द एडभेन्चर्स अफ इलुसिभ मालवेयर, भाग II: सेक्रेटिभ VBA स्क्रिप्ट

यो लेख फाइललेस मालवेयर श्रृंखलाको अंश हो। शृङ्खलाका अन्य सबै भागहरू:

• द एडभेन्चर अफ द इलुसिभ मालवेयर, भाग १
• एडभेन्चर अफ द इलुसिभ मालवेयर, भाग II: हिडन VBA स्क्रिप्टहरू (हामी यहाँ छौं)

म साइटको प्रशंसक हुँ हाइब्रिड विश्लेषण (हाइब्रिड विश्लेषण, यसपछि HA)। यो एक प्रकारको मालवेयर चिडियाखाना हो जहाँ तपाईं आक्रमण नगरी सुरक्षित दूरीबाट जंगली "शिकारीहरू" लाई सुरक्षित रूपमा अवलोकन गर्न सक्नुहुन्छ। HA ले सुरक्षित वातावरणमा मालवेयर चलाउँछ, प्रणाली कलहरू रेकर्ड गर्दछ, सिर्जना गरिएका फाइलहरू र इन्टरनेट ट्राफिकहरू, र यसले विश्लेषण गर्ने प्रत्येक नमूनाको लागि तपाईंलाई यी सबै परिणामहरू दिन्छ। यस तरिकाले, तपाईंले भ्रमित कोड आफैं पत्ता लगाउन प्रयास गर्दै आफ्नो समय र ऊर्जा बर्बाद गर्नुपर्दैन, तर सबै ह्याकरहरूको मनसाय तुरुन्तै बुझ्न सक्नुहुन्छ।

मेरो ध्यान खिच्ने HA उदाहरणहरूले या त कोडेड JavaScript वा Visual Basic for Applications (VBA) लिपिहरू Word वा Excel कागजातहरूमा म्याक्रोको रूपमा इम्बेड गरिएको र फिसिङ इमेलहरूसँग जोडिएको प्रयोग गर्दछ। जब खोलिन्छ, यी म्याक्रोहरूले पीडितको कम्प्युटरमा PowerShell सत्र सुरु गर्छन्। ह्याकरहरूले सामान्यतया PowerShell मा आदेशहरूको Base64 एन्कोड गरिएको स्ट्रिम पठाउँछन्। यो सबै वेब फिल्टरहरू र एन्टिभाइरस सफ्टवेयरहरू द्वारा पत्ता लगाउन गाह्रो बनाउनको लागि गरिएको हो जसले निश्चित कीवर्डहरूमा प्रतिक्रिया दिन्छ।
सौभाग्य देखि, HA ले स्वचालित रूपमा Base64 डिकोड गर्दछ र सबै कुरालाई पढ्न योग्य ढाँचामा तुरुन्तै प्रदर्शन गर्दछ। अनिवार्य रूपमा, तपाईंले यी स्क्रिप्टहरू कसरी काम गर्छन् भन्नेमा ध्यान केन्द्रित गर्नुपर्दैन किनभने तपाईंले HA को सम्बन्धित खण्डमा चलिरहेको प्रक्रियाहरूको लागि पूर्ण आदेश आउटपुट हेर्न सक्षम हुनुहुनेछ। तलको उदाहरण हेर्नुहोस्:

हाइब्रिड विश्लेषणले PowerShell मा पठाइएका Base64 एन्कोड गरिएका आदेशहरूलाई अवरोध गर्दछ:

... र त्यसपछि तिनीहरूलाई तपाईंको लागि डिकोड गर्दछ। #जादुई रूपमा

В अघिल्लो पोस्ट PowerShell सत्र चलाउनको लागि मैले मेरो आफ्नै थोरै अस्पष्ट JavaScript कन्टेनर सिर्जना गरें। मेरो स्क्रिप्ट, धेरै PowerShell-आधारित मालवेयर जस्तै, त्यसपछि टाढाको वेबसाइटबाट निम्न PowerShell स्क्रिप्ट डाउनलोड गर्दछ। त्यसपछि, उदाहरणको रूपमा, मैले स्क्रिनमा सन्देश प्रिन्ट गर्ने हानिरहित PS लोड गरें। तर समय परिवर्तन हुँदैछ, र अब म परिदृश्यलाई जटिल बनाउने प्रस्ताव गर्दछु।

PowerShell साम्राज्य र रिभर्स शेल

यस अभ्यासको लक्ष्य मध्ये एक ह्याकरले क्लासिक परिधि प्रतिरक्षा र एन्टिभाइरसलाई कसरी बाइपास गर्न सक्छ भनेर देखाउनु हो। यदि एक आईटी ब्लगर बिना प्रोग्रामिङ कौशल, म जस्तै, यो एक दुई साँझमा गर्न सक्नुहुन्छ पत्ता लगाउन नसकिने मालवेयर सिर्जना गर्नुहोस् (पूर्ण रूपमा पत्ता नलागेको, FUD), यसमा रुचि राख्ने युवा ह्याकरको क्षमताहरूको कल्पना गर्नुहोस्!

