स्नेक कीलॉगर पीडीएफ के माध्यम से फैल रहा है

साइबरहूट के साथ आज ही अपना व्यवसाय सुरक्षित करें!!!

अभी साइनअप करें

आजकल कई दुर्भावनापूर्ण ईमेल अभियान मैलवेयर को छिपाने और फैलाने के लिए वर्ड डॉक्यूमेंट का उपयोग करते हैं, लेकिन शोधकर्ताओं ने पाया है कि हाल ही में खोजा गया एक अभियान स्नेक कीलॉगर मैलवेयर को फैलाने के लिए एक दुर्भावनापूर्ण पीडीएफ फाइल और 22 साल पुराने ऑफिस बग का उपयोग करता है।

हमलावरों ने अतीत में माइक्रोसॉफ्ट ऑफिस दस्तावेज़ प्रारूपों जैसे वर्ड और एक्सेल का लाभ उठाया है, क्योंकि उपयोगकर्ता इन फ़ाइल एक्सटेंशन से अधिक परिचित होते हैं, इसलिए वे मानते हैं कि इन्हें खोलना सुरक्षित है; जो इसे सामाजिक इंजीनियरिंग हमलों के लिए आदर्श बनाता है।

इस अभियान का पता एचपी वुल्फ सिक्योरिटी के शोधकर्ताओं ने लगाया , जिन्होंने पाया कि इसका उद्देश्य पीड़ितों को एक संलग्न पीडीएफ फाइल के माध्यम से धोखा देना है, जिसमें निपटान भुगतान से संबंधित जानकारी होने का दावा किया जाता है। इसके बजाय, यह जानकारी चुराने वाला मैलवेयर लोड करता है, और पकड़े जाने से बचने के लिए कुछ चालाकी भरी तरकीबों का इस्तेमाल करता है।

दुर्भावनापूर्ण अभियान

एचपीडब्ल्यू वुल्फ सिक्योरिटी टीम ने मार्च 2022 में एक नए पीडीएफ-आधारित खतरे के अभियान को देखा, जिसमें एक " असामान्य एक्सप्लॉइट चेन " थी, जिसमें न केवल एक पीडीएफ शामिल थी, बल्कि "पता लगाने से बचने के लिए कई तरकीबें भी थीं, जैसे कि दुर्भावनापूर्ण फाइलों को एम्बेड करना, दूरस्थ रूप से होस्ट किए गए एक्सप्लॉइट्स को लोड करना और शेलकोड एन्क्रिप्शन," श्लैपफर ने बताया।

हमलावर पीड़ितों को ईमेल भेजकर निशाना बनाते हैं जिनमें ' REMMITANCE INVOICE.pdf ' नाम की एक PDF फ़ाइल अटैचमेंट के रूप में होती है। अगर कोई इस फ़ाइल को खोलता है, तो Adobe Reader उपयोगकर्ता को एक .docx फ़ाइल खोलने के लिए कहता है जिसका नाम " PDF, Jpeg, xlsx, .docx " होता है, ताकि ऐसा लगे कि फ़ाइल का नाम Adobe Reader के प्रॉम्प्ट का हिस्सा है।

शोधकर्ताओं ने पाया कि .docx फ़ाइल पीडीएफ़ में एक एम्बेडेड फ़ाइल ऑब्जेक्ट के रूप में संग्रहीत होती है, जिस पर क्लिक करने पर माइक्रोसॉफ्ट वर्ड खुल जाता है। यदि प्रोटेक्टेड व्यू अक्षम है, तो वर्ड वेब सर्वर से एक रिच टेक्स्ट फ़ॉर्मेट (.rtf) फ़ाइल डाउनलोड करता है, जिसे फिर खुले दस्तावेज़ के संदर्भ में चलाया जाता है।

शोधकर्ताओं ने .rtf फ़ाइल की सामग्री को अनज़िप किया, जो एक ऑफिस ओपन XML फ़ाइल है, और " document.xml.rels " फ़ाइल में एक छिपा हुआ URL पाया जो ऑफिस दस्तावेज़ों में पाया जाने वाला एक वैध डोमेन नहीं है।

इस यूआरएल से कनेक्ट करने पर रीडायरेक्ट होता है और फिर “ f_document_shp.doc ” नामक एक आरटीएफ दस्तावेज़ डाउनलोड होता है। इस दस्तावेज़ में दो “अमान्य” ऑब्जेक्ट लिंकिंग और एम्बेडिंग (ओएलई) ऑब्जेक्ट थे, जिनसे शेलकोड का पता चला जो CVE-2017-11882 का फायदा उठाता है । शोधकर्ताओं का कहना है कि यह इक्वेशन एडिटर में मौजूद एक “चार साल से अधिक पुरानी” रिमोट कोड एक्जीक्यूशन (आरसीई) भेद्यता है।

