দ্য অ্যাডভেঞ্চারস অফ ইলুসিভ ম্যালওয়্যার, পার্ট II: সিক্রেটিভ ভিবিএ স্ক্রিপ্ট

এই নিবন্ধটি ফাইলহীন ম্যালওয়্যার সিরিজের অংশ। সিরিজের অন্য সব অংশ:

• অধরা মালভারির অ্যাডভেঞ্চারস, প্রথম খণ্ড
• অ্যাডভেঞ্চারস অফ দ্য ইলুসিভ ম্যালওয়্যার, পার্ট II: লুকানো ভিবিএ স্ক্রিপ্ট (আমরা এখানে)

আমি সাইটের একজন ভক্ত হাইব্রিড বিশ্লেষণ (হাইব্রিড বিশ্লেষণ, এর পরে HA)। এটি এক ধরণের ম্যালওয়্যার চিড়িয়াখানা যেখানে আপনি আক্রমণ না করে নিরাপদ দূরত্ব থেকে বন্য "শিকারী"দের নিরাপদে পর্যবেক্ষণ করতে পারেন। HA নিরাপদ পরিবেশে ম্যালওয়্যার চালায়, সিস্টেম কল রেকর্ড করে, তৈরি করা ফাইল এবং ইন্টারনেট ট্রাফিক, এবং এটি বিশ্লেষণ করে প্রতিটি নমুনার জন্য আপনাকে এই সমস্ত ফলাফল দেয়। এইভাবে, আপনাকে বিভ্রান্তিকর কোডটি খুঁজে বের করার চেষ্টা করে আপনার সময় এবং শক্তি নষ্ট করতে হবে না, তবে আপনি অবিলম্বে হ্যাকারদের সমস্ত উদ্দেশ্য বুঝতে পারবেন।

যে HA উদাহরণগুলি আমার দৃষ্টি আকর্ষণ করেছে সেগুলি হয় কোডেড JavaScript বা Visual Basic for Applications (VBA) স্ক্রিপ্টগুলি ব্যবহার করে যা Word বা Excel নথিতে ম্যাক্রো হিসাবে এম্বেড করা এবং ফিশিং ইমেলের সাথে সংযুক্ত৷ খোলা হলে, এই ম্যাক্রোগুলি শিকারের কম্পিউটারে একটি পাওয়ারশেল সেশন শুরু করে। হ্যাকাররা সাধারণত PowerShell-এ একটি Base64 এনকোডেড স্ট্রিম কমান্ড পাঠায়। কিছু নির্দিষ্ট কীওয়ার্ডে সাড়া দেয় এমন ওয়েব ফিল্টার এবং অ্যান্টিভাইরাস সফ্টওয়্যার দ্বারা আক্রমণ সনাক্ত করা কঠিন করার জন্য এটি করা হয়।
সৌভাগ্যবশত, HA স্বয়ংক্রিয়ভাবে Base64 ডিকোড করে এবং এখনই একটি পঠনযোগ্য বিন্যাসে সবকিছু প্রদর্শন করে। মূলত, আপনাকে এই স্ক্রিপ্টগুলি কীভাবে কাজ করে তার উপর ফোকাস করতে হবে না কারণ আপনি HA এর সংশ্লিষ্ট বিভাগে চলমান প্রক্রিয়াগুলির জন্য সম্পূর্ণ কমান্ড আউটপুট দেখতে সক্ষম হবেন। নীচের উদাহরণ দেখুন:

হাইব্রিড বিশ্লেষণ পাওয়ারশেলে পাঠানো Base64 এনকোডেড কমান্ডগুলিকে বাধা দেয়:

...এবং তারপর আপনার জন্য সেগুলি ডিকোড করে৷ #জাদুকরীভাবে

В পূর্ববর্তী পোস্ট একটি PowerShell সেশন চালানোর জন্য আমি আমার নিজস্ব সামান্য অস্পষ্ট জাভাস্ক্রিপ্ট কন্টেইনার তৈরি করেছি। আমার স্ক্রিপ্ট, অনেক PowerShell-ভিত্তিক ম্যালওয়্যারের মতো, তারপরে একটি দূরবর্তী ওয়েবসাইট থেকে নিম্নলিখিত PowerShell স্ক্রিপ্ট ডাউনলোড করে। তারপরে, একটি উদাহরণ হিসাবে, আমি একটি নিরীহ পিএস লোড করেছি যা স্ক্রিনে একটি বার্তা প্রিন্ট করেছে। কিন্তু সময় পরিবর্তন হচ্ছে, এবং এখন আমি দৃশ্যকল্প জটিল করার প্রস্তাব করছি।

পাওয়ারশেল এম্পায়ার এবং রিভার্স শেল

এই অনুশীলনের লক্ষ্যগুলির মধ্যে একটি হল এটি দেখানো যে কিভাবে (তুলনামূলকভাবে) সহজেই একজন হ্যাকার ক্লাসিক পরিধির প্রতিরক্ষা এবং অ্যান্টিভাইরাসগুলিকে বাইপাস করতে পারে। প্রোগ্রামিং দক্ষতা ছাড়া একজন আইটি ব্লগার যদি আমার মত, এটা করতে পারে দুয়েক সন্ধ্যায় নির্ণয়যোগ্য ম্যালওয়্যার তৈরি করুন (সম্পূর্ণভাবে সনাক্ত করা হয়নি, FUD), এই বিষয়ে আগ্রহী একজন তরুণ হ্যাকারের ক্ষমতা কল্পনা করুন!

