RTM સાયબર ગ્રૂપ રશિયન કંપનીઓના ભંડોળની ચોરી કરવામાં નિષ્ણાત છે

ત્યાં ઘણા જાણીતા સાયબર જૂથો છે જે રશિયન કંપનીઓ પાસેથી ભંડોળની ચોરી કરવામાં નિષ્ણાત છે. અમે સુરક્ષા છટકબારીઓનો ઉપયોગ કરીને હુમલા જોયા છે જે લક્ષ્યના નેટવર્કને ઍક્સેસ કરવાની મંજૂરી આપે છે. એકવાર તેઓ ઍક્સેસ મેળવે છે, હુમલાખોરો સંસ્થાના નેટવર્ક માળખાનો અભ્યાસ કરે છે અને ભંડોળની ચોરી કરવા માટે તેમના પોતાના સાધનોનો ઉપયોગ કરે છે. આ વલણનું ઉત્તમ ઉદાહરણ હેકર જૂથો બુહટ્રેપ, કોબાલ્ટ અને કોર્કો છે.

RTM જૂથ કે જેના પર આ અહેવાલ ધ્યાન કેન્દ્રિત કરે છે તે આ વલણનો એક ભાગ છે. તે ડેલ્ફીમાં લખેલા ખાસ ડિઝાઇન કરેલા માલવેરનો ઉપયોગ કરે છે, જેને આપણે નીચેના વિભાગોમાં વધુ વિગતવાર જોઈશું. ESET ટેલિમેટ્રી સિસ્ટમમાં આ સાધનોના પ્રથમ નિશાન 2015 ના અંતમાં મળી આવ્યા હતા. ટીમ જરૂરિયાત મુજબ ચેપગ્રસ્ત સિસ્ટમો પર વિવિધ નવા મોડ્યુલો લોડ કરે છે. આ હુમલાઓ રશિયા અને કેટલાક પડોશી દેશોમાં રિમોટ બેંકિંગ સિસ્ટમના વપરાશકર્તાઓને ધ્યાનમાં રાખીને કરવામાં આવે છે.

1. ઉદ્દેશ્યો

આરટીએમ ઝુંબેશ કોર્પોરેટ વપરાશકર્તાઓને ધ્યાનમાં રાખીને બનાવવામાં આવી છે - આ તે પ્રક્રિયાઓથી સ્પષ્ટ છે કે જે હુમલાખોરો સમાધાનવાળી સિસ્ટમમાં શોધવાનો પ્રયાસ કરે છે. રિમોટ બેંકિંગ સિસ્ટમ સાથે કામ કરવા માટે એકાઉન્ટિંગ સોફ્ટવેર પર ફોકસ છે.

RTM ની રુચિની પ્રક્રિયાઓની સૂચિ બુહટ્રેપ જૂથની અનુરૂપ સૂચિને મળતી આવે છે, પરંતુ જૂથોમાં વિવિધ ચેપ વેક્ટર્સ હોય છે. જો બુહટ્રેપ વધુ વખત નકલી પૃષ્ઠોનો ઉપયોગ કરે છે, તો RTM એ ડ્રાઇવ-બાય ડાઉનલોડ હુમલા (બ્રાઉઝર અથવા તેના ઘટકો પરના હુમલા) અને ઇમેઇલ દ્વારા સ્પામિંગનો ઉપયોગ કર્યો હતો. ટેલિમેટ્રી ડેટા અનુસાર, ખતરો રશિયા અને કેટલાક નજીકના દેશો (યુક્રેન, કઝાકિસ્તાન, ચેક રિપબ્લિક, જર્મની) પર છે. જો કે, સામૂહિક વિતરણ મિકેનિઝમ્સના ઉપયોગને કારણે, લક્ષ્ય વિસ્તારોની બહાર માલવેરની શોધ આશ્ચર્યજનક નથી.

માલવેર શોધની કુલ સંખ્યા પ્રમાણમાં ઓછી છે. બીજી બાજુ, આરટીએમ ઝુંબેશ જટિલ કાર્યક્રમોનો ઉપયોગ કરે છે, જે સૂચવે છે કે હુમલાઓ ખૂબ જ લક્ષિત છે.

અમે આરટીએમ દ્વારા ઉપયોગમાં લેવાતા ઘણા ડિકૉય દસ્તાવેજો શોધી કાઢ્યા છે, જેમાં અસ્તિત્વમાં ન હોય તેવા કોન્ટ્રાક્ટ્સ, ઇન્વૉઇસ અથવા ટેક્સ એકાઉન્ટિંગ દસ્તાવેજોનો સમાવેશ થાય છે. હુમલા દ્વારા લક્ષિત સોફ્ટવેરના પ્રકાર સાથે મળીને લ્યુર્સની પ્રકૃતિ સૂચવે છે કે હુમલાખોરો એકાઉન્ટિંગ વિભાગ દ્વારા રશિયન કંપનીઓના નેટવર્કમાં "પ્રવેશ" કરી રહ્યા છે. જૂથે સમાન યોજના અનુસાર કાર્ય કર્યું બુહટ્રેપ 2014-2015 માં

સંશોધન દરમિયાન, અમે કેટલાક C&C સર્વર્સ સાથે ક્રિયાપ્રતિક્રિયા કરવામાં સક્ષમ હતા. અમે નીચેના વિભાગોમાં આદેશોની સંપૂર્ણ સૂચિ સૂચિબદ્ધ કરીશું, પરંતુ હમણાં માટે અમે કહી શકીએ કે ક્લાયંટ કીલોગરમાંથી ડેટાને સીધા હુમલો કરતા સર્વર પર સ્થાનાંતરિત કરે છે, જેમાંથી વધારાના આદેશો પ્રાપ્ત થાય છે.

જો કે, તે દિવસો જ્યારે તમે કમાન્ડ અને કંટ્રોલ સર્વર સાથે ફક્ત કનેક્ટ કરી શકતા હતા અને તમને રુચિ હતી તે તમામ ડેટા એકત્રિત કરી શકતા હતા. સર્વરમાંથી કેટલાક સંબંધિત આદેશો મેળવવા માટે અમે વાસ્તવિક લોગ ફાઇલોને ફરીથી બનાવી છે.

તેમાંથી પ્રથમ ફાઇલ 1c_to_kl.txt - 1C: Enterprise 8 પ્રોગ્રામની ટ્રાન્સપોર્ટ ફાઇલને સ્થાનાંતરિત કરવા માટે બોટને વિનંતી છે, જેનો દેખાવ RTM દ્વારા સક્રિયપણે મોનિટર કરવામાં આવે છે. 1C ટેક્સ્ટ ફાઇલમાં આઉટગોઇંગ પેમેન્ટ્સ પર ડેટા અપલોડ કરીને રિમોટ બેંકિંગ સિસ્ટમ સાથે સંપર્ક કરે છે. આગળ, ફાઇલને ઓટોમેશન અને પેમેન્ટ ઓર્ડરના અમલ માટે રિમોટ બેંકિંગ સિસ્ટમ પર મોકલવામાં આવે છે.

