मायावी मैलवेयर एडवेंचर्स भाग II: छिपी हुई VBA लिपियाँ

यह लेख फाइललेस मालवेयर सीरीज का हिस्सा है। श्रृंखला के अन्य सभी भाग:

• मायावी मालवरी का रोमांच, भाग I
• मायावी मालवेयर एडवेंचर्स भाग II: छिपी हुई VBA लिपियाँ (हम यहाँ हैं)

मैं साइट का प्रशंसक हूं हाइब्रिड विश्लेषण (हाइब्रिड विश्लेषण, इसके बाद एचए)। यह एक प्रकार का मैलवेयर चिड़ियाघर है जहां आप बिना हमला किए सुरक्षित दूरी से जंगली "शिकारियों" को सुरक्षित रूप से देख सकते हैं। HA सुरक्षित वातावरण में मैलवेयर चलाता है, सिस्टम कॉल रिकॉर्ड करता है, उत्पन्न फ़ाइलें और इंटरनेट ट्रैफ़िक, और आपके द्वारा विश्लेषण किए गए प्रत्येक नमूने के लिए ये सभी परिणाम लाता है। इस प्रकार, आप भ्रमित कोड को हल करने में अपना समय और प्रयास बर्बाद नहीं कर सकते हैं, लेकिन हैकर्स के सभी इरादों को तुरंत समझ सकते हैं।

जिन HA उदाहरणों ने मेरा ध्यान आकर्षित किया है, वे या तो कोडित जावास्क्रिप्ट या अनुप्रयोगों के लिए Visual Basic (VBA) स्क्रिप्ट का उपयोग करते हैं जो Word या Excel दस्तावेज़ों में मैक्रोज़ के रूप में एम्बेडेड होते हैं और फ़िशिंग ईमेल से जुड़े होते हैं। खोले जाने पर, ये मैक्रो पीड़ित के कंप्यूटर पर एक पावरशेल सत्र प्रारंभ करते हैं। हैकर्स आमतौर पर PowerShell को एक बेस64-एन्कोडेड कमांड स्ट्रीम भेजते हैं। यह सब इसलिए किया जाता है ताकि हमले को वेब फिल्टर और एंटीवायरस सॉफ़्टवेयर द्वारा पता लगाना मुश्किल हो जाए जो कुछ कीवर्ड का जवाब देते हैं।
सौभाग्य से, हा स्वचालित रूप से बेस 64 को डिकोड करता है और तुरंत सब कुछ एक पठनीय रूप में दिखाता है। अनिवार्य रूप से, आपको इस बात पर ध्यान केंद्रित करने की आवश्यकता नहीं है कि ये स्क्रिप्ट कैसे काम करती हैं, क्योंकि आप संबंधित HA अनुभाग में चल रही प्रक्रियाओं के लिए कमांड का पूरा आउटपुट देख पाएंगे। नीचे उदाहरण देखें:

हाइब्रिड पार्सिंग PowerShell को भेजे गए बेस 64 एन्कोडेड कमांड को इंटरसेप्ट करता है:

... और फिर उन्हें आपके लिए डिकोड करता है। #जादुई रूप से

В पिछला पद मैंने PowerShell सत्र चलाने के लिए अपना थोड़ा अस्पष्ट JavaScript कंटेनर बनाया है। मेरी स्क्रिप्ट तब, बहुत सारे PowerShell- आधारित मैलवेयर की तरह, दूरस्थ वेबसाइट से निम्न PowerShell स्क्रिप्ट डाउनलोड करती है। फिर, उदाहरण के तौर पर, मैंने एक हानिरहित पीएस डाउनलोड किया जो स्क्रीन पर एक संदेश मुद्रित करता था। लेकिन समय बदल रहा है, और अब मैं परिदृश्य को जटिल बनाने का प्रस्ताव करता हूं।

पॉवरशेल एम्पायर और रिवर्स शेल

इस अभ्यास के उद्देश्यों में से एक यह दिखाना है कि एक हैकर के लिए क्लासिक परिधि सुरक्षा और एंटीवायरस को बायपास करना (अपेक्षाकृत) कितना आसान है। अगर कोई आईटी ब्लॉगर बिना प्रोग्रामिंग स्किल्स के, मेरी तरह, एक दो शामों में कर सकता है undetectable मैलवेयर बनाएँ (पूरी तरह से पता नहीं चल पाया, FUD), एक इच्छुक युवा हैकर की संभावनाओं की कल्पना करें!

