क्या मैं अपनी आंखों पर विश्वास कर सकता हूं? (फाइल नामों में यूनिकोड)

कुछ दिनों पहले, हमारे उपयोगकर्ताओं में से एक ने एक नमूना भेजा (SHA1: fbe71968d4c5399c2906b56d9feadf19a35beb97, ट्रोजनडॉपर के रूप में परिभाषित : Win32 / Vundo.L )। यह vk.com और vkontakte.ru से फ़िशिंग ट्रोजन है, जिसके लिए अनुरोधों को असामान्य तरीके से 92.38.209.252 पर पुनर्निर्देशित किया गया है।

ट्रैफ़िक को पुनर्निर्देशित करने की सामान्य विधि होस्ट फ़ाइल में एक प्रविष्टि जोड़ना है, जो % SystemRoot% \ system32 \ driver \ etc फ़ोल्डर में स्थित है । हालाँकि, जब हम एक संक्रमित कंप्यूटर पर इस फ़ाइल को खोलते हैं, तो vk.com और vkontakte.ru के लिए कोई प्रविष्टियाँ नहीं हैं:



लेकिन यदि आप छिपी हुई फ़ाइलों के प्रदर्शन को सक्षम करते हैं, तो एक अन्य होस्ट फ़ाइल दिखाई देती है:



हम एक फ़ोल्डर में एक ही नाम से दो फाइलें देखते हैं। लेकिन आखिरकार, एक निर्देशिका में एक ही नाम वाली दो फाइलें नहीं हो सकती हैं। यदि आप फ़ाइल नामों को नोटपैड में कॉपी करते हैं, तो इसे यूनिकोड टेक्स्ट के रूप में सहेजें और हेक्स संपादक में खोलें, निम्न चित्र दिखाई देगा (पहली मेजबानों के लिए शीर्ष पंक्ति, दूसरी के लिए नीचे की रेखा):



यूनिकोड (UTF-16) में, वर्ण 0x006F ASCII में 0x6F के समान दिखता है, जहाँ यह "o" अक्षर से मेल खाता है। लेकिन यूनिकोड में 0x043E क्या है? इसे यूनिकोड तालिका में देखा जा सकता है, यहां इसका एक टुकड़ा है।



तालिका में, 0x043E एक सिरिलिक वर्ण से मेल खाती है जो अंग्रेजी "ओ" के समान दिखता है। यही है, वास्तविक होस्ट फ़ाइल वास्तव में एक छिपी हुई फ़ाइल है, इसका उपयोग ऑपरेटिंग सिस्टम द्वारा किया जाता है। यदि आप इस फ़ाइल को खोलते हैं, तो आप तुरंत नकली से अंतर देख सकते हैं, ये शुरुआत में कुछ स्क्रीन के नीचे दो लाइनें हैं:



पहेली हल हो गई है।

यह पहली बार नहीं है कि हमने दुर्भावनापूर्ण उद्देश्यों के लिए यूनिकोड एन्कोडिंग का उपयोग करके हैकर्स की खोज की है। अगस्त 2010 में, एक चीनी हैकर ने फाइल सुरक्षा के उपयोगकर्ताओं को समझाने के लिए यूनिकोड नियंत्रण वर्णों का उपयोग करने का तरीका प्रदर्शित किया। 0x202E (RLO) नियंत्रण वर्ण का उपयोग करते हुए, आप Windows Explorer में फ़ाइल नाम प्रदर्शित करते समय वर्ण क्रम बदल सकते हैं।

उदाहरण के लिए, यहां एक संभावित खतरनाक picgpj.exe फ़ाइल है



यदि आप नाम के "gpj.exe" भाग के सामने एक नियंत्रण वर्ण सम्मिलित करते हैं, तो वर्ण क्रम बदलता है और फ़ाइल नाम एक्सप्लोरर में अलग तरीके से प्रदर्शित होता है:



हैकर्स आमतौर पर इस फाइल के लिए एक आइकन के रूप में एक तस्वीर का उपयोग करते हैं। एक लापरवाह उपयोगकर्ता इसे फोटो के लिए ले जा सकता है और इसे डबल क्लिक के साथ खोल सकता है, जिससे प्रोग्राम लॉन्च हो सकता है। जाहिर है, यूनिकोड समर्थन वाले कार्यक्रमों के लिए यह तकनीक बेकार है, लेकिन उपयोगकर्ता हमेशा खुद को खतरे को पहचान नहीं सकते हैं।

क्या मैं अपनी आंखों पर विश्वास कर सकता हूं? यह पता चला है कि हमेशा नहीं।