DEFCON सम्मेलन 27. मैकओएस के लिए हैकर उत्पादों से लाभ। भाग २

DEFCON सम्मेलन 27. मैकओएस के लिए हैकर उत्पादों से लाभ। भाग 1

एक दूरस्थ हैकर सी और सी सर्वर से दुर्भावनापूर्ण कोड वाली एक फ़ाइल प्राप्त करने के बाद, शोषण इसे निष्पादित करने के लिए आगे बढ़ता है। यह उसी एसडीएफ पद्धति का उपयोग करता है जब मैलवेयर संग्रह अंतर्निहित डीटो कमांड का उपयोग करके अनपैक किया जाता है और फिर एनएस एपीआई के माध्यम से निष्पादित किया जाता है। इस प्रकार, विंडटॉल एक अंतर्निहित अंतर्निहित बूटलोडर का उपयोग करता है।



इसके अलावा, पिछले दरवाजे स्व-परिसमापन तर्क से लैस है, इसलिए हर बार मैलवेयर शुरू होने पर, यह हैकर सर्वर से संपर्क करता है और पूछता है कि क्या इसे अनइंस्टॉल किया जाना चाहिए। यदि C & C सर्वर कोड "1" के साथ प्रतिक्रिया करता है, तो प्रोग्राम स्वयं को हटा देता है, जिससे स्पाइवेयर गतिविधि बंद हो जाती है।



यह एक बहुत ही उपयोगी विशेषता है जो एक हमलावर को उनके हस्तक्षेप के किसी भी निशान को छोड़ने के बिना किसी लक्ष्य को "कीटाणुरहित" करने की अनुमति देता है। अब मैं दिखाऊंगा कि कैसे हम अपनी जरूरतों के लिए इस वायरस को निकालते हैं।



सबसे पहले, आइए एक शोषण को रोकने के बारे में बात करते हैं। एक हैकर वेब पेज बनाना जो एक ज़िप फ़ाइल को स्वचालित रूप से डाउनलोड करता है जिसमें एक दुर्भावनापूर्ण एप्लिकेशन होता है वह काफी सरल है। जैसा कि मैंने उल्लेख किया है, सफारी डिफ़ॉल्ट रूप से ज़िप अभिलेखागार को स्वचालित रूप से खोल देगी, इसलिए यदि हम इस संग्रह में एक दुर्भावनापूर्ण एप्लिकेशन रखते हैं जो कुछ URL हैंडलर्स को लागू करता है, तो उपयोगकर्ता द्वारा आवेदन शुरू करने से पहले मैक ओएस स्वचालित रूप से इसे पंजीकृत करेगा।

एक दुर्भावनापूर्ण वेब पेज इसके बाद पहले से पंजीकृत उपयोगकर्ता URL का अनुरोध कर सकता है, जिससे एप्लिकेशन लॉन्च हो जाएगा। आमतौर पर, एक चेतावनी विंडो पॉप अप होती है, लेकिन उपयोगकर्ता उस पर ध्यान दिए बिना बटन पर क्लिक करता है।

इसलिए, आप पुन: डिज़ाइन किए गए शोषण और चेतावनी विंडो का एक प्रदर्शन देखते हैं कि "फ़ाइनल_प्रेशन" इंटरनेट से डाउनलोड किया गया एक एप्लिकेशन है, यह पूछने पर कि क्या उपयोगकर्ता सुनिश्चित है कि वह इसे कंप्यूटर पर खोलना चाहता है?

