আক্রমণকারীরা রাশিয়ান ব্যবসায় আক্রমণ করতে জটিল ম্যালওয়্যার ব্যবহার করে

গত বছরের শেষ থেকে, আমরা একটি ব্যাঙ্কিং ট্রোজান বিতরণ করার জন্য একটি নতুন দূষিত প্রচারাভিযান ট্র্যাক করা শুরু করেছি৷ আক্রমণকারীরা রাশিয়ান কোম্পানি, অর্থাৎ কর্পোরেট ব্যবহারকারীদের সাথে আপস করার দিকে মনোনিবেশ করেছিল। দূষিত প্রচারাভিযানটি কমপক্ষে এক বছর ধরে সক্রিয় ছিল এবং, ব্যাঙ্কিং ট্রোজান ছাড়াও, আক্রমণকারীরা অন্যান্য বিভিন্ন সফ্টওয়্যার সরঞ্জাম ব্যবহার করে। এই ব্যবহার করে প্যাকেজ করা একটি বিশেষ লোডার অন্তর্ভুক্ত এনএসআইএস, এবং স্পাইওয়্যার, যা সুপরিচিত বৈধ ইয়ানডেক্স পুন্টো সফ্টওয়্যার হিসাবে ছদ্মবেশী। একবার আক্রমণকারীরা শিকারের কম্পিউটারের সাথে আপস করতে সক্ষম হলে, তারা একটি ব্যাকডোর এবং তারপরে একটি ব্যাঙ্কিং ট্রোজান ইনস্টল করে।

তাদের ম্যালওয়্যারের জন্য, আক্রমণকারীরা AV পণ্যগুলিকে বাইপাস করার জন্য বেশ কিছু বৈধ (সেই সময়ে) ডিজিটাল সার্টিফিকেট এবং বিশেষ পদ্ধতি ব্যবহার করেছিল। বিদ্বেষপূর্ণ প্রচারাভিযানটি বিপুল সংখ্যক রাশিয়ান ব্যাঙ্ককে লক্ষ্য করে এবং বিশেষ আগ্রহের কারণ আক্রমণকারীরা এমন পদ্ধতিগুলি ব্যবহার করেছিল যা প্রায়শই লক্ষ্যবস্তু আক্রমণে ব্যবহৃত হয়, যেমন আক্রমণগুলি যেগুলি সম্পূর্ণরূপে আর্থিক জালিয়াতি দ্বারা অনুপ্রাণিত নয়৷ আমরা এই বিদ্বেষপূর্ণ প্রচারণা এবং একটি বড় ঘটনার মধ্যে কিছু মিল লক্ষ্য করতে পারি যা আগে ব্যাপক প্রচার পেয়েছিল। আমরা একটি সাইবার অপরাধী গ্রুপ সম্পর্কে কথা বলছি যারা একটি ব্যাঙ্কিং ট্রোজান ব্যবহার করেছিল অনুনাক/কার্বনাক.

আক্রমণকারীরা কেবলমাত্র সেই কম্পিউটারগুলিতে ম্যালওয়্যার ইনস্টল করেছিল যেগুলি ডিফল্টরূপে উইন্ডোজে (স্থানীয়করণ) রাশিয়ান ভাষা ব্যবহার করেছিল। ট্রোজানের প্রধান বিতরণ ভেক্টর ছিল একটি শোষণ সহ একটি ওয়ার্ড নথি। জন্য CVE-2012-0158, যা নথিতে সংযুক্তি হিসাবে পাঠানো হয়েছিল৷ নীচের স্ক্রিনশটগুলি এই জাতীয় জাল নথিগুলির উপস্থিতি দেখায়৷ প্রথম নথিটির শিরোনাম "চালন নং 522375-FLORL-14-115.doc", এবং দ্বিতীয়টি "kontrakt87.doc", এটি মোবাইল অপারেটর Megafon-এর টেলিযোগাযোগ পরিষেবার বিধানের চুক্তির একটি অনুলিপি৷

ভাত। 1. ফিশিং নথি।

ভাত। 2. ফিশিং নথির আরেকটি পরিবর্তন।

নিম্নলিখিত তথ্যগুলি ইঙ্গিত করে যে আক্রমণকারীরা রাশিয়ান ব্যবসাগুলিকে টার্গেট করেছিল:

• নির্দিষ্ট বিষয়ে জাল নথি ব্যবহার করে ম্যালওয়্যার বিতরণ;
• আক্রমণকারীদের কৌশল এবং তারা ব্যবহার করা দূষিত সরঞ্জাম;
• কিছু এক্সিকিউটেবল মডিউলে ব্যবসায়িক অ্যাপ্লিকেশনের লিঙ্ক;
• এই প্রচারাভিযানে ব্যবহৃত ক্ষতিকারক ডোমেনের নাম।

