VPNFilter वायरस, जिसने 500 हजार राउटरों को संक्रमित किया था, सोचा था कि इससे भी अधिक खतरनाक है

कुछ हफ़्ते पहले, सूचना सुरक्षा विशेषज्ञों ने वीपीएनफिल्टर नामक एक खतरनाक मैलवेयर को चेतावनी दी थी । जैसा कि यह निकला, इस मैलवेयर का मुख्य लक्ष्य विभिन्न निर्माताओं का राउटर है। VPNFilter में सबसे पहले Cisco Talos के सुरक्षा विशेषज्ञों की एक टीम थी।

डेवलपर्स द्वारा मालवेयर में लगातार सुधार किया जा रहा है। हाल ही में, एक नया मॉड्यूल खोजा गया है जो आने वाले ट्रैफ़िक के संबंध में मानव-में-मध्य हमले के प्रकार का उपयोग करता है। हमलावर राउटर से गुजरने वाले ट्रैफ़िक को संशोधित कर सकते हैं। वे किसी भी समस्या के बिना किसी भी डेटा को अपने सर्वर पर पुनर्निर्देशित कर सकते हैं। वायरस मॉड्यूल को ssler कहा जाता है।

आने वाले ट्रैफ़िक को संशोधित करने के अलावा, ssler पीड़ितों के व्यक्तिगत डेटा को अपने रचनाकारों को भी हस्तांतरित कर सकता है। ये विभिन्न संसाधनों के लिए पासवर्ड हो सकते हैं जो साइबर क्रिमिनल फिर विभिन्न उद्देश्यों के लिए उपयोग करते हैं।

व्यक्तिगत जानकारी की चोरी को रोकने के लिए, टीएलएस एन्क्रिप्शन आमतौर पर उपयोग किया जाता है, जिसे मैलवेयर बायपास कर सकता है। यह HTTP ट्रैफ़िक के लिए "डाउनग्रेडिंग" HTTPS कनेक्शन द्वारा किया जाता है, जो किसी भी चीज़ द्वारा संरक्षित नहीं है। फिर अनुरोध हेडर को बदल दिया जाता है, जो एक संकेत के रूप में कार्य करता है कि पहुंच बिंदु असुरक्षित है। Ssler विशेष रूप से Google, फेसबुक, ट्विटर और यूट्यूब सहित विभिन्न संसाधनों के यातायात को संशोधित करता है। तथ्य यह है कि ये सेवाएं अतिरिक्त सुरक्षा प्रदान करती हैं। उदाहरण के लिए, Google HTTP ट्रैफ़िक को HTTPS सर्वर पर पुनर्निर्देशित करता है। लेकिन मॉड्यूल आपको इस सुरक्षा को बायपास करने की अनुमति देता है, ताकि हमलावर अनियंत्रित ट्रैफ़िक प्राप्त करें।

जिस समय से वायरस का पता चला है, सूचना सुरक्षा विशेषज्ञ इसकी क्षमताओं का अध्ययन कर रहे हैं । अब यह पता चला कि वह जितना सोचा गया था उससे कहीं ज्यादा खतरनाक था। पहले, उदाहरण के लिए, सिस्को विशेषज्ञों ने दावा किया कि हमलावरों का मुख्य कार्य कंपनी के कार्यालयों और पीड़ितों के घरों में नेटवर्क उपकरणों को संक्रमित करना था। शायद बॉटनेट बनाने के लिए। लेकिन अब यह पता चला कि यह उपयोगकर्ता थे, या बल्कि, उनका डेटा - मुख्य लक्ष्य।

“शुरुआत में, जब हमने वायरस की खोज की, तो हमने माना कि यह विभिन्न प्रकार के नेटवर्क हमलों को लागू करने के लिए बनाया गया था। लेकिन यह पता चला कि यह सभी मुख्य कार्य और मैलवेयर की संभावना नहीं है। यह मुख्य रूप से उपयोगकर्ता डेटा चोरी करने और यातायात को संशोधित करने के लिए बनाया गया था। उदाहरण के लिए, एक वायरस यातायात को इस तरह से बदल सकता है कि एक ग्राहक-बैंक उपयोगकर्ता अपने खाते में समान राशि देखेगा। लेकिन वास्तव में, पैसा लंबे समय तक नहीं रहा है, ”साइबरसिटी विशेषज्ञों की रिपोर्ट में कहा गया है।

दिलचस्प है, अधिकांश संक्रमित डिवाइस यूक्रेन में / में स्थित हैं। HTTP सख्त परिवहन सुरक्षा जैसे सुरक्षात्मक उपाय यहां बहुत आम नहीं हैं, इसलिए उपयोगकर्ता डेटा जोखिम में है। लेकिन अन्य देशों में समस्याएं हैं - उदाहरण के लिए, संयुक्त राज्य अमेरिका और पश्चिमी यूरोप में, कई डिवाइस जो नैतिक रूप से अप्रचलित हैं, एचटीटीपीएस के साथ काम करना समर्थन नहीं करते हैं, जबकि HTTP का उपयोग करना जारी है।

यह पहले बताया गया था कि इस वायरस के लिए सबसे असुरक्षित राउटर मॉडल ASUS, D-Link, Huawei, Ubiquiti, UPVEL और ZTE द्वारा निर्मित डिवाइस हैं। वास्तव में, वायरस की चपेट में आने वाले उपकरणों की सीमा अधिक व्यापक है। यह Linksys, MikroTik, Netgear और TP-Link के मॉडल सहित।

और यह सब नहीं है

उपरोक्त सभी की घोषणा के अलावा, तलोस ने एक स्निफर मॉड्यूल की खोज की सूचना दी। यह एक निश्चित प्रकार के डेटा की खोज में यातायात का विश्लेषण करता है जो औद्योगिक प्रणालियों के संचालन से जुड़े हैं। यह यातायात टीपी-लिंक आर 600 से गुजरता है, जो मॉड्यूल द्वारा निर्धारित किया जाता है। इसके अलावा, मॉड्यूल एक निश्चित सीमा से आईपी एक्सेस की तलाश करता है, साथ ही साथ डेटा पैकेट जो 150 बाइट्स या अधिक आकार का होता है।



“वायरस के निर्माता बहुत विशिष्ट चीजों की तलाश कर रहे हैं। वे यथासंभव अधिक जानकारी एकत्र करने की कोशिश नहीं करते हैं, न कि बिल्कुल भी। उन्हें पासवर्ड, लॉगिन, एक विशिष्ट आईपी रेंज और इस तरह की पहुंच की आवश्यकता है। हम यह समझने की कोशिश कर रहे हैं कि शोधकर्ताओं को यह सब किसकी जरूरत हो सकती है। '

लेकिन यह सब नहीं है, क्योंकि अब वायरस को अपडेट किया जा रहा है, इसकी कार्यक्षमता में एक स्वयं-विनाश मॉड्यूल दिखाई दिया है। जब मॉड्यूल सक्रिय होता है, तो वायरस को बिना किसी निशान के डिवाइस से हटा दिया जाता है।

इस तथ्य के बावजूद कि एफबीआई ने लगभग एक सप्ताह पहले मुख्य सर्वर की खोज की और जब्त कर लिया, बॉटनेट अभी भी सक्रिय है, जो उपाय किए गए थे, वे स्पष्ट रूप से पर्याप्त थे।