ESET: OceanLotus સાયબર જૂથ માટે નવી બેકડોર ડિલિવરી યોજનાઓ

આ પોસ્ટમાં અમે તમને જણાવીશું કે કેવી રીતે સાયબર જૂથ ઓશનલોટસ (APT32 અને APT-C-00) એ તાજેતરમાં સાર્વજનિક રૂપે ઉપલબ્ધ શોષણમાંથી એકનો ઉપયોગ કર્યો CVE-2017-11882, માઈક્રોસોફ્ટ ઓફિસમાં મેમરી ભ્રષ્ટાચારની નબળાઈઓ, અને કેવી રીતે ગ્રૂપના માલવેર કોઈ નિશાન છોડ્યા વિના ચેડા કરાયેલી સિસ્ટમ્સ પર દ્રઢતા પ્રાપ્ત કરે છે. આગળ, અમે વર્ણન કરીશું કે કેવી રીતે, 2019 ની શરૂઆતથી, જૂથ કોડ ચલાવવા માટે સ્વ-એક્સટ્રેક્ટિંગ આર્કાઇવ્સનો ઉપયોગ કરી રહ્યું છે.

OceanLotus સાયબર જાસૂસીમાં વિશેષતા ધરાવે છે, જેમાં અગ્રતા લક્ષ્યો દક્ષિણપૂર્વ એશિયાના દેશો છે. હુમલાખોરો એવા દસ્તાવેજો બનાવતા હોય છે જે સંભવિત પીડિતોનું ધ્યાન આકર્ષિત કરે છે જેથી તેઓને પાછલા બારણે ચલાવવા માટે સમજાવે, અને સાધનો વિકસાવવા પર પણ કામ કરે છે. હનીપોટ્સ બનાવવા માટે વપરાતી પદ્ધતિઓ "ડબલ-એક્સ્ટેંશન" ફાઇલો, સ્વ-એક્સટ્રેક્ટિંગ આર્કાઇવ્સ, મેક્રો સાથેના દસ્તાવેજો, જાણીતા શોષણો સુધીના હુમલાઓમાં અલગ અલગ હોય છે.

માઇક્રોસોફ્ટ ઇક્વેશન એડિટરમાં શોષણનો ઉપયોગ કરવો

2018ના મધ્યમાં, OceanLotus એ CVE-2017-11882 નબળાઈનો ઉપયોગ કરતી ઝુંબેશ હાથ ધરી હતી. 360 થ્રેટ ઇન્ટેલિજન્સ સેન્ટર (ચાઇનીઝમાં સંશોધન), શોષણના વિગતવાર વર્ણન સહિત. નીચેની પોસ્ટમાં આવા દૂષિત દસ્તાવેજનું વિહંગાવલોકન છે.

પ્રથમ તબક્કો

દસ્તાવેજ FW Report on demonstration of former CNRP in Republic of Korea.doc (SHA-1: D1357B284C951470066AAA7A8228190B88A5C7C3) ઉપરના અભ્યાસમાં ઉલ્લેખિત સમાન છે. તે રસપ્રદ છે કારણ કે તે કંબોડિયન રાજકારણમાં રસ ધરાવતા વપરાશકર્તાઓને લક્ષ્યમાં રાખે છે (CNRP - કંબોડિયા નેશનલ રેસ્ક્યુ પાર્ટી, 2017 ના અંતમાં વિસર્જન). .doc એક્સ્ટેંશન હોવા છતાં, દસ્તાવેજ RTF ફોર્મેટમાં છે (નીચેનું ચિત્ર જુઓ), તેમાં ગાર્બેજ કોડ છે અને તે વિકૃત પણ છે.

આકૃતિ 1. RTF માં "કચરો".

ભલે ત્યાં ગડબડ તત્વો હોય, વર્ડ આ RTF ફાઇલને સફળતાપૂર્વક ખોલે છે. જેમ તમે આકૃતિ 2 માં જોઈ શકો છો, ઑફસેટ 0xC00 પર એક EQNOLEFILEHDR માળખું છે, ત્યારબાદ MTEF હેડર, અને પછી ફોન્ટ માટે MTEF એન્ટ્રી (આકૃતિ 3) છે.