বিশেষ সফ্টওয়্যার সরঞ্জাম যা আক্রমণকারীরা একটি আপোষহীন সিস্টেমে ইনস্টল করে তাদের সিস্টেমের রিমোট কন্ট্রোল পেতে এবং ব্যবহারকারীর কার্যকলাপ নিরীক্ষণ করতে দেয়। এই ফাংশনগুলি সম্পাদন করতে, তারা একটি ব্যাকডোর ইনস্টল করে এবং উইন্ডোজ অ্যাকাউন্টের পাসওয়ার্ড পেতে বা একটি নতুন অ্যাকাউন্ট তৈরি করার চেষ্টা করে। আক্রমণকারীরা একটি কী-লগার (কি-লগার), একটি উইন্ডোজ ক্লিপবোর্ড চুরিকারী এবং স্মার্ট কার্ডগুলির সাথে কাজ করার জন্য বিশেষ সফ্টওয়্যারের পরিষেবাগুলিও অবলম্বন করে। এই গোষ্ঠীটি অন্য কম্পিউটারগুলির সাথে আপস করার চেষ্টা করেছিল যা শিকারের কম্পিউটারের মতো একই স্থানীয় নেটওয়ার্কে ছিল।

আমাদের ESET LiveGrid টেলিমেট্রি সিস্টেম, যা আমাদের দ্রুত ম্যালওয়্যার বিতরণ পরিসংখ্যান ট্র্যাক করতে দেয়, উল্লেখিত প্রচারে আক্রমণকারীদের দ্বারা ব্যবহৃত ম্যালওয়্যার বিতরণের বিষয়ে আমাদের আকর্ষণীয় ভৌগলিক পরিসংখ্যান প্রদান করে৷

ভাত। 3. এই দূষিত প্রচারে ব্যবহৃত ম্যালওয়্যারের ভৌগলিক বিতরণের পরিসংখ্যান।

ম্যালওয়্যার ইনস্টল করা হচ্ছে

একজন ব্যবহারকারী একটি দুর্বল সিস্টেমে একটি শোষণ সহ একটি দূষিত নথি খোলে, NSIS ব্যবহার করে প্যাকেজ করা একটি বিশেষ ডাউনলোডার ডাউনলোড এবং সেখানে কার্যকর করা হবে। এর কাজের শুরুতে, প্রোগ্রামটি সেখানে ডিবাগারের উপস্থিতি বা ভার্চুয়াল মেশিনের প্রেক্ষাপটে চালানোর জন্য উইন্ডোজ পরিবেশ পরীক্ষা করে। এটি উইন্ডোজের স্থানীয়করণ এবং ব্যবহারকারী ব্রাউজারে টেবিলে নীচে তালিকাভুক্ত URL গুলি পরিদর্শন করেছে কিনা তাও পরীক্ষা করে৷ এর জন্য API ব্যবহার করা হয় ফার্স্ট খুঁজুন/NextUrlCacheEntry এবং SoftwareMicrosoftInternet ExplorerTypedURLs রেজিস্ট্রি কী।

বুটলোডার সিস্টেমে নিম্নলিখিত অ্যাপ্লিকেশনগুলির উপস্থিতি পরীক্ষা করে।

প্রক্রিয়াগুলির তালিকাটি সত্যিই চিত্তাকর্ষক এবং আপনি দেখতে পাচ্ছেন, এতে কেবল ব্যাঙ্কিং অ্যাপ্লিকেশনই অন্তর্ভুক্ত নয়। উদাহরণস্বরূপ, "scardsvr.exe" নামে একটি এক্সিকিউটেবল ফাইল স্মার্ট কার্ডের সাথে কাজ করার জন্য সফ্টওয়্যারকে বোঝায় (Microsoft SmartCard Reader)। ব্যাঙ্কিং ট্রোজান নিজেই স্মার্ট কার্ডের সাথে কাজ করার ক্ষমতা অন্তর্ভুক্ত করে।

