ദി അഡ്വഞ്ചേഴ്‌സ് ഓഫ് എലൂസീവ് മാൽവെയറുകൾ, രണ്ടാം ഭാഗം: രഹസ്യാത്മക വിബിഎ സ്‌ക്രിപ്റ്റുകൾ

ഈ ലേഖനം ഫയൽലെസ്സ് മാൽവെയർ പരമ്പരയുടെ ഭാഗമാണ്. പരമ്പരയുടെ മറ്റെല്ലാ ഭാഗങ്ങളും:

• എലൂസീവ് മാൽവാരിയുടെ സാഹസികത, ഭാഗം I
• എലൂസീവ് മാൽവെയറിന്റെ സാഹസികത, ഭാഗം II: മറഞ്ഞിരിക്കുന്ന VBA സ്ക്രിപ്റ്റുകൾ (ഞങ്ങൾ ഇവിടെയുണ്ട്)

ഞാൻ സൈറ്റിന്റെ ഒരു ആരാധകനാണ് ഹൈബ്രിഡ് വിശകലനം (ഹൈബ്രിഡ് വിശകലനം, ഇനി മുതൽ HA). ഇത് ഒരുതരം ക്ഷുദ്രവെയർ മൃഗശാലയാണ്, ഇവിടെ നിങ്ങൾക്ക് ആക്രമിക്കപ്പെടാതെ സുരക്ഷിതമായ അകലത്തിൽ നിന്ന് വന്യമായ "വേട്ടക്കാരെ" സുരക്ഷിതമായി നിരീക്ഷിക്കാനാകും. സുരക്ഷിത പരിതസ്ഥിതികളിൽ HA ക്ഷുദ്രവെയർ പ്രവർത്തിപ്പിക്കുന്നു, സിസ്റ്റം കോളുകൾ, സൃഷ്ടിച്ച ഫയലുകൾ, ഇന്റർനെറ്റ് ട്രാഫിക് എന്നിവ രേഖപ്പെടുത്തുന്നു, കൂടാതെ അത് വിശകലനം ചെയ്യുന്ന ഓരോ സാമ്പിളിനും ഈ ഫലങ്ങളെല്ലാം നിങ്ങൾക്ക് നൽകുന്നു. ഈ രീതിയിൽ, ആശയക്കുഴപ്പമുണ്ടാക്കുന്ന കോഡ് സ്വയം കണ്ടുപിടിക്കാൻ ശ്രമിക്കുന്നതിന് നിങ്ങളുടെ സമയവും ഊർജ്ജവും പാഴാക്കേണ്ടതില്ല, എന്നാൽ ഹാക്കർമാരുടെ എല്ലാ ഉദ്ദേശ്യങ്ങളും ഉടനടി മനസ്സിലാക്കാൻ കഴിയും.

