ड्यूक - दुर्भावनापूर्ण घोंसला बनाने वाली गुड़िया

परिचय

1 सितंबर, 2011 को ~DN1.tmp नाम की एक फ़ाइल हंगरी से वायरसटोटल वेबसाइट पर भेजी गई थी। उस समय, फ़ाइल को केवल दो एंटीवायरस इंजन - BitDefender और AVIRA द्वारा दुर्भावनापूर्ण पाया गया था। इस तरह डुकू की कहानी शुरू हुई। आगे देखते हुए, यह कहा जाना चाहिए कि ड्यूक मैलवेयर परिवार का नाम इस फ़ाइल के नाम पर रखा गया था। हालाँकि, यह फ़ाइल कीलॉगर फ़ंक्शंस के साथ एक पूरी तरह से स्वतंत्र स्पाइवेयर मॉड्यूल है, संभवतः, एक दुर्भावनापूर्ण डाउनलोडर-ड्रॉपर का उपयोग करके स्थापित किया गया है, और इसे केवल इसके संचालन के दौरान ड्यूक मैलवेयर द्वारा लोड किए गए "पेलोड" के रूप में माना जा सकता है, न कि एक घटक के रूप में ( मॉड्यूल) डुकू का। ड्यूक घटकों में से एक को 9 सितंबर को ही वायरसटोटल सेवा में भेजा गया था। इसकी विशिष्ट विशेषता सी-मीडिया द्वारा डिजिटल रूप से हस्ताक्षरित ड्राइवर है। कुछ विशेषज्ञों ने तुरंत मैलवेयर के एक अन्य प्रसिद्ध उदाहरण - स्टक्सनेट के साथ समानताएं बनाना शुरू कर दिया, जो हस्ताक्षरित ड्राइवरों का भी उपयोग करता था। दुनिया भर में विभिन्न एंटीवायरस कंपनियों द्वारा पाए गए ड्यूक-संक्रमित कंप्यूटरों की कुल संख्या दर्जनों में है। कई कंपनियों का दावा है कि ईरान फिर से मुख्य लक्ष्य है, लेकिन संक्रमण के भौगोलिक वितरण को देखते हुए, यह निश्चित रूप से नहीं कहा जा सकता है।

इस मामले में, आपको आत्मविश्वास से किसी अन्य कंपनी के बारे में नए ढंग से बोलना चाहिए APT (उच्च दर का लगातार खतरा)।

सिस्टम कार्यान्वयन प्रक्रिया

हंगेरियन संगठन CrySyS (बुडापेस्ट यूनिवर्सिटी ऑफ टेक्नोलॉजी एंड इकोनॉमिक्स में हंगेरियन लेबोरेटरी ऑफ क्रिप्टोग्राफी एंड सिस्टम सिक्योरिटी) के विशेषज्ञों द्वारा की गई जांच से उस इंस्टॉलर (ड्रॉपर) की खोज हुई जिसके माध्यम से सिस्टम संक्रमित हुआ था। यह एक Microsoft Word फ़ाइल थी जिसमें win32k.sys ड्राइवर भेद्यता (MS11-087, जिसे Microsoft द्वारा 13 नवंबर, 2011 को वर्णित किया गया था) का शोषण किया गया था, जो TTF फ़ॉन्ट रेंडरिंग तंत्र के लिए जिम्मेदार है। शोषण का शेलकोड दस्तावेज़ में एम्बेडेड 'डेक्सटर रेगुलर' नामक फ़ॉन्ट का उपयोग करता है, जिसमें शोटाइम इंक को फ़ॉन्ट के निर्माता के रूप में सूचीबद्ध किया गया है। जैसा कि आप देख सकते हैं, ड्यूक के निर्माता हास्य की भावना के लिए अजनबी नहीं हैं: डेक्सटर एक सीरियल किलर है, जो शोटाइम द्वारा निर्मित इसी नाम की टेलीविजन श्रृंखला का नायक है। डेक्सटर केवल (यदि संभव हो तो) अपराधियों को मारता है, यानी वह वैधता के नाम पर कानून तोड़ता है। संभवतः, इस तरह से ड्यूक डेवलपर्स की विडंबना है कि वे अच्छे उद्देश्यों के लिए अवैध गतिविधियों में लगे हुए हैं। ईमेल भेजना जानबूझकर किया गया था। ट्रैकिंग को कठिन बनाने के लिए शिपमेंट में संभवतः मध्यस्थ के रूप में समझौता किए गए (हैक किए गए) कंप्यूटरों का उपयोग किया गया था।
इस प्रकार Word दस्तावेज़ में निम्नलिखित घटक शामिल थे:

