आक्रमणकारीहरूले रूसी व्यवसायहरूमा आक्रमण गर्न जटिल मालवेयर प्रयोग गर्छन्

गत वर्षको अन्त्यदेखि, हामीले बैंकिङ ट्रोजन वितरण गर्न नयाँ दुर्भावनापूर्ण अभियान ट्र्याक गर्न थाल्यौं। आक्रमणकारीहरूले रूसी कम्पनीहरू, अर्थात् कर्पोरेट प्रयोगकर्ताहरूलाई सम्झौता गर्नमा ध्यान केन्द्रित गरे। दुर्भावनापूर्ण अभियान कम्तिमा एक वर्षको लागि सक्रिय थियो र, बैंकिङ ट्रोजनको अतिरिक्त, आक्रमणकारीहरूले अन्य विभिन्न सफ्टवेयर उपकरणहरू प्रयोग गर्न प्रयोग गरे। यसमा प्रयोग गरी प्याकेज गरिएको विशेष लोडर समावेश छ nsis, र स्पायवेयर, जुन प्रसिद्ध वैध Yandex Punto सफ्टवेयरको रूपमा भेषमा छ। एक पटक आक्रमणकारीहरूले पीडितको कम्प्युटरमा सम्झौता गर्न व्यवस्थित गरेपछि, तिनीहरूले ब्याकडोर र त्यसपछि बैंकिङ ट्रोजन स्थापना गर्छन्।

तिनीहरूको मालवेयरको लागि, आक्रमणकारीहरूले AV उत्पादनहरू बाइपास गर्न धेरै मान्य (त्यस समयमा) डिजिटल प्रमाणपत्रहरू र विशेष विधिहरू प्रयोग गरे। दुर्भावनापूर्ण अभियानले ठूलो संख्यामा रूसी बैंकहरूलाई लक्षित गर्‍यो र विशेष चासोको विषय हो किनभने आक्रमणकारीहरूले प्राय: लक्षित आक्रमणहरूमा प्रयोग हुने विधिहरू प्रयोग गरे, अर्थात् वित्तीय ठगीबाट विशुद्ध रूपमा उत्प्रेरित नभएका आक्रमणहरू। हामी यो दुर्भावनापूर्ण अभियान र पहिले ठूलो प्रचार पाएको एक प्रमुख घटना बीच केही समानताहरू नोट गर्न सक्छौं। हामी एक साइबर अपराधी समूहको बारेमा कुरा गर्दैछौं जसले बैंकिङ ट्रोजन प्रयोग गर्यो अनुनाक/कार्बानाक.

आक्रमणकारीहरूले ती कम्प्युटरहरूमा मात्र मालवेयर स्थापना गरे जसले विन्डोज (स्थानीयकरण) मा रूसी भाषा प्रयोग गर्थे। ट्रोजन को मुख्य वितरण भेक्टर एक शोषण संग एक शब्द कागजात थियो। CVE-2012-0158, जुन कागजातमा संलग्नको रूपमा पठाइएको थियो। तलका स्क्रिनसटहरूले त्यस्ता नक्कली कागजातहरूको उपस्थिति देखाउँदछ। पहिलो कागजात "इनभ्वाइस नम्बर 522375-FLORL-14-115.doc" शीर्षकको छ, र दोस्रो "kontrakt87.doc", यो मोबाइल अपरेटर मेगाफोनद्वारा दूरसञ्चार सेवाहरूको प्रावधानको लागि सम्झौताको प्रतिलिपि हो।

चामल। 1. फिसिङ कागजात।

चामल। 2. फिसिङ कागजातको अर्को परिमार्जन।

निम्न तथ्यहरूले संकेत गर्दछ कि आक्रमणकारीहरूले रूसी व्यवसायहरूलाई लक्षित गरेका थिए:

• निर्दिष्ट विषयमा नक्कली कागजातहरू प्रयोग गरेर मालवेयरको वितरण;
• आक्रमणकारीहरूको रणनीति र तिनीहरूले प्रयोग गर्ने दुर्भावनापूर्ण उपकरणहरू;
• केही निष्पादन योग्य मोड्युलहरूमा व्यापार अनुप्रयोगहरूको लिङ्कहरू;
• यस अभियानमा प्रयोग गरिएका खराब डोमेनहरूको नामहरू।

