छिपाएँ और तलाश करें, या पहला बॉटनेट जो रिबूट से नहीं डरता

अप्रैल के अंत में, बिटडेफ़ेंडर एलएबीएस के सूचना सुरक्षा शोधकर्ताओं ने हाईड एंड सीक बॉटनेट (एचएनएस) का एक नया संस्करण खोजा , जो 2018 की शुरुआत में जाना गया। यह एक कस्टम पी 2 पी प्रोटोकॉल का उपयोग करता है और डिवाइस को रिबूट करने के बाद भी "जीवित" रहने वाला पहला बॉटनेट है, जिस पर यह तय है।

हम आपको बताएंगे कि एचएनएस कैसे करता है और आईओटी उपकरणों को इससे कैसे बचा सकता है।


/ फ़्लिकर / क्रिस यियू / सीसी

बॉटनेट 10 जनवरी से सुरक्षा विशेषज्ञों के साथ "लुका-छिपी खेल रहा है ": उस समय, हिड एंड सीक नेटवर्क में केवल 12 डिवाइस शामिल थे। उनमें से अधिकांश कोरियाई कंपनी फोकस एच एंड एस द्वारा निर्मित आईपी कैमरे थे, और उनके आईपी पते स्पष्ट रूप से कोड में लिखे गए थे।

बॉटनेट "छिपने" के बाद और केवल 20 जनवरी को ही पाया गया, लेकिन इसमें पहले से ही 14 हजार संक्रमित डिवाइस शामिल थे। जिसके बाद बॉटनेट ने अपना सक्रिय वितरण जारी रखा और लगभग 90 हजार अद्वितीय उपकरणों को संक्रमित करने में सफल रहा । और इसलिए, अप्रैल में, उसका नया संस्करण दिखाई दिया।

बॉटनेट कैसे काम करता है?

बॉटनेट के नए संस्करण में वितरण तंत्र में कई सुधार हैं। उदाहरण के लिए, उसने आईपी कैमरों की दो और कमजोरियों ( यहां और यहां अधिक विवरण) का शोषण करना सीखा, जिसने सिस्टम में एक्सेस अधिकारों को बढ़ाने और डिवाइस पर नियंत्रण हासिल करने की अनुमति दी। इसके अलावा, एचएनएस दो नए प्रकार के उपकरणों का पता लगा सकता है और उन्हें ब्रूट-फोर्स लॉगिन और पासवर्ड (डिफ़ॉल्ट रूप से सेट किए गए पासवर्ड की सूची का उपयोग करके) तक पहुंच सकता है।

HNS प्रचार तंत्र जैसा दिखता है कि नेटवर्क कैसे बिगड़ता है "गुणा"। सबसे पहले, बॉट पीड़ितों का चयन करने के लिए यादृच्छिक आईपी पतों की एक सूची तैयार करता है। फिर यह प्रत्येक मेजबान के लिए एक SYN अनुरोध भेजता है और उन लोगों के साथ "संचार" जारी रखता है जो 2323, 80 और 8080 बंदरगाहों पर अनुरोध का जवाब देते हैं। एक बार कनेक्शन स्थापित होने के बाद, मैलवेयर "बिल्डरोट लॉगिन" संदेश की खोज करता है और पूर्वनिर्धारित क्रेडेंशियल्स का उपयोग करके लॉग इन करने की कोशिश करता है। विफलता के मामले में, HNS हार्डकोडेड सूची में मेल खाता है।

कनेक्ट करने के बाद, बोटनेट लक्ष्य डिवाइस को निर्धारित करता है और समझौता करने की उपयुक्त विधि का चयन करता है। उदाहरण के लिए, यदि बॉट पीड़ित के साथ एक ही लैन नेटवर्क पर स्थित है, तो यह TFTP सर्वर को कॉन्फ़िगर करता है, जिससे लक्ष्य सीधे मालवेयर सैंपल डाउनलोड करने की अनुमति मिलती है। यदि पीड़ित इंटरनेट पर "स्थित" है, तो बोटनेट "दुर्भावनापूर्ण पैकेज" के दूरस्थ वितरण के लिए विभिन्न तरीकों की कोशिश करेगा। सभी कारनामों को पूर्व-निर्धारित किया गया है और अनधिकृत पहुंच को रोकने के लिए एक डिजिटल हस्ताक्षरित मेमोरी स्थान में संग्रहीत किया गया है। तरीकों की सूची को दूरस्थ रूप से अपडेट किया जा सकता है और संक्रमित मेजबानों के बीच वितरित किया जा सकता है।

सूचना सुरक्षा शोधकर्ताओं ने पाया कि बोटनेट में विभिन्न प्लेटफार्मों के लिए दस बायनेरिज़ संकलित हैं: x86, x64, ARM (लिटिल एंडियन और बिग एंडियन), सुपरह, पीपीसी और अन्य।

