എലൂസീവ് മാൽവാരിയുടെ സാഹസികത, ഭാഗം I

ഈ ലേഖനത്തിലൂടെ ഞങ്ങൾ പിടികിട്ടാത്ത ക്ഷുദ്രവെയറിനെക്കുറിച്ചുള്ള പ്രസിദ്ധീകരണങ്ങളുടെ ഒരു പരമ്പര ആരംഭിക്കുന്നു. ഫയൽലെസ് ഹാക്കിംഗ് പ്രോഗ്രാമുകൾ, ഫയൽലെസ്സ് ഹാക്കിംഗ് പ്രോഗ്രാമുകൾ എന്നും അറിയപ്പെടുന്നു, വിലയേറിയ ഉള്ളടക്കം തിരയാനും എക്‌സ്‌ട്രാക്‌റ്റുചെയ്യാനുമുള്ള കമാൻഡുകൾ നിശബ്ദമായി പ്രവർത്തിപ്പിക്കുന്നതിന് സാധാരണയായി Windows സിസ്റ്റങ്ങളിൽ PowerShell ഉപയോഗിക്കുന്നു. ക്ഷുദ്ര ഫയലുകളില്ലാതെ ഹാക്കർ പ്രവർത്തനം കണ്ടെത്തുന്നത് ബുദ്ധിമുട്ടുള്ള കാര്യമാണ്, കാരണം... സിഗ്നേച്ചർ വിശകലനത്തെ അടിസ്ഥാനമാക്കിയാണ് ആന്റിവൈറസുകളും മറ്റ് പല കണ്ടെത്തൽ സംവിധാനങ്ങളും പ്രവർത്തിക്കുന്നത്. എന്നാൽ അത്തരം സോഫ്റ്റ്‌വെയർ നിലവിലുണ്ട് എന്നതാണ് നല്ല വാർത്ത. ഉദാഹരണത്തിന്, യുബിഎ സംവിധാനങ്ങൾ, ഫയൽ സിസ്റ്റങ്ങളിലെ ക്ഷുദ്ര പ്രവർത്തനം കണ്ടുപിടിക്കാൻ പ്രാപ്തമാണ്.

ഞാൻ ആദ്യമായി ബാഡാസ് ഹാക്കർമാരുടെ വിഷയത്തെക്കുറിച്ച് ഗവേഷണം തുടങ്ങിയപ്പോൾ, അണുബാധയുടെ പരമ്പരാഗത രീതികൾ ഉപയോഗിക്കുന്നില്ല, എന്നാൽ ഇരയുടെ കമ്പ്യൂട്ടറിൽ ലഭ്യമായ ഉപകരണങ്ങളും സോഫ്‌റ്റ്‌വെയറും മാത്രം, ഇത് ഉടൻ തന്നെ ഒരു ജനപ്രിയ ആക്രമണ രീതിയായി മാറുമെന്ന് എനിക്ക് അറിയില്ലായിരുന്നു. സുരക്ഷാ പ്രൊഫഷണലുകൾ പറയുകഇതൊരു ട്രെൻഡ് ആയി മാറുകയാണെന്ന്, ഒപ്പം ഭയപ്പെടുത്തുന്ന ലേഖന തലക്കെട്ടുകൾ - ഇതിന്റെ സ്ഥിരീകരണം. അതിനാൽ, ഈ വിഷയത്തിൽ പ്രസിദ്ധീകരണങ്ങളുടെ ഒരു പരമ്പര നടത്താൻ ഞാൻ തീരുമാനിച്ചു.

