मतदान विफल: आइए एजेंटटेस्ला को साफ पानी के लिए बेनकाब करें। भाग ---- पहला

इस लेख के साथ हम दुर्भावनापूर्ण सॉफ़्टवेयर के विश्लेषण के लिए समर्पित प्रकाशनों की श्रृंखला को पूरा करते हैं। में पहले भाग हमने एक यूरोपीय कंपनी को मेल द्वारा प्राप्त संक्रमित फ़ाइल का विस्तृत विश्लेषण किया और वहां एजेंटटेस्ला स्पाइवेयर की खोज की। में दूसरा भाग मुख्य एजेंटटेस्ला मॉड्यूल के चरण-दर-चरण विश्लेषण के परिणामों का वर्णन किया।

आज सीईआरटी ग्रुप-आईबी में मैलवेयर विश्लेषण के विशेषज्ञ इल्या पोमेरेन्त्सेव मैलवेयर विश्लेषण के पहले चरण के बारे में बात करेंगे - सीईआरटी ग्रुप-आईबी विशेषज्ञों के अभ्यास से तीन मिनी-केसों के उदाहरण का उपयोग करके एजेंटटेस्ला नमूनों की अर्ध-स्वचालित अनपैकिंग।

आमतौर पर, मैलवेयर विश्लेषण में पहला चरण पैकर, क्रिप्टोर, प्रोटेक्टर या लोडर के रूप में सुरक्षा को हटाना है। ज्यादातर मामलों में, इस समस्या को मैलवेयर चलाकर और डंप करके हल किया जा सकता है, लेकिन ऐसी स्थितियां हैं जहां यह विधि उपयुक्त नहीं है। उदाहरण के लिए, यदि मैलवेयर एक एन्क्रिप्टर है, यदि यह अपने मेमोरी क्षेत्रों को डंप होने से बचाता है, यदि कोड में वर्चुअल मशीन डिटेक्शन मैकेनिज्म है, या यदि मैलवेयर शुरू होने के तुरंत बाद रीबूट हो जाता है। ऐसे मामलों में, तथाकथित "अर्ध-स्वचालित" अनपैकिंग का उपयोग किया जाता है, अर्थात, शोधकर्ता के पास प्रक्रिया पर पूर्ण नियंत्रण होता है और वह किसी भी समय हस्तक्षेप कर सकता है। आइए उदाहरण के तौर पर एजेंटटेस्ला परिवार के तीन नमूनों का उपयोग करके इस प्रक्रिया पर विचार करें। यदि आप इसके नेटवर्क एक्सेस को अक्षम कर देते हैं तो यह अपेक्षाकृत हानिरहित मैलवेयर है।

नमूना संख्या 1

स्रोत फ़ाइल एक MS Word दस्तावेज़ है जो भेद्यता CVE-2017-11882 का फायदा उठाती है।

परिणामस्वरूप, पेलोड डाउनलोड और लॉन्च किया जाता है।

प्रक्रिया वृक्ष और व्यवहार मार्करों का विश्लेषण प्रक्रिया में इंजेक्शन दिखाता है RegAsm.exe.

एजेंटटेस्ला की विशेषता वाले व्यवहार चिह्नक हैं।

डाउनलोड किया गया नमूना निष्पादन योग्य है . नेट-फ़ाइल एक रक्षक द्वारा संरक्षित .NET रिएक्टर.

आइए इसे उपयोगिता में खोलें डीएनएसपी x86 और प्रवेश बिंदु पर आगे बढ़ें।

समारोह में जाकर दिनांकसमयऑफ़सेट, हम नए के लिए आरंभीकरण कोड पाएंगे . नेट-मापांक। चलो रखो ब्रेकपाइंट जिस लाइन में हम रुचि रखते हैं उस पर फ़ाइल चलाएँ।

लौटाए गए बफ़र्स में से एक में आप एमजेड हस्ताक्षर देख सकते हैं (0x4D 0x5A). आइए इसे बचाएं.

