ऑपरेशन विंडिगो

इस पोस्ट में, हम "विंडिगो" मैलवेयर अभियान के बारे में जानकारी प्रकाशित करते हैं, जिसके उपयोग से हमलावरों ने हजारों लिनक्स और यूनिक्स सर्वरों से समझौता किया। SSH क्रेडेंशियल्स चोरी करने के लिए, सर्वर को दुर्भावनापूर्ण कोड और स्पैम को रीडायरेक्ट करने के लिए समझौता सर्वर का उपयोग किया गया था। यह ऑपरेशन कम से कम 2011 में शुरू हुआ और विभिन्न बड़े सर्वरों और कंपनियों के बीच समझौता हुआ, जिसमें जानी-मानी cPanel भी शामिल थी - एक कंपनी जो एपोनिज़म होस्टिंग कंट्रोल पैनल विकसित करती है। इस अभियान का एक अन्य प्रमुख शिकार जाने-माने संसाधन k कर्नेल.ऑर्ग था , जो कि लिनक्स कर्नेल के लिए मुख्य स्रोत कोड रिपॉजिटरी है।



हम पहले ही अपनी रिपोर्ट में इन अभियानों में उपयोग किए गए दुर्भावनापूर्ण कार्यक्रमों के बारे में पहले ही लिख चुके हैं और इस साल [ 1 , 2 , 3 ], हालांकि, अब हमारे पास जो कुछ हो रहा है, उसकी पूरी तस्वीर है, साथ ही अन्य दुर्भावनापूर्ण कार्यक्रमों का विश्लेषण भी है। हमलावरों द्वारा इस्तेमाल किया। पहले उल्लेख किए गए लिनक्स / ईबरी और लिनक्स / सीडीकॉर्डेड बैकडोर , जिनका उपयोग सर्वर पर विभिन्न सेवाओं के क्रेडेंशियल्स को चोरी करने के लिए किया गया था, साथ ही आगंतुकों को दुर्भावनापूर्ण संसाधनों के लिए वेब सेवाओं पर पुनर्निर्देशित किया गया था। उनके अलावा, Perl / Calfbot मैलवेयर Windigo ऑपरेशन में शामिल था, जिसकी मदद से संक्रमित सर्वर प्रति दिन लाखों स्पैम संदेश उत्पन्न कर सकते थे।

मुख्य निष्कर्ष

• ऑपरेशन विंडिगो कम से कम 2011 में शुरू हुआ।
• पिछले दो वर्षों में, 25 हजार से अधिक सर्वरों से समझौता किया गया है।
• हमलावर ऑपरेटिंग सिस्टम की एक विस्तृत श्रृंखला से समझौता करने में सक्षम थे, जिसमें Apple OS X, OpenBSD, FreeBSD, MS Windows और Linux शामिल हैं।
• कुछ मैलवेयर OS स्तर के पोर्टेबल हैं। Perl / Calfbot स्पैम बॉट किसी भी OS पर चल सकता है जिसमें Perl दुभाषिया स्थापित है, और SSH पिछले दरवाजे लिनक्स और FreeBSD दोनों सर्वरों पर चल सकता है।
• जैसा कि हमने शुरू में ही उल्लेख किया था, cPanel और Linux Foundation जैसे बड़े संगठन इस हमले के शिकार थे।
• विंडिगो प्रति दिन लगभग 35 मिलियन स्पैम संदेश भेजने के लिए जिम्मेदार है।
• वर्तमान में 700 से अधिक वेब सर्वर उपयोगकर्ताओं को दुर्भावनापूर्ण सामग्री पर पुनर्निर्देशित करते हैं।
• हर दिन, विंडिगो वेब संसाधनों से छेड़छाड़ करने वाले डेढ़ लाख से अधिक आगंतुकों को कारनामों के एक सेट पर पुनर्निर्देशित किया जाता है।
• सफल पुनर्निर्देशन के परिणामस्वरूप उपयोगकर्ताओं के मैलवेयर संक्रमण का अनुमानित स्तर लगभग 1% है।
• विंडिगो दुर्भावनापूर्ण कार्यक्रमों को काफी उच्च स्तर पर विकसित किया जाता है: वे सिस्टम में उपस्थिति को छिपाने के लिए तकनीकों का उपयोग करते हैं, विभिन्न प्लेटफार्मों, क्रिप्टोग्राफी के बीच पोर्टेबिलिटी, और वे लिनक्स सिस्टम में हमलावरों के ज्ञान का एक उच्च स्तर भी दिखाते हैं।
• HTTP पिछले दरवाजे अपाचे httpd, Nginx, और lighttpd सेवाओं के बीच पोर्टेबल है।
• हमलावर एक समझौता किए गए सर्वर के संसाधनों का अधिकतम उपयोग करते हैं, जिस पर उन्हें प्राप्त होने वाले पहुंच के स्तर के आधार पर विभिन्न मैलवेयर और अन्य गतिविधि लॉन्च करते हैं।
• सर्वर तक पहुंच प्राप्त करने के लिए, हमलावरों ने चोरी की हुई साख का उपयोग किया, साथ ही किसी भी भेद्यता का दोहन करने के बजाय पिछले दरवाजे वाले एप्लिकेशन (शुरू में आवेदनों से समझौता) किया।

