RTM सायबर गट रशियन कंपन्यांकडून निधी चोरण्यात माहिर आहे

अनेक ज्ञात सायबर गट आहेत जे रशियन कंपन्यांकडून निधी चोरण्यात माहिर आहेत. आम्ही सुरक्षा त्रुटी वापरून हल्ले पाहिले आहेत जे लक्ष्याच्या नेटवर्कमध्ये प्रवेश करण्यास परवानगी देतात. एकदा त्यांनी प्रवेश मिळवला की, आक्रमणकर्ते संस्थेच्या नेटवर्क संरचनेचा अभ्यास करतात आणि निधी चोरण्यासाठी त्यांची स्वतःची साधने तैनात करतात. बुहट्रॅप, कोबाल्ट आणि कॉर्को हे हॅकर गट हे या ट्रेंडचे उत्कृष्ट उदाहरण आहे.

हा अहवाल ज्या RTM गटावर लक्ष केंद्रित करतो तो या ट्रेंडचा भाग आहे. हे डेल्फीमध्ये लिहिलेले खास डिझाइन केलेले मालवेअर वापरते, जे आम्ही पुढील विभागांमध्ये अधिक तपशीलवार पाहू. 2015 च्या शेवटी ESET टेलिमेट्री सिस्टीममधील या साधनांचे पहिले ट्रेस सापडले. संघ गरजेनुसार विविध नवीन मॉड्यूल्स संक्रमित प्रणालींवर लोड करतो. हे हल्ले रशिया आणि काही शेजारील देशांमधील रिमोट बँकिंग सिस्टमच्या वापरकर्त्यांना उद्देशून आहेत.

1. उद्दिष्टे

RTM मोहीम कॉर्पोरेट वापरकर्त्यांसाठी आहे - हे आक्रमणकर्ते तडजोड केलेल्या प्रणालीमध्ये शोधण्याचा प्रयत्न करत असलेल्या प्रक्रियेवरून स्पष्ट होते. रिमोट बँकिंग सिस्टमसह काम करण्यासाठी अकाउंटिंग सॉफ्टवेअरवर लक्ष केंद्रित केले आहे.

RTM मधील स्वारस्य प्रक्रियांची यादी बुहट्रॅप गटाच्या संबंधित सूचीसारखी आहे, परंतु गटांमध्ये भिन्न संक्रमण वेक्टर आहेत. जर बुहट्रॅपने बनावट पृष्ठे अधिक वेळा वापरली, तर RTM ने ड्राइव्ह-बाय डाउनलोड हल्ला (ब्राउझर किंवा त्याच्या घटकांवर हल्ले) आणि ईमेलद्वारे स्पॅमिंगचा वापर केला. टेलिमेट्री डेटानुसार, धोका रशिया आणि जवळपासच्या अनेक देशांना (युक्रेन, कझाकस्तान, झेक प्रजासत्ताक, जर्मनी) यांना उद्देशून आहे. तथापि, वस्तुमान वितरण यंत्रणेच्या वापरामुळे, लक्ष्य क्षेत्राबाहेर मालवेअर शोधणे आश्चर्यकारक नाही.

मालवेअर शोधण्याची एकूण संख्या तुलनेने कमी आहे. दुसरीकडे, RTM मोहीम जटिल प्रोग्राम वापरते, जे सूचित करते की हल्ले अत्यंत लक्ष्यित आहेत.

आम्ही अस्तित्वात नसलेले करार, पावत्या किंवा कर लेखा दस्तऐवजांसह RTM द्वारे वापरलेले अनेक फसवणूक दस्तऐवज शोधले आहेत. हल्ल्याद्वारे लक्ष्यित केलेल्या सॉफ्टवेअरच्या प्रकारासह एकत्रित केलेल्या लुर्सचे स्वरूप हे सूचित करते की हल्लेखोर लेखा विभागाद्वारे रशियन कंपन्यांच्या नेटवर्कमध्ये "प्रवेश" करत आहेत. गटाने त्याच योजनेनुसार कार्य केले बुहट्रॅप 2014-2015 मध्ये

संशोधनादरम्यान, आम्ही अनेक C&C सर्व्हरशी संवाद साधू शकलो. आम्ही खालील विभागांमध्ये आदेशांची संपूर्ण यादी देऊ, परंतु आत्ता आम्ही असे म्हणू शकतो की क्लायंट कीलॉगरवरून थेट अटॅकिंग सर्व्हरवर डेटा हस्तांतरित करतो, ज्यावरून नंतर अतिरिक्त आदेश प्राप्त होतात.

तथापि, जे दिवस तुम्ही फक्त कमांड आणि कंट्रोल सर्व्हरशी कनेक्ट करू शकता आणि तुम्हाला स्वारस्य असलेला सर्व डेटा संकलित करू शकता. सर्व्हरकडून काही संबंधित आदेश मिळविण्यासाठी आम्ही वास्तववादी लॉग फाइल्स पुन्हा तयार केल्या.

त्यापैकी पहिली फाइल 1c_to_kl.txt हस्तांतरित करण्याची बॉटला विनंती आहे - 1C: एंटरप्राइज 8 प्रोग्रामची ट्रान्सपोर्ट फाइल, ज्याचे स्वरूप RTM द्वारे सक्रियपणे निरीक्षण केले जाते. 1C आउटगोइंग पेमेंट्सवरील डेटा मजकूर फाइलवर अपलोड करून दूरस्थ बँकिंग प्रणालीशी संवाद साधते. पुढे, फाइल ऑटोमेशन आणि पेमेंट ऑर्डरच्या अंमलबजावणीसाठी रिमोट बँकिंग सिस्टमकडे पाठविली जाते.

फाइलमध्ये पेमेंट तपशील आहेत. हल्लेखोरांनी आउटगोइंग पेमेंटची माहिती बदलल्यास, हल्लेखोरांच्या खात्यांवर खोटे तपशील वापरून हस्तांतरण पाठवले जाईल.

