سيڪيورٽي محققن هڪ اڳي اڻڄاتل ونڊوز پٺاڻ دريافت ڪيو آهي جيڪو هڪ متاثر ٿيل ڪمپيوٽر جي اندر لڪيل رهي سگهي ٿو جيستائين ڪو حملو ڪندڙ ان کي ڳجهي نيٽ ورڪ سگنل نه موڪلي.
مالويئر، جنهن کي Sleepwalker سڏيو ويندو آهي، خاص طور تي خطرناڪ آهي ڇو ته اهو عام مالويئر وانگر عمل نٿو ڪري. اهو باقاعده طور تي حملي ڪندڙ جي سرور سان رابطو نٿو ڪري يا هڪ واضح ڪنيڪشن کليل رکي. ان جي بدران، اهو خاموشيء سان انتظار ڪري ٿو خاص طور تي ٺهيل نيٽ ورڪ پيڪيٽ فعال ٿيڻ کان اڳ.
اهو انفڪشن کي ڳولڻ ڏکيو بڻائي سگهي ٿو، خاص طور تي سيڪيورٽي سسٽم لاء جيڪي خاص طور تي هڪ متاثر ٿيل ڪمپيوٽر ۽ حملي ڪندڙ جي وچ ۾ مشڪوڪ ڪنيڪشن ڳوليندا آهن.
سيڪيورٽي محقق ڊومينڪ ريچل دريافت ڪيو Sleepwalker جڏهن ته اڳ ۾ گڏ ڪيل هڪ مالويئر نموني جي جانچ ڪندي.
پوئين دروازو غير فعال رهي ٿو جيستائين اهو هڪ مخصوص ”جادو پيڪٽ“ حاصل نه ڪري. اهو صرف هڪ خاص طور تي ٺهيل نيٽ ورڪ پيغام آهي جيڪو هڪ ڳجهي پاسورڊ وانگر ڪم ڪري ٿو، مالويئر کي جاڳڻ لاءِ ٻڌائي ٿو.
هڪ دفعو صحيح پيٽ اچي ٿو، Sleepwalker چالو ڪري ٿو ۽ حملي ڪندڙ کان هدايتون رد ڪري ٿو.
مالويئر جو پنهنجو ننڍڙو ڪمانڊ سسٽم آهي 23 مختلف هدايتن سان. اهي هڪ حملي ڪندڙ کي ڪم ڪرڻ جي اجازت ڏين ٿا جهڙوڪ معلومات جي منتقلي، اضافي مالويئر حاصل ڪرڻ، ۽ متاثر ٿيل ڪمپيوٽر تي ڪوڊ هلائڻ.
Sleepwalker AES-256-CCM استعمال ڪري ٿو، انڪريشن جو هڪ مضبوط روپ، انهن حڪمن کي بچائڻ لاء. انڪريپشن معلومات کي ڇڪيندو آهي ته جيئن صحيح چاٻي کان سواءِ ماڻهو ان کي آساني سان نه پڙهي سگهن.
تنهن هوندي، صرف انڪرپشن چيڪ کي ڄاڻڻ ڪافي ناهي. محققن کي پڻ سمجهڻ جي ضرورت آهي Sleepwalker جي ڪسٽم ڪمانڊ سسٽم کي اهو طئي ڪرڻ لاءِ ته حملي ڪندڙ ڪهڙي هدايتون موڪلي رهيو آهي.
Sleepwalker نيٽ ورڪ ڪنيڪشن جي ڪيترن ئي قسمن تي ڳالهائي سگھي ٿو، بشمول TCP، UDP، ۽ ICMP.
اهي بنيادي طريقا آهن ڪمپيوٽر نيٽ ورڪن تي معلومات موڪلڻ لاءِ استعمال ڪن ٿا. اهو پڻ استعمال ڪري سگھي ٿو SMB نالي پائپس، هڪ ونڊوز خصوصيت جيڪا پروگرامن کي هڪ ٻئي سان رابطو ڪرڻ جي اجازت ڏئي ٿي.
