एक आश्चर्य के साथ कीलॉगर: इसके डेवलपर के कीलॉगर और डीनॉन का विश्लेषण

हाल के वर्षों में, मोबाइल ट्रोजन सक्रिय रूप से व्यक्तिगत कंप्यूटरों के लिए ट्रोजन की जगह ले रहे हैं, इसलिए अच्छी पुरानी "कारों" के लिए नए मैलवेयर का उद्भव और साइबर अपराधियों द्वारा उनका सक्रिय उपयोग, हालांकि अप्रिय है, फिर भी एक घटना है। हाल ही में, CERT ग्रुप-आईबी के 24/7 सूचना सुरक्षा घटना प्रतिक्रिया केंद्र ने एक असामान्य फ़िशिंग ईमेल का पता लगाया जो एक नया पीसी मैलवेयर छिपा रहा था जो कि कीलॉगर और पासवर्डस्टीलर के कार्यों को जोड़ता है। विश्लेषकों का ध्यान इस ओर आकर्षित हुआ कि स्पाइवेयर एक लोकप्रिय वॉयस मैसेंजर का उपयोग करके उपयोगकर्ता की मशीन पर कैसे आया। इल्या पोमेरेन्त्सेवसीईआरटी ग्रुप-आईबी के एक मैलवेयर विश्लेषण विशेषज्ञ ने बताया कि मैलवेयर कैसे काम करता है, यह खतरनाक क्यों है, और यहां तक ​​कि इसके निर्माता को सुदूर इराक में भी पाया गया।

तो चलिए क्रम से चलते हैं। ऐसे लेटर में अटैचमेंट की आड़ में एक तस्वीर होती थी, जिस पर क्लिक करते ही यूजर साइट पर पहुंच जाता था cdn.discordapp.com, और वहां से एक दुर्भावनापूर्ण फ़ाइल डाउनलोड की गई थी।

निःशुल्क वॉयस और टेक्स्ट मैसेंजर, डिस्कॉर्ड का उपयोग करना काफी अपरंपरागत है। आमतौर पर, अन्य त्वरित संदेशवाहक या सोशल नेटवर्क का उपयोग इन उद्देश्यों के लिए किया जाता है।

अधिक विस्तृत विश्लेषण के दौरान, मैलवेयर के एक परिवार की पहचान की गई। यह मैलवेयर बाज़ार में एक नवागंतुक निकला - 404 कीलॉगर.

कीलॉगर की बिक्री के लिए पहला विज्ञापन पोस्ट किया गया था हैकफोरम 404 अगस्त को "8 कोडर" उपनाम के तहत उपयोगकर्ता द्वारा।

स्टोर डोमेन हाल ही में - 7 सितंबर, 2019 को पंजीकृत किया गया था।

जैसा कि डेवलपर्स वेबसाइट पर कहते हैं 404प्रोजेक्ट्स[.]xyz, 404 एक उपकरण है जो कंपनियों को उनके ग्राहकों की गतिविधियों (उनकी अनुमति से) के बारे में जानने में मदद करने के लिए या उन लोगों के लिए डिज़ाइन किया गया है जो अपने बाइनरी को रिवर्स इंजीनियरिंग से बचाना चाहते हैं। आगे देखते हुए, मान लीजिए कि अंतिम कार्य के साथ 404 निश्चित रूप से सामना नहीं करता.

हमने फ़ाइलों में से एक को उलटने और जांचने का निर्णय लिया कि "सर्वश्रेष्ठ स्मार्ट कीलॉगर" क्या है।

मैलवेयर पारिस्थितिकी तंत्र

लोडर 1 (एटिलाक्रिप्टर)

स्रोत फ़ाइल का उपयोग करके सुरक्षित किया जाता है EaxObfuscator और दो-चरणीय लोडिंग करता है एटप्रोटेक्ट संसाधन अनुभाग से. वायरसटोटल पर पाए गए अन्य नमूनों के विश्लेषण के दौरान, यह स्पष्ट हो गया कि यह चरण स्वयं डेवलपर द्वारा प्रदान नहीं किया गया था, बल्कि उसके ग्राहक द्वारा जोड़ा गया था। बाद में यह निर्धारित किया गया कि यह बूटलोडर AtillaCrypter था।

बूटलोडर 2 (एटप्रोटेक्ट)

वास्तव में, यह लोडर मैलवेयर का एक अभिन्न अंग है और, डेवलपर के इरादे के अनुसार, इसे काउंटरिंग विश्लेषण की कार्यक्षमता लेनी चाहिए।

हालाँकि, व्यवहार में, सुरक्षा तंत्र अत्यंत आदिम हैं, और हमारे सिस्टम इस मैलवेयर का सफलतापूर्वक पता लगाते हैं।

मुख्य मॉड्यूल का उपयोग करके लोड किया जाता है फ्रेंची शेलकोड विभिन्न संस्करण. हालाँकि, हम इस बात से इंकार नहीं करते हैं कि अन्य विकल्पों का उपयोग किया जा सकता था, उदाहरण के लिए, रनपीई.

