റഷ്യൻ കമ്പനികളിൽ നിന്ന് പണം മോഷ്ടിക്കുന്നതാണ് ആർടിഎം സൈബർ ഗ്രൂപ്പിന്റെ പ്രത്യേകത

റഷ്യൻ കമ്പനികളിൽ നിന്ന് പണം മോഷ്ടിക്കുന്നതിൽ വൈദഗ്ദ്ധ്യം നേടിയ നിരവധി സൈബർ ഗ്രൂപ്പുകളുണ്ട്. ലക്ഷ്യത്തിന്റെ നെറ്റ്‌വർക്കിലേക്ക് ആക്‌സസ് അനുവദിക്കുന്ന സുരക്ഷാ പഴുതുകൾ ഉപയോഗിച്ചുള്ള ആക്രമണങ്ങൾ ഞങ്ങൾ കണ്ടു. ആക്‌സസ്സ് ലഭിച്ചുകഴിഞ്ഞാൽ, ആക്രമണകാരികൾ സ്ഥാപനത്തിന്റെ നെറ്റ്‌വർക്ക് ഘടന പഠിക്കുകയും ഫണ്ടുകൾ മോഷ്ടിക്കാൻ സ്വന്തം ഉപകരണങ്ങൾ വിന്യസിക്കുകയും ചെയ്യുന്നു. ഈ പ്രവണതയുടെ മികച്ച ഉദാഹരണമാണ് ബുഹ്ട്രാപ്പ്, കോബാൾട്ട്, കോർക്കോവ് എന്നീ ഹാക്കർ ഗ്രൂപ്പുകൾ.

ഈ റിപ്പോർട്ട് ശ്രദ്ധ കേന്ദ്രീകരിക്കുന്ന RTM ഗ്രൂപ്പ് ഈ പ്രവണതയുടെ ഭാഗമാണ്. ഇത് ഡെൽഫിയിൽ എഴുതിയ പ്രത്യേകം രൂപകൽപ്പന ചെയ്ത ക്ഷുദ്രവെയർ ഉപയോഗിക്കുന്നു, അത് ഞങ്ങൾ ഇനിപ്പറയുന്ന വിഭാഗങ്ങളിൽ കൂടുതൽ വിശദമായി പരിശോധിക്കും. ESET ടെലിമെട്രി സിസ്റ്റത്തിലെ ഈ ഉപകരണങ്ങളുടെ ആദ്യ സൂചനകൾ 2015 അവസാനത്തോടെ കണ്ടെത്തി. രോഗം ബാധിച്ച സിസ്റ്റങ്ങളിലേക്ക് ആവശ്യാനുസരണം ടീം വിവിധ പുതിയ മൊഡ്യൂളുകൾ ലോഡ് ചെയ്യുന്നു. റഷ്യയിലെയും ചില അയൽരാജ്യങ്ങളിലെയും റിമോട്ട് ബാങ്കിംഗ് സംവിധാനങ്ങൾ ഉപയോഗിക്കുന്നവരെ ലക്ഷ്യമിട്ടാണ് ആക്രമണം.

1. ലക്ഷ്യങ്ങൾ

RTM കാമ്പെയ്‌ൻ കോർപ്പറേറ്റ് ഉപയോക്താക്കളെ ലക്ഷ്യം വച്ചുള്ളതാണ് - ആക്രമണകാരികൾ ഒരു വിട്ടുവീഴ്ച ചെയ്ത സിസ്റ്റത്തിൽ കണ്ടെത്താൻ ശ്രമിക്കുന്ന പ്രക്രിയകളിൽ നിന്ന് ഇത് വ്യക്തമാണ്. റിമോട്ട് ബാങ്കിംഗ് സംവിധാനങ്ങളുമായി പ്രവർത്തിക്കുന്നതിനുള്ള അക്കൗണ്ടിംഗ് സോഫ്റ്റ്വെയറിലാണ് ശ്രദ്ധ കേന്ദ്രീകരിക്കുന്നത്.

ആർ‌ടി‌എമ്മിന് താൽപ്പര്യമുള്ള പ്രക്രിയകളുടെ ലിസ്റ്റ് ബുഹ്‌ട്രാപ്പ് ഗ്രൂപ്പിന്റെ അനുബന്ധ പട്ടികയോട് സാമ്യമുള്ളതാണ്, എന്നാൽ ഗ്രൂപ്പുകൾക്ക് വ്യത്യസ്ത അണുബാധ വെക്‌ടറുകൾ ഉണ്ട്. Buhtrap കൂടുതൽ തവണ വ്യാജ പേജുകൾ ഉപയോഗിച്ചിരുന്നെങ്കിൽ, RTM ഡ്രൈവ്-ബൈ ഡൗൺലോഡ് ആക്രമണങ്ങളും (ബ്രൗസറിലോ അതിന്റെ ഘടകങ്ങളിലോ ഉള്ള ആക്രമണങ്ങൾ) ഇമെയിൽ വഴിയുള്ള സ്പാമിംഗും ഉപയോഗിച്ചു. ടെലിമെട്രി ഡാറ്റ അനുസരിച്ച്, ഭീഷണി റഷ്യയെയും സമീപത്തെ നിരവധി രാജ്യങ്ങളെയും (ഉക്രെയ്ൻ, കസാക്കിസ്ഥാൻ, ചെക്ക് റിപ്പബ്ലിക്, ജർമ്മനി) ലക്ഷ്യമിടുന്നു. എന്നിരുന്നാലും, ബഹുജന വിതരണ സംവിധാനങ്ങളുടെ ഉപയോഗം കാരണം, ടാർഗെറ്റ് പ്രദേശങ്ങൾക്ക് പുറത്ത് ക്ഷുദ്രവെയർ കണ്ടെത്തുന്നതിൽ അതിശയിക്കാനില്ല.

ക്ഷുദ്രവെയർ കണ്ടെത്തലുകളുടെ ആകെ എണ്ണം താരതമ്യേന ചെറുതാണ്. മറുവശത്ത്, ആർ‌ടി‌എം കാമ്പെയ്‌ൻ സങ്കീർണ്ണമായ പ്രോഗ്രാമുകൾ ഉപയോഗിക്കുന്നു, ഇത് ആക്രമണങ്ങൾ വളരെയധികം ലക്ഷ്യമിടുന്നുവെന്ന് സൂചിപ്പിക്കുന്നു.

നിലവിലില്ലാത്ത കരാറുകൾ, ഇൻവോയ്‌സുകൾ അല്ലെങ്കിൽ ടാക്സ് അക്കൌണ്ടിംഗ് ഡോക്യുമെന്റുകൾ എന്നിവയുൾപ്പെടെ RTM ഉപയോഗിക്കുന്ന നിരവധി ഡികോയ് ഡോക്യുമെന്റുകൾ ഞങ്ങൾ കണ്ടെത്തി. ആക്രമണം ലക്ഷ്യമിടുന്ന സോഫ്റ്റ്വെയറിന്റെ തരവുമായി സംയോജിപ്പിച്ച് ല്യൂറുകളുടെ സ്വഭാവം, ആക്രമണകാരികൾ അക്കൗണ്ടിംഗ് ഡിപ്പാർട്ട്മെന്റ് വഴി റഷ്യൻ കമ്പനികളുടെ നെറ്റ്വർക്കുകളിൽ "പ്രവേശിക്കുക" എന്ന് സൂചിപ്പിക്കുന്നു. അതേ സ്കീം അനുസരിച്ചാണ് സംഘം പ്രവർത്തിച്ചത് ബുഹ്ട്രാപ്പ് 2014-2015 ൽ

ഗവേഷണത്തിനിടയിൽ, നിരവധി C&C സെർവറുകളുമായി സംവദിക്കാൻ ഞങ്ങൾക്ക് കഴിഞ്ഞു. ഇനിപ്പറയുന്ന വിഭാഗങ്ങളിലെ കമാൻഡുകളുടെ പൂർണ്ണമായ ലിസ്റ്റ് ഞങ്ങൾ ലിസ്റ്റ് ചെയ്യും, എന്നാൽ ഇപ്പോൾ, ക്ലയന്റ് കീലോഗറിൽ നിന്ന് ആക്രമണ സെർവറിലേക്ക് നേരിട്ട് ഡാറ്റ കൈമാറുന്നുവെന്ന് നമുക്ക് പറയാം, അതിൽ നിന്ന് അധിക കമാൻഡുകൾ ലഭിക്കും.

എന്നിരുന്നാലും, നിങ്ങൾക്ക് ഒരു കമാൻഡ് ആൻഡ് കൺട്രോൾ സെർവറിലേക്ക് കണക്റ്റുചെയ്യാനും നിങ്ങൾക്ക് താൽപ്പര്യമുള്ള എല്ലാ ഡാറ്റയും ശേഖരിക്കാനും കഴിയുന്ന ദിവസങ്ങൾ ഇല്ലാതായി. സെർവറിൽ നിന്ന് ചില പ്രസക്തമായ കമാൻഡുകൾ ലഭിക്കുന്നതിന് ഞങ്ങൾ റിയലിസ്റ്റിക് ലോഗ് ഫയലുകൾ പുനഃസൃഷ്ടിച്ചു.

അവയിൽ ആദ്യത്തേത് 1c_to_kl.txt ഫയൽ കൈമാറാൻ ബോട്ടിനോടുള്ള അഭ്യർത്ഥനയാണ് - 1C: എന്റർപ്രൈസ് 8 പ്രോഗ്രാമിന്റെ ഒരു ട്രാൻസ്പോർട്ട് ഫയൽ, അതിന്റെ രൂപം RTM സജീവമായി നിരീക്ഷിക്കുന്നു. ഔട്ട്‌ഗോയിംഗ് പേയ്‌മെന്റുകളുടെ ഡാറ്റ ഒരു ടെക്‌സ്‌റ്റ് ഫയലിലേക്ക് അപ്‌ലോഡ് ചെയ്യുന്നതിലൂടെ റിമോട്ട് ബാങ്കിംഗ് സിസ്റ്റങ്ങളുമായി 1C സംവദിക്കുന്നു. അടുത്തതായി, പേയ്‌മെന്റ് ഓർഡർ ഓട്ടോമേഷനും എക്‌സിക്യൂഷനുമായി ഫയൽ റിമോട്ട് ബാങ്കിംഗ് സിസ്റ്റത്തിലേക്ക് അയയ്ക്കുന്നു.

