प्रोलॉक खोलना: MITER ATT&CK मैट्रिक्स का उपयोग करके नए रैंसमवेयर के ऑपरेटरों के कार्यों का विश्लेषण

दुनिया भर के संगठनों पर रैंसमवेयर हमलों की सफलता अधिक से अधिक नए हमलावरों को खेल में आने के लिए प्रेरित कर रही है। इन नए खिलाड़ियों में से एक प्रोलॉक रैंसमवेयर का उपयोग करने वाला एक समूह है। यह मार्च 2020 में PwndLocker प्रोग्राम के उत्तराधिकारी के रूप में सामने आया, जिसने 2019 के अंत में काम करना शुरू किया। प्रोलॉक रैंसमवेयर हमले मुख्य रूप से वित्तीय और स्वास्थ्य सेवा संगठनों, सरकारी एजेंसियों और खुदरा क्षेत्र को लक्षित करते हैं। हाल ही में, प्रोलॉक ऑपरेटरों ने सबसे बड़े एटीएम निर्माताओं में से एक डाइबोल्ड निक्सडॉर्फ पर सफलतापूर्वक हमला किया।

इस पोस्ट में ओलेग स्कुलकिन, ग्रुप-आईबी की कंप्यूटर फोरेंसिक प्रयोगशाला के प्रमुख विशेषज्ञ, प्रोलॉक ऑपरेटरों द्वारा उपयोग की जाने वाली बुनियादी रणनीति, तकनीकों और प्रक्रियाओं (टीटीपी) को शामिल करता है। लेख MITER ATT&CK मैट्रिक्स की तुलना के साथ समाप्त होता है, एक सार्वजनिक डेटाबेस जो विभिन्न साइबर आपराधिक समूहों द्वारा उपयोग की जाने वाली लक्षित हमले की रणनीति को संकलित करता है।

आरंभिक पहुंच प्राप्त करना

प्रोलॉक ऑपरेटर प्राथमिक समझौते के दो मुख्य वैक्टर का उपयोग करते हैं: QakBot (Qbot) ट्रोजन और कमजोर पासवर्ड वाले असुरक्षित RDP सर्वर।

बाहरी रूप से पहुंच योग्य आरडीपी सर्वर के माध्यम से समझौता रैंसमवेयर ऑपरेटरों के बीच बेहद लोकप्रिय है। आमतौर पर, हमलावर तीसरे पक्ष से एक समझौता किए गए सर्वर तक पहुंच खरीदते हैं, लेकिन इसे समूह के सदस्यों द्वारा स्वयं भी प्राप्त किया जा सकता है।

प्राथमिक समझौते का एक अधिक दिलचस्प वेक्टर QakBot मैलवेयर है। पहले, यह ट्रोजन रैंसमवेयर के एक अन्य परिवार - मेगाकॉर्टेक्स से जुड़ा था। हालाँकि, अब इसका उपयोग प्रोलॉक ऑपरेटरों द्वारा किया जाता है।

आमतौर पर, QakBot को फ़िशिंग अभियानों के माध्यम से वितरित किया जाता है। फ़िशिंग ईमेल में संलग्न Microsoft Office दस्तावेज़ या क्लाउड स्टोरेज सेवा, जैसे Microsoft OneDrive में स्थित फ़ाइल का लिंक हो सकता है।

QakBot को एक अन्य ट्रोजन, इमोटेट के साथ लोड किए जाने के भी ज्ञात मामले हैं, जो रयूक रैंसमवेयर वितरित करने वाले अभियानों में अपनी भागीदारी के लिए व्यापक रूप से जाना जाता है।

क्रियान्वयन

किसी संक्रमित दस्तावेज़ को डाउनलोड करने और खोलने के बाद, उपयोगकर्ता को मैक्रोज़ को चलने की अनुमति देने के लिए कहा जाता है। सफल होने पर, PowerShell लॉन्च किया गया है, जो आपको कमांड और नियंत्रण सर्वर से QakBot पेलोड को डाउनलोड करने और चलाने की अनुमति देगा।

