سیکیورٹی محققین نے ونڈوز کے پچھلے دروازے کو دریافت کیا ہے جو کسی متاثرہ کمپیوٹر کے اندر اس وقت تک چھپا رہ سکتا ہے جب تک کہ حملہ آور اسے خفیہ نیٹ ورک سگنل نہیں بھیجتا۔
میلویئر، جسے سلیپ واکر کہتے ہیں، خاص طور پر خطرناک ہے کیونکہ یہ عام میلویئر کی طرح برتاؤ نہیں کرتا۔ یہ باقاعدگی سے کسی حملہ آور کے سرور سے رابطہ نہیں کرتا یا کسی واضح کنکشن کو کھلا نہیں رکھتا۔ اس کے بجائے، یہ فعال ہونے سے پہلے خاموشی سے خصوصی طور پر ڈیزائن کردہ نیٹ ورک پیکٹ کا انتظار کرتا ہے۔
یہ انفیکشنز کا پتہ لگانا مشکل بنا سکتا ہے، خاص طور پر حفاظتی نظاموں کے لیے جو بنیادی طور پر ایک متاثرہ کمپیوٹر اور حملہ آور کے درمیان مشتبہ کنکشن تلاش کرتے ہیں۔
سیکیورٹی محقق ڈومینک ریچل نے پہلے جمع کیے گئے میلویئر کے نمونے کی جانچ کرتے ہوئے سلیپ واکر کو دریافت کیا۔
بیک ڈور اس وقت تک غیر فعال رہتا ہے جب تک کہ اسے ایک مخصوص "جادوئی پیکٹ" موصول نہ ہو جائے۔ یہ صرف ایک خاص طور پر ڈیزائن کیا گیا نیٹ ورک پیغام ہے جو ایک خفیہ پاس ورڈ کی طرح کام کرتا ہے، میلویئر کو بیدار ہونے کے لیے بتاتا ہے۔
ایک بار جب صحیح پیکٹ آجاتا ہے، Sleepwalker حملہ آور سے ہدایات کو چالو اور ڈکرپٹ کرتا ہے۔
میلویئر کا اپنا چھوٹا کمانڈ سسٹم ہے جس میں 23 مختلف ہدایات ہیں۔ یہ حملہ آور کو معلومات کی منتقلی، اضافی میلویئر وصول کرنے، اور متاثرہ کمپیوٹر پر کوڈ چلانے جیسے کام انجام دینے کی اجازت دیتے ہیں۔
سلیپ واکر ان کمانڈز کی حفاظت کے لیے AES-256-CCM، خفیہ کاری کی ایک مضبوط شکل کا استعمال کرتا ہے۔ انکرپشن معلومات کو گھیر لیتی ہے تاکہ درست کلید کے بغیر لوگ اسے آسانی سے پڑھ نہ سکیں۔
تاہم، صرف خفیہ کاری کی کلید کو جاننا کافی نہیں ہے۔ محققین کو سلیپ واکر کے کسٹم کمانڈ سسٹم کو سمجھنے کی بھی ضرورت ہے تاکہ اس بات کا تعین کیا جا سکے کہ حملہ آور کیا ہدایات بھیج رہا ہے۔
سلیپ واکر کئی قسم کے نیٹ ورک کنکشنز پر بات چیت کر سکتا ہے، بشمول TCP، UDP، اور ICMP۔
یہ بنیادی طریقے ہیں جو کمپیوٹر نیٹ ورکس میں معلومات بھیجنے کے لیے استعمال کرتے ہیں۔ یہ SMB نامی پائپ بھی استعمال کر سکتا ہے، ونڈوز کی ایک خصوصیت جو پروگراموں کو ایک دوسرے کے ساتھ بات چیت کرنے کی اجازت دیتی ہے۔
مالویئر VMware کی VMCI ٹیکنالوجی کا استعمال کرتے ہوئے VMware ورچوئل مشین اور اس کے مرکزی کمپیوٹر کے درمیان بھی بات چیت کر سکتا ہے۔ ایک ورچوئل مشین بنیادی طور پر ایک کمپیوٹر ہے جو دوسرے کمپیوٹر کے اندر چلتا ہے۔
محققین نے ایک ایسا طریقہ کار بھی پایا جو سلیپ واکر کو DNS کو بطور محرک استعمال کرنے کی اجازت دے سکتا ہے۔ DNS وہ نظام ہے جو کمپیوٹرز کو انٹرنیٹ پر ویب سائٹس اور دیگر خدمات تلاش کرنے میں مدد کرتا ہے۔ تاہم، یہ خصوصیت اس نمونے میں فعال نہیں تھی جس کا تجزیہ کیا گیا تھا۔
ایک اور تشویش یہ ہے کہ سلیپ واکر کو ونڈوز کے ایک جائز جزو کی طرح نظر آنے کے لیے ڈیزائن کیا گیا ہے۔
میلویئر ایک 64 بٹ ونڈوز DLL فائل میں موجود ہے جسے dpapi.dll کہتے ہیں۔ ڈی ایل ایل وہ فائلیں ہیں جن میں کوڈ ہوتا ہے جسے ونڈوز پروگرام مختلف کام انجام دینے کے لیے استعمال کر سکتے ہیں۔
مسئلہ یہ ہے کہ dpapi.dll ایک جائز مائیکروسافٹ ونڈوز جزو کا نام بھی ہے۔ یہ نقصان دہ فائل کو حقیقی سسٹم فائل سے الگ کرنا مشکل بنا سکتا ہے۔
میلویئر میں جعلی معلومات بھی ہوتی ہے جس میں دعویٰ کیا جاتا ہے کہ اس کا تعلق ESET مینجمنٹ ایجنٹ سے ہے، جو کہ ایک جائز سیکیورٹی مینجمنٹ پروگرام ہے۔
