👨‍💻 🔬 👩‍👩‍👧 स्निफर्स जो कर सकते थे: कैसे फ़ेकसेक्विटी परिवार ने ऑनलाइन स्टोर को संक्रमित किया 🈳 🖕🏽 🔯

दिसंबर 2018 में, ग्रुप-आईबी के विशेषज्ञों ने स्नीकर्स के एक नए परिवार की खोज की जिसे फेकसिटीस कहा जाता है। वे एक आपराधिक समूह द्वारा उपयोग किए गए थे जो संक्रमित साइट सीएमएस मैगेंटो द्वारा चलाए गए थे। एक विश्लेषण से पता चला है कि हाल ही में एक अभियान में, हमलावरों ने पासवर्ड चोरी करने के लिए मैलवेयर का उपयोग करके हमला किया। पीड़ित ऑनलाइन शॉपिंग साइटों के मालिक थे जो एक जेएस स्निफर से संक्रमित थे। सीईआरटी ग्रुप-आईबी सूचना सुरक्षा हादसा प्रतिक्रिया केंद्र ने हमला किए गए संसाधनों की चेतावनी दी, और थ्रेट इंटेलिजेंस ग्रुप-आईबी विश्लेषक विक्टर ओकोरोकोव ने आपराधिक गतिविधि की पहचान करना कैसे संभव है, इसके बारे में बात करने का फैसला किया।

स्मरण करो कि मार्च 2019 में, ग्रुप-आईबी ने "अपराध के बिना दंड: जेएस-स्निफर परिवारों का विश्लेषण" रिपोर्ट प्रकाशित की, जिसमें विभिन्न जेएस-स्निफर्स के 15 परिवारों का विश्लेषण किया गया था जो दो हजार से अधिक ऑनलाइन स्टोर साइटों को संक्रमित करते थे।

एकल पता

संक्रमण के दौरान, हमलावरों ने साइट कोड में एक दुर्भावनापूर्ण स्क्रिप्ट के लिंक को इंजेक्ट किया, इस स्क्रिप्ट को लोड किया गया और सामानों के भुगतान के समय ऑनलाइन स्टोर आगंतुक के भुगतान डेटा को बाधित किया, और फिर उन्हें हमलावर सर्वर को भेज दिया। फेकसेक्विटी, दुर्भावनापूर्ण स्क्रिप्ट और स्निफर गेट्स का उपयोग करते हुए हमलों के शुरुआती चरणों में एक ही मैग्नेटो-सिक्योरिटी []] ऑर्ग डोमेन पर स्थित थे।

बाद में, कुछ Magento साइटों को एक ही स्निफर परिवार से संक्रमित किया गया था, लेकिन इस बार हमलावरों ने दुर्भावनापूर्ण कोड को होस्ट करने के लिए नए डोमेन नामों का उपयोग किया:

fiswedbesign [।] com
alloaypparel [।] कॉम

इन दोनों डोमेन नामों को एक ही ईमेल पते greenstreethunter @ india [।] कॉम पर पंजीकृत किया गया था। तीसरे डोमेन नाम फर्स्टबैंक [।] कॉम के पंजीकरण के दौरान एक ही पता प्रदान किया गया था।

समझाने का अनुरोध

फेकसिक्योरिटी क्राइम ग्रुप द्वारा इस्तेमाल किए गए तीन नए डोमेन के विश्लेषण से पता चला कि उनमें से कुछ मालवेयर वितरण अभियान में शामिल थे, जो मार्च 2019 में शुरू हुआ था। हमलावरों ने उन पृष्ठों के लिंक वितरित किए जिनमें कहा गया था कि उपयोगकर्ता को दस्तावेज़ के सही प्रदर्शन के लिए लापता प्लग-इन स्थापित करने की आवश्यकता है। यदि उपयोगकर्ता ने एप्लिकेशन डाउनलोड करना शुरू कर दिया, तो उसका कंप्यूटर पासवर्ड चोरी करने के लिए मैलवेयर से संक्रमित था।