આકૃતિ 2. FONT એન્ટ્રી મૂલ્યો

આકૃતિ 3. FONT રેકોર્ડિંગ ફોર્મેટ

ક્ષેત્રમાં સંભવિત ઓવરફ્લો નામ, કારણ કે નકલ કરતા પહેલા તેનું કદ તપાસવામાં આવતું નથી. જે નામ ખૂબ લાંબુ છે તે નબળાઈને ટ્રિગર કરે છે. જેમ તમે RTF ફાઇલના સમાવિષ્ટોમાંથી જોઈ શકો છો (આકૃતિ 0 માં 26xC2 ઑફસેટ કરો), બફર શેલકોડથી ભરેલું છે અને ત્યારબાદ ડમી આદેશ (0x90) અને પરત સરનામું 0x402114. સરનામું એક સંવાદ તત્વ છે EQNEDT32.exe, સૂચનાઓ દર્શાવે છે RET. આનાથી EIP ફીલ્ડની શરૂઆત તરફ નિર્દેશ કરે છે નામશેલકોડ ધરાવે છે.

આકૃતિ 4. શોષણ શેલકોડની શરૂઆત

સરનામું 0x45BD3C એક ચલ સંગ્રહિત કરે છે કે જ્યાં સુધી તે વર્તમાનમાં લોડ થયેલ માળખાના નિર્દેશક સુધી પહોંચે નહીં ત્યાં સુધી સંદર્ભિત કરવામાં આવે છે MTEFData. શેલકોડનો બાકીનો ભાગ અહીં છે.

શેલકોડનો હેતુ ખુલ્લા દસ્તાવેજમાં એમ્બેડ કરેલા શેલકોડના બીજા ભાગને એક્ઝિક્યુટ કરવાનો છે. મૂળ શેલકોડ સૌપ્રથમ બધા સિસ્ટમ વર્ણનકર્તાઓ પર પુનરાવર્તિત કરીને ખુલ્લા દસ્તાવેજના ફાઇલ વર્ણનકર્તાને શોધવાનો પ્રયાસ કરે છે (NtQuerySystemInformation દલીલ સાથે SystemExtendedHandleInformation) અને તેઓ મેચ કરે છે કે કેમ તે તપાસી રહ્યું છે PID વર્ણનકર્તા અને PID પ્રક્રિયા WinWord અને દસ્તાવેજ એક્સેસ માસ્ક વડે ખોલવામાં આવ્યો હતો કે કેમ - 0x12019F.

ખાતરી કરવા માટે કે સાચું હેન્ડલ મળ્યું છે (અને અન્ય ખુલ્લા દસ્તાવેજનું હેન્ડલ નથી), ફંક્શનનો ઉપયોગ કરીને ફાઇલની સામગ્રી પ્રદર્શિત થાય છે. CreateFileMapping, અને શેલકોડ તપાસે છે કે દસ્તાવેજના છેલ્લા ચાર બાઇટ્સ મેળ ખાય છે કે કેમ "yyyy"(ઇંડાનો શિકાર કરવાની પદ્ધતિ). એકવાર મેચ મળી જાય પછી, દસ્તાવેજને અસ્થાયી ફોલ્ડરમાં કૉપિ કરવામાં આવે છે (GetTempPath) કેવી રીતે ole.dll. પછી દસ્તાવેજના છેલ્લા 12 બાઇટ્સ વાંચવામાં આવે છે.

આકૃતિ 5. દસ્તાવેજ માર્કર્સનો અંત

માર્કર્સ વચ્ચે 32-બીટ મૂલ્ય AABBCCDD и yyyy આગલા શેલકોડનું ઓફસેટ છે. તેને ફંક્શનનો ઉપયોગ કરીને કહેવામાં આવે છે CreateThread. OceanLotus જૂથ દ્વારા અગાઉ ઉપયોગમાં લેવાતા સમાન શેલકોડને બહાર કાઢ્યો. પાયથોન ઇમ્યુલેશન સ્ક્રિપ્ટ, જે અમે માર્ચ 2018 માં રિલીઝ કર્યું હતું, તે હજુ પણ બીજા તબક્કાના ડમ્પ માટે કામ કરે છે.

