रेड अक्टूबर एक्सपोजर टेक्नोलॉजी

Kaspersky Lab के विशेषज्ञों द्वारा एक और वैश्विक साइबर खतरे की खोज की गई है । इस बार हम एक लक्षित हमले के बारे में बात कर रहे हैं, या राजनयिक और राज्य संरचनाओं, अनुसंधान संस्थानों, औद्योगिक कंपनियों और विभिन्न देशों के सैन्य विभागों के खिलाफ साइबर जासूसी का एक व्यापक नेटवर्क।

यह घटना रेड अक्टूबर की एक जांच से पहले हुई थी, जो अक्टूबर 2012 में शुरू हुई थी, जब हमारे एक साथी के अनुरोध पर, हमने उस समय के अज्ञात दुर्भावनापूर्ण कोड के हमले और दुर्भावनापूर्ण मॉड्यूल का विश्लेषण किया था। इससे हमें अभियान के सही आकार को निर्धारित करने में मदद मिली, जो कि, जैसा कि यह निकला, दुनिया के लगभग 20 देशों को कवर करता है।

जांच में पहले से ज्ञात कमजोरियों के लिए कम से कम चार अलग-अलग कारनामों के उपयोग का पता चला: CVE-2009-3129 (MS Excel), CVE-2010-3333 (MS Word) और CVE-2012-0158 (MS Word), CVE-2011-3544 (Java) )। लक्षित फ़िशिंग हमलों के दौरान भेजे गए दस्तावेज़ों में एक्सप्लॉइट्स का उपयोग किया जाता है। ऐसी फ़ाइल खोलने के बाद, दुर्भावनापूर्ण कोड का मुख्य मॉड्यूल लोड किया जाता है, जो सिस्टम में 'प्रवेश बिंदु' के रूप में कार्य करता है और आपको हमले के अगले चरणों के लिए अतिरिक्त मॉड्यूल डाउनलोड करने की अनुमति देता है।

आज तक, हमने मॉड्यूल के 30 विभिन्न समूहों से संबंधित 1000 दुर्भावनापूर्ण फ़ाइलों की पहचान की है। इन सभी को 2007 से 2013 की शुरुआत की अवधि में बनाया गया था, और सबसे हाल ही में 8 जनवरी 2013 को दिनांकित किया गया है।
अब विंडोज के तहत मोबाइल सहित हमारे एंटी-वायरस उत्पाद, Backdoor.Win32.Sputnik जैसे हस्ताक्षर वाले इस मैलवेयर की फ़ाइलों का पता लगाते हैं। और ट्रोजन- Dropper.MSWord.Agent.ga, Exploit.MSWord.CVE-2010-3333.bw, Exploit.Win32.CVE-2012-0158.j और Exploit.Java.CVE-2011-3544.l जैसे शोषणवादी तरीके से शोषण करता है। । ह्यूरिस्टिक डिटेक्शन एक ऐसी तकनीक है जो एक हस्ताक्षर को कई दुर्भावनापूर्ण फ़ाइलों का पता लगाने की अनुमति देती है, जिसमें मैलवेयर के पहले के अज्ञात संशोधन भी शामिल हैं, साथ ही साथ एंटी-वायरस डेटाबेस के आकार का पता लगाने और कम करने की गुणवत्ता में सुधार करता है।

सवाल बेहद दिलचस्प है: क्या अक्टूबर से पहले इस दुर्भावनापूर्ण कोड का पता चला था?

Kaspersky Security Network (KSN) के डेटा के अनुसार, Red October की कुछ दुर्भावनापूर्ण फ़ाइलें अक्टूबर 2012 तक हमारे उत्पादों द्वारा पहले ही अवरुद्ध कर दी गईं थीं। अवयव (dll, exe) उन हस्ताक्षरों द्वारा अवरुद्ध किए गए थे जिन्हें हमने अपने मानक स्रोतों (KSN, वायरस संग्रह) से प्राप्त फ़ाइलों पर रखा था, मेल, आदि)। उदाहरणों के नाम दिए गए थे, उदाहरण के लिए: Trojan.Win32.Monzat.ac, Trojan.Win32.Genome.afykf, Trojan.Win32.Agent2.fhqq, Net-Worm.Win32.Kolab.baih।