ভাত। 4. ম্যালওয়্যার ইনস্টলেশন প্রক্রিয়ার সাধারণ চিত্র।

সমস্ত চেক সফলভাবে সম্পন্ন হলে, লোডার দূরবর্তী সার্ভার থেকে একটি বিশেষ ফাইল (আর্কাইভ) ডাউনলোড করে, যাতে আক্রমণকারীদের দ্বারা ব্যবহৃত সমস্ত দূষিত এক্সিকিউটেবল মডিউল রয়েছে। এটি লক্ষ্য করা আকর্ষণীয় যে উপরের চেকগুলি সম্পাদনের উপর নির্ভর করে, দূরবর্তী C&C সার্ভার থেকে ডাউনলোড করা সংরক্ষণাগারগুলি আলাদা হতে পারে। সংরক্ষণাগার দূষিত হতে পারে বা নাও হতে পারে. দূষিত না হলে, এটি ব্যবহারকারীর জন্য Windows Live টুলবার ইনস্টল করে। সম্ভবত, আক্রমণকারীরা স্বয়ংক্রিয় ফাইল বিশ্লেষণ সিস্টেম এবং ভার্চুয়াল মেশিনগুলিকে প্রতারিত করার জন্য অনুরূপ কৌশল অবলম্বন করেছিল যার উপর সন্দেহজনক ফাইলগুলি চালানো হয়।

NSIS ডাউনলোডার দ্বারা ডাউনলোড করা ফাইলটি একটি 7z সংরক্ষণাগার যাতে বিভিন্ন ম্যালওয়্যার মডিউল রয়েছে। নীচের ছবিটি এই ম্যালওয়্যার এবং এর বিভিন্ন মডিউলগুলির সম্পূর্ণ ইনস্টলেশন প্রক্রিয়া দেখায়।

ভাত। 5. কিভাবে ম্যালওয়্যার কাজ করে তার সাধারণ স্কিম।

যদিও লোড করা মডিউলগুলি আক্রমণকারীদের জন্য বিভিন্ন উদ্দেশ্যে পরিবেশন করে, তবে সেগুলি একইভাবে প্যাকেজ করা হয়েছে এবং তাদের মধ্যে অনেকগুলি বৈধ ডিজিটাল শংসাপত্র সহ স্বাক্ষরিত ছিল৷ আমরা এমন চারটি শংসাপত্র পেয়েছি যা আক্রমণকারীরা প্রচারের শুরু থেকেই ব্যবহার করেছিল। আমাদের অভিযোগের প্রেক্ষিতে, এই সার্টিফিকেটগুলি প্রত্যাহার করা হয়েছে৷ এটি লক্ষণীয় যে সমস্ত শংসাপত্র মস্কোতে নিবন্ধিত সংস্থাগুলিতে জারি করা হয়েছিল।

ভাত। 6. ডিজিটাল শংসাপত্র যা ম্যালওয়্যার স্বাক্ষর করতে ব্যবহৃত হয়েছিল।

নিম্নলিখিত সারণী ডিজিটাল শংসাপত্রগুলি চিহ্নিত করে যা আক্রমণকারীরা এই দূষিত প্রচারে ব্যবহার করেছিল৷

আক্রমণকারীদের দ্বারা ব্যবহৃত প্রায় সমস্ত দূষিত মডিউলগুলির একটি অভিন্ন ইনস্টলেশন পদ্ধতি রয়েছে। তারা 7zip সংরক্ষণাগারগুলি স্বয়ং-এক্সট্র্যাক্ট করছে যা পাসওয়ার্ড সুরক্ষিত৷

ভাত। 7. install.cmd ব্যাচ ফাইলের খণ্ড।

ব্যাচ .cmd ফাইলটি সিস্টেমে ম্যালওয়্যার ইনস্টল করার জন্য এবং বিভিন্ন আক্রমণকারী টুল চালু করার জন্য দায়ী। যদি মৃত্যুদন্ড কার্যকর করার জন্য প্রশাসনিক অধিকার অনুপস্থিত থাকে, তবে ক্ষতিকারক কোড সেগুলি পেতে বিভিন্ন পদ্ধতি ব্যবহার করে (UAC বাইপাস করে)। প্রথম পদ্ধতিটি বাস্তবায়নের জন্য, l1.exe এবং cc1.exe নামক দুটি এক্সিকিউটেবল ফাইল ব্যবহার করা হয়, যা ব্যবহার করে UAC বাইপাস করার ক্ষেত্রে বিশেষজ্ঞ। ফাঁস কার্বারপ সোর্স কোড। আরেকটি পদ্ধতি হল CVE-2013-3660 দুর্বলতাকে কাজে লাগানোর উপর ভিত্তি করে। প্রতিটি ম্যালওয়্যার মডিউল যার জন্য বিশেষাধিকার বৃদ্ধির প্রয়োজন হয় তাতে শোষণের একটি 32-বিট এবং একটি 64-বিট সংস্করণ উভয়ই থাকে।

