ऐसा खतरनाक इंटरनेट एक्सप्लोरर ...

हमारे देश में असली पत्ती की गिरावट अभी तक शुरू नहीं हुई है, और शरद ऋतु के पत्तों की तरह शून्य-शून्य कमजोरियों की बौछार हुई है। पिछले 0-दिन भेद्यता (जावा एसई 7 में) को पहचानने में कितना समय बीत गया है - तीन सप्ताह से कम? और अब एक नया और कोई कम दिलचस्प भेद्यता विंडोज ओएस के सभी संस्करणों पर - माइक्रोसॉफ्ट इंटरनेट एक्सप्लोरर के सभी संस्करणों में (6 से 9 तक) मनमाने कोड का दूरस्थ निष्पादन है - 98 से 7 तक।

सामान्य शब्दों में, यह पहले ही इस पोस्ट में वर्णित किया गया है। मैं इस बारे में अधिक विस्तार से बात करूंगा कि शोषण कैसे काम करता है, इसके स्रोत क्या हैं, और इस सब पर क्या करना है, इस पर अपनी राय साझा करें ...

सी एंड सी-सर्वर के काम का अध्ययन करते हुए एक नई भेद्यता का खुलासा किया गया था, जिसमें से जावा एसई 7 भेद्यता पर हमला किया गया था। उनमें से एक (223.25.233.244) जुलाई-सितंबर 2011 में रासायनिक उद्योग पर चीनी नाइट्रो समूह द्वारा हमले के समय से जाना जाता था। बौद्धिक मूल्यों की चोरी - सूत्र, रासायनिक प्रक्रियाओं का वर्णन, आदि। भविष्य में, उन्होंने अन्य हमलों में भाग लिया। शोधकर्ता नाइट्रो समूह द्वारा उपयोग किए जाने वाले कई संक्रमित सर्वरों में भी रुचि रखते थे। 14 सितंबर को, उनमें से एक पर, इटली में, एक नया फ़ोल्डर निम्नलिखित सामग्रियों के साथ दिखाई दिया:



हमने एडोब फ्लैश (11,4,402,265) के नवीनतम संस्करण के साथ पूरी तरह से अपडेट किए गए माइक्रोसॉफ्ट विंडोज एक्सपी एसपी 3 सर्वर पर इन फाइलों का परीक्षण किया। एक आश्चर्य के रूप में, परीक्षण कंप्यूटर पर अपलोड की गई अतिरिक्त फ़ाइलों की खोज की गई थी। VirusTotal संसाधन पर अध्ययन के तहत फाइलों को स्कैन करने से शून्य परिणाम मिले - न कि उनमें से किसी भी एंटीवायरस मान्यता प्राप्त दुर्भावनापूर्ण कोड को।

विश्लेषण से पता चला कि शोषण में 4 मुख्य घटक होते हैं:

1. फ़ाइल "Exploit.html" - शोषक की प्रारंभिक बिंदु और प्रारंभिक तैयारी। भेद्यता के दोहन के लिए आवश्यक परिस्थितियाँ बनाने के बाद, यह फ़्लैश फाइल “Moh2010.swf” लॉन्च करता है।
Symantec इस प्रक्रिया को Bloodhound.Exploit.474 के रूप में पहचानता है

2. "Moh2010.swf" निष्पादन योग्य कोड के छिपे हुए लोडिंग के लिए जिम्मेदार है। दुर्भावनापूर्ण कोड डाउनलोड करने के बाद, यह iFrame में Protect.html फ़ाइल लॉन्च करता है जो भेद्यता को खोलता है।
Symantec इस प्रक्रिया को Trojan.Swifi के रूप में पहचानता है।

3. फ़ाइल "Protect.html" इस भेद्यता का प्रारंभिक ट्रिगर है, यह "Moh2010.swf" का उपयोग करके डाउनलोड किए गए दुर्भावनापूर्ण कोड के निष्पादन के लिए जिम्मेदार है।
Symantec इस प्रक्रिया को Bloodhound.Exploit.474 के रूप में भी पता लगाता है।

4. डाउनलोड किया गया दुर्भावनापूर्ण कोड अतिरिक्त दुर्भावनापूर्ण प्रोग्रामों को पंप करता है और उन्हें एक समझौता प्रणाली पर चलाता है।
Symantec इन मैलवेयर का पता लगाता है जैसे Trojan.Dropper और Backdoor.Darkmoon।

इस प्रकार, यह पता चला कि Microsoft Internet Explorer में एक भेद्यता होती है जो उपयोगकर्ता अधिकारों के संदर्भ में किसी उपयोगकर्ता के कंप्यूटर पर दूरस्थ रूप से मनमाने कोड को निष्पादित करने की अनुमति दे सकती है, जो निर्माता, Microsoft द्वारा पहले ही पुष्टि की जा चुकी है।

और अब क्या करना है? घबराहट करने के लिए, और जर्मन सरकार IE का उपयोग कैसे रोकती है? फिर इस तथ्य पर ध्यान दें कि एक 0-दिन भेद्यता एक और, एक ही आपराधिक समूह के हाथों में, इसके बाद पैदा हुई थी। और इस तथ्य से नहीं कि कुछ और दिखाई नहीं देगा। और जरूरी नहीं कि इंटरनेट ब्राउजर के लिए भी हो। मुझे लगता है कि एक के बाद एक सॉफ्टवेयर उत्पाद को छोड़कर, हम एक सुरक्षित कंप्यूटिंग वातावरण में नहीं आएंगे, जब तक हम खातों पर स्विच नहीं करते हैं।

इसके विपरीत, मैं उचित लोगों का प्रस्ताव रखता हूं और सर्वोत्तम प्रथाओं पर भरोसा करता हूं:

• इंटरनेट के साथ काम करने के लिए न्यूनतम आवश्यक अधिकारों के साथ एक विशेष खाते का उपयोग करें;
• रिलीज़ किए गए सॉफ़्टवेयर अद्यतन स्थापित करना सुनिश्चित करें और
• हमेशा सुरक्षात्मक उपकरण अप टू डेट रखें।

इंटरनेट पर शुभकामनाएँ!

एंड्रे ज़ेरेनकोव, सिमेंटेक रूस