પ્રોલોક ખોલવું: MITER ATT&CK મેટ્રિક્સનો ઉપયોગ કરીને નવા રેન્સમવેરના ઓપરેટરોની ક્રિયાઓનું વિશ્લેષણ

વિશ્વભરના સંગઠનો પર રેન્સમવેર હુમલાઓની સફળતા વધુ અને વધુ નવા હુમલાખોરોને રમતમાં આવવા માટે પ્રોત્સાહિત કરી રહી છે. આ નવા ખેલાડીઓમાંથી એક પ્રોલોક રેન્સમવેરનો ઉપયોગ કરતું જૂથ છે. તે માર્ચ 2020 માં PwndLocker પ્રોગ્રામના અનુગામી તરીકે દેખાયો, જેણે 2019 ના અંતમાં સંચાલન કરવાનું શરૂ કર્યું. પ્રોલોક રેન્સમવેર હુમલા મુખ્યત્વે નાણાકીય અને આરોગ્યસંભાળ સંસ્થાઓ, સરકારી એજન્સીઓ અને છૂટક ક્ષેત્રને લક્ષ્ય બનાવે છે. તાજેતરમાં, પ્રોલોક ઓપરેટરોએ સૌથી મોટા એટીએમ ઉત્પાદકોમાંથી એક, ડાયબોલ્ડ નિક્સડોર્ફ પર સફળતાપૂર્વક હુમલો કર્યો.

આ પોસ્ટમાં ઓલેગ સ્કુલકિન, ગ્રુપ-આઈબીની કોમ્પ્યુટર ફોરેન્સિક્સ લેબોરેટરીના અગ્રણી નિષ્ણાત, પ્રોલોક ઓપરેટરો દ્વારા ઉપયોગમાં લેવાતી મૂળભૂત યુક્તિઓ, તકનીકો અને પ્રક્રિયાઓ (TTPs) આવરી લે છે. લેખ MITER ATT&CK મેટ્રિક્સની સરખામણી સાથે સમાપ્ત થાય છે, જે એક જાહેર ડેટાબેઝ છે જે વિવિધ સાયબર ક્રિમિનલ જૂથો દ્વારા ઉપયોગમાં લેવાતી લક્ષિત હુમલાની યુક્તિઓનું સંકલન કરે છે.

પ્રારંભિક ઍક્સેસ મેળવવી

પ્રોલોક ઓપરેટરો પ્રાથમિક સમાધાનના બે મુખ્ય વેક્ટરનો ઉપયોગ કરે છે: કૈકબોટ (Qbot) ટ્રોજન અને નબળા પાસવર્ડ્સ સાથે અસુરક્ષિત RDP સર્વર્સ.

રેન્સમવેર ઓપરેટરોમાં બાહ્ય રીતે સુલભ આરડીપી સર્વર દ્વારા સમાધાન અત્યંત લોકપ્રિય છે. સામાન્ય રીતે, હુમલાખોરો તૃતીય પક્ષો પાસેથી ચેડા થયેલા સર્વરની ઍક્સેસ ખરીદે છે, પરંતુ તે જૂથના સભ્યો તેમના પોતાના પર પણ મેળવી શકે છે.

પ્રાથમિક સમાધાનનું વધુ રસપ્રદ વેક્ટર એ QakBot માલવેર છે. અગાઉ, આ ટ્રોજન રેન્સમવેરના અન્ય પરિવાર સાથે સંકળાયેલું હતું - મેગાકોર્ટેક્સ. જો કે, તે હવે પ્રોલોક ઓપરેટરો દ્વારા ઉપયોગમાં લેવાય છે.

સામાન્ય રીતે, કૈકબોટ ફિશીંગ ઝુંબેશ દ્વારા વિતરિત કરવામાં આવે છે. ફિશીંગ ઈમેલમાં એક જોડાયેલ Microsoft Office દસ્તાવેજ અથવા ક્લાઉડ સ્ટોરેજ સેવામાં સ્થિત ફાઇલની લિંક હોઈ શકે છે, જેમ કે Microsoft OneDrive.

