ब्याकडोर र Buhtrap एन्क्रिप्टर Yandex.Direct प्रयोग गरेर वितरण गरिएको थियो

साइबर आक्रमणमा लेखापालहरूलाई लक्षित गर्न, तपाईंले कामका कागजातहरू प्रयोग गर्न सक्नुहुन्छ जुन उनीहरूले अनलाइन खोज्छन्। सायबर समूहले विगत केही महिनादेखि ज्ञात ब्याकडोर वितरण गर्दै गरेको लगभग यही हो। बुहट्राप и RTM, साथै क्रिप्टोकरेन्सीहरू चोर्नका लागि एन्क्रिप्टर र सफ्टवेयर। अधिकांश लक्ष्य रूस मा स्थित छन्। Yandex.Direct मा दुर्भावनापूर्ण विज्ञापन राखेर आक्रमण गरिएको थियो। सम्भावित पीडितहरूलाई वेबसाइटमा निर्देशित गरिएको थियो जहाँ उनीहरूलाई कागजात टेम्प्लेटको रूपमा भेषमा खराब फाइल डाउनलोड गर्न भनियो। Yandex ले हाम्रो चेतावनी पछि खराब विज्ञापन हटायो।

Buhtrap को स्रोत कोड विगतमा अनलाइन लीक गरिएको थियो ताकि जो कोहीले यसलाई प्रयोग गर्न सक्दछ। हामीसँग RTM कोड उपलब्धताको बारेमा कुनै जानकारी छैन।

यस पोष्टमा हामी तपाईंलाई बताउनेछौं कि आक्रमणकारीहरूले कसरी Yandex.Direct प्रयोग गरेर मालवेयर वितरण गरे र GitHub मा होस्ट गरे। पोष्ट मालवेयर को प्राविधिक विश्लेषण संग समाप्त हुनेछ।

Buhtrap र RTM व्यवसायमा फर्किएका छन्

प्रसार र पीडितहरूको संयन्त्र

पीडितहरूलाई वितरण गरिएका विभिन्न पेलोडहरू साझा प्रचार संयन्त्र साझा गर्छन्। आक्रमणकारीहरूद्वारा सिर्जना गरिएका सबै खराब फाइलहरू दुई फरक GitHub भण्डारहरूमा राखिएका थिए।

सामान्यतया, भण्डारमा एउटा डाउनलोड गर्न मिल्ने खराब फाइल समावेश हुन्छ, जुन बारम्बार परिवर्तन हुन्छ। चूंकि GitHub ले तपाईंलाई भण्डारमा परिवर्तनहरूको इतिहास हेर्न अनुमति दिन्छ, हामी एक निश्चित अवधिमा के मालवेयर वितरण गरिएको थियो भनेर देख्न सक्छौं। पीडितलाई खराब फाइल डाउनलोड गर्न मनाउनको लागि, माथिको चित्रमा देखाइएको वेबसाइट blanki-shabloni24[.]ru प्रयोग गरिएको थियो।

साइटको डिजाइन र मालिसियस फाइलहरूका सबै नामहरू एउटै अवधारणा - फारमहरू, टेम्प्लेटहरू, सम्झौताहरू, नमूनाहरू, इत्यादिलाई पछ्याउँछन्। बुहट्राप र आरटीएम सफ्टवेयर विगतमा लेखाकारहरूमाथि आक्रमणहरूमा प्रयोग भइसकेको छ भन्ने कुरालाई ध्यानमा राखेर, हामीले मानेका छौं कि नयाँ अभियानको रणनीति पनि उस्तै छ । एउटै प्रश्न हो कि पीडित कसरी आक्रमणकारीहरूको साइटमा पुग्यो।

संक्रमण

कम्तिमा धेरै सम्भावित पीडितहरू जो यस साइटमा समाप्त भएका थिए दुर्भावनापूर्ण विज्ञापनद्वारा आकर्षित भएका थिए। तल एउटा उदाहरण URL छ:

https://blanki-shabloni24.ru/?utm_source=yandex&utm_medium=banner&utm_campaign=cid|{blanki_rsya}|context&utm_content=gid|3590756360|aid|6683792549|15114654950_&utm_term=скачать бланк счета&pm_source=bb.f2.kz&pm_block=none&pm_position=0&yclid=1029648968001296456