विन्यास फाइल

सिस्टम में समेकन

सिस्टम में समेकन बूटलोडर द्वारा सुनिश्चित किया जाता है एटप्रोटेक्ट, यदि संबंधित ध्वज सेट है।

• फ़ाइल को पथ के साथ कॉपी किया गया है %AppData%GFqaakZpzwm.exe.
• फ़ाइल बनाई गई है %AppData%GFqaakWinDriv.url, लॉन्चिंग Zpzwm.exe.
• धागे में HKCUSoftwareMicrosoftWindowsCurrentVersionRun एक स्टार्टअप कुंजी बनाई जाती है WinDriv.url.

सी एंड सी के साथ बातचीत

लोडर एटप्रोटेक्ट

यदि उपयुक्त ध्वज मौजूद है, तो मैलवेयर एक छिपी हुई प्रक्रिया लॉन्च कर सकता है आईएक्सप्लोरर और सफल संक्रमण के बारे में सर्वर को सूचित करने के लिए निर्दिष्ट लिंक का पालन करें।

डेटा चुराने वाला

इस्तेमाल की गई विधि के बावजूद, नेटवर्क संचार संसाधन का उपयोग करके पीड़ित का बाहरी आईपी प्राप्त करने से शुरू होता है [http]://checkip[.]dyndns[.]org/.

उपयोगकर्ता-एजेंट: मोज़िला/4.0 (संगत; एमएसआईई 6.0; विंडोज़ एनटी 5.2; .NET CLR1.0.3705;)

संदेश की सामान्य संरचना वही है. हेडर मौजूद
|——- 404 कीलॉगर — {प्रकार} ——-|जहां {प्रकार} प्रसारित की जा रही सूचना के प्रकार से मेल खाता है।
सिस्टम के बारे में जानकारी निम्नलिखित है:

_______ + पीड़ित की जानकारी + _______

आईपी: {बाहरी आईपी}
स्वामी का नाम: {कंप्यूटर का नाम}
ओएस नाम: {ओएस नाम}
ओएस संस्करण: {ओएस संस्करण}
ओएस प्लेटफ़ॉर्म: {प्लेटफ़ॉर्म}
रैम का आकार: {RAM आकार}
______________________________

और अंत में, प्रेषित डेटा।

एसएमटीपी

पत्र का विषय इस प्रकार है: 404 के | {संदेश प्रकार} | ग्राहक का नाम: {उपयोगकर्ता नाम}.

दिलचस्प बात यह है कि ग्राहक को पत्र पहुंचाना 404 कीलॉगर डेवलपर्स के एसएमटीपी सर्वर का उपयोग किया जाता है।

इससे कुछ ग्राहकों, साथ ही एक डेवलपर के ईमेल की पहचान करना संभव हो गया।

FTP

इस पद्धति का उपयोग करते समय, एकत्रित जानकारी एक फ़ाइल में सहेजी जाती है और तुरंत वहां से पढ़ी जाती है।

इस क्रिया के पीछे का तर्क पूरी तरह से स्पष्ट नहीं है, लेकिन यह व्यवहार संबंधी नियम लिखने के लिए एक अतिरिक्त कलाकृति बनाता है।

%HOMEDRIVE%%HOMEPATH%DocumentsA{मनमाना संख्या}.txt

Pastebin

विश्लेषण के समय, इस पद्धति का उपयोग केवल चोरी हुए पासवर्ड को स्थानांतरित करने के लिए किया जाता है। इसके अलावा, इसका उपयोग पहले दो के विकल्प के रूप में नहीं, बल्कि समानांतर में किया जाता है। शर्त स्थिरांक का मान "वावा" के बराबर है। संभवतः यह ग्राहक का नाम है.

एपीआई के माध्यम से https प्रोटोकॉल के माध्यम से इंटरैक्शन होता है pastebin... मूल्य एपीआई_पेस्ट_प्राइवेट है PASTE_असूचीबद्ध, जो ऐसे पृष्ठों की खोज पर रोक लगाता है pastebin.

