RTM साइबर समूह रूसी कम्पनीहरु को कोष चोरी मा माहिर छ

त्यहाँ धेरै ज्ञात साइबर समूहहरू छन् जुन रूसी कम्पनीहरूबाट कोष चोरी गर्न विशेषज्ञ छन्। हामीले लक्ष्यको नेटवर्कमा पहुँच गर्न अनुमति दिने सुरक्षा लूपलहरू प्रयोग गरेर आक्रमणहरू देखेका छौं। एक पटक तिनीहरूले पहुँच प्राप्त गरेपछि, आक्रमणकारीहरूले संगठनको सञ्जाल संरचना अध्ययन गर्छन् र कोष चोरी गर्न आफ्नै उपकरणहरू प्रयोग गर्छन्। यस प्रवृतिको उत्कृष्ट उदाहरण ह्याकर समूह बुहट्राप, कोबाल्ट र कोर्को हो।

यो रिपोर्टमा केन्द्रित भएको RTM समूह यो प्रवृत्तिको अंश हो। यसले डेल्फीमा लेखिएको विशेष रूपमा डिजाइन गरिएको मालवेयर प्रयोग गर्दछ, जसलाई हामी निम्न खण्डहरूमा थप विस्तारमा हेर्नेछौं। ESET टेलिमेट्री प्रणालीमा यी उपकरणहरूको पहिलो ट्रेसहरू 2015 को अन्त्यमा फेला परेका थिए। टोलीले आवश्यक अनुसार संक्रमित प्रणालीहरूमा विभिन्न नयाँ मोड्युलहरू लोड गर्दछ। रुस र केही छिमेकी देशहरूमा रिमोट बैंकिङ प्रणालीका प्रयोगकर्ताहरूलाई लक्षित गरी आक्रमणहरू गरिएको हो।

1. लक्ष्यहरू

RTM अभियान कर्पोरेट प्रयोगकर्ताहरूलाई लक्षित गरिएको छ - यो प्रक्रियाहरूबाट स्पष्ट छ जुन आक्रमणकारीहरूले सम्झौता प्रणालीमा पत्ता लगाउन प्रयास गर्छन्। फोकस रिमोट बैंकिङ प्रणाली संग काम को लागी लेखा सफ्टवेयर मा छ।

RTM को चासोका प्रक्रियाहरूको सूची बुहट्राप समूहको सम्बन्धित सूचीसँग मिल्दोजुल्दो छ, तर समूहहरूमा विभिन्न संक्रमण भेक्टरहरू छन्। यदि Buhtrap ले धेरै पटक नक्कली पृष्ठहरू प्रयोग गर्यो भने, त्यसपछि RTM ले ड्राइभ-द्वारा डाउनलोड आक्रमणहरू (ब्राउजर वा यसका कम्पोनेन्टहरूमा आक्रमणहरू) र इमेलद्वारा स्प्यामिङ प्रयोग गर्यो। टेलिमेट्री डाटाका अनुसार, खतरा रूस र धेरै नजिकका देशहरू (युक्रेन, काजाकिस्तान, चेक गणतन्त्र, जर्मनी) मा लक्षित छ। यद्यपि, सामूहिक वितरण संयन्त्रको प्रयोगको कारण, लक्षित क्षेत्रहरू बाहिर मालवेयर पत्ता लगाउनु अचम्मको कुरा होइन।

मालवेयर पत्ता लगाउने कुल संख्या अपेक्षाकृत सानो छ। अर्कोतर्फ, RTM अभियानले जटिल कार्यक्रमहरू प्रयोग गर्दछ, जसले आक्रमणहरू अत्यधिक लक्षित छन् भन्ने सङ्केत गर्दछ।

हामीले गैर-अवस्थित अनुबंधहरू, इनभ्वाइसहरू वा कर लेखा कागजातहरू सहित RTM द्वारा प्रयोग गरिएका धेरै डिकोय कागजातहरू फेला पारेका छौं। लुर्सको प्रकृति, आक्रमणद्वारा लक्षित सफ्टवेयरको प्रकारसँग मिलाएर, आक्रमणकारीहरूले लेखा विभाग मार्फत रूसी कम्पनीहरूको नेटवर्कमा "प्रविष्ट" भइरहेका छन् भनेर संकेत गर्दछ। समूहले सोही योजना अनुसार काम गर्यो बुहट्राप 2014-2015 मा

अनुसन्धानको क्रममा, हामीले धेरै C&C सर्भरहरूसँग अन्तरक्रिया गर्न सक्षम भयौं। हामी निम्न खण्डहरूमा आदेशहरूको पूर्ण सूची सूचीबद्ध गर्नेछौं, तर अहिलेको लागि हामी भन्न सक्छौं कि क्लाइन्टले keylogger बाट सीधा आक्रमण गर्ने सर्भरमा डाटा स्थानान्तरण गर्दछ, जहाँबाट थप आदेशहरू प्राप्त हुन्छन्।

जे होस्, ती दिनहरू जब तपाइँ केवल कमाण्ड र नियन्त्रण सर्भरमा जडान गर्न सक्नुहुन्छ र तपाइँले रुचि राख्नु भएको सबै डाटा सङ्कलन गर्न सक्नुहुन्छ। हामीले सर्भरबाट केही सान्दर्भिक आदेशहरू प्राप्त गर्न यथार्थवादी लग फाइलहरू पुन: सिर्जना गर्यौं।

ती मध्ये पहिलो फाइल 1c_to_kl.txt - 1C: इन्टरप्राइज 8 कार्यक्रमको ट्रान्सफर फाइल हस्तान्तरण गर्न बोटलाई अनुरोध हो, जसको उपस्थिति RTM द्वारा सक्रिय रूपमा निगरानी गरिन्छ। 1C ले पाठ फाइलमा बहिर्गमन भुक्तानीहरूमा डाटा अपलोड गरेर टाढाको बैंकिङ प्रणालीहरूसँग अन्तर्क्रिया गर्दछ। अर्को, फाइल स्वचालन र भुक्तानी आदेशको कार्यान्वयनको लागि रिमोट बैंकिङ प्रणालीमा पठाइन्छ।

