सेल्फ-डिक्रिप्टिंग आर्काइव्ह्ज अजूनही मालवेअर वितरणाची एक आवडती पद्धत का आहेत
हल्लेखोरांना गरज नाही शून्य-दिवस जेव्हा डेव्हलपर्स अजूनही सँडबॉक्सिंग न करता कोणत्याही फाईल्स अनझिप करतात. सेल्फ-डिक्रिप्टिंग आर्काइव्ह ही मालवेअर पोहोचवण्याच्या सर्वात प्रभावी पद्धतींपैकी एक आहे, कारण ती नेमक्या याच गोष्टीचा गैरफायदा घेते: अंतर्गत कोड, बिल्ड आर्टिफॅक्ट्स आणि थर्ड-पार्टी टूल्सवरील डेव्हलपर्सच्या विश्वासाचा.
विपरीत standard झिप (ZIP) फाईल्स, ज्या स्वतःच डिक्रिप्ट होणाऱ्या आर्काइव्ह आहेत, त्या अनपॅक करण्याची प्रक्रिया एका प्रोग्रामप्रमाणे कार्यान्वित करतात. ही सोपी युक्ती बहुतेक स्टॅटिक आणि सिग्नेचर-आधारित स्कॅनर्सना चकमा देते, विशेषतः जेव्हा त्या एखाद्या वैध इन्स्टॉलर किंवा अपडेटच्या रूपात लपवलेल्या असतात. एकदा कार्यान्वित झाल्यावर, ही आर्काइव्ह तुमच्या डेव्हलपमेंट एन्व्हायर्नमेंटच्या संवेदनशील भागांमध्ये थेट ट्रोजन, स्पायवेअर किंवा कीस्ट्रोक लॉगर अनपॅक करू शकते.
हल्लेखोरांना स्वयं-डिक्रिप्टिंग आर्काइव्ह का आवडतात?
- ते शांतपणे अंमलबजावणी करतात.
- ते सुरुवातीच्या अंमलबजावणीनंतर वापरकर्त्याच्या परस्परसंवादावर अवलंबून नसतात.
- ते त्याच विश्वासाच्या सीमांचा गैरफायदा घेतात ज्यावर तुम्ही अवलंबून असता: अंतर्गत स्क्रिप्ट्स, CI/CD पायऱ्या आणि डेव्ह टूल्स.
तुम्हाला अनेकदा बनावट SDKs, हॅक झालेल्या ओपन-सोर्स पॅकेजेसमध्ये किंवा बिल्ड ऑप्टिमायझर्स किंवा अंतर्गत टूल्स असल्याचा दावा करणाऱ्या बनावट अटॅचमेंट्समध्ये स्वतःहून डिक्रिप्ट होणारे आर्काइव्हज आढळतील. हे आर्काइव्हज मालवेअर पोहोचवण्याच्या सर्वात चिवट पद्धतींपैकी एक आहेत, कारण ते डेव्हलपरच्या दैनंदिन कार्यप्रवाहात सहज मिसळून जातात. बऱ्याच प्रकरणांमध्ये, ते कोणताही अलर्ट न देता, गुपचूपपणे एक कीस्ट्रोक लॉगर टाकतात, जो क्रेडेन्शियल्सपासून ते संवेदनशील कमांड्सपर्यंत सर्वकाही रेकॉर्ड करतो.
पेलोडपासून पर्सिस्टन्सपर्यंत: अंमलबजावणीनंतर नेमके काय घडते
एकदा सेल्फ-डिक्रिप्टिंग आर्काइव्ह चालल्यानंतर, ते फक्त एक बायनरी टाकून नाहीसे होत नाही. ते चुकीच्या पद्धतीने कॉन्फिगर केलेल्या एक्झिक्युशन पॉलिसी किंवा वापरकर्त्याच्या विशेषाधिकारांचा गैरफायदा घेऊन स्वतःला सिस्टीममध्ये रुजवते. युझरलँड प्रोसेस किंवा सिस्टीम स्टार्टअप स्क्रिप्टमध्ये कीस्ट्रोक लॉगर किंवा बॅकडोअर ट्रोजन टाकणे हा एक प्रचलित मार्ग आहे.
उदाहरणार्थ, एक SDA असा रिमोट ऍक्सेस ट्रोजन (RAT) अनपॅक करू शकतो, जो स्वतःला एक सेवा म्हणून स्थापित करतो किंवा बदल करतो. .bashrc, .zshrcकिंवा पॉवरशेल प्रोफाइल्स. ते शेड्युल्ड टास्कमध्ये फेरफार करू शकते किंवा नेटिव्ह टूलिंगचा वापर करू शकते जसे की schtasks or लाँच केले रीबूट झाल्यावर पुन्हा सुरू करणे.
विकसकांनी लक्ष द्यावे असे तडजोडीचे सामान्य निर्देशक (IoCs):
- CLI वरून EXE किंवा ELF बायनरींची अनपेक्षित अंमलबजावणी / Tmp, %अनुप्रयोग डेटा%, किंवा तत्सम.
- अज्ञात टूल्स कार्यान्वित केल्यानंतर लगेचच असामान्य नेटवर्क ट्रॅफिक दिसून येते.
- संशयास्पद अंमलबजावणीनंतरच्या टप्प्यांसह सुधारित बिल्ड किंवा टेस्ट स्क्रिप्ट्स.
हे पेलोड्स मुद्दामहून टिकवून ठेवले जातात आणि डेव्हलपमेंट वातावरणात पारंपारिक EDR द्वारे क्वचितच ओळखले जातात, विशेषतः जेव्हा ते डेव्हलपमेंट डिपेंडन्सीच्या रूपात लपवलेले असतात. एकदा कीस्ट्रोक लॉगर सक्रिय झाला की, तो डेव्हलपर क्रेडेंशियल्सपासून ते प्रोडक्शन सिक्रेट्सपर्यंत सर्व काही गुपचूप कॅप्चर करू शकतो.
विकासकांना सर्वात मोठे धोके कुठे सामोरे जावे लागतात CI/CD Pipelines
इथूनच खऱ्या अर्थाने धोका निर्माण होतो: CI/CD pipelines.
जेव्हा स्वयं-डिक्रिप्टिंग आर्काइव्ह्ज उघडतात तेव्हा ते विशेषतः धोकादायक बनतात. CI/CD कारण ते परिसराशी एकरूप होतात. त्यांना खालीलप्रमाणे वेष धारण करता येते:
- रेपोमध्ये चेक इन केलेले प्रीकंपाइल केलेले SDK किंवा CLI टूल्स.
- अपुष्ट स्त्रोतांकडून घेतलेल्या बिल्ड डिपेंडन्सीज.
- स्लॅक किंवा ईमेलद्वारे शेअर केलेली अंतर्गत साधने, त्यानंतर commitस्क्रिप्टमध्ये वापरलेले किंवा समाविष्ट केलेले.
जोखमीचे हॉटस्पॉट
- एजंट तयार करा: जर येथे SDA कार्यान्वित केले गेले, तर ते पर्यावरण व्हेरिएबल्स, क्रेडेन्शियल्समध्ये बदल करू शकते किंवा त्यानंतरच्या जॉब्समध्ये घुसखोरी देखील करू शकते.
- डिपेंडेंसी कॅशेSDA मधील मालवेअर जो तुमच्या कॅशेपर्यंत पोहोचतो, तो पुरवठा साखळीसाठी धोका बनतो. संक्रमित कॅशेमधून डेटा खेचणाऱ्या प्रत्येक जॉबला तो पेलोड मिळतो.
- कलाकृती भांडारजर SDAs ने दूषित केले गेले, तर ते मालवेअर वितरणाचे माध्यम म्हणून काम करतात, जे स्टेजिंग आणि प्रॉडसह डाउनस्ट्रीम वातावरणापर्यंत पोहोचतात.
CI/CD हे जलद आणि स्वयंचलित आहे. याचा अर्थ असा की, एकच सेल्फ-डिक्रिप्टिंग आर्काइव्ह कोणाच्याही लक्षात येण्यापूर्वी अनेक वातावरणांमधून गुपचूप प्रवाहित होऊ शकते. याहूनही वाईट म्हणजे, जर पेलोडमध्ये कीस्ट्रोक लॉगर समाविष्ट असेल, तर ते leak secretविविध टप्प्यांवर वापरले जाते, पण ते कधीही लक्षात येत नाही.
DevSecOps नियंत्रणांद्वारे मूक अंमलबजावणी रोखणे
स्वयं-डिक्रिप्टिंग आर्काइव्हचे कार्यान्वयन रोखणे क्लिष्ट नाही, परंतु त्यासाठी डीफॉल्ट सेटिंग्जमध्ये बदल करणे आवश्यक आहे.
डेव्हलपर-केंद्रित प्रभावी नियंत्रणे:
- धोकादायक एक्झिक्युशन पॉलिसी अक्षम करा: तात्पुरत्या किंवा अज्ञात मार्गांवरून एक्झिक्युटेबल चालवण्याची क्षमता प्रतिबंधित करा. याचा अर्थ बिल्ड एजंटवर योग्य फाइल एक्झिक्युशन पॉलिसी सेट करणे.
- आर्टिफॅक्ट प्रमाणीकरण लागू करा: सर्व अंतर्गत टूल्स, SDKs आणि बायनेरीजवर क्रिप्टोग्राफिक चेकसम्स किंवा साइनिंगचा वापर करा. प्रत्येक आर्टिफॅक्टला प्रत्यक्ष वापरण्यापूर्वी त्याचे प्रमाणीकरण करा. pipeline.
- सँडबॉक्स फर्स्ट-रन बायनेरीज: विशेषतः अलीकडेच डाउनलोड केलेल्या किंवा जोडलेल्या टूल्ससाठी. या उद्देशासाठी कंटेनराइज्ड रनर्स किंवा आयसोलेटेड व्हीएम वापरा.
- मॉनिटर pipeline वर्तन: बिल्डनंतरचा आउटबाउंड ट्रॅफिक किंवा तुमच्यामध्ये परिभाषित नसलेल्या CLI प्रक्रियांसारख्या असामान्य अंमलबजावणी वर्तनावर ध्वज लावा आणि सतर्क करा. pipeline कॉन्फिग.
एक मजबूत DevSecOps स्थिती प्रत्येक साधनाशी छेडछाड होऊ शकते असे गृहीत धरते. जर तुमचे CI/CD स्वतःहून डिक्रिप्ट होणारे आर्काइव्ह निसटून गेल्याचे लक्षात येत नाही, त्यामुळे त्याहूनही वाईट गोष्टी सुटून जातील. मालवेअर वितरणाच्या पद्धती विकसित होत असल्या तरी, बिल्ड वातावरणात अनधिकृत बायनरी कार्यान्वित करणे हा एक प्रमुख धोका आहे. शोध आणि प्रतिबंध यांची सांगड घाला.
शोध लागण्याच्या पलीकडे: मालवेअर वितरणाचे मार्ग शोधण्यात झायजेनी कशी मदत करते
कीस्ट्रोक लॉगर घडल्यानंतर तो शोधून काढणे खूप उशीर झालेले असते. इथेच सारख्या साधनांची मदत होते. झायगेनी बाब.
झायजेनी तुमच्यामध्ये काय कार्यान्वित होते याची रिअल-टाइम माहिती पुरवते. pipelineमग ते स्वतःहून डिक्रिप्ट होणारे आर्काइव्ह असो किंवा बिल्ड हेल्पर म्हणून वावरणारी एखादी अनधिकृत बायनरी असो. त्याची ताकद यात आहे:
- मालवेअर वितरणाच्या पद्धती कशा पसरतात याचे मॅपिंग करणे pipelines.
- दुर्भावनापूर्ण स्वयं-डिक्रिप्टिंग आर्काइव्हच्या उगमाचा शोध घेणे.
- केवळ सिग्नेचरच्या आधारावर नव्हे, तर वर्तणूक निर्देशकांच्या आधारावर अंमलबजावणी थांबवणे.
Xygeni वापरून, तुम्ही खालील घटनांमध्ये सहसंबंध जोडू शकता: “बिल्ड जॉब #42 मध्ये एक असामान्य आर्टिफॅक्ट आला” → “CLI ने अनपेक्षित बायनरी कार्यान्वित केली” → “एंडपॉइंटवर कीस्ट्रोक लॉगर बीकन आढळला.”
जेव्हा तुम्ही सुरक्षित करण्याचा प्रयत्न करत असता, तेव्हा ही शोधक्षमता अत्यंत महत्त्वाची असते. CI/CD छुपे मालवेअर वितरण पद्धतींविरुद्ध कार्यप्रवाह.
संरक्षणाची अंतिम फळी: स्वतःहून डिक्रिप्ट होणारे आर्काइव्ह्ज स्फोट होण्यापूर्वीच थांबवा. Pipeline
स्वयं-डिक्रिप्ट होणारे आर्काइव्ह ही केवळ एक जुनी युक्ती नाही. डेव्हलपर्सना लक्ष्य करणाऱ्या मालवेअर वितरणाच्या सर्वात धोकादायक आणि सहजासहजी न ओळखल्या जाणाऱ्या पद्धतींपैकी ही एक आहे. pipelines.
जर तुम्ही कोड लिहिणारे किंवा सुरक्षित करणारे डेव्हलपर असाल, तर तुम्हाला खालील गोष्टी करणे आवश्यक आहे:
- प्रत्येक बायनरीला अविश्वसनीय माना, अगदी तुमच्या स्वतःच्या आतसुद्धा. pipeline.
- सर्व तृतीय-पक्ष आर्टिफॅक्ट्ससाठी प्रमाणीकरण आणि सँडबॉक्सिंग लागू करा.
- मॉनिटर pipeline जणू काही ते प्रोडक्शन ट्रॅफिक असल्यासारखे वर्तन.
आणि सर्वात महत्त्वाचे म्हणजे, Xygeni सारख्या साधनांचा विचार करा, जी केवळ स्कॅनिंगच्या पलीकडे जाऊन, तुमच्या सिस्टममध्ये कीस्ट्रोक लॉगर टाकण्यापूर्वीच दुर्भावनापूर्ण सेल्फ-डिक्रिप्टिंग आर्काइव्हचा मागोवा घेतात, शोध लावतात आणि त्यांना ब्लॉक करतात. CI/CD स्टॅक डावीकडे सरका, पण अधिक खोलवर स्कॅन करा. आणि मालवेअरच्या गुप्त वितरण पद्धतींद्वारे एक लहान आर्काइव्ह कसा मोठा धोका निर्माण करू शकतो, याला कधीही कमी लेखू नका.