एन्क्रिप्शन एल्गोरिदम

संसाधनों से फ़ाइल पुनर्प्राप्त करना

पेलोड बूटलोडर संसाधनों में संग्रहीत है एटप्रोटेक्ट बिटमैप छवियों के रूप में. निष्कर्षण कई चरणों में किया जाता है:

• छवि से बाइट्स की एक सरणी निकाली जाती है। प्रत्येक पिक्सेल को बीजीआर क्रम में 3 बाइट्स के अनुक्रम के रूप में माना जाता है। निष्कर्षण के बाद, सरणी के पहले 4 बाइट्स संदेश की लंबाई संग्रहीत करते हैं, बाद वाले संदेश को स्वयं संग्रहीत करते हैं।

  

• कुंजी की गणना की जाती है. ऐसा करने के लिए, MD5 की गणना पासवर्ड के रूप में निर्दिष्ट मान "ZpzwmjMJyfTNiRalKVrcSkxCN" से की जाती है। परिणामी हैश दो बार लिखा जाता है।

  

• ईसीबी मोड में एईएस एल्गोरिदम का उपयोग करके डिक्रिप्शन किया जाता है।

दुर्भावनापूर्ण कार्यक्षमता

डाउनलोडर

बूटलोडर में कार्यान्वित किया गया एटप्रोटेक्ट.

• संपर्क करके [एक्टिवलिंक-रिप्लेस] सर्वर की स्थिति से यह पुष्टि करने का अनुरोध किया जाता है कि वह फ़ाइल परोसने के लिए तैयार है। सर्वर को वापस आना चाहिए "पर".
• लिंक [डाउनलोडलिंक-प्रतिस्थापन] पेलोड डाउनलोड हो गया है.
• साथ फ्रेंचीशेलकोड पेलोड को प्रक्रिया में इंजेक्ट किया जाता है [इंज-रिप्लेस].

डोमेन विश्लेषण के दौरान 404प्रोजेक्ट्स[.]xyz वायरसटोटल पर अतिरिक्त उदाहरणों की पहचान की गई 404 कीलॉगर, साथ ही कई प्रकार के लोडर।

परंपरागत रूप से, उन्हें दो प्रकारों में विभाजित किया गया है:

1. डाउनलोडिंग संसाधन से की जाती है 404प्रोजेक्ट्स[.]xyz.

   
   डेटा बेस64 एन्कोडेड और एईएस एन्क्रिप्टेड है।

2. इस विकल्प में कई चरण होते हैं और इसका उपयोग संभवतः बूटलोडर के साथ संयोजन में किया जाता है एटप्रोटेक्ट.

• पहले चरण में, डेटा लोड किया जाता है pastebin और फ़ंक्शन का उपयोग करके डिकोड किया गया हेक्सटोबाइट.

  

• दूसरे चरण में, लोडिंग का स्रोत है 404प्रोजेक्ट्स[.]xyz. हालाँकि, डीकंप्रेसन और डिकोडिंग फ़ंक्शन डेटास्टीलर में पाए जाने वाले कार्यों के समान हैं। संभवतः मूल रूप से मुख्य मॉड्यूल में बूटलोडर कार्यक्षमता को लागू करने की योजना बनाई गई थी।

  

• इस स्तर पर, पेलोड पहले से ही संपीड़ित रूप में संसाधन मेनिफ़ेस्ट में है। इसी तरह के निष्कर्षण कार्य मुख्य मॉड्यूल में भी पाए गए।

विश्लेषण की गई फ़ाइलों में डाउनलोडर पाए गए njRat, स्पाईगेट और अन्य आरएटी।

Keylogger

लॉग भेजने की अवधि: 30 मिनट.

सभी पात्र समर्थित हैं. विशेष पात्र बच गए हैं. बैकस्पेस और डिलीट कुंजी के लिए प्रोसेसिंग चल रही है। अक्षर संवेदनशील।

क्लिपबोर्डलॉगर

लॉग भेजने की अवधि: 30 मिनट.

बफ़र मतदान अवधि: 0,1 सेकंड.

कार्यान्वित लिंक से बचना।

स्क्रीनलॉगर

लॉग भेजने की अवधि: 60 मिनट.

स्क्रीनशॉट इसमें सहेजे गए हैं %HOMEDRIVE%%HOMEPATH%Documents404k404pic.png.