यह ध्यान रखना महत्वपूर्ण है कि यही बात प्रोलॉक पर भी लागू होती है: पेलोड फ़ाइल से निकाला जाता है बीएमपी या जेपीजी और PowerShell का उपयोग करके मेमोरी में लोड किया गया। कुछ मामलों में, PowerShell प्रारंभ करने के लिए एक निर्धारित कार्य का उपयोग किया जाता है।

कार्य अनुसूचक के माध्यम से प्रोलॉक चलाने वाली बैच स्क्रिप्ट:

schtasks.exe /CREATE /XML C:ProgramdataWinMgr.xml /tn WinMgr
schtasks.exe /RUN /tn WinMgr
del C:ProgramdataWinMgr.xml
del C:Programdatarun.bat

सिस्टम में समेकन

यदि आरडीपी सर्वर से समझौता करना और पहुंच प्राप्त करना संभव है, तो नेटवर्क तक पहुंच प्राप्त करने के लिए वैध खातों का उपयोग किया जाता है। QakBot को विभिन्न प्रकार के अनुलग्नक तंत्रों की विशेषता है। अक्सर, यह ट्रोजन रन रजिस्ट्री कुंजी का उपयोग करता है और शेड्यूलर में कार्य बनाता है:

रन रजिस्ट्री कुंजी का उपयोग करके Qakbot को सिस्टम पर पिन करना

कुछ मामलों में, स्टार्टअप फ़ोल्डरों का भी उपयोग किया जाता है: वहां एक शॉर्टकट रखा जाता है जो बूटलोडर को इंगित करता है।

बाईपास सुरक्षा

कमांड और कंट्रोल सर्वर के साथ संचार करके, QakBot समय-समय पर खुद को अपडेट करने की कोशिश करता है, इसलिए पता लगाने से बचने के लिए, मैलवेयर अपने वर्तमान संस्करण को एक नए के साथ बदल सकता है। निष्पादन योग्य फ़ाइलों पर समझौता किए गए या जाली हस्ताक्षर के साथ हस्ताक्षर किए जाते हैं। PowerShell द्वारा लोड किया गया प्रारंभिक पेलोड एक्सटेंशन के साथ C&C सर्वर पर संग्रहीत किया जाता है पीएनजी. इसके अलावा, निष्पादन के बाद इसे एक वैध फ़ाइल से बदल दिया जाता है calc.exe.

इसके अलावा, दुर्भावनापूर्ण गतिविधि को छिपाने के लिए, QakBot प्रक्रियाओं में कोड इंजेक्ट करने की तकनीक का उपयोग करता है Explorer.exe.

जैसा कि उल्लेख किया गया है, प्रोलॉक पेलोड फ़ाइल के अंदर छिपा हुआ है बीएमपी या जेपीजी. इसे सुरक्षा को दरकिनार करने का एक तरीका भी माना जा सकता है।

प्रमाण पत्र प्राप्त करना

QakBot में कीलॉगर कार्यक्षमता है। इसके अलावा, यह अतिरिक्त स्क्रिप्ट डाउनलोड और चला सकता है, उदाहरण के लिए, इनवोक-मिमिकैट्ज़, प्रसिद्ध मिमिकैट्ज़ उपयोगिता का पावरशेल संस्करण। ऐसी स्क्रिप्ट का उपयोग हमलावरों द्वारा क्रेडेंशियल डंप करने के लिए किया जा सकता है।

नेटवर्क खुफिया

विशेषाधिकार प्राप्त खातों तक पहुंच प्राप्त करने के बाद, प्रोलॉक ऑपरेटर नेटवर्क टोही करते हैं, जिसमें पोर्ट स्कैनिंग और सक्रिय निर्देशिका वातावरण का विश्लेषण शामिल हो सकता है। सक्रिय निर्देशिका के बारे में जानकारी इकट्ठा करने के लिए, विभिन्न स्क्रिप्ट के अलावा, हमलावर रैंसमवेयर समूहों के बीच लोकप्रिय एक अन्य टूल AdFind का उपयोग करते हैं।

नेटवर्क प्रमोशन

परंपरागत रूप से, नेटवर्क प्रचार के सबसे लोकप्रिय तरीकों में से एक रिमोट डेस्कटॉप प्रोटोकॉल है। प्रोलॉक कोई अपवाद नहीं था। मेजबानों को लक्षित करने के लिए आरडीपी के माध्यम से दूरस्थ पहुंच प्राप्त करने के लिए हमलावरों के पास अपने शस्त्रागार में स्क्रिप्ट भी हैं।

