വോട്ടെടുപ്പ് പരാജയപ്പെട്ടു: നമുക്ക് AgentTesla ശുദ്ധജലത്തിലേക്ക് തുറന്നുകാട്ടാം. ഭാഗം 2

ക്ഷുദ്രവെയർ വിശകലനത്തിനായി സമർപ്പിച്ച ലേഖനങ്ങളുടെ പരമ്പര ഞങ്ങൾ തുടരുന്നു. IN ആദ്യത്തേത് ഭാഗികമായി, സിഇആർടി ഗ്രൂപ്പ്-ഐബിയിലെ മാൽവെയർ അനാലിസിസ് സ്പെഷ്യലിസ്റ്റായ ഇല്യ പോമറാൻസെവ് ഒരു യൂറോപ്യൻ കമ്പനിയിൽ നിന്ന് മെയിൽ വഴി ലഭിച്ച ഒരു ഫയലിന്റെ വിശദമായ വിശകലനം നടത്തി അവിടെ സ്പൈവെയർ കണ്ടെത്തിയതെങ്ങനെയെന്ന് ഞങ്ങൾ പറഞ്ഞു. ഏജന്റ് ടെസ്ല. ഈ ലേഖനത്തിൽ, പ്രധാന മൊഡ്യൂളിന്റെ ഘട്ടം ഘട്ടമായുള്ള വിശകലനത്തിന്റെ ഫലങ്ങൾ ഇല്യ നൽകുന്നു ഏജന്റ് ടെസ്ല.

ഒരു നിയമാനുസൃത കീലോഗർ ഉൽപ്പന്നത്തിന്റെ മറവിൽ ക്ഷുദ്രവെയർ-ആസ്-എ-സർവീസ് മോഡൽ ഉപയോഗിച്ച് വിതരണം ചെയ്യുന്ന ഒരു മോഡുലാർ ചാരപ്പണി സോഫ്റ്റ്‌വെയറാണ് ഏജന്റ് ടെസ്‌ല. ബ്രൗസറുകൾ, ഇമെയിൽ ക്ലയന്റുകൾ, എഫ്‌ടിപി ക്ലയന്റുകൾ എന്നിവയിൽ നിന്ന് സെർവറിലേക്ക് ആക്രമണകാരികളിലേക്ക് ഉപയോക്തൃ ക്രെഡൻഷ്യലുകൾ എക്‌സ്‌ട്രാക്റ്റുചെയ്യാനും കൈമാറാനും, ക്ലിപ്പ്ബോർഡ് ഡാറ്റ റെക്കോർഡുചെയ്യാനും ഉപകരണ സ്‌ക്രീൻ ക്യാപ്‌ചർ ചെയ്യാനും ഏജന്റ് ടെസ്‌ലയ്ക്ക് കഴിയും. വിശകലന സമയത്ത്, ഡെവലപ്പർമാരുടെ ഔദ്യോഗിക വെബ്സൈറ്റ് ലഭ്യമല്ല.

കോൺഫിഗറേഷൻ ഫയൽ

നിങ്ങൾ ഉപയോഗിക്കുന്ന സാമ്പിളിന് ഏത് പ്രവർത്തനമാണ് ബാധകമെന്ന് ചുവടെയുള്ള പട്ടിക പട്ടികപ്പെടുത്തുന്നു:

വിവരണം	വില
കീലോഗർ ഉപയോഗ ഫ്ലാഗ്	യഥാർഥ
സ്ക്രീൻലോഗർ ഉപയോഗ ഫ്ലാഗ്	തെറ്റായ
മിനിറ്റുകൾക്കുള്ളിൽ കീലോഗർ ലോഗ് അയയ്ക്കുന്ന ഇടവേള	20
മിനിറ്റുകൾക്കുള്ളിൽ ScreenLogger ലോഗ് അയയ്ക്കുന്ന ഇടവേള	20
ബാക്ക്‌സ്‌പേസ് കീ കൈകാര്യം ചെയ്യുന്നതിനുള്ള ഫ്ലാഗ്. തെറ്റായ - ലോഗിംഗ് മാത്രം. ശരി - മുമ്പത്തെ കീ മായ്‌ക്കുന്നു	തെറ്റായ
CNC തരം. ഓപ്ഷനുകൾ: smtp, webpanel, ftp	SMTP
"%filter_list%" ലിസ്റ്റിൽ നിന്ന് പ്രക്രിയകൾ അവസാനിപ്പിക്കുന്നതിനുള്ള ത്രെഡ് സജീവമാക്കൽ ഫ്ലാഗ്	തെറ്റായ
UAC ഫ്ലാഗ് പ്രവർത്തനരഹിതമാക്കുക	തെറ്റായ
ടാസ്‌ക് മാനേജർ ഫ്ലാഗ് പ്രവർത്തനരഹിതമാക്കുക	തെറ്റായ
CMD ഫ്ലാഗ് പ്രവർത്തനരഹിതമാക്കുക	തെറ്റായ
വിൻഡോ പ്രവർത്തനരഹിതമാക്കുക ഫ്ലാഗ്	തെറ്റായ
രജിസ്ട്രി വ്യൂവർ ഫ്ലാഗ് പ്രവർത്തനരഹിതമാക്കുക	തെറ്റായ
സിസ്റ്റം വീണ്ടെടുക്കൽ പോയിന്റ് ഫ്ലാഗ് പ്രവർത്തനരഹിതമാക്കുക	യഥാർഥ
നിയന്ത്രണ പാനൽ ഫ്ലാഗ് പ്രവർത്തനരഹിതമാക്കുക	തെറ്റായ
MSCONFIG ഫ്ലാഗ് പ്രവർത്തനരഹിതമാക്കുക	തെറ്റായ
എക്സ്പ്ലോററിലെ സന്ദർഭ മെനു പ്രവർത്തനരഹിതമാക്കാൻ ഫ്ലാഗ് ചെയ്യുക	തെറ്റായ
പിൻ ഫ്ലാഗ്	തെറ്റായ
സിസ്റ്റത്തിലേക്ക് പിൻ ചെയ്യുമ്പോൾ പ്രധാന മൊഡ്യൂൾ പകർത്തുന്നതിനുള്ള പാത	%startupfolder% %insfolder%%inname%
സിസ്റ്റത്തിലേക്ക് അസൈൻ ചെയ്‌തിരിക്കുന്ന പ്രധാന മൊഡ്യൂളിനായി “സിസ്റ്റം”, “മറഞ്ഞിരിക്കുന്ന” ആട്രിബ്യൂട്ടുകൾ സജ്ജീകരിക്കുന്നതിനുള്ള ഫ്ലാഗ്	തെറ്റായ
സിസ്റ്റത്തിലേക്ക് പിൻ ചെയ്യുമ്പോൾ പുനരാരംഭിക്കുന്നതിന് ഫ്ലാഗ് ചെയ്യുക	തെറ്റായ
പ്രധാന മൊഡ്യൂൾ ഒരു താൽക്കാലിക ഫോൾഡറിലേക്ക് നീക്കുന്നതിന് ഫ്ലാഗ് ചെയ്യുക	തെറ്റായ
UAC ബൈപാസ് ഫ്ലാഗ്	തെറ്റായ
ലോഗിൻ ചെയ്യുന്നതിനുള്ള തീയതിയും സമയ ഫോർമാറ്റും	yyyy-MM-dd HH:mm:ss
കീലോഗറിനായി ഒരു പ്രോഗ്രാം ഫിൽട്ടർ ഉപയോഗിക്കുന്നതിന് ഫ്ലാഗ് ചെയ്യുക	യഥാർഥ
പ്രോഗ്രാം ഫിൽട്ടറിംഗ് തരം. 1 - വിൻഡോ ശീർഷകങ്ങളിൽ പ്രോഗ്രാമിന്റെ പേര് തിരയുന്നു 2 - വിൻഡോ പ്രോസസ്സ് നാമത്തിൽ പ്രോഗ്രാമിന്റെ പേര് തിരയുന്നു	1
പ്രോഗ്രാം ഫിൽട്ടർ	"ഫേസ്ബുക്ക്" "ട്വിറ്റർ" "ജിമെയിൽ" "ഇൻസ്റ്റാഗ്രാം" "സിനിമ" "സ്കൈപ്പ്" "അശ്ലീലം" "ഹാക്ക്" "വാട്ട്‌സ്ആപ്പ്" "വിയോജിപ്പ്"

സിസ്റ്റത്തിലേക്ക് പ്രധാന മൊഡ്യൂൾ അറ്റാച്ചുചെയ്യുന്നു

അനുബന്ധ ഫ്ലാഗ് സജ്ജീകരിച്ചിട്ടുണ്ടെങ്കിൽ, സിസ്റ്റത്തിലേക്ക് അസൈൻ ചെയ്യേണ്ട പാതയായി കോൺഫിഗറിൽ വ്യക്തമാക്കിയ പാതയിലേക്ക് പ്രധാന മൊഡ്യൂൾ പകർത്തും.

കോൺഫിഗറിൽ നിന്നുള്ള മൂല്യത്തെ ആശ്രയിച്ച്, ഫയലിന് "മറഞ്ഞിരിക്കുന്ന", "സിസ്റ്റം" എന്നീ ആട്രിബ്യൂട്ടുകൾ നൽകിയിരിക്കുന്നു.
രണ്ട് രജിസ്ട്രി ശാഖകളാണ് ഓട്ടോറൺ നൽകുന്നത്:

• HKCU SoftwareMicrosoftWindowsCurrentVersionRun%inregname%
• HKCUSOFTWAREmicrosoftWindowsCurrentVersionExplorerStartupApprovedRun %inregname%

ബൂട്ട്ലോഡർ പ്രക്രിയയിലേക്ക് കുത്തിവയ്ക്കുന്നതിനാൽ RegAsm, പ്രധാന മൊഡ്യൂളിനായി സ്ഥിരമായ ഫ്ലാഗ് സജ്ജീകരിക്കുന്നത് വളരെ രസകരമായ അനന്തരഫലങ്ങളിലേക്ക് നയിക്കുന്നു. സ്വയം പകർത്തുന്നതിനുപകരം, ക്ഷുദ്രവെയർ യഥാർത്ഥ ഫയൽ സിസ്റ്റത്തിലേക്ക് ഘടിപ്പിച്ചു RegAsm.exe, ഈ സമയത്ത് കുത്തിവയ്പ്പ് നടത്തി.