विशेष सफ्टवेयर उपकरणहरू जुन आक्रमणकारीहरूले सम्झौता प्रणालीमा स्थापना गर्छन् उनीहरूलाई प्रणालीको रिमोट कन्ट्रोल प्राप्त गर्न र प्रयोगकर्ता गतिविधि निगरानी गर्न अनुमति दिन्छ। यी कार्यहरू प्रदर्शन गर्न, तिनीहरूले ब्याकडोर स्थापना गर्छन् र Windows खाता पासवर्ड प्राप्त गर्न वा नयाँ खाता सिर्जना गर्ने प्रयास गर्छन्। आक्रमणकारीहरूले किलगर (कीलगर), विन्डोज क्लिपबोर्ड स्टिलर, र स्मार्ट कार्डहरूसँग काम गर्नको लागि विशेष सफ्टवेयरको सेवाहरू पनि प्रयोग गर्छन्। यो समूहले पीडितको कम्प्युटरको रूपमा उही स्थानीय नेटवर्कमा रहेका अन्य कम्प्युटरहरूलाई सम्झौता गर्ने प्रयास गर्यो।

हाम्रो ESET LiveGrid टेलिमेट्री प्रणाली, जसले हामीलाई मालवेयर वितरण तथ्याङ्कहरू द्रुत रूपमा ट्र्याक गर्न अनुमति दिन्छ, उल्लेखित अभियानमा आक्रमणकारीहरूले प्रयोग गरेको मालवेयरको वितरणमा हामीलाई रोचक भौगोलिक तथ्याङ्कहरू प्रदान गर्दछ।

चामल। 3. यस दुर्भावनापूर्ण अभियानमा प्रयोग गरिएको मालवेयरको भौगोलिक वितरणमा तथ्याङ्कहरू।

मालवेयर स्थापना गर्दै

प्रयोगकर्ताले कमजोर प्रणालीमा शोषणको साथ खराब कागजात खोलेपछि, NSIS प्रयोग गरेर प्याकेज गरिएको विशेष डाउनलोडर डाउनलोड गरी त्यहाँ कार्यान्वयन गरिनेछ। यसको कामको सुरुमा, कार्यक्रमले त्यहाँ डिबगरहरूको उपस्थिति वा भर्चुअल मेसिनको सन्दर्भमा चलिरहेको लागि Windows वातावरण जाँच गर्दछ। यसले Windows को स्थानीयकरण र प्रयोगकर्ताले ब्राउजरको तालिकामा तल सूचीबद्ध URL हरू भ्रमण गरेको छ कि छैन भनेर पनि जाँच गर्दछ। APIs यसको लागि प्रयोग गरिन्छ पहिलो खोज्नुहोस्/NextUrlCacheEntry र SoftwareMicrosoftInternet ExplorerTypedURLs रजिस्ट्री कुञ्जी।

बूटलोडरले प्रणालीमा निम्न अनुप्रयोगहरूको उपस्थितिको लागि जाँच गर्दछ।

प्रक्रियाहरूको सूची साँच्चै प्रभावशाली छ र तपाईले देख्न सक्नुहुन्छ, यसले बैंकिङ अनुप्रयोगहरू मात्र समावेश गर्दैन। उदाहरणका लागि, "scardsvr.exe" नामक कार्यान्वयनयोग्य फाइलले स्मार्ट कार्डहरू (Microsoft SmartCard Reader) सँग काम गर्ने सफ्टवेयरलाई जनाउँछ। बैंकिङ ट्रोजनले नै स्मार्ट कार्डहरूसँग काम गर्ने क्षमता समावेश गर्दछ।

चामल। 4. मालवेयर स्थापना प्रक्रिया को सामान्य रेखाचित्र।

यदि सबै जाँचहरू सफलतापूर्वक पूरा भएमा, लोडरले रिमोट सर्भरबाट एउटा विशेष फाइल (संग्रह) डाउनलोड गर्दछ, जसमा आक्रमणकारीहरूद्वारा प्रयोग गरिएका सबै खराब कार्यान्वयनयोग्य मोड्युलहरू छन्। यो नोट गर्न चाखलाग्दो छ कि माथिको जाँचहरूको कार्यान्वयनको आधारमा, रिमोट C&C सर्भरबाट डाउनलोड गरिएका अभिलेखहरू फरक हुन सक्छन्। अभिलेख दुर्भावनापूर्ण हुन सक्छ वा नहुन सक्छ। यदि खराब छैन भने, यसले प्रयोगकर्ताको लागि Windows Live Toolbar स्थापना गर्दछ। सम्भवतः, आक्रमणकारीहरूले स्वचालित फाइल विश्लेषण प्रणाली र भर्चुअल मेसिनहरूलाई धोका दिन समान चालहरू प्रयोग गरे जसमा शंकास्पद फाइलहरू कार्यान्वयन गरिन्छ।