फाइलमा भुक्तानी विवरणहरू छन्। यदि आक्रमणकारीहरूले बहिर्गमन भुक्तानीहरूको बारेमा जानकारी परिवर्तन गरेमा, स्थानान्तरण आक्रमणकर्ताहरूको खाताहरूमा गलत विवरणहरू प्रयोग गरेर पठाइनेछ।

कमाण्ड र कन्ट्रोल सर्भरबाट यी फाइलहरू अनुरोध गरेको लगभग एक महिना पछि, हामीले एउटा नयाँ प्लगइन, 1c_2_kl.dll, सम्झौता प्रणालीमा लोड भइरहेको देख्यौं। मोड्युल (DLL) लेखा सफ्टवेयर प्रक्रियाहरू प्रवेश गरेर डाउनलोड फाइल स्वचालित रूपमा विश्लेषण गर्न डिजाइन गरिएको छ। हामी यसलाई निम्न खण्डहरूमा विस्तृत रूपमा वर्णन गर्नेछौं।

चाखलाग्दो कुरा के छ भने, 2016 को अन्त्यमा बैंक अफ रूसको FinCERT ले 1c_to_kl.txt अपलोड फाइलहरू प्रयोग गर्ने साइबर अपराधीहरूको बारेमा एक बुलेटिन चेतावनी जारी गर्‍यो। 1C का विकासकर्ताहरूलाई पनि यो योजनाको बारेमा थाहा छ;

अन्य मोड्युलहरू पनि कमाण्ड सर्भरबाट लोड गरिएका थिए, विशेष गरी VNC (यसको 32 र 64-बिट संस्करणहरू)। यो VNC मोड्युलसँग मिल्दोजुल्दो छ जुन पहिले ड्राइडेक्स ट्रोजन आक्रमणहरूमा प्रयोग गरिएको थियो। यो मोड्युल टाढाबाट संक्रमित कम्प्युटरमा जडान गर्न र प्रणालीको विस्तृत अध्ययन सञ्चालन गर्न प्रयोग गरिन्छ। अर्को, आक्रमणकारीहरूले नेटवर्कको वरिपरि घुम्ने प्रयास गर्छन्, प्रयोगकर्ता पासवर्डहरू निकाल्छन्, जानकारी सङ्कलन गर्छन् र मालवेयरको निरन्तर उपस्थिति सुनिश्चित गर्छन्।

2. संक्रमण को भेक्टर

निम्न चित्रले अभियानको अध्ययन अवधिमा पत्ता लगाइएको संक्रमण भेक्टरहरू देखाउँछ। समूहले भेक्टरहरूको विस्तृत दायरा प्रयोग गर्दछ, तर मुख्य रूपमा ड्राइभ-द्वारा आक्रमणहरू र स्प्यामहरू। यी उपकरणहरू लक्षित आक्रमणहरूको लागि सुविधाजनक छन्, किनकि पहिलो अवस्थामा, आक्रमणकारीहरूले सम्भावित पीडितहरू द्वारा भ्रमण गरिएका साइटहरू चयन गर्न सक्छन्, र दोस्रोमा, तिनीहरूले सीधै इच्छित कम्पनीका कर्मचारीहरूलाई संलग्नकहरूसँग इमेल पठाउन सक्छन्।

मालवेयर RIG र Sundown शोषण किटहरू वा स्प्याम मेलिङहरू सहित धेरै च्यानलहरू मार्फत वितरित गरिन्छ, जसले आक्रमणकारीहरू र यी सेवाहरू प्रदान गर्ने अन्य साइबर आक्रमणकर्ताहरू बीचको जडानलाई संकेत गर्दछ।

२.१। RTM र Buhtrap कसरी सम्बन्धित छन्?

RTM अभियान Buhtrap सँग धेरै मिल्दोजुल्दो छ। स्वाभाविक प्रश्न हो: तिनीहरू कसरी एक अर्कासँग सम्बन्धित छन्?

सेप्टेम्बर 2016 मा, हामीले आरटीएम नमूना बुहट्राप अपलोडर प्रयोग गरी वितरण भइरहेको अवलोकन गर्यौं। थप रूपमा, हामीले बुहट्राप र RTM दुबैमा प्रयोग गरिएका दुईवटा डिजिटल प्रमाणपत्रहरू फेला पारेका छौं।

पहिलो, कथित रूपमा कम्पनी DNISTER-M लाई, दोस्रो डेल्फी फारम (SHA-1: 025C718BA31E43DB1B87DC13F94A61A9338C11CE) र Buhtrap DLL (SHA-1: 1E2642CD454B2BD889) लाई डिजिटल रूपमा हस्ताक्षर गर्न प्रयोग गरिएको थियो। ०)।

The second one, issued to Bit-Tredj, was used to sign Buhtrap loaders (SHA-1: 7C1B6B1713BD923FC243DFEC80002FE9B93EB292 and B74F71560E48488D2153AE2FB51207A0AC206E2B), as well as download and install RTM components.

RTM अपरेटरहरूले प्रमाणपत्रहरू प्रयोग गर्छन् जुन अन्य मालवेयर परिवारहरूमा सामान्य हुन्छन्, तर तिनीहरूसँग एक अद्वितीय प्रमाणपत्र पनि छ। ESET टेलिमेट्रीका अनुसार, यो Kit-SD लाई जारी गरिएको थियो र केही RTM मालवेयर (SHA-1: 42A4B04446A20993DDAE98B2BE6D5A797376D4B6) मा हस्ताक्षर गर्न मात्र प्रयोग गरिएको थियो।

RTM ले Buhtrap जस्तै लोडर प्रयोग गर्दछ, RTM कम्पोनेन्टहरू Buhtrap पूर्वाधारबाट लोड हुन्छन्, त्यसैले समूहहरूमा समान नेटवर्क सूचकहरू छन्। जे होस्, हाम्रो अनुमान अनुसार, RTM र Buhtrap फरक-फरक समूहहरू हुन्, कम्तिमा पनि किनभने RTM विभिन्न तरिकामा वितरण गरिएको छ ("विदेशी" डाउनलोडर प्रयोग गरेर मात्र होइन)।

