सुरक्षा सप्ताह 14: शैडो हैमर और आपूर्ति श्रृंखला

पिछले हफ्ते की मुख्य खबर हैक किए गए उपयोगिता Asus लाइव अपडेट के माध्यम से Asus उपकरणों के मालिकों पर लक्षित हमला है। कास्परस्की लैब के शोधकर्ताओं ने इस साल जनवरी में एक हमला पाया: Asus घटकों के साथ लैपटॉप और कंप्यूटर पर ड्राइवरों को अपडेट करने के लिए एक संक्रमित उपयोगिता को एक वैध प्रमाण पत्र के साथ हस्ताक्षरित किया गया था और निर्माता के सर्वर से वितरित किया गया था। उपयोगिता के संशोधन ने सभी प्रभावित प्रणालियों तक पूर्ण पहुंच के साथ पटाखे प्रदान किए, लेकिन उन्होंने इस अवसर का उपयोग केवल तब किया जब सिस्टम के नेटवर्क एडेप्टर में से एक के मैक पते ने ब्याज की प्रणालियों की सूची से मिलान किया।


इस मामले में, मार्च 2018 में बनाए गए सर्वर से अतिरिक्त मैलवेयर डाउनलोड किया गया था और अज्ञात उद्देश्यों के लिए हमले का पता चलने से पहले काम करना बंद कर दिया गया था। हमला इसकी जटिलता और चुपके के लिए उल्लेखनीय है। सबसे अधिक संभावना है, यह जानकारी एकत्र करने और "होनहार" पीड़ितों की पहचान करने के उद्देश्य से बड़े पैमाने पर घटनाओं से पहले था। हालाँकि किसी हमले के सटीक कारण के बारे में बात करना जल्दबाजी होगी, लेकिन 2017 की CCleanity उपयोगिता के साथ इसे पहले की घटनाओं से जोड़ने के सबूत हैं। हमले की पूरी जांच अगले सप्ताह प्रकाशित की जाएगी और कास्परस्की लैब सम्मेलन सुरक्षा विश्लेषक शिखर सम्मेलन में प्रस्तुत किया जाएगा। इस पोस्ट में - घटना का संक्षिप्त विवरण और कुछ निष्कर्ष।

प्राथमिक स्रोत: समाचार , कैसपर्सकी लैब के अध्ययन के अंश , मदरबोर्ड पर एक विस्तृत लेख, आसुस का आधिकारिक बयान । आप इस ऑनलाइन सेवा का उपयोग करके अपने Asus डिवाइस के मैक पते की जांच कर सकते हैं।

क्या हुआ?

जून से नवंबर 2018 तक, Asus सर्वर से असूस लाइव अपडेट उपयोगिता का एक संक्रमित संस्करण वितरित किया गया था। यह प्रोग्राम इस निर्माता के लैपटॉप पर प्रीइंस्टॉल्ड है, लेकिन आसुस मदरबोर्ड पर आधारित कंप्यूटर के मालिकों के लिए भी उपलब्ध है। यह आपको नवीनतम BIOS, फर्मवेयर और डिवाइस ड्राइवरों को डाउनलोड करने और उन्हें स्वचालित रूप से स्थापित करने की अनुमति देता है। दुर्भावनापूर्ण एप्लिकेशन को विक्रेता के सर्वर पर अपलोड किया गया था, जिसे कंपनी के वैध प्रमाणपत्रों द्वारा हस्ताक्षरित किया गया था, और इसे कार्यक्रम में अपडेट के रूप में वितरित किया गया था। Reddit में उपयोगिता के अजीब व्यवहार की चर्चा है , हालांकि यह अभी तक स्थापित नहीं किया गया है कि धागे में उल्लिखित घटना इस हमले से जुड़ी है या नहीं।


यद्यपि उपयोगिता "अद्यतन" थी, वास्तव में यह अतिरिक्त दुर्भावनापूर्ण कार्यक्षमता के साथ कार्यक्रम का एक पुराना संस्करण था (एक स्वतंत्र शोधकर्ता द्वारा किया गया दुर्भावनापूर्ण कोड की एक पार्सिंग यहाँ है )। यह निष्कर्ष निकाला जा सकता है कि आसुस के बुनियादी ढांचे में आंशिक रूप से समझौता किया गया था: हमलावरों के पास अपडेट सर्वर और डिजिटल प्रमाण पत्र तक पहुंच थी, लेकिन एप्लिकेशन स्रोत कोड और सर्वर बनाने के लिए नहीं। एक दुर्भावनापूर्ण उपयोगिता का पता लगाने के लिए आपूर्ति श्रृंखला (अंग्रेजी में - आपूर्ति श्रृंखला) में हमलों का पता लगाने के उद्देश्य से एक नई तकनीक के परीक्षणों के लिए संभव बनाया गया था - जब हमलावर किसी भी तरह से अंतिम उपभोक्ता-पीड़ित को दिए जाने से पहले सॉफ़्टवेयर या हार्डवेयर पर हमला करते हैं, या वे सेवा उपकरण और समझौता करते हैं ऑपरेशन के दौरान डिवाइस प्रबंधन - वे जो विश्वास करने के लिए प्रथागत हैं।

