ആശ്ചര്യത്തോടെ കീലോഗർ: കീലോഗറിന്റെയും അതിന്റെ ഡെവലപ്പറുടെ ഡീനന്റെയും വിശകലനം

സമീപ വർഷങ്ങളിൽ, മൊബൈൽ ട്രോജനുകൾ പേഴ്‌സണൽ കമ്പ്യൂട്ടറുകൾക്കായി ട്രോജനുകളെ സജീവമായി മാറ്റിസ്ഥാപിക്കുന്നു, അതിനാൽ നല്ല പഴയ "കാറുകൾ"ക്കായി പുതിയ ക്ഷുദ്രവെയറിൻ്റെ ആവിർഭാവവും സൈബർ കുറ്റവാളികളുടെ സജീവ ഉപയോഗവും അസുഖകരമാണെങ്കിലും, ഇപ്പോഴും ഒരു സംഭവമാണ്. അടുത്തിടെ, CERT Group-IB-യുടെ 24/7 വിവര സുരക്ഷാ സംഭവ പ്രതികരണ കേന്ദ്രം, Keylogger-ൻ്റെയും PasswordStealer-ൻ്റെയും പ്രവർത്തനങ്ങൾ സംയോജിപ്പിക്കുന്ന ഒരു പുതിയ PC ക്ഷുദ്രവെയർ മറയ്ക്കുന്ന അസാധാരണമായ ഒരു ഫിഷിംഗ് ഇമെയിൽ കണ്ടെത്തി. ഒരു ജനപ്രിയ വോയ്‌സ് മെസഞ്ചർ ഉപയോഗിച്ച് സ്‌പൈവെയർ എങ്ങനെ ഉപയോക്താവിൻ്റെ മെഷീനിൽ എത്തിയെന്നതിലേക്ക് അനലിസ്റ്റുകളുടെ ശ്രദ്ധ ആകർഷിക്കപ്പെട്ടു. ഇല്യ പോമറാൻസെവ്, CERT Group-IB-യിലെ ക്ഷുദ്രവെയർ വിശകലന വിദഗ്ധൻ, ക്ഷുദ്രവെയർ എങ്ങനെ പ്രവർത്തിക്കുന്നുവെന്നും അത് അപകടകരമാകുന്നത് എന്തുകൊണ്ടാണെന്നും വിദൂര ഇറാഖിൽ നിന്ന് അതിൻ്റെ സ്രഷ്ടാവിനെ കണ്ടെത്തി.

അതിനാൽ, നമുക്ക് ക്രമത്തിൽ പോകാം. ഒരു അറ്റാച്ച്‌മെൻ്റിൻ്റെ മറവിൽ, അത്തരമൊരു കത്തിൽ ഒരു ചിത്രം അടങ്ങിയിരിക്കുന്നു, അതിൽ ക്ലിക്ക് ചെയ്യുമ്പോൾ ഉപയോക്താവിനെ സൈറ്റിലേക്ക് കൊണ്ടുപോയി cdn.discordapp.com, കൂടാതെ ഒരു ക്ഷുദ്ര ഫയൽ അവിടെ നിന്ന് ഡൗൺലോഡ് ചെയ്തു.

ഒരു സൗജന്യ വോയ്‌സ്, ടെക്‌സ്‌റ്റ് മെസഞ്ചറായ ഡിസ്‌കോർഡ് ഉപയോഗിക്കുന്നത് തികച്ചും പാരമ്പര്യേതരമാണ്. സാധാരണഗതിയിൽ, മറ്റ് തൽക്ഷണ സന്ദേശവാഹകരോ സോഷ്യൽ നെറ്റ്‌വർക്കുകളോ ഈ ആവശ്യങ്ങൾക്കായി ഉപയോഗിക്കുന്നു.

കൂടുതൽ വിശദമായ വിശകലനത്തിൽ, ക്ഷുദ്രവെയറിൻ്റെ ഒരു കുടുംബത്തെ തിരിച്ചറിഞ്ഞു. ഇത് ക്ഷുദ്രവെയർ വിപണിയിലെ ഒരു പുതുമുഖമായി മാറി - 404 കീലോഗർ.

ഒരു കീലോഗർ വിൽക്കുന്നതിനുള്ള ആദ്യ പരസ്യം പോസ്റ്റ് ചെയ്തു ഹാക്ക്ഫോറങ്ങൾ "404 കോഡർ" എന്ന വിളിപ്പേരിൽ ഉപയോക്താവ് ഓഗസ്റ്റ് 8-ന്.

