ভোটদান ব্যর্থ হয়েছে: আসুন এজেন্টটেসলাকে পরিষ্কার জলের জন্য উন্মুক্ত করি। পার্ট 3

এই নিবন্ধটির সাথে আমরা দূষিত সফ্টওয়্যার বিশ্লেষণের জন্য উত্সর্গীকৃত প্রকাশনার সিরিজটি সম্পূর্ণ করি। ভিতরে প্রথম অংশ আমরা একটি সংক্রামিত ফাইলের বিশদ বিশ্লেষণ করেছি যা একটি ইউরোপীয় কোম্পানি মেল দ্বারা পেয়েছিল এবং সেখানে AgentTesla স্পাইওয়্যার আবিষ্কার করেছি। ভিতরে দ্বিতীয় অংশ প্রধান AgentTesla মডিউলের ধাপে ধাপে বিশ্লেষণের ফলাফল বর্ণনা করেছে।

আজ ইলিয়া পোমেরান্তসেভ, CERT Group-IB-এর ম্যালওয়্যার বিশ্লেষণের বিশেষজ্ঞ, ম্যালওয়্যার বিশ্লেষণের প্রথম ধাপ সম্পর্কে কথা বলবেন - CERT Group-IB বিশেষজ্ঞদের অনুশীলন থেকে তিনটি মিনি-কেসের উদাহরণ ব্যবহার করে AgentTesla নমুনার আধা-স্বয়ংক্রিয় আনপ্যাকিং।

সাধারণত, ম্যালওয়্যার বিশ্লেষণের প্রথম ধাপ হল প্যাকার, ক্রিপ্টর, প্রটেক্টর বা লোডার আকারে সুরক্ষা অপসারণ। বেশিরভাগ ক্ষেত্রে, এই সমস্যাটি ম্যালওয়্যার চালানো এবং একটি ডাম্প সম্পাদন করে সমাধান করা যেতে পারে, তবে এমন পরিস্থিতিতে রয়েছে যেখানে এই পদ্ধতিটি উপযুক্ত নয়। উদাহরণস্বরূপ, যদি ম্যালওয়্যারটি একটি এনক্রিপ্টর হয়, যদি এটি তার মেমরি অঞ্চলগুলিকে ডাম্প হওয়া থেকে রক্ষা করে, যদি কোডটিতে ভার্চুয়াল মেশিন সনাক্তকরণ প্রক্রিয়া থাকে, বা যদি ম্যালওয়্যারটি শুরু করার সাথে সাথেই রিবুট হয়৷ এই ধরনের ক্ষেত্রে, তথাকথিত "আধা-স্বয়ংক্রিয়" আনপ্যাকিং ব্যবহার করা হয়, অর্থাৎ, প্রক্রিয়াটির উপর গবেষকের সম্পূর্ণ নিয়ন্ত্রণ রয়েছে এবং যে কোনো সময় হস্তক্ষেপ করতে পারে। একটি উদাহরণ হিসাবে AgentTesla পরিবারের তিনটি নমুনা ব্যবহার করে এই পদ্ধতিটি বিবেচনা করা যাক। এটি একটি তুলনামূলকভাবে ক্ষতিকারক ম্যালওয়্যার যদি আপনি এটির নেটওয়ার্ক অ্যাক্সেস অক্ষম করেন৷

নমুনা নং 1

সোর্স ফাইলটি একটি MS Word নথি যা CVE-2017-11882 দুর্বলতাকে কাজে লাগায়।

ফলস্বরূপ, পেলোড ডাউনলোড এবং চালু করা হয়।

প্রক্রিয়া গাছ এবং আচরণগত মার্কার বিশ্লেষণ প্রক্রিয়ায় ইনজেকশন দেখায় RegAsm.exe.

AgentTesla এর বৈশিষ্ট্যযুক্ত আচরণগত চিহ্নিতকারী রয়েছে।

ডাউনলোড করা নমুনাটি এক্সিকিউটেবল .NET-একটি রক্ষক দ্বারা সুরক্ষিত ফাইল .NET চুল্লি.

এর ইউটিলিটি এটি খুলুন dnSpy x86 এবং এন্ট্রি পয়েন্টে যান।

ফাংশনে গিয়ে তারিখের সময় অফসেট, আমরা নতুনের জন্য প্রারম্ভিক কোড খুঁজে পাব .NET-মডিউল চল রাখি ব্রেকপয়েন্ট লাইনে আমরা আগ্রহী এবং ফাইল চালাই।

ফিরে আসা বাফারগুলির একটিতে আপনি MZ স্বাক্ষর দেখতে পারেন (0x4D 0x5A) এর সংরক্ষণ করা যাক.

