रशियन व्यवसायांवर हल्ला करण्यासाठी हल्लेखोर जटिल मालवेअर वापरतात

गेल्या वर्षाच्या अखेरीपासून, आम्ही बँकिंग ट्रोजन वितरीत करण्यासाठी नवीन दुर्भावनापूर्ण मोहिमेचा मागोवा घेण्यास सुरुवात केली. हल्लेखोरांनी रशियन कंपन्यांशी, म्हणजे कॉर्पोरेट वापरकर्त्यांशी तडजोड करण्यावर लक्ष केंद्रित केले. दुर्भावनापूर्ण मोहीम किमान एक वर्ष सक्रिय होती आणि, बँकिंग ट्रोजन व्यतिरिक्त, हल्लेखोरांनी इतर विविध सॉफ्टवेअर साधने वापरण्याचा अवलंब केला. यामध्ये वापरून पॅकेज केलेले विशेष लोडर समाविष्ट आहे एनएसआयएस, आणि स्पायवेअर, जे सुप्रसिद्ध वैध Yandex Punto सॉफ्टवेअर म्हणून वेषात आहे. एकदा हल्लेखोरांनी पीडितेच्या संगणकाशी तडजोड केली की, ते बॅकडोअर आणि नंतर बँकिंग ट्रोजन स्थापित करतात.

त्यांच्या मालवेअरसाठी, आक्रमणकर्त्यांनी अनेक वैध (त्या वेळी) डिजिटल प्रमाणपत्रे आणि AV उत्पादनांना बायपास करण्यासाठी विशेष पद्धती वापरल्या. दुर्भावनापूर्ण मोहिमेने मोठ्या संख्येने रशियन बँकांना लक्ष्य केले आणि विशेष स्वारस्य आहे कारण आक्रमणकर्त्यांनी अशा पद्धती वापरल्या ज्या अनेकदा लक्ष्यित हल्ल्यांमध्ये वापरल्या जातात, म्हणजे हल्ले जे पूर्णपणे आर्थिक फसवणुकीने प्रेरित नसतात. ही दुर्भावनापूर्ण मोहीम आणि याआधी मोठी प्रसिद्धी मिळालेली एक मोठी घटना यामधील काही समानता आम्ही लक्षात घेऊ शकतो. आम्ही एका सायबर गुन्हेगारी गटाबद्दल बोलत आहोत ज्याने बँकिंग ट्रोजन वापरले अनुनाक/कार्बानक.

आक्रमणकर्त्यांनी केवळ त्या संगणकांवर मालवेअर स्थापित केले ज्यांनी विंडोज (स्थानिकीकरण) मध्ये रशियन भाषा वापरली. ट्रोजनचे मुख्य वितरण वेक्टर एक शोषण असलेले वर्ड डॉक्युमेंट होते. सीव्हीई- 2012-0158, जे दस्तऐवजात संलग्नक म्हणून पाठवले होते. खालील स्क्रीनशॉट अशा बनावट कागदपत्रांचे स्वरूप दर्शवतात. पहिल्या दस्तऐवजाचे शीर्षक आहे “चालान क्रमांक 522375-FLORL-14-115.doc”, आणि दुसरे “kontrakt87.doc”, हे मोबाइल ऑपरेटर मेगाफोनद्वारे दूरसंचार सेवांच्या तरतुदीसाठीच्या कराराची प्रत आहे.

तांदूळ. 1. फिशिंग दस्तऐवज.

तांदूळ. 2. फिशिंग दस्तऐवजात आणखी एक बदल.

खालील तथ्ये सूचित करतात की हल्लेखोर रशियन व्यवसायांना लक्ष्य करत होते:

• निर्दिष्ट विषयावर बनावट कागदपत्रे वापरून मालवेअरचे वितरण;
• हल्लेखोरांचे डावपेच आणि ते वापरत असलेली दुर्भावनापूर्ण साधने;
• काही एक्झिक्युटेबल मॉड्युलमधील व्यवसाय अनुप्रयोगांचे दुवे;
• या मोहिमेत वापरल्या गेलेल्या दुर्भावनापूर्ण डोमेनची नावे.

