सुरक्षा सप्ताह 48: हैक ब्लैक फ्राइडे

सौभाग्य से, ब्लैक फ्राइडे नामक विश्व उपभोक्ता उत्सव समाप्त हो गया है। यह पता लगाने के लिए रहता है कि आपने पैसा बचाया है या अभी भी खो दिया है। और यह मुद्दा न केवल खरीदे गए सामान की आवश्यकता और उपयोगिता से संबंधित है। कभी-कभी खरीदारी के बजाय, क्रेडिट कार्ड या भुगतान प्रणाली खाता रिसाव होता है, और फिर साइबर अपराधियों के कार्यों के परिणामस्वरूप धन की सीधी चोरी होती है। बड़े पैमाने पर बिक्री की घटना उन लोगों की भी रुचि है जो ऑनलाइन भुगतान की रक्षा करते हैं, इसलिए पिछले सप्ताह भी पर्याप्त सुरक्षा अनुसंधान किया गया था। आइए सबसे दिलचस्प देखें।

आज की रिलीज में: व्यक्तिगत कंप्यूटर और मोबाइल फोन पर उपयोगकर्ताओं पर मैलवेयर के हमले। क्रेडिट कार्ड की जानकारी की चोरी के बाद ऑनलाइन स्टोर पर हमले। और बस नकली वेबसाइटें जो कुछ भी नहीं बेचती हैं, लेकिन जनता से पैसा स्वीकार करती हैं। और हम Kaspersky Lab द्वारा जांच की गई Rotexy Android ट्रोजन के साथ शुरू करेंगे।

Rotexy ( इस समाचार में एक संक्षिप्त अवलोकन, पूर्ण अध्ययन ) Android उपकरणों के लिए एक दुर्भावनापूर्ण कार्यक्रम है, जिसे पहली बार 2014 में खोजा गया था। ट्रोजन के इस परिवार की एक विशेषता कमांड सर्वर के साथ संचार के लिए एक साथ तीन चैनलों का उपयोग करना था: एसएमएस के माध्यम से, सीधे इंटरनेट के माध्यम से या Google क्लाउड मैसेजिंग सेवा का उपयोग करना। ट्रोजन को एसएमएस संदेशों के माध्यम से एक संक्रमित एपीके के लिंक के माध्यम से वितरित किया जाता है, जिसका नाम AvitoPay.apk या पसंद है। यदि आपने कभी भी बिक्री के लिए एक विज्ञापन रखा है और "मैं भुगतान करने के लिए तैयार हूं, तो यहां क्लिक करें" लिंक के साथ एक अजीब एसएमएस प्राप्त हुआ, यह वह था (या ऐसा ही कुछ, ऐसे बहुत सारे कार्यक्रम थे)। स्थापना और व्यवस्थापक अधिकारों का अनुरोध करने के बाद, Rotexy डिवाइस के IMEI को कमांड सर्वर पर भेजता है। जवाब में, नियमों का एक सेट आता है जो आपको प्रक्रिया करने की अनुमति देता है, उदाहरण के लिए, ऑनलाइन बैंकिंग से एसएमएस। ये नियम कुछ इस तरह दिखते हैं:


प्रारंभ में, संक्रमित फोन और कमांड सर्वर के बीच संचार पूरी तरह से स्पष्ट था, क्योंकि 2015 एन्क्रिप्शन दिखाई दिया है। 2016 में, फ़िशिंग को पैसे चुराने (एसएमएस भेजने, इंटरसेप्ट करने और बैंकों से रिप्लाई एसएमएस निकालने) के लिए एक विशिष्ट सेट में जोड़ा गया था।


व्यवस्थापक अधिकारों के लिए पूछने के बाद मैलवेयर का सबसे आधुनिक संस्करण एक स्टब दिखाता है - कथित रूप से एप्लिकेशन इंस्टॉल नहीं किया जा सकता है। वास्तव में, प्रोग्राम अपने आइकन को इंस्टॉल किए गए एप्लिकेशन की सूची से छिपाता है। यदि उपयोगकर्ता प्रशासनिक अधिकारों के अनुरोध को अस्वीकार करता है, तो एप्लिकेशन स्क्रीन पर ब्लिंक करना शुरू कर देता है। स्थापना के बाद, जब आप एप्लिकेशन को रोकने की कोशिश करते हैं, तो फोन को जबरन रिबूट किया जाता है। प्रबंधन सर्वर द्वारा भेजे गए आदेश के आधार पर, ट्रोजन खुद को फोन पर सभी संपर्कों को भेज सकता है, खुद को अपडेट कर सकता है, हमलावरों को संपर्कों और संदेशों की एक सूची भेज सकता है, यह दिखावा करता है कि उपयोगकर्ता को एसएमएस प्राप्त हुआ है, एक फ़िशिंग पृष्ठ या पृष्ठ कथित तौर पर पैसे के जबरन वसूली के साथ एक स्मार्टफोन को अवरुद्ध करने वाला पृष्ठ प्रदर्शित करता है। । यदि उपयोगकर्ता कार्ड डेटा में प्रवेश करता है, तो ट्रोजन बैंक के एसएमएस से अंतिम चार अंकों की तुलना कर सकता है और सही संख्या दर्ज करने के लिए "अनुशंसा" करता है।