এই প্রচারাভিযান ট্র্যাক করার সময়, আমরা ডাউনলোডার দ্বারা আপলোড করা বেশ কয়েকটি সংরক্ষণাগার বিশ্লেষণ করেছি৷ আর্কাইভের বিষয়বস্তু বৈচিত্র্যময়, যার অর্থ আক্রমণকারীরা বিভিন্ন উদ্দেশ্যে দূষিত মডিউলগুলিকে মানিয়ে নিতে পারে।

ব্যবহারকারীর আপস

আমরা উপরে উল্লিখিত হিসাবে, আক্রমণকারীরা ব্যবহারকারীদের কম্পিউটারে আপস করতে বিশেষ সরঞ্জাম ব্যবহার করে। এই টুলগুলির মধ্যে এক্সিকিউটেবল ফাইলের নাম mimi.exe এবং xtm.exe সহ প্রোগ্রাম অন্তর্ভুক্ত। তারা আক্রমণকারীদের শিকারের কম্পিউটারের নিয়ন্ত্রণ নিতে এবং নিম্নলিখিত কাজগুলি সম্পাদনে বিশেষজ্ঞ করতে সহায়তা করে: Windows অ্যাকাউন্টগুলির জন্য পাসওয়ার্ড প্রাপ্ত/পুনরুদ্ধার করা, RDP পরিষেবা সক্ষম করা, OS এ একটি নতুন অ্যাকাউন্ট তৈরি করা।

mimi.exe এক্সিকিউটেবল একটি সুপরিচিত ওপেন সোর্স টুলের একটি পরিবর্তিত সংস্করণ অন্তর্ভুক্ত করে Mimikatz. এই টুলটি আপনাকে উইন্ডোজ ব্যবহারকারী অ্যাকাউন্টের পাসওয়ার্ড পেতে দেয়। আক্রমণকারীরা Mimikatz থেকে অংশটি সরিয়ে দিয়েছে যা ব্যবহারকারীর মিথস্ক্রিয়া জন্য দায়ী। এক্সিকিউটেবল কোডটিও পরিবর্তন করা হয়েছে যাতে চালু করা হলে, Mimikatz বিশেষাধিকার::debug এবং sekurlsa:logonPasswords কমান্ডের সাথে চলে।

আরেকটি এক্সিকিউটেবল ফাইল, xtm.exe, বিশেষ স্ক্রিপ্ট চালু করে যা সিস্টেমে RDP পরিষেবাকে সক্ষম করে, OS-এ একটি নতুন অ্যাকাউন্ট তৈরি করার চেষ্টা করে এবং সিস্টেম সেটিংস পরিবর্তন করে যাতে একাধিক ব্যবহারকারী একই সাথে RDP-এর মাধ্যমে আপোসকৃত কম্পিউটারের সাথে সংযোগ করতে পারে। স্পষ্টতই, আপোসকৃত সিস্টেমের সম্পূর্ণ নিয়ন্ত্রণ লাভের জন্য এই পদক্ষেপগুলি প্রয়োজনীয়।

ভাত। 8. সিস্টেমে xtm.exe দ্বারা নির্বাহিত কমান্ড।

আক্রমণকারীরা impack.exe নামে আরেকটি এক্সিকিউটেবল ফাইল ব্যবহার করে, যা সিস্টেমে বিশেষ সফ্টওয়্যার ইনস্টল করতে ব্যবহৃত হয়। এই সফ্টওয়্যারটিকে LiteManager বলা হয় এবং আক্রমণকারীরা ব্যাকডোর হিসাবে ব্যবহার করে।

ভাত। 9. LiteManager ইন্টারফেস।

একবার ব্যবহারকারীর সিস্টেমে ইনস্টল হয়ে গেলে, LiteManager আক্রমণকারীদের সরাসরি সেই সিস্টেমের সাথে সংযোগ করতে এবং দূরবর্তীভাবে এটি নিয়ন্ত্রণ করতে দেয়। এই সফ্টওয়্যারটির লুকানো ইনস্টলেশন, বিশেষ ফায়ারওয়াল নিয়ম তৈরি এবং এর মডিউল চালু করার জন্য বিশেষ কমান্ড লাইন পরামিতি রয়েছে। সমস্ত পরামিতি আক্রমণকারীদের দ্বারা ব্যবহৃত হয়।