C&C യുമായുള്ള ഇടപെടൽ

ഉപയോഗിച്ച രീതി പരിഗണിക്കാതെ തന്നെ, ഉറവിടം ഉപയോഗിച്ച് ഇരയുടെ ബാഹ്യ ഐപി നേടുന്നതിലൂടെ നെറ്റ്‌വർക്ക് ആശയവിനിമയം ആരംഭിക്കുന്നു. പരിശോധന[.]ആമസോണസ്[.]com/.
സോഫ്റ്റ്‌വെയറിൽ അവതരിപ്പിച്ചിരിക്കുന്ന നെറ്റ്‌വർക്ക് ഇന്ററാക്ഷൻ രീതികൾ താഴെ വിവരിക്കുന്നു.

വെബ്പാനൽ

HTTP പ്രോട്ടോക്കോൾ വഴിയാണ് ഇടപെടൽ നടക്കുന്നത്. ക്ഷുദ്രവെയർ ഇനിപ്പറയുന്ന തലക്കെട്ടുകൾ ഉപയോഗിച്ച് ഒരു POST അഭ്യർത്ഥന നടപ്പിലാക്കുന്നു:

• ഉപയോക്താവ്-ഏജന്റ്: മോസില്ല/5.0 (വിൻഡോസ് യു വിൻഡോസ് എൻടി 6.1 റൂ ആർവി:1.9.2.3) ഗെക്കോ/20100401 ഫയർഫോക്സ്/4.0 (.നെറ്റ് സിഎൽആർ 3.5.30729)
• കണക്ഷൻ: Keep-Alive
• ഉള്ളടക്ക തരം: ആപ്ലിക്കേഷൻ/x-www-form-urlencoded

മൂല്യം അനുസരിച്ചാണ് സെർവർ വിലാസം വ്യക്തമാക്കിയിരിക്കുന്നത് %PostURL%. എൻക്രിപ്റ്റ് ചെയ്ത സന്ദേശം പരാമീറ്ററിൽ അയച്ചു «പി». എൻക്രിപ്ഷൻ മെക്കാനിസം വിഭാഗത്തിൽ വിവരിച്ചിരിക്കുന്നു "എൻക്രിപ്ഷൻ അൽഗോരിതംസ്" (രീതി 2).

കൈമാറിയ സന്ദേശം ഇതുപോലെ കാണപ്പെടുന്നു:

type={0}nhwid={1}ntime={2}npcname={3}nlogdata={4}nscreen={5}nipadd={6}nwebcam_link={7}nclient={8}nlink={9}nusername={10}npassword={11}nscreen_link={12}

പാരാമീറ്റർ ടൈപ്പ് ചെയ്യുക സന്ദേശ തരം സൂചിപ്പിക്കുന്നു:

hwid - മദർബോർഡ് സീരിയൽ നമ്പറിന്റെയും പ്രോസസർ ഐഡിയുടെയും മൂല്യങ്ങളിൽ നിന്ന് ഒരു MD5 ഹാഷ് രേഖപ്പെടുത്തുന്നു. മിക്കവാറും ഒരു ഉപയോക്തൃ ഐഡി ആയി ഉപയോഗിക്കും.
കാലം - നിലവിലെ സമയവും തീയതിയും കൈമാറാൻ സഹായിക്കുന്നു.
pcname - നിർവചിച്ചിരിക്കുന്നത് /.
ലോഗ്ഡാറ്റ - ലോഗ് ഡാറ്റ.

പാസ്‌വേഡുകൾ കൈമാറുമ്പോൾ, സന്ദേശം ഇതുപോലെ കാണപ്പെടുന്നു:

type={0}nhwid={1}ntime={2}npcname={3}nlogdata={4}nscreen={5}nipadd={6}nwebcam_link={7}nscreen_link={8}n[passwords]

ഫോർമാറ്റിലുള്ള മോഷ്ടിച്ച ഡാറ്റയുടെ വിവരണങ്ങളാണ് ഇനിപ്പറയുന്നത് nclient[]={0}nlink[]={1}nusername[]={2}npassword[]={3}.

SMTP

SMTP പ്രോട്ടോക്കോൾ വഴിയാണ് ഇടപെടൽ നടക്കുന്നത്. കൈമാറിയ കത്ത് HTML ഫോർമാറ്റിലാണ്. പരാമീറ്റർ സംഘം ഫോം ഉണ്ട്:

കത്തിന്റെ തലക്കെട്ടിന് പൊതുവായ രൂപമുണ്ട്: / . കത്തിന്റെ ഉള്ളടക്കങ്ങളും അതിന്റെ അറ്റാച്ചുമെന്റുകളും എൻക്രിപ്റ്റ് ചെയ്തിട്ടില്ല.

FTP പ്രോട്ടോക്കോൾ വഴിയാണ് ഇടപെടൽ നടക്കുന്നത്. പേരുള്ള ഒരു ഫയൽ നിർദ്ദിഷ്ട സെർവറിലേക്ക് മാറ്റുന്നു _-_.html. ഫയലിന്റെ ഉള്ളടക്കങ്ങൾ എൻക്രിപ്റ്റ് ചെയ്തിട്ടില്ല.