और लक्ष्य डिवाइस के एक सफल संक्रमण के बाद, सिस्टम में एक पैर जमाने के लिए मज़बूती से हासिल करने के लिए, बॉट खुद को /etc/init.d/ पर कॉपी करता है और ओएस स्टार्टअप के साथ ऑटोलॉड फ़ंक्शन को सक्रिय करता है (टेलनेट के माध्यम से पीड़ित के साथ बातचीत, क्योंकि रूट को बिनिट कॉपी करने के लिए init.d निर्देशिका की आवश्यकता होती है। -rule)। तब एचएनएस एक यादृच्छिक यूडीपी पोर्ट खोलता है जिसे साइबर अपराधियों को डिवाइस से संपर्क करने की आवश्यकता होगी।


/ फ़्लिकर / पास्कल / पीडी

अन्य बड़े बॉटनेट

सबसे प्रसिद्ध IoT बॉट में से एक मिराई कहा जा सकता है। एचएनएस की तरह, यह बोटनेट खुले टेलनेट बंदरगाहों के साथ IoT उपकरणों की तलाश में था। मिराई के लेखक, माइनक्राफ्ट और एनीमे के प्रशंसक (जापानी में मिरी का अर्थ है "भविष्य", "भविष्य की डायरी" मंगा के सम्मान में ), 2016 में वेबसाइटों, प्रदाता सर्वरों ( सितंबर और अक्टूबर में ) और संक्रमित के बारे में कई शक्तिशाली DDoS हमले किए। 300 हजार IoT डिवाइस (यहां आप मिराई के स्रोत कोड का विस्तृत विश्लेषण पा सकते हैं)।

एक अन्य प्रसिद्ध मामला हैज़ाइम (जापानी से अनुवादित "शुरुआत")। इस बॉटनेट ने ब्रूट बल के हमलों का उपयोग करके 300 हजार IoT उपकरणों को कैप्चर किया। हेज़ाइम हमलों ने ज्यादातर डिजिटल वीडियो रिकॉर्डर, वेबकैम और राउटर को लक्षित किया है। कैस्परस्की लैब के एक अध्ययन के अनुसार, बोटनेट मुख्य रूप से वियतनाम (20%), ताइवान (13%), और ब्राजील (9%) से संक्रमित उपकरण हैं। उसी समय, हेज़ाइम "होशपूर्वक" निजी नेटवर्क से बचते थे (जिनमें अमेरिकी रक्षा विभाग, हेवलेट-पैकर्ड, जनरल इलेक्ट्रिक और अन्य शामिल हैं)।

खुद की सुरक्षा कैसे करें

बिटडेफेंडर के प्रतिनिधियों के अनुसार, एचएनएस बॉटनेट अभी भी "विकास के चरण" पर है। इसके ऑपरेटर अधिक से अधिक उपकरणों को पकड़ने की कोशिश कर रहे हैं। इसलिए, उनकी भागीदारी के साथ हमले अभी तक नहीं किए गए हैं। लेकिन ऐसी संभावना है कि जल्द ही हैकर्स बाइनरी फ़ाइलों में "कॉम्बेट टीमों" को जोड़ देंगे।

एचओटी उपकरणों को एचएनएस के हमलों और सामान्य रूप से बॉटनेट से बचाने के लिए, ट्रेंड माइक्रो के सुरक्षा विशेषज्ञ इन सरल और काफी सामान्य चरणों का पालन करने की सलाह देते हैं :

• IoT डिवाइस के डिफ़ॉल्ट पासवर्ड को और अधिक जटिल एक में बदलें (सब कुछ हमेशा की तरह है: कम से कम 15 वर्ण, विभिन्न अक्षर मामला, प्लस संख्या और संकेत);
• नियमित रूप से अपडेट स्थापित करें, विशेष रूप से सुरक्षा से संबंधित;
• नेटवर्क, ट्रैफ़िक एन्क्रिप्शन, आदि की सुरक्षा के लिए सॉफ़्टवेयर समाधान का उपयोग करें

ये सरल तरीके आपको कई दुर्भावनापूर्ण कार्यक्रमों से अपने आप को बचाने की अनुमति देंगे जो चीजों के इंटरनेट को अपने रैंक में "भर्ती" करते हैं।

---

हमारे कॉर्पोरेट ब्लॉग से सामग्री का चयन:

• साइबर हमलों के 5 चरण
• एन्क्रिप्टेड ट्रैफ़िक को कैसे वर्गीकृत किया जाए
• अपने नेटवर्क पर पासवर्ड को सुरक्षित रूप से कैसे साझा करें
• फ़ायरवॉल या डीपीआई - विभिन्न प्रयोजनों के लिए सुरक्षा उपकरण
• पैर में गोली मार दी: दूरसंचार ऑपरेटरों के नेटवर्क के निर्माण में महत्वपूर्ण त्रुटियां