कमांड आणि कंट्रोल सर्व्हरवरून या फाइल्सची विनंती केल्यानंतर सुमारे एक महिन्यानंतर, आम्ही एक नवीन प्लगइन, 1c_2_kl.dll, तडजोड केलेल्या सिस्टमवर लोड केले असल्याचे पाहिले. मॉड्यूल (DLL) हे अकाउंटिंग सॉफ्टवेअर प्रक्रियेत प्रवेश करून डाउनलोड फाइलचे स्वयंचलितपणे विश्लेषण करण्यासाठी डिझाइन केलेले आहे. आम्ही पुढील भागांमध्ये त्याचे तपशीलवार वर्णन करू.

विशेष म्हणजे, 2016 च्या शेवटी बँक ऑफ रशियाच्या FinCERT ने 1c_to_kl.txt अपलोड फायली वापरून सायबर गुन्हेगारांबद्दल एक बुलेटिन चेतावणी जारी केली. 1C मधील विकसकांना देखील या योजनेबद्दल माहिती आहे; त्यांनी आधीच अधिकृत विधान केले आहे आणि सावधगिरींची यादी केली आहे.

इतर मॉड्यूल देखील कमांड सर्व्हरवरून लोड केले गेले, विशेषत: VNC (त्याच्या 32 आणि 64-बिट आवृत्त्या). हे VNC मॉड्युल सारखे दिसते जे पूर्वी Dridex ट्रोजन हल्ल्यांमध्ये वापरले होते. हे मॉड्यूल एखाद्या संक्रमित संगणकाशी दूरस्थपणे कनेक्ट करण्यासाठी आणि सिस्टमचा तपशीलवार अभ्यास करण्यासाठी वापरले जाते. पुढे, हल्लेखोर नेटवर्कभोवती फिरण्याचा प्रयत्न करतात, वापरकर्ता संकेतशब्द काढतात, माहिती गोळा करतात आणि मालवेअरची सतत उपस्थिती सुनिश्चित करतात.

2. संक्रमणाचे वेक्टर

खालील आकृती मोहिमेच्या अभ्यास कालावधीत आढळून आलेले संक्रमण वेक्टर दाखवते. गट व्हेक्टरची विस्तृत श्रेणी वापरतो, परंतु मुख्यतः ड्राइव्ह-बाय डाउनलोड हल्ला आणि स्पॅम. ही साधने लक्ष्यित हल्ल्यांसाठी सोयीस्कर आहेत, कारण पहिल्या प्रकरणात, हल्लेखोर संभाव्य पीडितांनी भेट दिलेल्या साइट्स निवडू शकतात आणि दुसऱ्या प्रकरणात, ते इच्छित कंपनीच्या कर्मचार्‍यांना थेट संलग्नकांसह ईमेल पाठवू शकतात.

मालवेअर RIG आणि Sundown शोषण किट किंवा स्पॅम मेलिंगसह अनेक चॅनेलद्वारे वितरीत केले जाते, जे आक्रमणकर्ते आणि या सेवा ऑफर करणार्‍या इतर सायबर अटॅकर्समधील कनेक्शन दर्शवतात.

२.१. RTM आणि Buhtrap कसे संबंधित आहेत?

RTM मोहीम बुहट्रॅप सारखीच आहे. स्वाभाविक प्रश्न आहे: ते एकमेकांशी कसे संबंधित आहेत?

सप्टेंबर 2016 मध्ये, आम्ही बुहट्रॅप अपलोडर वापरून वितरीत केलेला RTM नमुना पाहिला. याव्यतिरिक्त, आम्हाला बुहट्रॅप आणि आरटीएम दोन्हीमध्ये वापरलेली दोन डिजिटल प्रमाणपत्रे आढळली.

पहिला, कथितपणे DNISTER-M या कंपनीला जारी केलेला, दुसरा डेल्फी फॉर्म (SHA-1: 025C718BA31E43DB1B87DC13F94A61A9338C11CE) आणि बुहट्रॅप DLL (SHA-1: 1E2642B454CD2BD889BD6DF) डिजिटल स्वाक्षरी करण्यासाठी वापरला गेला. 41116).

The second one, issued to Bit-Tredj, was used to sign Buhtrap loaders (SHA-1: 7C1B6B1713BD923FC243DFEC80002FE9B93EB292 and B74F71560E48488D2153AE2FB51207A0AC206E2B), as well as download and install RTM components.

RTM ऑपरेटर प्रमाणपत्रे वापरतात जे इतर मालवेअर कुटुंबांसाठी सामान्य असतात, परंतु त्यांच्याकडे एक अद्वितीय प्रमाणपत्र देखील असते. ESET टेलिमेट्री नुसार, ते Kit-SD ला जारी केले गेले होते आणि फक्त काही RTM मालवेअर (SHA-1: 42A4B04446A20993DDAE98B2BE6D5A797376D4B6) वर स्वाक्षरी करण्यासाठी वापरले गेले होते.

RTM बुहट्रॅप सारखाच लोडर वापरतो, RTM घटक बुहट्रॅप इन्फ्रास्ट्रक्चरमधून लोड केले जातात, त्यामुळे गटांमध्ये समान नेटवर्क निर्देशक असतात. तथापि, आमच्या अंदाजानुसार, RTM आणि Buhtrap हे वेगवेगळे गट आहेत, किमान कारण RTM वेगवेगळ्या प्रकारे वितरीत केले जातात (केवळ “परदेशी” डाउनलोडर वापरत नाही).

असे असूनही, हॅकर गट समान ऑपरेटिंग तत्त्वे वापरतात. ते अकाउंटिंग सॉफ्टवेअर वापरून व्यवसायांना लक्ष्य करतात, त्याचप्रमाणे सिस्टम माहिती गोळा करतात, स्मार्ट कार्ड रीडर्स शोधतात आणि पीडितांची हेरगिरी करण्यासाठी दुर्भावनापूर्ण साधनांची श्रेणी तैनात करतात.

3. उत्क्रांती

या विभागात, आपण अभ्यासादरम्यान सापडलेल्या मालवेअरच्या विविध आवृत्त्या पाहू.