എൻക്രിപ്ഷൻ അൽഗോരിതങ്ങൾ

ഈ കേസ് ഇനിപ്പറയുന്ന എൻക്രിപ്ഷൻ രീതികൾ ഉപയോഗിക്കുന്നു:

1 രീതി

പ്രധാന മൊഡ്യൂളിൽ സ്ട്രിംഗുകൾ എൻക്രിപ്റ്റ് ചെയ്യാൻ ഈ രീതി ഉപയോഗിക്കുന്നു. എൻക്രിപ്ഷനുപയോഗിക്കുന്ന അൽഗോരിതം ആണ് എഇഎസ്.

ഇൻപുട്ട് ആറ് അക്ക ദശാംശ സംഖ്യയാണ്. ഇനിപ്പറയുന്ന പരിവർത്തനം അതിൽ നടപ്പിലാക്കുന്നു:

f(x) = (((x >> 2 - 31059) ^ 6380) - 1363) >> 3

തത്ഫലമായുണ്ടാകുന്ന മൂല്യം ഉൾച്ചേർത്ത ഡാറ്റ അറേയ്ക്കുള്ള സൂചികയാണ്.

ഓരോ അറേ ഘടകവും ഒരു ക്രമമാണ് DWORD. ലയിപ്പിക്കുമ്പോൾ DWORD ബൈറ്റുകളുടെ ഒരു നിര ലഭിക്കുന്നു: ആദ്യത്തെ 32 ബൈറ്റുകൾ എൻക്രിപ്ഷൻ കീയും തുടർന്ന് 16 ബൈറ്റുകൾ ഇനീഷ്യലൈസേഷൻ വെക്റ്ററും ബാക്കിയുള്ള ബൈറ്റുകൾ എൻക്രിപ്റ്റ് ചെയ്ത ഡാറ്റയുമാണ്.

2 രീതി

അൽഗോരിതം ഉപയോഗിച്ചു 3DES മോഡിൽ ECB മുഴുവൻ ബൈറ്റുകളിലും പാഡിംഗ് ഉപയോഗിച്ച് (PKCS7).

കീ പാരാമീറ്റർ വ്യക്തമാക്കുന്നു %urlkey%, എന്നിരുന്നാലും, എൻക്രിപ്ഷൻ അതിന്റെ MD5 ഹാഷ് ഉപയോഗിക്കുന്നു.

ക്ഷുദ്രകരമായ പ്രവർത്തനം

പഠനത്തിൻ കീഴിലുള്ള സാമ്പിൾ അതിന്റെ ക്ഷുദ്ര പ്രവർത്തനം നടപ്പിലാക്കാൻ ഇനിപ്പറയുന്ന പ്രോഗ്രാമുകൾ ഉപയോഗിക്കുന്നു:

കീലോഗർ

WinAPI ഫംഗ്‌ഷൻ ഉപയോഗിച്ച് അനുബന്ധ മാൽവെയർ ഫ്ലാഗ് ഉണ്ടെങ്കിൽ SetWindowsHookEx കീബോർഡിലെ കീപ്രസ് ഇവന്റുകൾക്കായി സ്വന്തം ഹാൻഡ്‌ലറെ നിയോഗിക്കുന്നു. സജീവ വിൻഡോയുടെ തലക്കെട്ട് ലഭിക്കുന്നതിലൂടെ ഹാൻഡ്‌ലർ പ്രവർത്തനം ആരംഭിക്കുന്നു.

ആപ്ലിക്കേഷൻ ഫിൽട്ടറിംഗ് ഫ്ലാഗ് സജ്ജീകരിച്ചിട്ടുണ്ടെങ്കിൽ, നിർദ്ദിഷ്ട തരം അനുസരിച്ച് ഫിൽട്ടറിംഗ് നടത്തുന്നു:

1. വിൻഡോ ശീർഷകങ്ങളിൽ പ്രോഗ്രാമിന്റെ പേര് തിരയുന്നു
2. വിൻഡോ പ്രോസസ്സ് നാമത്തിൽ പ്രോഗ്രാമിന്റെ പേര് നോക്കുന്നു

അടുത്തതായി, ഫോർമാറ്റിലെ സജീവ വിൻഡോയെക്കുറിച്ചുള്ള വിവരങ്ങളുള്ള ലോഗിലേക്ക് ഒരു റെക്കോർഡ് ചേർത്തു:

അപ്പോൾ അമർത്തിപ്പിടിച്ച കീയെക്കുറിച്ചുള്ള വിവരങ്ങൾ രേഖപ്പെടുത്തുന്നു:

കീ	റെക്കോർഡിംഗ്
ബാക്ക്സ്പെയ്സ്	ബാക്ക്‌സ്‌പേസ് കീ പ്രോസസ്സിംഗ് ഫ്ലാഗിനെ ആശ്രയിച്ച്: തെറ്റ് – {BACK} ശരി - മുമ്പത്തെ കീ മായ്‌ക്കുന്നു
വലിയക്ഷരം	{വലിയക്ഷരം}
ഇഎസ്സി	{ഇഎസ്സി}
പേജ്അപ്പ്	{PageUp}
ഡൗൺ	↓
ഇല്ലാതാക്കും	{DEL}
"	"
F5	{F5}
&	&
F10	{F10}
ടാബ്	{ടാബ്}
<	<
>	>
സ്ഥലം
F8	{F8}
F12	{F12}
F9	{F9}
ALT + TAB	{ALT+TAB}
അവസാനിക്കുന്നു	{അവസാനിക്കുന്നു}
F4	{F4}
F2	{F2}
CTRL	{CTRL}
F6	{F6}
വലത്	→
Up	&uarr;
F1	{F1}
ഇടത്തെ	&larr;
അടുത്ത താൾ	{അടുത്ത താൾ}
കൂട്ടിച്ചേര്ക്കുക	{തിരുകുക}
വിജയം	{വിജയി}
നംലോക്ക്	{NumLock}
F11	{F11}
F3	{F3}
ഹോം	{ഹോം}
എന്റർ	{ENTER}
ALT + F4	{ALT+F4}
F7	{F7}
മറ്റ് കീ	ക്യാപ്‌സ്‌ലോക്ക്, ഷിഫ്റ്റ് കീകളുടെ സ്ഥാനങ്ങളെ ആശ്രയിച്ച് അക്ഷരം വലിയ അല്ലെങ്കിൽ ചെറിയ അക്ഷരത്തിലാണ്

ഒരു നിശ്ചിത ആവൃത്തിയിൽ, ശേഖരിച്ച ലോഗ് സെർവറിലേക്ക് അയയ്ക്കുന്നു. കൈമാറ്റം വിജയിച്ചില്ലെങ്കിൽ, ലോഗ് ഒരു ഫയലിൽ സംരക്ഷിക്കപ്പെടും %TEMP%log.tmp ഫോർമാറ്റിൽ:

ടൈമർ ഫയർ ചെയ്യുമ്പോൾ, ഫയൽ സെർവറിലേക്ക് മാറ്റും.

സ്ക്രീൻലോഗർ

ഒരു നിർദ്ദിഷ്ട ആവൃത്തിയിൽ, ക്ഷുദ്രവെയർ ഫോർമാറ്റിൽ ഒരു സ്ക്രീൻഷോട്ട് സൃഷ്ടിക്കുന്നു Jpeg അർത്ഥം കൊണ്ട് ഗുണമേന്മയുള്ള 50 ന് തുല്യമായി അത് ഒരു ഫയലിലേക്ക് സംരക്ഷിക്കുന്നു %APPDATA %.jpg. കൈമാറ്റത്തിന് ശേഷം, ഫയൽ ഇല്ലാതാക്കപ്പെടും.

ക്ലിപ്പ്ബോർഡ്ലോഗർ

ഉചിതമായ ഫ്ലാഗ് സജ്ജീകരിച്ചിട്ടുണ്ടെങ്കിൽ, ചുവടെയുള്ള പട്ടിക പ്രകാരം തടസ്സപ്പെടുത്തിയ വാചകത്തിൽ മാറ്റിസ്ഥാപിക്കപ്പെടുന്നു.

ഇതിനുശേഷം, ലോഗിൽ ടെക്സ്റ്റ് ചേർത്തു:

പാസ്‌വേഡ് സ്റ്റീലർ

ക്ഷുദ്രവെയറിന് ഇനിപ്പറയുന്ന ആപ്ലിക്കേഷനുകളിൽ നിന്ന് പാസ്‌വേഡുകൾ ഡൗൺലോഡ് ചെയ്യാൻ കഴിയും:

ബ്രൗസറുകൾ	മെയിൽ ക്ലയന്റുകൾ	FTP ക്ലയന്റുകൾ
ക്രോം	ഔട്ട്ലുക്ക്	ഫയൽസില്ല
ഫയർഫോക്സ്	തണ്ടർബേഡ്	WS_FTP
IE/Edge	ഫോക്സ്മെയിൽ	WinSCP
സഫാരി	ഓപ്പറ മെയിൽ	CoreFTP
ഓപ്പറ ബ്രൗസർ	ഇൻക്രിഡി മെയിൽ	FTP നാവിഗേറ്റർ
യാൻഡക്സ്	പോക്കോമെയിൽ	FlashFXP
Comodo	യൂഡോറ	SmartFTP
ChromePlus	വവ്വാൽ	FTP കമാൻഡർ
ക്രോമിയം	പോസ്റ്റ് ബോക്സ്
പന്തം	ക്ലോസ്മെയിൽ
ക്സനുമ്ക്സസ്തര്
സുഹൃത്ത്
ബ്രേവ് സോഫ്റ്റ്വെയർ	ജാബർ ഉപഭോക്താക്കൾ	VPN ക്ലയന്റുകൾ
സെൻറ് ബ്രൗസർ	Psi/Psi+	VPN തുറക്കുക
ചെഡോട്ട്
കൊക്കോക്
ഘടകങ്ങൾ ബ്രൗസർ	ഡൗൺലോഡ് മാനേജർമാർ
ഇതിഹാസ സ്വകാര്യത ബ്രൗസർ	ഇന്റർനെറ്റ് ഡൗൺലോഡ് മാനേജർ
കൊമേട്ട	JDownloader
ഭ്രമണപഥം
സ്പുട്നിക്
uCozMedia
വിവാൽഡി
കടൽ
ഫ്ലോക്ക് ബ്രൗസർ
UC ബ്രൌസർ
കറുത്ത പരുന്ത്
സൈബർഫോക്സ്
കെ-മെലിയോൺ
ഐസ്‌കാറ്റ്
ഐസ്ഡ്രാഗൺ
ഇളം മൂൺ
വാട്ടർഫോക്സ്
ഫാൽക്കൺ ബ്രൗസർ