सामान्य जानकारी

ईएसईटी द्वारा विंडर का खुलासा सीईआरटी-बंड , एसएनआईसी रिसर्च सेंटर और यूरोपीय न्यूक्लियर रिसर्च ऑर्गनाइजेशन (सीईआरएन) के साथ मिलकर किया गया था। सर्वर तक पहुंचने के लिए, हमलावरों ने रिमोट कोड निष्पादन के लिए किसी भी कारनामे का उपयोग नहीं किया; इसके बजाय, दुर्भावनापूर्ण सामग्री से समझौता किए गए विभिन्न लिनक्स कार्यक्रमों के वितरण का उपयोग किया गया, साथ ही खातों के प्रमाणीकरण क्रेडेंशियल्स मूल रूप से सर्वर में लॉग इन करने के लिए उपयोग किए गए थे। इसके बाद, नए संक्रमित मशीनों से समझौता करने के लिए चुराए गए अकाउंट डेटा के डेटाबेस को नए संक्रमित मशीनों द्वारा फिर से बनाया गया।

हमलावरों ने निम्न दुर्भावनापूर्ण ऑपरेशन करके इस अभियान से लाभ उठाया:

• स्पैमिंग;
• समझौता सर्वर (ड्राइव-बाय) के उपयोगकर्ताओं का संक्रमण;
• विज्ञापन साइटों के लिए समझौता किए गए सर्वर के उपयोगकर्ताओं को पुनर्निर्देशित करना।

अंजीर। विभिन्न मालवेयर घटकों और विंडिगो द्वारा उपयोग की जाने वाली सेवाओं की सहभागिता।

विन्डिगो ऑपरेशन में हमलावरों द्वारा निम्नलिखित मैलवेयर का उपयोग किया गया था:

• लिनक्स / Ebury लिनक्स सर्वरों से समझौता करता है। कमांड लाइन (रूट बैकडोर शेल) के माध्यम से सिस्टम तक पूरी पहुंच के साथ हमलावर प्रदान करता है, और एसएसएच क्रेडेंशियल्स चोरी करने की क्षमता भी रखता है।
• लिनक्स / Cdorked लिनक्स वेब सर्वर से समझौता करता है। कमांड लाइन के माध्यम से सिस्टम तक पूर्ण पहुंच देता है और विंडोज उपयोगकर्ताओं (ड्राइव-बाय) द्वारा मैलवेयर संक्रमण के लिए जिम्मेदार है।
• Linux / Onimiki Linux DNS सर्वर से समझौता करता है। सर्वर नाम पर कॉन्फ़िगरेशन सेटिंग्स को संशोधित करने की आवश्यकता के बिना, एक विशिष्ट पैटर्न से मेल खाने वाले डोमेन नामों को परिवर्तित करने के लिए जिम्मेदार।
• Perl / Calfbot उन OS से समझौता करता है जिसमें स्थापित Perl दुभाषिया पैकेज शामिल होता है। स्पैमिंग (स्पैम बॉट) के लिए जिम्मेदार।
• Win32 / Boaxxe.G क्लिक धोखाधड़ी के आयोजन के लिए एक दुर्भावनापूर्ण कोड है ( Win32 / Boaxxe.BE पोस्ट देखें ), साथ ही साथ Win32 / Glupteba.M , साइबर अपराधियों द्वारा विंडोज के लिए एक प्रॉक्सी सेवा के रूप में उपयोग किया जाता है। ड्राइव-बाय संक्रमित सर्वर के माध्यम से फैलता है।

