आरटीएम साइबर ग्रुप रूसी कंपनियों से फंड चुराने में माहिर है

ऐसे कई ज्ञात साइबर समूह हैं जो रूसी कंपनियों से धन चुराने में माहिर हैं। हमने सुरक्षा खामियों का उपयोग करके हमले देखे हैं जो लक्ष्य के नेटवर्क तक पहुंच की अनुमति देते हैं। एक बार पहुंच हासिल करने के बाद, हमलावर संगठन की नेटवर्क संरचना का अध्ययन करते हैं और धन चुराने के लिए अपने स्वयं के उपकरण तैनात करते हैं। इस प्रवृत्ति का एक उत्कृष्ट उदाहरण हैकर समूह बुहट्रैप, कोबाल्ट और कॉर्को हैं।

यह रिपोर्ट जिस आरटीएम समूह पर केंद्रित है वह इस प्रवृत्ति का हिस्सा है। यह डेल्फ़ी में लिखे गए विशेष रूप से डिज़ाइन किए गए मैलवेयर का उपयोग करता है, जिसे हम निम्नलिखित अनुभागों में अधिक विस्तार से देखेंगे। ईएसईटी टेलीमेट्री प्रणाली में इन उपकरणों के पहले निशान 2015 के अंत में खोजे गए थे। टीम आवश्यकतानुसार विभिन्न नए मॉड्यूल को संक्रमित सिस्टम पर लोड करती है। इन हमलों का उद्देश्य रूस और कुछ पड़ोसी देशों में दूरस्थ बैंकिंग प्रणाली के उपयोगकर्ताओं को निशाना बनाना है।

1. लक्ष्य

आरटीएम अभियान कॉर्पोरेट उपयोगकर्ताओं के लिए लक्षित है - यह उन प्रक्रियाओं से स्पष्ट है जिन्हें हमलावर एक समझौता प्रणाली में पता लगाने की कोशिश करते हैं। दूरस्थ बैंकिंग प्रणालियों के साथ काम करने के लिए लेखांकन सॉफ्टवेयर पर ध्यान केंद्रित किया गया है।

आरटीएम के लिए रुचि की प्रक्रियाओं की सूची बुहट्रैप समूह की संबंधित सूची से मिलती जुलती है, लेकिन समूहों में अलग-अलग संक्रमण वैक्टर हैं। यदि बुहट्रैप ने नकली पेजों का अधिक बार उपयोग किया, तो आरटीएम ने ड्राइव-बाय डाउनलोड हमलों (ब्राउज़र या उसके घटकों पर हमले) और ईमेल द्वारा स्पैमिंग का उपयोग किया। टेलीमेट्री डेटा के मुताबिक, खतरा रूस और आसपास के कई देशों (यूक्रेन, कजाकिस्तान, चेक गणराज्य, जर्मनी) पर लक्षित है। हालाँकि, बड़े पैमाने पर वितरण तंत्र के उपयोग के कारण, लक्ष्य क्षेत्रों के बाहर मैलवेयर का पता लगाना आश्चर्य की बात नहीं है।

मैलवेयर का पता लगाने की कुल संख्या अपेक्षाकृत कम है। दूसरी ओर, आरटीएम अभियान जटिल कार्यक्रमों का उपयोग करता है, जो इंगित करता है कि हमले अत्यधिक लक्षित हैं।

हमने आरटीएम द्वारा उपयोग किए जाने वाले कई नकली दस्तावेज़ों की खोज की है, जिनमें गैर-मौजूद अनुबंध, चालान या कर लेखांकन दस्तावेज़ शामिल हैं। लालच की प्रकृति, हमले द्वारा लक्षित सॉफ़्टवेयर के प्रकार के साथ मिलकर, इंगित करती है कि हमलावर लेखा विभाग के माध्यम से रूसी कंपनियों के नेटवर्क में "प्रवेश" कर रहे हैं। समूह ने उसी योजना के अनुसार कार्य किया बुहत्रप 2014-2015 में

शोध के दौरान, हम कई C&C सर्वरों के साथ बातचीत करने में सक्षम हुए। हम निम्नलिखित अनुभागों में कमांड की पूरी सूची सूचीबद्ध करेंगे, लेकिन अभी हम कह सकते हैं कि क्लाइंट कीलॉगर से डेटा को सीधे हमलावर सर्वर पर स्थानांतरित करता है, जहां से अतिरिक्त कमांड प्राप्त होते हैं।

हालाँकि, वे दिन चले गए जब आप बस एक कमांड और नियंत्रण सर्वर से जुड़ सकते थे और वह सारा डेटा एकत्र कर सकते थे जिसमें आपकी रुचि थी। हमने सर्वर से कुछ प्रासंगिक कमांड प्राप्त करने के लिए यथार्थवादी लॉग फ़ाइलें फिर से बनाईं।

उनमें से पहला बॉट से फ़ाइल 1c_to_kl.txt को स्थानांतरित करने का अनुरोध है - 1C: एंटरप्राइज़ 8 प्रोग्राम की एक ट्रांसपोर्ट फ़ाइल, जिसकी उपस्थिति RTM द्वारा सक्रिय रूप से निगरानी की जाती है। 1C एक टेक्स्ट फ़ाइल में आउटगोइंग भुगतान पर डेटा अपलोड करके दूरस्थ बैंकिंग सिस्टम के साथ इंटरैक्ट करता है। इसके बाद, भुगतान आदेश के स्वचालन और निष्पादन के लिए फ़ाइल को दूरस्थ बैंकिंग प्रणाली में भेजा जाता है।

फ़ाइल में भुगतान विवरण शामिल है. यदि हमलावर आउटगोइंग भुगतान के बारे में जानकारी बदलते हैं, तो हस्तांतरण हमलावरों के खातों में गलत विवरण का उपयोग करके भेजा जाएगा।

