ہیکر گروپ نے سولیرس زیرو ڈے کا استحصال کیا

ایک نئے میں رپورٹ سیکیورٹی فرم فائر ای کے ریسرچ ونگ مینڈینٹ کے ذریعہ شائع کردہ ، ہیکنگ گروپ کی تفصیلات جو اوریکل کے سولاریس آپریٹنگ سسٹم میں پائے جانے والے صفر ڈے کی دوش کو استعمال کرتی ہیں ، کے بارے میں لوگوں کو جاری کیا گیا ہے۔ خطرہ اداکار UNC1945 کا خفیہ نام لیا ، جس نے اس خامی کو بروئے کار لاتے ہوئے ٹیلی مواصلات ، مالی اور مشاورتی کمپنیوں کو نشانہ بنایا ہوا دیکھا گیا ہے۔ منڈیئنٹ کے مطابق ، یہ گروپ 2018 کے بعد سے سرگرم عمل ہے ، تاہم ، صفر دن کے استعمال سے محققین کی توجہ مبذول ہوگئی۔

صفر دن کی کمزوری کا پتہ لگا لیا گیا ہے CVE-2020-14871 اور پلگ ایبل تصدیقی ماڈیول کو متاثر کرنے والے عیب کے طور پر بیان کیا گیا ہے اور اسے آسانی سے استحصال کے طور پر دیکھا جاتا ہے۔ اس دوش کے نتیجے میں نیٹ ورک تک رسائی کے ساتھ غیرمتعلق حملہ آور کو اوریکل سولرس سے سمجھوتہ کرنے اور اکاؤنٹ میں قبضے کی کامیابی کی اجازت مل جاتی ہے۔ NVD سے 10 کا اسکور حاصل کرتے ہوئے ، اس خامی کو تنقیدی درجہ بندی کے ل serious سنجیدہ سمجھا جاتا ہے۔ اوریکل کے پاس ہے پیچ دوش ، اور منتظمین کو مشورہ دیا گیا ہے کہ وہ سافٹ ویئر کو اپ ڈیٹ کریں تاکہ عجلت کے معاملے کے طور پر اس خامی کو پورا کیا جاسکے۔ اس مثال میں ہیکر گروپ نے اس غلطی کا استعمال کرتے ہوئے تصدیق کے طریقہ کار کو نظرانداز کیا اور متاثرہ شخص کے نیٹ ورک میں بیک ڈور انسٹال کیا۔ اس کے بعد بیک ڈور کو ہدف بنائے گئے نیٹ ورک پر جاسوسی کرنے کے ل method ایک طریقہ کے طور پر استعمال کیا گیا تھا اور ساتھ ہی یہ دوسری کمزور مشینوں میں بھی بعد میں پھیل گیا تھا۔

UNC1945 نے اپنے کاروائیوں کے سلسلے میں ایک اعلی سطح کا تجربہ اور صبر کا مظاہرہ کیا۔ متاثرہ شخص کے نیٹ ورک پر مشتمل پہلی بار 2018 میں پیش آیا لیکن بظاہر اس کی سرگرمیاں نقشہ سے ہٹ گئیں۔ دھمکی دینے والا اداکار ایک بار پھر 2020 کے وسط میں ابھرا ، اس کا مطلب یہ ہے کہ حملہ آوروں کا مؤثر طریقے سے 500 دن سے زیادہ کا وقت رہتا ہے۔ ابتدائی سمجھوتہ ایس ایس ایچ سروس کے نتیجے میں ہوا تھا جس کا براہ راست انٹرنیٹ سے انکشاف ہوا تھا۔ محققین نے سن 2020 کے وسط میں دریافت کیا کہ دھمکی دینے والے اداکاروں نے ایک ریموٹ پھانسی کا ٹول تعینات کیا ہے ، جس کا نام ایولسن ہے ، جس میں مذکورہ صفر دن کی خرابی کا فائدہ اٹھانے کے لئے ایک ماڈیول موجود ہے۔ گروپ کا پتہ لگانے سے بچنے کی کوشش میں ڈاؤن لوڈ اور انسٹال کیا کیمو ٹنی کور لینکس OS کا ورژن چلانے والی ورچوئل مشین۔

