धेरै प्रयोगकर्ताहरूमा मालवेयर फैलाउन पेलोड वितरणको दक्षता सुधार गर्ने धेरै अनियमित प्रविधिहरूको प्रयोगसँगै स्पाम इमेल अभियानहरू बढेका छन्। यी आक्रमणहरू अनियमित रूपमा संख्यामा द्रुत गतिमा बढेको अवलोकन गरिएको छ; २०१४ को मध्यमा पहिलो पटक अवलोकन गरिएको समान प्रविधिहरू, पोवेलिक्स फाइललेस मालवेयरको वितरणमा प्रयोग गरिएको थियो ।
अवलोकन गरिएको अभियानको प्राविधिक विश्लेषण
यस अभियानमा, आक्रमणकारीले XML स्क्रिप्ट प्रयोग गर्दछ र दुर्भावनापूर्ण पेलोड डेलिभर गर्न Windows Script Component (WSC) छ - यो प्रविधिमा सजिलैसँग अस्पष्टता परिमार्जन गर्ने क्षमता छ। सम्झौता गरिएका वेबसाइटहरूबाट अर्को स्क्रिप्ट फाइल डाउनलोड गर्न निर्देशनहरूको सेट भएको सानो XML स्क्रिप्ट प्रयोग गरिन्छ। आक्रमणकारीले यो XML फाइल प्रयोग गर्दछ किनभने तिनीहरूले सजिलै कोड परिवर्तन गर्न र नयाँ संस्करण डेलिभर गर्न सक्छन्।
आक्रमण श्रृंखला अनुक्रम
निर्देशनहरूको सेट निम्नानुसार काम गर्दछ:
यहाँ, rundll32 DLL फाइल चलाउन र यसको लाइब्रेरीलाई निम्न कमाण्ड लाइनको साथ मेमोरीमा राख्न प्रयोग गरिन्छ।
Rundll32.exe प्रयोग गर्न सजिलो ,
Rundll32 ले प्यारामिटरहरू र आर्गुमेन्टलाई कसरी सफलतापूर्वक पार्स गर्न सक्छ भनेर बुझौं। Rundll32 ले कमाण्ड लाइनलाई आन्तरिक रूपमा पार्स गर्छ र DLL नाम पत्ता लगाउन अल्पविराम (',') र प्रविष्टि बिन्दु नाम पत्ता लगाउन स्पेस खोज्छ।
माथिको स्क्रिप्ट कोडमा, Rundll32 ले mshtml लाई dllname को रूपमा र RunHTMLApplication लाई प्रविष्टि बिन्दुको रूपमा फेला पार्छ। अहिलेको लागि 'javascript:' उपसर्ग अवांछित देखिन्छ। RunHTMLApplication ले 'CreateUrlMoniker' लाई कल गर्छ जसले ':' अर्थात् JavaScript भन्दा पहिलेको स्ट्रिङ फेला पार्न कमाण्ड लाइनलाई पार्स गर्छ। 'Microsoft HTML' जाभास्क्रिप्टको लागि ह्यान्डलर हो।
XML फाइल-डेलिभर गरिएको स्क्रिप्ट फाइलमा वास्तविक मालिसियस पेलोड स्थान र मालवेयरलाई अस्पष्ट पार्न निर्देशनहरू छन्। हरेक पटक, पेलोड स्थान फरक हुन्छ।
यही प्रविधि ट्रिकबट मालवेयरले प्रयोग गर्छ जसमा माइक्रोसफ्ट अफिस कागजातहरूमा म्याक्रो स्क्रिप्टिङ हुन्छ जसले त्यसपछि वास्तविक पेलोड डाउनलोड गर्छ।
Seqrite पत्ता लगाउने
1. Seqrite एन्डपोइन्ट सेक्युरिटी भाइरस प्रोटेक्शनले त्यस्ता दुर्भावनापूर्ण स्क्रिप्ट फाइलहरू र कागजात फाइलहरू सफलतापूर्वक पत्ता लगाउँछ।
2. Seqrite एन्डपोइन्ट सुरक्षा ब्राउजिङ सुरक्षाले दुर्भावनापूर्ण URL हरूलाई 'हानिकारक' को रूपमा ब्लक गर्छ।
3. Seqrite एन्डपोइन्ट सेक्युरिटी इमेल प्रोटेक्शनले यस्ता दुर्भावनापूर्ण संलग्नकहरूलाई प्रणालीमा संक्रमित हुनुभन्दा पहिले नै सफलतापूर्वक ब्लक गर्छ।
यस्ता खतराहरूबाट कसरी टाढा रहने
- अप्रत्याशित स्रोत वा अज्ञात स्रोतहरूबाट इमेलमा प्राप्त हुने लिङ्कहरूमा क्लिक नगर्नुहोस् वा संलग्नकहरू नखोल्नुहोस्।
- doc.js, wsf.js, vbs.doc, आदि जस्ता डबल एक्सटेन्सन फाइल खोल्न क्लिक नगर्नुहोस्। यी खराब फाइलहरू हुन सक्छन् जसले प्रयोगकर्ताहरूलाई छल गर्न डबल एक्सटेन्सन प्रयोग गर्दछ।
- आफ्नो कम्प्युटरको अपरेटिङ सिस्टम, सफ्टवेयर र इन्टरनेट ब्राउजरहरूलाई अद्यावधिक राख्न सिफारिस गरिएका सबै अपडेटहरू लागू गर्नुहोस्।
- वास्तविक र विश्वसनीय स्रोतहरूबाट मात्र सफ्टवेयर स्थापना गर्नुहोस्।
- यदि कुनै कागजातले तपाईंलाई 'म्याक्रो' वा सम्पादन मोड सक्षम गर्न भन्यो भने कहिल्यै पनि त्यसो नगर्नुहोस्।
विषय वस्तु विज्ञ
प्रशान्त तिलेकर | क्विक हिल सेक्युरिटी ल्याब्स
