મતદાન નિષ્ફળ થયું: ચાલો AgentTesla ને સ્વચ્છ પાણી માટે ખુલ્લા કરીએ. ભાગ 2

અમે માલવેર વિશ્લેષણને સમર્પિત લેખોની અમારી શ્રેણી ચાલુ રાખીએ છીએ. IN પ્રથમ અંશતઃ, અમે જણાવ્યું કે કેવી રીતે CERT Group-IBના માલવેર વિશ્લેષણ નિષ્ણાત ઇલ્યા પોમેરન્ટસેવે યુરોપિયન કંપનીઓમાંથી એક તરફથી મેઇલ દ્વારા પ્રાપ્ત ફાઇલનું વિગતવાર વિશ્લેષણ હાથ ધર્યું અને ત્યાં સ્પાયવેર શોધ્યું. એજન્ટ ટેસ્લા. આ લેખમાં, ઇલ્યા મુખ્ય મોડ્યુલના પગલા-દર-પગલાના વિશ્લેષણના પરિણામો પ્રદાન કરે છે. એજન્ટ ટેસ્લા.

એજન્ટ ટેસ્લા એ એક મોડ્યુલર જાસૂસી સોફ્ટવેર છે જે કાયદેસર કીલોગર પ્રોડક્ટની આડમાં માલવેર-એ-એ-સર્વિસ મોડલનો ઉપયોગ કરીને વિતરિત કરવામાં આવે છે. એજન્ટ ટેસ્લા બ્રાઉઝર્સ, ઈમેલ ક્લાયન્ટ્સ અને FTP ક્લાયન્ટ્સથી સર્વર પર હુમલાખોરોને વપરાશકર્તા ઓળખપત્રો કાઢવા અને ટ્રાન્સમિટ કરવા, ક્લિપબોર્ડ ડેટા રેકોર્ડ કરવા અને ઉપકરણ સ્ક્રીનને કૅપ્ચર કરવામાં સક્ષમ છે. વિશ્લેષણ સમયે, વિકાસકર્તાઓની સત્તાવાર વેબસાઇટ અનુપલબ્ધ હતી.

રૂપરેખાંકન ફાઇલ

નીચે આપેલ કોષ્ટક સૂચિ આપે છે કે તમે ઉપયોગ કરી રહ્યાં છો તે નમૂનાને કઈ કાર્યક્ષમતા લાગુ પડે છે:

વર્ણન	કિંમત
KeyLogger ઉપયોગ ધ્વજ	સાચું
ScreenLogger ઉપયોગ ધ્વજ	ખોટું
કીલોગર લોગ મિનિટમાં અંતરાલ મોકલે છે	20
ScreenLogger લોગ મિનિટોમાં અંતરાલ મોકલે છે	20
બેકસ્પેસ કી હેન્ડલિંગ ધ્વજ. ખોટું - ફક્ત લોગીંગ. સાચું - પાછલી કી ભૂંસી નાખે છે	ખોટું
CNC પ્રકાર. વિકલ્પો: smtp, webpanel, ftp	SMTP
"%filter_list%" સૂચિમાંથી પ્રક્રિયાઓને સમાપ્ત કરવા માટે થ્રેડ સક્રિયકરણ ધ્વજ	ખોટું
UAC અક્ષમ ધ્વજ	ખોટું
ટાસ્ક મેનેજર ફ્લેગને અક્ષમ કરે છે	ખોટું
CMD અક્ષમ ધ્વજ	ખોટું
વિન્ડો અક્ષમ ધ્વજ ચલાવો	ખોટું
રજિસ્ટ્રી વ્યૂઅર ફ્લેગને અક્ષમ કરો	ખોટું
સિસ્ટમ રીસ્ટોર પોઈન્ટ ફ્લેગને અક્ષમ કરો	સાચું
કંટ્રોલ પેનલ ફ્લેગને અક્ષમ કરો	ખોટું
MSCONFIG ફ્લેગને અક્ષમ કરો	ખોટું
એક્સપ્લોરરમાં સંદર્ભ મેનૂને અક્ષમ કરવા માટે ફ્લેગ કરો	ખોટું
પિન ધ્વજ	ખોટું
મુખ્ય મોડ્યુલને સિસ્ટમમાં પિન કરતી વખતે તેની નકલ કરવા માટેનો પાથ	%startupfolder% %insfolder%%insname%
સિસ્ટમને સોંપેલ મુખ્ય મોડ્યુલ માટે "સિસ્ટમ" અને "છુપાયેલ" વિશેષતાઓને સેટ કરવા માટે ફ્લેગ	ખોટું
જ્યારે સિસ્ટમ પર પિન કરેલ હોય ત્યારે પુનઃપ્રારંભ કરવા માટે ફ્લેગ કરો	ખોટું
મુખ્ય મોડ્યુલને કામચલાઉ ફોલ્ડરમાં ખસેડવા માટે ફ્લેગ કરો	ખોટું
UAC બાયપાસ ધ્વજ	ખોટું
લોગીંગ માટે તારીખ અને સમય ફોર્મેટ	yyyy-MM-dd HH:mm:ss
કીલોગર માટે પ્રોગ્રામ ફિલ્ટરનો ઉપયોગ કરવા માટે ફ્લેગ કરો	સાચું
પ્રોગ્રામ ફિલ્ટરિંગનો પ્રકાર. 1 – પ્રોગ્રામનું નામ વિન્ડો શીર્ષકોમાં શોધવામાં આવે છે 2 – વિન્ડો પ્રોસેસ નામમાં પ્રોગ્રામનું નામ શોધાય છે	1
પ્રોગ્રામ ફિલ્ટર	"ફેસબુક" "Twitter" "gmail" "ઇન્સ્ટાગ્રામ" "મૂવી" "સ્કાયપે" "પોર્ન" "હેક" "વોટ્સેપ" "વિવાદ"

સિસ્ટમમાં મુખ્ય મોડ્યુલને જોડવું

જો અનુરૂપ ધ્વજ સેટ કરેલ હોય, તો મુખ્ય મોડ્યુલ રૂપરેખામાં ઉલ્લેખિત પાથ પર સિસ્ટમને અસાઇન કરવાના પાથ તરીકે નકલ કરવામાં આવે છે.

રૂપરેખામાંથી મૂલ્યના આધારે, ફાઇલને "છુપાયેલ" અને "સિસ્ટમ" વિશેષતાઓ આપવામાં આવે છે.
ઓટોરન બે રજિસ્ટ્રી શાખાઓ દ્વારા પ્રદાન કરવામાં આવે છે:

• HKCU SoftwareMicrosoftWindowsCurrentVersionRun%insregname%
• HKCUSOFTWAREMicrosoftWindowsCurrentVersionExplorerStartupApprovedRun %insregname%

કારણ કે બુટલોડર પ્રક્રિયામાં ઇન્જેક્ટ કરે છે RegAsm, મુખ્ય મોડ્યુલ માટે સતત ધ્વજ સેટ કરવાથી ખૂબ જ રસપ્રદ પરિણામો આવે છે. પોતાની નકલ કરવાને બદલે, માલવેરએ મૂળ ફાઇલને સિસ્ટમ સાથે જોડી દીધી RegAsm.exe, જે દરમિયાન ઇન્જેક્શન હાથ ધરવામાં આવ્યું હતું.

C&C સાથે ક્રિયાપ્રતિક્રિયા

ઉપયોગમાં લેવાતી પદ્ધતિને ધ્યાનમાં લીધા વિના, નેટવર્ક સંચાર સંસાધનનો ઉપયોગ કરીને પીડિતના બાહ્ય IP મેળવવા સાથે શરૂ થાય છે. ચેકપ[.]amazonaws[.]com/.
નીચે સોફ્ટવેરમાં પ્રસ્તુત નેટવર્ક ક્રિયાપ્રતિક્રિયા પદ્ધતિઓનું વર્ણન કરે છે.