ब्लैक फ्राइडे (रूसी में लघु संस्करण, अंग्रेजी में पूर्ण संस्करण) के लिए कंप्यूटर और मोबाइल फोन के लिए अधिक ट्रोजन कास्परस्की लैब की रिपोर्ट में वर्णित हैं। अध्ययन साइबर अपराधियों के हितों का एक अनुमानित विराम प्रदान करता है: आधे मामलों में, पीड़ितों के भुगतान डेटा को ऑनलाइन खुदरा विक्रेताओं (स्वतंत्र दुकानों की बिक्री, उदाहरण के लिए, कपड़े और गहने, लेकिन इलेक्ट्रॉनिक्स नहीं) पर खरीद के दौरान रोक दिया जाता है। ऑनलाइन प्लेटफॉर्म जैसे कि ईबे या अलीबाबा मैलवेयर द्वारा "नियंत्रित" होने की बहुत कम संभावना है। शायद इसलिए कि उनके लिए मूल्य अब क्रेडिट कार्ड नंबर नहीं है, लेकिन उपयोगकर्ता खाते हैं। पेपल खातों को अक्सर काले बाजार पर पेश किया जाता है, लेकिन अमेज़ॅन और ईबे खाते अक्सर पाए जाते हैं।

बेईमानी से आबादी से पैसे लेने का एक और तरीका नकली वेबसाइटों को बनाना और बढ़ावा देना है जो लोकप्रिय ऑनलाइन प्लेटफार्मों की नकल करते हैं। ग्रुप-आईबी ( समाचार ) के एक अध्ययन ने केवल एक अलीएक्सप्रेस साइट के कम से कम 400 क्लोनों की खोज की सूचना दी। कैस्पर्सकी लैब द्वारा पिछले साल के "शुक्रवार" अध्ययन में मोबाइल उपकरणों से खरीद की हिस्सेदारी में उल्लेखनीय वृद्धि हुई है, जहां यह निर्धारित करना कि आपके पास एक नकली वेबसाइट है, डेस्कटॉप संस्करण को देखने की तुलना में और भी कठिन है। अंत में, भुगतान विवरण चोरी करने के लिए, अंतिम उपयोगकर्ताओं पर हमला करना बिल्कुल आवश्यक नहीं है। 2015 से, सूचना सुरक्षा शोधकर्ता MageCart समूह की गतिविधियों की निगरानी कर रहे हैं, जिसे CMS मैगेंटो पर हुए हमलों से इसका नाम मिला। उदाहरण के लिए, एक बड़ी टिकटमास्टर टिकट सेवा इस गर्मी में उनके हाथों से पीड़ित हुई।

शोधकर्ता विलेम डी ग्रोट के अनुसार, नवंबर में, समूह के सदस्यों (या व्यक्तिगत गिरोहों) ( समाचार , शोधकर्ता के ब्लॉग पर पोस्ट ) के बीच प्रतियोगिता शुरू हुई। साइटों में से एक पर, कई दुर्भावनापूर्ण लिपियों की खोज की गई जो हमलावरों को क्रेडिट कार्ड नंबर के बारे में डेटा भेजते हैं। लिपियों में से एक (अधिक उन्नत) ने न केवल क्रेडिट कार्ड नंबर एकत्र किए - यह प्रतियोगियों के काम में भी हस्तक्षेप करता था: कार्ड नंबर उनके सर्वर को भेजे गए थे, जिसमें एक अंक को ऐसे सरल रैंडमाइज़र की मदद से बदल दिया गया था।


इस प्रकार, एक आपराधिक समूह दूसरे की प्रतिष्ठा को भी खराब करता है। एक ही विशेषज्ञ के अनुसार, पिछले तीन महीनों में, मैजार्टकार्ट अभियान से संबंधित दुर्भावनापूर्ण कोड, एक तरीका या कोई अन्य, पाँच हज़ार से अधिक साइटों पर पाया गया है। तीन साल में, 40 हजार साइटें संक्रमित हो गईं। एक ऑनलाइन स्टोर पर लगातार 18 बार हमला किया गया। दूसरे पर, हमलावरों ने प्रशासकों को एक संदेश छोड़ा: कहते हैं, लिपियों को हटाना बंद करो।

हमले के तरीकों के विकास के बावजूद, क्रेडिट कार्ड फंडों की चोरी और भुगतान प्रणाली खातों की चोरी को रोकने के लिए सिफारिशें समान हैं। ऑनलाइन भुगतान करने के लिए सीमित बजट वाले व्यक्तिगत कार्ड का उपयोग करते हुए, मैलवेयर से उपकरणों की रक्षा करना, दोनों खातों और भुगतान के लिए दो-कारक प्रमाणीकरण का उपयोग करना। खैर, एंड्रॉइड ट्रोजन के बारे में कहानी पर लौटते हुए, आपको लिंक पर क्लिक नहीं करना चाहिए, भले ही कोई परिचित व्यक्ति उन्हें आपको भेजता हो।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।