സ്റ്റോർ ഡൊമെയ്ൻ അടുത്തിടെ രജിസ്റ്റർ ചെയ്തു - 7 സെപ്റ്റംബർ 2019 ന്.

വെബ്‌സൈറ്റിൽ ഡവലപ്പർമാർ പറയുന്നതുപോലെ 404 പദ്ധതികൾ[.]xyz, 404 കമ്പനികൾ അവരുടെ ഉപഭോക്താക്കളുടെ പ്രവർത്തനങ്ങളെക്കുറിച്ച് (അവരുടെ അനുമതിയോടെ) അല്ലെങ്കിൽ റിവേഴ്‌സ് എഞ്ചിനീയറിംഗിൽ നിന്ന് അവരുടെ ബൈനറി പരിരക്ഷിക്കാൻ ആഗ്രഹിക്കുന്നവർക്ക് വേണ്ടി രൂപകൽപ്പന ചെയ്‌തിരിക്കുന്ന ഒരു ഉപകരണമാണ്. മുന്നോട്ട് നോക്കുമ്പോൾ, അവസാന ടാസ്ക്കോടെ അത് പറയാം 404 തീർച്ചയായും നേരിടില്ല.

ഫയലുകളിലൊന്ന് റിവേഴ്‌സ് ചെയ്യാനും "ബെസ്റ്റ് സ്‌മാർട്ട് കീലോഗർ" എന്താണെന്ന് പരിശോധിക്കാനും ഞങ്ങൾ തീരുമാനിച്ചു.

ക്ഷുദ്രവെയർ ഇക്കോസിസ്റ്റം

ലോഡർ 1 (AtillaCrypter)

ഉറവിട ഫയൽ ഉപയോഗിച്ച് പരിരക്ഷിച്ചിരിക്കുന്നു എക്‌സ്ഓബ്ഫസ്‌കേറ്റർ കൂടാതെ രണ്ട്-ഘട്ട ലോഡിംഗ് നടത്തുന്നു സംരക്ഷിക്കുക വിഭവങ്ങൾ വിഭാഗത്തിൽ നിന്ന്. വൈറസ് ടോട്ടലിൽ കണ്ടെത്തിയ മറ്റ് സാമ്പിളുകളുടെ വിശകലനത്തിൽ, ഈ ഘട്ടം ഡെവലപ്പർ തന്നെ നൽകിയതല്ല, മറിച്ച് അവൻ്റെ ക്ലയൻ്റ് ചേർത്തതാണെന്ന് വ്യക്തമായി. ഈ ബൂട്ട്ലോഡർ AtillaCrypter ആണെന്ന് പിന്നീട് കണ്ടെത്തി.

ബൂട്ട്ലോഡർ 2 (AtProtect)

വാസ്തവത്തിൽ, ഈ ലോഡർ ക്ഷുദ്രവെയറിൻ്റെ അവിഭാജ്യ ഘടകമാണ്, ഡെവലപ്പറുടെ ഉദ്ദേശ്യമനുസരിച്ച്, വിശകലനത്തെ എതിർക്കുന്നതിനുള്ള പ്രവർത്തനം ഏറ്റെടുക്കണം.

എന്നിരുന്നാലും, പ്രായോഗികമായി, സംരക്ഷണ സംവിധാനങ്ങൾ വളരെ പ്രാകൃതമാണ്, ഞങ്ങളുടെ സിസ്റ്റങ്ങൾ ഈ ക്ഷുദ്രവെയർ വിജയകരമായി കണ്ടുപിടിക്കുന്നു.

പ്രധാന മൊഡ്യൂൾ ഉപയോഗിച്ച് ലോഡ് ചെയ്യുന്നു ഫ്രാഞ്ചി ഷെൽകോഡ് വ്യത്യസ്ത പതിപ്പുകൾ. എന്നിരുന്നാലും, മറ്റ് ഓപ്ഷനുകൾ ഉപയോഗിക്കാമായിരുന്നെന്ന് ഞങ്ങൾ ഒഴിവാക്കുന്നില്ല, ഉദാഹരണത്തിന്, RunPE.

കോൺഫിഗറേഷൻ ഫയൽ

സിസ്റ്റത്തിലെ ഏകീകരണം

സിസ്റ്റത്തിലെ ഏകീകരണം ബൂട്ട്ലോഡർ ഉറപ്പാക്കുന്നു സംരക്ഷിക്കുക, അനുബന്ധ ഫ്ലാഗ് സജ്ജീകരിച്ചിട്ടുണ്ടെങ്കിൽ.