विशेष सॉफ्टवेअर टूल्स जे आक्रमणकर्ते तडजोड केलेल्या सिस्टमवर स्थापित करतात त्यांना सिस्टमचे रिमोट कंट्रोल मिळवू देतात आणि वापरकर्त्याच्या क्रियाकलापांचे निरीक्षण करतात. ही फंक्शन्स करण्यासाठी, ते बॅकडोअर इन्स्टॉल करतात आणि Windows खात्याचा पासवर्ड मिळवण्याचा किंवा नवीन खाते तयार करण्याचा प्रयत्न करतात. हल्लेखोर कीलॉगर (कीलॉगर), विंडोज क्लिपबोर्ड स्टीलर आणि स्मार्ट कार्डसह काम करण्यासाठी विशेष सॉफ्टवेअरच्या सेवांचा देखील अवलंब करतात. या गटाने इतर संगणकांशी तडजोड करण्याचा प्रयत्न केला जे पीडिताच्या संगणकाप्रमाणेच स्थानिक नेटवर्कवर होते.

आमची ESET LiveGrid टेलीमेट्री प्रणाली, जी आम्हाला मालवेअर वितरण आकडेवारीचा द्रुतपणे मागोवा घेण्यास अनुमती देते, आम्हाला नमूद केलेल्या मोहिमेमध्ये आक्रमणकर्त्यांनी वापरलेल्या मालवेअरच्या वितरणावर मनोरंजक भौगोलिक आकडेवारी प्रदान केली आहे.

तांदूळ. 3. या दुर्भावनापूर्ण मोहिमेत वापरलेल्या मालवेअरच्या भौगोलिक वितरणावरील आकडेवारी.

मालवेअर स्थापित करत आहे

वापरकर्त्याने असुरक्षित प्रणालीवर शोषणासह दुर्भावनापूर्ण दस्तऐवज उघडल्यानंतर, NSIS वापरून पॅकेज केलेले एक विशेष डाउनलोडर डाउनलोड केले जाईल आणि तेथे कार्यान्वित केले जाईल. त्याच्या कामाच्या सुरूवातीस, प्रोग्राम तेथे डीबगरच्या उपस्थितीसाठी किंवा व्हर्च्युअल मशीनच्या संदर्भात चालण्यासाठी विंडोज वातावरण तपासतो. हे Windows चे स्थानिकीकरण आणि वापरकर्त्याने ब्राउझरमधील टेबलमध्ये खाली दिलेल्या URL ला भेट दिली आहे की नाही हे देखील तपासते. यासाठी APIs वापरले जातात प्रथम शोधा/NextUrlCacheEntry आणि SoftwareMicrosoftInternet ExplorerTypedURLs रेजिस्ट्री की.

बूटलोडर सिस्टमवर खालील ऍप्लिकेशन्सची उपस्थिती तपासतो.

प्रक्रियांची यादी खरोखरच प्रभावी आहे आणि तुम्ही बघू शकता, त्यात केवळ बँकिंग अनुप्रयोगांचा समावेश नाही. उदाहरणार्थ, “scardsvr.exe” नावाची एक्झिक्युटेबल फाइल स्मार्ट कार्ड्स (Microsoft SmartCard Reader) सह काम करण्यासाठी सॉफ्टवेअरचा संदर्भ देते. बँकिंग ट्रोजनमध्येच स्मार्ट कार्डसह कार्य करण्याची क्षमता समाविष्ट आहे.

तांदूळ. 4. मालवेअर इंस्टॉलेशन प्रक्रियेचा सामान्य आकृती.