ഫയലിൽ പേയ്‌മെന്റ് വിശദാംശങ്ങൾ അടങ്ങിയിരിക്കുന്നു. ആക്രമണകാരികൾ ഔട്ട്‌ഗോയിംഗ് പേയ്‌മെന്റുകളെക്കുറിച്ചുള്ള വിവരങ്ങൾ മാറ്റുകയാണെങ്കിൽ, കൈമാറ്റം തെറ്റായ വിവരങ്ങൾ ഉപയോഗിച്ച് ആക്രമണകാരികളുടെ അക്കൗണ്ടുകളിലേക്ക് അയയ്ക്കും.

കമാൻഡ് ആൻഡ് കൺട്രോൾ സെർവറിൽ നിന്ന് ഈ ഫയലുകൾ അഭ്യർത്ഥിച്ച് ഏകദേശം ഒരു മാസത്തിന് ശേഷം, ഒരു പുതിയ പ്ലഗിൻ, 1c_2_kl.dll, അപഹരിക്കപ്പെട്ട സിസ്റ്റത്തിലേക്ക് ലോഡ് ചെയ്യുന്നത് ഞങ്ങൾ നിരീക്ഷിച്ചു. അക്കൌണ്ടിംഗ് സോഫ്‌റ്റ്‌വെയർ പ്രക്രിയകളിൽ തുളച്ചുകയറിക്കൊണ്ട് ഡൗൺലോഡ് ഫയൽ സ്വയമേവ വിശകലനം ചെയ്യുന്നതിനാണ് മൊഡ്യൂൾ (DLL) രൂപകൽപ്പന ചെയ്തിരിക്കുന്നത്. ഇനിപ്പറയുന്ന വിഭാഗങ്ങളിൽ ഞങ്ങൾ അത് വിശദമായി വിവരിക്കും.

രസകരമെന്നു പറയട്ടെ, 2016 അവസാനത്തോടെ ബാങ്ക് ഓഫ് റഷ്യയുടെ FinCERT 1c_to_kl.txt അപ്‌ലോഡ് ഫയലുകൾ ഉപയോഗിക്കുന്ന സൈബർ കുറ്റവാളികളെ കുറിച്ച് ഒരു ബുള്ളറ്റിൻ മുന്നറിയിപ്പ് നൽകി. 1C-യിൽ നിന്നുള്ള ഡെവലപ്പർമാർക്കും ഈ സ്കീമിനെക്കുറിച്ച് അറിയാം; അവർ ഇതിനകം ഒരു ഔദ്യോഗിക പ്രസ്താവന നടത്തി മുൻകരുതലുകൾ പട്ടികപ്പെടുത്തിയിട്ടുണ്ട്.

മറ്റ് മൊഡ്യൂളുകളും കമാൻഡ് സെർവറിൽ നിന്ന് ലോഡുചെയ്‌തു, പ്രത്യേകിച്ചും വിഎൻസി (അതിന്റെ 32, 64-ബിറ്റ് പതിപ്പുകൾ). ഇതിന് മുമ്പ് ഡ്രൈഡെക്സ് ട്രോജൻ ആക്രമണങ്ങളിൽ ഉപയോഗിച്ചിരുന്ന വിഎൻസി മൊഡ്യൂളിനോട് സാമ്യമുണ്ട്. രോഗബാധിതമായ ഒരു കമ്പ്യൂട്ടറിലേക്ക് വിദൂരമായി കണക്റ്റുചെയ്യാനും സിസ്റ്റത്തെക്കുറിച്ച് വിശദമായ പഠനം നടത്താനും ഈ മൊഡ്യൂൾ ഉപയോഗിക്കുന്നു. അടുത്തതായി, ആക്രമണകാരികൾ നെറ്റ്‌വർക്കിന് ചുറ്റും നീങ്ങാനും ഉപയോക്തൃ പാസ്‌വേഡുകൾ എക്‌സ്‌ട്രാക്റ്റുചെയ്യാനും വിവരങ്ങൾ ശേഖരിക്കാനും ക്ഷുദ്രവെയറിന്റെ സ്ഥിരമായ സാന്നിധ്യം ഉറപ്പാക്കാനും ശ്രമിക്കുന്നു.

2. അണുബാധയുടെ വാഹകർ

പ്രചാരണത്തിന്റെ പഠന കാലയളവിൽ കണ്ടെത്തിയ അണുബാധ വെക്‌ടറുകൾ ഇനിപ്പറയുന്ന ചിത്രം കാണിക്കുന്നു. ഗ്രൂപ്പ് വെക്റ്ററുകളുടെ വിപുലമായ ശ്രേണി ഉപയോഗിക്കുന്നു, പക്ഷേ പ്രധാനമായും ഡ്രൈവ്-ബൈ ഡൗൺലോഡ് ആക്രമണങ്ങളും സ്പാമും. ടാർഗെറ്റുചെയ്‌ത ആക്രമണങ്ങൾക്ക് ഈ ഉപകരണങ്ങൾ സൗകര്യപ്രദമാണ്, കാരണം ആദ്യ സന്ദർഭത്തിൽ, ആക്രമണകാരികൾക്ക് ഇരയാകാൻ സാധ്യതയുള്ളവർ സന്ദർശിക്കുന്ന സൈറ്റുകൾ തിരഞ്ഞെടുക്കാനാകും, രണ്ടാമത്തേതിൽ, അവർക്ക് ആവശ്യമുള്ള കമ്പനി ജീവനക്കാർക്ക് നേരിട്ട് അറ്റാച്ചുമെന്റുകളുള്ള ഇമെയിൽ അയയ്ക്കാൻ കഴിയും.

RIG, Sundown എക്‌സ്‌പ്ലോയിറ്റ് കിറ്റുകളോ സ്പാം മെയിലിംഗുകളോ ഉൾപ്പെടെ ഒന്നിലധികം ചാനലുകളിലൂടെയാണ് ക്ഷുദ്രവെയർ വിതരണം ചെയ്യുന്നത്, ഇത് ആക്രമണകാരികളും ഈ സേവനങ്ങൾ വാഗ്ദാനം ചെയ്യുന്ന മറ്റ് സൈബർ ആക്രമണകാരികളും തമ്മിലുള്ള ബന്ധത്തെ സൂചിപ്പിക്കുന്നു.

2.1 RTM ഉം Buhtrap ഉം എങ്ങനെ ബന്ധപ്പെട്ടിരിക്കുന്നു?

RTM കാമ്പെയ്‌ൻ ബുഹ്‌ട്രാപ്പുമായി വളരെ സാമ്യമുള്ളതാണ്. സ്വാഭാവിക ചോദ്യം ഇതാണ്: അവ പരസ്പരം എങ്ങനെ ബന്ധപ്പെട്ടിരിക്കുന്നു?

2016 സെപ്റ്റംബറിൽ, Buhtrap അപ്‌ലോഡർ ഉപയോഗിച്ച് ഒരു RTM സാമ്പിൾ വിതരണം ചെയ്യുന്നത് ഞങ്ങൾ നിരീക്ഷിച്ചു. കൂടാതെ, Buhtrap-ലും RTM-ലും ഉപയോഗിക്കുന്ന രണ്ട് ഡിജിറ്റൽ സർട്ടിഫിക്കറ്റുകൾ ഞങ്ങൾ കണ്ടെത്തി.

DNISTER-M എന്ന കമ്പനിക്ക് നൽകിയതായി ആരോപിക്കപ്പെടുന്ന ആദ്യത്തേത്, രണ്ടാമത്തെ ഡെൽഫി ഫോമിൽ (SHA-1: 025C718BA31E43DB1B87DC13F94A61A9338C11CE), Buhtrap DLL (SHA-1: 1E2642B454BCC) ഡിജിറ്റലായി ഒപ്പിടാൻ ഉപയോഗിച്ചു. 2D889).

Bit-Tredj-ന് ഇഷ്യൂ ചെയ്ത രണ്ടാമത്തേത്, Buhtrap ലോഡറുകൾ ഒപ്പിടാൻ ഉപയോഗിച്ചു (SHA-1: 7C1B6B1713BD923FC243DFEC80002FE9B93EB292, B74F71560E48488D2153AE2FB51207 ഘടകമായി ഡൗൺലോഡ് ചെയ്യുക.

മറ്റ് ക്ഷുദ്രവെയർ കുടുംബങ്ങൾക്ക് പൊതുവായുള്ള സർട്ടിഫിക്കറ്റുകൾ RTM ഓപ്പറേറ്റർമാർ ഉപയോഗിക്കുന്നു, എന്നാൽ അവർക്ക് ഒരു അദ്വിതീയ സർട്ടിഫിക്കറ്റും ഉണ്ട്. ESET ടെലിമെട്രി അനുസരിച്ച്, ഇത് കിറ്റ്-എസ്ഡിക്ക് നൽകി, ചില RTM മാൽവെയറുകൾ ഒപ്പിടാൻ മാത്രമാണ് ഉപയോഗിച്ചത് (SHA-1: 42A4B04446A20993DDAE98B2BE6D5A797376D4B6).

ബുഹ്‌ട്രാപ്പിന്റെ അതേ ലോഡർ RTM ഉപയോഗിക്കുന്നു, ബുഹ്‌ട്രാപ്പ് ഇൻഫ്രാസ്ട്രക്ചറിൽ നിന്നാണ് RTM ഘടകങ്ങൾ ലോഡ് ചെയ്യുന്നത്, അതിനാൽ ഗ്രൂപ്പുകൾക്ക് സമാനമായ നെറ്റ്‌വർക്ക് സൂചകങ്ങളുണ്ട്. എന്നിരുന്നാലും, ഞങ്ങളുടെ കണക്കുകൾ പ്രകാരം, RTM ഉം Buhtrap ഉം വ്യത്യസ്‌ത ഗ്രൂപ്പുകളാണ്, കാരണം RTM വ്യത്യസ്‌ത രീതിയിലാണ് വിതരണം ചെയ്യുന്നത് (ഒരു "വിദേശ" ഡൗൺലോഡർ ഉപയോഗിച്ച് മാത്രമല്ല).