विंडिगो से संबंधित घटनाक्रम का कालक्रम निम्नलिखित है।



खाता डेटा चोरी

जैसा कि हमने ऊपर उल्लेख किया है, एसएसएच क्रेडेंशियल चोरी एकमात्र खोजी तकनीक है जिसके द्वारा हमलावर विंडिगो का विस्तार करते हैं और नए पीड़ितों तक पहुंच प्राप्त करते हैं। दो सामान्य SSH क्रेडेंशियल चोरी परिदृश्य हैं। इस डेटा की चोरी पहली बार है जब कोई उपयोगकर्ता किसी संक्रमित सर्वर पर एक सफल लॉगिन ऑपरेशन करता है। जब उपयोगकर्ता (या व्यवस्थापक) किसी अन्य सिस्टम पर लॉग ऑन करने के लिए किसी संक्रमित सर्वर का उपयोग करता है, तो अन्य परिदृश्य में डेटा चोरी शामिल होती है। Windigo ऑपरेशन में लिनक्स / Ebury एक प्रमुख तत्व है, क्योंकि यह खाता डेटा चोरी करने के लिए जिम्मेदार है।


अंजीर। लिनक्स / Ebury का उपयोग करके खाता डेटा की अनुसूची चोरी।

इंटरसेप्टेड लिनक्स / ईबरी डेटा को विशेष डीएनएस प्रश्नों के माध्यम से विशेष एक्सफ़िल्टरेशन सर्वर पर भेजा जाता है। इन क्रेडेंशियल्स को फिर हमलावरों द्वारा संक्रमण फैलाने के लिए उपयोग किया जाएगा। हमलावर समूह उन सर्वरों से कनेक्ट करने के लिए जो खाता डेटा प्राप्त हुआ था, के संचालन के लिए विशेष अनाम सुरंग सेवाओं का उपयोग करता है। यह उन्हें अधिक समय के लिए किसी का ध्यान नहीं जाने देता है। सर्वर का उपयोग चोरी खाते के डेटा को पुनः प्राप्त करने के लिए भी किया जाता है।


अंजीर। विंडिगो ऑपरेटरों द्वारा खाता डेटा की चोरी की योजना।

चुराए गए खाते की जानकारी विंडिगो ऑपरेटरों के हाथों में होने के बाद, उन्हें प्रवेश स्तर के लिए जाँच की जाती है जो वे एक सफल लॉगिन के मामले में प्रदान करते हैं। यदि खाता रूट विशेषाधिकार प्रदान नहीं करता है, तो सर्वर अछूता रह सकता है, अर्थात, यह समझौता नहीं किया जाएगा, या उस पर पर्ल / कैलफ़बोट मैलवेयर स्थापित किया जाएगा। यदि खाता रूट एक्सेस प्रदान करता है, तो सर्वर पर लिनक्स / ईबरी स्थापित किया जाता है, जिसके माध्यम से हमलावर रिमोट कंट्रोल के लिए सर्वर तक पहुंच प्राप्त करते हैं। कुछ मामलों में, हमलावर रूट विशेषाधिकार के साथ Perl / Calfbot भी स्थापित करते हैं, लेकिन यह एक अपवाद नहीं है।

ट्रैफ़िक पुनर्निर्देशन और उपयोगकर्ता संक्रमण

यदि एक या कई वेबसाइटें एक समझौता किए गए सर्वर पर काम कर रही हैं, तो ऐसी प्रणाली पर लिनक्स / कॉडर्कड स्थापित किया जाएगा। इसके अलावा, हमलावर सर्वर पर अन्य दुर्भावनापूर्ण सेवाओं को तैनात कर सकते हैं। उदाहरण के लिए, यदि सर्वर 443 वाँ HTTPS पोर्ट परोसता है और इंटरनेट से एक्सेस करता है, तो इस सर्वर पर nginx रिवर्स प्रॉक्सी इंस्टॉलेशन स्थापित किया जाएगा, इसका उपयोग पर्ल / कैलफोट बॉट और रियल एंड सी सर्वर के बीच लिंक के रूप में किया जाएगा।