RDP प्रोटोकॉल के माध्यम से पहुंच प्राप्त करने के लिए BAT स्क्रिप्ट:

reg add "HKLMSystemCurrentControlSetControlTerminal Server" /v "fDenyTSConnections" /t REG_DWORD /d 0 /f
netsh advfirewall firewall set rule group="Remote Desktop" new enable=yes
reg add "HKLMSystemCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp" /v "UserAuthentication" /t REG_DWORD /d 0 /f

स्क्रिप्ट को दूरस्थ रूप से निष्पादित करने के लिए, प्रोलॉक ऑपरेटर एक अन्य लोकप्रिय टूल, Sysinternals Suite से PsExec उपयोगिता का उपयोग करते हैं।

प्रोलॉक WMIC का उपयोग करके होस्ट पर चलता है, जो विंडोज मैनेजमेंट इंस्ट्रुमेंटेशन सबसिस्टम के साथ काम करने के लिए एक कमांड लाइन इंटरफ़ेस है। यह टूल रैंसमवेयर ऑपरेटरों के बीच भी तेजी से लोकप्रिय हो रहा है।

डेटा संग्रह

कई अन्य रैंसमवेयर ऑपरेटरों की तरह, प्रोलॉक का उपयोग करने वाला समूह फिरौती प्राप्त करने की संभावना बढ़ाने के लिए एक समझौता किए गए नेटवर्क से डेटा एकत्र करता है। निष्कासन से पहले, एकत्रित डेटा को 7Zip उपयोगिता का उपयोग करके संग्रहीत किया जाता है।

निष्कासन

डेटा अपलोड करने के लिए, प्रोलॉक ऑपरेटर आरक्लोन का उपयोग करते हैं, जो एक कमांड लाइन टूल है जो विभिन्न क्लाउड स्टोरेज सेवाओं जैसे वनड्राइव, गूगल ड्राइव, मेगा आदि के साथ फ़ाइलों को सिंक्रनाइज़ करने के लिए डिज़ाइन किया गया है। हमलावर हमेशा निष्पादन योग्य फ़ाइल का नाम बदलकर इसे वैध सिस्टम फ़ाइलों की तरह बनाते हैं।

अपने साथियों के विपरीत, प्रोलॉक ऑपरेटरों के पास अभी भी उन कंपनियों से संबंधित चुराए गए डेटा को प्रकाशित करने के लिए अपनी वेबसाइट नहीं है, जिन्होंने फिरौती देने से इनकार कर दिया था।

अंतिम लक्ष्य प्राप्त करना

एक बार जब डेटा बाहर निकल जाता है, तो टीम पूरे एंटरप्राइज़ नेटवर्क में प्रोलॉक तैनात कर देती है। बाइनरी फ़ाइल को एक्सटेंशन वाली फ़ाइल से निकाला जाता है पीएनजी या जेपीजी PowerShell का उपयोग करके मेमोरी में इंजेक्ट किया गया:

सबसे पहले, प्रोलॉक अंतर्निहित सूची में निर्दिष्ट प्रक्रियाओं को समाप्त करता है (दिलचस्प बात यह है कि यह केवल प्रक्रिया नाम के छह अक्षरों का उपयोग करता है, जैसे कि "विंवॉर"), और सुरक्षा से संबंधित सेवाओं सहित सेवाओं को समाप्त करता है, जैसे कि CSFalconService ( क्राउडस्ट्राइक फाल्कन)। कमांड का उपयोग करना नेट बंद करो.

