MiniDuke के साथ प्रौद्योगिकी की लड़ाई। जटिल खतरों के खिलाफ सरल सुरक्षा?

सिर्फ एक साल पहले, कई लोग आश्वस्त थे कि लक्षित हमले ( साइबर हथियारों से भ्रमित नहीं होना) विशेष रूप से अमेरिकी और पश्चिमी यूरोपीय कंपनियों के उद्देश्य से थे। हालांकि, कैसपर्सकी लैब विशेषज्ञों द्वारा रेड अक्टूबर साइबर ऑपरेशन के संपर्क ने इस तरह के खतरों के संकीर्ण भौगोलिक फोकस के मिथक को दूर कर दिया।

परिमाण का एक और प्रमाण आने में लंबा नहीं था। 27 फरवरी को, Kaspersky Lab ने दुनिया भर में सरकारी एजेंसियों और वैज्ञानिक संगठनों के खिलाफ साइबर जासूसी से जुड़ी कई घटनाओं की जांच पर एक नई रिपोर्ट प्रकाशित की। मैलवेयर मिनीडक आज भी यूक्रेन, बेल्जियम, पुर्तगाल, रोमानिया, चेक गणराज्य, आयरलैंड और अन्य देशों से अपने पीड़ितों पर हमला करना जारी रखता है। विशेष रूप से हैबर के लिए, इस नए खतरे पर एक रिपोर्ट व्लादिमीर ज़ापोलानस्की, वैश्विक अनुसंधान केंद्र के उप प्रमुख, कैस्परस्की लैब के प्रौद्योगिकी स्थिति विभाग के प्रमुख द्वारा तैयार की गई थी।


टीम सर्वर ऑपरेटरों द्वारा बनाए गए एक खाते के लिए एक ट्वीट और एक विशिष्ट टैग है जो बैकडोर द्वारा उपयोग के लिए एक एन्क्रिप्टेड URL को चिह्नित करता है।

पीड़ित के कंप्यूटर में घुसने के लिए, MiniDuke पीडीएफ एडोब रीडर 9, 10, 11. में हाल ही में खोजे गए 0-दिन की भेद्यता CVE-2013-0640 के लिए एक शोषण का उपयोग करता है। ई-मेल के माध्यम से प्राप्त पीडीएफ फाइल को खोलने के बाद, एक छोटा मैलवेयर मॉड्यूल कंप्यूटर में प्रवेश करता है (20) KB)। हमले की एक विशिष्ट विशेषता यह है कि यह मॉड्यूल 90 के दशक के अंत और 2000 के दशक की शुरुआत में वायरस लेखकों के साथ लोकप्रिय शैली में असेंबलर में लिखा गया था, और आज बहुत कम उपयोग किया जाता है।

पैठ के बाद, कार्यक्रम माइक्रोब्लॉगिंग सेवा ट्विटर के माध्यम से अपने रचनाकारों के साथ संवाद करता है, जहां यह हमलावरों द्वारा पूर्व-निर्मित खातों में ट्वीट्स की खोज करता है। ट्विटर पर प्रकाशित लिंक के बाद, वह दुर्भावनापूर्ण कोड के थोक डाउनलोड करता है। डाउनलोडिंग कई चरणों में की जाती है, जिसके बाद दुर्भावनापूर्ण कोड एक पिछले दरवाजे के रूप में कार्य करना शुरू कर देता है, जिससे पीड़ित के कंप्यूटर पर किसी भी डेटा तक पहुंच के साथ हमलावर खुल जाता है।

क्या MiniDuke के खिलाफ सुरक्षा है?