र यदि तपाईं IT सुरक्षा प्रदायक हुनुहुन्छ, तर तपाईंको प्रबन्धकलाई यी खतराहरूको सम्भावित नतिजाहरू बारे थाहा छैन भने, उहाँलाई यो लेख देखाउनुहोस्।

ह्याकरहरूले पीडितको ल्यापटप वा सर्भरमा प्रत्यक्ष पहुँच प्राप्त गर्ने सपना देख्छन्। यो गर्न धेरै सरल छ: सबै ह्याकरले सीईओको ल्यापटपमा केही गोप्य फाइलहरू प्राप्त गर्न आवश्यक छ।

कुनै न कुनै रूपमा म पहिले नै लेखियो PowerShell Empire पोस्ट-उत्पादन रनटाइमको बारेमा। यो के हो याद गरौं।

यो अनिवार्य रूपमा PowerShell-आधारित प्रवेश परीक्षण उपकरण हो जसले, अन्य धेरै सुविधाहरू मध्ये, तपाईंलाई सजिलैसँग रिभर्स शेल चलाउन अनुमति दिन्छ। तपाईं यसलाई थप विवरणमा अध्ययन गर्न सक्नुहुन्छ PSE गृह साइट.

एउटा सानो प्रयोग गरौं। मैले Amazon Web Services क्लाउडमा सुरक्षित मालवेयर परीक्षण वातावरण सेटअप गरेको छु। तपाईले मेरो उदाहरणलाई छिटो र सुरक्षित रूपमा यस जोखिमको काम गर्ने उदाहरण देखाउनको लागि पछ्याउन सक्नुहुन्छ (र इन्टरप्राइज परिधि भित्र भाइरसहरू चलाउनको लागि बर्खास्त नगर्नुहोस्)।

यदि तपाईंले PowerShell Empire कन्सोल सुरु गर्नुभयो भने, तपाईंले यस्तो केहि देख्नुहुनेछ:

पहिले तपाईंले आफ्नो ह्याकर कम्प्युटरमा श्रोता प्रक्रिया सुरु गर्नुहोस्। आदेश "श्रोता" प्रविष्ट गर्नुहोस्, र "सेट होस्ट" प्रयोग गरेर तपाइँको प्रणालीको आईपी ठेगाना निर्दिष्ट गर्नुहोस्। त्यसपछि "कार्यान्वयन" आदेश (तल) संग श्रोता प्रक्रिया सुरु गर्नुहोस्। यसरी, तपाइँको तर्फबाट, तपाइँ रिमोट शेलबाट नेटवर्क जडानको लागि पर्खन सुरु गर्नुहुनेछ:

अर्को पक्षको लागि, तपाईंले "लन्चर" आदेश प्रविष्ट गरेर एजेन्ट कोड उत्पन्न गर्न आवश्यक छ (तल हेर्नुहोस्)। यसले रिमोट एजेन्टको लागि PowerShell कोड उत्पन्न गर्नेछ। ध्यान दिनुहोस् कि यो Base64 मा इन्कोड गरिएको छ, र पेलोडको दोस्रो चरण प्रतिनिधित्व गर्दछ। अर्को शब्दमा, मेरो JavaScript कोडले अब यो एजेन्टलाई स्क्रिनमा निर्दोष रूपमा पाठ छाप्नुको सट्टा PowerShell चलाउनको लागि तान्नेछ, र रिभर्स शेल चलाउनको लागि हाम्रो रिमोट PSE सर्भरमा जडान गर्नुहोस्।

उल्टो खोल को जादू। यो कोड गरिएको PowerShell आदेश मेरो श्रोतासँग जडान हुनेछ र रिमोट शेल सुरू गर्नेछ।

तपाईंलाई यो प्रयोग देखाउनको लागि, मैले निर्दोष पीडितको भूमिका लिएँ र Evil.doc खोलेँ, जसले गर्दा हाम्रो JavaScript सुरु भयो। पहिलो भाग याद छ? PowerShell लाई यसको सञ्झ्याल पप अप हुनबाट रोक्नको लागि कन्फिगर गरिएको छ, त्यसैले पीडितले कुनै पनि असामान्य कुरा याद गर्दैन। यद्यपि, यदि तपाईंले Windows Task Manager खोल्नुभयो भने, तपाईंले एक पृष्ठभूमि PowerShell प्रक्रिया देख्नुहुनेछ जसले जे भए पनि धेरै मानिसहरूलाई कुनै पनि अलार्मको कारण बनाउँदैन। किनभने यो नियमित PowerShell मात्र हो, हैन?

