मायावी मालवरी का रोमांच, भाग I

इस लेख के साथ हम मायावी मैलवेयर के बारे में प्रकाशनों की एक श्रृंखला शुरू करते हैं। फाइललेस हैकिंग प्रोग्राम, जिसे फाइललेस हैकिंग प्रोग्राम के रूप में भी जाना जाता है, आमतौर पर मूल्यवान सामग्री को खोजने और निकालने के लिए चुपचाप कमांड चलाने के लिए विंडोज सिस्टम पर पावरशेल का उपयोग करते हैं। दुर्भावनापूर्ण फ़ाइलों के बिना हैकर गतिविधि का पता लगाना एक कठिन कार्य है, क्योंकि... एंटीवायरस और कई अन्य डिटेक्शन सिस्टम हस्ताक्षर विश्लेषण के आधार पर काम करते हैं। लेकिन अच्छी खबर यह है कि ऐसा सॉफ़्टवेयर मौजूद है। उदाहरण के लिए, यूबीए सिस्टम, फ़ाइल सिस्टम में दुर्भावनापूर्ण गतिविधि का पता लगाने में सक्षम।

जब मैंने पहली बार बदमाश हैकर्स के विषय पर शोध करना शुरू किया, संक्रमण के पारंपरिक तरीकों का उपयोग नहीं करना, लेकिन केवल पीड़ित के कंप्यूटर पर उपलब्ध टूल और सॉफ़्टवेयर के कारण, मुझे नहीं पता था कि यह जल्द ही हमले का एक लोकप्रिय तरीका बन जाएगा। सुरक्षा पेशेवर वे कहते हैंकि यह एक चलन बनता जा रहा है, और डरावने लेख की सुर्खियाँ - इसकी पुष्टि. इसलिए, मैंने इस विषय पर प्रकाशनों की एक श्रृंखला बनाने का निर्णय लिया।

महान और शक्तिशाली पावरशेल

मैंने इनमें से कुछ विचारों के बारे में पहले भी लिखा है पॉवरशेल ऑबफस्केशन श्रृंखला, लेकिन अधिक सैद्धांतिक अवधारणा पर आधारित है। बाद में मैं सामने आया हाइब्रिड विश्लेषण के लिए वेबसाइट, जहां आप जंगल में "पकड़े गए" मैलवेयर के नमूने पा सकते हैं। मैंने फ़ाइल रहित मैलवेयर के नमूने खोजने के लिए इस साइट का उपयोग करने का निर्णय लिया। और मैं सफल हुआ. वैसे, यदि आप अपने स्वयं के मैलवेयर शिकार अभियान पर जाना चाहते हैं, तो आपको इस साइट से सत्यापित होना होगा ताकि वे जान सकें कि आप एक व्हाइट हैट विशेषज्ञ के रूप में काम कर रहे हैं। एक सुरक्षा ब्लॉगर के रूप में, मैंने इसे बिना किसी प्रश्न के पारित कर दिया। मुझे यकीन है आप भी कर सकते हैं.

नमूनों के अलावा, साइट पर आप देख सकते हैं कि ये प्रोग्राम क्या करते हैं। हाइब्रिड विश्लेषण अपने स्वयं के सैंडबॉक्स में मैलवेयर चलाता है और सिस्टम कॉल, चल रही प्रक्रियाओं और नेटवर्क गतिविधि पर नज़र रखता है, और संदिग्ध टेक्स्ट स्ट्रिंग निकालता है। बायनेरिज़ और अन्य निष्पादन योग्य फ़ाइलों के लिए, अर्थात्। जहां आप वास्तविक उच्च-स्तरीय कोड को भी नहीं देख सकते हैं, हाइब्रिड विश्लेषण यह तय करता है कि सॉफ्टवेयर उसकी रनटाइम गतिविधि के आधार पर दुर्भावनापूर्ण है या सिर्फ संदिग्ध है। और उसके बाद नमूने का मूल्यांकन पहले ही किया जा चुका है।

पॉवरशेल और अन्य नमूना स्क्रिप्ट (विज़ुअल बेसिक, जावास्क्रिप्ट, आदि) के मामले में, मैं कोड को स्वयं देखने में सक्षम था। उदाहरण के लिए, मुझे यह PowerShell उदाहरण मिला:

पहचान से बचने के लिए आप पावरशेल को बेस64 एन्कोडिंग में भी चला सकते हैं। नॉनइंटरएक्टिव और हिडन पैरामीटर्स के उपयोग पर ध्यान दें।

यदि आपने ओफ़्स्क्यूशन पर मेरी पोस्ट पढ़ी है, तो आप जानते हैं कि -e विकल्प निर्दिष्ट करता है कि सामग्री बेस64 एन्कोडेड है। वैसे, हाइब्रिड विश्लेषण भी हर चीज़ को वापस डिकोड करके इसमें मदद करता है। यदि आप स्वयं बेस64 पावरशेल (बाद में पीएस के रूप में संदर्भित) को डिकोड करने का प्रयास करना चाहते हैं, तो आपको यह कमांड चलाने की आवश्यकता है:

 [System.Text.Encoding]::Unicode.GetString([System.Convert]::FromBase64String($EncodedText))

गहरे जाना

मैंने इस पद्धति का उपयोग करके हमारी पीएस स्क्रिप्ट को डिकोड किया, नीचे प्रोग्राम का पाठ है, हालांकि मेरे द्वारा थोड़ा संशोधित किया गया है:

ध्यान दें कि स्क्रिप्ट 4 सितंबर, 2017 की तारीख से जुड़ी थी और सत्र कुकीज़ प्रसारित की गई थी।

मैंने हमले की इस शैली के बारे में लिखा था पीएस अस्पष्टता श्रृंखला, जिसमें बेस64 एन्कोडेड स्क्रिप्ट स्वयं लोड होती है गुम भारी सामान उठाने के लिए .Net Framework लाइब्रेरी के WebClient ऑब्जेक्ट का उपयोग करके किसी अन्य साइट से मैलवेयर।

यह क्या करता है?

