स्लोवाक स्पैम अभियान की जांच

आज हम एक मैलवेयर वितरण अभियान के बारे में बात करना चाहते हैं जो स्लोवाकिया में कर दाखिल करने की समय सीमा का उपयोग करता है। इस तथ्य के बावजूद कि यह हमला अधिक स्थानीय है, यह मामला दर्शाता है कि साइबर क्रिमिनल्स द्वारा उपयोग किए जाने वाले सामाजिक इंजीनियरिंग के तरीके कितने खतरनाक हो सकते हैं, जिसमें विषय को खुद ही खींचा जाता है।



वितरण अभियान

हमारे अटैक वेक्टर में, हमने ई-मेल पर भेजे गए संदेशों का उपयोग करके दुर्भावनापूर्ण कोड वितरित करने की विधि का उपयोग किया। ये पत्र कथित तौर पर स्लोवाक टैक्स सेवा से भेजे गए थे। नीचे ऐसे संदेशों के स्क्रीनशॉट दिए गए हैं।





इन संदेशों के विषय के रूप में अनुवाद किया जा सकता है: अचल संपत्ति कर में बदलाव की अधिसूचना । इसके अलावा, संदेश निकाय में लिखे गए पाठ में बताया गया है कि भुगतान करने के निर्देश पत्र के साथ संलग्नक में पाए जा सकते हैं। एक दिलचस्प तथ्य यह है कि हमलावर स्लोवाकिया में एक विशिष्ट कर इकाई द्वारा निर्देशित थे। यही है, इन संस्थाओं या उद्यमों में से प्रत्येक के लिए एक निश्चित राशि का भुगतान करने के लिए उनके विवरण भेजे गए थे। हमलावर न केवल स्लोवाक भाषा को अच्छी तरह से जानता था, बल्कि स्थानीय कर कानून से भी काफी परिचित था। उपरोक्त कारकों ने इस घोटाले को और अधिक विश्वसनीय बना दिया है।

हमलावर ने संदेशों को दो अभियानों में वितरित करने के तरीके को थोड़ा बदल दिया, लेकिन मालवेयर को परिणामस्वरूप वितरित किया गया।

पहले स्पैम अभियान में भेजे गए ईमेल में दुर्भावनापूर्ण लिंक शामिल थे। उसी समय, उपयोगकर्ता को दो फाइलें प्राप्त हो सकती हैं: एक पत्र में संलग्नक के रूप में, और दूसरा डाउनलोड लिंक के माध्यम से। फ़ाइल RTF दस्तावेज़ हो सकती है या निष्पादन योग्य हो सकती है। RTF फ़ाइल में CVE-2010-3333 के लिए एक शोषण था, जिसने सिस्टम में दुर्भावनापूर्ण कोड स्थापित किया था। संदेशों में लिंक डाउनलोड करें जो लोकप्रिय फ़ाइल-साझाकरण सेवाओं के लिए नेतृत्व करता है।

दूसरा अभियान दुर्भावनापूर्ण ऑब्जेक्ट के डाउनलोड की संख्या के अनुसार सरल और अधिक सफल था। पत्र में हाइपरलिंक ने एक्सटेंशन के साथ एक निष्पादन योग्य फ़ाइल का संकेत दिया। एससीआर

दुर्भावनापूर्ण कोड

दुर्भावनापूर्ण सॉफ़्टवेयर जो एक हमले का उपयोग करके वितरित किया गया था, जो विभिन्न उपयोगकर्ता खातों की साख को चोरी करने के उद्देश्य से एक ट्रोजन था। ESET इस ट्रोजन को Win32 / Sazoora.A के रूप में पहचानता है।

Win32 / Sazoora ब्राउज़र में दर्ज किए गए सभी प्रकार के डेटा को चुराने पर केंद्रित है। विशेष रूप से, ट्रोजन में एमएस इंटरनेट एक्सप्लोरर, मोज़िला फ़ायरफ़ॉक्स और गूगल क्रोम में कार्यान्वयन के लिए विशेष पुस्तकालय शामिल हैं, और इन रूपों को चुराने के लिए निम्नलिखित तरीकों को भी लागू करता है।

• यह ऊपर बताए गए ब्राउज़रों के HTML रूपों में दर्ज की गई किसी भी जानकारी को स्वीकार करता है।
• ब्राउज़र की मेमोरी से वहां संग्रहीत उपयोगकर्ता क्रेडेंशियल्स के बारे में जानकारी प्राप्त करता है।
• क्रेडिट कार्ड की जानकारी चुराने के लिए यह वेब पेजों में विशेष दुर्भावनापूर्ण HTML कोड लागू करता है।