এবং আপনি যদি একজন আইটি নিরাপত্তা প্রদানকারী হন, কিন্তু আপনার ম্যানেজার এই হুমকির সম্ভাব্য পরিণতি সম্পর্কে সচেতন না হন, তাহলে তাকে এই নিবন্ধটি দেখান।

হ্যাকাররা শিকারের ল্যাপটপ বা সার্ভারে সরাসরি অ্যাক্সেস পাওয়ার স্বপ্ন দেখে। এটি করা খুবই সহজ: একজন হ্যাকারকে যা করতে হবে তা হল CEO-এর ল্যাপটপে কয়েকটি গোপনীয় ফাইল পেতে।

একরকম আমি ইতিমধ্যে আমি লিখেছি পাওয়ারশেল এম্পায়ার পোস্ট-প্রোডাকশন রানটাইম সম্পর্কে। এটা কি মনে রাখা যাক.

এটি মূলত একটি PowerShell-ভিত্তিক পেনিট্রেশন টেস্টিং টুল যা, অন্যান্য অনেক বৈশিষ্ট্যের মধ্যে, আপনাকে সহজেই একটি বিপরীত শেল চালানোর অনুমতি দেয়। আপনি আরো বিস্তারিতভাবে এটি অধ্যয়ন করতে পারেন PSE হোম সাইট.

একটু এক্সপেরিমেন্ট করা যাক। আমি Amazon Web Services ক্লাউডে একটি নিরাপদ ম্যালওয়্যার পরীক্ষার পরিবেশ সেট আপ করেছি৷ আপনি দ্রুত এবং নিরাপদে এই দুর্বলতার একটি কার্যকরী উদাহরণ দেখানোর জন্য আমার উদাহরণ অনুসরণ করতে পারেন (এবং এন্টারপ্রাইজ পরিধির ভিতরে ভাইরাস চালানোর জন্য বহিস্কার করা যাবে না)।

আপনি যদি PowerShell এম্পায়ার কনসোল চালু করেন, তাহলে আপনি এরকম কিছু দেখতে পাবেন:

প্রথমে আপনি আপনার হ্যাকার কম্পিউটারে লিসেনার প্রক্রিয়া শুরু করুন। "শ্রোতা" কমান্ডটি লিখুন এবং "সেট হোস্ট" ব্যবহার করে আপনার সিস্টেমের আইপি ঠিকানা উল্লেখ করুন। তারপর "চালনা" কমান্ড দিয়ে শ্রোতা প্রক্রিয়া শুরু করুন (নীচে)। সুতরাং, আপনার পক্ষ থেকে, আপনি দূরবর্তী শেল থেকে একটি নেটওয়ার্ক সংযোগের জন্য অপেক্ষা করা শুরু করবেন:

অন্য দিকের জন্য, আপনাকে "লঞ্চার" কমান্ড প্রবেশ করে একটি এজেন্ট কোড তৈরি করতে হবে (নীচে দেখুন)। এটি রিমোট এজেন্টের জন্য পাওয়ারশেল কোড তৈরি করবে। মনে রাখবেন যে এটি বেস 64 এ এনকোড করা হয়েছে এবং পেলোডের দ্বিতীয় পর্যায়ের প্রতিনিধিত্ব করে। অন্য কথায়, আমার জাভাস্ক্রিপ্ট কোড এখন এই এজেন্টটিকে পাওয়ারশেল চালানোর জন্য স্ক্রীনে নির্দোষভাবে টেক্সট প্রিন্ট করার পরিবর্তে টানবে এবং একটি বিপরীত শেল চালানোর জন্য আমাদের দূরবর্তী PSE সার্ভারের সাথে সংযোগ করবে।

বিপরীত শেলের যাদু। এই কোডেড PowerShell কমান্ডটি আমার শ্রোতার সাথে সংযোগ করবে এবং একটি দূরবর্তী শেল চালু করবে।

আপনাকে এই পরীক্ষাটি দেখানোর জন্য, আমি নির্দোষ শিকারের ভূমিকা নিয়েছি এবং Evil.doc খুলেছি, যার ফলে আমাদের জাভাস্ক্রিপ্ট চালু হয়েছে। প্রথম অংশ মনে আছে? PowerShell এর উইন্ডোটি পপ আপ থেকে রোধ করার জন্য কনফিগার করা হয়েছে, তাই শিকার অস্বাভাবিক কিছু লক্ষ্য করবে না। যাইহোক, আপনি যদি উইন্ডোজ টাস্ক ম্যানেজার খোলেন, তাহলে আপনি একটি পটভূমিতে পাওয়ারশেল প্রক্রিয়া দেখতে পাবেন যা যাইহোক বেশিরভাগ লোকের জন্য কোনো বিপদের কারণ হবে না। কারণ এটা শুধু নিয়মিত PowerShell, তাই না?

