टाइपोसक्वाटिंग के माध्यम से बिफ्रोस्ट ट्रोजन इवेड डिटेक्शन के लिनक्स वेरिएंट

एक 20-वर्षीय ट्रोजन हाल ही में नए वेरिएंट के साथ फिर से सामने आया है जो लिनक्स को लक्षित करता है और पहचान से बचने के लिए एक विश्वसनीय होस्टेड डोमेन का प्रतिरूपण करता है।

पालो ऑल्टो नेटवर्क्स के शोधकर्ताओं ने इसका एक नया लिनक्स संस्करण देखा Bifrost (उर्फ Bifrose) मैलवेयर जो एक भ्रामक प्रथा का उपयोग करता है जिसे कहा जाता है टाइपोसक्वाटिंग एक वैध VMware डोमेन की नकल करने के लिए, जो मैलवेयर को रडार के नीचे उड़ने की अनुमति देता है। भाग्यशाली एक रिमोट एक्सेस ट्रोजन (आरएटी) है जो 2004 से सक्रिय है और एक समझौता किए गए सिस्टम से संवेदनशील जानकारी, जैसे होस्टनाम और आईपी एड्रेस इकट्ठा करता है।

पिछले कुछ महीनों के दौरान बिफ्रोस्ट लिनक्स वेरिएंट में चिंताजनक वृद्धि हुई है: पालो ऑल्टो नेटवर्क्स ने बिफ्रोस्ट नमूनों के 100 से अधिक उदाहरणों का पता लगाया है, जो "सुरक्षा विशेषज्ञों और संगठनों के बीच चिंता पैदा करता है," शोधकर्ता अनमोल मुर्या और सिद्धार्थ शर्मा ने कंपनी में लिखा है नव प्रकाशित निष्कर्ष.

इसके अलावा, इस बात के सबूत हैं कि साइबर हमलावरों का लक्ष्य बिफ्रोस्ट के एआरएम संस्करण को होस्ट करने वाले लिनक्स संस्करण से जुड़े एक दुर्भावनापूर्ण आईपी पते का उपयोग करके बिफ्रोस्ट की हमले की सतह को और भी अधिक विस्तारित करना है, उन्होंने कहा।

शोधकर्ताओं ने समझाया, "मैलवेयर का एआरएम संस्करण प्रदान करके, हमलावर अपनी समझ का विस्तार कर सकते हैं, उन उपकरणों से समझौता कर सकते हैं जो x86-आधारित मैलवेयर के साथ संगत नहीं हो सकते हैं।" "जैसे-जैसे एआरएम-आधारित डिवाइस अधिक सामान्य हो जाते हैं, साइबर अपराधी संभवतः एआरएम-आधारित मैलवेयर को शामिल करने के लिए अपनी रणनीति बदल देंगे, जिससे उनके हमले मजबूत हो जाएंगे और अधिक लक्ष्यों तक पहुंचने में सक्षम होंगे।"

वितरण और संक्रमण

शोधकर्ताओं ने नोट किया कि हमलावर आम तौर पर ईमेल अटैचमेंट या दुर्भावनापूर्ण वेबसाइटों के माध्यम से बिफ्रॉस्ट वितरित करते हैं, हालांकि उन्होंने नए सामने आए लिनक्स वेरिएंट के लिए प्रारंभिक हमले वेक्टर के बारे में विस्तार से नहीं बताया।

पालो ऑल्टो शोधकर्ताओं ने 45.91.82[.]127 डोमेन पर एक सर्वर पर होस्ट किए गए बिफ्रोस्ट का एक नमूना देखा। एक बार पीड़ित के कंप्यूटर पर स्थापित होने के बाद, बिफ्रॉस्ट एक भ्रामक नाम, डाउनलोड.vmfare[.]com के साथ एक कमांड-एंड-कंट्रोल (C2) डोमेन तक पहुंचता है, जो एक वैध VMware डोमेन के समान दिखाई देता है। मैलवेयर डेटा को एन्क्रिप्ट करने के लिए RC4 एन्क्रिप्शन का उपयोग करके, इस सर्वर पर वापस भेजने के लिए उपयोगकर्ता डेटा एकत्र करता है।