മഹത്തായതും ശക്തവുമായ പവർഷെൽ

ഈ ആശയങ്ങളിൽ ചിലതിനെക്കുറിച്ച് ഞാൻ മുമ്പ് എഴുതിയിട്ടുണ്ട് പവർഷെൽ അവ്യക്തത പരമ്പര, എന്നാൽ കൂടുതൽ ഒരു സൈദ്ധാന്തിക ആശയത്തെ അടിസ്ഥാനമാക്കിയുള്ളതാണ്. പിന്നീട് ഞാൻ കണ്ടുമുട്ടി ഹൈബ്രിഡ് വിശകലനത്തിനുള്ള വെബ്സൈറ്റ്, കാട്ടിൽ "പിടിക്കപ്പെട്ട" മാൽവെയറിന്റെ സാമ്പിളുകൾ നിങ്ങൾക്ക് എവിടെ കണ്ടെത്താനാകും. ഫയലില്ലാത്ത മാൽവെയറിന്റെ സാമ്പിളുകൾ കണ്ടെത്താൻ ഈ സൈറ്റ് ഉപയോഗിച്ച് ശ്രമിക്കാൻ ഞാൻ തീരുമാനിച്ചു. ഞാൻ വിജയിക്കുകയും ചെയ്തു. നിങ്ങളുടെ സ്വന്തം മാൽവെയർ വേട്ടയാടൽ പര്യവേഷണത്തിൽ ഏർപ്പെടാൻ നിങ്ങൾ ആഗ്രഹിക്കുന്നുവെങ്കിൽ, നിങ്ങൾ ഈ സൈറ്റ് പരിശോധിച്ചുറപ്പിക്കേണ്ടതുണ്ട്, അതിനാൽ നിങ്ങൾ ഒരു വൈറ്റ് ഹാറ്റ് സ്പെഷ്യലിസ്റ്റ് എന്ന നിലയിലാണ് ജോലി ചെയ്യുന്നതെന്ന് അവർക്കറിയാം. ഒരു സുരക്ഷാ ബ്ലോഗർ എന്ന നിലയിൽ, ഞാൻ അത് ചോദ്യം ചെയ്യാതെ പാസാക്കി. നിങ്ങൾക്കും കഴിയുമെന്ന് എനിക്ക് ഉറപ്പുണ്ട്.

സാമ്പിളുകൾക്ക് പുറമേ, ഈ പ്രോഗ്രാമുകൾ എന്താണ് ചെയ്യുന്നതെന്ന് സൈറ്റിൽ നിങ്ങൾക്ക് കാണാൻ കഴിയും. ഹൈബ്രിഡ് വിശകലനം സ്വന്തം സാൻഡ്‌ബോക്‌സിൽ ക്ഷുദ്രവെയർ പ്രവർത്തിപ്പിക്കുകയും സിസ്റ്റം കോളുകൾ, റൺ പ്രോസസ്സുകൾ, നെറ്റ്‌വർക്ക് പ്രവർത്തനം എന്നിവ നിരീക്ഷിക്കുകയും സംശയാസ്പദമായ ടെക്‌സ്‌റ്റ് സ്‌ട്രിംഗുകൾ എക്‌സ്‌ട്രാക്‌റ്റുചെയ്യുകയും ചെയ്യുന്നു. ബൈനറികൾക്കും മറ്റ് എക്സിക്യൂട്ടബിൾ ഫയലുകൾക്കും, അതായത്. നിങ്ങൾക്ക് യഥാർത്ഥ ഹൈ-ലെവൽ കോഡ് നോക്കാൻ പോലും കഴിയാത്ത സാഹചര്യത്തിൽ, സോഫ്റ്റ്‌വെയർ ക്ഷുദ്രകരമാണോ അതോ സംശയാസ്പദമാണോ എന്ന് അതിന്റെ റൺടൈം പ്രവർത്തനത്തെ അടിസ്ഥാനമാക്കി ഹൈബ്രിഡ് വിശകലനം തീരുമാനിക്കുന്നു. അതിനുശേഷം സാമ്പിൾ ഇതിനകം തന്നെ വിലയിരുത്തി.

പവർഷെല്ലിന്റെയും മറ്റ് സാമ്പിൾ സ്ക്രിപ്റ്റുകളുടെയും കാര്യത്തിൽ (വിഷ്വൽ ബേസിക്, ജാവാസ്ക്രിപ്റ്റ് മുതലായവ), എനിക്ക് കോഡ് തന്നെ കാണാൻ കഴിഞ്ഞു. ഉദാഹരണത്തിന്, ഞാൻ ഈ PowerShell ഉദാഹരണം കണ്ടു:

കണ്ടെത്തൽ ഒഴിവാക്കാൻ നിങ്ങൾക്ക് Base64 എൻകോഡിംഗിൽ PowerShell പ്രവർത്തിപ്പിക്കാനും കഴിയും. നോൺ-ഇന്ററാക്ടീവ്, ഹിഡൻ പാരാമീറ്ററുകൾ ഉപയോഗിക്കുന്നത് ശ്രദ്ധിക്കുക.