यद्यपि, ह्याकर समूहहरूले समान सञ्चालन सिद्धान्तहरू प्रयोग गर्छन्। तिनीहरूले लेखा सफ्टवेयर प्रयोग गरेर व्यवसायहरूलाई लक्षित गर्छन्, त्यसैगरी प्रणाली जानकारी सङ्कलन गर्ने, स्मार्ट कार्ड रिडरहरूको खोजी गर्ने, र पीडितहरूलाई जासुसी गर्नको लागि हानिकारक उपकरणहरूको एर्रे प्रयोग गर्ने।

3. विकास

यस खण्डमा, हामी अध्ययनको क्रममा भेटिएका मालवेयरका विभिन्न संस्करणहरू हेर्नेछौं।

३.१। संस्करण

RTM ले रजिस्ट्री खण्डमा कन्फिगरेसन डाटा भण्डारण गर्दछ, सबैभन्दा रोचक भाग बोटनेट-उपसर्ग हो। हामीले अध्ययन गरेका नमूनाहरूमा देखेका सबै मानहरूको सूची तलको तालिकामा प्रस्तुत गरिएको छ।

यो सम्भव छ कि मानहरू मालवेयर संस्करणहरू रेकर्ड गर्न प्रयोग गर्न सकिन्छ। यद्यपि, हामीले bit2 र bit3, 0.1.6.4 र 0.1.6.6 जस्ता संस्करणहरू बीच धेरै भिन्नता देखेनौं। यसबाहेक, एउटा उपसर्ग सुरुदेखि नै रहेको छ र एक सामान्य C&C डोमेनबाट .bit डोमेनमा विकसित भएको छ, जसलाई तल देखाइनेछ।

३.२। तालिका

टेलिमेट्री डाटा प्रयोग गरेर, हामीले नमूनाहरूको घटनाको ग्राफ सिर्जना गर्यौं।

4. प्राविधिक विश्लेषण

यस खण्डमा, हामी RTM बैंकिङ ट्रोजनको मुख्य कार्यहरू वर्णन गर्नेछौं, जसमा प्रतिरोधी संयन्त्रहरू, RC4 एल्गोरिदमको आफ्नै संस्करण, नेटवर्क प्रोटोकल, जासुसी कार्यक्षमता र केही अन्य सुविधाहरू समावेश छन्। विशेष रूपमा, हामी SHA-1 नमूनाहरू AA0FA4584768CE9E16D67D8C529233E99FF1BBF0 र 48BC113EC8BA20B8B80CD5D4DA92051A19D1032B मा ध्यान केन्द्रित गर्नेछौं।

४.१। स्थापना र बचत

७.१। कार्यान्वयन

RTM कोर एक DLL हो, पुस्तकालय .EXE प्रयोग गरेर डिस्कमा लोड हुन्छ। कार्यान्वयनयोग्य फाइल सामान्यतया प्याकेज गरिएको छ र DLL कोड समावेश गर्दछ। एक पटक सुरु भएपछि, यसले DLL निकाल्छ र निम्न आदेश प्रयोग गरेर चलाउँछ:

rundll32.exe “%PROGRAMDATA%Winlogonwinlogon.lnk”,DllGetClassObject host

४.१.२। DLL

मुख्य DLL सधैं %PROGRAMDATA%Winlogon फोल्डरमा winlogon.lnk को रूपमा डिस्कमा लोड हुन्छ। यो फाइल एक्सटेन्सन सामान्यतया सर्टकटसँग सम्बन्धित हुन्छ, तर फाइल वास्तवमा डेल्फीमा लेखिएको DLL हो, जसलाई विकासकर्ताले core.dll नाम दिएको छ, जस्तै तलको छविमा देखाइएको छ।

Пример названия DLL F4C746696B0F5BB565D445EC49DD912993DE6361

एक पटक सुरु भएपछि, ट्रोजनले यसको प्रतिरोध संयन्त्र सक्रिय गर्दछ। यो प्रणालीमा पीडितको विशेषाधिकारको आधारमा दुई फरक तरिकामा गर्न सकिन्छ। यदि तपाईंसँग प्रशासक अधिकारहरू छन् भने, ट्रोजनले HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun रजिस्ट्रीमा Windows अपडेट प्रविष्टि थप्छ। विन्डोज अपडेटमा समावेश गरिएका आदेशहरू प्रयोगकर्ताको सत्रको सुरुमा चल्नेछन्।

HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunWindows अपडेट [REG_SZ] = rundll32.exe “% PROGRAMDATA%winlogon.lnk”,DllGetClassObject होस्ट

ट्रोजनले विन्डोज टास्क शेड्युलरमा कार्य थप्न पनि प्रयास गर्दछ। कार्यले winlogon.lnk DLL लाई माथिको समान प्यारामिटरहरूसँग सुरु गर्नेछ। नियमित प्रयोगकर्ता अधिकारहरूले ट्रोजनलाई HKCUSoftwareMicrosoftWindowsCurrentVersionRun रजिस्ट्रीमा समान डेटाको साथ Windows अपडेट प्रविष्टि थप्न अनुमति दिन्छ:

rundll32.exe “%PROGRAMDATA%winlogon.lnk”,DllGetClassObject host

४.२। परिमार्जित RC4.2 एल्गोरिथ्म

यसको ज्ञात कमजोरीहरूको बावजुद, RC4 एल्गोरिथ्म नियमित रूपमा मालवेयर लेखकहरू द्वारा प्रयोग गरिन्छ। यद्यपि, RTM का सिर्जनाकर्ताहरूले यसलाई थोरै परिमार्जन गरे, सम्भवतः भाइरस विश्लेषकहरूको कार्यलाई अझ गाह्रो बनाउन। RC4 को परिमार्जित संस्करण स्ट्रिङ, नेटवर्क डेटा, कन्फिगरेसन र मोड्युलहरू इन्क्रिप्ट गर्नको लागि दुर्भावनापूर्ण RTM उपकरणहरूमा व्यापक रूपमा प्रयोग गरिन्छ।

४.२.१। भिन्नताहरू

मूल RC4 एल्गोरिथ्मले दुई चरणहरू समावेश गर्दछ: s-ब्लक प्रारम्भिकरण (उर्फ KSA - कुञ्जी-तालिका एल्गोरिथ्म) र छद्म-यादृच्छिक अनुक्रम जेनेरेसन (PRGA - स्यूडो-रेन्डम जेनेरेशन एल्गोरिथ्म)। पहिलो चरणमा कुञ्जी प्रयोग गरेर s-बक्स सुरु गर्ने समावेश छ, र दोस्रो चरणमा इन्क्रिप्शनको लागि s-बक्स प्रयोग गरेर स्रोत पाठ प्रशोधन गरिन्छ।