ફાઇલમાં ચુકવણીની વિગતો છે. જો હુમલાખોરો આઉટગોઇંગ પેમેન્ટ્સ વિશેની માહિતીમાં ફેરફાર કરે છે, તો હુમલાખોરોના ખાતામાં ખોટી વિગતોનો ઉપયોગ કરીને ટ્રાન્સફર મોકલવામાં આવશે.

કમાન્ડ અને કંટ્રોલ સર્વરમાંથી આ ફાઇલોની વિનંતી કર્યાના લગભગ એક મહિના પછી, અમે એક નવું પ્લગઇન, 1c_2_kl.dll, ચેડા કરાયેલ સિસ્ટમ પર લોડ થતું જોયું. મોડ્યુલ (DLL) એકાઉન્ટિંગ સોફ્ટવેર પ્રક્રિયાઓમાં પ્રવેશ કરીને ડાઉનલોડ ફાઇલનું આપમેળે વિશ્લેષણ કરવા માટે રચાયેલ છે. અમે નીચેના વિભાગોમાં તેનું વિગતવાર વર્ણન કરીશું.

રસપ્રદ વાત એ છે કે, 2016 ના અંતમાં બેંક ઓફ રશિયાના FinCERT એ 1c_to_kl.txt અપલોડ ફાઇલોનો ઉપયોગ કરીને સાયબર અપરાધીઓ વિશે બુલેટિન ચેતવણી જારી કરી હતી. 1C ના ડેવલપર્સ પણ આ સ્કીમ વિશે જાણે છે; તેઓએ પહેલેથી જ સત્તાવાર નિવેદન આપ્યું છે અને સાવચેતીઓ સૂચિબદ્ધ કરી છે.

અન્ય મોડ્યુલો પણ કમાન્ડ સર્વરમાંથી લોડ કરવામાં આવ્યા હતા, ખાસ કરીને VNC (તેના 32 અને 64-બીટ વર્ઝન). તે VNC મોડ્યુલ જેવું લાગે છે જે અગાઉ ડ્રિડેક્સ ટ્રોજન હુમલામાં ઉપયોગમાં લેવાયું હતું. આ મોડ્યુલનો ઉપયોગ ચેપગ્રસ્ત કોમ્પ્યુટર સાથે રિમોટલી કનેક્ટ કરવા અને સિસ્ટમનો વિગતવાર અભ્યાસ કરવા માટે માનવામાં આવે છે. આગળ, હુમલાખોરો નેટવર્કની આસપાસ ફરવાનો પ્રયાસ કરે છે, વપરાશકર્તાના પાસવર્ડ્સ કાઢે છે, માહિતી એકત્રિત કરે છે અને માલવેરની સતત હાજરીની ખાતરી કરે છે.

2. ચેપના વેક્ટર્સ

નીચેનો આંકડો ઝુંબેશના અભ્યાસ સમયગાળા દરમિયાન શોધાયેલ ચેપ વેક્ટર્સ દર્શાવે છે. જૂથ વેક્ટર્સની વિશાળ શ્રેણીનો ઉપયોગ કરે છે, પરંતુ મુખ્યત્વે ડ્રાઇવ-બાય ડાઉનલોડ હુમલાઓ અને સ્પામ. આ સાધનો લક્ષિત હુમલાઓ માટે અનુકૂળ છે, કારણ કે પ્રથમ કિસ્સામાં, હુમલાખોરો સંભવિત પીડિતો દ્વારા મુલાકાત લીધેલ સાઇટ્સ પસંદ કરી શકે છે, અને બીજામાં, તેઓ ઇચ્છિત કંપનીના કર્મચારીઓને સીધા જોડાણો સાથે ઇમેઇલ મોકલી શકે છે.

માલવેર બહુવિધ ચેનલો દ્વારા વિતરિત કરવામાં આવે છે, જેમાં RIG અને Sundown શોષણ કિટ અથવા સ્પામ મેઇલિંગનો સમાવેશ થાય છે, જે હુમલાખોરો અને આ સેવાઓ ઓફર કરતા અન્ય સાયબર હુમલાખોરો વચ્ચેના જોડાણો દર્શાવે છે.

2.1. આરટીએમ અને બુહટ્રેપ કેવી રીતે સંબંધિત છે?

RTM ઝુંબેશ બુહટ્રેપ જેવી જ છે. સ્વાભાવિક પ્રશ્ન છે: તેઓ એકબીજા સાથે કેવી રીતે સંબંધિત છે?

સપ્ટેમ્બર 2016 માં, અમે બુહટ્રેપ અપલોડરનો ઉપયોગ કરીને વિતરિત કરવામાં આવેલ RTM નમૂનાનું અવલોકન કર્યું. વધુમાં, અમને બુહટ્રેપ અને RTM બંનેમાં ઉપયોગમાં લેવાતા બે ડિજિટલ પ્રમાણપત્રો મળ્યાં છે.

પ્રથમ, કથિત રૂપે કંપની DNISTER-M ને જારી કરવામાં આવ્યું હતું, તેનો ઉપયોગ બીજા ડેલ્ફી ફોર્મ (SHA-1: 025C718BA31E43DB1B87DC13F94A61A9338C11CE) અને બુહટ્રેપ DLL (SHA-1: 1E2642B454B2BD889BD6DF) ડિજિટલી હસ્તાક્ષર કરવા માટે કરવામાં આવ્યો હતો. 41116).

The second one, issued to Bit-Tredj, was used to sign Buhtrap loaders (SHA-1: 7C1B6B1713BD923FC243DFEC80002FE9B93EB292 and B74F71560E48488D2153AE2FB51207A0AC206E2B), as well as download and install RTM components.

RTM ઓપરેટર્સ પ્રમાણપત્રોનો ઉપયોગ કરે છે જે અન્ય માલવેર પરિવારો માટે સામાન્ય છે, પરંતુ તેમની પાસે અનન્ય પ્રમાણપત્ર પણ છે. ESET ટેલિમેટ્રી અનુસાર, તે Kit-SD ને જારી કરવામાં આવી હતી અને તેનો ઉપયોગ માત્ર કેટલાક RTM માલવેર (SHA-1: 42A4B04446A20993DDAE98B2BE6D5A797376D4B6) પર હસ્તાક્ષર કરવા માટે કરવામાં આવ્યો હતો.

RTM બુહટ્રેપ જેવા જ લોડરનો ઉપયોગ કરે છે, RTM ઘટકો બુહટ્રેપ ઈન્ફ્રાસ્ટ્રક્ચરમાંથી લોડ થાય છે, તેથી જૂથોમાં સમાન નેટવર્ક સૂચકાંકો હોય છે. જો કે, અમારા અંદાજ મુજબ, RTM અને બુહટ્રેપ અલગ-અલગ જૂથો છે, ઓછામાં ઓછું કારણ કે RTM અલગ અલગ રીતે વિતરિત કરવામાં આવે છે (માત્ર "વિદેશી" ડાઉનલોડરનો ઉપયોગ કરીને નહીં).