আক্রমণকারীদের দ্বারা ব্যবহৃত ম্যালওয়্যার প্যাকেজের শেষ মডিউল হল একটি ব্যাঙ্কিং ম্যালওয়্যার প্রোগ্রাম (ব্যাঙ্কার) যার এক্সিকিউটেবল ফাইলের নাম pn_pack.exe। তিনি ব্যবহারকারীর উপর গুপ্তচরবৃত্তিতে বিশেষজ্ঞ এবং C&C সার্ভারের সাথে যোগাযোগের জন্য দায়ী। ব্যাংকার বৈধ Yandex Punto সফ্টওয়্যার ব্যবহার করে চালু করা হয়. দূষিত DLL লাইব্রেরি (DLL সাইড-লোডিং পদ্ধতি) চালু করতে আক্রমণকারীরা পুন্টো ব্যবহার করে। ম্যালওয়্যার নিজেই নিম্নলিখিত ফাংশন সম্পাদন করতে পারে:

• দূরবর্তী সার্ভারে তাদের পরবর্তী সংক্রমণের জন্য কীবোর্ড কীস্ট্রোক এবং ক্লিপবোর্ড বিষয়বস্তু ট্র্যাক করুন;
• সিস্টেমে উপস্থিত সমস্ত স্মার্ট কার্ডের তালিকা করুন;
• একটি দূরবর্তী C&C সার্ভারের সাথে যোগাযোগ করুন।

ম্যালওয়্যার মডিউল, যা এই সমস্ত কাজ সম্পাদনের জন্য দায়ী, একটি এনক্রিপ্ট করা DLL লাইব্রেরি। এটি ডিক্রিপ্ট করা হয় এবং পুন্টো কার্যকর করার সময় মেমরিতে লোড করা হয়। উপরের কাজগুলি সম্পাদন করতে, DLL এক্সিকিউটেবল কোড তিনটি থ্রেড শুরু করে।

আক্রমণকারীরা তাদের উদ্দেশ্যের জন্য পুন্টো সফ্টওয়্যার বেছে নিয়েছিল তা বিস্ময়কর নয়: কিছু রাশিয়ান ফোরাম খোলাখুলিভাবে ব্যবহারকারীদের সাথে আপস করার জন্য বৈধ সফ্টওয়্যারের ত্রুটিগুলি ব্যবহার করার মতো বিষয়গুলির উপর বিস্তারিত তথ্য প্রদান করে।

ক্ষতিকারক লাইব্রেরিটি RC4 অ্যালগরিদম ব্যবহার করে তার স্ট্রিংগুলিকে এনক্রিপ্ট করতে, সেইসাথে C&C সার্ভারের সাথে নেটওয়ার্ক ইন্টারঅ্যাকশনের সময়। এটি প্রতি দুই মিনিটে সার্ভারের সাথে যোগাযোগ করে এবং এই সময়ের মধ্যে আপস করা সিস্টেমে সংগ্রহ করা সমস্ত ডেটা সেখানে প্রেরণ করে।

ভাত। 10. বট এবং সার্ভারের মধ্যে নেটওয়ার্ক ইন্টারঅ্যাকশনের খণ্ড।

নীচে কিছু C&C সার্ভার নির্দেশাবলী রয়েছে যা লাইব্রেরি পেতে পারে।

C&C সার্ভার থেকে নির্দেশ প্রাপ্তির প্রতিক্রিয়ায়, ম্যালওয়্যার একটি স্ট্যাটাস কোড দিয়ে প্রতিক্রিয়া জানায়। এটি লক্ষ্য করা আকর্ষণীয় যে সমস্ত ব্যাঙ্কার মডিউল যা আমরা বিশ্লেষণ করেছি (সবচেয়ে সাম্প্রতিক একটি সংকলনের তারিখ 18শে জানুয়ারী) তাতে "TEST_BOTNET" স্ট্রিং রয়েছে, যা প্রতিটি বার্তায় C&C সার্ভারে পাঠানো হয়।

উপসংহার

কর্পোরেট ব্যবহারকারীদের সাথে আপস করার জন্য, আক্রমণকারীরা প্রথম পর্যায়ে কোম্পানির একজন কর্মচারীকে একটি শোষণের সাথে একটি ফিশিং বার্তা পাঠিয়ে আপস করে। এর পরে, সিস্টেমে একবার ম্যালওয়্যার ইনস্টল হয়ে গেলে, তারা সফ্টওয়্যার সরঞ্জামগুলি ব্যবহার করবে যা তাদের সিস্টেমে তাদের কর্তৃত্ব উল্লেখযোগ্যভাবে প্রসারিত করতে এবং এতে অতিরিক্ত কাজ সম্পাদন করতে সহায়তা করবে: কর্পোরেট নেটওয়ার্কে অন্যান্য কম্পিউটারের সাথে আপস করা এবং ব্যবহারকারীর উপর গুপ্তচরবৃত্তি, পাশাপাশি তিনি যে ব্যাংকিং লেনদেন করেন।

উত্স: www.habr.com