अच्छा हाजिरा इल्ली आईओटी उपकरणों की रक्षा करता है

दुर्भावनापूर्ण मिराई कीड़ा नेटवर्क पर फैलता है और अपने बोटनेट में नए IoT डिवाइस जोड़ता है। लेकिन उसके पास एक मजबूत विरोधी है - हज़ाइम रक्षात्मक कीड़ा। पहली बार अक्टूबर 2016 में देखा गया, इस बॉटनेट ने पहले से ही 10,000 से अधिक नेटवर्क कैमरों, राउटर, सेट-टॉप बॉक्स और इंटरनेट से जुड़े अन्य उपकरणों का संरक्षण ले लिया है।

हर 10 मिनट में, हाज़िम टर्मिनल में एक संदेश प्रदर्शित करता है: “सिर्फ एक नैतिक हैकर, हम कुछ प्रणालियों की रक्षा करते हैं। इस तरह से महत्वपूर्ण संदेशों पर हस्ताक्षर किए जाएंगे! Hajime द्वारा पोस्ट किया गया। संपर्क बंद सतर्क रहें! ”

अन्य बॉटनेट्स के विपरीत, हेज़िम डीडीओएस हमलों को अंजाम नहीं देता है, बिटकॉइन की खान नहीं करता है और एक संक्रमित डिवाइस पर कोई दुर्भावनापूर्ण कार्य नहीं करता है, अन्य कमजोर उपकरणों की तलाश में नेटवर्क स्कैन के अलावा यह सुरक्षा के लिए भी संक्रमित है। पोर्ट टीसीपी / 23 (टेलनेट) और टीसीपी / 5358 (डब्ल्यूएसडीएपीआई) स्कैन किए जाते हैं। संक्रमण के बाद, कीड़ा चार बंदरगाहों को अवरुद्ध करता है जो मिराई और अन्य समान मैलवेयर फैलाने के लिए उपयोग किए जाते हैं: टीसीपी / 23 (टेलनेट), टीसीपी / 7547 (टीआर -06 9), टीसीपी / 5555 (टीआर -06 9), और टीसीपी / 5358 (डब्ल्यूएसडीएपीआई)।

हेज़ाइम मानक लॉगिन और पासवर्ड के 61 संयोजनों की एक ही सूची का उपयोग करता है जो मिराई को संक्रमित करने के लिए है (प्लस दो अतिरिक्त संयोजन: रूट / 5up और ऐथरोस राउटर और एक्सेस पॉइंट के लिए एडमिन / 5 यूपी)। सामान्य तौर पर, ये जुड़वां भाई हैं, उनमें से केवल एक अंधेरे पक्ष में है, और दूसरा प्रकाश की तरफ है।

इसी तरह का "अच्छा" मैलवेयर पहले भी सामने आ चुका है। उदाहरण के लिए, 2015 में, सिमेंटेक ने लिनक्स सिस्टम के लिए वायरस वाइफच का वर्णन किया , जिसने इस तरह से काम किया।

ऐसे कार्यक्रमों के लेखकों की पहल का स्वागत किया जा सकता है, लेकिन खुद को चापलूसी न करें: उनका प्रभाव केवल अस्थायी है। मैलवेयर डिवाइस की मेमोरी में संग्रहीत होता है, और रिबूट के बाद, यह फिर से असुरक्षित स्थिति में लौटता है यदि मालिक ने पासवर्ड बदलने का ध्यान नहीं रखा है। एक मानक पासवर्ड और टेलनेट दुनिया के लिए खुला होने के साथ, डिवाइस अभी भी मिराई को स्थापित करने के लिए तैयार है, सिमेंटेक लिखता है ।

कुछ दिनों पहले, रेडवेयर विशेषज्ञों ने हेज़ाइम का एक तकनीकी विश्लेषण प्रकाशित किया था। वे निष्कर्ष निकालते हैं कि लेखक एक बहुत ही कुशल प्रोग्रामर है जिसने इस कार्यक्रम को बनाने में बहुत समय बिताया है। यह कोई सरल शिल्प नहीं है। एक सरल उदाहरण: मिराई के विपरीत, जब एक उपकरण को संक्रमित करने की कोशिश की जाती है, तो यह कीड़ा सूची से बड़े पैमाने पर लॉगिन और पासवर्ड पर पुनरावृति नहीं करता है, लेकिन डिवाइस निर्माता को निर्धारित करने के लिए स्क्रीन पर प्राधिकरण रूप में पाठ को पढ़ता है - और उसके बाद विशेष रूप से उस निर्माता के लिए मानक पासवर्ड। इसलिए, मिक्रोटिक राउटर पर हमला करते समय, यह उपयोगकर्ता नाम "व्यवस्थापक" और एक खाली पासवर्ड के साथ लॉग इन करने की कोशिश करता है। यह मिक्रोटिक प्रलेखन में निर्दिष्ट डिफ़ॉल्ट संयोजन है।

