फोटो, स्रोत - www.msspalert.com

सोमवार से मंगलवार की रात (लगभग 23:00 यूटीसी 03/18/2019), एचओआई हाइड्रो विशेषज्ञों ने नेटवर्क में खराबी और कई प्रणालियों को देखा। यह जल्द ही स्पष्ट हो गया कि विफलताओं को एक एनक्रिप्ट के साथ सिस्टम के बड़े पैमाने पर संक्रमण के कारण हुआ, जो बुनियादी सुविधाओं में बहुत तेज़ी से फैल गया। खतरे की पहचान करने के बाद, सुरक्षा सेवा ने अलगाव की प्रक्रिया शुरू की, हालांकि, मैलवेयर बुनियादी ढांचे पर इतनी गहराई से फैलने में कामयाब रहा कि उत्पादन नियंत्रण मैनुअल उत्पादन मोड ("रोलबैक") को उत्पादन प्रक्रियाओं के कम्प्यूटरीकरण से पहले अपनाई गई प्रक्रियाओं में स्थानांतरित करना आवश्यक था। हमले की जांच के लिए स्थानीय अधिकारियों और कानून प्रवर्तन एजेंसियों (राष्ट्रीय सुरक्षा प्राधिकरण / NorCERT, नॉर्वेजियन पुलिस सुरक्षा सेवा, राष्ट्रीय आपराधिक जांच सेवा) और साथ ही कई वाणिज्यिक कंपनियों की भागीदारी की आवश्यकता थी। बुनियादी ढांचे का पुनर्वास अभी तक पूरा नहीं हुआ है और व्यक्तिगत उत्पादन सुविधाएं (उदाहरण के लिए, एल्यूमीनियम प्रोफाइल को बाहर निकालना) अभी भी आधी क्षमता पर काम कर रही हैं।

इस तथ्य के बावजूद कि घटना की जांच पूरी नहीं हुई है और इसके पूरा होने के समय की भविष्यवाणी करना अभी भी मुश्किल है, उपलब्ध तथ्यों से आप हमलावरों की कार्रवाई के तंत्र को समझ सकते हैं और विश्लेषण कर सकते हैं कि एचओआई हाइड्रो ने क्या सही किया और क्या नहीं, और बचाव को और कैसे सुधार किया जा सकता है।

हमले के बाद कंपनी की स्थिति

कूकी हाइड्रो एक काफी बड़ी कंपनी है: इसकी सुविधाएं 40 देशों में स्थित हैं, और कर्मचारियों की कुल संख्या 35,000 से अधिक है। हमले से प्रभावित सूचना प्रणालियों और कंप्यूटरों की मात्रा भी बड़ी है। कंपनी के प्रतिनिधियों की जानकारी से लेकर अधिकारियों के साथ एक संयुक्त प्रेस कॉन्फ्रेंस में आवाज उठाई और वेबसाइट पर जांच और वसूली की प्रगति पर दैनिक समाचार (अद्यतन दिनांक 03/22/2019), यह इस प्रकार है:

• स्थानीय औद्योगिक घटनाएं और मानवीय चोटें नहीं हुईं;
• नतीजतन, सभी पौधों को सफलतापूर्वक अलग किया गया था, प्रक्रियाओं को मैनुअल कंट्रोल में स्थानांतरित किया गया था जहां संभव हो (एल्यूमीनियम बाहर निकालना संयंत्रों में, केवल 50% दक्षता हासिल की गई थी);
• मोबाइल डिवाइस और कुछ पीसी सामान्य रूप से काम कर रहे हैं, क्लाउड मेल सही ढंग से काम कर रहा है;
• विफल पीसी और सर्वर की संख्या की पूरी तस्वीर नहीं है, बुनियादी सुविधाओं की क्षति का एक अलग डिग्री है;
• आदेशों पर डेटा वाले सिस्टम तक कोई पहुंच नहीं है, लेकिन आवश्यक जानकारी है जो आदेशों के उत्पादन के लिए आवश्यक है;
• हमलावरों के बारे में कोई धारणा नहीं है, हमले के लिए उपयोग किए जाने वाले मैलवेयर के बारे में सबसे अधिक संभावना परिकल्पना है, लॉकरगाओ रागमवेयर;
• कंपनी के पास एक अच्छी तरह से स्थापित बैकअप प्रक्रिया है, और पहले से तैयार बैकअप के लिए रोलबैक मुख्य पुनर्प्राप्ति रणनीति है;
• कंपनी के पास साइबर जोखिम बीमा है, जिसका उपयोग वे किसी हमले से होने वाले नुकसान को कवर करने के लिए करते हैं।

