റഷ്യൻ ബിസിനസുകളെ ആക്രമിക്കാൻ ആക്രമണകാരികൾ സങ്കീർണ്ണമായ ക്ഷുദ്രവെയർ ഉപയോഗിക്കുന്നു

കഴിഞ്ഞ വർഷം അവസാനം മുതൽ, ഒരു ബാങ്കിംഗ് ട്രോജൻ വിതരണം ചെയ്യുന്നതിനുള്ള ഒരു പുതിയ ക്ഷുദ്ര കാമ്പെയ്ൻ ഞങ്ങൾ ട്രാക്ക് ചെയ്യാൻ തുടങ്ങി. ആക്രമണകാരികൾ റഷ്യൻ കമ്പനികളെ, അതായത് കോർപ്പറേറ്റ് ഉപയോക്താക്കളെ വിട്ടുവീഴ്ച ചെയ്യുന്നതിൽ ശ്രദ്ധ കേന്ദ്രീകരിച്ചു. ക്ഷുദ്രകരമായ കാമ്പെയ്ൻ കുറഞ്ഞത് ഒരു വർഷമെങ്കിലും സജീവമായിരുന്നു, കൂടാതെ ബാങ്കിംഗ് ട്രോജനെ കൂടാതെ, ആക്രമണകാരികൾ മറ്റ് വിവിധ സോഫ്റ്റ്‌വെയർ ടൂളുകൾ ഉപയോഗിച്ച് അവലംബിച്ചു. ഉപയോഗിച്ച് പാക്കേജുചെയ്ത ഒരു പ്രത്യേക ലോഡർ ഇതിൽ ഉൾപ്പെടുന്നു എൻ.എസ്.ഐ.എസ്, കൂടാതെ സ്‌പൈവെയർ, ഇത് അറിയപ്പെടുന്ന നിയമാനുസൃതമായ യാൻഡെക്‌സ് പുൻ്റോ സോഫ്റ്റ്‌വെയറായി വേഷംമാറി. ആക്രമണകാരികൾ ഇരയുടെ കമ്പ്യൂട്ടറിൽ വിട്ടുവീഴ്ച ചെയ്തുകഴിഞ്ഞാൽ, അവർ ഒരു ബാക്ക്ഡോറും പിന്നീട് ഒരു ബാങ്കിംഗ് ട്രോജനും ഇൻസ്റ്റാൾ ചെയ്യുന്നു.

അവരുടെ ക്ഷുദ്രവെയറിനായി, ആക്രമണകാരികൾ നിരവധി സാധുതയുള്ള (അന്ന്) ഡിജിറ്റൽ സർട്ടിഫിക്കറ്റുകളും AV ഉൽപ്പന്നങ്ങൾ മറികടക്കാൻ പ്രത്യേക രീതികളും ഉപയോഗിച്ചു. ക്ഷുദ്രകരമായ കാമ്പെയ്ൻ നിരവധി റഷ്യൻ ബാങ്കുകളെ ലക്ഷ്യം വച്ചുള്ളതാണ്, പ്രത്യേക താൽപ്പര്യമുള്ളതാണ്, കാരണം ആക്രമണകാരികൾ പലപ്പോഴും ടാർഗെറ്റുചെയ്‌ത ആക്രമണങ്ങളിൽ ഉപയോഗിക്കുന്ന രീതികൾ ഉപയോഗിച്ചു, അതായത് സാമ്പത്തിക തട്ടിപ്പ് കൊണ്ട് മാത്രം പ്രചോദിതമല്ലാത്ത ആക്രമണങ്ങൾ. ഈ ദുഷ്പ്രചരണവും നേരത്തെ വലിയ പ്രചാരണം ലഭിച്ച ഒരു പ്രധാന സംഭവവും തമ്മിലുള്ള ചില സാമ്യങ്ങൾ നമുക്ക് ശ്രദ്ധിക്കാം. ഞങ്ങൾ സംസാരിക്കുന്നത് ഒരു ബാങ്കിംഗ് ട്രോജൻ ഉപയോഗിച്ച ഒരു സൈബർ ക്രിമിനൽ ഗ്രൂപ്പിനെക്കുറിച്ചാണ് അനുനക്/കാർബനാക്ക്.