सर्व तपासण्या यशस्वीरित्या पूर्ण झाल्यास, लोडर रिमोट सर्व्हरवरून एक विशेष फाइल (संग्रहण) डाउनलोड करतो, ज्यामध्ये आक्रमणकर्त्यांनी वापरलेले सर्व दुर्भावनापूर्ण एक्जीक्यूटेबल मॉड्यूल असतात. हे लक्षात घेणे मनोरंजक आहे की वरील चेकच्या अंमलबजावणीवर अवलंबून, रिमोट C&C सर्व्हरवरून डाउनलोड केलेले संग्रहण वेगळे असू शकतात. संग्रहण दुर्भावनापूर्ण असू शकते किंवा नसू शकते. दुर्भावनापूर्ण नसल्यास, ते वापरकर्त्यासाठी Windows Live टूलबार स्थापित करते. बहुधा, हल्लेखोरांनी स्वयंचलित फाइल विश्लेषण प्रणाली आणि ज्यावर संशयास्पद फायली कार्यान्वित केल्या जातात अशा आभासी मशीनची फसवणूक करण्यासाठी समान युक्त्या वापरल्या.

NSIS डाउनलोडरद्वारे डाउनलोड केलेली फाइल 7z संग्रहण आहे ज्यामध्ये विविध मालवेअर मॉड्यूल आहेत. खालील प्रतिमा या मालवेअरची संपूर्ण स्थापना प्रक्रिया आणि त्याचे विविध मॉड्यूल दर्शवते.

तांदूळ. 5. मालवेअर कसे कार्य करते याची सामान्य योजना.

जरी लोड केलेले मॉड्यूल हल्लेखोरांसाठी विविध उद्देशांसाठी सेवा देत असले तरी, ते एकसारखे पॅक केलेले आहेत आणि त्यापैकी अनेकांवर वैध डिजिटल प्रमाणपत्रांसह स्वाक्षरी केली आहे. आम्हाला अशी चार प्रमाणपत्रे सापडली आहेत जी मोहिमेच्या सुरुवातीपासून हल्लेखोरांनी वापरली होती. आमच्या तक्रारीनंतर ही प्रमाणपत्रे रद्द करण्यात आली. हे लक्षात घेणे मनोरंजक आहे की मॉस्कोमध्ये नोंदणीकृत कंपन्यांना सर्व प्रमाणपत्रे जारी करण्यात आली होती.

तांदूळ. 6. मालवेअरवर स्वाक्षरी करण्यासाठी वापरलेले डिजिटल प्रमाणपत्र.

खालील सारणी या दुर्भावनापूर्ण मोहिमेत हल्लेखोरांनी वापरलेली डिजिटल प्रमाणपत्रे ओळखते.

हल्लेखोरांद्वारे वापरल्या जाणार्‍या जवळजवळ सर्व दुर्भावनापूर्ण मॉड्यूल्सची स्थापना प्रक्रिया एकसारखी असते. ते सेल्फ-एक्सट्रॅक्टिंग 7zip संग्रहण आहेत जे पासवर्ड संरक्षित आहेत.

तांदूळ. 7. install.cmd बॅच फाइलचा तुकडा.

बॅच .cmd फाइल सिस्टमवर मालवेअर स्थापित करण्यासाठी आणि विविध आक्रमणकर्ता साधने सुरू करण्यासाठी जबाबदार आहे. अंमलबजावणीसाठी गहाळ प्रशासकीय अधिकारांची आवश्यकता असल्यास, दुर्भावनायुक्त कोड ते मिळविण्यासाठी अनेक पद्धती वापरतो (UAC बायपास करून). पहिल्या पद्धतीची अंमलबजावणी करण्यासाठी, l1.exe आणि cc1.exe नावाच्या दोन एक्झिक्युटेबल फाइल्स वापरल्या जातात, ज्या वापरून UAC ला बायपास करण्यात माहिर आहेत. लीक कार्बरप स्त्रोत कोड. दुसरी पद्धत CVE-2013-3660 असुरक्षिततेचे शोषण करण्यावर आधारित आहे. प्रिव्हिलेज एस्केलेशन आवश्यक असलेल्या प्रत्येक मालवेअर मॉड्यूलमध्ये शोषणाची 32-बिट आणि 64-बिट आवृत्ती दोन्ही असते.