RTM लेखकहरूले s-box प्रारम्भ र इन्क्रिप्शन बीचको मध्यवर्ती चरण थपे। अतिरिक्त कुञ्जी चल छ र डेटा गुप्तिकरण र डिक्रिप्ट गर्न को लागी एकै समयमा सेट गरिएको छ। यो अतिरिक्त चरण प्रदर्शन गर्ने प्रकार्य तलको चित्रमा देखाइएको छ।

४.२.२। स्ट्रिङ इन्क्रिप्सन

पहिलो नजरमा, मुख्य DLL मा धेरै पढ्न योग्य लाइनहरू छन्। बाँकी माथि वर्णन गरिएको एल्गोरिथ्म प्रयोग गरेर इन्क्रिप्ट गरिएको छ, जसको संरचना निम्न चित्रमा देखाइएको छ। हामीले विश्लेषण गरिएका नमूनाहरूमा स्ट्रिङ इन्क्रिप्सनको लागि 25 भन्दा बढी फरक RC4 कुञ्जीहरू फेला पार्यौं। XOR कुञ्जी प्रत्येक पङ्क्तिको लागि फरक छ। संख्यात्मक क्षेत्र विभाजन रेखाहरूको मान सधैं 0xFFFFFFFF हो।

कार्यान्वयनको सुरुमा, RTM ले स्ट्रिङहरूलाई विश्वव्यापी चरमा डिक्रिप्ट गर्छ। स्ट्रिङ पहुँच गर्न आवश्यक हुँदा, ट्रोजनले आधार ठेगाना र अफसेटको आधारमा डिक्रिप्टेड स्ट्रिङहरूको ठेगाना गतिशील रूपमा गणना गर्छ।

स्ट्रिङहरूमा मालवेयरको कार्यहरूको बारेमा रोचक जानकारी समावेश छ। खण्ड 6.8 मा केही उदाहरण स्ट्रिङहरू प्रदान गरिएका छन्।

4.3. नेटवर्क

RTM मालवेयरले C&C सर्भरलाई सम्पर्क गर्ने तरिका संस्करण अनुसार भिन्न हुन्छ। पहिलो परिमार्जनहरू (अक्टोबर 2015 - अप्रिल 2016) ले आदेशहरूको सूची अद्यावधिक गर्न livejournal.com मा RSS फिडको साथ परम्परागत डोमेन नामहरू प्रयोग गर्यो।

अप्रिल 2016 देखि, हामीले टेलिमेट्री डाटामा .bit डोमेनहरूमा परिवर्तन देखेका छौं। यो डोमेन दर्ता मिति द्वारा पुष्टि हुन्छ - पहिलो RTM डोमेन fde05d0573da.bit मार्च 13, 2016 मा दर्ता गरिएको थियो।

अभियानको अनुगमन गर्दा हामीले देखेका सबै URL हरूको साझा मार्ग थियो: /r/z.php। यो एकदम असामान्य छ र यसले नेटवर्क प्रवाहमा RTM अनुरोधहरू पहिचान गर्न मद्दत गर्नेछ।

४.३.१। आदेश र नियन्त्रणको लागि च्यानल

लेगेसी उदाहरणहरूले यो च्यानललाई उनीहरूको आदेश र नियन्त्रण सर्भरहरूको सूची अद्यावधिक गर्न प्रयोग गरे। होस्टिङ livejournal.com मा अवस्थित छ, रिपोर्ट लेख्ने समयमा यो URL hxxp://f72bba81c921(.)livejournal(.)com/ data/rss मा रह्यो।

Livejournal एक रूसी-अमेरिकी कम्पनी हो जसले ब्लगिङ प्लेटफर्म प्रदान गर्दछ। RTM अपरेटरहरूले LJ ब्लग सिर्जना गर्छन् जसमा तिनीहरूले कोडेड आदेशहरू सहित लेख पोस्ट गर्छन् - स्क्रिनसट हेर्नुहोस्।

परिमार्जित RC4 एल्गोरिथ्म (खण्ड 4.2) को प्रयोग गरेर आदेश र नियन्त्रण रेखाहरू इन्कोड गरिएका छन्। च्यानलको हालको संस्करण (नोभेम्बर 2016) मा निम्न आदेश र नियन्त्रण सर्भर ठेगानाहरू छन्:

• hxxp://cainmoon(.)net/r/z.php
• hxxp://rtm(.)dev/0-3/z.php
• hxxp://vpntap(.)top/r/z.php

४.३.२। .bit डोमेनहरू

हालैका RTM नमूनाहरूमा, लेखकहरू .bit TLD शीर्ष-स्तर डोमेन प्रयोग गरेर C&C डोमेनहरूमा जडान हुन्छन्। यो शीर्ष-स्तर डोमेनहरूको ICANN (डोमेन नाम र इन्टरनेट निगम) सूचीमा छैन। यसको सट्टा, यसले नेमकोइन प्रणाली प्रयोग गर्दछ, जुन बिटकोइन प्रविधिको शीर्षमा बनाइएको छ। मालवेयर लेखकहरूले प्राय: आफ्नो डोमेनहरूको लागि .bit TLD प्रयोग गर्दैनन्, यद्यपि यस्तो प्रयोगको उदाहरण पहिले नै Necurs botnet को संस्करणमा अवलोकन गरिएको छ।

बिटकोइनको विपरीत, वितरित नेमकोइन डाटाबेसका प्रयोगकर्ताहरूसँग डाटा बचत गर्ने क्षमता हुन्छ। यस सुविधाको मुख्य अनुप्रयोग .bit शीर्ष-स्तर डोमेन हो। तपाइँ डोमेनहरू दर्ता गर्न सक्नुहुन्छ जुन वितरित डाटाबेसमा भण्डार गरिनेछ। डाटाबेसमा सम्बन्धित प्रविष्टिहरूले डोमेनद्वारा समाधान गरिएको IP ठेगानाहरू समावेश गर्दछ। यो TLD "सेन्सरशिप-प्रतिरोधी" हो किनभने केवल दर्ताकर्ताले .bit डोमेनको रिजोल्युसन परिवर्तन गर्न सक्छ। यसको मतलब यो हो कि यो प्रकारको TLD प्रयोग गरी दुर्भावनापूर्ण डोमेन रोक्न धेरै गाह्रो छ।