एक डंप की गई निष्पादन योग्य फ़ाइल एक गतिशील लाइब्रेरी है जो एक लोडर है, अर्थात। संसाधन अनुभाग से पेलोड निकालता है और उसे लॉन्च करता है।

वहीं, जरूरी संसाधन ही डंप में मौजूद नहीं हैं। वे मूल नमूने में हैं.

उपयोगिता डीएनए जासूस इसमें दो अत्यंत उपयोगी कार्यक्षमताएँ हैं जो हमें दो संबंधित फ़ाइलों से शीघ्रता से "फ्रेंकस्टीन" बनाने में मदद करेंगी।

1. पहला आपको एक गतिशील लाइब्रेरी को मूल नमूने में "पेस्ट" करने की अनुमति देता है।

   

2. दूसरा, सम्मिलित डायनामिक लाइब्रेरी की वांछित विधि को कॉल करने के लिए प्रवेश बिंदु पर फ़ंक्शन कोड को फिर से लिखना है।

   

हम अपना "फ्रेंकस्टीन", सेट सहेजते हैं ब्रेकपाइंट डिक्रिप्टेड संसाधनों के साथ एक बफर लौटाने वाली लाइन पर, और पिछले चरण के अनुरूप एक डंप उत्पन्न करता है।

दूसरा डंप लिखा गया है VB.NET एक निष्पादन योग्य फ़ाइल जो हमारे परिचित रक्षक द्वारा संरक्षित होती है कन्फ्यूज़रएक्स.

प्रोटेक्टर को हटाने के बाद, हम पहले लिखे गए YARA नियमों का उपयोग करते हैं और सुनिश्चित करते हैं कि अनपैक्ड मैलवेयर वास्तव में एजेंटटेस्ला है।

नमूना संख्या 2

स्रोत फ़ाइल एक MS Excel दस्तावेज़ है. एक अंतर्निहित मैक्रो दुर्भावनापूर्ण कोड के निष्पादन का कारण बनता है।

परिणामस्वरूप, PowerShell स्क्रिप्ट लॉन्च की गई है।

स्क्रिप्ट C# कोड को डिक्रिप्ट करती है और उस पर नियंत्रण स्थानांतरित करती है। कोड स्वयं एक बूटलोडर है, जैसा कि सैंडबॉक्स रिपोर्ट से भी देखा जा सकता है।

पेलोड एक निष्पादन योग्य है . नेट-फ़ाइल।

में फ़ाइल खोल रहा हूँ डीएनएसपी x86, आप देख सकते हैं कि यह अस्पष्ट है। उपयोगिता का उपयोग करके अस्पष्टता को दूर करना de4dot और विश्लेषण पर वापस लौटें।

कोड की जांच करते समय, आपको निम्नलिखित फ़ंक्शन मिल सकता है:

एन्कोडेड पंक्तियाँ आकर्षक हैं प्रवेश बिंदु и आह्वान. हम रखतें है ब्रेकपाइंट पहली पंक्ति में, बफ़र मान चलाएँ और सहेजें बाइट_0.

डंप फिर से एक एप्लिकेशन है . नेट और संरक्षित कन्फ्यूज़रएक्स.

हम का उपयोग करके अस्पष्टता को दूर करते हैं de4dot और अपलोड करें डीएनए जासूस. फ़ाइल विवरण से हम समझते हैं कि हमारा सामना हुआ है CyaX-शार्प लोडर.

इस लोडर में व्यापक विश्लेषण-विरोधी कार्यक्षमता है।

इस कार्यक्षमता में अंतर्निहित विंडोज सुरक्षा प्रणालियों को बायपास करना, विंडोज डिफेंडर को अक्षम करना, साथ ही सैंडबॉक्स और वर्चुअल मशीन डिटेक्शन तंत्र शामिल हैं। पेलोड को नेटवर्क से लोड करना या संसाधन अनुभाग में संग्रहीत करना संभव है। प्रक्षेपण अपनी ही प्रक्रिया में, अपनी ही प्रक्रिया के डुप्लिकेट में, या प्रक्रियाओं में इंजेक्शन के माध्यम से किया जाता है MSBuild.exe, vbc.exe и regSvcs.exe हमलावर द्वारा चुने गए पैरामीटर के आधार पर।

हालाँकि, हमारे लिए वे इससे कम महत्वपूर्ण हैं एंटीडंप-फ़ंक्शन जो जोड़ता है कन्फ्यूज़रएक्स. इसका स्रोत कोड यहां पाया जा सकता है GitHub.