कुल में, 11 अद्वितीय लिंक सामने आए थे, जिसके कारण नकली पेज बने जिससे उपयोगकर्ता को मैलवेयर इंस्टॉल करने के लिए प्रेरित किया गया।

hxxps: //www.etodoors.com/uploads/Statement00534521 [।] html
hxxps: //www.healthcare4all.co.uk/manuals/Statement00534521 []] html
hxxps: //www.healthcare4all.co.uk/lib/Statement001845 [। html]
hxxps: //www.healthcare4all.co.uk/doc/BankStatement001489232 [। html]
hxxp: //verticalinsider.com/bookmarks/Bank_Statement0052890 [। html]
hxxp: //thepinetree.net/n/docs/Statement00159701 [। html]
hxxps: //www.readicut.co.uk/media/pdf/Bank_Statement00334891 [html
hxxp: //www.e-cig.com/doc/pdf/eStmt [।] html
hxxps: //www.genstattu.com/doc/PoliceStatement001854 [।] html
hxxps: //www.tokyoflash.com/pdf/statment001854 [।] html
hxxps: //www.readicut.co.uk/media/pdf/statment00789 [।] html

एक दुर्भावनापूर्ण अभियान के संभावित शिकार को स्पैम ई-मेल मिला, पत्र में पहले स्तर के एक पृष्ठ का लिंक था। यह पृष्ठ एक छोटा HTML डॉक्यूमेंट है जिसमें एक iframe है, जिसकी सामग्री दूसरे स्तर के पृष्ठ से भरी हुई है। दूसरे स्तर का पृष्ठ सामग्री के साथ एक लैंडिंग पृष्ठ है जो प्राप्तकर्ता को एक निश्चित निष्पादन योग्य फ़ाइल स्थापित करने के लिए प्रेरित करता है। इस दुर्भावनापूर्ण अभियान के मामले में, हमलावरों ने एडोब रीडर के लिए लापता प्लग-इन स्थापित करने के विषय के साथ एक लैंडिंग पृष्ठ का उपयोग किया, इसलिए पहले-स्तरीय पृष्ठ ने एक पीडीएफ फाइल के लिंक की नकल की, जो एक ब्राउज़र में ऑनलाइन देखने के मोड में खोली गई थी। दूसरे स्तर के पृष्ठ में एक दुर्भावनापूर्ण अभियान के हिस्से के रूप में वितरित एक दुर्भावनापूर्ण फ़ाइल का लिंक होता है, जिसे डाउनलोड प्लगइन बटन पर क्लिक करने पर डाउनलोड किया जाएगा।

इस अभियान में उपयोग किए गए पृष्ठों के विश्लेषण से पता चला है कि आमतौर पर द्वितीय-स्तरीय पृष्ठ हमलावरों के डोमेन पर स्थित थे, जबकि प्रथम-स्तरीय पृष्ठ और सीधे दुर्भावनापूर्ण फ़ाइल हैक किए गए ई-कॉमर्स साइटों पर सबसे अधिक बार थे।

मैलवेयर वितरण के लिए उदाहरण पृष्ठ संरचना

स्पैम के माध्यम से, एक संभावित पीड़ित को HTML फ़ाइल का लिंक प्राप्त होता है, उदाहरण के लिए, hxxps: //www.healthcare4all [।] Co []] ब्रिटेन / मैनुअल / स्टेटमेंट 00534521 [।] Html । संदर्भ द्वारा HTML फ़ाइल में पृष्ठ की मुख्य सामग्री के लिंक के साथ एक iframe तत्व होता है; इस उदाहरण में, पृष्ठ की सामग्री hxxps पर स्थित है : // alloaypparel [।] com / view / public / Statement00534521 / PDF / Statement001854 [।] पीडीएफ । जैसा कि हम इस उदाहरण से देखते हैं, इस मामले में, हमलावरों ने पृष्ठ सामग्री को होस्ट करने के लिए पंजीकृत डोमेन का उपयोग किया, न कि हैक की गई साइट का उपयोग किया। इस लिंक के माध्यम से प्रदर्शित इंटरफ़ेस में, एक डाउनलोड प्लगइन बटन है। यदि पीड़ित इस बटन पर क्लिक करता है, तो निष्पादन योग्य फ़ाइल पृष्ठ कोड में निर्दिष्ट लिंक से डाउनलोड की जाएगी; इस उदाहरण में, निष्पादन योग्य फ़ाइल hxxps पर डाउनलोड की जाती है: //www.healthcare4all [।] सह।] ब्रिटेन / मैनुअल / Adobe-Reader-PDF-Plugin-2.37.2.exe , यानी दुर्भावनापूर्ण फ़ाइल को हैक की गई साइट पर संग्रहीत किया जाता है।