लिनक्स / Cdorked संक्रमित वेब सर्वर किट सर्वरों का शोषण करने के लिए उपयोगकर्ताओं को पुनर्निर्देशित करते हैं जो उन्हें दुर्भावनापूर्ण कोड के साथ संक्रमित करने का प्रयास करते हैं। नीचे एक आरेख है कि यह कैसे होता है।


अंजीर। यातायात पुनर्निर्देशन को व्यवस्थित करने के लिए उपयोग किए जाने वाले बुनियादी ढांचे पर हमला।

पुनर्निर्देशन तर्क तीन चरणों पर आधारित है:

1. उपयोगकर्ता एक संक्रमित लिनक्स / Cdorked सर्वर पर होस्ट की गई वैध साइट पर जाता है, जो फिर उसे एक विशेष दुर्भावनापूर्ण डोमेन पर पुनर्निर्देशित करता है, जो मूल डोमेन (नए उपडोमेन) के आधार पर बनता है। यह पुनर्निर्देशन संक्रमित लिनक्स / ईबरी सर्वर के एक सेट के माध्यम से किया जाता है और ऑपरेटरों द्वारा प्रदान की जाने वाली कुछ शर्तों पर निर्भर करता है।
2. पहले से विश्वसनीय डीएनएस सर्वर पहले से ही लिनक्स / ओनिमिकी नामक विंडिगो घटकों में से एक से संक्रमित है और बाद के पुनर्निर्देशन के लिए संबंधित आईपी पते को वापस करता है (आवश्यक आईपी पते को उपडोमेन में एन्कोड किया गया है जो पिछले चरण में जोड़ा गया था)। चूंकि पुनर्निर्देशन के परिणामस्वरूप एक वैध डोमेन का उपयोग किया जाता है, इसलिए यह इस तथ्य को छिपाना संभव बनाता है कि पते को दुर्भावनापूर्ण रूप से बदल दिया जाता है, जिससे इस ऑपरेशन का पता लगाना अधिक कठिन हो जाता है। लौटाया गया आईपी पता रिवर्स प्रॉक्सी सर्वर का है।
3. यह सर्वर रिवर्स प्रॉक्सी सर्वर की श्रृंखला में प्रवेश बिंदु है, जो सर्वर पर काम करता है जो कारनामों का एक समूह है। यह अंतिम सर्वर उपयोगकर्ता के कंप्यूटर पर दुर्भावनापूर्ण कोड को स्थापित करने के लिए जिम्मेदार है, और इसे विज्ञापन साइटों पर पुनर्निर्देशित भी कर सकता है।

अंजीर। यदि पीड़ित आईओएस (आईपैड, आईफोन, आईपॉड) के तहत काम करता है, तो उसे पोर्न सामग्री (लिनक्स / सीडीकॉर्डेड) पर पुनर्निर्देशित किया जाता है।

निम्न तालिका रिपोर्ट की तारीख से पिछले तीन महीनों के लिए संक्रमित वेब सर्वरों के आईपी पते पर आँकड़े प्रदान करती है, अर्थात् नवंबर 2013, दिसंबर 2013 और जनवरी 2014।



इस प्रकार, इन तीन महीनों में, हमने 2,183 अनूठे आईपी पते देखे जो कि दुर्भावनापूर्ण सामग्री (लिनक्स / Cdorked द्वारा संक्रमित) के वितरण में देखे गए थे। उसी समय, इन पतों में से 221 ट्रैकिंग शुरू होने के तीन महीने तक सक्रिय थे। निम्नलिखित मानचित्र लिनक्स / सीडीआरकेड संक्रमण के भौगोलिक वितरण को दर्शाता है।


अंजीर। देश द्वारा लिनक्स / Cdorked सर्वर संक्रमण का वितरण।

नीचे दी गई तालिका उन देशों को दर्शाती है, जिनके पास सबसे अधिक लिनक्स / कॉडकोर संक्रमण है।



स्पैमिंग

मालवेयर इंस्टॉल करने से विंडिगो ऑपरेटर्स को लाभ होने का एक मुख्य तरीका ईमेल के जरिए स्पैम भेजना है। स्पैम या तो Perl / Calfbot से संक्रमित सर्वर के माध्यम से, या Win32 / Glupteba.M से संक्रमित होने वाले उपयोगकर्ताओं के PC के माध्यम से भेजा जाता है। नीचे हम Perl / Calfbot मालवेयर के साथ स्पैमिंग के मामले को देखते हैं।