• पाठ्य सामग्री;
• अंतर्निर्मित फ़ॉन्ट;
• शेलकोड का शोषण करें;
• चालक;
• इंस्टॉलर (डीएलएल लाइब्रेरी)।

सफल होने पर, शोषण शेलकोड ने निम्नलिखित ऑपरेशन किए (कर्नेल मोड में):

• पुन: संक्रमण के लिए एक जांच की गई थी; इसके लिए, रजिस्ट्री में 'HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionInternet SettingsZones4' पते पर 'CF1D' कुंजी की उपस्थिति की जांच की गई थी; यदि यह सही था, तो शेलकोड ने अपना निष्पादन पूरा कर लिया;
• दो फ़ाइलें डिक्रिप्ट की गईं - ड्राइवर (sys) और इंस्टॉलर (dll);
• ड्राइवर को Services.exe प्रक्रिया में इंजेक्ट किया गया और इंस्टॉलर लॉन्च किया गया;
• अंत में, शेलकोड ने मेमोरी में शून्य के साथ खुद को मिटा दिया।

इस तथ्य के कारण कि win32k.sys को विशेषाधिकार प्राप्त उपयोगकर्ता 'सिस्टम' के तहत निष्पादित किया जाता है, ड्यूक डेवलपर्स ने अनधिकृत लॉन्च और अधिकारों के विस्तार (सीमित अधिकारों वाले उपयोगकर्ता खाते के तहत चलने) दोनों की समस्या को खूबसूरती से हल किया है।
नियंत्रण प्राप्त करने के बाद, इंस्टॉलर ने इसमें मौजूद डेटा के तीन ब्लॉक को मेमोरी में डिक्रिप्ट किया, जिसमें शामिल हैं:

• हस्ताक्षरित ड्राइवर (sys);
• मुख्य मॉड्यूल (डीएलएल);
• इंस्टॉलर कॉन्फ़िगरेशन डेटा (pnf)।

इंस्टॉलर कॉन्फ़िगरेशन डेटा में एक दिनांक सीमा निर्दिष्ट की गई थी (दो टाइमस्टैम्प के रूप में - प्रारंभ और अंत)। इंस्टॉलर ने जांच की कि क्या वर्तमान तिथि इसमें शामिल थी, और यदि नहीं, तो उसने अपना निष्पादन पूरा कर लिया। इसके अलावा इंस्टॉलर कॉन्फ़िगरेशन डेटा में वे नाम थे जिनके तहत ड्राइवर और मुख्य मॉड्यूल सहेजे गए थे। इस मामले में, मुख्य मॉड्यूल को एन्क्रिप्टेड रूप में डिस्क पर सहेजा गया था।

डुकू को ऑटोस्टार्ट करने के लिए, ड्राइवर फ़ाइल का उपयोग करके एक सेवा बनाई गई थी जो रजिस्ट्री में संग्रहीत कुंजियों का उपयोग करके मुख्य मॉड्यूल को तुरंत डिक्रिप्ट करती थी। मुख्य मॉड्यूल में अपना स्वयं का कॉन्फ़िगरेशन डेटा ब्लॉक होता है। जब पहली बार लॉन्च किया गया था, तो इसे डिक्रिप्ट किया गया था, इंस्टॉलेशन तिथि इसमें दर्ज की गई थी, जिसके बाद इसे फिर से एन्क्रिप्ट किया गया था और मुख्य मॉड्यूल द्वारा सहेजा गया था। इस प्रकार, प्रभावित सिस्टम में, सफल इंस्टॉलेशन पर, तीन फ़ाइलें सहेजी गईं - ड्राइवर, मुख्य मॉड्यूल और इसकी कॉन्फ़िगरेशन डेटा फ़ाइल, जबकि अंतिम दो फ़ाइलें एन्क्रिप्टेड रूप में डिस्क पर संग्रहीत की गईं। सभी डिकोडिंग प्रक्रियाएँ केवल मेमोरी में की गईं। इस जटिल स्थापना प्रक्रिया का उपयोग एंटीवायरस सॉफ़्टवेयर द्वारा पता लगाने की संभावना को कम करने के लिए किया गया था।