इसके अलावा, हैम टॉरेंट के माध्यम से फैलता है। कमांड और प्रोग्राम अपडेट ट्रांसफर करने के लिए, UTP बिटटोरेंट प्रोटोकॉल का उपयोग किया जाता है - यह भी मिराई और इसी तरह के बॉटनेट के साथ अनुकूल रूप से तुलना करता है। इसके अलावा, यह मज़बूती से हाजिम को अवरुद्ध होने से बचाता है। हाजिम लोडर बॉटनेट में दूसरे नोड से कोड डाउनलोड कर सकता है - उस संक्रमण से नहीं, जिससे संक्रमण हुआ था। इसके अलावा, हाजिम अपने नोड्स के बीच संचार को निजी और सार्वजनिक कुंजी के साथ हस्ताक्षरित करता है। संचार UDP / 1457 से अधिक होता है और एक अन्य पोर्ट टीसीपी के लिए 1024 से अधिक यादृच्छिक संख्या के साथ होता है।


हाज़िम संक्रमण भूगोल

उपरोक्त सभी को देखते हुए, यह स्पष्ट रूप से एक उच्च-स्तरीय कार्यक्रम है। मुझे खुशी है कि एथिकल हैकर्स (व्हाइट हैट) कौशल में अनैतिक (ब्लैक हैट) से बेहतर हैं।

यह सच है कि अक्टूबर 2016 में, रॅपिडिटी नेटवर्क्स विशेषज्ञों ने हेज़ाइम एन्क्रिप्शन प्रोटोकॉल के कार्यान्वयन में भेद्यता की खोज की , लेकिन अभी तक कार्यक्रम के अनाम लेखक ने इस भेद्यता को बंद कर दिया है। अब कृमि चीजों के इंटरनेट के उपकरणों के बीच सक्रिय रूप से फैलता रहता है। रैडवेयर ने बॉटनेट संचार सीखने के लिए एक हनीपोट की स्थापना की है। हनीपोट के ऑपरेशन के पांच हफ्तों में, 12,023 अद्वितीय आईपी पतों के साथ 14,348 हज़ाइम संक्रमण दर्ज किए गए। यह बॉटनेट के वितरण के काफी पैमाने को इंगित करता है, हालांकि बॉट्स की सेना के आकार का अनुमानित अनुमान अभी भी देना मुश्किल है। लेकिन हाज़ीम ने रिपोर्टिंग अवधि के लिए हैनिपॉट पर दर्ज सभी IoT बोटनेट की गतिविधि का 50% उत्पन्न किया।



हाजाइम की अन्य दिलचस्प विशेषताएं एआरआरआईएस केबल मोडेम के पिछले दरवाजे में एक पिछले दरवाजे का उपयोग हैं; हेक्स स्ट्रिंग्स से डायनेमिक बूटलोडर पीढ़ी मैन्युअल रूप से प्रत्येक कोड के लिए अनुकूलित कोडांतरक कार्यक्रमों के आधार पर लिखी गई है।

सुरक्षा विशेषज्ञों का कहना है कि किसी भी समय हैकर के "अच्छे" इरादे निर्दयी में बदल सकते हैं। यह हाज़िम के लिए एक अपडेट को रोल करने के लिए पर्याप्त है - यह जल्दी से टोरेंट नेटवर्क पर फैल जाएगा, और सभी दसियों या सैकड़ों हजारों बॉट तुरंत शुरू हो सकते हैं, उदाहरण के लिए, डीडीओएस हमला। सॉफ्टवेयर की गुणवत्ता को देखते हुए, हेज़ाइम बहुत व्यापक रूप से फैल सकता है और बोट्स की संख्या में मिराई को पछाड़ सकता है। और यह आश्चर्य की बात नहीं होगी अगर यह एक या दो साल में एक दुर्भावनापूर्ण उपकरण में बदल जाए।

हाजिम बाइनरी और फ़ाइल हैश को जीथब रिपॉजिटरी में जोड़ा जाता है । 28 जनवरी से 5 मार्च तक, मुख्य बाइनरी को छह बार अपडेट किया गया था।