• ഫയൽ പാതയിലൂടെ പകർത്തി %AppData%GFqaakZpzwm.exe.
• ഫയൽ സൃഷ്ടിച്ചു %AppData%GFqaakWinDriv.url, ലോഞ്ച് ചെയ്യുന്നു Zpzwm.exe.
• ത്രെഡിൽ HKCUSoftwareMicrosoftWindowsCurrentVersionRun ഒരു സ്റ്റാർട്ടപ്പ് കീ സൃഷ്ടിച്ചു WinDriv.url.

C&C യുമായുള്ള ഇടപെടൽ

ലോഡർ AtProtect

ഉചിതമായ ഫ്ലാഗ് നിലവിലുണ്ടെങ്കിൽ, ക്ഷുദ്രവെയറിന് ഒരു മറഞ്ഞിരിക്കുന്ന പ്രക്രിയ സമാരംഭിക്കാൻ കഴിയും iexplorer വിജയകരമായ അണുബാധയെക്കുറിച്ച് സെർവറിനെ അറിയിക്കാൻ നിർദ്ദിഷ്ട ലിങ്ക് പിന്തുടരുക.

ഡാറ്റ സ്റ്റീലർ

ഉപയോഗിച്ച രീതി പരിഗണിക്കാതെ തന്നെ, ഉറവിടം ഉപയോഗിച്ച് ഇരയുടെ ബാഹ്യ ഐപി നേടുന്നതിലൂടെ നെറ്റ്‌വർക്ക് ആശയവിനിമയം ആരംഭിക്കുന്നു. [http]://checkip[.]dyndns[.]org/.

ഉപയോക്തൃ-ഏജൻ്റ്: മോസില്ല/4.0 (അനുയോജ്യമായ; MSIE 6.0; Windows NT 5.2; .NET CLR1.0.3705;)

സന്ദേശത്തിൻ്റെ പൊതുവായ ഘടനയും സമാനമാണ്. തലക്കെട്ട് ഉണ്ട്
|——- 404 കീലോഗർ — {തരം} ——-|എവിടെ {തരം} കൈമാറുന്ന വിവരങ്ങളുടെ തരവുമായി പൊരുത്തപ്പെടുന്നു.
സിസ്റ്റത്തെക്കുറിച്ചുള്ള വിവരങ്ങൾ താഴെ കൊടുക്കുന്നു:

_______ + ഇരയുടെ വിവരം + _______

IP: {ബാഹ്യ IP}
ഉടമയുടെ പേര്: {കമ്പ്യൂട്ടറിൻ്റെ പേര്}
OS പേര്: {OS Name}
OS പതിപ്പ്: {OS പതിപ്പ്}
OS പ്ലാറ്റ്ഫോം: {പ്ലാറ്റ്ഫോം}
റാം വലുപ്പം: {RAM വലുപ്പം}
______________________________

ഒടുവിൽ, കൈമാറിയ ഡാറ്റ.

എസ്എംപിടി

കത്തിൻ്റെ വിഷയം ഇപ്രകാരമാണ്: 404 കെ | {സന്ദേശ തരം} | ക്ലയൻ്റ് നാമം: {Username}.

കൗതുകകരമെന്നു പറയട്ടെ, ഉപഭോക്താവിന് കത്തുകൾ കൈമാറുക 404 കീലോഗർ ഡെവലപ്പർമാരുടെ SMTP സെർവർ ഉപയോഗിക്കുന്നു.

ഇത് ചില ക്ലയൻ്റുകളെ തിരിച്ചറിയാനും ഡെവലപ്പർമാരിൽ ഒരാളുടെ ഇമെയിലും സാധ്യമാക്കി.

എഫ്ടിപി

ഈ രീതി ഉപയോഗിക്കുമ്പോൾ, ശേഖരിച്ച വിവരങ്ങൾ ഒരു ഫയലിൽ സേവ് ചെയ്യുകയും അവിടെ നിന്ന് ഉടൻ വായിക്കുകയും ചെയ്യുന്നു.

ഈ പ്രവർത്തനത്തിന് പിന്നിലെ യുക്തി പൂർണ്ണമായും വ്യക്തമല്ല, എന്നാൽ പെരുമാറ്റ നിയമങ്ങൾ എഴുതുന്നതിന് ഇത് ഒരു അധിക പുരാവസ്തു സൃഷ്ടിക്കുന്നു.