എന്റെ ശ്രദ്ധ ആകർഷിച്ച HA ഉദാഹരണങ്ങൾ ഒന്നുകിൽ കോഡ് ചെയ്ത JavaScript അല്ലെങ്കിൽ Visual Basic for Applications (VBA) സ്ക്രിപ്റ്റുകൾ Word അല്ലെങ്കിൽ Excel ഡോക്യുമെന്റുകളിൽ മാക്രോകളായി ഉൾച്ചേർത്തതും ഫിഷിംഗ് ഇമെയിലുകളിൽ ഘടിപ്പിച്ചിട്ടുള്ളതുമാണ്. തുറക്കുമ്പോൾ, ഈ മാക്രോകൾ ഇരയുടെ കമ്പ്യൂട്ടറിൽ ഒരു PowerShell സെഷൻ ആരംഭിക്കുന്നു. ഹാക്കർമാർ സാധാരണയായി PowerShell-ലേക്ക് Base64 എൻകോഡ് ചെയ്ത കമാൻഡുകൾ അയയ്ക്കുന്നു. ചില കീവേഡുകളോട് പ്രതികരിക്കുന്ന വെബ് ഫിൽട്ടറുകളും ആന്റിവൈറസ് സോഫ്‌റ്റ്‌വെയറുകളും ഉപയോഗിച്ച് ആക്രമണം കണ്ടെത്തുന്നത് ബുദ്ധിമുട്ടാക്കാനാണ് ഇതെല്ലാം ചെയ്യുന്നത്.
ഭാഗ്യവശാൽ, HA സ്വപ്രേരിതമായി Base64 ഡീകോഡ് ചെയ്യുകയും എല്ലാം ഉടൻ തന്നെ വായിക്കാനാകുന്ന ഫോർമാറ്റിൽ പ്രദർശിപ്പിക്കുകയും ചെയ്യുന്നു. അടിസ്ഥാനപരമായി, ഈ സ്ക്രിപ്റ്റുകൾ എങ്ങനെ പ്രവർത്തിക്കുന്നു എന്നതിൽ നിങ്ങൾ ശ്രദ്ധ കേന്ദ്രീകരിക്കേണ്ടതില്ല, കാരണം എച്ച്എയുടെ അനുബന്ധ വിഭാഗത്തിൽ റൺ ചെയ്യുന്ന പ്രക്രിയകൾക്കായുള്ള മുഴുവൻ കമാൻഡ് ഔട്ട്പുട്ടും നിങ്ങൾക്ക് കാണാൻ കഴിയും. ചുവടെയുള്ള ഉദാഹരണം കാണുക:

PowerShell-ലേക്ക് അയച്ച Base64 എൻകോഡ് ചെയ്ത കമാൻഡുകൾ ഹൈബ്രിഡ് വിശകലനം തടസ്സപ്പെടുത്തുന്നു:

... എന്നിട്ട് അവ നിങ്ങൾക്കായി ഡീകോഡ് ചെയ്യുന്നു. #മാന്ത്രികമായി

В മുൻ പോസ്റ്റ് ഒരു PowerShell സെഷൻ പ്രവർത്തിപ്പിക്കുന്നതിനായി ഞാൻ എന്റെ സ്വന്തം ജാവാസ്ക്രിപ്റ്റ് കണ്ടെയ്നർ സൃഷ്ടിച്ചു. പവർഷെൽ അധിഷ്‌ഠിത ക്ഷുദ്രവെയറുകൾ പോലെ എന്റെ സ്‌ക്രിപ്‌റ്റും ഒരു റിമോട്ട് വെബ്‌സൈറ്റിൽ നിന്ന് ഇനിപ്പറയുന്ന പവർഷെൽ സ്‌ക്രിപ്റ്റ് ഡൗൺലോഡ് ചെയ്യുന്നു. തുടർന്ന്, ഒരു ഉദാഹരണമായി, സ്ക്രീനിൽ ഒരു സന്ദേശം പ്രിന്റ് ചെയ്യുന്ന ഒരു നിരുപദ്രവകരമായ PS ഞാൻ ലോഡ് ചെയ്തു. എന്നാൽ സമയം മാറുകയാണ്, ഇപ്പോൾ ഞാൻ സാഹചര്യം സങ്കീർണ്ണമാക്കാൻ നിർദ്ദേശിക്കുന്നു.