कमांड और कंट्रोल सर्वर से इन फ़ाइलों का अनुरोध करने के लगभग एक महीने बाद, हमने देखा कि एक नया प्लगइन, 1c_2_kl.dll, समझौता किए गए सिस्टम पर लोड किया जा रहा है। मॉड्यूल (डीएलएल) को लेखांकन सॉफ्टवेयर प्रक्रियाओं में प्रवेश करके डाउनलोड फ़ाइल का स्वचालित रूप से विश्लेषण करने के लिए डिज़ाइन किया गया है। हम निम्नलिखित अनुभागों में इसका विस्तार से वर्णन करेंगे।

दिलचस्प बात यह है कि 2016 के अंत में बैंक ऑफ रूस के फिनसीईआरटी ने 1c_to_kl.txt अपलोड फ़ाइलों का उपयोग करने वाले साइबर अपराधियों के बारे में एक बुलेटिन चेतावनी जारी की थी। 1C के डेवलपर्स भी इस योजना के बारे में जानते हैं; उन्होंने पहले ही एक आधिकारिक बयान दिया है और सावधानियां सूचीबद्ध की हैं।

अन्य मॉड्यूल भी कमांड सर्वर से लोड किए गए थे, विशेष रूप से वीएनसी (इसके 32 और 64-बिट संस्करण)। यह वीएनसी मॉड्यूल जैसा दिखता है जिसका उपयोग पहले ड्रिडेक्स ट्रोजन हमलों में किया गया था। माना जाता है कि इस मॉड्यूल का उपयोग किसी संक्रमित कंप्यूटर से दूरस्थ रूप से कनेक्ट करने और सिस्टम का विस्तृत अध्ययन करने के लिए किया जाता है। इसके बाद, हमलावर नेटवर्क में घूमने की कोशिश करते हैं, उपयोगकर्ता के पासवर्ड निकालते हैं, जानकारी एकत्र करते हैं और मैलवेयर की निरंतर उपस्थिति सुनिश्चित करते हैं।

2. संक्रमण के वाहक

निम्नलिखित आंकड़ा अभियान की अध्ययन अवधि के दौरान पाए गए संक्रमण वैक्टर को दर्शाता है। समूह वैक्टर की एक विस्तृत श्रृंखला का उपयोग करता है, लेकिन मुख्य रूप से ड्राइव-बाय डाउनलोड हमले और स्पैम का उपयोग करता है। ये उपकरण लक्षित हमलों के लिए सुविधाजनक हैं, क्योंकि पहले मामले में, हमलावर संभावित पीड़ितों द्वारा देखी गई साइटों का चयन कर सकते हैं, और दूसरे में, वे वांछित कंपनी के कर्मचारियों को सीधे संलग्नक के साथ ईमेल भेज सकते हैं।

मैलवेयर कई चैनलों के माध्यम से वितरित किया जाता है, जिसमें आरआईजी और सनडाउन शोषण किट या स्पैम मेलिंग शामिल हैं, जो हमलावरों और इन सेवाओं की पेशकश करने वाले अन्य साइबर हमलावरों के बीच कनेक्शन का संकेत देते हैं।

2.1. आरटीएम और बुहट्रैप कैसे संबंधित हैं?

आरटीएम अभियान बुहट्रैप से काफी मिलता-जुलता है। स्वाभाविक प्रश्न यह है कि वे एक-दूसरे से कैसे संबंधित हैं?

सितंबर 2016 में, हमने देखा कि बुहट्रैप अपलोडर का उपयोग करके एक आरटीएम नमूना वितरित किया जा रहा है। इसके अतिरिक्त, हमें बुहट्रैप और आरटीएम दोनों में उपयोग किए गए दो डिजिटल प्रमाणपत्र मिले।

पहला, कथित तौर पर कंपनी DNISTER-M को जारी किया गया था, जिसका उपयोग दूसरे डेल्फ़ी फॉर्म (SHA-1: 025C718BA31E43DB1B87DC13F94A61A9338C11CE) और बुहट्रैप DLL (SHA-1: 1E2642B454A2C889B6D41116CCDBA83F6F2D4890) पर डिजिटल हस्ताक्षर करने के लिए किया गया था। XNUMX).

बिट-ट्रेडज को जारी किया गया दूसरा, बुहट्रैप लोडर (SHA-1: 7C1B6B1713BD923FC243DFEC80002FE9B93EB292 और B74F71560E48488D2153AE2FB51207A0AC206E2B) पर हस्ताक्षर करने के साथ-साथ RTM घटकों को डाउनलोड और इंस्टॉल करने के लिए उपयोग किया गया था।

आरटीएम ऑपरेटर ऐसे प्रमाणपत्रों का उपयोग करते हैं जो अन्य मैलवेयर परिवारों के लिए सामान्य हैं, लेकिन उनके पास एक अद्वितीय प्रमाणपत्र भी होता है। ईएसईटी टेलीमेट्री के अनुसार, यह किट-एसडी को जारी किया गया था और इसका उपयोग केवल कुछ आरटीएम मैलवेयर (SHA-1: 42A4B04446A20993DDAE98B2BE6D5A797376D4B6) पर हस्ताक्षर करने के लिए किया गया था।

आरटीएम बुहट्रैप के समान लोडर का उपयोग करता है, आरटीएम घटकों को बुहट्रैप बुनियादी ढांचे से लोड किया जाता है, इसलिए समूहों के पास समान नेटवर्क संकेतक होते हैं। हालाँकि, हमारे अनुमान के अनुसार, आरटीएम और बुहट्रैप अलग-अलग समूह हैं, कम से कम इसलिए क्योंकि आरटीएम को अलग-अलग तरीकों से वितरित किया जाता है (न केवल "विदेशी" डाउनलोडर का उपयोग करके)।

इसके बावजूद, हैकर समूह समान संचालन सिद्धांतों का उपयोग करते हैं। वे लेखांकन सॉफ़्टवेयर का उपयोग करके व्यवसायों को लक्षित करते हैं, इसी तरह सिस्टम जानकारी एकत्र करते हैं, स्मार्ट कार्ड रीडर की खोज करते हैं, और पीड़ितों की जासूसी करने के लिए दुर्भावनापूर्ण उपकरणों की एक श्रृंखला तैनात करते हैं।