ചലനാത്മക വിശകലനത്തോടുള്ള പ്രതിരോധം

• ഫംഗ്ഷൻ ഉപയോഗിക്കുന്നു ഉറക്കം. കാലഹരണപ്പെടുമ്പോൾ ചില സാൻഡ്‌ബോക്‌സുകളെ മറികടക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു
• ഒരു ത്രെഡ് നശിപ്പിക്കുന്നു സോൺ.ഇഡന്റിഫയർ. ഇന്റർനെറ്റിൽ നിന്ന് ഒരു ഫയൽ ഡൗൺലോഡ് ചെയ്യുന്ന വസ്തുത മറയ്ക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു
• പരാമീറ്ററിൽ %filter_list% ഒരു സെക്കൻഡിന്റെ ഇടവേളകളിൽ ക്ഷുദ്രവെയർ അവസാനിപ്പിക്കുന്ന പ്രക്രിയകളുടെ ഒരു ലിസ്റ്റ് വ്യക്തമാക്കുന്നു
• വിച്ഛേദിക്കുന്നു യുഎസി
• ടാസ്‌ക് മാനേജർ പ്രവർത്തനരഹിതമാക്കുന്നു
• വിച്ഛേദിക്കുന്നു സിഎംഡി
• ഒരു വിൻഡോ പ്രവർത്തനരഹിതമാക്കുന്നു "ഓടുക"
• നിയന്ത്രണ പാനൽ പ്രവർത്തനരഹിതമാക്കുന്നു
• ഒരു ഉപകരണം പ്രവർത്തനരഹിതമാക്കുന്നു RegEdit
• സിസ്റ്റം വീണ്ടെടുക്കൽ പോയിന്റുകൾ പ്രവർത്തനരഹിതമാക്കുന്നു
• എക്സ്പ്ലോററിലെ സന്ദർഭ മെനു പ്രവർത്തനരഹിതമാക്കുക
• വിച്ഛേദിക്കുന്നു എസ്
• ബൈപാസ് അസ്പർശ്യതാ:

പ്രധാന മൊഡ്യൂളിന്റെ നിഷ്ക്രിയ സവിശേഷതകൾ

പ്രധാന മൊഡ്യൂളിന്റെ വിശകലന സമയത്ത്, നെറ്റ്‌വർക്കിലുടനീളം വ്യാപിക്കുന്നതിനും മൗസിന്റെ സ്ഥാനം ട്രാക്കുചെയ്യുന്നതിനും കാരണമാകുന്ന പ്രവർത്തനങ്ങൾ തിരിച്ചറിഞ്ഞു.

വേം

നീക്കം ചെയ്യാവുന്ന മീഡിയയെ ബന്ധിപ്പിക്കുന്നതിനുള്ള ഇവന്റുകൾ ഒരു പ്രത്യേക ത്രെഡിൽ നിരീക്ഷിക്കുന്നു. കണക്റ്റുചെയ്യുമ്പോൾ, പേരുള്ള ക്ഷുദ്രവെയർ ഫയൽ സിസ്റ്റത്തിന്റെ റൂട്ടിലേക്ക് പകർത്തപ്പെടും scr.exe, അതിനുശേഷം അത് വിപുലീകരണത്തോടുകൂടിയ ഫയലുകൾക്കായി തിരയുന്നു lnk. എല്ലാവരുടെയും ടീം lnk എന്നതിലേക്ക് മാറുന്നു cmd.exe /c ആരംഭിക്കുക scr.exe&ആരംഭിക്കുക & പുറത്തുകടക്കുക.

മീഡിയയുടെ റൂട്ടിലുള്ള ഓരോ ഡയറക്ടറിക്കും ഒരു ആട്രിബ്യൂട്ട് നൽകിയിരിക്കുന്നു "മറഞ്ഞിരിക്കുന്നു" വിപുലീകരണത്തോടൊപ്പം ഒരു ഫയൽ സൃഷ്ടിക്കപ്പെടുന്നു lnk മറഞ്ഞിരിക്കുന്ന ഡയറക്ടറിയുടെ പേരും കമാൻഡും ഉപയോഗിച്ച് cmd.exe /c ആരംഭിക്കുക scr.exe&explorer /root,"%CD%" & പുറത്തുകടക്കുക.

മൗസ് ട്രാക്കർ

ഇൻറർസെപ്ഷൻ നടത്തുന്നതിനുള്ള രീതി കീബോർഡിൽ ഉപയോഗിച്ചതിന് സമാനമാണ്. ഈ പ്രവർത്തനം ഇപ്പോഴും വികസനത്തിലാണ്.

