दक्षिण कोरियाई होस्टिंग कंपनी ने क्रिप्टो रैनसमवेयर ईरेबस के लिनक्स संस्करण के डेवलपर्स को $ 1 मिलियन का भुगतान किया

दक्षिण कोरिया के एक होस्टिंग सेवा प्रदाता ने हाल ही में एक क्रिप्टोकरंसी प्रोग्राम के डेवलपर्स को क्रिप्टोक्यूरेंसी में $ 1 मिलियन का भुगतान किया। इतने सारे क्यों? तथ्य यह है कि रैंसमवेयर ने लिनक्स पर चल रहे 153 सर्वरों को संक्रमित किया है। ये सर्वर कंपनी के ग्राहकों के 3400 साइटों को होस्ट करते हैं।

शुरुआत में, मैलवेयर डेवलपर्स लगभग $ 4.4 मिलियन प्राप्त करना चाहते थे। कंपनी ने कहा कि यह बहुत अधिक था, और यह इतनी राशि का भुगतान करने में सक्षम नहीं था। उसके बाद, साइबर अपराधियों ने अपनी भूख को कम करने के लिए सहमति व्यक्त की, "केवल" $ 1 मिलियन से संतुष्ट हो गए। अब कंपनी के कर्मचारी डेटा रिकवरी में लगे हुए हैं। यह इतनी त्वरित प्रक्रिया नहीं है, इसलिए ग्राहकों को तब तक इंतजार करना होगा जब तक कि उनकी सभी साइटें और सेवाएं फिर से काम करना शुरू न कर दें।

कंपनी के प्रतिनिधि ने कहा , "यह एक मुश्किल काम है, लेकिन मैं वह सब कुछ कर रहा हूं जो मुझ पर निर्भर करता है, और मैं सर्वर को काम करने के लिए बहाल करने के लिए सब कुछ करता हूं ।"

यह ध्यान देने योग्य है कि इस दुर्भावनापूर्ण सॉफ़्टवेयर के साथ मुख्य समस्या यह है कि यह लिनक्स के साथ काम करता है। रामसोवेयर को एरेबस नाम दिया गया था (पहले इस मैलवेयर का एक प्रकार था जो विंडोज सिस्टम पर हमला करता था)। वायरस ने कंपनी के सर्वरों में कैसे प्रवेश किया यह अभी भी स्पष्ट नहीं है। तकनीकी सहायता को सुलझा लिया जाता है, यह समझने की कोशिश की जाती है कि वास्तव में क्या हुआ था।

तृतीय-पक्ष विशेषज्ञ, जिन्होंने स्थिति का अध्ययन भी किया है, का तर्क है कि समस्या पुराने सॉफ़्टवेयर में हो सकती है जिसका उपयोग होस्टर द्वारा किया गया था। उदाहरण के लिए, नयना वेबसाइट लिनक्स सर्वर पर कर्नेल संस्करण 2.6.24.2 (2008) के साथ चली। इस संस्करण में कई कमजोरियां हैं, जिनमें डर्टी गाय भी शामिल है, जो हमलावरों को सिस्टम तक जड़ तक पहुंचने की अनुमति देती है। पुराने कर्नेल संस्करण के अलावा, कंपनी ने अपाचे संस्करण 1.3.36 और PHP संस्करण 5.1.4 के साथ काम किया, जो सभी 2006 में वापस जारी किए गए थे। यह कहना अतिश्योक्तिपूर्ण होगा कि पिछले दस वर्षों में, हमलावरों ने इस सॉफ़्टवेयर का अध्ययन किया है और ऊपर-नीचे किया है, जो कि उनकी ज़रूरत की हर चीज को सीखना है।

एरेबस पहली बार सितंबर 2016 में दिखाई दिया (या बल्कि, यह पहली बार खोजा गया था)। फिर एक अद्यतन संस्करण सामने आया, यह फरवरी 2017 में हुआ। तब डेवलपर्स ने विंडोज में उपयोगकर्ता खाता नियंत्रण को बायपास करने के लिए अपने उत्पाद को "सिखाया"।



दिलचस्प है, एरेबस का लिनक्स संस्करण अब मुख्य रूप से दक्षिण कोरिया में संचालित होता है। हो सकता है कि न केवल नयना पुराने सॉफ्टवेयर का उपयोग करती है, बल्कि इस क्षेत्र की अन्य होस्टिंग कंपनियां भी ऐसा ही करती हैं।