"ओपन" बटन पर क्लिक करना एक पॉप-अप विंडो के कारण दूसरा अनुरोध है, और यदि उपयोगकर्ता इसमें प्रदर्शित एप्लिकेशन आइकन पर क्लिक करता है, तो हम देखेंगे कि सिस्टम पर मैलवेयर स्वचालित रूप से इंस्टॉल हो गया था।



Apple में एक तार्किक दोष है जहां आपको सिस्टम को संक्रमित करने के लिए OS को पैच करने की आवश्यकता नहीं है, और यह अभी भी MacOS के नवीनतम संस्करण में काम करता है। अब जब हमने कारनामे का रीमेक बना लिया है, तो आइए बात करते हैं रीमेक मालवेयर की।



हमारा पहला कदम C & C सर्वर के अंतर्निहित पते को बदलना है ताकि शोषण हमारे सर्वर से संपर्क करे और उसमें से परिवर्तित मैलवेयर को डाउनलोड कर सके। दुर्भाग्य से, पता एन्क्रिप्ट किया गया था, लेकिन यह हमें परेशान नहीं करता था। हमने मैलवेयर को हमेशा गतिशील लाइब्रेरी लोड करने का निर्णय लिया। फिर, जैसे ही हमारी लाइब्रेरी दुर्भावनापूर्ण प्रक्रिया के पता स्थान में लॉन्च की गई, हम सिद्धांत रूप में, मैलवेयर को संशोधित कर सकते हैं ताकि यह कनेक्शन के लिए इस सर्वर का उपयोग करने से पहले भी ऑपरेशन के दौरान सी एंड सी सर्वर के डिक्रिप्ट किए गए पते को स्वीकार कर सके। आइए इस प्रक्रिया पर करीब से नज़र डालें।

मैं आपको फिर से याद दिलाता हूं - हमारा लक्ष्य अपने स्वयं के C & C सर्वर को निर्दिष्ट करके मैलवेयर को फिर से प्रोफाइल करना था ताकि मैलवेयर हमारे बुनियादी ढांचे से वापस जुड़ जाए।



इसलिए, डायनामिक लाइब्रेरी को मालवेयर एड्रेस स्पेस में लोड किया गया था, और हमने डिक्रिप्शन प्रक्रिया को बदल दिया, या स्विज़ल को लागू किया। इस कुशल और शक्तिशाली एपीआई प्रतिस्थापन विधि को यूप कहा जाता है।

स्लाइड से पता चलता है कि हमने डिक्रिप्शन फ़ंक्शन को इस तरह से प्रतिस्थापित किया है कि जब भी मैलवेयर इसे कॉल करता है, तो यह वास्तव में हमारी लाइब्रेरी में हमारे डिक्रिप्शन विधि को कॉल करता है। मुझे पता नहीं है कि डिक्रिप्शन एल्गोरिथ्म क्या है और यह कैसे काम करता है, और, स्पष्ट रूप से, मुझे परवाह नहीं है, लेकिन प्रतिस्थापन के बाद मैं इस एन्क्रिप्शन का परिणाम देख सकता हूं। इसलिए यदि मूल एन्क्रिप्शन विधि डिक्रिप्टेड C & C सर्वर को मेरे पास लौटाती है, तो मैं बस अपने C & C सर्वर को मालवेयर लॉजिक में एम्बेड कर सकता हूं। यह हमें हमारे सर्वर के साथ डिक्रिप्टेड C & C सर्वर को पारदर्शी रूप से बदलने की अनुमति देता है।

अब मैं पुस्तकालय में कुछ डिबगिंग संदेश जोड़ रहा हूं ताकि जब हम परिवर्तित माल चलाते हैं, तो हम देख सकते हैं कि इसके निष्पादन के दौरान C और C सर्वर पते कैसे बदले जा रहे हैं। कमांड लाइन टर्मिनल विंडो में, आप देख सकते हैं कि हमारी लाइब्रेरी, जो मूल डिक्रिप्शन विधि से गुजरती है, पता लगाती है कि यह उत्तर C & C सर्वर से आता है, जिसका पता अब डिक्रिप्ट हो गया है।



चूंकि हम नहीं चाहते हैं कि हमारा कार्यक्रम मूल मैलवेयर के तर्क को संदर्भित करे, इसलिए हम केवल इस फ़ंक्शन को छोड़ देते हैं और अपने स्वयं के प्रोग्राम पर लौट आते हैं। बेशक, हमें हमेशा यह सुनिश्चित करना चाहिए कि पिछले दरवाजे हमारे सी एंड सी सर्वर तक पहुंच रहे हैं, न कि मूल एपीटी समूह के सर्वर।

