खुलासा गरिएको SMB: 'WantToCry' र्‍यान्समवेयर आक्रमण पछाडि लुकेको जोखिम

खुलासा गरिएको SMB: 'WantToCry' र्‍यान्समवेयर आक्रमण पछाडि लुकेको जोखिम

परिचय

आजको डिजिटल परिदृश्यमा, ransomware आक्रमणहरू खतरनाक दरमा विकसित भइरहेका छन्, जसले प्रणालीहरूमा घुसपैठ गर्न बेवास्ता गरिएका कमजोरीहरूको फाइदा उठाउँदै। यस्तै एउटा कमजोरी भनेको गलत कन्फिगर गरिएको सर्भर मेसेज ब्लक (SMB) सेवाहरू हुन् , जसले आक्रमणकारीहरूलाई संवेदनशील डेटामा अनधिकृत पहुँच प्रदान गर्दछ।

नेटवर्कहरूमा फाइल र स्रोत साझेदारीको लागि व्यापक रूपमा प्रयोग हुने SMB प्रोटोकल, कमजोर प्रमाणहरू, पुरानो सफ्टवेयर, र कमजोर सुरक्षा कन्फिगरेसनहरूको कारणले गर्दा प्रायः खुला छोडिन्छ । यी गलत कन्फिगरेसनहरूले साइबर अपराधीहरूको लागि प्रवेश बिन्दु सिर्जना गर्दछ:

• अनधिकृत पहुँच प्राप्त गर्नुहोस् प्रणालीहरूमा।
• पार्श्वतिर सर्नुहोस् नेटवर्कहरू भित्र।
• दुर्भावनापूर्ण पेलोडहरू तैनाथ गर्नुहोस् जसले महत्वपूर्ण फाइलहरूलाई इन्क्रिप्ट गर्दछ।

WantToCry ransomware समूहको हालैका गतिविधिहरूले आक्रमणकारीहरूले ransomware अभियानहरू सञ्चालन गर्न SMB कमजोरीहरूको शोषण कति सजिलै गर्न सक्छन् भन्ने कुरा प्रकाश पार्छ। साइबर खतराहरू अझ परिष्कृत भएकाले, SMB कन्फिगरेसनहरू सुरक्षित गर्नु अब वैकल्पिक रहेन तर महत्वपूर्ण डेटा र पूर्वाधारको सुरक्षाको लागि आवश्यकता हो।

WantToCry को प्रारम्भिक पदचिह्नहरू

उदय र आक्रमण भेक्टरहरू:

डिसेम्बर २०२३ देखि सक्रिय रहेको WantToCry ransomware समूहले २०२४ मा आफ्नो सञ्चालनलाई तीव्र बनाएको छ , जसमा धेरै नेटवर्क सेवाहरूलाई लक्षित गरिएको छ, जसमा निम्न समावेश छन्:

• एसएमबी (सर्वर सन्देश ब्लक)
• SSH (सुरक्षित शेल)
• एफटीपी (फाइल स्थानान्तरण प्रोटोकल)
• RPC (रिमोट प्रोसिजर कल)
• VNC (भर्चुअल नेटवर्क कम्प्युटिङ)

ब्रुट-फोर्स आक्रमणहरू प्रयोग गरेर , मालवेयरले कमजोर वा पूर्वनिर्धारित प्रमाणहरू भएका प्रणालीहरूलाई सम्झौता गर्न दस लाख भन्दा बढी पासवर्डहरूको डाटाबेस प्रयोग गर्दछ।

एकपटक पहुँच प्राप्त भएपछि, ransomware ले सार्वजनिक रूपमा खुला नेटवर्क ड्राइभहरू र NAS (नेटवर्क-संलग्न भण्डारण) उपकरणहरूलाई टाढाबाट इन्क्रिप्ट गर्दछ । आक्रमणकारीले भुक्तानीको बारेमा विवरणहरू सहितको फिरौती नोट छोड्छ।

धम्की दिने अभिनेता सञ्चार च्यानलहरू

WantToCry सञ्चालकहरूले पीडितहरूसँग कुराकानी गर्न इन्क्रिप्टेड मेसेजिङ प्लेटफर्महरू प्रयोग गर्छन्। फिरौती नोटमा सामान्यतया निम्न समावेश हुन्छन्:

• टेलिग्राम आईडी: https://t.me/want_to_cry_team
• टक्स आईडी: 963E6F7F58A67DEACBC2845469850B9A00E20E4000CE71B35DE789ABD0BE2F70D4147D5C0C91

WantToCry का विशेषताहरू

WantToCry ले क्लासिक ransomware ढाँचा पछ्याउँछ , फाइल एक्सटेन्सनहरू परिमार्जन गर्दछ र भुक्तानी माग गर्न फिरौती नोटहरू छोड्छ।

• फाइल इन्क्रिप्सन: ransomware ले फाइलहरू इन्क्रिप्ट गर्छ र एक्सटेन्सन थप्छ। “.रुन_चाहेको” प्रत्येक प्रभावित फाइलमा।

• फिरौती नोट: नामको पाठ फाइल “!want_to_cry.txt” प्रभावित निर्देशिकाहरूमा सिर्जना गरिएको छ, फिरौती भुक्तानी र सम्पर्क विवरणहरूको लागि निर्देशनहरू प्रदान गर्दछ।

कार्यान्वयनको प्रवाह:

• पुन: प्राप्ति:

आक्रमणकारीले खुला SMB पोर्टहरू (सामान्यतया TCP पोर्ट ४४५) भएका प्रणालीहरू पहिचान गर्न नेटवर्क जासूसी चरण सञ्चालन गर्दछ। यस चरणमा पहुँचयोग्य SMB सेवाहरूको लागि स्क्यानिङ र कमजोर सुरक्षा कन्फिगरेसनहरू वा अनप्याच गरिएको कमजोरीहरू भएका सम्भावित लक्ष्यहरू निर्धारण गर्न प्रणाली प्रतिक्रियाहरूको विश्लेषण समावेश छ।

• ब्रुट फोर्स मार्फत शोषण:

खुला SMB सेवाहरू पहिचान गरेपछि, आक्रमणकारीले SMB सेवा विरुद्ध क्रूर-बल आक्रमण सुरु गर्छ, सामान्यतया प्रयोग हुने पासवर्डहरूको ठूलो शब्दकोश प्रयोग गरेर। यो प्रक्रियाको उद्देश्य वैध प्रमाणहरू प्राप्त गर्नु र पीडितको प्रणालीमा अनधिकृत पहुँच प्राप्त गर्नु हो।

• साझा ड्राइभहरू पहुँच गर्ने र कन्फिगर गर्ने:

एकपटक प्रमाणीकरण भएपछि, आक्रमणकारीले संवेदनशील वा महत्वपूर्ण साझा ड्राइभहरू पहिचान गर्न नेटवर्क शेयरहरूको गणना गर्दछ। त्यसपछि यी ड्राइभहरूलाई इन्टरनेट मार्फत रिमोट पहुँचको लागि म्याप र कन्फिगर गरिन्छ, जसले आक्रमणकारीलाई निरन्तर खुट्टा राख्न र पेलोड कार्यान्वयनको लागि तयारी गर्न अनुमति दिन्छ।

• पेलोड कार्यान्वयन (स्थानीय पदचिह्न बिना इन्क्रिप्शन):

यो ransomware ले स्थानीय प्रणालीमा कुनै पनि कलाकृतिहरू नछोडिकन बाह्य स्रोतबाट बाह्य फेसिंग शेयर ड्राइभहरूमा पूर्ण रूपमा यसको इन्क्रिप्शन गतिविधि देखाउँछ। पीडितको मेसिनमा डेटा डाउनलोड वा प्रशोधन गर्ने आवश्यकतालाई बेवास्ता गर्दै, इन्क्रिप्शन प्रक्रिया सिधै साझा ड्राइभहरूमा भण्डारण गरिएका फाइलहरूमा गरिन्छ। यसले ransomware को प्रभाव साझा ड्राइभ मार्फत पहुँचयोग्य सबै फाइलहरू र निर्देशिकाहरूमा विस्तार हुन्छ भन्ने कुरा सुनिश्चित गर्दछ जबकि स्थानीय प्रणालीमा पत्ता लगाउने वा फोरेन्सिक विश्लेषणको सम्भावनालाई कम गर्दछ।

समस्या अवलोकन

SMB विन्डोज नेटवर्कहरूमा फाइल र प्रिन्टर साझेदारीको लागि व्यापक रूपमा प्रयोग हुने प्रोटोकल हो। यो सहकार्यको लागि आवश्यक भए तापनि, उचित प्रमाणीकरण बिना SMB लाई खुला छोड्दा आक्रमणकारीहरूको लागि प्रवेशद्वार सिर्जना हुन सक्छ।