പവർഷെൽ സാമ്രാജ്യവും റിവേഴ്സ് ഷെല്ലും

ഈ അഭ്യാസത്തിന്റെ ലക്ഷ്യങ്ങളിലൊന്ന്, ഒരു ഹാക്കർക്ക് എങ്ങനെ (താരതമ്യേന) എളുപ്പത്തിൽ ക്ലാസിക് പെരിമീറ്റർ പ്രതിരോധങ്ങളെയും ആന്റിവൈറസുകളെയും മറികടക്കാൻ കഴിയുമെന്ന് കാണിക്കുക എന്നതാണ്. പ്രോഗ്രാമിംഗ് വൈദഗ്ധ്യമില്ലാത്ത ഒരു ഐടി ബ്ലോഗർ, എന്നെപ്പോലെ, രണ്ട് വൈകുന്നേരങ്ങളിൽ അത് ചെയ്യാൻ കഴിയും കണ്ടെത്താനാകാത്ത ക്ഷുദ്രവെയർ സൃഷ്ടിക്കുക (പൂർണ്ണമായി കണ്ടെത്താനാകാത്തത്, FUD), ഇതിൽ താൽപ്പര്യമുള്ള ഒരു യുവ ഹാക്കറുടെ കഴിവുകൾ സങ്കൽപ്പിക്കുക!

നിങ്ങളൊരു ഐടി സെക്യൂരിറ്റി പ്രൊവൈഡർ ആണെങ്കിലും ഈ ഭീഷണികളുടെ അനന്തരഫലങ്ങളെക്കുറിച്ച് നിങ്ങളുടെ മാനേജർക്ക് അറിയില്ലെങ്കിൽ, ഈ ലേഖനം കാണിക്കൂ.

ഇരയുടെ ലാപ്‌ടോപ്പിലേക്കോ സെർവറിലേക്കോ നേരിട്ട് പ്രവേശനം നേടാമെന്നാണ് ഹാക്കർമാർ സ്വപ്നം കാണുന്നത്. ഇത് ചെയ്യാൻ വളരെ ലളിതമാണ്: ഒരു ഹാക്കർ ചെയ്യേണ്ടത് സിഇഒയുടെ ലാപ്‌ടോപ്പിൽ കുറച്ച് രഹസ്യ ഫയലുകൾ നേടുക എന്നതാണ്.

എങ്ങനെയോ ഞാൻ ഇതിനകം എഴുതി പവർഷെൽ സാമ്രാജ്യത്തിന്റെ പോസ്റ്റ്-പ്രൊഡക്ഷൻ റൺടൈമിനെക്കുറിച്ച്. അതെന്താണെന്ന് ഓർക്കാം.

ഇത് പ്രധാനമായും ഒരു പവർഷെൽ അടിസ്ഥാനമാക്കിയുള്ള പെനട്രേഷൻ ടെസ്റ്റിംഗ് ടൂളാണ്, മറ്റ് നിരവധി സവിശേഷതകൾക്കൊപ്പം, ഒരു റിവേഴ്സ് ഷെൽ എളുപ്പത്തിൽ പ്രവർത്തിപ്പിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു. നിങ്ങൾക്ക് ഇത് കൂടുതൽ വിശദമായി പഠിക്കാം PSE ഹോം സൈറ്റ്.

നമുക്ക് ഒരു ചെറിയ പരീക്ഷണം നടത്താം. ആമസോൺ വെബ് സേവന ക്ലൗഡിൽ ഞാൻ ഒരു സുരക്ഷിത മാൽവെയർ ടെസ്റ്റിംഗ് എൻവയോൺമെന്റ് സജ്ജീകരിച്ചു. ഈ അപകടസാധ്യതയുടെ പ്രവർത്തന ഉദാഹരണം വേഗത്തിലും സുരക്ഷിതമായും കാണിക്കാൻ നിങ്ങൾക്ക് എന്റെ ഉദാഹരണം പിന്തുടരാം (എന്റർപ്രൈസ് പരിധിക്കുള്ളിൽ വൈറസുകൾ പ്രവർത്തിപ്പിക്കുന്നതിന് നീക്കം ചെയ്യരുത്).