അവ്യക്തതയെക്കുറിച്ചുള്ള എന്റെ പോസ്റ്റുകൾ നിങ്ങൾ വായിച്ചിട്ടുണ്ടെങ്കിൽ, ഉള്ളടക്കം ബേസ്64 എൻകോഡ് ചെയ്‌തതാണെന്ന് -e ഓപ്ഷൻ വ്യക്തമാക്കുന്നു. വഴിയിൽ, എല്ലാം തിരികെ ഡീകോഡ് ചെയ്തുകൊണ്ട് ഹൈബ്രിഡ് വിശകലനവും ഇത് സഹായിക്കുന്നു. നിങ്ങൾക്ക് Base64 PowerShell (ഇനിമുതൽ PS എന്ന് വിളിക്കുന്നു) ഡീകോഡ് ചെയ്യാൻ ശ്രമിക്കണമെങ്കിൽ, നിങ്ങൾ ഈ കമാൻഡ് പ്രവർത്തിപ്പിക്കേണ്ടതുണ്ട്:

 [System.Text.Encoding]::Unicode.GetString([System.Convert]::FromBase64String($EncodedText))

കൂടുതൽ ആഴത്തിൽ പോകുക

ഈ രീതി ഉപയോഗിച്ച് ഞാൻ ഞങ്ങളുടെ PS സ്ക്രിപ്റ്റ് ഡീകോഡ് ചെയ്‌തു, പ്രോഗ്രാമിന്റെ ടെക്‌സ്‌റ്റ് ചുവടെയുണ്ട്, ഞാൻ ചെറുതായി പരിഷ്‌ക്കരിച്ചിട്ടുണ്ടെങ്കിലും:

സ്ക്രിപ്റ്റ് സെപ്തംബർ 4, 2017 തീയതിയുമായി ബന്ധിപ്പിച്ചിരിക്കുകയും സെഷൻ കുക്കികൾ ട്രാൻസ്മിറ്റ് ചെയ്യുകയും ചെയ്തു എന്നത് ശ്രദ്ധിക്കുക.

ഈ ആക്രമണ രീതിയെക്കുറിച്ച് ഞാൻ എഴുതിയിട്ടുണ്ട് PS അവ്യക്തത പരമ്പര, ഇതിൽ base64 എൻകോഡ് ചെയ്ത സ്ക്രിപ്റ്റ് തന്നെ ലോഡ് ചെയ്യുന്നു കാണാതായി മറ്റൊരു സൈറ്റിൽ നിന്നുള്ള ക്ഷുദ്രവെയർ, .നെറ്റ് ഫ്രെയിംവർക്ക് ലൈബ്രറിയുടെ WebClient ഒബ്‌ജക്റ്റ് ഉപയോഗിച്ച് ഹെവി ലിഫ്റ്റിംഗ് നടത്തുന്നു.

അതു എന്താണ് ചെയ്യുന്നത്?

വിൻഡോസ് ഇവന്റ് ലോഗുകൾ അല്ലെങ്കിൽ ഫയർവാളുകൾ സ്കാൻ ചെയ്യുന്ന സുരക്ഷാ സോഫ്‌റ്റ്‌വെയറിനായി, അത്തരം ഒരു വെബ് അഭ്യർത്ഥന നടത്തുന്നതിൽ നിന്ന് പരിരക്ഷിക്കുന്നതിന് "WebClient" എന്ന സ്ട്രിംഗ് ഒരു പ്ലെയിൻ ടെക്‌സ്‌റ്റ് പാറ്റേൺ കണ്ടെത്തുന്നതിൽ നിന്ന് base64 എൻകോഡിംഗ് തടയുന്നു. ക്ഷുദ്രവെയറിന്റെ എല്ലാ "തിന്മകളും" പിന്നീട് ഡൗൺലോഡ് ചെയ്ത് ഞങ്ങളുടെ പവർഷെല്ലിലേക്ക് കൈമാറുന്നതിനാൽ, ഈ സമീപനം കണ്ടെത്തുന്നതിൽ നിന്ന് പൂർണ്ണമായും രക്ഷപ്പെടാൻ ഞങ്ങളെ അനുവദിക്കുന്നു. അല്ലെങ്കിലും, ഞാൻ ആദ്യം ചിന്തിച്ചത് അതാണ്.