हमें अपना C & C सर्वर लिखने की आवश्यकता थी, क्योंकि अब मैलवेयर इससे जुड़ जाएगा, और हमें मैलवेयर को सही ढंग से खराब करने के लिए प्रोटोकॉल के साथ एक "वार्तालाप" प्रदान करना होगा।



विंडटॉल बैकडोर का मुख्य कार्य उपयोगकर्ता फ़ाइलों को इकट्ठा करना और निकालना है, इसलिए सबसे पहले हमें इस फ़ंक्शन को अपने सी एंड सी सर्वर में जोड़ना होगा। फ़ाइलों को एक POST अनुरोध के माध्यम से प्राप्त किया जाता है, इसलिए हमने अभी-अभी पायथन कोड की कुछ पंक्तियां लिखी हैं ताकि हमें पुनर्प्राप्त की गई फ़ाइलों को बचाने के लिए और संक्रमित होस्ट से हमें भेजा जा सके।

आप स्क्रीन पर देखते हैं कि कैसे हमारे C & C सर्वर को हमले वाले कंप्यूटर से निकाली गई फाइलें मिलती हैं।



बाईं ओर आप देख सकते हैं कि नेटवर्क अनुरोध कैसे और दाईं ओर आते हैं - हमारा सर्वर उन्हें फाइल सिस्टम में कैसे लिखता है। इसका मतलब है कि अब हम संक्रमित होस्ट से सभी प्रकार की फ़ाइलों को निकालने के लिए मैलवेयर की क्षमता का समर्थन करते हैं।

हमने विंडटॉल की डाउनलोड और निष्पादन क्षमताओं का समर्थन करने के लिए अपने सी एंड सी सर्वर को भी अनुकूलित किया है। हमने देखा कि इसके लिए मैलवेयर 2 अनुरोध करता है।



पहला अनुरोध डाउनलोड करने के लिए फ़ाइल का नाम प्राप्त करने की चिंता करता है, और दूसरा अनुरोध हमें उस फ़ाइल के विशिष्ट बाइट्स के साथ प्रतिक्रिया करना चाहिए जिसे हम डाउनलोड करना चाहते हैं। मैलवेयर यह सब हमारे द्वारा निर्दिष्ट फ़ाइल में सहेजता है, और फिर इसे अनपैक और निष्पादित करता है। मैं एक बार फिर से दोहराता हूं - यह हमें केवल पायथन में कुछ पंक्तियों में ले गया, यह सरल है, क्योंकि यह कई अंतर्निहित पुस्तकालयों का उपयोग करता है।

जैसे ही हमने ऐसा किया, हमारे पास प्रत्यारोपण को "पहेली" करने का अवसर था। आइए इसे कार्रवाई में देखें। हम देखते हैं कि मैलवेयर हमारे C & C सर्वर से कैसे जुड़ता है, क्योंकि हमने मूल सर्वर का पता सफलतापूर्वक बदल दिया है, और इसे दिए गए कार्य को करता है - यह कैलकुलेटर एप्लिकेशन को डाउनलोड करता है।



एप्लिकेशन को दूरस्थ रूप से डाउनलोड करने और निष्पादित करने की क्षमता का मतलब है कि हम उपयोगकर्ता के कंप्यूटर पर अन्य उपकरण या अन्य मैलवेयर नमूने स्थापित कर सकते हैं। यह असीम रूप से पुनर्खरीद किए गए हैकर सॉफ़्टवेयर का उपयोग करने की क्षमता का विस्तार करता है।

अंत में, आइए हमारे सर्वर को मैलवेयर को दूर करने की क्षमता दें। यदि एफबीआई के लोग आपके दरवाजे को तोड़ते हैं तो सेल्फ-डिस्ट्रक्ट फंक्शन बहुत उपयोगी है। एक कुंजी पर क्लिक करें - और वायरस खुद को सभी संक्रमित प्रणालियों से हटा देगा।