%HOMEDRIVE%%HOMEPATH%DocumentsA{അനിയന്ത്രിതമായ നമ്പർ}.txt

ഒട്ടിക്കുക

വിശകലന സമയത്ത്, മോഷ്ടിച്ച പാസ്‌വേഡുകൾ കൈമാറാൻ മാത്രമാണ് ഈ രീതി ഉപയോഗിക്കുന്നത്. മാത്രമല്ല, ഇത് ആദ്യ രണ്ടിന് ബദലായിട്ടല്ല, സമാന്തരമായി ഉപയോഗിക്കുന്നു. "വാവ" എന്നതിന് തുല്യമായ സ്ഥിരാങ്കത്തിൻ്റെ മൂല്യമാണ് വ്യവസ്ഥ. ഇത് ഉപഭോക്താവിൻ്റെ പേരായിരിക്കാം.

എപിഐ വഴി https പ്രോട്ടോക്കോൾ വഴിയാണ് ഇടപെടൽ നടക്കുന്നത് പേസ്റ്റ്ബിൻ. അർത്ഥം api_paste_private തുല്യമാണ് PASTE_UNLISTED, എന്നതിൽ അത്തരം പേജുകൾ തിരയുന്നത് നിരോധിക്കുന്നു പേസ്റ്റ്ബിൻ.

എൻക്രിപ്ഷൻ അൽഗോരിതങ്ങൾ

ഉറവിടങ്ങളിൽ നിന്ന് ഒരു ഫയൽ വീണ്ടെടുക്കുന്നു

പേലോഡ് ബൂട്ട്ലോഡർ ഉറവിടങ്ങളിൽ സംഭരിച്ചിരിക്കുന്നു സംരക്ഷിക്കുക ബിറ്റ്മാപ്പ് ചിത്രങ്ങളുടെ രൂപത്തിൽ. വേർതിരിച്ചെടുക്കൽ പല ഘട്ടങ്ങളിലായാണ് നടത്തുന്നത്:

• ചിത്രത്തിൽ നിന്ന് ബൈറ്റുകളുടെ ഒരു നിര എക്‌സ്‌ട്രാക്‌റ്റുചെയ്‌തു. ഓരോ പിക്സലും BGR ക്രമത്തിൽ 3 ബൈറ്റുകളുടെ ഒരു ശ്രേണിയായി കണക്കാക്കുന്നു. വേർതിരിച്ചെടുത്ത ശേഷം, അറേയുടെ ആദ്യത്തെ 4 ബൈറ്റുകൾ സന്ദേശത്തിൻ്റെ ദൈർഘ്യം സംഭരിക്കുന്നു, തുടർന്നുള്ളവ സന്ദേശം തന്നെ സംഭരിക്കുന്നു.

  

• കീ കണക്കാക്കുന്നു. ഇത് ചെയ്യുന്നതിന്, പാസ്‌വേഡായി വ്യക്തമാക്കിയ “ZpzwmjMJyfTNiRalKVrcSkxCN” മൂല്യത്തിൽ നിന്നാണ് MD5 കണക്കാക്കുന്നത്. തത്ഫലമായുണ്ടാകുന്ന ഹാഷ് രണ്ടുതവണ എഴുതിയിരിക്കുന്നു.

  

• ECB മോഡിൽ AES അൽഗോരിതം ഉപയോഗിച്ചാണ് ഡീക്രിപ്ഷൻ നടത്തുന്നത്.

ക്ഷുദ്രകരമായ പ്രവർത്തനം

ഡൗൺലോഡർ

ബൂട്ട്ലോഡറിൽ നടപ്പിലാക്കി സംരക്ഷിക്കുക.

• ബന്ധപ്പെടുന്നതിലൂടെ [സജീവ ലിങ്ക് റീപാൽസ്] ഫയൽ സേവിക്കാൻ തയ്യാറാണെന്ന് സ്ഥിരീകരിക്കാൻ സെർവറിൻ്റെ നില അഭ്യർത്ഥിക്കുന്നു. സെർവർ മടങ്ങണം “ഓൺ”.
• ലിങ്ക് വഴി [ഡൗൺലോഡ് ലിങ്ക്-മാറ്റിസ്ഥാപിക്കുക] പേലോഡ് ഡൗൺലോഡ് ചെയ്തു.
• സഹായത്തോടെ ഫ്രാഞ്ചിഷെൽകോഡ് പേലോഡ് പ്രക്രിയയിലേക്ക് കുത്തിവയ്ക്കുന്നു [ഇഞ്ച്-പകരം].