ഇതൊക്കെയാണെങ്കിലും, ഹാക്കർ ഗ്രൂപ്പുകൾ സമാനമായ പ്രവർത്തന തത്വങ്ങൾ ഉപയോഗിക്കുന്നു. അവർ അക്കൗണ്ടിംഗ് സോഫ്‌റ്റ്‌വെയർ ഉപയോഗിച്ച് ബിസിനസ്സുകളെ ലക്ഷ്യമിടുന്നു, അതുപോലെ തന്നെ സിസ്റ്റം വിവരങ്ങൾ ശേഖരിക്കുന്നു, സ്‌മാർട്ട് കാർഡ് റീഡറുകൾക്കായി തിരയുന്നു, ഇരകളെ ചാരപ്പണി ചെയ്യാൻ ക്ഷുദ്രകരമായ ടൂളുകളുടെ ഒരു നിര വിന്യസിക്കുന്നു.

3. പരിണാമം

ഈ വിഭാഗത്തിൽ, പഠന സമയത്ത് കണ്ടെത്തിയ ക്ഷുദ്രവെയറിന്റെ വ്യത്യസ്ത പതിപ്പുകൾ ഞങ്ങൾ നോക്കും.

3.1 പതിപ്പ്

RTM ഒരു രജിസ്ട്രി വിഭാഗത്തിൽ കോൺഫിഗറേഷൻ ഡാറ്റ സംഭരിക്കുന്നു, ഏറ്റവും രസകരമായ ഭാഗം ബോട്ട്നെറ്റ്-പ്രിഫിക്സ് ആണ്. ഞങ്ങൾ പഠിച്ച സാമ്പിളുകളിൽ ഞങ്ങൾ കണ്ട എല്ലാ മൂല്യങ്ങളുടെയും ഒരു ലിസ്റ്റ് ചുവടെയുള്ള പട്ടികയിൽ അവതരിപ്പിച്ചിരിക്കുന്നു.

ക്ഷുദ്രവെയർ പതിപ്പുകൾ റെക്കോർഡുചെയ്യാൻ മൂല്യങ്ങൾ ഉപയോഗിക്കപ്പെടാൻ സാധ്യതയുണ്ട്. എന്നിരുന്നാലും, bit2, bit3, 0.1.6.4, 0.1.6.6 എന്നിങ്ങനെയുള്ള പതിപ്പുകൾ തമ്മിൽ വലിയ വ്യത്യാസം ഞങ്ങൾ ശ്രദ്ധിച്ചില്ല. കൂടാതെ, പ്രിഫിക്സുകളിലൊന്ന് തുടക്കം മുതൽ നിലവിലുണ്ട്, കൂടാതെ ഒരു സാധാരണ C&C ഡൊമെയ്‌നിൽ നിന്ന് ഒരു .bit ഡൊമെയ്‌നിലേക്ക് പരിണമിച്ചു, താഴെ കാണിച്ചിരിക്കുന്നത് പോലെ.

3.2 പട്ടിക

ടെലിമെട്രി ഡാറ്റ ഉപയോഗിച്ച്, സാമ്പിളുകളുടെ സംഭവത്തിന്റെ ഒരു ഗ്രാഫ് ഞങ്ങൾ സൃഷ്ടിച്ചു.

4. സാങ്കേതിക വിശകലനം

ഈ വിഭാഗത്തിൽ, പ്രതിരോധ സംവിധാനങ്ങൾ, RC4 അൽഗോരിതത്തിന്റെ സ്വന്തം പതിപ്പ്, നെറ്റ്‌വർക്ക് പ്രോട്ടോക്കോൾ, ചാരപ്രവർത്തനം, മറ്റ് ചില സവിശേഷതകൾ എന്നിവ ഉൾപ്പെടെ RTM ബാങ്കിംഗ് ട്രോജന്റെ പ്രധാന പ്രവർത്തനങ്ങൾ ഞങ്ങൾ വിവരിക്കും. പ്രത്യേകിച്ചും, ഞങ്ങൾ SHA-1 സാമ്പിളുകളിൽ AA0FA4584768CE9E16D67D8C529233E99FF1BBF0, 48BC113EC8BA20B8B80CD5D4DA92051A19D1032B എന്നിവയിൽ ശ്രദ്ധ കേന്ദ്രീകരിക്കും.

4.1 ഇൻസ്റ്റാളേഷനും സേവിംഗും

4.1.1. നടപ്പിലാക്കൽ

RTM കോർ ഒരു DLL ആണ്, ലൈബ്രറി .EXE ഉപയോഗിച്ച് ഡിസ്കിലേക്ക് ലോഡ് ചെയ്യുന്നു. എക്സിക്യൂട്ടബിൾ ഫയൽ സാധാരണയായി പാക്കേജുചെയ്തിരിക്കുന്നു, അതിൽ DLL കോഡ് അടങ്ങിയിരിക്കുന്നു. സമാരംഭിച്ചുകഴിഞ്ഞാൽ, അത് DLL എക്‌സ്‌ട്രാക്റ്റ് ചെയ്യുകയും ഇനിപ്പറയുന്ന കമാൻഡ് ഉപയോഗിച്ച് പ്രവർത്തിപ്പിക്കുകയും ചെയ്യുന്നു:

rundll32.exe “%PROGRAMDATA%Winlogonwinlogon.lnk”,DllGetClassObject host

4.1.2. DLL

പ്രധാന DLL എപ്പോഴും %PROGRAMDATA%Winlogon ഫോൾഡറിൽ winlogon.lnk ആയി ഡിസ്കിലേക്ക് ലോഡ് ചെയ്യുന്നു. ഈ ഫയൽ വിപുലീകരണം സാധാരണയായി ഒരു കുറുക്കുവഴിയുമായി ബന്ധപ്പെട്ടിരിക്കുന്നു, എന്നാൽ യഥാർത്ഥത്തിൽ ഡെവലപ്പർ ഡെവലപ്പർ core.dll എന്ന് പേരിട്ടിരിക്കുന്ന ഡെൽഫിയിൽ എഴുതിയ DLL ആണ് ഫയൽ, ചുവടെയുള്ള ചിത്രത്തിൽ കാണിച്ചിരിക്കുന്നത്.

Пример названия DLL F4C746696B0F5BB565D445EC49DD912993DE6361

വിക്ഷേപിച്ചുകഴിഞ്ഞാൽ, ട്രോജൻ അതിന്റെ പ്രതിരോധ സംവിധാനം സജീവമാക്കുന്നു. സിസ്റ്റത്തിലെ ഇരയുടെ പ്രത്യേകാവകാശങ്ങളെ ആശ്രയിച്ച് ഇത് രണ്ട് വ്യത്യസ്ത രീതികളിൽ ചെയ്യാം. നിങ്ങൾക്ക് അഡ്മിനിസ്ട്രേറ്റർ അവകാശങ്ങളുണ്ടെങ്കിൽ, HKLMSOFTWAREMmicrosoftWindowsCurrentVersionRun രജിസ്ട്രിയിലേക്ക് ട്രോജൻ ഒരു വിൻഡോസ് അപ്‌ഡേറ്റ് എൻട്രി ചേർക്കുന്നു. വിൻഡോസ് അപ്‌ഡേറ്റിൽ അടങ്ങിയിരിക്കുന്ന കമാൻഡുകൾ ഉപയോക്താവിന്റെ സെഷന്റെ തുടക്കത്തിൽ പ്രവർത്തിക്കും.

HKLMSOFTWAREMmicrosoftWindowsCurrentVersionRunWindows അപ്‌ഡേറ്റ് [REG_SZ] = rundll32.exe “%PROGRAMDATA%winlogon.lnk”,DllGetClassObject ഹോസ്റ്റ്

വിൻഡോസ് ടാസ്‌ക് ഷെഡ്യൂളറിലേക്ക് ഒരു ടാസ്‌ക് ചേർക്കാനും ട്രോജൻ ശ്രമിക്കുന്നു. മുകളിൽ പറഞ്ഞ അതേ പാരാമീറ്ററുകൾ ഉപയോഗിച്ച് ടാസ്‌ക് winlogon.lnk DLL ലോഞ്ച് ചെയ്യും. HKCUSoftwareMicrosoftWindowsCurrentVersionRun രജിസ്ട്രിയിലേക്ക് അതേ ഡാറ്റയുള്ള ഒരു വിൻഡോസ് അപ്‌ഡേറ്റ് എൻട്രി ചേർക്കാൻ പതിവ് ഉപയോക്തൃ അവകാശങ്ങൾ ട്രോജനെ അനുവദിക്കുന്നു:

rundll32.exe “%PROGRAMDATA%winlogon.lnk”,DllGetClassObject host

4.2 പരിഷ്കരിച്ച RC4 അൽഗോരിതം

അറിയപ്പെടുന്ന പോരായ്മകൾ ഉണ്ടായിരുന്നിട്ടും, RC4 അൽഗോരിതം ക്ഷുദ്രവെയർ രചയിതാക്കൾ പതിവായി ഉപയോഗിക്കുന്നു. എന്നിരുന്നാലും, ആർ‌ടി‌എമ്മിന്റെ സ്രഷ്‌ടാക്കൾ ഇത് ചെറുതായി പരിഷ്‌ക്കരിച്ചു, ഒരുപക്ഷേ വൈറസ് വിശകലന വിദഗ്ധരുടെ ചുമതല കൂടുതൽ ബുദ്ധിമുട്ടാക്കാനാണ്. സ്ട്രിംഗുകൾ, നെറ്റ്‌വർക്ക് ഡാറ്റ, കോൺഫിഗറേഷൻ, മൊഡ്യൂളുകൾ എന്നിവ എൻക്രിപ്റ്റ് ചെയ്യുന്നതിന് ക്ഷുദ്രകരമായ RTM ടൂളുകളിൽ RC4-ന്റെ പരിഷ്കരിച്ച പതിപ്പ് വ്യാപകമായി ഉപയോഗിക്കുന്നു.

4.2.1. വ്യത്യാസങ്ങൾ

യഥാർത്ഥ RC4 അൽഗോരിതം രണ്ട് ഘട്ടങ്ങൾ ഉൾക്കൊള്ളുന്നു: s-ബ്ലോക്ക് ഇനീഷ്യലൈസേഷൻ (അതായത് KSA - കീ-ഷെഡ്യൂളിംഗ് അൽഗോരിതം), കപട-റാൻഡം സീക്വൻസ് ജനറേഷൻ (PRGA - Pseudo-Random Generation Algorithm). ആദ്യ ഘട്ടത്തിൽ കീ ഉപയോഗിച്ച് s-ബോക്‌സ് സമാരംഭിക്കുന്നത് ഉൾപ്പെടുന്നു, രണ്ടാം ഘട്ടത്തിൽ എൻക്രിപ്‌ഷനായി s-box ഉപയോഗിച്ച് സോഴ്‌സ് ടെക്‌സ്‌റ്റ് പ്രോസസ്സ് ചെയ്യുന്നു.