બીજો તબક્કો

ઘટકો દૂર કરી રહ્યા છીએ

ફાઇલ અને ડિરેક્ટરી નામો ગતિશીલ રીતે પસંદ કરવામાં આવે છે. કોડ રેન્ડમલી એક્ઝેક્યુટેબલ અથવા DLL ફાઇલનું નામ પસંદ કરે છે C:Windowssystem32. તે પછી તેના સંસાધનોને વિનંતી કરે છે અને ક્ષેત્ર પુનઃપ્રાપ્ત કરે છે FileDescription ફોલ્ડર નામ તરીકે ઉપયોગ કરવા માટે. જો આ કામ કરતું નથી, તો કોડ રેન્ડમલી ડિરેક્ટરીઓમાંથી ફોલ્ડરનું નામ પસંદ કરે છે %ProgramFiles% અથવા C:Windows (из GetWindowsDirectoryW). Он избегает использования имени, которое может конфликтовать с существующими файлами, и следит за тем, чтобы оно не содержало следующие слова: windows, Microsoft, desktop, system, system32 અથવા syswow64. જો ડિરેક્ટરી પહેલેથી જ અસ્તિત્વમાં છે, તો નામ સાથે "NLS_{6 અક્ષરો}" જોડવામાં આવે છે.

રિસોર્સ 0x102 વિશ્લેષણ કરવામાં આવે છે અને ફાઇલો ડમ્પ કરવામાં આવે છે %ProgramFiles% અથવા %AppData%, રેન્ડમલી પસંદ કરેલ ફોલ્ડરમાં. સમાન મૂલ્યો રાખવા માટે બનાવટનો સમય બદલ્યો kernel32.dll.

ઉદાહરણ તરીકે, અહીં એક્ઝિક્યુટેબલ પસંદ કરીને બનાવેલ ફોલ્ડર અને ફાઇલોની સૂચિ છે C:Windowssystem32TCPSVCS.exe ડેટા સ્ત્રોત તરીકે.

આકૃતિ 6. વિવિધ ઘટકો કાઢવા

સંસાધન માળખું 0x102 ડ્રોપરમાં ખૂબ જટિલ છે. ટૂંકમાં, તે સમાવે છે:
- ફાઇલ નામો
- ફાઇલનું કદ અને સામગ્રી
- કમ્પ્રેશન ફોર્મેટ (COMPRESSION_FORMAT_LZNT1, ફંક્શન દ્વારા ઉપયોગમાં લેવાય છે RtlDecompressBuffer)

પ્રથમ ફાઇલ તરીકે રીસેટ કરવામાં આવી છે TCPSVCS.exe, જે કાયદેસર છે AcroTranscoder.exe (અનુસાર FileDescription, SHA-1: 2896738693A8F36CC7AD83EF1FA46F82F32BE5A3).

તમે કદાચ નોંધ્યું હશે કે કેટલીક DLL ફાઇલો 11 MB કરતા મોટી હોય છે. આનું કારણ એ છે કે એક્ઝેક્યુટેબલ ફાઇલની અંદર રેન્ડમ ડેટાનો મોટો સંલગ્ન બફર મૂકવામાં આવ્યો છે. શક્ય છે કે કેટલાક સુરક્ષા ઉત્પાદનો દ્વારા શોધ ટાળવાનો આ એક માર્ગ છે.

દ્રઢતાની ખાતરી કરવી

રિસોર્સ 0x101 ડ્રોપરમાં બે 32-બીટ પૂર્ણાંકો છે જે સ્પષ્ટ કરે છે કે કેવી રીતે દ્રઢતા પ્રદાન કરવી જોઈએ. પ્રથમનું મૂલ્ય સ્પષ્ટ કરે છે કે સંચાલક અધિકારો વિના માલવેર કેવી રીતે ચાલુ રહેશે.