यी अवस्थाहरूमा, प्रभावित प्रणालीसँग सम्बन्धित सार्वजनिक IP ले SMB सक्षम पारेको थियो र प्रमाणीकरण बिना इन्टरनेटमा पहुँचयोग्य थियो । यसले अनधिकृत प्रयोगकर्ताहरूलाई टाढाबाट साझा ड्राइभहरू पहुँच गर्न अनुमति दियो। शोषण गर्दा, त्यस्ता कमजोरीहरूले प्रणाली प्रतिरक्षाहरूलाई बाइपास गर्न सक्छन्, जसले गर्दा इन्क्रिप्टेड फाइलहरू र सम्भावित डेटा हानि हुन सक्छ।

पत्ता लगाउने

• सम्झौताका सूचकहरू (IOC)
  • १९४[.]३६[.]१७९[.]१८
  • १९४[.]३६[.]१७९[.]१८
• हामीसँग पहिले नै पत्ता लगाउने सुविधा छ (HEUR:Trojan.Win32.EncrSD) मा शेयर ड्राइभ इन्क्रिप्शन गतिविधिको लागि ठाउँ।

गलत कन्फिगरेसनको परिणामहरू

प्रमाणीकरण बिना SMB लाई सार्वजनिक रूपमा पहुँचयोग्य छोड्दा गम्भीर परिणामहरू हुन सक्छन्, जसमा समावेश छन्:

• डाटा उल्लंघन: संवेदनशील फाइलहरूमा अनधिकृत पहुँच।
• Ransomware आक्रमणहरू: महत्वपूर्ण फाइलहरूको इन्क्रिप्शन, भुक्तानी बिना पहुँचयोग्य बनाउँदै।
• अपरेशनल डाउनटाइम: आर्थिक र प्रतिष्ठामा घाटा हुने गरी पुनर्लाभ समय बढ्यो।
• बढेको आक्रमण सतह: एउटा साधारण गलत कन्फिगरेसनले अवसरवादी आक्रमणकारीहरूलाई आकर्षित गर्न सक्छ।

जोखिम न्यूनीकरणका लागि उत्तम अभ्यासहरू

यस्तै आक्रमणहरूको शिकार हुनबाट बच्न, संस्थाहरूले यी सुरक्षा उपायहरू लागू गर्नुपर्छ:

1. एन्टिभाइरस: पक्का गर्नु Seqrite / छिटो निको हुने नियमित रूपमा नवीनतम परिभाषाहरूसँग अद्यावधिक गरिन्छ।
2. अनावश्यक ठाउँमा SMB साझेदारी असक्षम पार्नुहोस्: यदि SMB सक्रिय रूपमा प्रयोग गरिएको छैन भने, सम्भावित जोखिम कम गर्न यसलाई असक्षम पार्नुहोस्।
3. SMB पहुँचको लागि प्रमाणीकरण आवश्यक छ: उचित प्रमाणहरू बिना SMB शेयरहरू सार्वजनिक रूपमा पहुँचयोग्य नछोड्नुहोस्।
4. सार्वजनिक पहुँच प्रतिबन्धित गर्नुहोस्: SMB पोर्टहरू (सामान्यतया ४४५ र १३९) मा बाह्य पहुँच रोक्न फायरवालहरू प्रयोग गर्नुहोस्।
5. नियमित रूपमा लेखापरीक्षण कन्फिगरेसनहरू: सुरक्षाका उत्कृष्ट अभ्यासहरूसँग मिल्दोजुल्दो छ भनी सुनिश्चित गर्न नेटवर्क र फाइल-साझेदारी कन्फिगरेसनहरूको निरन्तर निगरानी र समीक्षा गर्नुहोस्।
6. उन्नत पत्ता लगाउने प्रणालीहरू सक्षम गर्नुहोस्: शंकास्पद गतिविधि र विसंगतिहरू पत्ता लगाउन व्यवहार-आधारित अनुगमन जस्ता उपकरणहरू प्रयोग गर्नुहोस्।

लेखक : उमर खान ए

सह-लेखक : निरज लाजरस मकासरे, दीक्षित अशोकभाई पञ्चाल, सुमित पाटिल, मतिन तडवी