अंजीर। स्पैम संदेश का एक उदाहरण।

Perl / Calfbot बॉट द्वारा भेजे गए स्पैम के वॉल्यूम और प्रकारों को समझने के लिए हमने दो अलग-अलग तरीकों का उपयोग किया। पहला दृष्टिकोण एक नकली बॉट बनाना है जो C & C सर्वर के साथ काम करने के लिए उपयुक्त प्रोटोकॉल को लागू करता है। दूसरे दृष्टिकोण का उपयोग करते हुए, हमने जनवरी 2014 में प्राप्त कैप्चर नेटवर्क ट्रैफ़िक को रिवर्स सी एंड सी रिवर्स प्रॉक्सी सर्वरों में से एक पर संसाधित किया और इसके परिणामों को आगे बढ़ाया।

नकली ग्राहक (बॉट) वास्तविक पर्ल / बछड़े के बॉट के आधार पर विकसित किया गया था। इसका उपयोग C & C सर्वर से स्पैम जॉब निकालने के लिए किया जाता है। स्पैम नौकरियां कई ईमेल टेम्प्लेट और मेलिंग सूची हैं। हमने अगस्त 2013 से फरवरी 2014 तक के आंकड़ों का विश्लेषण किया। इस समयावधि के दौरान, हमारे फर्जी ग्राहक को 20,683,814 अद्वितीय ईमेल पतों पर इसे उत्पन्न करने के लिए स्पैम भेजने के लिए 13,422 अलग-अलग कार्य मिले। निम्नलिखित बार ग्राफ ईमेल सेवा डोमेन दिखाता है जो स्पैमिंग के लिए ईमेल पते के रूप में सबसे अधिक बार उपयोग किया जाता था।


अंजीर। ईमेल सेवाएं जिनके उपयोगकर्ता स्पैम प्राप्त करने की सबसे अधिक संभावना रखते हैं।

स्पैम संदेशों की सामग्री के विश्लेषण के परिणामस्वरूप, हमें पता चला कि उनके पास कई प्रकार की सामग्री है। अधिकांश संदेश टेम्प्लेट कैसीनो विषयों, बोनस और ऑनलाइन डेटिंग के लिए समर्पित हैं। पाठ में कई संदेशों में "अनसब्सक्राइब" (सदस्यता समाप्त) और "रिपोर्ट" (रिपोर्ट) जैसे लिंक के रूप में प्रच्छन्न शब्द होते हैं, यह संभवतः सुरक्षा उपकरणों द्वारा स्पैम संदेशों का पता लगाने से बचने के लिए उपयोग किया जाता था। शायद हमलावरों ने उन उपयोगकर्ताओं के पते रिकॉर्ड किए जो इन लिंक पर क्लिक करते थे, उनके पते को सक्रिय के रूप में चिह्नित करते थे और बाद के मेलिंग में उनका उपयोग करते थे।


अंजीर। समाचार पत्र से सदस्यता समाप्त करने के लिए ईमेल प्रविष्टि फ़ॉर्म।

सामान्य स्पैम ईमेल नौकरी जो बॉट को दी गई थी, उसमें 3,000 ईमेल पतों की एक सूची शामिल है और अंग्रेजी में संदेश टेम्पलेट का उपयोग करता है, हालांकि हमने फ्रेंच, जर्मन, स्पेनिश और रूसी भाषाओं का भी उपयोग किया। सभी स्पैम संदेश टेम्प्लेट में उन डोमेन की ओर संकेत करने वाले URL होते हैं, जो एक समझौता किए गए TinyDNS सर्वर द्वारा दिए जाते हैं।

