अम्मी एडमिन साइट ने फिर समझौता किया

हम उन उपयोगकर्ताओं को चेतावनी देते हैं जिन्होंने 13-14 जून को आधिकारिक वेबसाइट से अम्मी एडमिन रिमोट एक्सेस प्रोग्राम डाउनलोड किया था। साइट को समझौता किया गया था, इस समय अंतराल में, कार्यक्रम का एक ट्रोजन संस्करण इससे वितरित किया गया था। एक और चेतावनी: दुर्भावनापूर्ण नेटवर्क गतिविधि को विफल करने के लिए हमलावरों ने विश्व कप के ब्रांड का इस्तेमाल किया।

अक्टूबर 2015 में, एमी एडमिन के मुफ्त संस्करण की पेशकश करने वाली साइट का उपयोग पहले से ही मैलवेयर वितरित करने के लिए किया गया था। हम पिछले हमले को प्रसिद्ध साइबर ग्रुप बुह्रैप से जोड़ते हैं । अब कहानी खुद को दोहरा रही है। हमने 13 जून की आधी रात के बाद समस्या को ठीक किया, 14 जून की सुबह तक मालवरी का वितरण जारी रहा।

दूरस्थ प्रशासन और कासिडेट बॉट शामिल थे

13-14 जून को एमी एडमिन डाउनलोड करने वाले उपयोगकर्ताओं को वैध सॉफ़्टवेयर का पैकेज और बहुउद्देश्यीय ट्रोजन मिला, जिसे ईएसईटी उत्पादों द्वारा Win32 / Kasidet के रूप में पाया गया है। हम अनुशंसा करते हैं कि संभावित पीड़ित एंटीवायरस उत्पाद का उपयोग करके उपकरणों को स्कैन करें।

Win32 / कासिडेट एक बॉट है जो डार्कनेट पर बेचा जाता है और विभिन्न साइबर समूहों द्वारा सक्रिय रूप से उपयोग किया जाता है। 13 और 14 जून, 2018 को ammyy.com पर असेंबली की खोज की गई, जिसमें दो कार्य थे:

1. फ़ाइलों की चोरी जिसमें क्रिप्टोक्यूरेंसी पर्स और पीड़ित खातों के लिए पासवर्ड और अन्य प्राधिकरण डेटा हो सकते हैं। इसके लिए, मैलवेयर निम्नलिखित फ़ाइल नामों की खोज करता है और उन्हें C & C सर्वर पर भेजता है:
- बिटकॉइन
- पास
- पासवर्ड
- wallet.dat

2. दिए गए नामों से प्रक्रियाओं की खोज करें:
- शस्त्रागार
- बिटकॉइन
- पलायन
- विद्युत्
- जक्सक्स
- रखना
- किटी
- mstsc
- मल्टीबाइट
- पोटीन
- रेडमिन
- बनाम
- जीएससीपी
- xshell

C & C सर्वर का URL (hxxp: // 85a2018start [।] जानकारी / पैनल / कार्य.php) भी रुचि है। ऐसा लगता है कि हमलावरों ने दुर्भावनापूर्ण नेटवर्क गतिविधि को नाकाम करने के लिए विश्व कप के ब्रांड का उपयोग करने का फैसला किया।

हमें 2015 के हमले में समानताएं मिलीं। तब हमलावरों ने ammyy.com का उपयोग करके मैलवेयर के कई परिवारों को वितरित किया, उन्हें लगभग हर दिन बदल दिया। 2018 में, केवल Win32 / Kasidet वितरित किया गया था, लेकिन तीन मामलों में पेलोड ऑब्सफेकशन बदल गया, संभवतः एंटीवायरस उत्पादों द्वारा पता लगाने से बचने के लिए।

घटनाओं के बीच एक और समानता पेलोड वाले फ़ाइल का समान नाम है - Ammyy_Service.exe । एक भरी हुई AA_v3.exe इंस्टॉलर पहली नज़र में वैध लग सकती है, लेकिन हमलावरों ने SmartInstaller का उपयोग किया और एक नई बाइनरी फ़ाइल बनाई, जो एमी एडमिन स्थापित करने से पहले Ammyy_Service.exe रीसेट Ammyy_Service.exe ।

निष्कर्ष

चूंकि यह पहली बार नहीं है कि ammyy.com से समझौता किया गया है, इसलिए हम अनुशंसा करते हैं कि आप Ammyy एडमिन डाउनलोड करने से पहले एक विश्वसनीय एंटीवायरस समाधान स्थापित करें। हमने अम्मी एडमिन डेवलपर्स को समस्या के बारे में सूचित किया।

अम्मी एडमिन एक वैध उपकरण है, लेकिन हमलावरों ने अक्सर इसका इस्तेमाल किया है। नतीजतन, ईएसईटी सहित कुछ एंटीवायरस उत्पाद, संभावित संभावित अनुप्रयोग के रूप में इसका पता लगाते हैं। हालाँकि, यह सॉफ़्टवेयर अभी भी व्यापक रूप से, विशेष रूप से, रूस में उपयोग किया जाता है।

संकेतक से समझौता करें

ESET का पता लगाना
Win32/Kasidet

SHA-1 हैश

संस्थापक

6D11EA2D7DC9304E8E28E418B1DACFF7809BDC27
6FB4212B81CD9917293523F9E0C716D2CA4693D4
675ACA2C0A3E1EEB08D5919F2C866059798E6E93

Win32 / कासिडेट

EFE562F61BE0B5D497F3AA9CF27C03EA212A53C9
9F9B8A102DD84ABF1349A82E4021884842DC22DD
4B4498B5AFDAA4B9A2A2195B8B7E376BE10C903E

C & C सर्वर

fifa2018start[.]info