गर्छ।
svchost.exe वा wuapp.exe, OS बिट गहिराई र कार्यान्वयन एल्गोरिदमको चरणमा निर्भर गर्दछ।

माइनरमा PE हेडर हटाइयो र तलको स्क्रिनसटमा हामी देख्न सक्छौं कि यो UPX सँग मास्क गरिएको छ।

डम्प सिर्जना गरेपछि र कार्यान्वयन योग्य पुनर्निर्माण गरेपछि, हामीले यसलाई चलाउन सक्षम भयौं:

यो ध्यान दिनुपर्छ कि लक्षित XMR साइटमा पहुँच अस्वीकार गरिएको छ, जसले यो खानीलाई प्रभावकारी रूपमा बेअसर गर्दछ।

खानी कन्फिगरेसन:

"url": "pool.minexmr.com:5555","user":
"49WvfokdnuK6ojQePe6x2M3UCD59v3BQiBszkuTGE7wmNJuyAvHM9ojedgxMwNx9tZA33P84EeMLte7t6qZhxNHqHyfq9xA","pass":"x"

रहस्यमय PHP शेल C&C मा डाटा पास गर्दै

यस अनुसन्धानको क्रममा, हाम्रो फोरेन्सिक टोलीले एउटा XSL फाइल पत्ता लगायो जसले उनीहरूको ध्यान खिच्यो। नमूनाको गहिरो विश्लेषण पछि, एउटा नयाँ PHP खोल पत्ता लाग्यो जुन निरन्तर नियन्त्रण केन्द्र (C&C सर्भर) मा जडान हुन्छ।

एउटा XSL फाइल ग्राहकको वातावरणमा धेरै सर्भरहरूमा फेला पर्‍यो जुन sysWOW64 डाइरेक्टरीमा रहेको फोल्डरबाट ज्ञात विन्डोज कार्यान्वयनयोग्य (mscorsv.exe) द्वारा सुरू गरिएको थियो।

मालवेयर फोल्डरलाई AutoRecover भनिन्थ्यो र समावेश गरिएको थियो धेरै फाइलहरू:

XSL फाइल: xml.XSL
नौ DLL फाइलहरू

कार्यान्वयनयोग्य फाइलहरू:

Mscorsv.exe
wmiprvse.exe

XSL फाइल

XSL फाइलहरू CSS मा प्रयोग गरिएका स्टाइल पानाहरू हुन्, जसले XML कागजात कसरी प्रदर्शन गर्ने भनेर वर्णन गर्दछ।

नोटप्याड प्रयोग गरेर, हामीले निर्धारण गर्यौं कि यो वास्तवमा XSL फाइल होइन, बरु Zend गार्ड द्वारा अस्पष्ट PHP कोड हो। यो जिज्ञासु तथ्यले सुझाव दियो कि यो थियो
यसको कार्यान्वयन एल्गोरिथ्ममा आधारित मालवेयरको पेलोड।

नौ DLL

XSL फाइलको प्रारम्भिक विश्लेषणले यस्तो संख्याको उपस्थितिको निष्कर्ष निकाल्यो
DLL को एक निश्चित अर्थ छ। मुख्य फोल्डरमा php.dll भनिने DLL र SSL र MySQL सँग सम्बन्धित तीन अन्य पुस्तकालयहरू छन्। सबफोल्डरहरूमा, विशेषज्ञहरूले चार PHP पुस्तकालयहरू र एउटा जेन्ड गार्ड पुस्तकालय फेला पारे। ती सबै वैध छन्, र PHP स्थापना प्याकेज वा बाह्य dlls को रूपमा प्राप्त गरिन्छ।

यस चरणमा, यो मालवेयर PHP को आधारमा सिर्जना गरिएको थियो र Zend Guard द्वारा अस्पष्ट भएको मानिएको थियो।