કકબોટ અન્ય ટ્રોજન, ઇમોટેટ સાથે લોડ થવાના કિસ્સાઓ પણ જાણીતા છે, જે Ryuk રેન્સમવેરનું વિતરણ કરતી ઝુંબેશોમાં તેની ભાગીદારી માટે વ્યાપકપણે જાણીતું છે.

પ્રદર્શન

ચેપગ્રસ્ત દસ્તાવેજ ડાઉનલોડ અને ખોલ્યા પછી, વપરાશકર્તાને મેક્રો ચલાવવાની મંજૂરી આપવા માટે સંકેત આપવામાં આવે છે. જો સફળ થાય, તો પાવરશેલ લોન્ચ કરવામાં આવે છે, જે તમને કમાન્ડ અને કંટ્રોલ સર્વરમાંથી કૈકબોટ પેલોડ ડાઉનલોડ અને ચલાવવાની મંજૂરી આપશે.

એ નોંધવું અગત્યનું છે કે તે જ પ્રોલોક પર લાગુ થાય છે: પેલોડ ફાઇલમાંથી કાઢવામાં આવે છે બીએમપી અથવા JPG અને પાવરશેલનો ઉપયોગ કરીને મેમરીમાં લોડ થાય છે. કેટલાક કિસ્સાઓમાં, પાવરશેલ શરૂ કરવા માટે સુનિશ્ચિત કાર્યનો ઉપયોગ થાય છે.

ટાસ્ક શેડ્યૂલર દ્વારા પ્રોલોક ચલાવતી બેચ સ્ક્રિપ્ટ:

schtasks.exe /CREATE /XML C:ProgramdataWinMgr.xml /tn WinMgr
schtasks.exe /RUN /tn WinMgr
del C:ProgramdataWinMgr.xml
del C:Programdatarun.bat

સિસ્ટમમાં એકીકરણ

જો RDP સર્વર સાથે સમાધાન કરવું અને ઍક્સેસ મેળવવી શક્ય હોય, તો નેટવર્કની ઍક્સેસ મેળવવા માટે માન્ય એકાઉન્ટ્સનો ઉપયોગ કરવામાં આવે છે. QakBot વિવિધ જોડાણ પદ્ધતિઓ દ્વારા વર્ગીકૃત થયેલ છે. મોટેભાગે, આ ટ્રોજન રન રજિસ્ટ્રી કીનો ઉપયોગ કરે છે અને શેડ્યૂલરમાં કાર્યો બનાવે છે:

રન રજિસ્ટ્રી કીનો ઉપયોગ કરીને સિસ્ટમમાં કકબોટને પિન કરવું

કેટલાક કિસ્સાઓમાં, સ્ટાર્ટઅપ ફોલ્ડર્સનો પણ ઉપયોગ થાય છે: ત્યાં એક શોર્ટકટ મૂકવામાં આવે છે જે બુટલોડર તરફ નિર્દેશ કરે છે.

બાયપાસ રક્ષણ

કમાન્ડ અને કંટ્રોલ સર્વર સાથે વાતચીત કરીને, QakBot સમયાંતરે પોતાને અપડેટ કરવાનો પ્રયાસ કરે છે, તેથી શોધ ટાળવા માટે, માલવેર તેના પોતાના વર્તમાન સંસ્કરણને નવા સાથે બદલી શકે છે. એક્ઝિક્યુટેબલ ફાઇલો સાથે ચેડા અથવા બનાવટી હસ્તાક્ષર કરવામાં આવે છે. પાવરશેલ દ્વારા લોડ થયેલ પ્રારંભિક પેલોડ એક્સ્ટેંશન સાથે C&C સર્વર પર સંગ્રહિત થાય છે PNG. વધુમાં, એક્ઝેક્યુશન પછી તેને કાયદેસર ફાઇલ સાથે બદલવામાં આવે છે calc.exe.

ઉપરાંત, દૂષિત પ્રવૃત્તિને છુપાવવા માટે, કકબોટ કોડને પ્રક્રિયાઓમાં ઇન્જેક્ટ કરવાની તકનીકનો ઉપયોગ કરે છે explorer.exe.