આ હોવા છતાં, હેકર જૂથો સમાન ઓપરેટિંગ સિદ્ધાંતોનો ઉપયોગ કરે છે. તેઓ એકાઉન્ટિંગ સૉફ્ટવેરનો ઉપયોગ કરીને વ્યવસાયોને લક્ષ્યાંક બનાવે છે, તેવી જ રીતે સિસ્ટમની માહિતી એકઠી કરે છે, સ્માર્ટ કાર્ડ રીડર્સની શોધ કરે છે, અને પીડિતોની જાસૂસી કરવા માટે દૂષિત સાધનોની શ્રેણીનો ઉપયોગ કરે છે.

3. ઉત્ક્રાંતિ

આ વિભાગમાં, અમે અભ્યાસ દરમિયાન મળેલા માલવેરના વિવિધ સંસ્કરણો જોઈશું.

3.1. વર્ઝનીંગ

RTM રૂપરેખાંકન ડેટાને રજિસ્ટ્રી વિભાગમાં સંગ્રહિત કરે છે, જેમાં સૌથી રસપ્રદ ભાગ બોટનેટ-પ્રીફિક્સ છે. અમે અભ્યાસ કરેલા નમૂનાઓમાં અમે જોયેલા તમામ મૂલ્યોની સૂચિ નીચેના કોષ્ટકમાં પ્રસ્તુત છે.

સંભવ છે કે મૂલ્યોનો ઉપયોગ માલવેર સંસ્કરણો રેકોર્ડ કરવા માટે થઈ શકે. જો કે, અમે bit2 અને bit3, 0.1.6.4 અને 0.1.6.6 જેવા વર્ઝન વચ્ચે બહુ તફાવત જોયો નથી. તદુપરાંત, એક ઉપસર્ગ શરૂઆતથી જ છે અને તે સામાન્ય C&C ડોમેનમાંથી .bit ડોમેનમાં વિકસિત થયો છે, જે નીચે દર્શાવવામાં આવશે.

3.2. અનુસૂચિ

ટેલિમેટ્રી ડેટાનો ઉપયોગ કરીને, અમે નમૂનાઓની ઘટનાનો ગ્રાફ બનાવ્યો.

4. તકનીકી વિશ્લેષણ

આ વિભાગમાં, અમે RTM બેંકિંગ ટ્રોજનના મુખ્ય કાર્યોનું વર્ણન કરીશું, જેમાં પ્રતિકારક પદ્ધતિઓ, RC4 અલ્ગોરિધમનું તેનું પોતાનું સંસ્કરણ, નેટવર્ક પ્રોટોકોલ, જાસૂસી કાર્યક્ષમતા અને કેટલીક અન્ય સુવિધાઓનો સમાવેશ થાય છે. ખાસ કરીને, અમે SHA-1 નમૂનાઓ AA0FA4584768CE9E16D67D8C529233E99FF1BBF0 અને 48BC113EC8BA20B8B80CD5D4DA92051A19D1032B પર ધ્યાન કેન્દ્રિત કરીશું.

4.1. સ્થાપન અને બચત

4.1.1. અમલીકરણ

RTM કોર એ DLL છે, લાઇબ્રેરી .EXE નો ઉપયોગ કરીને ડિસ્ક પર લોડ થાય છે. એક્ઝેક્યુટેબલ ફાઇલ સામાન્ય રીતે પેકેજ્ડ હોય છે અને તેમાં DLL કોડ હોય છે. એકવાર લોંચ થયા પછી, તે DLL ને બહાર કાઢે છે અને નીચેના આદેશનો ઉપયોગ કરીને તેને ચલાવે છે:

rundll32.exe “%PROGRAMDATA%Winlogonwinlogon.lnk”,DllGetClassObject host

4.1.2. ડીએલએલ

મુખ્ય DLL હંમેશા %PROGRAMDATA%Winlogon ફોલ્ડરમાં winlogon.lnk તરીકે ડિસ્ક પર લોડ થાય છે. આ ફાઇલ એક્સ્ટેંશન સામાન્ય રીતે શૉર્ટકટ સાથે સંકળાયેલું હોય છે, પરંતુ ફાઇલ વાસ્તવમાં ડેલ્ફીમાં લખાયેલ DLL છે, જેને ડેવલપર દ્વારા core.dll નામ આપવામાં આવ્યું છે, નીચેની છબીમાં બતાવ્યા પ્રમાણે.

Пример названия DLL F4C746696B0F5BB565D445EC49DD912993DE6361

એકવાર લોંચ થયા પછી, ટ્રોજન તેની પ્રતિકારક પદ્ધતિને સક્રિય કરે છે. સિસ્ટમમાં પીડિતના વિશેષાધિકારોના આધારે આ બે અલગ અલગ રીતે કરી શકાય છે. જો તમારી પાસે એડમિનિસ્ટ્રેટર અધિકારો હોય, તો ટ્રોજન HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun રજિસ્ટ્રીમાં Windows અપડેટ એન્ટ્રી ઉમેરે છે. વિન્ડોઝ અપડેટમાં સમાવિષ્ટ આદેશો વપરાશકર્તાના સત્રની શરૂઆતમાં ચાલશે.

HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunWindows અપડેટ [REG_SZ] = rundll32.exe “%PROGRAMDATA%winlogon.lnk”,DllGetClassObject હોસ્ટ

ટ્રોજન વિન્ડોઝ ટાસ્ક શેડ્યૂલરમાં ટાસ્ક ઉમેરવાનો પણ પ્રયાસ કરે છે. આ કાર્ય winlogon.lnk DLL ને ઉપરના સમાન પરિમાણો સાથે લોન્ચ કરશે. નિયમિત વપરાશકર્તા અધિકારો ટ્રોજનને HKCUSoftwareMicrosoftWindowsCurrentVersionRun રજિસ્ટ્રીમાં સમાન ડેટા સાથે Windows અપડેટ એન્ટ્રી ઉમેરવાની મંજૂરી આપે છે:

rundll32.exe “%PROGRAMDATA%winlogon.lnk”,DllGetClassObject host

4.2. સંશોધિત RC4 અલ્ગોરિધમ

તેની જાણીતી ખામીઓ હોવા છતાં, RC4 અલ્ગોરિધમનો નિયમિતપણે માલવેર લેખકો દ્વારા ઉપયોગ કરવામાં આવે છે. જો કે, RTM ના નિર્માતાઓએ તેમાં થોડો ફેરફાર કર્યો, કદાચ વાયરસ વિશ્લેષકોના કાર્યને વધુ મુશ્કેલ બનાવવા માટે. RC4 નું સંશોધિત સંસ્કરણ દૂષિત RTM ટૂલ્સમાં સ્ટ્રીંગ્સ, નેટવર્ક ડેટા, રૂપરેખાંકન અને મોડ્યુલોને એન્ક્રિપ્ટ કરવા માટે વ્યાપકપણે ઉપયોગમાં લેવાય છે.

4.2.1. તફાવતો

મૂળ RC4 અલ્ગોરિધમમાં બે તબક્કાઓનો સમાવેશ થાય છે: s-બ્લોક પ્રારંભ (ઉર્ફ KSA - કી-શેડ્યુલિંગ અલ્ગોરિધમ) અને સ્યુડો-રેન્ડમ સિક્વન્સ જનરેશન (PRGA - સ્યુડો-રેન્ડમ જનરેશન અલ્ગોરિધમ). પ્રથમ તબક્કામાં કીનો ઉપયોગ કરીને એસ-બોક્સને પ્રારંભ કરવાનો સમાવેશ થાય છે, અને બીજા તબક્કામાં એન્ક્રિપ્શન માટે એસ-બોક્સનો ઉપયોગ કરીને સ્રોત ટેક્સ્ટની પ્રક્રિયા કરવામાં આવે છે.

