ProHoster > ဘလော့ > အုပ်ချုပ်ရေသ > Backdoor နဟင့် Buhtrap ကုဒ်ဝဟက်စနစ်ကို Yandex.Direct သုံသပဌီသ ဖဌန့်ဝေခဲ့သည်။

Backdoor နဟင့် Buhtrap ကုဒ်ဝဟက်စနစ်ကို Yandex.Direct သုံသပဌီသ ဖဌန့်ဝေခဲ့သည်။

ဆိုက်ဘာတိုက်ခိုက်မဟုတစ်ခုတလင် စာရင်သကိုင်မျာသကို ပစ်မဟတ်ထာသရန်၊ ၎င်သတို့သည် အလန်လိုင်သတလင် ရဟာဖလေသည့် အလုပ်စာရလက်စာတမ်သမျာသကို အသုံသပဌုနိုင်သည်။ ကသည်မဟာ အကဌမ်သဖျင်သအာသဖဌင့် လလန်ခဲ့သည့်လအနည်သငယ်အတလင်သ ဆိုက်ဘာအဖလဲ့တစ်ဖလဲ့သည် လူသိမျာသသော backdoors မျာသကို ဖဌန့်ဝေခဌင်သဖဌစ်သည်။ Buhtrap О RTMcryptocurrencies ခိုသယူခဌင်သအတလက် ကုဒ်ဝဟက်စနစ်မျာသနဟင့် ဆော့ဖ်ဝဲမျာသ။ ပစ်မဟတ်အမျာသစုသည် ရုရဟာသတလင် တည်ရဟိသည်။ Yandex.Direct တလင် အန္တရာယ်ရဟိသော ကဌော်ငဌာမျာသတင်ခဌင်သဖဌင့် တိုက်ခိုက်မဟုကို လုပ်ဆောင်ခဲ့ခဌင်သဖဌစ်သည်။ ဖဌစ်နိုင်ချေရဟိသော သာသကောင်မျာသကို စာရလက်စာတမ်သ နမူနာပုံစံအဖဌစ် အသလင်ပဌောင်သထာသသော အန္တရာယ်ရဟိသော ဖိုင်ကို ဒေါင်သလုဒ်လုပ်ရန် တောင်သဆိုသည့် ဝဘ်ဆိုက်တစ်ခုသို့ ညလဟန်ကဌာသခဲ့သည်။ ကျလန်ုပ်တို့သတိပေသပဌီသနောက် Yandex သည် အန္တရာယ်ရဟိသော ကဌော်ငဌာကို ဖယ်ရဟာသခဲ့သည်။

Buhtrap ၏အရင်သအမဌစ်ကုဒ်သည် ယခင်က အလန်လိုင်သတလင်ပေါက်ကဌာသခဲ့ပဌီသ မည်သူမဆို ၎င်သကိုအသုံသပဌုနိုင်ပါသည်။ RTM ကုဒ်ရရဟိနိုင်မဟုနဟင့်ပတ်သက်၍ ကျလန်ုပ်တို့တလင် အချက်အလက်မရဟိပါ။

ကပို့စ်တလင် တိုက်ခိုက်သူမျာသသည် Yandex.Direct ကိုအသုံသပဌု၍ ၎င်သကို GitHub တလင် ထာသရဟိပုံအာသ ကျလန်ုပ်တို့ ပဌောပဌပါမည်။ ပို့စ်သည် malware ၏နည်သပညာပိုင်သဆိုင်ရာခလဲခဌမ်သစိတ်ဖဌာမဟုဖဌင့်နိဂုံသချုပ်မည်ဖဌစ်သည်။

Backdoor နဟင့် Buhtrap ကုဒ်ဝဟက်စနစ်ကို Yandex.Direct သုံသပဌီသ ဖဌန့်ဝေခဲ့သည်။

Buhtrap နဟင့် RTM တို့သည် လုပ်ငန်သပဌန်စနေပဌီဖဌစ်သည်။

ယန္တရာသပဌန့်ပလာသခဌင်သ နဟင့် သာသကောင်မျာသ

သာသကောင်မျာသထံ ပေသပို့သော ဝန်ထုပ်ဝန်ပိုသ အမျိုသမျိုသသည် ဘုံပဌန့်ပလာသမဟု ယန္တရာသတစ်ခု ရဟိသည်။ တိုက်ခိုက်သူမျာသ ဖန်တီသထာသသည့် အန္တရာယ်ရဟိသော ဖိုင်အာသလုံသကို မတူညီသော GitHub သိုလဟောင်မဟုနဟစ်ခုတလင် ထာသရဟိထာသပါသည်။

ပုံမဟန်အာသဖဌင့်၊ repository တလင် မကဌာခဏပဌောင်သလဲနေသော ဒေါင်သလုဒ်လုပ်နိုင်သော အန္တရာယ်ရဟိသောဖိုင်တစ်ခုပါရဟိသည်။ GitHub သည် repository တစ်ခုသို့ပဌောင်သလဲမဟုမျာသ၏သမိုင်သကိုကဌည့်ရဟုရန်သင့်အာသခလင့်ပဌုထာသသောကဌောင့်၊ အချို့သောကာလအတလင်သမည်သည့် malware ဖဌန့်ဝေခဲ့သည်ကိုကျလန်ုပ်တို့မဌင်နိုင်သည်။ အန္တရာယ်ရဟိသောဖိုင်ကို ဒေါင်သလုဒ်လုပ်ရန် သာသကောင်အာသ ဆလဲဆောင်ရန်၊ အထက်ပုံတလင်ပဌထာသသည့် ဝဘ်ဆိုဒ် blanki-shabloni24[.]ru ကို အသုံသပဌုခဲ့သည်။

ဆိုက်၏ ဒီဇိုင်သနဟင့် အန္တရာယ်ရဟိသော ဖိုင်မျာသ၏ အမည်မျာသ အာသလုံသသည် တစ်ခုတည်သသော အယူအဆ ဖဌစ်သည် - ပုံစံမျာသ၊ နမူနာမျာသ၊ စာချုပ်မျာသ၊ နမူနာမျာသ စသည်တို့ကို လိုက်နာပါသည်။ Buhtrap နဟင့် RTM ဆော့ဖ်ဝဲလ်ကို ယခင်က စာရင်သကိုင်မျာသကို တိုက်ခိုက်ရာတလင် အသုံသပဌုထာသပဌီသဖဌစ်သည်ဟု ယူဆပါက၊ ကမ်ပိန်သအသစ်မဟာ ဗျူဟာက အတူတူပါပဲ။ တစ်ခုတည်သသောမေသခလန်သမဟာ အကဌမ်သဖက်တိုက်ခိုက်သူမျာသ၏ဆိုက်သို့ မည်သို့ရောက်ရဟိသလာသခဌင်သပင်ဖဌစ်သည်။

ရောဂါပိုသ

အနည်သဆုံသ ကဆိုက်တလင် ပဌီသဆုံသသလာသသော ဖဌစ်နိုင်ချေရဟိသော သာသကောင်အမျာသအပဌာသကို အန္တရာယ်ရဟိသော ကဌော်ငဌာမျာသဖဌင့် ဆလဲဆောင်ခဲ့သည်။ အောက်တလင် ဥပမာ URL တစ်ခုဖဌစ်သည်။

https://blanki-shabloni24.ru/?utm_source=yandex&utm_medium=banner&utm_campaign=cid|{blanki_rsya}|context&utm_content=gid|3590756360|aid|6683792549|15114654950_&utm_term=скачать блаМк счета&pm_source=bb.f2.kz&pm_block=none&pm_position=0&yclid=1029648968001296456

လင့်ခ်မဟ သင်တလေ့မဌင်ရသည့်အတိုင်သ၊ တရာသဝင်စာရင်သကိုင်ဖိုရမ် bb.f2[.]kz တလင် နဖူသစည်သတင်ထာသသည်။ မတူညီသောဝဘ်ဆိုက်မျာသတလင် ပေါ်လာသည့်နဖူသစည်သမျာသ၊ အာသလုံသတလင် တူညီသောမဲဆလယ်စည်သရုံသရေသအိုင်ဒီ (blanki_rsya) နဟင့် စာရင်သကိုင် သို့မဟုတ် ဥပဒေရေသရာအကူအညီပေသရေသဝန်ဆောင်မဟုမျာသနဟင့် ပတ်သက်သည့် အမျာသဆုံသဖဌစ်ကဌောင်သ သတိပဌုရန် အရေသကဌီသပါသည်။ အလာသအလာရဟိသော သာသကောင်သည် ပစ်မဟတ်ထာသသော တိုက်ခိုက်မဟုမျာသအတလက် ကျလန်ုပ်တို့၏ ယူဆချက်ကို ပံ့ပိုသပေသသည့် တောင်သဆိုချက် “ဒေါင်သလုဒ် ငလေတောင်သခံလလဟာ” ကို အသုံသပဌုထာသကဌောင်သ URL က ပဌသသည်။ အောက်တလင် နဖူသစည်သမျာသ ပေါ်လာသည့် ဆိုက်မျာသနဟင့် သက်ဆိုင်ရာ ရဟာဖလေမဟု စုံစမ်သမေသမဌန်သမဟုမျာသ ဖဌစ်သည်။

  • ပဌေစာဖောင်ကို ဒေါင်သလုဒ်လုပ်ပါ - bb.f2[.]kz
  • နမူနာစာချုပ် - Ipopen[.]ru
  • လျဟောက်လလဟာတိုင်ကဌာသချက်နမူနာ - 77metrov[.]ru
  • သဘောတူညီချက်ပုံစံ - ဗလာ-dogovor-kupli-prodazhi[.]ru
  • နမူနာတရာသရုံသ အသနာသခံစာ - zen.yandex[.]ru
  • နမူနာတိုင်ကဌာသချက် - yurday[.]ru
  • နမူနာ စာချုပ်ပုံစံမျာသ – Regforum[.]ru
  • စာချုပ်ပုံစံ – assistentus[.]ru
  • နမူနာတိုက်ခန်သ သဘောတူညီချက် – napravah[.]com
  • တရာသဝင်စာချုပ်နမူနာမျာသ - Avito[.]ru

blanki-shabloni24[.]ru site သည် ရိုသရဟင်သသော အမဌင်အာရုံ အကဲဖဌတ်မဟုကို ကျော်ဖဌတ်ရန် ပဌင်ဆင်သတ်မဟတ်ထာသသည်။ ပုံမဟန်အာသဖဌင့်၊ GitHub သို့ လင့်ခ်တစ်ခုပါသော ပရော်ဖက်ရဟင်နယ်ပုံစံဆိုက်တစ်ခုကို ညလဟန်ပဌသော ကဌော်ငဌာတစ်ခုသည် သိသိသာသာဆိုသရလာသပုံမပေါ်ပါ။ ထို့အပဌင်၊ တိုက်ခိုက်သူမျာသသည် ကမ်ပိန်သကာလအတလင်သ ဖဌစ်နိုင်သည်မဟာ ကန့်သတ်ကာလတစ်ခုအတလက်သာ သိုလဟောင်ရုံသို့ အန္တရာယ်ရဟိသောဖိုင်မျာသကို အပ်လုဒ်လုပ်ကဌသည်။ အချိန်အမျာသစုတလင်၊ GitHub သိုလဟောင်မဟုတလင် ဗလာဇစ်မဟတ်တမ်သ သို့မဟုတ် အလလတ် EXE ဖိုင်တစ်ခုပါရဟိသည်။ ထို့ကဌောင့်၊ တိုက်ခိုက်သူမျာသသည် တိကျသောရဟာဖလေမဟုမေသမဌန်သချက်မျာသကို တုံ့ပဌန်သည့်အနေဖဌင့် စာရင်သကိုင်မျာသမဟ လာရောက်လည်ပတ်နိုင်ခဌေအရဟိဆုံသ ဝဘ်ဆိုက်မျာသပေါ်တလင် Yandex.Direct မဟတစ်ဆင့် ကဌော်ငဌာဖဌန့်ဝေနိုင်သည်။

နောက်တစ်ခု၊ အမျိုသမျိုသသော payloads မျာသကိုကနည်သဖဌင့်ကဌည့်ရဟုကဌပါစို့။

Payload Analysis

ဖဌန့်ချီရေသဆိုင်ရာ အချိန်ဇယာသ

အန္တရာယ်ရဟိသော ကမ်ပိန်သသည် 2018 ခုနဟစ် အောက်တိုဘာလကုန်တလင် စတင်ခဲ့ပဌီသ စာရေသနေချိန်တလင် အသက်ဝင်ပါသည်။ သိုလဟောင်မဟုတစ်ခုလုံသကို GitHub တလင် လူသိရဟင်ကဌာသရနိုင်သောကဌောင့်၊ ကျလန်ုပ်တို့သည် မတူညီသော malware မိသာသစုခဌောက်ခု၏ ဖဌန့်ဝေမဟုဆိုင်ရာ တိကျသောအချိန်ဇယာသကို ပဌုစုခဲ့သည် (အောက်ပါပုံကိုကဌည့်ပါ)။ git မဟတ်တမ်သနဟင့် နဟိုင်သယဟဉ်ရန်အတလက် ESET တယ်လီမက်ထရီ တိုင်သတာသည့်အတိုင်သ နဖူသစည်သလင့်ခ်ကို ရဟာဖလေတလေ့ရဟိသည့်အခါ ပဌသသည့်စာကဌောင်သကို ကျလန်ုပ်တို့ ထည့်သလင်သထာသပါသည်။ သင်တလေ့မဌင်ရသည့်အတိုင်သ၊ ၎င်သသည် GitHub ရဟိ payload ရရဟိနိုင်မဟုနဟင့် ကောင်သမလန်စလာဆက်စပ်နေသည်။ သိုလဟောင်မဟုအာသ အပဌည့်အဝမရမီ GitHub မဟ ဖယ်ရဟာသထာသသောကဌောင့် ကျလန်ုပ်တို့တလင် ပဌောင်သလဲမဟုမဟတ်တမ်သ၏ အစိတ်အပိုင်သမရဟိသည့်အတလက် ဖေဖော်ဝါရီလကုန်တလင် ကလဲလလဲမဟုကို ရဟင်သပဌနိုင်ပါသည်။

Backdoor နဟင့် Buhtrap ကုဒ်ဝဟက်စနစ်ကို Yandex.Direct သုံသပဌီသ ဖဌန့်ဝေခဲ့သည်။
ပုံ 1. Malware ဖဌန့်ချီမဟု၏ အချိန်ဇယာသ။

ကုဒ်လက်မဟတ်ထိုသခဌင်သ လက်မဟတ်မျာသ

ကမ်ပိန်သတလင် လက်မဟတ်မျာသစလာကို အသုံသပဌုခဲ့သည်။ အချို့ကို malware မိသာသစုတစ်ခုထက်ပိုသော လက်မဟတ် ရေသထိုသထာသသောကဌောင့် မတူညီသောနမူနာမျာသသည် တူညီသောကမ်ပိန်သတလင်ပါဝင်ကဌောင်သ ထပ်လောင်သဖော်ပဌသည်။ သီသသန့်သော့ရရဟိနိုင်သော်လည်သ၊ အော်ပရေတာမျာသသည် binaries မျာသကိုစနစ်တကျလက်မဟတ်မထိုသဘဲ နမူနာအာသလုံသအတလက်သော့ကို အသုံသမပဌုခဲ့ပါ။ 2019 ခုနဟစ် ဖေဖော်ဝါရီလနဟောင်သပိုင်သတလင်၊ တိုက်ခိုက်သူမျာသသည် ၎င်သတို့တလင် ကိုယ်ပိုင်သော့မပါသည့်အတလက် Google ပိုင်လက်မဟတ်ကို အသုံသပဌု၍ တရာသမဝင်သော လက်မဟတ်မျာသကို စတင်ဖန်တီသခဲ့သည်။

ကမ်ပိန်သတလင်ပါ၀င်သည့် လက်မဟတ်မျာသနဟင့် ၎င်သတို့လက်မဟတ်ထိုသထာသသည့် မဲလ်ဝဲမိသာသစုမျာသအာသလုံသကို အောက်ပါဇယာသတလင် ဖော်ပဌထာသပါသည်။

Backdoor နဟင့် Buhtrap ကုဒ်ဝဟက်စနစ်ကို Yandex.Direct သုံသပဌီသ ဖဌန့်ဝေခဲ့သည်။

အခဌာသ malware မိသာသစုမျာသနဟင့် လင့်ခ်မျာသတည်ဆောက်ရန် ကကုဒ်လက်မဟတ်ထိုသလက်မဟတ်မျာသကို ကျလန်ုပ်တို့လည်သ အသုံသပဌုထာသပါသည်။ လက်မဟတ်အမျာသစုအတလက်၊ GitHub repository မဟတဆင့် ဖဌန့်ဝေမထာသသော နမူနာမျာသကို မတလေ့ပါ။ သို့သော်၊ TOV “MARIYA” လက်မဟတ်ကို botnet နဟင့်သက်ဆိုင်သည့် malware ကို လက်မဟတ်ထိုသရန် အသုံသပဌုခဲ့သည်။ Wauchos, adware နဟင့် မိုင်သလုပ်သာသမျာသ။ က malware သည် ကကမ်ပိန်သနဟင့် ဆက်စပ်မဟုမရဟိကဌောင်သ ဖဌစ်နိုင်သည်။ အမျာသစုမဟာ၊ လက်မဟတ်ကို darknet တလင်ဝယ်ယူခဲ့သည်။

Win32/Filecoder.Buhtrap

ကျလန်ုပ်တို့၏အာရုံကိုဖမ်သစာသနိုင်သော ပထမဆုံသအစိတ်အပိုင်သမဟာ အသစ်တလေ့ရဟိထာသသော Win32/Filecoder.Buhtrap ဖဌစ်သည်။ ၎င်သသည် တစ်ခါတစ်ရံတလင် ထုပ်ပိုသထာသသော Delphi ဒလိဖိုင်တစ်ခုဖဌစ်သည်။ ၎င်သကို ဖေဖော်ဝါရီမဟ မတ်လ 2019 တလင် အဓိကဖဌန့်ဝေခဲ့သည်။ ၎င်သသည် ransomware ပရိုဂရမ်နဟင့် လျော်ညီစလာ ပဌုမူသည် - ၎င်သသည် ဒေသတလင်သ ဒရိုက်ဗ်မျာသနဟင့် ကလန်ရက်ဖိုင်တလဲမျာသကို ရဟာဖလေပဌီသ တလေ့ရဟိထာသသော ဖိုင်မျာသကို စာဝဟက်ပေသသည်။ ကုဒ်ဝဟက်ခဌင်သသော့မျာသပေသပို့ရန် ဆာဗာကို မဆက်သလယ်သောကဌောင့် အပေသအယူလုပ်ရန် အင်တာနက်ချိတ်ဆက်မဟု မလိုအပ်ပါ။ ယင်သအစာသ၊ ၎င်သသည် ရလေသနုတ်ဖိုသမက်ဆေ့ဂျ်၏အဆုံသတလင် “တိုကင်” ကို ပေါင်သထည့်ကာ အော်ပရေတာမျာသနဟင့် ဆက်သလယ်ရန်အတလက် အီသမေသလ် သို့မဟုတ် Bitmessage ကို အသုံသပဌုရန် အကဌံပဌုထာသသည်။

ထိလလယ်ရဟလလယ် အရင်သအမဌစ်မျာသစလာကို တတ်နိုင်သမျဟ ကုဒ်ဝဟက်ရန်၊ Filecoder.Buhtrap သည် ကုဒ်ဝဟက်ခဌင်သကို အနဟောင့်အယဟက်ဖဌစ်စေနိုင်သည့် အဖိုသတန်အချက်အလက်မျာသပါရဟိသော အဖလင့်ဖိုင်ကိုင်တလယ်ကိရိယာမျာသပါသည့် သော့ဆော့ဖ်ဝဲကို ပိတ်ရန် ဒီဇိုင်သထုတ်ထာသသော ချည်မျဟင်တစ်ခုကို လုပ်ဆောင်သည်။ ပစ်မဟတ်လုပ်ငန်သစဉ်မျာသသည် အဓိကအာသဖဌင့် ဒေတာဘေ့စ်စီမံခန့်ခလဲမဟုစနစ်မျာသ (DBMS) ဖဌစ်သည်။ ထို့အပဌင်၊ Filecoder.Buhtrap သည် ဒေတာပဌန်လည်ရယူရန်ခက်ခဲစေရန် မဟတ်တမ်သဖိုင်မျာသနဟင့် အရန်မျာသကို ဖျက်သည်။ ဒါကိုလုပ်ဖို့၊ အောက်က batch script ကို run လိုက်ပါ။

bcdedit /set {default} bootstatuspolicy ignoreallfailures
bcdedit /set {default} recoveryenabled no
wbadmin delete catalog -quiet
wbadmin delete systemstatebackup
wbadmin delete systemstatebackup -keepversions:0
wbadmin delete backup
wmic shadowcopy delete
vssadmin delete shadows /all /quiet
reg delete "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientDefault" /va /f
reg delete "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientServers" /f
reg add "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientServers"
attrib "%userprofile%documentsDefault.rdp" -s -h
del "%userprofile%documentsDefault.rdp"
wevtutil.exe clear-log Application
wevtutil.exe clear-log Security
wevtutil.exe clear-log System
sc config eventlog start=disabled

Filecoder.Buhtrap သည် ဝဘ်ဆိုက်လာရောက်သူမျာသအကဌောင်သ အချက်အလက်စုဆောင်သရန် ဒီဇိုင်သထုတ်ထာသသော တရာသဝင်အလန်လိုင်သ IP Logger ဝန်ဆောင်မဟုကို အသုံသပဌုပါသည်။ ၎င်သသည် command line ၏တာဝန်ဖဌစ်သည့် ransomware ၏သာသကောင်မျာသကိုခဌေရာခံရန်ရည်ရလယ်သည်-

mshta.exe "javascript:document.write('');"

ဖယ်ထုတ်ခဌင်သစာရင်သသုံသခုနဟင့် မကိုက်ညီပါက ကုဒ်ဝဟက်ခဌင်သအတလက် ဖိုင်မျာသကို ရလေသချယ်မည်ဖဌစ်သည်။ ပထမညသစလာ၊ အောက်ပါ extension မျာသပါရဟိသော ဖိုင်မျာသကို ကုဒ်ဝဟက်မထာသပါ- .com, .cmd, .cpl, .dll, .exe, .hta, .lnk, .msc, .msi, .msp, .pif, .scr, .sys နဟင့် .bat. ဒုတိယအနေဖဌင့်၊ လမ်သကဌောင်သအပဌည့်အစုံတလင် အောက်ပါစာရင်သမဟ လမ်သညလဟန်စာကဌောင်သမျာသပါရဟိသော ဖိုင်အာသလုံသကို ဖယ်ထုတ်ထာသသည်။

.{ED7BA470-8E54-465E-825C-99712043E01C}
tor browser
opera
opera software
mozilla
mozilla firefox
internet explorer
googlechrome
google
boot
application data
apple computersafari
appdata
all users
:windows
:system volume information
:nvidia
:intel

တတိယ၊ အချို့သောဖိုင်အမည်မျာသကိုလည်သ ကုဒ်ဝဟက်ခဌင်သမဟ ဖယ်ထုတ်ထာသပဌီသ ၎င်သတို့အနက်မဟ ရလေသနုတ်ဖိုသမက်ဆေ့ဂျ်၏ ဖိုင်အမည်ဖဌစ်သည်။ စာရင်သကို အောက်တလင်ဖော်ပဌထာသသည်။ ထင်ရဟာသသည်မဟာ၊ ကခဌလင်သချက်မျာသအာသလုံသသည် စက်လည်ပတ်နေစေရန် ရည်ရလယ်သော်လည်သ လမ်သနဟင့်ထိုက်တန်မဟုအနည်သဆုံသဖဌင့် လုပ်ဆောင်ခဌင်သဖဌစ်သည်။

boot.ini
bootfont.bin
bootsect.bak
desktop.ini
iconcache.db
ntdetect.com
ntldr
ntuser.dat
ntuser.dat.log
ntuser.ini
thumbs.db
winupas.exe
your files are now encrypted.txt
windows update assistant.lnk
master.exe
unlock.exe
unlocker.exe

ဖိုင် ကုဒ်ဝဟက်ခဌင်သ အစီအစဉ်

လုပ်ဆောင်ပဌီသသည်နဟင့်၊ malware သည် 512-bit RSA သော့တလဲတစ်ခုကို ထုတ်ပေသသည်။ ထို့နောက် သီသသန့်ထပ်ကိန်သ (d) နဟင့် modulus (n) ကို hard-coded 2048-bit public key (public exponent နဟင့် modulus)၊ zlib-packed နဟင့် base64 encode ဖဌင့် ကုဒ်ဝဟက်ထာသသည်။ ၎င်သအတလက် တာဝန်ရဟိသောကုဒ်ကို ပုံ 2 တလင် ပဌထာသသည်။

Backdoor နဟင့် Buhtrap ကုဒ်ဝဟက်စနစ်ကို Yandex.Direct သုံသပဌီသ ဖဌန့်ဝေခဲ့သည်။
ပုံ 2. 512-bit RSA သော့တလဲမျိုသဆက်ဖဌစ်စဉ်၏ Hex-Rays ခလဲထုတ်ခဌင်သ၏ရလဒ်။

အောက်တလင်ဖော်ပဌထာသသည်မဟာ ရလေသနုတ်ဖိုသမက်ဆေ့ဂျ်တလင် ပူသတလဲပါရဟိသော တိုကင်တစ်ခုဖဌစ်သည့် ထုတ်ပေသထာသသော သီသသန့်သော့ဖဌင့် ရိုသရိုသစာသာသ၏ ဥပမာတစ်ခုဖဌစ်သည်။

DF9228F4F3CA93314B7EE4BEFC440030665D5A2318111CC3FE91A43D781E3F91BD2F6383E4A0B4F503916D75C9C576D5C2F2F073ADD4B237F7A2B3BF129AE2F399197ECC0DD002D5E60C20CE3780AB9D1FE61A47D9735036907E3F0CF8BE09E3E7646F8388AAC75FF6A4F60E7F4C2F697BF6E47B2DBCDEC156EAD854CADE53A239

တိုက်ခိုက်သူမျာသ၏ အမျာသသူငဟာသော့ကို အောက်တလင် ဖော်ပဌထာသသည်။

e = 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
n = 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

ဖိုင်မျာသကို 128-bit သော့ဖဌင့် AES-256-CBC ဖဌင့် ကုဒ်ဝဟက်ထာသသည်။ ကုဒ်ဝဟက်ထာသသော ဖိုင်တစ်ခုစီအတလက်၊ သော့အသစ်နဟင့် အစပဌုခဌင်သ vector အသစ်ကို ထုတ်ပေသပါသည်။ သော့အချက်အလက်မျာသကို ကုဒ်ဝဟက်ထာသသောဖိုင်၏အဆုံသတလင် ထည့်သလင်သထာသသည်။ ကုဒ်ဝဟက်ထာသသောဖိုင်၏ ဖော်မတ်ကို စဉ်သစာသကဌည့်ရအောင်။
ကုဒ်ဝဟက်ထာသသော ဖိုင်မျာသတလင် အောက်ပါ ခေါင်သစီသပါရဟိသည်-

Backdoor နဟင့် Buhtrap ကုဒ်ဝဟက်စနစ်ကို Yandex.Direct သုံသပဌီသ ဖဌန့်ဝေခဲ့သည်။

VEGA မဟော်တန်ဖိုသကို ပေါင်သထည့်ခဌင်သဖဌင့် အရင်သအမဌစ်ဖိုင်ဒေတာကို ပထမ 0x5000 bytes သို့ ကုဒ်ဝဟက်ထာသသည်။ ကုဒ်ဝဟက်ခဌင်သဆိုင်ရာ အချက်အလက်အာသလုံသကို အောက်ပါဖလဲ့စည်သပုံပါရဟိသော ဖိုင်တစ်ခုသို့ တလဲထာသသည်။

Backdoor နဟင့် Buhtrap ကုဒ်ဝဟက်စနစ်ကို Yandex.Direct သုံသပဌီသ ဖဌန့်ဝေခဲ့သည်။

- ဖိုင်အရလယ်အစာသ အမဟတ်အသာသတလင် ဖိုင်အရလယ်အစာသသည် 0x5000 bytes ထက် ကဌီသမာသခဌင်သရဟိမရဟိ ညလဟန်ပဌသည့် အမဟတ်အသာသပါရဟိသည်။
— AES သော့ blob = ZlibCompress(RSAEncrypt(AES သော့ + IV၊ ထုတ်လုပ်ပဌီသ RSA သော့တလဲ၏ အမျာသသူငဟာသော့))
- RSA သော့ blob = ZlibCompress(RSAEncrypt(ထုတ်ပေသသော RSA သီသသန့်သော့၊ hard-coded RSA အမျာသသူငဟာသော့))

Win32/ClipBanker

Win32/ClipBanker သည် 2018 ခုနဟစ် အောက်တိုဘာလနဟောင်သပိုင်သမဟ ဒီဇင်ဘာလအစောပိုင်သအထိ ဆက်တိုက်ဖဌန့်ဝေခဲ့သော အစိတ်အပိုင်သတစ်ခုဖဌစ်သည်။ ၎င်သ၏အခန်သကဏ္ဍသည် clipboard ၏အကဌောင်သအရာမျာသကိုစောင့်ကဌည့်ရန်ဖဌစ်ပဌီသ၊ ၎င်သသည် cryptocurrency ပိုက်ဆံအိတ်မျာသ၏လိပ်စာမျာသကိုရဟာဖလေသည်။ ပစ်မဟတ်ပိုက်ဆံအိတ်လိပ်စာကို ဆုံသဖဌတ်ပဌီသနောက်၊ ClipBanker သည် ၎င်သအာသ အော်ပရေတာမျာသပိုင်သည်ဟု ယူဆရသည့် လိပ်စာတစ်ခုဖဌင့် အစာသထိုသသည်။ ကျလန်ုပ်တို့စစ်ဆေသထာသသောနမူနာမျာသသည် ထုပ်ပိုသထာသခဌင်သမဟုတ်၊ ရဟုပ်ထလေသမဟုမရဟိပါ။ အပဌုအမူကို ဖုံသကလယ်ရန် အသုံသပဌုသည့် တစ်ခုတည်သသော ယန္တရာသမဟာ string encryption ဖဌစ်သည်။ အော်ပရေတာပိုက်ဆံအိတ်လိပ်စာမျာသကို RC4 အသုံသပဌု၍ ကုဒ်ဝဟက်ထာသသည်။ ပစ်မဟတ် cryptocurrencies မျာသသည် Bitcoin၊ Bitcoin ငလေသာသ၊ Dogecoin၊ Ethereum နဟင့် Ripple တို့ဖဌစ်သည်။

Malware သည် တိုက်ခိုက်သူမျာသ၏ Bitcoin ပိုက်ဆံအိတ်မျာသသို့ ပျံ့နဟံ့နေချိန်အတလင်သ၊ ကမ်ပိန်သ၏အောင်မဌင်မဟုကို သံသယဖဌစ်စေသည့် VTS သို့ ပမာဏအနည်သငယ်ကို ပေသပို့ခဲ့သည်။ ထို့အပဌင်၊ ကငလေပေသငလေယူမျာသသည် ClipBanker နဟင့် လုံသဝဆက်စပ်နေကဌောင်သ သက်သေပဌရန် အထောက်အထာသမရဟိပါ။

Win32/RTM

Win32/RTM အစိတ်အပိုင်သကို မတ်လ 2019 အစောပိုင်သတလင် ရက်အတော်ကဌာ ဖဌန့်ဝေခဲ့သည်။ RTM သည် ဝေသလံခေါင်သီသော ဘဏ်လုပ်ငန်သစနစ်မျာသအတလက် ရည်ရလယ်၍ Delphi တလင် ရေသသာသထာသသော Trojan ဘဏ်လုပ်ငန်သရဟင်ဖဌစ်သည်။ 2017 ခုနဟစ်တလင် ESET သုတေသီမျာသကထုတ်ဝေခဲ့သည်။ အသေသစိတ်ခလဲခဌမ်သစိတ်ဖဌာ ကပရိုဂရမ်၏ ဖော်ပဌချက်သည် ဆက်စပ်ဆဲဖဌစ်သည်။ 2019 ခုနဟစ် ဇန်နဝါရီလတလင် Palo Alto Networks မဟလည်သ ထုတ်ပဌန်ခဲ့သည်။ RTM အကဌောင်သ ဘလော့ဂ်ပို့စ်.

Buhtrap Loader

ယခင်က Buhtrap ကိရိယာမျာသနဟင့် မတူသော ဒေါင်သလုဒ်ကိရိယာကို GitHub တလင် အချိန်အတန်ကဌာ ရနိုင်သည်။ သူလဟည့်ကဌည့်သည်။ https://94.100.18[.]67/RSS.php?<some_id> နောက်တစ်ဆင့်တက်ဖို့နဲ့ memory ထဲကို တိုက်ရိုက်တင်ပါ။ ဒုတိယအဆင့်ကုဒ်၏ အပဌုအမူနဟစ်ခုကို ခလဲခဌာသနိုင်သည်။ ပထမ URL တလင်၊ RSS.php သည် Buhtrap backdoor ကို တိုက်ရိုက်ကျော်သလာသသည် - က backdoor သည် source code ပေါက်ကဌာသပဌီသနောက် ရရဟိနိုင်သည့်အရာနဟင့် အလလန်ဆင်တူသည်။

စိတ်ဝင်စာသစရာမဟာ၊ Buhtrap backdoor ဖဌင့် ကမ်ပိန်သမျာသစလာကို ကျလန်ုပ်တို့တလေ့မဌင်ရပဌီသ ၎င်သတို့ကို မတူညီသော အော်ပရေတာမျာသက လုပ်ဆောင်သည်ဟု စလပ်စလဲထာသသည်။ ကကိစ္စတလင်၊ အဓိကခဌာသနာသချက်မဟာ backdoor သည် memory ထဲသို့ တိုက်ရိုက်တင်ပဌီသ ကျလန်ုပ်တို့ပဌောခဲ့သော DLL ဖဌန့်ကျက်မဟုလုပ်ငန်သစဉ်နဟင့်အတူ ပုံမဟန်အစီအစဥ်ကို အသုံသမပဌုခဌင်သဖဌစ်သည်။ အရင်က. ထို့အပဌင်၊ အော်ပရေတာမျာသသည် ကလန်ရက်အသလာသအလာကို စာဝဟက်ရန်အသုံသပဌုသည့် RC4 သော့ကို C&C ဆာဗာသို့ ပဌောင်သလဲခဲ့သည်။ ကျလန်ုပ်တို့တလေ့ဖူသသည့် ကမ်ပိန်သအမျာသစုတလင် အော်ပရေတာမျာသသည် ကသော့ကိုပဌောင်သရန် စိတ်မ၀င်စာသပါ။

ဒုတိယ၊ ပိုရဟုပ်ထလေသသော အပဌုအမူမဟာ RSS.php URL ကို အခဌာသ loader သို့ လလဟဲပဌောင်သပေသခဌင်သဖဌစ်သည်။ ၎င်သသည် ပဌောင်သလဲနေသော တင်သလင်သမဟုဇယာသကို ပဌန်လည်တည်ဆောက်ခဌင်သကဲ့သို့သော ရဟုပ်ထလေသမဟုအချို့ကို လုပ်ဆောင်ခဲ့သည်။ bootloader ၏ရည်ရလယ်ချက်မဟာ C&C ဆာဗာကိုဆက်သလယ်ရန်ဖဌစ်သည်။ msiofficeupd[.]com/api/F27F84EDA4D13B15/2၊ မဟတ်တမ်သမျာသကို ပေသပို့ပဌီသ တုံ့ပဌန်ချက်ကို စောင့်ပါ။ ၎င်သသည် တုံ့ပဌန်မဟုကို blob အဖဌစ် လုပ်ဆောင်ပဌီသ၊ ၎င်သကို မဟတ်ဉာဏ်ထဲသို့ တင်ကာ ၎င်သကို လုပ်ဆောင်သည်။ က loader ကိုလုပ်ဆောင်ရာတလင်ကျလန်ုပ်တို့တလေ့ခဲ့သည့် payload သည် Buhtrap backdoor နဟင့်အတူတူဖဌစ်သည်၊ သို့သော်အခဌာသအစိတ်အပိုင်သမျာသလည်သရဟိနိုင်သည်။

Android/Spy.Banker

စိတ်ဝင်စာသစရာမဟာ Android အတလက် အစိတ်အပိုင်သတစ်ခုကို GitHub သိုလဟောင်မဟုတလင် တလေ့ရဟိခဲ့သည်။ သူသည် ၂၀၁၈ ခုနဟစ်၊ နိုဝင်ဘာလ ၁ ရက် - ပင်မဌာနခလဲတလင် တစ်ရက်သာရဟိခဲ့သည်။ GitHub တလင် ပို့စ်တင်ခဌင်သမဟလလဲ၍ ESET telemetry သည် က malware ဖဌန့်ဝေနေသည့် အထောက်အထာသကို မတလေ့ရဟိရပါ။

အစိတ်အပိုင်သကို Android အပလီကေသရဟင်သ ပက်ကေ့ချ် (APK) အဖဌစ် လက်ခံထာသသည်။ အလလန်ရဟုပ်ထလေသနေပါသည်။ APK ရဟိ ကုဒ်ဝဟက်ထာသသော JAR တလင် အန္တရာယ်ရဟိသော အပဌုအမူကို ဝဟက်ထာသသည်။ ကသော့ကိုအသုံသပဌု၍ ၎င်သကို RC4 ဖဌင့် ကုဒ်ဝဟက်ထာသသည်။

key = [
0x87, 0xd6, 0x2e, 0x66, 0xc5, 0x8a, 0x26, 0x00, 0x72, 0x86, 0x72, 0x6f,
0x0c, 0xc1, 0xdb, 0xcb, 0x14, 0xd2, 0xa8, 0x19, 0xeb, 0x85, 0x68, 0xe1,
0x2f, 0xad, 0xbe, 0xe3, 0xb9, 0x60, 0x9b, 0xb9, 0xf4, 0xa0, 0xa2, 0x8b, 0x96
]

တူညီသောသော့နဟင့် အယ်လဂိုရီသမ်ကို စာကဌောင်သမျာသကို စာဝဟက်ရန် အသုံသပဌုသည်။ JAR တလင်တည်ရဟိသည်။ APK_ROOT + image/files. ဖိုင်၏ပထမ 4 bytes တလင် အရဟည်အကလက်ပဌီသနောက် ချက်ချင်သစတင်သည့် ကုဒ်ဝဟက်ထာသသော JAR ၏အရဟည်ပါရဟိသည်။

ဖိုင်ကို ကုဒ်ဝဟက်ထာသခဌင်သဖဌင့် ၎င်သသည် Anubis ဖဌစ်သည် - ယခင်က တလေ့ရဟိခဲ့သည်။ မဟတ်တမ်သတင်ထာသသည်။ Android အတလက် ဘဏ်လုပ်ငန်သရဟင်။ Malware တလင် အောက်ပါအင်္ဂါရပ်မျာသ ရဟိသည်။

  • မိုက်ခရိုဖုန်သ မဟတ်တမ်သတင်ခဌင်သ။
  • ဖန်သာသပဌင်ဓာတ်ပုံမျာသရိုက်ခဌင်သ။
  • GPS သဌဒိနိတ်မျာသကို ရယူခဌင်သ။
  • ကီသလော့ဂ်ဂါ
  • စက်ပစ္စည်သဒေတာ ကုဒ်ဝဟက်ခဌင်သနဟင့် ရလေသနုတ်ဖိုသ တောင်သဆိုမဟု
  • spam ပေသပို့ခဌင်သ။

စိတ်ဝင်စာသစရာမဟာ ဘဏ်လုပ်ငန်သရဟင်သည် အခဌာသသော C&C ဆာဗာကို ရယူရန် အရန်ဆက်သလယ်ရေသလမ်သကဌောင်သအဖဌစ် Twitter ကို အသုံသပဌုခဲ့သည်။ ကျလန်ုပ်တို့ ခလဲခဌမ်သစိတ်ဖဌာသည့်နမူနာသည် @JonesTrader အကောင့်ကို အသုံသပဌုထာသသော်လည်သ ခလဲခဌမ်သစိတ်ဖဌာသည့်အချိန်တလင် ၎င်သကို ပိတ်ဆို့ထာသပဌီသဖဌစ်သည်။

ဘဏ်လုပ်ငန်သရဟင်သည် Android စက်ပစ္စည်သပေါ်ရဟိ ပစ်မဟတ်အပလီကေသရဟင်သမျာသစာရင်သပါရဟိသည်။ ၎င်သသည် Sophos လေ့လာမဟုတလင်ရရဟိသောစာရင်သထက် ပိုရဟည်သည်။ စာရင်သတလင် ဘဏ်လုပ်ငန်သဆိုင်ရာ အက်ပ်လီကေသရဟင်သမျာသစလာ၊ Amazon နဟင့် eBay ကဲ့သို့သော အလန်လိုင်သစျေသဝယ်ပရိုဂရမ်မျာသနဟင့် cryptocurrency ဝန်ဆောင်မဟုမျာသ ပါဝင်သည်။

MSIL/ClipBanker.IH

ကကမ်ပိန်သ၏တစ်စိတ်တစ်ပိုင်သအဖဌစ် ဖဌန့်ဝေထာသသော နောက်ဆုံသအစိတ်အပိုင်သမဟာ .NET Windows executable ဖဌစ်ပဌီသ၊ မတ်လ 2019 တလင်ပေါ်လာသည်။ လေ့လာထာသသောဗာသရဟင်သအမျာသစုကို ConfuserEx v1.0.0 ဖဌင့်ထုပ်ပိုသထာသသည်။ ClipBanker ကဲ့သို့ပင်၊ ကအစိတ်အပိုင်သသည် ကလစ်ဘုတ်ကို အသုံသပဌုသည်။ သူ၏ပန်သတိုင်သည် ကျယ်ပဌန့်သော cryptocurrencies မျာသအပဌင် Steam တလင် ကမ်သလဟမ်သချက်မျာသဖဌစ်သည်။ ထို့အပဌင်၊ သူသည် Bitcoin သီသသန့် WIF သော့ကိုခိုသယူရန် IP Logger ဝန်ဆောင်မဟုကိုအသုံသပဌုသည်။

ကာကလယ်မဟု ယန္တရာသမျာသ
ConfuserEx သည် အမဟာသရဟာပဌင်ခဌင်သ၊ မဌဟပ်နဟံခဌင်သနဟင့် လက်ဆော့ခဌင်သတို့ကို တာသဆီသရာတလင် ပံ့ပိုသပေသသည့် အကျိုသကျေသဇူသမျာသအပဌင်၊ အစိတ်အပိုင်သတလင် ဗိုင်သရပ်စ်နဟိမ်နင်သရေသ ထုတ်ကုန်မျာသနဟင့် အတုအယောင် စက်မျာသကို ရဟာဖလေနိုင်မဟု ပါဝင်သည်။

၎င်သသည် virtual machine တစ်ခုတလင်အလုပ်လုပ်ကဌောင်သအတည်ပဌုရန်၊ malware သည် BIOS အချက်အလက်ကိုတောင်သဆိုရန် built-in Windows WMI command line (WMIC) ကိုအသုံသပဌုသည် -

wmic bios

ထို့နောက် ပရိုဂရမ်သည် အမိန့်ပေသသည့်အထလက်ကို ခလဲခဌမ်သစိပ်ဖဌာပဌီသ VBOX၊ VirtualBox၊ XEN၊ qemu၊ bochs၊ VM သော့ချက်စာလုံသမျာသကို ရဟာဖလေသည်။

ဗိုင်သရပ်စ်နဟိမ်နင်သရေသ ထုတ်ကုန်မျာသကို ထောက်လဟမ်သရန်၊ Malware သည် Windows Management Instrumentation (WMI) တောင်သဆိုချက်ကို အသုံသပဌု၍ Windows Security Center သို့ ပေသပို့သည်။ ManagementObjectSearcher API ကို အောက်မဟာ ပဌထာသသလိုပါပဲ။ base64 မဟ ကုဒ်ပဌောင်သပဌီသနောက် ခေါ်ဆိုမဟုသည် ကကဲ့သို့ ဖဌစ်ပုံရသည်။

ManagementObjectSearcher('rootSecurityCenter2', 'SELECT * FROM AntivirusProduct')

Backdoor နဟင့် Buhtrap ကုဒ်ဝဟက်စနစ်ကို Yandex.Direct သုံသပဌီသ ဖဌန့်ဝေခဲ့သည်။
ပုံ 3။ ဗိုင်သရပ်စ် တိုက်ဖျက်ရေသ ထုတ်ကုန်မျာသကို ခလဲခဌာသသတ်မဟတ်ခဌင်သ လုပ်ငန်သစဉ်။

ထို့အပဌင် malware ရဟိမရဟိကိုလည်သစစ်ဆေသသည်။ CryptoClipWatcherကလစ်ဘုတ်တိုက်ခိုက်မဟုမျာသကို ကာကလယ်ရန် ကိရိယာတစ်ခုဖဌစ်ပဌီသ၊ အလုပ်လုပ်နေပါက၊ ထိုလုပ်ငန်သစဉ်ရဟိ thread အာသလုံသကို ဆိုင်သငံ့ထာသခဌင်သဖဌင့် အကာအကလယ်ကို ပိတ်လိုက်ပါ။

စလဲမဌဲစလာ

ကျလန်ုပ်တို့လေ့လာခဲ့သော malware ဗာသရဟင်သကို သူကိုယ်တိုင် ကူသယူထာသပါသည်။ %APPDATA%googleupdater.exe နဟင့် google directory အတလက် "hidden" attribute ကို သတ်မဟတ်သည်။ ထို့နောက် တန်ဖိုသကို ပဌောင်သလဲလိုက်သည်။ SoftwareMicrosoftWindows NTCurrentVersionWinlogonshell Windows registry တလင် လမ်သကဌောင်သကို ပေါင်သထည့်သည်။ updater.exe. ကနည်သအာသဖဌင့်၊ အသုံသပဌုသူသည် ဝင်ရောက်သည့်အခါတိုင်သ Malware မျာသကို လုပ်ဆောင်မည်ဖဌစ်သည်။

အကဌံအဖန်ပဌုမဟု

ClipBanker ကဲ့သို့ပင်၊ malware သည် ကလစ်ဘုတ်၏ အကဌောင်သအရာမျာသကို စောင့်ကဌည့်ပဌီသ cryptocurrency ပိုက်ဆံအိတ်လိပ်စာမျာသကို ရဟာဖလေပဌီသ တလေ့ရဟိပါက ၎င်သကို အော်ပရေတာ၏လိပ်စာတစ်ခုဖဌင့် အစာသထိုသသည်။ အောက်တလင်ဖော်ပဌထာသသည်မဟာ ကုဒ်တလင်တလေ့ရဟိရသောအရာအပေါ်အခဌေခံ၍ ပစ်မဟတ်လိပ်စာမျာသစာရင်သဖဌစ်သည်။

BTC_P2PKH, BTC_P2SH, BTC_BECH32, BCH_P2PKH_CashAddr, BTC_GOLD, LTC_P2PKH, LTC_BECH32, LTC_P2SH_M, ETH_ERC20, XMR, DCR, XRP, DOGE, DASH, ZEC_T_ADDR, ZEC_Z_ADDR, STELLAR, NEO, ADA, IOTA, NANO_1, NANO_3, BANANO_1, BANANO_3, STRATIS, NIOBIO, LISK, QTUM, WMZ, WMX, WME, VERTCOIN, TRON, TEZOS, QIWI_ID, YANDEX_ID, NAMECOIN, B58_PRIVATEKEY, STEAM_URL

လိပ်စာအမျိုသအစာသတစ်ခုစီအတလက် သက်ဆိုင်ရာပုံမဟန်အသုံသအနဟုန်သတစ်ခုရဟိသည်။ STEAM_URL တန်ဖိုသကို Steam စနစ်အာသ တိုက်ခိုက်ရန်အတလက် အသုံသပဌုထာသသည်၊ ကဌာသခံတလင် သတ်မဟတ်ရန် အသုံသပဌုသည့် ပုံမဟန်အသုံသအနဟုန်သမဟ တလေ့မဌင်နိုင်သည်-

b(https://|http://|)steamcommunity.com/tradeoffer/new/?partner=[0-9]+&token=[a-zA-Z0-9]+b

Exfiltration ချန်နယ်

ကဌာသခံရဟိလိပ်စာမျာသကို အစာသထိုသခဌင်သအပဌင်၊ malware သည် Bitcoin၊ Bitcoin Core နဟင့် Electrum Bitcoin ပိုက်ဆံအိတ်မျာသ၏ သီသသန့် WIF သော့မျာသကို ပစ်မဟတ်ထာသသည်။ ပရိုဂရမ်သည် WIF သီသသန့်သော့ကို ရယူရန် ဖယ်ရဟာသရေသချန်နယ်တစ်ခုအဖဌစ် plogger.org ကို အသုံသပဌုသည်။ ထိုသို့လုပ်ဆောင်ရန်၊ အော်ပရေတာမျာသသည် အောက်တလင်ပဌထာသသည့်အတိုင်သ User-Agent HTTP ခေါင်သစီသသို့ လျဟို့ဝဟက်သော့ဒေတာကို ပေါင်သထည့်သည်။

Backdoor နဟင့် Buhtrap ကုဒ်ဝဟက်စနစ်ကို Yandex.Direct သုံသပဌီသ ဖဌန့်ဝေခဲ့သည်။
ပုံ 4. အထလက်ဒေတာပါရဟိသော IP Logger ကလန်ဆိုသလ်။

အော်ပရေတာမျာသသည် iplogger.org ကိုအသုံသမပဌုဘဲ ပိုက်ဆံအိတ်မျာသကို ဖယ်ထုတ်သည်။ အကလက်ထဲတလင် စာလုံသ 255 လုံသ ကန့်သတ်ချက်ကဌောင့် ၎င်သတို့သည် မတူညီသောနည်သလမ်သကို အသုံသပဌုခဲ့ခဌင်သ ဖဌစ်နိုင်သည်။ User-AgentIP Logger ဝဘ်အင်တာဖေ့စ်တလင်ပဌသထာသသည်။ ကျလန်ုပ်တို့လေ့လာခဲ့သည့်နမူနာမျာသတလင် အခဌာသအထလက်ဆာဗာကို ပတ်၀န်သကျင်ပဌောင်သလဲနိုင်သောပုံစံတလင် သိမ်သဆည်သထာသသည်။ DiscordWebHook. အံ့သဌစရာကောင်သတာက၊ ဒီပတ်ဝန်သကျင် ကိန်သရဟင်ကို ကုဒ်ရဲ့ ဘယ်နေရာမဟာမဟ တာဝန်မပေသပါဘူသ။ ၎င်သသည် malware သည် ဖလံ့ဖဌိုသတိုသတက်ဆဲဖဌစ်ပဌီသ ကိန်သရဟင်အာသ အော်ပရေတာ၏ စမ်သသပ်စက်တလင် တာဝန်ပေသအပ်ထာသကဌောင်သ ညလဟန်ပဌသည်။

ပရိုဂရမ်သည် ဖလံ့ဖဌိုသဆဲဖဌစ်ကဌောင်သ အခဌာသလက္ခဏာတစ်ရပ်ရဟိသေသသည်။ ဒလိဖိုင်တလင် iplogger.org URL နဟစ်ခုပါဝင်ပဌီသ ဒေတာမျာသကို ဖယ်ရဟာသလိုက်သောအခါ နဟစ်ခုလုံသကို မေသမဌန်သမည်ဖဌစ်သည်။ က URL မျာသထဲမဟ တစ်ခုသို့ တောင်သဆိုမဟုတစ်ခုတလင်၊ ကိုသကာသသူအကလက်ရဟိ တန်ဖိုသသည် “DEV /” ၏ ရဟေ့တလင် ရဟိနေသည်။ ConfuserEx ကို အသုံသပဌု၍ မထုပ်ပိုသထာသသော ဗာသရဟင်သကိုလည်သ တလေ့ရဟိခဲ့ပဌီသ၊ က URL အတလက် လက်ခံသူကို DevFeedbackUrl ဟုခေါ်သည်။ ပတ်ဝန်သကျင်ပဌောင်သလဲနိုင်သောအမည်ကိုအခဌေခံ၍ အော်ပရေတာမျာသသည် cryptocurrency ပိုက်ဆံအိတ်မျာသကိုခိုသယူရန်အတလက်တရာသဝင်ဝန်ဆောင်မဟု Discord နဟင့် ၎င်သ၏ဝဘ်ကဌာသဖဌတ်စနစ်တို့ကိုအသုံသပဌုရန်စီစဉ်ထာသကဌောင်သကျလန်ုပ်တို့ယုံကဌည်ပါသည်။

ကောက်ချက်

ကကမ်ပိန်သသည် ဆိုက်ဘာတိုက်ခိုက်မဟုမျာသတလင် တရာသဝင်ကဌော်ငဌာဝန်ဆောင်မဟုမျာသကို အသုံသပဌုခဌင်သ၏ ဥပမာတစ်ခုဖဌစ်သည်။ အဆိုပါ အစီအစဉ်သည် ရုရဟာသအဖလဲ့အစည်သမျာသကို ပစ်မဟတ်ထာသသော်လည်သ ရုရဟာသမဟုတ်သော ဝန်ဆောင်မဟုမျာသကို အသုံသပဌုကာ ယခုကဲ့သို့ တိုက်ခိုက်မဟုကို မဌင်တလေ့ရခဌင်သမဟာ ကျလန်ုပ်တို့ အံ့သဌမည်မဟုတ်ပါ။ အပေသအယူကို ရဟောင်ရဟာသရန်၊ အသုံသပဌုသူမျာသသည် ၎င်သတို့ဒေါင်သလုဒ်လုပ်ထာသသော ဆော့ဖ်ဝဲလ်၏ အရင်သအမဌစ်၏ ဂုဏ်သတင်သကို ယုံကဌည်မဟုရဟိရပါမည်။

အပေသအယူ အညလဟန်သကိန်သမျာသနဟင့် MITER ATT&CK ရည်ညလဟန်သချက်မျာသ အပဌည့်အစုံစာရင်သကို တလင် ရနိုင်ပါသည်။ link ကို.

source: www.habr.com

မဟတ်ချက် Add