ഡൊമെയ്ൻ വിശകലന സമയത്ത് 404 പദ്ധതികൾ[.]xyz VirusTotal-ൽ അധിക സംഭവങ്ങൾ തിരിച്ചറിഞ്ഞു 404 കീലോഗർ, അതുപോലെ നിരവധി തരം ലോഡറുകൾ.

പരമ്പരാഗതമായി, അവയെ രണ്ട് തരങ്ങളായി തിരിച്ചിരിക്കുന്നു:

1. ഉറവിടത്തിൽ നിന്നാണ് ഡൗൺലോഡ് ചെയ്യുന്നത് 404 പദ്ധതികൾ[.]xyz.

   
   ഡാറ്റ Base64 എൻകോഡ് ചെയ്തതും AES എൻക്രിപ്റ്റ് ചെയ്തതുമാണ്.

2. ഈ ഐച്ഛികം നിരവധി ഘട്ടങ്ങൾ ഉൾക്കൊള്ളുന്നു, ഇത് മിക്കവാറും ഒരു ബൂട്ട്ലോഡറുമായി ചേർന്നാണ് ഉപയോഗിക്കുന്നത് സംരക്ഷിക്കുക.

• ആദ്യ ഘട്ടത്തിൽ, ഡാറ്റ ലോഡ് ചെയ്യുന്നു പേസ്റ്റ്ബിൻ ഫംഗ്ഷൻ ഉപയോഗിച്ച് ഡീകോഡ് ചെയ്യുകയും ചെയ്തു HexToByte.

  

• രണ്ടാം ഘട്ടത്തിൽ, ലോഡിംഗിൻ്റെ ഉറവിടം 404 പദ്ധതികൾ[.]xyz. എന്നിരുന്നാലും, ഡീകംപ്രഷൻ, ഡീകോഡിംഗ് പ്രവർത്തനങ്ങൾ DataStealer-ൽ കാണപ്പെടുന്നതിന് സമാനമാണ്. മെയിൻ മൊഡ്യൂളിൽ ബൂട്ട്ലോഡർ ഫംഗ്‌ഷണാലിറ്റി നടപ്പിലാക്കാൻ ഇത് ആദ്യം പദ്ധതിയിട്ടിരുന്നു.

  

• ഈ ഘട്ടത്തിൽ, പേലോഡ് ഇതിനകം തന്നെ കംപ്രസ് ചെയ്ത രൂപത്തിൽ റിസോഴ്സ് മാനിഫെസ്റ്റിലാണ്. പ്രധാന മൊഡ്യൂളിലും സമാനമായ എക്‌സ്‌ട്രാക്ഷൻ ഫംഗ്‌ഷനുകൾ കണ്ടെത്തി.

വിശകലനം ചെയ്ത ഫയലുകളിൽ ഡൗൺലോഡർമാരെ കണ്ടെത്തി njRat, സ്പൈഗേറ്റ് മറ്റ് എ.ടി.

കീലോഗർ

ലോഗ് അയയ്ക്കൽ കാലയളവ്: 30 മിനിറ്റ്.

എല്ലാ കഥാപാത്രങ്ങളും പിന്തുണയ്ക്കുന്നു. പ്രത്യേക കഥാപാത്രങ്ങൾ രക്ഷപ്പെടുന്നു. ബാക്ക്‌സ്‌പേസ്, ഡിലീറ്റ് കീകൾക്കായി പ്രോസസ്സിംഗ് ഉണ്ട്. കേസ് സെൻസിറ്റീവ്.

ക്ലിപ്പ്ബോർഡ്ലോഗർ

ലോഗ് അയയ്ക്കൽ കാലയളവ്: 30 മിനിറ്റ്.

ബഫർ പോളിംഗ് കാലയളവ്: 0,1 സെക്കൻഡ്.

നടപ്പിലാക്കിയ ലിങ്ക് എസ്കേപ്പിംഗ്.

സ്ക്രീൻലോഗർ

ലോഗ് അയയ്ക്കൽ കാലയളവ്: 60 മിനിറ്റ്.

സ്ക്രീൻഷോട്ടുകൾ സംരക്ഷിച്ചിരിക്കുന്നു %ഹോംഡ്രൈവ്%%ഹോംപാത്ത്%Documents404k404pic.png.

ഫോൾഡർ അയച്ചതിന് ശേഷം 404k ഇല്ലാതാക്കി.

