RTM সাইবার গ্রুপ রাশিয়ান কোম্পানি থেকে তহবিল চুরি বিশেষ

বেশ কিছু পরিচিত সাইবার গ্রুপ আছে যারা রাশিয়ান কোম্পানি থেকে তহবিল চুরি করতে পারদর্শী। আমরা লক্ষ্যের নেটওয়ার্কে অ্যাক্সেসের অনুমতি দেয় এমন নিরাপত্তা ত্রুটিগুলি ব্যবহার করে আক্রমণ দেখেছি। একবার তারা অ্যাক্সেস পেয়ে গেলে, আক্রমণকারীরা সংস্থার নেটওয়ার্ক কাঠামো অধ্যয়ন করে এবং তহবিল চুরি করার জন্য তাদের নিজস্ব সরঞ্জাম স্থাপন করে। এই প্রবণতার একটি উৎকৃষ্ট উদাহরণ হল হ্যাকার গ্রুপ বুহট্র্যাপ, কোবাল্ট এবং কর্কো।

RTM গোষ্ঠীটি এই প্রতিবেদনে ফোকাস করে এই প্রবণতার অংশ। এটি ডেলফিতে লেখা বিশেষভাবে ডিজাইন করা ম্যালওয়্যার ব্যবহার করে, যা আমরা নিম্নলিখিত বিভাগে আরও বিস্তারিতভাবে দেখব। ESET টেলিমেট্রি সিস্টেমে এই সরঞ্জামগুলির প্রথম চিহ্নগুলি 2015 এর শেষে আবিষ্কৃত হয়েছিল। দলটি প্রয়োজন অনুসারে সংক্রামিত সিস্টেমে বিভিন্ন নতুন মডিউল লোড করে। রাশিয়া এবং কিছু প্রতিবেশী দেশের রিমোট ব্যাঙ্কিং সিস্টেম ব্যবহারকারীদের লক্ষ্য করে হামলা চালানো হয়েছে।

1. উদ্দেশ্য

আরটিএম ক্যাম্পেইনটি কর্পোরেট ব্যবহারকারীদের লক্ষ্য করে - আক্রমণকারীরা একটি আপোষহীন সিস্টেমে সনাক্ত করার চেষ্টা করে এমন প্রক্রিয়াগুলি থেকে এটি স্পষ্ট। দূরবর্তী ব্যাঙ্কিং সিস্টেমের সাথে কাজ করার জন্য অ্যাকাউন্টিং সফ্টওয়্যারগুলিতে ফোকাস করা হয়।

আরটিএম-এর আগ্রহের প্রক্রিয়ার তালিকাটি বুহট্র্যাপ গ্রুপের অনুরূপ তালিকার সাথে সাদৃশ্যপূর্ণ, তবে গ্রুপগুলির বিভিন্ন সংক্রমণ ভেক্টর রয়েছে। যদি বুহট্র্যাপ প্রায়শই জাল পৃষ্ঠাগুলি ব্যবহার করে, তবে আরটিএম ড্রাইভ-বাই ডাউনলোড আক্রমণ (ব্রাউজার বা এর উপাদানগুলিতে আক্রমণ) এবং ইমেলের মাধ্যমে স্প্যামিং ব্যবহার করে। টেলিমেট্রি তথ্য অনুযায়ী, হুমকি রাশিয়া এবং বেশ কয়েকটি কাছাকাছি দেশ (ইউক্রেন, কাজাখস্তান, চেক প্রজাতন্ত্র, জার্মানি) লক্ষ্য করে। যাইহোক, ভর বিতরণ প্রক্রিয়া ব্যবহারের কারণে, লক্ষ্যবস্তু অঞ্চলের বাইরে ম্যালওয়্যার সনাক্তকরণ আশ্চর্যজনক নয়।

ম্যালওয়্যার সনাক্তকরণের মোট সংখ্যা তুলনামূলকভাবে কম। অন্যদিকে, আরটিএম প্রচারণা জটিল প্রোগ্রাম ব্যবহার করে, যা নির্দেশ করে যে আক্রমণগুলি অত্যন্ত লক্ষ্যবস্তু।

আমরা RTM-এর দ্বারা ব্যবহৃত বেশ কিছু ছলচাতুরী নথি আবিষ্কার করেছি, যার মধ্যে বিদ্যমান নেই চুক্তি, চালান বা ট্যাক্স অ্যাকাউন্টিং নথি। আক্রমণের লক্ষ্যবস্তু সফ্টওয়্যারের প্রকারের সাথে মিলিত লোভের প্রকৃতি ইঙ্গিত দেয় যে আক্রমণকারীরা অ্যাকাউন্টিং বিভাগের মাধ্যমে রাশিয়ান কোম্পানিগুলির নেটওয়ার্কে "প্রবেশ" করছে। দলটি একই পরিকল্পনা অনুযায়ী কাজ করেছে বুহট্র্যাপ 2014-2015 সালে

গবেষণা চলাকালীন, আমরা বেশ কয়েকটি C&C সার্ভারের সাথে যোগাযোগ করতে সক্ষম হয়েছি। আমরা নিম্নলিখিত বিভাগে কমান্ডের সম্পূর্ণ তালিকা তালিকাভুক্ত করব, কিন্তু আপাতত আমরা বলতে পারি যে ক্লায়েন্ট কীলগার থেকে সরাসরি আক্রমণকারী সার্ভারে ডেটা স্থানান্তর করে, যেখান থেকে অতিরিক্ত কমান্ড প্রাপ্ত হয়।

যাইহোক, যে দিনগুলি আপনি কেবল একটি কমান্ড এবং নিয়ন্ত্রণ সার্ভারের সাথে সংযোগ করতে এবং আপনার আগ্রহী সমস্ত ডেটা সংগ্রহ করতে পারেন তা চলে গেছে। সার্ভার থেকে কিছু প্রাসঙ্গিক কমান্ড পেতে আমরা বাস্তবসম্মত লগ ফাইলগুলি পুনরায় তৈরি করেছি।

তাদের মধ্যে প্রথমটি হল 1c_to_kl.txt ফাইলটি স্থানান্তর করার জন্য বটকে একটি অনুরোধ - 1C: এন্টারপ্রাইজ 8 প্রোগ্রামের একটি পরিবহন ফাইল, যার উপস্থিতি RTM দ্বারা সক্রিয়ভাবে পর্যবেক্ষণ করা হয়। 1C একটি পাঠ্য ফাইলে বহির্গামী অর্থপ্রদানের ডেটা আপলোড করে দূরবর্তী ব্যাঙ্কিং সিস্টেমের সাথে যোগাযোগ করে। এর পরে, ফাইলটি অটোমেশন এবং অর্থপ্রদানের আদেশ কার্যকর করার জন্য রিমোট ব্যাঙ্কিং সিস্টেমে পাঠানো হয়।

