द अॅडव्हेंचर्स ऑफ इलुसिव्ह मालवेअर, भाग II: सिक्रेटिव्ह VBA स्क्रिप्ट्स

हा लेख फाइललेस मालवेअर मालिकेचा भाग आहे. मालिकेतील इतर सर्व भाग:

• द अॅडव्हेंचर्स ऑफ द इलुसिव्ह मालवेअर, भाग I
• अ‍ॅडव्हेंचर्स ऑफ द इलुसिव्ह मालवेअर, भाग II: हिडन व्हीबीए स्क्रिप्ट्स (आम्ही येथे आहोत)

मी साइटचा चाहता आहे संकरित विश्लेषण (हायब्रिड विश्लेषण, यापुढे HA). हे एक प्रकारचे मालवेअर प्राणीसंग्रहालय आहे जिथे तुम्ही हल्ला न करता सुरक्षित अंतरावरुन जंगली "भक्षक" सुरक्षितपणे पाहू शकता. HA सुरक्षित वातावरणात मालवेअर चालवते, सिस्टम कॉल रेकॉर्ड करते, तयार केलेल्या फाइल्स आणि इंटरनेट ट्रॅफिक करते आणि तुम्हाला हे सर्व परिणाम ते विश्लेषण करते. अशा प्रकारे, तुम्हाला गोंधळात टाकणारा कोड शोधण्यात तुमचा वेळ आणि शक्ती वाया घालवायची नाही, परंतु हॅकर्सचे सर्व हेतू लगेच समजू शकतात.

HA उदाहरणे ज्यांनी माझे लक्ष वेधून घेतले ते एकतर कोडेड JavaScript किंवा Visual Basic for Applications (VBA) स्क्रिप्ट वापरतात जे Word किंवा Excel दस्तऐवजांमध्ये मॅक्रो म्हणून एम्बेड केलेले आहेत आणि फिशिंग ईमेलशी संलग्न आहेत. उघडल्यावर, हे मॅक्रो पीडिताच्या संगणकावर पॉवरशेल सत्र सुरू करतात. हॅकर्स सामान्यत: PowerShell ला Base64 एन्कोड केलेला आदेश पाठवतात. हे सर्व काही विशिष्ट कीवर्डला प्रतिसाद देणाऱ्या वेब फिल्टर्स आणि अँटीव्हायरस सॉफ्टवेअरद्वारे हल्ला शोधणे कठीण करण्यासाठी केले जाते.
सुदैवाने, HA स्वयंचलितपणे Base64 डीकोड करते आणि लगेच वाचनीय स्वरूपात सर्वकाही प्रदर्शित करते. मूलत:, तुम्हाला या स्क्रिप्ट्स कसे कार्य करतात यावर लक्ष केंद्रित करण्याची गरज नाही कारण तुम्ही HA च्या संबंधित विभागामध्ये चालू असलेल्या प्रक्रियेसाठी पूर्ण कमांड आउटपुट पाहण्यास सक्षम असाल. खालील उदाहरण पहा:

हायब्रीड विश्लेषण पॉवरशेलला पाठवलेल्या बेस64 एन्कोड केलेल्या कमांडस इंटरसेप्ट करते:

...आणि नंतर ते तुमच्यासाठी डीकोड करते. #जादुईपणे

В मागील पोस्ट पॉवरशेल सत्र चालवण्यासाठी मी माझा स्वतःचा थोडासा अस्पष्ट JavaScript कंटेनर तयार केला आहे. माझी स्क्रिप्ट, अनेक PowerShell-आधारित मालवेअर प्रमाणे, नंतर रिमोट वेबसाइटवरून खालील PowerShell स्क्रिप्ट डाउनलोड करते. मग, उदाहरण म्हणून, मी निरुपद्रवी पीएस लोड केला ज्याने स्क्रीनवर संदेश छापला. पण काळ बदलत आहे, आणि आता मी परिस्थिती गुंतागुंतीचा करण्याचा प्रस्ताव देतो.

पॉवरशेल एम्पायर आणि रिव्हर्स शेल

हॅकर क्लासिक परिमिती संरक्षण आणि अँटीव्हायरस कसे सहजतेने बायपास करू शकतो हे दर्शविणे (तुलनेने) या व्यायामाचे एक उद्दिष्ट आहे. प्रोग्रामिंग कौशल्य नसलेला आयटी ब्लॉगर, माझ्यासारखा, एक दोन संध्याकाळी करू शकतो न शोधता येणारे मालवेअर तयार करा (पूर्णपणे न सापडलेले, FUD), यात स्वारस्य असलेल्या तरुण हॅकरच्या क्षमतांची कल्पना करा!