हैडर (0x438 बाइट्स)

RSA-2048-एन्क्रिप्टेड मूल फ़ाइल नाम

RSA-2048-एन्क्रिप्टेड एईएस कुंजी

RSA-2048-एन्क्रिप्टेड RC4 कुंजी

RC4- एन्क्रिप्टेड डेटा

आप इसे केवल एक कुंजी की सहायता से कर सकते हैं, जिसे आपको साइबर अपराधियों से खरीदने की आवश्यकता है। तथ्य यह है कि पहली बार फ़ाइलों को 500 KB के ब्लॉक आकार के साथ ब्लॉक करके RC4 ब्लॉक का उपयोग करके एन्क्रिप्ट किया गया है। प्रत्येक ब्लॉक की कुंजी अनियमित रूप से उत्पन्न होती है। तब RC4 कुंजी पहले से ही एन्कोडेड है, यह फ़ाइल में संग्रहीत एईएस एल्गोरिथ्म का उपयोग करके किया जाता है। और पहले से ही इस कुंजी को आरएसए -2048 एल्गोरिथ्म के साथ एन्क्रिप्ट किया गया है, जो एक फ़ाइल में भी संग्रहीत है। ये कुंजियाँ स्थानीय रूप से बनाई गई हैं और उपलब्ध हैं। लेकिन ये सार्वजनिक कुंजी हैं, लेकिन निजी कुंजी एईएस और एक अन्य बेतरतीब ढंग से उत्पन्न कुंजी का उपयोग करके एन्क्रिप्ट की जाती हैं।

सवाल में Erebus संस्करण 433 विभिन्न फ़ाइल प्रकारों को एन्क्रिप्ट करता है। जैसा कि ऊपर उल्लेख किया गया है, घुसपैठियों से खरीदने के अलावा किसी अन्य विधि द्वारा निजी कुंजी प्राप्त करना असंभव है। इस बात की पुष्टि कई विशेषज्ञों ने की जिन्होंने हमले का विश्लेषण किया।

अब मेजबान दक्षिण कोरिया में कानून प्रवर्तन एजेंसियों के साथ मिलकर काम कर रहा है ताकि घुसपैठियों का पता लगाने की कोशिश की जा सके। लेकिन, निश्चित रूप से, कंपनी की खोजों के अलावा, यह पहले सर्वर और क्लाइंट के डेटा को पुनर्स्थापित करने के लायक है, फिर पुराने सॉफ़्टवेयर को अपडेट करता है, और उसके बाद ही घुसपैठियों की खोज के सभी प्रयासों को निर्देशित करता है।

दक्षिण कोरिया का एक हॉस्टल एकमात्र संगठन नहीं है जिसे हमलावरों को भुगतान करना पड़ा। पिछले साल, संयुक्त राज्य अमेरिका के एक स्कूल ने फाइलों को डिक्रिप्ट करने की कुंजी खरीदी थी , और इसके सर्वर पर एक सफल हमला किया गया था। सच है, इस मामले में यह एक मिलियन अमेरिकी डॉलर के बारे में नहीं था, लेकिन लगभग 8500 डॉलर था।

और पिछले साल नवंबर में, क्रिप्टो रैंसमवेयर के कारण, सैन फ्रांसिस्को संकीर्ण गेज रेलवे के सभी यात्रियों को मुफ्त में सवारी करने का अवसर मिला। तथ्य यह है कि क्रिप्टो रैंसमवेयर ने सैन फ्रांसिस्को नगर परिवहन एजेंसी ( एसएफएमटीए ) परिवहन कंपनी के सभी भुगतान टर्मिनलों को एन्क्रिप्ट किया था।

पिछले साल, अस्पताल, जिनके सर्वर भी मैलवेयर से संक्रमित थे, ने रैंसमवेयर डेवलपर्स को भी भुगतान किया। फिलहाल, भुगतान के लिए रिकॉर्ड धारक, जहां तक ​​कोई न्यायाधीश कर सकता है, नयना है, जिसकी चर्चा ऊपर की गई थी। किसी ने अधिक भुगतान किया हो सकता है, लेकिन इन मामलों के बारे में कुछ भी नहीं पता है, सबसे अधिक संभावना है, पीड़ित केवल गुमनाम रहना चाहते हैं।