આરટીએમ લેખકોએ એસ-બોક્સ આરંભ અને એન્ક્રિપ્શન વચ્ચે મધ્યવર્તી પગલું ઉમેર્યું. વધારાની કી વેરિયેબલ છે અને તે જ સમયે ડેટાને એન્ક્રિપ્ટેડ અને ડિક્રિપ્ટ કરવા માટે સેટ કરવામાં આવે છે. આ વધારાનું પગલું જે કાર્ય કરે છે તે નીચેની આકૃતિમાં બતાવવામાં આવ્યું છે.

4.2.2. સ્ટ્રિંગ એન્ક્રિપ્શન

પ્રથમ નજરમાં, મુખ્ય DLL માં ઘણી વાંચી શકાય તેવી રેખાઓ છે. બાકીના ઉપર વર્ણવેલ અલ્ગોરિધમનો ઉપયોગ કરીને એન્ક્રિપ્ટેડ છે, જેનું માળખું નીચેની આકૃતિમાં બતાવવામાં આવ્યું છે. અમને વિશ્લેષણ કરાયેલા નમૂનાઓમાં સ્ટ્રિંગ એન્ક્રિપ્શન માટે 25 થી વધુ વિવિધ RC4 કી મળી. XOR કી દરેક પંક્તિ માટે અલગ છે. આંકડાકીય ક્ષેત્રને અલગ કરતી રેખાઓનું મૂલ્ય હંમેશા 0xFFFFFFFF હોય છે.

એક્ઝેક્યુશનની શરૂઆતમાં, RTM સ્ટ્રિંગ્સને વૈશ્વિક ચલમાં ડિક્રિપ્ટ કરે છે. જ્યારે સ્ટ્રિંગને એક્સેસ કરવા માટે જરૂરી હોય ત્યારે, ટ્રોજન ગતિશીલ રીતે ડિક્રિપ્ટેડ સ્ટ્રિંગના એડ્રેસની ગણતરી બેઝ એડ્રેસ અને ઑફસેટના આધારે કરે છે.

શબ્દમાળાઓ માલવેરના કાર્યો વિશે રસપ્રદ માહિતી ધરાવે છે. કેટલાક ઉદાહરણ શબ્દમાળાઓ વિભાગ 6.8 માં પૂરા પાડવામાં આવેલ છે.

4.3. નેટવર્ક

જે રીતે RTM માલવેર C&C સર્વરનો સંપર્ક કરે છે તે સંસ્કરણથી સંસ્કરણમાં બદલાય છે. પ્રથમ ફેરફારો (ઓક્ટોબર 2015 - એપ્રિલ 2016) આદેશોની સૂચિને અપડેટ કરવા માટે livejournal.com પર RSS ફીડ સાથે પરંપરાગત ડોમેન નામોનો ઉપયોગ કરે છે.

એપ્રિલ 2016 થી, અમે ટેલિમેટ્રી ડેટામાં .bit ડોમેન્સ પર શિફ્ટ જોયા છે. ડોમેન નોંધણી તારીખ દ્વારા આની પુષ્ટિ થાય છે - પ્રથમ RTM ડોમેન fde05d0573da.bit 13 માર્ચ, 2016 ના રોજ નોંધાયેલું હતું.

ઝુંબેશનું નિરીક્ષણ કરતી વખતે અમે જોયેલા તમામ URL નો સામાન્ય માર્ગ હતો: /r/z.php. તે તદ્દન અસામાન્ય છે અને તે નેટવર્ક પ્રવાહમાં RTM વિનંતીઓને ઓળખવામાં મદદ કરશે.

4.3.1. આદેશો અને નિયંત્રણ માટે ચેનલ

લેગસી ઉદાહરણો આ ચેનલનો ઉપયોગ તેમના આદેશ અને નિયંત્રણ સર્વરની સૂચિને અપડેટ કરવા માટે કરે છે. હોસ્ટિંગ livejournal.com પર સ્થિત છે, રિપોર્ટ લખતી વખતે તે URL hxxp://f72bba81c921(.)livejournal(.)com/ data/rss પર રહે છે.

Livejournal એ રશિયન-અમેરિકન કંપની છે જે બ્લોગિંગ પ્લેટફોર્મ પૂરું પાડે છે. RTM ઓપરેટરો એક LJ બ્લોગ બનાવે છે જેમાં તેઓ કોડેડ આદેશો સાથે લેખ પોસ્ટ કરે છે - સ્ક્રીનશોટ જુઓ.

આદેશ અને નિયંત્રણ રેખાઓ સંશોધિત RC4 અલ્ગોરિધમ (વિભાગ 4.2) નો ઉપયોગ કરીને એન્કોડ કરવામાં આવે છે. ચેનલના વર્તમાન સંસ્કરણ (નવેમ્બર 2016)માં નીચેના આદેશ અને નિયંત્રણ સર્વર સરનામાંઓ છે:

• hxxp://cainmoon(.)net/r/z.php
• hxxp://rtm(.)dev/0-3/z.php
• hxxp://vpntap(.)top/r/z.php

4.3.2. .bit ડોમેન્સ

સૌથી તાજેતરના RTM નમૂનાઓમાં, લેખકો .bit TLD ટોપ-લેવલ ડોમેનનો ઉપયોગ કરીને C&C ડોમેન્સ સાથે જોડાય છે. તે ICANN (ડોમેન નેમ અને ઈન્ટરનેટ કોર્પોરેશન) ટોપ-લેવલ ડોમેન્સની યાદીમાં નથી. તેના બદલે, તે Namecoin સિસ્ટમનો ઉપયોગ કરે છે, જે Bitcoin ટેક્નોલોજીની ટોચ પર બનેલ છે. માલવેર લેખકો તેમના ડોમેન્સ માટે વારંવાર .bit TLD નો ઉપયોગ કરતા નથી, જોકે આવા ઉપયોગનું ઉદાહરણ અગાઉ નેકર્સ બોટનેટના સંસ્કરણમાં જોવા મળ્યું છે.

બિટકોઈનથી વિપરીત, વિતરિત નેમકોઈન ડેટાબેઝના વપરાશકર્તાઓ પાસે ડેટા બચાવવાની ક્ષમતા હોય છે. આ સુવિધાની મુખ્ય એપ્લિકેશન .bit ટોપ-લેવલ ડોમેન છે. તમે ડોમેન્સ રજીસ્ટર કરી શકો છો જે વિતરિત ડેટાબેઝમાં સંગ્રહિત થશે. ડેટાબેઝની અનુરૂપ એન્ટ્રીઓમાં ડોમેન દ્વારા ઉકેલાયેલા IP સરનામાઓ હોય છે. આ TLD "સેન્સરશીપ-પ્રતિરોધક" છે કારણ કે માત્ર નોંધણી કરનાર જ .bit ડોમેનનું રિઝોલ્યુશન બદલી શકે છે. આનો અર્થ એ છે કે આ પ્રકારના TLD નો ઉપયોગ કરીને દૂષિત ડોમેનને રોકવું વધુ મુશ્કેલ છે.