मुख्य मॉड्यूल

मुख्य मॉड्यूल (संसाधन 302), के अनुसार सूचना कंपनी कैस्परस्की लैब, शुद्ध सी में MSVC 2008 का उपयोग करके लिखी गई है, लेकिन ऑब्जेक्ट-ओरिएंटेड दृष्टिकोण का उपयोग करके। दुर्भावनापूर्ण कोड विकसित करते समय यह दृष्टिकोण अस्वाभाविक है। एक नियम के रूप में, ऐसा कोड आकार को कम करने और C++ में निहित अंतर्निहित कॉल से छुटकारा पाने के लिए C में लिखा जाता है। यहाँ एक निश्चित सहजीवन है। साथ ही, एक इवेंट-संचालित आर्किटेक्चर का उपयोग किया गया था। कैस्परस्की लैब के कर्मचारी इस सिद्धांत के प्रति इच्छुक हैं कि मुख्य मॉड्यूल प्री-प्रोसेसर ऐड-ऑन का उपयोग करके लिखा गया था जो आपको ऑब्जेक्ट शैली में सी कोड लिखने की अनुमति देता है।
मुख्य मॉड्यूल ऑपरेटरों से कमांड प्राप्त करने की प्रक्रिया के लिए जिम्मेदार है। ड्यूक इंटरेक्शन के कई तरीके प्रदान करता है: HTTP और HTTPS प्रोटोकॉल का उपयोग करना, साथ ही नामित पाइप का उपयोग करना। HTTP(S) के लिए, कमांड सेंटरों के डोमेन नाम निर्दिष्ट किए गए थे, और प्रॉक्सी सर्वर के माध्यम से काम करने की क्षमता प्रदान की गई थी - उनके लिए एक उपयोगकर्ता नाम और पासवर्ड निर्दिष्ट किया गया था। चैनल के लिए आईपी पता और उसका नाम निर्दिष्ट किया गया है। निर्दिष्ट डेटा मुख्य मॉड्यूल कॉन्फ़िगरेशन डेटा ब्लॉक (एन्क्रिप्टेड रूप में) में संग्रहीत किया जाता है।
नामित पाइपों का उपयोग करने के लिए, हमने अपना स्वयं का RPC सर्वर कार्यान्वयन लॉन्च किया। यह निम्नलिखित सात कार्यों का समर्थन करता है:

• स्थापित संस्करण लौटाएँ;
• निर्दिष्ट प्रक्रिया में एक डीएलएल इंजेक्ट करें और निर्दिष्ट फ़ंक्शन को कॉल करें;
• डीएलएल लोड करें;
• CreateProcess() को कॉल करके एक प्रक्रिया शुरू करें;
• किसी दी गई फ़ाइल की सामग्री पढ़ें;
• निर्दिष्ट फ़ाइल में डेटा लिखें;
• निर्दिष्ट फ़ाइल हटाएँ.

ड्यूक-संक्रमित कंप्यूटरों के बीच अद्यतन मॉड्यूल और कॉन्फ़िगरेशन डेटा वितरित करने के लिए नामित पाइपों का उपयोग स्थानीय नेटवर्क के भीतर किया जा सकता है। इसके अलावा, ड्यूक अन्य संक्रमित कंप्यूटरों के लिए प्रॉक्सी सर्वर के रूप में कार्य कर सकता है (जिनके पास गेटवे पर फ़ायरवॉल सेटिंग्स के कारण इंटरनेट तक पहुंच नहीं थी)। डुकू के कुछ संस्करणों में आरपीसी कार्यक्षमता नहीं थी।

ज्ञात "पेलोड"