سلیپ واکر کو ڈی ایل ایل سائڈ لوڈنگ نامی تکنیک استعمال کرنے کے لیے ڈیزائن کیا گیا ہے۔ سادہ الفاظ میں، ایسا اس وقت ہوتا ہے جب کسی جائز پروگرام کو حقیقی فائل کی بجائے نقصان دہ فائل لوڈ کرنے کے لیے دھوکہ دیا جاتا ہے۔
سلیپ واکر چیک کرتا ہے کہ آیا اسے ERAAgent.exe کے ذریعے لوڈ کیا گیا ہے، جو ESET مینجمنٹ ایجنٹ سے وابستہ ایک جائز قابل عمل ہے۔ اگر یہ اس پروگرام میں نہیں چل رہا ہے، تو یہ غیر فعال رہتا ہے۔
اگر سب کچھ مماثل ہے تو، میلویئر ایک پس منظر کا عمل بناتا ہے، کمپیوٹر میموری کو اپنی ہدایات کے لیے تیار کرتا ہے، اور خاموشی سے اپنے خفیہ ایکٹیویشن سگنل کے لیے نیٹ ورک ٹریفک کی نگرانی شروع کر دیتا ہے۔
زیادہ تر سیکیورٹی سسٹم علامات کی تلاش کرتے ہیں جیسے کہ ایک متاثرہ کمپیوٹر کا بار بار کسی مشکوک بیرونی سرور سے جڑنا۔
سلیپ واکر بڑی حد تک اس رویے سے گریز کرتا ہے۔
اسے کسی حملہ آور کے سرور سے باقاعدگی سے رابطہ کرنے کی ضرورت نہیں ہے۔ اس کے بجائے، یہ پوشیدہ رہ سکتا ہے اور صحیح نیٹ ورک پیکٹ کا انتظار کر سکتا ہے۔ اس کا مطلب ہے کہ ایک متاثرہ کمپیوٹر ممکنہ طور پر کچھ معمول کے انتباہی علامات پیدا کیے بغیر سمجھوتہ کر سکتا ہے جو سیکیورٹی سافٹ ویئر تلاش کرتا ہے۔
تاہم، اس کا ایکٹیویشن سگنل موصول ہونے کے بعد، میلویئر زیادہ خطرناک کارروائیاں کرنا شروع کر سکتا ہے۔ ان میں معلومات کی منتقلی، کمیونیکیشن چینلز بنانا، اضافی نقصان دہ پروگرام وصول کرنا، اور کمپیوٹر کی میموری میں براہ راست کوڈ چلانا شامل ہو سکتے ہیں۔
میموری میں کوڈ چلانے کا مطلب ہے کہ مالویئر ہارڈ ڈرائیو پر روایتی فائل بنائے بغیر ہدایات پر عمل کر سکتا ہے۔ یہ کچھ قسم کی سیکورٹی کا پتہ لگانے کو مزید مشکل بنا سکتا ہے۔
ریچیل نے کہا کہ سلیپ واکر کا ڈیزائن عام میلویئر کے مقابلے میں زیادہ سے زیادہ ٹارگٹڈ اور اچھی طرح سے فنڈز سے چلنے والے حملے کے ساتھ زیادہ مطابقت رکھتا ہے جو کہ زیادہ سے زیادہ متاثرین میں تقسیم کیا جاتا ہے۔
تاہم، فی الحال اس بارے میں کوئی تصدیق شدہ معلومات نہیں ہے کہ میلویئر کس نے بنایا ہے یا کس کو نشانہ بنایا گیا ہے۔
محققین یہ بھی نہیں جانتے کہ کون سے ممالک یا صنعتیں متاثر ہوئی ہیں۔ ابھی تک صرف ایک سلیپ واکر کے نمونے کا تجزیہ کیا گیا ہے، یعنی وسیع آپریشن کے بارے میں ابھی تک محدود معلومات موجود ہیں۔
نمونے میں کئی کمزوریاں بھی ہیں۔ اس سے پتہ چلتا ہے کہ محققین کی طرف سے جانچا گیا ورژن میلویئر کا ابتدائی ورژن ہو سکتا ہے جو اب بھی تیار ہو رہا ہے۔
Reichel نے سمجھوتہ کے اشارے (IOCs) جاری کیے ہیں تاکہ سیکورٹی ٹیموں کو ان علامات کی تلاش میں مدد ملے جو کہ Sleepwalker موجود ہو سکتے ہیں۔
اس نے YARA کا پتہ لگانے کا ایک اصول بھی شائع کیا ہے، جو سیکیورٹی محققین کو میلویئر سے وابستہ پیٹرن کے لیے فائلیں تلاش کرنے کی اجازت دیتا ہے۔
صرف پڑھنے کے لیے پاور شیل اسکینر بھی دستیاب ہے جو اس مخصوص سلیپ واکر نمونے کی شناخت میں مدد کرتا ہے جس کا تجزیہ کیا گیا تھا۔
جہاں آپ چاہیں تازہ ترین ٹیک خبریں، ٹیلی کام کی بصیرتیں، اور پروڈکٹ لانچ حاصل کریں۔
ProPakistani کو ترجیحی ذرائع میں شامل کریں اور گوگل سرچ اور ٹاپ اسٹوریز میں ہماری مزید کہانیاں دیکھیں۔
ٹیکنالوجی اور آٹوموٹو ماہر جدید ترین کاروں، اسمارٹ فونز، AI کامیابیوں، اور...
شیئرز