यह ध्यान रखना महत्वपूर्ण है कि हमले के दौरान कूल्हे हाइड्रो ने कैसे व्यवहार किया। कंपनी ने यथासंभव खुले तौर पर काम किया: मुख्य साइट के साथ समस्याओं के समय के लिए, इसने एक अस्थायी शुरुआत की, एक फेसबुक खाते के माध्यम से जनता को सूचित किया, प्रतिभूति बाजार को इसकी स्थिति के बारे में सूचित किया और हमले के पहले दिन एक प्रेस कॉन्फ्रेंस आयोजित की।

कू हाइडी के कर्मचारियों के लिए एक चेतावनी कि साइबर हमले के कारण आपको किसी भी उपकरण को नेटवर्क से नहीं जोड़ना चाहिए। फोटो, स्रोत - www.reuters.com

LockerGoga मैलवेयर क्या है?

पहली बार आम जनता को जनवरी 2019 के अंत में LockerGoga का उपयोग करके हमलों के बारे में पता चला। एड्रन कंसल्टिंग कंपनी को इससे नुकसान हुआ, लेकिन इस हमले के बहुत कम तकनीकी विवरण थे। मालवेयर के कई संस्करणों के साथ हीड हाइड्रो पर हमला किया गया, जो कि उनकी कार्रवाई के यांत्रिकी द्वारा, जनवरी के हमले में इस्तेमाल किए गए नमूनों के समान (व्यक्तिगत "सुविधाओं" के अपवाद के साथ) हैं।

दुर्भावनापूर्ण निष्पादन योग्य फ़ाइलों को Sectigo (पूर्व में Comodo CA) द्वारा जारी किए गए एक ही प्रमाण पत्र के साथ हस्ताक्षरित किया जाता है क्योंकि Altran (संभवत: एक शेल कंपनी ALISA LTD पर 2 मालिकों और 1 GBP प्रत्येक के 2 शेयरों के साथ) में उपयोग किए गए नमूने। फिलहाल, प्रमाणपत्र रद्द कर दिया गया है, लेकिन हमले के दौरान यह मान्य था।

जाहिर है, प्रत्येक मैलवेयर का नमूना विशिष्ट रूप से हमला करने वाली कंपनी के लिए उत्पन्न किया गया था, जिसे शोधकर्ताओं द्वारा नमूनों के विश्लेषण में नोट किया गया है ।

सभी पहचाने गए नमूने स्व-प्रतिकृति (WannaCry और NotPetya के विपरीत) के लिए सक्षम नहीं हैं और हमला किए गए नोड पर चलाया जाना चाहिए। कूल्हे हाइड्रो नेटवर्क पर फैलने वाले मैलवेयर की सबसे अधिक संभावना है, दुर्भावनापूर्ण सामग्री के साथ कार्यों या सेवाओं को बनाने के लिए AD समूह की नीतियों का उपयोग। उच्च संभावना के साथ, इसका मतलब है कि प्रवेश स्तर पर एक और मैलवेयर का उपयोग किया गया था, जिसकी मदद से डोमेन में प्रशासनिक विशेषाधिकार प्राप्त करना संभव था। संभावित तंत्रों में से एक फ़िशिंग हो सकता है, इसके बाद करबरोस पासवर्ड की चोरी या एक समझौता किए गए नोड की मेमोरी से टिकट।

