VPNFilter मैलवेयर का पता लगाना और हटाना: चरण-दर-चरण सुरक्षा

सभी मैलवेयर समान नहीं बनाए जाते। इसका एक प्रमाण VPNFilter मैलवेयर का अस्तित्व है, राउटर मैलवेयर की एक नई नस्ल जिसमें विनाशकारी गुण हैं। इसकी एक विशिष्ट विशेषता यह है कि यह अधिकांश अन्य इंटरनेट ऑफ थिंग्स (IoT) खतरों के विपरीत, रीबूट से बच सकता है।

यह लेख आपको VPNFilter मैलवेयर की पहचान करने के साथ-साथ इसके लक्ष्यों की सूची के माध्यम से मार्गदर्शन करेगा। हम आपको यह भी सिखाएंगे कि इसे पहली जगह में आपके सिस्टम पर कहर बरपाने से कैसे रोका जाए।

VPNFilter मैलवेयर क्या है?

VPNFilter को विनाशकारी मैलवेयर के रूप में सोचें जो राउटर्स, IoT डिवाइस, और यहां तक कि नेटवर्क-अटैच्ड स्टोरेज (NAS) डिवाइस को धमकाता है। इसे एक परिष्कृत मॉड्यूलर मैलवेयर वेरिएंट माना जाता है जो मुख्य रूप से विभिन्न निर्माताओं के नेटवर्किंग डिवाइस को लक्षित करता है।

प्रारंभ में, मैलवेयर का पता Linksys, NETGEAR, MikroTik, और TP-Link नेटवर्क डिवाइस पर चला। यह QNAP NAS डिवाइस में भी खोजा गया था। आज तक, 54 देशों में लगभग 500,000 संक्रमण हैं, जो इसकी विशाल पहुंच और उपस्थिति को दर्शाता है।

सिस्को टैलोस, जिस टीम ने VPNFilter का खुलासा किया, मैलवेयर और इसके आसपास के तकनीकी विवरण पर एक विस्तृत ब्लॉग पोस्ट प्रदान करता है। दिखने से, ASUS, D-Link, Huawei, UPVEL, Ubiquiti, और ZTE के नेटवर्किंग उपकरण में संक्रमण के संकेत हैं।

अधिकांश अन्य IoT-लक्षित मैलवेयर के विपरीत, VPNFilter को खत्म करना मुश्किल है क्योंकि यह सिस्टम रीबूट के बाद भी बना रहता है। इसके हमलों के प्रति संवेदनशील साबित होने वाले डिवाइस वे हैं जो अपने डिफ़ॉल्ट लॉगिन क्रेडेंशियल का उपयोग करते हैं, या जिनमें ज्ञात जीरो-डे कमजोरियां हैं जिनका फर्मवेयर अपडेट नहीं हुआ है।

VPNFilter मैलवेयर से प्रभावित ज्ञात डिवाइस

एंटरप्राइज और छोटे कार्यालय या होम ऑफिस राउटर दोनों इस मैलवेयर का लक्ष्य माने जाते हैं। निम्नलिखित राउटर ब्रांड और मॉडल पर ध्यान दें:

Asus RT-AC66U
Asus RT-N10
Asus RT-N10E
Asus RT-N10U
Asus RT-N56U
Asus RT-N66U
D-Link DES-1210-08P
D-Link DIR-300
D-Link DIR-300A
D-Link DSR-250N
D-Link DSR-500N
D-Link DSR-1000
D-Link DSR-1000N
Linksys E1200
Linksys E2500
Linksys E3000
Linksys E3200
Linksys E4200
Linksys RV082
Huawei HG8245
Linksys WRVS4400N
Netgear DG834
Netgear DGN1000
Netgear DGN2200
Netgear DGN3500
Netgear FVS318N
Netgear MBRN3000
Netgear R6400
Netgear R7000
Netgear R8000
Netgear WNR1000
Netgear WNR2000
Netgear WNR2200
Netgear WNR4000
Netgear WNDR3700
Netgear WNDR4000
Netgear WNDR4300
Netgear WNDR4300-TN
Netgear UTM50
MikroTik CCR1009
MikroTik CCR1016
MikroTik CCR1036
MikroTik CCR1072
MikroTik CRS109
MikroTik CRS112
MikroTik CRS125
MikroTik RB411
MikroTik RB450
MikroTik RB750
MikroTik RB911
MikroTik RB921
MikroTik RB941
MikroTik RB951
MikroTik RB952
MikroTik RB960
MikroTik RB962
MikroTik RB1100
MikroTik RB1200
MikroTik RB2011
MikroTik RB3011
MikroTik RB Groove
MikroTik RB Omnitik
MikroTik STX5
TP-Link R600VPN
TP-Link TL-WR741ND
TP-Link TL-WR841N
Ubiquiti NSM2
Ubiquiti PBE M5
Upvel Devices - अज्ञात मॉडल
ZTE Devices ZXHN H108N
QNAP TS251
QNAP TS439 Pro
QTS सॉफ़्टवेयर चलाने वाले अन्य QNAP NAS डिवाइस

