Skype उपयोगकर्ताओं पर हमले का एनाटॉमी

दुर्भावनापूर्ण कोड इंस्टॉल करने के लिए बड़े हमलों का उपयोगकर्ताओं पर बहुत बुरा प्रभाव पड़ता है। इसके अलावा, वे साइबर क्रिमिनल्स को उपयोगकर्ताओं से समझौता करने के पहले से ही ज्ञात तरीकों का फिर से उपयोग करने की क्षमता दिखाते हैं, जो हमलों के बाद के मामलों में काम करेंगे। हमने इस साल मई में स्काइप उपयोगकर्ताओं पर बड़े पैमाने पर स्पैम हमले के बारे में पहले ही लिखा था। दुनिया भर के उपयोगकर्ताओं ने विभिन्न स्काइप और Gtalk इंस्टेंट मैसेजिंग सेवाओं के माध्यम से अपने संपर्कों से संदेश प्राप्त किया है। इन संदेशों में दुर्भावनापूर्ण लिंक थे जो उपयोगकर्ता को कई प्रकार के मैलवेयर इंस्टॉल करने के लिए प्रेरित करते थे, जिनमें Win32 / Rodpicom.C शामिल था । कुछ ही घंटों में, इस दुर्भावनापूर्ण कार्यक्रम के उपयोगकर्ताओं द्वारा बड़ी संख्या में संक्रमण दर्ज किए गए। हमलावरों ने कई बार इस तरह के अभियानों का सहारा लिया और अलग-अलग देशों में उपयोगकर्ताओं पर हमला करने के लिए फ़िशिंग संदेश लिखने के साथ-साथ अपनी पहचान को जटिल बनाने के लिए विशेष संक्रमण विधियों का इस्तेमाल किया।



इस पोस्ट में, हम इस तरह के हमले के प्रत्येक चरण की विस्तार से जांच करेंगे ताकि यह समझ सकें कि हमलावर सिस्टम की सुरक्षा क्षमताओं को दूर करने के लिए किन तरीकों का इस्तेमाल करते हैं। बेशक, दुर्भावनापूर्ण कोड वितरित करने के लिए सामाजिक इंजीनियरिंग के विभिन्न तरीके इन हमलों को प्रभाव बढ़ाने के लिए अतिरिक्त अवसर प्रदान करते हैं।

हमले की प्रकृति

ऐसे हमलों के जीवन चक्र हैं जो हमलावर एक विशेष तरीके से उपयोग करते हैं। चक्र की अवधि के दौरान, हमले की प्रभावशीलता में परिवर्तन होता है, जो एक निश्चित बिंदु पर पहुंचता है दक्षता का अधिकतम स्तर, यानी जब उपयोगकर्ता की अधिकतम संख्या में संक्रमण या दुर्भावनापूर्ण लिंक पर क्लिक दर्ज किया जाता है। ऐसे समय में, एक निश्चित सेवा के उपयोगकर्ता को फ़िशिंग संदेश प्राप्त होने की संभावना, ज़ाहिर है, अधिक है।

जब एक हमले के संभावित पीड़ितों की संख्या, थोड़े समय के लिए, एक निश्चित सीमा से अधिक हो जाती है, तो हम उपयोगकर्ताओं के संक्रमण की अजीबोगरीब श्रृंखला प्रतिक्रियाओं का निरीक्षण करना शुरू करते हैं, जिस पर यह हमला मूल रूप से नहीं बनाया गया था। इसी तरह की स्थिति हमारे द्वारा मई में दर्ज की गई थी, जब ईएसईटी अर्ली वार्निंग सिस्टम (ईएसईटी) के नोटिफिकेशन के अलावा, हमें प्रभावित उपयोगकर्ताओं से तकनीकी सहायता अनुरोध प्राप्त हुए थे।