अब जब तपाइँ Evil.doc चलाउनुहुन्छ, लुकेको पृष्ठभूमि प्रक्रिया PowerShell Empire चलिरहेको सर्भरमा जडान हुनेछ। मेरो सेतो पेन्टेस्टर ह्याकर टोपी लगाएर, म PowerShell Empire कन्सोलमा फर्किएँ र अब मेरो रिमोट एजेन्ट सक्रिय छ भन्ने सन्देश देख्छु।

मैले त्यसपछि PSE मा खोल खोल्न "interact" कमाण्ड प्रविष्ट गरें - र म त्यहाँ थिएँ! छोटकरीमा, मैले ट्याको सर्भर ह्याक गरें जुन मैले आफैंलाई एक पटक सेटअप गरें।

मैले भर्खरै देखाएको कुरालाई तपाईको तर्फबाट यति धेरै कामको आवश्यकता पर्दैन। तपाइँ तपाइँको सूचना सुरक्षा ज्ञान सुधार गर्न एक वा दुई घण्टाको लागि तपाइँको लंच ब्रेक को समयमा सजिलै संग यो सबै गर्न सक्नुहुन्छ। ह्याकरहरूले तपाइँको बाह्य सुरक्षा परिधिलाई कसरी बाइपास गर्दै र तपाइँको प्रणाली भित्र पसेका छन् भनेर बुझ्न यो एक राम्रो तरिका हो।

IT प्रबन्धकहरू जसले सोच्दछन् कि उनीहरूले कुनै पनि घुसपैठको बिरूद्ध अभेद्य रक्षा निर्माण गरेका छन् उनीहरूले यसलाई शैक्षिक पनि पाउनुहुनेछ - त्यो हो, यदि तपाइँ तिनीहरूलाई तपाइँसँग लामो समय सम्म बस्न मनाउन सक्नुहुन्छ।

यथार्थमा फर्कौं

मैले अपेक्षा गरे अनुसार, एक वास्तविक ह्याक, औसत प्रयोगकर्ताको लागि अदृश्य, मैले भर्खरै वर्णन गरेको एक भिन्नता हो। अर्को प्रकाशनको लागि सामग्री सङ्कलन गर्न, मैले HA मा नमूना खोज्न थालें जुन मेरो आविष्कार गरिएको उदाहरण जस्तै काम गर्दछ। र मैले यसलाई लामो समयसम्म खोज्नु पर्दैन - साइटमा समान आक्रमण प्रविधिको लागि धेरै विकल्पहरू छन्।

मैले अन्ततः HA मा फेला पारेको मालवेयर VBA स्क्रिप्ट थियो जुन Word कागजातमा इम्बेड गरिएको थियो। त्यो हो, मलाई कागजात एक्सटेन्सन नक्कली गर्न पनि आवश्यक छैन, यो मालवेयर साँच्चै सामान्य देखिने माइक्रोसफ्ट वर्ड कागजात हो। यदि तपाइँ इच्छुक हुनुहुन्छ भने, मैले यो नमूना रोजेको छु rfq.doc.

मैले तुरुन्तै सिके कि तपाईले प्रायः कागजातबाट मालिसियस VBA स्क्रिप्टहरू तान्न सक्नुहुन्न। ह्याकरहरूले तिनीहरूलाई कम्प्रेस र लुकाउँछन् ताकि तिनीहरू Word को निर्मित म्याक्रो उपकरणहरूमा देखिँदैनन्। तपाईं यसलाई हटाउन एक विशेष उपकरण आवश्यक हुनेछ। सौभाग्यवश मैले स्क्यानर भेटें OfficeMalScanner फ्रैंक बाल्डविन। धन्यवाद, फ्रान्क।

यो उपकरण प्रयोग गरेर, म अत्यधिक अस्पष्ट VBA कोड बाहिर निकाल्न सक्षम थिएँ। यो केहि यस्तो देखिन्थ्यो:

अस्पष्टता उनीहरूको क्षेत्रका पेशेवरहरूले गरेका थिए। म प्रभावित भएँ!

आक्रमणकारीहरू अस्पष्ट कोडमा साँच्चै राम्रो छन्, Evil.doc सिर्जना गर्ने मेरो प्रयासहरू जस्तो होइन। ठीक छ, अर्को भागमा हामी हाम्रा VBA डिबगरहरू निकाल्नेछौं, यस कोडमा अलिकति गहिरो डुब्नेछौं र हाम्रो विश्लेषणलाई HA परिणामहरूसँग तुलना गर्नेछौं।

स्रोत: www.habr.com