वॉनामाइन वर्म अब भी बड़ी कंपनियों को निशाना बना रहा है

[“२०१८ की शुरुआत में, कई सुरक्षा कंपनियों और स्वतंत्र विशेषज्ञों ने एक माइनिंग बॉटनेट के उभरने के बारे में चेतावनी दी, जो संक्रमित होस्ट का उपयोग करके क्रिप्टोकरेंसी Monero का खनन करता है। विशेषज्ञों के अनुसार, खरीदी गई कारों की संख्या 500,000 से घटकर 1,000,000 रह गई, और मैलवेयर संचालकों ने लगभग 8,900 Monero (उस समय की प्रचलित विनिमय दर पर लगभग 20 लाख डॉलर) \”कमाए\”।\n\nइस मैलवेयर का नाम WannaMine रखा गया, जिसके खतरे की जानकारी CrowdStrike कंपनी के विशेषज्ञों ने दी। स्वाभाविक रूप से, WannaCry के साथ इसकी समानता संयोग नहीं है। बात यह है कि दुर्भावनापूर्ण प्रोग्रामों को फैलाने के लिए, कमज़ोर Windows कंप्यूटरों को निशाना बनाने वाले EternalBlue (CVE-2017-0144) और EsteemAudit (CVE-2017-0176) एक्सप्लॉइट का उपयोग किया गया। इन एक्सप्लॉइट के नाम न केवल सूचना सुरक्षा पेशेवरों में प्रसिद्ध हैं, बल्कि आम उपयोगकर्ताओं में भी जाने जाते हैं, क्योंकि वसंत 2017 में EternalBlue का ही उपयोग WannaCry एन्क्रिप्शन को फैलाने के लिए किया गया था, जिसने व्यापक चर्चा बटोरी।\n\nमैं आपको याद दिला दूँ कि गर्मियों 2016 में, The Shadow Brokers नाम के हैकरों के एक समूह ने NSA के विशेषज्ञों से हैकिंग के उपकरण चुराने में सफलता प्राप्त की थी। लंबे समय तक हैकरों ने अपने हाथ लगे इस \”साइबर-हथियार\” को बेचने का व्यर्थ प्रयास किया, लेकिन वे न तो नीलामी आयोजित कर सके और न ही कोई सीधा खरीदार ढूंढ सके। इसके बाद, अप्रैल 2017 में, समूह ने चुराए गए डेटा को मुफ्त में, सार्वजनिक डोमेन में प्रकाशित कर दिया।\n\nNSA के शस्त्रागार के ये तैयार उपकरण (या बल्कि EternalBlue और DoublePulsar एक्सप्लॉइट) WannaCry के निर्माताओं द्वारा इस्तेमाल किए गए। इसके अलावा, विशेष सेवाओं के एक्सप्लॉइट NotPetya के निर्माताओं ने भी अपनाए, और एक अन्य माइनिंग मैलवेयर Adylkuzz आदि ने भी।\n\nMicrosoft ने उपरोक्त कमज़ोरियों को ठीक कर दिया, जिनमें NSA से चुराए गए उपकरणों का उपयोग होता है, और पुराने तथा असमर्थित ऑपरेटिंग सिस्टम, जैसे Windows XP, Windows 8 और Windows Server 2003, के लिए भी पैच तैयार किए। लेकिन एक साल बाद भी, कई कंपनियों और उपयोगकर्ताओं ने उन्हें ठीक करने की परवाह नहीं की।\n\nCybereason के विश्लेषकों ने चेतावनी दी कि WannaMine मैलवेयर अब भी सक्रिय है और वह बड़ी कंपनियों के नेटवर्क को संक्रमित कर रहा है। विशेषज्ञों ने बताया कि हाल ही में एक माइनिंग वायरस ने उनके एक ग्राहक पर हमला किया, जो एक बड़ी कंपनी है और जिसकी दुनिया भर की शाखाएँ Fortune 500 सूची में शामिल थीं। एक कमज़ोर मशीन में घुसने के बाद, दुर्भावनापूर्ण प्रोग्राम एक ही दिन में 1000 से अधिक सिस्टमों में फैल गया। परिणामस्वरूप, दर्जनों डोमेन कंट्रोलर और लगभग 2,000 टर्मिनल संक्रमित हो गए।\n\nशोधकर्ता लिखते हैं कि WannaMine के हमले लगभग फाइललेस हैं। इस तरह, एक दूरस्थ सर्वर से PowerShell स्क्रिप्ट लोड की जाती है, जो मैलवेयर को सिस्टम में पैर जमाने में मदद करती है। इसके अलावा, मैनेजमेंट सर्वर से base64 टेक्स्ट वाली एक बड़ी फ़ाइल लोड की जाती है। ध्यान देने योग्य है कि अस्पष्टता (obfuscation) के कारण पेलोड इतना विशाल है कि उसे किसी टेक्स्ट एडिटर में खोलना लगभग असंभव है।\n\nइस फ़ाइल में PowerShell कोड भी है, जिसमें Mimikatz टूल का PowerShell संस्करण शामिल है, साथ ही एक विशाल बाइनरी ब्लॉब है, जिसका उपयोग PingCastle टूल के साथ काम करने और अन्य कमज़ोर होस्ट खोजने के लिए होता है। एकत्रित क्रेडेंशियल और नेटवर्क की जानकारी का उपयोग उपलब्ध मशीनों में घुसने और उन्हें संक्रमित करने के लिए किया जाता है। मैलवेयर DLL को एक यादृच्छिक नाम दिया जाता है, जो हर संक्रमित सिस्टम में अलग होता है।\n\nइसी बीच, Cybereason के विशेषज्ञ ध्यान दिलाते हैं कि WannaMine अब भी उन्हीं सर्वरों का उपयोग करता है जो पहले दुर्भावनापूर्ण गतिविधियों में देखे गए थे। विशेषज्ञों ने पता लगाए गए पतों के मालिक होस्टिंग प्रदाताओं से संपर्क करने का प्रयास किया, लेकिन उन्हें कोई उत्तर नहीं मिला।”]