आज, कई एंटी-वायरस कंपनियां सिग्नेचर या ह्यूरिस्टिक तरीकों से मिनीड्यूक को रोक रही हैं। हालांकि, दुर्भावनापूर्ण कोड का यह पता केवल तभी संभव हो पाया जब Adobe Reader 0-day द्वारा उपयोग की जाने वाली भेद्यता के बारे में जानकारी 12 फरवरी, 2013 को सार्वजनिक रूप से ज्ञात हो गई। साथ ही, Adobe ने 20 फरवरी, 2013 को इस भेद्यता को बंद करने के लिए एक पैच जारी किया।

इसका मतलब यह है कि लंबे समय तक कई एंटीवायरस कंपनियों के पास इस लक्षित हमले से बचाने के लिए समाधान नहीं हो सकते हैं: हमले में इस्तेमाल किया गया शोषण एएसएलआर और डीईपी जैसी उन्नत उन्नत प्रौद्योगिकी से लड़ने में सफल हो सकता है।

Kaspersky Lab Security

जैसा कि कैसपर्सकी सिक्योरिटी नेटवर्क ( केएसएन) के आंकड़ों से पता चलता है, एडोब रीडर के शोषण का "मुकाबला लोड" (शेलकोड) हमारे उत्पादों द्वारा कॉरपोरेट और घरेलू उपयोगकर्ताओं के लिए अवरुद्ध कर दिया गया था, इससे पहले कि हम इस हमले के अस्तित्व के बारे में जानें।


अंजीर। फरवरी 2013 के लिए कैस्परस्की सुरक्षा नेटवर्क के 1 आंकड़े। वितरण भूगोल और Adobe Reader में उपयोग किए गए कंप्यूटर शेलकोड पर अवरुद्ध निष्पादन प्रयासों की संख्या।

इसके अलावा, 2012 के लिए इस शेलकोड के लॉक आंकड़े बताते हैं कि इसे पहले भी इस्तेमाल किया जा चुका है।


अंजीर। 2012 के लिए 2 कास्परस्की सिक्योरिटी नेटवर्क के आँकड़े। वितरण भूगोल और एडोब रीडर शोषण में इस्तेमाल कंप्यूटर पर शेलकोड निष्पादित करने के लिए अवरुद्ध प्रयासों की संख्या।

इस शेलकोड को पहली बार 2010 के अंत में हमारे उत्पादों द्वारा खोजा और ब्लॉक किया गया था!


अंजीर। 2010 से 2013 तक कैसपर्सकी सुरक्षा नेटवर्क के 3 आंकड़े। वितरण भूगोल और एडोब रीडर शोषण में इस्तेमाल कंप्यूटर शेलकोड पर अवरुद्ध निष्पादन के प्रयासों की संख्या।

इस प्रकार, मिनीड्यूक साइबर हमले के लिए एडोब रीडर के शोषण में उपयोग किए जाने वाले "मुकाबला लोड" (शेलकोड) को 2010 से हमारे उत्पादों द्वारा सफलतापूर्वक अवरुद्ध कर दिया गया है।

यह मेल एंटीवायरस द्वारा मेल संदेशों के विश्लेषण के चरण में होता है। कंप्यूटर पर एक दुर्भावनापूर्ण वस्तु के साथ एक पत्र को घुसाने के प्रयास के मामले में, कास्परस्की लैब उत्पादों के उपयोगकर्ता को केवल हटाए गए फ़ाइल और जानकारी के साथ एक ईमेल प्राप्त होता है कि फ़ाइल में फैसले के साथ एक दुर्भावनापूर्ण प्रोग्राम शामिल था। JJ.Pdfka.giw।


अंजीर। 4 इंटरैक्टिव और गैर-इंटरैक्टिव मोड में मेल प्राप्त करते समय शेलकोड शोषण ब्लॉकिंग के बारे में उपयोगकर्ता को अधिसूचना

अपने अस्तित्व के बारे में जानने से पहले इस शेलकोड को ब्लॉक करना कैसे संभव था?

आमतौर पर, सुरक्षा के कई स्तर जटिल खतरों का पता लगाने में शामिल होते हैं, जिनमें लक्षित हमले भी शामिल हैं। कुंजी में से एक स्वचालित शोषण निवारण है । यह प्रोएक्टिव तकनीक थी जिसने रेड अक्टूबर की खोज के साथ-साथ जावा 0-डे की सार्वजनिक रूप से प्रभावी रूप से काम किया , जिसके बारे में सार्वजनिक जानकारी जनवरी 2013 में दिखाई दी।


