मालवेयर पर हस्ताक्षर करने के लिए डी-लिंक और चेंजिंग इन्फॉर्मेशन टेक्नोलॉजीज सर्टिफिकेट का उपयोग किया जाता है

ईएसईटी ने एक नया साइबर अभियान खोजा है जो कोड पर हस्ताक्षर करने के लिए चोरी किए गए प्रमाणपत्रों का उपयोग करता है। डी-लिंक कॉरपोरेशन और बदलते सूचना प्रौद्योगिकी से डिजिटल प्रमाणपत्र पूर्वी एशिया पर केंद्रित एक उच्च योग्य साइबर जासूसी समूह द्वारा चुराए गए हैं।


हमने एक दुर्भावनापूर्ण अभियान का पता लगाया जब हमारे सिस्टम ने कई फाइलों को संदिग्ध के रूप में चिह्नित किया। दिलचस्प बात यह है कि चिह्नित फाइलों को डी-लिंक कॉर्पोरेशन से वैध प्रमाण पत्र के साथ डिजिटल रूप से हस्ताक्षरित किया गया था। उसी प्रमाण पत्र का उपयोग वैध डी-लिंक सॉफ़्टवेयर पर हस्ताक्षर करने के लिए किया गया था; यह प्रमाणपत्र सबसे अधिक चोरी होने की संभावना थी।

फ़ाइल की दुर्भावना की पुष्टि करने के बाद, हमने डी-लिंक में एक समस्या की सूचना दी, जिसने अपनी जांच शुरू की। नतीजतन, 3 जुलाई को, कंपनी ने एक समझौता डिजिटल प्रमाणपत्र रद्द कर दिया ।


चित्र 1. मालवेयर पर हस्ताक्षर करने के लिए प्रयुक्त डी-लिंक डिजिटल प्रमाणपत्र

मैलवेयर

अध्ययन के दौरान, हमने दुर्भावनापूर्ण कार्यक्रमों के दो परिवारों को पाया जो चोरी के प्रमाण पत्र का उपयोग करते हैं - लक्ष्य डिवाइस के रिमोट कंट्रोल के लिए एक पिछले दरवाजे और पासवर्ड चोरी करने के लिए एक संबद्ध घटक। जेपीसीईआरटी ने हाल ही में प्लेड बैकडोर का एक विस्तृत विश्लेषण प्रकाशित किया ; ट्रेंड माइक्रो के अनुसार, इसका उपयोग साइबर-जासूसी समूह ब्लैकटेक द्वारा किया जाता है।

डिजिटल सिग्नेचर डी-लिंक के साथ प्लेड के नमूनों के अलावा, हमने ताइवान की सूचना सुरक्षा कंपनी चेंजिंग इंफॉर्मेशन टेक्नोलॉजी इंक द्वारा हस्ताक्षरित नमूनों की पहचान की।


चित्र 2. सूचना प्रौद्योगिकी इंक को बदलने का डिजिटल प्रमाण पत्र। मैलवेयर पर हस्ताक्षर करने के लिए उपयोग किया जाता है

प्रमाणपत्र सूचना प्रौद्योगिकी इंक बदलना 4 जुलाई, 2017 को वापस बुलाया गया, हालांकि, ब्लैकटेक समूह अभी भी अपने दुर्भावनापूर्ण साधनों पर हस्ताक्षर करने के लिए इसका उपयोग कर रहा है।

कई ताइवानी प्रौद्योगिकी कंपनियों के एक समझौते की संभावना और नए हमलों में उनके प्रमाण पत्र का पुन: उपयोग साइबर समूह की उच्च योग्यता और इस क्षेत्र में इसकी रुचि को दर्शाता है।

साइन किए गए प्लेड नमूने जंक कोड का उपयोग करते हुए भारी रूप से बाधित होते हैं, लेकिन मैलवेयर का उद्देश्य सभी नमूनों में समान है - रिमोट सर्वर से डाउनलोड करें या स्थानीय ड्राइव से एक छोटे एन्क्रिप्टेड बाइनरी ब्लॉब खोलें। इसमें एक एन्क्रिप्टेड शेलकोड होता है जो अंतिम प्लीड बैकडोर मॉड्यूल को लोड करता है।