और अगर आप एक आईटी सुरक्षाकर्मी हैं, लेकिन आपका प्रबंधक इन खतरों के संभावित प्रभावों को नहीं समझता है, तो बस उन्हें यह लेख दिखाएं।

हैकर्स पीड़ित के लैपटॉप या सर्वर तक सीधी पहुंच पाने का सपना देखते हैं। यह करना बहुत आसान है: एक हैकर को सीईओ के लैपटॉप पर कुछ गोपनीय फाइलों को रखने की जरूरत है।

किसी तरह मैं पहले से ही मैंने लिखा था पोस्ट-प्रोडक्शन PowerShell एम्पायर रनटाइम के बारे में। आइए याद करें कि यह क्या है।

यह अनिवार्य रूप से एक पॉवरशेल-आधारित पैठ परीक्षण उपकरण है, जो कई अन्य विशेषताओं के बीच, रिवर्स शेल को चलाना आसान बनाता है। आप इसे और अधिक विस्तार से एक्सप्लोर कर सकते हैं पीएसई होम साइट.

चलिए एक छोटा सा प्रयोग करते हैं। मैंने Amazon Web Services क्लाउड में मैलवेयर परीक्षण के लिए एक सुरक्षित वातावरण स्थापित किया है। आप इस भेद्यता का एक कार्यशील उदाहरण जल्दी और सुरक्षित रूप से दिखाने के लिए मेरे उदाहरण का अनुसरण कर सकते हैं (और एंटरप्राइज़ परिधि के अंदर वायरस चलाने के लिए निकाल नहीं सकते हैं)।

यदि आप PowerShell एम्पायर कंसोल चलाते हैं, तो आपको कुछ ऐसा दिखाई देगा:

सबसे पहले, आप अपनी हैकर मशीन पर श्रोता प्रक्रिया प्रारंभ करें। "श्रोता" कमांड दर्ज करें, और "सेट होस्ट" का उपयोग करके अपने सिस्टम का आईपी पता निर्दिष्ट करें। फिर श्रोता प्रक्रिया को "निष्पादित करें" कमांड (नीचे) के साथ शुरू करें। इस प्रकार, आपकी ओर से, आप दूरस्थ शेल से नेटवर्क कनेक्शन की प्रतीक्षा करना शुरू कर देंगे:

दूसरी तरफ, आपको "लॉन्चर" कमांड (नीचे देखें) दर्ज करके एक एजेंट कोड उत्पन्न करना होगा। यह दूरस्थ एजेंट के लिए PowerShell कोड उत्पन्न करेगा। ध्यान दें कि यह बेस64 एन्कोडेड है और पेलोड के दूसरे चरण का प्रतिनिधित्व करता है। दूसरे शब्दों में, मेरा जावास्क्रिप्ट कोड अब इस एजेंट को स्क्रीन पर पाठ को हानिरहित रूप से प्रदर्शित करने के बजाय PowerShell चलाने के लिए खींचेगा और रिवर्स शेल चलाने के लिए हमारे दूरस्थ PSE सर्वर से कनेक्ट करेगा।

उल्टा खोल जादू। यह एन्कोडेड पॉवरशेल कमांड मेरे श्रोता से जुड़ जाएगा और एक रिमोट शेल शुरू करेगा।

आपको यह प्रयोग दिखाने के लिए, मैंने एक मासूम पीड़ित की भूमिका निभाई और ईविल.डॉक खोला, इस प्रकार हमारा जावास्क्रिप्ट चल रहा था। पहला भाग याद है? PowerShell को पॉप अप न करने के लिए कॉन्फ़िगर किया गया है, इसलिए पीड़ित को सामान्य से हटकर कुछ भी नज़र नहीं आएगा। हालाँकि, यदि आप Windows टास्क मैनेजर खोलते हैं, तो आपको एक बैकग्राउंड पॉवरशेल प्रक्रिया दिखाई देगी, जो अभी भी अधिकांश के लिए कोई अलार्म नहीं पैदा करेगी। क्योंकि यह नियमित PowerShell है, है ना?

