ड्यूक एक दुर्भावनापूर्ण मॅट्रियोष्का आहे

परिचय

1 सप्टेंबर 2011 रोजी, ~DN1.tmp नावाची फाइल हंगेरीहून VirusTotal वेबसाइटवर सबमिट केली गेली. त्या वेळी, बिटडिफेंडर आणि AVIRA या दोन अँटीव्हायरस इंजिनद्वारे फाइल दुर्भावनापूर्ण असल्याचे आढळले. ड्यूकची कथा अशीच सुरू झाली. पुढे पाहताना, असे म्हटले पाहिजे की या फाईलवर ड्यूक मालवेअर कुटुंबाचे नाव देण्यात आले होते. तथापि, ही फाइल कीलॉगर फंक्शन्ससह एक पूर्णपणे स्वतंत्र स्पाय मॉड्यूल आहे, कदाचित दुर्भावनापूर्ण ड्रॉपर डाउनलोडरच्या मदतीने स्थापित केली गेली आहे आणि केवळ त्याच्या ऑपरेशन दरम्यान ड्यूक मालवेअरद्वारे लोड केलेले "पेलोड" म्हणून मानले जाऊ शकते, परंतु अविभाज्य भाग नाही (मॉड्यूल ) ड्यूक चे . Duqu घटकांपैकी एक फक्त 9 सप्टेंबर रोजी Virustotal सेवेकडे पाठविला गेला. C-Media कडून डिजिटल स्वाक्षरी असलेला ड्रायव्हर हे त्याचे वेगळे वैशिष्ट्य आहे. काही तज्ञांनी मालवेअरच्या दुसर्‍या सुप्रसिद्ध उदाहरणासह ताबडतोब साधर्म्य काढण्यास सुरुवात केली - स्टक्सनेट, ज्याने स्वाक्षरी केलेले ड्रायव्हर्स देखील वापरले. जगभरातील विविध अँटीव्हायरस कंपन्यांनी शोधलेल्या Duqu द्वारे संक्रमित एकूण संगणकांची संख्या दहापट आहे. बर्‍याच कंपन्यांचा दावा आहे की इराण पुन्हा मुख्य लक्ष्य आहे, परंतु संक्रमणाच्या वितरणाच्या भूगोलानुसार हे निश्चितपणे सांगता येत नाही.

या प्रकरणात, एखाद्याने आत्मविश्वासाने फक्त नवीन शब्द असलेल्या दुसर्‍या कंपनीबद्दल बोलले पाहिजे APT (प्रगत सतत धोका).

प्रणाली मध्ये अंमलबजावणी प्रक्रिया

हंगेरियन संस्थेच्या CrySyS (हंगेरियन लॅबोरेटरी ऑफ क्रिप्टोग्राफी अँड सिस्टीम सिक्युरिटी ऑफ द बुडापेस्ट युनिव्हर्सिटी ऑफ टेक्नॉलॉजी अँड इकॉनॉमिक्स) च्या तज्ञांनी केलेल्या तपासणीमुळे एक इंस्टॉलर (ड्रॉपर) सापडला ज्याद्वारे सिस्टमला संसर्ग झाला होता. Win32k.sys ड्रायव्हर (MS11-087, 13 नोव्हेंबर 2011 रोजी मायक्रोसॉफ्टने वर्णन केलेल्या) च्या असुरक्षिततेसाठी शोषण करणारी ही मायक्रोसॉफ्ट वर्ड फाइल होती, जी टीटीएफ फॉन्ट रेंडर करण्यासाठी जबाबदार आहे. शोटाईमचा शेलकोड 'डेक्स्टर रेग्युलर' नावाच्या दस्तऐवजात एम्बेड केलेला फॉन्ट वापरतो आणि फॉन्टचा निर्माता म्हणून शोटाइम इंक. ला श्रेय दिले जाते. जसे आपण पाहू शकता, ड्यूकचे निर्माते विनोदाच्या भावनेसाठी परके नाहीत: डेक्सटर हा एक सीरियल किलर आहे, त्याच नावाच्या टेलिव्हिजन मालिकेचा नायक, शोटाइमने चित्रित केला आहे. Dexter फक्त (शक्य असल्यास) गुन्हेगारांना मारतो, म्हणजे कायद्याच्या नावाखाली कायदा मोडतो. कदाचित, अशा प्रकारे, ड्यूकचे विकसक उपरोधिक आहेत की ते चांगल्या हेतूंसाठी बेकायदेशीर क्रियाकलापांमध्ये गुंतलेले आहेत. ई-मेलद्वारे पत्र पाठवणे हेतुपुरस्सर केले गेले. पाठवण्यासाठी, बहुधा, तडजोड केलेले (हॅक केलेले) संगणक ट्रॅकिंग कठीण करण्यासाठी मध्यस्थ म्हणून वापरले गेले.
शब्द दस्तऐवजात खालील घटक समाविष्ट होते:

• मजकूर सामग्री;
• एम्बेडेड फॉन्ट;
• सिल्ककोड शोषण;
• चालक;
• इंस्टॉलर (DLL).

यशस्वी अंमलबजावणीच्या बाबतीत, शोषणाच्या शेलकोडने खालील ऑपरेशन केले (कर्नल मोडमध्ये):

• री-इन्फेक्शनची तपासणी केली गेली, यासाठी, 'HKEY_LOCAL_MACHINESOFTWARMicrosoftWindowsCurrentVersionInternet SettingsZones4' वरील रेजिस्ट्रीमध्ये 'CF1D' कीचे अस्तित्व तपासले गेले, जर ते खरे असेल, तर शेलकोडने त्याची अंमलबजावणी पूर्ण केली;
• दोन फाइल्स डिक्रिप्ट केल्या गेल्या - ड्रायव्हर (sys) आणि इंस्टॉलर (dll);
• ड्रायव्हरला services.exe प्रक्रियेत इंजेक्ट केले गेले आणि इंस्टॉलर लाँच केले;
• शेवटी, शेलकोडने मेमरीमधील शून्यासह स्वतःला पुसले.

रूट वापरकर्ता 'सिस्टम' म्हणून win32k.sys चालवून, Duqu च्या डेव्हलपर्सनी अनाधिकृत लॉन्च आणि एलिव्हेशन (मर्यादित विशेषाधिकारांसह वापरकर्ता खाते अंतर्गत चालत) या दोन्ही समस्यांचे सुरेखपणे निराकरण केले.
इन्स्टॉलरने, नियंत्रण प्राप्त केल्यानंतर, मेमरीमध्ये तीन डेटा ब्लॉक्स डिक्रिप्ट केले:

• स्वाक्षरी केलेला ड्रायव्हर (sys);
• मुख्य मॉड्यूल (dll);
• इंस्टॉलर कॉन्फिगरेशन डेटा (pnf).

इंस्टॉलर कॉन्फिगरेशन डेटामध्ये, तारखांची श्रेणी निर्दिष्ट केली गेली होती (दोन टाइमस्टॅम्पच्या स्वरूपात - प्रारंभ आणि समाप्ती). इंस्टॉलरने वर्तमान तारीख त्यात येते की नाही हे तपासले, नसल्यास, त्याने त्याची अंमलबजावणी पूर्ण केली. तसेच, इंस्टॉलर कॉन्फिगरेशन डेटामध्ये, ज्या नावाखाली ड्रायव्हर आणि मुख्य मॉड्यूल जतन केले गेले होते ते सूचित केले होते. या प्रकरणात, मुख्य मॉड्यूल एनक्रिप्टेड स्वरूपात डिस्कवर जतन केले गेले होते.

ड्यूक ऑटोस्टार्ट करण्यासाठी, एक सेवा तयार केली गेली जी ड्रायव्हर फाइल वापरते जी रजिस्ट्रीमध्ये संग्रहित की वापरून फ्लायवरील मुख्य मॉड्यूल डिक्रिप्ट करते. मुख्य मॉड्यूलमध्ये स्वतःचे कॉन्फिगरेशन डेटा ब्लॉक आहे. पहिल्या प्रारंभी, ते डिक्रिप्ट केले गेले होते, त्यात स्थापना तारीख प्रविष्ट केली गेली होती, त्यानंतर ती पुन्हा एनक्रिप्ट केली गेली आणि मुख्य मॉड्यूलद्वारे जतन केली गेली. अशा प्रकारे, प्रभावित सिस्टममध्ये, यशस्वी स्थापनेदरम्यान, तीन फायली जतन केल्या गेल्या - ड्रायव्हर, मुख्य मॉड्यूल आणि त्याची कॉन्फिगरेशन डेटा फाइल, तर शेवटच्या दोन फायली डिस्कवर एनक्रिप्टेड स्वरूपात संग्रहित केल्या गेल्या. सर्व डिक्रिप्शन प्रक्रिया केवळ मेमरीमध्ये केल्या गेल्या. ही जटिल स्थापना प्रक्रिया अँटीव्हायरस सॉफ्टवेअरद्वारे शोधण्याची शक्यता कमी करण्यासाठी वापरली गेली.