तपाईले लिङ्कबाट देख्न सक्नुहुन्छ, ब्यानर वैध लेखा फोरम bb.f2[.]kz मा पोस्ट गरिएको थियो। यो नोट गर्न महत्त्वपूर्ण छ कि ब्यानरहरू विभिन्न साइटहरूमा देखा परेका थिए, सबैको एउटै अभियान आईडी (blanki_rsya), र सबैभन्दा धेरै लेखा वा कानुनी सहायता सेवाहरूसँग सम्बन्धित थियो। URL ले देखाउँछ कि सम्भावित पीडितले अनुरोध "डाउनलोड इनभ्वाइस फारम" प्रयोग गरेको थियो जसले लक्षित आक्रमणहरूको हाम्रो परिकल्पनालाई समर्थन गर्दछ। तल ती साइटहरू छन् जहाँ ब्यानरहरू देखा परेका थिए र सम्बन्धित खोज प्रश्नहरू।

• इनभ्वाइस फारम डाउनलोड गर्नुहोस् - bb.f2[।]kz
• नमूना अनुबंध - Ipopen [.]ru
• आवेदन उजुरी नमूना - 77metrov [.]ru
• सम्झौता फारम - खाली-डोगोभर-कुपली-प्रोडाझी[.]ru
• नमूना अदालत याचिका - zen.yandex[.]ru
• नमूना उजुरी - yurday [.]ru
• नमूना अनुबंध फारमहरू - Regforum [.]ru
• अनुबंध फारम - सहायक [.]ru
• नमूना अपार्टमेन्ट सम्झौता - napravah[.]com
• कानूनी सम्झौताको नमूना - avito[.]ru

blanki-shabloni24[.]ru साइटलाई साधारण दृश्य मूल्याङ्कन पास गर्न कन्फिगर गरिएको हुन सक्छ। सामान्यतया, GitHub को लिङ्कको साथ एक पेशेवर-हेर्ने साइटलाई संकेत गर्ने विज्ञापन स्पष्ट रूपमा खराब जस्तो लाग्दैन। थप रूपमा, आक्रमणकारीहरूले दुर्भावनापूर्ण फाइलहरू भण्डारमा सीमित अवधिको लागि मात्र अपलोड गरे, सम्भवतः अभियानको क्रममा। धेरै जसो समय, GitHub भण्डारमा खाली zip संग्रह वा खाली EXE फाइल समावेश हुन्छ। यसरी, आक्रमणकारीहरूले Yandex.Direct मार्फत विज्ञापनहरू वितरण गर्न सक्थे जुन साइटहरूमा प्रायः एकाउन्टेन्टहरू द्वारा भ्रमण गरिएको थियो जो विशेष खोज प्रश्नहरूको जवाफमा आएका थिए।

अर्को, यस तरिकामा वितरित विभिन्न पेलोडहरू हेरौं।

पेलोड विश्लेषण

वितरण को कालक्रम

दुर्भावनापूर्ण अभियान अक्टोबर 2018 को अन्त्यमा सुरु भयो र लेखनको समयमा सक्रिय छ। सम्पूर्ण भण्डार GitHub मा सार्वजनिक रूपमा उपलब्ध भएकोले, हामीले छवटा फरक मालवेयर परिवारहरूको वितरणको सही समयरेखा कम्पाइल गर्यौं (तलको चित्र हेर्नुहोस्)। ESET टेलिमेट्री द्वारा मापन गरिए अनुसार ब्यानर लिङ्क कहिले पत्ता लाग्यो भनेर देखाउने एउटा लाइन हामीले git इतिहाससँग तुलना गरेका छौं। तपाईले देख्न सक्नुहुन्छ, यो GitHub मा पेलोडको उपलब्धतासँग राम्रोसँग सम्बन्धित छ। फेब्रुअरीको अन्त्यमा भएको विसंगतिलाई यस तथ्यले व्याख्या गर्न सकिन्छ कि हामीसँग परिवर्तन इतिहासको अंश थिएन किनभने भण्डारलाई GitHub बाट पूर्ण रूपमा प्राप्त गर्नु अघि हटाइयो।