20 मई को, हमने स्पैम संदेशों में एक बड़ी स्पाइक दर्ज की जो स्काइप के माध्यम से वितरित की गई और उपयोगकर्ताओं को सोशल नेटवर्क पर विभिन्न तस्वीरें देखने का सुझाव दिया। उन संदेशों में लिंक थे जो Google URL शॉर्टनर द्वारा संक्षिप्त किए गए थे और तस्वीरों के बजाय एक डाउनलोड करने योग्य दुर्भावनापूर्ण कोड का संकेत दिया था। इस तरह के आम खतरों में से एक को हमारे उत्पादों जैसे Win32 / Kryptik.BBKB द्वारा पता लगाया गया था और Google आँकड़ों के माध्यम से इसे उन लिंक पर लगभग 300 हज़ार क्लिक दर्ज किए गए थे जिनके माध्यम से यह दुर्भावनापूर्ण कोड डाउनलोड किया गया था। इसी समय, संक्रमण के सभी मामलों में से 67% लैटिन अमेरिका में थे।


अंजीर। दुर्भावनापूर्ण लिंक के लिए क्लिक-थ्रू आंकड़े जो 20 मई को उछाल दिखाते हैं।

दुर्भावनापूर्ण कोड के अधिक विस्तृत विश्लेषण के बाद, हमने पाया कि जिस कोड का हमने पता लगाया था, वह Win32 / Gapz खतरे के संशोधनों में से एक था, जिसका विस्तृत विश्लेषण हमने पहले प्रकाशित किया था । गैपज़ के संशोधनों में से एक एक शक्तिशाली बूटकिट है जिसमें आपके कोड को explorer.exe प्रक्रिया में एम्बेड करने की क्षमता है, जिससे वहां से विनाशकारी कार्य किए जा सकते हैं। ये दोनों दुर्भावनापूर्ण कोड PowerLoader ड्रॉपर कोड पर आधारित हैं।

ड्रॉपर की क्षमताओं में से एक एंटीवायरस सॉफ़्टवेयर में उपयोग किए जाने वाले विभिन्न तंत्रों को बायपास करना है। इसके अलावा, वह एक दुर्भावनापूर्ण प्रोग्राम का दूसरा संस्करण डाउनलोड करता है जो स्काइप के माध्यम से अपनी वितरण पद्धति का उपयोग करता है। इस मालवेयर का पता ESET ने Win32 / Rodpicom.C वर्म के रूप में लगाया है। रॉडपिकम का उपयोग अक्सर अन्य दुर्भावनापूर्ण कार्यक्रमों के साथ किया जाता है, क्योंकि इसमें इंस्टेंट मैसेजिंग सेवाओं के माध्यम से वितरण क्षमताएं होती हैं।

दुर्भावनापूर्ण लिंक के लिए क्लिक-थ्रू आंकड़े बताते हैं कि पूरे अभियान के दौरान उपयोगकर्ताओं द्वारा लगभग पाँच मिलियन बार नेविगेट करने के लिए केवल पाँच goo.gl पते का उपयोग किया गया था। क्लिक्स की कुल संख्या में से 27% लैटिन अमेरिका से थे: मेक्सिको (27,023), ब्राजील (37,757) और कोलंबिया (54,524)। रूस भी सबसे अधिक प्रभावित देशों में से एक था जिसमें 40 हजार से अधिक क्लिक थे। जर्मनी पहली बार लहर के दौरान 80 हजार से अधिक क्लिक के साथ वैश्विक बदलाव में अग्रणी है।


अंजीर। उन उपयोगकर्ताओं के लिए उपयोग किए गए प्लेटफ़ॉर्म पर आंकड़े, जो स्काइप पर हमले के पहले दिन दुर्भावनापूर्ण लिंक पर क्लिक करते हैं। 85% उपयोगकर्ताओं ने माइक्रोसॉफ्ट विंडोज के विभिन्न संस्करणों का उपयोग किया।

निम्नलिखित एक संदेश का एक उदाहरण है जो एक उपयोगकर्ता को समझौता करने के उद्देश्य से भेजा गया था।


