KeePass ਪ੍ਰੋਜੈਕਟ ਡੋਮੇਨ ਤੋਂ ਵੱਖਰੇ ਡੋਮੇਨ ਦੇ ਵਿਗਿਆਪਨ ਦੁਆਰਾ ਮਾਲਵੇਅਰ ਦੀ ਵੰਡ

ਮਾਲਵੇਅਰਬਾਈਟਸ ਲੈਬਜ਼ ਦੇ ਖੋਜਕਰਤਾਵਾਂ ਨੇ ਗੂਗਲ ਵਿਗਿਆਪਨ ਨੈਟਵਰਕ ਦੁਆਰਾ ਮੁਫਤ ਪਾਸਵਰਡ ਮੈਨੇਜਰ KeePass, ਜੋ ਕਿ ਮਾਲਵੇਅਰ ਨੂੰ ਵੰਡਦਾ ਹੈ, ਲਈ ਇੱਕ ਜਾਅਲੀ ਵੈੱਬਸਾਈਟ ਦੇ ਪ੍ਰਚਾਰ ਦੀ ਪਛਾਣ ਕੀਤੀ ਹੈ। ਹਮਲੇ ਦੀ ਇੱਕ ਵਿਸ਼ੇਸ਼ਤਾ "ķeepass.info" ਡੋਮੇਨ ਦੀ ਹਮਲਾਵਰਾਂ ਦੁਆਰਾ ਵਰਤੋਂ ਸੀ, ਜੋ ਕਿ ਪਹਿਲੀ ਨਜ਼ਰ ਵਿੱਚ "keepass.info" ਪ੍ਰੋਜੈਕਟ ਦੇ ਅਧਿਕਾਰਤ ਡੋਮੇਨ ਤੋਂ ਸਪੈਲਿੰਗ ਵਿੱਚ ਵੱਖਰਾ ਨਹੀਂ ਹੈ। ਗੂਗਲ 'ਤੇ ਕੀਵਰਡ "ਕੀਪਪਾਸ" ਦੀ ਖੋਜ ਕਰਦੇ ਸਮੇਂ, ਜਾਅਲੀ ਸਾਈਟ ਲਈ ਇਸ਼ਤਿਹਾਰ ਨੂੰ ਅਧਿਕਾਰਤ ਸਾਈਟ ਦੇ ਲਿੰਕ ਤੋਂ ਪਹਿਲਾਂ, ਪਹਿਲੇ ਸਥਾਨ 'ਤੇ ਰੱਖਿਆ ਗਿਆ ਸੀ।

ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਧੋਖਾ ਦੇਣ ਲਈ, ਇੱਕ ਲੰਬੇ ਸਮੇਂ ਤੋਂ ਜਾਣੀ ਜਾਂਦੀ ਫਿਸ਼ਿੰਗ ਤਕਨੀਕ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਗਈ ਸੀ, ਜੋ ਕਿ ਹੋਮੋਗਲਿਫਸ ਵਾਲੇ ਅੰਤਰਰਾਸ਼ਟਰੀ ਡੋਮੇਨਾਂ (IDN) ਦੀ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਦੇ ਅਧਾਰ ਤੇ - ਅੱਖਰ ਜੋ ਲਾਤੀਨੀ ਅੱਖਰਾਂ ਦੇ ਸਮਾਨ ਦਿਖਾਈ ਦਿੰਦੇ ਹਨ, ਪਰ ਇੱਕ ਵੱਖਰਾ ਅਰਥ ਰੱਖਦੇ ਹਨ ਅਤੇ ਉਹਨਾਂ ਦਾ ਆਪਣਾ ਯੂਨੀਕੋਡ ਕੋਡ ਹੈ। ਖਾਸ ਤੌਰ 'ਤੇ, ਡੋਮੇਨ “ķeepass.info” ਅਸਲ ਵਿੱਚ punycode ਨੋਟੇਸ਼ਨ ਵਿੱਚ “xn--eepass-vbb.info” ਵਜੋਂ ਰਜਿਸਟਰਡ ਹੈ ਅਤੇ ਜੇਕਰ ਤੁਸੀਂ ਐਡਰੈੱਸ ਬਾਰ ਵਿੱਚ ਦਿਖਾਏ ਗਏ ਨਾਮ ਨੂੰ ਨੇੜਿਓਂ ਦੇਖਦੇ ਹੋ, ਤਾਂ ਤੁਸੀਂ ਅੱਖਰ ਦੇ ਹੇਠਾਂ ਇੱਕ ਬਿੰਦੀ ਦੇਖ ਸਕਦੇ ਹੋ। ķ", ਜੋ ਕਿ ਬਹੁਗਿਣਤੀ ਉਪਭੋਗਤਾਵਾਂ ਦੁਆਰਾ ਸਮਝਿਆ ਜਾਂਦਾ ਹੈ, ਸਕ੍ਰੀਨ 'ਤੇ ਇੱਕ ਚਟਾਕ ਵਾਂਗ ਹੈ। ਖੁੱਲੀ ਸਾਈਟ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਦਾ ਭਰਮ ਇਸ ਤੱਥ ਦੁਆਰਾ ਵਧਾਇਆ ਗਿਆ ਸੀ ਕਿ ਜਾਅਲੀ ਸਾਈਟ ਨੂੰ ਇੱਕ ਅੰਤਰਰਾਸ਼ਟਰੀ ਡੋਮੇਨ ਲਈ ਪ੍ਰਾਪਤ ਕੀਤੇ ਇੱਕ ਸਹੀ TLS ਸਰਟੀਫਿਕੇਟ ਦੇ ਨਾਲ HTTPS ਦੁਆਰਾ ਖੋਲ੍ਹਿਆ ਗਿਆ ਸੀ।