३.१. आवृत्ती तयार करणे

RTM कॉन्फिगरेशन डेटा रेजिस्ट्री विभागात संग्रहित करते, सर्वात मनोरंजक भाग म्हणजे botnet-प्रीफिक्स. आम्ही अभ्यास केलेल्या नमुन्यांमध्ये आम्ही पाहिलेल्या सर्व मूल्यांची सूची खालील तक्त्यामध्ये सादर केली आहे.

मालवेअर आवृत्त्या रेकॉर्ड करण्यासाठी मूल्ये वापरली जाऊ शकतात हे शक्य आहे. तथापि, आम्हाला बिट2 आणि बिट3, 0.1.6.4 आणि 0.1.6.6 सारख्या आवृत्त्यांमध्ये फारसा फरक आढळला नाही. शिवाय, एक उपसर्ग सुरुवातीपासूनच आहे आणि सामान्य C&C डोमेनपासून ते .bit डोमेनमध्ये विकसित झाला आहे, जसे खाली दाखवले जाईल.

३.२. वेळापत्रक

टेलीमेट्री डेटा वापरून, आम्ही नमुन्यांच्या घटनेचा आलेख तयार केला.

4. तांत्रिक विश्लेषण

या विभागात, आम्ही RTM बँकिंग ट्रोजनच्या मुख्य कार्यांचे वर्णन करू, ज्यामध्ये प्रतिकार यंत्रणा, RC4 अल्गोरिदमची स्वतःची आवृत्ती, नेटवर्क प्रोटोकॉल, हेरगिरी कार्यक्षमता आणि इतर काही वैशिष्ट्यांचा समावेश आहे. विशेषतः, आम्ही SHA-1 नमुने AA0FA4584768CE9E16D67D8C529233E99FF1BBF0 आणि 48BC113EC8BA20B8B80CD5D4DA92051A19D1032B वर लक्ष केंद्रित करू.

४.१. स्थापना आणि बचत

४.१.१. अंमलबजावणी

RTM कोर एक DLL आहे, लायब्ररी .EXE वापरून डिस्कवर लोड केली जाते. एक्झिक्युटेबल फाइल सहसा पॅकेज केलेली असते आणि त्यात DLL कोड असतो. एकदा लॉन्च झाल्यानंतर, ते DLL काढते आणि खालील आदेश वापरून चालवते:

rundll32.exe “%PROGRAMDATA%Winlogonwinlogon.lnk”,DllGetClassObject host

४.१.२. DLL

मुख्य DLL नेहमी %PROGRAMDATA%Winlogon फोल्डरमध्ये winlogon.lnk म्हणून डिस्कवर लोड केले जाते. हा फाईल एक्स्टेंशन सहसा शॉर्टकटशी संबंधित असतो, परंतु फाइल प्रत्यक्षात डेल्फीमध्ये लिहिलेली एक DLL असते, ज्याला डेव्हलपरने core.dll नाव दिले आहे, खालील इमेजमध्ये दाखवल्याप्रमाणे.

Пример названия DLL F4C746696B0F5BB565D445EC49DD912993DE6361

एकदा लॉन्च झाल्यानंतर, ट्रोजन त्याची प्रतिकार यंत्रणा सक्रिय करते. सिस्टीममधील पीडिताच्या विशेषाधिकारांवर अवलंबून हे दोन वेगवेगळ्या प्रकारे केले जाऊ शकते. तुमच्याकडे प्रशासक अधिकार असल्यास, ट्रोजन HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun रजिस्ट्रीमध्ये Windows अपडेट एंट्री जोडते. विंडोज अपडेटमध्ये असलेल्या कमांड्स वापरकर्त्याच्या सत्राच्या सुरुवातीला चालतील.

HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunWindows अपडेट [REG_SZ] = rundll32.exe “%PROGRAMDATA%winlogon.lnk”,DllGetClassObject होस्ट

ट्रोजन विंडोज टास्क शेड्युलरमध्ये कार्य जोडण्याचा देखील प्रयत्न करतो. टास्क वरीलप्रमाणेच मापदंडांसह winlogon.lnk DLL लाँच करेल. नियमित वापरकर्ता अधिकार ट्रोजनला HKCUSoftwareMicrosoftWindowsCurrentVersionRun रजिस्ट्रीमध्ये समान डेटासह Windows अपडेट एंट्री जोडण्याची परवानगी देतात:

rundll32.exe “%PROGRAMDATA%winlogon.lnk”,DllGetClassObject host

४.२. सुधारित RC4.2 अल्गोरिदम

त्याच्या ज्ञात उणीवा असूनही, RC4 अल्गोरिदम मालवेअर लेखकांद्वारे नियमितपणे वापरला जातो. तथापि, आरटीएमच्या निर्मात्यांनी कदाचित व्हायरस विश्लेषकांचे कार्य अधिक कठीण करण्यासाठी त्यात थोडासा बदल केला. RC4 ची सुधारित आवृत्ती दुर्भावनापूर्ण RTM टूल्समध्ये स्ट्रिंग्स, नेटवर्क डेटा, कॉन्फिगरेशन आणि मॉड्यूल्स एनक्रिप्ट करण्यासाठी मोठ्या प्रमाणावर वापरली जाते.

४.२.१. फरक

मूळ RC4 अल्गोरिदममध्ये दोन टप्पे समाविष्ट आहेत: s-ब्लॉक इनिशिएलायझेशन (उर्फ KSA - की-शेड्यूलिंग अल्गोरिदम) आणि स्यूडो-रँडम सिक्वेन्स जनरेशन (PRGA - स्यूडो-रँडम जनरेशन अल्गोरिदम). पहिल्या टप्प्यात की वापरून एस-बॉक्स सुरू करणे समाविष्ट आहे आणि दुसऱ्या टप्प्यात एनक्रिप्शनसाठी एस-बॉक्स वापरून स्त्रोत मजकूरावर प्रक्रिया केली जाते.