പാസ്‌വേഡ് സ്റ്റീലർ

ബ്രൗസറുകൾ	മെയിൽ ക്ലയന്റുകൾ	FTP ക്ലയന്റുകൾ
ക്രോം	ഔട്ട്ലുക്ക്	ഫയൽസില്ല
ഫയർഫോക്സ്	തണ്ടർബേഡ്
കടൽ	ഫോക്സ്മെയിൽ
ഐസ്ഡ്രാഗൺ
ഇളം മൂൺ
സൈബർഫോക്സ്
ക്രോം
ബ്രേവ് ബ്രൗസർ
QQBrowser
ഇറിഡിയം ബ്രൗസർ
XvastBrowser
ചെഡോട്ട്
360 ബ്രൗസർ
കൊമോഡോ ഡ്രാഗൺ
360 ക്രോം
സൂപ്പർബേർഡ്
സെൻറ് ബ്രൗസർ
ഗോസ്റ്റ് ബ്രൗസർ
അയൺബ്രൌസർ
ക്രോമിയം
വിവാൽഡി
സ്ലിംജെറ്റ് ബ്രൗസർ
ഭ്രമണപഥം
കൊക്കോക്
പന്തം
യുസിബ്രൗസർ
EpicBrowser
BliskBrowser
Opera

ചലനാത്മക വിശകലനത്തോടുള്ള പ്രതിരോധം

• ഒരു പ്രക്രിയ വിശകലനത്തിലാണോ എന്ന് പരിശോധിക്കുന്നു

  പ്രോസസ്സ് തിരയൽ ഉപയോഗിച്ച് നടപ്പിലാക്കുന്നു ടാസ്ക്എംജിആർ, പ്രോസസ് ഹാക്കർ, procexp64, procexp, procmon. കുറഞ്ഞത് ഒരെണ്ണമെങ്കിലും കണ്ടെത്തിയാൽ, ക്ഷുദ്രവെയർ പുറത്തുകടക്കുന്നു.

• നിങ്ങൾ ഒരു വെർച്വൽ പരിതസ്ഥിതിയിലാണോ എന്ന് പരിശോധിക്കുന്നു

  പ്രോസസ്സ് തിരയൽ ഉപയോഗിച്ച് നടപ്പിലാക്കുന്നു vmtoolsd, VGAuthService, vmacthlp, VBoxService, VBoxTray. കുറഞ്ഞത് ഒരെണ്ണമെങ്കിലും കണ്ടെത്തിയാൽ, ക്ഷുദ്രവെയർ പുറത്തുകടക്കുന്നു.

• 5 സെക്കൻഡ് ഉറങ്ങുന്നു
• വ്യത്യസ്ത തരം ഡയലോഗ് ബോക്സുകളുടെ പ്രദർശനം

  ചില സാൻഡ്ബോക്സുകൾ ബൈപാസ് ചെയ്യാൻ ഉപയോഗിക്കാം.

• UAC ബൈപാസ് ചെയ്യുക

  രജിസ്ട്രി കീ എഡിറ്റ് ചെയ്തുകൊണ്ടാണ് ഇത് നടപ്പിലാക്കുന്നത് എനബ്ലെലുഅ ഗ്രൂപ്പ് നയ ക്രമീകരണങ്ങളിൽ.

• നിലവിലെ ഫയലിൽ "മറഞ്ഞിരിക്കുന്ന" ആട്രിബ്യൂട്ട് പ്രയോഗിക്കുന്നു.
• നിലവിലെ ഫയൽ ഇല്ലാതാക്കാനുള്ള കഴിവ്.

നിഷ്ക്രിയ സവിശേഷതകൾ

ബൂട്ട്ലോഡറിൻ്റെയും പ്രധാന മൊഡ്യൂളിൻ്റെയും വിശകലനത്തിൽ, അധിക പ്രവർത്തനത്തിന് ഉത്തരവാദികളായ ഫംഗ്ഷനുകൾ കണ്ടെത്തി, പക്ഷേ അവ എവിടെയും ഉപയോഗിക്കുന്നില്ല. ക്ഷുദ്രവെയർ ഇപ്പോഴും വികസിപ്പിച്ചുകൊണ്ടിരിക്കുന്നതിനാലും പ്രവർത്തനം ഉടൻ വിപുലീകരിക്കുമെന്നതിനാലും ഇത് സംഭവിക്കാം.

ലോഡർ AtProtect

പ്രക്രിയയിലേക്ക് ലോഡുചെയ്യുന്നതിനും കുത്തിവയ്ക്കുന്നതിനും ഉത്തരവാദിയായ ഒരു ഫംഗ്ഷൻ കണ്ടെത്തി msiexec.exe ഏകപക്ഷീയമായ മൊഡ്യൂൾ.