একটি ডাম্প করা এক্সিকিউটেবল ফাইল হল একটি ডাইনামিক লাইব্রেরি যা একটি লোডার, যেমন রিসোর্স বিভাগ থেকে পেলোড বের করে এবং এটি চালু করে।

একই সময়ে, প্রয়োজনীয় সম্পদ নিজেরাই ডাম্পে উপস্থিত নেই। তারা অভিভাবক নমুনা মধ্যে আছে.

ইউটিলিটি dnSpy দুটি অত্যন্ত দরকারী কার্যকারিতা রয়েছে যা আমাদের দুটি সম্পর্কিত ফাইল থেকে খুব দ্রুত একটি "ফ্রাঙ্কেনস্টাইন" তৈরি করতে সহায়তা করবে।

1. প্রথমটি আপনাকে প্যারেন্ট নমুনায় একটি ডায়নামিক লাইব্রেরি "পেস্ট" করতে দেয়।

   

2. দ্বিতীয়টি হল সন্নিবেশিত গতিশীল লাইব্রেরির পছন্দসই পদ্ধতিতে কল করার জন্য এন্ট্রি পয়েন্টে ফাংশন কোডটি পুনরায় লেখা।

   

আমরা আমাদের "ফ্রাঙ্কেনস্টাইন" সংরক্ষণ করি, সেট ব্রেকপয়েন্ট ডিক্রিপ্ট করা সম্পদ সহ একটি বাফার ফেরত লাইনে, এবং পূর্ববর্তী পর্যায়ে সাদৃশ্য দ্বারা একটি ডাম্প উত্পাদন.

দ্বিতীয় ডাম্পে লেখা আছে VB.NET একটি এক্সিকিউটেবল ফাইল যা আমাদের পরিচিত একজন অভিভাবক দ্বারা সুরক্ষিত ConfuserEx.

রক্ষক অপসারণের পরে, আমরা আগে লেখা YARA নিয়মগুলি ব্যবহার করি এবং নিশ্চিত করি যে আনপ্যাক করা ম্যালওয়্যারটি সত্যিই AgentTesla।

নমুনা নং 2

সোর্স ফাইলটি একটি এমএস এক্সেল ডকুমেন্ট। একটি বিল্ট-ইন ম্যাক্রো দূষিত কোড কার্যকর করে।

ফলস্বরূপ, PowerShell স্ক্রিপ্ট চালু হয়।

স্ক্রিপ্ট C# কোড ডিক্রিপ্ট করে এবং এতে নিয়ন্ত্রণ স্থানান্তর করে। কোডটি নিজেই একটি বুটলোডার, যেমনটি স্যান্ডবক্স রিপোর্ট থেকেও দেখা যায়।

পেলোড একটি এক্সিকিউটেবল .NET- ফাইল।

ফাইলটি খুলছে dnSpy x86, আপনি দেখতে পাচ্ছেন যে এটি অস্পষ্ট। ইউটিলিটি ব্যবহার করে অস্পষ্টতা অপসারণ করা হচ্ছে de4dot এবং বিশ্লেষণে ফিরে যান।

কোড পরীক্ষা করার সময়, আপনি নিম্নলিখিত ফাংশন আবিষ্কার করতে পারেন:

এনকোড করা লাইনগুলি আকর্ষণীয় এন্ট্রিপয়েন্ট и ডাকা. আমরা রাখি ব্রেকপয়েন্ট প্রথম লাইনে, চালান এবং বাফার মান সংরক্ষণ করুন বাইট_০.

ডাম্প আবার একটি অ্যাপ্লিকেশন চালু .NET এবং সুরক্ষিত ConfuserEx.

আমরা ব্যবহার করে অস্পষ্টতা অপসারণ de4dot এবং আপলোড করুন dnSpy. ফাইলের বিবরণ থেকে আমরা বুঝতে পারি যে আমরা মুখোমুখি হয়েছি CyaX-শার্প লোডার.

এই লোডারের ব্যাপক বিরোধী-বিশ্লেষণ কার্যকারিতা রয়েছে।

এই কার্যকারিতার মধ্যে অন্তর্নির্মিত উইন্ডোজ সুরক্ষা সিস্টেমগুলিকে বাইপাস করা, উইন্ডোজ ডিফেন্ডারকে অক্ষম করা, সেইসাথে স্যান্ডবক্স এবং ভার্চুয়াল মেশিন সনাক্তকরণ প্রক্রিয়া অন্তর্ভুক্ত রয়েছে। নেটওয়ার্ক থেকে পেলোড লোড করা বা রিসোর্স বিভাগে সংরক্ষণ করা সম্ভব। লঞ্চটি ইনজেকশনের মাধ্যমে তার নিজস্ব প্রক্রিয়ায়, নিজস্ব প্রক্রিয়ার অনুলিপিতে বা প্রক্রিয়াগুলিতে সঞ্চালিত হয় MSBuild.exe, vbc.exe и RegSvcs.exe আক্রমণকারী দ্বারা নির্বাচিত প্যারামিটারের উপর নির্ভর করে।

যাইহোক, আমাদের জন্য তারা কম তাৎপর্যপূর্ণ এন্টিডাম্প- ফাংশন যা যোগ করে ConfuserEx. এর সোর্স কোড এখানে পাওয়া যাবে GitHub.