કોષ્ટક 1. એડમિનિસ્ટ્રેટર અધિકારો વિના દ્રઢતાની પદ્ધતિ

બીજા પૂર્ણાંકનું મૂલ્ય નિર્દિષ્ટ કરે છે કે સંચાલક અધિકારો સાથે ચાલતી વખતે માલવેરને કેવી રીતે દ્રઢતા પ્રાપ્ત કરવી જોઈએ.

કોષ્ટક 2. એડમિનિસ્ટ્રેટર અધિકારો સાથે દ્રઢતાની પદ્ધતિ

સેવાનું નામ એક્સ્ટેંશન વિના ફાઇલનું નામ છે; ડિસ્પ્લે નામ એ ફોલ્ડરનું નામ છે, પરંતુ જો તે પહેલાથી જ અસ્તિત્વમાં છે, તો શબ્દમાળા " તેની સાથે જોડાયેલ છેRevision 1” (ઉપયોગી નામ ન મળે ત્યાં સુધી સંખ્યા વધે છે). ઓપરેટરોએ ખાતરી કરી કે સેવા દ્વારા દ્રઢતા મજબૂત છે - નિષ્ફળતાના કિસ્સામાં, સેવા 1 સેકન્ડ પછી ફરી શરૂ થવી જોઈએ. પછી મૂલ્ય WOW64 નવી સેવાની રજિસ્ટ્રી કી 4 પર સેટ છે, જે દર્શાવે છે કે તે 32-બીટ સેવા છે.

સુનિશ્ચિત કાર્ય ઘણા COM ઇન્ટરફેસ દ્વારા બનાવવામાં આવે છે: ITaskScheduler, ITask, ITaskTrigger, IPersistFile и ITaskScheduler. અનિવાર્યપણે, માલવેર એક છુપાયેલ કાર્ય બનાવે છે, વર્તમાન વપરાશકર્તા અથવા વ્યવસ્થાપકની માહિતી સાથે એકાઉન્ટ માહિતી સેટ કરે છે અને પછી ટ્રિગર સેટ કરે છે.

આ 24 કલાકની અવધિ અને 10 મિનિટના બે અમલ વચ્ચેના અંતરાલ સાથેનું દૈનિક કાર્ય છે, જેનો અર્થ છે કે તે સતત ચાલશે.

દૂષિત બીટ

અમારા ઉદાહરણમાં, એક્ઝેક્યુટેબલ ફાઇલ TCPSVCS.exe (AcroTranscoder.exe) એ કાયદેસર સોફ્ટવેર છે જે તેની સાથે રીસેટ થયેલ DLL લોડ કરે છે. આ કિસ્સામાં, તે રસ છે Flash Video Extension.dll.

તેનું કાર્ય DLLMain ફક્ત અન્ય કાર્યને કૉલ કરે છે. કેટલાક અસ્પષ્ટ આગાહીઓ હાજર છે:

આકૃતિ 7. અસ્પષ્ટ આગાહી

આ ગેરમાર્ગે દોરનારી તપાસો પછી, કોડને એક વિભાગ મળે છે .text ફાઇલ TCPSVCS.exe, તેના સંરક્ષણમાં ફેરફાર કરે છે PAGE_EXECUTE_READWRITE અને ડમી સૂચનાઓ ઉમેરીને તેને ફરીથી લખે છે:

આકૃતિ 8. સૂચનાઓનો ક્રમ

ફંક્શન એડ્રેસના અંતે FLVCore::Uninitialize(void), નિકાસ કરેલ Flash Video Extension.dll, સૂચના ઉમેરવામાં આવે છે CALL. આનો અર્થ એ છે કે દૂષિત DLL લોડ થયા પછી, જ્યારે રનટાઈમ કૉલ કરે છે WinMain в TCPSVCS.exe, સૂચના નિર્દેશક NOP તરફ નિર્દેશ કરશે, જેના કારણે FLVCore::Uninitialize(void), આગામી તબક્કો.