ઉલ્લેખ કર્યો છે તેમ, પ્રોલોક પેલોડ ફાઇલની અંદર છુપાયેલ છે બીએમપી અથવા JPG. આને બાયપાસ સંરક્ષણની પદ્ધતિ તરીકે પણ ગણી શકાય.

ઓળખપત્રો મેળવવા

QakBot પાસે કીલોગર કાર્યક્ષમતા છે. વધુમાં, તે વધારાની સ્ક્રિપ્ટો ડાઉનલોડ અને ચલાવી શકે છે, ઉદાહરણ તરીકે, Invoke-Mimikatz, પ્રખ્યાત Mimikatz ઉપયોગિતાનું PowerShell સંસ્કરણ. આવી સ્ક્રિપ્ટોનો ઉપયોગ હુમલાખોરો ઓળખપત્રોને ડમ્પ કરવા માટે કરી શકે છે.

નેટવર્ક બુદ્ધિ

વિશેષાધિકૃત એકાઉન્ટ્સની ઍક્સેસ મેળવ્યા પછી, પ્રોલોક ઓપરેટરો નેટવર્ક રિકોનિસન્સ કરે છે, જેમાં પોર્ટ સ્કેનિંગ અને એક્ટિવ ડિરેક્ટરી પર્યાવરણનું વિશ્લેષણ શામેલ હોઈ શકે છે. વિવિધ સ્ક્રિપ્ટો ઉપરાંત, હુમલાખોરો એક્ટિવ ડાયરેક્ટરી વિશેની માહિતી ભેગી કરવા માટે, રેન્સમવેર જૂથોમાં લોકપ્રિય અન્ય સાધન AdFind નો ઉપયોગ કરે છે.

નેટવર્ક પ્રમોશન

પરંપરાગત રીતે, નેટવર્ક પ્રમોશનની સૌથી લોકપ્રિય પદ્ધતિઓમાંની એક રીમોટ ડેસ્કટોપ પ્રોટોકોલ છે. પ્રોલોક કોઈ અપવાદ ન હતો. હુમલાખોરો પાસે યજમાનોને લક્ષ્ય બનાવવા માટે RDP દ્વારા દૂરસ્થ ઍક્સેસ મેળવવા માટે તેમના શસ્ત્રાગારમાં સ્ક્રિપ્ટો પણ હોય છે.

RDP પ્રોટોકોલ દ્વારા ઍક્સેસ મેળવવા માટે BAT સ્ક્રિપ્ટ:

reg add "HKLMSystemCurrentControlSetControlTerminal Server" /v "fDenyTSConnections" /t REG_DWORD /d 0 /f
netsh advfirewall firewall set rule group="Remote Desktop" new enable=yes
reg add "HKLMSystemCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp" /v "UserAuthentication" /t REG_DWORD /d 0 /f

સ્ક્રિપ્ટ્સને રિમોટલી એક્ઝિક્યુટ કરવા માટે, ProLock ઓપરેટરો અન્ય લોકપ્રિય સાધનનો ઉપયોગ કરે છે, Sysinternals Suite માંથી PsExec ઉપયોગિતા.

ProLock WMIC નો ઉપયોગ કરીને હોસ્ટ પર ચાલે છે, જે Windows મેનેજમેન્ટ ઇન્સ્ટ્રુમેન્ટેશન સબસિસ્ટમ સાથે કામ કરવા માટે કમાન્ડ લાઇન ઇન્ટરફેસ છે. આ સાધન રેન્સમવેર ઓપરેટરોમાં પણ વધુને વધુ લોકપ્રિય બની રહ્યું છે.

માહિતી સંગ્રહ

અન્ય ઘણા રેન્સમવેર ઓપરેટરોની જેમ, પ્રોલોકનો ઉપયોગ કરતું જૂથ ખંડણી મેળવવાની તેમની તકો વધારવા માટે ચેડા કરાયેલ નેટવર્કમાંથી ડેટા એકત્રિત કરે છે. એક્સફિલ્ટરેશન પહેલાં, એકત્રિત ડેટા 7Zip ઉપયોગિતાનો ઉપયોગ કરીને આર્કાઇવ કરવામાં આવે છે.