مالويئر به VMware جي VMCI ٽيڪنالاجي استعمال ڪندي هڪ VMware ورچوئل مشين ۽ ان جي مکيه ڪمپيوٽر جي وچ ۾ رابطو ڪري سگهي ٿو. هڪ مجازي مشين بنيادي طور هڪ ڪمپيوٽر آهي جيڪو ٻئي ڪمپيوٽر جي اندر هلندو آهي.
محقق پڻ هڪ ميکانيزم مليا آهن جيڪي Sleepwalker کي DNS استعمال ڪرڻ جي اجازت ڏئي سگھن ٿا. DNS اهو سسٽم آهي جيڪو ڪمپيوٽرن کي انٽرنيٽ تي ويب سائيٽون ۽ ٻيون خدمتون ڳولڻ ۾ مدد ڪري ٿو. بهرحال، هي خصوصيت ان نموني ۾ فعال نه هئي جنهن جو تجزيو ڪيو ويو.
هڪ ٻيو خدشو اهو آهي ته Sleepwalker هڪ جائز ونڊوز جزو وانگر ڏسڻ لاء ٺهيل آهي.
مالويئر هڪ 64-bit ونڊوز DLL فائل ۾ موجود آهي جنهن کي dpapi.dll سڏيو ويندو آهي. DLL فائلون آھن جن ۾ ڪوڊ آھن جيڪي ونڊوز پروگرام مختلف ڪمن کي انجام ڏيڻ لاءِ استعمال ڪري سگھن ٿا.
مسئلو اهو آهي ته dpapi.dll پڻ هڪ جائز Microsoft ونڊوز جزو جو نالو آهي. اهو خراب فائل کي حقيقي سسٽم فائل کان فرق ڪرڻ ڏکيو بڻائي سگھي ٿو.
مالويئر ۾ جعلي معلومات پڻ شامل آهي جنهن جي دعويٰ آهي ته اهو ESET مئنيجمينٽ ايجنٽ سان تعلق رکي ٿو، هڪ جائز سيڪيورٽي مئنيجمينٽ پروگرام.
Sleepwalker هڪ ٽيڪنڪ استعمال ڪرڻ لاء ٺهيل آهي جنهن کي DLL سائڊ-لوڊنگ سڏيو ويندو آهي. سادي اصطلاحن ۾، اهو تڏهن ٿئي ٿو جڏهن هڪ جائز پروگرام حقيقي جي بدران بدسلوڪي فائل لوڊ ڪرڻ ۾ ٺڳيو وڃي ٿو.
Sleepwalker چيڪ ڪري ٿو ته ڇا اهو لوڊ ڪيو ويو آهي ERAAgent.exe طرفان، ESET مئنيجمينٽ ايجنٽ سان لاڳاپيل هڪ جائز قابل عمل. جيڪڏهن اهو ان پروگرام ۾ نه هلندو آهي، اهو غير فعال رهي ٿو.
جيڪڏهن سڀ ڪجهه ملندو آهي، مالويئر هڪ پس منظر وارو عمل ٺاهي ٿو، ڪمپيوٽر جي ميموري کي ان جي هدايتن لاء تيار ڪري ٿو، ۽ خاموشي سان نيٽ ورڪ ٽرئفڪ جي نگراني ڪرڻ شروع ڪري ٿو ان جي ڳجهي چالو سگنل لاء.
اڪثر سيڪيورٽي سسٽم نشانين کي ڳوليندا آهن جهڙوڪ هڪ متاثر ٿيل ڪمپيوٽر بار بار هڪ مشڪوڪ خارجي سرور سان ڳنڍڻ.
Sleepwalker گهڻو ڪري هن رويي کان پاسو ڪري ٿو.