हमले के विश्लेषण ने हमें मौजूदा ज्ञान को व्यवस्थित करने, लापता जानकारी को इकट्ठा करने और एक नाम के तहत दुर्भावनापूर्ण फ़ाइलों के मौजूदा और नए उदाहरणों को संयोजित करने की अनुमति दी: Backdoor.Win32.Sputnik।
पीडीपी: एक्सप्लॉइट.इन 32.Generic नाम से ऑटोमैटिक एक्सप्लॉइट प्रिवेंशन (AEP) तकनीक द्वारा जिन कारनामों को संक्रमित किया जाता था, उन्हें ब्लॉक कर दिया गया था, जो कि हमारे विश्लेषकों द्वारा विशेष रूप से पहचाने जाने तक सभी प्रकार के कारनामों के लिए आम है। AER प्रौद्योगिकी का प्रोटोटाइप Kaspersky Internet Security 2012 और Kaspersky Endpoint Security 8 में लागू किया गया था, और पूर्ण संस्करण Kaspersky Internet Security 2013 और Kaspersky Endpoint Security 10 में शामिल है।
यह समझने के लिए कि स्वचालित शोषण निवारण ने इन खतरों का पता कैसे लगाया, आइए देखें कि तकनीक कैसे काम करती है।

स्वचालित शोषण निवारण प्रौद्योगिकी

ऑटोमैटिक एक्सप्लॉइट प्रिवेंशन (AEP) प्रौद्योगिकियों का एक व्यापक समूह है, जो विभिन्न कार्यक्रमों और ऑपरेटिंग सिस्टम में शोषण को कम करने से शोषण को रोकता है। एईपी दुर्भावनापूर्ण व्यवहार के विकास को भी रोकता है अगर शोषण अभी भी काम करता है।

प्रौद्योगिकी शोषण के व्यवहार के विश्लेषण पर आधारित है, साथ ही उन अनुप्रयोगों के बारे में जानकारी है जो हमलावरों द्वारा सबसे अधिक बार हमला किया जाता है, जैसे कि एडोब एक्रोबेट, जावा, विंडोज घटकों, इंटरनेट एक्सपीरियर और अन्य। ऐसे कार्यक्रमों के लिए विशेष कार्यक्रम स्थापित किए जाते हैं - जैसे ही उनमें से एक संदिग्ध प्रोग्राम कोड चलाने की कोशिश करता है, प्रक्रिया बाधित होती है और सत्यापन शुरू होता है।



अंजीर। 1 ऑटोमैटिक एक्सप्लॉइट प्रिवेंशन कैसे काम करता है

अक्सर, सिस्टम को सीधे संक्रमित करने से पहले शोषण करता है फाइलों को लोड करता है। एईपी नेटवर्क पर कार्यक्रमों तक पहुंच की निगरानी करता है और फाइलों के स्रोत का विश्लेषण करता है। प्रौद्योगिकी भी उपयोगकर्ता की भागीदारी के साथ बनाई गई फ़ाइलों और नए, अनधिकृत के बीच अंतर कर सकती है। तदनुसार, एक संदिग्ध स्रोत से डाउनलोड की गई फ़ाइल को चलाने का प्रयास और उपयोगकर्ता के ज्ञान के बिना भी अवरुद्ध हो जाएगा।

AEP में प्रयुक्त एक अन्य विधि एड्रेस स्पेस लेआउट रैंडमाइजेशन (ASLR) तकनीक पर आधारित है। ऐसी तकनीक के लिए समर्थन विंडोज ऑपरेटिंग सिस्टम (विस्टा के साथ शुरू) में बनाया गया है और पता स्थान में कुंजी डेटा (उदाहरण के लिए, सिस्टम लाइब्रेरी) का यादृच्छिक स्थान सुनिश्चित करता है, जो साइबर अपराधियों द्वारा कुछ कमजोरियों के उपयोग को बहुत जटिल करता है। प्रौद्योगिकी उपयोगकर्ता को जबरन पता स्थान लेआउट रैंडमाइजेशन फ़ंक्शन प्रदान करती है, जो समान संचालन करता है और उन मामलों में काम करने में सक्षम होता है जहां विंडोज में एक समान प्रणाली शक्तिहीन होती है। विशेष रूप से, मजबूर एएसएलआर विंडोज एक्सपी में भी काम कर सकता है।

AEP के लिए उपयोगकर्ता के कंप्यूटर पर होने वाली घटनाओं के बारे में जानकारी का आपूर्तिकर्ता सिस्टम वॉचर घटक है, जो KAV, KIS, Pure, Endpoint 10 का हिस्सा है। सिस्टम वॉकर वास्तविक समय में कंप्यूटर पर स्थापित सभी कार्यक्रमों और सिस्टम सेवाओं के कार्यों का विश्लेषण करता है और संदिग्ध के मामले में। गतिविधि ब्लॉक निष्पादन। वह तथाकथित बीएसएस-टेम्प्लेट (व्यवहार स्ट्रीम हस्ताक्षर) के आधार पर ऐसा करता है - दुर्भावनापूर्ण व्यवहार के मॉडल जिनका उपयोग किसी अज्ञात कोड की दुर्भावनापूर्ण गणना के लिए किया जा सकता है।