یہ کسٹم میڈ میڈ لینکس VM ہیکنگ ٹولز جیسے نیٹ ورک اسکینرز ، پاس ورڈ ڈمپرز ، استحصال ، اور ریکناسینس ٹول کٹس کے ساتھ پہلے سے انسٹال ہوا تھا جس نے UNC1945 کو کمپنی کے اندرونی نیٹ ورک کو کمزوریوں کے ل scan اسکین کرنے کی سہولت دی تھی اور پھر دیر سے متعدد سسٹم میں منتقل ہوتا تھا۔ دھمکی کے اداکار کے ذریعہ استعمال ہونے والے ٹول باکس نے ونڈوز یا تو اس پر کام کرنے دیا یونکس کی طرح نظام. اس گروپ کا تجربہ اور ہنر اپنے ٹول باکس کے استعمال کے ذریعہ نمائش میں تھا ، جس میں متعدد اوپن سورس ٹولز کے ساتھ ساتھ میلویئر اسٹرینز بھی شامل تھے۔ اوپن سورس ٹولز میں ممیکاٹز ، پاورز پلیٹ ، ریسپونڈر ، پراکڈمپ ، کریک میپیکسیک ، پوش سی 2 ، میڈوسا ، اور جے بوس وایلنیبلٹی سکینر شامل تھے۔ سائبرسیکیوریٹی انڈسٹری میں بہت سے لوگوں کے ذریعہ استعمال کیا جانے والا ایک مشہور ٹول ہے۔

کسٹم میلویئر

جیسا کہ مذکورہ بالا متعدد کسٹم میلویئر تناؤ کو محققین استعمال کرتے دیکھا گیا ہے جو UNC1945 کو پرانی اور نئی مہم دونوں سے جوڑتے ہیں۔ ان تناؤ میں شامل ہیں:

• ایولسن - ایک دور دراز استحصال کا آلہ ہے جو ایس ایچ کی بورڈ انٹرایکٹو تصدیق کے ذریعہ بے نقاب (CVE-2020-14871) کا استعمال کرتے ہوئے SPARC یا i386 فن تعمیر کے سولیرس 10 اور 11 سسٹم تک رسائی حاصل کرتا ہے۔ ریموٹ استحصال کا آلہ کمانڈ لائن پر گزرے ہوئے میزبانوں سے SSH کنکشن بنا دیتا ہے۔ پہلے سے طے شدہ پورٹ عام SSH پورٹ (22) ہے ، لیکن اس کو اوور ررائڈ کیا جاسکتا ہے۔
• لیمونسٹک - بیک ڈور صلاحیتوں کے ساتھ ایک لینکس عمل درآمد کمانڈ لائن افادیت۔ بیک ڈور فائلیں ، منتقلی فائلیں ، اور سرنگ کے کنیکشن پر عملدرآمد کرسکتا ہے۔ لیمونسٹک دو مختلف طریقوں سے شروع کیا جاسکتا ہے: `-c` کمانڈ لائن استدلال (ایک اختیاری فائل کے ساتھ) پاس کرنا اور 'OCB' ماحولیاتی متغیر کی ترتیب۔ جب started -c` کمانڈ لائن دلیل کے ساتھ شروع کیا جاتا ہے ، تو لیمونسٹک انٹرایکٹو شیل تیار کرتا ہے۔ جب OCB وضع میں شروع ہوتا ہے تو ، لیمونسٹک STDIN سے پڑھنے کی توقع کرتا ہے۔ توقع کی جارہی ہے کہ اسٹڈن اعداد و شمار کو بلوفش الگورتھم کے ساتھ خفیہ بنایا جائے گا۔ ڈکرپٹ کرنے کے بعد ، یہ مخصوص ناموں پر مبنی کمانڈ بھیجتی ہے۔
• لوگلیچ - ایک ELF افادیت جس میں کمانڈ لائن کے ذریعے فراہم کردہ فلٹر کی بنیاد پر کسی مخصوص لاگ فائل (زبانیں) سے لاگ انٹریز کو حذف کرنے کی بنیادی فعالیت ہے۔
• اوکے سولو - ایک عوامی سطح پر دستیاب بیک ڈور جو ایک مخصوص پورٹ پر شیل باندھتا ہے۔ اسے پاس ورڈ کی توثیق کرنے کے لئے مرتب کیا جاسکتا ہے یا روٹ شیل میں گرایا جاسکتا ہے۔
• اوپنشک - ایک جاسوس سازی کا آلہ جو لاگ ان ہونے والے صارفین کے بارے میں معلومات اکٹھا کرتا ہے اور اسے فائل میں محفوظ کرتا ہے۔ استقامت حاصل کرنے کیلئے اوپن شیکلی نے ونڈوز ایونٹ منیجر کال بیک کا اندراج کیا۔ ProxyChains - HTTP (HTTPS) اور SOCKS (4/5) پراکسی سرورز کے پیچھے سے SSH ، TELNET ، VNC ، FTP ، اور کسی بھی دوسرے انٹرنیٹ ایپلی کیشن کے استعمال کی اجازت دیتا ہے۔ یہ 'پراکسیفائر' کسی بھی درخواست کو پراکسی سرور کی معاونت فراہم کرتا ہے۔
• پپریٹ (ارف پیپی) - ایک اوپن سورس ، ملٹی پلیٹ فارم (ونڈوز ، لینکس ، او ایس ایکس ، اینڈرائڈ) ، ملٹی فنکشن RAT (ریموٹ ایڈمنسٹریشن ٹول) ، اور استحصال کے بعد کا آلہ جس میں بنیادی طور پر ازگر میں لکھا گیا ہے۔ اس میں میموری کو عملی شکل دینے کی ایک گائیڈ لائن کی خصوصیات ہے اور اس کا ایک چھوٹا سا نشان چھوڑا گیا ہے ، جس سے اس کا پتہ لگانا مشکل ہوجاتا ہے۔ یہ مختلف ٹرانسپورٹ کا استعمال کرتے ہوئے بات چیت کرسکتا ہے ، عمل میں منتقلی کر سکتا ہے (عکاس انجیکشن) ، اور میموری سے ریموٹ پائیٹن کوڈ ، ازگر پیکجز ، اور ازگر سی ایکسٹینشن لوڈ کرسکتا ہے۔
• اسٹیلکورگی - لینکس ای ایل ایف پروگراموں کے لئے ایک پیکر جو پے لوڈ کو خفیہ کرنے کے ل the عمل کرنے والے ماحول سے کلیدی مواد استعمال کرتا ہے۔ پہلی بار شروع کرنے پر ، میلویئر چار ماحولیاتی متغیرات تلاش کرنے کی توقع کرتا ہے جن میں عددی اقدار ہوں۔ مالویئر ماحولیاتی متغیر اقدار کو استعمال کرنے کے لئے اضافی ڈیٹا کو ڈیکرٹ کرنے کے لئے بطور کلید استعمال کرتا ہے۔
• سلیپسٹک - سولیرس پی اے ایم بیک ڈور جو صارف کو خفیہ ، سخت کوڈ والے پاس ورڈ کے ذریعہ سسٹم تک رسائی فراہم کرتا ہے۔
• TINYSHLL - معیاری ریموٹ شیل ٹولز (rlogin ، telnet ، ssh ، وغیرہ) کا ہلکا پھلکا کلائنٹ / سرور کلون ، جو بیک ڈور کے طور پر کام کرسکتا ہے اور ریموٹ شیل پر عمل درآمد فراہم کرسکتا ہے۔ مزید یہ کہ کلون فائل منتقلی کی بھی اجازت دیتا ہے۔