ফাইলটিতে অর্থপ্রদানের বিবরণ রয়েছে। আক্রমণকারীরা বহির্গামী অর্থপ্রদানের তথ্য পরিবর্তন করলে, আক্রমণকারীদের অ্যাকাউন্টে মিথ্যা বিবরণ ব্যবহার করে স্থানান্তর পাঠানো হবে।

কমান্ড এবং কন্ট্রোল সার্ভার থেকে এই ফাইলগুলির জন্য অনুরোধ করার প্রায় এক মাস পরে, আমরা একটি নতুন প্লাগইন, 1c_2_kl.dll, আপস করা সিস্টেমে লোড হতে দেখেছি। মডিউলটি (DLL) অ্যাকাউন্টিং সফ্টওয়্যার প্রক্রিয়াগুলি ভেদ করে ডাউনলোড ফাইলটিকে স্বয়ংক্রিয়ভাবে বিশ্লেষণ করার জন্য ডিজাইন করা হয়েছে। আমরা নিম্নলিখিত বিভাগে এটি বিস্তারিতভাবে বর্ণনা করব।

মজার বিষয় হল, 2016 সালের শেষের দিকে ব্যাংক অফ রাশিয়ার FinCERT 1c_to_kl.txt আপলোড ফাইল ব্যবহার করে সাইবার অপরাধীদের সম্পর্কে একটি বুলেটিন সতর্কতা জারি করেছে। 1C-এর বিকাশকারীরাও এই স্কিম সম্পর্কে জানেন; তারা ইতিমধ্যে একটি অফিসিয়াল বিবৃতি দিয়েছে এবং সতর্কতা তালিকাভুক্ত করেছে।

অন্যান্য মডিউলগুলিও কমান্ড সার্ভার থেকে লোড করা হয়েছিল, বিশেষ করে VNC (এর 32 এবং 64-বিট সংস্করণ)। এটি VNC মডিউলের সাথে সাদৃশ্যপূর্ণ যা পূর্বে Dridex Trojan আক্রমণে ব্যবহৃত হয়েছিল। এই মডিউলটি একটি সংক্রামিত কম্পিউটারের সাথে দূরবর্তীভাবে সংযোগ করতে এবং সিস্টেমের বিশদ অধ্যয়ন পরিচালনা করতে ব্যবহৃত হয়। এরপরে, আক্রমণকারীরা নেটওয়ার্কের চারপাশে ঘোরাঘুরি করার চেষ্টা করে, ব্যবহারকারীর পাসওয়ার্ড বের করে, তথ্য সংগ্রহ করে এবং ম্যালওয়ারের অবিরাম উপস্থিতি নিশ্চিত করে।

2. সংক্রমণের ভেক্টর

নিম্নলিখিত চিত্রটি প্রচারের অধ্যয়নের সময়কালে সনাক্ত করা সংক্রমণ ভেক্টরগুলি দেখায়। গ্রুপটি বিস্তৃত পরিসরের ভেক্টর ব্যবহার করে, তবে প্রধানত ড্রাইভ-বাই ডাউনলোড আক্রমণ এবং স্প্যাম। এই সরঞ্জামগুলি লক্ষ্যবস্তু আক্রমণের জন্য সুবিধাজনক, যেহেতু প্রথম ক্ষেত্রে, আক্রমণকারীরা সম্ভাব্য শিকারদের দ্বারা পরিদর্শন করা সাইটগুলি নির্বাচন করতে পারে এবং দ্বিতীয়টিতে, তারা সরাসরি কাঙ্ক্ষিত কোম্পানির কর্মীদের কাছে সংযুক্তি সহ ইমেল পাঠাতে পারে।

ম্যালওয়্যারটি RIG এবং Sundown শোষণ কিট বা স্প্যাম মেলিং সহ একাধিক চ্যানেলের মাধ্যমে বিতরণ করা হয়, যা আক্রমণকারী এবং অন্যান্য সাইবার আক্রমণকারীদের এই পরিষেবাগুলি অফার করার মধ্যে সংযোগ নির্দেশ করে৷

2.1। আরটিএম এবং বুহট্র্যাপ কীভাবে সম্পর্কিত?

আরটিএম ক্যাম্পেইনটি বুহট্র্যাপের মতোই। স্বাভাবিক প্রশ্ন হল: তারা কিভাবে একে অপরের সাথে সম্পর্কিত?

সেপ্টেম্বর 2016-এ, আমরা বুহট্র্যাপ আপলোডার ব্যবহার করে একটি RTM নমুনা বিতরণ করা পর্যবেক্ষণ করেছি। উপরন্তু, আমরা বুহট্র্যাপ এবং আরটিএম উভয় ক্ষেত্রেই ব্যবহৃত দুটি ডিজিটাল শংসাপত্র পেয়েছি।

প্রথমটি, কথিতভাবে DNISTER-M কোম্পানিতে ইস্যু করা হয়েছে, দ্বিতীয় ডেলফি ফর্ম (SHA-1: 025C718BA31E43DB1B87DC13F94A61A9338C11CE) এবং বুহট্র্যাপ ডিএলএল (SHA-1: 1E2642B454B2CD889BD6DF41116DL 83)।

বিট-ট্রেডজে জারি করা দ্বিতীয়টি বুহট্র্যাপ লোডারগুলিতে সাইন করতে ব্যবহৃত হয়েছিল (SHA-1: 7C1B6B1713BD923FC243DFEC80002FE9B93EB292 এবং B74F71560F48488E2153AE2FEB51207D0AE206FEB2EXNUMXEXNUMXEXNUMX

আরটিএম অপারেটররা শংসাপত্র ব্যবহার করে যা অন্যান্য ম্যালওয়্যার পরিবারের জন্য সাধারণ, তবে তাদের একটি অনন্য শংসাপত্রও রয়েছে৷ ESET টেলিমেট্রি অনুসারে, এটি কিট-এসডি-তে জারি করা হয়েছিল এবং শুধুমাত্র কিছু RTM ম্যালওয়্যার (SHA-1: 42A4B04446A20993DDAE98B2BE6D5A797376D4B6) স্বাক্ষর করতে ব্যবহৃত হয়েছিল।

আরটিএম বুহট্র্যাপের মতো একই লোডার ব্যবহার করে, আরটিএম উপাদানগুলি বুহট্র্যাপ অবকাঠামো থেকে লোড করা হয়, তাই গ্রুপগুলির একই নেটওয়ার্ক সূচক রয়েছে। যাইহোক, আমাদের অনুমান অনুযায়ী, RTM এবং Buhtrap আলাদা গ্রুপ, অন্তত কারণ RTM বিভিন্ন উপায়ে বিতরণ করা হয় (কেবল "বিদেশী" ডাউনলোডার ব্যবহার করে নয়)।

