ਪੁਰਾਣੇ ਮੁੱਦਿਆਂ ਦੇ ਪੁਰਾਲੇਖ ਵਿੱਚ ਮਾਲਵੇਅਰ ਦੀ ਸ਼ੁਰੂਆਤ ਦੇ ਨਾਲ ਪੇਲ ਮੂਨ ਪ੍ਰੋਜੈਕਟ ਦੇ ਇੱਕ ਸਰਵਰ ਦੀ ਹੈਕਿੰਗ

ਪੇਲ ਮੂਨ ਬ੍ਰਾਊਜ਼ਰ ਦਾ ਲੇਖਕ ਨੰਗਾ archive.palemoon.org ਸਰਵਰ ਦੇ ਸਮਝੌਤਾ ਬਾਰੇ ਜਾਣਕਾਰੀ, ਜੋ ਕਿ 27.6.2 ਸੰਸਕਰਣ ਤੱਕ ਅਤੇ ਇਸ ਸਮੇਤ ਪਿਛਲੇ ਬ੍ਰਾਊਜ਼ਰ ਰੀਲੀਜ਼ਾਂ ਦਾ ਪੁਰਾਲੇਖ ਸਟੋਰ ਕਰਦਾ ਹੈ। ਹੈਕ ਦੇ ਦੌਰਾਨ, ਹਮਲਾਵਰਾਂ ਨੇ ਮਾਲਵੇਅਰ ਨਾਲ ਸਰਵਰ 'ਤੇ ਸਥਿਤ ਵਿੰਡੋਜ਼ ਲਈ ਪੇਲ ਮੂਨ ਇੰਸਟੌਲਰਾਂ ਨਾਲ ਸਾਰੀਆਂ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲਾਂ ਨੂੰ ਸੰਕਰਮਿਤ ਕਰ ਦਿੱਤਾ। ਸ਼ੁਰੂਆਤੀ ਅੰਕੜਿਆਂ ਦੇ ਅਨੁਸਾਰ, ਮਾਲਵੇਅਰ ਦਾ ਬਦਲ 27 ਦਸੰਬਰ, 2017 ਨੂੰ ਕੀਤਾ ਗਿਆ ਸੀ, ਅਤੇ ਸਿਰਫ 9 ਜੁਲਾਈ, 2019 ਨੂੰ ਖੋਜਿਆ ਗਿਆ ਸੀ, ਯਾਨੀ. ਡੇਢ ਸਾਲ ਤੱਕ ਕਿਸੇ ਦਾ ਧਿਆਨ ਨਹੀਂ ਗਿਆ।

ਸਮੱਸਿਆ ਵਾਲਾ ਸਰਵਰ ਫਿਲਹਾਲ ਜਾਂਚ ਲਈ ਔਫਲਾਈਨ ਹੈ। ਸਰਵਰ ਜਿਸ ਤੋਂ ਮੌਜੂਦਾ ਰੀਲੀਜ਼ ਵੰਡੇ ਗਏ ਸਨ
ਪੇਲ ਮੂਨ ਪ੍ਰਭਾਵਿਤ ਨਹੀਂ ਹੁੰਦਾ ਹੈ, ਸਮੱਸਿਆ ਸਿਰਫ ਪੁਰਾਲੇਖ ਤੋਂ ਸਥਾਪਿਤ ਪੁਰਾਣੇ ਵਿੰਡੋਜ਼ ਸੰਸਕਰਣਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦੀ ਹੈ (ਰਿਲੀਜ਼ਾਂ ਨੂੰ ਪੁਰਾਲੇਖ ਵਿੱਚ ਭੇਜ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ ਕਿਉਂਕਿ ਨਵੇਂ ਸੰਸਕਰਣ ਜਾਰੀ ਕੀਤੇ ਜਾਂਦੇ ਹਨ)। ਹੈਕ ਦੇ ਦੌਰਾਨ, ਸਰਵਰ ਵਿੰਡੋਜ਼ ਚਲਾ ਰਿਹਾ ਸੀ ਅਤੇ ਓਪਰੇਟਰ ਫ੍ਰਾਂਟੈਕ/ਬੁਏਵੀਐਮ ਤੋਂ ਕਿਰਾਏ 'ਤੇ ਲਈ ਇੱਕ ਵਰਚੁਅਲ ਮਸ਼ੀਨ ਵਿੱਚ ਚੱਲ ਰਿਹਾ ਸੀ। ਇਹ ਅਜੇ ਸਪੱਸ਼ਟ ਨਹੀਂ ਹੈ ਕਿ ਕਿਸ ਕਿਸਮ ਦੀ ਕਮਜ਼ੋਰੀ ਦਾ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਗਿਆ ਸੀ ਅਤੇ ਕੀ ਇਹ ਵਿੰਡੋਜ਼ ਲਈ ਵਿਸ਼ੇਸ਼ ਸੀ ਜਾਂ ਕੁਝ ਚੱਲ ਰਹੀਆਂ ਤੀਜੀ-ਧਿਰ ਸਰਵਰ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕੀਤਾ ਗਿਆ ਸੀ।

ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਹਮਲਾਵਰਾਂ ਨੇ ਟਰੋਜਨ ਸੌਫਟਵੇਅਰ ਨਾਲ ਪੇਲ ਮੂਨ (ਸਥਾਪਤ ਕਰਨ ਵਾਲੇ ਅਤੇ ਸਵੈ-ਐਕਸਟਰੈਕਟਿੰਗ ਆਰਕਾਈਵਜ਼) ਨਾਲ ਜੁੜੀਆਂ ਸਾਰੀਆਂ exe ਫਾਈਲਾਂ ਨੂੰ ਚੋਣਵੇਂ ਰੂਪ ਵਿੱਚ ਸੰਕਰਮਿਤ ਕੀਤਾ। Win32/ClipBanker.DY, ਜਿਸਦਾ ਉਦੇਸ਼ ਕਲਿੱਪਬੋਰਡ 'ਤੇ ਬਿਟਕੋਇਨ ਪਤਿਆਂ ਨੂੰ ਬਦਲ ਕੇ ਕ੍ਰਿਪਟੋਕੁਰੰਸੀ ਚੋਰੀ ਕਰਨਾ ਹੈ। ਜ਼ਿਪ ਆਰਕਾਈਵਜ਼ ਦੇ ਅੰਦਰ ਚੱਲਣਯੋਗ ਫਾਈਲਾਂ ਪ੍ਰਭਾਵਿਤ ਨਹੀਂ ਹੁੰਦੀਆਂ ਹਨ। ਇੰਸਟਾਲਰ ਵਿੱਚ ਤਬਦੀਲੀਆਂ ਨੂੰ ਉਪਭੋਗਤਾ ਦੁਆਰਾ ਫਾਈਲਾਂ ਨਾਲ ਜੁੜੇ ਡਿਜੀਟਲ ਦਸਤਖਤਾਂ ਜਾਂ SHA256 ਹੈਸ਼ਾਂ ਦੀ ਜਾਂਚ ਕਰਕੇ ਖੋਜਿਆ ਜਾ ਸਕਦਾ ਹੈ। ਵਰਤਿਆ ਮਾਲਵੇਅਰ ਵੀ ਸਫਲ ਹੈ ਪ੍ਰਗਟ ਹੁੰਦਾ ਹੈ ਸਭ ਤੋਂ ਮੌਜੂਦਾ ਐਂਟੀਵਾਇਰਸ।