RTM ટ્રોજન વિતરિત Namecoin ડેટાબેઝ વાંચવા માટે જરૂરી સોફ્ટવેરને એમ્બેડ કરતું નથી. તે .bit ડોમેન્સ ઉકેલવા માટે કેન્દ્રીય DNS સર્વર્સ જેમ કે dns.dot-bit.org અથવા OpenNic સર્વર્સનો ઉપયોગ કરે છે. તેથી, તેની પાસે DNS સર્વર્સ જેટલી જ ટકાઉપણું છે. અમે અવલોકન કર્યું છે કે બ્લોગ પોસ્ટમાં ઉલ્લેખ કર્યા પછી કેટલાક ટીમ ડોમેન્સ હવે શોધી શકાતા નથી.

હેકરો માટે .bit TLD નો બીજો ફાયદો ખર્ચ છે. ડોમેન રજીસ્ટર કરવા માટે, ઓપરેટરોએ માત્ર 0,01 NK ચૂકવવાની જરૂર છે, જે $0,00185 (ડિસેમ્બર 5, 2016 મુજબ) ને અનુરૂપ છે. સરખામણી માટે, domain.com ની કિંમત ઓછામાં ઓછી $10 છે.

4.3.3. પ્રોટોકોલ

આદેશ અને નિયંત્રણ સર્વર સાથે વાતચીત કરવા માટે, RTM કસ્ટમ પ્રોટોકોલનો ઉપયોગ કરીને ફોર્મેટ કરેલ ડેટા સાથે HTTP POST વિનંતીઓનો ઉપયોગ કરે છે. પાથ મૂલ્ય હંમેશા /r/z.php છે; Mozilla/5.0 વપરાશકર્તા એજન્ટ (સુસંગત; MSIE 9.0; Windows NT 6.1; Trident/5.0). સર્વરને વિનંતીઓમાં, ડેટા નીચે પ્રમાણે ફોર્મેટ કરવામાં આવે છે, જ્યાં ઑફસેટ મૂલ્યો બાઇટ્સમાં વ્યક્ત કરવામાં આવે છે:

બાઇટ્સ 0 થી 6 એન્કોડેડ નથી; 6 થી શરૂ થતા બાઇટ્સ સંશોધિત RC4 અલ્ગોરિધમનો ઉપયોગ કરીને એન્કોડ કરવામાં આવે છે. C&C પ્રતિભાવ પેકેટનું માળખું સરળ છે. બાઇટ્સ 4 થી પેકેટના કદમાં એન્કોડ કરવામાં આવે છે.

સંભવિત ક્રિયા બાઈટ મૂલ્યોની સૂચિ નીચેના કોષ્ટકમાં પ્રસ્તુત છે:

માલવેર હંમેશા ડિક્રિપ્ટેડ ડેટાના CRC32 ની ગણતરી કરે છે અને પેકેટમાં જે છે તેની સાથે તેની સરખામણી કરે છે. જો તેઓ અલગ પડે, તો ટ્રોજન પેકેટને છોડી દે છે.
વધારાના ડેટામાં PE ફાઇલ, ફાઇલ સિસ્ટમમાં શોધવા માટેની ફાઇલ અથવા નવા આદેશ URL સહિત વિવિધ ઑબ્જેક્ટ્સ હોઈ શકે છે.

4.3.4. પેનલ

અમે નોંધ્યું છે કે RTM C&C સર્વર પર પેનલનો ઉપયોગ કરે છે. નીચેનો સ્ક્રીનશોટ:

4.4. લાક્ષણિક ચિહ્ન

RTM એ એક સામાન્ય બેંકિંગ ટ્રોજન છે. તે આશ્ચર્યજનક નથી કે ઓપરેટરો પીડિતની સિસ્ટમ વિશે માહિતી ઇચ્છે છે. એક તરફ, બોટ OS વિશે સામાન્ય માહિતી એકત્રિત કરે છે. બીજી બાજુ, તે શોધે છે કે શું સમાધાન કરાયેલ સિસ્ટમમાં રશિયન રિમોટ બેંકિંગ સિસ્ટમ્સ સાથે સંકળાયેલ લક્ષણો છે.

4.4.1. સામાન્ય માહિતી

જ્યારે રીબૂટ કર્યા પછી માલવેર ઇન્સ્ટોલ અથવા લોંચ થાય છે, ત્યારે આદેશ અને નિયંત્રણ સર્વરને એક રિપોર્ટ મોકલવામાં આવે છે જેમાં સામાન્ય માહિતી શામેલ છે:

• સમય ઝોન;
• મૂળભૂત સિસ્ટમ ભાષા;
• અધિકૃત વપરાશકર્તા ઓળખપત્રો;
• પ્રક્રિયા અખંડિતતા સ્તર;
• વપરાશકર્તા નામ;
• કમ્પ્યુટર નામ;
• OS સંસ્કરણ;
• વધારાના સ્થાપિત મોડ્યુલો;
• સ્થાપિત એન્ટીવાયરસ પ્રોગ્રામ;
• સ્માર્ટ કાર્ડ રીડર્સની યાદી.

4.4.2 રિમોટ બેંકિંગ સિસ્ટમ

સામાન્ય ટ્રોજન ટાર્ગેટ એ રિમોટ બેંકિંગ સિસ્ટમ છે, અને RTM તેનો અપવાદ નથી. પ્રોગ્રામના એક મોડ્યુલને TBdo કહેવામાં આવે છે, જે સ્કેનિંગ ડિસ્ક અને બ્રાઉઝિંગ ઇતિહાસ સહિત વિવિધ કાર્યો કરે છે.

ડિસ્કને સ્કેન કરીને, ટ્રોજન મશીન પર બેંકિંગ સોફ્ટવેર ઇન્સ્ટોલ કરેલું છે કે કેમ તે તપાસે છે. લક્ષ્ય કાર્યક્રમોની સંપૂર્ણ સૂચિ નીચેના કોષ્ટકમાં છે. રસ ધરાવતી ફાઇલ શોધી કાઢ્યા પછી, પ્રોગ્રામ કમાન્ડ સર્વરને માહિતી મોકલે છે. આગળની ક્રિયાઓ કમાન્ડ સેન્ટર (C&C) અલ્ગોરિધમ્સ દ્વારા ઉલ્લેખિત તર્ક પર આધારિત છે.

RTM તમારા બ્રાઉઝર ઇતિહાસ અને ઓપન ટેબમાં URL પેટર્ન પણ શોધે છે. વધુમાં, પ્રોગ્રામ FindNextUrlCacheEntryA અને FindFirstUrlCacheEntryA ફંક્શનના ઉપયોગની તપાસ કરે છે, અને દરેક એન્ટ્રીને નીચેના પેટર્નમાંથી એક સાથે URL ને મેચ કરવા માટે પણ તપાસે છે:

ખુલ્લી ટેબ્સ શોધી કાઢ્યા પછી, ટ્રોજન ડાયનેમિક ડેટા એક્સચેન્જ (DDE) મિકેનિઝમ દ્વારા ઈન્ટરનેટ એક્સપ્લોરર અથવા ફાયરફોક્સનો સંપર્ક કરે છે કે ટેબ પેટર્ન સાથે મેળ ખાય છે કે કેમ તે ચકાસવા માટે.