વેબપેનલ

આ ક્રિયાપ્રતિક્રિયા HTTP પ્રોટોકોલ દ્વારા થાય છે. માલવેર નીચેના હેડરો સાથે POST વિનંતીને એક્ઝિક્યુટ કરે છે:

• વપરાશકર્તા-એજન્ટ: મોઝિલા/5.0 (Windows U Windows NT 6.1 ru rv:1.9.2.3) Gecko/20100401 Firefox/4.0 (.NET CLR 3.5.30729)
• કનેક્શન: કીપ-લાઈવ
• સામગ્રી-પ્રકાર: એપ્લિકેશન/x-www-form-urlencoded

સર્વર સરનામું મૂલ્ય દ્વારા સ્પષ્ટ થયેલ છે %પોસ્ટURL%. એન્ક્રિપ્ટેડ સંદેશ પેરામીટરમાં મોકલવામાં આવે છે «પી. એન્ક્રિપ્શન મિકેનિઝમ વિભાગમાં વર્ણવેલ છે "એનક્રિપ્શન અલ્ગોરિધમ્સ" (પદ્ધતિ 2).

પ્રસારિત સંદેશ આના જેવો દેખાય છે:

type={0}nhwid={1}ntime={2}npcname={3}nlogdata={4}nscreen={5}nipadd={6}nwebcam_link={7}nclient={8}nlink={9}nusername={10}npassword={11}nscreen_link={12}

પેરામીટર પ્રકાર સંદેશનો પ્રકાર સૂચવે છે:

hwid - મધરબોર્ડ સીરીયલ નંબર અને પ્રોસેસર આઈડીના મૂલ્યોમાંથી MD5 હેશ રેકોર્ડ કરવામાં આવે છે. મોટે ભાગે વપરાશકર્તા ID તરીકે ઉપયોગ થાય છે.
સમય - વર્તમાન સમય અને તારીખ ટ્રાન્સમિટ કરવા માટે સેવા આપે છે.
pcname - તરીકે વ્યાખ્યાયિત <વપરાશકર્તા નામ>/<કોમ્પ્યુટર નામ>.
લોગડેટા - લોગ ડેટા.

પાસવર્ડ ટ્રાન્સમિટ કરતી વખતે, સંદેશ આના જેવો દેખાય છે:

type={0}nhwid={1}ntime={2}npcname={3}nlogdata={4}nscreen={5}nipadd={6}nwebcam_link={7}nscreen_link={8}n[passwords]

નીચેના ફોર્મેટમાં ચોરાયેલા ડેટાનું વર્ણન છે nclient[]={0}nlink[]={1}nusername[]={2}npassword[]={3}.

SMTP

ક્રિયાપ્રતિક્રિયા SMTP પ્રોટોકોલ દ્વારા થાય છે. પ્રસારિત પત્ર HTML ફોર્મેટમાં છે. પરિમાણ શરીર ફોર્મ ધરાવે છે:

પત્રના હેડરમાં સામાન્ય સ્વરૂપ છે: <વપરાશકર્તા નામ>/<કોમ્પ્યુટર નામ> <સામગ્રીનો પ્રકાર>. પત્રની સામગ્રી, તેમજ તેના જોડાણો, એન્ક્રિપ્ટેડ નથી.

ક્રિયાપ્રતિક્રિયા FTP પ્રોટોકોલ દ્વારા થાય છે. નામ સાથેની ફાઇલ નિર્દિષ્ટ સર્વર પર સ્થાનાંતરિત થાય છે <સામગ્રીનો પ્રકાર>_<વપરાશકર્તા નામ>-<કોમ્પ્યુટર નામ>_<તારીખ અને સમય>.html. ફાઇલની સામગ્રી એનક્રિપ્ટેડ નથી.