चित्रा 3. Obfuscated Plead पिछले दरवाजे कोड

पासवर्ड चोरी उपकरण का उपयोग निम्नलिखित अनुप्रयोगों में सहेजे गए पासवर्ड को इकट्ठा करने के लिए किया जाता है:

- गूगल क्रोम
- माइक्रोसॉफ्ट इंटरनेट एक्सप्लोरर
- माइक्रोसॉफ्ट आउटलुक
- मोज़िला फ़ायरफ़ॉक्स

डिजिटल सर्टिफिकेट चोरी क्यों?

चोरी हुए डिजिटल प्रमाणपत्रों का उपयोग करना अपने आप को छिपाने का एक तरीका है। प्रमाण पत्र मैलवेयर को वैध दिखने में मदद करते हैं और इसलिए, संदेह पैदा किए बिना सुरक्षा को बायपास करते हैं।

संभवतः सबसे प्रसिद्ध मैलवेयर जिसने कई "एलियन" प्रमाणपत्रों का उपयोग किया है, स्टक्सनेट है , जिसे 2010 में खोजा गया था और इसे महत्वपूर्ण बुनियादी ढांचे पर केंद्रित पहला साइबर हथियार के रूप में जाना जाता है। Stuxnet ने RealTek और JMicron से चोरी हुए डिजिटल प्रमाणपत्रों का उपयोग किया, जो ताइवान की प्रसिद्ध प्रौद्योगिकी कंपनियां थीं।

हालांकि, यह रणनीति स्टक्सनेट जैसी बड़े पैमाने पर होने वाली घटनाओं के लिए अनन्य नहीं है, जैसा कि नवीनतम खोज से पता चलता है।

समझौता के संकेतक:

ESET उत्पादों द्वारा जांच:
Win32 / PSW.Agent.OES ट्रोजन
Win32 / Plead.L ट्रोजन
Win32 / Plead.S ट्रोजन
Win32 / Plead.T ट्रोजन
Win32 / Plead.U ट्रोजन
Win32 / Plead.V ट्रोजन
Win32 / Plead.X ट्रोजन
Win32 / Plead.Y ट्रोजन
Win32 / Plead.Z ट्रोजन

निरुपित नमूने (SHA-1):
80AE7B26AC04C93AD693A2D816E8742B906CC0E3
62A693F5E4F92CCB5A2821239EFBE5BD792A46CD
B01D8501F1EEAF423AA1C14FCC816FAB81AC8ED8
11A5D1A965A3E1391E840B11705FFC02759618F8
239786038B9619F9C22401B110CF0AF433E0CEAD

हस्ताक्षरित नमूने (SHA-1):
1DB4650A89BC7C810953160C6E41A36547E8CF0B
CA160884AE90CFE6BEC5722FAC5B908BF77D9EEF
9C4F8358462FAFD83DF51459DBE4CD8E5E7F2039
13D064741B801E421E3B53BC5DABFA7031C98DD9

सी और सी सर्वर:
amazon.panasocin [।] com
office.panasocin [।] com
okinawas.ssl443 [।] org

कोड पर हस्ताक्षर करने के लिए प्रमाणपत्रों की क्रमिक संख्या:
डी-लिंक निगम:
13: 03: 03: E4: 57: 0c: 27: 29: 09: E2: 65: Dd: B8: 59: De: Ef
बदलती सूचना प्रौद्योगिकी इंक।: 73: 65: ईडी: ई 7: एफ 8: एफबी: बी 1: 47: 67: 02: डी 2: 93: 08: 39: 6 एफ: 51
1E: 50: CC: 3D: D3: 9B: 4A: CC: 5E: 83: 98: CC: D0: DD: 53: EA