സ്ഥിരസ്ഥിതിയായി വിൻഡോസിൽ (പ്രാദേശികവൽക്കരണം) റഷ്യൻ ഭാഷ ഉപയോഗിക്കുന്ന കമ്പ്യൂട്ടറുകളിൽ മാത്രമാണ് ആക്രമണകാരികൾ ക്ഷുദ്രവെയർ ഇൻസ്റ്റാൾ ചെയ്തത്. ട്രോജൻ്റെ പ്രധാന വിതരണ വെക്റ്റർ ചൂഷണമുള്ള ഒരു വേഡ് ഡോക്യുമെൻ്റ് ആയിരുന്നു. CVE-2012-0158, അത് ഡോക്യുമെൻ്റിൻ്റെ അറ്റാച്ച്‌മെൻ്റായി അയച്ചു. ചുവടെയുള്ള സ്ക്രീൻഷോട്ടുകൾ അത്തരം വ്യാജ രേഖകളുടെ രൂപം കാണിക്കുന്നു. ആദ്യ പ്രമാണം "ഇൻവോയ്സ് നമ്പർ 522375-FLORL-14-115.doc", രണ്ടാമത്തേത് "kontrakt87.doc", ഇത് മൊബൈൽ ഓപ്പറേറ്റർ മെഗാഫോണിൻ്റെ ടെലികമ്മ്യൂണിക്കേഷൻ സേവനങ്ങൾ നൽകുന്നതിനുള്ള കരാറിൻ്റെ ഒരു പകർപ്പാണ്.

അരി. 1. ഫിഷിംഗ് പ്രമാണം.

അരി. 2. ഫിഷിംഗ് പ്രമാണത്തിൻ്റെ മറ്റൊരു പരിഷ്ക്കരണം.

ആക്രമണകാരികൾ റഷ്യൻ ബിസിനസ്സുകളെ ലക്ഷ്യം വച്ചതായി ഇനിപ്പറയുന്ന വസ്തുതകൾ സൂചിപ്പിക്കുന്നു:

• നിർദ്ദിഷ്ട വിഷയത്തിൽ വ്യാജ രേഖകൾ ഉപയോഗിച്ച് ക്ഷുദ്രവെയർ വിതരണം;
• ആക്രമണകാരികളുടെ തന്ത്രങ്ങളും അവർ ഉപയോഗിക്കുന്ന ക്ഷുദ്ര ഉപകരണങ്ങളും;
• ചില എക്സിക്യൂട്ടബിൾ മൊഡ്യൂളുകളിലെ ബിസിനസ് ആപ്ലിക്കേഷനുകളിലേക്കുള്ള ലിങ്കുകൾ;
• ഈ കാമ്പെയ്‌നിൽ ഉപയോഗിച്ച ക്ഷുദ്ര ഡൊമെയ്‌നുകളുടെ പേരുകൾ.

ഒരു വിട്ടുവീഴ്ച ചെയ്ത സിസ്റ്റത്തിൽ ആക്രമണകാരികൾ ഇൻസ്റ്റാൾ ചെയ്യുന്ന പ്രത്യേക സോഫ്‌റ്റ്‌വെയർ ടൂളുകൾ സിസ്റ്റത്തിൻ്റെ വിദൂര നിയന്ത്രണം നേടാനും ഉപയോക്തൃ പ്രവർത്തനം നിരീക്ഷിക്കാനും അവരെ അനുവദിക്കുന്നു. ഈ ഫംഗ്‌ഷനുകൾ നിർവഹിക്കുന്നതിന്, അവർ ഒരു ബാക്ക്‌ഡോർ ഇൻസ്റ്റാൾ ചെയ്യുകയും വിൻഡോസ് അക്കൗണ്ട് പാസ്‌വേഡ് നേടാനോ പുതിയ അക്കൗണ്ട് സൃഷ്ടിക്കാനോ ശ്രമിക്കുന്നു. ആക്രമണകാരികൾ ഒരു കീലോഗർ (കീലോഗർ), വിൻഡോസ് ക്ലിപ്പ്ബോർഡ് സ്റ്റേലർ, സ്മാർട്ട് കാർഡുകൾ ഉപയോഗിച്ച് പ്രവർത്തിക്കുന്നതിനുള്ള പ്രത്യേക സോഫ്റ്റ്വെയർ എന്നിവയുടെ സേവനങ്ങളും അവലംബിക്കുന്നു. ഇരയുടെ കമ്പ്യൂട്ടറിൻ്റെ അതേ പ്രാദേശിക നെറ്റ്‌വർക്കിലുള്ള മറ്റ് കമ്പ്യൂട്ടറുകളിൽ വിട്ടുവീഴ്ച ചെയ്യാൻ ഈ ഗ്രൂപ്പ് ശ്രമിച്ചു.