એન્ક્રિપ્શન અલ્ગોરિધમ્સ

આ કેસ નીચેની એન્ક્રિપ્શન પદ્ધતિઓનો ઉપયોગ કરે છે:

1 પદ્ધતિ

આ પદ્ધતિનો ઉપયોગ મુખ્ય મોડ્યુલમાં સ્ટ્રીંગ્સને એન્ક્રિપ્ટ કરવા માટે થાય છે. એન્ક્રિપ્શન માટે વપરાયેલ અલ્ગોરિધમ છે એઇએસ.

ઇનપુટ છ-અંકની દશાંશ સંખ્યા છે. તેના પર નીચેના રૂપાંતરણ કરવામાં આવે છે:

f(x) = (((x >> 2 - 31059) ^ 6380) - 1363) >> 3

પરિણામી મૂલ્ય એમ્બેડેડ ડેટા એરે માટે અનુક્રમણિકા છે.

દરેક એરે તત્વ એક ક્રમ છે ડવૉર્ડ. મર્જ કરતી વખતે ડવૉર્ડ બાઇટ્સની એરે મેળવવામાં આવે છે: પ્રથમ 32 બાઇટ્સ એ એન્ક્રિપ્શન કી છે, ત્યારબાદ પ્રારંભિક વેક્ટરના 16 બાઇટ્સ છે, અને બાકીના બાઇટ્સ એ એન્ક્રિપ્ટેડ ડેટા છે.

2 પદ્ધતિ

અલ્ગોરિધમનો ઉપયોગ કર્યો 3DES મોડમાં ઇસીબી સંપૂર્ણ બાઈટમાં પેડિંગ સાથે (PKCS7).

કી પરિમાણ દ્વારા સ્પષ્ટ થયેલ છે %urlkey%જોકે, એન્ક્રિપ્શન તેના MD5 હેશનો ઉપયોગ કરે છે.

દૂષિત કાર્યક્ષમતા

અભ્યાસ હેઠળનો નમૂનો તેના દૂષિત કાર્યને અમલમાં મૂકવા માટે નીચેના પ્રોગ્રામ્સનો ઉપયોગ કરે છે:

કીલોગર

જો WinAPI ફંક્શનનો ઉપયોગ કરીને અનુરૂપ માલવેર ફ્લેગ હોય WindowsHookEx સેટ કરો કીબોર્ડ પર કીપ્રેસ ઇવેન્ટ્સ માટે તેના પોતાના હેન્ડલરને સોંપે છે. હેન્ડલર કાર્ય સક્રિય વિન્ડોનું શીર્ષક મેળવવાથી શરૂ થાય છે.

જો એપ્લિકેશન ફિલ્ટરિંગ ફ્લેગ સેટ કરેલ હોય, તો ફિલ્ટરિંગ ઉલ્લેખિત પ્રકાર પર આધાર રાખીને કરવામાં આવે છે:

1. પ્રોગ્રામનું નામ વિન્ડો ટાઇટલમાં જોવામાં આવે છે
2. પ્રોગ્રામનું નામ વિન્ડો પ્રોસેસ નામમાં જોવામાં આવે છે

આગળ, ફોર્મેટમાં સક્રિય વિંડો વિશેની માહિતી સાથે લોગમાં રેકોર્ડ ઉમેરવામાં આવે છે:

પછી દબાવેલી કી વિશેની માહિતી રેકોર્ડ કરવામાં આવે છે:

કી	રેકોર્ડિંગ
બેકસ્પેસ	Backspace કી પ્રોસેસિંગ ફ્લેગ પર આધાર રાખીને: False – {BACK} સાચું - પાછલી કી ભૂંસી નાખે છે
કેપ્સ લોક	{કેપ્સ લોક}
ઇએસસી	{ESC}
પાનું ઉપર	{પાનું ઉપર}
ડાઉન	↓
કાઢી નાખો	{DEL}
"	"
F5	{F5}
&	&
F10	{F10}
ટૅબ	{TAB}
<	<
>	>
અવકાશ
F8	{F8}
F12	{F12}
F9	{F9}
ALT + ટેબ	{ALT+TAB}
END	{END}
F4	{F4}
F2	{F2}
CTRL	{CTRL}
F6	{F6}
અધિકાર	→
Up	↑
F1	{F1}
ડાબે	←
નીચેનુ પાનુ	{નીચેનુ પાનુ}
દાખલ કરો	{ઇનસર્ટ}
વિન	{જીત}
નમલોક	{NumLock}
F11	{F11}
F3	{F3}
ઘર	{હોમ}
ENTER	{ENTER}
ALT + F4	{ALT+F4}
F7	{F7}
અન્ય કી	CapsLock અને Shift કીની સ્થિતિને આધારે અક્ષર ઉપલા અથવા નીચલા કેસમાં છે

નિર્દિષ્ટ આવર્તન પર, એકત્રિત કરેલ લોગ સર્વરને મોકલવામાં આવે છે. જો ટ્રાન્સફર અસફળ હોય, તો લોગ ફાઇલમાં સાચવવામાં આવે છે %TEMP%log.tmp ફોર્મેટમાં:

જ્યારે ટાઈમર ફાયર થાય છે, ત્યારે ફાઇલ સર્વર પર ટ્રાન્સફર કરવામાં આવશે.

સ્ક્રીનલોગર

નિર્દિષ્ટ આવર્તન પર, માલવેર ફોર્મેટમાં સ્ક્રીનશૉટ બનાવે છે JPEG અર્થ સાથે ગુણવત્તા 50 ની બરાબર છે અને તેને ફાઇલમાં સાચવે છે %APPDATA %<10 અક્ષરોનો રેન્ડમ ક્રમ>.jpg. ટ્રાન્સફર કર્યા પછી, ફાઇલ કાઢી નાખવામાં આવે છે.

ક્લિપબોર્ડલોગર

જો યોગ્ય ધ્વજ સેટ કરેલ હોય, તો નીચે આપેલા કોષ્ટક અનુસાર ઇન્ટરસેપ્ટેડ ટેક્સ્ટમાં ફેરબદલી કરવામાં આવે છે.

આ પછી, ટેક્સ્ટ લોગમાં દાખલ કરવામાં આવે છે:

પાસવર્ડ ચોરી કરનાર

માલવેર નીચેની એપ્લિકેશનોમાંથી પાસવર્ડ્સ ડાઉનલોડ કરી શકે છે:

બ્રાઉઝર્સ	મેઇલ ક્લાયન્ટ્સ	FTP ગ્રાહકો
ક્રોમ	આઉટલુક	FileZilla
ફાયરફોક્સ	થંડરબર્ડ	ડબલ્યુએસ_એફટીપી
IE/Edge	ફોક્સમેલ	વિનસીપી
સફારી	ઓપેરા મેઇલ	કોરએફટીપી
ઓપેરા બ્રાઉઝર	ઇન્ક્રેડિમેલ	FTP નેવિગેટર
યાન્ડેક્ષ	પોકોમેલ	ફ્લેશએફએક્સપી
Comodo	યુડોરા	સ્માર્ટફૂટ
ChromePlus	બેટ	FTP કમાન્ડર
ક્રોમિયમ	પોસ્ટબોક્સ
ટોર્ચ	ClawsMail
7Star
એમિગો
બ્રેવસૉફ્ટવેર	જબર ગ્રાહકો	VPN ગ્રાહકો
સેન્ટબ્રાઉઝર	Psi/Psi+	ઓપન વી.પી.એન.
ચેડોટ
કોકકોક
તત્વો બ્રાઉઝર	મેનેજરો ડાઉનલોડ કરો
એપિક ગોપનીયતા બ્રાઉઝર	ઈન્ટરનેટ ડાઉનલોડ મેનેજર
કોમેટા	JDownloader
ભ્રમણકક્ષા
સ્પુટનિક
uCozMedia
વિવાલ્ડી
સીમોન્કી
ફ્લોક્સ બ્રાઉઝર
યુસી બ્રાઉઝર
બ્લેક હોક
સાયબરફોક્સ
કે-મેલિયન
આઇસકCatટ
આઇસડ્રેગન
પેલેમૂન
વોટરફોક્સ
ફાલ્કન બ્રાઉઝર