सिमेंटेक ने ड्यूक नियंत्रण केंद्र से कमांड के तहत डाउनलोड किए गए कम से कम चार प्रकार के पेलोड की खोज की।
इसके अलावा, उनमें से केवल एक ही निवासी था और एक निष्पादन योग्य फ़ाइल (exe) के रूप में संकलित किया गया था, जिसे डिस्क में सहेजा गया था। शेष तीन को डीएलएल लाइब्रेरी के रूप में लागू किया गया था। उन्हें गतिशील रूप से लोड किया गया और डिस्क पर सहेजे बिना मेमोरी में निष्पादित किया गया।

निवासी "पेलोड" एक जासूसी मॉड्यूल था (उल्लंघन करनेवाला) कीलॉगर फ़ंक्शंस के साथ। इसे वायरसटोटल को भेजने से ही डुकू अनुसंधान पर काम शुरू हुआ। मुख्य जासूसी कार्यक्षमता संसाधन में थी, जिसके पहले 8 किलोबाइट में आकाशगंगा एनजीसी 6745 (छलावरण के लिए) की तस्वीर का हिस्सा था। यहां यह याद रखना चाहिए कि अप्रैल 2012 में, कुछ मीडिया ने जानकारी प्रकाशित की थी (http://www.mehrnews.com/en/newsdetail.aspx?NewsID=1297506) कि ईरान कुछ दुर्भावनापूर्ण सॉफ़्टवेयर "स्टार्स" के संपर्क में था, जबकि विवरण घटना का खुलासा नहीं हुआ. शायद यह डुकू "पेलोड" का एक ऐसा नमूना था जिसे ईरान में खोजा गया था, इसलिए इसका नाम "स्टार्स" रखा गया।
जासूस मॉड्यूल ने निम्नलिखित जानकारी एकत्र की:

• चल रही प्रक्रियाओं की सूची, वर्तमान उपयोगकर्ता और डोमेन के बारे में जानकारी;
• नेटवर्क ड्राइव सहित लॉजिकल ड्राइव की सूची;
• स्क्रीनशॉट;
• नेटवर्क इंटरफ़ेस पते, रूटिंग टेबल;
• कीबोर्ड कीस्ट्रोक्स की लॉग फ़ाइल;
• खुली एप्लिकेशन विंडो के नाम;
• उपलब्ध नेटवर्क संसाधनों की सूची (साझाकरण संसाधन);
• हटाने योग्य डिस्क सहित सभी डिस्क पर फ़ाइलों की एक पूरी सूची;
• "नेटवर्क वातावरण" में कंप्यूटरों की एक सूची।

एक अन्य जासूस मॉड्यूल (उल्लंघन करनेवाला) जो पहले ही वर्णित किया गया था उसका एक रूपांतर था, लेकिन इसे एक डीएलएल लाइब्रेरी के रूप में संकलित किया गया था; एक कीलॉगर के कार्य, फ़ाइलों की एक सूची संकलित करना और डोमेन में शामिल कंप्यूटरों को सूचीबद्ध करना इसमें से हटा दिया गया था।
अगला मॉड्यूल (टोह) एकत्रित सिस्टम जानकारी:

• क्या कंप्यूटर किसी डोमेन का हिस्सा है;
• विंडोज़ सिस्टम निर्देशिकाओं के पथ;
• ऑपरेटिंग सिस्टम संस्करण;
• वर्तमान उपयोगकर्ता नाम;
• नेटवर्क एडेप्टर की सूची;
• प्रणाली और स्थानीय समय, साथ ही समय क्षेत्र।

अंतिम मॉड्यूल (जीवनकाल विस्तारक) कार्य पूरा होने तक शेष दिनों की संख्या के मूल्य (मुख्य मॉड्यूल कॉन्फ़िगरेशन डेटा फ़ाइल में संग्रहीत) को बढ़ाने के लिए एक फ़ंक्शन लागू किया। डिफ़ॉल्ट रूप से, यह मान डुकू संशोधन के आधार पर 30 या 36 दिनों के लिए सेट किया गया था, और प्रत्येक दिन एक की कमी की गई थी।