मुख्य मॉड्यूल

मुख्य मॉड्यूल (संसाधन 302), द्वारे माहिती Kaspersky Lab द्वारे, शुद्ध C मध्ये MSVC 2008 वापरून लिहिलेले, परंतु ऑब्जेक्ट-ओरिएंटेड दृष्टिकोन वापरून. दुर्भावनापूर्ण कोड विकसित करताना हा दृष्टीकोन वैशिष्ट्यपूर्ण नाही. नियमानुसार, आकार कमी करण्यासाठी आणि C ++ मध्ये अंतर्निहित अंतर्निहित कॉल्सपासून मुक्त होण्यासाठी असा कोड C मध्ये लिहिला जातो. इथे एक सहजीवनही आहे. शिवाय, इव्हेंट-देणारं आर्किटेक्चर वापरले होते. कॅस्परस्की लॅबचे कर्मचारी या सिद्धांताकडे झुकलेले आहेत की मुख्य मॉड्यूल प्री-प्रोसेसर अॅड-ऑन वापरून लिहिले गेले आहे जे तुम्हाला ऑब्जेक्ट शैलीमध्ये C मध्ये कोड लिहू देते.
ऑपरेटरकडून आदेश प्राप्त करण्याच्या प्रक्रियेसाठी मुख्य मॉड्यूल जबाबदार आहे. ड्यूक संवाद साधण्याचे अनेक मार्ग प्रदान करते: HTTP आणि HTTPS प्रोटोकॉल वापरणे, तसेच नामित पाईप्स (पाइप) वापरणे. HTTP(S) साठी, कमांड सेंटर्सची डोमेन नावे निर्दिष्ट केली आहेत, जेव्हा प्रॉक्सी सर्व्हरद्वारे कार्य करणे शक्य होते - त्यांना वापरकर्तानाव आणि संकेतशब्द देण्यात आला होता. चॅनेलला IP पत्ता आणि चॅनेलचे नाव दिले आहे. निर्दिष्ट डेटा मुख्य मॉड्यूल (एनक्रिप्टेड) ​​च्या कॉन्फिगरेशन डेटा ब्लॉकमध्ये संग्रहित केला जातो.
नामित पाईप्स वापरण्यासाठी, RPC सर्व्हरची सानुकूल अंमलबजावणी सुरू करण्यात आली. हे खालील सात कार्यांना समर्थन देते:

• स्थापित आवृत्ती परत करा;
• निर्दिष्ट प्रक्रियेमध्ये dll इंजेक्ट करा आणि निर्दिष्ट फंक्शनला कॉल करा;
• लोड dll;
• CreateProcess() वर कॉल करून प्रक्रिया सुरू करा;
• दिलेल्या फाईलची सामग्री वाचा;
• निर्दिष्ट फाइलवर डेटा लिहा;
• दिलेली फाईल हटवा.

ड्यूक-संक्रमित संगणकांमधील अद्यतनित मॉड्यूल आणि कॉन्फिगरेशन डेटा वितरित करण्यासाठी स्थानिक नेटवर्कमध्ये नामांकित पाईप्स वापरल्या जाऊ शकतात. याव्यतिरिक्त, Duqu इतर संक्रमित संगणकांसाठी प्रॉक्सी सर्व्हर म्हणून कार्य करू शकते (ज्यांना गेटवेवरील फायरवॉल सेटिंग्जमुळे इंटरनेटवर प्रवेश नव्हता). Duqu च्या काही आवृत्त्यांमध्ये RPC कार्यक्षमतेचा अभाव आहे.