ગતિશીલ વિશ્લેષણ માટે પ્રતિક્રમણ

• ફંક્શનનો ઉપયોગ કરીને સ્લીપ. તમને સમયસમાપ્તિ દ્વારા કેટલાક સેન્ડબોક્સને બાયપાસ કરવાની મંજૂરી આપે છે
• થ્રેડનો નાશ કરવો ઝોન.ઇન્ડીફાયર. તમને ઇન્ટરનેટ પરથી ફાઇલ ડાઉનલોડ કરવાની હકીકત છુપાવવા દે છે
• પરિમાણમાં %filter_list% પ્રક્રિયાઓની સૂચિનો ઉલ્લેખ કરે છે કે જે એક સેકન્ડના અંતરાલ પર માલવેર સમાપ્ત થશે
• ડિસ્કનેક્ટિંગ યુએસી
• ટાસ્ક મેનેજરને અક્ષમ કરી રહ્યું છે
• ડિસ્કનેક્ટિંગ સીએમડી
• વિન્ડો અક્ષમ કરી રહ્યું છે Ыполнить
• કંટ્રોલ પેનલને અક્ષમ કરી રહ્યું છે
• સાધનને અક્ષમ કરી રહ્યું છે RegEdit
• સિસ્ટમ રીસ્ટોર પોઈન્ટને અક્ષમ કરી રહ્યું છે
• એક્સપ્લોરરમાં સંદર્ભ મેનૂને અક્ષમ કરો
• ડિસ્કનેક્ટિંગ એમએસકોનફિગ
• બાયપાસ યુએસી:

મુખ્ય મોડ્યુલની નિષ્ક્રિય સુવિધાઓ

મુખ્ય મોડ્યુલના વિશ્લેષણ દરમિયાન, એવા કાર્યોને ઓળખવામાં આવ્યા હતા જે સમગ્ર નેટવર્કમાં ફેલાવવા અને માઉસની સ્થિતિને ટ્રૅક કરવા માટે જવાબદાર હતા.

વોર્મ

દૂર કરી શકાય તેવા મીડિયાને કનેક્ટ કરવા માટેની ઇવેન્ટ્સ એક અલગ થ્રેડમાં મોનિટર કરવામાં આવે છે. જ્યારે કનેક્ટ થાય છે, ત્યારે નામ સાથેનો માલવેર ફાઇલ સિસ્ટમના રૂટ પર કૉપિ થાય છે scr.exe, જે પછી તે એક્સ્ટેંશન સાથે ફાઇલો શોધે છે એલ.એન.કે. દરેકની ટીમ એલ.એન.કે માં ફેરફાર કરે છે cmd.exe /c સ્ટાર્ટ કરો scr.exe&start <original command> અને બહાર નીકળો.

મીડિયાના રુટ પરની દરેક ડિરેક્ટરીને એક વિશેષતા આપવામાં આવી છે "છુપાયેલ" અને એક્સ્ટેંશન સાથે ફાઈલ બનાવવામાં આવે છે એલ.એન.કે છુપાયેલ ડિરેક્ટરીના નામ અને આદેશ સાથે cmd.exe /c શરૂ કરો scr.exe&explorer /root,"%CD%<DIRECTORY NAME>" અને બહાર નીકળો.

માઉસટ્રેકર

ઇન્ટરસેપ્શન કરવા માટેની પદ્ધતિ કીબોર્ડ માટે ઉપયોગમાં લેવાતી પદ્ધતિ જેવી જ છે. આ કાર્યક્ષમતા હજુ વિકાસ હેઠળ છે.