ફંક્શન સરળ રીતે શરૂ કરીને મ્યુટેક્સ બનાવે છે {181C8480-A975-411C-AB0A-630DB8B0A221}વર્તમાન વપરાશકર્તાનામ દ્વારા અનુસરવામાં આવે છે. તે પછી ડમ્પ કરેલી *.db3 ફાઇલ વાંચે છે, જેમાં સ્થિતિ-સ્વતંત્ર કોડ હોય છે અને તેનો ઉપયોગ થાય છે CreateThread સામગ્રી ચલાવવા માટે.

*.db3 ફાઇલની સામગ્રી એ શેલકોડ છે જેનો OceanLotus જૂથ સામાન્ય રીતે ઉપયોગ કરે છે. અમે પ્રકાશિત કરેલી ઇમ્યુલેટર સ્ક્રિપ્ટનો ઉપયોગ કરીને અમે તેના પેલોડને ફરીથી સફળતાપૂર્વક અનપેક કર્યું GitHub પર.

સ્ક્રિપ્ટ અંતિમ તબક્કાને બહાર કાઢે છે. આ ઘટક બેકડોર છે, જેનું અમે પહેલાથી જ વિશ્લેષણ કર્યું છે અગાઉનો ઓશનલોટસ અભ્યાસ. આ GUID દ્વારા નક્કી કરી શકાય છે {A96B020F-0000-466F-A96D-A91BBF8EAC96} દ્વિસંગી ફાઇલ. માલવેર ગોઠવણી હજુ પણ PE સંસાધનમાં એન્ક્રિપ્ટેડ છે. તે લગભગ સમાન રૂપરેખાંકન ધરાવે છે, પરંતુ C&C સર્વર્સ અગાઉના કરતા અલગ છે:

- andreagahuvrauvin[.]com
- byronorenstein[.]com
- stienollmache[.]xyz

OceanLotus ટીમ ફરીથી તપાસ ટાળવા માટે વિવિધ તકનીકોના સંયોજનનું નિદર્શન કરે છે. તેઓ ચેપ પ્રક્રિયાના "સંસ્કૃત" રેખાકૃતિ સાથે પાછા ફર્યા. રેન્ડમ નામો પસંદ કરીને અને રેન્ડમ ડેટા સાથે એક્ઝિક્યુટેબલ્સ ભરીને, તેઓ વિશ્વસનીય IoC ની સંખ્યા ઘટાડે છે (હેશ અને ફાઇલ નામો પર આધારિત). વધુમાં, તૃતીય-પક્ષ DLL લોડિંગના ઉપયોગ માટે આભાર, હુમલાખોરોએ માત્ર કાયદેસર દ્વિસંગી દૂર કરવાની જરૂર છે AcroTranscoder.

સ્વ-નિષ્કર્ષણ આર્કાઇવ્સ

RTF ફાઇલો પછી, જૂથ વપરાશકર્તાને વધુ મૂંઝવણમાં મૂકવા માટે સામાન્ય દસ્તાવેજ ચિહ્નો સાથે સેલ્ફ-એક્સટ્રેક્ટિંગ (SFX) આર્કાઇવ્સમાં ખસેડ્યું. ધમકીપુસ્તકે આ વિશે લખ્યું છે (ચાઇનીઝમાં લિંક). લોન્ચ કર્યા પછી, સ્વ-એક્સટ્રેક્ટિંગ RAR ફાઇલો છોડી દેવામાં આવે છે અને .ocx એક્સ્ટેંશન સાથે DLL ચલાવવામાં આવે છે, જેનો અંતિમ પેલોડ અગાઉ દસ્તાવેજીકૃત કરવામાં આવ્યો છે. {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll. જાન્યુઆરી 2019ના મધ્યભાગથી, OceanLotus આ ટેકનિકનો પુનઃઉપયોગ કરી રહ્યું છે, પરંતુ સમય જતાં કેટલીક ગોઠવણીઓ બદલી રહી છે. આ વિભાગમાં આપણે ટેકનિક અને ફેરફારો વિશે વાત કરીશું.