आरटीएम लेखकांनी एस-बॉक्स इनिशिएलायझेशन आणि एनक्रिप्शन दरम्यान एक मध्यवर्ती पायरी जोडली. अतिरिक्त की व्हेरिएबल आहे आणि डेटा कूटबद्ध आणि डिक्रिप्ट करण्यासाठी त्याच वेळी सेट केला जातो. हे अतिरिक्त चरण पार पाडणारे कार्य खालील आकृतीमध्ये दर्शविले आहे.

४.२.२. स्ट्रिंग एन्क्रिप्शन

पहिल्या दृष्टीक्षेपात, मुख्य DLL मध्ये अनेक वाचनीय ओळी आहेत. वर वर्णन केलेल्या अल्गोरिदमचा वापर करून उर्वरित एनक्रिप्ट केले आहेत, ज्याची रचना खालील आकृतीमध्ये दर्शविली आहे. आम्हाला विश्‍लेषित नमुन्यांमध्ये स्ट्रिंग एन्क्रिप्शनसाठी 25 पेक्षा जास्त भिन्न RC4 की आढळल्या. प्रत्येक पंक्तीसाठी XOR की वेगळी असते. अंकीय फील्ड विभक्त रेषांचे मूल्य नेहमी 0xFFFFFFFF असते.

अंमलबजावणीच्या सुरुवातीला, RTM स्ट्रिंग्सला ग्लोबल व्हेरिएबलमध्ये डिक्रिप्ट करते. स्ट्रिंग ऍक्सेस करण्यासाठी आवश्यक असल्यास, ट्रोजन बेस अॅड्रेस आणि ऑफसेटच्या आधारे डिक्रिप्ट केलेल्या स्ट्रिंगच्या पत्त्याची डायनॅमिकली गणना करते.

स्ट्रिंगमध्ये मालवेअरच्या कार्यांबद्दल मनोरंजक माहिती असते. काही उदाहरण स्ट्रिंग्स विभाग 6.8 मध्ये प्रदान केले आहेत.

4.3. नेटवर्क

RTM मालवेअर ज्या प्रकारे C&C सर्व्हरशी संपर्क साधतो ते आवृत्ती ते आवृत्ती बदलते. पहिल्या बदलांमध्ये (ऑक्टोबर 2015 - एप्रिल 2016) कमांड्सची सूची अपडेट करण्यासाठी livejournal.com वर RSS फीडसह पारंपारिक डोमेन नावांचा वापर केला.

एप्रिल 2016 पासून, आम्ही टेलीमेट्री डेटामध्ये .bit डोमेनवर शिफ्ट झाल्याचे पाहिले आहे. डोमेन नोंदणी तारखेद्वारे याची पुष्टी केली जाते - पहिले RTM डोमेन fde05d0573da.bit 13 मार्च 2016 रोजी नोंदणीकृत झाले होते.

मोहिमेचे निरीक्षण करताना आम्ही पाहिलेल्या सर्व URL मध्ये एक सामान्य मार्ग होता: /r/z.php. हे खूपच असामान्य आहे आणि ते नेटवर्क प्रवाहातील RTM विनंत्या ओळखण्यात मदत करेल.

४.३.१. आदेश आणि नियंत्रणासाठी चॅनेल

लेगसी उदाहरणांनी हे चॅनेल त्यांच्या कमांड आणि कंट्रोल सर्व्हरची सूची अपडेट करण्यासाठी वापरले. होस्टिंग livejournal.com वर स्थित आहे, अहवाल लिहिण्याच्या वेळी ते URL hxxp://f72bba81c921(.)livejournal(.)com/ data/rss वर राहिले.

Livejournal ही रशियन-अमेरिकन कंपनी आहे जी ब्लॉगिंग प्लॅटफॉर्म प्रदान करते. RTM ऑपरेटर एक LJ ब्लॉग तयार करतात ज्यामध्ये ते कोडेड कमांडसह लेख पोस्ट करतात - स्क्रीनशॉट पहा.

आदेश आणि नियंत्रण रेषा सुधारित RC4 अल्गोरिदम (विभाग 4.2) वापरून एन्कोड केल्या आहेत. चॅनेलच्या वर्तमान आवृत्ती (नोव्हेंबर 2016) मध्ये खालील आदेश आणि नियंत्रण सर्व्हर पत्ते आहेत:

• hxxp://cainmoon(.)net/r/z.php
• hxxp://rtm(.)dev/0-3/z.php
• hxxp://vpntap(.)top/r/z.php

४.३.२. .bit डोमेन

सर्वात अलीकडील RTM नमुन्यांमध्ये, लेखक .bit TLD शीर्ष-स्तरीय डोमेन वापरून C&C डोमेनशी कनेक्ट होतात. हे शीर्ष-स्तरीय डोमेनच्या ICANN (डोमेन नेम आणि इंटरनेट कॉर्पोरेशन) सूचीमध्ये नाही. त्याऐवजी, हे नेमकॉइन सिस्टम वापरते, जी बिटकॉइन तंत्रज्ञानाच्या शीर्षस्थानी तयार केली जाते. मालवेअर लेखक सहसा त्यांच्या डोमेनसाठी .bit TLD वापरत नाहीत, जरी अशा वापराचे उदाहरण पूर्वी Necurs botnet च्या आवृत्तीमध्ये आढळून आले आहे.

बिटकॉइनच्या विपरीत, वितरीत नेमकॉइन डेटाबेसच्या वापरकर्त्यांकडे डेटा जतन करण्याची क्षमता असते. या वैशिष्ट्याचा मुख्य अनुप्रयोग .bit उच्च-स्तरीय डोमेन आहे. तुम्ही डोमेनची नोंदणी करू शकता जे वितरित डेटाबेसमध्ये संग्रहित केले जातील. डेटाबेसमधील संबंधित नोंदींमध्ये डोमेनद्वारे निराकरण केलेले IP पत्ते असतात. हा TLD "सेन्सॉरशिप-प्रतिरोधक" आहे कारण फक्त नोंदणीकर्ता .bit डोमेनचे रिझोल्यूशन बदलू शकतो. याचा अर्थ असा की या प्रकारचा TLD वापरून दुर्भावनायुक्त डोमेन थांबवणे अधिक कठीण आहे.

