ডুকু - দূষিত নেস্টিং পুতুল

ভূমিকা

1 সেপ্টেম্বর, 2011-এ, হাঙ্গেরি থেকে VirusTotal ওয়েবসাইটে ~DN1.tmp নামে একটি ফাইল পাঠানো হয়েছিল৷ সেই সময়ে, ফাইলটি শুধুমাত্র দুটি অ্যান্টিভাইরাস ইঞ্জিন - বিটডিফেন্ডার এবং আভিরা দ্বারা দূষিত হিসাবে সনাক্ত করা হয়েছিল। এভাবেই শুরু হয় ডুকুর গল্প। সামনের দিকে তাকালে, এটি অবশ্যই বলা উচিত যে ডুকু ম্যালওয়্যার পরিবারটি এই ফাইলটির নাম অনুসারে নামকরণ করা হয়েছিল। যাইহোক, এই ফাইলটি কী-লগার ফাংশন সহ একটি সম্পূর্ণ স্বাধীন স্পাইওয়্যার মডিউল, ইনস্টল করা, সম্ভবত, একটি দূষিত ডাউনলোডার-ড্রপার ব্যবহার করে, এবং এটি শুধুমাত্র একটি "পেলোড" হিসাবে বিবেচনা করা যেতে পারে যা এটির অপারেশন চলাকালীন Duqu ম্যালওয়্যার দ্বারা লোড করা হয়, এবং একটি উপাদান হিসাবে নয় ( ডুকুর মডিউল)। Duqu উপাদানগুলির মধ্যে একটি শুধুমাত্র 9 সেপ্টেম্বর Virustotal পরিষেবাতে পাঠানো হয়েছিল। এর স্বতন্ত্র বৈশিষ্ট্য হল সি-মিডিয়া দ্বারা ডিজিটালভাবে স্বাক্ষরিত একটি ড্রাইভার। কিছু বিশেষজ্ঞ অবিলম্বে ম্যালওয়্যারের আরেকটি বিখ্যাত উদাহরণের সাথে সাদৃশ্য আঁকতে শুরু করেছিলেন - Stuxnet, যা স্বাক্ষরিত ড্রাইভারগুলিও ব্যবহার করেছিল। বিশ্বজুড়ে বিভিন্ন অ্যান্টিভাইরাস কোম্পানির দ্বারা শনাক্ত করা Duqu-সংক্রমিত কম্পিউটারের মোট সংখ্যা ডজনখানেক। অনেক সংস্থা দাবি করেছে যে ইরান আবার মূল লক্ষ্য, তবে সংক্রমণের ভৌগলিক বন্টন দ্বারা বিচার করলে এটি নিশ্চিতভাবে বলা যায় না।

এই ক্ষেত্রে, আপনার আত্মবিশ্বাসের সাথে শুধুমাত্র একটি নতুন শব্দের সাথে অন্য কোম্পানি সম্পর্কে কথা বলা উচিত APT (উন্নত ক্রমাগত হুমকি)।