ਦੁਰਵਿਵਹਾਰ ਨੂੰ ਰੋਕਣ ਲਈ, ਰਜਿਸਟਰਾਰ IDN ਡੋਮੇਨਾਂ ਦੀ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਦੀ ਇਜਾਜ਼ਤ ਨਹੀਂ ਦਿੰਦੇ ਹਨ ਜੋ ਵੱਖ-ਵੱਖ ਵਰਣਮਾਲਾਵਾਂ ਦੇ ਅੱਖਰਾਂ ਨੂੰ ਮਿਲਾਉਂਦੇ ਹਨ। ਉਦਾਹਰਨ ਲਈ, ਇੱਕ ਡਮੀ ਡੋਮੇਨ apple.com (“xn--pple-43d.com”) ਨੂੰ ਲੈਟਿਨ “a” (U+0061) ਨੂੰ ਸਿਰਿਲਿਕ “a” (U+0430) ਨਾਲ ਬਦਲ ਕੇ ਨਹੀਂ ਬਣਾਇਆ ਜਾ ਸਕਦਾ। ਇੱਕ ਡੋਮੇਨ ਨਾਮ ਵਿੱਚ ਲਾਤੀਨੀ ਅਤੇ ਯੂਨੀਕੋਡ ਅੱਖਰਾਂ ਨੂੰ ਮਿਲਾਉਣਾ ਵੀ ਬਲੌਕ ਕੀਤਾ ਗਿਆ ਹੈ, ਪਰ ਇਸ ਪਾਬੰਦੀ ਦਾ ਇੱਕ ਅਪਵਾਦ ਹੈ, ਜਿਸਦਾ ਹਮਲਾਵਰ ਫਾਇਦਾ ਉਠਾਉਂਦੇ ਹਨ - ਉਸੇ ਵਰਣਮਾਲਾ ਨਾਲ ਸਬੰਧਤ ਲਾਤੀਨੀ ਅੱਖਰਾਂ ਦੇ ਸਮੂਹ ਨਾਲ ਸਬੰਧਤ ਯੂਨੀਕੋਡ ਅੱਖਰਾਂ ਨਾਲ ਮਿਲਾਉਣ ਦੀ ਆਗਿਆ ਹੈ। ਡੋਮੇਨ. ਉਦਾਹਰਨ ਲਈ, ਵਿਚਾਰ ਅਧੀਨ ਹਮਲੇ ਵਿੱਚ ਵਰਤਿਆ ਗਿਆ ਅੱਖਰ "ķ" ਲਾਤਵੀਅਨ ਵਰਣਮਾਲਾ ਦਾ ਹਿੱਸਾ ਹੈ ਅਤੇ ਲਾਤਵੀਅਨ ਭਾਸ਼ਾ ਵਿੱਚ ਡੋਮੇਨਾਂ ਲਈ ਸਵੀਕਾਰਯੋਗ ਹੈ।