चित्र १. मालवेयर वितरणको कालक्रम।

कोड हस्ताक्षर प्रमाणपत्रहरू

अभियानले धेरै प्रमाणपत्रहरू प्रयोग गर्यो। केहि एक भन्दा बढी मालवेयर परिवार द्वारा हस्ताक्षर गरिएको थियो, जसले थप संकेत गर्दछ कि बिभिन्न नमूनाहरू एउटै अभियानका हुन्। निजी कुञ्जीको उपलब्धताको बाबजुद, अपरेटरहरूले व्यवस्थित रूपमा बाइनरीहरूमा हस्ताक्षर गरेनन् र सबै नमूनाहरूको लागि कुञ्जी प्रयोग गरेनन्। फेब्रुअरी 2019 को अन्तमा, आक्रमणकारीहरूले Google स्वामित्वको प्रमाणपत्र प्रयोग गरेर अवैध हस्ताक्षरहरू सिर्जना गर्न थाले जसको लागि तिनीहरूसँग निजी कुञ्जी थिएन।

अभियानमा संलग्न सबै प्रमाणपत्रहरू र उनीहरूले हस्ताक्षर गर्ने मालवेयर परिवारहरू तलको तालिकामा सूचीबद्ध छन्।

हामीले अन्य मालवेयर परिवारहरूसँग लिङ्कहरू स्थापना गर्न यी कोड हस्ताक्षर प्रमाणपत्रहरू पनि प्रयोग गरेका छौं। धेरैजसो प्रमाणपत्रहरूको लागि, हामीले नमूनाहरू फेला पारेनौं जुन GitHub भण्डार मार्फत वितरण गरिएको थिएन। यद्यपि, TOV "MARIA" प्रमाणपत्र बोटनेटसँग सम्बन्धित मालवेयरमा हस्ताक्षर गर्न प्रयोग गरिएको थियो Wauchos, एडवेयर र खानीहरू। यो मालवेयर यो अभियान संग सम्बन्धित छ कि सम्भव छैन। सम्भवतः, प्रमाणपत्र डार्कनेटमा खरिद गरिएको थियो।

Win32/Filecoder.Buhtrap

हाम्रो ध्यान खिचेको पहिलो घटक नयाँ पत्ता लागेको Win32/Filecoder.Buhtrap थियो। यो डेल्फी बाइनरी फाइल हो जुन कहिलेकाहीँ प्याकेज गरिन्छ। यो मुख्य रूपमा फेब्रुअरी-मार्च 2019 मा वितरित गरिएको थियो। यो एक ransomware कार्यक्रम उपयुक्त रूपमा व्यवहार गर्दछ - यसले स्थानीय ड्राइभहरू र नेटवर्क फोल्डरहरू खोज्छ र पत्ता लगाइएको फाइलहरू इन्क्रिप्ट गर्दछ। इन्क्रिप्शन कुञ्जीहरू पठाउन सर्भरलाई सम्पर्क नगर्ने हुनाले यसलाई सम्झौता गर्न इन्टरनेट जडान आवश्यक पर्दैन। यसको सट्टा, यसले फिरौती सन्देशको अन्त्यमा "टोकन" थप्छ, र अपरेटरहरूलाई सम्पर्क गर्न इमेल वा बिटमेसेज प्रयोग गर्न सुझाव दिन्छ।

सकेसम्म धेरै संवेदनशील स्रोतहरू इन्क्रिप्ट गर्न, Filecoder.Buhtrap ले कुञ्जी सफ्टवेयर बन्द गर्न डिजाइन गरिएको थ्रेड चलाउँछ जसमा खुला फाइल ह्यान्डलरहरू हुन सक्छन् जसमा इन्क्रिप्शनमा हस्तक्षेप गर्न सक्ने बहुमूल्य जानकारी समावेश हुन सक्छ। लक्ष्य प्रक्रियाहरू मुख्यतया डाटाबेस व्यवस्थापन प्रणाली (DBMS) हुन्। थप रूपमा, Filecoder.Buhtrap ले लग फाइलहरू र ब्याकअपहरूलाई डेटा रिकभरीलाई गाह्रो बनाउन मेटाउँछ। यो गर्नको लागि, तलको ब्याच स्क्रिप्ट चलाउनुहोस्।

bcdedit /set {default} bootstatuspolicy ignoreallfailures
bcdedit /set {default} recoveryenabled no
wbadmin delete catalog -quiet
wbadmin delete systemstatebackup
wbadmin delete systemstatebackup -keepversions:0
wbadmin delete backup
wmic shadowcopy delete
vssadmin delete shadows /all /quiet
reg delete "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientDefault" /va /f
reg delete "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientServers" /f
reg add "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientServers"
attrib "%userprofile%documentsDefault.rdp" -s -h
del "%userprofile%documentsDefault.rdp"
wevtutil.exe clear-log Application
wevtutil.exe clear-log Security
wevtutil.exe clear-log System
sc config eventlog start=disabled