એક્સફિલ્ટરેશન

ડેટા અપલોડ કરવા માટે, ProLock ઓપરેટરો Rclone નો ઉપયોગ કરે છે, જે વિવિધ ક્લાઉડ સ્ટોરેજ સેવાઓ જેમ કે OneDrive, Google Drive, Mega, વગેરે સાથે ફાઇલોને સિંક્રનાઇઝ કરવા માટે રચાયેલ કમાન્ડ લાઇન ટૂલ છે. હુમલાખોરો હંમેશા એક્ઝિક્યુટેબલ ફાઇલનું નામ બદલીને તેને કાયદેસર સિસ્ટમ ફાઇલો જેવી બનાવે છે.

તેમના સાથીદારોથી વિપરીત, પ્રોલોક ઓપરેટરો પાસે હજુ પણ ખંડણી ચૂકવવાનો ઇનકાર કરતી કંપનીઓના ચોરેલા ડેટાને પ્રકાશિત કરવા માટે તેમની પોતાની વેબસાઇટ નથી.

અંતિમ લક્ષ્ય હાંસલ કરવું

એકવાર ડેટા એક્સફિલ્ટર થઈ જાય, પછી ટીમ સમગ્ર એન્ટરપ્રાઈઝ નેટવર્કમાં પ્રોલોકનો ઉપયોગ કરે છે. દ્વિસંગી ફાઇલ એક્સ્ટેંશન સાથેની ફાઇલમાંથી કાઢવામાં આવે છે PNG અથવા JPG પાવરશેલનો ઉપયોગ કરીને અને મેમરીમાં ઇન્જેક્ટ કરો:

સૌ પ્રથમ, ProLock બિલ્ટ-ઇન સૂચિમાં ઉલ્લેખિત પ્રક્રિયાઓને સમાપ્ત કરે છે (રસપ્રદ રીતે, તે ફક્ત પ્રક્રિયાના નામના છ અક્ષરોનો ઉપયોગ કરે છે, જેમ કે "વિનવોર"), અને સેવાઓને સમાપ્ત કરે છે, જેમાં સુરક્ષા સાથે સંબંધિત હોય છે, જેમ કે CSFalconService ( CrowdStrike Falcon). આદેશનો ઉપયોગ કરીને નેટ સ્ટોપ.

પછી, અન્ય ઘણા રેન્સમવેર પરિવારોની જેમ, હુમલાખોરો ઉપયોગ કરે છે vssadmin વિન્ડોઝ શેડો નકલો કાઢી નાખવા અને તેમના કદને મર્યાદિત કરવા માટે જેથી નવી નકલો બનાવવામાં ન આવે:

vssadmin.exe delete shadows /all /quiet
vssadmin.exe resize shadowstorage /for=C: /on=C: /maxsize=401MB
vssadmin.exe resize shadowstorage /for=C: /on=C: /maxsize=unbounded

ProLock એક્સ્ટેંશન ઉમેરે છે .proLock, .pr0લોક અથવા .proL0ck દરેક એન્ક્રિપ્ટેડ ફાઇલ પર અને ફાઇલને મૂકે છે [ફાઈલો કેવી રીતે પુનઃપ્રાપ્ત કરવી].TXT દરેક ફોલ્ડરમાં. આ ફાઇલમાં ફાઇલોને કેવી રીતે ડિક્રિપ્ટ કરવી તે અંગેની સૂચનાઓ છે, જેમાં એવી સાઇટની લિંકનો સમાવેશ થાય છે કે જ્યાં પીડિતાએ અનન્ય ID દાખલ કરવી અને ચુકવણીની માહિતી પ્રાપ્ત કરવી આવશ્યક છે:

પ્રોલોકના દરેક દાખલામાં ખંડણીની રકમ વિશેની માહિતી હોય છે - આ કિસ્સામાં, 35 બિટકોઇન્સ, જે આશરે $312 છે.