हमले के अंतिम चरण के रूप में, शोधकर्ताओं ने जांचे गए OLE ऑब्जेक्ट्स में से एक के अंत में " OLENativeStream " संरचना में संग्रहीत एक शेलकोड पाया। शोधकर्ताओं ने पाया कि यह कोड अंततः एक सिफरटेक्स्ट को डिक्रिप्ट करता है जो कि और अधिक शेलकोड होता है, जिसे बाद में निष्पादित किया जाता है जिससे fresh.exe नामक एक निष्पादन योग्य फ़ाइल बनती है जो स्नेक कीलॉगर को लोड करती है।

आपके SMB या MSP के लिए इसका क्या मतलब है?

जैसे ज़्यादातर ख़तरों का सामना अंतिम उपयोगकर्ता रोज़ाना करते हैं, वैसे ही यह ज़रूरी है कि वे फ़िशिंग हमलों को पहचानने और उनसे बचने के तरीके से अवगत हों। आपके कर्मचारी निम्नलिखित ख़तरों के संकेतों को सीख सकते हैं ताकि उन्हें इस ब्लॉग पोस्ट में बताए गए फ़िशिंग हमलों को पहचानने और उनसे बचने में मदद मिल सके।

1. अटैचमेंट वाले अनपेक्षित ईमेल को ज़हरीले रसायनों की तरह समझना चाहिए। जब ​​तक आप भेजने वाले से यह पुष्टि न कर लें कि वे आपको अनपेक्षित फ़ाइल और विषय ईमेल करने वाले थे, तब तक उनके पास न जाएँ।
2. इस बात का विशेष ध्यान रखें कि आप उन प्रेषकों के अनुलग्नकों को न खोलें जिन्हें आप नहीं पहचानते हैं, विशेषकर यदि उनका नाम आकर्षक हो (जैसे वेतन विवरण, भुगतान विवरण, आदि)।
3. जब भी उपयोगकर्ता कोई अटैचमेंट देखें, तो तीन-अक्षर वाले एक्सटेंशन की जाँच करें ताकि पता चल सके कि उसमें कोई दुर्भावनापूर्ण सामग्री तो नहीं है। खतरनाक फ़ाइलों के प्रकारों में शामिल हैं: 

• • • .bat (एक बैच फ़ाइल)
    • .exe (निष्पादन योग्य फ़ाइल)
    • कोई भी Microsoft फ़ाइल जिसमें एक्सटेंशन में M (.xlsm, .docm, .pptm) ​​हो, जो मैक्रो-सक्षम फ़ाइल को इंगित करता है
    •  .zip (इसमें उपरोक्त किसी भी फ़ाइल प्रकार को शामिल किया जा सकता है)
    • इस मामले में .pdf। लेकिन PDF में एक एम्बेडेड वर्ड दस्तावेज़ था जिस पर आपको क्लिक करना था। PDF के अंदर दिखाए गए URL न खोलें और PDF में एम्बेडेड दस्तावेज़ों पर क्लिक न करें। ज़्यादातर PDF फ़ाइलें आमतौर पर अपने आप खोलने के लिए सुरक्षित होती हैं, बशर्ते आपने अपने PDF रीडर, जैसे Adobe Reader, को नियमित रूप से अपडेट कर लिया हो।

यदि आप यह सुनिश्चित करना चाहते हैं कि आपके उपयोगकर्ताओं को फ़िशिंग ईमेल के इन पहलुओं पर परखा जा रहा है, तो आप साइबरहूट के असाइनमेंट-आधारित फ़िशिंग मॉड्यूल का उपयोग कर सकते हैं, जिसमें एक ऐसा अनुभाग है जो उपयोगकर्ताओं से यह निर्धारित करने के लिए कहता है कि कोई अटैचमेंट सुरक्षित है या नहीं। आप मॉड्यूल का अवलोकन दिखाने वाला हमारा वीडियो वॉकथ्रू यहाँ देख सकते हैं ।

अंतिम विचार: हैकर्स हम पर हमला करने के नए-नए तरीके खोजते रहते हैं। पीडीएफ फाइलें पारंपरिक रूप से सुरक्षित मानी जाती रही हैं, लेकिन जैसा कि हम इस हमले में देख रहे हैं, उनमें छिपे हुए खतरे हो सकते हैं। दुर्भावनापूर्ण तत्वों द्वारा किए जाने वाले नए हमलों से एक कदम आगे रहने के लिए साइबर सुरक्षा विषयों पर हमेशा सीखते और प्रशिक्षण लेते रहें।