ക്ഷുദ്രവെയർ വിതരണ സ്ഥിതിവിവരക്കണക്കുകൾ വേഗത്തിൽ ട്രാക്കുചെയ്യാൻ ഞങ്ങളെ അനുവദിക്കുന്ന ഞങ്ങളുടെ ESET LiveGrid ടെലിമെട്രി സിസ്റ്റം, പരാമർശിച്ച കാമ്പെയ്‌നിൽ ആക്രമണകാരികൾ ഉപയോഗിക്കുന്ന ക്ഷുദ്രവെയറിൻ്റെ വിതരണത്തെക്കുറിച്ചുള്ള രസകരമായ ഭൂമിശാസ്ത്രപരമായ സ്ഥിതിവിവരക്കണക്കുകൾ ഞങ്ങൾക്ക് നൽകി.

അരി. 3. ഈ ക്ഷുദ്ര കാമ്പെയ്‌നിൽ ഉപയോഗിക്കുന്ന ക്ഷുദ്രവെയറിൻ്റെ ഭൂമിശാസ്ത്രപരമായ വിതരണത്തെക്കുറിച്ചുള്ള സ്ഥിതിവിവരക്കണക്കുകൾ.

ക്ഷുദ്രവെയർ ഇൻസ്റ്റാൾ ചെയ്യുന്നു

ഒരു ഉപയോക്താവ് ഒരു ദുർബ്ബലമായ സിസ്റ്റത്തിൽ ചൂഷണം ചെയ്യുന്ന ഒരു ക്ഷുദ്ര പ്രമാണം തുറന്ന ശേഷം, NSIS ഉപയോഗിച്ച് പാക്കേജ് ചെയ്‌ത ഒരു പ്രത്യേക ഡൗൺലോഡർ അവിടെ ഡൗൺലോഡ് ചെയ്‌ത് നടപ്പിലാക്കും. അതിൻ്റെ പ്രവർത്തനത്തിൻ്റെ തുടക്കത്തിൽ, പ്രോഗ്രാം വിൻഡോസ് പരിതസ്ഥിതിയിൽ ഡീബഗ്ഗറുകളുടെ സാന്നിധ്യം അല്ലെങ്കിൽ ഒരു വെർച്വൽ മെഷീൻ്റെ പശ്ചാത്തലത്തിൽ പ്രവർത്തിക്കുന്നതിന് പരിശോധിക്കുന്നു. ഇത് വിൻഡോസിൻ്റെ പ്രാദേശികവൽക്കരണവും ബ്രൗസറിലെ പട്ടികയിൽ താഴെ ലിസ്‌റ്റ് ചെയ്‌തിരിക്കുന്ന URL-കൾ ഉപയോക്താവ് സന്ദർശിച്ചിട്ടുണ്ടോ എന്നതും പരിശോധിക്കുന്നു. ഇതിനായി API-കൾ ഉപയോഗിക്കുന്നു ആദ്യം കണ്ടെത്തുക/NextUrlCacheEntry ഒപ്പം SoftwareMicrosoftInternet ExplorerTypedURLs രജിസ്ട്രി കീയും.

സിസ്റ്റത്തിൽ ഇനിപ്പറയുന്ന ആപ്ലിക്കേഷനുകളുടെ സാന്നിധ്യം ബൂട്ട്ലോഡർ പരിശോധിക്കുന്നു.

പ്രക്രിയകളുടെ ലിസ്റ്റ് ശരിക്കും ശ്രദ്ധേയമാണ്, നിങ്ങൾക്ക് കാണാനാകുന്നതുപോലെ, അതിൽ ബാങ്കിംഗ് ആപ്ലിക്കേഷനുകൾ മാത്രമല്ല ഉൾപ്പെടുന്നു. ഉദാഹരണത്തിന്, "scardsvr.exe" എന്ന് പേരുള്ള ഒരു എക്സിക്യൂട്ടബിൾ ഫയൽ സ്മാർട്ട് കാർഡുകൾ (മൈക്രോസോഫ്റ്റ് സ്മാർട്ട്കാർഡ് റീഡർ) ഉപയോഗിച്ച് പ്രവർത്തിക്കുന്നതിനുള്ള സോഫ്റ്റ്വെയറിനെ സൂചിപ്പിക്കുന്നു. ബാങ്കിംഗ് ട്രോജൻ തന്നെ സ്മാർട്ട് കാർഡുകൾ ഉപയോഗിച്ച് പ്രവർത്തിക്കാനുള്ള കഴിവ് ഉൾക്കൊള്ളുന്നു.