RTM ट्रोजन वितरित नेमकॉइन डेटाबेस वाचण्यासाठी आवश्यक सॉफ्टवेअर एम्बेड करत नाही. .bit डोमेन्सचे निराकरण करण्यासाठी ते केंद्रीय DNS सर्व्हर जसे की dns.dot-bit.org किंवा OpenNic सर्व्हर वापरते. म्हणून, त्याची टिकाऊपणा DNS सर्व्हरसारखीच आहे. ब्लॉग पोस्टमध्ये नमूद केल्यानंतर काही टीम डोमेन्स यापुढे आढळले नाहीत असे आम्ही निरीक्षण केले.

हॅकर्ससाठी .bit TLD चा आणखी एक फायदा म्हणजे खर्च. डोमेन नोंदणी करण्यासाठी, ऑपरेटरना फक्त 0,01 NK भरावे लागेल, जे $0,00185 (डिसेंबर 5, 2016 पर्यंत) शी संबंधित आहे. तुलनेसाठी, domain.com ची किंमत किमान $10 आहे.

४.३.३. प्रोटोकॉल

कमांड आणि कंट्रोल सर्व्हरशी संवाद साधण्यासाठी, RTM कस्टम प्रोटोकॉल वापरून फॉरमॅट केलेल्या डेटासह HTTP POST विनंत्या वापरते. पथ मूल्य नेहमी /r/z.php; Mozilla/5.0 वापरकर्ता एजंट (सुसंगत; MSIE 9.0; Windows NT 6.1; Trident/5.0). सर्व्हरला केलेल्या विनंत्यांमध्ये, डेटा खालीलप्रमाणे स्वरूपित केला जातो, जेथे ऑफसेट मूल्ये बाइट्समध्ये व्यक्त केली जातात:

बाइट्स 0 ते 6 एन्कोड केलेले नाहीत; 6 पासून सुरू होणारे बाइट्स सुधारित RC4 अल्गोरिदम वापरून एन्कोड केले जातात. C&C प्रतिसाद पॅकेटची रचना सोपी आहे. बाइट्स 4 ते पॅकेट आकारात एन्कोड केलेले आहेत.

संभाव्य क्रिया बाइट मूल्यांची यादी खालील तक्त्यामध्ये सादर केली आहे:

मालवेअर नेहमी डिक्रिप्ट केलेल्या डेटाच्या CRC32 ची गणना करतो आणि पॅकेटमध्ये असलेल्या डेटाशी त्याची तुलना करतो. जर ते वेगळे असतील तर ट्रोजन पॅकेट टाकतो.
अतिरिक्त डेटामध्ये विविध ऑब्जेक्ट्स असू शकतात, ज्यामध्ये PE फाइल, फाइल सिस्टममध्ये शोधली जाणारी फाइल किंवा नवीन कमांड URL समाविष्ट आहेत.

४.३.४. पॅनल

आमच्या लक्षात आले की RTM C&C सर्व्हरवर पॅनेल वापरते. खालील स्क्रीनशॉट:

४.४. वैशिष्ट्यपूर्ण चिन्ह

RTM हे एक सामान्य बँकिंग ट्रोजन आहे. ऑपरेटरना पीडितेच्या सिस्टमबद्दल माहिती हवी आहे यात आश्चर्य नाही. एकीकडे, बॉट OS बद्दल सामान्य माहिती गोळा करतो. दुसरीकडे, तडजोड केलेल्या सिस्टममध्ये रशियन रिमोट बँकिंग सिस्टमशी संबंधित गुणधर्म आहेत की नाही हे शोधते.

4.4.1. सामान्य माहिती

जेव्हा मालवेअर रीबूट केल्यानंतर स्थापित किंवा लॉन्च केले जाते, तेव्हा कमांड आणि कंट्रोल सर्व्हरला एक अहवाल पाठविला जातो ज्यामध्ये सामान्य माहिती समाविष्ट आहे:

• वेळ क्षेत्र;
• डीफॉल्ट सिस्टम भाषा;
• अधिकृत वापरकर्ता क्रेडेन्शियल;
• प्रक्रिया अखंडता पातळी;
• वापरकर्तानाव;
• संगणक नाव;
• OS आवृत्ती;
• अतिरिक्त स्थापित मॉड्यूल;
• स्थापित अँटीव्हायरस प्रोग्राम;
• स्मार्ट कार्ड वाचकांची यादी.

4.4.2 दूरस्थ बँकिंग प्रणाली

एक सामान्य ट्रोजन लक्ष्य ही रिमोट बँकिंग प्रणाली आहे आणि RTM त्याला अपवाद नाही. प्रोग्रामच्या मॉड्यूल्सपैकी एकाला TBdo म्हणतात, जे डिस्क स्कॅन करणे आणि ब्राउझिंग इतिहासासह विविध कार्ये करते.

डिस्क स्कॅन करून, ट्रोजन मशीनवर बँकिंग सॉफ्टवेअर स्थापित आहे की नाही हे तपासते. लक्ष्य कार्यक्रमांची संपूर्ण यादी खालील तक्त्यामध्ये आहे. स्वारस्य असलेली फाइल आढळल्यानंतर, प्रोग्राम कमांड सर्व्हरला माहिती पाठवतो. पुढील क्रिया कमांड सेंटर (C&C) अल्गोरिदमद्वारे निर्दिष्ट केलेल्या तर्कावर अवलंबून असतात.

