एक बोतल में आठ दिन की भेद्यता, और यह सब नहीं है।

हमारे विशेषज्ञ एक साइबर क्रिमिनल समूह की राह पर चले गए, जिसने एल्डरवुड प्रोजेक्ट नामक गतिविधि के एक हिस्से के रूप में बड़े पैमाने पर लक्षित हमले किए।

पहली बार इस समूह ने 2009 में हमारे विश्लेषकों का ध्यान आकर्षित किया, जो कि हाइड्रैक (अरोरा) ट्रोजन कार्यक्रम का उपयोग करके Google और अन्य संगठनों पर हमला कर रहा था।



पिछले तीन वर्षों में, इसके हमलों को उद्योग के विभिन्न क्षेत्रों के साथ-साथ गैर-सरकारी संगठनों में उद्यमों पर निर्देशित किया गया है। पीड़ितों में मुख्य रूप से संयुक्त राज्य अमेरिका और कनाडा, साथ ही चीन, हांगकांग, ऑस्ट्रेलिया और साथ ही कुछ यूरोपीय और एशियाई देशों की कंपनियां थीं। हाल के हमले हथियारों के घटकों और रक्षा प्रणालियों का उत्पादन करने वाले उद्यमों की ओर हमलावरों के हित में बदलाव को प्रदर्शित करते हैं। इसके अलावा, मुख्य कार्य परिदृश्यों में से एक भागीदार संगठनों में से एक के माध्यम से प्रवेश कर रहा है जो आपूर्ति श्रृंखला का हिस्सा है।



हमलावर बड़ी संख्या में शून्य-दिन की कमजोरियों का फायदा उठाते हैं और हमलों को व्यवस्थित करने और दुर्भावनापूर्ण कोड बनाने के लिए एक व्यवस्थित दृष्टिकोण का उपयोग करते हैं। हमने "एल्डरवुड प्लेटफॉर्म" (उनके शस्त्रागार से एक कारनामे के बाद) नामक एक मंच के घटकों के उनके बार-बार उपयोग का दस्तावेजीकरण किया है, जो शून्य-दिन की कमजोरियों के लिए त्वरित कारनामे प्रदान करता है। इस तरह के किए गए हमलों की कार्यप्रणाली में आमतौर पर फ़िशिंग ईमेल का उपयोग शामिल होता है, लेकिन अब उन्हें "वॉटरिंग होल" वर्ग के हमलों के साथ पूरक किया जाता है - पीड़ितों द्वारा दौरा की जाने वाली वेबसाइटों का एक समझौता।

तथ्यों की तुलना करते हुए, हमारे विश्लेषक इस निष्कर्ष पर पहुंचे कि एक निश्चित समूह शून्य-दिन की कमजोरियों का उपयोग करता है और लगता है कि उनके बारे में जानकारी तक असीमित पहुंच है। हैकर्स उन पीड़ितों के कंप्यूटरों से जानकारी चुराते हैं, जिन्हें वे अक्सर उन साइटों के माध्यम से ट्रोजन प्रोग्राम से संक्रमित करते हैं। स्कैमर्स का मुख्य लक्ष्य रक्षा उद्योग कंपनियों की आंतरिक जानकारी है।

जैसा कि आप जानते हैं, गंभीर शून्य-दिन की कमजोरियां जो व्यापक रूप से उपयोग किए जाने वाले सॉफ़्टवेयर घटकों के लिए अनधिकृत पहुंच प्रदान करती हैं, वे सार्वजनिक डोमेन में बहुत कम पाए जाते हैं। उदाहरण के लिए, शायद सबसे व्यापक रूप से ज्ञात स्टक्सनेट परियोजना के ढांचे में, उनमें से केवल चार का उपयोग किया गया था। हालांकि, एल्डरवुड प्रोजेक्ट के ढांचे के भीतर, उन्हें पहले से ही दो बार ज्यादा से ज्यादा इस्तेमाल किया जाता है - आठ। और किसी अन्य समूह ने कभी भी ऐसा कुछ भी नहीं दिखाया है। इतने सारे शोषण को शून्य-दिन की कमजोरियों पर लागू करना प्रशिक्षण के एक उच्च स्तर को इंगित करता है - ऐसी कमजोरियों की पहचान करने के लिए, हैकर्स को कई व्यापक रूप से उपयोग किए जाने वाले सॉफ़्टवेयर अनुप्रयोगों के स्रोत कोड तक पहुंचना या उन्हें अपघटित करना था, जिसके लिए बहुत, बहुत गंभीर संसाधनों की आवश्यकता होती है। ऐसा लगता है कि समूहीकरण में शून्य-दिन की कमजोरियों की लगभग असीमित संख्या है। कमजोरियों का उपयोग मांग पर किया जाता है - एक के बाद एक, और अक्सर एक दूसरे को बदल देता है यदि पिछले वाला पहले से ही बंद है।