सुरक्षा को अक्षम करने के लिए, हम अवसर का उपयोग करेंगे डीएनए जासूस, जो आपको संपादित करने की अनुमति देता है IL-कोड।

सहेजें और इंस्टॉल करें ब्रेकपाइंट पेलोड डिक्रिप्शन फ़ंक्शन को कॉल करने की लाइन पर। यह मुख्य वर्ग के कंस्ट्रक्टर में स्थित है।

हम पेलोड लॉन्च और डंप करते हैं। पहले लिखे गए YARA नियमों का उपयोग करके, हम सुनिश्चित करते हैं कि यह AgentTesla है।

नमूना संख्या 3

स्रोत फ़ाइल निष्पादन योग्य है वीबी नेटिव PE32-फ़ाइल।

एन्ट्रॉपी विश्लेषण एन्क्रिप्टेड डेटा के एक बड़े टुकड़े की उपस्थिति को दर्शाता है।

आवेदन पत्र का विश्लेषण करते समय वीबी डिकंपाइलर आप एक अजीब पिक्सेलयुक्त पृष्ठभूमि देख सकते हैं।

एन्ट्रापी ग्राफ bmp-छवि मूल फ़ाइल के एन्ट्रापी ग्राफ़ के समान है, और आकार फ़ाइल आकार का 85% है।

छवि का सामान्य स्वरूप स्टेग्नोग्राफ़ी के उपयोग को इंगित करता है।

आइए प्रक्रिया वृक्ष की उपस्थिति, साथ ही एक इंजेक्शन मार्कर की उपस्थिति पर ध्यान दें।

यह इंगित करता है कि अनपैकिंग प्रगति पर है। विज़ुअल बेसिक लोडर के लिए (उर्फ वीबीक्रिप्ट या वीबीइंजेक्टर) विशिष्ट उपयोग शेलकोड पेलोड आरंभ करने के लिए, साथ ही इंजेक्शन स्वयं निष्पादित करने के लिए।

में विश्लेषण वीबी डिकंपाइलर एक घटना की उपस्थिति दिखाई गई भार फॉर्म पर FegatassocAirballoon2.

के लिए चलते हैं आईडीए प्रो निर्दिष्ट पते पर जाएं और फ़ंक्शन का अध्ययन करें। कोड अत्यधिक अस्पष्ट है. जिस अंश में हमारी रुचि है वह नीचे प्रस्तुत किया गया है।

यहां हस्ताक्षर के लिए प्रक्रिया का पता स्थान स्कैन किया जाता है। यह दृष्टिकोण अत्यंत संदिग्ध है.

सबसे पहले, स्कैनिंग प्रारंभ पता 0x400100. यह मान स्थिर है और आधार स्थानांतरित होने पर समायोजित नहीं किया जाता है। आदर्श ग्रीनहाउस परिस्थितियों में यह अंत का संकेत देगा PE-निष्पादन योग्य फ़ाइल का शीर्षलेख. हालाँकि, डेटाबेस स्थिर नहीं है, इसका मूल्य बदल सकता है, और आवश्यक हस्ताक्षर के वास्तविक पते की खोज में, हालांकि यह एक परिवर्तनीय अतिप्रवाह का कारण नहीं बनेगा, इसमें बहुत लंबा समय लग सकता है।

दूसरा, हस्ताक्षर का अर्थ iWGK. मुझे लगता है कि यह स्पष्ट है कि विशिष्टता की गारंटी के लिए 4 बाइट्स बहुत छोटी हैं। और यदि आप पहले बिंदु को ध्यान में रखते हैं, तो गलती होने की संभावना काफी अधिक है।

वास्तव में, आवश्यक टुकड़ा पहले पाए गए टुकड़े के अंत से जुड़ा हुआ है bmp-ऑफसेट द्वारा चित्र 0xA1D0D.

