EternalRocks: WannaCry से अधिक खतरनाक अनुवर्ती

हाल ही में खोजा गया वर्म EternalRocks का कोई किल स्विच नहीं है और यह अत्यधिक संक्रामक है। यह NSA के लीक टूल्स का फायदा उठाता है और तेजी से रैंसमवेयर, बैंकिंग ट्रोजन, या RATs के साथ हथियारबंद किया जा सकता है।

WannaCry द्वारा पिछले 10 दिनों में दुनिया भर में कहर बरपाने वाले रैंसमवेयर हमलों की मेजबानी के बाद, सुरक्षा शोधकर्ता मिरोस्लाव स्टैम्पर द्वारा मैलवेयर का एक नया स्ट्रेन "EternalRocks" पहचाना गया है। यह बुधवार को उनके Windows 7 हनीपॉट पर एक नमूने से खोजा गया था, जब यह संक्रमित हुआ था।

इसका मूल नाम "MicroBotMassiveNet" है और स्टैम्पर ने इसे "DoomsDayWorm" नाम दिया है। EternalRocks टास्कहोस्ट गुणों के तहत एक उत्पाद नाम के रूप में सूचीबद्ध है।

EternalRocks लीक में सभी SMB कारनामों का उपयोग करके फैलता है, जिसमें WannaCry द्वारा हमलों में उपयोग किया गया EternalBlue शामिल है। EternalRocks न केवल EternalBlue का उपयोग करता है, बल्कि यह EternalChampion, EternalRomance, और EternalSynergy, साथ ही ArchiTouch, SMBTouch, और DoublePulsar कर्नेल शोषण का भी उपयोग करता है।

EternalRocks एक सेल्फ-रिप्लिकेटिंग मैलवेयर है, इसमें कहीं अधिक खतरे शामिल हैं और यह WannaCry से अधिक जघन्य है। यह कई SMB (सर्वर मैसेज ब्लॉक) कमजोरियों के माध्यम से फैलता है और NSA टूल जिसे EternalBlue के नाम से जाना जाता है, का उपयोग करके खुद को एक कंप्यूटर से दूसरे कंप्यूटर में Windows के माध्यम से फैलाता है।

EternalRocks के बारे में जानने योग्य कुछ महत्वपूर्ण बातें:

1. अपने वर्तमान रूप में, 'EternalRocks' फ़ाइलों को लॉक या भ्रष्ट नहीं करता है या बॉटनेट बनाने के लिए संक्रमित मशीनों का उपयोग नहीं करता है। हालांकि, यह संक्रमित कंप्यूटर्स को रिमोट कमांड के प्रति संवेदनशील बनाता है जो किसी भी समय संक्रमण को 'हथियारबंद' कर सकते हैं।
2. 'EternalRocks' WannaCry से अधिक मजबूत है क्योंकि इसमें कोई खामी और कोई किल स्विच नहीं है। इन खामियों ने WannaCry रैंसमवेयर को धीमा और परिहार्य बना दिया था।
3. 'EternalRocks कंप्यूटर को संक्रमित करने के 24 घंटे बाद तक कुछ नहीं करता है, जिससे इसका पता लगाना कठिन हो जाता है। यह 24 घंटे की अवधि में 2 चरणों में फैलता है।

हनीपॉट क्या है?

एक हनीपॉट एक कंप्यूटर सुरक्षा तंत्र है जिसे हैकर्स को आकर्षित करने, पता लगाने और विक्षेपित करने के लिए एक जाल के रूप में कार्य करने के लिए स्थापित किया जाता है जो सूचना प्रणालियों के अनधिकृत उपयोग का प्रयास करते हैं। यह जानबूझकर साइबर हमलावरों को संलग्न करके और धोखा देकर इंटरनेट पर की गई दुर्भावनापूर्ण गतिविधियों की पहचान करता है।

EternalRocks, WannaCry से कैसे भिन्न है?

हालांकि EternalRocks उसी मार्ग और कमजोरी का उपयोग करके Windows-सक्षम सिस्टम को संक्रमित करता है, लेकिन कहा जाता है कि यह कहीं अधिक खतरनाक है, क्योंकि कथित तौर पर यह WannaCry द्वारा उपयोग किए गए दो NSA टूल्स की तुलना में सभी सात हैकिंग टूल्स का उपयोग करता है, जिन्हें NSA से लीक किया गया था।

WannaCry मैलवेयर, केवल दो NSA टूल्स के साथ, 150 देशों और दुनिया भर में 2,40,000 से अधिक मशीनों को प्रभावित करके तबाही मचाई। तो हम कल्पना कर सकते हैं कि EternalRocks क्या कर सकता है क्योंकि यह सात NSA टूल्स का उपयोग करता है।

"DoomsDayWorm" की अनूठी विशेषता यह है कि यह कमांड और कंट्रोल सर्वर से अतिरिक्त मैलवेयर डाउनलोड करने के लिए बैकडोर का उपयोग करने से पहले चुपचाप चौबीस घंटे की अवधि के लिए प्रतीक्षा करता है। WannaCry रैंसमवेयर के विपरीत, जिसका प्रसार एक सुरक्षा ब्लॉगर द्वारा खोजे गए किलस्विच के कारण रुका हुआ था।

पहले चरण के दौरान, EternalRocks TOR को C&C (कमांड-एंड-कंट्रोल) संचार चैनल के रूप में इंस्टॉल करता है। 24 घंटे बीत जाने के बाद दूसरा चरण शुरू होता है जब C&C सर्वर shadowbrokers.zip के साथ प्रतिक्रिया करता है। यह तब फ़ाइल को अनपैक करता है और इंटरनेट के खुले 445 SMB पोर्ट के लिए एक यादृच्छिक स्कैन शुरू करता है।

TOR क्या है?