अंजीर। 2 स्वचालित शोषण रोकथाम का पता लगाना

संरक्षण के लिए एक व्यवहार विश्लेषण-आधारित दृष्टिकोण अक्सर बदलते मैलवेयर के खिलाफ बेहद प्रभावी है। यदि स्टैटिक डिटेक्शन मेथड्स या क्लाउड टेक्नॉलॉजीज कुछ पता नहीं लगा सकतीं, तो व्यवहार विश्लेषण के आधार पर टेक्नॉलॉजीज द्वारा मालवेयर का पता लगाया जाएगा, भले ही वह पहले वाला अज्ञात शोषण हो जो जीरो-डेफिसिट का उपयोग करता हो।

यह वह दृष्टिकोण था जिसने कारनामों को अवरुद्ध करने की अनुमति दी थी, जो बाद में रेड अक्टूबर हमले का हिस्सा बन गया।

0-दिन की कमजोरियों से निपटने के लिए प्रौद्योगिकी

एक अन्य हाई-प्रोफाइल घटना के बारे में जानकारी, इस बार जावा एप्लिकेशन के संस्करणों 1.7 और 10 में CVE 2013-0422 के 0-दिन की भेद्यता के शोषण से जुड़ी, 10 जनवरी 2013 को प्रकाशन जावा प्लगइन अब से जनता के लिए उपलब्ध हो गई। इस भेद्यता का उपयोग करके, हमलावर हमलावर कंप्यूटर पर मनमाना प्रोग्राम कोड चला सकते हैं।
इस भेद्यता के लिए शोषण वितरण अभियान बहुत बड़ा है। जब आप विज्ञापन बैनर पर क्लिक करते हैं, तो कानूनी साइटों पर विभिन्न देशों में स्थित बड़ी संख्या में, उदाहरण के लिए, समाचार साइटें, मौसम साइटें, या वयस्क सामग्री वाली साइटें, आगंतुकों को एक वेब संसाधन मिलता है, जिसमें ब्लैकहोल के सबसे लोकप्रिय शोषण लिंक में से एक के एक्लिट्स शामिल हैं। इस जावा 0-दिन सहित।

ब्लैकहोल मालिकों द्वारा प्रकाशित आंकड़ों के अनुसार, इस शोषण की दक्षता 83% से अधिक है।


अंजीर। 3 शोषण दक्षता 0 दिन जावा

यूएस डिपार्टमेंट ऑफ़ होमलैंड सिक्योरिटी की साइबर प्रिवेंशन टीम ने उपयोगकर्ताओं को जावा सॉफ्टवेयर प्लेटफ़ॉर्म में पहले से अज्ञात भेद्यता का उपयोग करने वाले दुर्भावनापूर्ण हमलों से खुद को बचाने के लिए वेब ब्राउज़र में जावा एड-ऑन को बंद करने की सिफारिश की है।
इस शोषण से सुरक्षा के बारे में क्या? कैसपर्सकी सिक्योरिटी नेटवर्क के आंकड़ों के अनुसार, उपयोगकर्ता के कंप्यूटर पर इस कारनामे की पैठ को कैस्परस्की लैब उत्पादों, अर्थात् एईआर तकनीक द्वारा अवरुद्ध किया गया था, इससे पहले भी इस घटना का सार्वजनिक रूप से खुलासा किया गया था। व्यवहार विश्लेषण का उपयोग करके अवरुद्ध किया गया था, अर्थात्। पूरी सक्रियता।



अंजीर। AEP प्रौद्योगिकी की सक्रियता पर 4 KSN डेटा

इस कारनामे को पहली बार दिसंबर की शुरुआत में AER तकनीक द्वारा मान्यता दी गई थी, अर्थात वायरस लेखकों द्वारा सक्रिय रूप से उपयोग किए जाने से पहले हमारे उत्पादों के उपयोगकर्ताओं को संरक्षित किया गया था।

स्वतंत्र परीक्षा परिणाम

वर्तमान में अधिकांश स्वतंत्र परीक्षण प्रयोगशालाएं एंटी-वायरस सुरक्षा के तीन प्रमुख मापदंडों की जांच करती हैं: दुर्भावनापूर्ण कोड, झूठी सकारात्मकता और प्रदर्शन का पता लगाने की गुणवत्ता। उनमें से कुछ ही अधिक विशिष्ट क्षेत्रों का परीक्षण करते हैं, जिसमें शोषण का पता लगाने की गुणवत्ता भी शामिल है।
ऐसा ही एक परीक्षण 2012 में MRG द्वारा आयोजित किया गया था।