ഡാറ്റ സ്റ്റീലർ

• സിസ്റ്റത്തിലെ ഏകീകരണം

  

• ഡീകംപ്രഷൻ, ഡീക്രിപ്ഷൻ പ്രവർത്തനങ്ങൾ

  
  
  നെറ്റ്‌വർക്ക് ആശയവിനിമയ സമയത്ത് ഡാറ്റ എൻക്രിപ്ഷൻ ഉടൻ നടപ്പിലാക്കാൻ സാധ്യതയുണ്ട്.

• ആൻ്റിവൈറസ് പ്രക്രിയകൾ അവസാനിപ്പിക്കുന്നു

ക്ലയൻ്റ്	Dvp95_0	പാവ്ഷെഡ്	ശരാശരി 9
egui	എഞ്ചിൻ	പാവ്വ്	avgserv9schedapp
bdagent	എസേഫ്	പിസിസിയോമോൻ	ശരാശരി
npfmsg	എസ്പിവാച്ച്	പി.സി.സി.മെയിൻ	ashwebsv
ഒലിഡിബിജി	F-Agnt95	Pccwin98	ashdisp
അനുബിസ്	ഫൈൻഡ്വിർ	Pcfwallicon	ashmaisv
വയർ‌ഷാർക്ക്	Fprot	പേഴ്‌സ്എഫ്‌ഡബ്ല്യു	ashserv
അവസ്തുയി	എഫ്-പ്രൊത്	POP3TRAP	aswUpdSv
_Avp32	F-Prot95	PVIEW95	symwsc
vsmon	എഫ്പി-വിൻ	റാവ് 7	നോർട്ടൺ
mbam	Frw	Rav7win	നോർട്ടൺ ഓട്ടോ-പ്രൊട്ടക്റ്റ്
കീസ്ക്രാംബ്ലർ	എഫ്-സ്റ്റോപ്പ്	വീണ്ടെടുക്കുക	norton_av
_Avpcc	Iamapp	സേഫ്വെബ്	നോർട്ടോനാവ്
_Avpm	Iamserv	സ്കാൻ 32	ccsetmgr
ആക്വിൻ32	ഇബ്മസ്ൻ	സ്കാൻ 95	ccevtmgr
ഔട്ട്പോസ്റ്റ്	Ibmavsp	സ്കാൻപിഎം	അവഡ്മിൻ
ആന്റി ട്രോജൻ	ഐക്ലോഡ്95	Scrscan	avcenter
ആന്റിവിർ	ഐക്ലോഡൻ്റ്	സെർവ്95	ശരാശരി
Apvxdwin	ഐക്മോൺ	എസ്എംസി	അവഗാർഡ്
ഒരു പാത	Icsupp95	എസ്എംസിഎസ്സർവീസ്	avnotify
ഓട്ടോഡൗൺ	Icsuppnt	തമാശ	avscan
അവ്കോൺസോൾ	ഐഫേസ്	സ്ഫിംക്സ്	ഗാർഡ്ഗുയി
Ave32	Iomon98	സ്വീപ്പ്95	nod32krn
ശരാശരി	ജെഡി	സിംപ്രോക്സിഎസ്വിസി	nod32kui
അവ്ക്സെർവ്	ലോക്ക്ഡൗൺ 2000	Tbscan	ക്ലാംസ്കാൻ
അവൻ്റ്	നിരീക്ഷിക്കുക	Tca	clamTray
Avp	ലുവാൾ	Tds2-98	clamWin
Avp32	മക്കഫീ	Tds2-Nt	പുതുക്കണം
Avpcc	മൂലിവ്	ടെർമിനെറ്റ്	ഒലാദ്ദീൻ
Avpdos32	MPftray	Vet95	സിഗ്ടൂൾ
എവിപിഎം	N32scanw	വെട്രായ്	w9xpopen
Avptc32	NAVAPSVC	Vscan40	അടയ്ക്കുക
Avpupd	NAVAPW32	Vsecomr	cmgrdian
അവ്ഷെഡ്32	NAVLU32	വിശ്വിൻ32	alogserv
AVSYNMGR	നവൻ്റ്	Vsstat	mcshield
അവ്വിൻ95	NAVRUNR	വെബ്‌സ്‌കാൻക്സ്	vshwin32
Avwupd32	Navw32	വെബ്ട്രാപ്പ്	avconsol
കറുപ്പ്	നവൗണ്ട്	Wfindv32	vsstat
കറുത്ത ഐസ്	നിയോ വാച്ച്	സോൺ അലാറം	avsynmgr
Cfiadmin	NISSERV	ലോക്ഡൗൺ 2000	avcmd
Cfiaudit	നിസും	രക്ഷ32	avconfig
സിഫൈനെറ്റ്	എൻമൈൻ	ലൂക്കോംസർവർ	licmgr
Cfinet32	നോർമിസ്റ്റ്	ശരാശരി	ഷെഡ് ചെയ്തു
നഖം95	നോർട്ടൺ	ശരാശരി	preupd
Claw95cf	നവീകരിക്കുക	avgamsvr	MsMpEng
ക്ലീനർ	Nvc95	avgupsvc	MSASCui
ക്ലീനർ3	ഔട്ട്പോസ്റ്റ്	ശരാശരി	അവിര.സിസ്ട്രേ
ഡിഫ് വാച്ച്	പദ്മിൻ	ശരാശരി 32
Dvp95	പാവ്ക്ലി	ശരാശരി