सॉफ्टवेयर जो अनदेखी आंखों को बंद करता है क्योंकि वे हर जगह हैं

TOR एक सॉफ्टवेयर है जो उपयोगकर्ताओं को वेब को गुमनाम रूप से ब्राउज़ करने की अनुमति देता है। TOR को मूल रूप से The Onion Router कहा जाता था, क्योंकि यह उपयोगकर्ता गतिविधि के बारे में जानकारी छिपाने के लिए प्याज रूटिंग नामक तकनीक का उपयोग करता है। TOR पहचान और रूटिंग को अलग करके इंटरनेट गतिविधि को ट्रैक करना अधिक कठिन बना देता है, यह IP पते सहित डेटा को एन्क्रिप्ट करता है।

C&C (कमांड-एंड-कंट्रोल) संचार चैनल क्या है?

कमांड और कंट्रोल सर्वर जिन्हें C&C सर्वर या C2 भी कहा जाता है, हमलावरों द्वारा लक्ष्य नेटवर्क के भीतर समझौता किए गए सिस्टम के साथ संचार बनाए रखने के लिए उपयोग किए जाने वाले कंप्यूटर हैं।

EternalRocks द्वारा उपयोग किए गए शैडोब्रोकर्स द्वारा लीक किए गए सात NSA टूल्स:

• EternalBlue — नेटवर्क पर आने के लिए SMB1 और SMB2 शोषण
• EternalRomance — एक रिमोट SMB1 नेटवर्क फ़ाइल सर्वर शोषण जो Windows XP, Server 2003, Vista, Windows 7, Windows 8, Server 2008, और Server 2008 R2 को लक्षित करता है
• EternalChampion — SMBv2 शोषण टूल
• EternalSynergy — एक रिमोट कोड एक्ज़ीक्यूशन शोषण SMB3 के खिलाफ जो संभावित रूप से ऑपरेटिंग सिस्टम के खिलाफ काम करता है।

उपरोक्त 4 टूल्स कमजोर Windows कंप्यूटरों से समझौता करने के लिए डिज़ाइन किए गए हैं।

• SMBTouch — SMB टोही टूल
• ArchTouch — SMB टोही टूल

उपरोक्त 2 टूल्स सार्वजनिक नेटवर्क पर खुले SMB पोर्ट को स्कैन करने के लिए उपयोग किए जाते हैं।

• DoublePulsar — रैंसमवेयर इंस्टॉल करने के लिए उपयोग किया जाता है

एक ही नेटवर्क पर एक कंप्यूटर से दूसरे कंप्यूटर में वर्म फैलाने में मदद करता है।

WannaCry रैंसमवेयर EternalBlue या बैकडोर, DoublePulsar शोषण का उपयोग करने वाला एकमात्र मैलवेयर नहीं है। एक क्रिप्टोकरेंसी माइनर जिसे Adylkuzz के नाम से जाना जाता है, संक्रमित मशीनों पर आभासी मुद्राओं का खनन कर रहा है। इसी तरह के अटैक वेक्टर के माध्यम से फैलने वाला एक और मैलवेयर UIWIX के नाम से जाना जाता है।

अच्छी खबर

EternalRocks के हथियारबंद होने की कोई रिपोर्ट नहीं है। कोई दुर्भावनापूर्ण पेलोड - जैसे रैंसमवेयर - रिपोर्ट नहीं किए गए हैं।

बुरी खबर

चूंकि SMB पैच के प्रभाव बाद में लागू होते हैं, EternalRocks वर्म से संक्रमित मशीनें DOUBLEPULSAR NSA टूल के माध्यम से रिमोट रूप से सुलभ रहती हैं। EternalRocks द्वारा छोड़ा गया बैकडोर ट्रोजन DOUBLEPULSAR इंस्टॉलेशन हैकर्स के लिए दरवाजा हमेशा खुला रखता है।

ऐसे हमलों से सुरक्षित रहने के लिए क्या करें?

• सार्वजनिक इंटरनेट पर SMB पोर्ट्स के लिए बाहरी पहुंच ब्लॉक करें
• सभी SMB कमजोरियों को पैच करें
• C&C सर्वर और Torproject.org तक पहुंच ब्लॉक करें
• किसी भी नए जोड़े गए शेड्यूल्ड टास्क की निगरानी करें
• अपना Windows OS अपडेट करें
• अपना एंटी-वायरस इंस्टॉल करें और अपडेट करें
• संदिग्ध लिंक और आपके सिस्टम के बीच एक बाधा बनाए रखने के लिए सिस्टम फ़ायरवॉल इंस्टॉल या सक्रिय करें
• स्पष्ट सेटिंग्स और सरल पासवर्ड का उपयोग करने से बचें। अक्षरों और संख्याओं के संयोजन का उपयोग करने का प्रयास करें। बड़े और छोटे अक्षरों का संयोजन भी एक सुरक्षित दृष्टिकोण है।

Windows के पायरेटेड संस्करणों का उपयोग न करें, यदि आपके पास एक है तो आपका सिस्टम संक्रमण के प्रति अधिक संवेदनशील है। Windows OS का वास्तविक संस्करण इंस्टॉल और उपयोग करना सबसे अच्छा है।