ધી એડવેન્ચર્સ ઓફ ધ પ્રપંચી માલવેર, ભાગ I

આ લેખ સાથે અમે પ્રપંચી માલવેર વિશે પ્રકાશનોની શ્રેણી શરૂ કરીએ છીએ. ફાઇલલેસ હેકિંગ પ્રોગ્રામ્સ, જેને ફાઇલલેસ હેકિંગ પ્રોગ્રામ્સ તરીકે પણ ઓળખવામાં આવે છે, સામાન્ય રીતે વિન્ડોઝ સિસ્ટમ્સ પર પાવરશેલનો ઉપયોગ મૂલ્યવાન સામગ્રી શોધવા અને કાઢવા માટે શાંતિપૂર્વક આદેશો ચલાવવા માટે કરે છે. દૂષિત ફાઇલો વિના હેકર પ્રવૃત્તિને શોધવી એ મુશ્કેલ કાર્ય છે, કારણ કે... એન્ટિવાયરસ અને અન્ય ઘણી ડિટેક્શન સિસ્ટમ્સ હસ્તાક્ષર વિશ્લેષણના આધારે કાર્ય કરે છે. પરંતુ સારા સમાચાર એ છે કે આવા સોફ્ટવેર અસ્તિત્વમાં છે. દાખ્લા તરીકે, યુબીએ સિસ્ટમ્સ, ફાઇલ સિસ્ટમમાં દૂષિત પ્રવૃત્તિ શોધવામાં સક્ષમ.

જ્યારે મેં પહેલીવાર બેડસ હેકર્સના વિષય પર સંશોધન કરવાનું શરૂ કર્યું, ચેપની પરંપરાગત પદ્ધતિઓનો ઉપયોગ ન કરવો, પરંતુ પીડિતના કોમ્પ્યુટર પર માત્ર સાધનો અને સોફ્ટવેર ઉપલબ્ધ છે, મને ખ્યાલ નહોતો કે આ ટૂંક સમયમાં હુમલાની લોકપ્રિય પદ્ધતિ બની જશે. સુરક્ષા વ્યાવસાયિકો તેઓ કહે છેકે આ એક વલણ બની રહ્યું છે, અને ડરામણી લેખ હેડલાઇન્સ - આની પુષ્ટિ. તેથી, મેં આ વિષય પર પ્રકાશનોની શ્રેણી બનાવવાનું નક્કી કર્યું.

ધ ગ્રેટ અને પાવરફુલ પાવરશેલ

મેં આમાંના કેટલાક વિચારો વિશે અગાઉ લખ્યું છે પાવરશેલ અસ્પષ્ટતા શ્રેણી, પરંતુ વધુ સૈદ્ધાંતિક ખ્યાલ પર આધારિત છે. પાછળથી હું સામે આવ્યો હાઇબ્રિડ વિશ્લેષણ માટે વેબસાઇટ, જ્યાં તમે જંગલીમાં "પકડાયેલ" માલવેરના નમૂનાઓ શોધી શકો છો. મેં ફાઇલલેસ માલવેરના નમૂનાઓ શોધવા માટે આ સાઇટનો ઉપયોગ કરવાનો પ્રયાસ કરવાનું નક્કી કર્યું. અને હું સફળ થયો. માર્ગ દ્વારા, જો તમે તમારા પોતાના માલવેર શિકાર અભિયાન પર જવા માંગતા હો, તો તમારે આ સાઇટ દ્વારા ચકાસવું પડશે જેથી તેઓને ખબર પડે કે તમે વ્હાઇટ હેટ નિષ્ણાત તરીકે કામ કરી રહ્યા છો. એક સિક્યોરિટી બ્લોગર તરીકે, મેં તેને કોઈ પણ પ્રશ્ન વિના પસાર કર્યો. મને ખાતરી છે કે તમે પણ કરી શકો છો.

પોતાને નમૂનાઓ ઉપરાંત, સાઇટ પર તમે જોઈ શકો છો કે આ પ્રોગ્રામ્સ શું કરે છે. હાઇબ્રિડ વિશ્લેષણ તેના પોતાના સેન્ડબોક્સમાં માલવેર ચલાવે છે અને સિસ્ટમ કૉલ્સ, ચાલી રહેલ પ્રક્રિયાઓ અને નેટવર્ક પ્રવૃત્તિ પર નજર રાખે છે અને શંકાસ્પદ ટેક્સ્ટ સ્ટ્રીંગ્સ બહાર કાઢે છે. દ્વિસંગી અને અન્ય એક્ઝેક્યુટેબલ ફાઇલો માટે, એટલે કે. જ્યાં તમે વાસ્તવિક ઉચ્ચ-સ્તરના કોડને પણ જોઈ શકતા નથી, હાઇબ્રિડ વિશ્લેષણ નક્કી કરે છે કે સૉફ્ટવેર દૂષિત છે કે માત્ર તેની રનટાઇમ પ્રવૃત્તિના આધારે શંકાસ્પદ છે. અને તે પછી નમૂનાનું પહેલેથી જ મૂલ્યાંકન કરવામાં આવે છે.