সিস্টেম বাস্তবায়ন পদ্ধতি

হাঙ্গেরিয়ান সংস্থা CrySyS (বুদাপেস্ট ইউনিভার্সিটি অফ টেকনোলজি অ্যান্ড ইকোনমিক্সের হাঙ্গেরিয়ান ল্যাবরেটরি অফ ক্রিপ্টোগ্রাফি এবং সিস্টেম সিকিউরিটি) এর বিশেষজ্ঞদের দ্বারা পরিচালিত একটি তদন্তের ফলে ইনস্টলার (ড্রপার) আবিষ্কার করা হয়েছিল যার মাধ্যমে সিস্টেমটি সংক্রামিত হয়েছিল। এটি একটি মাইক্রোসফ্ট ওয়ার্ড ফাইল ছিল যাতে win32k.sys ড্রাইভার দুর্বলতা (MS11-087, 13 নভেম্বর, 2011-এ মাইক্রোসফ্ট বর্ণনা করেছে), যা TTF ফন্ট রেন্ডারিং প্রক্রিয়ার জন্য দায়ী। শোটাইমের শেলকোড নথিতে এমবেড করা 'ডেক্সটার রেগুলার' নামক একটি ফন্ট ব্যবহার করে, ফন্টটির নির্মাতা হিসেবে শোটাইম ইনকর্পোরেটেড তালিকাভুক্ত। আপনি দেখতে পাচ্ছেন, ডুকু-এর নির্মাতারা হাস্যরসের অনুভূতির জন্য অপরিচিত নন: ডেক্সটার একজন সিরিয়াল কিলার, একই নামের টেলিভিশন সিরিজের নায়ক, শোটাইম দ্বারা উত্পাদিত। ডেক্সটার শুধুমাত্র (যদি সম্ভব হয়) অপরাধীদের হত্যা করেন, অর্থাৎ তিনি বৈধতার নামে আইন ভঙ্গ করেন। সম্ভবত, এইভাবে, ডুকু ডেভেলপাররা বিদ্রূপাত্মক যে তারা ভাল উদ্দেশ্যে অবৈধ কার্যকলাপে নিযুক্ত। ইমেল পাঠানো উদ্দেশ্যমূলকভাবে করা হয়েছে. চালানটি সম্ভবত ট্র্যাকিংকে কঠিন করার জন্য মধ্যস্থতাকারী হিসাবে আপোসকৃত (হ্যাক করা) কম্পিউটারগুলি ব্যবহার করেছিল।
ওয়ার্ড নথিতে এইভাবে নিম্নলিখিত উপাদানগুলি রয়েছে:

• পাঠ্য বিষয়বস্তু;
• অন্তর্নির্মিত ফন্ট;
• শেলকোড শোষণ;
• ড্রাইভার;
• ইনস্টলার (DLL লাইব্রেরি)।

সফল হলে, শোষণ শেলকোড নিম্নলিখিত ক্রিয়াকলাপগুলি সম্পাদন করে (কার্নেল মোডে):

• পুনরায় সংক্রমণের জন্য একটি চেক করা হয়েছিল; এর জন্য, 'HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionInternet SettingsZones4' ঠিকানায় রেজিস্ট্রিতে কী 'CF1D'-এর উপস্থিতি পরীক্ষা করা হয়েছিল; যদি এটি সঠিক হয় তবে শেলকোডটি তার সম্পাদন সম্পন্ন করেছে;
• দুটি ফাইল ডিক্রিপ্ট করা হয়েছে - ড্রাইভার (sys) এবং ইনস্টলার (dll);
• ড্রাইভারকে service.exe প্রক্রিয়ায় ইনজেকশন দেওয়া হয়েছিল এবং ইনস্টলার চালু করা হয়েছিল;
• অবশেষে, শেলকোড মেমরিতে শূন্য দিয়ে নিজেকে মুছে ফেলে।

সুবিধাপ্রাপ্ত ব্যবহারকারী 'সিস্টেম'-এর পক্ষ থেকে win32k.sys কার্যকর করার কারণে, Duqu বিকাশকারীরা অননুমোদিত লঞ্চ এবং অধিকার বৃদ্ধি (সীমিত অধিকার সহ ব্যবহারকারীর অ্যাকাউন্টের অধীনে চলমান) উভয় সমস্যারই সুন্দরভাবে সমাধান করেছে।
নিয়ন্ত্রণ পাওয়ার পরে, ইনস্টলার মেমরিতে থাকা ডেটার তিনটি ব্লক ডিক্রিপ্ট করেছে, এতে রয়েছে:

• স্বাক্ষরিত ড্রাইভার (sys);
• প্রধান মডিউল (dll);
• ইনস্টলার কনফিগারেশন ডেটা (পিএনএফ)।