അരി. 4. ക്ഷുദ്രവെയർ ഇൻസ്റ്റാളേഷൻ പ്രക്രിയയുടെ പൊതുവായ ഡയഗ്രം.

എല്ലാ പരിശോധനകളും വിജയകരമായി പൂർത്തിയാക്കിയാൽ, ലോഡർ റിമോട്ട് സെർവറിൽ നിന്ന് ഒരു പ്രത്യേക ഫയൽ (ആർക്കൈവ്) ഡൗൺലോഡ് ചെയ്യുന്നു, അതിൽ ആക്രമണകാരികൾ ഉപയോഗിക്കുന്ന എല്ലാ ക്ഷുദ്രകരമായ എക്സിക്യൂട്ടബിൾ മൊഡ്യൂളുകളും അടങ്ങിയിരിക്കുന്നു. മുകളിലുള്ള ചെക്കുകളുടെ നിർവ്വഹണത്തെ ആശ്രയിച്ച്, റിമോട്ട് C&C സെർവറിൽ നിന്ന് ഡൗൺലോഡ് ചെയ്ത ആർക്കൈവുകൾ വ്യത്യാസപ്പെട്ടിരിക്കാം എന്നത് ശ്രദ്ധേയമാണ്. ആർക്കൈവ് ക്ഷുദ്രകരമായിരിക്കാം അല്ലെങ്കിൽ അല്ലായിരിക്കാം. ക്ഷുദ്രകരമല്ലെങ്കിൽ, അത് ഉപയോക്താവിനായി Windows Live ടൂൾബാർ ഇൻസ്റ്റാൾ ചെയ്യുന്നു. മിക്കവാറും, സംശയാസ്പദമായ ഫയലുകൾ എക്സിക്യൂട്ട് ചെയ്യുന്ന ഓട്ടോമാറ്റിക് ഫയൽ വിശകലന സിസ്റ്റങ്ങളെയും വെർച്വൽ മെഷീനുകളെയും കബളിപ്പിക്കാൻ ആക്രമണകാരികൾ സമാനമായ തന്ത്രങ്ങൾ അവലംബിച്ചു.

NSIS ഡൗൺലോഡർ ഡൗൺലോഡ് ചെയ്ത ഫയൽ വിവിധ ക്ഷുദ്രവെയർ മൊഡ്യൂളുകൾ അടങ്ങുന്ന ഒരു 7z ആർക്കൈവാണ്. ഈ മാൽവെയറിൻ്റെ മുഴുവൻ ഇൻസ്റ്റാളേഷൻ പ്രക്രിയയും അതിൻ്റെ വിവിധ മൊഡ്യൂളുകളും ചുവടെയുള്ള ചിത്രം കാണിക്കുന്നു.

അരി. 5. ക്ഷുദ്രവെയർ എങ്ങനെ പ്രവർത്തിക്കുന്നു എന്നതിൻ്റെ പൊതുവായ സ്കീം.

ലോഡ് ചെയ്‌ത മൊഡ്യൂളുകൾ ആക്രമണകാരികൾക്ക് വ്യത്യസ്‌ത ഉദ്ദേശ്യങ്ങൾ നിറവേറ്റുന്നുണ്ടെങ്കിലും, അവ ഒരേപോലെ പാക്കേജുചെയ്‌തിരിക്കുന്നു, അവയിൽ പലതും സാധുവായ ഡിജിറ്റൽ സർട്ടിഫിക്കറ്റുകൾ ഉപയോഗിച്ച് ഒപ്പിട്ടവയാണ്. പ്രചാരണത്തിൻ്റെ തുടക്കം മുതൽ അക്രമികൾ ഉപയോഗിച്ച അത്തരം നാല് സർട്ടിഫിക്കറ്റുകൾ ഞങ്ങൾ കണ്ടെത്തി. ഞങ്ങളുടെ പരാതിയെ തുടർന്ന് ഈ സർട്ടിഫിക്കറ്റുകൾ റദ്ദാക്കി. മോസ്കോയിൽ രജിസ്റ്റർ ചെയ്ത കമ്പനികൾക്ക് എല്ലാ സർട്ടിഫിക്കറ്റുകളും നൽകിയിട്ടുണ്ട് എന്നത് ശ്രദ്ധേയമാണ്.