সুরক্ষা অক্ষম করতে, আমরা সুযোগটি ব্যবহার করব dnSpy, যা আপনাকে সম্পাদনা করতে দেয় IL-কোড

সংরক্ষণ করুন এবং ইনস্টল করুন ব্রেকপয়েন্ট পেলোড ডিক্রিপশন ফাংশন কল করার লাইনে। এটি প্রধান শ্রেণীর কনস্ট্রাক্টরে অবস্থিত।

আমরা পেলোড চালু এবং ডাম্প. পূর্বে লিখিত YARA নিয়মগুলি ব্যবহার করে, আমরা নিশ্চিত করি যে এটি AgentTesla।

নমুনা নং 3

সোর্স ফাইলটি এক্সিকিউটেবল ভিবি নেটিভ PE32- ফাইল।

এনট্রপি বিশ্লেষণ এনক্রিপ্ট করা ডেটার একটি বড় অংশের উপস্থিতি দেখায়।

আবেদনপত্র বিশ্লেষণ করার সময় ভিবি ডিকম্পাইলার আপনি একটি অদ্ভুত pixelated ব্যাকগ্রাউন্ড লক্ষ্য করতে পারেন.

এনট্রপি গ্রাফ BMP-ইমেজটি আসল ফাইলের এনট্রপি গ্রাফের অনুরূপ, এবং আকারটি ফাইলের আকারের 85%।

চিত্রের সাধারণ চেহারা স্টেগানোগ্রাফির ব্যবহার নির্দেশ করে।

আসুন প্রক্রিয়া গাছের চেহারা, সেইসাথে একটি ইনজেকশন মার্কার উপস্থিতি মনোযোগ দিতে।

এটি নির্দেশ করে যে আনপ্যাকিং চলছে। ভিজ্যুয়াল বেসিক লোডারদের জন্য (ওরফে VBKrypt বা ভিবিআইনজেক্টর) সাধারণ ব্যবহার শেলকোড পেলোড শুরু করতে, সেইসাথে ইনজেকশন নিজেই সঞ্চালন করতে।

মধ্যে বিশ্লেষণ ভিবি ডিকম্পাইলার একটি ইভেন্টের উপস্থিতি দেখিয়েছেন বোঝা ফর্ম এ ফেগাটাসোকএয়ারবেলুন2.

চল যাই আইডিএ প্রো নির্দিষ্ট ঠিকানায় এবং ফাংশন অধ্যয়ন. কোডটি ব্যাপকভাবে অস্পষ্ট। আমাদের আগ্রহের অংশটি নীচে উপস্থাপন করা হয়েছে।

এখানে প্রক্রিয়াটির ঠিকানা স্থান একটি স্বাক্ষরের জন্য স্ক্যান করা হয়। এই পদ্ধতি অত্যন্ত সন্দেহজনক.

প্রথম, স্ক্যানিং শুরু ঠিকানা 0x400100. এই মানটি স্থির এবং বেস স্থানান্তরিত হলে সামঞ্জস্য করা হয় না। আদর্শ গ্রিনহাউস পরিস্থিতিতে এটি শেষ নির্দেশ করবে PE- এক্সিকিউটেবল ফাইলের হেডার। যাইহোক, ডাটাবেসটি স্থির নয়, এর মান পরিবর্তিত হতে পারে এবং প্রয়োজনীয় স্বাক্ষরের প্রকৃত ঠিকানা অনুসন্ধান করা, যদিও এটি একটি পরিবর্তনশীল ওভারফ্লো সৃষ্টি করবে না, এটি খুব দীর্ঘ সময় নিতে পারে।

দ্বিতীয়ত, স্বাক্ষরের অর্থ iWGK. আমি মনে করি এটি স্পষ্ট যে 4 বাইট অনন্যতার গ্যারান্টি দেওয়ার জন্য খুব ছোট। এবং আপনি যদি প্রথম পয়েন্টটি বিবেচনায় নেন তবে ভুল করার সম্ভাবনা বেশ বেশি।

আসলে, প্রয়োজনীয় খণ্ডটি পূর্বে পাওয়া শেষের সাথে সংযুক্ত করা হয় BMP-অফসেট দ্বারা ছবি 0xA1D0D.