വിൻഡോസ് പവർഷെൽ അഡ്വാൻസ്ഡ് ലോഗിംഗ് പ്രവർത്തനക്ഷമമാക്കിയാൽ (എന്റെ ലേഖനം കാണുക), ഇവന്റ് ലോഗിൽ നിങ്ങൾക്ക് ലോഡ് ചെയ്ത ലൈൻ കാണാൻ കഴിയും. ഞാൻ അങ്ങനെയാണ് മറ്റുള്ളവരും ) മൈക്രോസോഫ്റ്റ് സ്ഥിരസ്ഥിതിയായി ഈ ലെവൽ ലോഗിംഗ് പ്രവർത്തനക്ഷമമാക്കണമെന്ന് ഞാൻ കരുതുന്നു. അതിനാൽ, വിപുലീകൃത ലോഗിംഗ് പ്രവർത്തനക്ഷമമാക്കിയാൽ, ഞങ്ങൾ മുകളിൽ ചർച്ച ചെയ്ത ഉദാഹരണമനുസരിച്ച് ഒരു പിഎസ് സ്ക്രിപ്റ്റിൽ നിന്ന് പൂർത്തിയാക്കിയ ഡൗൺലോഡ് അഭ്യർത്ഥന വിൻഡോസ് ഇവന്റ് ലോഗിൽ കാണാം. അതിനാൽ, ഇത് സജീവമാക്കുന്നതിൽ അർത്ഥമുണ്ട്, നിങ്ങൾ സമ്മതിക്കുന്നില്ലേ?

നമുക്ക് കൂടുതൽ സാഹചര്യങ്ങൾ ചേർക്കാം

വിഷ്വൽ ബേസിക്കിലും മറ്റ് സ്ക്രിപ്റ്റിംഗ് ഭാഷകളിലും എഴുതിയ മൈക്രോസോഫ്റ്റ് ഓഫീസ് മാക്രോകളിൽ പവർഷെൽ ആക്രമണങ്ങൾ ഹാക്കർമാർ സമർത്ഥമായി മറയ്ക്കുന്നു. ഇരയ്ക്ക് ഒരു സന്ദേശം ലഭിക്കുന്നു എന്നതാണ് ആശയം, ഉദാഹരണത്തിന് ഡെലിവറി സേവനത്തിൽ നിന്ന്, .doc ഫോർമാറ്റിൽ അറ്റാച്ച് ചെയ്ത റിപ്പോർട്ട്. നിങ്ങൾ മാക്രോ അടങ്ങുന്ന ഈ ഡോക്യുമെന്റ് തുറക്കുക, അത് ക്ഷുദ്രകരമായ PowerShell തന്നെ സമാരംഭിക്കുന്നതിൽ അവസാനിക്കുന്നു.

പലപ്പോഴും വിഷ്വൽ ബേസിക് സ്ക്രിപ്റ്റ് തന്നെ അവ്യക്തമാക്കുന്നു, അതിനാൽ ഇത് ആന്റിവൈറസ്, മറ്റ് ക്ഷുദ്രവെയർ സ്കാനറുകൾ എന്നിവയിൽ നിന്ന് സ്വതന്ത്രമായി രക്ഷപ്പെടുന്നു. മേൽപ്പറഞ്ഞവയുടെ സ്പിരിറ്റിൽ, ഒരു വ്യായാമമായി ജാവാസ്ക്രിപ്റ്റിൽ മുകളിലുള്ള പവർഷെൽ കോഡ് ചെയ്യാൻ ഞാൻ തീരുമാനിച്ചു. എന്റെ ജോലിയുടെ ഫലങ്ങൾ ചുവടെ:

അവ്യക്തമായ JavaScript ഞങ്ങളുടെ PowerShell മറയ്ക്കുന്നു. യഥാർത്ഥ ഹാക്കർമാർ ഇത് ഒന്നോ രണ്ടോ തവണ ചെയ്യുന്നു.

