વારોનિસે ક્રિપ્ટોમાઈનિંગ વાઈરસ શોધ્યો: અમારી તપાસ

અમારી સાયબર સિક્યુરિટી તપાસ ટીમે તાજેતરમાં એક નેટવર્કની તપાસ કરી હતી જે લગભગ સંપૂર્ણ રીતે મધ્યમ કદની કંપનીમાં ક્રિપ્ટોમાઇનિંગ વાયરસથી સંક્રમિત હતું. વિશ્લેષણ
એકત્રિત કરેલ માલવેર નમૂનાઓ દર્શાવે છે કે નવો ફેરફાર જોવા મળ્યો છે
આવા વાયરસ કહેવાય છે નોર્મન, તેની હાજરી છુપાવવાની વિવિધ પદ્ધતિઓનો ઉપયોગ કરીને. વધુમાં, તે શોધી કાઢવામાં આવ્યું હતું ઇન્ટરેક્ટિવ વેબ શેલ, જે ખાણકામ ઓપરેટરો માટે સંબંધિત હોઈ શકે છે.

અભ્યાસ ઝાંખી

• વારોનિસ કંપનીએ ક્રિપ્ટોમાઇનર્સ સાથે મોટા પાયે ચેપની ઓળખ કરી છે: કંપનીના લગભગ તમામ સર્વર અને વર્કસ્ટેશન આવા સોફ્ટવેરથી સંક્રમિત હતા.
• એક વર્ષ કરતાં વધુ સમય પહેલાં પ્રારંભિક ચેપથી, ફેરફારો અને ચેપગ્રસ્ત ઉપકરણોની સંખ્યામાં સતત વધારો થયો છે.
• અમે એક નવા પ્રકારનું મોનેરો ક્રિપ્ટોમિનર (નોર્મન) શોધી કાઢ્યું છે જે તપાસ ટાળવા માટે સુરક્ષા સૉફ્ટવેર દ્વારા વિશ્લેષણથી તેને છુપાવવા માટે વિવિધ પદ્ધતિઓનો ઉપયોગ કરે છે.
• મોટાભાગના માલવેર વેરિએન્ટ્સ કંટ્રોલ સેન્ટર (C&C સર્વર્સ) સાથે જોડાવા અને રૂપરેખાંકન પરિમાણો મેળવવા અથવા નવો ડેટા મોકલવા માટે DuckDNS (એક મફત ડાયનેમિક DNS સેવા) નો ઉપયોગ કરે છે.
• નોર્મન ઓપન સોર્સ માઇનર - XMRig પર આધારિત ઉચ્ચ પ્રદર્શન મોનેરો ક્રિપ્ટોકરન્સી ખાણિયો છે
• અમારી પાસે હજુ સુધી ક્રિપ્ટોમિનર્સને ઇન્ટરેક્ટિવ PHP શેલ સાથે જોડતા અકાટ્ય પુરાવા નથી. જો કે, તેઓ એક જ હુમલાખોર પાસેથી આવી રહ્યા છે એવું માનવા માટેના સારા કારણો છે. સંશોધકો આવા જોડાણની હાજરી અથવા ગેરહાજરી માટે વધારાના પુરાવા એકત્રિત કરી રહ્યા છે.
• આ લેખમાં તમે દૂરસ્થ વેબ શેલ અને ક્રિપ્ટોમાઇનર્સ સામે રક્ષણ સંબંધિત વારોનીસની ભલામણોથી પોતાને પરિચિત કરી શકો છો.

તપાસ

આગળના પાયલોટ પ્રોજેક્ટ દરમિયાન તપાસ શરૂ થઈ પ્લેટફોર્મ
સાયબર સુરક્ષા વારોનિસ (વારોનિસ ડેટા સિક્યુરિટી પ્લેટફોર્મ), જેણે ફાઇલ સિસ્ટમ પર વિસંગત ક્રિયાઓ સાથે સંકળાયેલ ઇન્ટરનેટ વિનંતીઓ દરમિયાન (વેબ પ્રોક્સી દ્વારા) નેટવર્ક સ્તરે ઘણી શંકાસ્પદ વિસંગત ઘટનાઓને ઝડપથી ઓળખવાનું શક્ય બનાવ્યું.
ગ્રાહકે તરત જ ધ્યાન દોર્યું કે અમારા પ્લેટફોર્મ દ્વારા ઓળખાયેલ ઉપકરણો
તે જ વપરાશકર્તાઓના છે જેમણે તાજેતરમાં એપ્લિકેશન ક્રેશ અને નેટવર્ક સ્લોડાઉનની જાણ કરી હતી.

અમારી ટીમે વારોનિસ પ્લેટફોર્મ દ્વારા જનરેટ કરાયેલ ચેતવણીઓ અનુસાર એક ચેપગ્રસ્ત સ્ટેશનથી બીજા સ્થાને જતા ગ્રાહકના વાતાવરણની જાતે જ તપાસ કરી. ઘટના પ્રતિસાદ ટીમે એક ખાસ નિયમ વિકસાવ્યો છે ડેટા એલર્ટ મોડ્યુલ સક્રિય રીતે ખાણકામ કરતા કમ્પ્યુટર્સને શોધવા માટે, જેણે જોખમને ઝડપથી દૂર કરવામાં મદદ કરી. એકત્રિત માલવેરના નમૂનાઓ ફોરેન્સિક અને વિકાસ ટીમોને મોકલવામાં આવ્યા હતા, જેમણે સલાહ આપી હતી કે નમૂનાઓની વધુ તપાસ જરૂરી છે.
તેઓએ કરેલા કોલને કારણે ચેપગ્રસ્ત ગાંઠો મળી આવ્યા હતા ડકડીએનએસ, એક ડાયનેમિક DNS સેવા કે જે તેના વપરાશકર્તાઓને તેમના પોતાના ડોમેન નામો બનાવવા અને IP સરનામાં બદલવા માટે ઝડપથી મેપ કરવાની મંજૂરી આપે છે. ઉપર નોંધ્યું છે તેમ, ઘટનામાં મોટાભાગના માલવેરે કંટ્રોલ સેન્ટર (C&C) સાથે કનેક્ટ થવા માટે DuckDNS ને એક્સેસ કર્યું હતું, જ્યારે અન્યોએ રૂપરેખાંકન પરિમાણોને ઍક્સેસ કર્યું હતું અથવા નવો ડેટા મોકલ્યો હતો.

લગભગ તમામ સર્વર અને કમ્પ્યુટર્સ માલવેરથી સંક્રમિત હતા. મુખ્યત્વે વપરાય છે
ક્રિપ્ટોમિનર્સના સામાન્ય પ્રકારો. અન્ય માલવેરમાં પાસવર્ડ ડમ્પ ટૂલ્સ અને PHP શેલ્સનો સમાવેશ થાય છે, જ્યારે સંખ્યાબંધ ટૂલ્સ ઘણા વર્ષોથી કામ કરી રહ્યા હતા.

અમે ગ્રાહકને પરિણામો આપ્યા, તેમના પર્યાવરણમાંથી માલવેર દૂર કર્યા અને વધુ ચેપ અટકાવ્યા.

ક્રિપ્ટોમિનર્સના તમામ શોધાયેલા નમૂનાઓમાંથી, એક બહાર આવ્યો. અમે તેને નામ આપ્યું નોર્મન.

મળો! નોર્મન. ક્રિપ્ટોમિનર

નોર્મન XMRig કોડ પર આધારિત ઉચ્ચ પ્રદર્શન મોનેરો ક્રિપ્ટોકરન્સી ખાણિયો છે. અન્ય ખાણિયોના નમૂનાઓથી વિપરીત, નોર્મન શોધને ટાળવા અને વધુ ફેલાવાને રોકવા માટે સુરક્ષા સોફ્ટવેર દ્વારા વિશ્લેષણથી છુપાવવા માટે તકનીકોનો ઉપયોગ કરે છે.

પ્રથમ નજરમાં, આ માલવેર svchost.exe નામ હેઠળ છુપાયેલ નિયમિત ખાણિયો છે. જો કે, અભ્યાસમાં જાણવા મળ્યું છે કે તે શોધથી છુપાવવા અને વસ્તુઓને ચાલુ રાખવા માટે વધુ રસપ્રદ પદ્ધતિઓનો ઉપયોગ કરે છે.

આ માલવેરની જમાવટ પ્રક્રિયાને ત્રણ તબક્કામાં વિભાજિત કરી શકાય છે:

• કામગીરી;
• અમલીકરણ;
• ખાણકામ

પગલું દ્વારા પગલું વિશ્લેષણ

સ્ટેજ 1. એક્ઝેક્યુશન

પ્રથમ તબક્કો એક્ઝેક્યુટેબલ ફાઇલ svchost.exe સાથે શરૂ થાય છે.

આ માલવેર NSIS (Nullsoft Scriptable Install System) નો ઉપયોગ કરીને કમ્પાઇલ કરવામાં આવ્યું છે, જે અસામાન્ય છે. NSIS એક ઓપન-સોર્સ સિસ્ટમ છે જેનો ઉપયોગ ઇન્સ્ટોલર્સ બનાવવા માટે થાય છે. WindowsSFX ની જેમ, આ સિસ્ટમ એક ફાઇલ આર્કાઇવ અને એક સ્ક્રિપ્ટ ફાઇલ બનાવે છે જે ઇન્સ્ટોલરના એક્ઝેક્યુશન દરમિયાન એક્ઝેક્યુટ થાય છે. સ્ક્રિપ્ટ ફાઇલ પ્રોગ્રામને કહે છે કે કઈ ફાઇલો ચલાવવી અને આર્કાઇવમાંની અન્ય ફાઇલો સાથે ક્રિયાપ્રતિક્રિયા કરી શકે છે.

ઉદાહરણ: એક્ઝિક્યુટેબલ ફાઇલમાંથી NSIS સ્ક્રિપ્ટ ફાઇલ મેળવવા માટે, તમારે 7zip સંસ્કરણ 9.38 નો ઉપયોગ કરવો આવશ્યક છે, કારણ કે પછીના સંસ્કરણો આ સુવિધાને અમલમાં મૂકતા નથી.

NSIS આર્કાઇવ કરેલા માલવેરમાં નીચેની ફાઇલો છે:

• CallAnsiPlugin.dll, CLR.dll - .NET DLL ફંક્શનને કૉલ કરવા માટે NSIS મોડ્યુલો;
• 5zmjbxUIOVQ58qPR.dll - મુખ્ય પેલોડ DLL;
• 4jy4sobf.acz, es1qdxg2.5pk, OIM1iVhZ.txt - પેલોડ ફાઇલો;
• Retreat.mp3, Cropped_controller_config_controller_i_lb.png માત્ર એવી ફાઇલો છે જે આગળની દૂષિત પ્રવૃત્તિ સાથે કોઈ રીતે સંબંધિત નથી.

NSIS સ્ક્રિપ્ટ ફાઇલમાંથી આદેશ જે પેલોડને ચલાવે છે તે નીચે આપેલ છે.

માલવેર 5zmjbxUIOVQ58qPR.dll ફંક્શનને કૉલ કરીને ચલાવવામાં આવે છે, જે અન્ય ફાઇલોને પરિમાણો તરીકે લે છે.

સ્ટેજ 2. અમલીકરણ

ફાઇલ 5zmjbxUIOVQ58qPR.dll એ મુખ્ય પેલોડ છે, જે ઉપરની NSIS સ્ક્રિપ્ટમાંથી જોઈ શકાય છે. મેટાડેટાના ઝડપી વિશ્લેષણથી જાણવા મળ્યું કે DLL મૂળરૂપે Norman.dll તરીકે ઓળખાતું હતું, તેથી અમે તેને તે નામ આપ્યું છે.

DLL ફાઇલ .NET માં વિકસાવવામાં આવી છે અને ટ્રિપલ ઓબ્ફસકેશન દ્વારા રિવર્સ એન્જિનિયરિંગથી સુરક્ષિત છે.
જાણીતી કોમર્શિયલ પ્રોડક્ટ Agile .NET Obfuscator નો ઉપયોગ કરીને.

એક્ઝેક્યુશન દરમિયાન, સ્વ-ઇન્જેક્શનની ઘણી કામગીરી તેની પોતાની પ્રક્રિયામાં, તેમજ અન્ય પ્રક્રિયાઓમાં સામેલ છે. OS બીટ ઊંડાઈ પર આધાર રાખીને, માલવેર કરશે
સિસ્ટમ ફોલ્ડર્સ માટે વિવિધ પાથ પસંદ કરો અને વિવિધ પ્રક્રિયાઓ લોંચ કરો.

સિસ્ટમ ફોલ્ડર પાથના આધારે, માલવેર ચલાવવા માટે વિવિધ પ્રક્રિયાઓ પસંદ કરશે.

ઇન્જેક્ટેડ પેલોડમાં બે મુખ્ય કાર્યો છે: ક્રિપ્ટોમાઇનરને એક્ઝિક્યુટ કરવું અને ડિટેક્શન અટકાવવું.

જો OS 64-બીટ છે

જ્યારે મૂળ svchosts.exe ફાઇલ (NSIS ફાઇલ) એક્ઝિક્યુટ થાય છે, ત્યારે તે પોતાની એક નવી પ્રક્રિયા બનાવે છે અને તેમાં પેલોડ (1) દાખલ કરે છે. ટૂંક સમયમાં, તે notepad.exe અથવા explorer.exe લોન્ચ કરે છે, અને તેમાં ક્રિપ્ટોમાઇનરને ઇન્જેક્ટ કરે છે (2).

આ પછી, મૂળ svchost.exe ફાઇલ બહાર નીકળી જાય છે, અને નવી svchost.exe ફાઇલનો ઉપયોગ એક પ્રોગ્રામ તરીકે થાય છે જે ખાણકામ પ્રક્રિયાને મોનિટર કરે છે.

જો OS 32-બીટ છે

જ્યારે મૂળ svchosts.exe ફાઈલ (NSIS ફાઈલ) ચાલે છે, ત્યારે તે 64-બીટ વર્ઝનની જેમ તેની પોતાની પ્રક્રિયાનું ડુપ્લિકેટ કરે છે અને પેલોડને તેમાં દાખલ કરે છે.

આ કિસ્સામાં, માલવેર વપરાશકર્તાની explorer.exe પ્રક્રિયામાં પેલોડ દાખલ કરે છે. ત્યાંથી, દૂષિત કોડ નવી પ્રક્રિયા (wuapp.exe અથવા vchost.exe) શરૂ કરે છે અને તેમાં ખાણિયો દાખલ કરે છે.

માલવેર એ હકીકતને છુપાવે છે કે તેણે wuapp.exe અને ખાલી મૂલ્યોના પાથ સાથે અગાઉ ઇન્જેક્ટ કરેલા કોડને ઓવરરાઇટ કરીને explorer.exe માં ઇન્જેક્ટ કર્યું છે.

જેમ કે 64-બીટ વાતાવરણમાં ચાલતી વખતે, મૂળ svchost.exe પ્રક્રિયા બહાર નીકળી જાય છે, અને બીજી પ્રક્રિયાનો ઉપયોગ explorer.exe માં દૂષિત કોડને ફરીથી ઇન્જેક્ટ કરવા માટે થાય છે જો પ્રક્રિયા વપરાશકર્તા દ્વારા સમાપ્ત કરવામાં આવે.

એક્ઝેક્યુશન અલ્ગોરિધમના અંતે, માલવેર હંમેશા ક્રિપ્ટોમાઇનરને કાયદેસરની પ્રક્રિયામાં દાખલ કરે છે.

જ્યારે વપરાશકર્તા ટાસ્ક મેનેજર લોંચ કરે છે ત્યારે તે ખાણિયોને સમાપ્ત કરીને શોધને રોકવા માટે રચાયેલ છે.

મહેરબાની કરીને નોંધ કરો કે ટાસ્ક મેનેજર શરૂ કર્યા પછી, wuapp.exe પ્રક્રિયા સમાપ્ત થાય છે.

ટાસ્ક મેનેજરને બંધ કર્યા પછી, માલવેર ફરીથી અને ફરીથી wuapp.exe પ્રક્રિયા શરૂ કરે છે
ખાણિયો તેને તેમાં ઇન્જેક્ટ કરે છે.

સ્ટેજ 3. ખાણિયો

ઉપર જણાવેલ XMRig ખાણિયોને ધ્યાનમાં લો.

માલવેર ખાણિયોના છૂપા UPX સંસ્કરણને નોટપેડ, exe, explorer.exe, માં દાખલ કરે છે.
svchost.exe અથવા wuapp.exe, OS બીટની ઊંડાઈ અને એક્ઝેક્યુશન અલ્ગોરિધમના તબક્કાના આધારે.

ખાણિયોમાં PE હેડર દૂર કરવામાં આવ્યું છે અને નીચેના સ્ક્રીનશોટમાં આપણે જોઈ શકીએ છીએ કે તે UPX સાથે માસ્ક કરેલું છે.

ડમ્પ બનાવ્યા પછી અને એક્ઝેક્યુટેબલનું પુનઃનિર્માણ કર્યા પછી, અમે તેને ચલાવવા માટે સક્ષમ હતા:

એ નોંધવું જોઈએ કે લક્ષ્ય XMR સાઇટની ઍક્સેસ નકારી છે, જે આ ખાણિયોને અસરકારક રીતે તટસ્થ કરે છે.

ખાણિયો રૂપરેખાંકન:

"url": "pool.minexmr.com:5555","user":
"49WvfokdnuK6ojQePe6x2M3UCD59v3BQiBszkuTGE7wmNJuyAvHM9ojedgxMwNx9tZA33P84EeMLte7t6qZhxNHqHyfq9xA","pass":"x"

રહસ્યમય PHP શેલ C&C ને ડેટા પસાર કરે છે

આ તપાસ દરમિયાન, અમારી ફોરેન્સિક ટીમે એક XSL ફાઇલ શોધી કાઢી જેણે તેમનું ધ્યાન ખેંચ્યું. નમૂનાના ઊંડાણપૂર્વકના વિશ્લેષણ પછી, એક નવું PHP શેલ શોધાયું જે સતત નિયંત્રણ કેન્દ્ર (C&C સર્વર) સાથે જોડાય છે.

ગ્રાહકના વાતાવરણમાં બહુવિધ સર્વર પર એક XSL ફાઇલ મળી આવી હતી જે એક જાણીતી એક્ઝિક્યુટેબલ ફાઇલ દ્વારા એક્ઝિક્યુટ કરવામાં આવી હતી. Windows (mscorsv.exe) sysWOW64 ડિરેક્ટરીમાંના ફોલ્ડરમાંથી.

માલવેર ફોલ્ડરને AutoRecover કહેવામાં આવતું હતું અને તેમાં સમાવિષ્ટ હતું ઘણી ફાઇલો:

• XSL ફાઇલ: xml.XSL
• નવ DLL ફાઇલો

એક્ઝિક્યુટેબલ ફાઇલો:

• Mscorsv.exe
• Wmiprvse.exe

XSL ફાઇલ

XSL ફાઈલો એ સ્ટાઈલ શીટ્સ છે, જે CSS માં ઉપયોગમાં લેવાતી સમાન છે, જે XML દસ્તાવેજ કેવી રીતે પ્રદર્શિત કરવા તેનું વર્ણન કરે છે.

નોટપેડનો ઉપયોગ કરીને, અમે નક્કી કર્યું કે તે હકીકતમાં XSL ફાઇલ નથી, પરંતુ Zend Guard દ્વારા અસ્પષ્ટ PHP કોડ છે. આ વિચિત્ર હકીકત સૂચવે છે કે તે હતું
તેના અમલીકરણ અલ્ગોરિધમના આધારે માલવેરનું પેલોડ.

નવ DLL

XSL ફાઇલના પ્રારંભિક વિશ્લેષણથી આ નિષ્કર્ષ તરફ દોરી જાય છે કે આવી સંખ્યાની હાજરી છે
DLL નો ચોક્કસ અર્થ છે. મુખ્ય ફોલ્ડરમાં php.dll નામનું DLL અને SSL અને MySQL થી સંબંધિત અન્ય ત્રણ પુસ્તકાલયો છે. સબફોલ્ડર્સમાં, નિષ્ણાતોને ચાર PHP લાઇબ્રેરી અને એક ઝેન્ડ ગાર્ડ લાઇબ્રેરી મળી. તે બધા કાયદેસર છે, અને PHP ઇન્સ્ટોલેશન પેકેજમાંથી અથવા બાહ્ય dlls તરીકે મેળવવામાં આવે છે.

આ તબક્કે, એવું માનવામાં આવતું હતું કે માલવેર PHP પર આધારિત છે અને Zend Guard દ્વારા અસ્પષ્ટ છે.

એક્ઝિક્યુટેબલ ફાઇલો

આ ફોલ્ડરમાં પણ બે એક્ઝિક્યુટેબલ ફાઇલો હતી: Mscorsv.exe અને Wmiprvse.exe.

mscorsv.exe ફાઇલનું પૃથ્થકરણ કર્યા પછી, અમે નિર્ધારિત કર્યું કે તે Microsoft દ્વારા સહી કરવામાં આવી નથી, તેમ છતાં તેનું ProductName પેરામીટર “Microsoft” પર સેટ કરવામાં આવ્યું હતું. ડોટ નેટ ફ્રેમવર્ક".
શરૂઆતમાં તે વિચિત્ર લાગતું હતું, પરંતુ Wmiprvse.exe નું વિશ્લેષણ કરવાથી અમને પરિસ્થિતિને વધુ સારી રીતે સમજવાની મંજૂરી મળી.

Wmiprvse.exe ફાઇલ પણ સહી વિનાની હતી, પરંતુ તેમાં PHP જૂથ કૉપિરાઇટ પ્રતીક અને PHP ચિહ્ન છે. તેની લીટીઓ પર એક ઝડપી નજર PHP સહાયમાંથી આદેશો જાહેર કરે છે. જ્યારે -વર્ઝન સ્વિચ સાથે એક્ઝિક્યુટ કરવામાં આવ્યું ત્યારે જાણવા મળ્યું કે તે Zend Guard ચલાવવા માટે રચાયેલ એક્ઝિક્યુટેબલ ફાઇલ છે.

જ્યારે mscorsv.exe એ જ રીતે લોન્ચ કરવામાં આવ્યું હતું, ત્યારે તે જ ડેટા સ્ક્રીન પર પ્રદર્શિત થતો હતો. અમે આ બે ફાઈલોના બાઈનરી ડેટાની સરખામણી કરી અને જોયું કે મેટાડેટા સિવાય તેઓ એકસમાન છે.
કૉપિરાઇટ અને કંપનીનું નામ/પ્રોડક્ટનું નામ.

આના આધારે, એવું તારણ કાઢવામાં આવ્યું હતું કે XSL ફાઇલમાં PHP કોડ છે જે Zend Guard એક્ઝિક્યુટેબલ ફાઇલનો ઉપયોગ કરીને ચાલે છે, જે mscorsv.exe નામ હેઠળ છુપાયેલ છે.

XSL ફાઇલનું પદચ્છેદન

ઇન્ટરનેટ શોધનો ઉપયોગ કરીને, નિષ્ણાતોએ ઝડપથી Zend Guard deobfuscation ટૂલ મેળવ્યું અને xml.XSL ફાઇલના મૂળ દેખાવને પુનઃસ્થાપિત કર્યો:

તે બહાર આવ્યું છે કે માલવેર પોતે એક PHP શેલ છે જે સતત નિયંત્રણ કેન્દ્ર (C&C સર્વર) સાથે જોડાયેલ છે.

તે જે આદેશો અને આઉટપુટ મોકલે છે અને મેળવે છે તે એન્ક્રિપ્ટેડ છે. અમારી પાસે સ્રોત કોડ હોવાથી, અમારી પાસે એન્ક્રિપ્શન કી અને આદેશો બંને હતા.

આ માલવેરમાં નીચેની બિલ્ટ-ઇન કાર્યક્ષમતા છે:

• Eval - સામાન્ય રીતે કોડમાં હાલના ચલોને સંશોધિત કરવા માટે વપરાય છે
• સ્થાનિક ફાઇલ રેકોર્ડિંગ
• ડેટાબેઝ સાથે કામ કરવાની શક્યતાઓ
• PSEXEC સાથે કામ કરવાની શક્યતાઓ
• હિડન એક્ઝેક્યુશન
• મેપિંગ પ્રક્રિયાઓ અને સેવાઓ

નીચેના ચલ સૂચવે છે કે માલવેરમાં બહુવિધ સંસ્કરણો છે.

નમૂનાઓ એકત્રિત કરતી વખતે, નીચેના સંસ્કરણો મળી આવ્યા હતા:

• 0.5f
• 0.4p
• 0.4o

સિસ્ટમ પર માલવેરની સતત હાજરીને સુનિશ્ચિત કરવાનું એકમાત્ર કાર્ય એ છે કે જ્યારે એક્ઝિક્યુટ કરવામાં આવે છે, ત્યારે તે એક સેવા બનાવે છે જે પોતે જ એક્ઝિક્યુટ કરે છે અને તેનું નામ
સંસ્કરણથી સંસ્કરણમાં ફેરફારો.

નિષ્ણાતોએ ઇન્ટરનેટ પર સમાન નમૂનાઓ શોધવાનો પ્રયાસ કર્યો અને માલવેરની શોધ કરી
જે, તેમના મતે, હાલના નમૂનાનું અગાઉનું સંસ્કરણ હતું. ફોલ્ડરની સામગ્રી સમાન હતી, પરંતુ XSL ફાઇલ અલગ હતી અને તેનો સંસ્કરણ નંબર અલગ હતો.

પારલે-વુ માલવેર?

માલવેર ફ્રાંસ અથવા અન્ય ફ્રેન્ચ બોલતા દેશમાં ઉદ્ભવ્યું હોઈ શકે છે: SFX ફાઇલમાં ફ્રેન્ચમાં ટિપ્પણીઓ હતી, જે દર્શાવે છે કે લેખકે તેને બનાવવા માટે WinRAR ના ફ્રેન્ચ સંસ્કરણનો ઉપયોગ કર્યો છે.

તદુપરાંત, કોડમાંના કેટલાક ચલો અને કાર્યોને ફ્રેન્ચમાં નામ આપવામાં આવ્યું હતું.

એક્ઝેક્યુશનનું નિરીક્ષણ કરવું અને નવા આદેશોની રાહ જોવી

નિષ્ણાતોએ માલવેર કોડમાં ફેરફાર કર્યો અને પહેલાથી જ સુધારેલાને સુરક્ષિત રીતે લોન્ચ કર્યો
તેને પ્રાપ્ત થયેલા આદેશો વિશે માહિતી એકત્રિત કરવા માટેનું સંસ્કરણ.

પ્રથમ સંચાર સત્રના અંતે, નિષ્ણાતોએ જોયું કે માલવેરને EVAL64 લોન્ચ કી માટે દલીલ તરીકે Base64 નો ઉપયોગ કરીને એન્કોડેડ આદેશ મળ્યો હતો.
આ આદેશ ડીકોડ અને ચલાવવામાં આવે છે. તે ઘણા આંતરિક ચલોને બદલે છે (બફર માપ વાંચો અને લખો), જે પછી મૉલવેર આદેશોની રાહ જોતા કાર્ય ચક્રમાં પ્રવેશ કરે છે.

આ ક્ષણે, કોઈ નવા આદેશો પ્રાપ્ત થયા નથી.

ઇન્ટરેક્ટિવ PHP શેલ અને ક્રિપ્ટોમિનર: શું તેઓ સંબંધિત છે?

વારોનિસ નિષ્ણાતોને ખાતરી નથી કે નોર્મન PHP શેલ સાથે સંકળાયેલું છે કે કેમ, કારણ કે આ ધારણા માટે અને વિરુદ્ધ બંને મજબૂત દલીલો છે:

તેઓ શા માટે સંબંધિત હોઈ શકે છે?

• દૂષિત ક્રિપ્ટોમાઈનિંગ સોફ્ટવેર નમૂનાઓમાંથી કોઈ પણ સ્વતંત્ર રીતે અન્ય સિસ્ટમ્સમાં ફેલાવવાની ક્ષમતા ધરાવતા ન હતા, જો કે તે વિવિધ નેટવર્ક સેગમેન્ટમાં વિવિધ ઉપકરણો પર જોવા મળ્યા હતા. શક્ય છે કે હુમલાખોરે દરેક નોડને અલગથી ચેપ લગાડ્યો હોય (કદાચ પેશન્ટ શૂન્યને ચેપ લગાડતી વખતે તે જ એટેક વેક્ટરનો ઉપયોગ કરે છે), જો કે હુમલાનું લક્ષ્ય હતું તે નેટવર્કમાં ફેલાવવા માટે PHP શેલનો ઉપયોગ કરવો વધુ અસરકારક રહેશે.
• ચોક્કસ સંસ્થા વિરુદ્ધ નિર્દેશિત મોટા પાયે, લક્ષિત સ્વયંસંચાલિત ઝુંબેશો ઘણીવાર તકનીકી કલાકૃતિઓ અથવા સાયબર સુરક્ષા જોખમોના ઓળખી શકાય તેવા નિશાનો પાછળ છોડી દે છે. આ કિસ્સામાં, આ પ્રકારનું કંઈ મળ્યું નથી.
• નોર્મન અને PHP શેલ બંને ડકડીએનએસ સેવાનો ઉપયોગ કરે છે.

તેઓ શા માટે સંબંધિત ન હોઈ શકે?

• ક્રિપ્ટોમાઈનિંગ માલવેર વેરિઅન્ટ્સ અને PHP શેલ વચ્ચે કોઈ તકનીકી સમાનતા નથી. દૂષિત ક્રિપ્ટોમિનર C++ માં બનાવવામાં આવ્યું છે, અને શેલ PHP માં છે. ઉપરાંત, કોડ સ્ટ્રક્ચરમાં કોઈ સમાનતા નથી, અને નેટવર્ક કાર્યો અલગ રીતે લાગુ કરવામાં આવે છે.
• ડેટાની આપલે કરવા માટે માલવેર વેરિઅન્ટ્સ અને PHP શેલ વચ્ચે કોઈ સીધો સંચાર નથી.
• તેઓ વિકાસકર્તાની ટિપ્પણીઓ, ફાઇલો, મેટાડેટા અથવા ડિજિટલ ફિંગરપ્રિન્ટ્સ શેર કરતા નથી.

દૂરસ્થ શેલો સામે રક્ષણ માટે ત્રણ ભલામણો

માલવેર, જેને ઓપરેટ કરવા માટે કંટ્રોલ સેન્ટર (C&C સર્વર્સ) તરફથી આદેશોની જરૂર પડે છે, તે નિયમિત વાયરસ જેવું નથી. તેની ક્રિયાઓ એટલી અનુમાનિત નથી અને તે સ્વચાલિત ટૂલ્સ અથવા સ્ક્રિપ્ટ્સ વિના કરવામાં આવતી હેકર અથવા પેન્ટેસ્ટરની ક્રિયાઓ સાથે વધુ સમાન હશે. તેથી, નિયમિત એન્ટિવાયરસ સ્કેનીંગ કરતાં માલવેર હસ્તાક્ષર વિના આ હુમલાઓને શોધવું વધુ પડકારરૂપ છે.

કંપનીઓને રિમોટ શેલ્સથી બચાવવા માટે નીચે ત્રણ ભલામણો છે:

1. બધા સોફ્ટવેરને અદ્યતન રાખો
   હુમલાખોરો ઘણીવાર સંસ્થાના નેટવર્કમાં ફેલાવવા માટે સોફ્ટવેર અને ઓપરેટિંગ સિસ્ટમમાં નબળાઈઓનો ઉપયોગ કરે છે અને રુચિના ડેટાની શોધ કરે છે.
   ચોરી સમયસર પેચિંગ આવા જોખમોના જોખમને નોંધપાત્ર રીતે ઘટાડે છે.
2. અસંગત ડેટા એક્સેસ ઇવેન્ટ્સનું નિરીક્ષણ કરો
   મોટે ભાગે, હુમલાખોરો સંસ્થાના ગોપનીય ડેટાને પરિમિતિની બહાર લઈ જવાનો પ્રયાસ કરશે. આ ડેટાની અસંગત ઍક્સેસ ઇવેન્ટ્સનું નિરીક્ષણ કરવાની મંજૂરી આપશે
   ચેડા કરાયેલા વપરાશકર્તાઓ અને ફોલ્ડર્સ અને ફાઇલોના સંપૂર્ણ સેટને શોધી કાઢો જે ખરેખર હુમલાખોરોના હાથમાં આવી શકે છે, અને આ વપરાશકર્તાઓ માટે ઉપલબ્ધ તમામ ડેટાને ધ્યાનમાં લેતા નથી.
3. નેટવર્ક ટ્રાફિકનું નિરીક્ષણ કરો
   ફાયરવોલ અને/અથવા પ્રોક્સી સર્વરનો ઉપયોગ માલવેર કંટ્રોલ સેન્ટર્સ (C&C સર્વર્સ) સાથેના દૂષિત કનેક્શન્સને શોધી અને અવરોધિત કરી શકે છે, હુમલાખોરોને આદેશોનો અમલ કરતા અટકાવે છે અને તેને વધુ મુશ્કેલ બનાવે છે.
   પરિમિતિ માહિતી.

ગ્રે માઇનિંગના મુદ્દા વિશે ચિંતિત છો? રક્ષણ માટે છ ભલામણો:

1. બધી ઓપરેટિંગ સિસ્ટમને અદ્યતન રાખો
   સંસાધનોના દુરુપયોગ અને માલવેર ચેપને રોકવા માટે પેચ મેનેજમેન્ટ ખૂબ જ મહત્વપૂર્ણ છે.
2. નેટવર્ક ટ્રાફિક અને વેબ પ્રોક્સીને નિયંત્રિત કરો
   કેટલાક હુમલાઓ શોધવા માટે આ કરો, અને તેમાંથી કેટલાકને રોકવા માટે તમે દૂષિત ડોમેન્સ વિશેની માહિતીના આધારે ટ્રાફિકને અવરોધિત કરી શકો છો અથવા બિનજરૂરી ડેટા ટ્રાન્સમિશન ચેનલોને મર્યાદિત કરી શકો છો.
3. એન્ટિવાયરસ સોલ્યુશન્સ અને એન્ડપોઇન્ટ સિક્યુરિટી સિસ્ટમનો ઉપયોગ કરો અને જાળવો (પરંતુ કોઈપણ રીતે તમારી જાતને ફક્ત આ સુરક્ષા સ્તરનો ઉપયોગ કરવા માટે મર્યાદિત કરશો નહીં).
   એન્ડપોઇન્ટ પ્રોડક્ટ્સ જાણીતા ક્રિપ્ટોમિનર્સને શોધી શકે છે અને સિસ્ટમની કામગીરી અને ઊર્જાના વપરાશને નુકસાન પહોંચાડે તે પહેલાં ચેપ અટકાવી શકે છે. કૃપા કરીને ધ્યાન રાખો કે નવા ફેરફારો અથવા શોધ અટકાવવાની નવી પદ્ધતિઓ એ જ માલવેરના નવા સંસ્કરણોને શોધવામાં એન્ડપોઇન્ટ સુરક્ષાને નિષ્ફળ થવાનું કારણ બની શકે છે.
4. કમ્પ્યુટર CPU પ્રવૃત્તિનું નિરીક્ષણ કરો
   સામાન્ય રીતે, ક્રિપ્ટો માઇનર્સ ખાણકામ માટે કમ્પ્યુટરના સેન્ટ્રલ પ્રોસેસરનો ઉપયોગ કરે છે. પ્રદર્શનમાં ઘટાડો વિશેના કોઈપણ સંદેશાઓનું વિશ્લેષણ કરવું જરૂરી છે ("મારું કમ્પ્યુટર ધીમું થવાનું શરૂ થયું છે.").
5. ડાયનેમિક DNS સેવાઓના અસામાન્ય ઉપયોગ માટે DNS મોનિટર કરો (જેમ કે DuckDNS)

   જોકે DuckDNS અને અન્ય ડાયનેમિક DNS સેવાઓ સિસ્ટમ માટે સ્વાભાવિક રીતે હાનિકારક નથી, માલવેર દ્વારા DuckDNS ના ઉપયોગથી અમારી તપાસ ટીમો માટે ચેપગ્રસ્ત યજમાનો શોધવાનું સરળ બન્યું છે.

6. આકસ્મિક પ્રતિભાવ યોજના વિકસાવો
   ખાતરી કરો કે તમારી પાસે ગ્રે ક્રિપ્ટો માઇનિંગના જોખમને આપમેળે શોધવા, સમાવી લેવા અને તેને ઘટાડવા માટે આવી ઘટનાઓ માટે જરૂરી પ્રક્રિયાઓ છે.

Varonis ગ્રાહકો માટે નોંધ.
Varonis DataAlert ક્રિપ્ટોમાઈનિંગ માલવેરની શોધને સક્ષમ કરતા જોખમી મોડલ્સનો સમાવેશ થાય છે. ગ્રાહકો બ્લેકલિસ્ટિંગ માટેના ઉમેદવારો એવા ડોમેન્સ પર આધારિત સૉફ્ટવેર શોધને લક્ષ્ય બનાવવા માટે કસ્ટમ નિયમો પણ બનાવી શકે છે. તમે DatAlert નું નવીનતમ સંસ્કરણ ચલાવી રહ્યાં છો અને સાચા ખતરનાક મોડલ્સનો ઉપયોગ કરી રહ્યાં છો તેની ખાતરી કરવા માટે, તમારા વેચાણ પ્રતિનિધિ અથવા વારોનિસ સપોર્ટનો સંપર્ક કરો.

સોર્સ: www.habr.com