संक्रमण प्रक्रिया के दौरान, दुर्भावनापूर्ण निष्पादन योग्य फ़ाइल को %TEMP% निर्देशिका में कॉपी किया जाता है और उन्नत विशेषाधिकारों के साथ लॉन्च किया जाता है। उसके बाद, यह बड़ी संख्या में बच्चे की प्रक्रिया शुरू करता है, इकट्ठे सूची के अनुसार उनके लिए फ़ाइल एन्क्रिप्शन वितरित करता है। उपलब्ध नमूनों के व्यवहार को देखते हुए, न केवल कार्यालय दस्तावेजों, डेटाबेस और अन्य कामकाजी फाइलों ( doc, dot, wbk, docx, dotx, docb, xlm, xlsx, xltx, xlsb, xlw, ppt, pot, pps, pptx, potx, ppsx, sldx, pdf ), लेकिन C: \ ड्राइव (उदाहरण के लिए, dll पुस्तकालयों) पर अन्य फाइलें भी नमूने के आधार पर भिन्नता के साथ। चाइल्ड प्रोसेस RNG का उपयोग करके एक कुंजी / iv जोड़ी बनाता है, तो एईएस एल्गोरिथ्म का उपयोग एन्क्रिप्टेड डेटा के साथ फाइल को अधिलेखित करने के लिए करता है, कुंजी / iv जोड़ी को सार्वजनिक कुंजी के साथ एन्क्रिप्ट करता है, फ़ाइल में एन्क्रिप्ट की गई कुंजी जोड़ी को जोड़ता है, और फ़ाइल का नाम बदल देता है। यह व्यवहार आपको एन्क्रिप्शन कार्य के साथ संक्रमित कंप्यूटर के प्रोसेसर का अधिक उपयोग करने और पूरी प्रक्रिया को तेज करने की अनुमति देता है।

मूल प्रक्रिया भी फिरौती अनुरोध के साथ डेस्कटॉप पर एक पाठ फ़ाइल बनाती है (नाम में भिन्नता के साथ README_LOCKED.txt), स्थानीय उपयोगकर्ताओं के पासवर्ड को बदलता है (यह व्यवहार संभवतः नमूने के संस्करण पर निर्भर करता है, अर्थात केवल स्थानीय प्रशासकों के पासवर्ड एन्क्रिप्ट किए जा सकते हैं) और कमिट करता है। उपयोगकर्ता सत्र से बाहर निकलने के लिए मजबूर किया। कुछ संस्करणों में, कंप्यूटर के नेटवर्क इंटरफ़ेस को अक्षम करने की क्षमता का पता चला था।

इस प्रकार, कुछ मामलों में, एक संक्रमित पीसी बस बूट नहीं हो सकता है (यदि ओएस कर्नेल के महत्वपूर्ण घटकों को एन्क्रिप्ट किया गया है) या उपयोगकर्ता फिरौती आवश्यकताओं को देखने के लिए लॉग इन नहीं कर पाएंगे, जो कि वाइपर के लिए अधिक विशिष्ट है।

फिरौती अनुरोध (एक उदाहरण नीचे दिया गया है) में बटुए के पते या फिरौती की राशि नहीं है, लेकिन घुसपैठियों के साथ बातचीत के लिए केवल डाक पते हैं। दुर्भावनापूर्ण नमूनों के विभिन्न संस्करणों के अनुरोध में अलग-अलग ईमेल पते हैं।