ज्ञात "पेलोड्स"

Symantec ने ड्यूक कंट्रोल सेंटरवरून कमांडवर लोड केलेले किमान चार "पेलोड" ओळखले आहेत.
तथापि, त्यापैकी फक्त एक निवासी होती आणि एक्झिक्युटेबल फाइल (exe) म्हणून संकलित केली गेली होती, जी डिस्कवर जतन केली गेली होती. उर्वरित तीन dll लायब्ररी म्हणून कार्यान्वित करण्यात आले. ते गतिमानपणे लोड केले गेले आणि डिस्कवर जतन न करता मेमरीमध्ये कार्यान्वित केले.

रहिवासी "पेलोड" एक गुप्तचर मॉड्यूल होता (इन्फोस्टीलर) कीलॉगर फंक्शन्ससह. व्हायरसटोटलला पाठवल्यानंतरच ड्यूक संशोधनावर काम सुरू झाले. मुख्य गुप्तचर कार्यक्षमता संसाधनामध्ये होती, त्यातील पहिल्या 8 किलोबाइट्समध्ये आकाशगंगा एनजीसी 6745 (मास्किंगसाठी) च्या फोटोचा भाग होता. येथे हे लक्षात घेतले पाहिजे की एप्रिल 2012 मध्ये, काही माध्यमांनी माहिती प्रकाशित केली होती (http://www.mehrnews.com/en/newsdetail.aspx?NewsID=1297506) इराणमध्ये काही प्रकारचे स्टार्स मालवेअर उघडकीस आले होते, तर त्याचे तपशील घटना उघड केली नाही. हे शक्य आहे की ड्यूक “पेलोड” चा असाच नमुना तेव्हा इराणमध्ये सापडला होता, म्हणून त्याला “तारे” (तारे) नाव पडले.
गुप्तचर मॉड्यूलने खालील माहिती गोळा केली:

• चालू असलेल्या प्रक्रियांची यादी, वर्तमान वापरकर्ता आणि डोमेनबद्दल माहिती;
• नेटवर्कसह लॉजिकल ड्राइव्हची यादी;
• स्क्रीनशॉट;
• नेटवर्क इंटरफेसचे पत्ते, राउटिंग टेबल;
• कीबोर्ड कीस्ट्रोकची लॉग फाइल;
• खुल्या ऍप्लिकेशन विंडोची नावे;
• उपलब्ध नेटवर्क संसाधनांची सूची (सामायिकरण संसाधने);
• काढता येण्याजोग्यांसह सर्व ड्राइव्हवरील फायलींची संपूर्ण यादी;
• "नेटवर्क वातावरणात" संगणकांची यादी.

आणखी एक गुप्तचर मॉड्यूल (इन्फोस्टीलर) हे आधीच वर्णन केलेल्या मधील भिन्नता होती, परंतु dll लायब्ररी म्हणून संकलित केलेली, कीलॉगरची कार्ये, फाइल्सची सूची संकलित करणे आणि डोमेनमध्ये समाविष्ट संगणकांची गणना करणे यामधून काढून टाकण्यात आले.
पुढील मॉड्यूल (टोही) संकलित प्रणाली माहिती:

• संगणक डोमेनचा भाग आहे की नाही;
• विंडोज सिस्टम डिरेक्टरीमध्ये मार्ग;
• ऑपरेटिंग सिस्टम आवृत्ती;
• वर्तमान वापरकर्त्याचे नाव;
• नेटवर्क अडॅप्टरची यादी;
• प्रणाली आणि स्थानिक वेळ, तसेच वेळ क्षेत्र.

शेवटचे मॉड्यूल (आयुर्मान वाढवणारा) कार्य संपेपर्यंत शिल्लक राहिलेल्या दिवसांची संख्या (मुख्य मॉड्यूलच्या कॉन्फिगरेशन डेटा फाइलमध्ये संग्रहित) वाढवण्यासाठी एक कार्य लागू केले. डीफॉल्टनुसार, हे मूल्य Duqu च्या बदलानुसार 30 किंवा 36 दिवसांवर सेट केले गेले आणि दररोज एकाने कमी केले.