फोल्डर भेजने के बाद 404k हटा दिया गया है।

पासवर्ड चुराने वाला

Браузеры	मेल क्लाइंट	एफ़टीपी ग्राहक
Chrome	आउटलुक	Filezilla
Firefox	थंडरबर्ड
SeaMonkey	फॉक्समेल
बर्फ ड्रैगन
धुन्धला सा चॉंद
साइबरफॉक्स
Chrome
बहादुर ब्राउज़र
QQब्राउज़र
इरिडियम ब्राउज़र
Xvastब्राउज़र
चेदोट
360 ब्राउज़र
कोमोडोड्रैगन
360क्रोम
सुपरबर्ड
सेंटब्राउज़र
घोस्टब्राउज़र
आयरन ब्राउज़र
क्रोमियम
विवाल्डी
स्लिमजेट ब्राउज़र
ऑर्बिटम
कॉककोक
टॉर्च
यूसी ब्राउज़र
महाकाव्य ब्राउज़र
ब्लिस्क ब्राउज़र
Opera

गतिशील विश्लेषण का प्रतिकार

• यह जाँचना कि क्या किसी प्रक्रिया का विश्लेषण किया जा रहा है

  प्रक्रिया खोज का उपयोग करके किया गया taskmgr, प्रोसेसहैकर, proexp64, प्रॉक्सप, procmon. यदि कम से कम एक पाया जाता है, तो मैलवेयर बाहर निकल जाता है।

• जाँच कर रहा है कि क्या आप आभासी वातावरण में हैं

  प्रक्रिया खोज का उपयोग करके किया गया vmtoolsd, वीजीऑथसेवा, vmacthlp, वीबॉक्ससेवा, वीबॉक्सट्रे. यदि कम से कम एक पाया जाता है, तो मैलवेयर बाहर निकल जाता है।

• 5 सेकंड के लिए सो जाना
• विभिन्न प्रकार के संवाद बक्सों का प्रदर्शन

  कुछ सैंडबॉक्स को बायपास करने के लिए इस्तेमाल किया जा सकता है।

• यूएसी को बायपास करें

  रजिस्ट्री कुंजी को संपादित करके निष्पादित किया गया EnableLUA समूह नीति सेटिंग में.

• वर्तमान फ़ाइल में "हिडन" विशेषता लागू करता है।
• वर्तमान फ़ाइल को हटाने की क्षमता.

निष्क्रिय विशेषताएँ

बूटलोडर और मुख्य मॉड्यूल के विश्लेषण के दौरान, ऐसे फ़ंक्शन पाए गए जो अतिरिक्त कार्यक्षमता के लिए ज़िम्मेदार थे, लेकिन उनका उपयोग कहीं भी नहीं किया जाता है। यह शायद इस तथ्य के कारण है कि मैलवेयर अभी भी विकास में है और जल्द ही कार्यक्षमता का विस्तार किया जाएगा।

लोडर एटप्रोटेक्ट

एक फ़ंक्शन पाया गया जो प्रक्रिया में लोड करने और इंजेक्ट करने के लिए ज़िम्मेदार है msiexec.exe मनमाना मॉड्यूल.

डेटा चुराने वाला

• सिस्टम में समेकन

  

• डीकंप्रेसन और डिक्रिप्शन कार्य

  
  