NSIS डाउनलोडर द्वारा डाउनलोड गरिएको फाइल 7z अभिलेख हो जसमा विभिन्न मालवेयर मोड्युलहरू छन्। तलको छविले यो मालवेयर र यसको विभिन्न मोड्युलहरूको सम्पूर्ण स्थापना प्रक्रिया देखाउँछ।

चामल। ५. मालवेयरले कसरी काम गर्छ भन्ने सामान्य योजना।

यद्यपि लोड गरिएका मोड्युलहरूले आक्रमणकारीहरूका लागि विभिन्न उद्देश्यहरू पूरा गर्छन्, तिनीहरू समान रूपमा प्याकेज गरिएका छन् र तिनीहरूमध्ये धेरैलाई मान्य डिजिटल प्रमाणपत्रहरूसँग हस्ताक्षर गरिएको थियो। हामीले त्यस्ता चारवटा प्रमाणपत्रहरू फेला पार्यौं जुन आक्रमणकारीहरूले अभियानको सुरुदेखि नै प्रयोग गरेका थिए। हाम्रो गुनासो पछि, यी प्रमाणपत्रहरू खारेज गरियो। यो नोट गर्न चाखलाग्दो छ कि सबै प्रमाणपत्रहरू मस्कोमा दर्ता भएका कम्पनीहरूलाई जारी गरिएको थियो।

चामल। 6. डिजिटल प्रमाणपत्र जुन मालवेयरमा हस्ताक्षर गर्न प्रयोग गरिएको थियो।

निम्न तालिकाले डिजिटल प्रमाणपत्रहरू पहिचान गर्दछ जुन आक्रमणकारीहरूले यो खराब अभियानमा प्रयोग गरेका थिए।

आक्रमणकारीहरू द्वारा प्रयोग गरिएका लगभग सबै दुर्भावनापूर्ण मोड्युलहरूमा एक समान स्थापना प्रक्रिया हुन्छ। तिनीहरू सेल्फ एक्स्ट्र्याक्ट 7zip अभिलेखहरू छन् जुन पासवर्ड सुरक्षित छन्।

चामल। 7. install.cmd ब्याच फाइलको टुक्रा।

ब्याच .cmd फाइल प्रणालीमा मालवेयर स्थापना गर्न र विभिन्न आक्रमणकारी उपकरणहरू सुरु गर्न जिम्मेवार छ। यदि कार्यान्वयन गर्न प्रशासनिक अधिकारहरू छुटेको छ भने, मालिसियस कोडले तिनीहरूलाई प्राप्त गर्न धेरै विधिहरू प्रयोग गर्दछ (UAC लाई बाइपास गरेर)। पहिलो विधि लागू गर्न, l1.exe र cc1.exe भनिने दुई कार्यान्वयनयोग्य फाइलहरू प्रयोग गरिन्छ, जसले UAC लाई बाइपास गर्न विशेषज्ञ छन्। चुहावट Carberp स्रोत कोडहरू। अर्को विधि CVE-2013-3660 जोखिमको शोषणमा आधारित छ। प्रत्येक मालवेयर मोड्युल जसलाई विशेषाधिकार एस्केलेसन चाहिन्छ त्यसले शोषणको 32-बिट र 64-बिट संस्करण दुवै समावेश गर्दछ।

यो अभियान ट्र्याक गर्दा, हामीले डाउनलोडरद्वारा अपलोड गरिएका धेरै अभिलेखहरूको विश्लेषण गर्यौं। अभिलेखका सामग्रीहरू भिन्न छन्, यसको अर्थ आक्रमणकारीहरूले विभिन्न उद्देश्यका लागि दुर्भावनापूर्ण मोड्युलहरू अनुकूलन गर्न सक्छन्।