हमारे समय के मेफिस्टोफिल्स

अलोएप्पेलर [।] कॉम डोमेन के विश्लेषण से पता चला कि मैलवेयर वितरण के लिए फ़िशिंग पृष्ठों को बनाने और तैनात करने के लिए मेफ़िस्टोफिलस फ़िशिंग किट का उपयोग किया गया: मेफ़िस्टोफिलस कई प्रकार के लैंडिंग का उपयोग करता है जो उपयोगकर्ता को काम करने के लिए आवश्यक रूप से लापता प्लग-इन को स्थापित करने के लिए संकेत देता है। वास्तव में, उपयोगकर्ता को मैलवेयर स्थापित किया जाएगा, एक लिंक जिसे ऑपरेटर प्रशासनिक पैनल मेफिस्टोफिलस के माध्यम से जोड़ता है।

लक्षित फ़िशिंग हमलों के लिए मेफ़िस्टोफिलस प्रणाली को अगस्त 2016 में गुप्त मंचों पर लॉन्च किया गया था। यह एक मानक फ़िशिंग किट है, जो दस्तावेज़ या पृष्ठ की सामग्री को देखने के लिए एक प्लगइन अपडेट (MS Word, MS Excel, PDF, YouTube) की आड़ में मैलवेयर डाउनलोड की पेशकश करता है। Mephistophilus कोकैन उपनाम के तहत भूमिगत मंचों के उपयोगकर्ता द्वारा बिक्री के लिए विकसित और जारी किया गया था। फ़िशिंग किट का उपयोग करके सफलतापूर्वक संक्रमित करने के लिए, एक हमलावर को मेफ़िस्टोफिलस द्वारा उत्पन्न पृष्ठ पर जाने वाले लिंक पर क्लिक करने के लिए उपयोगकर्ता को संकेत देने की आवश्यकता होती है। फ़िशिंग पृष्ठ के विषय के बावजूद, एक संदेश प्रकट होता है कि आपको ऑनलाइन दस्तावेज़ या YouTube वीडियो के सही प्रदर्शन के लिए गुम प्लग-इन स्थापित करना होगा। ऐसा करने के लिए, मेफिस्टोफिलस में कई प्रकार के फ़िशिंग पृष्ठ हैं जो वैध सेवाओं की नकल करते हैं:

Microsoft Office365 वर्ड या एक्सेल ऑनलाइन दस्तावेज़ दर्शक
ऑनलाइन पीडीएफ दर्शक
YouTube क्लोन पृष्ठ

हताहतों की संख्या

मैलवेयर अभियान के भाग के रूप में, आपराधिक समूह स्व-पंजीकृत डोमेन नाम का उपयोग करने तक सीमित नहीं था: हमलावरों ने कई ऑनलाइन स्टोर साइटों का भी उपयोग किया था जो पहले वितरित दुर्भावनापूर्ण फ़ाइलों के नमूनों को संग्रहीत करने के लिए फ़ेकसिटीस स्निफ़र से संक्रमित थे।

कुल मिलाकर, 5 अनूठे लिंक मालवेयर के 5 अनूठे नमूनों में पाए गए, जिनमें से 4 को सीएमएस मैगनेटो को चलाने वाली हैक की गई साइटों पर संग्रहीत किया गया था:

hxxps: //www.healthcare4all [।] सह [।] ब्रिटेन / मैनुअल / एडोब-रीडर-पीडीएफ-प्लगइन-2.37.2.exe
hxxps: //www.genstattu [।] com / doc / Adobe-Reader-PDF-Plugin-2.31.4.exe
hxxps: // firstofbanks [।] com / file_d / Adobe-Reader-PDF-Plugin-2.35.8.exe
hxxp: // e-cig [।] com / doc / Adobe-Reader-PDF-Plugin-2.31.4.exe
hxxp: // thepinetree [।] नेट / डॉक्स / msw070619.exe

इस अभियान में वितरित किए गए मैलवेयर नमूने ब्राउज़रों और कुछ अनुप्रयोगों से पासवर्ड चुराने के लिए डिज़ाइन किए गए विडार स्टाइलर के नमूने हैं। वह यह भी जानता है कि निर्दिष्ट मापदंडों के अनुसार फ़ाइलों को कैसे इकट्ठा किया जाए और उन्हें प्रशासनिक पैनल में स्थानांतरित किया जाए, जो कि सुविधा देता है, उदाहरण के लिए, क्रिप्टोक्यूरेंसी वॉलेट फ़ाइलों की चोरी। विडार मैलवेयर-ए-ए-सर्विस प्रस्तुत करता है: एकत्र किए गए सभी डेटा को गेट पर प्रेषित किया जाता है, और फिर केंद्रीकृत प्रशासन पैनल में भेजा जाता है, जहां स्टाइलर के प्रत्येक खरीदार संक्रमित कंप्यूटर से आए लॉग देख सकते हैं।