RTM ट्रोजनले वितरित Namecoin डाटाबेस पढ्न आवश्यक सफ्टवेयर इम्बेड गर्दैन। यसले .bit डोमेनहरू समाधान गर्न dns.dot-bit.org वा OpenNic सर्भरहरू जस्ता केन्द्रीय DNS सर्भरहरू प्रयोग गर्दछ। त्यसकारण, यसमा DNS सर्भरहरू जस्तै स्थायित्व छ। हामीले अवलोकन गर्यौं कि केहि टोली डोमेनहरू ब्लग पोस्टमा उल्लेख गरिसकेपछि पत्ता लागेन।

ह्याकरहरूको लागि .bit TLD को अर्को फाइदा लागत हो। डोमेन दर्ता गर्न, अपरेटरहरूले ०.०१ NK मात्र तिर्नु पर्छ, जुन $०.००१८५ (डिसेम्बर ५, २०१६ सम्म) सँग मेल खान्छ। तुलनाको लागि, domain.com को कम्तिमा $ 0,01 लागत।

४.३.३। प्रोटोकल

कमाण्ड र कन्ट्रोल सर्भरसँग सञ्चार गर्नको लागि, RTM ले कस्टम प्रोटोकल प्रयोग गरेर ढाँचा गरिएको डेटाको साथ HTTP POST अनुरोधहरू प्रयोग गर्दछ। पथ मान सधैं /r/z.php; Mozilla/5.0 प्रयोगकर्ता एजेन्ट (कम्प्याटिबल; MSIE 9.0; Windows NT 6.1; Trident/5.0)। सर्भरमा अनुरोधहरूमा, डाटा निम्न रूपमा ढाँचा गरिएको छ, जहाँ अफसेट मानहरू बाइटहरूमा व्यक्त गरिन्छ:

बाइट्स 0 देखि 6 इन्कोड गरिएको छैन; 6 बाट सुरु हुने बाइटहरू परिमार्जित RC4 एल्गोरिथ्म प्रयोग गरेर इन्कोड गरिएका छन्। C&C प्रतिक्रिया प्याकेटको संरचना सरल छ। बाइटहरू 4 देखि प्याकेट साइजमा इन्कोड गरिएका छन्।

सम्भावित कार्य बाइट मानहरूको सूची तलको तालिकामा प्रस्तुत गरिएको छ:

मालवेयरले सँधै डिक्रिप्टेड डाटाको CRC32 गणना गर्छ र प्याकेटमा रहेको कुरासँग तुलना गर्छ। यदि तिनीहरू फरक छन् भने, ट्रोजनले प्याकेट छोड्छ।
अतिरिक्त डेटामा विभिन्न वस्तुहरू समावेश हुन सक्छन्, जसमा PE फाइल, फाइल प्रणालीमा खोजी गरिने फाइल वा नयाँ आदेश URL हरू समावेश छन्।

४.३.४। प्यानल

हामीले RTM ले C&C सर्भरहरूमा प्यानल प्रयोग गरेको देख्यौं। तलको स्क्रिनसट:

४.४। विशेषता चिन्ह

RTM एक सामान्य बैंकिङ ट्रोजन हो। यो कुनै आश्चर्यको कुरा होइन कि अपरेटरहरूले पीडितको प्रणालीको बारेमा जानकारी चाहन्छन्। एकातिर, बोटले OS को बारेमा सामान्य जानकारी सङ्कलन गर्दछ। अर्कोतर्फ, यसले सम्झौता गरेको प्रणालीमा रूसी रिमोट बैंकिङ प्रणालीसँग सम्बन्धित विशेषताहरू छन् कि छैनन् भनी पत्ता लगाउँदछ।

4.4.1. सामान्य जानकारी

जब मालवेयर स्थापना हुन्छ वा रिबुट पछि सुरु हुन्छ, एक रिपोर्ट कमाण्ड र नियन्त्रण सर्भरमा पठाइन्छ जसमा सामान्य जानकारी समावेश हुन्छ:

• समय क्षेत्र;
• पूर्वनिर्धारित प्रणाली भाषा;
• अधिकृत प्रयोगकर्ता प्रमाणहरू;
• प्रक्रिया अखण्डता स्तर;
• प्रयोगकर्ता नाम;
• कम्प्युटर नाम;
• ओएस संस्करण;
• अतिरिक्त स्थापित मोड्युलहरू;
• स्थापित एंटीवायरस कार्यक्रम;
• स्मार्ट कार्ड रिडरहरूको सूची।

4.4.2 रिमोट बैंकिङ प्रणाली

एक सामान्य ट्रोजन लक्ष्य एक रिमोट बैंकिङ प्रणाली हो, र RTM कुनै अपवाद छैन। कार्यक्रमको मोड्युल मध्ये एउटालाई TBdo भनिन्छ, जसले डिस्क स्क्यानिङ र ब्राउजिङ इतिहास सहित विभिन्न कार्यहरू गर्दछ।

डिस्क स्क्यान गरेर, ट्रोजनले मेसिनमा बैंकिङ सफ्टवेयर स्थापना भएको छ कि छैन भनेर जाँच गर्छ। लक्षित कार्यक्रमहरूको पूर्ण सूची तलको तालिकामा छ। चासोको फाइल पत्ता लगाएपछि, कार्यक्रमले आदेश सर्भरमा जानकारी पठाउँछ। अर्को कार्यहरू आदेश केन्द्र (C&C) एल्गोरिदम द्वारा निर्दिष्ट तर्कमा निर्भर गर्दछ।

RTM ले तपाईंको ब्राउजर इतिहास र खुला ट्याबहरूमा URL ढाँचाहरू पनि खोज्छ। थप रूपमा, कार्यक्रमले FindNextUrlCacheEntryA र FindFirstUrlCacheEntryA प्रकार्यहरूको प्रयोगको जाँच गर्दछ, र निम्न ढाँचाहरू मध्ये एउटामा URL मिलाउन प्रत्येक प्रविष्टि जाँच गर्दछ:

खुला ट्याबहरू पत्ता लगाएपछि, ट्रोजनले इन्टरनेट एक्सप्लोरर वा फायरफक्सलाई डायनामिक डाटा एक्सचेन्ज (DDE) मेकानिजम मार्फत ट्याबले ढाँचासँग मेल खान्छ कि छैन भनेर जाँच गर्छ।

तपाईंको ब्राउजिङ इतिहास र खुला ट्याबहरू जाँच गर्दा जाँचहरू बीच 1 सेकेन्ड ब्रेकको साथ WHILE लूप (पूर्व शर्तसहितको लूप) मा गरिन्छ। वास्तविक समयमा अनुगमन गरिएको अन्य डाटा खण्ड 4.5 मा छलफल गरिनेछ।

यदि एउटा ढाँचा फेला पर्यो भने, कार्यक्रमले निम्न तालिकाबाट स्ट्रिङहरूको सूची प्रयोग गरेर कमाण्ड सर्भरमा यो रिपोर्ट गर्छ:

4.5 अनुगमन

ट्रोजन चलिरहेको बेला, संक्रमित प्रणाली (बैंकिङ सफ्टवेयरको उपस्थितिको बारेमा जानकारी सहित) को विशेषताहरू बारे जानकारी आदेश र नियन्त्रण सर्भरमा पठाइन्छ। आरटीएमले प्रारम्भिक ओएस स्क्यान पछि तुरुन्तै निगरानी प्रणाली चलाउँदा फिंगरप्रिन्ट हुन्छ।

४.५.१। रिमोट बैंकिङ

TBdo मोड्युल बैंकिङ-सम्बन्धित प्रक्रियाहरूको निगरानीको लागि पनि जिम्मेवार छ। यसले प्रारम्भिक स्क्यानको समयमा फायरफक्स र इन्टरनेट एक्सप्लोररमा ट्याबहरू जाँच गर्न डायनामिक डाटा एक्सचेन्ज प्रयोग गर्दछ। अर्को TShell मोड्युल आदेश विन्डोज (इन्टरनेट एक्सप्लोरर वा फाइल एक्सप्लोरर) को निगरानी गर्न प्रयोग गरिन्छ।

मोड्युलले COM इन्टरफेसहरू IShellWindows, iWebBrowser, DWebBrowserEvents2 र IConnectionPointContainer प्रयोग गर्दछ विन्डोजहरू निगरानी गर्न। जब प्रयोगकर्ताले नयाँ वेब पृष्ठमा नेभिगेट गर्छ, मालवेयरले यसलाई नोट गर्छ। त्यसपछि यसले पृष्ठ URL लाई माथिको ढाँचाहरूसँग तुलना गर्छ। एक मिल्दो पत्ता लगाएपछि, ट्रोजनले 5 सेकेन्डको अन्तरालमा लगातार छ वटा स्क्रिनसटहरू लिन्छ र तिनीहरूलाई C&S आदेश सर्भरमा पठाउँछ। कार्यक्रमले बैंकिङ सफ्टवेयरसँग सम्बन्धित केही विन्डो नामहरू पनि जाँच गर्दछ - पूर्ण सूची तल छ:

४.५.२। स्मार्ट कार्ड

RTM ले तपाईंलाई संक्रमित कम्प्युटरहरूमा जडान भएका स्मार्ट कार्ड रिडरहरूको निगरानी गर्न अनुमति दिन्छ। यी यन्त्रहरू केही देशहरूमा भुक्तानी आदेशहरू मिलाउन प्रयोग गरिन्छ। यदि यस प्रकारको यन्त्र कम्प्युटरमा जोडिएको छ भने, यसले ट्रोजनलाई संकेत गर्न सक्छ कि मेसिन बैंकिङ लेनदेनको लागि प्रयोग भइरहेको छ।

अन्य बैंकिङ ट्रोजनहरू जस्तै, RTM ले त्यस्ता स्मार्ट कार्डहरूसँग अन्तरक्रिया गर्न सक्दैन। सायद यो कार्यक्षमता हामीले अहिलेसम्म नदेखेको अतिरिक्त मोड्युलमा समावेश गरिएको छ।

४.५.३। Keylogger

एक संक्रमित पीसी निगरानी को एक महत्वपूर्ण भाग कीस्ट्रोक कब्जा छ। यस्तो देखिन्छ कि RTM विकासकर्ताहरूले कुनै पनि जानकारी हराइरहेका छैनन्, किनकि तिनीहरूले नियमित कुञ्जीहरू मात्र होइन, भर्चुअल किबोर्ड र क्लिपबोर्ड पनि निगरानी गर्छन्।

यो गर्नको लागि, SetWindowsHookExA प्रकार्य प्रयोग गर्नुहोस्। आक्रमणकारीहरूले कार्यक्रमको नाम र मिति सहित थिचिएको कुञ्जीहरू वा भर्चुअल किबोर्डसँग सम्बन्धित कुञ्जीहरू लग गर्छन्। बफर त्यसपछि C&C कमाण्ड सर्भरमा पठाइन्छ।

SetClipboardViewer प्रकार्य क्लिपबोर्ड अवरोध गर्न प्रयोग गरिन्छ। ह्याकरहरूले क्लिपबोर्डको सामग्री लगाउँछन् जब डाटा पाठ हुन्छ। नाम र मिति पनि सर्भरमा बफर पठाउनु अघि लग इन गरिएको छ।

४.५.४। स्क्रिनसटहरू

अर्को RTM प्रकार्य स्क्रिनसट अवरोध हो। सञ्झ्याल निगरानी मोड्युलले चासोको साइट वा बैंकिङ सफ्टवेयर पत्ता लगाउँदा यो सुविधा लागू हुन्छ। स्क्रिनसटहरू ग्राफिक छविहरूको पुस्तकालय प्रयोग गरेर लिइन्छ र आदेश सर्भरमा स्थानान्तरण गरिन्छ।