വെബിൽ ചുറ്റിനടക്കുന്നത് ഞാൻ കണ്ട മറ്റൊരു സാങ്കേതികതയാണിത്: കോഡ് ചെയ്ത പവർഷെൽ പ്രവർത്തിപ്പിക്കാൻ Wscript.Shell ഉപയോഗിക്കുന്നു. വഴിയിൽ, JavaScript തന്നെ അർത്ഥമാക്കുന്നത് ക്ഷുദ്രവെയറിന്റെ ഡെലിവറി. വിൻഡോസിന്റെ പല പതിപ്പുകളും അന്തർനിർമ്മിതമാണ് വിൻഡോസ് സ്ക്രിപ്റ്റ് ഹോസ്റ്റ്, അതിന് തന്നെ JS പ്രവർത്തിപ്പിക്കാൻ കഴിയും.
ഞങ്ങളുടെ കാര്യത്തിൽ, ക്ഷുദ്രകരമായ JS സ്‌ക്രിപ്റ്റ് .doc.js വിപുലീകരണത്തോടുകൂടിയ ഒരു ഫയലായി ഉൾച്ചേർത്തിരിക്കുന്നു. വിൻഡോസ് സാധാരണയായി ആദ്യ പ്രത്യയം മാത്രമേ കാണിക്കൂ, അതിനാൽ അത് ഇരയ്ക്ക് ഒരു വേഡ് ഡോക്യുമെന്റായി ദൃശ്യമാകും.

JS ഐക്കൺ സ്ക്രോൾ ഐക്കണിൽ മാത്രമേ ദൃശ്യമാകൂ. ഇത് ഒരു വേഡ് ഡോക്യുമെന്റ് ആണെന്ന് കരുതി പലരും ഈ അറ്റാച്ച്‌മെന്റ് തുറക്കുന്നതിൽ അതിശയിക്കാനില്ല.

എന്റെ ഉദാഹരണത്തിൽ, എന്റെ വെബ്‌സൈറ്റിൽ നിന്ന് സ്‌ക്രിപ്റ്റ് ഡൗൺലോഡ് ചെയ്യുന്നതിന് മുകളിലുള്ള PowerShell ഞാൻ പരിഷ്‌ക്കരിച്ചു. റിമോട്ട് PS സ്ക്രിപ്റ്റ് "Evil Malware" എന്ന് പ്രിന്റ് ചെയ്യുന്നു. നിങ്ങൾക്ക് കാണാനാകുന്നതുപോലെ, അവൻ ഒട്ടും ദുഷ്ടനല്ല. തീർച്ചയായും, യഥാർത്ഥ ഹാക്കർമാർ ഒരു ലാപ്‌ടോപ്പിലേക്കോ സെർവറിലേക്കോ ആക്‌സസ് നേടാൻ താൽപ്പര്യപ്പെടുന്നു, പറയുക, ഒരു കമാൻഡ് ഷെല്ലിലൂടെ. അടുത്ത ലേഖനത്തിൽ, PowerShell Empire ഉപയോഗിച്ച് ഇത് എങ്ങനെ ചെയ്യാമെന്ന് ഞാൻ കാണിച്ചുതരാം.

ആദ്യ ആമുഖ ലേഖനത്തിന് ഞങ്ങൾ വിഷയത്തിലേക്ക് ആഴത്തിൽ ഇറങ്ങിയിട്ടില്ലെന്ന് ഞാൻ പ്രതീക്ഷിക്കുന്നു. ഇപ്പോൾ ഞാൻ നിങ്ങളെ ഒന്ന് ശ്വാസം വിടാൻ അനുവദിക്കും, അടുത്ത തവണ അനാവശ്യമായ ആമുഖ വാക്കുകളോ തയ്യാറെടുപ്പുകളോ ഇല്ലാതെ ഫയൽലെസ് മാൽവെയർ ഉപയോഗിച്ചുള്ള ആക്രമണങ്ങളുടെ യഥാർത്ഥ ഉദാഹരണങ്ങൾ ഞങ്ങൾ നോക്കാൻ തുടങ്ങും.

അവലംബം: www.habr.com