എസ്-ബോക്സ് ഇനീഷ്യലൈസേഷനും എൻക്രിപ്ഷനും ഇടയിൽ RTM രചയിതാക്കൾ ഒരു ഇന്റർമീഡിയറ്റ് ഘട്ടം ചേർത്തു. അധിക കീ വേരിയബിൾ ആണ്, കൂടാതെ ഡാറ്റ എൻക്രിപ്റ്റ് ചെയ്യാനും ഡീക്രിപ്റ്റ് ചെയ്യാനും ഒരേ സമയം സജ്ജീകരിച്ചിരിക്കുന്നു. ഈ അധിക ഘട്ടം നിർവ്വഹിക്കുന്ന പ്രവർത്തനം ചുവടെയുള്ള ചിത്രത്തിൽ കാണിച്ചിരിക്കുന്നു.

4.2.2. സ്ട്രിംഗ് എൻക്രിപ്ഷൻ

ഒറ്റനോട്ടത്തിൽ, പ്രധാന DLL-ൽ വായിക്കാൻ കഴിയുന്ന നിരവധി ലൈനുകൾ ഉണ്ട്. ബാക്കിയുള്ളവ മുകളിൽ വിവരിച്ച അൽഗോരിതം ഉപയോഗിച്ച് എൻക്രിപ്റ്റ് ചെയ്തിരിക്കുന്നു, അതിന്റെ ഘടന ഇനിപ്പറയുന്ന ചിത്രത്തിൽ കാണിച്ചിരിക്കുന്നു. വിശകലനം ചെയ്ത സാമ്പിളുകളിൽ സ്ട്രിംഗ് എൻക്രിപ്ഷനായി 25-ലധികം വ്യത്യസ്ത RC4 കീകൾ ഞങ്ങൾ കണ്ടെത്തി. ഓരോ വരിയിലും XOR കീ വ്യത്യസ്തമാണ്. വരികൾ വേർതിരിക്കുന്ന സംഖ്യാ ഫീൽഡിന്റെ മൂല്യം എല്ലായ്പ്പോഴും 0xFFFFFFFF ആണ്.

നിർവ്വഹണത്തിന്റെ തുടക്കത്തിൽ, RTM ഒരു ആഗോള വേരിയബിളിലേക്ക് സ്ട്രിംഗുകളെ ഡീക്രിപ്റ്റ് ചെയ്യുന്നു. ഒരു സ്‌ട്രിംഗ് ആക്‌സസ് ചെയ്യേണ്ടിവരുമ്പോൾ, അടിസ്ഥാന വിലാസത്തെയും ഓഫ്‌സെറ്റിനെയും അടിസ്ഥാനമാക്കി ട്രോജൻ ഡൈനാമിക് ആയി ഡീക്രിപ്റ്റ് ചെയ്‌ത സ്‌ട്രിംഗുകളുടെ വിലാസം കണക്കാക്കുന്നു.

മാൽവെയറിന്റെ പ്രവർത്തനങ്ങളെക്കുറിച്ചുള്ള രസകരമായ വിവരങ്ങൾ സ്ട്രിംഗുകളിൽ അടങ്ങിയിരിക്കുന്നു. ചില ഉദാഹരണ സ്ട്രിംഗുകൾ സെക്ഷൻ 6.8 ൽ നൽകിയിരിക്കുന്നു.

4.3. നെറ്റ്‌വർക്ക്

C&C സെർവറുമായി RTM മാൽവെയർ ബന്ധപ്പെടുന്ന രീതി ഓരോ പതിപ്പിനും വ്യത്യസ്തമാണ്. ആദ്യ പരിഷ്‌ക്കരണങ്ങൾ (ഒക്ടോബർ 2015 - ഏപ്രിൽ 2016) കമാൻഡുകളുടെ ലിസ്റ്റ് അപ്‌ഡേറ്റ് ചെയ്യുന്നതിന് livejournal.com-ലെ RSS ഫീഡിനൊപ്പം പരമ്പരാഗത ഡൊമെയ്‌ൻ നാമങ്ങളും ഉപയോഗിച്ചു.

2016 ഏപ്രിൽ മുതൽ, ടെലിമെട്രി ഡാറ്റയിൽ .ബിറ്റ് ഡൊമെയ്‌നുകളിലേക്ക് മാറുന്നത് ഞങ്ങൾ കണ്ടു. ഡൊമെയ്ൻ രജിസ്ട്രേഷൻ തീയതി ഇത് സ്ഥിരീകരിക്കുന്നു - ആദ്യത്തെ RTM ഡൊമെയ്ൻ fde05d0573da.bit 13 മാർച്ച് 2016-ന് രജിസ്റ്റർ ചെയ്തു.

കാമ്പെയ്‌ൻ നിരീക്ഷിക്കുമ്പോൾ ഞങ്ങൾ കണ്ട എല്ലാ URL-കൾക്കും പൊതുവായ ഒരു പാതയുണ്ട്: /r/z.php. ഇത് തികച്ചും അസാധാരണമാണ് കൂടാതെ നെറ്റ്‌വർക്ക് ഫ്ലോകളിലെ RTM അഭ്യർത്ഥനകൾ തിരിച്ചറിയാൻ ഇത് സഹായിക്കും.

4.3.1. കമാൻഡുകൾക്കും നിയന്ത്രണത്തിനുമുള്ള ചാനൽ

ലെഗസി ഉദാഹരണങ്ങൾ അവരുടെ കമാൻഡ്, കൺട്രോൾ സെർവറുകളുടെ ലിസ്റ്റ് അപ്ഡേറ്റ് ചെയ്യാൻ ഈ ചാനൽ ഉപയോഗിച്ചു. ഹോസ്റ്റിംഗ് livejournal.com-ൽ സ്ഥിതിചെയ്യുന്നു, റിപ്പോർട്ട് എഴുതുന്ന സമയത്ത് അത് URL hxxp://f72bba81c921(.)livejournal(.)com/ data/rss-ൽ തുടർന്നു.

ബ്ലോഗിംഗ് പ്ലാറ്റ്‌ഫോം നൽകുന്ന ഒരു റഷ്യൻ-അമേരിക്കൻ കമ്പനിയാണ് ലൈവ് ജേർണൽ. RTM ഓപ്പറേറ്റർമാർ ഒരു LJ ബ്ലോഗ് സൃഷ്ടിക്കുന്നു, അതിൽ അവർ കോഡ് ചെയ്ത കമാൻഡുകൾ ഉപയോഗിച്ച് ഒരു ലേഖനം പോസ്റ്റുചെയ്യുന്നു - സ്ക്രീൻഷോട്ട് കാണുക.

പരിഷ്കരിച്ച RC4 അൽഗോരിതം (വിഭാഗം 4.2) ഉപയോഗിച്ചാണ് കമാൻഡ് ആൻഡ് കൺട്രോൾ ലൈനുകൾ എൻകോഡ് ചെയ്യുന്നത്. ചാനലിന്റെ നിലവിലെ പതിപ്പിൽ (നവംബർ 2016) ഇനിപ്പറയുന്ന കമാൻഡും നിയന്ത്രണ സെർവർ വിലാസങ്ങളും അടങ്ങിയിരിക്കുന്നു:

• hxxp://cainmoon(.)net/r/z.php
• hxxp://rtm(.)dev/0-3/z.php
• hxxp://vpntap(.)top/r/z.php

4.3.2. .ബിറ്റ് ഡൊമെയ്‌നുകൾ

ഏറ്റവും പുതിയ RTM സാമ്പിളുകളിൽ, .bit TLD ടോപ്പ്-ലെവൽ ഡൊമെയ്‌ൻ ഉപയോഗിച്ച് രചയിതാക്കൾ C&C ഡൊമെയ്‌നുകളിലേക്ക് കണക്റ്റുചെയ്യുന്നു. ഉയർന്ന തലത്തിലുള്ള ഡൊമെയ്‌നുകളുടെ ICANN (ഡൊമെയ്‌ൻ നാമവും ഇന്റർനെറ്റ് കോർപ്പറേഷനും) പട്ടികയിൽ ഇത് ഇല്ല. പകരം, ബിറ്റ്കോയിൻ സാങ്കേതികവിദ്യയുടെ മുകളിൽ നിർമ്മിച്ച നെയിംകോയിൻ സിസ്റ്റം ഉപയോഗിക്കുന്നു. ക്ഷുദ്രവെയർ രചയിതാക്കൾ അവരുടെ ഡൊമെയ്‌നുകൾക്കായി .bit TLD ഉപയോഗിക്കാറില്ല, എന്നിരുന്നാലും അത്തരം ഉപയോഗത്തിന്റെ ഒരു ഉദാഹരണം മുമ്പ് Necurs botnet-ന്റെ ഒരു പതിപ്പിൽ നിരീക്ഷിക്കപ്പെട്ടിരുന്നു.

ബിറ്റ്കോയിനിൽ നിന്ന് വ്യത്യസ്തമായി, വിതരണം ചെയ്ത നെയിംകോയിൻ ഡാറ്റാബേസിന്റെ ഉപയോക്താക്കൾക്ക് ഡാറ്റ സംരക്ഷിക്കാനുള്ള കഴിവുണ്ട്. ഈ സവിശേഷതയുടെ പ്രധാന പ്രയോഗം .bit ടോപ്പ്-ലെവൽ ഡൊമെയ്‌നാണ്. വിതരണം ചെയ്ത ഡാറ്റാബേസിൽ സംഭരിക്കുന്ന ഡൊമെയ്‌നുകൾ നിങ്ങൾക്ക് രജിസ്റ്റർ ചെയ്യാം. ഡാറ്റാബേസിലെ അനുബന്ധ എൻട്രികളിൽ ഡൊമെയ്ൻ പരിഹരിച്ച IP വിലാസങ്ങൾ അടങ്ങിയിരിക്കുന്നു. ഈ TLD "സെൻസർഷിപ്പ്-റെസിസ്റ്റന്റ്" ആണ്, കാരണം രജിസ്ട്രാർക്ക് മാത്രമേ .bit ഡൊമെയ്‌നിന്റെ റെസല്യൂഷൻ മാറ്റാൻ കഴിയൂ. ഇത്തരത്തിലുള്ള TLD ഉപയോഗിച്ച് ഒരു ക്ഷുദ്ര ഡൊമെയ്ൻ നിർത്തുന്നത് വളരെ ബുദ്ധിമുട്ടാണ് എന്നാണ് ഇതിനർത്ഥം.