RTM तुमच्या ब्राउझर इतिहासामध्ये आणि उघडलेल्या टॅबमध्ये URL पॅटर्न देखील शोधते. याव्यतिरिक्त, प्रोग्राम FindNextUrlCacheEntryA आणि FindFirstUrlCacheEntryA फंक्शन्सच्या वापराचे परीक्षण करतो आणि URL ला खालीलपैकी एका पॅटर्नशी जुळण्यासाठी प्रत्येक एंट्री देखील तपासतो:

उघडलेले टॅब आढळल्यानंतर, टॅब पॅटर्नशी जुळतो की नाही हे तपासण्यासाठी डायनॅमिक डेटा एक्सचेंज (DDE) यंत्रणेद्वारे ट्रोजन इंटरनेट एक्सप्लोरर किंवा फायरफॉक्सशी संपर्क साधतो.

तुमचा ब्राउझिंग इतिहास आणि उघडे टॅब तपासणे हे तपासादरम्यान 1 सेकंदाच्या ब्रेकसह WHILE लूपमध्ये (पूर्वअट असलेले लूप) केले जाते. रीअल टाइममध्ये परीक्षण केलेल्या इतर डेटाची चर्चा विभाग 4.5 मध्ये केली जाईल.

पॅटर्न आढळल्यास, प्रोग्राम खालील सारणीतील स्ट्रिंगची सूची वापरून कमांड सर्व्हरला याचा अहवाल देतो:

4.5 देखरेख

ट्रोजन चालू असताना, संक्रमित प्रणालीच्या वैशिष्ट्यपूर्ण वैशिष्ट्यांची माहिती (बँकिंग सॉफ्टवेअरच्या उपस्थितीबद्दल माहितीसह) कमांड आणि कंट्रोल सर्व्हरवर पाठविली जाते. फिंगरप्रिंटिंग तेव्हा होते जेव्हा आरटीएम सुरुवातीच्या ओएस स्कॅननंतर लगेच मॉनिटरिंग सिस्टम चालवते.

४.५.१. रिमोट बँकिंग

TBdo मॉड्यूल बँकिंग-संबंधित प्रक्रियांचे निरीक्षण करण्यासाठी देखील जबाबदार आहे. हे प्रारंभिक स्कॅन दरम्यान फायरफॉक्स आणि इंटरनेट एक्सप्लोररमधील टॅब तपासण्यासाठी डायनॅमिक डेटा एक्सचेंज वापरते. आणखी एक TShell मॉड्यूल कमांड विंडो (इंटरनेट एक्सप्लोरर किंवा फाइल एक्सप्लोरर) चे निरीक्षण करण्यासाठी वापरले जाते.

मॉड्यूल विंडोजचे निरीक्षण करण्यासाठी COM इंटरफेस IShellWindows, iWebBrowser, DWebBrowserEvents2 आणि IConnectionPointContainer वापरते. जेव्हा वापरकर्ता नवीन वेब पृष्ठावर नेव्हिगेट करतो तेव्हा मालवेअर हे लक्षात घेतो. ते नंतर वरील नमुन्यांसह पृष्ठ URL ची तुलना करते. सामना शोधल्यानंतर, ट्रोजन 5 सेकंदांच्या अंतराने सलग सहा स्क्रीनशॉट घेते आणि ते C&S कमांड सर्व्हरवर पाठवते. प्रोग्राम बँकिंग सॉफ्टवेअरशी संबंधित काही विंडो नावे देखील तपासतो - संपूर्ण यादी खाली आहे:

४.५.२. स्मार्ट कार्ड

RTM तुम्हाला संक्रमित संगणकांशी जोडलेल्या स्मार्ट कार्ड रीडरचे निरीक्षण करण्याची परवानगी देते. ही उपकरणे काही देशांमध्ये पेमेंट ऑर्डरमध्ये सामंजस्य करण्यासाठी वापरली जातात. जर या प्रकारचे उपकरण संगणकाला जोडलेले असेल, तर ते ट्रोजनला सूचित करू शकते की मशीन बँकिंग व्यवहारांसाठी वापरली जात आहे.

इतर बँकिंग ट्रोजनच्या विपरीत, RTM अशा स्मार्ट कार्डांशी संवाद साधू शकत नाही. कदाचित ही कार्यक्षमता एका अतिरिक्त मॉड्यूलमध्ये समाविष्ट केली गेली आहे जी आम्ही अद्याप पाहिलेली नाही.

४.५.३. कीलॉगर

संक्रमित पीसीचे निरीक्षण करण्याचा एक महत्त्वाचा भाग म्हणजे कीस्ट्रोक कॅप्चर करणे. असे दिसते की RTM डेव्हलपर कोणतीही माहिती गमावत नाहीत, कारण ते केवळ नियमित कीच नव्हे तर व्हर्च्युअल कीबोर्ड आणि क्लिपबोर्डचे देखील निरीक्षण करतात.

हे करण्यासाठी, SetWindowsHookExA फंक्शन वापरा. हल्लेखोर प्रोग्रामच्या नाव आणि तारखेसह दाबलेल्या की किंवा व्हर्च्युअल कीबोर्डशी संबंधित की लॉग करतात. बफर नंतर C&C कमांड सर्व्हरवर पाठविला जातो.

SetClipboardViewer फंक्शन क्लिपबोर्डला इंटरसेप्ट करण्यासाठी वापरले जाते. जेव्हा डेटा मजकूर असतो तेव्हा हॅकर्स क्लिपबोर्डची सामग्री लॉग करतात. बफर सर्व्हरला पाठवण्यापूर्वी नाव आणि तारीख देखील लॉग केली जाते.

४.५.४. स्क्रीनशॉट्स

दुसरे RTM फंक्शन म्हणजे स्क्रीनशॉट इंटरसेप्शन. जेव्हा विंडो मॉनिटरिंग मॉड्युल एखादी साइट किंवा बँकिंग सॉफ्टवेअर शोधते तेव्हा हे वैशिष्ट्य लागू केले जाते. ग्राफिक प्रतिमांच्या लायब्ररीचा वापर करून स्क्रीनशॉट घेतले जातात आणि कमांड सर्व्हरवर हस्तांतरित केले जातात.