একটি তারিখ পরিসীমা ইনস্টলার কনফিগারেশন ডেটাতে নির্দিষ্ট করা হয়েছিল (দুটি টাইমস্ট্যাম্পের আকারে - শুরু এবং শেষ)৷ ইনস্টলারটি বর্তমান তারিখটি এতে অন্তর্ভুক্ত ছিল কিনা তা পরীক্ষা করে এবং যদি না হয় তবে এটি তার সম্পাদন সম্পন্ন করেছে। এছাড়াও ইনস্টলার কনফিগারেশন ডেটাতে সেই নামগুলি ছিল যার অধীনে ড্রাইভার এবং প্রধান মডিউল সংরক্ষণ করা হয়েছিল। এই ক্ষেত্রে, প্রধান মডিউলটি এনক্রিপ্ট করা আকারে ডিস্কে সংরক্ষণ করা হয়েছিল।

Duqu অটোস্টার্ট করার জন্য, একটি ড্রাইভার ফাইল ব্যবহার করে একটি পরিষেবা তৈরি করা হয়েছিল যা রেজিস্ট্রিতে সংরক্ষিত কীগুলি ব্যবহার করে ফ্লাইতে প্রধান মডিউলটিকে ডিক্রিপ্ট করে। প্রধান মডিউলটির নিজস্ব কনফিগারেশন ডেটা ব্লক রয়েছে। যখন প্রথম চালু করা হয়েছিল, তখন এটি ডিক্রিপ্ট করা হয়েছিল, ইনস্টলেশনের তারিখ এতে প্রবেশ করা হয়েছিল, তারপরে এটি আবার এনক্রিপ্ট করা হয়েছিল এবং প্রধান মডিউল দ্বারা সংরক্ষণ করা হয়েছিল। এইভাবে, প্রভাবিত সিস্টেমে, সফল ইনস্টলেশনের পরে, তিনটি ফাইল সংরক্ষণ করা হয়েছিল - ড্রাইভার, প্রধান মডিউল এবং এর কনফিগারেশন ডেটা ফাইল, যখন শেষ দুটি ফাইল এনক্রিপ্ট করা আকারে ডিস্কে সংরক্ষণ করা হয়েছিল। সমস্ত ডিকোডিং পদ্ধতি শুধুমাত্র মেমরিতে সম্পাদিত হয়েছিল। এই জটিল ইনস্টলেশন পদ্ধতিটি অ্যান্টিভাইরাস সফ্টওয়্যার দ্বারা সনাক্তকরণের সম্ভাবনা কমাতে ব্যবহৃত হয়েছিল।

প্রধান মডিউল

প্রধান মডিউল (সম্পদ 302), অনুযায়ী তথ্য কোম্পানি ক্যাসপারস্কি ল্যাব, বিশুদ্ধ সি তে MSVC 2008 ব্যবহার করে লেখা, কিন্তু একটি বস্তু-ভিত্তিক পদ্ধতি ব্যবহার করে। দূষিত কোড বিকাশ করার সময় এই পদ্ধতিটি অকার্যকর। একটি নিয়ম হিসাবে, সাইজ কমাতে এবং C++ এর অন্তর্নিহিত অন্তর্নিহিত কলগুলি থেকে পরিত্রাণ পেতে এই জাতীয় কোড C-তে লেখা হয়। এখানে একটি নির্দিষ্ট সিম্বিয়াসিস আছে। এছাড়াও, একটি ইভেন্ট-চালিত আর্কিটেকচার ব্যবহার করা হয়েছিল। ক্যাসপারস্কি ল্যাবের কর্মীরা এই তত্ত্বের দিকে ঝুঁকছেন যে মূল মডিউলটি একটি প্রাক-প্রসেসর অ্যাড-অন ব্যবহার করে লেখা হয়েছিল যা আপনাকে একটি অবজেক্ট স্টাইলে C কোড লিখতে দেয়।
প্রধান মডিউল অপারেটরদের কাছ থেকে কমান্ড গ্রহণের পদ্ধতির জন্য দায়ী। ডুকু ইন্টারঅ্যাকশনের বিভিন্ন পদ্ধতি প্রদান করে: HTTP এবং HTTPS প্রোটোকল ব্যবহার করে, সেইসাথে নামযুক্ত পাইপ ব্যবহার করে। HTTP(S) এর জন্য, কমান্ড সেন্টারগুলির ডোমেন নাম নির্দিষ্ট করা হয়েছিল, এবং একটি প্রক্সি সার্ভারের মাধ্যমে কাজ করার ক্ষমতা প্রদান করা হয়েছিল - তাদের জন্য একটি ব্যবহারকারীর নাম এবং পাসওয়ার্ড নির্দিষ্ট করা হয়েছিল৷ আইপি ঠিকানা এবং এর নাম চ্যানেলের জন্য নির্দিষ্ট করা হয়েছে। নির্দিষ্ট ডেটা প্রধান মডিউল কনফিগারেশন ডেটা ব্লকে (এনক্রিপ্ট করা আকারে) সংরক্ষণ করা হয়।
নামযুক্ত পাইপ ব্যবহার করতে, আমরা আমাদের নিজস্ব RPC সার্ভার বাস্তবায়ন চালু করেছি। এটি নিম্নলিখিত সাতটি ফাংশন সমর্থন করে:

• ইনস্টল করা সংস্করণ ফেরত দিন;
• নির্দিষ্ট প্রক্রিয়ার মধ্যে একটি dll ইনজেক্ট করুন এবং নির্দিষ্ট ফাংশন কল করুন;
• লোড dll;
• CreateProcess() কল করে একটি প্রক্রিয়া শুরু করুন;
• একটি প্রদত্ত ফাইলের বিষয়বস্তু পড়ুন;
• নির্দিষ্ট ফাইলে ডেটা লিখুন;
• নির্দিষ্ট ফাইল মুছে দিন।

Duqu-সংক্রমিত কম্পিউটারের মধ্যে আপডেট মডিউল এবং কনফিগারেশন ডেটা বিতরণ করার জন্য নামযুক্ত পাইপগুলি স্থানীয় নেটওয়ার্কের মধ্যে ব্যবহার করা যেতে পারে। উপরন্তু, Duqu অন্যান্য সংক্রামিত কম্পিউটারের জন্য একটি প্রক্সি সার্ভার হিসাবে কাজ করতে পারে (যেটি গেটওয়েতে ফায়ারওয়াল সেটিংসের কারণে ইন্টারনেটে অ্যাক্সেস ছিল না)। Duqu-এর কিছু সংস্করণে RPC কার্যকারিতা ছিল না।

পরিচিত "পেলোড"

Symantec ডুকু কন্ট্রোল সেন্টার থেকে কমান্ডের অধীনে ডাউনলোড করা অন্তত চার ধরনের পেলোড আবিষ্কার করেছে।
তদুপরি, তাদের মধ্যে কেবল একটিই বাসিন্দা ছিল এবং একটি এক্সিকিউটেবল ফাইল (exe) হিসাবে সংকলিত হয়েছিল, যা ডিস্কে সংরক্ষণ করা হয়েছিল। বাকি তিনটি dll লাইব্রেরি হিসাবে প্রয়োগ করা হয়েছিল। এগুলি গতিশীলভাবে লোড করা হয়েছিল এবং ডিস্কে সংরক্ষণ না করেই মেমরিতে কার্যকর করা হয়েছিল।

বাসিন্দা "পেলোড" ছিল একটি গুপ্তচর মডিউল (infostealer) কীলগার ফাংশন সহ। এটি VirusTotal-এ পাঠানোর মাধ্যমে ডুকু গবেষণার কাজ শুরু হয়েছিল। প্রধান গুপ্তচর কার্যকারিতা সম্পদে ছিল, যার প্রথম 8 কিলোবাইটে গ্যালাক্সি NGC 6745 (ছদ্মবেশের জন্য) এর একটি ছবির অংশ ছিল। এখানে এটি স্মরণ করা উচিত যে এপ্রিল 2012 সালে কিছু মিডিয়া তথ্য প্রকাশ করেছিল (http://www.mehrnews.com/en/newsdetail.aspx?NewsID=1297506) যে ইরান কিছু ক্ষতিকারক সফ্টওয়্যার "স্টারস"-এর সংস্পর্শে এসেছে, যখন এর বিশদ বিবরণ ঘটনাটি প্রকাশ করা হয়নি। সম্ভবত এটি ডুকু "পেলোড" এর একটি নমুনা যা ইরানে তখন আবিষ্কৃত হয়েছিল, তাই নাম "স্টারস"।
গুপ্তচর মডিউল নিম্নলিখিত তথ্য সংগ্রহ করেছে:

• চলমান প্রক্রিয়াগুলির তালিকা, বর্তমান ব্যবহারকারী এবং ডোমেন সম্পর্কে তথ্য;
• নেটওয়ার্ক ড্রাইভ সহ লজিক্যাল ড্রাইভের তালিকা;
• স্ক্রিনশট;
• নেটওয়ার্ক ইন্টারফেস ঠিকানা, রাউটিং টেবিল;
• কীবোর্ড কীস্ট্রোকের লগ ফাইল;
• খোলা অ্যাপ্লিকেশন উইন্ডোর নাম;
• উপলব্ধ নেটওয়ার্ক সংস্থানগুলির তালিকা (শেয়ারিং সংস্থান);
• সমস্ত ডিস্কের ফাইলগুলির একটি সম্পূর্ণ তালিকা, অপসারণযোগ্যগুলি সহ;
• "নেটওয়ার্ক পরিবেশে" কম্পিউটারের একটি তালিকা।

আরেকটি গুপ্তচর মডিউল (infostealer) যা ইতিমধ্যে বর্ণনা করা হয়েছিল তার একটি বৈচিত্র ছিল, কিন্তু একটি dll লাইব্রেরি হিসাবে সংকলিত হয়েছিল; একটি কীলগারের ফাংশন, ফাইলগুলির একটি তালিকা সংকলন করা এবং ডোমেনে অন্তর্ভুক্ত কম্পিউটারগুলিকে তালিকাভুক্ত করা এটি থেকে সরানো হয়েছিল।
পরবর্তী মডিউল (পরিদর্শনকরণ) সংগৃহীত সিস্টেম তথ্য:

• কম্পিউটার একটি ডোমেনের অংশ কিনা;
• উইন্ডোজ সিস্টেম ডিরেক্টরির পাথ;
• অপারেটিং সিস্টেম সংস্করণ;
• বর্তমান ব্যবহারকারীর নাম;
• নেটওয়ার্ক অ্যাডাপ্টারের তালিকা;
• সিস্টেম এবং স্থানীয় সময়, সেইসাথে সময় অঞ্চল।

শেষ মডিউল (জীবনকাল প্রসারক) কাজটি সম্পূর্ণ না হওয়া পর্যন্ত বাকি দিনের সংখ্যার মান (প্রধান মডিউল কনফিগারেশন ডেটা ফাইলে সংরক্ষিত) বাড়ানোর জন্য একটি ফাংশন প্রয়োগ করেছে। ডিফল্টরূপে, Duqu পরিবর্তনের উপর নির্ভর করে এই মানটি 30 বা 36 দিনে সেট করা হয়েছিল এবং প্রতিদিন একটি করে কমেছে।