अंजीर। Win32 / Rodpicom से संक्रमित कंप्यूटर से भेजे गए स्पैम संदेश का एक उदाहरण।

हजारों कंप्यूटरों पर विभिन्न देशों के उपयोगकर्ताओं के समान संदेश आए। पांच दुर्भावनापूर्ण लिंक जो पहले 24 घंटों के दौरान हमलावरों द्वारा उपयोग किए गए थे, ने उपयोगकर्ताओं को निम्नलिखित नामों वाली फाइलें डाउनलोड करने के लिए पुनर्निर्देशित किया:

• Fotos91-lol.zip
• Fotos92-lol.zip
• Fotos93-lol.zip

संक्षिप्त लिंक ने एक होस्ट सेवा को निष्क्रिय कर दिया, जिसके लिए एक लिंक का उपयोग किया गया था जिसके लिए एक और सेवा का उपयोग किया गया था। ध्यान दें कि इस तरह के फ़िशिंग तरीके नए नहीं हैं और यह वास्तव में अजीब है कि हमलावर इस तरह की हमले दक्षता हासिल करने में कामयाब रहे। ये आँकड़े हमें यह दावा करने की अनुमति देते हैं कि यह अब तक के सबसे बड़े दुर्भावनापूर्ण Skype अभियानों में से एक था।

हमले के बाद के दिनों में, अर्थात्, पहली लहर के बाद, इस हमले के लिए जिम्मेदार हमलावर मालवेयर के नए वेरिएंट की डिलीवरी के साथ विभिन्न प्रकार के स्पैम संदेशों का उपयोग करना जारी रखते थे। इसी समय, इन दिनों लिंक पर क्लिक की संख्या शुरुआत में उतनी अधिक नहीं थी।


अंजीर। हमलों के दिनों में साइबर अपराधियों द्वारा उपयोग किए जाने वाले URL (लिंक) की संख्या।

दो हफ्तों के दौरान, हमने कुल इकतालीस लिंक देखे, जो उपयोगकर्ता को मैलवेयर डाउनलोड करने के लिए निर्देशित करते थे। इस तरह के लिंक बनाने के लिए, विभिन्न लिंक कमी सेवाओं का उपयोग किया गया था:

• goo.gl
• bit.ly
• ow.ly
• urlq.d
• is.gd
• fur.ly

इन सभी लिंक को छोटा करने वाली सेवाएं OS या स्रोत (रेफ़रर्स) के बारे में क्लिक और डेटा की संख्या के बारे में जानकारी प्रदान नहीं कर सकती हैं। उन सेवाओं के लिए जो इस तरह की जानकारी प्रदान करते हैं, हमने 700 हजार से अधिक क्लिकथ्रू गिने हैं। नीचे क्लिक की संख्या पर अधिक विस्तृत आँकड़े हैं, जो आपको स्पैम अभियान के विकास का अधिक बारीकी से मूल्यांकन करने की अनुमति देता है।


अंजीर। दुर्भावनापूर्ण लिंक के लिए रेफरल आँकड़े।

आप दुर्भावनापूर्ण कोड के प्रसार की लहर के अंत में संक्रमण की संख्या में गिरावट देख सकते हैं। जाहिर है, यह आश्चर्यजनक प्रभाव की कमी, दुर्भावनापूर्ण गतिविधि के प्रति उपयोगकर्ता की जागरूकता और एंटीवायरस कंपनियों द्वारा इस तरह के हमले के बारे में चेतावनी के कारण है। नीचे दिया गया आंकड़ा विभिन्न लिंक के लिए हमले की गतिविधि के क्षेत्रों को दर्शाता है। यह देखा जा सकता है कि रूस सभी तीन लिंक के लिए उच्च गतिविधि वाले सबसे प्रभावित क्षेत्रों में से एक है।


