घर का अभियान

इस वर्ष, हमने बार-बार दुर्भावनापूर्ण अपाचे मॉड्यूल और वैध वेब सर्वरों के उनके समझौते के बारे में लिखा है, जिसके कारण उपयोगकर्ताओं को दुर्भावनापूर्ण साइटों पर पुनर्निर्देशित किया गया। यह पता चला है कि इन वेब सर्वरों के समझौता के अलग-अलग मामलों में समान गुण होते हैं और समान मैलवेयर वितरण अभियान के होते हैं, जिसे हमने होम अभियान कहा है। इस अभियान के बारे में कुछ तथ्य इस प्रकार हैं:

• फरवरी 2011 से अभियान जारी है।
• समझौता किए गए वेब सर्वर cPanel और Plesk द्वारा प्रबंधित किए गए थे।
• अभियान में 40 हजार से अधिक डोमेन शामिल थे।

अभियान सामान्य रूप से, होम अभियान में उपयोगकर्ता के संक्रमण का वर्णन निम्न योजना द्वारा किया जा सकता है। बेशक, प्रारंभिक चरण स्वयं वेब सर्वर का समझौता है, जिसके परिणामस्वरूप उस पर दुर्भावनापूर्ण Apache मॉड्यूल ( Darkleech ) स्थापित किया जाएगा। डार्कलेक घटक को क्लैन्डस्टाइन साइबरक्रिमिनल फ़ोरम पर बेचा जाता है और हमारे द्वारा इसे लिनक्स / चैप्रो के रूप में परिभाषित किया जाता है। जब कोई उपयोगकर्ता किसी संक्रमित सर्वर की वेबसाइट पर पहुंचता है, तो दुर्भावनापूर्ण कोड एक विशेष IFRAME को अनुरोधित पृष्ठ के कोड में जोड़ता है, जिसके माध्यम से दुर्भावनापूर्ण सामग्री डाउनलोड की जाती है। यह URL प्रारूप hxxp: //129.121.xx.xxx/9bd5113b9edfc221e46f6983ab334927/q.php का उपयोग करता है। हमारे टेलीमेट्री डेटा से पता चलता है कि यह लिंक 270 वेब पृष्ठों से पुनर्निर्देशित है। एक दुर्भावनापूर्ण IFRAME के ​​माध्यम से, उपयोगकर्ता ब्लैकहोल शोषण सेट पृष्ठ पर पुनर्निर्देशित किया जाता है, जो ब्राउज़र में या इसके स्थापित प्लग-इन में कमजोरियों का फायदा उठाने की कोशिश कर रहा है। यदि किसी एक कारनामे का सफलतापूर्वक उपयोग किया जाता है, तो उपयोगकर्ता के कंप्यूटर पर दुर्भावनापूर्ण कोड स्थापित किया जाता है, जिसमें पोनी लोडर (फेरिट), निमाइम और साइरफ शामिल हैं । संक्रमण के बाद, अधिकांश उपयोगकर्ता स्वयं को रैंसमवेयर (न्यूमिम) कंप्यूटर के साथ पाते हैं, जिसे अनलॉक करने के लिए $ 300 की आवश्यकता होती है। संदेश का विषय उस क्षेत्र के आधार पर भिन्न होता है जहां पीड़ित का कंप्यूटर स्थित है। नीचे दी गई छवि यूएसए में स्थित कंप्यूटरों के लिए संदेश दिखाती है। यह अभियान लंबे समय से चल रहा है। हमारे रिकॉर्ड के अनुसार, उपयोग किए गए ब्लैकहोल पृष्ठ अब दो वर्षों से सक्रिय हैं। अभियान की शुरुआत में, दुर्भावनापूर्ण कोड ने URL बनाते समय / होम / टेम्पलेट का उपयोग किया था, उदाहरण के लिए, hxxp: //64.247.xxx.xxx/Home/index.php , इसलिए हमने इस अभियान का नाम "Home" दिया। अक्टूबर 2012 में, इस टेम्पलेट को q.php का उपयोग करके बदल दिया गया था और एक निर्देशिका नाम जोड़ दिया गया था जो यादृच्छिक रूप से उत्पन्न हुआ था। Darkleech मॉड्यूल द्वारा उत्पन्न URL का वर्तमान कॉन्फ़िगरेशन /Home/index.php टेम्पलेट का उपयोग करता है। हमारे टेलीमेट्री डेटा से पता चलता है कि अभियान ने ब्लैकहोल शोषण किट के लिए लगभग 40 हजार अलग-अलग आईपी पते और डोमेन का इस्तेमाल किया। मई 2013 में, इनमें से 15,000 पते और डोमेन ब्लैकहोल के लिए एक साथ उपयोग किए गए थे। नीचे दिया गया स्क्रीनशॉट नेटवर्क 129.121.0.0/16 दिखाता है, जिसमें इस अभियान में पांच हजार से अधिक पते का उपयोग किया गया था। सवाल उठता है कि हमलावर कितने आईपी पते और डोमेन को नियंत्रित करने में कामयाब रहे। तथ्य यह है कि कई वेब होस्टिंग कंपनियां अपने नेटवर्क और साइटों को प्रबंधित करने के लिए Plesk और CPanel कंट्रोल पैनल का उपयोग करती हैं, और हम सैकड़ों या हजारों वेबसाइटों के बारे में बात कर रहे हैं। हमारे एंटी-वायरस प्रयोगशाला के विशेषज्ञों ने डार्कलेक के एक और संशोधन का पता लगाया, जिसका उपयोग समझौता किए गए सर्वर पर स्थापना के लिए किया गया था। इस संस्करण में ब्लैकहोल के लिए अनुरोध भेजने के लिए एक अतिरिक्त हैंडलर है। हैंडलर मूल Darkleech संस्करण में उपयोग किए गए एक से अलग एन्क्रिप्शन एल्गोरिथ्म का उपयोग करता है। नियंत्रण प्राप्त करने के बाद, चार लाइनें डिक्रिप्ट की जाती हैं। आने वाले अनुरोधों के लिए, फ़ंक्शन HTTP हेडर के होस्ट फ़ील्ड के आधार पर हैश की गणना करता है। उसी समय, यदि ऐसा कोई हैश URL अनुरोध की पंक्ति में समाहित है, तो हैंडलर अपने कोड को निष्पादित करना जारी रखता है, अन्यथा अनुरोध अपाचे के माध्यम से हमेशा की तरह संसाधित होता है। हैंडलर कोड अनुरोध में उपयोगकर्ता-एजेंट फ़ील्ड की भी जांच करता है और उन अनुरोधों को अस्वीकार करता है जिनमें "MSIE" या "Java" शामिल नहीं है। दुर्भावनापूर्ण कोड के अनुरोध को संशोधित करने के बाद, यह mod_proxy का उपयोग करके linuxkernelup.com पर पुनर्निर्देशित किया जाएगा। X-HOSTNAME-MD5 हेडर अनुरोध में संलग्न है, जिसमें होस्ट नाम का हैश है। निम्न आंकड़ा दिखाता है कि अंतिम अनुरोध कैसा दिखता है, जिसे ब्लैकहोल सर्वर को भेजा जाता है। हमें अभी भी नहीं पता है कि हमलावरों ने सर्वर तक किस तरह पहुंच हासिल की। शायद उन खातों के बारे में जानकारी का उपयोग करना जो फारेट का उपयोग करके चुराए गए थे, जिसमें एफ़टीपी और एचटीटीपी खातों को चोरी करने के लिए एक तंत्र है।