നിങ്ങൾ PowerShell Empire കൺസോൾ സമാരംഭിക്കുകയാണെങ്കിൽ, ഇതുപോലുള്ള ഒന്ന് നിങ്ങൾ കാണും:

ആദ്യം നിങ്ങളുടെ ഹാക്കർ കമ്പ്യൂട്ടറിൽ ലിസണർ പ്രോസസ് ആരംഭിക്കുക. "ശ്രോതാവ്" എന്ന കമാൻഡ് നൽകുക, കൂടാതെ "സെറ്റ് ഹോസ്റ്റ്" ഉപയോഗിച്ച് നിങ്ങളുടെ സിസ്റ്റത്തിന്റെ IP വിലാസം വ്യക്തമാക്കുക. തുടർന്ന് "എക്‌സിക്യൂട്ട്" കമാൻഡ് (ചുവടെ) ഉപയോഗിച്ച് ലിസണർ പ്രോസസ് ആരംഭിക്കുക. അതിനാൽ, നിങ്ങളുടെ ഭാഗത്ത്, റിമോട്ട് ഷെല്ലിൽ നിന്നുള്ള ഒരു നെറ്റ്‌വർക്ക് കണക്ഷനായി നിങ്ങൾ കാത്തിരിക്കാൻ തുടങ്ങും:

മറുവശത്ത്, "ലോഞ്ചർ" കമാൻഡ് നൽകിക്കൊണ്ട് നിങ്ങൾ ഒരു ഏജന്റ് കോഡ് സൃഷ്ടിക്കേണ്ടതുണ്ട് (ചുവടെ കാണുക). ഇത് റിമോട്ട് ഏജന്റിനായി PowerShell കോഡ് സൃഷ്ടിക്കും. ഇത് Base64-ൽ എൻകോഡ് ചെയ്‌തിട്ടുണ്ടെന്നും പേലോഡിന്റെ രണ്ടാം ഘട്ടത്തെ പ്രതിനിധീകരിക്കുന്നുവെന്നും ശ്രദ്ധിക്കുക. മറ്റൊരു വിധത്തിൽ പറഞ്ഞാൽ, സ്‌ക്രീനിലേക്ക് ടെക്‌സ്‌റ്റ് നിരുപദ്രവമായി പ്രിന്റ് ചെയ്യുന്നതിനുപകരം PowerShell പ്രവർത്തിപ്പിക്കുന്നതിന് എന്റെ JavaScript കോഡ് ഇപ്പോൾ ഈ ഏജന്റിനെ വലിക്കും, കൂടാതെ ഒരു റിവേഴ്‌സ് ഷെൽ പ്രവർത്തിപ്പിക്കുന്നതിന് ഞങ്ങളുടെ റിമോട്ട് PSE സെർവറുമായി ബന്ധിപ്പിക്കും.

റിവേഴ്സ് ഷെല്ലിന്റെ മാന്ത്രികത. ഈ കോഡ് ചെയ്‌ത പവർഷെൽ കമാൻഡ് എന്റെ ശ്രോതാവുമായി ബന്ധിപ്പിച്ച് ഒരു റിമോട്ട് ഷെൽ സമാരംഭിക്കും.

ഈ പരീക്ഷണം നിങ്ങളെ കാണിക്കാൻ, ഞാൻ നിരപരാധിയായ ഇരയുടെ വേഷം ഏറ്റെടുക്കുകയും Evil.doc തുറക്കുകയും അതുവഴി ഞങ്ങളുടെ JavaScript സമാരംഭിക്കുകയും ചെയ്തു. ആദ്യ ഭാഗം ഓർമ്മയുണ്ടോ? പവർഷെൽ അതിന്റെ വിൻഡോ പോപ്പ് അപ്പ് ചെയ്യുന്നത് തടയാൻ കോൺഫിഗർ ചെയ്‌തിരിക്കുന്നു, അതിനാൽ ഇര അസ്വാഭാവികമായി ഒന്നും ശ്രദ്ധിക്കില്ല. എന്നിരുന്നാലും, നിങ്ങൾ വിൻഡോസ് ടാസ്‌ക് മാനേജർ തുറക്കുകയാണെങ്കിൽ, മിക്ക ആളുകൾക്കും ഒരു അലാറവും ഉണ്ടാക്കാത്ത പശ്ചാത്തല പവർഷെൽ പ്രക്രിയ നിങ്ങൾ കാണും. കാരണം ഇത് സാധാരണ പവർഷെൽ മാത്രമാണ്, അല്ലേ?