चोरी किए गए डेटा को समय-समय पर एक दूरस्थ सर्वर पर भेजा जाता है, जिनमें से URL निष्पादन योग्य फ़ाइल में हार्ड-कोड किए जाते हैं। निम्नलिखित स्क्रीनशॉट एक संभावित शिकार को लुभाने और फिर क्रेडिट कार्ड की जानकारी दर्ज करने के लिए उपयोग किए जाने वाले वेब इंजेक्शन दिखाते हैं।













अंतिम स्क्रीनशॉट विशेष रूप से दिलचस्प है क्योंकि यह ओएस अपडेट के लिए भुगतान के रूप का उपयोग करता है। कृपया ध्यान दें कि उपरोक्त विधियों में से कोई भी नया नहीं है और उन सभी का उपयोग काफी समय से बैंकिंग ट्रोजन्स जैसे ज़ीउस और स्पाईइ के रूप में किया जाता है। लेकिन उनके विपरीत, Win32 / Sazoora.A में HTML के लिए C & C कमांड सर्वर और वेब इंजेक्शन के पते के संबंध में दुर्भावनापूर्ण कोड सेट करने के लिए कम लचीले विकल्प हैं, जो निष्पादन योग्य खतरे की फ़ाइल में बस हार्ड-कोडित हैं।

ESET LiveGrid के आंकड़ों के अनुसार, Win32 / Sazoora सबसे प्रचलित क्षेत्र स्लोवाकिया (सभी रिकॉर्ड किए गए 60% से अधिक) है। इसमें कोई संदेह नहीं है कि यह प्रचलन इन चल रहे स्पैम अभियानों का परिणाम था। दुनिया में अगला सबसे प्रचलित देश स्विट्जरलैंड है। यह ध्यान देने योग्य है कि Win32 / Sazoora इस खतरे के परिवार के लिए एक सामान्य निर्णय है, इसलिए इस कोड के विभिन्न संशोधन हो सकते हैं जो इस नाम के तहत पाए जाते हैं। यह संभव है कि स्विटजरलैंड में इसके अन्य संशोधन का पता लगाया जाता है, अर्थात यह संशोधन जो इस स्पैम अभियान में ठीक से उपयोग नहीं किया गया था।

पीड़ितों

हमारे टेलीमेट्री सिस्टम के डेटा से पता चलता है कि हमला अपने लक्ष्य पर पहुंच गया, क्योंकि पर्याप्त संख्या में कंप्यूटर दुर्भावनापूर्ण कोड से संक्रमित थे, और भेजे गए ईमेल यादृच्छिक प्राप्तकर्ताओं के लिए अभिप्रेत नहीं थे। जाहिर है, इन संदेशों को भेजने के लिए स्लोवाक पतों की एक तैयार सूची का उपयोग किया गया था। जिन पीड़ितों की पहचान की गई, उनमें कई वैज्ञानिक संस्थानों के डॉक्टर, एकाउंटेंट और कर्मचारी शामिल थे। सबसे अधिक संभावना है, उनके द्वारा प्राप्त पत्रों में उनके पेशे से एक विषय शामिल था, जो इन पत्रों के उद्घाटन का कारण था, इसके बाद एक दुर्भावनापूर्ण लिंक पर क्लिक करना था।

एक उपयोगकर्ता के अनुरोध पर, हमने उसके संक्रमित सिस्टम का एक विस्तृत विश्लेषण किया, जब उसने अपने बैंक खाते में प्रवेश करने से संबंधित संदिग्ध गतिविधि देखी थी। जांच के दौरान, यह पता चला कि उपयोगकर्ता Win32 / Sazoora से संक्रमित था। संशोधन, इसके अलावा, उपयोगकर्ता के क्रेडिट कार्ड की जानकारी चोरी हो गई थी। दिलचस्प है, दो-कारक प्रमाणीकरण प्रणाली की उपस्थिति के कारण हमलावर ऑनलाइन बैंकिंग प्रणाली में बैंक खाते तक पहुंच प्राप्त नहीं कर सका। इसके बाद, हमलावर ने उपयोगकर्ता को खाते तक पहुंचने के लिए आवश्यक दूसरा कोड प्राप्त करने के लिए एक और संदेश भेजा, जो मदद मांगने के कारण के रूप में कार्य करता है। अन्य पीड़ित कम भाग्यशाली हो सकते हैं। यह मामला एक बार फिर उपयोगकर्ताओं के लिए बाहरी ई-मेल संदेशों को खोलने के दौरान अधिक सतर्क रहने की आवश्यकता की पुष्टि करता है, खासकर जब यह कॉर्पोरेट सुरक्षा की बात आती है।