कमांड सेंटर्स

20 ऑक्टोबर 2011 रोजी (शोध सार्वजनिक झाल्यानंतर तीन दिवसांनी), ड्यूक ऑपरेटर्सने कमांड सेंटर्सच्या ऑपरेशनचे ट्रेस नष्ट करण्यासाठी एक प्रक्रिया केली. व्हिएतनाम, भारत, जर्मनी, सिंगापूर, स्वित्झर्लंड, ग्रेट ब्रिटन, हॉलंड, दक्षिण कोरिया - जगभरातील हॅक केलेल्या सर्व्हरवर कमांड सेंटर्स होस्ट केली गेली. विशेष म्हणजे, सर्व ओळखले जाणारे सर्व्हर CentOS आवृत्ती 5.2, 5.4 किंवा 5.5 चालवत होते. ओएस 32-बिट आणि 64-बिट दोन्ही होते. कमांड सेंटरच्या ऑपरेशनशी संबंधित सर्व फायली हटविल्या गेल्या असूनही, कॅस्परस्की लॅबच्या तज्ञांनी LOG फायलींमधील काही माहिती स्लॅक स्पेसमधून पुनर्प्राप्त करण्यात व्यवस्थापित केले. सर्वात मनोरंजक वस्तुस्थिती अशी आहे की सर्व्हरवरील आक्रमणकर्त्यांनी नेहमी डीफॉल्ट OpenSSH 4.3 पॅकेज आवृत्ती 5.8 सह बदलले आहे. हे सूचित करू शकते की OpenSSH 4.3 मधील अज्ञात भेद्यता सर्व्हर हॅक करण्यासाठी वापरली गेली होती. सर्व यंत्रणा कमांड सेंटर म्हणून वापरल्या जात नाहीत. काही, पोर्ट 80 आणि 443 साठी रहदारी पुनर्निर्देशित करण्याचा प्रयत्न करताना sshd लॉगमधील त्रुटींनुसार, अंतिम कमांड सेंटरशी कनेक्ट करण्यासाठी प्रॉक्सी सर्व्हर म्हणून वापरले गेले.

तारखा आणि मॉड्यूल

एप्रिल 2011 मध्ये वितरित केलेल्या वर्ड दस्तऐवजात, ज्याची कॅस्परस्की लॅबने तपासणी केली होती, त्यात 31 ऑगस्ट 2007 च्या संकलित तारखेसह इंस्टॉलर डाउनलोड ड्राइव्हर आहे. CrySys प्रयोगशाळेत मिळालेल्या दस्तऐवजातील समान ड्रायव्हर (आकार - 20608 बाइट्स, MD5 - EEDCA45BD613E0D9A9E5C69122007F17) ची संकलित तारीख 21 फेब्रुवारी 2008 होती. याव्यतिरिक्त, कॅस्परस्की लॅब तज्ञांना 19968 जानेवारी 5 रोजी ऑटोरन ड्रायव्हर rndismpc.sys (आकार - 9 बाइट्स, MD6 - 10AEC5E9C05EE93221544C783BED20C2008E) सापडला. 2009 चिन्हांकित केलेले कोणतेही घटक आढळले नाहीत. ड्यूकच्या वैयक्तिक भागांच्या संकलन टाइमस्टॅम्पच्या आधारावर, त्याचा विकास 2007 च्या सुरुवातीच्या काळातील असू शकतो. त्याचे सर्वात जुने प्रकटीकरण ~DO (कदाचित स्पायवेअरपैकी एकाने तयार केलेले) फॉर्मच्या तात्पुरत्या फाइल्स शोधण्याशी संबंधित आहे, ज्याची निर्मिती तारीख 28 नोव्हेंबर 2008 आहे (लेख "ड्यूक आणि स्टक्सनेट: मनोरंजक कार्यक्रमांची टाइमलाइन"). Duqu शी संबंधित सर्वात अलीकडील तारीख 23 फेब्रुवारी 2012 आहे, मार्च 2012 मध्ये Symantec द्वारे शोधलेल्या इंस्टॉलर डाउनलोड ड्रायव्हरमध्ये समाविष्ट आहे.

माहितीचे स्रोत वापरलेले:

लेखांची मालिका कॅस्परस्की लॅबमधील ड्यूक बद्दल;
Symantec विश्लेषक अहवाल "W32.Duqu पुढील स्टक्सनेटचा अग्रदूत", आवृत्ती 1.4, नोव्हेंबर 2011 (pdf).

स्त्रोत: www.habr.com