या मोहिमेचा मागोवा घेत असताना, आम्ही डाउनलोडरने अपलोड केलेल्या अनेक संग्रहांचे विश्लेषण केले. संग्रहणांची सामग्री भिन्न आहे, याचा अर्थ आक्रमणकर्ते दुर्भावनापूर्ण मॉड्यूल्स भिन्न हेतूंसाठी अनुकूल करू शकतात.

वापरकर्ता तडजोड

आम्ही वर नमूद केल्याप्रमाणे, आक्रमणकर्ते वापरकर्त्यांच्या संगणकाशी तडजोड करण्यासाठी विशेष साधने वापरतात. या साधनांमध्ये mimi.exe आणि xtm.exe या एक्झिक्युटेबल फाइल नावांसह प्रोग्राम समाविष्ट आहेत. ते हल्लेखोरांना पीडिताच्या संगणकावर नियंत्रण ठेवण्यास आणि खालील कार्ये पार पाडण्यात माहिर होण्यास मदत करतात: Windows खात्यांसाठी पासवर्ड मिळवणे/पुनर्प्राप्त करणे, RDP सेवा सक्षम करणे, OS मध्ये नवीन खाते तयार करणे.

mimi.exe एक्झिक्युटेबलमध्ये सुप्रसिद्ध ओपन सोर्स टूलची सुधारित आवृत्ती समाविष्ट आहे मिमिकॅट्ज. हे साधन तुम्हाला Windows वापरकर्ता खाते संकेतशब्द प्राप्त करण्यास अनुमती देते. हल्लेखोरांनी Mimikatz मधील भाग काढून टाकला जो वापरकर्त्याच्या परस्परसंवादासाठी जबाबदार आहे. एक्झिक्युटेबल कोड देखील सुधारित केला गेला आहे जेणेकरून लॉन्च केल्यावर, Mimikatz विशेषाधिकार::debug आणि sekurlsa:logonPasswords कमांडसह चालते.

दुसरी एक्झिक्युटेबल फाइल, xtm.exe, विशेष स्क्रिप्ट लाँच करते जी सिस्टममध्ये RDP सेवा सक्षम करते, OS मध्ये एक नवीन खाते तयार करण्याचा प्रयत्न करते आणि अनेक वापरकर्त्यांना RDP द्वारे तडजोड केलेल्या संगणकाशी एकाच वेळी कनेक्ट करण्याची परवानगी देण्यासाठी सिस्टम सेटिंग्ज देखील बदलते. साहजिकच, तडजोड केलेल्या प्रणालीवर पूर्ण नियंत्रण मिळविण्यासाठी या पायऱ्या आवश्यक आहेत.

तांदूळ. 8. सिस्टमवर xtm.exe द्वारे कार्यान्वित केलेल्या आदेश.

आक्रमणकर्ते impack.exe नावाची दुसरी एक्झिक्युटेबल फाइल वापरतात, जी सिस्टीमवर विशेष सॉफ्टवेअर स्थापित करण्यासाठी वापरली जाते. या सॉफ्टवेअरला LiteManager म्हणतात आणि हल्लेखोर बॅकडोअर म्हणून वापरतात.

तांदूळ. 9. LiteManager इंटरफेस.

एकदा वापरकर्त्याच्या सिस्टमवर स्थापित झाल्यानंतर, LiteManager आक्रमणकर्त्यांना त्या सिस्टमशी थेट कनेक्ट करण्याची आणि दूरस्थपणे नियंत्रित करण्याची अनुमती देते. या सॉफ्टवेअरमध्ये लपलेले इंस्टॉलेशन, विशेष फायरवॉल नियम तयार करणे आणि त्याचे मॉड्यूल लॉन्च करण्यासाठी विशेष कमांड लाइन पॅरामीटर्स आहेत. सर्व पॅरामीटर्स हल्लेखोरांद्वारे वापरले जातात.