कार्यान्वयनयोग्य फाइलहरू

यस फोल्डरमा पनि दुईवटा कार्यान्वयनयोग्य फाइलहरू थिए: Mscorsv.exe र Wmiprvse.exe।

mscorsv.exe फाइलको विश्लेषण गरेपछि, हामीले निर्धारण गर्यौं कि यो Microsoft द्वारा हस्ताक्षर गरिएको थिएन, यद्यपि यसको ProductName प्यारामिटर "Microsoft मा सेट गरिएको थियो। नेट फ्रेमवर्क"।
सुरुमा यो अनौठो लाग्थ्यो, तर Wmiprvse.exe को विश्लेषणले हामीलाई स्थिति राम्रोसँग बुझ्न अनुमति दियो।

Wmiprvse.exe फाइल पनि अहस्ताक्षरित थियो, तर PHP समूह प्रतिलिपि अधिकार प्रतीक र PHP प्रतिमा समावेश थियो। यसको लाइनहरूमा द्रुत नजरले PHP मद्दतबाट आदेशहरू प्रकट गर्‍यो। -संस्करण स्विचको साथ कार्यान्वयन गर्दा, यो Zend गार्ड चलाउनको लागि डिजाइन गरिएको कार्यान्वयनयोग्य फाइल हो भनेर पत्ता लाग्यो।

जब mscorsv.exe लाई उस्तै तरिकाले सुरु गरिएको थियो, उही डाटा स्क्रिनमा प्रदर्शन गरिएको थियो। हामीले यी दुई फाइलहरूको बाइनरी डेटा तुलना गर्यौं र मेटाडेटा बाहेक तिनीहरू समान छन् भनेर देख्यौं।
प्रतिलिपि अधिकार र कम्पनी नाम / उत्पादन नाम।

यसको आधारमा, यो निष्कर्ष निकालियो कि XSL फाइलमा PHP कोड समावेश छ जुन Zend Guard कार्यान्वयनयोग्य फाइल प्रयोग गरेर चलेको थियो, mscorsv.exe नाम अन्तर्गत लुकाइएको थियो।

XSL फाइल पार्स गर्दै

इन्टरनेट खोज प्रयोग गरेर, विशेषज्ञहरूले तुरुन्तै Zend Guard deobfuscation उपकरण प्राप्त गरे र xml.XSL फाइलको मौलिक उपस्थिति पुनर्स्थापित गरे:

यो पत्ता लाग्यो कि मालवेयर आफैं एक PHP शेल हो जुन निरन्तर नियन्त्रण केन्द्र (C&C सर्भर) मा जडान हुन्छ।

यसले पठाउने र प्राप्त गर्ने आदेशहरू र आउटपुट इन्क्रिप्टेड छन्। हामीसँग स्रोत कोड भएकोले, हामीसँग एन्क्रिप्शन कुञ्जी र आदेशहरू दुवै थिए।

यो मालवेयरले निम्न बिल्ट-इन कार्यक्षमता समावेश गर्दछ:

Eval - सामान्यतया कोडमा अवस्थित चरहरू परिमार्जन गर्न प्रयोग गरिन्छ
स्थानीय फाइल रेकर्डिङ
डाटाबेससँग काम गर्ने सम्भावनाहरू
PSEXEC सँग काम गर्ने सम्भावनाहरू
लुकेको कार्यान्वयन
म्यापिङ प्रक्रिया र सेवाहरू

निम्न चरले मालवेयरमा धेरै संस्करणहरू छन् भनी सुझाव दिन्छ।

नमूनाहरू सङ्कलन गर्दा, निम्न संस्करणहरू पत्ता लगाइयो:

0.5f
0.4p
0.4o

प्रणालीमा मालवेयरको निरन्तर उपस्थिति सुनिश्चित गर्ने एक मात्र कार्य यो हो कि जब कार्यान्वयन गरिन्छ, यसले एक सेवा सिर्जना गर्दछ जसले आफैलाई कार्यान्वयन गर्दछ, र यसको नाम।
संस्करण देखि संस्करणमा परिवर्तन।

विज्ञहरूले इन्टरनेटमा यस्तै नमूनाहरू खोज्ने प्रयास गरे र मालवेयर पत्ता लगाए
जुन, तिनीहरूको विचारमा, अवस्थित नमूनाको अघिल्लो संस्करण थियो। फोल्डरका सामग्रीहरू समान थिए, तर XSL फाइल फरक थियो र फरक संस्करण नम्बर थियो।

Parle-Vu मालवेयर?