स्पाइवेयर समय-समय पर हमसे एक अनुरोध करता है कि क्या यह स्वयं को हटाना आवश्यक है, और यदि आवश्यक हो, तो हम बस कोड "1" के साथ जवाब देते हैं, जिसके बाद इसे सिस्टम से पूरी तरह से अनइंस्टॉल किया जाता है।

एक अन्य डेमो यह कार्रवाई में दिखाएगा। आप देख सकते हैं कि हमारे मालवेयर के पास पॉवर प्वाइंट डॉक्यूमेंट की नकल करते हुए खुद का ऑरेंज लोगो है, लेकिन वास्तव में यह एक हिडन सिस्टम डायरेक्टरी है।



इसके बाद एक बार फिर से सी एंड सी सर्वर को नष्ट करने के लिए अनुरोध भेजा और हमने एक में जवाब दिया, नारंगी आइकन कार्यक्रम निर्देशिका से गायब हो गया, और एप्लिकेशन ने हमें स्वयं "बोलना" बंद कर दिया क्योंकि यह आत्म-विनाश करता था।



इसलिए, हमने दिखाया है कि macOS के लिए मैलवेयर के कुछ नमूनों को कैसे फिर से जोड़ा जाता है, और अब आइए चर्चा करते हैं कि कैसे अनपेक्षित रहना है। चूंकि हम ज्ञात दुर्भावनापूर्ण कार्यक्रमों को फिर से खोल रहे हैं जो कि macOS अंतर्निहित सुरक्षा और तृतीय-पक्ष एंटीवायरस सॉफ़्टवेयर का पता लगाता है और ब्लॉक करता है, हमें किसी तरह इस समस्या को हल करने की आवश्यकता है।

कैसे पता नहीं चलेगा

सबसे पहले, चलो वायरस का पता लगाने और नियंत्रण कार्यक्रमों के बारे में बात करते हैं जो कि macOS में निर्मित होते हैं, जैसे कि XProtect, MRT वायरस रिमूवल टूल और सर्टिफिकेट निरस्तीकरण जाँच।



पहली नज़र में, यह समस्याग्रस्त दिखता है, क्योंकि ये प्रोग्राम किसी भी मैक पर हमारे परिवर्तित स्पाइवेयर को ब्लॉक कर सकते हैं। इसलिए, आपको यह सोचने की ज़रूरत है कि सुरक्षा को कैसे दरकिनार किया जाए, क्योंकि अगर हम अपने सावधानीपूर्वक पुन: डिज़ाइन किए गए मैलवेयर और ऐप्पल को पकड़ लेते हैं, तो यह पूरी तरह से विफल हो जाएगा।

आइए पहले XProtect पर एक नज़र डालें। यह एक सरल एंटी-वायरस स्कैनर है जो वायरस सिग्नेचर डेटाबेस पर आधारित है और मैकओएस के नवीनतम संस्करणों में बनाया गया है।



यह अपने पहले लॉन्च से पहले कंप्यूटर पर उपयोगकर्ता द्वारा डाउनलोड की गई फ़ाइलों को स्कैन करता है, वायरस का पता लगाने के नियमों द्वारा निर्देशित। स्क्रीन पर हमें OSX.KeRanger.A वायरस के हस्ताक्षर की एक स्कैन दिखाई देती है, जिसकी पुनः जाँच हमने की।

हमने यूएक्सप्रोटेक्ट नामक एक साधारण उपयोगिता लिखी, जो आपको यूआई उपयोगकर्ता इंटरफ़ेस के माध्यम से इन हस्ताक्षरों की जांच करने की अनुमति देता है, साथ ही वायरस के हस्ताक्षर के लिए किसी भी समय फाइलों को स्कैन करता है। क्योंकि XProtect केवल सिग्नेचर डिटेक्शन इंजन का उपयोग करता है, इसलिए इसे प्राप्त करना बहुत आसान है। आइए केरांगर वायरस के हस्ताक्षर पर करीब से नज़र डालें।