તમારા બ્રાઉઝિંગ ઇતિહાસ અને ઓપન ટેબને તપાસવું એ ચેક વચ્ચે 1 સેકન્ડના વિરામ સાથે WHILE લૂપ (પૂર્વશરત સાથેનો લૂપ) માં કરવામાં આવે છે. અન્ય ડેટા કે જેનું વાસ્તવિક સમયમાં નિરીક્ષણ કરવામાં આવે છે તેની ચર્ચા વિભાગ 4.5 માં કરવામાં આવશે.

જો કોઈ પેટર્ન મળે, તો પ્રોગ્રામ નીચેના કોષ્ટકમાંથી સ્ટ્રિંગ્સની સૂચિનો ઉપયોગ કરીને આદેશ સર્વરને આની જાણ કરે છે:

4.5 મોનીટરીંગ

જ્યારે ટ્રોજન ચાલી રહ્યું હોય, ત્યારે ચેપગ્રસ્ત સિસ્ટમની લાક્ષણિકતાઓ વિશેની માહિતી (બેંકિંગ સૉફ્ટવેરની હાજરી વિશેની માહિતી સહિત) આદેશ અને નિયંત્રણ સર્વરને મોકલવામાં આવે છે. ફિંગરપ્રિંટિંગ ત્યારે થાય છે જ્યારે આરટીએમ પ્રારંભિક OS સ્કેન પછી તરત જ મોનિટરિંગ સિસ્ટમ ચલાવે છે.

4.5.1. દૂરસ્થ બેંકિંગ

TBdo મોડ્યુલ બેંકિંગ સંબંધિત પ્રક્રિયાઓ પર દેખરેખ રાખવા માટે પણ જવાબદાર છે. તે પ્રારંભિક સ્કેન દરમિયાન ફાયરફોક્સ અને ઈન્ટરનેટ એક્સપ્લોરરમાં ટેબ્સ તપાસવા માટે ડાયનેમિક ડેટા એક્સચેન્જનો ઉપયોગ કરે છે. અન્ય TShell મોડ્યુલનો ઉપયોગ કમાન્ડ વિન્ડોઝ (ઇન્ટરનેટ એક્સપ્લોરર અથવા ફાઇલ એક્સપ્લોરર) ને મોનિટર કરવા માટે થાય છે.

મોડ્યુલ વિન્ડોઝને મોનિટર કરવા માટે COM ઈન્ટરફેસ IShellWindows, iWebBrowser, DWebBrowserEvents2 અને IConnectionPointContainer નો ઉપયોગ કરે છે. જ્યારે વપરાશકર્તા નવા વેબ પેજ પર નેવિગેટ કરે છે, ત્યારે માલવેર તેની નોંધ લે છે. તે પછી ઉપરોક્ત પેટર્ન સાથે પૃષ્ઠ URL ની તુલના કરે છે. મેચ શોધ્યા પછી, ટ્રોજન 5 સેકન્ડના અંતરાલ સાથે સતત છ સ્ક્રીનશોટ લે છે અને તેમને C&S કમાન્ડ સર્વર પર મોકલે છે. પ્રોગ્રામ બેંકિંગ સોફ્ટવેરથી સંબંધિત કેટલાક વિન્ડો નામો પણ તપાસે છે - સંપૂર્ણ સૂચિ નીચે છે:

4.5.2. સ્માર્ટ કાર્ડ

RTM તમને ચેપગ્રસ્ત કમ્પ્યુટર્સ સાથે જોડાયેલા સ્માર્ટ કાર્ડ રીડર્સને મોનિટર કરવાની મંજૂરી આપે છે. આ ઉપકરણોનો ઉપયોગ કેટલાક દેશોમાં પેમેન્ટ ઓર્ડરના સમાધાન માટે થાય છે. જો આ પ્રકારનું ઉપકરણ કમ્પ્યુટર સાથે જોડાયેલ હોય, તો તે ટ્રોજનને સૂચવી શકે છે કે મશીનનો ઉપયોગ બેંકિંગ વ્યવહારો માટે થઈ રહ્યો છે.

અન્ય બેંકિંગ ટ્રોજનથી વિપરીત, RTM આવા સ્માર્ટ કાર્ડ્સ સાથે સંપર્ક કરી શકતું નથી. કદાચ આ કાર્યક્ષમતા વધારાના મોડ્યુલમાં સમાવવામાં આવેલ છે જે આપણે હજુ સુધી જોયું નથી.

4.5.3. કીલોગર

ચેપગ્રસ્ત પીસી પર દેખરેખ રાખવાનો એક મહત્વપૂર્ણ ભાગ કીસ્ટ્રોકને કેપ્ચર કરવાનો છે. એવું લાગે છે કે RTM ડેવલપર્સ પાસે કોઈ માહિતી ખૂટતી નથી, કારણ કે તેઓ માત્ર નિયમિત કી જ નહીં, પણ વર્ચ્યુઅલ કીબોર્ડ અને ક્લિપબોર્ડનું પણ નિરીક્ષણ કરે છે.

આ કરવા માટે, SetWindowsHookExA ફંક્શનનો ઉપયોગ કરો. હુમલાખોરો પ્રોગ્રામના નામ અને તારીખ સાથે દબાવવામાં આવેલી કી અથવા વર્ચ્યુઅલ કીબોર્ડને અનુરૂપ કી લોગ કરે છે. બફર પછી C&C કમાન્ડ સર્વરને મોકલવામાં આવે છે.

SetClipboardViewer ફંક્શનનો ઉપયોગ ક્લિપબોર્ડને અટકાવવા માટે થાય છે. જ્યારે ડેટા ટેક્સ્ટ હોય ત્યારે હેકર્સ ક્લિપબોર્ડની સામગ્રીને લોગ કરે છે. સર્વર પર બફર મોકલવામાં આવે તે પહેલાં નામ અને તારીખ પણ લૉગ કરવામાં આવે છે.

4.5.4. સ્ક્રીનશૉટ્સ

અન્ય RTM ફંક્શન સ્ક્રીનશોટ ઈન્ટરસેપ્શન છે. જ્યારે વિન્ડો મોનિટરિંગ મોડ્યુલ કોઈ સાઇટ અથવા બેંકિંગ સોફ્ટવેરને રુચિની શોધ કરે છે ત્યારે આ સુવિધા લાગુ થાય છે. ગ્રાફિક ઈમેજીસની લાઈબ્રેરીનો ઉપયોગ કરીને સ્ક્રીનશોટ લેવામાં આવે છે અને કમાન્ડ સર્વર પર ટ્રાન્સફર કરવામાં આવે છે.