এই সত্ত্বেও, হ্যাকার গ্রুপ একই অপারেটিং নীতি ব্যবহার করে। তারা অ্যাকাউন্টিং সফ্টওয়্যার ব্যবহার করে ব্যবসাগুলিকে টার্গেট করে, একইভাবে সিস্টেমের তথ্য সংগ্রহ করে, স্মার্ট কার্ড রিডারগুলির জন্য অনুসন্ধান করে এবং ক্ষতিগ্রস্থদের উপর গুপ্তচরবৃত্তি করার জন্য দূষিত সরঞ্জামগুলির একটি বিন্যাস স্থাপন করে।

3. বিবর্তন

এই বিভাগে, আমরা গবেষণার সময় পাওয়া ম্যালওয়্যারের বিভিন্ন সংস্করণ দেখব।

3.1। সংস্করণ করা

আরটিএম একটি রেজিস্ট্রি বিভাগে কনফিগারেশন ডেটা সঞ্চয় করে, সবচেয়ে আকর্ষণীয় অংশ হচ্ছে বটনেট-প্রিফিক্স। আমরা যে নমুনাগুলি অধ্যয়ন করেছি তাতে আমরা যে সমস্ত মান দেখেছি তার একটি তালিকা নীচের টেবিলে উপস্থাপন করা হয়েছে।

এটা সম্ভব যে মানগুলি ম্যালওয়্যার সংস্করণ রেকর্ড করতে ব্যবহার করা যেতে পারে। যাইহোক, আমরা bit2 এবং bit3, 0.1.6.4 এবং 0.1.6.6 এর মতো সংস্করণগুলির মধ্যে খুব বেশি পার্থক্য লক্ষ্য করিনি। তদুপরি, একটি উপসর্গ শুরু থেকেই রয়েছে এবং এটি একটি সাধারণ C&C ডোমেইন থেকে .bit ডোমেনে বিবর্তিত হয়েছে, যেমনটি নীচে দেখানো হবে।

3.2। সময়সূচী

টেলিমেট্রি ডেটা ব্যবহার করে, আমরা নমুনাগুলির ঘটনার একটি গ্রাফ তৈরি করেছি।

4. প্রযুক্তিগত বিশ্লেষণ

এই বিভাগে, আমরা RTM ব্যাঙ্কিং ট্রোজানের প্রধান ফাংশনগুলি বর্ণনা করব, যার মধ্যে রয়েছে রেজিস্ট্যান্স মেকানিজম, RC4 অ্যালগরিদমের নিজস্ব সংস্করণ, নেটওয়ার্ক প্রোটোকল, গুপ্তচরবৃত্তির কার্যকারিতা এবং কিছু অন্যান্য বৈশিষ্ট্য। বিশেষ করে, আমরা SHA-1 নমুনা AA0FA4584768CE9E16D67D8C529233E99FF1BBF0 এবং 48BC113EC8BA20B8B80CD5D4DA92051A19D1032B এর উপর ফোকাস করব৷

4.1। ইনস্টলেশন এবং সংরক্ষণ

4.1.1। বাস্তবায়ন

RTM কোর হল একটি DLL, লাইব্রেরি .EXE ব্যবহার করে ডিস্কে লোড করা হয়। এক্সিকিউটেবল ফাইলটি সাধারণত প্যাকেজ করা হয় এবং এতে DLL কোড থাকে। একবার চালু হলে, এটি DLL বের করে এবং নিম্নলিখিত কমান্ড ব্যবহার করে এটি চালায়:

rundll32.exe “%PROGRAMDATA%Winlogonwinlogon.lnk”,DllGetClassObject host

4.1.2। ডিএলএল

প্রধান DLL সবসময় %PROGRAMDATA%Winlogon ফোল্ডারে winlogon.lnk হিসাবে ডিস্কে লোড করা হয়। এই ফাইল এক্সটেনশনটি সাধারণত একটি শর্টকাটের সাথে যুক্ত থাকে, কিন্তু ফাইলটি আসলে ডেলফিতে লেখা একটি DLL, ডেভেলপার দ্বারা core.dll নামে, নীচের ছবিতে দেখানো হয়েছে৷

Пример названия DLL F4C746696B0F5BB565D445EC49DD912993DE6361

একবার চালু হলে, ট্রোজানটি একটি স্থায়িত্ব প্রক্রিয়া সক্রিয় করে। আক্রান্ত ব্যক্তির সিস্টেম প্রিভিলেজের উপর নির্ভর করে এটি দুটি ভিন্ন উপায়ে সম্পন্ন করা যেতে পারে। যদি অ্যাডমিনিস্ট্রেটর অধিকার উপস্থিত থাকে, তবে ট্রোজানটি একটি এন্ট্রি যোগ করে। Windows রেজিস্ট্রি এন্ট্রি HKLMSOFTWAREMicrosoft আপডেট করুনWindowsCurrentVersionRun. এতে থাকা কমান্ডসমূহ Windows ব্যবহারকারীর সেশন শুরু হওয়ার সাথে সাথে আপডেটটি কার্যকর করা হবে।

HKLMSOFTWAREMicrosoftWindowsকারেন্ট ভার্সনরুনWindows [REG_SZ] আপডেট করুন
= rundll32.exe “%PROGRAMDATA%winlogon.lnk”,DllGetClassObject host

ট্রোজানটি টাস্ক শিডিউলারে একটি টাস্ক যুক্ত করারও চেষ্টা করে। Windowsটাস্কটি পূর্বের প্যারামিটারগুলো ব্যবহার করে winlogon.lnk DLL-টি চালু করবে। সাধারণ ব্যবহারকারীর অধিকার ট্রোজানটিকে একটি এন্ট্রি যোগ করার সুযোগ দেয়। Windows HKCUSoftwareMicrosoft রেজিস্ট্রিতে একই ডেটা দিয়ে আপডেট করুনWindowsবর্তমান সংস্করণ চালানো:

rundll32.exe “%PROGRAMDATA%winlogon.lnk”,DllGetClassObject host

4.2। পরিবর্তিত RC4 অ্যালগরিদম

এর পরিচিত ত্রুটিগুলি সত্ত্বেও, RC4 অ্যালগরিদম নিয়মিত ম্যালওয়্যার লেখকদের দ্বারা ব্যবহৃত হয়। যাইহোক, আরটিএম-এর নির্মাতারা এটিকে কিছুটা পরিবর্তন করেছেন, সম্ভবত ভাইরাস বিশ্লেষকদের কাজটিকে আরও কঠিন করার জন্য। RC4 এর একটি পরিবর্তিত সংস্করণ স্ট্রিং, নেটওয়ার্ক ডেটা, কনফিগারেশন এবং মডিউল এনক্রিপ্ট করতে ক্ষতিকারক RTM সরঞ্জামগুলিতে ব্যাপকভাবে ব্যবহৃত হয়।