വിതരണം ചെയ്ത നെയിംകോയിൻ ഡാറ്റാബേസ് വായിക്കാൻ ആവശ്യമായ സോഫ്റ്റ്‌വെയർ RTM ട്രോജൻ ഉൾച്ചേർക്കുന്നില്ല. .bit ഡൊമെയ്‌നുകൾ പരിഹരിക്കുന്നതിന് ഇത് dns.dot-bit.org അല്ലെങ്കിൽ OpenNic സെർവറുകൾ പോലുള്ള കേന്ദ്ര DNS സെർവറുകൾ ഉപയോഗിക്കുന്നു. അതിനാൽ, ഇതിന് ഡിഎൻഎസ് സെർവറുകളുടെ അതേ ദൈർഘ്യമുണ്ട്. ഒരു ബ്ലോഗ് പോസ്റ്റിൽ പരാമർശിച്ചതിന് ശേഷം ചില ടീം ഡൊമെയ്‌നുകൾ കണ്ടെത്താനായില്ലെന്ന് ഞങ്ങൾ നിരീക്ഷിച്ചു.

ഹാക്കർമാർക്കുള്ള .bit TLD യുടെ മറ്റൊരു നേട്ടം ചെലവാണ്. ഒരു ഡൊമെയ്ൻ രജിസ്റ്റർ ചെയ്യുന്നതിന്, ഓപ്പറേറ്റർമാർ 0,01 NK മാത്രം നൽകേണ്ടതുണ്ട്, അത് $0,00185 (ഡിസംബർ 5, 2016 വരെ) തുല്യമാണ്. താരതമ്യത്തിന്, domain.com വില കുറഞ്ഞത് $10 ആണ്.

4.3.3. പ്രോട്ടോക്കോൾ

കമാൻഡ് ആൻഡ് കൺട്രോൾ സെർവറുമായി ആശയവിനിമയം നടത്താൻ, ഒരു ഇഷ്‌ടാനുസൃത പ്രോട്ടോക്കോൾ ഉപയോഗിച്ച് ഫോർമാറ്റ് ചെയ്‌ത ഡാറ്റയ്‌ക്കൊപ്പം HTTP POST അഭ്യർത്ഥനകൾ RTM ഉപയോഗിക്കുന്നു. പാത്ത് മൂല്യം എപ്പോഴും /r/z.php ആണ്; Mozilla/5.0 ഉപയോക്തൃ ഏജന്റ് (അനുയോജ്യമായ; MSIE 9.0; Windows NT 6.1; Trident/5.0). സെർവറിലേക്കുള്ള അഭ്യർത്ഥനകളിൽ, ഡാറ്റ ഇനിപ്പറയുന്ന രീതിയിൽ ഫോർമാറ്റ് ചെയ്യുന്നു, അവിടെ ഓഫ്സെറ്റ് മൂല്യങ്ങൾ ബൈറ്റുകളിൽ പ്രകടിപ്പിക്കുന്നു:

0 മുതൽ 6 വരെയുള്ള ബൈറ്റുകൾ എൻകോഡ് ചെയ്തിട്ടില്ല; 6 മുതൽ ആരംഭിക്കുന്ന ബൈറ്റുകൾ പരിഷ്കരിച്ച RC4 അൽഗോരിതം ഉപയോഗിച്ച് എൻകോഡ് ചെയ്യുന്നു. C&C പ്രതികരണ പാക്കറ്റിന്റെ ഘടന ലളിതമാണ്. ബൈറ്റുകൾ 4 മുതൽ പാക്കറ്റ് വലുപ്പം വരെ എൻകോഡ് ചെയ്തിരിക്കുന്നു.

സാധ്യമായ പ്രവർത്തന ബൈറ്റ് മൂല്യങ്ങളുടെ പട്ടിക ചുവടെയുള്ള പട്ടികയിൽ അവതരിപ്പിച്ചിരിക്കുന്നു:

ക്ഷുദ്രവെയർ എല്ലായ്പ്പോഴും ഡീക്രിപ്റ്റ് ചെയ്ത ഡാറ്റയുടെ CRC32 കണക്കാക്കുകയും പാക്കറ്റിൽ ഉള്ളതുമായി താരതമ്യം ചെയ്യുകയും ചെയ്യുന്നു. അവ വ്യത്യാസപ്പെട്ടാൽ, ട്രോജൻ പാക്കറ്റ് ഇടുന്നു.
അധിക ഡാറ്റയിൽ ഒരു PE ഫയൽ, ഫയൽ സിസ്റ്റത്തിൽ തിരയേണ്ട ഒരു ഫയൽ അല്ലെങ്കിൽ പുതിയ കമാൻഡ് URL-കൾ എന്നിവയുൾപ്പെടെ വിവിധ ഒബ്‌ജക്റ്റുകൾ അടങ്ങിയിരിക്കാം.

4.3.4. പാനൽ

C&C സെർവറുകളിൽ RTM ഒരു പാനൽ ഉപയോഗിക്കുന്നത് ഞങ്ങൾ ശ്രദ്ധിച്ചു. ചുവടെയുള്ള സ്ക്രീൻഷോട്ട്:

4.4 സ്വഭാവ ചിഹ്നം

RTM ഒരു സാധാരണ ബാങ്കിംഗ് ട്രോജൻ ആണ്. ഇരയുടെ സംവിധാനത്തെ കുറിച്ചുള്ള വിവരങ്ങൾ ഓപ്പറേറ്റർമാർക്ക് വേണമെന്നതിൽ അതിശയിക്കാനില്ല. ഒരു വശത്ത്, ബോട്ട് OS- നെക്കുറിച്ചുള്ള പൊതുവായ വിവരങ്ങൾ ശേഖരിക്കുന്നു. മറുവശത്ത്, വിട്ടുവീഴ്ച ചെയ്ത സിസ്റ്റത്തിൽ റഷ്യൻ റിമോട്ട് ബാങ്കിംഗ് സിസ്റ്റങ്ങളുമായി ബന്ധപ്പെട്ട ആട്രിബ്യൂട്ടുകൾ അടങ്ങിയിട്ടുണ്ടോ എന്ന് ഇത് കണ്ടെത്തുന്നു.

4.4.1. പൊതുവിവരം

ഒരു റീബൂട്ടിന് ശേഷം ക്ഷുദ്രവെയർ ഇൻസ്റ്റാൾ ചെയ്യുകയോ സമാരംഭിക്കുകയോ ചെയ്യുമ്പോൾ, ഇനിപ്പറയുന്നവ ഉൾപ്പെടെയുള്ള പൊതുവായ വിവരങ്ങൾ അടങ്ങിയ ഒരു റിപ്പോർട്ട് കമാൻഡ് ആൻഡ് കൺട്രോൾ സെർവറിലേക്ക് അയയ്ക്കും:

• സമയ മേഖല;
• സ്ഥിരസ്ഥിതി സിസ്റ്റം ഭാഷ;
• അംഗീകൃത ഉപയോക്തൃ ക്രെഡൻഷ്യലുകൾ;
• പ്രോസസ് ഇന്റഗ്രിറ്റി ലെവൽ;
• ഉപയോക്തൃനാമം;
• കമ്പ്യൂട്ടറിന്റെ പേര്;
• OS പതിപ്പ്;
• അധിക ഇൻസ്റ്റാൾ ചെയ്ത മൊഡ്യൂളുകൾ;
• ഇൻസ്റ്റാൾ ചെയ്ത ആന്റിവൈറസ് പ്രോഗ്രാം;
• സ്മാർട്ട് കാർഡ് റീഡറുകളുടെ പട്ടിക.

4.4.2 റിമോട്ട് ബാങ്കിംഗ് സംവിധാനം

ഒരു സാധാരണ ട്രോജൻ ലക്ഷ്യം ഒരു റിമോട്ട് ബാങ്കിംഗ് സംവിധാനമാണ്, കൂടാതെ RTM ഒരു അപവാദമല്ല. പ്രോഗ്രാമിന്റെ മൊഡ്യൂളുകളിൽ ഒന്നിനെ TBdo എന്ന് വിളിക്കുന്നു, ഇത് ഡിസ്കുകൾ സ്കാൻ ചെയ്യൽ, ബ്രൗസിംഗ് ചരിത്രം എന്നിവ ഉൾപ്പെടെ വിവിധ ജോലികൾ ചെയ്യുന്നു.

ഡിസ്ക് സ്കാൻ ചെയ്യുന്നതിലൂടെ, മെഷീനിൽ ബാങ്കിംഗ് സോഫ്റ്റ്വെയർ ഇൻസ്റ്റാൾ ചെയ്തിട്ടുണ്ടോ എന്ന് ട്രോജൻ പരിശോധിക്കുന്നു. ടാർഗെറ്റ് പ്രോഗ്രാമുകളുടെ മുഴുവൻ പട്ടികയും ചുവടെയുള്ള പട്ടികയിലാണ്. താൽപ്പര്യമുള്ള ഒരു ഫയൽ കണ്ടെത്തി, പ്രോഗ്രാം കമാൻഡ് സെർവറിലേക്ക് വിവരങ്ങൾ അയയ്ക്കുന്നു. അടുത്ത പ്രവർത്തനങ്ങൾ കമാൻഡ് സെന്റർ (C&C) അൽഗോരിതങ്ങൾ വ്യക്തമാക്കിയ യുക്തിയെ ആശ്രയിച്ചിരിക്കുന്നു.