• സ്വയം നാശം
• നിർദ്ദിഷ്ട റിസോഴ്സ് മാനിഫെസ്റ്റിൽ നിന്ന് ഡാറ്റ ലോഡുചെയ്യുന്നു

  

• ഒരു പാതയിലൂടെ ഒരു ഫയൽ പകർത്തുന്നു %Temp%tmpG[നിലവിലെ തീയതിയും സമയവും മില്ലിസെക്കൻഡിൽ].tmp

  
  രസകരമെന്നു പറയട്ടെ, AgentTesla മാൽവെയറിൽ സമാനമായ ഒരു ഫംഗ്‌ഷൻ ഉണ്ട്.

• പുഴു പ്രവർത്തനം

  മാൽവെയറിന് നീക്കം ചെയ്യാവുന്ന മീഡിയയുടെ ഒരു ലിസ്റ്റ് ലഭിക്കുന്നു. പേരിനൊപ്പം മീഡിയ ഫയൽ സിസ്റ്റത്തിൻ്റെ റൂട്ടിൽ ക്ഷുദ്രവെയറിൻ്റെ ഒരു പകർപ്പ് സൃഷ്ടിക്കപ്പെടുന്നു Sys.exe. ഒരു ഫയൽ ഉപയോഗിച്ചാണ് ഓട്ടോറൺ നടപ്പിലാക്കുന്നത് autorun.inf.

  

ആക്രമണകാരിയുടെ പ്രൊഫൈൽ

കമാൻഡ് സെൻ്റർ വിശകലനം ചെയ്യുമ്പോൾ, ഡവലപ്പറുടെ ഇമെയിലും വിളിപ്പേരും സ്ഥാപിക്കാൻ സാധിച്ചു - റേസർ, ബ്രുവ, ബ്രുവ65, ഹിഡെൻ പേഴ്സൺ, 404 കോഡർ. അടുത്തതായി, ബിൽഡറുമായി ചേർന്ന് പ്രവർത്തിക്കുന്നത് തെളിയിക്കുന്ന രസകരമായ ഒരു വീഡിയോ ഞങ്ങൾ YouTube-ൽ കണ്ടെത്തി.

യഥാർത്ഥ ഡെവലപ്പർ ചാനൽ കണ്ടെത്തുന്നത് ഇത് സാധ്യമാക്കി.

ക്രിപ്‌റ്റോഗ്രാഫർമാരെ എഴുതുന്നതിൽ അദ്ദേഹത്തിന് പരിചയമുണ്ടെന്ന് വ്യക്തമായി. സോഷ്യൽ നെറ്റ്‌വർക്കുകളിലെ പേജുകളിലേക്കുള്ള ലിങ്കുകളും രചയിതാവിൻ്റെ യഥാർത്ഥ പേരും ഉണ്ട്. ഇയാൾ ഇറാഖ് നിവാസിയാണെന്ന് തെളിഞ്ഞു.

ഒരു 404 കീലോഗർ ഡെവലപ്പർ ഇങ്ങനെയാണ് കാണപ്പെടുന്നത്. അദ്ദേഹത്തിൻ്റെ സ്വകാര്യ ഫേസ്ബുക്ക് പ്രൊഫൈലിൽ നിന്നുള്ള ഫോട്ടോ.

CERT ഗ്രൂപ്പ്-ഐബി ഒരു പുതിയ ഭീഷണി പ്രഖ്യാപിച്ചു - 404 Keylogger - ബഹ്‌റൈനിലെ സൈബർ ഭീഷണികൾക്കായുള്ള (SOC) XNUMX മണിക്കൂർ നിരീക്ഷണ, പ്രതികരണ കേന്ദ്രം.

അവലംബം: www.habr.com