हम मैलवेयर हस्ताक्षरों के एक समूह का एक संकेत देखते हैं जिसे आपको बस इन निर्देशों को बायपास करने के लिए पुन: व्यवस्थित या संशोधित करने की आवश्यकता है। एक निर्देश के कुछ बाइट्स बदलने से हस्ताक्षर का पता लगाने के मापदंडों से मेल नहीं खाता है। उदाहरण के लिए, हमने बफर से 0x400 से 0x300 तक पढ़ने के लिए बाइट्स की संख्या को बदल दिया। यह वायरस की कार्यक्षमता को प्रभावित नहीं करता था, लेकिन जैसे ही हमने बाइट की संख्या बदली कि स्कैनर हस्ताक्षर के साथ एक मैच के लिए जांच करता है, हमने इस खतरे पर प्रतिक्रिया देने वाले एक्सप्रोटेक्ट की संभावना को पूरी तरह से बाहर रखा।

यह एक और प्रदर्शन का समय है, जहां आपको केरांगर के दो उदाहरण दिखाई देंगे। हम फिर से संक्रमित बिटटोरेंट क्लाइंट का उपयोग कर रहे हैं। स्क्रीन पर बाईं ओर वायरस की मूल हैकर प्रतिलिपि है, और दाईं ओर इसका पुन: लॉन्च संस्करण है, जो एन्क्रिप्शन कुंजी प्राप्त करने के लिए, हमारे सी और सी सर्वर के साथ संचार करता है। इसके अलावा, यह XProtect सुरक्षा को दरकिनार करने के लिए संशोधित किया गया है।



आप देखते हैं कि मूल वायरस का एक उदाहरण शुरू होने की संभावना के बिना सिस्टम द्वारा अवरुद्ध किया जाता है, और इसके साथ अनुमत एकमात्र ऑपरेशन को हटा दिया जाता है।



यदि हम पुनः डिज़ाइन किए गए KeRanger संस्करण को लॉन्च करते हैं, तो सिस्टम केवल रिपोर्ट करता है कि यह इंटरनेट से डाउनलोड किया गया है और पूछता है कि क्या हम वास्तव में इसे लॉन्च करना चाहते हैं।



यदि हम "ओपन" पर क्लिक करते हैं, तो रैंसमवेयर सिस्टम में चुपचाप स्थापित हो जाता है और तुरंत सभी उपयोगकर्ता फ़ाइलों को एन्क्रिप्ट करना शुरू कर देता है।



अपने मैक को सुरक्षित रखने का अगला तरीका प्रमाणपत्र हस्ताक्षरों को सत्यापित करना है। गेटकेपर सुरक्षा सुविधा द्वारा अधिकांश हस्ताक्षरित मैकओएस बायनेरिज़ को अवरुद्ध नहीं किया जाता है, यही वजह है कि हैकर्स अधिकांश आधुनिक मैक मैलवेयर के लिए हस्ताक्षर प्रदान करते हैं। दूसरी ओर, एक बार हस्ताक्षर किए गए वायरस का पता चलने के बाद, ऐप्पल बस अपने हस्ताक्षर प्रमाणपत्र को रद्द कर देता है। इसका मतलब है कि यह मैलवेयर किसी मैक पर नहीं चलाया जा सकता है।

उदाहरण के लिए, हमारे पास एक विंडटॉल वायरस बाइनरी है जिसका हस्ताक्षर प्रमाण पत्र Apple द्वारा निरस्त कर दिया गया है। इसका मतलब यह है कि भले ही हम नए सिस्टम के खिलाफ इसे रीप्रिफ़ाइल और लागू करते हैं, फिर भी हम शुरू नहीं कर पाएंगे। इसलिए, हम केवल हस्ताक्षर प्रमाणपत्र को हटाकर प्रमाणपत्र निरस्तीकरण प्रक्रिया को बायपास करने का प्रयास करते हैं।



