Sonicwall का कहना है कि दुर्भावनापूर्ण Netextendender क्लाइंट VPN क्रेडेंशियल्स चुराने के लिए इस्तेमाल किया जाता है

Sonicwall ने एक सलाह जारी की है जो ग्राहकों को सूचित करती है कि VPN कॉन्फ़िगरेशन और क्रेडेंशियल्स को चुराने के लिए इसके Sonicwall SSL VPN Netextender ऐप का एक दुर्भावनापूर्ण संस्करण का उपयोग किया जा रहा है। कंपनी ने चेतावनी दी है कि खतरे वाले अभिनेताओं ने नेटएक्सेंडर वीपीएन एप्लिकेशन द्वारा उपयोग की जाने वाली दो फाइलों को संशोधित किया है, जिसका उपयोग कई संगठनों द्वारा किया जाता है ताकि दूरस्थ उपयोगकर्ताओं को मुख्य नेटवर्क से सुरक्षित रूप से कनेक्ट करने की अनुमति मिल सके। Microsoft और Sonicwall ने Netextendender एप्लिकेशन के संशोधित संस्करणों के प्रसार को अवरुद्ध करने के लिए उपाय किए हैं।

Sonicwall Netextendender VPN आवेदन को खतरे के अभिनेताओं द्वारा डिजिटल रूप से हस्ताक्षरित किया गया था

इस सप्ताह की शुरुआत में जारी एक सुरक्षा सलाहकार में, सोनिकवॉल ने कहा कि उसने इसका पता लगाया Netextendender SSL VPN एप्लिकेशन का संशोधित संस्करण Microsoft खतरा खुफिया (MSTIC) के सहयोग से। ऐप के दुर्भावनापूर्ण संस्करण को एक वेबसाइट पर होस्ट किया गया था, जिसने उपयोगकर्ताओं को नवीनतम रिलीज़, संस्करण 10.3.2.27 के ट्रोजेनिज्ड संस्करण को डाउनलोड करने की अनुमति दी थी।

Netextendender एप्लिकेशन फाइल
फोटो क्रेडिट: सोनिकवॉल

कंपनी के अनुसार, खतरे के अभिनेताओं ने डिजिटल रूप से नेटएक्सेंडर ऐप के ट्रोजन किए गए संस्करण पर हस्ताक्षर किए, जिसने इसे विंडोज पर सुरक्षा जांच को बायपास करने की अनुमति दी। “सिटीलाइट मीडिया प्राइवेट लिमिटेड” को जारी एक डिजिटल प्रमाणपत्र का उपयोग करके इस पर हस्ताक्षर किए गए थे।

यदि कोई उपयोगकर्ता Sonicwall Netextendender VPN ऐप का नकली संस्करण डाउनलोड करता है, तो यह दो संशोधित एप्लिकेशन, “neservice.exe” और “netexpender.exe” स्थापित करेगा। Neservice.exe में खतरे वाले अभिनेता के बदलाव ने उन्हें ऐप लोड होने पर किए गए डिजिटल सर्टिफिकेट चेक को बायपास करने की अनुमति दी।

इस बीच, संशोधित netExpender.exe एप्लिकेशन उपयोगकर्ता के VPN कॉन्फ़िगरेशन के बारे में विवरण एकत्र करेगा, जिसमें उनके उपयोगकर्ता नाम, पासवर्ड, डोमेन और अन्य जानकारी शामिल हैं। उपयोगकर्ता द्वारा क्लिक करने के बाद इन्हें रिमोट सर्वर पर भेजा जाएगा जोड़ना बटन।

Sonicwall ने अपने मैलवेयर डिटेक्शन टूल को अपडेट किया है और इसे GAV: FAKE-NETEXTEXTENDENDER (TROJAN) के रूप में पहचानने के बाद दुर्भावनापूर्ण सॉफ़्टवेयर को स्वचालित रूप से अवरुद्ध कर देगा। Microsoft का विंडोज डिफेंडर सॉफ्टवेयर ऐप के ट्रोजन किए गए संस्करण का भी पता लगाएगा, जिसे “Silentroute” ट्रोजन (“Trojanspy: Win32/Silentroute.a”) के रूप में वर्गीकृत किया गया है।

इंस्टॉलर पर हस्ताक्षर करने के लिए उपयोग किए जाने वाले डिजिटल प्रमाणपत्र को भी रद्द कर दिया गया है, और कंपनियों ने उन वेबसाइटों को नीचे ले जाने का काम किया, जिनका उपयोग Netextended VPN एप्लिकेशन को लागू करने के लिए किया जा रहा था। इस बीच, सोनिकवॉल ने उपयोगकर्ताओं से तीसरे पक्ष के स्रोतों का उपयोग करने के बजाय अपनी वेबसाइट से एप्लिकेशन डाउनलोड करने का आग्रह किया है।