Filecoder.Buhtrap वेबसाइट आगन्तुकहरूको बारेमा जानकारी सङ्कलन गर्न डिजाइन गरिएको वैध अनलाइन आईपी लगर सेवा प्रयोग गर्दछ। यो ransomware को शिकार ट्रयाक गर्न को लागी उद्देश्य हो, जुन कमाण्ड लाइन को जिम्मेवारी हो:

mshta.exe "javascript:document.write('');"

ईन्क्रिप्शनका लागि फाइलहरू चयन गरिन्छ यदि तिनीहरू तीन बहिष्करण सूचीहरूसँग मेल खाँदैनन्। सर्वप्रथम, निम्न विस्तारहरू भएका फाइलहरू इन्क्रिप्ट गरिएका छैनन्: .com, .cmd, .cpl, .dll, .exe, .hta, .lnk, .msc, .msi, .msp, .pif, .scr, .sys र ब्याट। दोस्रो, तलको सूचीबाट पूर्ण पथमा डाइरेक्टरी स्ट्रिङहरू समावेश भएका सबै फाइलहरूलाई बहिष्कृत गरिएको छ।

.{ED7BA470-8E54-465E-825C-99712043E01C}
tor browser
opera
opera software
mozilla
mozilla firefox
internet explorer
googlechrome
google
boot
application data
apple computersafari
appdata
all users
:windows
:system volume information
:nvidia
:intel

तेस्रो, केही फाइल नामहरू पनि इन्क्रिप्सनबाट हटाइएका छन्, तिनीहरूमध्ये फिरौती सन्देशको फाइल नाम। सूची तल प्रस्तुत गरिएको छ। जाहिर छ, यी सबै अपवादहरू मेसिन चलिरहेको राख्नको लागि हो, तर न्यूनतम सडक योग्यताको साथ।

boot.ini
bootfont.bin
bootsect.bak
desktop.ini
iconcache.db
ntdetect.com
ntldr
ntuser.dat
ntuser.dat.log
ntuser.ini
thumbs.db
winupas.exe
your files are now encrypted.txt
windows update assistant.lnk
master.exe
unlock.exe
unlocker.exe

फाइल एन्क्रिप्शन योजना

एक पटक निष्पादित भएपछि, मालवेयरले 512-बिट RSA कुञ्जी जोडी उत्पन्न गर्दछ। निजी घातांक (d) र मोडुलस (n) त्यसपछि हार्ड-कोड गरिएको 2048-बिट सार्वजनिक कुञ्जी (सार्वजनिक घातांक र मोड्युलस), zlib-प्याक्ड, र base64 एन्कोड गरिएकोसँग इन्क्रिप्ट गरिन्छ। यसको लागि जिम्मेवार कोड चित्र 2 मा देखाइएको छ।

चित्र २. ५१२-बिट RSA कुञ्जी जोडी उत्पादन प्रक्रियाको हेक्स-रे डिकम्पाइलेशनको नतिजा।

तल एक उत्पन्न निजी कुञ्जी संग सादा पाठ को एक उदाहरण छ, जो फिरौती सन्देश संग संलग्न टोकन हो।

DF9228F4F3CA93314B7EE4BEFC440030665D5A2318111CC3FE91A43D781E3F91BD2F6383E4A0B4F503916D75C9C576D5C2F2F073ADD4B237F7A2B3BF129AE2F399197ECC0DD002D5E60C20CE3780AB9D1FE61A47D9735036907E3F0CF8BE09E3E7646F8388AAC75FF6A4F60E7F4C2F697BF6E47B2DBCDEC156EAD854CADE53A239

आक्रमणकारीहरूको सार्वजनिक कुञ्जी तल दिइएको छ।

e = 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
n = 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

फाइलहरू 128-बिट कुञ्जीसँग AES-256-CBC प्रयोग गरेर इन्क्रिप्ट गरिएका छन्। प्रत्येक इन्क्रिप्टेड फाइलको लागि, नयाँ कुञ्जी र नयाँ प्रारम्भिक भेक्टर उत्पन्न हुन्छ। कुञ्जी जानकारी इन्क्रिप्टेड फाइलको अन्त्यमा थपिएको छ। एन्क्रिप्टेड फाइलको ढाँचालाई विचार गरौं।
इन्क्रिप्टेड फाइलहरूमा निम्न हेडर छन्:

VEGA जादुई मान थपिएको स्रोत फाइल डेटा पहिलो 0x5000 बाइटहरूमा इन्क्रिप्ट गरिएको छ। सबै डिक्रिप्शन जानकारी निम्न संरचनाको साथ फाइलमा संलग्न छ:

- फाइल साइज मार्करले फाइल आकारमा ०x५००० बाइट्स भन्दा ठूलो छ कि छैन भनेर संकेत गर्ने चिन्ह समावेश गर्दछ।
— AES कुञ्जी ब्लब = ZlibCompress(RSAEncrypt(AES कुञ्जी + IV, उत्पन्न गरिएको RSA कुञ्जी जोडीको सार्वजनिक कुञ्जी))
- RSA कुञ्जी ब्लब = ZlibCompress(RSAEncrypt(उत्पन्न गरिएको RSA निजी कुञ्जी, हार्ड-कोड गरिएको RSA सार्वजनिक कुञ्जी))

Win32/ClipBanker

Win32/ClipBanker एउटा कम्पोनेन्ट हो जुन अक्टोबरको अन्त्यदेखि डिसेम्बर 2018 को शुरुमा बीच-बीचमा वितरण गरिएको थियो। यसको भूमिका क्लिपबोर्डको सामग्रीहरू निगरानी गर्नु हो, यसले क्रिप्टोकरन्सी वालेटहरूको ठेगानाहरू खोज्छ। लक्षित वालेट ठेगाना निर्धारण गरिसकेपछि, ClipBanker ले यसलाई अपरेटरहरूसँग सम्बन्धित ठेगानाले प्रतिस्थापन गर्छ। हामीले जाँच गरेका नमूनाहरू न त बक्स वा अस्पष्ट थिए। व्यवहार मास्क गर्न प्रयोग गरिने एक मात्र संयन्त्र स्ट्रिङ ईन्क्रिप्शन हो। अपरेटर वालेट ठेगानाहरू RC4 प्रयोग गरेर गुप्तिकरण गरिएका छन्। लक्षित क्रिप्टोकरेन्सीहरू बिटकोइन, बिटकोइन नगद, डोगेकोइन, इथरियम र रिपल हुन्।

आक्रमणकारीहरूको बिटकोइन वालेटहरूमा मालवेयर फैलिएको अवधिमा, VTS मा थोरै रकम पठाइएको थियो, जसले अभियानको सफलतामा शंका उत्पन्न गर्दछ। थप रूपमा, यी लेनदेनहरू क्लिपबैंकरसँग सम्बन्धित थिए भनेर सुझाव दिने कुनै प्रमाण छैन।

Win32/RTM

Win32/RTM कम्पोनेन्ट मार्च 2019 को शुरुमा धेरै दिनको लागि वितरण गरिएको थियो। RTM डेल्फीमा लेखिएको ट्रोजन बैंकर हो, जसको उद्देश्य रिमोट बैंकिङ प्रणाली हो। 2017 मा, ESET शोधकर्ताहरूले प्रकाशित गरे विस्तृत विश्लेषण यस कार्यक्रमको, विवरण अझै सान्दर्भिक छ। जनवरी 2019 मा, Palo Alto Networks ले पनि रिलीज गर्यो RTM को बारेमा ब्लग पोस्ट.

Buhtrap लोडर

केहि समय को लागी, एक डाउनलोडर GitHub मा उपलब्ध थियो जुन अघिल्लो Buhtrap उपकरणहरु जस्तै थिएन। ऊ फर्कन्छ https://94.100.18[.]67/RSS.php?<some_id> अर्को चरण प्राप्त गर्न र यसलाई सिधै मेमोरीमा लोड गर्दछ। हामी दोस्रो चरणको कोडका दुई व्यवहारहरू छुट्याउन सक्छौं। पहिलो URL मा, RSS.php ले Buhtrap ब्याकडोर सिधै पास गर्‍यो - यो ब्याकडोर स्रोत कोड लीक भएपछि उपलब्ध भएकोसँग मिल्दोजुल्दो छ।

चाखलाग्दो कुरा के छ भने, हामी बुहट्राप ब्याकडोरसँग धेरै अभियानहरू देख्छौं, र तिनीहरू कथित रूपमा विभिन्न अपरेटरहरूद्वारा सञ्चालित छन्। यस अवस्थामा, मुख्य भिन्नता यो हो कि ब्याकडोर सिधै मेमोरीमा लोड हुन्छ र DLL डिप्लोइमेन्ट प्रक्रियाको साथ सामान्य योजना प्रयोग गर्दैन जुन हामीले कुरा गर्यौं। अघि। थप रूपमा, अपरेटरहरूले C&C सर्भरमा नेटवर्क ट्राफिक इन्क्रिप्ट गर्न प्रयोग गरिने RC4 कुञ्जी परिवर्तन गरे। हामीले देखेका धेरैजसो अभियानहरूमा, अपरेटरहरूले यो कुञ्जी परिवर्तन गर्ने चिन्ता गरेनन्।

दोस्रो, थप जटिल व्यवहार RSS.php URL अर्को लोडरमा पठाइएको थियो। यसले केही अस्पष्टताहरू लागू गर्‍यो, जस्तै गतिशील आयात तालिकाको पुनर्निर्माण। बुटलोडरको उद्देश्य C&C सर्भरलाई सम्पर्क गर्नु हो msiofficeupd[.]com/api/F27F84EDA4D13B15/2, लगहरू पठाउनुहोस् र प्रतिक्रियाको लागि पर्खनुहोस्। यसले प्रतिक्रियालाई ब्लबको रूपमा प्रशोधन गर्छ, मेमोरीमा लोड गर्छ र कार्यान्वयन गर्दछ। हामीले यो लोडर कार्यान्वयन गर्दा देखेको पेलोड उही बुहट्राप ब्याकडोर थियो, तर त्यहाँ अन्य कम्पोनेन्टहरू हुन सक्छन्।

Android/Spy.Banker

चाखलाग्दो कुरा के छ भने, GitHub भण्डारमा एन्ड्रोइडको लागि एक घटक पनि फेला पर्यो। उहाँ एक दिन मात्र मुख्य शाखामा हुनुहुन्थ्यो - नोभेम्बर 1, 2018। GitHub मा पोस्ट गरिनु बाहेक, ESET टेलिमेट्रीले यो मालवेयर वितरण भएको कुनै प्रमाण फेला पारेन।

कम्पोनेन्ट एन्ड्रोइड अनुप्रयोग प्याकेज (APK) को रूपमा होस्ट गरिएको थियो। यो धेरै अस्पष्ट छ। दुर्भावनापूर्ण व्यवहार APK मा स्थित एक गुप्तिकरण JAR मा लुकेको छ। यो कुञ्जी प्रयोग गरेर RC4 सँग इन्क्रिप्ट गरिएको छ:

key = [
0x87, 0xd6, 0x2e, 0x66, 0xc5, 0x8a, 0x26, 0x00, 0x72, 0x86, 0x72, 0x6f,
0x0c, 0xc1, 0xdb, 0xcb, 0x14, 0xd2, 0xa8, 0x19, 0xeb, 0x85, 0x68, 0xe1,
0x2f, 0xad, 0xbe, 0xe3, 0xb9, 0x60, 0x9b, 0xb9, 0xf4, 0xa0, 0xa2, 0x8b, 0x96
]

एउटै कुञ्जी र एल्गोरिथ्म स्ट्रिङ इन्क्रिप्ट गर्न प्रयोग गरिन्छ। JAR मा अवस्थित छ APK_ROOT + image/files। फाइलको पहिलो ४ बाइटमा इन्क्रिप्टेड JAR को लम्बाइ हुन्छ, जुन लम्बाइ फिल्ड पछि तुरुन्तै सुरु हुन्छ।

फाइल डिक्रिप्ट गरेपछि, हामीले पत्ता लगायौं कि यो Anubis थियो - पहिले दस्तावेज एन्ड्रोइड को लागी बैंकर। मालवेयरमा निम्न सुविधाहरू छन्:

• माइक्रोफोन रेकर्डिङ
• स्क्रिनसटहरू लिँदै
• GPS समन्वय प्राप्त गर्दै
• keylogger
• उपकरण डाटा एन्क्रिप्शन र फिरौती माग
• स्प्याम पठाउँदै

चाखलाग्दो कुरा के छ भने, बैंकरले अर्को C&C सर्भर प्राप्त गर्न ट्विटरलाई ब्याकअप सञ्चार च्यानलको रूपमा प्रयोग गर्यो। हामीले विश्लेषण गरेको नमूनाले @JonesTrader खाता प्रयोग गर्‍यो, तर विश्लेषणको समयमा यो पहिले नै रोकिएको थियो।

बैंकरले एन्ड्रोइड उपकरणमा लक्षित अनुप्रयोगहरूको सूची समावेश गर्दछ। यो सोफोस अध्ययनमा प्राप्त सूची भन्दा लामो छ। सूचीमा धेरै बैंकिङ अनुप्रयोगहरू, अनलाइन किनमेल कार्यक्रमहरू जस्तै Amazon र eBay, र cryptocurrency सेवाहरू समावेश छन्।

MSIL/ClipBanker.IH

यस अभियानको भागको रूपमा वितरण गरिएको अन्तिम कम्पोनेन्ट .NET Windows कार्यान्वयनयोग्य थियो, जुन मार्च 2019 मा देखा पर्‍यो। अध्ययन गरिएका अधिकांश संस्करणहरू कन्फ्युजरएक्स v1.0.0 सँग प्याकेज गरिएका थिए। ClipBanker जस्तै, यो घटक क्लिपबोर्ड प्रयोग गर्दछ। उसको लक्ष्य क्रिप्टोकरेन्सीको विस्तृत दायरा, साथै स्टीममा प्रस्तावहरू हो। थप रूपमा, उसले Bitcoin निजी WIF कुञ्जी चोरी गर्न IP लगर सेवा प्रयोग गर्दछ।

संरक्षण संयन्त्र
कन्फ्युजरएक्सले डिबगिङ, डम्पिङ र छेडछाड रोक्नका लागि प्रदान गर्ने फाइदाहरूका अतिरिक्त, कम्पोनेन्टले एन्टिभाइरस उत्पादनहरू र भर्चुअल मेसिनहरू पत्ता लगाउने क्षमता समावेश गर्दछ।

यो भर्चुअल मेसिनमा चल्छ भनी प्रमाणित गर्न, मालवेयरले BIOS जानकारी अनुरोध गर्न बिल्ट-इन Windows WMI कमाण्ड लाइन (WMIC) प्रयोग गर्दछ, जस्तै:

wmic bios

त्यसपछि कार्यक्रमले कमाण्ड आउटपुट पार्स गर्छ र किवर्डहरू खोज्छ: VBOX, VirtualBox, XEN, qemu, bochs, VM।

एन्टिभाइरस उत्पादनहरू पत्ता लगाउन, मालवेयरले विन्डोज सेक्युरिटी सेन्टरमा विन्डोज म्यानेजमेन्ट इन्स्ट्रुमेन्टेसन (WMI) अनुरोध पठाउँछ। ManagementObjectSearcher API तल देखाइएको रूपमा। बेस64 बाट डिकोडिङ पछि कल यस्तो देखिन्छ:

ManagementObjectSearcher('rootSecurityCenter2', 'SELECT * FROM AntivirusProduct')

चित्र ३. एन्टिभाइरस उत्पादनहरू पहिचान गर्ने प्रक्रिया।

थप रूपमा, मालवेयरले जाँच गर्दछ कि CryptoClipWatcher, क्लिपबोर्ड आक्रमणहरू विरुद्ध सुरक्षा गर्ने उपकरण र, यदि चलिरहेको छ भने, त्यस प्रक्रियामा सबै थ्रेडहरूलाई निलम्बन गर्दछ, जसले गर्दा सुरक्षालाई असक्षम पार्छ।

दृढता

हामीले अध्ययन गरेको मालवेयरको संस्करण आफैंमा प्रतिलिपि बनाउँछ %APPDATA%googleupdater.exe र गुगल डाइरेक्टरीको लागि "लुकेको" विशेषता सेट गर्दछ। त्यसपछि उसले मूल्य परिवर्तन गर्छ SoftwareMicrosoftWindows NTCurrentVersionWinlogonshell विन्डोज रजिस्ट्रीमा र मार्ग थप्छ updater.exe। यस तरीकाले, प्रयोगकर्ताले लग इन गर्दा प्रत्येक पटक मालवेयर निष्पादित हुनेछ।

दुर्भावनापूर्ण व्यवहार

ClipBanker जस्तै, मालवेयरले क्लिपबोर्डको सामग्रीहरू निगरानी गर्दछ र क्रिप्टोकरेन्सी वालेट ठेगानाहरू खोज्छ, र जब फेला पर्यो, यसलाई अपरेटरको ठेगानाहरू मध्ये एकसँग बदल्छ। तल कोडमा पाइने कुरामा आधारित लक्षित ठेगानाहरूको सूची छ।

BTC_P2PKH, BTC_P2SH, BTC_BECH32, BCH_P2PKH_CashAddr, BTC_GOLD, LTC_P2PKH, LTC_BECH32, LTC_P2SH_M, ETH_ERC20, XMR, DCR, XRP, DOGE, DASH, ZEC_T_ADDR, ZEC_Z_ADDR, STELLAR, NEO, ADA, IOTA, NANO_1, NANO_3, BANANO_1, BANANO_3, STRATIS, NIOBIO, LISK, QTUM, WMZ, WMX, WME, VERTCOIN, TRON, TEZOS, QIWI_ID, YANDEX_ID, NAMECOIN, B58_PRIVATEKEY, STEAM_URL

प्रत्येक प्रकारको ठेगानाको लागि त्यहाँ एक अनुरूप नियमित अभिव्यक्ति छ। STEAM_URL मान स्टीम प्रणालीमा आक्रमण गर्न प्रयोग गरिन्छ, जस्तै नियमित अभिव्यक्तिबाट देख्न सकिन्छ जुन बफरमा परिभाषित गर्न प्रयोग गरिन्छ:

b(https://|http://|)steamcommunity.com/tradeoffer/new/?partner=[0-9]+&token=[a-zA-Z0-9]+b

एक्सफिल्टेशन च्यानल

बफरमा ठेगानाहरू बदल्नुको अतिरिक्त, मालवेयरले बिटकोइन, बिटकोइन कोर र इलेक्ट्रम बिटकोइन वालेटहरूको निजी WIF कुञ्जीहरूलाई लक्षित गर्दछ। कार्यक्रमले WIF निजी कुञ्जी प्राप्त गर्न एक्सफिल्टेशन च्यानलको रूपमा plogger.org प्रयोग गर्दछ। यो गर्नका लागि, अपरेटरहरूले प्रयोगकर्ता-एजेन्ट HTTP हेडरमा निजी कुञ्जी डेटा थप्छन्, जस्तै तल देखाइएको छ।

चित्र 4. आउटपुट डेटा संग आईपी लगर कन्सोल।

अपरेटरहरूले वालेटहरू बाहिर निकाल्न iplogger.org प्रयोग गरेनन्। तिनीहरूले फिल्डमा 255 वर्ण सीमाको कारणले फरक विधिको सहारा लिए User-AgentIP Logger वेब इन्टरफेसमा प्रदर्शित। हामीले अध्ययन गरेका नमूनाहरूमा, अर्को आउटपुट सर्भर वातावरण चरमा भण्डार गरिएको थियो DiscordWebHook। अचम्मको कुरा, यो वातावरण चर कोडमा कहिँ पनि तोकिएको छैन। यसले सुझाव दिन्छ कि मालवेयर अझै विकास अन्तर्गत छ र चर अपरेटरको परीक्षण मेसिनमा तोकिएको छ।

कार्यक्रम विकासमा छ भन्ने अर्को संकेत हो। बाइनरी फाइलले दुई iplogger.org URL हरू समावेश गर्दछ, र डेटा बाहिर निकाल्दा दुवैलाई सोधिन्छ। यी URL हरू मध्ये एउटाको अनुरोधमा, रेफरर फिल्डको मान "DEV /" अघि राखिएको छ। हामीले कन्फ्युजरएक्स प्रयोग गरेर प्याकेज नगरिएको संस्करण पनि फेला पार्‍यौं, यस URL को प्रापकको नाम DevFeedbackUrl छ। वातावरण चर नामको आधारमा, हामी विश्वास गर्छौं कि अपरेटरहरूले क्रिप्टोकरेन्सी वालेटहरू चोरी गर्न वैध सेवा Discord र यसको वेब अवरोध प्रणाली प्रयोग गर्ने योजना बनाइरहेका छन्।

निष्कर्षमा

यो अभियान साइबर आक्रमणहरूमा वैध विज्ञापन सेवाहरूको प्रयोगको उदाहरण हो। यो योजनाले रूसी संगठनहरूलाई लक्षित गर्दछ, तर गैर-रूसी सेवाहरू प्रयोग गरेर यस्तो आक्रमण देखेर हामी छक्क पर्ने छैनौं। सम्झौताबाट बच्नको लागि, प्रयोगकर्ताहरूले डाउनलोड गर्ने सफ्टवेयरको स्रोतको प्रतिष्ठामा विश्वस्त हुनुपर्छ।

सम्झौता र MITER ATT&CK विशेषताहरूको सूचकहरूको पूर्ण सूची मा उपलब्ध छ लिङ्क.

स्रोत: www.habr.com