४.६। स्थापना रद्द गर्नुहोस्

C&C सर्भरले मालवेयरलाई चल्नबाट रोक्न र तपाईंको कम्प्युटर सफा गर्न सक्छ। आदेशले तपाईंलाई RTM चलिरहेको बेला सिर्जना गरिएका फाइलहरू र रजिस्ट्री प्रविष्टिहरू खाली गर्न अनुमति दिन्छ। DLL त्यसपछि मालवेयर र winlogon फाइल हटाउन प्रयोग गरिन्छ, जस पछि कमाण्डले कम्प्युटर बन्द गर्छ। तलको छविमा देखाइए अनुसार, विकासकर्ताहरूले erase.dll प्रयोग गरेर DLL हटाएका छन्।

सर्भरले ट्रोजनलाई विनाशकारी अनइन्स्टल-लक आदेश पठाउन सक्छ। यस अवस्थामा, यदि तपाइँसँग प्रशासक अधिकारहरू छन् भने, RTM ले हार्ड ड्राइभमा MBR बुट क्षेत्र मेटाउनेछ। यदि यो असफल भयो भने, ट्रोजनले MBR बुट सेक्टरलाई अनियमित क्षेत्रमा सार्न प्रयास गर्नेछ - त्यसपछि कम्प्युटरले बन्द भएपछि OS बुट गर्न सक्षम हुनेछैन। यसले OS को पूर्ण पुन: स्थापना गर्न सक्छ, जसको अर्थ प्रमाणको विनाश हो।

प्रशासक विशेषाधिकार बिना, मालवेयरले अन्तर्निहित RTM DLL मा एन्कोड गरिएको .EXE लेख्छ। कार्यान्वयनयोग्यले कम्प्युटर बन्द गर्न आवश्यक कोड कार्यान्वयन गर्छ र HKCUCurrentVersionRun रजिस्ट्री कुञ्जीमा मोड्युल दर्ता गर्दछ। प्रत्येक पटक प्रयोगकर्ताले सत्र सुरु गर्दा, कम्प्युटर तुरुन्तै बन्द हुन्छ।

४.७ कन्फिगरेसन फाइल

पूर्वनिर्धारित रूपमा, RTM सँग लगभग कुनै कन्फिगरेसन फाइल छैन, तर आदेश र नियन्त्रण सर्भरले कन्फिगरेसन मानहरू पठाउन सक्छ जुन रजिस्ट्रीमा भण्डारण गरिनेछ र कार्यक्रमद्वारा प्रयोग गरिनेछ। कन्फिगरेसन कुञ्जीहरूको सूची तलको तालिकामा प्रस्तुत गरिएको छ:

कन्फिगरेसन सफ्टवेयर [छद्म-यादृच्छिक स्ट्रिङ] रजिस्ट्री कुञ्जीमा भण्डार गरिएको छ। प्रत्येक मान अघिल्लो तालिकामा प्रस्तुत गरिएका पङ्क्तिहरू मध्ये एकसँग मेल खान्छ। मान र डेटा RTM मा RC4 एल्गोरिथ्म प्रयोग गरेर इन्कोड गरिएको छ।

डाटासँग नेटवर्क वा स्ट्रिङको समान संरचना हुन्छ। चार-बाइट XOR कुञ्जी एन्कोड गरिएको डाटाको सुरुमा थपिएको छ। कन्फिगरेसन मानहरूको लागि, XOR कुञ्जी फरक छ र मानको आकारमा निर्भर गर्दछ। यसलाई निम्नानुसार गणना गर्न सकिन्छ:

xor_key = (len(config_value) << 24) | (len(config_value) << 16)
| len(config_value) | (len(config_value) << 8)

4.8. अन्य कार्यहरू

अर्को, RTM लाई समर्थन गर्ने अन्य प्रकार्यहरू हेरौं।

४.८.१। अतिरिक्त मोड्युलहरू

ट्रोजनले अतिरिक्त मोड्युलहरू समावेश गर्दछ, जुन DLL फाइलहरू हुन्। C&C कमाण्ड सर्भरबाट पठाइएका मोड्युलहरू बाह्य कार्यक्रमहरूको रूपमा कार्यान्वयन गर्न सकिन्छ, RAM मा प्रतिबिम्बित र नयाँ थ्रेडहरूमा सुरू गर्न सकिन्छ। भण्डारणको लागि, मोड्युलहरू .dtt फाइलहरूमा सुरक्षित हुन्छन् र नेटवर्क सञ्चारका लागि प्रयोग गरिने एउटै कुञ्जीसँग RC4 एल्गोरिथ्म प्रयोग गरेर इन्कोड गरिएका हुन्छन्।

अहिले सम्म हामीले VNC मोड्युल (8966319882494077C21F66A8354E2CBCA0370464), ब्राउजर डाटा एक्स्ट्र्याक्सन मोड्युल (03DE8622BE6B2F75A364A275995C3411626C4c_module) को स्थापना अवलोकन गरेका छौं E9F1EFC2FBA1B 562BE1D69B6E58CFAB)।

VNC मोड्युल लोड गर्न, C&C सर्भरले पोर्ट 44443 मा एक विशिष्ट IP ठेगानामा VNC सर्भरमा जडानहरू अनुरोध गर्ने आदेश जारी गर्दछ। ब्राउजर डेटा पुन: प्राप्ति प्लगइनले TBrowserDataCollector कार्यान्वयन गर्दछ, जसले IE ब्राउजिङ इतिहास पढ्न सक्छ। त्यसपछि यसले C&C कमाण्ड सर्भरमा भ्रमण गरिएका URL हरूको पूर्ण सूची पठाउँछ।

पत्ता लागेको अन्तिम मोड्युललाई 1c_2_kl भनिन्छ। यसले 1C इन्टरप्राइज सफ्टवेयर प्याकेजसँग अन्तरक्रिया गर्न सक्छ। मोड्युलले दुई भागहरू समावेश गर्दछ: मुख्य भाग - DLL र दुई एजेन्टहरू (32 र 64 बिट), जसलाई WH_CBT मा बाध्यता दर्ता गरी प्रत्येक प्रक्रियामा इन्जेक्ट गरिनेछ। 1C प्रक्रियामा पेश गरिसकेपछि, मोड्युलले CreateFile र WriteFile प्रकार्यहरू बाँध्छ। जब पनि CreateFile बाउन्ड प्रकार्यलाई कल गरिन्छ, मोड्युलले फाइल पथ 1c_to_kl.txt मेमोरीमा भण्डारण गर्छ। WriteFile कललाई अवरोध गरेपछि, यसले WriteFile प्रकार्यलाई कल गर्छ र फाइल पथ 1c_to_kl.txt लाई मुख्य DLL मोड्युलमा पठाउँछ, यसलाई क्राफ्ट गरिएको Windows WM_COPYDATA सन्देश पठाउँछ।