लक्षित अधिकांश डिवाइस में एक सामान्य बात उनके डिफ़ॉल्ट क्रेडेंशियल का उपयोग है। उनके पास ज्ञात एक्सप्लॉइट भी हैं, विशेष रूप से पुराने संस्करणों के लिए।

VPNFilter मैलवेयर संक्रमित डिवाइस को क्या करता है?

VPNFilter प्रभावित डिवाइस को कमजोर करने वाली क्षति पहुंचाने के साथ-साथ डेटा संग्रह विधि के रूप में काम करता है। यह तीन चरणों में काम करता है:

चरण 1

यह एक लक्ष्य डिवाइस पर इंस्टॉलेशन और लगातार उपस्थिति बनाए रखने को चिह्नित करता है। मैलवेयर अतिरिक्त मॉड्यूल डाउनलोड करने और निर्देशों की प्रतीक्षा करने के लिए कमांड एंड कंट्रोल (C&C) सर्वर से संपर्क करेगा। इस चरण में, स्टेज 2 C&C का पता लगाने के लिए कई अंतर्निहित रिडंडेंसी हैं, अगर खतरा तैनात होने के दौरान बुनियादी ढांचे में बदलाव होता है। स्टेज 1 VPNFilter रीबूट का सामना कर सकता है।

चरण 2

यह मुख्य पेलोड की विशेषता है। हालांकि यह रीबूट के माध्यम से बने रहने में असमर्थ है, इसमें अधिक क्षमताएं हैं। यह फाइलों को इकट्ठा करने, कमांड निष्पादित करने, और डेटा एक्सफिल्ट्रेशन और डिवाइस प्रबंधन करने में सक्षम है। अपने विनाशकारी प्रभावों को जारी रखते हुए, मैलवेयर हमलावरों से कमांड प्राप्त होने पर डिवाइस को "ब्रिक" कर सकता है। यह डिवाइस फर्मवेयर के एक हिस्से को ओवरराइट करके और बाद में रीबूट करके निष्पादित किया जाता है। आपराधिक कृत्य डिवाइस को अनुपयोगी बना देते हैं।

चरण 3

इसके कई ज्ञात मॉड्यूल मौजूद हैं और स्टेज 2 के लिए प्लगइन्स के रूप में कार्य करते हैं। इनमें डिवाइस के माध्यम से रूट किए गए ट्रैफ़िक पर जासूसी करने के लिए एक पैकेट स्निफर शामिल है, जो वेबसाइट क्रेडेंशियल चोरी और मोडबस SCADA प्रोटोकॉल की ट्रैकिंग को सक्षम करता है। एक अन्य मॉड्यूल स्टेज 2 को Tor के माध्यम से सुरक्षित रूप से संवाद करने देता है। सिस्को टैलोस जांच के आधार पर, एक मॉड्यूल डिवाइस से गुजरने वाले ट्रैफ़िक को दुर्भावनापूर्ण सामग्री प्रदान करता है। इस तरह, हमलावर कनेक्टेड डिवाइस को और प्रभावित कर सकते हैं।

6 जून को, दो और स्टेज 3 मॉड्यूल उजागर हुए। पहला "ssler" कहलाता है, और यह पोर्ट 80 का उपयोग करके डिवाइस से गुजरने वाले सभी ट्रैफ़िक को इंटरसेप्ट कर सकता है। यह हमलावरों को वेब ट्रैफ़िक देखने और मैन-इन-द-मिडिल हमलों को निष्पादित करने के लिए इसे इंटरसेप्ट करने की अनुमति देता है। यह उदाहरण के लिए, HTTPS अनुरोधों को HTTP में बदल सकता है, कथित रूप से एन्क्रिप्टेड डेटा को असुरक्षित रूप से भेज सकता है। दूसरा "dstr" कहा जाता है, जिसमें इस सुविधा की कमी वाले किसी भी स्टेज 2 मॉड्यूल के लिए एक किल कमांड शामिल है। एक बार निष्पादित होने पर, यह डिवाइस को ब्रिक करने से पहले मैलवेयर के सभी निशान खत्म कर देगा।