લ્યુર બનાવવું

દસ્તાવેજ THICH-THONG-LAC-HANH-THAP-THIEN-VIET-NAM (1).EXE (SHA-1: AC10F5B1D5ECAB22B7B418D6E98FA18E32BBDEAB) પ્રથમ વખત 2018 માં મળી આવી હતી. આ SFX ફાઇલ સમજદારીપૂર્વક બનાવવામાં આવી હતી - વર્ણનમાં (સંસ્કરણ માહિતી) તે કહે છે કે આ એક JPEG છબી છે. SFX સ્ક્રિપ્ટ આના જેવી દેખાય છે:

આકૃતિ 9. SFX આદેશો

માલવેર રીસેટ થાય છે {9ec60ada-a200-4159-b310-8071892ed0c3}.ocx (SHA-1: EFAC23B0E6395B1178BCF7086F72344B24C04DCC), તેમજ એક ચિત્ર 2018 thich thong lac.jpg.

ડિકોય ઇમેજ આના જેવો દેખાય છે:

આકૃતિ 10. ડિકોય ઈમેજ

તમે નોંધ્યું હશે કે SFX સ્ક્રિપ્ટમાં પ્રથમ બે લીટીઓ OCX ફાઇલને બે વાર કૉલ કરે છે, પરંતુ આ કોઈ ભૂલ નથી.

{9ec60ada-a200-4159-b310-8071892ed0c3}.ocx (ShLd.dll)

OCX ફાઇલનો કંટ્રોલ ફ્લો અન્ય OceanLotus ઘટકો જેવો જ છે - ઘણા કમાન્ડ સિક્વન્સ JZ/JNZ и PUSH/RET, ગાર્બેજ કોડ સાથે વૈકલ્પિક.

આકૃતિ 11. અસ્પષ્ટ કોડ

જંક કોડને ફિલ્ટર કર્યા પછી, નિકાસ કરો DllRegisterServer, કહેવાય છે regsvr32.exe, નીચે પ્રમાણે:

આકૃતિ 12. મૂળભૂત ઇન્સ્ટોલર કોડ

મૂળભૂત રીતે, પ્રથમ કૉલ પર DllRegisterServer નિકાસ રજિસ્ટ્રી મૂલ્ય સેટ કરે છે HKCUSOFTWAREClassesCLSID{E08A0F4B-1F65-4D4D-9A09-BD4625B9C5A1}Model DLL માં એન્ક્રિપ્ટેડ ઓફસેટ માટે (0x10001DE0).

જ્યારે ફંક્શનને બીજી વખત બોલાવવામાં આવે છે, ત્યારે તે સમાન મૂલ્ય વાંચે છે અને તે સરનામા પર એક્ઝિક્યુટ કરે છે. અહીંથી રિસોર્સ અને RAM માં ઘણી બધી ક્રિયાઓ વાંચવામાં અને ચલાવવામાં આવે છે.

શેલકોડ એ જ PE લોડર છે જેનો ઉપયોગ ભૂતકાળના OceanLotus ઝુંબેશોમાં થયો હતો. તેનો ઉપયોગ કરીને અનુકરણ કરી શકાય છે અમારી સ્ક્રિપ્ટ. અંતે તે ફરીથી સેટ કરે છે db293b825dcc419ba7dc2c49fa2757ee.dll, તેને મેમરીમાં લોડ કરે છે અને એક્ઝિક્યુટ કરે છે DllEntry.

DLL તેના સંસાધનની સામગ્રીને બહાર કાઢે છે, ડિક્રિપ્ટ કરે છે (AES-256-CBC) અને તેને ડિકમ્પ્રેસ કરે છે (LZMA). સંસાધન ચોક્કસ ફોર્મેટ ધરાવે છે જે ડિકમ્પાઇલ કરવું સરળ છે.