3. विकास

इस अनुभाग में, हम अध्ययन के दौरान पाए गए मैलवेयर के विभिन्न संस्करणों को देखेंगे।

3.1. संस्करण

आरटीएम कॉन्फ़िगरेशन डेटा को रजिस्ट्री अनुभाग में संग्रहीत करता है, सबसे दिलचस्प हिस्सा बॉटनेट-उपसर्ग है। हमारे द्वारा अध्ययन किए गए नमूनों में देखे गए सभी मूल्यों की एक सूची नीचे दी गई तालिका में प्रस्तुत की गई है।

यह संभव है कि मानों का उपयोग मैलवेयर संस्करणों को रिकॉर्ड करने के लिए किया जा सकता हो। हालाँकि, हमें बिट2 और बिट3, 0.1.6.4 और 0.1.6.6 जैसे संस्करणों के बीच ज्यादा अंतर नजर नहीं आया। इसके अलावा, उपसर्गों में से एक शुरुआत से ही मौजूद है और एक विशिष्ट C&C डोमेन से .बिट डोमेन में विकसित हुआ है, जैसा कि नीचे दिखाया जाएगा।

3.2. अनुसूची

टेलीमेट्री डेटा का उपयोग करके, हमने नमूनों की घटना का एक ग्राफ बनाया।

4. तकनीकी विश्लेषण

इस खंड में, हम आरटीएम बैंकिंग ट्रोजन के मुख्य कार्यों का वर्णन करेंगे, जिसमें प्रतिरोध तंत्र, आरसी 4 एल्गोरिथ्म का अपना संस्करण, नेटवर्क प्रोटोकॉल, जासूसी कार्यक्षमता और कुछ अन्य विशेषताएं शामिल हैं। विशेष रूप से, हम SHA-1 नमूने AA0FA4584768CE9E16D67D8C529233E99FF1BBF0 और 48BC113EC8BA20B8B80CD5D4DA92051A19D1032B पर ध्यान केंद्रित करेंगे।

4.1. स्थापना और बचत

4.1.1. कार्यान्वयन

RTM कोर एक DLL है, लाइब्रेरी को .EXE का उपयोग करके डिस्क पर लोड किया जाता है। निष्पादन योग्य फ़ाइल आमतौर पर पैक की जाती है और इसमें DLL कोड होता है। एक बार लॉन्च होने के बाद, यह DLL को निकालता है और निम्नलिखित कमांड का उपयोग करके इसे चलाता है:

rundll32.exe “%PROGRAMDATA%Winlogonwinlogon.lnk”,DllGetClassObject host

4.1.2. डीएलएल

मुख्य DLL को हमेशा %PROGRAMDATA%Winlogon फ़ोल्डर में winlogon.lnk के रूप में डिस्क पर लोड किया जाता है। यह फ़ाइल एक्सटेंशन आमतौर पर एक शॉर्टकट से जुड़ा होता है, लेकिन फ़ाइल वास्तव में डेल्फ़ी में लिखी गई एक DLL है, जिसे डेवलपर द्वारा core.dll नाम दिया गया है, जैसा कि नीचे दी गई छवि में दिखाया गया है।

Пример названия DLL F4C746696B0F5BB565D445EC49DD912993DE6361

एक बार लॉन्च होने के बाद, ट्रोजन अपने प्रतिरोध तंत्र को सक्रिय कर देता है। यह सिस्टम में पीड़ित के विशेषाधिकारों के आधार पर दो अलग-अलग तरीकों से किया जा सकता है। यदि आपके पास व्यवस्थापकीय अधिकार हैं, तो ट्रोजन HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun रजिस्ट्री में एक Windows अद्यतन प्रविष्टि जोड़ता है। विंडोज़ अपडेट में शामिल कमांड उपयोगकर्ता के सत्र की शुरुआत में चलेंगे।

HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunWindows अद्यतन [REG_SZ] = rundll32.exe "%PROGRAMDATA%winlogon.lnk",DllGetClassObject होस्ट

ट्रोजन विंडोज़ टास्क शेड्यूलर में एक कार्य जोड़ने का भी प्रयास करता है। कार्य उपरोक्त के समान मापदंडों के साथ winlogon.lnk DLL लॉन्च करेगा। नियमित उपयोगकर्ता अधिकार ट्रोजन को HKCUSoftwareMicrosoftWindowsCurrentVersionRun रजिस्ट्री में समान डेटा के साथ Windows अद्यतन प्रविष्टि जोड़ने की अनुमति देते हैं:

rundll32.exe “%PROGRAMDATA%winlogon.lnk”,DllGetClassObject host

4.2. संशोधित RC4 एल्गोरिदम

अपनी ज्ञात कमियों के बावजूद, मैलवेयर लेखकों द्वारा RC4 एल्गोरिदम का नियमित रूप से उपयोग किया जाता है। हालाँकि, आरटीएम के रचनाकारों ने इसे थोड़ा संशोधित किया, शायद वायरस विश्लेषकों के कार्य को और अधिक कठिन बनाने के लिए। स्ट्रिंग्स, नेटवर्क डेटा, कॉन्फ़िगरेशन और मॉड्यूल को एन्क्रिप्ट करने के लिए दुर्भावनापूर्ण आरटीएम टूल में आरसी4 का एक संशोधित संस्करण व्यापक रूप से उपयोग किया जाता है।

4.2.1. मतभेद

मूल आरसी4 एल्गोरिदम में दो चरण शामिल हैं: एस-ब्लॉक इनिशियलाइज़ेशन (उर्फ केएसए - की-शेड्यूलिंग एल्गोरिदम) और छद्म-यादृच्छिक अनुक्रम पीढ़ी (पीआरजीए - छद्म-रैंडम जेनरेशन एल्गोरिदम)। पहले चरण में कुंजी का उपयोग करके एस-बॉक्स को प्रारंभ करना शामिल है, और दूसरे चरण में एन्क्रिप्शन के लिए एस-बॉक्स का उपयोग करके स्रोत पाठ को संसाधित किया जाता है।