26 सितंबर को प्रकट हुए सात और स्टेज 3 मॉड्यूल यहां दिए गए हैं:

htpx - यह ssler की तरह ही काम करता है, संक्रमित डिवाइस के माध्यम से जाने वाले सभी HTTP ट्रैफ़िक को रीडायरेक्ट और निरीक्षण करता है ताकि किसी भी विंडोज एक्जीक्यूटेबल की पहचान और लॉगिंग की जा सके। यह संक्रमित राउटर्स के माध्यम से गुजरते समय एक्जीक्यूटेबल को ट्रोजनाइज़ कर सकता है, जो हमलावरों को उसी नेटवर्क से जुड़ी विभिन्न मशीनों पर मैलवेयर इंस्टॉल करने देता है।
ndbr - इसे एक बहु-कार्य SSH टूल माना जाता है।
nm - यह मॉड्यूल स्थानीय सबनेट को स्कैन करने के लिए एक नेटवर्क मैपिंग हथियार है।
netfilter - यह डिनायल ऑफ सर्विस यूटिलिटी कुछ एन्क्रिप्टेड ऐप्स तक पहुंच को ब्लॉक कर सकती है।
पोर्टफॉरवर्डिंग - यह हमलावरों द्वारा निर्धारित बुनियादी ढांचे में नेटवर्क ट्रैफ़िक को फॉरवर्ड करता है।
socks5proxy - यह कमजोर डिवाइस पर SOCKS5 प्रॉक्सी स्थापित करने में सक्षम बनाता है।

VPNFilter की उत्पत्ति उजागर

यह मैलवेयर संभवतः एक राज्य-प्रायोजित हैकिंग इकाई का काम है। प्रारंभिक संक्रमण मुख्य रूप से यूक्रेन में महसूस किए गए थे, जिससे इस कृत्य को हैकिंग ग्रुप फैंसी बियर और रूसी-समर्थित समूहों के लिए आसानी से जिम्मेदार ठहराया जा सकता है।

हालांकि, यह VPNFilter की परिष्कृत प्रकृति को दर्शाता है। इसे एक स्पष्ट उत्पत्ति और एक विशिष्ट हैकिंग समूह के साथ नहीं जोड़ा जा सकता है, और अभी तक किसी ने इसकी जिम्मेदारी नहीं ली है। एक राष्ट्र-राज्य प्रायोजक की अटकलें लगाई जा रही हैं क्योंकि SCADA के साथ-साथ अन्य औद्योगिक सिस्टम प्रोटोकॉल में व्यापक मैलवेयर नियम और लक्ष्यीकरण हैं।

यदि आप FBI से पूछें, तो VPNFilter फैंसी बियर की उपज है। मई 2018 में, एजेंसी ने ToKnowAll.com डोमेन को जब्त कर लिया, जिसे स्टेज 2 और 3 VPNFilter को इंस्टॉल और कमांड करने में सहायक माना जाता था। जब्ती ने मैलवेयर के प्रसार को रोकने में मदद की, लेकिन मुख्य स्रोत से निपटने में विफल रही।

अपनी 25 मई की घोषणा में, FBI उपयोगकर्ताओं से अपने होम वाई-फाई राउटर को रीबूट करने का आग्रह करती है ताकि एक बड़े विदेशी-आधारित मैलवेयर हमले को रोका जा सके। उस समय, एजेंसी ने विदेशी साइबर अपराधियों को छोटे कार्यालय और होम वाई-फाई राउटर - अन्य नेटवर्क डिवाइस के साथ - सैकड़ों हजारों की संख्या में समझौता करने के लिए जिम्मेदार ठहराया।

मैं सिर्फ एक साधारण उपयोगकर्ता हूँ - VPNFilter हमला मेरे लिए क्या मायने रखता है?