ഫയൽ പ്രവർത്തനം

പാത	വിവരണം
%Temp%temp.tmp	UAC ബൈപാസ് ശ്രമങ്ങൾക്കുള്ള ഒരു കൗണ്ടർ അടങ്ങിയിരിക്കുന്നു
%startupfolder%%insfolder%%inname%	HPE സിസ്റ്റത്തിലേക്ക് അസൈൻ ചെയ്യേണ്ട പാത
%Temp%tmpG{നിലവിലെ സമയം മില്ലിസെക്കൻഡിൽ}.tmp	പ്രധാന മൊഡ്യൂളിന്റെ ബാക്കപ്പിനുള്ള പാത
%Temp%log.tmp	ലോഗ് ഫയൽ
%AppData%{10 പ്രതീകങ്ങളുടെ അനിയന്ത്രിതമായ ശ്രേണി}.jpeg	സ്ക്രീൻഷോട്ടുകൾ
C:UsersPublic{10 പ്രതീകങ്ങളുടെ ഏകപക്ഷീയമായ ശ്രേണി}.vbs	സിസ്റ്റത്തിലേക്ക് അറ്റാച്ചുചെയ്യാൻ ബൂട്ട്ലോഡറിന് ഉപയോഗിക്കാനാകുന്ന ഒരു vbs ഫയലിലേക്കുള്ള പാത
%Temp%{ഇഷ്‌ടാനുസൃത ഫോൾഡറിന്റെ പേര്{ഫയലിന്റെ പേര്}	സിസ്റ്റത്തിലേക്ക് സ്വയം അറ്റാച്ചുചെയ്യാൻ ബൂട്ട്ലോഡർ ഉപയോഗിക്കുന്ന പാത

ആക്രമണകാരിയുടെ പ്രൊഫൈൽ

ഹാർഡ്‌കോഡ് ചെയ്‌ത പ്രാമാണീകരണ ഡാറ്റയ്ക്ക് നന്ദി, ഞങ്ങൾക്ക് കമാൻഡ് സെന്ററിലേക്ക് ആക്‌സസ് നേടാൻ കഴിഞ്ഞു.

ആക്രമണകാരികളുടെ അന്തിമ ഇമെയിൽ തിരിച്ചറിയാൻ ഇത് ഞങ്ങളെ അനുവദിച്ചു:

junaid[.]in***@gmail[.]com.

കമാൻഡ് സെന്ററിന്റെ ഡൊമെയ്ൻ നാമം മെയിലിൽ രജിസ്റ്റർ ചെയ്തിട്ടുണ്ട് sg***@gmail[.]com.

തീരുമാനം

ആക്രമണത്തിൽ ഉപയോഗിച്ച ക്ഷുദ്രവെയറിന്റെ വിശദമായ വിശകലനത്തിനിടെ, അതിന്റെ പ്രവർത്തനക്ഷമത സ്ഥാപിക്കാനും ഈ കേസിൽ പ്രസക്തമായ വിട്ടുവീഴ്ചയുടെ സൂചകങ്ങളുടെ ഏറ്റവും പൂർണ്ണമായ ലിസ്റ്റ് നേടാനും ഞങ്ങൾക്ക് കഴിഞ്ഞു. ക്ഷുദ്രവെയറുകൾ തമ്മിലുള്ള നെറ്റ്‌വർക്ക് ഇടപെടലിന്റെ മെക്കാനിസങ്ങൾ മനസ്സിലാക്കുന്നത് വിവര സുരക്ഷാ ഉപകരണങ്ങളുടെ പ്രവർത്തനം ക്രമീകരിക്കുന്നതിനുള്ള ശുപാർശകൾ നൽകുന്നതിനും സ്ഥിരമായ ഐഡിഎസ് നിയമങ്ങൾ എഴുതുന്നതിനും സാധ്യമാക്കി.

പ്രധാന അപകടം ഏജന്റ് ടെസ്ല DataStealer പോലെ, അത് സിസ്റ്റത്തിൽ പ്രതിബദ്ധതയോ അതിന്റെ ചുമതലകൾ നിർവഹിക്കുന്നതിന് ഒരു നിയന്ത്രണ കമാൻഡിനായി കാത്തിരിക്കുകയോ ചെയ്യേണ്ടതില്ല. മെഷീനിൽ ഒരിക്കൽ, അത് ഉടനടി സ്വകാര്യ വിവരങ്ങൾ ശേഖരിക്കാൻ തുടങ്ങുകയും അത് CnC ലേക്ക് മാറ്റുകയും ചെയ്യുന്നു. ഈ ആക്രമണാത്മക സ്വഭാവം ransomware-ന്റെ സ്വഭാവത്തിന് സമാനമാണ്, രണ്ടാമത്തേതിന് ഒരു നെറ്റ്‌വർക്ക് കണക്ഷൻ പോലും ആവശ്യമില്ല എന്നതാണ് വ്യത്യാസം. നിങ്ങൾ ഈ കുടുംബത്തെ അഭിമുഖീകരിക്കുകയാണെങ്കിൽ, ക്ഷുദ്രവെയറിൽ നിന്ന് തന്നെ ബാധിച്ച സിസ്റ്റം വൃത്തിയാക്കിയ ശേഷം, മുകളിൽ ലിസ്റ്റ് ചെയ്തിരിക്കുന്ന ആപ്ലിക്കേഷനുകളിലൊന്നിൽ കുറഞ്ഞത് സൈദ്ധാന്തികമായി സംരക്ഷിക്കാൻ കഴിയുന്ന എല്ലാ പാസ്‌വേഡുകളും നിങ്ങൾ തീർച്ചയായും മാറ്റണം.

