पुरानो मुद्दाहरूको अभिलेखमा मालवेयरको परिचयको साथ प्याले मून परियोजनाको सर्भरहरू मध्ये एकको ह्याकिङ

पेल मून ब्राउजर को लेखक खोलिएको archive.palemoon.org सर्भरको सम्झौताको बारेमा जानकारी, जसले 27.6.2 संस्करण सम्म र सहित विगतको ब्राउजर रिलीजहरूको संग्रह भण्डारण गरेको छ। ह्याकको क्रममा, आक्रमणकारीहरूले मालवेयरको साथ सर्भरमा अवस्थित विन्डोजका लागि प्याले मुन स्थापनाकर्ताहरूसँग सबै कार्यान्वयनयोग्य फाइलहरू संक्रमित गरे। प्रारम्भिक तथ्याङ्कका अनुसार, मालवेयरको प्रतिस्थापन डिसेम्बर 27, 2017 मा गरिएको थियो, र जुलाई 9, 2019 मा मात्र पत्ता लगाइएको थियो, अर्थात्। डेढ वर्ष बेपत्ता रह्यो।

समस्याग्रस्त सर्भर हाल अनुसन्धानको लागि अफलाइन छ। सर्भर जसबाट हालको विमोचनहरू वितरण गरिएको थियो
Pale Moon प्रभावित छैन, समस्याले पुरानो विन्डोज संस्करणहरू मात्र अभिलेखबाट स्थापितहरूलाई असर गर्छ (नयाँ संस्करणहरू जारी हुँदा रिलीजहरूलाई अभिलेखमा सारिन्छ)। ह्याकको समयमा, सर्भरले Windows चलिरहेको थियो र अपरेटर Frantech/BuyVM बाट भाडामा लिइएको भर्चुअल मेसिनमा चलिरहेको थियो। यो अझै स्पष्ट छैन कि कस्तो प्रकारको कमजोरी शोषण गरिएको थियो र यो विन्डोज को लागी विशिष्ट थियो वा केहि चलिरहेको तेस्रो-पक्ष सर्भर अनुप्रयोगहरु लाई असर गर्यो।

पहुँच प्राप्त गरेपछि, आक्रमणकारीहरूले ट्रोजन सफ्टवेयरको साथ प्याले मुन (स्थापनाकर्ताहरू र आत्म-निकासी अभिलेखहरू) सँग सम्बन्धित सबै exe फाइलहरूलाई चयन रूपमा संक्रमित गरे। Win32/ClipBanker.DY, क्लिपबोर्डमा बिटकोइन ठेगानाहरू प्रतिस्थापन गरेर क्रिप्टोकरेन्सी चोरी गर्ने उद्देश्यले। zip अभिलेख भित्र कार्यान्वयनयोग्य फाइलहरू प्रभावित छैनन्। फाइलहरूमा संलग्न डिजिटल हस्ताक्षर वा SHA256 ह्यासहरू जाँच गरेर स्थापनाकर्तामा परिवर्तनहरू प्रयोगकर्ताद्वारा पत्ता लगाइएको हुन सक्छ। प्रयोग गरिएको मालवेयर पनि सफल छ खुलासा गरिन्छ सबैभन्दा हालको एन्टिभाइरसहरू।

मे 26, 2019 मा, आक्रमणकारीहरूको सर्भरमा गतिविधिको क्रममा (यो स्पष्ट छैन कि यी पहिलो ह्याकमा जस्तै आक्रमणकारीहरू थिए वा अन्य), archive.palemoon.org को सामान्य सञ्चालन अवरुद्ध भएको थियो - होस्ट असक्षम थियो। रिबुट गर्न, र डाटा क्षतिग्रस्त भएको थियो। यसले प्रणाली लगहरूको हानि समावेश गर्दछ, जसले आक्रमणको प्रकृतिलाई संकेत गर्ने थप विस्तृत ट्रेसहरू समावेश गर्न सक्छ। यस असफलताको समयमा, प्रशासकहरू सम्झौताको बारेमा अनजान थिए र नयाँ CentOS-आधारित वातावरण प्रयोग गरेर र HTTP सँग FTP डाउनलोडहरू प्रतिस्थापन गरेर अभिलेखलाई अपरेशनमा पुनर्स्थापित गरे। घटना याद नगरेकोले, ब्याकअपका फाइलहरू जुन पहिले नै संक्रमित थिए नयाँ सर्भरमा स्थानान्तरण गरियो।

सम्झौताको सम्भावित कारणहरूको विश्लेषण गर्दा, यो मानिन्छ कि आक्रमणकारीहरूले होस्टिङ स्टाफ खातामा पासवर्ड अनुमान गरेर पहुँच प्राप्त गरे, सर्भरमा प्रत्यक्ष भौतिक पहुँच प्राप्त गरे, अन्य भर्चुअल मेसिनहरूमा नियन्त्रण प्राप्त गर्न हाइपरभाइजरमा आक्रमण, वेब नियन्त्रण प्यानल ह्याक। , रिमोट डेस्कटप सत्र अवरोध गर्दै (RDP प्रोटोकल प्रयोग गरिएको थियो) वा विन्डोज सर्भरमा कमजोरीको शोषण गरेर। बाहिरबाट पुन: डाउनलोड गर्नुको सट्टा अवस्थित कार्यान्वयनयोग्य फाइलहरूमा परिवर्तन गर्न स्क्रिप्ट प्रयोग गरेर सर्भरमा खराब कार्यहरू स्थानीय रूपमा गरिएको थियो।

परियोजनाका लेखकले दाबी गर्छन् कि उहाँसँग मात्र प्रणालीमा प्रशासक पहुँच थियो, पहुँच एउटा IP ठेगानामा सीमित थियो, र अन्तर्निहित Windows OS अद्यावधिक गरिएको थियो र बाह्य आक्रमणहरूबाट सुरक्षित गरिएको थियो। एकै समयमा, RDP र FTP प्रोटोकलहरू रिमोट पहुँचको लागि प्रयोग गरिएको थियो, र सम्भावित रूपमा असुरक्षित सफ्टवेयर भर्चुअल मेसिनमा लन्च गरिएको थियो, जसले ह्याकिंग हुन सक्छ। यद्यपि, Pale Moon का लेखक प्रदायकको भर्चुअल मेसिन पूर्वाधारको अपर्याप्त सुरक्षाको कारणले ह्याक गरिएको हो भन्ने विश्वास गर्न झुकाव छ (उदाहरणका लागि, एक पटक, मानक भर्चुअलाइजेशन व्यवस्थापन इन्टरफेस प्रयोग गरेर असुरक्षित प्रदायक पासवर्ड चयन गरेर। थियो ह्याक गरियो ओपनएसएसएल वेबसाइट)।

स्रोत: opennet.ru