अच्छी खबर यह है कि यदि आपने ऊपर दी गई VPNFilter राउटर सूची की जांच की है तो आपका राउटर संभवतः इस परेशान करने वाले मैलवेयर को नहीं पाल रहा है। लेकिन सावधानी के पक्ष में गलती करना हमेशा बेहतर होता है। उदाहरण के लिए, सिमेंटेक VPNFilter चेक चलाता है ताकि आप जांच सकें कि आप प्रभावित हैं या नहीं। चेक चलाने में केवल कुछ सेकंड लगते हैं।

अब, बात यह है। क्या होगा अगर आप वास्तव में संक्रमित हैं? इन चरणों का अन्वेषण करें:

अपना राउटर रीसेट करें। अगला, VPNFilter चेक फिर से चलाएं।
अपने राउटर को इसकी फ़ैक्टरी सेटिंग्स पर रीसेट करें।
अपने डिवाइस पर किसी भी रिमोट मैनेजमेंट सेटिंग को अक्षम करने पर विचार करें।
अपने राउटर के लिए सबसे अपडेटेड फर्मवेयर डाउनलोड करें। एक साफ फर्मवेयर इंस्टॉल पूरा करें, आदर्श रूप से बिना राउटर के ऑनलाइन कनेक्शन बनाए प्रक्रिया चल रही है।
अपने कंप्यूटर या डिवाइस पर एक फुल सिस्टम स्कैन पूरा करें जो संक्रमित राउटर से जुड़ा हुआ है। अपने विश्वसनीय मैलवेयर स्कैनर के साथ मिलकर काम करने के लिए एक विश्वसनीय पीसी ऑप्टिमाइज़र टूल का उपयोग करना न भूलें।
अपने कनेक्शन सुरक्षित करें। शीर्ष स्तर की ऑनलाइन गोपनीयता और सुरक्षा के ट्रैक रिकॉर्ड के साथ एक उच्च गुणवत्ता वाले पेड वीपीएन के साथ खुद को सुरक्षित रखें।
अपने राउटर के साथ-साथ अन्य IoT या NAS डिवाइस के डिफ़ॉल्ट लॉगिन क्रेडेंशियल बदलने की आदत डालें।
एक फ़ायरवॉल इंस्टॉल करें और खराब चीजों को अपने नेटवर्क से बाहर रखने के लिए इसे ठीक से कॉन्फ़िगर करें।
अपने डिवाइस को मजबूत, अद्वितीय पासवर्ड से सुरक्षित करें।
एन्क्रिप्शन सक्षम करें।

यदि आपका राउटर संभावित रूप से प्रभावित है, तो निर्माता की वेबसाइट पर किसी भी नई जानकारी और अपने डिवाइस की सुरक्षा के लिए उठाए जाने वाले कदमों की जांच करना एक अच्छा विचार हो सकता है। यह एक तत्काल कदम है, क्योंकि आपकी सभी जानकारी आपके राउटर से गुजरती है। जब एक राउटर से समझौता किया जाता है, तो आपके डिवाइस की गोपनीयता और सुरक्षा दांव पर होती है।

सारांश

VPNFilter मैलवेयर हाल के इतिहास में एंटरप्राइज और छोटे कार्यालय या होम राउटर्स को हिट करने वाले सबसे मजबूत और सबसे अविनाशी खतरों में से एक हो सकता है। इसका प्रारंभिक पता Linksys, NETGEAR, MikroTik, और TP-Link नेटवर्क डिवाइस और QNAP NAS डिवाइस पर चला। आप ऊपर प्रभावित राउटर्स की सूची पा सकते हैं।

54 देशों में लगभग 500,000 संक्रमण शुरू करने के बाद VPNFilter को नज़रअंदाज नहीं किया जा सकता। यह तीन चरणों में काम करता है और राउटर्स को निष्क्रिय कर देता है, राउटर्स से गुजरने वाली जानकारी एकत्र करता है, और यहां तक कि नेटवर्क ट्रैफ़िक को ब्लॉक करता है। इसका पता लगाना और साथ ही इसकी नेटवर्क गतिविधि का विश्लेषण करना एक कठिन उपक्रम बना हुआ है।

इस लेख में, हमने मैलवेयर से खुद को बचाने के तरीकों और उन कदमों को रेखांकित किया जो आप उठा सकते हैं यदि आपका राउटर समझौता किया गया है। परिणाम गंभीर हैं, इसलिए आपको अपने डिवाइस की जांच के महत्वपूर्ण कार्य पर कभी नहीं बैठना चाहिए।