मुख्य DLL मोड्युलले भुक्तानी आदेशहरू निर्धारण गर्न फाइल खोल्छ र पार्स गर्दछ। यसले फाइलमा रहेको रकम र कारोबार नम्बर पहिचान गर्छ। यो जानकारी आदेश सर्भरमा पठाइन्छ। हामी विश्वास गर्छौं कि यो मोड्युल हाल विकास अन्तर्गत छ किनभने यसले डिबग सन्देश समावेश गर्दछ र स्वचालित रूपमा 1c_to_kl.txt परिमार्जन गर्न सक्दैन।

४.८.२। विशेषाधिकार वृद्धि

RTM ले गलत त्रुटि सन्देशहरू प्रदर्शन गरेर विशेषाधिकारहरू बढाउने प्रयास गर्न सक्छ। मालवेयरले रजिस्ट्री जाँचको नक्कल गर्छ (तलको तस्विर हेर्नुहोस्) वा वास्तविक रजिस्ट्री सम्पादक आइकन प्रयोग गर्दछ। कृपया गलत हिज्जे प्रतीक्षा नोट गर्नुहोस् - के हो। स्क्यानिङको केही सेकेन्ड पछि, कार्यक्रमले गलत त्रुटि सन्देश देखाउँछ।

व्याकरणीय त्रुटिहरूको बावजुद गलत सन्देशले औसत प्रयोगकर्तालाई सजिलै धोका दिनेछ। यदि प्रयोगकर्ताले दुई मध्ये एउटा लिङ्कमा क्लिक गर्छ भने, RTM ले प्रणालीमा आफ्ना विशेषाधिकारहरू बढाउने प्रयास गर्नेछ।

दुई रिकभरी विकल्पहरू मध्ये एउटा चयन गरेपछि, ट्रोजनले प्रशासक विशेषाधिकारहरूसँग ShellExecute प्रकार्यमा runas विकल्प प्रयोग गरेर DLL सुरु गर्छ। प्रयोगकर्ताले उचाइको लागि वास्तविक विन्डोज प्रम्प्ट (तलको छवि हेर्नुहोस्) देख्नेछ। यदि प्रयोगकर्ताले आवश्यक अनुमतिहरू दिन्छ भने, ट्रोजन प्रशासक विशेषाधिकारहरूसँग चल्नेछ।

प्रणालीमा स्थापित पूर्वनिर्धारित भाषामा निर्भर गर्दै, ट्रोजनले रूसी वा अंग्रेजीमा त्रुटि सन्देशहरू प्रदर्शन गर्दछ।

४.८.३। प्रमाणपत्र

RTM ले Windows Store मा प्रमाणपत्रहरू थप्न र csrss.exe संवाद बाकसमा "हो" बटनमा स्वचालित रूपमा क्लिक गरेर थपको विश्वसनीयता पुष्टि गर्न सक्छ। यो व्यवहार नयाँ होइन, उदाहरणका लागि, बैंकिङ ट्रोजन रेटेफेले पनि नयाँ प्रमाणपत्रको स्थापनाको पुष्टि गर्दछ।

४.८.४। उल्टो जडान

RTM लेखकहरूले ब्याककनेक्ट TCP टनेल पनि सिर्जना गरे। हामीले यो सुविधा अझै प्रयोगमा देखेका छैनौं, तर यो टाढाबाट संक्रमित पीसीहरू निगरानी गर्न डिजाइन गरिएको हो।

४.८.५। होस्ट फाइल व्यवस्थापन

C&C सर्भरले ट्रोजनलाई Windows होस्ट फाइल परिमार्जन गर्न आदेश पठाउन सक्छ। होस्ट फाइल अनुकूलन DNS रिजोलुसनहरू सिर्जना गर्न प्रयोग गरिन्छ।

४.८.६। खोज्नुहोस् र फाइल पठाउनुहोस्

सर्भरले संक्रमित प्रणालीमा फाइल खोज्न र डाउनलोड गर्न अनुरोध गर्न सक्छ। उदाहरणका लागि, अनुसन्धानको क्रममा हामीले फाइल 1c_to_kl.txt को लागि अनुरोध प्राप्त गर्यौं। पहिले वर्णन गरिए अनुसार, यो फाइल 1C: उद्यम 8 लेखा प्रणाली द्वारा उत्पन्न गरिएको हो।

4.8.7. अद्यावधिक गर्नुहोस्

अन्तमा, RTM लेखकहरूले हालको संस्करण प्रतिस्थापन गर्न नयाँ DLL पेश गरेर सफ्टवेयर अद्यावधिक गर्न सक्छन्।

Con. निष्कर्ष

RTM को अनुसन्धानले देखाउँछ कि रूसी बैंकिङ प्रणाली अझै पनि साइबर आक्रमणकारीहरूलाई आकर्षित गर्दछ। Buhtrap, Corkow र Carbanak जस्ता समूहहरूले रूसमा वित्तीय संस्थाहरू र तिनीहरूका ग्राहकहरूबाट सफलतापूर्वक पैसा चोर्छन्। RTM यस उद्योगमा नयाँ खेलाडी हो।

ESET टेलिमेट्रीका अनुसार, खराब RTM उपकरणहरू कम्तिमा 2015 को अन्त्यदेखि प्रयोगमा छन्। कार्यक्रममा स्मार्ट कार्डहरू पढ्ने, किस्ट्रोकहरू रोक्ने र बैंकिङ कारोबारहरू निगरानी गर्ने, साथै 1C: Enterprise 8 यातायात फाइलहरू खोज्ने सहित जासुसी क्षमताहरूको पूर्ण दायरा छ।

विकेन्द्रीकृत, सेन्सर नगरिएको .bit शीर्ष-स्तर डोमेनको प्रयोगले उच्च लचिलो पूर्वाधार सुनिश्चित गर्दछ।

स्रोत: www.habr.com