কর্মক্ষমতা শেলকোড দুটি পর্যায়ে বাহিত। প্রথমটি মূল অংশের পাঠোদ্ধার করে। এই ক্ষেত্রে, কী পাশবিক বল দ্বারা নির্ধারিত হয়।

ডিক্রিপ্ট করা এক ডাম্প শেলকোড এবং লাইন তাকান.

প্রথমত, আমরা এখন একটি শিশু প্রক্রিয়া তৈরি করার ফাংশন জানি: CreateProcessInternalW.

দ্বিতীয়ত, আমরা সিস্টেমে ফিক্সেশনের প্রক্রিয়া সম্পর্কে সচেতন হয়েছি।

মূল প্রক্রিয়ায় ফিরে যাওয়া যাক। চল রাখি ব্রেকপয়েন্ট উপর CreateProcessInternalW এবং মৃত্যুদন্ড চালিয়ে যান। পরবর্তী আমরা সংযোগ দেখতে NtGetContextThread/NtSetContextThread, যা এক্সিকিউশন শুরুর ঠিকানা ঠিকানায় পরিবর্তন করে শেলকোড.

আমরা একটি ডিবাগার দিয়ে তৈরি প্রক্রিয়ার সাথে সংযোগ করি এবং ইভেন্টটি সক্রিয় করি লাইব্রেরি লোড/আনলোড স্থগিত করুন, প্রক্রিয়াটি পুনরায় শুরু করুন এবং লোড হওয়ার জন্য অপেক্ষা করুন .NET- লাইব্রেরি।

আরও ব্যবহার করে প্রসেসহ্যাকার ডাম্প অঞ্চলে প্যাক করা নেই .NET- আবেদন।

আমরা সমস্ত প্রক্রিয়া বন্ধ করি এবং সিস্টেমে এমবেড করা ম্যালওয়্যারের অনুলিপি মুছে ফেলি।

ডাম্প করা ফাইলটি একটি প্রটেক্টর দ্বারা সুরক্ষিত .NET চুল্লি, যা সহজেই একটি ইউটিলিটি ব্যবহার করে সরানো যেতে পারে de4dot.

আগে লেখা YARA নিয়মগুলি ব্যবহার করে, আমরা নিশ্চিত করি যে এটি AgentTesla।

এর সংক্ষিপ্ত বিবরণ দেখা যাক

সুতরাং, আমরা একটি উদাহরণ হিসাবে তিনটি মিনি-কেস ব্যবহার করে আধা-স্বয়ংক্রিয় নমুনা আনপ্যাক করার প্রক্রিয়াটি বিস্তারিতভাবে প্রদর্শন করেছি, এবং একটি পূর্ণাঙ্গ ক্ষেত্রের উপর ভিত্তি করে ম্যালওয়্যার বিশ্লেষণ করেছি, এটি খুঁজে পেয়েছি যে অধ্যয়নের অধীনে নমুনাটি AgentTesla, এটির কার্যকারিতা এবং একটি সমঝোতার সূচকের সম্পূর্ণ তালিকা।

আমরা যে দূষিত বস্তুর বিশ্লেষণ করেছি তার জন্য অনেক সময় এবং প্রচেষ্টা প্রয়োজন এবং এই কাজটি কোম্পানির একজন বিশেষ কর্মচারীর দ্বারা করা উচিত, তবে সমস্ত সংস্থাই একজন বিশ্লেষক নিয়োগ করতে প্রস্তুত নয়।

গ্রুপ-আইবি ল্যাবরেটরি অফ কম্পিউটার ফরেনসিক অ্যান্ড ম্যালিসিয়াস কোড অ্যানালাইসিস দ্বারা প্রদত্ত পরিষেবাগুলির মধ্যে একটি হল সাইবার ঘটনাগুলির প্রতিক্রিয়া৷ এবং যাতে গ্রাহকরা সাইবার আক্রমণের মধ্যে নথি অনুমোদন এবং সেগুলি নিয়ে আলোচনা করতে সময় নষ্ট না করে, গ্রুপ-আইবি চালু করেছে ইনসিডেন্ট রেসপন্স রিটেইনার, একটি প্রাক-সাবস্ক্রিপশন ঘটনা প্রতিক্রিয়া পরিষেবা যা একটি ম্যালওয়্যার বিশ্লেষণ পদক্ষেপও অন্তর্ভুক্ত করে। এই সম্পর্কে আরও তথ্য পাওয়া যাবে এখানে.

আপনি যদি আবারও অধ্যয়ন করতে চান যে কীভাবে এজেন্টটেসলার নমুনাগুলি আনপ্যাক করা হয় এবং একজন সিইআরটি গ্রুপ-আইবি বিশেষজ্ঞ কীভাবে তা করেন, আপনি এই বিষয়ে ওয়েবিনার রেকর্ডিং ডাউনলোড করতে পারেন এখানে.

উত্স: www.habr.com