४.६. विस्थापित

C&C सर्व्हर मालवेअर चालू होण्यापासून थांबवू शकतो आणि तुमचा संगणक साफ करू शकतो. आदेश तुम्हाला RTM चालू असताना तयार केलेल्या फाइल्स आणि नोंदणी नोंदी साफ करण्याची परवानगी देतो. DLL नंतर मालवेअर आणि winlogon फाइल काढून टाकण्यासाठी वापरले जाते, त्यानंतर कमांड संगणक बंद करते. खालील चित्रात दाखवल्याप्रमाणे, erase.dll वापरून विकासकांनी DLL काढला आहे.

सर्व्हर ट्रोजनला विध्वंसक अनइंस्टॉल-लॉक कमांड पाठवू शकतो. या प्रकरणात, आपल्याकडे प्रशासक अधिकार असल्यास, RTM हार्ड ड्राइव्हवरील MBR बूट सेक्टर हटवेल. हे अयशस्वी झाल्यास, ट्रोजन एमबीआर बूट सेक्टरला यादृच्छिक सेक्टरमध्ये स्थानांतरित करण्याचा प्रयत्न करेल - नंतर संगणक बंद झाल्यानंतर ओएस बूट करू शकणार नाही. यामुळे OS ची संपूर्ण पुनर्स्थापना होऊ शकते, याचा अर्थ पुराव्याचा नाश होतो.

प्रशासकाच्या विशेषाधिकारांशिवाय, मालवेअर अंतर्निहित RTM DLL मध्ये एन्कोड केलेले .EXE लिहितो. एक्झिक्युटेबल संगणक बंद करण्यासाठी आवश्यक असलेला कोड कार्यान्वित करतो आणि HKCUCurrentVersionRun रेजिस्ट्री की मध्ये मॉड्यूलची नोंदणी करतो. प्रत्येक वेळी वापरकर्ता सत्र सुरू करतो तेव्हा संगणक लगेच बंद होतो.

४.७. कॉन्फिगरेशन फाइल

डीफॉल्टनुसार, आरटीएममध्ये जवळजवळ कोणतीही कॉन्फिगरेशन फाइल नसते, परंतु कमांड आणि कंट्रोल सर्व्हर कॉन्फिगरेशन मूल्ये पाठवू शकतात जी रेजिस्ट्रीमध्ये संग्रहित केली जातील आणि प्रोग्रामद्वारे वापरली जातील. कॉन्फिगरेशन कीची यादी खालील तक्त्यामध्ये सादर केली आहे:

कॉन्फिगरेशन सॉफ्टवेअर [स्यूडो-रँडम स्ट्रिंग] रेजिस्ट्री की मध्ये संग्रहित केले जाते. प्रत्येक मूल्य मागील सारणीमध्ये सादर केलेल्या पंक्तींपैकी एकाशी संबंधित आहे. RTM मध्ये RC4 अल्गोरिदम वापरून मूल्ये आणि डेटा एन्कोड केला जातो.

डेटाची रचना नेटवर्क किंवा स्ट्रिंगसारखीच असते. एन्कोड केलेल्या डेटाच्या सुरुवातीला चार-बाइट XOR की जोडली जाते. कॉन्फिगरेशन मूल्यांसाठी, XOR की वेगळी असते आणि मूल्याच्या आकारावर अवलंबून असते. त्याची गणना खालीलप्रमाणे केली जाऊ शकते:

xor_key = (len(config_value) << 24) | (len(config_value) << 16)
| len(config_value)| (len(config_value) << 8)

4.8. इतर कार्ये

पुढे, RTM सपोर्ट करणारी इतर फंक्शन्स पाहू.

४.८.१. अतिरिक्त मॉड्यूल्स

ट्रोजनमध्ये अतिरिक्त मॉड्यूल समाविष्ट आहेत, जे DLL फाइल्स आहेत. C&C कमांड सर्व्हरवरून पाठवलेले मॉड्यूल्स बाह्य प्रोग्राम्स म्हणून कार्यान्वित केले जाऊ शकतात, RAM मध्ये प्रतिबिंबित होतात आणि नवीन थ्रेडमध्ये लॉन्च केले जातात. स्टोरेजसाठी, मॉड्यूल्स .dtt फाइल्समध्ये सेव्ह केले जातात आणि नेटवर्क कम्युनिकेशन्ससाठी वापरल्या जाणार्‍या समान कीसह RC4 अल्गोरिदम वापरून एन्कोड केले जातात.

आत्तापर्यंत आम्ही VNC मॉड्यूल (8966319882494077C21F66A8354E2CBCA0370464), ब्राउझर डेटा एक्स्ट्रॅक्शन मॉड्यूल (03DE8622BE6B2F75A364A275995C3411626C4module) आणि 9C1C. 2E1F562EFC1FBA69 B6BE58D88753B7E0CFAB).

VNC मॉड्यूल लोड करण्यासाठी, C&C सर्व्हर पोर्ट 44443 वर विशिष्ट IP पत्त्यावर VNC सर्व्हरशी कनेक्शनची विनंती करणारा आदेश जारी करतो. ब्राउझर डेटा पुनर्प्राप्ती प्लगइन TBrowserDataCollector कार्यान्वित करते, जे IE ब्राउझिंग इतिहास वाचू शकते. नंतर ते भेट दिलेल्या URL ची संपूर्ण यादी C&C कमांड सर्व्हरला पाठवते.

शोधलेल्या शेवटच्या मॉड्यूलला 1c_2_kl म्हणतात. हे 1C Enterprise सॉफ्टवेअर पॅकेजशी संवाद साधू शकते. मॉड्यूलमध्ये दोन भाग समाविष्ट आहेत: मुख्य भाग - DLL आणि दोन एजंट्स (32 आणि 64 बिट), जे प्रत्येक प्रक्रियेमध्ये इंजेक्ट केले जातील, WH_CBT ला बंधनकारक नोंदणी केली जाईल. 1C प्रक्रियेमध्ये सादर केल्यावर, मॉड्यूल CreateFile आणि WriteFile फंक्शन्स बांधते. जेव्हा जेव्हा CreateFile बाउंड फंक्शन कॉल केले जाते, तेव्हा मॉड्यूल मेमरीमध्ये फाइल पथ 1c_to_kl.txt संग्रहित करते. WriteFile कॉल इंटरसेप्ट केल्यानंतर, ते WriteFile फंक्शनला कॉल करते आणि फाईल पाथ 1c_to_kl.txt मुख्य DLL मॉड्यूलला पाठवते, त्यास तयार केलेला Windows WM_COPYDATA संदेश पाठवते.