ഇപ്പോൾ നിങ്ങൾ Evil.doc പ്രവർത്തിപ്പിക്കുമ്പോൾ, ഒരു മറഞ്ഞിരിക്കുന്ന പശ്ചാത്തല പ്രക്രിയ PowerShell Empire പ്രവർത്തിക്കുന്ന സെർവറുമായി ബന്ധിപ്പിക്കും. എന്റെ വെളുത്ത പെന്റസ്റ്റർ ഹാക്കർ തൊപ്പി ധരിച്ച്, ഞാൻ PowerShell Empire കൺസോളിലേക്ക് മടങ്ങി, ഇപ്പോൾ എന്റെ റിമോട്ട് ഏജന്റ് സജീവമാണെന്ന സന്ദേശം കാണുന്നു.

പിഎസ്ഇയിൽ ഒരു ഷെൽ തുറക്കാൻ ഞാൻ "ഇന്ററാക്റ്റ്" എന്ന കമാൻഡ് നൽകി - അവിടെ ഞാൻ ഉണ്ടായിരുന്നു! ചുരുക്കത്തിൽ, ഞാൻ സ്വയം സജ്ജമാക്കിയ ടാക്കോ സെർവർ ഒരിക്കൽ ഞാൻ ഹാക്ക് ചെയ്തു.

ഞാൻ ഇപ്പോൾ പ്രദർശിപ്പിച്ചത് നിങ്ങളുടെ ഭാഗത്ത് അത്രയധികം അധ്വാനം ആവശ്യമില്ല. നിങ്ങളുടെ വിവര സുരക്ഷാ പരിജ്ഞാനം മെച്ചപ്പെടുത്തുന്നതിന് ഒന്നോ രണ്ടോ മണിക്കൂർ ഉച്ചഭക്ഷണ ഇടവേളയിൽ ഇതെല്ലാം എളുപ്പത്തിൽ ചെയ്യാം. ഹാക്കർമാർ നിങ്ങളുടെ ബാഹ്യ സുരക്ഷാ പരിധിയെ മറികടന്ന് നിങ്ങളുടെ സിസ്റ്റത്തിനുള്ളിൽ പ്രവേശിക്കുന്നത് എങ്ങനെയെന്ന് മനസ്സിലാക്കാനുള്ള മികച്ച മാർഗം കൂടിയാണിത്.

ഏതൊരു നുഴഞ്ഞുകയറ്റത്തിനെതിരെയും തങ്ങൾ അഭേദ്യമായ പ്രതിരോധം കെട്ടിപ്പടുത്തുവെന്ന് കരുതുന്ന ഐടി മാനേജർമാർ ഒരുപക്ഷേ അത് വിദ്യാഭ്യാസപരവും കണ്ടെത്തും - അതായത്, നിങ്ങളോടൊപ്പം ദീർഘനേരം ഇരിക്കാൻ നിങ്ങൾക്ക് അവരെ ബോധ്യപ്പെടുത്താൻ കഴിയുമെങ്കിൽ.

നമുക്ക് യാഥാർത്ഥ്യത്തിലേക്ക് മടങ്ങാം

ഞാൻ പ്രതീക്ഷിച്ചതുപോലെ, ശരാശരി ഉപയോക്താവിന് അദൃശ്യമായ ഒരു യഥാർത്ഥ ഹാക്ക്, ഞാൻ ഇപ്പോൾ വിവരിച്ചതിന്റെ ഒരു വ്യതിയാനമാണ്. അടുത്ത പ്രസിദ്ധീകരണത്തിനായി മെറ്റീരിയൽ ശേഖരിക്കാൻ, ഞാൻ കണ്ടുപിടിച്ച ഉദാഹരണം പോലെ തന്നെ പ്രവർത്തിക്കുന്ന HA-യിൽ ഒരു സാമ്പിൾ തിരയാൻ തുടങ്ങി. എനിക്ക് ഇത് വളരെക്കാലം നോക്കേണ്ടി വന്നില്ല - സൈറ്റിൽ സമാനമായ ആക്രമണ സാങ്കേതികതയ്ക്കായി നിരവധി ഓപ്ഷനുകൾ ഉണ്ട്.

