सुरक्षा सप्ताह 18: शैडो हैमर विस्तार में हमला

मार्च के अंत में, मदरबोर्ड ने एसस के बुनियादी ढांचे में एक संभावित हैक पर एक लेख प्रकाशित किया । कंपनी के संसाधनों तक आंशिक पहुंच प्राप्त करने के बाद, हमलावर उन ग्राहकों के बीच वितरण करने में सक्षम थे जिन्होंने नए ड्राइवरों के समय पर डाउनलोड के लिए एसस लाइव अपडेट उपयोगिता स्थापित की थी, जो दुर्भावनापूर्ण कार्यक्षमता के साथ आधिकारिक प्रमाण पत्र के साथ हस्ताक्षरित कार्यक्रम का एक संस्करण था। कास्परस्की लैब के विशेषज्ञों द्वारा खोजे गए इस हमले के बारे में हमने अप्रैल की शुरुआत में लिखा था ।


कास्परस्की लैब ने 23 अप्रैल को शैडो हैमर पर एक विस्तारित रिपोर्ट जारी की। यह बहुत ही आकर्षक है, हालांकि इसकी संपूर्णता में पढ़ने के लिए पूरी तरह से तकनीकी दस्तावेज की सिफारिश की गई है, और इस पोस्ट में केवल कुछ खोज का संक्षिप्त विवरण होगा। सबसे दिलचस्प बात यह है कि छाया हैमर के संभावित कनेक्शन के साथ लाश के बारे में सबसे अच्छा कंप्यूटर गेम और सॉफ़्टवेयर डेवलपर्स पर समन्वित हमले की संक्रमित प्रतियां नहीं हैं।


कुल में, कास्परस्की लैब के विशेषज्ञों ने Asus उपकरणों पर ड्राइवरों को अपडेट करने के लिए एक संक्रमित उपयोगिता के 230 नमूने पाए। सभी मामलों में, इसका मूल संस्करण 2015 दिनांकित है, लेकिन बाद में हमले के दौरान, अपने स्वयं के निष्पादन योग्य कोड को इंजेक्ट करने का तरीका बदल दिया गया था - सबसे अधिक संभावना है कि प्रभावी रूप से पता लगाने से बचें:


जुलाई और दिसंबर 2018 के बीच दुर्भावनापूर्ण कोड को पेश करने का तरीका बदल दिया गया था। हमले की शुरुआत की तारीख विश्वसनीय रूप से ज्ञात नहीं है, लेकिन जनवरी 2019 में पता चला था। उपयोगकर्ताओं के कंप्यूटरों को संक्रमित करने और किसी का ध्यान न जाने का सबसे प्रभावी तरीका आसुस वैध प्रमाणपत्रों का उपयोग करना था, जो कि इस कंपनी द्वारा जारी किए गए "आधिकारिक" हानिरहित उपयोगिताओं पर हस्ताक्षर करने के लिए भी उपयोग किए गए थे।


ऊपर दिया गया स्क्रीनशॉट आसुस लाइव अपडेट के दुर्भावनापूर्ण संस्करण के समान प्रमाणपत्र के साथ हस्ताक्षरित एक वैध Asus उपयोगिता का एक उदाहरण दिखाता है। विक्रेता द्वारा हमले और उपयोग किए गए प्रमाणपत्रों के बारे में जानकारी प्राप्त करने के बाद हस्ताक्षर की तारीख मार्च 2019 है। अभियान संचालकों को प्रक्रिया में संशोधित निष्पादन योग्य फ़ाइलों के लिए डिजिटल हस्ताक्षर को बदलना पड़ा, क्योंकि अगस्त 2018 में पहली चोरी प्रमाणपत्र समाप्त हो गया था।

वैध कार्यक्रम के पुराने संस्करण के उपयोग और आधिकारिक और संशोधित सॉफ्टवेयर के डिजिटल हस्ताक्षर में अंतर को देखते हुए, हमले के आयोजकों के पास विक्रेता के आंतरिक संसाधनों तक सीमित पहुंच थी। उदाहरण के लिए, डेवलपर्स में से एक के कंप्यूटर में हैक करना, प्रमाण पत्र चोरी करना संभव था, लेकिन उपयोगिता का वास्तविक स्रोत कोड नहीं। इसके अलावा, दुर्भावनापूर्ण संशोधन को फैलाने के लिए हमलावरों ने उपयोगिता के अद्यतन संस्करणों की डिलीवरी के लिए बुनियादी ढांचे तक पहुंच हासिल की।

शैडो हैमर हमले की एक प्रमुख विशेषता सीमित संख्या में हमले के लक्ष्य हैं। बहुत सारे संभावित पीड़ित थे: असूस लाइव अपडेट के एक दुर्भावनापूर्ण संस्करण का पता केवल 57 हजार उपयोगकर्ताओं में कास्परस्की लैब टूल द्वारा लगाया गया था। पीड़ितों की वास्तविक संख्या और भी अधिक हो सकती है, लेकिन अधिकांश कंप्यूटरों पर मैलवेयर स्पष्ट रूप से अवैध कुछ भी नहीं करते थे।


सभी मामलों में, संशोधित उपयोगिता ने सभी उपलब्ध नेटवर्क एडेप्टर के मैक पते के बारे में डेटा एकत्र किया और अपनी सूची के साथ उनके एमडी 5 हैश की तुलना की। केवल अगर सूची में से एक मैक पते का पता चला था, तो कमांड ने उस सर्वर से संपर्क किया था जहां से एक और निष्पादन योग्य फ़ाइल डाउनलोड की गई थी। पतों की संख्या नमूने से नमूने में भिन्न होती है: सबसे छोटी सूची में आठ मैक पते होते हैं, जिनमें से सबसे लंबे समय तक 307 हैं। कुल मिलाकर, हम नेटवर्क उपकरणों के 600 से अधिक पहचानकर्ताओं की पहचान करने में कामयाब रहे, जिनके द्वारा हमलावरों ने रुचि के सिस्टम पाए। यहाँ इस सूची में उपस्थिति के लिए अपने स्वयं के मैक पते की जाँच करें ।