നിങ്ങളുടെ ബ്രൗസർ ചരിത്രത്തിലും ഓപ്പൺ ടാബുകളിലും URL പാറ്റേണുകൾക്കായി RTM തിരയുന്നു. കൂടാതെ, പ്രോഗ്രാം FindNextUrlCacheEntryA, FindFirstUrlCacheEntryA ഫംഗ്‌ഷനുകളുടെ ഉപയോഗം പരിശോധിക്കുന്നു, കൂടാതെ ഇനിപ്പറയുന്ന പാറ്റേണുകളിൽ ഒന്നിലേക്ക് URL പൊരുത്തപ്പെടുത്തുന്നതിന് ഓരോ എൻട്രിയും പരിശോധിക്കുന്നു:

ഓപ്പൺ ടാബുകൾ കണ്ടെത്തിയാൽ, ടാബ് പാറ്റേണുമായി പൊരുത്തപ്പെടുന്നുണ്ടോയെന്ന് പരിശോധിക്കാൻ ഡൈനാമിക് ഡാറ്റാ എക്സ്ചേഞ്ച് (ഡിഡിഇ) മെക്കാനിസം വഴി ട്രോജൻ ഇന്റർനെറ്റ് എക്സ്പ്ലോററോ ഫയർഫോക്സുമായോ ബന്ധപ്പെടുന്നു.

നിങ്ങളുടെ ബ്രൗസിംഗ് ചരിത്രവും ഓപ്പൺ ടാബുകളും പരിശോധിക്കുന്നത് ഒരു WHILE ലൂപ്പിലാണ് (മുൻ വ്യവസ്ഥയുള്ള ഒരു ലൂപ്പ്) ചെക്കുകൾക്കിടയിൽ 1 സെക്കൻഡ് ഇടവേള. തത്സമയം നിരീക്ഷിക്കുന്ന മറ്റ് ഡാറ്റ വിഭാഗം 4.5-ൽ ചർച്ച ചെയ്യും.

ഒരു പാറ്റേൺ കണ്ടെത്തിയാൽ, ഇനിപ്പറയുന്ന പട്ടികയിൽ നിന്നുള്ള സ്ട്രിംഗുകളുടെ ഒരു ലിസ്റ്റ് ഉപയോഗിച്ച് പ്രോഗ്രാം ഇത് കമാൻഡ് സെർവറിലേക്ക് റിപ്പോർട്ട് ചെയ്യുന്നു:

4.5 നിരീക്ഷണം

ട്രോജൻ പ്രവർത്തിക്കുമ്പോൾ, രോഗബാധിതമായ സിസ്റ്റത്തിന്റെ സ്വഭാവ സവിശേഷതകളെക്കുറിച്ചുള്ള വിവരങ്ങൾ (ബാങ്കിംഗ് സോഫ്റ്റ്വെയറിന്റെ സാന്നിധ്യത്തെക്കുറിച്ചുള്ള വിവരങ്ങൾ ഉൾപ്പെടെ) കമാൻഡ് ആൻഡ് കൺട്രോൾ സെർവറിലേക്ക് അയയ്ക്കുന്നു. പ്രാരംഭ OS സ്കാൻ കഴിഞ്ഞ് ഉടൻ തന്നെ RTM മോണിറ്ററിംഗ് സിസ്റ്റം പ്രവർത്തിപ്പിക്കുമ്പോൾ വിരലടയാളം സംഭവിക്കുന്നു.

4.5.1. റിമോട്ട് ബാങ്കിംഗ്

ബാങ്കിംഗുമായി ബന്ധപ്പെട്ട പ്രക്രിയകൾ നിരീക്ഷിക്കുന്നതിനും TBdo മൊഡ്യൂളിന് ഉത്തരവാദിത്തമുണ്ട്. പ്രാരംഭ സ്കാൻ സമയത്ത് ഫയർഫോക്സിലെയും ഇന്റർനെറ്റ് എക്സ്പ്ലോററിലെയും ടാബുകൾ പരിശോധിക്കാൻ ഇത് ഡൈനാമിക് ഡാറ്റ എക്സ്ചേഞ്ച് ഉപയോഗിക്കുന്നു. കമാൻഡ് വിൻഡോകൾ (ഇന്റർനെറ്റ് എക്സ്പ്ലോറർ അല്ലെങ്കിൽ ഫയൽ എക്സ്പ്ലോറർ) നിരീക്ഷിക്കാൻ മറ്റൊരു TShell മൊഡ്യൂൾ ഉപയോഗിക്കുന്നു.

വിൻഡോകൾ നിരീക്ഷിക്കാൻ COM ഇന്റർഫേസുകളായ IShellWindows, iWebBrowser, DWebBrowserEvents2, IConnectionPointContainer എന്നിവ മൊഡ്യൂൾ ഉപയോഗിക്കുന്നു. ഒരു ഉപയോക്താവ് ഒരു പുതിയ വെബ് പേജിലേക്ക് നാവിഗേറ്റ് ചെയ്യുമ്പോൾ, ക്ഷുദ്രവെയർ ഇത് ശ്രദ്ധിക്കുന്നു. അത് പിന്നീട് മുകളിലെ പാറ്റേണുകളുമായി പേജ് URL താരതമ്യം ചെയ്യുന്നു. ഒരു പൊരുത്തം കണ്ടെത്തിയാൽ, ട്രോജൻ 5 സെക്കൻഡ് ഇടവേളയിൽ തുടർച്ചയായി ആറ് സ്ക്രീൻഷോട്ടുകൾ എടുത്ത് C&S കമാൻഡ് സെർവറിലേക്ക് അയയ്ക്കുന്നു. ബാങ്കിംഗ് സോഫ്‌റ്റ്‌വെയറുമായി ബന്ധപ്പെട്ട ചില വിൻഡോ പേരുകളും പ്രോഗ്രാം പരിശോധിക്കുന്നു - പൂർണ്ണമായ ലിസ്റ്റ് ചുവടെ:

4.5.2. സ്മാർട്ട് കാർഡ്

രോഗബാധിതരായ കമ്പ്യൂട്ടറുകളുമായി ബന്ധിപ്പിച്ചിട്ടുള്ള സ്മാർട്ട് കാർഡ് റീഡറുകൾ നിരീക്ഷിക്കാൻ RTM നിങ്ങളെ അനുവദിക്കുന്നു. പേയ്‌മെന്റ് ഓർഡറുകൾ യോജിപ്പിക്കാൻ ചില രാജ്യങ്ങളിൽ ഈ ഉപകരണങ്ങൾ ഉപയോഗിക്കുന്നു. ഇത്തരത്തിലുള്ള ഉപകരണം ഒരു കമ്പ്യൂട്ടറിൽ ഘടിപ്പിച്ചിട്ടുണ്ടെങ്കിൽ, അത് ബാങ്കിംഗ് ഇടപാടുകൾക്കായി യന്ത്രം ഉപയോഗിക്കുന്നുണ്ടെന്ന് ട്രോജനോട് സൂചിപ്പിക്കാം.

മറ്റ് ബാങ്കിംഗ് ട്രോജനുകളിൽ നിന്ന് വ്യത്യസ്തമായി, RTM-ന് അത്തരം സ്മാർട്ട് കാർഡുകളുമായി സംവദിക്കാൻ കഴിയില്ല. ഒരുപക്ഷേ ഈ പ്രവർത്തനം ഞങ്ങൾ ഇതുവരെ കണ്ടിട്ടില്ലാത്ത ഒരു അധിക മൊഡ്യൂളിൽ ഉൾപ്പെടുത്തിയിരിക്കാം.

4.5.3. കീലോഗർ

രോഗം ബാധിച്ച പിസി നിരീക്ഷിക്കുന്നതിന്റെ ഒരു പ്രധാന ഭാഗം കീസ്ട്രോക്കുകൾ ക്യാപ്ചർ ചെയ്യുകയാണ്. സാധാരണ കീകൾ മാത്രമല്ല, വെർച്വൽ കീബോർഡും ക്ലിപ്പ്ബോർഡും നിരീക്ഷിക്കുന്നതിനാൽ, RTM ഡവലപ്പർമാർക്ക് ഒരു വിവരവും നഷ്‌ടപ്പെടുന്നില്ലെന്ന് തോന്നുന്നു.

ഇത് ചെയ്യുന്നതിന്, SetWindowsHookExA ഫംഗ്ഷൻ ഉപയോഗിക്കുക. ആക്രമണകാരികൾ പ്രോഗ്രാമിന്റെ പേരും തീയതിയും സഹിതം അമർത്തിപ്പിടിച്ച കീകൾ അല്ലെങ്കിൽ വെർച്വൽ കീബോർഡുമായി ബന്ധപ്പെട്ട കീകൾ ലോഗ് ചെയ്യുന്നു. ബഫർ പിന്നീട് C&C കമാൻഡ് സെർവറിലേക്ക് അയയ്ക്കുന്നു.

ക്ലിപ്പ്ബോർഡ് തടസ്സപ്പെടുത്താൻ SetClipboardViewer ഫംഗ്ഷൻ ഉപയോഗിക്കുന്നു. ഡാറ്റ ടെക്സ്റ്റ് ആകുമ്പോൾ ഹാക്കർമാർ ക്ലിപ്പ്ബോർഡിലെ ഉള്ളടക്കങ്ങൾ ലോഗ് ചെയ്യുന്നു. സെർവറിലേക്ക് ബഫർ അയയ്‌ക്കുന്നതിന് മുമ്പ് പേരും തീയതിയും ലോഗ് ചെയ്‌തിരിക്കുന്നു.

4.5.4. സ്ക്രീൻഷോട്ടുകൾ

മറ്റൊരു RTM ഫംഗ്‌ഷൻ സ്‌ക്രീൻഷോട്ട് ഇന്റർസെപ്ഷൻ ആണ്. വിൻഡോ മോണിറ്ററിംഗ് മൊഡ്യൂൾ താൽപ്പര്യമുള്ള ഒരു സൈറ്റോ ബാങ്കിംഗ് സോഫ്‌റ്റ്‌വെയറോ കണ്ടെത്തുമ്പോൾ ഫീച്ചർ പ്രയോഗിക്കുന്നു. ഗ്രാഫിക് ഇമേജുകളുടെ ഒരു ലൈബ്രറി ഉപയോഗിച്ച് സ്ക്രീൻഷോട്ടുകൾ എടുക്കുകയും കമാൻഡ് സെർവറിലേക്ക് മാറ്റുകയും ചെയ്യുന്നു.