 Greetings! There was a significant flaw in the security system of your company. You should be thankful that the flaw was exploited by serious people and not some rookies. They would have damaged all of your data by mistake or for fun. Your files are encrypted with the strongest military algorithms RSA4096 and AES-256. Without our special decoder it is impossible to restore the data. Attempts to restore your data with third party software as Photorec, RannohDecryptor etc. will lead to irreversible destruction of your data. To confirm our honest intentions. Send us 2-3 different random files and you will get them decrypted. It can be from different computers on your network to be sure that our decoder decrypts everything. Sample files we unlock for free (files should not be related to any kind of backups). We exclusively have decryption software for your situation DO NOT RESET OR SHUTDOWN – files may be damaged. DO NOT RENAME the encrypted files. DO NOT MOVE the encrypted files. This may lead to the impossibility of recovery of the certain files. To get information on the price of the decoder contact us at: AbbsChevis@protonmail.com IjuqodiSunovib98@o2.pl The payment has to be made in Bitcoins. The final price depends on how fast you contact us. As soon as we receive the payment you will get the decryption tool and instructions on how to improve your systems security 

मैलवेयर किसी भी C & C अवसंरचना का उपयोग नहीं करता है, हमलावर के साथ एकमात्र संचार चैनल ईमेल है। इसके अलावा, मैलवेयर अपनी गतिविधियों के निशान को छिपाने की कोशिश नहीं करता है। फिरौती तंत्र के समान कार्यान्वयन के साथ-साथ एन्क्रिप्टेड पीसी की वास्तविक अक्षमता के संबंध में, यह माना जा सकता है कि लॉकरगोगा का लक्ष्य WannaCry और NotPetya मैलवेयर के समान है। हालांकि, यह सच है या नहीं, फिलहाल कोई नहीं कह सकता।

क्या सही किया गया था और क्या नहीं किया गया था

हाई-प्रोफाइल साइबर हमलों के बारे में जानकारी का खुलासा करने के बाद, आप अक्सर लेख और विभिन्न सामग्रियों को बता सकते हैं कि हमले के पीड़ितों ने क्या गलत किया। कूकी हाइड्रो के मामले में, स्थिति अलग है, कंपनी ने बुनियादी ढांचे के संगठन (उत्पादन बंद नहीं हुआ) में ध्यान देने योग्य विफलताओं को नहीं दिखाया और हमले की प्रतिक्रिया प्रक्रिया को अच्छी तरह से आयोजित किया, अर्थात्:

• कंपनी निवेशकों और जनता के साथ हमले को खत्म करने में प्रगति के बारे में बताने के लिए जितना संभव हो उतना खुला है। एक सकारात्मक प्रतिक्रिया का एक अप्रत्यक्ष संकेतक स्टॉक एक्सचेंज का स्टॉक मूल्य हो सकता है: 23.03 को शेयरों की मामूली गिरावट (3.6%) के बावजूद, उनके आगे स्थिर विकास के लिए आवश्यक शर्तें हैं।
• उत्पादन सुविधाओं को जल्दी से अलग करना संभव था ताकि उन पर उत्पादन प्रभावित न हो।
• अच्छी तरह से स्थापित प्रक्रियाएं हैं जो उत्पादन सुविधाओं को मैनुअल कंट्रोल मोड (कम से कम उत्पादन के लिए) में कार्य करने की अनुमति देती हैं।
• बैकअप प्रक्रिया स्थापित की गई है, जो घटना के बाद बुनियादी ढांचा नोड्स की वसूली की सुविधा प्रदान करेगी।
• बैकअप संचार चैनल (क्लाउड मेल) हैं जो कर्मचारियों को मुख्य बुनियादी ढांचे पर समस्याओं के मामले में भी बातचीत करने की अनुमति देते हैं।
• कंपनी साइबर जोखिम बीमा का उपयोग करती है, जो हमले से हुए नुकसान की भरपाई में मदद करेगी।

साथ ही, इसमें स्थापित एंटी-वायरस समाधान पर भी एच.एन. हाइड्रो बहुत निर्भर करता था। शोधकर्ताओं के अनुसार, मार्च की शुरुआत में, किसी भी एंटी-वायरस समाधान द्वारा कुछ मैलवेयर नमूनों का पता नहीं लगाया गया था, जिस समय यह हमला शुरू हुआ था, उस समय नमूनों की संख्या का निर्धारण करने वाले नमूनों की संख्या भी कम थी। इसके अलावा, प्रमाणन केंद्र ने दुर्भावनापूर्ण प्रमाण पत्र को बहुत देर से रद्द कर दिया - हमले की शुरुआत के बाद। इसके अलावा, कुछ सुविधाओं के लिए, कार्यालय से औद्योगिक बुनियादी ढांचे का विभाजन संभवतः अपर्याप्त रूप से किया गया था।