4.2.1। পার্থক্য

মূল RC4 অ্যালগরিদম দুটি পর্যায় অন্তর্ভুক্ত করে: s-ব্লক ইনিশিয়ালাইজেশন (ওরফে KSA - কী-শিডিউলিং অ্যালগরিদম) এবং ছদ্ম-র্যান্ডম সিকোয়েন্স জেনারেশন (PRGA - সিউডো-র্যান্ডম জেনারেশন অ্যালগরিদম)। প্রথম পর্যায়ে কী ব্যবহার করে এস-বক্স শুরু করা জড়িত, এবং দ্বিতীয় পর্যায়ে এনক্রিপশনের জন্য এস-বক্স ব্যবহার করে উত্স পাঠ্য প্রক্রিয়া করা হয়।

আরটিএম লেখকরা এস-বক্স শুরু এবং এনক্রিপশনের মধ্যে একটি মধ্যবর্তী পদক্ষেপ যোগ করেছেন। অতিরিক্ত কী পরিবর্তনশীল এবং এনক্রিপ্ট করা এবং ডিক্রিপ্ট করা ডেটা হিসাবে একই সময়ে সেট করা হয়। এই অতিরিক্ত পদক্ষেপটি সম্পাদন করে এমন ফাংশনটি নীচের চিত্রে দেখানো হয়েছে।

4.2.2। স্ট্রিং এনক্রিপশন

প্রথম নজরে, প্রধান DLL-এ বেশ কয়েকটি পঠনযোগ্য লাইন রয়েছে। বাকিগুলো উপরে বর্ণিত অ্যালগরিদম ব্যবহার করে এনক্রিপ্ট করা হয়েছে, যার গঠন নিচের চিত্রে দেখানো হয়েছে। আমরা বিশ্লেষণকৃত নমুনাগুলিতে স্ট্রিং এনক্রিপশনের জন্য 25টিরও বেশি ভিন্ন RC4 কী পেয়েছি৷ XOR কী প্রতিটি সারির জন্য আলাদা। সাংখ্যিক ক্ষেত্রের বিভাজক লাইনের মান সর্বদা 0xFFFFFFFF হয়।

এক্সিকিউশনের শুরুতে, RTM স্ট্রিংগুলিকে একটি গ্লোবাল ভেরিয়েবলে ডিক্রিপ্ট করে। একটি স্ট্রিং অ্যাক্সেস করার প্রয়োজন হলে, ট্রোজান গতিশীলভাবে ডিক্রিপ্ট করা স্ট্রিংগুলির ঠিকানা বেস ঠিকানা এবং অফসেটের উপর ভিত্তি করে গণনা করে।

স্ট্রিংগুলিতে ম্যালওয়্যারের কার্যাবলী সম্পর্কে আকর্ষণীয় তথ্য রয়েছে৷ কিছু উদাহরণ স্ট্রিং বিভাগ 6.8-এ প্রদান করা হয়েছে।

4.3. নেটওয়ার্ক

RTM ম্যালওয়্যার যেভাবে C&C সার্ভারের সাথে যোগাযোগ করে তা সংস্করণ থেকে সংস্করণে পরিবর্তিত হয়। প্রথম পরিবর্তনগুলি (অক্টোবর 2015 - এপ্রিল 2016) কমান্ডের তালিকা আপডেট করার জন্য livejournal.com-এ একটি RSS ফিডের সাথে ঐতিহ্যগত ডোমেন নাম ব্যবহার করেছে।

এপ্রিল 2016 থেকে, আমরা টেলিমেট্রি ডেটাতে .bit ডোমেনে পরিবর্তন দেখেছি। এটি ডোমেন নিবন্ধনের তারিখ দ্বারা নিশ্চিত করা হয়েছে - প্রথম RTM ডোমেন fde05d0573da.bit 13 মার্চ, 2016 এ নিবন্ধিত হয়েছিল৷

প্রচারাভিযান পর্যবেক্ষণ করার সময় আমরা যে সকল ইউআরএল দেখেছি তার একটি সাধারণ পথ ছিল: /r/z.php। এটি বেশ অস্বাভাবিক এবং এটি নেটওয়ার্ক প্রবাহে RTM অনুরোধগুলি সনাক্ত করতে সাহায্য করবে৷

4.3.1। কমান্ড এবং নিয়ন্ত্রণের জন্য চ্যানেল

উত্তরাধিকার উদাহরণ এই চ্যানেলটি তাদের কমান্ড এবং নিয়ন্ত্রণ সার্ভারের তালিকা আপডেট করতে ব্যবহার করেছে। হোস্টিং livejournal.com-এ অবস্থিত, রিপোর্ট লেখার সময় এটি URL hxxp://f72bba81c921(.)livejournal(.)com/ data/rss-এ ছিল।

লাইভজার্নাল একটি রাশিয়ান-আমেরিকান কোম্পানি যা একটি ব্লগিং প্ল্যাটফর্ম প্রদান করে। আরটিএম অপারেটররা একটি এলজে ব্লগ তৈরি করে যেখানে তারা কোডেড কমান্ড সহ একটি নিবন্ধ পোস্ট করে - স্ক্রিনশট দেখুন।

কমান্ড এবং কন্ট্রোল লাইনগুলি একটি পরিবর্তিত RC4 অ্যালগরিদম (বিভাগ 4.2) ব্যবহার করে এনকোড করা হয়েছে। চ্যানেলের বর্তমান সংস্করণে (নভেম্বর 2016) নিম্নলিখিত কমান্ড এবং নিয়ন্ত্রণ সার্ভার ঠিকানা রয়েছে:

• hxxp://cainmoon(.)net/r/z.php
• hxxp://rtm(.)dev/0-3/z.php
• hxxp://vpntap(.)top/r/z.php

4.3.2। .bit ডোমেইন

সাম্প্রতিক RTM নমুনাগুলিতে, লেখকরা .bit TLD টপ-লেভেল ডোমেন ব্যবহার করে C&C ডোমেনের সাথে সংযুক্ত হন। এটি শীর্ষ-স্তরের ডোমেনের আইসিএএনএন (ডোমেন নাম এবং ইন্টারনেট কর্পোরেশন) তালিকায় নেই। পরিবর্তে, এটি Namecoin সিস্টেম ব্যবহার করে, যা বিটকয়েন প্রযুক্তির উপরে নির্মিত। ম্যালওয়্যার লেখকরা প্রায়শই তাদের ডোমেনের জন্য .bit TLD ব্যবহার করেন না, যদিও এই ধরনের ব্যবহারের উদাহরণ পূর্বে Necurs botnet-এর একটি সংস্করণে দেখা গেছে।