यह तर्कसंगत है कि सूची में अधिकांश मैक पते स्वयं Asus द्वारा निर्मित उपकरणों से संबंधित हैं। लेकिन बड़ी संख्या में उपयोगकर्ताओं को कवर करने वाले पते हैं, उदाहरण के लिए 00-50-56-C0-00-08 - वर्चुअल नेटवर्क एडॉप्टर VMWare के पहचानकर्ता। हालांकि, यह संयोग हमेशा एक हमले के विकास के लिए नेतृत्व नहीं करता था: यह केवल तभी शुरू हुआ जब भौतिक नेटवर्क एडाप्टर के मैक पते ने भी आवश्यक मिलान किया।


यह व्यवहार में कैसे दिखता है, रेडिट पर चर्चा का स्क्रीनशॉट दिखाता है। इंस्टॉल किए गए Asus Live अपडेट उपयोगिता वाले उपयोगकर्ता को "महत्वपूर्ण अपडेट" के बारे में एक सूचना मिलती है, और यह तीन साल पहले कार्यक्रम डाउनलोड करने का सुझाव दिया गया है। यह तथ्य नहीं है कि यह चर्चा इस विशेष हमले के बारे में है (क्योंकि कोई फ़ाइल पहचानकर्ता नहीं है), लेकिन द्विआधारी की निर्माण तिथि को देखते हुए, यह वह था। यह देखते हुए कि उल्लेखों की खोज ने संभावित समस्याओं की केवल दो रिपोर्टें दीं ( दूसरा निश्चित रूप से छाया हैमर के साथ जुड़ा नहीं था ), हम कह सकते हैं कि हमले काफी हद तक संभावित पीड़ितों के बावजूद किसी का ध्यान नहीं गया।

उन लोगों के साथ क्या हुआ जिनका मैक पता सूची में था, अज्ञात है। जिस समय जनवरी 2019 में हमले का पता चला था, कमांड सर्वर को बंद कर दिया गया था, और अभी तक शोधकर्ता वास्तविक पीड़ितों के कंप्यूटरों में डाउनलोड की गई निष्पादन योग्य फाइलों को प्राप्त नहीं कर पाए हैं।

अन्य हमलों का लिंक
और यहाँ लाश पोस्ट में फट गई!


मार्च 2019 में, ईएसईटी विशेषज्ञों ने गेम इन्फेस्टेशन: सर्वाइवर स्टोरीज़ के संक्रमित संस्करणों की जांच की । खेल की थीम को देखते हुए, यह अपने आप में एक मजाक जैसा लगता है, लेकिन डेवलपर के लिए स्थिति (शायद पहले के युद्ध जेड खेल के स्रोतों का उपयोग करना) सबसे मजेदार नहीं है। सबसे अधिक संभावना है, डेवलपर्स के कंप्यूटरों से छेड़छाड़ किए जाने के बाद आधिकारिक बिल्ड में दुर्भावनापूर्ण कोड दिखाई दिया। इसमें और खेल स्टूडियो पर हमलों से संबंधित कुछ अन्य घटनाओं में, शैडो हैमर के समान एक विधि का उपयोग शुभ कोड इंजेक्ट करने के लिए किया गया था:


ठीक है, यह दो घटनाओं के बीच संबंध का विश्वसनीय प्रमाण नहीं है। लेकिन हैश एल्गोरिदम में पीड़ित कंप्यूटरों पर एकत्र किए गए डेटा, और हमलों के अन्य सामान्य तकनीकी विशेषताओं के एक जोड़े के लिए एक संयोग है। दुर्भावनापूर्ण कोड में लाइनों को देखते हुए, यह माना जा सकता है कि पहले के वॉर जेड गेम के स्रोतों को गेम डेवलपर्स के लिए ट्रोजन हॉर्स के रूप में वितरित किया जा सकता है जो उनका उपयोग करना चाहते हैं। Kaspersky Lab के विशेषज्ञों को भी प्लगइना के पिछले दरवाजे में Shadow Hammer से एल्गोरिदम के पुन: उपयोग के संकेत मिले, जो संभवतः चीन में विकसित हुआ था।

विभिन्न हमलों के बीच यह संभावित संबंध शैडो हैमर स्टोरी को एक नया आयाम देता है और डेवलपर्स के लिए एक चेतावनी है। प्रोग्रामर हमलावरों के समन्वित और सुसंगत कार्यों के लिए दुर्भावनापूर्ण कोड धन्यवाद के वितरक बन सकते हैं। इसके अलावा, विभिन्न "कार्यान्वयन" टूल का उपयोग किया जा सकता है: प्रमाणपत्रों की चोरी, स्रोतों में दुर्भावनापूर्ण कोड का समावेश, निष्पादन योग्य फ़ाइलों में इंजेक्शन (उदाहरण के लिए, ग्राहक को भेजने से पहले)। इस और अन्य जांचों में रिक्त स्थानों की संख्या को देखते हुए, हमलावर सॉफ्टवेयर डेवलपर्स के बुनियादी ढांचे में घुसपैठ करने में कामयाब रहे, बड़ी संख्या में पीड़ितों के लिए दुर्भावनापूर्ण कोड का प्रसार किया, जबकि ध्यान से लक्ष्य का चयन किया ताकि वे कम से कम कई महीनों के लिए किसी का ध्यान न जाएं (जैसा कि शैडोवमर के साथ है) ।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।