4.6 അൺഇൻസ്റ്റാളേഷൻ

C&C സെർവറിന് ക്ഷുദ്രവെയർ പ്രവർത്തിക്കുന്നത് നിർത്താനും നിങ്ങളുടെ കമ്പ്യൂട്ടർ വൃത്തിയാക്കാനും കഴിയും. RTM പ്രവർത്തിക്കുമ്പോൾ സൃഷ്ടിച്ച ഫയലുകളും രജിസ്ട്രി എൻട്രികളും മായ്‌ക്കാൻ കമാൻഡ് നിങ്ങളെ അനുവദിക്കുന്നു. ക്ഷുദ്രവെയറും വിൻലോഗൺ ഫയലും നീക്കംചെയ്യാൻ DLL ഉപയോഗിക്കുന്നു, അതിനുശേഷം കമാൻഡ് കമ്പ്യൂട്ടർ ഷട്ട്ഡൗൺ ചെയ്യുന്നു. ചുവടെയുള്ള ചിത്രത്തിൽ കാണിച്ചിരിക്കുന്നതുപോലെ, erase.dll ഉപയോഗിച്ച് ഡവലപ്പർമാർ DLL നീക്കം ചെയ്യുന്നു.

സെർവറിന് ട്രോജൻ ഒരു വിനാശകരമായ അൺഇൻസ്റ്റാൾ-ലോക്ക് കമാൻഡ് അയയ്ക്കാൻ കഴിയും. ഈ സാഹചര്യത്തിൽ, നിങ്ങൾക്ക് അഡ്മിനിസ്ട്രേറ്റർ അവകാശങ്ങൾ ഉണ്ടെങ്കിൽ, ഹാർഡ് ഡ്രൈവിലെ MBR ബൂട്ട് സെക്ടർ RTM ഇല്ലാതാക്കും. ഇത് പരാജയപ്പെടുകയാണെങ്കിൽ, ട്രോജൻ MBR ബൂട്ട് സെക്ടറിനെ ഒരു റാൻഡം സെക്ടറിലേക്ക് മാറ്റാൻ ശ്രമിക്കും - തുടർന്ന് ഷട്ട്ഡൗൺ ചെയ്തതിന് ശേഷം കമ്പ്യൂട്ടറിന് OS ബൂട്ട് ചെയ്യാൻ കഴിയില്ല. ഇത് OS- ന്റെ പൂർണ്ണമായ പുനഃസ്ഥാപനത്തിലേക്ക് നയിച്ചേക്കാം, അതായത് തെളിവുകളുടെ നാശം.

അഡ്മിനിസ്ട്രേറ്റർ പ്രത്യേകാവകാശങ്ങളില്ലാതെ, ക്ഷുദ്രവെയർ ഒരു .EXE എൻകോഡ് ചെയ്ത RTM DLL-ൽ എഴുതുന്നു. എക്സിക്യൂട്ടബിൾ കമ്പ്യൂട്ടർ ഷട്ട് ഡൗൺ ചെയ്യുന്നതിന് ആവശ്യമായ കോഡ് എക്സിക്യൂട്ട് ചെയ്യുകയും HKCUCurrentVersionRun രജിസ്ട്രി കീയിൽ മൊഡ്യൂൾ രജിസ്റ്റർ ചെയ്യുകയും ചെയ്യുന്നു. ഉപയോക്താവ് ഒരു സെഷൻ ആരംഭിക്കുമ്പോഴെല്ലാം, കമ്പ്യൂട്ടർ ഉടനടി ഷട്ട്ഡൗൺ ചെയ്യുന്നു.

4.7 കോൺഫിഗറേഷൻ ഫയൽ

സ്ഥിരസ്ഥിതിയായി, RTM-ന് മിക്കവാറും കോൺഫിഗറേഷൻ ഫയലില്ല, എന്നാൽ കമാൻഡിനും കൺട്രോൾ സെർവറിനും കോൺഫിഗറേഷൻ മൂല്യങ്ങൾ അയയ്ക്കാൻ കഴിയും, അത് രജിസ്ട്രിയിൽ സംഭരിക്കുകയും പ്രോഗ്രാം ഉപയോഗിക്കുകയും ചെയ്യും. കോൺഫിഗറേഷൻ കീകളുടെ ലിസ്റ്റ് ചുവടെയുള്ള പട്ടികയിൽ അവതരിപ്പിച്ചിരിക്കുന്നു:

കോൺഫിഗറേഷൻ സോഫ്റ്റ്‌വെയർ[സ്യൂഡോ-റാൻഡം സ്ട്രിംഗ്] രജിസ്ട്രി കീയിൽ സംഭരിച്ചിരിക്കുന്നു. ഓരോ മൂല്യവും മുമ്പത്തെ പട്ടികയിൽ അവതരിപ്പിച്ച വരികളിലൊന്നുമായി യോജിക്കുന്നു. RTM-ലെ RC4 അൽഗോരിതം ഉപയോഗിച്ചാണ് മൂല്യങ്ങളും ഡാറ്റയും എൻകോഡ് ചെയ്യുന്നത്.

ഡാറ്റയ്‌ക്ക് ഒരു നെറ്റ്‌വർക്കിന്റെയോ സ്‌ട്രിംഗിന്റെയോ അതേ ഘടനയുണ്ട്. എൻകോഡ് ചെയ്ത ഡാറ്റയുടെ തുടക്കത്തിൽ ഒരു നാല്-ബൈറ്റ് XOR കീ ചേർത്തിരിക്കുന്നു. കോൺഫിഗറേഷൻ മൂല്യങ്ങൾക്കായി, XOR കീ വ്യത്യസ്തമാണ്, അത് മൂല്യത്തിന്റെ വലുപ്പത്തെ ആശ്രയിച്ചിരിക്കുന്നു. ഇത് ഇനിപ്പറയുന്ന രീതിയിൽ കണക്കാക്കാം:

xor_key = (len(config_value) << 24) | (len(config_value) << 16)
| len(config_value)| (len(config_value) << 8)

4.8. മറ്റ് പ്രവർത്തനങ്ങൾ

അടുത്തതായി, RTM പിന്തുണയ്ക്കുന്ന മറ്റ് ഫംഗ്ഷനുകൾ നോക്കാം.

4.8.1. അധിക മൊഡ്യൂളുകൾ

ട്രോജനിൽ അധിക മൊഡ്യൂളുകൾ ഉൾപ്പെടുന്നു, അവ DLL ഫയലുകളാണ്. C&C കമാൻഡ് സെർവറിൽ നിന്ന് അയയ്‌ക്കുന്ന മൊഡ്യൂളുകൾ എക്‌സ്‌റ്റേണൽ പ്രോഗ്രാമുകളായി എക്‌സിക്യൂട്ട് ചെയ്യാനും റാമിൽ പ്രതിഫലിക്കുകയും പുതിയ ത്രെഡുകളിൽ സമാരംഭിക്കുകയും ചെയ്യാം. സംഭരണത്തിനായി, മൊഡ്യൂളുകൾ .dtt ഫയലുകളിൽ സംരക്ഷിക്കുകയും നെറ്റ്‌വർക്ക് ആശയവിനിമയങ്ങൾക്ക് ഉപയോഗിക്കുന്ന അതേ കീ ഉപയോഗിച്ച് RC4 അൽഗോരിതം ഉപയോഗിച്ച് എൻകോഡ് ചെയ്യുകയും ചെയ്യുന്നു.

ഇതുവരെ ഞങ്ങൾ VNC മൊഡ്യൂളിന്റെ ഇൻസ്റ്റാളേഷൻ നിരീക്ഷിച്ചു (8966319882494077C21F66A8354E2CBCA0370464), ബ്രൗസർ ഡാറ്റ എക്‌സ്‌ട്രാക്ഷൻ മൊഡ്യൂൾ (03DE8622BE6B2F75A364A275995C3411626C4C9C1C2C1C562 1E69F6EFC58FBA88753 B7BE0D3B4EXNUMXCFAB).

VNC മൊഡ്യൂൾ ലോഡുചെയ്യുന്നതിന്, പോർട്ട് 44443-ലെ ഒരു പ്രത്യേക IP വിലാസത്തിൽ VNC സെർവറിലേക്ക് കണക്ഷനുകൾ അഭ്യർത്ഥിക്കുന്ന ഒരു കമാൻഡ് C&C സെർവർ നൽകുന്നു. ബ്രൗസർ ഡാറ്റ വീണ്ടെടുക്കൽ പ്ലഗിൻ TBrowserDataCollector നടപ്പിലാക്കുന്നു, അതിന് IE ബ്രൗസിംഗ് ചരിത്രം വായിക്കാനാകും. തുടർന്ന് അത് സന്ദർശിച്ച URL-കളുടെ പൂർണ്ണമായ ലിസ്റ്റ് C&C കമാൻഡ് സെർവറിലേക്ക് അയയ്ക്കുന്നു.

അവസാനം കണ്ടെത്തിയ മൊഡ്യൂളിനെ 1c_2_kl എന്ന് വിളിക്കുന്നു. ഇതിന് 1C എന്റർപ്രൈസ് സോഫ്റ്റ്‌വെയർ പാക്കേജുമായി സംവദിക്കാൻ കഴിയും. മൊഡ്യൂളിൽ രണ്ട് ഭാഗങ്ങൾ ഉൾപ്പെടുന്നു: പ്രധാന ഭാഗം - DLL ഉം രണ്ട് ഏജന്റുമാരും (32, 64 ബിറ്റ്), അവ ഓരോ പ്രക്രിയയിലും കുത്തിവയ്ക്കുകയും WH_CBT-ലേക്ക് ഒരു ബൈൻഡിംഗ് രജിസ്റ്റർ ചെയ്യുകയും ചെയ്യും. 1C പ്രക്രിയയിൽ അവതരിപ്പിച്ച ശേഷം, മൊഡ്യൂൾ CreateFile, WriteFile ഫംഗ്‌ഷനുകളെ ബന്ധിപ്പിക്കുന്നു. CreateFile ബൗണ്ട് ഫംഗ്‌ഷൻ വിളിക്കുമ്പോഴെല്ലാം, മൊഡ്യൂൾ 1c_to_kl.txt എന്ന ഫയൽ പാത്ത് മെമ്മറിയിൽ സംഭരിക്കുന്നു. WriteFile കോളിനെ തടസ്സപ്പെടുത്തിയ ശേഷം, അത് WriteFile ഫംഗ്‌ഷനെ വിളിക്കുകയും 1c_to_kl.txt എന്ന ഫയൽ പാത്ത് പ്രധാന DLL മൊഡ്യൂളിലേക്ക് അയയ്‌ക്കുകയും, അത് തയ്യാറാക്കിയ Windows WM_COPYDATA സന്ദേശം കൈമാറുകയും ചെയ്യുന്നു.