अब, जब आप ईविल.डॉक चलाते हैं, तो एक छिपी हुई पृष्ठभूमि प्रक्रिया पॉवरशेल एम्पायर चलाने वाले सर्वर से जुड़ जाएगी। पेंटेस्टर हैकर की सफेद टोपी पहनकर, मैं पॉवरशेल एम्पायर कंसोल पर लौट आया, और अब मुझे एक संदेश दिखाई देता है कि मेरा रिमोट एजेंट सक्रिय है।

फिर मैंने PSE में एक शेल खोलने के लिए "इंटरैक्ट" कमांड टाइप किया - और मैं यहाँ हूँ! संक्षेप में, मैंने टैको सर्वर को हैक कर लिया जिसे मैंने कुछ समय पहले स्वयं स्थापित किया था।

मैंने अभी-अभी जो प्रदर्शित किया है, उसके लिए तुम लोगों से अधिक कार्य करने की आवश्यकता नहीं है। सूचना सुरक्षा के अपने ज्ञान को बेहतर बनाने के लिए आप लंच ब्रेक में एक से दो घंटे के लिए यह सब आसानी से कर सकते हैं। यह समझने का भी एक शानदार तरीका है कि कैसे हैकर बाहरी सुरक्षा परिधि सुरक्षा को बायपास करते हैं और आपके सिस्टम में घुस जाते हैं।

आईटी प्रबंधक जो सोचते हैं कि उन्होंने किसी भी प्रकार की घुसपैठ के खिलाफ एक अटूट रक्षा का निर्माण किया है, वे शायद इसे शैक्षिक भी पाएंगे - ठीक है, अगर आप उन्हें अपने बगल में लंबे समय तक बैठने के लिए मना सकते हैं, तो निश्चित रूप से।

वास्तविकता में वापस

जैसा कि मैंने उम्मीद की थी, वास्तविक हैक, औसत उपयोगकर्ता के लिए अदृश्य, जो मैंने अभी वर्णित किया है, उसका केवल एक रूपांतर है। अगले प्रकाशन के लिए सामग्री एकत्र करने के लिए, मैंने हा पर एक नमूने की तलाश शुरू की, जो मेरे आविष्कृत उदाहरण के समान ही काम करता है। और मुझे इसे लंबे समय तक देखने की ज़रूरत नहीं थी - साइट पर हमले की ऐसी तकनीक के लिए कई विकल्प हैं।

HA पर मुझे जो मालवेयर मिला वह एक VBA स्क्रिप्ट है जिसे एक वर्ड डॉक्यूमेंट में एम्बेड किया गया था। यही है, मुझे डॉक एक्सटेंशन को नकली करने की भी आवश्यकता नहीं है, यह मैलवेयर वास्तव में सबसे साधारण दिखने वाला Microsoft Word दस्तावेज़ है। यदि आप सोच रहे हैं, तो मैंने इस पैटर्न को चुना है rfq.doc.

मैंने जल्दी ही जान लिया कि आप अक्सर किसी दस्तावेज़ से सीधे दुर्भावनापूर्ण VBA स्क्रिप्ट नहीं खींच सकते। हैकर्स उन्हें संकुचित और छिपाते हैं, और वे वर्ड के बिल्ट-इन मैक्रो टूल्स में दिखाई नहीं देते हैं। इसे निकालने के लिए आपको एक विशेष उपकरण की आवश्यकता होगी। सौभाग्य से मुझे एक स्कैनर मिला ऑफिसमालस्कैनर फ्रैंक बाल्डविन। धन्यवाद फ्रैंक।

इस उपकरण का उपयोग करके, मैं एक भारी अस्पष्ट वीबीए कोड निकालने में सक्षम था। यह कुछ ऐसा दिखता था:

अस्पष्टीकरण पेशेवरों द्वारा उनके क्षेत्र में किया गया था। मैं प्रभावित हुआ था!

हमलावर वास्तव में कोड को खराब करने में अच्छे हैं, ईविल.डॉक बनाने में मेरे प्रयासों की तरह नहीं। ठीक है, अगले भाग में, हम अपने VBA डिबगर्स प्राप्त करेंगे, इस कोड में थोड़ी गहराई से खुदाई करेंगे, और HA परिणामों के साथ अपने विश्लेषण की तुलना करेंगे।

स्रोत: www.habr.com