منڈینٹ اور زیرو ڈے

دھمکی کے اداکار کی تفصیلات سامنے آنے کے بعد ، منڈینٹ بھی شائع ہوا صفر ڈے ہی سے متعلق تفصیلات جو خود استمعال کی گئیں تاکہ متاثرہ مشین یا نیٹ ورک پر EVILSUN انسٹال کیا جاسکے۔ UNC1945 کو سمجھنے کے ل researchers ، محققین نے خامیوں کو نشانہ بنانے کے لئے پروف پروف تصور کوڈ تیار کیا۔ اس سے محققین کو سولیرس سسٹمز کو کامیابی کے ساتھ سمجھوتہ کرنے کی اجازت ملی جو ایس ایس ایچ سرور کو جان بوجھ کر کرش کر کے کیے گئے تھے۔

مزید یہ ، PAM_MAX_RESP_SIZE (جو 512 بائٹ ہے) سے زیادہ طویل عرصہ تک کوئی صارف نام بھیج کر اور فنکشن میں منتقل کیا گیا۔ ایس ایس ایچ سرور غلطی کے بطور 'توثیق ناکام' پیغام کو واپس کرتا ہے۔ پیچ والے نظام پر ، صارف کو بار بار صحیح لمبائی کا صحیح صارف نام داخل کرنے کا اشارہ کیا جائے گا۔ تاہم ، بغیر کسی پیچیدہ نظام میں ، یہ کارروائی کسی حملہ آور کو سسٹم تک رسائی دینے کے توثیق والے اقدامات کو نظرانداز کرے گی۔

زیرو ڈے پر تبصرہ کرتے ہوئے ، مینڈیئنٹ محققین نے نوٹ کیا ،

'خطرے کا امکان غالبا decades کئی دہائیوں سے موجود ہے ، اور اس کی ایک ممکنہ وجہ یہ ہے کہ اگر یہ اطلاق PAM میں منتقل کرنے سے پہلے ہی صارف نام کو پہلے سے چھوٹی لمبائی تک محدود نہیں کرتا ہے تو یہ فائدہ مند ہے۔ ایک ایسی صورتحال جہاں نیٹ ورک کا سامنا کرنے والا سافٹ ویئر ہمیشہ SSH سرور میں صارف نام کی طوالت کو محدود نہیں کرتا ہے ، اور یہ [ایویلسون] آلے کے ذریعہ استعمال ہونے والا استحصال کرنے والا ویکٹر ہے جسے ہم نے دریافت کیا ہے۔ کی بورڈ-انٹرایکٹو توثیق کو عمومی ذرائع سے بھیجنے کے بجائے صارف نام کے لئے اشارہ کرنے پر مجبور کرنے کے لئے ایس ایس ایچ کلائنٹ کی ترتیبات میں ہیرا پھیری کرکے ، ایک حملہ آور PAM parse_user_name فنکشن میں لامحدود ان پٹ بھی پاس کرسکتا ہے ، '

اکتوبر میں اوریکل کے ذریعہ جاری کردہ پیچ اس مسئلے کا ایک موثر علاج ہے اور اگر ایسا پہلے سے نہیں کیا گیا تو انسٹال کرنا چاہئے۔ اس بارے میں کہ کیا UN1945 نے یہ نقص دریافت کیا ، شواہد سے پتہ چلتا ہے کہ ایسا نہیں ہے۔ مینڈیئنٹ محققین نے زیرزمین ہیکنگ فورم پر ایک اشتہار دریافت کیا جس نے 'اوریکل سولریز ایس ایس ایچ ڈی ریموٹ روٹ استحصال' 3،000 امریکی ڈالر میں فروخت کیا۔ زیادہ امکان ہے کہ دھمکی دینے والے اداکار نے بگ کو خود دریافت کرنے کی بجائے کسی اور ہیکر سے معلومات اور پروف کا تصور کوڈ خرید لیا۔ صفر دن کی فروخت ہیکر فورموں پر برسوں سے غیر قانونی رقم کمانے کا ایک مشہور طریقہ رہا ہے۔ اس ذیلی شعبے کی مقبولیت صرف ایسا ہی معلوم ہوئی بوم سمارٹ موبائل آلات استعمال کرنے والے زیادہ سے زیادہ افراد کے ساتھ۔ اس صنعت کا موازنہ بہت ساری ٹیک کمپنیوں کے پیش کردہ بگ باؤنٹی پروگراموں سے کیا جاسکتا ہے جو ایسے لوگوں کو ادائیگی کرتے ہیں جو سافٹ ویئر اور ہارڈ ویئر میں خامیوں کو دریافت کرتے ہیں۔

اس کے بعد ان خامیوں کا انکشاف کارخانہ دار یا سافٹ ویئر فراہم کرنے والے کو کیا جاتا ہے تاکہ عوامی معلومات بننے سے پہلے ان کی گرفت کی جاسکے۔ ہیکر فورمز پر صفر ڈے کی خامیاں فروخت کرنے والوں کے لئے ، الٹا سچ ہے۔ خامیوں کو اکثر متاثر کن فریق کو خامی ظاہر کرنے کی بجائے اعلی ترین بولی لگانے والے ، اکثر معروف اعلی درجے کی مستقل خطرہ گروپوں کو فروخت کیا جاتا ہے۔ زیرو دن افراد کی ڈیجیٹل حفاظت اور سلامتی کے لئے ایک بڑا خطرہ بنے ہوئے ہیں کیونکہ تدارک ہمیشہ فوری طور پر ممکن نہیں ہوتا ہے اور ، بہت سے معاملات میں ، روک تھام کے اقدامات ہمیشہ کام نہیں کرتے ہیں۔ اس سے ہیکرز کو نیٹ ورکس سے سمجھوتہ کرنے میں آسانی کا موقع مل جاتا ہے کیونکہ انہیں ضرورت سے زیادہ حفاظتی اقدامات نہیں کرنا پڑتے ہیں اور بہت زیادہ کوششوں کے بغیر رسائی حاصل کی جاتی ہے۔