फिर हम परिवर्तित मालवेयर की एक अहस्ताक्षरित प्रतिलिपि का उपयोग करते हैं या इसे एक अलग, कानूनी हस्ताक्षर प्रमाण पत्र प्रदान करते हैं, जिसे प्राप्त करना काफी आसान है।

वास्तव में प्रमाण पत्र को हटाने के लिए, Apple खुद ही एक उपयोगिता प्रदान करता है जिसे कोड साइन कहा जाता है जिसमें अनिर्दिष्ट हटाने-हस्ताक्षर ध्वज, या "हस्ताक्षर हटाएं" होता है। यदि आप अपने मालवेयर के साथ इस ऑपरेशन को करते हैं, तो Apple सिर्फ़ निरस्त हस्ताक्षर प्रमाणपत्र पर ध्यान नहीं देगा।

हम कोड -s "डेवलपर ID Applikation:" कमांड का उपयोग करके समान उपयोगिता का उपयोग करके अपने आवेदन पर फिर से हस्ताक्षर कर सकते हैं। यह फिर से हस्ताक्षर किए गए विंडटॉल को मैकओएस द्वारा अवरुद्ध नहीं किया जाएगा।

अंत में, हम एमआरटी के लिए आगे बढ़ते हैं, अंतर्निहित ऑपरेटिंग रिमूवल टूल मैक ऑपरेटिंग सिस्टम के नवीनतम संस्करणों पर उपलब्ध है। यह एक्सप्रोटेक्ट के समान है, लेकिन यह मैलवेयर को स्कैन करता है जो सिस्टम पर पहले से इंस्टॉल है और डिटेक्ट करने पर अपने आप पता लग जाता है। XProtect के विपरीत, इसके हस्ताक्षर अपनी बाइनरी फ़ाइल में एम्बेडेड हैं। Apple अक्सर इस उपकरण का उपयोग उन वैध अनुप्रयोगों को हटाने के लिए करता है जिन्हें वह आपके कंप्यूटर के लिए असुरक्षित मानता है। ये आमतौर पर ज्ञात कमजोरियों वाले अनुप्रयोग हैं।



चूंकि MRT, XProtect की तरह, हस्ताक्षरों के साथ काम करता है, इसलिए इसे दरकिनार भी किया जा सकता है। हमने एमआरटी डंप का इस्तेमाल किया, फिर से, क्योंकि हस्ताक्षर द्विआधारी में ही बनाए गए हैं, और उन सभी को देखने में सक्षम हैं, जिसमें फ्रूटफ्लाई वायरस के हस्ताक्षर भी शामिल हैं। हमें आश्चर्य हुआ कि क्या MRT इस मैलवेयर की हमारी परिवर्तित प्रति का पता लगा सकता है?



हमने फ्रूटफ्लाई के अंतर्निहित हस्ताक्षर पर शोध करना शुरू किया और पाया कि इसकी पहचान दो चीजों पर आधारित है: वायरस और डाउनलोड की गई .plist फ़ाइल को स्थापित करने का मार्ग। इसका मतलब यह था कि अगर हम मालवेयर का रास्ता या नाम बदलते हैं, तो MRT इसका पता नहीं लगा पाएगा। जैसा कि मैंने कहा, नतीजतन, इस सुरक्षा के आसपास हो जाना काफी सरल हो गया।

हमने पाया कि लगभग थर्ड-पार्टी एंटीवायरस सॉफ़्टवेयर प्राप्त करना भी मुश्किल नहीं है, क्योंकि आप एक परिवर्तित वायरस को उस सिस्टम पर भी चला सकते हैं जिसमें उपयोगकर्ता ने पहले से ही एंटीवायरस स्थापित कर रखा है।



इस विषय पर बहुत सारी बातें हुईं, मैं विवरणों में नहीं जाना चाहता, लेकिन सामान्य तौर पर, पारंपरिक एंटीवायरस उत्पाद हस्ताक्षर सत्यापन पर आधारित होते हैं, जैसे कि Apple एंटीवायरस सॉफ़्टवेयर, जिसका अर्थ है कि उन्हें उसी तरीकों से दरकिनार किया जा सकता है।