इस दुर्भावनापूर्ण अभियान के बारे में पूरी ESET रिपोर्ट यहाँ देखें ।

डाउनलोड द्वारा ड्राइव

पिछले सितंबर में, हम लिनक्स / सीडीआरकेड रिवर्स प्रॉक्सीज़ में से एक से नेटवर्क ट्रैफ़िक प्राप्त करने में कामयाब रहे। इस तथ्य के बावजूद कि यह डेटा केवल एक प्रॉक्सी सर्वर से प्राप्त किया गया था, इस ट्रैफ़िक के विश्लेषण ने हमें उपयोगकर्ताओं को संक्रमित सर्वर से दुर्भावनापूर्ण सामग्री को पुनर्निर्देशित करने की सीमा का अनुमान लगाने की अनुमति दी। कुछ ही दिनों में, हमने एक मिलियन से अधिक अलग-अलग आईपी पते देखे जो इस सर्वर तक पहुंचते थे, अर्थात्, उपयोगकर्ता द्वारा शोषक सूट पृष्ठ पर पुनर्निर्देशित किए जाने से ठीक पहले। इनमें से कुछ उपयोगकर्ता जो दुर्भावनापूर्ण सामग्री पर पुनर्निर्देशित किए गए थे, संक्रमित थे। हम उन उपयोगकर्ताओं के ओएस और ब्राउज़र पर आंकड़े प्राप्त करने में कामयाब रहे, जिन्हें इन कुछ दिनों में दुर्भावनापूर्ण सामग्री पर पुनर्निर्देशित किया गया था।


अंजीर। लिनक्स / Cdorked द्वारा समझौता की गई वेबसाइटों के शिकार बने उपयोगकर्ताओं के OS का वितरण।


अंजीर। लिनक्स / Cdorked द्वारा समझौता की गई वेबसाइटों के शिकार बने उपयोगकर्ताओं के ब्राउज़रों का वितरण।

जब उपयोगकर्ता का कंप्यूटर रिवर्स प्रॉक्सी सर्वर के बाहरी इंटरफ़ेस पर पुनर्निर्देशित होता है, तो बाद वाला शोषण सूट सर्वर पर पुनर्निर्देशित करने की एक श्रृंखला शुरू करता है, जो कि इन रीडायरेक्ट के लिए उपयोग किए जाने वाले प्रॉक्सी सर्वर के पीछे छिपा होता है। इस तरह के रीडायरेक्ट का अंतिम परिणाम एक उपयोगकर्ता को शोषण के एक सेट के साथ एक पृष्ठ पर मिलेगा, जहां से दुर्भावनापूर्ण कोड स्थापित किया जाएगा (ओएस / सॉफ्टवेयर के उपयोग के एक नुकसान के लिए सॉफ्टवेयर के मामले में)।

हमारे विश्लेषण के समय, विंडिगो ऑपरेटरों ने ब्लैकहोल शोषण सूट का उपयोग किया था। नवंबर 2013 में, ऑपरेटरों ने न्यूट्रिनो कारनामों के एक सेट पर स्विच किया, सबसे अधिक संभावना ब्लैकहोल के लेखक की गिरफ्तारी के कारण हुई, जब पॉंच "क्लाइंट" मैलवेयर के स्वत: वितरण के नए साधनों पर स्विच करना शुरू कर दिया। हमारा अनुमान है कि 1.1 मिलियन पुनर्निर्देशित उपयोगकर्ताओं में से, संक्रमितों की संख्या 11.108 थी, अर्थात, लगभग 1% (संक्रमण अनुपात)।

हमने मैलवेयर के दो अलग-अलग परिवारों का अवलोकन किया जो इस प्रकार साइबर अपराधियों द्वारा वितरित किए गए थे। संयुक्त राज्य अमेरिका, ब्रिटेन, कनाडा और ऑस्ट्रेलिया के उपयोगकर्ता Win32 / Boaxxe.G दुर्भावनापूर्ण कोड से संक्रमित थे, जबकि अन्य Win32 / Leechole से संक्रमित थे, एक दुर्भावनापूर्ण प्रोग्राम जो Win32 / Glupteba। सिस्टम में एक इंस्टॉलर है। हमलावरों ने विंडोज उपयोगकर्ताओं को संक्रमित करने के लिए लगातार इन मैलवेयर परिवारों का उपयोग किया है, कम से कम पूरे समय के लिए हमने इस अभियान को ट्रैक किया।

विंडिगो अभियान में उपयोग किए गए मैलवेयर का एक संपूर्ण विश्लेषण, समझौता के संकेतक (आईओसी) और अन्य उपयोगी जानकारी हमारी रिपोर्ट में पाई जा सकती है।