आरटीएम लेखकों ने एस-बॉक्स आरंभीकरण और एन्क्रिप्शन के बीच एक मध्यवर्ती चरण जोड़ा। अतिरिक्त कुंजी परिवर्तनशील है और एन्क्रिप्ट और डिक्रिप्ट किए जाने वाले डेटा के साथ ही सेट की जाती है। इस अतिरिक्त चरण को निष्पादित करने वाला फ़ंक्शन नीचे दिए गए चित्र में दिखाया गया है।

4.2.2. स्ट्रिंग एन्क्रिप्शन

पहली नज़र में, मुख्य DLL में कई पठनीय पंक्तियाँ हैं। बाकी को ऊपर वर्णित एल्गोरिदम का उपयोग करके एन्क्रिप्ट किया गया है, जिसकी संरचना निम्नलिखित चित्र में दिखाई गई है। हमें विश्लेषण किए गए नमूनों में स्ट्रिंग एन्क्रिप्शन के लिए 25 से अधिक विभिन्न RC4 कुंजियाँ मिलीं। प्रत्येक पंक्ति के लिए XOR कुंजी अलग है। संख्यात्मक क्षेत्र को अलग करने वाली रेखाओं का मान हमेशा 0xFFFFFFFF होता है।

निष्पादन की शुरुआत में, आरटीएम स्ट्रिंग्स को एक वैश्विक चर में डिक्रिप्ट करता है। जब किसी स्ट्रिंग तक पहुंचने की आवश्यकता होती है, तो ट्रोजन आधार पते और ऑफसेट के आधार पर डिक्रिप्टेड स्ट्रिंग्स के पते की गतिशील रूप से गणना करता है।

स्ट्रिंग्स में मैलवेयर के कार्यों के बारे में दिलचस्प जानकारी होती है। धारा 6.8 में कुछ उदाहरण स्ट्रिंग उपलब्ध कराए गए हैं।

4.3. नेटवर्क

RTM मैलवेयर का C&C सर्वर से संपर्क करने का तरीका अलग-अलग संस्करणों में अलग-अलग होता है। पहले संशोधनों (अक्टूबर 2015 - अप्रैल 2016) में कमांड की सूची को अपडेट करने के लिए लाइवजर्नल.कॉम पर आरएसएस फ़ीड के साथ पारंपरिक डोमेन नामों का उपयोग किया गया था।

अप्रैल 2016 से, हमने टेलीमेट्री डेटा में .बिट डोमेन में बदलाव देखा है। इसकी पुष्टि डोमेन पंजीकरण तिथि से होती है - पहला RTM डोमेन fde05d0573da.bit 13 मार्च 2016 को पंजीकृत किया गया था।

अभियान की निगरानी के दौरान हमने जो भी यूआरएल देखे उनमें एक समान पथ था: /r/z.php। यह काफी असामान्य है और यह नेटवर्क प्रवाह में आरटीएम अनुरोधों की पहचान करने में मदद करेगा।

4.3.1. आदेश और नियंत्रण के लिए चैनल

लीगेसी उदाहरणों ने कमांड और नियंत्रण सर्वर की अपनी सूची को अद्यतन करने के लिए इस चैनल का उपयोग किया। होस्टिंग Livejournal.com पर स्थित है, रिपोर्ट लिखने के समय यह URL hxxp://f72bba81c921(.)livejournal(.)com/ data/rss पर बना हुआ था।

लाइवजर्नल एक रूसी-अमेरिकी कंपनी है जो ब्लॉगिंग प्लेटफॉर्म प्रदान करती है। आरटीएम ऑपरेटर एक एलजे ब्लॉग बनाते हैं जिसमें वे कोडित कमांड के साथ एक लेख पोस्ट करते हैं - स्क्रीनशॉट देखें।

कमांड और नियंत्रण लाइनें एक संशोधित आरसी4 एल्गोरिदम (धारा 4.2) का उपयोग करके एन्कोड की गई हैं। चैनल के वर्तमान संस्करण (नवंबर 2016) में निम्नलिखित कमांड और नियंत्रण सर्वर पते शामिल हैं:

• hxxp://cainmoon(.)net/r/z.php
• hxxp://rtm(.)dev/0-3/z.php
• hxxp://vpntap(.)top/r/z.php

4.3.2. .बिट डोमेन

सबसे हालिया आरटीएम नमूनों में, लेखक .bit TLD शीर्ष-स्तरीय डोमेन का उपयोग करके C&C डोमेन से जुड़ते हैं। यह शीर्ष-स्तरीय डोमेन की ICANN (डोमेन नाम और इंटरनेट कॉर्पोरेशन) सूची में नहीं है। इसके बजाय, यह नेमकॉइन प्रणाली का उपयोग करता है, जो बिटकॉइन तकनीक के शीर्ष पर बनाया गया है। मैलवेयर लेखक अक्सर अपने डोमेन के लिए .बिट टीएलडी का उपयोग नहीं करते हैं, हालांकि इस तरह के उपयोग का एक उदाहरण पहले नेकर्स बॉटनेट के एक संस्करण में देखा गया है।

बिटकॉइन के विपरीत, वितरित नेमकॉइन डेटाबेस के उपयोगकर्ताओं के पास डेटा सहेजने की क्षमता होती है। इस सुविधा का मुख्य अनुप्रयोग .bit शीर्ष-स्तरीय डोमेन है। आप उन डोमेन को पंजीकृत कर सकते हैं जिन्हें वितरित डेटाबेस में संग्रहीत किया जाएगा। डेटाबेस में संबंधित प्रविष्टियों में डोमेन द्वारा हल किए गए आईपी पते शामिल हैं। यह टीएलडी "सेंसरशिप-प्रतिरोधी" है क्योंकि केवल पंजीकरणकर्ता ही .bit डोमेन के रिज़ॉल्यूशन को बदल सकता है। इसका मतलब यह है कि इस प्रकार के टीएलडी का उपयोग करके किसी दुर्भावनापूर्ण डोमेन को रोकना अधिक कठिन है।