अंजीर। सबसे अधिक "गतिविधि" वाले देश दुर्भावनापूर्ण लिंक पर क्लिक करते हैं।

कई मामलों में, उपयोगकर्ता बिना किसी संदेह के अपने ओएस का उपयोग करना जारी रखते हैं जिससे उन्हें समझौता किया गया हो। इनमें से कुछ उपयोगकर्ताओं के लिए, हमने सिस्टम निर्देशिकाओं में 30 से अधिक मैलवेयर अपडेट फाइलें देखीं।

के विश्लेषण

दो सप्ताह की दुर्भावनापूर्ण अभियान गतिविधि और इसके ट्रैकिंग के बाद, हमने अपने निपटान में हमले का विश्लेषण करने के लिए पर्याप्त कलाकृतियों, साथ ही साथ दुर्भावनापूर्ण कोड के विभिन्न परिवारों और उनके संशोधनों का उपयोग किया था। कुल मिलाकर, इस हमले के लिए इस्तेमाल की जाने वाली 130 से अधिक विभिन्न दुर्भावनापूर्ण फाइलें दर्ज की गईं। इस मामले में, खतरों के दो मुख्य परिवार जिनके पास ये फाइलें हैं, वे Win32 / PowerLoader के संशोधन हैं, जो सीधे सिस्टम और Win32 / Rodpicom को संक्रमित करने के लिए ज़िम्मेदार है, जो कि एक कीड़ा है और तुरंत इंस्टेंट सेवाओं के माध्यम से फैल सकता है।

जैसा कि हमने पहले ही संकेत दिया है, Win32 / PowerLoader एक अन्य खतरे के साथ जुड़ा हुआ है - Win32 / Gapz। उत्तरार्द्ध के ड्रॉपर पॉवरलॉडर कोड पर आधारित होते हैं, जो डाउनलोडर के रूप में ज्ञात मैलवेयर बनाने के लिए एक बॉट बिल्डर है। मैलवेयर बनाने के लिए एक समान उपकरण एक मॉड्यूलर दृष्टिकोण और दुर्भावनापूर्ण कोड के बाद के वितरण का एक उदाहरण है। इस वर्ष की शुरुआत से ही बिल्डर को साइबर अपराधियों द्वारा उपयोग में देखा गया है और इसका उपयोग एक अन्य खतरे - Win32 / Dorkbot के संशोधनों में भी किया गया है। उपकरण हमलावरों को तीन URL तक निर्दिष्ट करने की अनुमति देता है जो बॉट संक्रमित कंप्यूटर पर बातचीत करेगा। इस स्काइप हमले के मामले में इन यूआरएल से एक और दुर्भावनापूर्ण प्रोग्राम डाउनलोड किया जाएगा, अर्थात् Win32 / Rodpicom।


अंजीर। Win32 / PowerLoader बॉट कॉन्फ़िगरेशन फ़ाइल।

यह देखा जा सकता है कि इस फ़ाइल में घुसपैठियों से निर्देश प्राप्त करने के लिए एक ही URL (C & C) है, साथ ही साथ अन्य कॉन्फ़िगरेशन डेटा भी हैं। कंप्यूटर को सफलतापूर्वक संक्रमित करने के बाद, बॉट सी और सी के साथ हर 15 मिनट में अन्य दुर्भावनापूर्ण कोड डाउनलोड करने के लिए बातचीत करेगा जो हमलावरों को उपयोगकर्ता के कंप्यूटर पर विभिन्न कार्यों को करने की अनुमति देगा।


अंजीर। बॉट द्वारा सर्वर को भेजी गई रिपोर्ट।

बॉट द्वारा डाउनलोड की गई दुर्भावनापूर्ण फ़ाइलें "C: \ ProgramData" निर्देशिका में संग्रहीत की जाती हैं और बॉट की गतिविधि की अवधि में हमने ऐसी 50 से अधिक फ़ाइलों का पता लगाया है।


अंजीर। Win32 / PowerLoader bot द्वारा डाउनलोड की गई दुर्भावनापूर्ण फ़ाइलें।

दुर्भावनापूर्ण कार्यक्रमों में, जो प्रणाली से समझौता करने के दूसरे चरण में शामिल हैं, निम्नलिखित परिवारों की खोज की गई:

• Win32 / इंजेक्टर : मैलवेयर का एक परिवार है जो अन्य प्रक्रियाओं में अपने कोड को लागू करता है और ऑनलाइन सेवाओं से लॉगिन और पासवर्ड चोरी करने की क्षमता रखता है।
• Win32 / Agent : उपयोगकर्ता जानकारी चोरी करने की क्षमता के साथ मैलवेयर का एक परिवार।
• Win32 / Rodpicom : यह एक कीड़ा है जो अन्य मैलवेयर के साथ संयोजन में उपयोग किया जाता है और इसमें त्वरित संदेश सेवा के माध्यम से दुर्भावनापूर्ण लिंक फैलाने की क्षमता होती है।

रॉडपिकम स्काइप प्रक्रिया को खोजने की कोशिश कर रहे सिस्टम की सभी प्रक्रियाओं को सूचीबद्ध करता है, और फिर संपर्क सूची में संदेश भेजने के लिए इसमें कोड इंजेक्ट करता है। दुर्भावनापूर्ण प्रोग्राम स्वयं कार्य नहीं करता है, बल्कि, इसका उपयोग वितरण वेक्टर के रूप में अन्य खतरों द्वारा किया जाता है। इस मामले में, उस भाषा का चयन करने के लिए जिसमें संदेशों को वितरित किया जाएगा, सिस्टम सेटिंग्स का उपयोग किया जाता है, अर्थात, उपयोगकर्ता की वर्तमान भाषा। नीचे Win32 / Rodpicom.C नमूनों की हैश और इस स्पैम अभियान के लिए उन्हें वितरित करने के प्रयासों की संख्या दी गई है।



दुर्भावनापूर्ण लिंक भेजने के लिए दुर्भावनापूर्ण कोड न केवल Skype का उपयोग करता है। निम्नलिखित अन्य त्वरित संदेश सेवाओं की सूची है जो दुर्भावनापूर्ण कोड उपयोगकर्ता के सिस्टम में खोज करने की कोशिश कर रहा है:

• विंडोज मैसेंजर
• काफी इंटरनेट पेजर
• GoogleTalk
• Digsby

निष्कर्ष

जाहिर है, इस तरह के बड़े पैमाने पर स्पैम हमले की योजना पहले ही बनाई गई थी और हमलावर उच्च स्तर के उपयोगकर्ता समझौता करना चाहते थे। हमने दर्ज किया कि इसका एक चरण सुबह 9 बजे यूरोपीय समय से शुरू हुआ, जो कार्य दिवस की शुरुआत से मेल खाता है, जब सामाजिक नेटवर्क पर यातायात काफी अधिक है।

फ़िशिंग संदेशों के साथ मैलवेयर के चार अलग-अलग संशोधनों का उपयोग करके साइबर अपराधियों का उपयोग करने का अभ्यास बहुत प्रभावी रहा है। मैलवेयर के प्रत्येक घटक ने अपना इच्छित कार्य किया। पावर लोडर सुरक्षा सुविधाओं को दरकिनार करते हुए सिस्टम के शुरुआती समझौते के लिए जिम्मेदार था, सी एंड सी सर्वर के साथ काम कर रहा था और अगले चरण का प्रदर्शन करने के लिए रोडपिक मालवेयर डाउनलोड कर रहा था। बदले में, Rodpicom तत्काल संदेश सेवाओं के माध्यम से दुर्भावनापूर्ण कोड के वितरण के लिए जिम्मेदार था। अन्य दो दुर्भावनापूर्ण प्रोग्राम जो पावर लोडर उपयोगकर्ता के कंप्यूटर पर डाउनलोड करते हैं, वे विभिन्न खातों से लॉगिन और पासवर्ड सहित विभिन्न उपयोगकर्ता डेटा एकत्र करने के लिए उपकरण हैं।