एक उदाहरण के लिए, मैंने उसी फ्रूटफ्लाई को लिया, यह याद रखा कि यह एक पर्ल स्क्रिप्ट भी थी, और इसे फ्री पर्ल ऑब्सफ्यूलेटर ऑनलाइन उपयोगिता के माध्यम से पारित किया, जिसे पर्ल स्क्रिप्ट को पढ़ने के लिए कठिन बनाने और इसकी पहचान की संभावना को शून्य करने के लिए कम करने के लिए डिज़ाइन किया गया था। स्वाभाविक रूप से, यह काम किया। लेकिन आप अधिक सरल तरीके से जा सकते हैं, खासकर यदि आप बाइनरी-आधारित मैलवेयर का उपयोग करते हैं। आप इसे एक संग्रह में पैक कर सकते हैं, एक एन्क्रिप्टर या यहां तक ​​कि मेमोरी निष्पादन का उपयोग कर सकते हैं, अर्थात्, रैम में फ़ाइल-फ्री डाउनलोड और वायरस निष्पादन।

कुछ साल पहले, इन प्रौद्योगिकियों पर ब्लैकहैट सम्मेलन में चर्चा की गई थी और यह निष्कर्ष निकाला गया था कि भले ही एक मैक उपयोगकर्ता ने सिस्टम पर तृतीय-पक्ष एंटीवायरस सॉफ़्टवेयर स्थापित किया था, फिर भी यह रिप्रोग्राम किए गए मैलवेयर का पता लगाने में सक्षम नहीं था। यह macOS उपयोगकर्ताओं के लिए बुरी खबर है, जैसा कि हम जानते हैं कि अनुभवी हैकर्स परिवर्तित मैलवेयर का उपयोग करते हैं। अक्सर, पूरा परिवर्तन कोड या कमांड लाइन तर्कों के कुछ बाइट्स को बदलने के लिए नीचे आता है, और यह अपने स्वयं के प्रयोजनों के लिए इसका उपयोग करने के लिए कंप्यूटर पर नियंत्रण रखना संभव बनाता है। इसके अलावा, अधिकांश macOS बिल्ट-इन एंटीवायरस टूल और थर्ड-पार्टी एंटीवायरस सॉफ़्टवेयर परिवर्तित खतरों का पता लगाने में सक्षम नहीं हैं।

चूँकि यह पुनर्निर्मित सॉफ्टवेयर केवल एक छोटा सा मूल, जाने-माने स्पाइवेयर है, मैं "व्हाइट हैट" डालूंगा और आपको बताऊंगा कि आप अभी भी उन्हें कैसे पा सकते हैं।

रीकॉन्फ़िगरेशन सॉफ़्टवेयर डिटेक्शन

यह सर्वविदित है कि हस्ताक्षर-आधारित एंटीवायरस सॉफ़्टवेयर परिवर्तित मैलवेयर से सामना नहीं करता है। इसलिए, हमें इस तरह के मैलवेयर के असामान्य, असामान्य, दुर्भावनापूर्ण व्यवहार पर ध्यान देना चाहिए।

हमें इसका पता लगाने की कोशिश करनी चाहिए, न कि प्रसिद्ध वायरस हस्ताक्षर के लिए धन्यवाद, लेकिन सिस्टम में इसके कार्यों का अवलोकन करने के माध्यम से। हमने यह सुनिश्चित किया है कि जब आप अच्छी तरह से ज्ञात स्पाइवेयर का रीमेक बनाते हैं, तो इसके मूल कार्य और उद्देश्य अपरिवर्तित रहते हैं।