ફાઇલ પ્રવૃત્તિ

પાથ	વર્ણન
%Temp%temp.tmp	UAC બાયપાસ પ્રયાસો માટે કાઉન્ટર ધરાવે છે
%startupfolder%%insfolder%%insname%	HPE સિસ્ટમને અસાઇન કરવાનો પાથ
%Temp%tmpG{મિલિસેકંડમાં વર્તમાન સમય}.tmp	મુખ્ય મોડ્યુલના બેકઅપ માટેનો પાથ
%Temp%log.tmp	લોગ ફાઈલ
%AppData%{10 અક્ષરોનો મનસ્વી ક્રમ}.jpeg	સ્ક્રીનશોટ
C:UsersPublic{10 અક્ષરોનો મનસ્વી ક્રમ}.vbs	vbs ફાઇલનો પાથ કે જે બુટલોડર સિસ્ટમ સાથે જોડવા માટે વાપરી શકે છે
%ટેમ્પ%{કસ્ટમ ફોલ્ડરનું નામ}{ફાઇલનું નામ}	સિસ્ટમ સાથે જોડવા માટે બુટલોડર દ્વારા વપરાતો પાથ

હુમલાખોરની પ્રોફાઇલ

હાર્ડકોડેડ પ્રમાણીકરણ ડેટા માટે આભાર, અમે કમાન્ડ સેન્ટરની ઍક્સેસ મેળવવામાં સક્ષમ હતા.

આનાથી અમને હુમલાખોરોના અંતિમ ઇમેઇલને ઓળખવાની મંજૂરી મળી:

જુનૈદ[.]***@gmail[.]com માં.

આદેશ કેન્દ્રનું ડોમેન નામ મેલમાં નોંધાયેલ છે sg***@gmail[.]com.

નિષ્કર્ષ

હુમલામાં વપરાયેલ માલવેરના વિગતવાર વિશ્લેષણ દરમિયાન, અમે તેની કાર્યક્ષમતા સ્થાપિત કરવામાં અને આ કેસ સાથે સંબંધિત સમાધાનના સૂચકોની સૌથી સંપૂર્ણ સૂચિ મેળવવામાં સક્ષમ હતા. માલવેર વચ્ચેની નેટવર્ક ક્રિયાપ્રતિક્રિયાની પદ્ધતિઓને સમજવાથી માહિતી સુરક્ષા સાધનોના સંચાલનને સમાયોજિત કરવા તેમજ સ્થિર IDS નિયમો લખવા માટે ભલામણો આપવાનું શક્ય બન્યું.

મુખ્ય ભય એજન્ટ ટેસ્લા DataStealer ની જેમ કે તેને તેના કાર્યો કરવા માટે સિસ્ટમને પ્રતિબદ્ધ કરવાની અથવા નિયંત્રણ આદેશની રાહ જોવાની જરૂર નથી. એકવાર મશીન પર, તે તરત જ ખાનગી માહિતી એકત્રિત કરવાનું શરૂ કરે છે અને તેને CnC માં સ્થાનાંતરિત કરે છે. આ આક્રમક વર્તણૂક કેટલીક રીતે રેન્સમવેરની વર્તણૂક જેવી જ છે, માત્ર એટલો જ તફાવત છે કે બાદમાં નેટવર્ક કનેક્શનની પણ જરૂર નથી. જો તમે આ કુટુંબનો સામનો કરો છો, તો માલવેરથી ચેપગ્રસ્ત સિસ્ટમને સાફ કર્યા પછી, તમારે ચોક્કસપણે બધા પાસવર્ડ્સ બદલવા જોઈએ જે, ઓછામાં ઓછા સૈદ્ધાંતિક રીતે, ઉપર સૂચિબદ્ધ એપ્લિકેશનોમાંથી એકમાં સાચવી શકાય.