हल्लेखोरांनी वापरलेले मालवेअर पॅकेजचे शेवटचे मॉड्यूल म्हणजे pn_pack.exe हे एक्झिक्युटेबल फाइल नाव असलेला बँकिंग मालवेअर प्रोग्राम (बँकर) आहे. ती वापरकर्त्याची हेरगिरी करण्यात माहिर आहे आणि C&C सर्व्हरशी संवाद साधण्यासाठी ती जबाबदार आहे. बँकर वैध Yandex Punto सॉफ्टवेअर वापरून लॉन्च केले आहे. पुंटोचा वापर आक्रमणकर्त्यांद्वारे दुर्भावनापूर्ण DLL लायब्ररी (DLL साइड-लोडिंग पद्धत) लाँच करण्यासाठी केला जातो. मालवेअर स्वतः खालील कार्ये करू शकतो:

• कीबोर्ड कीस्ट्रोक आणि क्लिपबोर्ड सामग्री त्यांच्या नंतरच्या रिमोट सर्व्हरवर प्रसारित करण्यासाठी ट्रॅक करा;
• सिस्टममध्ये उपस्थित असलेल्या सर्व स्मार्ट कार्डांची यादी करा;
• दूरस्थ C&C सर्व्हरशी संवाद साधा.

मालवेअर मॉड्यूल, जे ही सर्व कार्ये करण्यासाठी जबाबदार आहे, एक एनक्रिप्टेड DLL लायब्ररी आहे. पुंटोच्या अंमलबजावणीदरम्यान ते डिक्रिप्ट केले जाते आणि मेमरीमध्ये लोड केले जाते. वरील कार्ये करण्यासाठी, DLL एक्झिक्युटेबल कोड तीन थ्रेड्स सुरू करतो.

हल्लेखोरांनी त्यांच्या हेतूंसाठी पुंटो सॉफ्टवेअर निवडले हे आश्चर्यकारक नाही: काही रशियन मंच उघडपणे वापरकर्त्यांशी तडजोड करण्यासाठी कायदेशीर सॉफ्टवेअरमधील त्रुटी वापरण्यासारख्या विषयांवर तपशीलवार माहिती देतात.

दुर्भावनापूर्ण लायब्ररी RC4 अल्गोरिदम वापरते ती त्याच्या स्ट्रिंग्स कूटबद्ध करण्यासाठी, तसेच C&C सर्व्हरसह नेटवर्क संवादादरम्यान. ते दर दोन मिनिटांनी सर्व्हरशी संपर्क साधते आणि या कालावधीत तडजोड केलेल्या सिस्टमवर गोळा केलेला सर्व डेटा तेथे प्रसारित करते.

तांदूळ. 10. बॉट आणि सर्व्हरमधील नेटवर्क परस्परसंवादाचा तुकडा.

खाली काही C&C सर्व्हर सूचना आहेत ज्या लायब्ररीला मिळू शकतात.

C&C सर्व्हरकडून सूचना प्राप्त करण्याच्या प्रतिसादात, मालवेअर स्थिती कोडसह प्रतिसाद देतो. हे लक्षात घेणे मनोरंजक आहे की आम्ही विश्लेषण केलेल्या सर्व बँकर मॉड्यूल्समध्ये (जानेवारी 18 च्या संकलन तारखेसह सर्वात अलीकडील) "TEST_BOTNET" स्ट्रिंग आहे, जी प्रत्येक संदेशात C&C सर्व्हरला पाठविली जाते.

निष्कर्ष

कॉर्पोरेट वापरकर्त्यांशी तडजोड करण्यासाठी, हल्लेखोर पहिल्या टप्प्यावर कंपनीच्या एका कर्मचाऱ्याला शोषणासह फिशिंग संदेश पाठवून तडजोड करतात. पुढे, एकदा सिस्टीमवर मालवेअर इन्स्टॉल झाल्यावर, ते सॉफ्टवेअर टूल्स वापरतील जे त्यांना सिस्टीमवर त्यांचे अधिकार लक्षणीयरीत्या वाढवण्यास आणि त्यावर अतिरिक्त कार्ये करण्यास मदत करतील: कॉर्पोरेट नेटवर्कवरील इतर संगणकांशी तडजोड करणे आणि वापरकर्त्याची हेरगिरी करणे, तसेच तो करत असलेले बँकिंग व्यवहार.

स्त्रोत: www.habr.com