किसको चोट लगी

यदि आप उन सभी को गिनते हैं, जिन्होंने "उपांग के साथ" उपयोगिता को उड़ाया, तो दसियों हज़ारों उपयोगकर्ता प्रभावित हुए, उनमें से अधिकांश रूस, जर्मनी और फ्रांस के थे। लेकिन यह केवल कैसपर्सकी लैब के अनुसार है। बाद में, सिमेंटेक ने अपने स्वयं के डेटा प्रदान किए - उन्होंने 13 हजार संक्रमित सिस्टम को गिना, जिसमें यूएस उपयोगकर्ताओं का बड़ा हिस्सा था। यह स्पष्ट रूप से सभी प्रभावित नहीं है, सबसे अधिक संभावना है कि सैकड़ों सैकड़ों प्रणालियों पर मैलवेयर था। लेकिन अधिकांश हमलावर कंप्यूटरों पर, उपयोगिता ने कुछ नहीं किया, यह केवल अपने स्वयं के डेटाबेस के साथ मैक पते की जांच करता है। कमांड सर्वर से संयोग के मामले में (डोमेन asushotfix [।] कॉम इसके लिए पंजीकृत था), अतिरिक्त सॉफ्टवेयर लोड किया गया था। कुछ मामलों में, ट्रिगर वायर्ड और वायरलेस नेटवर्क मॉड्यूल के मैक पते का एक संयोजन था।


संक्रमित उपयोगिता के दो सौ नमूनों में से, हम सिस्टम के लगभग 600 मैक पते निकालने में कामयाब रहे जो शैडो हैमर हमला वास्तव में उद्देश्य से था। तब उनके साथ क्या किया गया था यह अभी तक स्पष्ट नहीं है: कमांड सर्वर ने तब तक काम करना बंद कर दिया जब तक कि शोधकर्ताओं ने हमले की खोज नहीं की। ज्ञात तथ्य वहीं समाप्त होते हैं, निष्कर्ष शुरू होते हैं।

हमले की जटिलता अब शायद ही किसी को आश्चर्यचकित करे - आरएंडडी में अधिक गंभीर निवेशों के साथ लक्षित हमलों के उदाहरण हैं। शैडो हैमर ऑपरेशन की एक महत्वपूर्ण विशेषता यह है कि यह एक सफल आपूर्ति श्रृंखला हमला है। संक्रमित सॉफ़्टवेयर निर्माता के सर्वर से वितरित किया जाता है, निर्माता के प्रमाण पत्र द्वारा हस्ताक्षरित - क्लाइंट की ओर से इस परिदृश्य पर भरोसा नहीं करने का कोई कारण नहीं है। इस मामले में, हम पहले से इंस्टॉल की गई उपयोगिता के साथ काम कर रहे हैं, लेकिन पहले अन्य प्रोग्राम जो उपयोगकर्ता आमतौर पर अपने दम पर इंस्टॉल करता है, उन पर भी सफलतापूर्वक हमला किया गया था। कैसपर्सकी लैब के विशेषज्ञों का मानना ​​है कि दो साल पहले की ताजा शैडो हैमर अटैक दो घटनाओं से संबंधित है।

पहले मामले में, ऊपर उल्लिखित CCleaner उपयोगिता को संशोधित किया गया था, इसे निर्माता के सर्वर से भी वितरित किया गया था। दूसरे मामले में, कॉर्पोरेट NetSarang नेटवर्क में उपकरणों के प्रबंधन के लिए सॉफ़्टवेयर के निर्माता पर हमला किया गया था। यह संभव है कि अन्य हमले हुए थे, जिसके दौरान हमलावरों ने पीड़ितों के कंप्यूटर के मैक पते एकत्र किए थे। इस कहानी में, IoT उपकरणों के बड़े पैमाने पर संक्रमण के वास्तविक कारणों में से एक का संकेत है - आईपी कैमरा, राउटर और पसंद। संक्रमित डिवाइस के माध्यम से ब्याज के डेटा को प्राप्त करना हमेशा संभव नहीं होता है, लेकिन अगले, अधिक लक्षित ऑपरेशन में उपयोग के लिए पर्याप्त जानकारी एकत्र की जा सकती है।


बेशक, सवाल हार्डवेयर और सॉफ़्टवेयर के निर्माताओं में विश्वास का उठता है: यदि सॉफ़्टवेयर अपडेट या ड्राइवर किसी विक्रेता से आता है, तो क्या यह सुरक्षित है या नहीं? शायद आपको अभी भी भरोसा करने की ज़रूरत है, अन्यथा भेद्यता का बिंदु बस किसी अन्य स्थान पर जा सकता है। निर्माता द्वारा ऐसी घटनाओं के लिए एक त्वरित प्रतिक्रिया भी स्वागत योग्य है। असूस के मामले में, कास्परस्की लैब के अनुसार, समस्या की आधिकारिक पुष्टि (26 मार्च) को पहली अधिसूचना (जनवरी के अंत) से लगभग दो महीने बीत गए। मुझे आश्चर्य है कि इस तरह के हमलों का जल्दी पता लगाने के लिए कौन सी तकनीकों का उपयोग किया जाएगा? सुरक्षा सॉफ्टवेयर और विक्रेताओं दोनों के लिए काम करने के लिए कुछ है। मैलवेयर पर हस्ताक्षर करने के लिए वैध प्रमाण पत्र का उपयोग करने के कुछ मामले अभी भी हैं, लेकिन डिजिटल हस्ताक्षर की उपस्थिति केवल सॉफ्टवेयर के मूल्यांकन के लिए एकमात्र मानदंड के रूप में काम नहीं कर सकती है।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।