फिर, कई अन्य रैनसमवेयर परिवारों की तरह, हमलावर इसका उपयोग करते हैं vssadmin विंडोज़ छाया प्रतियां हटाने और उनके आकार को सीमित करने के लिए ताकि नई प्रतियां न बनाई जाएं:

vssadmin.exe delete shadows /all /quiet
vssadmin.exe resize shadowstorage /for=C: /on=C: /maxsize=401MB
vssadmin.exe resize shadowstorage /for=C: /on=C: /maxsize=unbounded

प्रोलॉक एक्सटेंशन जोड़ता है .proLock, .pr0लॉक या .proL0ck प्रत्येक एन्क्रिप्टेड फ़ाइल में और फ़ाइल रखता है [फ़ाइलें कैसे पुनर्प्राप्त करें].TXT प्रत्येक फ़ोल्डर को. इस फ़ाइल में फ़ाइलों को डिक्रिप्ट करने के निर्देश शामिल हैं, जिसमें एक साइट का लिंक भी शामिल है जहां पीड़ित को एक अद्वितीय आईडी दर्ज करनी होगी और भुगतान जानकारी प्राप्त करनी होगी:

प्रोलॉक के प्रत्येक उदाहरण में फिरौती की रकम के बारे में जानकारी होती है - इस मामले में, 35 बिटकॉइन, जो लगभग $312 है।

निष्कर्ष

कई रैंसमवेयर ऑपरेटर अपने लक्ष्यों को प्राप्त करने के लिए समान तरीकों का उपयोग करते हैं। साथ ही, कुछ तकनीकें प्रत्येक समूह के लिए अद्वितीय होती हैं। वर्तमान में, अपने अभियानों में रैंसमवेयर का उपयोग करने वाले साइबर अपराधी समूहों की संख्या बढ़ रही है। कुछ मामलों में, एक ही ऑपरेटर रैंसमवेयर के विभिन्न परिवारों का उपयोग करके हमलों में शामिल हो सकता है, इसलिए हम उपयोग की जाने वाली रणनीति, तकनीकों और प्रक्रियाओं में तेजी से ओवरलैप देखेंगे।

MITER ATT&CK मैपिंग के साथ मैपिंग

युक्ति
तकनीक

आरंभिक पहुंच (TA0001)
बाहरी रिमोट सेवाएँ (T1133), स्पीयरफ़िशिंग अटैचमेंट (T1193), स्पीयरफ़िशिंग लिंक (T1192)

निष्पादन (TA0002)
पावरशेल (T1086), स्क्रिप्टिंग (T1064), उपयोगकर्ता निष्पादन (T1204), विंडोज मैनेजमेंट इंस्ट्रुमेंटेशन (T1047)

दृढ़ता (TA0003)
रजिस्ट्री रन कुंजी/स्टार्टअप फ़ोल्डर (T1060), शेड्यूल्ड कार्य (T1053), वैध खाते (T1078)

रक्षा चोरी (TA0005)
कोड साइनिंग (T1116), डिओबफस्केट/डिकोड फ़ाइलें या जानकारी (T1140), सुरक्षा उपकरण अक्षम करना (T1089), फ़ाइल विलोपन (T1107), मास्करेडिंग (T1036), प्रोसेस इंजेक्शन (T1055)

क्रेडेंशियल एक्सेस (TA0006)
क्रेडेंशियल डंपिंग (T1003), ब्रूट फोर्स (T1110), इनपुट कैप्चर (T1056)

डिस्कवरी (TA0007)
अकाउंट डिस्कवरी (T1087), डोमेन ट्रस्ट डिस्कवरी (T1482), फ़ाइल और डायरेक्ट्री डिस्कवरी (T1083), नेटवर्क सर्विस स्कैनिंग (T1046), नेटवर्क शेयर डिस्कवरी (T1135), रिमोट सिस्टम डिस्कवरी (T1018)

पार्श्व आंदोलन (TA0008)
रिमोट डेस्कटॉप प्रोटोकॉल (T1076), रिमोट फाइल कॉपी (T1105), विंडोज एडमिन शेयर्स (T1077)

संग्रह (TA0009)
स्थानीय सिस्टम से डेटा (T1005), नेटवर्क साझा ड्राइव से डेटा (T1039), स्टेज्ड डेटा (T1074)

कमान एवं नियंत्रण (TA0011)
सामान्य रूप से प्रयुक्त पोर्ट (T1043), वेब सेवा (T1102)

निष्कासन (TA0010)
डेटा संपीड़ित (T1002), डेटा को क्लाउड खाते में स्थानांतरित करें (T1537)

प्रभाव (TA0040)
प्रभाव के लिए एन्क्रिप्टेड डेटा (T1486), सिस्टम रिकवरी को रोकता है (T1490)

स्रोत: www.habr.com