पुरानो मुद्दाहरूको अभिलेखमा मालवेयरको परिचयको साथ प्याले मून परियोजनाको सर्भरहरू मध्ये एकको ह्याकिङ

पेल मून ब्राउजर को लेखक खोलिएको archive.palemoon.org सर्भरको सम्झौताको बारेमा जानकारी, जसले संस्करण २७.६.२ सम्म र समावेश सहितको अघिल्लो ब्राउजर रिलीजहरूको अभिलेख भण्डारण गर्‍यो। ह्याकको क्रममा, आक्रमणकारीहरूले सर्भरमा होस्ट गरिएका पेल मुन स्थापनाकर्ताहरू भएका सबै कार्यान्वयनयोग्य फाइलहरूलाई मालवेयरले संक्रमित गरे। Windowsप्रारम्भिक तथ्याङ्क अनुसार, मालवेयर डिसेम्बर २७, २०१७ मा रोपिएको थियो, तर जुलाई ९, २०१९ मा मात्र पत्ता लागेको थियो, जसको अर्थ यो डेढ वर्षसम्म पत्ता लागेन।

समस्याग्रस्त सर्भर हाल अनुसन्धानको लागि अफलाइन छ। सर्भर जसबाट हालको विमोचनहरू वितरण गरिएको थियो
पेल मुन प्रभावित हुँदैन, समस्याले पुराना संस्करणहरूलाई मात्र असर गर्छ। Windows- अभिलेखबाट स्थापित संस्करणहरू (नयाँ संस्करणहरू जारी हुँदा रिलीजहरू अभिलेखमा सारिन्छन्)। ह्याकको समयमा, सर्भर चलिरहेको थियो Windows र Frantech/BuyVM अपरेटरबाट भाडामा लिइएको भर्चुअल मेसिनमा सुरु गरिएको थियो। कुन विशिष्ट जोखिमको शोषण गरिएको थियो र के यो विशिष्ट छ Windows यसले कुनै पनि चलिरहेको तेस्रो-पक्ष सर्भर अनुप्रयोगहरूलाई असर गर्यो कि गरेन भन्ने कुरा अझै स्पष्ट छैन।

पहुँच प्राप्त गरेपछि, आक्रमणकारीहरूले ट्रोजन सफ्टवेयरको साथ प्याले मुन (स्थापनाकर्ताहरू र आत्म-निकासी अभिलेखहरू) सँग सम्बन्धित सबै exe फाइलहरूलाई चयन रूपमा संक्रमित गरे। Win32/ClipBanker.DY, क्लिपबोर्डमा बिटकोइन ठेगानाहरू प्रतिस्थापन गरेर क्रिप्टोकरेन्सी चोरी गर्ने उद्देश्यले। zip अभिलेख भित्र कार्यान्वयनयोग्य फाइलहरू प्रभावित छैनन्। फाइलहरूमा संलग्न डिजिटल हस्ताक्षर वा SHA256 ह्यासहरू जाँच गरेर स्थापनाकर्तामा परिवर्तनहरू प्रयोगकर्ताद्वारा पत्ता लगाइएको हुन सक्छ। प्रयोग गरिएको मालवेयर पनि सफल छ खुलासा गरिन्छ सबैभन्दा हालको एन्टिभाइरसहरू।

मे २६, २०१९ मा, सर्भरमा आक्रमणकारी गतिविधिको क्रममा (यो स्पष्ट छैन कि यी प्रारम्भिक उल्लंघनमा जस्तै आक्रमणकारीहरू थिए वा फरक थिए), archive.palemoon.org को सामान्य कार्यक्षमता अवरुद्ध भयो - होस्ट रिबुट गर्न असफल भयो, र डेटा भ्रष्ट भयो। आक्रमणको प्रकृतिलाई संकेत गर्ने थप विस्तृत ट्रेसहरू समावेश गर्न सक्ने प्रणाली लगहरू पनि हराइयो। यो असफलताको समयमा, प्रशासकहरूलाई सम्झौताको बारेमा थाहा थिएन र नयाँ वातावरण प्रयोग गरेर अभिलेख पुनर्स्थापित गरियो। CentOS र FTP अपलोडहरूलाई HTTP ले प्रतिस्थापन गर्दै। घटना बेवास्ता गरिएको हुनाले, ब्याकअपबाट पहिले नै संक्रमित फाइलहरू नयाँ सर्भरमा स्थानान्तरण गरियो।

सम्झौताको सम्भावित कारणहरूको विश्लेषण गर्दा, आक्रमणकारीहरूले होस्टिङ स्टाफ खातामा पासवर्ड जबरजस्ती गरेर, सर्भरमा प्रत्यक्ष भौतिक पहुँच प्राप्त गरेर, अन्य भर्चुअल मेसिनहरूमा नियन्त्रण प्राप्त गर्न हाइपरभाइजरमा आक्रमण गरेर, वेब नियन्त्रण प्यानल ह्याक गरेर, रिमोट डेस्कटप सत्र (RDP प्रोटोकल प्रयोग गरेर) अवरोध गरेर, वा जोखिमको शोषण गरेर पहुँच प्राप्त गरेको अनुमान गरिएको छ। Windows Serverदुर्भावनापूर्ण कार्यहरू सर्भरमा स्थानीय रूपमा अवस्थित कार्यान्वयनयोग्य फाइलहरूलाई बाहिरबाट पुन: डाउनलोड गरेर नभई परिमार्जन गर्न स्क्रिप्ट प्रयोग गरेर गरिएको थियो।

परियोजनाका लेखकले दाबी गर्छन् कि प्रणालीमा प्रशासक पहुँच भएको उनी मात्र थिए, पहुँच एउटा IP ठेगानामा सीमित थियो, र अन्तर्निहित OS Windows अद्यावधिक गरिएको थियो र बाह्य आक्रमणहरूबाट सुरक्षित गरिएको थियो। यद्यपि, रिमोट पहुँचको लागि RDP र FTP प्रोटोकलहरू प्रयोग गरिएको थियो, र सम्भावित रूपमा असुरक्षित सफ्टवेयर भर्चुअल मेसिनमा चलिरहेको थियो, जसले ह्याक निम्त्याउन सक्छ। यद्यपि, पेल मुनका लेखक विश्वास गर्छन् कि ह्याक प्रदायकको भर्चुअल मेसिन पूर्वाधारको अपर्याप्त सुरक्षाको कारणले भएको थियो (उदाहरणका लागि, मानक भर्चुअलाइजेशन व्यवस्थापन इन्टरफेस प्रयोग गरेर कमजोर प्रदायक पासवर्डलाई जबरजस्ती गरेर)। थियो ह्याक गरियो ओपनएसएसएल वेबसाइट)।

स्रोत: opennet.ru