આગળ જોઈને કહીએ કે હુમલાખોરો મોકલી રહ્યાં છે એજન્ટ ટેસ્લા, પ્રારંભિક બુટ લોડર ઘણી વાર બદલાય છે. આ તમને હુમલા સમયે સ્ટેટિક સ્કેનર્સ અને હ્યુરિસ્ટિક વિશ્લેષકો દ્વારા અજાણ્યા રહેવાની મંજૂરી આપે છે. અને આ પરિવારની તેમની પ્રવૃત્તિઓ તરત જ શરૂ કરવાની વૃત્તિ સિસ્ટમ મોનિટરને નકામું બનાવે છે. એજન્ટટેસ્લાનો સામનો કરવાનો શ્રેષ્ઠ માર્ગ એ સેન્ડબોક્સમાં પ્રારંભિક વિશ્લેષણ છે.

આ શ્રેણીના ત્રીજા લેખમાં આપણે ઉપયોગમાં લેવાતા અન્ય બુટલોડર્સને જોઈશું એજન્ટ ટેસ્લા, અને તેમના અર્ધ-સ્વચાલિત અનપેકિંગની પ્રક્રિયાનો પણ અભ્યાસ કરો. ભૂલતા નહિ!

હેશ

SHA1

A8C2765B3D655BA23886D663D22BDD8EF6E8E894

8010CC2AF398F9F951555F7D481CE13DF60BBECF

79B445DE923C92BF378B19D12A309C0E9C5851BF

15839B7AB0417FA35F2858722F0BD47BDF840D62

1C981EF3EEA8548A30E8D7BF8D0D61F9224288DD

સી એન્ડ સી

URL ને

sina-c0m[.]icu

smtp[.]sina-c0m[.]icu

રેગકી

રજિસ્ટ્રી

HKCUSsoftwareMicrosoftWindowsCurrentVersionRun{સ્ક્રીપ્ટ નામ}

HKCUSsoftwareMicrosoftWindowsCurrentVersionRun%insregname%

HKCUSOFTWAREMicrosoftWindowsCurrentVersionExplorerStartupApprovedRun%insregname%

મ્યુટેક્સ

ત્યાં કોઈ સૂચક નથી.

ફાઈલો

ફાઇલ પ્રવૃત્તિ

%Temp%temp.tmp

%startupfolder%%insfolder%%insname%

%Temp%tmpG{મિલિસેકંડમાં વર્તમાન સમય}.tmp

%Temp%log.tmp

%AppData%{10 અક્ષરોનો મનસ્વી ક્રમ}.jpeg

C:UsersPublic{10 અક્ષરોનો મનસ્વી ક્રમ}.vbs

%ટેમ્પ%{કસ્ટમ ફોલ્ડરનું નામ}{ફાઇલનું નામ}

નમૂનાઓ માહિતી

નામ	અજ્ઞાત
MD5	F7722DD8660B261EA13B710062B59C43
SHA1	15839B7AB0417FA35F2858722F0BD47BDF840D62
SHA256	41DC0D5459F25E2FDCF8797948A7B315D3CB0753 98D808D1772CACCC726AF6E9
પ્રકાર	PE (.NET)
માપ	327680
મૂળ નામ	AZZRIDKGGSLTYFUUBCRRCUMRKTOXFVPDKGAGPUZI_20190701133545943.exe
તારીખ સ્ટેમ્પ	01.07.2019
કમ્પાઇલર	વી.બી.નેટ

નામ	IELibrary.dll
MD5	BFB160A89F4A607A60464631ED3ED9FD
SHA1	1C981EF3EEA8548A30E8D7BF8D0D61F9224288DD
SHA256	D55800A825792F55999ABDAD199DFA54F3184417 215A298910F2C12CD9CC31EE
પ્રકાર	PE (.NET DLL)
માપ	16896
મૂળ નામ	IELibrary.dll
તારીખ સ્ટેમ્પ	11.10.2016
કમ્પાઇલર	Microsoft Linker(48.0*)

સોર્સ: www.habr.com