26 ਮਈ, 2019 ਨੂੰ, ਹਮਲਾਵਰਾਂ ਦੇ ਸਰਵਰ 'ਤੇ ਗਤੀਵਿਧੀ ਦੇ ਦੌਰਾਨ (ਇਹ ਸਪੱਸ਼ਟ ਨਹੀਂ ਹੈ ਕਿ ਇਹ ਉਹੀ ਹਮਲਾਵਰ ਸਨ ਜਿਵੇਂ ਕਿ ਪਹਿਲੇ ਹੈਕ ਵਿੱਚ ਜਾਂ ਹੋਰ), archive.palemoon.org ਦਾ ਆਮ ਸੰਚਾਲਨ ਵਿਘਨ ਪਿਆ - ਹੋਸਟ ਅਸਮਰੱਥ ਸੀ ਰੀਬੂਟ ਕਰਨ ਲਈ, ਅਤੇ ਡਾਟਾ ਖਰਾਬ ਹੋ ਗਿਆ ਸੀ। ਇਸ ਵਿੱਚ ਸਿਸਟਮ ਲੌਗਸ ਦਾ ਨੁਕਸਾਨ ਸ਼ਾਮਲ ਹੈ, ਜਿਸ ਵਿੱਚ ਹਮਲੇ ਦੀ ਪ੍ਰਕਿਰਤੀ ਨੂੰ ਦਰਸਾਉਣ ਵਾਲੇ ਵਧੇਰੇ ਵਿਸਤ੍ਰਿਤ ਟਰੇਸ ਸ਼ਾਮਲ ਹੋ ਸਕਦੇ ਸਨ। ਇਸ ਅਸਫਲਤਾ ਦੇ ਸਮੇਂ, ਪ੍ਰਸ਼ਾਸਕ ਸਮਝੌਤਾ ਤੋਂ ਅਣਜਾਣ ਸਨ ਅਤੇ ਇੱਕ ਨਵੇਂ CentOS-ਅਧਾਰਿਤ ਵਾਤਾਵਰਣ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਅਤੇ HTTP ਨਾਲ FTP ਡਾਉਨਲੋਡਸ ਨੂੰ ਬਦਲਦੇ ਹੋਏ ਆਰਕਾਈਵ ਨੂੰ ਮੁੜ ਬਹਾਲ ਕੀਤਾ. ਕਿਉਂਕਿ ਘਟਨਾ ਦਾ ਧਿਆਨ ਨਹੀਂ ਦਿੱਤਾ ਗਿਆ ਸੀ, ਬੈਕਅੱਪ ਤੋਂ ਫਾਈਲਾਂ ਜੋ ਪਹਿਲਾਂ ਹੀ ਸੰਕਰਮਿਤ ਸਨ, ਨੂੰ ਨਵੇਂ ਸਰਵਰ ਤੇ ਟ੍ਰਾਂਸਫਰ ਕੀਤਾ ਗਿਆ ਸੀ.

ਸਮਝੌਤਾ ਦੇ ਸੰਭਾਵਿਤ ਕਾਰਨਾਂ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਦੇ ਹੋਏ, ਇਹ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ ਕਿ ਹਮਲਾਵਰਾਂ ਨੇ ਹੋਸਟਿੰਗ ਸਟਾਫ ਖਾਤੇ ਦੇ ਪਾਸਵਰਡ ਦਾ ਅਨੁਮਾਨ ਲਗਾ ਕੇ, ਸਰਵਰ ਤੱਕ ਸਿੱਧੀ ਸਰੀਰਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ, ਹੋਰ ਵਰਚੁਅਲ ਮਸ਼ੀਨਾਂ 'ਤੇ ਨਿਯੰਤਰਣ ਪਾਉਣ ਲਈ ਹਾਈਪਰਵਾਈਜ਼ਰ 'ਤੇ ਹਮਲਾ ਕਰਕੇ, ਵੈਬ ਕੰਟਰੋਲ ਪੈਨਲ ਨੂੰ ਹੈਕ ਕਰਕੇ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕੀਤੀ। , ਇੱਕ ਰਿਮੋਟ ਡੈਸਕਟੌਪ ਸੈਸ਼ਨ ਨੂੰ ਰੋਕਣਾ (RDP ਪ੍ਰੋਟੋਕੋਲ ਵਰਤਿਆ ਗਿਆ ਸੀ) ਜਾਂ ਵਿੰਡੋਜ਼ ਸਰਵਰ ਵਿੱਚ ਇੱਕ ਕਮਜ਼ੋਰੀ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਕੇ। ਮੌਜੂਦਾ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲਾਂ ਨੂੰ ਬਾਹਰੋਂ ਮੁੜ-ਡਾਊਨਲੋਡ ਕਰਨ ਦੀ ਬਜਾਏ, ਇੱਕ ਸਕ੍ਰਿਪਟ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਸਰਵਰ 'ਤੇ ਸਥਾਨਕ ਤੌਰ 'ਤੇ ਖਤਰਨਾਕ ਕਾਰਵਾਈਆਂ ਕੀਤੀਆਂ ਗਈਆਂ ਸਨ।