सक्षम चोर

नवंबर 2018 में विडार स्टाइलर दिखाई दिए। इसे विकसित किया गया था और छद्म नाम लोडबक्स के तहत एक उपयोगकर्ता द्वारा भूमिगत मंचों पर बिक्री के लिए रखा गया था। डेवलपर के वर्णन के अनुसार, विडार ब्राउज़र से पासवर्ड चुरा सकता है, कुछ रास्तों और मास्क, बैंक कार्ड डेटा, कोल्ड वॉलेट फाइलें, टेलीग्राम और स्काइप पत्राचार, साथ ही साथ साइटों के इतिहास को ब्राउज़ कर सकता है। स्टाइलर का किराया मूल्य $ 250 से $ 300 प्रति माह है। स्टाइलर और गेट के रूप में उपयोग किए जाने वाले डोमेन के व्यवस्थापक पैनल विडार लेखकों के सर्वर पर स्थित हैं, जो ग्राहकों के लिए बुनियादी ढांचे की लागत को कम करता है।

Msw070619.exe दुर्भावनापूर्ण फ़ाइल के मामले में, मेफिस्टोफिलस लैंडिंग पृष्ठ का उपयोग करने के अलावा, एक दुर्भावनापूर्ण DOC फ़ाइल BankStatement0040918404.doc (MD5: 1ba82824074b414419ac10f5ded847ef1) का भी पता लगाया गया, जिसने इस निष्पादन फ़ाइल को हटा दिया। BankStatement0040918404.doc DOC फ़ाइल को दुर्भावनापूर्ण ईमेल के अनुलग्नक के रूप में संलग्न किया गया था , जिसका वितरण एक दुर्भावनापूर्ण अभियान का हिस्सा था।

हमले की तैयारी

पता लगाया गया पत्र (MD5: 53554192ca888cccbb5747e71825facd) CMS मैगनेटो को चलाने वाली साइट के संपर्क पते पर भेजा गया था, जहां से यह निष्कर्ष निकाला जा सकता है कि ऑनलाइन स्टोर के व्यवस्थापक दुर्भावनापूर्ण अभियान के लक्ष्यों में से एक थे, और संक्रमण का उद्देश्य मैगेंटो और अन्य के प्रशासनिक पैनल तक पहुंच था। संक्रमित दुकानों से एक स्निफर के बाद की स्थापना और ग्राहक के डेटा की चोरी के लिए -प्लेटफ़ॉक्स।

इस प्रकार, संक्रमण योजना निम्नलिखित चरणों में शामिल है:

हमलावरों ने होस्ट एलोयप्पेलर पर मेफिस्टोफिलस फ़िशिंग किट प्रशासनिक पैनल तैनात किया । [] कॉम
हमलावरों ने हैक की गई वैध साइटों और अपनी साइटों पर दुर्भावनापूर्ण पासवर्ड चोरी मैलवेयर रखा।
फ़िशिंग किट का उपयोग करते हुए, हमलावरों ने मैलवेयर के वितरण के लिए कई लैंडिंग पृष्ठ तैनात किए, साथ ही मैक्रोज़ के साथ दुर्भावनापूर्ण दस्तावेज़ बनाए जो उपयोगकर्ता के कंप्यूटर पर मैलवेयर डाउनलोड करते थे।
हमलावरों ने दुर्भावनापूर्ण अनुलग्नकों के साथ पत्र भेजने के लिए स्पैम अभियान चलाया, साथ ही मैलवेयर इंस्टॉल करने के लिए लैंडिंग पृष्ठों के लिंक के साथ। हमलावर के लक्ष्यों का कम से कम हिस्सा ऑनलाइन स्टोर साइटों के व्यवस्थापक हैं।
जब व्यवस्थापक के कंप्यूटर के कंप्यूटर को सफलतापूर्वक समझौता किया गया था, तो चोरी किए गए क्रेडेंशियल्स का उपयोग स्टोर के प्रशासनिक पैनल तक पहुंचने और संक्रमित साइट पर भुगतान करने वाले उपयोगकर्ताओं के बैंक कार्ड चोरी करने के लिए जेएस-स्निफर को स्थापित करने के लिए किया गया था।