आरटीएम ट्रोजन वितरित नेमकॉइन डेटाबेस को पढ़ने के लिए आवश्यक सॉफ़्टवेयर को एम्बेड नहीं करता है। यह .bit डोमेन को हल करने के लिए केंद्रीय DNS सर्वर जैसे dns.dot-bit.org या OpenNic सर्वर का उपयोग करता है। इसलिए, इसमें DNS सर्वर के समान ही स्थायित्व है। हमने देखा कि ब्लॉग पोस्ट में उल्लेखित होने के बाद कुछ टीम डोमेन का पता नहीं चल पाया।

हैकर्स के लिए .bit TLD का एक अन्य लाभ लागत है। एक डोमेन पंजीकृत करने के लिए, ऑपरेटरों को केवल 0,01 एनके का भुगतान करना होगा, जो $0,00185 (5 दिसंबर, 2016 तक) के अनुरूप है। तुलना के लिए, Domain.com की कीमत कम से कम $10 है।

4.3.3. शिष्टाचार

कमांड और नियंत्रण सर्वर के साथ संचार करने के लिए, आरटीएम एक कस्टम प्रोटोकॉल का उपयोग करके स्वरूपित डेटा के साथ HTTP POST अनुरोधों का उपयोग करता है। पथ मान सदैव /r/z.php है; मोज़िला/5.0 उपयोगकर्ता एजेंट (संगत; एमएसआईई 9.0; विंडोज़ एनटी 6.1; ट्राइडेंट/5.0)। सर्वर के अनुरोधों में, डेटा को निम्नानुसार स्वरूपित किया जाता है, जहां ऑफसेट मान बाइट्स में व्यक्त किए जाते हैं:

0 से 6 बाइट्स एन्कोडेड नहीं हैं; 6 से शुरू होने वाले बाइट्स को संशोधित RC4 एल्गोरिदम का उपयोग करके एन्कोड किया गया है। C&C प्रतिक्रिया पैकेट की संरचना सरल है। बाइट्स को 4 से पैकेट आकार तक एन्कोड किया गया है।

संभावित क्रिया बाइट मानों की सूची नीचे दी गई तालिका में प्रस्तुत की गई है:

मैलवेयर हमेशा डिक्रिप्टेड डेटा के CRC32 की गणना करता है और इसकी तुलना पैकेट में मौजूद डेटा से करता है। यदि वे भिन्न हैं, तो ट्रोजन पैकेट को गिरा देता है।
अतिरिक्त डेटा में विभिन्न ऑब्जेक्ट शामिल हो सकते हैं, जिनमें पीई फ़ाइल, फ़ाइल सिस्टम में खोजी जाने वाली फ़ाइल या नए कमांड यूआरएल शामिल हैं।

4.3.4. पैनल

हमने देखा कि RTM C&C सर्वर पर एक पैनल का उपयोग करता है। नीचे स्क्रीनशॉट:

4.4. लक्षण लक्षण

आरटीएम एक विशिष्ट बैंकिंग ट्रोजन है। इसमें कोई आश्चर्य की बात नहीं है कि ऑपरेटर पीड़ित के सिस्टम के बारे में जानकारी चाहते हैं। एक ओर, बॉट ओएस के बारे में सामान्य जानकारी एकत्र करता है। दूसरी ओर, यह पता लगाता है कि क्या समझौता किए गए सिस्टम में रूसी रिमोट बैंकिंग सिस्टम से जुड़े गुण शामिल हैं।

4.4.1. सामान्य जानकारी

जब रिबूट के बाद मैलवेयर इंस्टॉल या लॉन्च किया जाता है, तो कमांड और कंट्रोल सर्वर को एक रिपोर्ट भेजी जाती है जिसमें सामान्य जानकारी शामिल होती है:

• समय क्षेत्र;
• डिफ़ॉल्ट सिस्टम भाषा;
• अधिकृत उपयोगकर्ता क्रेडेंशियल;
• प्रक्रिया अखंडता स्तर;
• उपयोगकर्ता नाम;
• कंप्यूटर का नाम;
• ओएस संस्करण;
• अतिरिक्त स्थापित मॉड्यूल;
• स्थापित एंटीवायरस प्रोग्राम;
• स्मार्ट कार्ड रीडरों की सूची.

4.4.2 रिमोट बैंकिंग प्रणाली

एक विशिष्ट ट्रोजन लक्ष्य एक दूरस्थ बैंकिंग प्रणाली है, और आरटीएम कोई अपवाद नहीं है। प्रोग्राम के मॉड्यूल में से एक को TBdo कहा जाता है, जो डिस्क स्कैनिंग और ब्राउज़िंग इतिहास सहित विभिन्न कार्य करता है।

डिस्क को स्कैन करके, ट्रोजन जाँचता है कि मशीन पर बैंकिंग सॉफ़्टवेयर स्थापित है या नहीं। लक्ष्य कार्यक्रमों की पूरी सूची नीचे दी गई तालिका में है। रुचि की फ़ाइल का पता लगाने के बाद, प्रोग्राम कमांड सर्वर को जानकारी भेजता है। अगली क्रियाएं कमांड सेंटर (सी एंड सी) एल्गोरिदम द्वारा निर्दिष्ट तर्क पर निर्भर करती हैं।

आरटीएम आपके ब्राउज़र इतिहास और खुले टैब में यूआरएल पैटर्न भी ढूंढता है। इसके अलावा, प्रोग्राम FindNextUrlCacheEntryA और FindFirstUrlCacheEntryA फ़ंक्शंस के उपयोग की जांच करता है, और URL को निम्नलिखित पैटर्न में से किसी एक से मिलान करने के लिए प्रत्येक प्रविष्टि की जांच भी करता है:

खुले टैब का पता लगाने के बाद, ट्रोजन डायनेमिक डेटा एक्सचेंज (डीडीई) तंत्र के माध्यम से इंटरनेट एक्सप्लोरर या फ़ायरफ़ॉक्स से संपर्क करता है ताकि यह जांचा जा सके कि टैब पैटर्न से मेल खाता है या नहीं।

आपके ब्राउज़िंग इतिहास और खुले टैब की जांच WHILE लूप (एक पूर्व शर्त वाला लूप) में की जाती है, जिसमें चेक के बीच 1 सेकंड का ब्रेक होता है। वास्तविक समय में मॉनिटर किए जाने वाले अन्य डेटा पर अनुभाग 4.5 में चर्चा की जाएगी।

यदि कोई पैटर्न पाया जाता है, तो प्रोग्राम निम्न तालिका से स्ट्रिंग्स की सूची का उपयोग करके कमांड सर्वर को इसकी रिपोर्ट करता है:

4.5 निगरानी

जब ट्रोजन चल रहा होता है, तो संक्रमित सिस्टम की विशिष्ट विशेषताओं (बैंकिंग सॉफ़्टवेयर की उपस्थिति के बारे में जानकारी सहित) के बारे में जानकारी कमांड और कंट्रोल सर्वर को भेजी जाती है। फ़िंगरप्रिंटिंग तब होती है जब आरटीएम प्रारंभिक ओएस स्कैन के तुरंत बाद पहली बार मॉनिटरिंग सिस्टम चलाता है।

4.5.1. रिमोट बैंकिंग

TBdo मॉड्यूल बैंकिंग-संबंधित प्रक्रियाओं की निगरानी के लिए भी जिम्मेदार है। यह प्रारंभिक स्कैन के दौरान फ़ायरफ़ॉक्स और इंटरनेट एक्सप्लोरर में टैब की जांच करने के लिए गतिशील डेटा एक्सचेंज का उपयोग करता है। एक अन्य TShell मॉड्यूल का उपयोग कमांड विंडो (इंटरनेट एक्सप्लोरर या फ़ाइल एक्सप्लोरर) की निगरानी के लिए किया जाता है।

मॉड्यूल विंडोज़ की निगरानी के लिए COM इंटरफेस IShellWindows, iWebBrowser, DWebBrowserEvents2 और IConnectionPointContainer का उपयोग करता है। जब कोई उपयोगकर्ता किसी नए वेब पेज पर जाता है, तो मैलवेयर इसे नोट कर लेता है। इसके बाद यह पृष्ठ URL की तुलना उपरोक्त पैटर्न से करता है। एक मैच का पता लगाने के बाद, ट्रोजन 5 सेकंड के अंतराल के साथ लगातार छह स्क्रीनशॉट लेता है और उन्हें सी एंड एस कमांड सर्वर पर भेजता है। प्रोग्राम बैंकिंग सॉफ़्टवेयर से संबंधित कुछ विंडो नामों की भी जाँच करता है - पूरी सूची नीचे है:

4.5.2. स्मार्ट कार्ड

आरटीएम आपको संक्रमित कंप्यूटर से जुड़े स्मार्ट कार्ड रीडर की निगरानी करने की अनुमति देता है। इन उपकरणों का उपयोग कुछ देशों में भुगतान आदेशों का समाधान करने के लिए किया जाता है। यदि इस प्रकार का उपकरण कंप्यूटर से जुड़ा हुआ है, तो यह ट्रोजन को संकेत दे सकता है कि मशीन का उपयोग बैंकिंग लेनदेन के लिए किया जा रहा है।

अन्य बैंकिंग ट्रोजन के विपरीत, आरटीएम ऐसे स्मार्ट कार्ड के साथ इंटरैक्ट नहीं कर सकता है। शायद यह कार्यक्षमता एक अतिरिक्त मॉड्यूल में शामिल है जिसे हमने अभी तक नहीं देखा है।

4.5.3. keylogger

संक्रमित पीसी की निगरानी का एक महत्वपूर्ण हिस्सा कीस्ट्रोक्स कैप्चर करना है। ऐसा लगता है कि आरटीएम डेवलपर्स कोई भी जानकारी नहीं खो रहे हैं, क्योंकि वे न केवल नियमित कुंजियों की निगरानी करते हैं, बल्कि वर्चुअल कीबोर्ड और क्लिपबोर्ड की भी निगरानी करते हैं।

ऐसा करने के लिए, SetWindowsHookExA फ़ंक्शन का उपयोग करें। हमलावर प्रोग्राम के नाम और तारीख के साथ दबाई गई कुंजियों या वर्चुअल कीबोर्ड से संबंधित कुंजियों को लॉग करते हैं। फिर बफ़र को C&C कमांड सर्वर पर भेजा जाता है।

क्लिपबोर्ड को इंटरसेप्ट करने के लिए SetClipboardViewer फ़ंक्शन का उपयोग किया जाता है। जब डेटा टेक्स्ट होता है तो हैकर्स क्लिपबोर्ड की सामग्री को लॉग करते हैं। बफ़र को सर्वर पर भेजे जाने से पहले नाम और तारीख भी लॉग की जाती है।

4.5.4. स्क्रीनशॉट

एक अन्य आरटीएम फ़ंक्शन स्क्रीनशॉट इंटरसेप्शन है। यह सुविधा तब लागू की जाती है जब विंडो मॉनिटरिंग मॉड्यूल रुचि की किसी साइट या बैंकिंग सॉफ़्टवेयर का पता लगाता है। ग्राफिक छवियों की लाइब्रेरी का उपयोग करके स्क्रीनशॉट लिए जाते हैं और कमांड सर्वर पर स्थानांतरित किए जाते हैं।