मालवेयर फ्रान्स वा अर्को फ्रान्सेली भाषी देशमा उत्पन्न भएको हुन सक्छ: SFX फाइलमा फ्रान्सेलीमा टिप्पणीहरू थिए, जसले लेखकले यसलाई सिर्जना गर्न WinRAR को फ्रान्सेली संस्करण प्रयोग गरेको संकेत गर्दछ।

यसबाहेक, कोडमा केही चर र प्रकार्यहरू पनि फ्रान्सेलीमा नाम दिइएको थियो।

अनुगमन कार्यान्वयन र नयाँ आदेशहरूको लागि पर्खँदै

विशेषज्ञहरूले मालवेयर कोड परिमार्जन गरे र पहिले नै परिमार्जन गरिएको सुरक्षित रूपमा सुरू गरे
प्राप्त आदेशहरूको बारेमा जानकारी सङ्कलन गर्न संस्करण।

पहिलो सञ्चार सत्रको अन्त्यमा, विशेषज्ञहरूले देखे कि मालवेयरले EVAL64 लन्च कुञ्जीको लागि एक तर्कको रूपमा Base64 प्रयोग गरेर एन्कोड गरिएको आदेश प्राप्त गर्यो।
यो आदेश डिकोड र कार्यान्वयन गरिएको छ। यसले धेरै आन्तरिक चरहरू परिवर्तन गर्दछ (बफर आकारहरू पढ्नुहोस् र लेख्नुहोस्), त्यसपछि मालवेयरले आदेशहरूको लागि पर्खँदै कार्य चक्रमा प्रवेश गर्दछ।

हाल, कुनै नयाँ आदेश प्राप्त भएको छैन।

अन्तरक्रियात्मक PHP शेल र क्रिप्टोमिनर: के तिनीहरू सम्बन्धित छन्?

Varonis विशेषज्ञहरू निश्चित छैनन् कि नर्मन PHP शेलसँग सम्बन्धित छ कि छैन, किनकि यस धारणाको पक्ष र विपक्षमा कडा तर्कहरू छन्:

तिनीहरू किन सम्बन्धित हुन सक्छन्?

कुनै पनि मालिसियस क्रिप्टोमाइनिङ सफ्टवेयर नमूनाहरूमा स्वतन्त्र रूपमा अन्य प्रणालीहरूमा फैलिने क्षमता थिएन, यद्यपि तिनीहरू विभिन्न नेटवर्क खण्डहरूमा विभिन्न उपकरणहरूमा फेला परेका थिए। यो सम्भव छ कि आक्रमणकारीले प्रत्येक नोडलाई अलग-अलग संक्रमित गर्यो (सायद बिरामी शून्यलाई संक्रमित गर्दा एउटै आक्रमण भेक्टर प्रयोग गरी), यद्यपि यो आक्रमणको लक्ष्य भएको नेटवर्कमा फैलाउन PHP शेल प्रयोग गर्न बढी प्रभावकारी हुनेछ।
एक विशेष संगठन विरुद्ध निर्देशित ठूला-स्तर, लक्षित स्वचालित अभियानहरूले प्राय: प्राविधिक कलाकृतिहरू वा साइबर सुरक्षा खतराहरूको पहिचानयोग्य निशानहरू छोड्छन्। यस मामला मा, प्रकार को केहि फेला परेन।
दुबै नर्मन र PHP शेलले DuckDNS सेवा प्रयोग गर्यो।

तिनीहरू किन सम्बन्धित हुन सक्दैनन्?