അരി. 6. ക്ഷുദ്രവെയർ ഒപ്പിടാൻ ഉപയോഗിച്ച ഡിജിറ്റൽ സർട്ടിഫിക്കറ്റ്.

ഈ ക്ഷുദ്രകരമായ കാമ്പെയ്‌നിൽ ആക്രമണകാരികൾ ഉപയോഗിച്ച ഡിജിറ്റൽ സർട്ടിഫിക്കറ്റുകൾ ഇനിപ്പറയുന്ന പട്ടിക തിരിച്ചറിയുന്നു.

ആക്രമണകാരികൾ ഉപയോഗിക്കുന്ന മിക്കവാറും എല്ലാ ക്ഷുദ്ര മൊഡ്യൂളുകൾക്കും സമാനമായ ഇൻസ്റ്റാളേഷൻ നടപടിക്രമമുണ്ട്. അവ പാസ്‌വേഡ് പരിരക്ഷിതമായി സ്വയം എക്‌സ്‌ട്രാക്റ്റുചെയ്യുന്ന 7zip ആർക്കൈവുകളാണ്.

അരി. 7. install.cmd ബാച്ച് ഫയലിൻ്റെ ശകലം.

സിസ്റ്റത്തിൽ ക്ഷുദ്രവെയർ ഇൻസ്റ്റാൾ ചെയ്യുന്നതിനും വിവിധ ആക്രമണ ഉപകരണങ്ങൾ സമാരംഭിക്കുന്നതിനും ബാച്ച് .cmd ഫയൽ ഉത്തരവാദിയാണ്. നിർവ്വഹണത്തിന് അഡ്‌മിനിസ്‌ട്രേറ്റീവ് അവകാശങ്ങൾ നഷ്‌ടപ്പെടണമെങ്കിൽ, അവ നേടുന്നതിന് ക്ഷുദ്ര കോഡ് നിരവധി രീതികൾ ഉപയോഗിക്കുന്നു (UAC ബൈപാസ് ചെയ്യുന്നത്). ആദ്യ രീതി നടപ്പിലാക്കാൻ, l1.exe, cc1.exe എന്നീ രണ്ട് എക്സിക്യൂട്ടബിൾ ഫയലുകൾ ഉപയോഗിക്കുന്നു, അവ ഉപയോഗിച്ച് UAC ബൈപാസ് ചെയ്യുന്നതിൽ പ്രത്യേകതയുണ്ട്. ചോർന്നു കാർബർപ്പ് സോഴ്സ് കോഡ്. മറ്റൊരു രീതി CVE-2013-3660 ദുർബലത ചൂഷണം ചെയ്യുന്നതിനെ അടിസ്ഥാനമാക്കിയുള്ളതാണ്. പ്രത്യേകാവകാശ വർദ്ധനവ് ആവശ്യമുള്ള ഓരോ ക്ഷുദ്രവെയർ മൊഡ്യൂളിലും ചൂഷണത്തിൻ്റെ 32-ബിറ്റ്, 64-ബിറ്റ് പതിപ്പുകൾ അടങ്ങിയിരിക്കുന്നു.

ഈ കാമ്പെയ്ൻ ട്രാക്കുചെയ്യുമ്പോൾ, ഡൗൺലോഡർ അപ്‌ലോഡ് ചെയ്‌ത നിരവധി ആർക്കൈവുകൾ ഞങ്ങൾ വിശകലനം ചെയ്തു. ആർക്കൈവുകളുടെ ഉള്ളടക്കം വ്യത്യസ്തമാണ്, അതായത് ആക്രമണകാരികൾക്ക് വ്യത്യസ്ത ആവശ്യങ്ങൾക്കായി ക്ഷുദ്രകരമായ മൊഡ്യൂളുകൾ ക്രമീകരിക്കാൻ കഴിയും.