Google ਵਿਗਿਆਪਨ ਨੈੱਟਵਰਕ ਦੇ ਫਿਲਟਰਾਂ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਅਤੇ ਮਾਲਵੇਅਰ ਦਾ ਪਤਾ ਲਗਾ ਸਕਣ ਵਾਲੇ ਬੋਟਾਂ ਨੂੰ ਫਿਲਟਰ ਕਰਨ ਲਈ, ਇੱਕ ਇੰਟਰਮੀਡੀਏਟ ਇੰਟਰਲੇਅਰ ਸਾਈਟ keepassstacking.site ਨੂੰ ਵਿਗਿਆਪਨ ਬਲਾਕ ਵਿੱਚ ਮੁੱਖ ਲਿੰਕ ਵਜੋਂ ਨਿਸ਼ਚਿਤ ਕੀਤਾ ਗਿਆ ਸੀ, ਜੋ ਕਿ ਕੁਝ ਖਾਸ ਮਾਪਦੰਡਾਂ ਨੂੰ ਪੂਰਾ ਕਰਨ ਵਾਲੇ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਡਮੀ ਡੋਮੇਨ ਲਈ ਰੀਡਾਇਰੈਕਟ ਕਰਦਾ ਹੈ “ķeepass ਜਾਣਕਾਰੀ"।

ਡਮੀ ਸਾਈਟ ਦੇ ਡਿਜ਼ਾਈਨ ਨੂੰ ਅਧਿਕਾਰਤ KeePass ਵੈੱਬਸਾਈਟ ਦੇ ਸਮਾਨ ਬਣਾਉਣ ਲਈ ਸਟਾਈਲਾਈਜ਼ ਕੀਤਾ ਗਿਆ ਸੀ, ਪਰ ਵਧੇਰੇ ਹਮਲਾਵਰ ਢੰਗ ਨਾਲ ਪ੍ਰੋਗਰਾਮ ਡਾਉਨਲੋਡਸ (ਅਧਿਕਾਰਤ ਵੈੱਬਸਾਈਟ ਦੀ ਮਾਨਤਾ ਅਤੇ ਸ਼ੈਲੀ ਨੂੰ ਸੁਰੱਖਿਅਤ ਰੱਖਿਆ ਗਿਆ ਸੀ) ਵਿੱਚ ਬਦਲ ਦਿੱਤਾ ਗਿਆ ਸੀ। ਵਿੰਡੋਜ਼ ਪਲੇਟਫਾਰਮ ਲਈ ਡਾਉਨਲੋਡ ਪੰਨੇ ਨੇ ਇੱਕ msix ਇੰਸਟਾਲਰ ਦੀ ਪੇਸ਼ਕਸ਼ ਕੀਤੀ ਜਿਸ ਵਿੱਚ ਖਤਰਨਾਕ ਕੋਡ ਹੈ ਜੋ ਇੱਕ ਵੈਧ ਡਿਜੀਟਲ ਦਸਤਖਤ ਦੇ ਨਾਲ ਆਇਆ ਸੀ। ਜੇਕਰ ਡਾਉਨਲੋਡ ਕੀਤੀ ਫਾਈਲ ਨੂੰ ਉਪਭੋਗਤਾ ਦੇ ਸਿਸਟਮ 'ਤੇ ਚਲਾਇਆ ਗਿਆ ਸੀ, ਤਾਂ ਇੱਕ FakeBat ਸਕ੍ਰਿਪਟ ਵੀ ਲਾਂਚ ਕੀਤੀ ਗਈ ਸੀ, ਉਪਭੋਗਤਾ ਦੇ ਸਿਸਟਮ 'ਤੇ ਹਮਲਾ ਕਰਨ ਲਈ ਇੱਕ ਬਾਹਰੀ ਸਰਵਰ ਤੋਂ ਖਤਰਨਾਕ ਭਾਗਾਂ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨਾ (ਉਦਾਹਰਨ ਲਈ, ਗੁਪਤ ਡੇਟਾ ਨੂੰ ਰੋਕਣ ਲਈ, ਇੱਕ ਬੋਟਨੈੱਟ ਨਾਲ ਜੁੜਨ ਲਈ, ਜਾਂ ਕ੍ਰਿਪਟੋ ਵਾਲਿਟ ਨੰਬਰਾਂ ਨੂੰ ਬਦਲਣਾ ਕਲਿੱਪਬੋਰਡ).

ਸਰੋਤ: opennet.ru