বিটকয়েনের বিপরীতে, বিতরণকৃত Namecoin ডাটাবেসের ব্যবহারকারীদের ডেটা সংরক্ষণ করার ক্ষমতা রয়েছে। এই বৈশিষ্ট্যটির প্রধান অ্যাপ্লিকেশন হল .bit টপ-লেভেল ডোমেইন। আপনি ডোমেইন নিবন্ধন করতে পারেন যা একটি বিতরণ করা ডাটাবেসে সংরক্ষণ করা হবে। ডাটাবেসের সংশ্লিষ্ট এন্ট্রিতে ডোমেন দ্বারা সমাধান করা IP ঠিকানা থাকে। এই TLD "সেন্সরশিপ-প্রতিরোধী" কারণ শুধুমাত্র নিবন্ধক .bit ডোমেনের রেজোলিউশন পরিবর্তন করতে পারে। এর মানে হল যে এই ধরনের TLD ব্যবহার করে ক্ষতিকারক ডোমেন বন্ধ করা অনেক বেশি কঠিন।

RTM ট্রোজান বিতরণকৃত Namecoin ডাটাবেস পড়ার জন্য প্রয়োজনীয় সফ্টওয়্যারটি এম্বেড করে না। এটি .bit ডোমেইনগুলি সমাধান করতে কেন্দ্রীয় DNS সার্ভারগুলি যেমন dns.dot-bit.org বা OpenNic সার্ভারগুলি ব্যবহার করে৷ অতএব, এটির DNS সার্ভারের মতোই স্থায়িত্ব রয়েছে। আমরা লক্ষ্য করেছি যে কিছু টিম ডোমেন ব্লগ পোস্টে উল্লেখ করার পরে আর সনাক্ত করা হয়নি।

হ্যাকারদের জন্য .bit TLD এর আরেকটি সুবিধা হল খরচ। একটি ডোমেন নিবন্ধন করার জন্য, অপারেটরদের শুধুমাত্র 0,01 NK দিতে হবে, যা $0,00185 (ডিসেম্বর 5, 2016 অনুযায়ী)। তুলনা করার জন্য, domain.com-এর খরচ কমপক্ষে $10।

4.3.3। প্রোটোকল

কমান্ড সার্ভারের সাথে যোগাযোগের জন্য, RTM কাস্টম প্রোটোকল ব্যবহার করে ফরম্যাট করা ডেটা সহ HTTP POST অনুরোধ ব্যবহার করে। পাথটি সর্বদা /r/z.php; ইউজার এজেন্ট Mozilla/5.0 (compatible); MSIE 9.0; Windows এনটি ৬.১; ট্রাইডেন্ট/৫.০)। সার্ভারে পাঠানো অনুরোধে, ডেটা নিম্নলিখিতভাবে বিন্যস্ত করা হয়, যেখানে অফসেট মানগুলি বাইটে প্রকাশ করা হয়:

বাইট 0 থেকে 6 এনকোড করা হয় না; 6 থেকে শুরু হওয়া বাইটগুলি একটি পরিবর্তিত RC4 অ্যালগরিদম ব্যবহার করে এনকোড করা হয়। C&C প্রতিক্রিয়া প্যাকেটের গঠন সহজতর। বাইট 4 থেকে প্যাকেট আকারে এনকোড করা হয়।

সম্ভাব্য অ্যাকশন বাইট মানগুলির তালিকা নীচের টেবিলে উপস্থাপন করা হয়েছে:

ম্যালওয়্যার সর্বদা ডিক্রিপ্ট করা ডেটার CRC32 গণনা করে এবং প্যাকেটে উপস্থিত যা আছে তার সাথে তুলনা করে। যদি তাদের পার্থক্য হয়, ট্রোজান প্যাকেটটি ফেলে দেয়।
অতিরিক্ত ডেটাতে একটি PE ফাইল, ফাইল সিস্টেমে অনুসন্ধান করা ফাইল, বা নতুন কমান্ড URL সহ বিভিন্ন অবজেক্ট থাকতে পারে।

4.3.4। প্যানেল

আমরা লক্ষ্য করেছি যে RTM C&C সার্ভারে একটি প্যানেল ব্যবহার করে। নীচের স্ক্রিনশট:

4.4। চারিত্রিক চিহ্ন

আরটিএম একটি সাধারণ ব্যাঙ্কিং ট্রোজান। এতে অবাক হওয়ার কিছু নেই যে অপারেটররা শিকারের সিস্টেম সম্পর্কে তথ্য চায়। একদিকে, বট ওএস সম্পর্কে সাধারণ তথ্য সংগ্রহ করে। অন্যদিকে, এটি খুঁজে বের করে যে আপস করা সিস্টেমে রাশিয়ান রিমোট ব্যাঙ্কিং সিস্টেমের সাথে সম্পর্কিত বৈশিষ্ট্য রয়েছে কিনা।

4.4.1. সাধারণ তথ্য

রিবুট করার পরে যখন ম্যালওয়্যার ইনস্টল বা চালু করা হয়, তখন কমান্ড এবং কন্ট্রোল সার্ভারে একটি রিপোর্ট পাঠানো হয় যার মধ্যে সাধারণ তথ্য রয়েছে:

• সময় অঞ্চল;
• ডিফল্ট সিস্টেম ভাষা;
• অনুমোদিত ব্যবহারকারীর শংসাপত্র;
• প্রক্রিয়া অখণ্ডতা স্তর;
• ব্যবহারকারীর নাম;
• কম্পিউটার নাম;
• ওএস সংস্করণ;
• অতিরিক্ত ইনস্টল করা মডিউল;
• ইনস্টল করা অ্যান্টিভাইরাস প্রোগ্রাম;
• স্মার্ট কার্ড রিডারদের তালিকা।

4.4.2 দূরবর্তী ব্যাঙ্কিং ব্যবস্থা

একটি সাধারণ ট্রোজান লক্ষ্য হল একটি দূরবর্তী ব্যাঙ্কিং সিস্টেম, এবং আরটিএম এর ব্যতিক্রম নয়। প্রোগ্রামটির একটি মডিউলকে বলা হয় TBdo, যা ডিস্ক স্ক্যান করা এবং ব্রাউজিং ইতিহাস সহ বিভিন্ন কাজ করে।

ডিস্ক স্ক্যান করে, ট্রোজান মেশিনে ব্যাঙ্কিং সফ্টওয়্যার ইনস্টল করা আছে কিনা তা পরীক্ষা করে। লক্ষ্য প্রোগ্রামগুলির সম্পূর্ণ তালিকা নীচের টেবিলে রয়েছে। আগ্রহের একটি ফাইল সনাক্ত করার পরে, প্রোগ্রামটি কমান্ড সার্ভারে তথ্য পাঠায়। পরবর্তী ক্রিয়াগুলি কমান্ড সেন্টার (C&C) অ্যালগরিদম দ্বারা নির্দিষ্ট যুক্তির উপর নির্ভর করে।

আরটিএম আপনার ব্রাউজারের ইতিহাস এবং খোলা ট্যাবগুলিতে URL প্যাটার্নও খোঁজে। এছাড়াও, প্রোগ্রামটি FindNextUrlCacheEntryA এবং FindFirstUrlCacheEntryA ফাংশনগুলির ব্যবহার পরীক্ষা করে এবং নিম্নলিখিত প্যাটার্নগুলির মধ্যে একটির সাথে URL-এর সাথে মেলে প্রতিটি এন্ট্রি পরীক্ষা করে:

খোলা ট্যাব সনাক্ত করার পরে, ট্রোজান ডায়নামিক ডেটা এক্সচেঞ্জ (DDE) পদ্ধতির মাধ্যমে ইন্টারনেট এক্সপ্লোরার বা ফায়ারফক্সের সাথে যোগাযোগ করে ট্যাবটি প্যাটার্নের সাথে মেলে কিনা তা পরীক্ষা করে।

আপনার ব্রাউজিং ইতিহাস এবং খোলা ট্যাব চেক করা একটি WHILE লুপে (একটি পূর্ব শর্ত সহ একটি লুপ) চেকগুলির মধ্যে 1 সেকেন্ড বিরতি সহ সঞ্চালিত হয়৷ রিয়েল টাইমে নিরীক্ষণ করা অন্যান্য ডেটা বিভাগ 4.5 এ আলোচনা করা হবে।

যদি একটি প্যাটার্ন পাওয়া যায়, প্রোগ্রামটি নিম্নলিখিত টেবিলের স্ট্রিংগুলির একটি তালিকা ব্যবহার করে কমান্ড সার্ভারে এটি রিপোর্ট করে:

4.5 মনিটরিং

ট্রোজান চলাকালীন, সংক্রামিত সিস্টেমের চারিত্রিক বৈশিষ্ট্য সম্পর্কে তথ্য (ব্যাংকিং সফ্টওয়্যারের উপস্থিতি সম্পর্কে তথ্য সহ) কমান্ড এবং নিয়ন্ত্রণ সার্ভারে পাঠানো হয়। প্রাথমিক ওএস স্ক্যানের পরপরই যখন RTM প্রথমে মনিটরিং সিস্টেম চালায় তখন ফিঙ্গারপ্রিন্টিং ঘটে।

4.5.1। দূরবর্তী ব্যাংকিং

TBdo মডিউল ব্যাঙ্কিং-সম্পর্কিত প্রক্রিয়াগুলি পর্যবেক্ষণের জন্যও দায়ী। এটি প্রাথমিক স্ক্যানের সময় ফায়ারফক্স এবং ইন্টারনেট এক্সপ্লোরার ট্যাবগুলি পরীক্ষা করার জন্য গতিশীল ডেটা বিনিময় ব্যবহার করে। আরেকটি TShell মডিউল কমান্ড উইন্ডোজ (ইন্টারনেট এক্সপ্লোরার বা ফাইল এক্সপ্লোরার) নিরীক্ষণ করতে ব্যবহৃত হয়।

মডিউলটি IShell COM ইন্টারফেস ব্যবহার করে।Windowsউইন্ডো পর্যবেক্ষণের জন্য এটি iWebBrowser, DWebBrowserEvents2, এবং IConnectionPointContainer ব্যবহার করে। যখন ব্যবহারকারী কোনো নতুন ওয়েব পেজে যান, ম্যালওয়্যারটি তা লক্ষ্য করে। এরপর এটি পেজটির URL-কে পূর্বোক্ত প্যাটার্নগুলোর সাথে তুলনা করে। যদি কোনো মিল খুঁজে পায়, ট্রোজানটি ৫-সেকেন্ডের ব্যবধানে পরপর ছয়টি স্ক্রিনশট নেয় এবং সেগুলো C&C সার্ভারে পাঠিয়ে দেয়। প্রোগ্রামটি ব্যাংকিং সফটওয়্যার সম্পর্কিত কিছু নির্দিষ্ট উইন্ডোর নামও পরীক্ষা করে—সম্পূর্ণ তালিকাটি নিচে দেওয়া হলো:

4.5.2। স্মার্ট কার্ড

RTM আপনাকে সংক্রামিত কম্পিউটারের সাথে সংযুক্ত স্মার্ট কার্ড রিডার নিরীক্ষণ করতে দেয়। এই ডিভাইসগুলি কিছু দেশে অর্থপ্রদানের আদেশ পুনর্মিলন করতে ব্যবহৃত হয়। যদি এই ধরনের ডিভাইসটি একটি কম্পিউটারের সাথে সংযুক্ত থাকে তবে এটি একটি ট্রোজানকে নির্দেশ করতে পারে যে মেশিনটি ব্যাঙ্কিং লেনদেনের জন্য ব্যবহার করা হচ্ছে।

অন্যান্য ব্যাঙ্কিং ট্রোজান থেকে ভিন্ন, আরটিএম এই ধরনের স্মার্ট কার্ডের সাথে যোগাযোগ করতে পারে না। সম্ভবত এই কার্যকারিতাটি একটি অতিরিক্ত মডিউলে অন্তর্ভুক্ত করা হয়েছে যা আমরা এখনও দেখিনি।

4.5.3। কীলগার

একটি সংক্রামিত পিসি পর্যবেক্ষণের একটি গুরুত্বপূর্ণ অংশ হল কীস্ট্রোক ক্যাপচার করা। মনে হচ্ছে RTM ডেভেলপাররা কোনো তথ্য মিস করছেন না, কারণ তারা শুধুমাত্র নিয়মিত কীই নয়, ভার্চুয়াল কীবোর্ড এবং ক্লিপবোর্ডও নিরীক্ষণ করে।

এর জন্য Set ফাংশনটি ব্যবহার করা হয়।WindowsHookExA। আক্রমণকারীরা ভার্চুয়াল কীবোর্ডের সাথে সম্পর্কিত কীস্ট্রোক বা কী-গুলো, প্রোগ্রামের নাম এবং তারিখসহ লগ করে। এরপর বাফারটি কমান্ড-অ্যান্ড-কন্ট্রোল সার্ভারে পাঠানো হয়।

SetClipboardViewer ফাংশন ক্লিপবোর্ড আটকাতে ব্যবহৃত হয়। ডেটা টেক্সট হলে হ্যাকাররা ক্লিপবোর্ডের বিষয়বস্তু লগ করে। বাফার সার্ভারে পাঠানোর আগে নাম এবং তারিখও লগ করা হয়।

4.5.4। স্ক্রিনশট

আরটিএম ফাংশন হল স্ক্রিনশট ইন্টারসেপশন। বৈশিষ্ট্যটি প্রয়োগ করা হয় যখন উইন্ডো মনিটরিং মডিউল আগ্রহের একটি সাইট বা ব্যাংকিং সফ্টওয়্যার সনাক্ত করে। স্ক্রিনশটগুলি গ্রাফিক চিত্রগুলির একটি লাইব্রেরি ব্যবহার করে নেওয়া হয় এবং কমান্ড সার্ভারে স্থানান্তরিত হয়।