क्रियान्वयन शेलकोड दो चरणों में किया गया। पहला मुख्य भाग को समझता है। इस मामले में, कुंजी पाशविक बल द्वारा निर्धारित की जाती है।

डिक्रिप्टेड को डंप करें शेलकोड और रेखाओं को देखो.

सबसे पहले, अब हम चाइल्ड प्रोसेस बनाने के फ़ंक्शन को जानते हैं: CreateProcessInternalW.

दूसरे, हम सिस्टम में निर्धारण के तंत्र से अवगत हुए।

आइए मूल प्रक्रिया पर वापस जाएँ। चलो रखो ब्रेकपाइंट पर CreateProcessInternalW और निष्पादन जारी रखें. आगे हम कनेक्शन देखते हैं NtGetContextThread/NtSetContextThread, जो निष्पादन प्रारंभ पते को पते में बदल देता है शेलकोड.

हम डिबगर के साथ बनाई गई प्रक्रिया से जुड़ते हैं और ईवेंट को सक्रिय करते हैं लाइब्रेरीयू लोड/अनलोड पर निलंबित करें, प्रक्रिया फिर से शुरू करें और लोड होने की प्रतीक्षा करें . नेट-पुस्तकालय.

आगे उपयोग करना प्रोसेसहैकर अनपैक्ड युक्त डंप क्षेत्र . नेट-आवेदन पत्र।

हम सभी प्रक्रियाओं को रोकते हैं और सिस्टम में एम्बेडेड मैलवेयर की कॉपी को हटा देते हैं।

डंप की गई फ़ाइल एक रक्षक द्वारा सुरक्षित होती है .NET रिएक्टर, जिसे एक उपयोगिता का उपयोग करके आसानी से हटाया जा सकता है de4dot.

पहले लिखे गए YARA नियमों का उपयोग करके, हम यह सुनिश्चित करते हैं कि यह AgentTesla है।

संक्षेप करने के लिए

इसलिए, हमने एक उदाहरण के रूप में तीन मिनी-केस का उपयोग करके अर्ध-स्वचालित नमूना अनपैकिंग की प्रक्रिया का विस्तार से प्रदर्शन किया, और एक पूर्ण मामले के आधार पर मैलवेयर का विश्लेषण भी किया, जिससे पता चला कि अध्ययन के तहत नमूना एजेंटटेस्ला है, इसकी कार्यक्षमता स्थापित की गई है और ए समझौते के संकेतकों की पूरी सूची।

हमारे द्वारा किए गए दुर्भावनापूर्ण वस्तु के विश्लेषण के लिए बहुत समय और प्रयास की आवश्यकता होती है, और यह कार्य कंपनी में एक विशेष कर्मचारी द्वारा किया जाना चाहिए, लेकिन सभी कंपनियां एक विश्लेषक को नियुक्त करने के लिए तैयार नहीं हैं।

कंप्यूटर फोरेंसिक और दुर्भावनापूर्ण कोड विश्लेषण की ग्रुप-आईबी प्रयोगशाला द्वारा प्रदान की जाने वाली सेवाओं में से एक साइबर घटनाओं पर प्रतिक्रिया है। और ताकि ग्राहक साइबर हमले के बीच दस्तावेजों को मंजूरी देने और उन पर चर्चा करने में समय बर्बाद न करें, ग्रुप-आईबी लॉन्च किया गया घटना प्रतिक्रिया अनुचर, एक पूर्व-सदस्यता घटना प्रतिक्रिया सेवा जिसमें मैलवेयर विश्लेषण चरण भी शामिल है। इसके बारे में अधिक जानकारी मिल सकती है यहां.

यदि आप एक बार फिर से अध्ययन करना चाहते हैं कि एजेंटटेस्ला नमूने कैसे अनपैक किए जाते हैं और देखें कि सीईआरटी ग्रुप-आईबी विशेषज्ञ यह कैसे करता है, तो आप इस विषय पर वेबिनार रिकॉर्डिंग डाउनलोड कर सकते हैं यहां.

स्रोत: www.habr.com