પાવરશેલ અને અન્ય નમૂના સ્ક્રિપ્ટ્સ (વિઝ્યુઅલ બેઝિક, જાવાસ્ક્રિપ્ટ, વગેરે) ના કિસ્સામાં, હું પોતે જ કોડ જોવા માટે સક્ષમ હતો. ઉદાહરણ તરીકે, હું આ PowerShell ઉદાહરણમાં આવ્યો છું:

તમે શોધ ટાળવા માટે બેઝ 64 એન્કોડિંગમાં પાવરશેલ પણ ચલાવી શકો છો. નોન-ઇન્ટરેક્ટિવ અને છુપાયેલા પરિમાણોના ઉપયોગની નોંધ લો.

જો તમે અસ્પષ્ટતા પરની મારી પોસ્ટ્સ વાંચી હોય, તો તમે જાણો છો કે -e વિકલ્પ સ્પષ્ટ કરે છે કે સામગ્રી base64 એન્કોડેડ છે. માર્ગ દ્વારા, વર્ણસંકર વિશ્લેષણ પણ બધું પાછું ડીકોડ કરીને આમાં મદદ કરે છે. જો તમે જાતે base64 પાવરશેલ (ત્યારબાદ PS તરીકે ઓળખાય છે) ડીકોડ કરવાનો પ્રયાસ કરવા માંગતા હો, તો તમારે આ આદેશ ચલાવવાની જરૂર છે:

 [System.Text.Encoding]::Unicode.GetString([System.Convert]::FromBase64String($EncodedText))

ઊંડા જાઓ

મેં આ પદ્ધતિનો ઉપયોગ કરીને અમારી PS સ્ક્રિપ્ટને ડીકોડ કરી છે, નીચે પ્રોગ્રામનો ટેક્સ્ટ છે, જોકે મારા દ્વારા થોડો ફેરફાર કરવામાં આવ્યો છે:

નોંધ કરો કે સ્ક્રિપ્ટ તારીખ 4 સપ્ટેમ્બર, 2017 સાથે જોડાયેલી હતી અને સત્ર કૂકીઝ ટ્રાન્સમિટ કરવામાં આવી હતી.

મેં હુમલાની આ શૈલી વિશે લખ્યું હતું PS અસ્પષ્ટતા શ્રેણી, જેમાં base64 એન્કોડેડ સ્ક્રિપ્ટ પોતે લોડ થાય છે ખૂટે છે હેવી લિફ્ટિંગ કરવા માટે .Net Framework લાઇબ્રેરીના WebClient ઑબ્જેક્ટનો ઉપયોગ કરીને બીજી સાઇટ પરથી માલવેર.

આ શું છે?

સુરક્ષા સૉફ્ટવેર સ્કેનિંગ વિન્ડોઝ ઇવેન્ટ લૉગ્સ અથવા ફાયરવૉલ માટે, બેઝ 64 એન્કોડિંગ સ્ટ્રિંગ "વેબક્લાયન્ટ" ને સાદા ટેક્સ્ટ પેટર્ન દ્વારા શોધવામાં આવતા અટકાવે છે જેથી આવી વેબ વિનંતી કરવાથી રક્ષણ મળે. અને ત્યારથી મૉલવેરની બધી "દુષ્ટ" ડાઉનલોડ થઈ જાય છે અને અમારા પાવરશેલમાં પસાર થઈ જાય છે, આ રીતે આ અભિગમ અમને શોધને સંપૂર્ણપણે ટાળવા દે છે. અથવા તેના બદલે, મેં પહેલા વિચાર્યું તે છે.

તે તારણ આપે છે કે વિન્ડોઝ પાવરશેલ એડવાન્સ્ડ લોગિંગ સક્ષમ (મારો લેખ જુઓ), તમે ઇવેન્ટ લોગમાં લોડ કરેલી લાઇન જોઈ શકશો. હું જેવો છું અને અન્ય ) મને લાગે છે કે માઇક્રોસોફ્ટે મૂળભૂત રીતે લોગીંગના આ સ્તરને સક્ષમ કરવું જોઈએ. તેથી, વિસ્તૃત લોગીંગ સક્ષમ સાથે, આપણે ઉપર ચર્ચા કરેલ ઉદાહરણ અનુસાર વિન્ડોઝ ઈવેન્ટ લોગમાં PS સ્ક્રિપ્ટમાંથી પૂર્ણ થયેલ ડાઉનલોડ વિનંતી જોઈશું. તેથી, તેને સક્રિય કરવામાં અર્થપૂર્ણ છે, શું તમે સંમત નથી?