कमांड सेंटर

20 अक्टूबर, 2011 को (खोज के बारे में जानकारी प्रसारित होने के तीन दिन बाद), ड्यूक ऑपरेटरों ने कमांड सेंटरों के कामकाज के निशान को नष्ट करने की एक प्रक्रिया को अंजाम दिया। कमांड सेंटर दुनिया भर में हैक किए गए सर्वरों पर स्थित थे - वियतनाम, भारत, जर्मनी, सिंगापुर, स्विट्जरलैंड, ग्रेट ब्रिटेन, हॉलैंड और दक्षिण कोरिया में। दिलचस्प बात यह है कि सभी पहचाने गए सर्वर CentOS संस्करण 5.2, 5.4 या 5.5 चला रहे थे। OSes 32-बिट और 64-बिट दोनों थे। इस तथ्य के बावजूद कि कमांड सेंटरों के संचालन से संबंधित सभी फाइलें हटा दी गईं, कैस्परस्की लैब विशेषज्ञ स्लैक स्पेस से लॉग फाइलों से कुछ जानकारी पुनर्प्राप्त करने में कामयाब रहे। सबसे दिलचस्प तथ्य यह है कि सर्वर पर हमलावरों ने हमेशा डिफ़ॉल्ट ओपनएसएसएच 4.3 पैकेज को संस्करण 5.8 से बदल दिया है। यह संकेत दे सकता है कि सर्वर को हैक करने के लिए ओपनएसएसएच 4.3 में एक अज्ञात भेद्यता का उपयोग किया गया था। सभी प्रणालियों का उपयोग कमांड सेंटर के रूप में नहीं किया गया था। कुछ, पोर्ट 80 और 443 के लिए ट्रैफ़िक को पुनर्निर्देशित करने का प्रयास करते समय एसएसएचडी लॉग में त्रुटियों को देखते हुए, अंतिम कमांड केंद्रों से कनेक्ट करने के लिए प्रॉक्सी सर्वर के रूप में उपयोग किया गया था।

दिनांक और मॉड्यूल

अप्रैल 2011 में वितरित एक वर्ड दस्तावेज़, जिसकी कैस्परस्की लैब द्वारा जांच की गई थी, में 31 अगस्त, 2007 की संकलन तिथि के साथ एक इंस्टॉलर डाउनलोड ड्राइवर शामिल था। CrySys प्रयोगशालाओं में पाए गए दस्तावेज़ में एक समान ड्राइवर (आकार - 20608 बाइट्स, MD5 - EEDCA45BD613E0D9A9E5C69122007F17) की संकलन तिथि 21 फरवरी, 2008 थी। इसके अलावा, कैस्परस्की लैब विशेषज्ञों ने 19968 जनवरी, 5 की तारीख के साथ ऑटोरन ड्राइवर rndismpc.sys (आकार - 9 बाइट्स, MD6 - 10AEC5E9C05EE93221544C783BED20C2008E) पाया। 2009 अंकित कोई घटक नहीं मिला। ड्यूक के अलग-अलग हिस्सों के संकलन के टाइमस्टैम्प के आधार पर, इसका विकास 2007 की शुरुआत में हो सकता है। इसकी प्रारंभिक अभिव्यक्ति ~DO (संभवतः स्पाइवेयर मॉड्यूल में से एक द्वारा बनाई गई) प्रकार की अस्थायी फ़ाइलों का पता लगाने से जुड़ी है, जिसकी निर्माण तिथि 28 नवंबर, 2008 है (लेख "ड्यूक एंड स्टक्सनेट: दिलचस्प घटनाओं की एक समयरेखा")। मार्च 23 में सिमेंटेक द्वारा खोजे गए इंस्टॉलर डाउनलोड ड्राइवर में डुकू से जुड़ी सबसे हालिया तारीख 2012 फरवरी, 2012 थी।

उपयोग किए गए सूचना स्रोत:

लेखों की श्रृंखला कास्परस्की लैब से ड्यूक के बारे में;
सिमेंटेक विश्लेषणात्मक रिपोर्ट "W32.Duqua अगले स्टक्सनेट का अग्रदूत", संस्करण 1.4, नवंबर 2011 (पीडीएफ)।

स्रोत: www.habr.com