આકૃતિ 13. ઇન્સ્ટોલર રૂપરેખાંકન માળખું (KaitaiStruct Visualizer)

રૂપરેખાંકન સ્પષ્ટ રીતે ઉલ્લેખિત છે - વિશેષાધિકાર સ્તરના આધારે, બાઈનરી ડેટા આના પર લખવામાં આવશે %appdata%IntellogsBackgroundUploadTask.cpl અથવા %windir%System32BackgroundUploadTask.cpl (અથવા SysWOW64 64-બીટ સિસ્ટમો માટે).

નામ સાથે કાર્ય બનાવીને વધુ દ્રઢતા સુનિશ્ચિત કરવામાં આવે છે BackgroundUploadTask[junk].jobજ્યાં [junk] બાઇટ્સનો સમૂહ રજૂ કરે છે 0x9D и 0xA0.

કાર્ય એપ્લિકેશનનું નામ %windir%System32control.exe, અને પેરામીટર મૂલ્ય એ ડાઉનલોડ કરેલી બાઈનરી ફાઇલનો પાથ છે. છુપાયેલ કાર્ય દરરોજ ચાલે છે.

માળખાકીય રીતે, CPL ફાઇલ આંતરિક નામ સાથે DLL છે ac8e06de0a6c4483af9837d96504127e.dll, જે ફંક્શનની નિકાસ કરે છે CPlApplet. આ ફાઇલ તેના એકમાત્ર સંસાધનને ડિક્રિપ્ટ કરે છે {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll, પછી આ DLL લોડ કરે છે અને તેના એકમાત્ર નિકાસને કૉલ કરે છે DllEntry.

બેકડોર રૂપરેખાંકન ફાઇલ

બેકડોર રૂપરેખાંકન એનક્રિપ્ટ થયેલ છે અને તેના સંસાધનોમાં એમ્બેડ કરેલ છે. રૂપરેખાંકન ફાઇલનું માળખું અગાઉના એક જેવું જ છે.

આકૃતિ 14. બેકડોર રૂપરેખાંકન માળખું (KaitaiStruct Visualizer)

માળખું સમાન હોવા છતાં, ઘણા ફીલ્ડ મૂલ્યો જે દર્શાવેલ છે તેમાંથી અપડેટ કરવામાં આવ્યા છે અમારો જૂનો અહેવાલ.

બાઈનરી એરેના પ્રથમ તત્વમાં DLL (HttpProv.dll MD5: 2559738D1BD4A999126F900C7357B759), Tencent દ્વારા ઓળખવામાં આવે છે. પરંતુ નિકાસનું નામ બાઈનરીમાંથી દૂર કરવામાં આવ્યું હોવાથી, હેશ મેળ ખાતા નથી.

વધારાના સંશોધન

નમૂનાઓ એકત્રિત કરતી વખતે, અમે કેટલીક લાક્ષણિકતાઓ ધ્યાનમાં લીધી. હમણાં જ વર્ણવેલ નમૂનો જુલાઈ 2018 ની આસપાસ દેખાયો, અને તેના જેવા અન્ય લોકો તાજેતરમાં જ જાન્યુઆરીના મધ્યથી ફેબ્રુઆરી 2019 ની શરૂઆતમાં દેખાયા. SFX આર્કાઇવનો ઉપયોગ ઇન્ફેક્શન વેક્ટર તરીકે કરવામાં આવ્યો હતો, જેમાં કાયદેસર ડિકૉય દસ્તાવેજ અને દૂષિત OSX ફાઇલ છોડી દેવામાં આવી હતી.