  संभावना है कि नेटवर्क संचार के दौरान डेटा एन्क्रिप्शन जल्द ही लागू किया जाएगा।

• एंटीवायरस प्रक्रियाओं को समाप्त करना

zlclient	Dvp95_0	Pavsched	avgserv9
egui	ईइंजिन	पाव्व	avgserv9schedapp
bdagent	सुरक्षित	PCCIOMON	avgemc
npfmsg	एस्पवॉच	पीसीसीमेन	ashwebsv
olydbg	एफ-Agnt95	Pccwin98	ashdisp
एन्यूबिस	फाइंडविर	Pcfwallicon	ashmaisv
Wireshark	Fprot	Persfw	ashserv
अवस्तुई	एफ प्रॉट	POP3ट्रैप	aswUpdSv
_एवीपी32	एफ-Prot95	PVIEW95	symwsc
vsmon	एफपी-विन	Rav7	नॉर्टन
एमबीएएम	Frw	राव7विन	नॉर्टन ऑटो-प्रोटेक्ट
चाबियाँ तोड़ने वाला	एफ-स्टॉपडब्ल्यू	बचाव	Norton_av
_एवीपीसीसी	Iamapp	सेफवेब	Nortonav
_एवीपीएम	Iamserv	स्कैन 32	ccsetmgr
एक्विन32	इबमास्न	स्कैन 95	ccevtmgr
चौकी	Ibmavsp	स्कैनपीएम	अवदीन
विरोधी ट्रोजन	आईलोड95	Scrscan	अवसेंटर
AntiVir	Iclodnt	सर्व95	औसत
Apvxdwin	इक्मोन	एसएमसी	बचाव
एक रास्ता	Icsupp95	एसएमसीसेवा	avnotify
ऑटोडाउन	Icsuppnt	फक-फक करना	avscan
Avconsol	मुझे सामना करना है	गूढ़ व्यक्ति	गार्डगुई
अवी ४२32	इओमोन98	स्वीप95	nod32krn
Avgctrl	जेडी	सिम्प्रोक्सीएसवीसी	nod32kui
अक्सर्व	लॉकडाउन2000	Tbscan	क्लैमस्कैन
अवन्त	बाहर देखो	टीसीए	क्लैमट्रे
AVP	लुआल	टीडीएस2-98	ClamWin
एवीपी32	McAfee	टीडीएस2-एनटी	freshclam
एवीपीसीसी	मूलिव	टर्मिनेट	ओलाडिन
Avpdos32	एमपीफ्ट्रे	पशुचिकित्सक95	सिगटूल
एवीपीएम	N32scanw	वेट्रे	w9xपोपेन
Avptc32	NAVAPSVC	Vscan40	बंद करना
एवीपीयूपीडी	NAVAPW32	Vsecomr	cmgrdian
Avsched32	NAVLU32	Vshwin32	alogserv
AVSYNMGR	नवन्त	वी.एस.एस.टी.टी	मैकशील्ड
अव्विन95	NAVRUNR	Webscanx	vshwin32
Avwupd32	नवव32	वेबट्रैप	avconsol
ब्लैकड	नववंत	Wfindv32	vsstat
काली बर्फ	नियोवॉच	क्षेत्र चेतावनी	avsynmgr
Cfiadmin	निसर्व	लॉकडाउन2000	एवीसीएमडी
Cfiaudit	निसुम	बचाव32	avconfig
सीफिनेट	नमैं	ल्यूकोमसर्वर	एलआईसीएमजीआर
Cfinet32	नॉर्मिस्ट	औसत	Sched
पंजा95	NORTON	औसत	प्रीअपड
Claw95cf	नपग्रेड	avgamsvr	एमएसएमपीईएनजी
क्लीनर	एनवीसी95	avgupsvc	एम.एस.ए.एस.सी.यू
क्लीनर3	चौकी	औसत	अवीरा.सिस्ट्रे
डेफ़वॉच	पद्मिन	avgcc32
डीवीपी95	Pavcl	avgserv

• आत्म विनाश
• निर्दिष्ट संसाधन मेनिफेस्ट से डेटा लोड हो रहा है

  

• पथ के साथ फ़ाइल की प्रतिलिपि बनाना %Temp%tmpG[वर्तमान दिनांक और समय मिलीसेकंड में].tmp

  
  दिलचस्प बात यह है कि एजेंटटेस्ला मैलवेयर में एक समान फ़ंक्शन मौजूद है।

• कृमि कार्यक्षमता

  मैलवेयर को हटाने योग्य मीडिया की एक सूची प्राप्त होती है। नाम के साथ मीडिया फ़ाइल सिस्टम के रूट में मैलवेयर की एक प्रति बनाई जाती है Sys.exe. ऑटोरन को एक फ़ाइल का उपयोग करके कार्यान्वित किया जाता है autorun.inf.

  

हमलावर प्रोफ़ाइल

कमांड सेंटर के विश्लेषण के दौरान, डेवलपर का ईमेल और उपनाम स्थापित करना संभव था - रेज़र, उर्फ ​​​​ब्रवा, ब्रवा65, हाईडीडेन पर्सन, 404 कोडर। इसके बाद, हमें यूट्यूब पर एक दिलचस्प वीडियो मिला जो बिल्डर के साथ काम करने को दर्शाता है।

इससे मूल डेवलपर चैनल ढूंढना संभव हो गया।

यह स्पष्ट हो गया कि उन्हें क्रिप्टोग्राफर लिखने का अनुभव था। सोशल नेटवर्क पर पेजों के लिंक के साथ-साथ लेखक का वास्तविक नाम भी है। वह इराक का रहने वाला निकला.

404 कीलॉगर डेवलपर कथित तौर पर ऐसा दिखता है। फोटो उनके निजी फेसबुक प्रोफाइल से।

सीईआरटी ग्रुप-आईबी ने एक नए खतरे की घोषणा की है - 404 कीलॉगर - बहरीन में साइबर खतरों (एसओसी) के लिए XNUMX घंटे की निगरानी और प्रतिक्रिया केंद्र।

स्रोत: www.habr.com