પ્રપંચી માલવેરના એડવેન્ચર્સ, ભાગ II: સિક્રેટિવ VBA સ્ક્રિપ્ટ્સ

આ લેખ ફાઇલલેસ માલવેર શ્રેણીનો એક ભાગ છે. શ્રેણીના અન્ય તમામ ભાગો:

• ધી એડવેન્ચર્સ ઓફ ધ પ્રપંચી માલવેર, ભાગ I
• એડવેન્ચર્સ ઓફ ધ પ્રપંચી માલવેર, ભાગ II: છુપાયેલ VBA સ્ક્રિપ્ટ્સ (અમે અહીં છીએ)

હું સાઇટનો ચાહક છું વર્ણસંકર વિશ્લેષણ (હાઇબ્રિડ વિશ્લેષણ, ત્યારબાદ HA). આ એક પ્રકારનું માલવેર પ્રાણી સંગ્રહાલય છે જ્યાં તમે હુમલો કર્યા વિના સલામત અંતરથી જંગલી "શિકારીઓ" ને સુરક્ષિત રીતે અવલોકન કરી શકો છો. HA સુરક્ષિત વાતાવરણમાં મૉલવેર ચલાવે છે, સિસ્ટમ કૉલ્સ રેકોર્ડ કરે છે, બનાવેલી ફાઇલો અને ઇન્ટરનેટ ટ્રાફિક, અને તે વિશ્લેષણ કરે છે તે દરેક નમૂના માટે તમને આ બધા પરિણામો આપે છે. આ રીતે, તમારે મૂંઝવણભર્યા કોડને જાતે શોધવાનો પ્રયાસ કરીને તમારો સમય અને શક્તિ વેડફવાની જરૂર નથી, પરંતુ હેકર્સના તમામ ઇરાદાઓને તરત જ સમજી શકશો.

HA ઉદાહરણો કે જેણે મારું ધ્યાન ખેંચ્યું તે ક્યાં તો કોડેડ JavaScript અથવા Visual Basic for Applications (VBA) સ્ક્રિપ્ટનો ઉપયોગ કરે છે જે વર્ડ અથવા એક્સેલ દસ્તાવેજોમાં મેક્રો તરીકે એમ્બેડ કરવામાં આવે છે અને ફિશિંગ ઇમેઇલ્સ સાથે જોડાયેલ છે. જ્યારે ખોલવામાં આવે છે, ત્યારે આ મેક્રો પીડિતના કમ્પ્યુટર પર પાવરશેલ સત્ર શરૂ કરે છે. હેકર્સ સામાન્ય રીતે પાવરશેલને બેઝ 64 એન્કોડેડ સ્ટ્રીમ આદેશો મોકલે છે. આ બધું વેબ ફિલ્ટર્સ અને એન્ટીવાયરસ સૉફ્ટવેર દ્વારા હુમલાને શોધવાનું મુશ્કેલ બનાવવા માટે કરવામાં આવે છે જે ચોક્કસ કીવર્ડ્સને પ્રતિસાદ આપે છે.
સદભાગ્યે, HA આપોઆપ Base64 ડીકોડ કરે છે અને તરત જ બધું વાંચી શકાય તેવા ફોર્મેટમાં પ્રદર્શિત કરે છે. આવશ્યકપણે, તમારે આ સ્ક્રિપ્ટો કેવી રીતે કાર્ય કરે છે તેના પર ધ્યાન કેન્દ્રિત કરવાની જરૂર નથી કારણ કે તમે HA ના અનુરૂપ વિભાગમાં ચાલી રહેલી પ્રક્રિયાઓ માટે સંપૂર્ણ આદેશ આઉટપુટ જોઈ શકશો. નીચે ઉદાહરણ જુઓ:

હાઇબ્રિડ વિશ્લેષણ પાવરશેલને મોકલેલ બેઝ 64 એન્કોડેડ આદેશોને અટકાવે છે:

...અને પછી તેને તમારા માટે ડીકોડ કરે છે. #જાદુઈ રીતે

В અગાઉની પોસ્ટ પાવરશેલ સત્ર ચલાવવા માટે મેં મારું પોતાનું થોડું અસ્પષ્ટ જાવાસ્ક્રિપ્ટ કન્ટેનર બનાવ્યું છે. મારી સ્ક્રિપ્ટ, ઘણા પાવરશેલ-આધારિત માલવેરની જેમ, પછી રિમોટ વેબસાઇટ પરથી નીચેની PowerShell સ્ક્રિપ્ટ ડાઉનલોડ કરે છે. પછી, ઉદાહરણ તરીકે, મેં એક હાનિકારક પીએસ લોડ કર્યું જેણે સ્ક્રીન પર સંદેશ છાપ્યો. પરંતુ સમય બદલાઈ રહ્યો છે, અને હવે હું પરિસ્થિતિને જટિલ બનાવવાનો પ્રસ્તાવ મૂકું છું.

પાવરશેલ એમ્પાયર અને રિવર્સ શેલ

આ કવાયતનો એક ધ્યેય એ બતાવવાનો છે કે કેવી રીતે (પ્રમાણમાં) હેકર ક્લાસિક પરિમિતિ સંરક્ષણ અને એન્ટિવાયરસને સરળતાથી બાયપાસ કરી શકે છે. જો પ્રોગ્રામિંગ કૌશલ્ય વિનાનો IT બ્લોગર, મારા જેવા, તે એક-બે સાંજે કરી શકે છે શોધી ન શકાય તેવા માલવેર બનાવો (સંપૂર્ણપણે શોધાયેલ, FUD), આમાં રસ ધરાવતા યુવાન હેકરની ક્ષમતાઓની કલ્પના કરો!

અને જો તમે IT સુરક્ષા પ્રદાતા છો, પરંતુ તમારા મેનેજર આ ધમકીઓના સંભવિત પરિણામોથી વાકેફ નથી, તો તેને આ લેખ બતાવો.

હેકર્સ પીડિતાના લેપટોપ અથવા સર્વર સુધી સીધો પ્રવેશ મેળવવાનું સ્વપ્ન જુએ છે. આ કરવું ખૂબ જ સરળ છે: હેકરને CEOના લેપટોપ પર કેટલીક ગોપનીય ફાઇલો મેળવવાની જરૂર છે.

કોઈક રીતે હું પહેલેથી જ લખ્યું પાવરશેલ એમ્પાયર પોસ્ટ-પ્રોડક્શન રનટાઇમ વિશે. ચાલો યાદ કરીએ કે તે શું છે.

તે અનિવાર્યપણે પાવરશેલ-આધારિત ઘૂંસપેંઠ પરીક્ષણ સાધન છે જે, અન્ય ઘણી સુવિધાઓની વચ્ચે, તમને સરળતાથી રિવર્સ શેલ ચલાવવાની મંજૂરી આપે છે. તમે તેના પર વધુ વિગતવાર અભ્યાસ કરી શકો છો PSE હોમ સાઇટ.

ચાલો થોડો પ્રયોગ કરીએ. મેં Amazon Web Services ક્લાઉડમાં સુરક્ષિત માલવેર પરીક્ષણ વાતાવરણ સેટ કર્યું છે. તમે આ નબળાઈનું કાર્યકારી ઉદાહરણ ઝડપથી અને સુરક્ષિત રીતે બતાવવા માટે મારા ઉદાહરણને અનુસરી શકો છો (અને એન્ટરપ્રાઈઝ પરિમિતિમાં વાયરસ ચલાવવા માટે બરતરફ ન થાઓ).

જો તમે પાવરશેલ એમ્પાયર કન્સોલ લોંચ કરો છો, તો તમે આના જેવું કંઈક જોશો:

પ્રથમ તમે તમારા હેકર કમ્પ્યુટર પર સાંભળનાર પ્રક્રિયા શરૂ કરો. "શ્રોતા" આદેશ દાખલ કરો અને "હોસ્ટ સેટ કરો" નો ઉપયોગ કરીને તમારી સિસ્ટમનું IP સરનામું સ્પષ્ટ કરો. પછી "એક્ઝીક્યુટ" કમાન્ડ (નીચે) વડે લિસનર પ્રક્રિયા શરૂ કરો. આમ, તમારા તરફથી, તમે રિમોટ શેલમાંથી નેટવર્ક કનેક્શનની રાહ જોવાનું શરૂ કરશો:

બીજી બાજુ માટે, તમારે "લૉન્ચર" આદેશ દાખલ કરીને એજન્ટ કોડ જનરેટ કરવાની જરૂર પડશે (નીચે જુઓ). આ રીમોટ એજન્ટ માટે પાવરશેલ કોડ જનરેટ કરશે. નોંધ કરો કે તે Base64 માં એન્કોડેડ છે, અને પેલોડના બીજા તબક્કાનું પ્રતિનિધિત્વ કરે છે. બીજા શબ્દોમાં કહીએ તો, મારો JavaScript કોડ હવે આ એજન્ટને સ્ક્રીન પર નિર્દોષ રીતે ટેક્સ્ટ પ્રિન્ટ કરવાને બદલે પાવરશેલ ચલાવવા માટે ખેંચશે અને રિવર્સ શેલ ચલાવવા માટે અમારા રિમોટ PSE સર્વર સાથે કનેક્ટ કરશે.

રિવર્સ શેલનો જાદુ. આ કોડેડ પાવરશેલ આદેશ મારા શ્રોતા સાથે કનેક્ટ થશે અને રિમોટ શેલ લોન્ચ કરશે.

તમને આ પ્રયોગ બતાવવા માટે, મેં નિર્દોષ પીડિતાની ભૂમિકા નિભાવી અને Evil.doc ખોલ્યું, જેનાથી અમારી JavaScript લૉન્ચ થઈ. પહેલો ભાગ યાદ છે? પાવરશેલને તેની વિન્ડોને પોપ અપ થતી અટકાવવા માટે ગોઠવવામાં આવી છે, જેથી પીડિતને કંઈપણ અસામાન્ય દેખાશે નહીં. જો કે, જો તમે વિન્ડોઝ ટાસ્ક મેનેજર ખોલો છો, તો તમે એક પૃષ્ઠભૂમિ પાવરશેલ પ્રક્રિયા જોશો જે કોઈપણ રીતે મોટાભાગના લોકો માટે એલાર્મનું કારણ બનશે નહીં. કારણ કે તે માત્ર નિયમિત PowerShell છે, તે નથી?

હવે જ્યારે તમે Evil.doc ચલાવો છો, ત્યારે એક છુપી પૃષ્ઠભૂમિ પ્રક્રિયા પાવરશેલ એમ્પાયર ચલાવતા સર્વર સાથે કનેક્ટ થશે. મારી સફેદ પેન્ટેસ્ટર હેકર ટોપી પહેરીને, હું પાવરશેલ એમ્પાયર કન્સોલ પર પાછો ફર્યો અને હવે મારો રીમોટ એજન્ટ સક્રિય હોવાનો સંદેશો જોયો.

મેં પછી PSE માં શેલ ખોલવા માટે "ઇન્ટરેક્ટ" આદેશ દાખલ કર્યો - અને હું ત્યાં હતો! ટૂંકમાં, મેં ટેકો સર્વરને હેક કર્યું છે જે મેં મારી જાતે એકવાર સેટ કર્યું છે.

મેં હમણાં જ જે દર્શાવ્યું છે તેના માટે તમારા તરફથી આટલા કામની જરૂર નથી. તમારા માહિતી સુરક્ષા જ્ઞાનને સુધારવા માટે તમે એક કે બે કલાક માટે તમારા લંચ બ્રેક દરમિયાન આ બધું સરળતાથી કરી શકો છો. હેકર્સ તમારી બાહ્ય સુરક્ષા પરિમિતિને કેવી રીતે બાયપાસ કરી રહ્યા છે અને તમારી સિસ્ટમમાં પ્રવેશ કરી રહ્યા છે તે સમજવાની પણ તે એક સરસ રીત છે.

IT મેનેજરો કે જેઓ વિચારે છે કે તેઓએ કોઈપણ ઘુસણખોરી સામે અભેદ્ય સંરક્ષણ બનાવ્યું છે તેઓને કદાચ તે શૈક્ષણિક પણ લાગશે - એટલે કે, જો તમે તેમને તમારી સાથે લાંબા સમય સુધી બેસવા માટે સમજાવી શકો.

ચાલો વાસ્તવિકતા પર પાછા આવીએ

મારી અપેક્ષા મુજબ, એક વાસ્તવિક હેક, જે સરેરાશ વપરાશકર્તા માટે અદ્રશ્ય છે, તે ફક્ત મેં હમણાં જ વર્ણવેલ છે તેની વિવિધતા છે. આગલા પ્રકાશન માટે સામગ્રી એકત્રિત કરવા માટે, મેં HA પર એક નમૂના શોધવાનું શરૂ કર્યું જે મારા શોધેલા ઉદાહરણની જેમ કાર્ય કરે છે. અને મારે તેને લાંબા સમય સુધી જોવાની જરૂર નથી - સાઇટ પર સમાન હુમલો તકનીક માટે ઘણા વિકલ્પો છે.

આખરે HA પર મને જે માલવેર મળ્યું તે VBA સ્ક્રિપ્ટ હતી જે વર્ડ ડોક્યુમેન્ટમાં એમ્બેડ કરેલી હતી. એટલે કે, મારે દસ્તાવેજ એક્સ્ટેંશનને નકલી બનાવવાની પણ જરૂર નથી, આ માલવેર ખરેખર સામાન્ય દેખાતો માઇક્રોસોફ્ટ વર્ડ દસ્તાવેજ છે. જો તમને રુચિ હોય, તો મેં આ નમૂનાને પસંદ કર્યો છે rfq.doc.

હું ઝડપથી શીખી ગયો કે તમે વારંવાર દૂષિત VBA સ્ક્રિપ્ટ્સને દસ્તાવેજમાંથી બહાર કાઢી શકતા નથી. હેકર્સ તેમને સંકુચિત કરે છે અને છુપાવે છે જેથી તેઓ વર્ડના બિલ્ટ-ઇન મેક્રો ટૂલ્સમાં દેખાતા નથી. તેને દૂર કરવા માટે તમારે વિશિષ્ટ સાધનની જરૂર પડશે. સદભાગ્યે મને એક સ્કેનર મળ્યું OfficeMalScanner ફ્રેન્ક બાલ્ડવિન. આભાર, ફ્રેન્ક.

આ સાધનનો ઉપયોગ કરીને, હું અત્યંત અસ્પષ્ટ VBA કોડને બહાર કાઢવામાં સક્ષમ હતો. તે કંઈક આના જેવું દેખાતું હતું:

અસ્પષ્ટતા તેમના ક્ષેત્રમાં વ્યાવસાયિકો દ્વારા કરવામાં આવી હતી. હું પ્રભાવિત થયો હતો!

હુમલાખોરો કોડને અસ્પષ્ટ કરવામાં ખરેખર સારા છે, Evil.doc બનાવવાના મારા પ્રયત્નો જેવા નથી. ઠીક છે, આગળના ભાગમાં અમે અમારા VBA ડીબગર્સ લઈશું, આ કોડમાં થોડા ઊંડા જઈશું અને HA પરિણામો સાથે અમારા વિશ્લેષણની તુલના કરીશું.

સોર્સ: www.habr.com