ഉപയോക്തൃ വിട്ടുവീഴ്ച

ഞങ്ങൾ മുകളിൽ സൂചിപ്പിച്ചതുപോലെ, ആക്രമണകാരികൾ ഉപയോക്താക്കളുടെ കമ്പ്യൂട്ടറുകളിൽ വിട്ടുവീഴ്ച ചെയ്യാൻ പ്രത്യേക ഉപകരണങ്ങൾ ഉപയോഗിക്കുന്നു. ഈ ടൂളുകളിൽ mimi.exe, xtm.exe എന്നീ എക്സിക്യൂട്ടബിൾ ഫയൽ പേരുകളുള്ള പ്രോഗ്രാമുകൾ ഉൾപ്പെടുന്നു. ആക്രമണകാരികളെ ഇരയുടെ കമ്പ്യൂട്ടറിൻ്റെ നിയന്ത്രണം ഏറ്റെടുക്കാനും ഇനിപ്പറയുന്ന ജോലികൾ ചെയ്യുന്നതിൽ വൈദഗ്ധ്യം നേടാനും അവർ സഹായിക്കുന്നു: Windows അക്കൗണ്ടുകൾക്കായി പാസ്‌വേഡുകൾ നേടുക/വീണ്ടെടുക്കുക, RDP സേവനം പ്രവർത്തനക്ഷമമാക്കുക, OS-ൽ ഒരു പുതിയ അക്കൗണ്ട് സൃഷ്‌ടിക്കുക.

mimi.exe എക്സിക്യൂട്ടബിളിൽ അറിയപ്പെടുന്ന ഒരു ഓപ്പൺ സോഴ്സ് ടൂളിൻ്റെ പരിഷ്കരിച്ച പതിപ്പ് ഉൾപ്പെടുന്നു മിമിക്കാറ്റ്സ്. വിൻഡോസ് ഉപയോക്തൃ അക്കൗണ്ട് പാസ്‌വേഡുകൾ നേടാൻ ഈ ഉപകരണം നിങ്ങളെ അനുവദിക്കുന്നു. ആക്രമണകാരികൾ മിമികാറ്റ്സിൽ നിന്ന് ഉപയോക്തൃ ഇടപെടലിന് ഉത്തരവാദിയായ ഭാഗം നീക്കം ചെയ്തു. എക്സിക്യൂട്ടബിൾ കോഡും പരിഷ്കരിച്ചതിനാൽ സമാരംഭിക്കുമ്പോൾ, Mimikatz പ്രിവിലേജ്::debug, sekurlsa:logonPasswords കമാൻഡുകൾ ഉപയോഗിച്ച് പ്രവർത്തിക്കും.

മറ്റൊരു എക്സിക്യൂട്ടബിൾ ഫയൽ, xtm.exe, സിസ്റ്റത്തിൽ RDP സേവനം പ്രവർത്തനക്ഷമമാക്കുന്ന പ്രത്യേക സ്ക്രിപ്റ്റുകൾ സമാരംഭിക്കുന്നു, OS-ൽ ഒരു പുതിയ അക്കൗണ്ട് സൃഷ്ടിക്കാൻ ശ്രമിക്കുക, കൂടാതെ RDP വഴി ഒരു വിട്ടുവീഴ്ച ചെയ്ത കമ്പ്യൂട്ടറിലേക്ക് ഒരേസമയം നിരവധി ഉപയോക്താക്കളെ ബന്ധിപ്പിക്കുന്നതിന് സിസ്റ്റം ക്രമീകരണങ്ങൾ മാറ്റുകയും ചെയ്യുന്നു. വ്യക്തമായും, വിട്ടുവീഴ്ച ചെയ്ത സിസ്റ്റത്തിൻ്റെ പൂർണ്ണ നിയന്ത്രണം നേടുന്നതിന് ഈ ഘട്ടങ്ങൾ ആവശ്യമാണ്.

അരി. 8. സിസ്റ്റത്തിൽ xtm.exe നടപ്പിലാക്കുന്ന കമാൻഡുകൾ.

സിസ്റ്റത്തിൽ പ്രത്യേക സോഫ്‌റ്റ്‌വെയർ ഇൻസ്റ്റാൾ ചെയ്യാൻ ഉപയോഗിക്കുന്ന, impack.exe എന്ന മറ്റൊരു എക്‌സിക്യൂട്ടബിൾ ഫയൽ ആക്രമണകാരികൾ ഉപയോഗിക്കുന്നു. ഈ സോഫ്റ്റ്‌വെയർ LiteManager എന്ന് വിളിക്കുന്നു, ഇത് ആക്രമണകാരികൾ ഒരു പിൻവാതിലായി ഉപയോഗിക്കുന്നു.