નિષ્કર્ષ

ઘણા રેન્સમવેર ઓપરેટરો તેમના લક્ષ્યોને પ્રાપ્ત કરવા માટે સમાન પદ્ધતિઓનો ઉપયોગ કરે છે. તે જ સમયે, કેટલીક તકનીકો દરેક જૂથ માટે અનન્ય છે. હાલમાં, તેમની ઝુંબેશમાં રેન્સમવેરનો ઉપયોગ કરતા સાયબર ક્રિમિનલ જૂથોની સંખ્યા વધી રહી છે. કેટલાક કિસ્સાઓમાં, સમાન ઓપરેટરો રેન્સમવેરના વિવિધ પરિવારોનો ઉપયોગ કરીને હુમલામાં સામેલ હોઈ શકે છે, તેથી અમે વ્યૂહરચના, તકનીકો અને પ્રક્રિયાઓમાં વધુને વધુ ઓવરલેપ જોશું.

MITER ATT&CK મેપિંગ સાથે મેપિંગ

યુક્તિ
ટેકનીક

પ્રારંભિક ઍક્સેસ (TA0001)
એક્સટર્નલ રિમોટ સર્વિસિસ (T1133), સ્પિયરફિશિંગ એટેચમેન્ટ (T1193), સ્પિયરફિશિંગ લિંક (T1192)

અમલ (TA0002)
પાવરશેલ (T1086), સ્ક્રિપ્ટીંગ (T1064), યુઝર એક્ઝેક્યુશન (T1204), વિન્ડોઝ મેનેજમેન્ટ ઇન્સ્ટ્રુમેન્ટેશન (T1047)

દ્રઢતા (TA0003)
રજિસ્ટ્રી રન કી / સ્ટાર્ટઅપ ફોલ્ડર (T1060), શેડ્યુલ્ડ ટાસ્ક (T1053), માન્ય એકાઉન્ટ્સ (T1078)

સંરક્ષણ ચોરી (TA0005)
કોડ હસ્તાક્ષર (T1116), ડીઓબફુસ્કેટ/ડીકોડ ફાઇલો અથવા માહિતી (T1140), સુરક્ષા સાધનોને અક્ષમ કરવું (T1089), ફાઇલ કાઢી નાખવું (T1107), માસ્કરેડિંગ (T1036), પ્રોસેસ ઇન્જેક્શન (T1055)

ઓળખપત્ર ઍક્સેસ (TA0006)
ઓળખપત્ર ડમ્પિંગ (T1003), બ્રુટ ફોર્સ (T1110), ઇનપુટ કેપ્ચર (T1056)

ડિસ્કવરી (TA0007)
એકાઉન્ટ ડિસ્કવરી (T1087), ડોમેન ટ્રસ્ટ ડિસ્કવરી (T1482), ફાઇલ અને ડિરેક્ટરી ડિસ્કવરી (T1083), નેટવર્ક સર્વિસ સ્કેનિંગ (T1046), નેટવર્ક શેર ડિસ્કવરી (T1135), રિમોટ સિસ્ટમ ડિસ્કવરી (T1018)

લેટરલ મૂવમેન્ટ (TA0008)
રીમોટ ડેસ્કટોપ પ્રોટોકોલ (T1076), રીમોટ ફાઇલ કોપી (T1105), વિન્ડોઝ એડમિન શેર્સ (T1077)

સંગ્રહ (TA0009)
સ્થાનિક સિસ્ટમમાંથી ડેટા (T1005), નેટવર્ક શેર્ડ ડ્રાઇવ (T1039), ડેટા સ્ટેજ્ડ (T1074) માંથી ડેટા

આદેશ અને નિયંત્રણ (TA0011)
સામાન્ય રીતે ઉપયોગમાં લેવાતા પોર્ટ (T1043), વેબ સેવા (T1102)

એક્સફિલ્ટરેશન (TA0010)
ડેટા કમ્પ્રેસ્ડ (T1002), ક્લાઉડ એકાઉન્ટમાં ડેટા ટ્રાન્સફર કરો (T1537)

અસર (TA0040)
ઇમ્પેક્ટ (T1486), ઇન્હિબિટ સિસ્ટમ રિકવરી (T1490) માટે ડેટા એન્ક્રિપ્ટેડ

સોર્સ: www.habr.com