ਪ੍ਰੋਜੈਕਟ ਦੇ ਲੇਖਕ ਦਾ ਦਾਅਵਾ ਹੈ ਕਿ ਸਿਰਫ਼ ਉਸ ਕੋਲ ਸਿਸਟਮ ਤੱਕ ਪ੍ਰਸ਼ਾਸਕ ਪਹੁੰਚ ਸੀ, ਪਹੁੰਚ ਇੱਕ IP ਪਤੇ ਤੱਕ ਸੀਮਿਤ ਸੀ, ਅਤੇ ਅੰਡਰਲਾਈੰਗ ਵਿੰਡੋਜ਼ OS ਨੂੰ ਅੱਪਡੇਟ ਕੀਤਾ ਗਿਆ ਸੀ ਅਤੇ ਬਾਹਰੀ ਹਮਲਿਆਂ ਤੋਂ ਸੁਰੱਖਿਅਤ ਕੀਤਾ ਗਿਆ ਸੀ। ਉਸੇ ਸਮੇਂ, ਰਿਮੋਟ ਐਕਸੈਸ ਲਈ RDP ਅਤੇ FTP ਪ੍ਰੋਟੋਕੋਲ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਗਈ ਸੀ, ਅਤੇ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਅਸੁਰੱਖਿਅਤ ਸੌਫਟਵੇਅਰ ਨੂੰ ਵਰਚੁਅਲ ਮਸ਼ੀਨ 'ਤੇ ਲਾਂਚ ਕੀਤਾ ਗਿਆ ਸੀ, ਜੋ ਹੈਕਿੰਗ ਦਾ ਕਾਰਨ ਬਣ ਸਕਦਾ ਹੈ। ਹਾਲਾਂਕਿ, ਪੇਲ ਮੂਨ ਦੇ ਲੇਖਕ ਦਾ ਮੰਨਣਾ ਹੈ ਕਿ ਹੈਕ ਪ੍ਰਦਾਤਾ ਦੇ ਵਰਚੁਅਲ ਮਸ਼ੀਨ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੀ ਨਾਕਾਫ਼ੀ ਸੁਰੱਖਿਆ ਕਾਰਨ ਕੀਤਾ ਗਿਆ ਸੀ (ਉਦਾਹਰਨ ਲਈ, ਇੱਕ ਸਮੇਂ, ਸਟੈਂਡਰਡ ਵਰਚੁਅਲਾਈਜੇਸ਼ਨ ਪ੍ਰਬੰਧਨ ਇੰਟਰਫੇਸ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਇੱਕ ਅਸੁਰੱਖਿਅਤ ਪ੍ਰਦਾਤਾ ਪਾਸਵਰਡ ਦੀ ਚੋਣ ਦੁਆਰਾ ਸੀ ਹੈਕ ਕੀਤਾ OpenSSL ਵੈੱਬਸਾਈਟ)।

ਸਰੋਤ: opennet.ru