शोधकर्ताओं ने लिखा, "पता लगाने से बचने के लिए मैलवेयर अक्सर आईपी पते के बजाय सी2 जैसे भ्रामक डोमेन नामों को अपनाता है और शोधकर्ताओं के लिए दुर्भावनापूर्ण गतिविधि के स्रोत का पता लगाना अधिक कठिन बना देता है।"

उन्होंने यह भी देखा कि मैलवेयर आईपी पते 168.95.1[.]1 के साथ ताइवान स्थित सार्वजनिक डीएनएस रिज़ॉल्वर से संपर्क करने की कोशिश कर रहा है। शोधकर्ताओं के अनुसार, मैलवेयर डोमेन डाउनलोड.vmfare[.]com को हल करने के लिए DNS क्वेरी शुरू करने के लिए रिज़ॉल्वर का उपयोग करता है, एक प्रक्रिया जो यह सुनिश्चित करने के लिए महत्वपूर्ण है कि बिफ्रोस्ट सफलतापूर्वक अपने इच्छित गंतव्य से जुड़ सके।

संवेदनशील डेटा की सुरक्षा करना

हालाँकि जब मैलवेयर की बात आती है तो यह पुराना समय हो सकता है, बिफ्रोस्ट आरएटी व्यक्तियों और संगठनों के लिए एक महत्वपूर्ण और उभरता हुआ खतरा बना हुआ है, विशेष रूप से नए वेरिएंट अपनाने के साथ टाइपोसक्वाटिंग पता लगाने से बचने के लिए, शोधकर्ताओं ने कहा।

उन्होंने लिखा, "संवेदनशील डेटा की सुरक्षा और कंप्यूटर सिस्टम की अखंडता को संरक्षित करने के लिए बिफ्रोस्ट जैसे मैलवेयर को ट्रैक करना और उनका मुकाबला करना महत्वपूर्ण है।" "इससे अनधिकृत पहुंच और उसके बाद होने वाले नुकसान की संभावना को कम करने में भी मदद मिलती है।"

अपने पोस्ट में, शोधकर्ताओं ने समझौता के संकेतकों की एक सूची साझा की, जिसमें मैलवेयर नमूने और नवीनतम बिफ्रोस्ट लिनक्स वेरिएंट से जुड़े डोमेन और आईपी पते शामिल हैं। शोधकर्ता सलाह देते हैं कि उद्यम अगली पीढ़ी के फ़ायरवॉल उत्पादों का उपयोग करें और क्लाउड-विशिष्ट सुरक्षा सेवाएँ - क्लाउड वातावरण को सुरक्षित करने के लिए यूआरएल फ़िल्टरिंग, मैलवेयर-रोकथाम एप्लिकेशन और दृश्यता और विश्लेषण सहित।

शोधकर्ताओं ने कहा, अंततः, संक्रमण की प्रक्रिया मैलवेयर को सुरक्षा उपायों को दरकिनार करने और पता लगाने से बचने की अनुमति देती है, और अंततः लक्षित प्रणालियों से समझौता करती है।

• एसईओ संचालित सामग्री और पीआर वितरण। आज ही प्रवर्धित हो जाओ।
• प्लेटोडेटा.नेटवर्क वर्टिकल जेनरेटिव एआई। स्वयं को शक्तिवान बनाएं। यहां पहुंचें।
• प्लेटोआईस्ट्रीम। Web3 इंटेलिजेंस। ज्ञान प्रवर्धित। यहां पहुंचें।
• प्लेटोईएसजी. कार्बन, क्लीनटेक, ऊर्जा, पर्यावरण, सौर, कचरा प्रबंधन। यहां पहुंचें।
• प्लेटोहेल्थ। बायोटेक और क्लिनिकल परीक्षण इंटेलिजेंस। यहां पहुंचें।
• स्रोत: https://www.darkreading.com/cloud-security/stealthy-bifrost-rat-linux-variants-use-typosquatting-to-evade-detection-