اهو باقاعده طور تي حملي ڪندڙ جي سرور سان رابطو ڪرڻ جي ضرورت ناهي. ان جي بدران، اهو لڪيل رهي سگهي ٿو ۽ صحيح نيٽ ورڪ پيڪٽ لاء انتظار ڪريو. ان جو مطلب اهو آهي ته هڪ متاثر ٿيل ڪمپيوٽر ممڪن طور تي سمجهي سگهجي ٿو بغير ڪجهه معمولي ڊيڄاريندڙ نشانيون پيدا ڪرڻ کان سواءِ جيڪي سيڪيورٽي سافٽ ويئر ڳولي ٿو.
ان جي چالو سگنل حاصل ڪرڻ کان پوء، جيتوڻيڪ، مالويئر وڌيڪ خطرناڪ ڪارناما انجام ڏيڻ شروع ڪري سگھن ٿا. انهن ۾ معلومات جي منتقلي، ڪميونيڪيشن چينلز ٺاهڻ، اضافي خراب پروگرام حاصل ڪرڻ، ۽ ڪمپيوٽر جي ميموري ۾ سڌو سنئون ڪوڊ هلائڻ شامل ٿي سگھي ٿو.
ميموري ۾ ڪوڊ هلائڻ جو مطلب آهي مالويئر هدايتن تي عمل ڪري سگهي ٿو بغير لازمي طور تي هارڊ ڊرائيو تي روايتي فائل ٺاهڻ جي. اهو ڪري سگھي ٿو ڪجھ قسمن جي حفاظتي ڳولا کي وڌيڪ ڏکيو.
ريچيل چيو Sleepwalker جي ڊيزائن عام مالويئر جي ڀيٽ ۾ ٽارگيٽيڊ ۽ سٺي پئسي واري حملي سان وڌيڪ مطابقت رکي ٿي جيڪا ممڪن طور تي ڪيترن ئي متاثرين ۾ ورهايل آهي.
بهرحال، في الحال ڪا به تصديق ٿيل ڄاڻ ناهي ته ڪنهن مالويئر ٺاهي يا ڪنهن کي نشانو بڻايو ويو هجي.
محققن کي به خبر ناهي ته ڪهڙا ملڪ يا صنعتون متاثر ٿي سگهن ٿيون. صرف هڪ Sleepwalker نموني جو تجزيو ڪيو ويو آهي اڃا تائين، مطلب ته اڃا تائين وسيع آپريشن بابت محدود معلومات آهي.
نموني پڻ ڪيترن ئي ڪمزورين تي مشتمل آهي. اهو مشورو ڏئي ٿو ته محققن پاران جانچيل نسخو مالويئر جو هڪ ابتدائي نسخو ٿي سگهي ٿو جيڪو اڃا ترقي هيٺ آهي.
ريچيل جاري ڪيا آهن سمجھوتي جا اشارا (IOCs) سيڪيورٽي ٽيمن کي مدد ڏيڻ لاءِ نشانيون ڳولڻ لاءِ جيڪي Sleepwalker موجود هجن.
هن پڻ شايع ڪيو آهي YARA جو پتو لڳائڻ وارو قاعدو، جيڪو سيڪيورٽي محققن کي اجازت ڏئي ٿو ته فائلن کي ڳولڻ لاءِ ميلويئر سان لاڳاپيل نمونن لاءِ.
صرف پڙهڻ لاءِ PowerShell اسڪينر پڻ موجود آهي مخصوص Sleepwalker نموني کي سڃاڻڻ ۾ مدد لاءِ جنهن جو تجزيو ڪيو ويو.
تازه ترين ٽيڪني خبرن، ٽيليڪم بصيرت، ۽ پراڊڪٽ لانچ حاصل ڪريو جتي توهان چاهيو ٿا.
ProPakistani کي ترجيحي ذريعن ۾ شامل ڪريو ۽ ڏسو اسان جون وڌيڪ ڪهاڻيون گوگل سرچ ۽ ٽاپ اسٽوريز ۾.
ٽيڪنالاجي ۽ گاڏين جو ماهر جديد ڪارن، اسمارٽ فونز، AI ڪاميابين، ۽ ...
شيئرز