दर्ज हमलों के मुख्य उद्देश्य रक्षा उद्योग उद्यमों की आपूर्ति श्रृंखला से संगठन थे, मुख्य रूप से प्रमुख रक्षा उद्योग उद्यम। समूह उन कंपनियों में रुचि रखता है जो हथियारों और प्रणालियों के इलेक्ट्रॉनिक या यांत्रिक घटकों का उत्पादन करते हैं, जिन्हें प्रमुख रक्षा निगमों को बेचा जाता है। हमलावरों, जाहिरा तौर पर, ऐसे निर्माताओं के लिए सुरक्षा के निचले स्तर पर भरोसा करते हैं, और अग्रणी आपूर्तिकर्ताओं द्वारा घटकों या बड़े उत्पादों के उत्पादन के लिए बौद्धिक संपदा की ओर जाने वाली सीढ़ियों पर कदम के रूप में उनका उपयोग करते हैं। नीचे दिया गया चित्र विभिन्न क्षेत्रों के वितरण को दर्शाता है जो रक्षा उद्योग के लिए आपूर्ति श्रृंखला बनाते हैं।


"एल्डरवुड" समूह के हमलों के वैक्टरों में से एक तथाकथित "वॉटरिंग होल" साइटों का उपयोग है, जो हमलावरों द्वारा उपयोग किए जाने वाले तरीकों में एक अस्पष्ट परिवर्तन को दर्शाता है। इस मामले में हमले की अवधारणा रेगिस्तान के बीच में एक नखलिस्तान में अपने शिकार की प्रतीक्षा कर रहे एक शिकारी की कार्रवाई के समान है। वह जानता है कि पीड़ित, जल्दी या बाद में, पानी वाले स्थान पर आ जाएगा, और वह इंतजार कर रहा है, बजाय सक्रिय रूप से शिकार करने के। हमलावर भी उसी तरह से कार्य करते हैं - वे उन वेबसाइटों की पहचान करते हैं जो विशिष्ट लोगों द्वारा देखी जाती हैं, जो उनमें रुचि रखते हैं, उन्हें हैक करते हैं और उन पन्नों पर शोषण करते हैं जो पीड़ित को अवश्य देखने चाहिए। किसी भी साइट आगंतुक कार्यान्वित कारनामों से प्रभावित होंगे, और यदि उनके कंप्यूटर को उनके द्वारा हैक किया जाता है, तो उस पर एक ट्रोजन स्थापित किया जाएगा।

तथ्य और आंकड़े:

• 8 शून्य दिन भेद्यता
• 2 अनुप्रयोगों पर हमला किया - इंटरनेट एक्सप्लोरर और एडोब फ्लैश प्लेयर
• 2 मुख्य हमले के तरीके - फ़िशिंग ईमेल और पानी का छेद
• संभावित उद्देश्य: बौद्धिक संपदा की चोरी या व्यापार रहस्य, योजनाओं की टोह, संपर्क, बुनियादी ढांचे की जानकारी, आगे के हमलों के लिए विश्लेषण
• संदिग्ध: (1) एक बड़ी अच्छी तरह से वित्त पोषित आपराधिक गिरोह, (2) एक समूह जिसके पीछे राज्य खड़ा है, (3) राज्य
• हमलों का मुख्य भूगोल: संयुक्त राज्य अमेरिका - 72%, कनाडा - 9%, चीन - 6%, ऑस्ट्रेलिया - 3%, हांगकांग - 3%, बाकी - कम
• अनुशंसित सुरक्षा: फ़ाइल स्तर पर - एंटीवायरस, नेटवर्क स्तर पर - घुसपैठ के खिलाफ सुरक्षा। उन्नत प्रतिष्ठा प्रौद्योगिकी और सोनार

0-दिन का सारांश:


पूर्ण सिमेंटेक रिपोर्ट " एल्डरवुड प्रोजेक्ट " में विवरण और तकनीकी विवरण