यदि हम रैंसमवेयर रैंसमवेयर ट्रोजन को रीमेक करते हैं, तो यह अभी भी आपकी फ़ाइलों को एन्क्रिप्ट करेगा, और फिर से डिज़ाइन किए गए पिछले दरवाजे फ़ाइलों को इकट्ठा करना और उन्हें जासूस सर्वर पर भेजना जारी रखेंगे।
उपरोक्त स्लाइड पर, मैंने सिस्टम के कार्यों या क्षमताओं को प्रदर्शित किया, जिन्हें उनकी गतिविधि के लिए निगरानी और निगरानी की जानी चाहिए। इनमें एप्लिकेशन, असामान्य माइक्रोफोन या कैमरा गतिविधि, फ़ाइलों को डाउनलोड करने या स्थानांतरित करने, अनधिकृत स्क्रीन कैप्चर, कीबोर्ड अवरोधन लक्षण, सिंथेटिक क्लिकर और फ़ाइल एन्क्रिप्शन की "दृढ़ता" शामिल है। यह भी विकृत मैलवेयर का पता लगाने जाएगा।

चलिए दृढ़ता की बात करते हैं। जब मैं कहता हूं "दृढ़ता", मेरा मतलब है कि जैसे ही स्पाइवेयर कंप्यूटर पर स्थापित होता है, यह सिस्टम को रिबूट करने के बाद हर बार स्वचालित रूप से शुरू होगा। यह macOS या विंडोज के लिए किसी भी मैलवेयर की एक विशेषता है - एक दुर्भावनापूर्ण लक्ष्य को प्राप्त करने के लिए कड़ी मेहनत करने का प्रयास करना।

हम केवल "लगातार" एप्लिकेशन के व्यवहार को देखकर फ़ाइल सिस्टम को नियंत्रित कर सकते हैं, और यदि इसमें कुछ परिवर्तन होता है, तो उपयोगकर्ता या सिस्टम व्यवस्थापक को इसके बारे में सूचित करें।

अब मैं प्रदर्शित करना चाहता हूं कि आप मूल या रीमॉडेल्ड विंडटॉल वायरस की गतिविधि का पता कैसे लगा सकते हैं, जो माइक्रोफ़ोन या वेबकैम मैक पर अनधिकृत पहुंच में खुद को प्रकट करता है।



कई मैक मैलवेयर एक संक्रमित सिस्टम के उपयोगकर्ता की जासूसी करने के लिए एक वेबकेम या माइक्रोफोन का उपयोग करते हैं। इस वायरस गतिविधि का पता लगाने के लिए, हम macOS सिस्टम में कैमरा और माइक्रोफ़ोन पर हर मोड़ को पंजीकृत कर सकते हैं ताकि उपयोगकर्ता को इस घटना के बारे में एक सूचना प्राप्त हो। , FruitFly, , Zoom, .

. , .



macOS – Event Taps. , . .

FruitFly, , , – «» .



, macOS, . . , macOS , . , .

Objective-See, - macOS. , . , , .



, – , , « ».



, Digita Security, . : . Apple, , .

, . , , , , macOS.

, . , Windtall, , Safari , .



, URL , - URL. Windtall, , .

FruitFly , , - . , , , Apple, - .

, FruitFly , . , . template . , .

, , . , , macOS.

, Mac, 2020 , .

विज्ञापन का एक सा :)

हमारे साथ बने रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक दिलचस्प सामग्री देखना चाहते हैं? एक ऑर्डर देकर या अपने दोस्तों को सलाह देकर, $ 4.99 से डेवलपर्स के लिए क्लाउड VPS , प्रवेश स्तर के सर्वरों के अनूठे एनालॉग पर हैबर उपयोगकर्ताओं के लिए 30% छूट का समर्थन करें, जो हमने आपके लिए आविष्कार किया है: VPS (KVM) E5-2650 v4 (6) के बारे में पूरी सच्चाई Cores) $ 20 से 10GB DDR4 240GB SSD 1Gbps या सर्वर कैसे साझा करें? (विकल्प RAID1 और RAID10 के साथ उपलब्ध हैं, 24 कोर तक और 40GB DDR4 तक)।

डेल R730xd 2 बार सस्ता? केवल हमारे पास 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 TV नीदरलैंड के 199 डॉलर में से है! डेल R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - $ 99 से! इन्फ्रास्ट्रक्चर Bldg का निर्माण कैसे करें के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग?