کیوں سیلف ڈیکرپٹنگ آرکائیوز اب بھی میلویئر کی ترسیل کا ایک پسندیدہ طریقہ ہے۔
حملہ آوروں کی ضرورت نہیں ہے۔ صفر دن جب ڈویلپر اب بھی صوابدیدی فائلوں کو سینڈ باکسنگ کے بغیر ان زپ کرتے ہیں۔ خود کو ڈکرپٹ کرنے والا آرکائیو مالویئر کی ترسیل کے سب سے مؤثر طریقوں میں سے ایک ہے کیونکہ یہ بالکل اسی کا استحصال کرتا ہے: ڈویلپر کا اندرونی کوڈ پر اعتماد، نمونے کی تعمیر، اور فریق ثالث کے اوزار۔
کے برعکس standard زپ، ایک خود کو ڈکرپٹ کرنے والا آرکائیو پیک کھولنے کے عمل کو بطور پروگرام انجام دیتا ہے۔ یہ سادہ چال زیادہ تر جامد اور دستخط پر مبنی اسکینرز کو نظرانداز کرتی ہے، خاص طور پر جب جائز انسٹالر یا اپ ڈیٹ کے طور پر بھیس میں ہو۔ ایک بار مکمل ہونے کے بعد، آرکائیو ٹروجن، اسپائی ویئر، یا کی اسٹروک لاگر کو براہ راست آپ کے ترقیاتی ماحول کے حساس حصوں میں کھول سکتا ہے۔
حملہ آوروں کو سیلف ڈکرپٹنگ آرکائیوز کیوں پسند ہیں؟
- وہ خاموشی سے عملدرآمد کرتے ہیں۔
- وہ ابتدائی عمل سے آگے صارف کے تعامل پر انحصار نہیں کرتے ہیں۔
- وہ انہی اعتماد کی حدود کا استحصال کرتے ہیں جن پر آپ انحصار کرتے ہیں: اندرونی اسکرپٹ، CI/CD اقدامات، اور دیو ٹولز۔
آپ اکثر جعلی SDKs، سمجھوتہ شدہ اوپن سورس پیکجز، یا یہاں تک کہ بدمعاش منسلکات کے طور پر جو کہ بلڈ آپٹیمائزرز یا اندرونی ٹولز کا دعویٰ کرتے ہیں، میں سرایت شدہ سیلف ڈیکرپٹنگ آرکائیوز دیکھیں گے۔ یہ آرکائیوز جنگلی میں میلویئر کی ترسیل کے سب سے زیادہ مسلسل طریقوں میں سے ایک ہیں کیونکہ یہ روزمرہ کے ڈویلپر ورک فلو میں گھل مل جاتے ہیں۔ بہت سے معاملات میں، وہ خاموشی سے ایک کی اسٹروک لاگر چھوڑ دیتے ہیں جو انتباہات کو متحرک کیے بغیر، اسناد سے لے کر حساس کمانڈز تک سب کچھ ریکارڈ کرتا ہے۔
پے لوڈ سے استقامت تک: پھانسی کے بعد واقعی کیا ہوتا ہے۔
ایک بار جب خود کو ڈکرپٹ کرنے والا آرکائیو چلتا ہے، تو یہ صرف بائنری نہیں چھوڑتا اور غائب ہوجاتا ہے۔ یہ غلط کنفیگرڈ ایگزیکیوشن پالیسیوں یا صارف کے مراعات کا استحصال کرکے خود کو سسٹمز میں دفن کرتا ہے۔ ایک مقبول طریقہ یہ ہے کہ کی اسٹروک لاگر یا بیک ڈور ٹروجن کو یوزر لینڈ کے عمل یا سسٹم اسٹارٹ اپ اسکرپٹس میں داخل کیا جائے۔
مثال کے طور پر، ایک SDA ایک ریموٹ ایکسیس ٹروجن (RAT) کو کھول سکتا ہے جو خود کو بطور سروس انسٹال کرتا ہے یا اس میں ترمیم کرتا ہے۔ .bashrc, .zshrc، یا PowerShell پروفائلز۔ یہ طے شدہ کاموں کے ساتھ بھی چھیڑ چھاڑ کر سکتا ہے یا مقامی ٹولنگ جیسے استعمال کر سکتا ہے۔ schtasks or شروع کیا ریبوٹ پر دوبارہ شروع کرنے کے لئے.
سمجھوتہ کے مشترکہ اشارے (IoCs) ڈویلپرز کو دیکھنا چاہئے:
- سے EXE یا ELF بائنریز کا غیر متوقع CLI عملدرآمد / Tmp میں, ٪ AppData٪، یا اسی طرح.
- نامعلوم ٹولز پر عمل درآمد کے فوراً بعد غیر معمولی نیٹ ورک ٹریفک۔
- عملدرآمد کے بعد مشکوک اقدامات کے ساتھ ترمیم شدہ تعمیر یا ٹیسٹ اسکرپٹس۔
یہ پے لوڈز ڈیزائن کے لحاظ سے برقرار رہتے ہیں اور dev ماحول میں روایتی EDR کے ذریعہ شاذ و نادر ہی جھنڈا لگایا جاتا ہے، خاص طور پر جب dev انحصار کے طور پر چھپایا جاتا ہے۔ ایک بار کی اسٹروک لاگر فعال ہونے کے بعد، یہ خاموشی سے ڈویلپر کی اسناد سے لے کر پروڈکشن کے راز تک ہر چیز پر قبضہ کر سکتا ہے۔
جہاں ڈویلپرز کو سب سے بڑے خطرات کا سامنا کرنا پڑتا ہے۔ CI/CD Pipelines
یہ وہ جگہ ہے جہاں چیزیں حقیقی طور پر خطرناک ہو جاتی ہیں: CI/CD pipelines.
خود کو ڈکرپٹ کرنے والے آرکائیوز خاص طور پر خطرناک ہو جاتے ہیں جب وہ ٹکراتے ہیں۔ CI/CD کیونکہ وہ گھل مل جاتے ہیں۔
- پہلے سے مرتب کردہ SDKs یا CLI ٹولز ریپوز میں چیک کیے گئے۔
- غیر تصدیق شدہ ذرائع سے حاصل کردہ انحصار بنائیں۔
- اندرونی ٹولز کا اشتراک سلیک یا ای میل پر، پھر commitٹیڈ یا اسکرپٹ میں استعمال کیا جاتا ہے۔
رسک ہاٹ سپاٹ
- ایجنٹوں کی تعمیر: اگر ایک SDA کو یہاں پر عمل میں لایا جاتا ہے، تو یہ ماحولیاتی متغیرات، اسناد میں ترمیم کر سکتا ہے، یا یہاں تک کہ بعد کی ملازمتوں میں انجیکشن لگا سکتا ہے۔
- انحصار کیچز: ایس ڈی اے میں مال ویئر جو آپ کے کیش تک پہنچتا ہے سپلائی چین کا خطرہ بن جاتا ہے۔ ہر وہ کام جو متاثرہ کیشے سے کھینچتا ہے پے لوڈ کا وارث ہوتا ہے۔
- آرٹفیکٹ کے ذخیرے: SDAs کے ساتھ زہر آلود ہونے پر، وہ میلویئر ڈیلیوری کے طریقوں کے طور پر کام کرتے ہیں جو نیچے کی دھارے کے ماحول تک پہنچتے ہیں، بشمول اسٹیجنگ اور پروڈ۔
CI/CD تیز اور خودکار ہے. اس کا مطلب ہے کہ ایک خود کو ڈکرپٹ کرنے والا آرکائیو خاموشی سے ایک سے زیادہ ماحول سے گزر سکتا ہے اس سے پہلے کہ کسی کے بھی نوٹس لے۔ اس سے بھی بدتر، اگر پے لوڈ میں کی اسٹروک لاگر شامل ہے، تو یہ ہوسکتا ہے۔ leak secrets کبھی بھی پتہ لگائے بغیر تمام مراحل میں استعمال کیا جاتا ہے۔
DevSecOps کنٹرولز کے ساتھ خاموش عملدرآمد کو روکنا
سیلف ڈیکرپٹنگ آرکائیوز کے عمل کو روکنا پیچیدہ نہیں ہے، لیکن اس کے لیے ڈیفالٹس میں تبدیلی کی ضرورت ہے۔
ڈویلپر مرکوز کنٹرول جو کام کرتے ہیں:
- پرخطر عملدرآمد کی پالیسیوں کو غیر فعال کریں: عارضی یا نامعلوم راستوں سے ایگزیکیوٹیبل چلانے کی صلاحیت کو بند کریں۔ اس کا مطلب ہے بلڈ ایجنٹس پر فائل پر عمل درآمد کی مناسب پالیسیاں ترتیب دینا۔
- آرٹفیکٹ کی توثیق کو نافذ کریں: تمام اندرونی ٹولز، SDKs، اور بائنریز پر کرپٹوگرافک چیکسم یا سائننگ کا استعمال کریں۔ ہر نمونے کو چھونے سے پہلے اس کی تصدیق کریں۔ pipeline.
- سینڈ باکس فرسٹ رن بائنریز: خاص طور پر ان ٹولز کے لیے جو حال ہی میں ڈاؤن لوڈ یا شامل کیے گئے ہیں۔ اس مقصد کے لیے کنٹینرائزڈ رنر یا الگ تھلگ VM استعمال کریں۔
- کی نگرانی pipeline برتاؤ: غیر معمولی عملدرآمد کے رویے پر جھنڈا لگائیں اور الرٹ کریں جیسے آؤٹ باؤنڈ ٹریفک کے بعد کی تعمیر، یا CLI عمل جو آپ میں بیان نہیں کیے گئے ہیں pipeline تشکیل
ایک مضبوط DevSecOps کرنسی فرض کرتا ہے کہ ہر ٹول سے سمجھوتہ کیا جا سکتا ہے۔ اگر آپ کی CI/CD خود کو ڈکرپٹ کرنے والے آرکائیو کا پتہ نہیں لگا سکتا ہے، اس سے کہیں زیادہ خراب ہو جائے گا۔ میلویئر ڈیلیوری کے طریقے تیار ہوتے ہیں، لیکن تعمیراتی ماحول میں بدمعاش بائنریز کا نفاذ ایک بڑا خطرہ رہتا ہے۔ روک تھام کے ساتھ پتہ لگانے کا جوڑا۔
کھوج سے آگے جانا: Xygeni میلویئر کی ترسیل کے راستوں کو ٹریس کرنے میں کس طرح مدد کرتا ہے۔
حقیقت کے بعد کی اسٹروک لاگر کا پتہ لگانا بہت دیر ہو چکا ہے۔ وہ ہے جہاں اوزار کی طرح زیجینی معاملہ.
Xygeni اس بارے میں حقیقی وقت کی بصیرت فراہم کرتا ہے کہ آپ کے میں کیا کیا جاتا ہے۔ pipeline، چاہے یہ خود کو ڈکرپٹ کرنے والا آرکائیو ہو یا ایک بدمعاش بائنری ایک بلڈ ہیلپر کے طور پر نقاب پوش۔ اس کی طاقت میں مضمر ہے:
- میلویئر کی ترسیل کے طریقے کیسے گزرتے ہیں اس کی نقشہ سازی کرنا pipelines.
- بدنیتی پر مبنی سیلف ڈیکرپٹنگ آرکائیوز کی اصلیت کا سراغ لگانا۔
- عمل کو روکنا رویے کے اشارے کی بنیاد پر، نہ کہ صرف دستخطوں پر۔
Xygeni کے ساتھ، آپ واقعات کو آپس میں جوڑ سکتے ہیں جیسے: "بلڈ جاب #42 میں متعارف کرایا گیا غیر معمولی نمونہ" → "CLI نے غیر متوقع بائنری کو انجام دیا" → "کی اسٹروک لاگر بیکن اینڈ پوائنٹ پر پایا گیا۔"
جب آپ محفوظ کرنے کی کوشش کر رہے ہوں تو یہ ٹریس ایبلٹی اہم ہے۔ CI/CD چھپے ہوئے میلویئر کی ترسیل کے طریقوں کے خلاف ورک فلو۔
دفاع کی آخری لائن: محفوظ شدہ دستاویزات کو اپنے پھٹنے سے پہلے خود کو ڈکرپٹ کرنا بند کریں۔ Pipeline
سیلف ڈکرپٹنگ آرکائیوز صرف ایک پرانی چال نہیں ہیں۔ وہ ڈویلپرز کو نشانہ بنانے والے سب سے خطرناک اور کم پتہ چلنے والے میلویئر کی ترسیل کے طریقوں میں سے ایک ہیں۔ pipelines.
اگر آپ کوڈ لکھنے یا محفوظ کرنے والے ڈویلپر ہیں، تو آپ کو:
- ہر بائنری کو ناقابل اعتماد سمجھیں، یہاں تک کہ اپنے اندر بھی pipeline.
- تمام فریق ثالث کے نمونے کے لیے توثیق اور سینڈ باکسنگ کو نافذ کریں۔
- کی نگرانی pipeline رویہ گویا یہ پیداواری ٹریفک تھا۔
اور سب سے اہم بات یہ ہے کہ Xygeni جیسے ٹولز پر غور کریں جو اسکیننگ سے آگے بڑھتے ہیں، ایسے ٹولز جو آپ کے میں کی اسٹروک لاگر کو گرانے سے پہلے نقصان دہ سیلف ڈیکرپٹنگ آرکائیوز کو ٹریک، ٹریس اور بلاک کرتے ہیں۔ CI/CD اسٹیک بائیں شفٹ کریں، لیکن گہرائی سے اسکین کریں۔ اور کبھی بھی کم نہ سمجھیں کہ کس طرح ایک چھوٹا محفوظ شدہ دستاویزات خاموش میلویئر کی ترسیل کے طریقوں کے ذریعے بڑے خطرے کو متعارف کرا سکتا ہے۔