এখন আপনি যখন Evil.doc চালাবেন, তখন একটি লুকানো ব্যাকগ্রাউন্ড প্রক্রিয়া PowerShell Empire চালিত সার্ভারের সাথে সংযুক্ত হবে। আমার সাদা পেন্টেস্টার হ্যাকার টুপি পরে, আমি পাওয়ারশেল এম্পায়ার কনসোলে ফিরে আসি এবং এখন একটি বার্তা দেখতে পেলাম যে আমার রিমোট এজেন্ট সক্রিয়।

আমি তখন পিএসইতে একটি শেল খুলতে "ইন্টার্যাক্ট" কমান্ডটি প্রবেশ করি - এবং আমি সেখানে ছিলাম! সংক্ষেপে, আমি টাকো সার্ভারটি হ্যাক করেছি যা আমি নিজেই একবার সেট আপ করেছি।

আমি এইমাত্র যা দেখিয়েছি তার জন্য আপনার পক্ষ থেকে এত কাজ করার প্রয়োজন নেই। আপনার তথ্য সুরক্ষা জ্ঞান উন্নত করার জন্য আপনি এক বা দুই ঘন্টার জন্য আপনার মধ্যাহ্নভোজের বিরতির সময় সহজেই এই সব করতে পারেন। হ্যাকাররা কীভাবে আপনার বাহ্যিক নিরাপত্তা পরিধিকে বাইপাস করে আপনার সিস্টেমের ভিতরে প্রবেশ করছে তা বোঝারও এটি একটি দুর্দান্ত উপায়।

আইটি ম্যানেজার যারা মনে করেন যে তারা যে কোনও অনুপ্রবেশের বিরুদ্ধে একটি দুর্ভেদ্য প্রতিরক্ষা তৈরি করেছেন তারা সম্ভবত এটিকে শিক্ষামূলক বলে মনে করবেন - অর্থাৎ, যদি আপনি তাদের যথেষ্ট সময় ধরে আপনার সাথে বসতে রাজি করাতে পারেন।

বাস্তবে ফিরে আসা যাক

আমি যেমন আশা করেছিলাম, একটি আসল হ্যাক, গড় ব্যবহারকারীর কাছে অদৃশ্য, আমি যা বর্ণনা করেছি তার একটি বৈচিত্র। পরবর্তী প্রকাশনার জন্য উপাদান সংগ্রহ করতে, আমি HA-তে একটি নমুনা খুঁজতে শুরু করি যা আমার উদ্ভাবিত উদাহরণের মতোই কাজ করে। এবং আমাকে এটি দীর্ঘ সময়ের জন্য সন্ধান করতে হয়নি - সাইটে একই ধরণের আক্রমণ কৌশলের জন্য অনেকগুলি বিকল্প রয়েছে।

আমি অবশেষে HA তে যে ম্যালওয়্যারটি পেয়েছি সেটি একটি VBA স্ক্রিপ্ট যা একটি Word নথিতে এমবেড করা ছিল। অর্থাৎ, আমার ডক এক্সটেনশনটি জাল করার দরকার নেই, এই ম্যালওয়্যারটি সত্যিই একটি সাধারণ চেহারার মাইক্রোসফ্ট ওয়ার্ড নথি। আপনি আগ্রহী হলে, আমি এই নমুনা নামক চয়ন rfq.doc.

আমি দ্রুত শিখেছি যে আপনি প্রায়শই দূষিত VBA স্ক্রিপ্টগুলি সরাসরি একটি নথি থেকে বের করতে পারবেন না। হ্যাকাররা সেগুলিকে সংকুচিত করে এবং লুকিয়ে রাখে যাতে সেগুলি Word এর অন্তর্নির্মিত ম্যাক্রো টুলগুলিতে দৃশ্যমান না হয়৷ এটি অপসারণ করতে আপনার একটি বিশেষ সরঞ্জামের প্রয়োজন হবে। ভাগ্যক্রমে আমি একটি স্ক্যানার জুড়ে এসেছি অফিসমালস্ক্যানার ফ্রাঙ্ক বাল্ডউইন। আপনাকে ধন্যবাদ, ফ্রাঙ্ক.

এই টুল ব্যবহার করে, আমি অত্যন্ত অস্পষ্ট VBA কোড বের করতে সক্ষম হয়েছি। এটি এই মত কিছু দেখাচ্ছিল:

অস্পষ্টতা তাদের ক্ষেত্রে পেশাদারদের দ্বারা সম্পন্ন করা হয়েছে. আমি মুগ্ধ!

আক্রমণকারীরা কোড অস্পষ্ট করতে সত্যিই ভাল, Evil.doc তৈরিতে আমার প্রচেষ্টার মতো নয়। ঠিক আছে, পরের অংশে আমরা আমাদের VBA ডিবাগারগুলি বের করব, এই কোডের একটু গভীরে প্রবেশ করব এবং HA ফলাফলের সাথে আমাদের বিশ্লেষণের তুলনা করব।

উত্স: www.habr.com