क्रिप्टो खनिकों ने माइक्रोसॉफ्ट स्टोर में घुसपैठ की

यह पता चला है कि माइक्रोसॉफ्ट स्टोर निर्देशिका में भी आप एक दुर्भावनापूर्ण प्रोग्राम प्रकाशित कर सकते हैं, और कोई भी इसे नोटिस नहीं करेगा। यह हमलावरों के लिए बहुत सुविधाजनक है, क्योंकि अधिकांश उपयोगकर्ता Microsoft स्टोर, ऐप स्टोर और Google Play जैसी निर्देशिकाओं के बारे में सोचते हैं कि वे एक तरह के सुरक्षित ठिकाने के रूप में हैं जहाँ वे वायरस से सुरक्षित हैं (बेशक, ऐसा नहीं है)। तदनुसार, हजारों उपयोगकर्ता लापरवाही से कुछ भी बुरा होने के बिना आवेदन को डाउनलोड करते हैं। दुर्भाग्य से स्कैमर्स के लिए, अब इस दुकान को आंशिक रूप से कवर किया गया है।

17 जनवरी, 2019 को, सिमेंटेक को माइक्रोसॉफ्ट स्टोर में अंतर्निहित क्रिप्टोमिनर्स के साथ आठ ऐप मिले । सभी अनुप्रयोग PWA (प्रगतिशील वेब अनुप्रयोग) वर्ग से संबंधित हैं, वे विंडोज 10 पर स्थापित हैं और एक अलग विंडो (WWAHost.exe) में काम करते हैं, जो ब्राउज़र की तरह नहीं दिखता है, लेकिन वास्तव में वे ब्राउज़र-आधारित अनुप्रयोग हैं।

ऐसे कार्यक्रम पीड़ित के कंप्यूटर में कुछ भी गलत नहीं करते हैं। वे सीपीयू पर बस और चुपचाप मेरा मोनरो, बहुत अधिक सीपीयू लोड के बिना।

Symantec ने तुरंत Microsoft को खोज की सूचना दी, और उन्हें जल्द ही कैटलॉग से हटा दिया गया। 15 फरवरी, रिपोर्ट सार्वजनिक डोमेन में प्रकाशित हुई थी।

एप्लिकेशन की सूची में कई विषयगत श्रेणियां शामिल हैं: यहां आपके कंप्यूटर और बैटरी को अनुकूलित करने पर ट्यूटोरियल हैं (यहां कुछ विडंबना है), इंटरनेट, वेब ब्राउज़रों की खोज के लिए एक आवेदन, और YouTube से वीडियो डाउनलोड करने के लिए भी कार्यक्रम हैं।

हालांकि डेवलपर्स तीन कंपनियां हैं (DigiDream, 1clean और Findoo), लेकिन सिमेंटेक विशेषज्ञों का मानना ​​है कि वे वास्तव में एक व्यक्ति या समूह द्वारा बनाए गए हैं।

एक तरफ, अगर कोई डेवलपर उपयोगकर्ता समझौते में छोटे अक्षरों में खनन के बारे में लिखता है, तो 99% की संभावना के साथ किसी ने भी इस वाक्यांश पर ध्यान नहीं दिया होगा, लेकिन उसके कार्य पूरी तरह से कानूनी होंगे। दूसरी ओर, किसी भी मामले में, खनन शायद Microsoft Store अनुप्रयोगों के नियमों का उल्लंघन करता है, इसलिए उन्हें बस कैटलॉग में नहीं डाला जाएगा।

ये आवेदन अप्रैल और दिसंबर 2018 के बीच पोस्ट किए गए थे, जिनमें से अधिकांश वर्ष के अंत में प्रकाशित हुए थे।

यह ज्ञात नहीं है कि कितने उपयोगकर्ताओं ने प्रोग्राम डाउनलोड और इंस्टॉल किए हैं। लेकिन वे माइक्रोसॉफ्ट स्टोर के टॉप में मुफ्त एप्लिकेशन के शीर्ष में खोजना आसान था। सिमेंटेक का कहना है कि जनवरी के मध्य तक, 1,900 रेटिंग इन अनुप्रयोगों के लिए प्रकाशित की गई है, जिसका अर्थ है कि उपयोगकर्ताओं की संख्या हजारों, या शायद हजारों में है। दूसरी ओर, रेटिंग में घाव हो सकता है, इसलिए सटीक मूल्यांकन करना संभव नहीं है।

जैसे ही एप्लिकेशन डाउनलोड और लॉन्च किए जाते हैं, वे तुरंत डेवलपर के सर्वर से खनन के लिए जावास्क्रिप्ट लाइब्रेरी डाउनलोड करते हैं। यह कैसे किया जाता है: प्रत्येक प्रोग्राम के आधिकारिक डोमेन मैनिफ़ेस्ट फ़ाइल में पंजीकृत होते हैं। उदाहरण के लिए, नीचे स्क्रीनशॉट में फास्ट-सर्च लाइट एप्लिकेशन के लिए Fast-search.tk डोमेन।



स्थापना के बाद, एप्लिकेशन इस डोमेन तक पहुँचता है और Google टैग प्रबंधक (GTM) स्क्रिप्ट को सक्रिय करता है, और सभी आठ अनुप्रयोग एक ही GTM-PRFLJPX कुंजी के साथ ऐसा करते हैं। Google टैग प्रबंधक एक सामान्य विपणन उपकरण है। यह लिंक https://www.googletagmanager.com/gtm.js?id={GTM ID} तरह दिखता है, जो सैद्धांतिक रूप से आपको एक मनमाना कार्य करने की अनुमति देता है, जिसका उपयोग हमलावरों द्वारा किया जाता था।

GTM की आड़ में, निम्न स्क्रिप्ट लॉन्च की गई है:



नेटवर्क ट्रैफ़िक को सुनकर, Symantec विशेषज्ञों ने देखा कि यह स्क्रिप्ट एक दूरस्थ सर्वर तक पहुँच रही है और http://statdynamic.com/lib/crypta.js लाइब्रेरी को डाउनलोड करने का प्रयास कर रही है।

खैर, फिर यह स्पष्ट है Crypta.js खनन के लिए एक एन्क्रिप्टेड पुस्तकालय है, जो CPU और खनिकों के सिक्के का उपयोग करता है, जो साइबर अपराधियों के साथ लोकप्रिय है। क्यों लोकप्रिय? क्योंकि यह केंद्रीय प्रोसेसर पर खनन के लिए विशेष रूप से अनुकूलित है, इसलिए अब तक खनन कम से कम लाभदायक है।

वास्तव में, Crypta.js एक प्रसिद्ध कॉइनहाइव लाइब्रेरी का एक संस्करण है, जो एक कानूनी सेवा है जो सितंबर 2017 में खोला गया था और अभी भी काम कर रहा है, जिससे प्रोग्राम डेवलपर्स और वेबसाइट के मालिकों के लिए उपयोगकर्ता आधार का मुद्रीकरण हो सकता है।

Symantec ने Crypta.js को डिक्रिप्ट किया और एक Coinhive खाता पाया जहां खनन से पैसा स्थानांतरित किया गया है : da8c1ffb984d0c24acc5f8b966d6f218fc3ca3bbda661 । हो सकता है कि भविष्य में किसी दिन, ऐसी स्थितियों में, हमलावर के खाते को गिरफ्तार कर लिया जाएगा, और उससे प्राप्त सिक्कों को सभी पीड़ितों के बीच वितरित किया जाएगा।