മുന്നോട്ട് നോക്കുമ്പോൾ, ആക്രമണകാരികൾ അയയ്ക്കുന്നുവെന്ന് പറയാം ഏജന്റ് ടെസ്ല, പ്രാരംഭ ബൂട്ട് ലോഡർ പലപ്പോഴും മാറ്റുന്നു. ആക്രമണസമയത്ത് സ്റ്റാറ്റിക് സ്കാനറുകളും ഹ്യൂറിസ്റ്റിക് അനലൈസറുകളും ശ്രദ്ധിക്കപ്പെടാതെ നിൽക്കാൻ ഇത് നിങ്ങളെ അനുവദിക്കുന്നു. ഈ കുടുംബത്തിന്റെ പ്രവർത്തനങ്ങൾ ഉടനടി ആരംഭിക്കാനുള്ള പ്രവണത സിസ്റ്റം മോണിറ്ററുകൾ ഉപയോഗശൂന്യമാക്കുന്നു. ഏജന്റ് ടെസ്‌ലയെ ചെറുക്കാനുള്ള ഏറ്റവും നല്ല മാർഗം ഒരു സാൻഡ്‌ബോക്‌സിലെ പ്രാഥമിക വിശകലനമാണ്.

ഈ പരമ്പരയിലെ മൂന്നാമത്തെ ലേഖനത്തിൽ നമ്മൾ ഉപയോഗിക്കുന്ന മറ്റ് ബൂട്ട്ലോഡറുകൾ നോക്കാം ഏജന്റ് ടെസ്ല, കൂടാതെ അവരുടെ സെമി-ഓട്ടോമാറ്റിക് അൺപാക്കിംഗ് പ്രക്രിയയും പഠിക്കുക. നഷ്ടപ്പെടരുത്!

ഹാഷ്

ശക്സനുമ്ക്സ

A8C2765B3D655BA23886D663D22BDD8EF6E8E894

8010CC2AF398F9F951555F7D481CE13DF60BBECF

79B445DE923C92BF378B19D12A309C0E9C5851BF

15839B7AB0417FA35F2858722F0BD47BDF840D62

1C981EF3EEA8548A30E8D7BF8D0D61F9224288DD

സി & സി

യുആർഎൽ

sina-c0m[.]icu

smtp[.]sina-c0m[.]icu

RegKey

രജിസ്ട്രി

HKCUSoftwareMicrosoftWindowsCurrentVersionRun{Script name}

HKCUSoftwareMicrosoftWindowsCurrentVersionRun%inregname%

HKCUSOFTWAREMMicrosoftWindowsCurrentVersionExplorerStartupApprovedRun%inregname%

മ്യൂട്ടക്സ്

സൂചകങ്ങളൊന്നുമില്ല.

ഫയലുകൾ

ഫയൽ പ്രവർത്തനം

%Temp%temp.tmp

%startupfolder%%insfolder%%inname%

%Temp%tmpG{നിലവിലെ സമയം മില്ലിസെക്കൻഡിൽ}.tmp

%Temp%log.tmp

%AppData%{10 പ്രതീകങ്ങളുടെ അനിയന്ത്രിതമായ ശ്രേണി}.jpeg

C:UsersPublic{10 പ്രതീകങ്ങളുടെ ഏകപക്ഷീയമായ ശ്രേണി}.vbs

%Temp%{ഇഷ്‌ടാനുസൃത ഫോൾഡറിന്റെ പേര്{ഫയലിന്റെ പേര്}

സാമ്പിൾ വിവരങ്ങൾ

പേര്	അറിയപ്പെടാത്ത
MD5	F7722DD8660B261EA13B710062B59C43
ശക്സനുമ്ക്സ	15839B7AB0417FA35F2858722F0BD47BDF840D62
ശക്സനുമ്ക്സ	41DC0D5459F25E2FDCF8797948A7B315D3CB0753 98D808D1772CACCC726AF6E9
ടൈപ്പ് ചെയ്യുക	PE (.NET)
വലുപ്പം	327680
യഥാർത്ഥ പേര്	AZZRIDKGGSLTYFUUBCCRRCUMRKTOXFVPDKGAGPUZI_20190701133545943.exe
തീയതി മുദ്ര	01.07.2019
കംപൈലർ	VB.NET

പേര്	IELibrary.dll
MD5	BFB160A89F4A607A60464631ED3ED9FD
ശക്സനുമ്ക്സ	1C981EF3EEA8548A30E8D7BF8D0D61F9224288DD
ശക്സനുമ്ക്സ	D55800A825792F55999ABDAD199DFA54F3184417 215A298910F2C12CD9CC31EE
ടൈപ്പ് ചെയ്യുക	PE (.NET DLL)
വലുപ്പം	16896
യഥാർത്ഥ പേര്	IELibrary.dll
തീയതി മുദ്ര	11.10.2016
കംപൈലർ	Microsoft Linker(48.0*)

അവലംബം: www.habr.com