मुख्य DLL मॉड्यूल पेमेंट ऑर्डर निर्धारित करण्यासाठी फाइल उघडते आणि पार्स करते. ते फाइलमध्ये असलेली रक्कम आणि व्यवहार क्रमांक ओळखते. ही माहिती कमांड सर्व्हरला पाठवली जाते. आमचा विश्वास आहे की हे मॉड्यूल सध्या विकासाधीन आहे कारण त्यात एक डीबग संदेश आहे आणि 1c_to_kl.txt आपोआप बदलू शकत नाही.

४.८.२. विशेषाधिकार वाढवणे

खोटे त्रुटी संदेश प्रदर्शित करून RTM विशेषाधिकार वाढवण्याचा प्रयत्न करू शकते. मालवेअर रेजिस्ट्री चेकचे नक्कल करतो (खालील चित्र पहा) किंवा रिअल रेजिस्ट्री एडिटर आयकॉन वापरतो. कृपया चुकीचे स्पेलिंग प्रतीक्षा लक्षात घ्या - काय. स्कॅनिंगच्या काही सेकंदांनंतर, प्रोग्राम चुकीचा त्रुटी संदेश प्रदर्शित करतो.

व्याकरणाच्या चुका असूनही खोटा संदेश सरासरी वापरकर्त्याची सहज फसवणूक करेल. वापरकर्त्याने दोनपैकी एका लिंकवर क्लिक केल्यास, RTM सिस्टीममध्ये त्याचे विशेषाधिकार वाढवण्याचा प्रयत्न करेल.

दोन पुनर्प्राप्ती पर्यायांपैकी एक निवडल्यानंतर, ट्रोजन प्रशासक विशेषाधिकारांसह ShellExecute फंक्शनमधील runas पर्याय वापरून DLL लाँच करते. वापरकर्त्याला उंचीसाठी एक वास्तविक विंडोज प्रॉम्प्ट दिसेल (खाली प्रतिमा पहा). वापरकर्त्याने आवश्यक परवानग्या दिल्यास, ट्रोजन प्रशासक विशेषाधिकारांसह चालेल.

सिस्टमवर स्थापित केलेल्या डीफॉल्ट भाषेवर अवलंबून, ट्रोजन रशियन किंवा इंग्रजीमध्ये त्रुटी संदेश प्रदर्शित करते.

४.८.३. प्रमाणपत्र

RTM Windows Store मध्ये प्रमाणपत्रे जोडू शकते आणि csrss.exe डायलॉग बॉक्समधील “होय” बटणावर आपोआप क्लिक करून जोडणीच्या विश्वासार्हतेची पुष्टी करू शकते. हे वर्तन नवीन नाही; उदाहरणार्थ, बँकिंग ट्रोजन रेटेफे देखील स्वतंत्रपणे नवीन प्रमाणपत्राच्या स्थापनेची पुष्टी करते.

४.८.४. उलट कनेक्शन

RTM लेखकांनी बॅककनेक्ट TCP बोगदा देखील तयार केला आहे. आम्ही अद्याप वापरात असलेले वैशिष्ट्य पाहिले नाही, परंतु ते संक्रमित पीसीचे दूरस्थपणे निरीक्षण करण्यासाठी डिझाइन केलेले आहे.

४.८.५. होस्ट फाइल व्यवस्थापन

Windows होस्ट फाइल सुधारण्यासाठी C&C सर्व्हर ट्रोजनला कमांड पाठवू शकतो. होस्ट फाइल सानुकूल DNS रिझोल्यूशन तयार करण्यासाठी वापरली जाते.

४.८.६. फाईल शोधा आणि पाठवा

सर्व्हर संक्रमित सिस्टमवर फाइल शोधण्याची आणि डाउनलोड करण्याची विनंती करू शकतो. उदाहरणार्थ, संशोधनादरम्यान आम्हाला 1c_to_kl.txt फाइलसाठी विनंती प्राप्त झाली. आधी वर्णन केल्याप्रमाणे, ही फाइल 1C: Enterprise 8 अकाउंटिंग सिस्टमद्वारे व्युत्पन्न केली गेली आहे.

4.8.7. अपडेट करा

शेवटी, RTM लेखक वर्तमान आवृत्ती बदलण्यासाठी नवीन DLL सबमिट करून सॉफ्टवेअर अपडेट करू शकतात.

5 निष्कर्ष

RTM च्या संशोधनातून असे दिसून आले आहे की रशियन बँकिंग प्रणाली अजूनही सायबर हल्लेखोरांना आकर्षित करते. बुहट्रॅप, कॉर्को आणि कार्बानाक सारखे गट रशियामधील वित्तीय संस्था आणि त्यांच्या ग्राहकांकडून यशस्वीरित्या पैसे चोरतात. RTM या उद्योगातील एक नवीन खेळाडू आहे.

ESET टेलिमेट्रीनुसार, दुर्भावनापूर्ण RTM साधने किमान 2015 पासून वापरात आहेत. प्रोग्राममध्ये स्मार्ट कार्ड वाचणे, कीस्ट्रोक इंटरसेप्ट करणे आणि बँकिंग व्यवहारांचे निरीक्षण करणे, तसेच 1C: Enterprise 8 ट्रान्सपोर्ट फाइल्स शोधणे यासह हेरगिरी क्षमतांची संपूर्ण श्रेणी आहे.

विकेंद्रित, सेन्सर नसलेल्या .bit उच्च-स्तरीय डोमेनचा वापर अत्यंत लवचिक पायाभूत सुविधा सुनिश्चित करतो.

स्त्रोत: www.habr.com