4.6. અનઇન્સ્ટોલેશન

C&C સર્વર માલવેરને ચાલતા અટકાવી શકે છે અને તમારા કમ્પ્યુટરને સાફ કરી શકે છે. આદેશ તમને RTM ચાલુ હોય ત્યારે બનાવેલ ફાઇલો અને રજિસ્ટ્રી એન્ટ્રીઓને સાફ કરવાની મંજૂરી આપે છે. પછી DLL નો ઉપયોગ માલવેર અને વિનલોગોન ફાઇલને દૂર કરવા માટે થાય છે, જે પછી આદેશ કમ્પ્યુટરને બંધ કરે છે. નીચેની છબીમાં બતાવ્યા પ્રમાણે, વિકાસકર્તાઓ દ્વારા erase.dll નો ઉપયોગ કરીને DLL દૂર કરવામાં આવે છે.

સર્વર ટ્રોજનને વિનાશક અનઇન્સ્ટોલ-લોક આદેશ મોકલી શકે છે. આ કિસ્સામાં, જો તમારી પાસે એડમિનિસ્ટ્રેટર અધિકારો છે, તો RTM હાર્ડ ડ્રાઈવ પરના MBR બૂટ સેક્ટરને કાઢી નાખશે. જો આ નિષ્ફળ જાય, તો ટ્રોજન MBR બૂટ સેક્ટરને રેન્ડમ સેક્ટરમાં શિફ્ટ કરવાનો પ્રયાસ કરશે - પછી કમ્પ્યુટર શટડાઉન પછી OS ને બુટ કરી શકશે નહીં. આ OS ના સંપૂર્ણ પુનઃસ્થાપન તરફ દોરી શકે છે, જેનો અર્થ પુરાવાનો નાશ થાય છે.

એડમિનિસ્ટ્રેટર વિશેષાધિકારો વિના, માલવેર અંતર્ગત RTM DLL માં એન્કોડ કરેલ .EXE લખે છે. એક્ઝેક્યુટેબલ કમ્પ્યુટરને બંધ કરવા માટે જરૂરી કોડને એક્ઝિક્યુટ કરે છે અને મોડ્યુલને HKCUCurrentVersionRun રજિસ્ટ્રી કીમાં રજીસ્ટર કરે છે. જ્યારે પણ વપરાશકર્તા સત્ર શરૂ કરે છે, ત્યારે કમ્પ્યુટર તરત જ બંધ થઈ જાય છે.

4.7. રૂપરેખાંકન ફાઇલ

મૂળભૂત રીતે, RTM પાસે લગભગ કોઈ રૂપરેખાંકન ફાઇલ નથી, પરંતુ આદેશ અને નિયંત્રણ સર્વર ગોઠવણી મૂલ્યો મોકલી શકે છે જે રજિસ્ટ્રીમાં સંગ્રહિત થશે અને પ્રોગ્રામ દ્વારા ઉપયોગમાં લેવાશે. રૂપરેખાંકન કીઓની સૂચિ નીચેના કોષ્ટકમાં પ્રસ્તુત છે:

રૂપરેખાંકન સોફ્ટવેર [સ્યુડો-રેન્ડમ સ્ટ્રિંગ] રજિસ્ટ્રી કીમાં સંગ્રહિત છે. દરેક મૂલ્ય અગાઉના કોષ્ટકમાં પ્રસ્તુત પંક્તિઓમાંથી એકને અનુરૂપ છે. મૂલ્યો અને ડેટા RTM માં RC4 અલ્ગોરિધમનો ઉપયોગ કરીને એન્કોડ કરવામાં આવે છે.

ડેટાનું માળખું નેટવર્ક અથવા સ્ટ્રિંગ્સ જેવું જ છે. એન્કોડેડ ડેટાની શરૂઆતમાં ચાર-બાઈટ XOR કી ઉમેરવામાં આવે છે. રૂપરેખાંકન મૂલ્યો માટે, XOR કી અલગ છે અને મૂલ્યના કદ પર આધાર રાખે છે. તે નીચે પ્રમાણે ગણતરી કરી શકાય છે:

xor_key = (len(config_value) << 24) | (len(config_value) << 16)
| len(config_value)| (len(config_value) << 8)

4.8. અન્ય સુવિધાઓ

આગળ, ચાલો આરટીએમ સપોર્ટ કરે છે તેવા અન્ય કાર્યો જોઈએ.

4.8.1. વધારાના મોડ્યુલો

ટ્રોજનમાં વધારાના મોડ્યુલોનો સમાવેશ થાય છે, જે DLL ફાઇલો છે. C&C કમાન્ડ સર્વરમાંથી મોકલવામાં આવેલા મોડ્યુલ્સને બાહ્ય પ્રોગ્રામ તરીકે એક્ઝિક્યુટ કરી શકાય છે, જે RAM માં પ્રતિબિંબિત થાય છે અને નવા થ્રેડોમાં લોન્ચ થાય છે. સ્ટોરેજ માટે, મોડ્યુલો .dtt ફાઇલોમાં સાચવવામાં આવે છે અને નેટવર્ક સંચાર માટે ઉપયોગમાં લેવાતી સમાન કી સાથે RC4 અલ્ગોરિધમનો ઉપયોગ કરીને એન્કોડ કરવામાં આવે છે.

અત્યાર સુધી અમે VNC મોડ્યુલ (8966319882494077C21F66A8354E2CBCA0370464), બ્રાઉઝર ડેટા એક્સટ્રેક્શન મોડ્યુલ (03DE8622BE6B2F75A364A275995C3411626C4module) અને 9E1F2EFC1FBA562 B1BE69D6B58E88753CFAB).

VNC મોડ્યુલ લોડ કરવા માટે, C&C સર્વર પોર્ટ 44443 પર ચોક્કસ IP સરનામાં પર VNC સર્વર સાથે જોડાણોની વિનંતી કરતો આદેશ જારી કરે છે. બ્રાઉઝર ડેટા પુનઃપ્રાપ્તિ પ્લગઇન TBrowserDataCollector ચલાવે છે, જે IE બ્રાઉઝિંગ ઇતિહાસ વાંચી શકે છે. પછી તે મુલાકાત લીધેલ URL ની સંપૂર્ણ સૂચિ C&C કમાન્ડ સર્વરને મોકલે છે.

શોધાયેલ છેલ્લું મોડ્યુલ 1c_2_kl કહેવાય છે. તે 1C એન્ટરપ્રાઇઝ સોફ્ટવેર પેકેજ સાથે સંપર્ક કરી શકે છે. મોડ્યુલમાં બે ભાગોનો સમાવેશ થાય છે: મુખ્ય ભાગ - DLL અને બે એજન્ટો (32 અને 64 બીટ), જે દરેક પ્રક્રિયામાં ઇન્જેક્ટ કરવામાં આવશે, WH_CBT માટે બંધનકર્તા રજીસ્ટર થશે. 1C પ્રક્રિયામાં દાખલ થયા પછી, મોડ્યુલ CreateFile અને WriteFile ફંક્શનને જોડે છે. જ્યારે પણ CreateFile બાઉન્ડ ફંક્શનને કૉલ કરવામાં આવે છે, ત્યારે મોડ્યુલ ફાઇલ પાથ 1c_to_kl.txt ને મેમરીમાં સ્ટોર કરે છે. WriteFile કૉલને ઇન્ટરસેપ્ટ કર્યા પછી, તે WriteFile ફંક્શનને કૉલ કરે છે અને ફાઇલ પાથ 1c_to_kl.txt ને મુખ્ય DLL મોડ્યુલ પર મોકલે છે, તેને ક્રાફ્ટ કરેલ Windows WM_COPYDATA સંદેશ પસાર કરે છે.