आणि जर तुम्ही आयटी सुरक्षा प्रदाता असाल, परंतु तुमच्या व्यवस्थापकाला या धोक्यांच्या संभाव्य परिणामांची जाणीव नसेल, तर त्याला हा लेख दाखवा.

हॅकर्स पीडितेच्या लॅपटॉप किंवा सर्व्हरवर थेट प्रवेश मिळविण्याचे स्वप्न पाहतात. हे करणे खूप सोपे आहे: हॅकरला सीईओच्या लॅपटॉपवर काही गोपनीय फाइल्स मिळवणे आवश्यक आहे.

कसा तरी मी आधीच लिहिले पॉवरशेल एम्पायर पोस्ट-प्रॉडक्शन रनटाइम बद्दल. चला ते काय आहे ते लक्षात ठेवूया.

हे मूलत: पॉवरशेल-आधारित पेनिट्रेशन टेस्टिंग टूल आहे जे इतर अनेक वैशिष्ट्यांसह, तुम्हाला रिव्हर्स शेल सहजपणे चालवण्याची परवानगी देते. तुम्ही यावर अधिक तपशीलवार अभ्यास करू शकता PSE होम साइट.

एक छोटासा प्रयोग करूया. मी Amazon Web Services क्लाउडमध्ये सुरक्षित मालवेअर चाचणी वातावरण सेट केले आहे. या असुरक्षिततेचे (आणि एंटरप्राइझ परिमितीमध्ये व्हायरस चालवल्याबद्दल काढून टाकू नका) त्वरीत आणि सुरक्षितपणे दर्शविण्यासाठी तुम्ही माझ्या उदाहरणाचे अनुसरण करू शकता.

तुम्ही पॉवरशेल एम्पायर कन्सोल लाँच केल्यास, तुम्हाला असे काहीतरी दिसेल:

प्रथम आपण आपल्या हॅकर संगणकावर ऐकण्याची प्रक्रिया सुरू करा. "श्रोता" कमांड एंटर करा आणि "सेट होस्ट" वापरून तुमच्या सिस्टमचा IP पत्ता निर्दिष्ट करा. नंतर "एक्झिक्युट" कमांडसह श्रोता प्रक्रिया सुरू करा (खाली). अशा प्रकारे, तुमच्या बाजूने, तुम्ही रिमोट शेलवरून नेटवर्क कनेक्शनची वाट पाहण्यास सुरुवात कराल:

दुसऱ्या बाजूसाठी, तुम्हाला "लाँचर" कमांड टाकून एजंट कोड तयार करावा लागेल (खाली पहा). हे रिमोट एजंटसाठी पॉवरशेल कोड जनरेट करेल. लक्षात घ्या की ते बेस64 मध्ये एन्कोड केलेले आहे, आणि पेलोडच्या दुसऱ्या टप्प्याचे प्रतिनिधित्व करते. दुसऱ्या शब्दांत, माझा JavaScript कोड आता या एजंटला स्क्रीनवर निरुपद्रवीपणे मजकूर मुद्रित करण्याऐवजी PowerShell चालवण्यासाठी खेचेल आणि रिव्हर्स शेल चालवण्यासाठी आमच्या रिमोट PSE सर्व्हरशी कनेक्ट करेल.

उलट शेलची जादू. ही कोडेड पॉवरशेल कमांड माझ्या श्रोत्याशी कनेक्ट होईल आणि रिमोट शेल लाँच करेल.

तुम्हाला हा प्रयोग दाखवण्यासाठी, मी निष्पाप बळीची भूमिका घेतली आणि Evil.doc उघडले, त्याद्वारे आमची JavaScript लाँच केली. पहिला भाग आठवतोय? पॉवरशेलची विंडो पॉप अप होण्यापासून रोखण्यासाठी कॉन्फिगर केली गेली आहे, त्यामुळे पीडित व्यक्तीला काहीही असामान्य दिसणार नाही. तथापि, जर तुम्ही विंडोज टास्क मॅनेजर उघडलात, तर तुम्हाला पॉवरशेल प्रक्रिया पार्श्वभूमी दिसेल ज्यामुळे बहुतेक लोकांसाठी अलार्म होणार नाही. कारण ते फक्त नियमित PowerShell आहे, नाही का?