ચાલો વધારાના દૃશ્યો ઉમેરીએ

વિઝ્યુઅલ બેઝિક અને અન્ય સ્ક્રિપ્ટીંગ ભાષાઓમાં લખેલા માઇક્રોસોફ્ટ ઓફિસ મેક્રોમાં હેકર્સ ચતુરાઈથી પાવરશેલ હુમલાઓને છુપાવે છે. વિચાર એ છે કે પીડિતને સંદેશ પ્રાપ્ત થાય છે, ઉદાહરણ તરીકે ડિલિવરી સેવા તરફથી, .doc ફોર્મેટમાં જોડાયેલ રિપોર્ટ સાથે. તમે આ દસ્તાવેજ ખોલો છો જેમાં મેક્રો છે, અને તે દૂષિત પાવરશેલને જ લોંચ કરવાનું સમાપ્ત કરે છે.

ઘણીવાર વિઝ્યુઅલ બેઝિક સ્ક્રિપ્ટ પોતે જ અસ્પષ્ટ હોય છે જેથી તે મુક્તપણે એન્ટિવાયરસ અને અન્ય માલવેર સ્કેનર્સથી બચી જાય. ઉપરની ભાવનામાં, મેં એક કસરત તરીકે JavaScript માં ઉપરોક્ત પાવરશેલ કોડ કરવાનું નક્કી કર્યું. નીચે મારા કાર્યના પરિણામો છે:

અસ્પષ્ટ JavaScript અમારા પાવરશેલને છુપાવી રહ્યું છે. વાસ્તવિક હેકર્સ એક કે બે વાર આવું કરે છે.

આ બીજી તકનીક છે જે મેં વેબની આસપાસ તરતી જોઈ છે: કોડેડ પાવરશેલ ચલાવવા માટે Wscript.Shell નો ઉપયોગ કરવો. માર્ગ દ્વારા, JavaScript પોતે છે અર્થ માલવેરની ડિલિવરી. વિન્ડોઝના ઘણા સંસ્કરણો બિલ્ટ-ઇન છે વિન્ડોઝ સ્ક્રિપ્ટ હોસ્ટ, જે પોતે JS ચલાવી શકે છે.
અમારા કિસ્સામાં, દૂષિત JS સ્ક્રિપ્ટ .doc.js એક્સ્ટેંશન સાથે ફાઇલ તરીકે એમ્બેડ કરેલી છે. વિન્ડોઝ સામાન્ય રીતે માત્ર પ્રથમ પ્રત્યય બતાવશે, તેથી તે પીડિતને વર્ડ ડોક્યુમેન્ટ તરીકે દેખાશે.

JS આઇકોન માત્ર સ્ક્રોલ આઇકોનમાં જ દેખાય છે. તે આશ્ચર્યજનક નથી કે ઘણા લોકો આ જોડાણને એવું વિચારીને ખોલશે કે તે વર્ડ દસ્તાવેજ છે.

મારા ઉદાહરણમાં, મેં મારી વેબસાઇટ પરથી સ્ક્રિપ્ટ ડાઉનલોડ કરવા માટે ઉપરના પાવરશેલમાં ફેરફાર કર્યો છે. રિમોટ પીએસ સ્ક્રિપ્ટ ફક્ત "એવિલ માલવેર" છાપે છે. જેમ તમે જોઈ શકો છો, તે બિલકુલ દુષ્ટ નથી. અલબત્ત, વાસ્તવિક હેકર્સ કમાન્ડ શેલ દ્વારા લેપટોપ અથવા સર્વરની ઍક્સેસ મેળવવામાં રસ ધરાવે છે. આગલા લેખમાં, હું તમને બતાવીશ કે પાવરશેલ એમ્પાયરનો ઉપયોગ કરીને આ કેવી રીતે કરવું.

હું આશા રાખું છું કે પ્રથમ પરિચયાત્મક લેખ માટે આપણે વિષયમાં ખૂબ ઊંડાણપૂર્વક ડૂબકી મારવી નથી. હવે હું તમને શ્વાસ લેવા દઈશ, અને આગલી વખતે અમે કોઈપણ બિનજરૂરી પ્રારંભિક શબ્દો અથવા તૈયારી વિના ફાઇલલેસ માલવેરનો ઉપયોગ કરીને હુમલાના વાસ્તવિક ઉદાહરણો જોવાનું શરૂ કરીશું.

સોર્સ: www.habr.com