મુખ્ય DLL મોડ્યુલ પેમેન્ટ ઓર્ડર નક્કી કરવા માટે ફાઇલને ખોલે છે અને પાર્સ કરે છે. તે ફાઇલમાં રહેલી રકમ અને ટ્રાન્ઝેક્શન નંબરને ઓળખે છે. આ માહિતી કમાન્ડ સર્વરને મોકલવામાં આવે છે. અમે માનીએ છીએ કે આ મોડ્યુલ હાલમાં વિકાસ હેઠળ છે કારણ કે તેમાં ડીબગ સંદેશ છે અને તે 1c_to_kl.txt ને આપમેળે સંશોધિત કરી શકતું નથી.

4.8.2. વિશેષાધિકાર વૃદ્ધિ

RTM ખોટા ભૂલ સંદેશાઓ પ્રદર્શિત કરીને વિશેષાધિકારો વધારવાનો પ્રયાસ કરી શકે છે. મૉલવેર રજિસ્ટ્રી ચેકનું અનુકરણ કરે છે (નીચેનું ચિત્ર જુઓ) અથવા વાસ્તવિક રજિસ્ટ્રી એડિટર આઇકનનો ઉપયોગ કરે છે. મહેરબાની કરીને નોંધ કરો કે ખોટી જોડણી રાહ જુઓ - શું. સ્કેનિંગની થોડીક સેકંડ પછી, પ્રોગ્રામ ખોટો ભૂલ સંદેશ પ્રદર્શિત કરે છે.

ખોટો સંદેશ વ્યાકરણની ભૂલો હોવા છતાં, સરેરાશ વપરાશકર્તાને સરળતાથી છેતરશે. જો વપરાશકર્તા બેમાંથી એક લિંક પર ક્લિક કરે છે, તો RTM સિસ્ટમમાં તેના વિશેષાધિકારો વધારવાનો પ્રયાસ કરશે.

બે પુનઃપ્રાપ્તિ વિકલ્પોમાંથી એક પસંદ કર્યા પછી, ટ્રોજન એડમિનિસ્ટ્રેટર વિશેષાધિકારો સાથે ShellExecute ફંક્શનમાં રનાસ વિકલ્પનો ઉપયોગ કરીને DLL લોન્ચ કરે છે. વપરાશકર્તાને એલિવેશન માટે એક વાસ્તવિક વિન્ડોઝ પ્રોમ્પ્ટ (નીચેની છબી જુઓ) દેખાશે. જો વપરાશકર્તા જરૂરી પરવાનગીઓ આપે છે, તો ટ્રોજન એડમિનિસ્ટ્રેટર વિશેષાધિકારો સાથે ચાલશે.

સિસ્ટમ પર ઇન્સ્ટોલ કરેલી ડિફૉલ્ટ ભાષાના આધારે, ટ્રોજન રશિયન અથવા અંગ્રેજીમાં ભૂલ સંદેશાઓ પ્રદર્શિત કરે છે.

4.8.3. પ્રમાણપત્ર

RTM Windows Store માં પ્રમાણપત્રો ઉમેરી શકે છે અને csrss.exe સંવાદ બોક્સમાં "હા" બટનને આપમેળે ક્લિક કરીને ઉમેરાની વિશ્વસનીયતાની પુષ્ટિ કરી શકે છે. આ વર્તન નવું નથી; ઉદાહરણ તરીકે, બેંકિંગ ટ્રોજન રેટેફે પણ સ્વતંત્ર રીતે નવા પ્રમાણપત્રની સ્થાપનાની પુષ્ટિ કરે છે.

4.8.4. રિવર્સ કનેક્શન

RTM લેખકોએ બેકકનેક્ટ TCP ટનલ પણ બનાવી છે. અમે હજી સુધી આ સુવિધાનો ઉપયોગ થતો જોયો નથી, પરંતુ તે સંક્રમિત પીસીને રિમોટલી મોનિટર કરવા માટે રચાયેલ છે.

4.8.5. હોસ્ટ ફાઇલ મેનેજમેન્ટ

C&C સર્વર Windows હોસ્ટ ફાઇલને સંશોધિત કરવા માટે ટ્રોજનને આદેશ મોકલી શકે છે. હોસ્ટ ફાઇલનો ઉપયોગ કસ્ટમ DNS રિઝોલ્યુશન બનાવવા માટે થાય છે.

4.8.6. ફાઇલ શોધો અને મોકલો

સર્વર ચેપગ્રસ્ત સિસ્ટમ પર ફાઇલ શોધવા અને ડાઉનલોડ કરવાની વિનંતી કરી શકે છે. ઉદાહરણ તરીકે, સંશોધન દરમિયાન અમને 1c_to_kl.txt ફાઇલ માટે વિનંતી મળી. અગાઉ વર્ણવ્યા મુજબ, આ ફાઇલ 1C: Enterprise 8 એકાઉન્ટિંગ સિસ્ટમ દ્વારા જનરેટ કરવામાં આવી છે.

4.8.7. અપડેટ

છેલ્લે, RTM લેખકો વર્તમાન સંસ્કરણને બદલવા માટે નવું DLL સબમિટ કરીને સોફ્ટવેરને અપડેટ કરી શકે છે.

5. નિષ્કર્ષ

RTM ના સંશોધન દર્શાવે છે કે રશિયન બેંકિંગ સિસ્ટમ હજુ પણ સાયબર હુમલાખોરોને આકર્ષે છે. બુહટ્રેપ, કોર્કો અને કાર્બનક જેવા જૂથો રશિયામાં નાણાકીય સંસ્થાઓ અને તેમના ગ્રાહકો પાસેથી સફળતાપૂર્વક નાણાંની ચોરી કરે છે. RTM આ ઉદ્યોગમાં એક નવો ખેલાડી છે.

ESET ટેલિમેટ્રી અનુસાર, દૂષિત RTM ટૂલ્સ ઓછામાં ઓછા 2015 ના અંતથી ઉપયોગમાં લેવાય છે. પ્રોગ્રામમાં જાસૂસી ક્ષમતાઓની સંપૂર્ણ શ્રેણી છે, જેમાં સ્માર્ટ કાર્ડ્સ વાંચવા, કીસ્ટ્રોકને ઇન્ટરસેપ્ટ કરવા અને બેંકિંગ વ્યવહારો પર દેખરેખ રાખવાની સાથે સાથે 1C: Enterprise 8 ટ્રાન્સપોર્ટ ફાઇલો શોધવાનો સમાવેશ થાય છે.

વિકેન્દ્રિત, અનસેન્સર્ડ .bit ટોપ-લેવલ ડોમેનનો ઉપયોગ અત્યંત સ્થિતિસ્થાપક ઈન્ફ્રાસ્ટ્રક્ચરને સુનિશ્ચિત કરે છે.

સોર્સ: www.habr.com