परीक्षण कार्यप्रणाली मेटास्प्लोइट फ्रेमवर्क और इसके द्वारा प्रदान किए गए कारनामों के सेट का उपयोग कमजोरियों के आधार पर किया गया था, जिसके लिए उस समय आधिकारिक विक्रेता से कोई पैच नहीं था। एक प्रणाली को सुरक्षित माना जाता था अगर शोषण के लॉन्च के दौरान उसके पेलोड का आरंभीकरण अवरुद्ध था।



अंजीर। 5 एमआरजी टेस्ट परिणाम

परीक्षण के परिणाम विभिन्न प्रकार के कारनामों के खिलाफ संरक्षण के रूप में कैस्परस्की लैब उत्पादों के लाभ को प्रदर्शित करते हैं।

निष्कर्ष

आज के कारनामे उपयोगकर्ता के कंप्यूटर में प्रवेश करने के लिए दुर्भावनापूर्ण कोड का सबसे आम तरीका है। उनका उपयोग लक्षित हमलों में किया जाता है, जैसे कि लाल अक्टूबर, और ब्लैकहोल जैसे कारनामों के बंडलों के माध्यम से बड़े पैमाने पर संक्रमण में।

विश्वसनीय उपयोगकर्ता सुरक्षा के लिए, एंडपॉइंट सुरक्षा उत्पाद निर्माताओं को इस प्रकार के खतरे से निपटने के लिए विशेष ध्यान देना चाहिए। पारंपरिक हस्ताक्षर विधियां पर्याप्त नहीं हैं, क्योंकि वे केवल ज्ञात कारनामों को रोक सकते हैं। इसलिए, संरक्षण का सबसे प्रभावी तरीका व्यवहार विश्लेषण पर आधारित प्रौद्योगिकियां हैं।
Kaspersky Lab में ऑटोमैटिक एक्सप्लॉइट प्रिवेंशन (AEP) नामक कारनामों से सुरक्षा के लिए तकनीकों का एक सेट है, इसे KAV, KIS, Pure, Endpoint के उत्पादों में लागू किया गया है। AEP विभिन्न कार्यक्रमों और ऑपरेटिंग सिस्टम में कमजोरियों का फायदा उठाने वाले कारनामों को निष्पादित करता है। एईपी दुर्भावनापूर्ण व्यवहार के विकास को भी रोकता है अगर शोषण अभी भी काम करता है।

Red October में उपयोग किए गए दुर्भावनापूर्ण कोड के सफल अवरोधन, जावा 0-दिन के कारनामे, साथ ही स्वतंत्र परीक्षा परिणाम, यह साबित करते हैं कि AEP 0-दिन की भेद्यताओं सहित अज्ञात भेद्यता का मुकाबला करने में वास्तव में प्रभावी है।

साथ ही, हमारा मानना ​​है कि कोई भी तकनीक नहीं है जो उपयोगकर्ता को सभी प्रकार के खतरों से बचा सके। और रक्षा में अंतिम प्रतिशत सबसे कठिन है। इसलिए, हम, तकनीकी विकास द्वारा संचालित एक कंपनी के रूप में, उपयोगकर्ता सुरक्षा में अंतिम प्रतिशत के लिए लड़ना जारी रखते हैं और नियमित रूप से नई तकनीकों को जारी करते हैं, जैसे कि श्वेतसूची , अनुप्रयोग नियंत्रण , डिफ़ॉल्ट इनकार , सुरक्षित धन । इससे कैसपर्सकी लैब उत्पादों को नए और पहले वाले अज्ञात सहित कंप्यूटर खतरों के खिलाफ विश्वसनीय व्यापक सुरक्षा प्रदान करने की अनुमति मिलती है।

इन प्रौद्योगिकियों के परीक्षण के परिणाम भी उपलब्ध हैं।

• वेस्ट कोस्ट लैब्स द्वारा आयोजित कंपनी द्वारा व्हिटेलिस्ट टेक्नोलॉजी टेस्ट
• वेस्ट कोस्ट लैब्स द्वारा आयोजित बेंचमार्क एप्लीकेशन कंट्रोल टेक्नोलॉजी
Matousec.com द्वारा आयोजित सेफ मनी टेक्नोलॉजी का तुलनात्मक परीक्षण