അരി. 9. LiteManager ഇൻ്റർഫേസ്.

ഒരു ഉപയോക്താവിൻ്റെ സിസ്റ്റത്തിൽ ഇൻസ്റ്റാൾ ചെയ്തുകഴിഞ്ഞാൽ, ആക്രമണകാരികളെ ആ സിസ്റ്റത്തിലേക്ക് നേരിട്ട് കണക്റ്റുചെയ്യാനും അത് വിദൂരമായി നിയന്ത്രിക്കാനും LiteManager അനുവദിക്കുന്നു. ഈ സോഫ്റ്റ്‌വെയറിന് അതിൻ്റെ മറഞ്ഞിരിക്കുന്ന ഇൻസ്റ്റാളേഷനും പ്രത്യേക ഫയർവാൾ നിയമങ്ങൾ സൃഷ്ടിക്കുന്നതിനും അതിൻ്റെ മൊഡ്യൂൾ സമാരംഭിക്കുന്നതിനും പ്രത്യേക കമാൻഡ് ലൈൻ പാരാമീറ്ററുകൾ ഉണ്ട്. എല്ലാ പാരാമീറ്ററുകളും ആക്രമണകാരികൾ ഉപയോഗിക്കുന്നു.

ആക്രമണകാരികൾ ഉപയോഗിക്കുന്ന ക്ഷുദ്രവെയർ പാക്കേജിൻ്റെ അവസാന മൊഡ്യൂൾ pn_pack.exe എന്ന എക്സിക്യൂട്ടബിൾ ഫയൽ നാമമുള്ള ഒരു ബാങ്കിംഗ് ക്ഷുദ്രവെയർ പ്രോഗ്രാമാണ് (ബാങ്കർ). അവൾ ഉപയോക്താവിനെ ചാരപ്പണി ചെയ്യുന്നതിൽ വൈദഗ്ദ്ധ്യം നേടിയിട്ടുണ്ട്, കൂടാതെ C&C സെർവറുമായി ഇടപഴകുന്നതിന് ഉത്തരവാദിയുമാണ്. നിയമാനുസൃതമായ Yandex Punto സോഫ്റ്റ്‌വെയർ ഉപയോഗിച്ചാണ് ബാങ്കർ ലോഞ്ച് ചെയ്യുന്നത്. ക്ഷുദ്രകരമായ DLL ലൈബ്രറികൾ (DLL സൈഡ്-ലോഡിംഗ് രീതി) സമാരംഭിക്കാൻ ആക്രമണകാരികൾ Punto ഉപയോഗിക്കുന്നു. ക്ഷുദ്രവെയറിന് തന്നെ ഇനിപ്പറയുന്ന പ്രവർത്തനങ്ങൾ ചെയ്യാൻ കഴിയും:

• കീബോർഡ് കീസ്‌ട്രോക്കുകളും ക്ലിപ്പ്ബോർഡ് ഉള്ളടക്കങ്ങളും ഒരു റിമോട്ട് സെർവറിലേക്ക് പിന്നീടുള്ള സംപ്രേക്ഷണത്തിനായി ട്രാക്ക് ചെയ്യുക;
• സിസ്റ്റത്തിൽ നിലവിലുള്ള എല്ലാ സ്മാർട്ട് കാർഡുകളും ലിസ്റ്റ് ചെയ്യുക;
• ഒരു റിമോട്ട് C&C സെർവറുമായി സംവദിക്കുക.

ഈ എല്ലാ ജോലികളും നിർവഹിക്കുന്നതിന് ഉത്തരവാദിയായ ക്ഷുദ്രവെയർ മൊഡ്യൂൾ ഒരു എൻക്രിപ്റ്റ് ചെയ്ത DLL ലൈബ്രറിയാണ്. പുൻ്റോ എക്സിക്യൂഷൻ സമയത്ത് ഇത് ഡീക്രിപ്റ്റ് ചെയ്യുകയും മെമ്മറിയിലേക്ക് ലോഡ് ചെയ്യുകയും ചെയ്യുന്നു. മുകളിലുള്ള ജോലികൾ നിർവഹിക്കുന്നതിന്, DLL എക്സിക്യൂട്ടബിൾ കോഡ് മൂന്ന് ത്രെഡുകൾ ആരംഭിക്കുന്നു.

