एवरेकॉन बॉटनेट मैलवेयर

मई 2021 के बाद से, AVrecon नामक एक अत्यधिक गुप्त लिनक्स मैलवेयर को लिनक्स-आधारित सिस्टम पर काम करने वाले 70,000 से अधिक छोटे ऑफिस/होम ऑफिस (SOHO) राउटर्स में घुसपैठ करने के लिए नियोजित किया गया है। इन समझौता किए गए राउटर्स को फिर एक बॉटनेट में शामिल किया जाता है, जो दोहरे उद्देश्य को पूरा करता है: बैंडविड्थ की चोरी करना और एक छिपी हुई आवासीय प्रॉक्सी सेवा स्थापित करना। इन्फोसेक विशेषज्ञों के अनुसार, AVrecon द्वारा समझौता किए गए 70,000 उपकरणों में से लगभग 40,000 को एक बॉटनेट में शामिल किया गया था।

इस बॉटनेट का उपयोग करके, AVrecon के संचालक हानिकारक उपक्रमों की एक श्रृंखला को प्रभावी ढंग से छिपा सकते हैं। इन गतिविधियों में एक व्यापक स्पेक्ट्रम शामिल है, जिसमें धोखाधड़ी वाली डिजिटल विज्ञापन योजनाओं से लेकर पासवर्ड-स्प्रेइंग हमलों तक शामिल हैं। एक छिपी हुई आवासीय प्रॉक्सी सेवा की उपलब्धता उन्हें अपने संचालन को गुमनाम करने और समझौता किए गए नेटवर्क बुनियादी ढांचे का फायदा उठाकर अपनी नापाक गतिविधियों को बिना पहचाने अंजाम देने का साधन प्रदान करती है।

AVrecon मैलवेयर टूटे हुए उपकरणों पर चुपचाप काम करता है

मई 2021 में इसकी प्रारंभिक पहचान के बाद से, AVrecon ने पहचान से बचने की उल्लेखनीय क्षमता का प्रदर्शन किया है। इसने शुरू में नेटगियर राउटर्स को लक्षित किया और दो साल से अधिक समय तक अज्ञात रहने में कामयाब रहा, लगातार नए बॉट्स को फंसाकर अपनी पहुंच का विस्तार किया। इस निरंतर वृद्धि ने इसे हाल के दिनों में छोटे कार्यालय/घर कार्यालय (एसओएचओ) राउटर्स को लक्षित करने वाले सबसे बड़े बॉटनेट में से एक बनने के लिए प्रेरित किया है।

ऐसा प्रतीत होता है कि इस मैलवेयर के पीछे के ख़तरनाक अभिनेताओं ने रणनीतिक रूप से SOHO उपकरणों का शोषण करने पर ध्यान केंद्रित किया है, जिन्हें उपयोगकर्ताओं को ज्ञात कमजोरियों और एक्सपोज़र (CVEs) के विरुद्ध पैच करने की संभावना कम थी। अधिक सतर्क दृष्टिकोण अपनाकर, ऑपरेटर दो वर्षों से अधिक समय तक पता लगाने से बचते हुए, एक विस्तारित अवधि के लिए गुप्त रूप से काम करने में सक्षम थे। मैलवेयर की गुप्त प्रकृति का मतलब था कि संक्रमित उपकरणों के मालिकों को शायद ही कभी ध्यान देने योग्य सेवा व्यवधान या बैंडविड्थ हानि का अनुभव हुआ, जिससे बॉटनेट का पता नहीं चल सका।

एक बार जब राउटर संक्रमित हो जाता है, तो मैलवेयर प्रभावित डिवाइस की जानकारी को एम्बेडेड कमांड-एंड-कंट्रोल (C2) सर्वर पर प्रसारित करने के लिए आगे बढ़ता है। इसके बाद, हैक की गई मशीन को सर्वर के एक अलग सेट के साथ संचार स्थापित करने के निर्देश प्राप्त होते हैं जिन्हें दूसरे चरण के C2 सर्वर के रूप में जाना जाता है। अपनी जांच के दौरान, सुरक्षा शोधकर्ताओं ने कुल 15 दूसरे चरण के नियंत्रण सर्वरों की पहचान की। जैसा कि x.509 प्रमाणपत्र जानकारी द्वारा निर्धारित किया गया है, ये सर्वर कम से कम अक्टूबर 2021 से चालू हैं।

इन दूसरे चरण के C2 सर्वरों की उपस्थिति मैलवेयर के पीछे खतरे वाले अभिनेताओं द्वारा नियोजित परिष्कृत बुनियादी ढांचे और संगठन पर प्रकाश डालती है। यह इस लगातार और मायावी बॉटनेट के प्रभाव से निपटने और कम करने में साइबर सुरक्षा विशेषज्ञों के सामने आने वाली चुनौतियों को रेखांकित करता है।

समझौता किए गए SOHO उपकरण गंभीर परिणाम दे सकते हैं

साइबर सुरक्षा और बुनियादी ढांचा सुरक्षा एजेंसी (सीआईएसए) द्वारा हाल ही में जारी एक बाध्यकारी परिचालन निर्देश (बीओडी) में, अमेरिकी संघीय एजेंसियों को एसओएचओ राउटर सहित इंटरनेट-एक्सपोज़्ड नेटवर्किंग उपकरणों को सुरक्षित करने के लिए तत्काल कार्रवाई करने का आदेश दिया गया है। इस निर्देश के अनुसार संभावित उल्लंघन प्रयासों को रोकने के लिए संघीय एजेंसियों को खोज के 14 दिनों के भीतर इन उपकरणों को मजबूत करने की आवश्यकता है।

इस तात्कालिकता के पीछे का कारण यह है कि ऐसे उपकरणों का एक सफल समझौता खतरे वाले अभिनेताओं को समझौता किए गए राउटर्स को अपने हमले के बुनियादी ढांचे में शामिल करने की क्षमता प्रदान करेगा। यह, बदले में, लक्षित संस्थाओं के आंतरिक नेटवर्क में पार्श्व आंदोलन के लिए एक लॉन्चपैड के रूप में काम करेगा, जैसा कि सीआईएसए ने अपनी चेतावनी में जोर दिया है।

धमकी देने वाले अभिनेताओं द्वारा AVrecon का उपयोग दोहरे उद्देश्य को पूरा करता है: ट्रैफ़िक को प्रॉक्सी करना और पासवर्ड स्प्रेइंग जैसी नापाक गतिविधियों में संलग्न होना। यह विशिष्ट कार्यप्रणाली इसे राउटर-आधारित मैलवेयर की हमारी पिछली खोजों से अलग करती है, जो मुख्य रूप से प्रत्यक्ष नेटवर्क लक्ष्यीकरण पर केंद्रित थी।

इस खतरे की गंभीरता इस तथ्य से उत्पन्न होती है कि SOHO राउटर आमतौर पर पारंपरिक सुरक्षा परिधि के बाहर काम करते हैं। नतीजतन, रक्षकों की असुरक्षित गतिविधियों का पता लगाने की क्षमता काफी कम हो गई है। यह स्थिति संभावित उल्लंघनों के जोखिम को कम करने और समग्र नेटवर्क सुरक्षा को बढ़ाने के लिए इन उपकरणों को तुरंत सुरक्षित करने के महत्वपूर्ण महत्व पर प्रकाश डालती है।