क्रिप्टोमाइनिङ मालवेयर भेरियन्टहरू र PHP शेल बीच कुनै प्राविधिक समानताहरू छैनन्। दुर्भावनापूर्ण क्रिप्टोमिनर C++ मा सिर्जना गरिएको छ, र खोल PHP मा छ। साथै, कोड संरचनामा कुनै समानताहरू छैनन्, र नेटवर्क प्रकार्यहरू फरक रूपमा लागू हुन्छन्।
डाटा आदानप्रदान गर्न मालवेयर भेरियन्टहरू र PHP शेल बीच कुनै सीधा सञ्चार छैन।
तिनीहरू विकासकर्ता टिप्पणीहरू, फाइलहरू, मेटाडेटा, वा डिजिटल फिंगरप्रिन्टहरू साझेदारी गर्दैनन्।

रिमोट शेलहरू विरुद्ध सुरक्षाको लागि तीन सिफारिसहरू

मालवेयर, जसलाई सञ्चालन गर्न नियन्त्रण केन्द्र (C&C सर्भर) बाट आदेशहरू आवश्यक पर्दछ, नियमित भाइरसहरू जस्तै होइन। उसको कार्यहरू यति अनुमानित छैनन् र स्वचालित उपकरणहरू वा स्क्रिप्टहरू बिना प्रदर्शन गरिएको ह्याकर वा पेन्टेस्टरको कार्यहरूसँग मिल्दोजुल्दो हुनेछ। त्यसकारण, मालवेयर हस्ताक्षर बिना यी आक्रमणहरू पत्ता लगाउने नियमित एन्टिभाइरस स्क्यानिङ भन्दा बढी चुनौतीपूर्ण छ।

रिमोट शेलहरूबाट कम्पनीहरूलाई जोगाउनको लागि तल तीन सिफारिसहरू छन्:

सबै सफ्टवेयर अद्यावधिक राख्नुहोस्
आक्रमणकारीहरूले प्रायः सफ्टवेयर र अपरेटिङ सिस्टमहरूमा कमजोरीहरू प्रयोग गरेर संगठनको नेटवर्कमा फैलाउन र चासोको डेटा खोज्नको लागि
चोरी। समयमै प्याचिङले त्यस्ता खतराहरूको जोखिमलाई कम गर्छ।
असामान्य डेटा पहुँच घटनाहरू निगरानी गर्नुहोस्
सम्भवतः, आक्रमणकारीहरूले संगठनको गोप्य डेटा परिधिभन्दा बाहिर लैजान प्रयास गर्नेछन्। यस डेटामा असामान्य पहुँच घटनाहरूको अनुगमन गर्न अनुमति दिनेछ
सम्झौता गरिएका प्रयोगकर्ताहरू र फोल्डरहरू र फाइलहरूको सम्पूर्ण सेट पत्ता लगाउनुहोस् जुन वास्तवमा आक्रमणकारीहरूको हातमा पर्न सक्छ, र यी प्रयोगकर्ताहरूलाई उपलब्ध सबै डेटाको रूपमा मात्र विचार नगर्नुहोस्।
नेटवर्क ट्राफिक निगरानी गर्नुहोस्
फायरवाल र/वा प्रोक्सी सर्भरको प्रयोगले मालवेयर नियन्त्रण केन्द्रहरू (C&C सर्भरहरू) मा मालिसियस जडानहरू पत्ता लगाउन र ब्लक गर्न सक्छ, आक्रमणकारीहरूलाई आदेशहरू कार्यान्वयन गर्नबाट रोक्न र यसलाई अझ गाह्रो बनाउन सक्छ।
परिधि डाटा।

ग्रे खानी को मुद्दा बारे चिन्तित? सुरक्षाको लागि छवटा सिफारिसहरू:

सबै अपरेटिङ सिस्टमहरू अद्यावधिक राख्नुहोस्
स्रोतहरूको दुरुपयोग र मालवेयर संक्रमणहरू रोक्न प्याच व्यवस्थापन धेरै महत्त्वपूर्ण छ।
नेटवर्क ट्राफिक र वेब प्रोक्सीहरू नियन्त्रण गर्नुहोस्
केही आक्रमणहरू पत्ता लगाउनको लागि यो गर्नुहोस्, र तिनीहरूमध्ये केहीलाई रोक्नको लागि तपाईंले दुर्भावनापूर्ण डोमेनहरूको बारेमा जानकारीको आधारमा ट्राफिक रोक्न वा अनावश्यक डेटा प्रसारण च्यानलहरू सीमित गर्न सक्नुहुन्छ।
एन्टिभाइरस समाधानहरू र अन्तिम बिन्दु सुरक्षा प्रणालीहरू प्रयोग गर्नुहोस् र कायम राख्नुहोस् (तर कुनै पनि हिसाबले सुरक्षाको यो तह प्रयोग गर्न आफैलाई सीमित नगर्नुहोस्)।
एन्डपोइन्ट उत्पादनहरूले प्रख्यात क्रिप्टोमाइनरहरू पत्ता लगाउन सक्छन् र तिनीहरूले प्रणाली प्रदर्शन र ऊर्जा प्रयोगमा क्षति पुर्‍याउनु अघि संक्रमण रोक्न सक्छन्। कृपया सचेत रहनुहोस् कि नयाँ परिमार्जनहरू वा पत्ता लगाउन रोक्नको नयाँ विधिहरूले एउटै मालवेयरको नयाँ संस्करणहरू पत्ता लगाउन अन्तिम बिन्दु सुरक्षा असफल हुन सक्छ।
कम्प्युटर CPU गतिविधि निगरानी
सामान्यतया, क्रिप्टो खानीहरूले खननको लागि कम्प्युटरको केन्द्रीय प्रोसेसर प्रयोग गर्छन्। यो कार्यसम्पादनमा कमीको बारेमा कुनै सन्देशहरू विश्लेषण गर्न आवश्यक छ ("मेरो कम्प्युटर ढिलो हुन थालेको छ।")।
गतिशील DNS सेवाहरूको असामान्य प्रयोगको लागि DNS निगरानी गर्नुहोस् (जस्तै DuckDNS)
यद्यपि DuckDNS र अन्य Dynamic DNS सेवाहरू प्रणालीको लागि स्वाभाविक रूपमा हानिकारक छैनन्, मालवेयरद्वारा DuckDNS को प्रयोगले हाम्रा अनुसन्धान टोलीहरूलाई संक्रमित होस्टहरू पत्ता लगाउन सजिलो बनायो।
घटना प्रतिक्रिया योजना विकास गर्नुहोस्
ग्रे क्रिप्टो माइनिङको खतरालाई स्वचालित रूपमा पत्ता लगाउन, समावेश गर्न र कम गर्नको लागि त्यस्ता घटनाहरूको लागि आवश्यक प्रक्रियाहरू छन् भनी सुनिश्चित गर्नुहोस्।

Varonis ग्राहकहरु लाई नोट।
Varonis DataAlert क्रिप्टोमाइनिङ मालवेयर पत्ता लगाउन सक्षम गर्ने खतरा मोडेलहरू समावेश गर्दछ। ग्राहकहरूले कालोसूचीका लागि उम्मेदवारहरू भएका डोमेनहरूमा आधारित सफ्टवेयर पत्ता लगाउने लक्ष्य बनाउन अनुकूलन नियमहरू पनि सिर्जना गर्न सक्छन्। तपाईं DatAlert को नवीनतम संस्करण चलाउँदै हुनुहुन्छ र सही खतरा मोडेलहरू प्रयोग गर्दै हुनुहुन्छ भनेर सुनिश्चित गर्न, आफ्नो बिक्री प्रतिनिधि वा Varonis समर्थनलाई सम्पर्क गर्नुहोस्।

स्रोत: www.habr.com

Varonis एक क्रिप्टोमिनिंग भाइरस पत्ता लाग्यो: हाम्रो अनुसन्धान