साइबरहूट की न्यूनतम आवश्यक साइबर सुरक्षा अनुशंसाएँ

निम्नलिखित सुझाव आपको और आपके व्यवसाय को दिन-प्रतिदिन के विभिन्न खतरों से सुरक्षित रखने में मदद करेंगे। नीचे सूचीबद्ध सभी सुझाव साइबरहूट की vCISO प्रोग्राम विकास सेवाओं का लाभ उठाकर प्राप्त किए जा सकते हैं।

1. नीतियों और प्रक्रियाओं के ज़रिए कर्मचारियों को नियंत्रित करें। आपको कम से कम एक पासवर्ड नीति, एक स्वीकार्य उपयोग नीति, एक सूचना प्रबंधन नीति और एक लिखित सूचना सुरक्षा कार्यक्रम (WISP) की आवश्यकता होगी।
2. कर्मचारियों को प्रशिक्षित करें कि वे कैसे पहचानें और कैसे बचें फ़िशिंग हमलेकर्मचारियों को अधिक आत्मविश्वासी, उत्पादक और सुरक्षित बनने के लिए आवश्यक कौशल सिखाने के लिए साइबरहूट जैसी लर्निंग मैनेजमेंट प्रणाली को अपनाएं।
3. अभ्यास के लिए कर्मचारियों को फ़िशिंग हमलों के साथ परीक्षण करें। साइबरहूट का फ़िश परीक्षण व्यवसायों को विश्वसनीय फ़िशिंग हमलों के साथ कर्मचारियों का परीक्षण करने और विफल होने वालों को सुधारात्मक फ़िश प्रशिक्षण में रखने की अनुमति देता है।
4. महत्वपूर्ण साइबर सुरक्षा प्रौद्योगिकी को तैनात करना, जिसमें शामिल हैं दो तरीकों से प्रमाणीकरण सभी महत्वपूर्ण खातों पर। ईमेल स्पैम फ़िल्टरिंग सक्षम करें, बैकअप सत्यापित करें, और DNS सुरक्षा लागू करें, एंटीवायरस, और आपके सभी एंडपॉइंट्स पर एंटी-मैलवेयर।
5. आधुनिक वर्क-फ्रॉम-होम युग में, सुनिश्चित करें कि आप अपने नेटवर्क से कनेक्ट होने वाले व्यक्तिगत उपकरणों का प्रबंधन उनकी सुरक्षा (पैचिंग, एंटीवायरस, DNS सुरक्षा) को सत्यापित करके या उनके उपयोग को पूरी तरह से प्रतिबंधित करके कर रहे हैं।
6. अगर आपने पिछले 3 सालों में किसी तीसरे पक्ष से जोखिम मूल्यांकन नहीं करवाया है, तो आपको अब करवा लेना चाहिए। अपने संगठन में एक जोखिम प्रबंधन ढाँचा स्थापित करना आपके सीमित समय और धन के साथ आपके सबसे गंभीर जोखिमों से निपटने के लिए बेहद ज़रूरी है।
7. किसी भी भयावह दुर्घटना की स्थिति में अपनी सुरक्षा के लिए साइबर बीमा खरीदें। साइबर बीमा कार, आग, बाढ़ या जीवन बीमा से अलग नहीं है। यह तब काम आता है जब आपको इसकी सबसे ज़्यादा ज़रूरत होती है।

साइबर बीमा को छोड़कर, ये सभी अनुशंसाएँ साइबरहूट के उत्पाद और वर्चुअल चीफ इंफॉर्मेशन सिक्योरिटी ऑफिसर सेवाओं में अंतर्निहित हैं। साइबरहूट के साथ आप अपने कर्मचारियों का प्रबंधन, प्रशिक्षण, मूल्यांकन और परीक्षण कर सकते हैं। आज ही CyberHoot.com पर जाएँ और हमारी सेवाओं के लिए साइन अप करें। कम से कम , नवीनतम साइबर सुरक्षा अपडेट से अवगत रहने के लिए हमारे मासिक साइबर सुरक्षा न्यूज़लेटर की सदस्यता लेकर सीखते रहें ।

स्रोत:

ThreatPost

अतिरिक्त पढ़ना: 

फ़िशिंग हमलों को पहचानें और उनसे बचें

कीलॉगर साइबररी टर्म