ആക്രമണകാരികൾ അവരുടെ ഉദ്ദേശ്യങ്ങൾക്കായി Punto സോഫ്‌റ്റ്‌വെയർ തിരഞ്ഞെടുത്തത് അതിശയമല്ല: ചില റഷ്യൻ ഫോറങ്ങൾ ഉപയോക്താക്കളെ വിട്ടുവീഴ്‌ച ചെയ്യാൻ നിയമാനുസൃത സോഫ്‌റ്റ്‌വെയറിലെ പിഴവുകൾ ഉപയോഗിക്കുന്നത് പോലുള്ള വിഷയങ്ങളെക്കുറിച്ചുള്ള വിശദമായ വിവരങ്ങൾ പരസ്യമായി നൽകുന്നു.

ക്ഷുദ്രകരമായ ലൈബ്രറി അതിൻ്റെ സ്ട്രിംഗുകൾ എൻക്രിപ്റ്റ് ചെയ്യുന്നതിന് RC4 അൽഗോരിതം ഉപയോഗിക്കുന്നു, അതുപോലെ തന്നെ C&C സെർവറുമായുള്ള നെറ്റ്‌വർക്ക് ഇടപെടലുകൾക്കിടയിലും. ഇത് ഓരോ രണ്ട് മിനിറ്റിലും സെർവറുമായി ബന്ധപ്പെടുകയും ഈ കാലയളവിൽ അപഹരിക്കപ്പെട്ട സിസ്റ്റത്തിൽ ശേഖരിച്ച എല്ലാ ഡാറ്റയും അവിടെ കൈമാറുകയും ചെയ്യുന്നു.

അരി. 10. ബോട്ടും സെർവറും തമ്മിലുള്ള നെറ്റ്‌വർക്ക് ഇടപെടലിൻ്റെ ശകലം.

ലൈബ്രറിക്ക് ലഭിക്കാവുന്ന ചില C&C സെർവർ നിർദ്ദേശങ്ങൾ ചുവടെയുണ്ട്.

C&C സെർവറിൽ നിന്നുള്ള നിർദ്ദേശങ്ങൾ സ്വീകരിക്കുന്നതിന് മറുപടിയായി, ക്ഷുദ്രവെയർ ഒരു സ്റ്റാറ്റസ് കോഡ് ഉപയോഗിച്ച് പ്രതികരിക്കുന്നു. ഞങ്ങൾ വിശകലനം ചെയ്‌ത എല്ലാ ബാങ്കർ മൊഡ്യൂളുകളിലും (ജനുവരി 18-ന് സമാഹരിച്ച ഏറ്റവും പുതിയത്) "TEST_BOTNET" എന്ന സ്ട്രിംഗ് അടങ്ങിയിരിക്കുന്നു, അത് ഓരോ സന്ദേശത്തിലും C&C സെർവറിലേക്ക് അയയ്ക്കുന്നു.

തീരുമാനം

കോർപ്പറേറ്റ് ഉപയോക്താക്കളെ വിട്ടുവീഴ്ച ചെയ്യാൻ, ആക്രമണകാരികൾ ആദ്യ ഘട്ടത്തിൽ കമ്പനിയിലെ ഒരു ജീവനക്കാരനെ ചൂഷണം ചെയ്യുന്ന ഒരു ഫിഷിംഗ് സന്ദേശം അയച്ച് വിട്ടുവീഴ്ച ചെയ്യുന്നു. അടുത്തതായി, സിസ്റ്റത്തിൽ ക്ഷുദ്രവെയർ ഇൻസ്റ്റാൾ ചെയ്തുകഴിഞ്ഞാൽ, സിസ്റ്റത്തിൽ അവരുടെ അധികാരം ഗണ്യമായി വികസിപ്പിക്കാനും അതിൽ അധിക ജോലികൾ ചെയ്യാനും സഹായിക്കുന്ന സോഫ്റ്റ്വെയർ ടൂളുകൾ അവർ ഉപയോഗിക്കും: കോർപ്പറേറ്റ് നെറ്റ്‌വർക്കിലെ മറ്റ് കമ്പ്യൂട്ടറുകളിൽ വിട്ടുവീഴ്ച ചെയ്യുക, ഉപയോക്താവിനെ ചാരപ്പണി ചെയ്യുക. അവൻ നടത്തുന്ന ബാങ്കിംഗ് ഇടപാടുകൾ.

അവലംബം: www.habr.com