HA-യിൽ ഞാൻ ഒടുവിൽ കണ്ടെത്തിയ ക്ഷുദ്രവെയർ ഒരു വേഡ് ഡോക്യുമെന്റിൽ ഉൾച്ചേർത്ത ഒരു VBA സ്ക്രിപ്റ്റാണ്. അതായത്, എനിക്ക് ഡോക് എക്സ്റ്റൻഷൻ വ്യാജമാക്കേണ്ട ആവശ്യമില്ല, ഈ ക്ഷുദ്രവെയർ ശരിക്കും ഒരു സാധാരണ മൈക്രോസോഫ്റ്റ് വേഡ് ഡോക്യുമെന്റ് ആണ്. നിങ്ങൾക്ക് താൽപ്പര്യമുണ്ടെങ്കിൽ, ഞാൻ ഈ സാമ്പിൾ തിരഞ്ഞെടുത്തു rfq.doc.

നിങ്ങൾക്ക് പലപ്പോഴും ഒരു ഡോക്യുമെന്റിൽ നിന്ന് ക്ഷുദ്രകരമായ VBA സ്ക്രിപ്റ്റുകൾ നേരിട്ട് പിൻവലിക്കാൻ കഴിയില്ലെന്ന് ഞാൻ പെട്ടെന്ന് മനസ്സിലാക്കി. വേഡിന്റെ ബിൽറ്റ്-ഇൻ മാക്രോ ടൂളുകളിൽ അവ ദൃശ്യമാകാത്തതിനാൽ ഹാക്കർമാർ അവയെ കംപ്രസ് ചെയ്യുകയും മറയ്ക്കുകയും ചെയ്യുന്നു. ഇത് നീക്കം ചെയ്യാൻ നിങ്ങൾക്ക് ഒരു പ്രത്യേക ഉപകരണം ആവശ്യമാണ്. ഭാഗ്യത്തിന് ഞാൻ ഒരു സ്കാനർ കണ്ടു ഓഫീസ് മാൽസ്കാനർ ഫ്രാങ്ക് ബാൾഡ്വിൻ. നന്ദി, ഫ്രാങ്ക്.

ഈ ടൂൾ ഉപയോഗിച്ച്, വളരെ അവ്യക്തമായ VBA കോഡ് പുറത്തെടുക്കാൻ എനിക്ക് കഴിഞ്ഞു. ഇത് ഇതുപോലെ ഒന്ന് കാണപ്പെട്ടു:

അവരുടെ മേഖലയിലെ പ്രൊഫഷണലുകളാണ് അവ്യക്തത നടത്തിയത്. ഞാൻ മതിപ്പുളവാക്കി!

Evil.doc സൃഷ്ടിക്കുന്നതിനുള്ള എന്റെ ശ്രമങ്ങൾ പോലെയല്ല, കോഡ് അവ്യക്തമാക്കുന്നതിൽ ആക്രമണകാരികൾ ശരിക്കും മിടുക്കരാണ്. ശരി, അടുത്ത ഭാഗത്ത് ഞങ്ങൾ ഞങ്ങളുടെ VBA ഡീബഗ്ഗറുകൾ പുറത്തെടുക്കും, ഈ കോഡിലേക്ക് അൽപ്പം ആഴത്തിൽ മുങ്ങുകയും ഞങ്ങളുടെ വിശകലനം HA ഫലങ്ങളുമായി താരതമ്യം ചെയ്യുകയും ചെയ്യും.

അവലംബം: www.habr.com