പേയ്‌മെന്റ് ഓർഡറുകൾ നിർണ്ണയിക്കാൻ പ്രധാന DLL മൊഡ്യൂൾ ഫയൽ തുറക്കുകയും പാഴ്‌സ് ചെയ്യുകയും ചെയ്യുന്നു. ഫയലിൽ അടങ്ങിയിരിക്കുന്ന തുകയും ഇടപാട് നമ്പറും ഇത് തിരിച്ചറിയുന്നു. ഈ വിവരം കമാൻഡ് സെർവറിലേക്ക് അയച്ചു. ഈ മൊഡ്യൂൾ നിലവിൽ വികസിപ്പിച്ചുകൊണ്ടിരിക്കുകയാണെന്ന് ഞങ്ങൾ വിശ്വസിക്കുന്നു, കാരണം അതിൽ ഒരു ഡീബഗ് സന്ദേശം അടങ്ങിയിരിക്കുന്നു, കൂടാതെ 1c_to_kl.txt യാന്ത്രികമായി പരിഷ്‌ക്കരിക്കാൻ കഴിയില്ല.

4.8.2. പ്രിവിലേജ് വർദ്ധനവ്

തെറ്റായ പിശക് സന്ദേശങ്ങൾ പ്രദർശിപ്പിച്ച് പ്രത്യേകാവകാശങ്ങൾ വർദ്ധിപ്പിക്കാൻ RTM ശ്രമിച്ചേക്കാം. ക്ഷുദ്രവെയർ ഒരു രജിസ്ട്രി പരിശോധനയെ അനുകരിക്കുന്നു (ചുവടെയുള്ള ചിത്രം കാണുക) അല്ലെങ്കിൽ ഒരു യഥാർത്ഥ രജിസ്ട്രി എഡിറ്റർ ഐക്കൺ ഉപയോഗിക്കുന്നു. അക്ഷരത്തെറ്റുള്ള കാത്തിരിപ്പ് ദയവായി ശ്രദ്ധിക്കുക - whait. കുറച്ച് നിമിഷങ്ങൾ സ്കാൻ ചെയ്ത ശേഷം, പ്രോഗ്രാം ഒരു തെറ്റായ പിശക് സന്ദേശം പ്രദർശിപ്പിക്കുന്നു.

വ്യാകരണ പിശകുകൾ ഉണ്ടായിരുന്നിട്ടും ഒരു തെറ്റായ സന്ദേശം സാധാരണ ഉപയോക്താവിനെ എളുപ്പത്തിൽ വഞ്ചിക്കും. ഉപയോക്താവ് രണ്ട് ലിങ്കുകളിലൊന്നിൽ ക്ലിക്കുചെയ്യുകയാണെങ്കിൽ, സിസ്റ്റത്തിൽ അതിന്റെ പ്രത്യേകാവകാശങ്ങൾ വർദ്ധിപ്പിക്കാൻ RTM ശ്രമിക്കും.

രണ്ട് വീണ്ടെടുക്കൽ ഓപ്ഷനുകളിലൊന്ന് തിരഞ്ഞെടുത്ത ശേഷം, അഡ്മിനിസ്ട്രേറ്റർ പ്രത്യേകാവകാശങ്ങളുള്ള ഷെൽ എക്‌സിക്യൂട്ട് ഫംഗ്‌ഷനിലെ റണാസ് ഓപ്ഷൻ ഉപയോഗിച്ച് ട്രോജൻ DLL സമാരംഭിക്കുന്നു. എലവേഷനായി ഉപയോക്താവ് ഒരു യഥാർത്ഥ വിൻഡോസ് പ്രോംപ്റ്റ് കാണും (ചുവടെയുള്ള ചിത്രം കാണുക). ഉപയോക്താവ് ആവശ്യമായ അനുമതികൾ നൽകിയാൽ, അഡ്മിനിസ്ട്രേറ്റർ പ്രത്യേകാവകാശങ്ങളോടെ ട്രോജൻ പ്രവർത്തിക്കും.

സിസ്റ്റത്തിൽ ഇൻസ്റ്റാൾ ചെയ്തിട്ടുള്ള സ്ഥിരസ്ഥിതി ഭാഷയെ ആശ്രയിച്ച്, ട്രോജൻ റഷ്യൻ അല്ലെങ്കിൽ ഇംഗ്ലീഷിൽ പിശക് സന്ദേശങ്ങൾ പ്രദർശിപ്പിക്കുന്നു.

4.8.3. സർട്ടിഫിക്കറ്റ്

RTM-ന് Windows സ്റ്റോറിലേക്ക് സർട്ടിഫിക്കറ്റുകൾ ചേർക്കാനും csrss.exe ഡയലോഗ് ബോക്സിലെ "അതെ" ബട്ടൺ സ്വയമേവ ക്ലിക്കുചെയ്യുന്നതിലൂടെ കൂട്ടിച്ചേർക്കലിന്റെ വിശ്വാസ്യത സ്ഥിരീകരിക്കാനും കഴിയും. ഈ സ്വഭാവം പുതിയതല്ല; ഉദാഹരണത്തിന്, ബാങ്കിംഗ് ട്രോജൻ റെറ്റെഫെയും ഒരു പുതിയ സർട്ടിഫിക്കറ്റിന്റെ ഇൻസ്റ്റാളേഷൻ സ്വതന്ത്രമായി സ്ഥിരീകരിക്കുന്നു.

4.8.4. റിവേഴ്സ് കണക്ഷൻ

RTM രചയിതാക്കൾ Backconnect TCP ടണലും സൃഷ്ടിച്ചു. ഈ ഫീച്ചർ ഇതുവരെ ഉപയോഗത്തിലുള്ളതായി ഞങ്ങൾ കണ്ടിട്ടില്ല, എന്നാൽ ഇത് വിദൂരമായി രോഗബാധിതരായ PC-കളെ നിരീക്ഷിക്കുന്നതിനാണ് രൂപകൽപ്പന ചെയ്തിരിക്കുന്നത്.

4.8.5. ഹോസ്റ്റ് ഫയൽ മാനേജ്മെന്റ്

വിൻഡോസ് ഹോസ്റ്റ് ഫയൽ പരിഷ്കരിക്കുന്നതിന് C&C സെർവറിന് ട്രോജനിലേക്ക് ഒരു കമാൻഡ് അയയ്ക്കാൻ കഴിയും. ഇഷ്‌ടാനുസൃത DNS റെസല്യൂഷനുകൾ സൃഷ്‌ടിക്കാൻ ഹോസ്റ്റ് ഫയൽ ഉപയോഗിക്കുന്നു.

4.8.6. ഒരു ഫയൽ കണ്ടെത്തി അയയ്ക്കുക

രോഗം ബാധിച്ച സിസ്റ്റത്തിൽ ഒരു ഫയൽ തിരയാനും ഡൗൺലോഡ് ചെയ്യാനും സെർവർ അഭ്യർത്ഥിച്ചേക്കാം. ഉദാഹരണത്തിന്, ഗവേഷണ വേളയിൽ 1c_to_kl.txt എന്ന ഫയലിനായി ഞങ്ങൾക്ക് ഒരു അഭ്യർത്ഥന ലഭിച്ചു. മുമ്പ് വിവരിച്ചതുപോലെ, ഈ ഫയൽ സൃഷ്ടിക്കുന്നത് 1C: എന്റർപ്രൈസ് 8 അക്കൗണ്ടിംഗ് സിസ്റ്റം ആണ്.

4.8.7. അപ്ഡേറ്റ്

അവസാനമായി, RTM രചയിതാക്കൾക്ക് നിലവിലെ പതിപ്പിന് പകരമായി ഒരു പുതിയ DLL സമർപ്പിച്ചുകൊണ്ട് സോഫ്റ്റ്വെയർ അപ്ഡേറ്റ് ചെയ്യാൻ കഴിയും.

5. ഉപസംഹാരം

റഷ്യൻ ബാങ്കിംഗ് സംവിധാനം ഇപ്പോഴും സൈബർ ആക്രമണകാരികളെ ആകർഷിക്കുന്നതായി ആർടിഎമ്മിന്റെ ഗവേഷണം കാണിക്കുന്നു. Buhtrap, Corkow, Carbanak തുടങ്ങിയ ഗ്രൂപ്പുകൾ റഷ്യയിലെ ധനകാര്യ സ്ഥാപനങ്ങളിൽ നിന്നും അവരുടെ ഇടപാടുകാരിൽ നിന്നും വിജയകരമായി പണം മോഷ്ടിക്കുന്നു. ഈ വ്യവസായത്തിലെ ഒരു പുതിയ കളിക്കാരനാണ് RTM.

ESET ടെലിമെട്രി പ്രകാരം, ക്ഷുദ്രകരമായ RTM ടൂളുകൾ കുറഞ്ഞത് 2015 അവസാനം മുതൽ ഉപയോഗത്തിലുണ്ട്. സ്മാർട്ട് കാർഡുകൾ വായിക്കുക, കീസ്‌ട്രോക്കുകൾ തടസ്സപ്പെടുത്തുക, ബാങ്കിംഗ് ഇടപാടുകൾ നിരീക്ഷിക്കുക, കൂടാതെ 1C: എന്റർപ്രൈസ് 8 ട്രാൻസ്‌പോർട്ട് ഫയലുകൾക്കായി തിരയുക എന്നിവയുൾപ്പെടെ ചാരപ്രവർത്തനത്തിന്റെ മുഴുവൻ ശ്രേണിയും പ്രോഗ്രാമിന് ഉണ്ട്.

വികേന്ദ്രീകൃതവും സെൻസർ ചെയ്യാത്തതുമായ .bit ടോപ്പ്-ലെവൽ ഡൊമെയ്‌നിന്റെ ഉപയോഗം ഉയർന്ന പ്രതിരോധശേഷിയുള്ള ഇൻഫ്രാസ്ട്രക്ചർ ഉറപ്പാക്കുന്നു.

അവലംബം: www.habr.com