विंडोज इवेंट लॉग या फ़ायरवॉल को स्कैन करने वाले सुरक्षा सॉफ़्टवेयर के लिए, बेस 64 एन्कोडिंग ऐसे वेब अनुरोध करने से बचाने के लिए स्ट्रिंग "वेबक्लाइंट" को सादे टेक्स्ट पैटर्न द्वारा पता लगाने से रोकती है। और चूंकि मैलवेयर की सभी "बुराई" को डाउनलोड किया जाता है और हमारे पावरशेल में भेज दिया जाता है, इस प्रकार यह दृष्टिकोण हमें पूरी तरह से पता लगाने से बचने की अनुमति देता है। या यों कहें कि मैंने पहले यही सोचा था।

यह पता चला है कि Windows PowerShell उन्नत लॉगिंग सक्षम (मेरा आलेख देखें) के साथ, आप इवेंट लॉग में लोड की गई लाइन देख पाएंगे। मैं हूं जैसे और अन्य ) मुझे लगता है कि माइक्रोसॉफ्ट को लॉगिंग के इस स्तर को डिफ़ॉल्ट रूप से सक्षम करना चाहिए। इसलिए, विस्तारित लॉगिंग सक्षम होने पर, हम ऊपर चर्चा किए गए उदाहरण के अनुसार विंडोज इवेंट लॉग में पीएस स्क्रिप्ट से एक पूर्ण डाउनलोड अनुरोध देखेंगे। इसलिए, इसे सक्रिय करना ही उचित है, क्या आप सहमत नहीं हैं?

आइए अतिरिक्त परिदृश्य जोड़ें

हैकर्स विज़ुअल बेसिक और अन्य स्क्रिप्टिंग भाषाओं में लिखे माइक्रोसॉफ्ट ऑफिस मैक्रोज़ में पॉवरशेल हमलों को बड़ी चतुराई से छिपाते हैं। विचार यह है कि पीड़ित को एक संदेश प्राप्त होता है, उदाहरण के लिए डिलीवरी सेवा से, .doc प्रारूप में एक संलग्न रिपोर्ट के साथ। आप इस दस्तावेज़ को खोलते हैं जिसमें मैक्रो है, और यह दुर्भावनापूर्ण पावरशेल को लॉन्च करता है।

अक्सर विज़ुअल बेसिक स्क्रिप्ट को ही अस्पष्ट कर दिया जाता है ताकि यह एंटीवायरस और अन्य मैलवेयर स्कैनर से मुक्त रूप से बच सके। उपरोक्त की भावना में, मैंने एक अभ्यास के रूप में उपरोक्त पॉवरशेल को जावास्क्रिप्ट में कोड करने का निर्णय लिया। नीचे मेरे काम के परिणाम हैं:

अस्पष्ट जावास्क्रिप्ट हमारे पॉवरशेल को छिपा रही है। असली हैकर्स ऐसा एक या दो बार करते हैं.

यह एक और तकनीक है जिसे मैंने वेब पर तैरते हुए देखा है: कोडित पावरशेल को चलाने के लिए Wscript.Shell का उपयोग करना। वैसे, जावास्क्रिप्ट ही है माध्यम मैलवेयर की डिलीवरी. विंडोज़ के कई संस्करण बिल्ट-इन हैं Windows स्क्रिप्ट होस्ट, जो स्वयं JS चला सकता है।
हमारे मामले में, दुर्भावनापूर्ण JS स्क्रिप्ट .doc.js एक्सटेंशन वाली फ़ाइल के रूप में एम्बेडेड है। विंडोज़ आम तौर पर केवल पहला प्रत्यय दिखाएगा, इसलिए यह पीड़ित को वर्ड दस्तावेज़ के रूप में दिखाई देगा।

जेएस आइकन केवल स्क्रॉल आइकन में दिखाई देता है। यह आश्चर्य की बात नहीं है कि कई लोग इस अनुलग्नक को यह सोचकर खोलेंगे कि यह एक वर्ड दस्तावेज़ है।

मेरे उदाहरण में, मैंने अपनी वेबसाइट से स्क्रिप्ट डाउनलोड करने के लिए उपरोक्त PowerShell को संशोधित किया है। रिमोट पीएस स्क्रिप्ट सिर्फ "ईविल मैलवेयर" प्रिंट करती है। जैसा कि आप देख सकते हैं, वह बिल्कुल भी बुरा नहीं है। बेशक, असली हैकर्स कमांड शेल के माध्यम से लैपटॉप या सर्वर तक पहुंच प्राप्त करने में रुचि रखते हैं। अगले लेख में, मैं आपको दिखाऊंगा कि पॉवरशेल एम्पायर का उपयोग करके यह कैसे किया जाए।

मुझे आशा है कि पहले परिचयात्मक लेख के लिए हमने विषय पर अधिक गहराई से विचार नहीं किया है। अब मैं आपको एक सांस लेने दूंगा, और अगली बार हम बिना किसी अनावश्यक परिचयात्मक शब्द या तैयारी के फ़ाइल रहित मैलवेयर का उपयोग करके हमलों के वास्तविक उदाहरण देखना शुरू करेंगे।

स्रोत: www.habr.com