4.6। আনইনস্টলেশন

C&C সার্ভার ম্যালওয়্যারকে চলা থেকে থামাতে পারে এবং আপনার কম্পিউটার পরিষ্কার করতে পারে। কমান্ডটি আপনাকে আরটিএম চলাকালীন তৈরি করা ফাইল এবং রেজিস্ট্রি এন্ট্রিগুলি সাফ করতে দেয়। DLL তারপর ম্যালওয়্যার এবং winlogon ফাইল অপসারণ করতে ব্যবহৃত হয়, তারপর কমান্ড কম্পিউটার বন্ধ করে দেয়। নীচের ছবিতে দেখানো হয়েছে, erase.dll ব্যবহার করে ডেভেলপারদের দ্বারা DLL সরানো হয়েছে।

সার্ভার ট্রোজানকে একটি ধ্বংসাত্মক আনইনস্টল-লক কমান্ড পাঠাতে পারে। এই ক্ষেত্রে, যদি আপনার প্রশাসকের অধিকার থাকে, তাহলে RTM হার্ড ড্রাইভে MBR বুট সেক্টর মুছে দেবে। যদি এটি ব্যর্থ হয়, ট্রোজান এমবিআর বুট সেক্টরকে একটি র্যান্ডম সেক্টরে স্থানান্তর করার চেষ্টা করবে - তারপর কম্পিউটার শাটডাউনের পরে OS বুট করতে সক্ষম হবে না। এটি OS এর সম্পূর্ণ পুনঃস্থাপনের দিকে নিয়ে যেতে পারে, যার অর্থ প্রমাণের ধ্বংস।

প্রশাসকের সুযোগ-সুবিধা ছাড়াই, ম্যালওয়্যার অন্তর্নিহিত RTM DLL-এ এনকোড করা একটি .EXE লিখে। এক্সিকিউটেবল কম্পিউটারটি বন্ধ করার জন্য প্রয়োজনীয় কোডটি কার্যকর করে এবং HKCUCurrentVersionRun রেজিস্ট্রি কী-তে মডিউলটি নিবন্ধন করে। প্রতিবার ব্যবহারকারী যখন একটি সেশন শুরু করেন, কম্পিউটার অবিলম্বে বন্ধ হয়ে যায়।

4.7। কনফিগারেশন ফাইল

ডিফল্টরূপে, আরটিএম-এর প্রায় কোনও কনফিগারেশন ফাইল নেই, তবে কমান্ড এবং নিয়ন্ত্রণ সার্ভার কনফিগারেশন মান পাঠাতে পারে যা রেজিস্ট্রিতে সংরক্ষণ করা হবে এবং প্রোগ্রাম দ্বারা ব্যবহৃত হবে। কনফিগারেশন কীগুলির তালিকা নীচের টেবিলে উপস্থাপন করা হয়েছে:

কনফিগারেশনটি সফ্টওয়্যার [ছদ্ম-র্যান্ডম স্ট্রিং] রেজিস্ট্রি কীতে সংরক্ষণ করা হয়। প্রতিটি মান পূর্ববর্তী টেবিলে উপস্থাপিত সারিগুলির একটির সাথে মিলে যায়। RTM-এ RC4 অ্যালগরিদম ব্যবহার করে মান এবং ডেটা এনকোড করা হয়।

ডেটা একটি নেটওয়ার্ক বা স্ট্রিং হিসাবে একই গঠন আছে. এনকোড করা ডেটার শুরুতে একটি চার-বাইট XOR কী যোগ করা হয়। কনফিগারেশন মানগুলির জন্য, XOR কী আলাদা এবং মানের আকারের উপর নির্ভর করে। এটি নিম্নরূপ গণনা করা যেতে পারে:

xor_key = (len(config_value) << 24) | (len(config_value) << 16)
| len(config_value)| (len(config_value) << 8)

4.8. অন্যান্য ফাংশন

এর পরে, আরটিএম সমর্থন করে এমন অন্যান্য ফাংশন দেখি।

4.8.1। অতিরিক্ত মডিউল

ট্রোজান অতিরিক্ত মডিউল অন্তর্ভুক্ত করে, যা DLL ফাইল। C&C কমান্ড সার্ভার থেকে প্রেরিত মডিউলগুলি বহিরাগত প্রোগ্রাম হিসাবে কার্যকর করা যেতে পারে, RAM-তে প্রতিফলিত হয় এবং নতুন থ্রেডে চালু হয়। স্টোরেজের জন্য, মডিউলগুলি .dtt ফাইলগুলিতে সংরক্ষিত হয় এবং নেটওয়ার্ক যোগাযোগের জন্য ব্যবহৃত একই কী সহ RC4 অ্যালগরিদম ব্যবহার করে এনকোড করা হয়।

এ পর্যন্ত আমরা VNC মডিউল (8966319882494077C21F66A8354E2CBCA0370464), ব্রাউজার ডেটা এক্সট্র্যাকশন মডিউল (03DE8622BE6B2F75A364A275995C3411626C4C9module) এর ইনস্টলেশন পর্যবেক্ষণ করেছি 1E2F1EFC562FBA1 B69BE6D58B88753E7CFAB)।

VNC মডিউল লোড করার জন্য, কমান্ড সার্ভার একটি নির্দিষ্ট স্থানে VNC সার্ভারে সংযোগের অনুরোধ করে একটি কমান্ড পাঠায় আইপি ঠিকানা ৪৪৪৪৩ পোর্টে। ব্রাউজার ডেটা এক্সট্রাকশন প্লাগইনটি TBrowserDataCollector চালায়, যা ইন্টারনেট এক্সপ্লোরার ব্রাউজিং ইতিহাস পড়তে পারে। এরপর এটি কমান্ড এবং কন্ট্রোল সার্ভারে পরিদর্শন করা URL গুলির একটি সম্পূর্ণ তালিকা পাঠায়।

সর্বশেষ শনাক্ত হওয়া মডিউলটির নাম 1c_2_kl। এটি 1C এন্টারপ্রাইজ সফটওয়্যার প্যাকেজের সাথে ইন্টারঅ্যাক্ট করতে পারে। মডিউলটি দুটি অংশ নিয়ে গঠিত: মূল অংশ – একটি DLL – এবং দুটি এজেন্ট (৩২-বিট ও ৬৪-বিট) যা প্রতিটি প্রসেসে ইনজেক্ট করা হবে এবং WH_CBT-এর সাথে একটি বাইন্ডিং রেজিস্টার করবে। 1C প্রসেসে ইনজেক্ট হওয়ার পর, মডিউলটি CreateFile এবং WriteFile ফাংশন দুটিকে বাইন্ড করে। যখনই বাইন্ড করা CreateFile ফাংশনটি কল করা হয়, মডিউলটি মেমরিতে 1c_to_kl.txt ফাইলের পাথটি সংরক্ষণ করে। WriteFile কলটি ইন্টারসেপ্ট করার পর, এটি WriteFile ফাংশনটিকে কল করে এবং তৈরি করা হয়েছে (created) মেসেজটি পাস করে 1c_to_kl.txt ফাইলের পাথটি মূল DLL মডিউলে পাঠিয়ে দেয়। Windows WM_COPYDATA.