अंजीर। 6. Kaspersky Lab का बहु-स्तरीय सुरक्षा मॉडल

हालाँकि, MiniDuke के मामले में, सब कुछ बहुत सरल हो गया। अगस्त 2010 में, हमारे एंटीवायरस विशेषज्ञों ने एडोब रीडर में कमजोरियों का फायदा उठाने वाले कई कारनामों को रोकने के लिए एक न्यायिक हस्ताक्षर बनाया। यह हमारे उत्पादों में लागू बहुपरत संरक्षण की एक कड़ी है जिसने इस मामले में प्रभावी ढंग से काम किया है।

कास्परस्की लैब हेयुरिस्टिक डिटेक्शन

हेयुरिस्टिक विश्लेषण प्रोएक्टिव प्रोटेक्शन टेक्नोलॉजी के वर्ग से संबंधित है, यह आपको एक अज्ञात वायरस या किसी ज्ञात उदाहरण के नए संशोधन से संक्रमित फ़ाइलों को खोजने की अनुमति देता है। यह तकनीक एक एकल हस्ताक्षर के साथ कई दुर्भावनापूर्ण फ़ाइलों को ब्लॉक करना संभव बनाती है, जबकि एक ही समय में एंटी-वायरस डेटाबेस के आकार का पता लगाने और कम करने की गुणवत्ता में सुधार करती है।

हमारे उत्पादों में स्थिर और गतिशील विश्लेषण शामिल हैं।

स्टेटिक विश्लेषण संदिग्ध आज्ञाओं के लिए कोड को स्कैन करता है जो मैलवेयर का संकेत हो सकता है। उदाहरण के लिए, एक दुर्भावनापूर्ण प्रोग्राम की एक विशेषता विशेषता व्यवहार हो सकती है जिसमें यह निष्पादन योग्य फ़ाइलों की खोज करता है और बाद में उन्हें बदल देता है।

हेयोरिस्टिक विश्लेषक प्रोग्राम कोड के माध्यम से देखता है और, एक संदिग्ध कमांड या टुकड़े का सामना करने पर, प्रोग्राम के "संदिग्धता काउंटर" को बढ़ाता है। यदि पूरे कार्यक्रम को स्कैन करने के बाद इस काउंटर का मूल्य कुछ पूर्व निर्धारित सीमा मूल्य से अधिक है, तो ऑब्जेक्ट को संदिग्ध माना जाता है।

डायनामिक विश्लेषण का उपयोग करते समय, एक वर्चुअल एड्रेस स्पेस में ऑब्जेक्ट प्रोग्राम के लॉन्च का अनुकरण किया जाता है। यदि हेयोरिस्टिक एनालाइज़र इम्यूलेशन प्रक्रिया के दौरान संदिग्ध क्रियाओं का पता लगाता है, तो प्रोग्राम या ऑब्जेक्ट को दुर्भावनापूर्ण के रूप में मान्यता दी जाती है और उपयोगकर्ता के कंप्यूटर पर उनका लॉन्च अवरुद्ध हो जाता है।

हमारे उत्पादों में, कई घटक हेयुरिस्टिक विश्लेषण का उपयोग करते हैं, जैसे फ़ाइल एंटी-वायरस, मेल एंटी-वायरस, वेब एंटी-वायरस, आईएम एंटी-वायरस, एप्लिकेशन गतिविधि नियंत्रण आदि।

निष्कर्ष

हालांकि, इस खतरे को अवरुद्ध करने का एक सरल तरीका यह नहीं है कि इस तरह के सभी हमलों को एक समान तरीके से निष्प्रभावी किया जा सकता है।
इसलिए, हम उपयोगकर्ता सुरक्षा में बहु-स्तरीय दृष्टिकोण में सुधार करना जारी रखते हैं और नियमित रूप से नई तकनीकों को जारी करते हैं, जैसे कि श्वेतसूची , अनुप्रयोग नियंत्रण , डिफ़ॉल्ट अस्वीकार , सुरक्षित धन । इससे कैसपर्सकी लैब उत्पादों को नए और पहले वाले अज्ञात सहित कंप्यूटर खतरों के खिलाफ विश्वसनीय व्यापक सुरक्षा प्रदान करने की अनुमति मिलती है।