ભલે OceanLotus નકલી ટાઇમસ્ટેમ્પનો ઉપયોગ કરે છે, અમે નોંધ્યું છે કે SFX અને OCX ફાઇલોના ટાઇમસ્ટેમ્પ હંમેશા સમાન હોય છે (0x57B0C36A (08/14/2016 @ 7:15pm UTC) અને 0x498BE80F (02/06/2009 @ 7:34am UTC) અનુક્રમે). આ સંભવતઃ સૂચવે છે કે લેખકો પાસે અમુક પ્રકારના "ડિઝાઇનર" છે જે સમાન નમૂનાઓનો ઉપયોગ કરે છે અને કેટલીક લાક્ષણિકતાઓમાં ફેરફાર કરે છે.

2018 ની શરૂઆતથી અમે જે દસ્તાવેજોનો અભ્યાસ કર્યો છે તેમાં, હુમલાખોરો માટે રસ ધરાવતા દેશોને સૂચવતા વિવિધ નામો છે:

— કંબોડિયા મીડિયાની નવી સંપર્ક માહિતી(New).xls.exe
— 李建香 (个人简历).exe (CV નો નકલી pdf દસ્તાવેજ)
— પ્રતિસાદ, યુએસએમાં 28-29 જુલાઈ, 2018 સુધી રેલી.exe

પાછલા દરવાજાની શોધ થઈ ત્યારથી {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll અને કેટલાક સંશોધકો દ્વારા તેના વિશ્લેષણનું પ્રકાશન, અમે માલવેર ગોઠવણી ડેટામાં કેટલાક ફેરફારો જોયા.

પ્રથમ, લેખકોએ હેલ્પર ડીએલએલમાંથી નામો દૂર કરવાનું શરૂ કર્યું (DNSprov.dll અને બે આવૃત્તિઓ HttpProv.dll). ત્યારબાદ ઓપરેટરોએ ત્રીજી ડીએલએલ (બીજી આવૃત્તિ HttpProv.dll), માત્ર એક જ એમ્બેડ કરવાનું પસંદ કરી રહ્યા છીએ.

બીજું, ઘણા બેકડોર રૂપરેખાંકન ક્ષેત્રો બદલવામાં આવ્યા હતા, ઘણા IoC ઉપલબ્ધ થયા હોવાથી શોધ ટાળવાની શક્યતા છે. લેખકો દ્વારા સંશોધિત મહત્વપૂર્ણ ક્ષેત્રોમાં સમાવેશ થાય છે:

• AppX રજિસ્ટ્રી કી બદલાઈ (IoCs જુઓ)
• મ્યુટેક્સ એન્કોડિંગ સ્ટ્રિંગ ("def", "abc", "ghi")
• પોર્ટ નંબર

છેલ્લે, વિશ્લેષિત તમામ નવા સંસ્કરણોમાં IoCs વિભાગમાં સૂચિબદ્ધ નવા C&C છે.

તારણો

OceanLotus વિકાસ કરવાનું ચાલુ રાખે છે. સાયબર ગ્રૂપ ટૂલ્સ અને ડેકોય્સને રિફાઇનિંગ અને વિસ્તરણ પર ધ્યાન કેન્દ્રિત કરે છે. લેખકો ધ્યાન ખેંચતા દસ્તાવેજોનો ઉપયોગ કરીને દૂષિત પેલોડને છૂપાવે છે જેનો વિષય ઇચ્છિત પીડિતો માટે સંબંધિત છે. તેઓ નવી યોજનાઓ વિકસાવે છે અને સાર્વજનિક રૂપે ઉપલબ્ધ સાધનોનો પણ ઉપયોગ કરે છે, જેમ કે સમીકરણ સંપાદક શોષણ. તદુપરાંત, તેઓ પીડિતોના મશીનો પર બાકી રહેલી કલાકૃતિઓની સંખ્યા ઘટાડવા માટે સાધનોમાં સુધારો કરી રહ્યા છે, જેનાથી એન્ટીવાયરસ સોફ્ટવેર દ્વારા શોધવાની તકો ઓછી થાય છે.

સમાધાનના સૂચક

સમાધાનના સૂચકાંકો તેમજ MITER ATT&CK વિશેષતાઓ ઉપલબ્ધ છે વેલિવસિક્યુરિટી પર и GitHub પર.

સોર્સ: www.habr.com