4.6. विस्थापना

C&C सर्वर मैलवेयर को चलने से रोक सकता है और आपके कंप्यूटर को साफ़ कर सकता है। कमांड आपको आरटीएम चलने के दौरान बनाई गई फ़ाइलों और रजिस्ट्री प्रविष्टियों को साफ़ करने की अनुमति देता है। फिर मैलवेयर और विनलॉगऑन फ़ाइल को हटाने के लिए DLL का उपयोग किया जाता है, जिसके बाद कमांड कंप्यूटर को बंद कर देता है। जैसा कि नीचे दी गई छवि में दिखाया गया है, डेवलपर्स द्वारा Erase.dll का उपयोग करके DLL को हटा दिया गया है।

सर्वर ट्रोजन को एक विनाशकारी अनइंस्टॉल-लॉक कमांड भेज सकता है। इस मामले में, यदि आपके पास व्यवस्थापक अधिकार हैं, तो आरटीएम हार्ड ड्राइव पर एमबीआर बूट सेक्टर को हटा देगा। यदि यह विफल हो जाता है, तो ट्रोजन एमबीआर बूट सेक्टर को एक यादृच्छिक सेक्टर में स्थानांतरित करने का प्रयास करेगा - फिर कंप्यूटर शटडाउन के बाद ओएस को बूट करने में सक्षम नहीं होगा। इससे ओएस की पूर्ण पुनर्स्थापना हो सकती है, जिसका अर्थ है सबूतों का नष्ट होना।

प्रशासकीय विशेषाधिकारों के बिना, मैलवेयर अंतर्निहित RTM DLL में एन्कोडेड एक .EXE लिखता है। निष्पादन योग्य कंप्यूटर को बंद करने के लिए आवश्यक कोड निष्पादित करता है और मॉड्यूल को HKCUCurrentVersionRun रजिस्ट्री कुंजी में पंजीकृत करता है। जब भी उपयोगकर्ता सत्र शुरू करता है, कंप्यूटर तुरंत बंद हो जाता है।

4.7. कॉन्फ़िगरेशन फ़ाइल

डिफ़ॉल्ट रूप से, आरटीएम में लगभग कोई कॉन्फ़िगरेशन फ़ाइल नहीं होती है, लेकिन कमांड और कंट्रोल सर्वर कॉन्फ़िगरेशन मान भेज सकते हैं जिन्हें रजिस्ट्री में संग्रहीत किया जाएगा और प्रोग्राम द्वारा उपयोग किया जाएगा। कॉन्फ़िगरेशन कुंजियों की सूची नीचे दी गई तालिका में प्रस्तुत की गई है:

कॉन्फ़िगरेशन सॉफ़्टवेयर[छद्म-यादृच्छिक स्ट्रिंग] रजिस्ट्री कुंजी में संग्रहीत है। प्रत्येक मान पिछली तालिका में प्रस्तुत पंक्तियों में से एक से मेल खाता है। RTM में RC4 एल्गोरिथम का उपयोग करके मान और डेटा को एन्कोड किया जाता है।

डेटा की संरचना नेटवर्क या स्ट्रिंग्स के समान होती है। एन्कोडेड डेटा की शुरुआत में एक चार-बाइट XOR कुंजी जोड़ी जाती है। कॉन्फ़िगरेशन मानों के लिए, XOR कुंजी भिन्न है और मान के आकार पर निर्भर करती है। इसकी गणना इस प्रकार की जा सकती है:

xor_key = (len(config_value) << 24) | (len(config_value) << 16)
| लेन(config_value)| (len(config_value) << 8)

4.8. अन्य कार्य

इसके बाद, आइए आरटीएम द्वारा समर्थित अन्य कार्यों पर नजर डालें।

4.8.1. अतिरिक्त मॉड्यूल

ट्रोजन में अतिरिक्त मॉड्यूल शामिल हैं, जो DLL फ़ाइलें हैं। सी एंड सी कमांड सर्वर से भेजे गए मॉड्यूल को बाहरी प्रोग्राम के रूप में निष्पादित किया जा सकता है, रैम में प्रतिबिंबित किया जा सकता है और नए थ्रेड्स में लॉन्च किया जा सकता है। भंडारण के लिए, मॉड्यूल को .dtt फ़ाइलों में सहेजा जाता है और नेटवर्क संचार के लिए उपयोग की जाने वाली समान कुंजी के साथ RC4 एल्गोरिदम का उपयोग करके एन्कोड किया जाता है।

अब तक हमने VNC मॉड्यूल (8966319882494077C21F66A8354E2CBCA0370464), ब्राउज़र डेटा निष्कर्षण मॉड्यूल (03DE8622BE6B2F75A364A275995C3411626C4D9F) और 1c_2_kl मॉड्यूल (B1EE562E1F69E) की स्थापना देखी है। FC6FBA58 B88753BE7D0B3E4CFAB)।

वीएनसी मॉड्यूल को लोड करने के लिए, सी एंड सी सर्वर पोर्ट 44443 पर एक विशिष्ट आईपी पते पर वीएनसी सर्वर से कनेक्शन का अनुरोध करने वाला एक कमांड जारी करता है। ब्राउज़र डेटा पुनर्प्राप्ति प्लगइन TBrowserDataCollector निष्पादित करता है, जो IE ब्राउज़िंग इतिहास पढ़ सकता है। फिर यह विज़िट किए गए URL की पूरी सूची C&C कमांड सर्वर को भेजता है।

खोजे गए अंतिम मॉड्यूल को 1c_2_kl कहा जाता है। यह 1सी एंटरप्राइज सॉफ्टवेयर पैकेज के साथ इंटरैक्ट कर सकता है। मॉड्यूल में दो भाग शामिल हैं: मुख्य भाग - डीएलएल और दो एजेंट (32 और 64 बिट), जिन्हें प्रत्येक प्रक्रिया में इंजेक्ट किया जाएगा, WH_CBT के लिए बाइंडिंग दर्ज की जाएगी। 1C प्रक्रिया में शामिल होने के बाद, मॉड्यूल CreateFile और WriteFile फ़ंक्शंस को बांधता है। जब भी CreateFile बाउंड फ़ंक्शन को कॉल किया जाता है, तो मॉड्यूल फ़ाइल पथ 1c_to_kl.txt को मेमोरी में संग्रहीत करता है। WriteFile कॉल को इंटरसेप्ट करने के बाद, यह WriteFile फ़ंक्शन को कॉल करता है और फ़ाइल पथ 1c_to_kl.txt को मुख्य DLL मॉड्यूल पर भेजता है, इसे तैयार किए गए Windows WM_COPYDATA संदेश को पास करता है।