কমান্ড সেন্টার

20 অক্টোবর, 2011-এ (আবিষ্কার সম্পর্কে তথ্য প্রচারের তিন দিন পরে), ডুকু অপারেটররা কমান্ড সেন্টারগুলির কার্যকারিতার চিহ্নগুলি ধ্বংস করার জন্য একটি পদ্ধতি চালিয়েছিল। কমান্ড কেন্দ্রগুলি বিশ্বজুড়ে হ্যাক হওয়া সার্ভারগুলিতে অবস্থিত ছিল - ভিয়েতনাম, ভারত, জার্মানি, সিঙ্গাপুর, সুইজারল্যান্ড, গ্রেট ব্রিটেন, হল্যান্ড এবং দক্ষিণ কোরিয়ায়৷ মজার বিষয় হল, সমস্ত চিহ্নিত সার্ভার CentOS সংস্করণ 5.2, 5.4 বা 5.5 চালাচ্ছিল। ওএসগুলি 32-বিট এবং 64-বিট উভয়ই ছিল। কমান্ড সেন্টারের অপারেশন সম্পর্কিত সমস্ত ফাইল মুছে ফেলা সত্ত্বেও, ক্যাসপারস্কি ল্যাব বিশেষজ্ঞরা স্ল্যাক স্পেস থেকে LOG ফাইলগুলি থেকে কিছু তথ্য পুনরুদ্ধার করতে সক্ষম হয়েছিল। সবচেয়ে আকর্ষণীয় তথ্য হল যে সার্ভারে আক্রমণকারীরা সর্বদা ডিফল্ট OpenSSH 4.3 প্যাকেজ সংস্করণ 5.8 এর সাথে প্রতিস্থাপন করে। এটি নির্দেশ করতে পারে যে OpenSSH 4.3-এ একটি অজানা দুর্বলতা সার্ভার হ্যাক করতে ব্যবহৃত হয়েছিল। সমস্ত সিস্টেম কমান্ড সেন্টার হিসাবে ব্যবহৃত হয় নি। কিছু, 80 এবং 443 পোর্টের জন্য ট্রাফিক পুনঃনির্দেশ করার চেষ্টা করার সময় sshd লগের ত্রুটিগুলি বিচার করে, শেষ কমান্ড কেন্দ্রগুলির সাথে সংযোগ করার জন্য একটি প্রক্সি সার্ভার হিসাবে ব্যবহৃত হয়েছিল।

তারিখ এবং মডিউল

এপ্রিল 2011-এ বিতরণ করা একটি ওয়ার্ড নথি, যা ক্যাসপারস্কি ল্যাব দ্বারা পরীক্ষা করা হয়েছিল, 31 আগস্ট, 2007 এর সংকলন তারিখ সহ একটি ইনস্টলার ডাউনলোড ড্রাইভার রয়েছে। ক্রাইসিস ল্যাবরেটরিতে পাওয়া একটি নথিতে অনুরূপ ড্রাইভার (আকার - 20608 বাইট, MD5 - EEDCA45BD613E0D9A9E5C69122007F17) এর সংকলনের তারিখ ছিল 21 ফেব্রুয়ারি, 2008। এছাড়াও, ক্যাসপারস্কি ল্যাব বিশেষজ্ঞরা 19968 জানুয়ারী, 5 তারিখের সাথে অটোরান ড্রাইভার rndismpc.sys (আকার - 9 বাইট, MD6 - 10AEC5E9C05EE93221544C783BED20C2008E) খুঁজে পেয়েছেন। 2009 চিহ্নিত কোন উপাদান পাওয়া যায়নি. Duqu এর পৃথক অংশের সংকলনের টাইমস্ট্যাম্পের উপর ভিত্তি করে, এর বিকাশ 2007 সালের প্রথম দিকে হতে পারে। এর প্রথম প্রকাশটি ~DO (সম্ভবত স্পাইওয়্যার মডিউলগুলির একটি দ্বারা তৈরি) ধরণের অস্থায়ী ফাইলগুলির সনাক্তকরণের সাথে যুক্ত, যার তৈরির তারিখ হল নভেম্বর 28, 2008 (একটি নিবন্ধ "ডুকু এবং স্টুক্সনেট: আকর্ষণীয় ইভেন্টগুলির একটি সময়রেখা")। Duqu-এর সাথে যুক্ত সবচেয়ে সাম্প্রতিক তারিখটি ছিল ফেব্রুয়ারী 23, 2012, যা মার্চ 2012 সালে Symantec দ্বারা আবিষ্কৃত একটি ইনস্টলার ডাউনলোড ড্রাইভারের মধ্যে রয়েছে।

তথ্যের ব্যবহৃত উৎস:

নিবন্ধের সিরিজ ক্যাসপারস্কি ল্যাব থেকে ডুকু সম্পর্কে;
Symantec বিশ্লেষণাত্মক প্রতিবেদন "W32.Duqu পরবর্তী স্টাক্সনেটের অগ্রদূত", সংস্করণ 1.4, নভেম্বর 2011 (পিডিএফ)।

উত্স: www.habr.com