अन्य हमलों का लिंक

हमले की अवसंरचना को IP पते 200.63.40.2 के साथ एक सर्वर पर तैनात किया गया था, जो कि Panamerververs [।] कॉम सर्वर किराये की सेवा से संबंधित है। फेकसिटीस अभियान से पहले, इस सर्वर का उपयोग फ़िशिंग के लिए किया गया था, साथ ही पासवर्डों को चुराने के लिए विभिन्न दुर्भावनापूर्ण कार्यक्रमों के प्रशासनिक पैनल की मेजबानी के लिए भी।

फेकसिटीस अभियान की बारीकियों के आधार पर, हम यह मान सकते हैं कि इस सर्वर पर स्थित लोकिबोट और एजोरुएल स्टाइलर्स के प्रशासनिक पैनल जनवरी 2019 में उसी समूह के पिछले हमलों में इस्तेमाल किए जा सकते हैं। इस लेख के अनुसार, 14 जनवरी, 2019 को, अज्ञात हमलावरों ने एक अटैचमेंट में दुर्भावनापूर्ण DOC फ़ाइल के साथ बड़े पैमाने पर मेल करके लोकिबोट मैलवेयर वितरित किए। 18 जनवरी, 2019 को, AZORUlt मैलवेयर स्थापित करने वाले दुर्भावनापूर्ण दस्तावेज़ों की एक मेलिंग सूची भी आयोजित की गई थी। इस अभियान के विश्लेषण से आईपी पते 200.63.40.2 के साथ सर्वर पर स्थित निम्नलिखित प्रशासनिक पैनल का पता चला:

http [:] // chuxagama [।] com / वेब-प्राप्त / पैनल / पांच / PvqDq929BSx_A_D_M1n_a.php (लोकिबोट)
http [:] // umbra-diego [।] com / wp / पैनल / पांच / PvqDq929BSx_A_D_M1n_a.php (लोकिबोट)
http [:] // chuxagama [।] com / वेब-प्राप्त / पैनल / पांच / index.php (AZORUlt)

डोमेन का नाम chuxagama [।] कॉम और tumra-diego [।] कॉम को एक ही उपयोगकर्ता द्वारा ईमेल पते Dicksonfletcher@gmail.com के साथ पंजीकृत किया गया था। इसी पते का उपयोग मई 2016 में वर्ल्डकॉर्सेज सर्विसेज [।] कॉम डोमेन नाम को पंजीकृत करने के लिए किया गया था, जिसे तब धोखाधड़ी करने वाली कंपनी वर्ल्ड कूरियर सर्विस के लिए एक साइट के रूप में इस्तेमाल किया गया था।

इस तथ्य के आधार पर कि, फेकसैच्यूरिटी मालवेयर अभियान के हिस्से के रूप में, हमलावरों ने पासवर्ड चोरी करने के लिए मैलवेयर का उपयोग किया और इसे स्पैम ई-मेल के माध्यम से वितरित किया, और 200.63.40.2 के आईपी पते के साथ एक सर्वर का भी उपयोग किया, यह माना जा सकता है कि जनवरी 2019 में एक दुर्भावनापूर्ण अभियान किया गया था। वही आपराधिक समूह।

संकेतक

फ़ाइल का नाम Adobe-Reader-PDF-Plugin-2.37.2.exe

MD5 3ec1ac0be981ce6d3f83f4a776e37622
SHA-1 346d580ecb4ace858d71213808f4c75341a94511
SHA-256 6ec8b7ce6c9858755964f94acdf618773275589024e2b66583e3634127b7e32c
आकार 615984

फ़ाइल का नाम Adobe-Reader-PDF-Plugin-2.31.4.exe

MD5 58476e1923de46cd4b8bee4cdeed0911
SHA-1 aaf9885b8b686092b003ebbd9aaf8e604eea3a6
SHA-256 15abc3f55703b89ff381880a10138591c6214dee7cc978b7040dd8b1e6f96297
आकार 578048

फ़ाइल का नाम Adobe-Reader-PDF-Plugin-2.35.8.exe

MD5 286096c7e3452aad4acdc9baf897fd0c
SHA-1 26d71553098b5c92b55e49db85c719f5bb366513
SHA-256 af04334369878408898a223e63ec50e1434c512bc21d919769c97964492fee19
आकार 1069056