প্রধান DLL মডিউল পেমেন্ট অর্ডার নির্ধারণ করতে ফাইলটি খোলে এবং পার্স করে। এটি ফাইলে থাকা পরিমাণ এবং লেনদেন নম্বর সনাক্ত করে। এই তথ্য কমান্ড সার্ভারে পাঠানো হয়. আমরা বিশ্বাস করি যে এই মডিউলটি বর্তমানে বিকাশের অধীনে রয়েছে কারণ এতে একটি ডিবাগ বার্তা রয়েছে এবং স্বয়ংক্রিয়ভাবে 1c_to_kl.txt সংশোধন করতে পারে না৷

4.8.2। বিশেষাধিকার বৃদ্ধি

RTM মিথ্যা ত্রুটি বার্তা প্রদর্শন করে বিশেষাধিকার বৃদ্ধি করার চেষ্টা করতে পারে। ম্যালওয়্যারটি একটি রেজিস্ট্রি চেক অনুকরণ করে (নীচের ছবিটি দেখুন) বা একটি বাস্তব রেজিস্ট্রি সম্পাদক আইকন ব্যবহার করে৷ অনুগ্রহ করে মনে রাখবেন ভুল বানান অপেক্ষা করুন – কি। স্ক্যান করার কয়েক সেকেন্ড পরে, প্রোগ্রামটি একটি মিথ্যা ত্রুটি বার্তা প্রদর্শন করে।

ব্যাকরণগত ত্রুটি থাকা সত্ত্বেও একটি মিথ্যা বার্তা সহজেই গড় ব্যবহারকারীকে প্রতারিত করবে। ব্যবহারকারী দুটি লিঙ্কের একটিতে ক্লিক করলে, আরটিএম সিস্টেমে তার সুযোগ-সুবিধা বাড়ানোর চেষ্টা করবে।

দুটি রিকভারি অপশনের মধ্যে একটি নির্বাচন করার পর, ট্রোজানটি অ্যাডমিনিস্ট্রেটর প্রিভিলেজ সহ ShellExecute ফাংশনে runas অপশন ব্যবহার করে DLL-টি রান করে। ব্যবহারকারী প্রকৃত প্রম্পটটি দেখতে পাবেন। Windows প্রিভিলেজ এসকেলেশন সম্পর্কে (নিচের ছবিটি দেখুন)। যদি ব্যবহারকারী প্রয়োজনীয় অনুমতি প্রদান করেন, তাহলে ট্রোজানটি অ্যাডমিনিস্ট্রেটর প্রিভিলেজ নিয়ে চলবে।

সিস্টেমে ইনস্টল করা ডিফল্ট ভাষার উপর নির্ভর করে, ট্রোজান রাশিয়ান বা ইংরেজিতে ত্রুটি বার্তা প্রদর্শন করে।

4.8.3। সনদপত্র

RTM সার্টিফিকেট যোগ করতে পারে Windows csrss.exe ডায়ালগ বক্সে স্বয়ংক্রিয়ভাবে "হ্যাঁ" ক্লিক করার মাধ্যমে সংযোজনটির বিশ্বাসযোগ্যতা সংরক্ষণ ও নিশ্চিত করা হয়। এই আচরণটি নতুন নয়; উদাহরণস্বরূপ, Retefe ব্যাংকিং ট্রোজানও একটি নতুন সার্টিফিকেট ইনস্টলেশন স্বয়ংক্রিয়ভাবে নিশ্চিত করে।

4.8.4। বিপরীত সংযোগ

আরটিএম লেখকরা ব্যাককানেক্ট টিসিপি টানেলও তৈরি করেছেন। আমরা এখনও ব্যবহারে বৈশিষ্ট্যটি দেখিনি, তবে এটি সংক্রামিত পিসিগুলিকে দূরবর্তীভাবে নিরীক্ষণ করার জন্য ডিজাইন করা হয়েছে।

4.8.5। হোস্ট ফাইল ব্যবস্থাপনা

C&C সার্ভার হোস্ট ফাইলটি পরিবর্তন করার জন্য ট্রোজানকে একটি কমান্ড পাঠাতে পারে। Windowsকাস্টম ডিএনএস রেজোলিউশন তৈরি করতে হোস্ট ফাইল ব্যবহার করা হয়।

4.8.6। একটি ফাইল খুঁজুন এবং পাঠান

সার্ভার সংক্রমিত সিস্টেমে একটি ফাইল অনুসন্ধান এবং ডাউনলোড করার অনুরোধ করতে পারে। উদাহরণস্বরূপ, গবেষণা চলাকালীন আমরা 1c_to_kl.txt ফাইলের জন্য একটি অনুরোধ পেয়েছি৷ পূর্বে বর্ণিত হিসাবে, এই ফাইলটি 1C: এন্টারপ্রাইজ 8 অ্যাকাউন্টিং সিস্টেম দ্বারা তৈরি করা হয়েছে।

4.8.7. আপডেট করুন

অবশেষে, RTM লেখক বর্তমান সংস্করণ প্রতিস্থাপন করতে একটি নতুন DLL জমা দিয়ে সফ্টওয়্যার আপডেট করতে পারেন।

5। উপসংহার

RTM এর গবেষণা দেখায় যে রাশিয়ান ব্যাংকিং সিস্টেম এখনও সাইবার আক্রমণকারীদের আকর্ষণ করে। বুহট্র্যাপ, কর্কো এবং কার্বানাকের মতো গ্রুপগুলি রাশিয়ায় আর্থিক প্রতিষ্ঠান এবং তাদের গ্রাহকদের কাছ থেকে সফলভাবে অর্থ চুরি করে। আরটিএম এই শিল্পে একটি নতুন খেলোয়াড়।

ESET টেলিমেট্রি অনুসারে, ক্ষতিকারক RTM সরঞ্জামগুলি কমপক্ষে 2015 সালের শেষের দিক থেকে ব্যবহার করা হচ্ছে৷ প্রোগ্রামটিতে স্মার্ট কার্ড পড়া, কীস্ট্রোক আটকানো এবং ব্যাঙ্কিং লেনদেন নিরীক্ষণের পাশাপাশি 1C: এন্টারপ্রাইজ 8 ট্রান্সপোর্ট ফাইলগুলি অনুসন্ধান করা সহ গোয়েন্দাগিরির ক্ষমতার সম্পূর্ণ পরিসর রয়েছে।

একটি বিকেন্দ্রীকৃত, সেন্সরবিহীন .bit শীর্ষ-স্তরের ডোমেনের ব্যবহার অত্যন্ত স্থিতিস্থাপক অবকাঠামো নিশ্চিত করে।

উত্স: www.habr.com