आता जेव्हा तुम्ही Evil.doc चालवता, तेव्हा एक लपलेली पार्श्वभूमी प्रक्रिया PowerShell Empire चालवणाऱ्या सर्व्हरशी कनेक्ट होईल. माझी पांढरी पेंटेस्टर हॅकर हॅट घालून, मी पॉवरशेल एम्पायर कन्सोलवर परत आलो आणि आता माझा रिमोट एजंट सक्रिय असल्याचा संदेश दिसला.

मी नंतर PSE मध्ये शेल उघडण्यासाठी "इंटरॅक्ट" कमांड प्रविष्ट केली - आणि मी तिथे होतो! थोडक्यात, मी स्वतः एकदा सेट केलेला टॅको सर्व्हर हॅक केला.

मी नुकतेच जे दाखवले आहे त्यासाठी तुमच्याकडून जास्त काम करण्याची गरज नाही. तुमचे माहिती सुरक्षा ज्ञान सुधारण्यासाठी तुम्ही एक किंवा दोन तासांसाठी तुमच्या लंच ब्रेकमध्ये हे सर्व सहज करू शकता. हॅकर्स तुमच्या बाह्य सुरक्षा परिमितीला कसे बायपास करत आहेत आणि तुमच्या सिस्टममध्ये कसे प्रवेश करत आहेत हे समजून घेण्याचा हा एक चांगला मार्ग आहे.

आयटी व्यवस्थापक ज्यांना वाटते की त्यांनी कोणत्याही घुसखोरीविरूद्ध एक अभेद्य संरक्षण तयार केले आहे त्यांना कदाचित ते शैक्षणिक देखील वाटेल - म्हणजे, जर तुम्ही त्यांना तुमच्यासोबत बराच वेळ बसण्यास पटवून देऊ शकता.

चला वास्तविकतेकडे परत जाऊया

माझ्या अपेक्षेप्रमाणे, एक वास्तविक हॅक, जो सरासरी वापरकर्त्यास अदृश्य आहे, हा फक्त मी वर्णन केलेल्या गोष्टींचा फरक आहे. पुढील प्रकाशनासाठी साहित्य गोळा करण्यासाठी, मी HA वर नमुना शोधू लागलो जे माझ्या शोधलेल्या उदाहरणाप्रमाणेच कार्य करते. आणि मला ते फार काळ शोधावे लागले नाही - साइटवर समान आक्रमण तंत्रासाठी बरेच पर्याय आहेत.

मला शेवटी HA वर सापडलेला मालवेअर ही VBA स्क्रिप्ट होती जी वर्ड डॉक्युमेंटमध्ये एम्बेड केलेली होती. म्हणजेच, मला डॉक एक्स्टेंशन बनावट करण्याचीही गरज नाही, हा मालवेअर खरोखरच सामान्य दिसणारा मायक्रोसॉफ्ट वर्ड डॉक्युमेंट आहे. तुम्हाला स्वारस्य असल्यास, मी हा नमुना निवडला आहे rfq.doc.

मी पटकन शिकलो की तुम्ही अनेकदा दस्तऐवजातून दुर्भावनापूर्ण VBA स्क्रिप्ट्स थेट बाहेर काढू शकत नाही. हॅकर्स त्यांना संकुचित करतात आणि लपवतात जेणेकरून ते Word च्या अंगभूत मॅक्रो टूल्समध्ये दिसत नाहीत. ते काढण्यासाठी आपल्याला एका विशेष साधनाची आवश्यकता असेल. सुदैवाने मला एक स्कॅनर आला OfficeMalScanner फ्रँक बाल्डविन. धन्यवाद, फ्रँक.

हे साधन वापरून, मी अत्यंत अस्पष्ट VBA कोड काढण्यात सक्षम होतो. हे असे काहीतरी दिसत होते:

गोंधळ त्यांच्या क्षेत्रातील व्यावसायिकांनी केला होता. मी प्रभावित झालो!

हल्लेखोर कोड अस्पष्ट करण्यात खरोखर चांगले आहेत, Evil.doc तयार करण्याच्या माझ्या प्रयत्नांसारखे नाही. ठीक आहे, पुढच्या भागात आम्ही आमचे VBA डीबगर काढू, या कोडमध्ये थोडे खोल जाऊ आणि आमच्या विश्लेषणाची HA परिणामांशी तुलना करू.

स्त्रोत: www.habr.com