शुरुआती चरणों में एक हमले का पता लगाने से निरंतर निगरानी में मदद मिलेगी:

• विशेषाधिकार प्राप्त खाता गतिविधि;
• समूह नीति में परिवर्तन
• अनुसूचक की नई सेवाएं और कार्य बनाना;
• विशेषाधिकार प्राप्त खातों के लिए पासवर्ड परिवर्तन की घटनाओं, incl। और स्थानीय प्रशासक;
• पास-ए-हश और पास-द-टिकट हमलों के समान गतिविधि;

इस तरह के नियंत्रण को आंतरिक निगरानी सेवा (सीएमजी-जैसे समाधान और व्यवहार विश्लेषण प्रणाली का उपयोग करके) और / या एक बाहरी एसओसी / सीएसआईआरटी द्वारा किया जाना चाहिए।

दरअसल, जल्दी पता लगाने से हमले के परिणामों को खत्म करने के लिए महत्वपूर्ण धन बचाने में मदद मिलेगी।

Upd। 2019/03/26

अलर्ट लॉजिक के शोधकर्ताओं ने मैलवेयर में एक बग की खोज की । हमलावरों ने अपवाद से निपटने के लिए प्रदान नहीं किया, जब एन्क्रिप्शन के लिए फ़ाइलों की एक सूची एकत्र करते समय, मैलवेयर एक लिंक (* .lnk) पर ठोकर खाता है जिसमें त्रुटियां हैं (गलत नेटवर्क पथ या अध्ययन के अनुसार आरपीसी समापन बिंदु के साथ सहयोग की कमी)। यह हाल के आइटम फ़ोल्डर से फ़ाइलों को इकट्ठा करते समय हो सकता है। इस मामले में, मुख्य प्रक्रिया ऑपरेटिंग सिस्टम द्वारा समाप्त हो जाती है और यह एन्क्रिप्शन तक भी नहीं पहुंचती है। शायद यह कंपनी के नोड्स को नुकसान की असमान डिग्री को आंशिक रूप से समझा सकता है।

संदर्भ

1. https://www.bleepingcomputer.com/news/security/new-lockergoga-ransomware-allegedly-used-in-altran-attack/
2. https://www.nrk.no/norge/skreddersydd-dobbeltangrep-mot-hydro-1.14480202
3. http://webtv.hegnar.no/presentation.php?webcastId=97819442
4. https://www.hydro.com/
5. https://twitter.com/GossiTheDog/status/1107986706089811968
6. https://twitter.com/malwrhunterteam/status/1104082562216062978
7. https://twitter.com/_qaz_qaz/status/1108441356836503553
8. https://www.bleepingcomputer.com/news/security/lockergoga-ransomware-sends-norsk-hydro-into-manual-mode/
9. https://www.bloomberg.com/news/articles/2019-03-19/hydro-says-victim-of-extensive-cyber-attack-impacting-operations-jtfgz6td
10. https://blog.talosintelligence.com/2019/03/lockergoga.html
11. https://www.nozominetworks.com/blog/breaking-research-lockergoga-ransomware-impacts-norsk-hydro/
12. https://www.joesecurity.org/blog/2995389471535835488
13. https://doublepulsar.com/how-lockergoga-took-down-hydro-ransomware-used-in-targeted-attacks-aimed-at-big-business-c666551f5880
14. https://securityaffairs.co/wordpress/82684/malware/lockergoga-ransomware-spreads.html
15. https://www.bbc.com/news/technology-47624207
16. https://uk.globaldatabase.com/company/alisa-ltd
17. https://blog.alertlogic.com/halting-the-lockergoga-ransomware/