मुख्य डीएलएल मॉड्यूल भुगतान आदेश निर्धारित करने के लिए फ़ाइल को खोलता है और पार्स करता है। यह फ़ाइल में निहित राशि और लेनदेन संख्या को पहचानता है। यह जानकारी कमांड सर्वर को भेजी जाती है। हमारा मानना ​​है कि यह मॉड्यूल अभी विकासाधीन है क्योंकि इसमें एक डिबग संदेश है और यह स्वचालित रूप से 1c_to_kl.txt को संशोधित नहीं कर सकता है।

4.8.2. विशेषाधिकार वृद्धि

आरटीएम गलत त्रुटि संदेश प्रदर्शित करके विशेषाधिकारों को बढ़ाने का प्रयास कर सकता है। मैलवेयर रजिस्ट्री जांच का अनुकरण करता है (नीचे चित्र देखें) या वास्तविक रजिस्ट्री संपादक आइकन का उपयोग करता है। कृपया गलत वर्तनी पर ध्यान दें wait - whait। स्कैनिंग के कुछ सेकंड के बाद, प्रोग्राम एक गलत त्रुटि संदेश प्रदर्शित करता है।

व्याकरण संबंधी त्रुटियों के बावजूद, एक गलत संदेश औसत उपयोगकर्ता को आसानी से धोखा देगा। यदि उपयोगकर्ता दो लिंक में से किसी एक पर क्लिक करता है, तो आरटीएम सिस्टम में अपने विशेषाधिकारों को बढ़ाने का प्रयास करेगा।

दो पुनर्प्राप्ति विकल्पों में से एक का चयन करने के बाद, ट्रोजन व्यवस्थापक विशेषाधिकारों के साथ ShellExecute फ़ंक्शन में रनस विकल्प का उपयोग करके DLL लॉन्च करता है। उपयोगकर्ता को उन्नयन के लिए एक वास्तविक विंडोज़ प्रॉम्प्ट (नीचे छवि देखें) दिखाई देगा। यदि उपयोगकर्ता आवश्यक अनुमतियाँ देता है, तो ट्रोजन प्रशासकीय विशेषाधिकारों के साथ चलेगा।

सिस्टम पर स्थापित डिफ़ॉल्ट भाषा के आधार पर, ट्रोजन रूसी या अंग्रेजी में त्रुटि संदेश प्रदर्शित करता है।

4.8.3. प्रमाणपत्र

आरटीएम विंडोज़ स्टोर में प्रमाणपत्र जोड़ सकता है और csrss.exe संवाद बॉक्स में स्वचालित रूप से "हां" बटन पर क्लिक करके जोड़ की विश्वसनीयता की पुष्टि कर सकता है। यह व्यवहार नया नहीं है; उदाहरण के लिए, बैंकिंग ट्रोजन रेटेफ़ भी स्वतंत्र रूप से एक नए प्रमाणपत्र की स्थापना की पुष्टि करता है।

4.8.4. उलटा संबंध

आरटीएम लेखकों ने बैककनेक्ट टीसीपी सुरंग भी बनाई। हमने अभी तक इस सुविधा को उपयोग में नहीं देखा है, लेकिन इसे संक्रमित पीसी की दूर से निगरानी करने के लिए डिज़ाइन किया गया है।

4.8.5. होस्ट फ़ाइल प्रबंधन

C&C सर्वर विंडोज़ होस्ट फ़ाइल को संशोधित करने के लिए ट्रोजन को एक कमांड भेज सकता है। होस्ट फ़ाइल का उपयोग कस्टम DNS रिज़ॉल्यूशन बनाने के लिए किया जाता है।

4.8.6. फ़ाइल ढूंढें और भेजें

सर्वर संक्रमित सिस्टम पर किसी फ़ाइल को खोजने और डाउनलोड करने का अनुरोध कर सकता है। उदाहरण के लिए, शोध के दौरान हमें 1c_to_kl.txt फ़ाइल के लिए एक अनुरोध प्राप्त हुआ। जैसा कि पहले बताया गया है, यह फ़ाइल 1C: एंटरप्राइज़ 8 अकाउंटिंग सिस्टम द्वारा बनाई गई है।

4.8.7. अद्यतन

अंत में, आरटीएम लेखक वर्तमान संस्करण को बदलने के लिए एक नया डीएलएल सबमिट करके सॉफ्टवेयर को अपडेट कर सकते हैं।

5। निष्कर्ष

आरटीएम के शोध से पता चलता है कि रूसी बैंकिंग प्रणाली अभी भी साइबर हमलावरों को आकर्षित करती है। बुहट्रैप, कॉर्को और कारबानक जैसे समूह रूस में वित्तीय संस्थानों और उनके ग्राहकों से सफलतापूर्वक पैसा चुराते हैं। आरटीएम इस उद्योग में एक नया खिलाड़ी है।

ईएसईटी टेलीमेट्री के अनुसार, दुर्भावनापूर्ण आरटीएम उपकरण कम से कम 2015 के अंत से उपयोग में हैं। प्रोग्राम में जासूसी क्षमताओं की एक पूरी श्रृंखला है, जिसमें स्मार्ट कार्ड पढ़ना, कीस्ट्रोक्स को इंटरसेप्ट करना और बैंकिंग लेनदेन की निगरानी करना, साथ ही 1C: एंटरप्राइज़ 8 ट्रांसपोर्ट फ़ाइलों की खोज करना शामिल है।

विकेंद्रीकृत, बिना सेंसर किए .बिट शीर्ष-स्तरीय डोमेन का उपयोग अत्यधिक लचीला बुनियादी ढांचा सुनिश्चित करता है।

स्रोत: www.habr.com