प्रयोगकर्ता सम्झौता

हामीले माथि उल्लेख गरेझैं, आक्रमणकारीहरूले प्रयोगकर्ताहरूको कम्प्युटरमा सम्झौता गर्न विशेष उपकरणहरू प्रयोग गर्छन्। यी उपकरणहरूमा कार्यान्वयनयोग्य फाइल नामहरू mimi.exe र xtm.exe भएका कार्यक्रमहरू समावेश छन्। तिनीहरूले आक्रमणकारीहरूलाई पीडितको कम्प्युटरको नियन्त्रण लिन र निम्न कार्यहरू गर्न विशेषज्ञ बनाउन मद्दत गर्छन्: Windows खाताहरूको लागि पासवर्डहरू प्राप्त गर्ने/पुन:प्राप्त गर्ने, RDP सेवा सक्षम गर्ने, OS मा नयाँ खाता सिर्जना गर्ने।

mimi.exe निष्पादन योग्यले प्रख्यात खुला स्रोत उपकरणको परिमार्जित संस्करण समावेश गर्दछ Mimikatz। यो उपकरणले तपाईंलाई Windows प्रयोगकर्ता खाता पासवर्डहरू प्राप्त गर्न अनुमति दिन्छ। आक्रमणकारीहरूले Mimikatz बाट भाग हटाए जुन प्रयोगकर्ता अन्तरक्रियाको लागि जिम्मेवार छ। कार्यान्वयनयोग्य कोड पनि परिमार्जन गरिएको छ ताकि जब सुरु हुन्छ, Mimikatz विशेषाधिकार::debug र sekurlsa:logonPasswords आदेशहरूसँग चल्छ।

अर्को कार्यान्वयनयोग्य फाइल, xtm.exe, विशेष स्क्रिप्टहरू सुरू गर्दछ जसले प्रणालीमा RDP सेवा सक्षम गर्दछ, OS मा नयाँ खाता सिर्जना गर्ने प्रयास गर्दछ, र प्रणाली सेटिङहरू पनि परिवर्तन गर्दछ जसले धेरै प्रयोगकर्ताहरूलाई RDP मार्फत एकै साथ सम्झौता भएको कम्प्युटरमा जडान गर्न अनुमति दिन्छ। स्पष्ट रूपमा, यी चरणहरू सम्झौता प्रणालीको पूर्ण नियन्त्रण प्राप्त गर्न आवश्यक छ।

चामल। 8. प्रणालीमा xtm.exe द्वारा निष्पादित आदेशहरू।

आक्रमणकारीहरूले impack.exe भनिने अर्को कार्यान्वयनयोग्य फाइल प्रयोग गर्छन्, जुन प्रणालीमा विशेष सफ्टवेयर स्थापना गर्न प्रयोग गरिन्छ। यो सफ्टवेयरलाई LiteManager भनिन्छ र आक्रमणकारीहरूले ब्याकडोरको रूपमा प्रयोग गर्छन्।

चामल। 9. LiteManager इन्टरफेस।

एक पटक प्रयोगकर्ताको प्रणालीमा स्थापना भएपछि, LiteManager ले आक्रमणकारीहरूलाई त्यो प्रणालीमा सिधै जडान गर्न र टाढाबाट नियन्त्रण गर्न अनुमति दिन्छ। यस सफ्टवेयरसँग लुकेको स्थापना, विशेष फायरवाल नियमहरू सिर्जना गर्न र यसको मोड्युल सुरु गर्नका लागि विशेष कमाण्ड लाइन प्यारामिटरहरू छन्। सबै प्यारामिटरहरू आक्रमणकारीहरू द्वारा प्रयोग गरिन्छ।

आक्रमणकारीहरूले प्रयोग गरेको मालवेयर प्याकेजको अन्तिम मोड्युल भनेको कार्यान्वयनयोग्य फाइल नाम pn_pack.exe भएको बैंकिङ मालवेयर प्रोग्राम (बैंकर) हो। उनी प्रयोगकर्ताको जासुसीमा माहिर छिन् र C&C सर्भरसँग अन्तरक्रिया गर्न जिम्मेवार छिन्। बैंकर वैध Yandex Punto सफ्टवेयर प्रयोग गरेर सुरु गरिएको छ। पुन्टो आक्रमणकारीहरूले दुर्भावनापूर्ण DLL पुस्तकालयहरू (DLL साइड-लोडिङ विधि) सुरु गर्न प्रयोग गरिन्छ। मालवेयर आफैले निम्न कार्यहरू गर्न सक्छ:

• रिमोट सर्भरमा तिनीहरूको पछिल्लो प्रसारणको लागि किबोर्ड किस्ट्रोकहरू र क्लिपबोर्ड सामग्रीहरू ट्र्याक गर्नुहोस्;
• प्रणालीमा रहेका सबै स्मार्ट कार्डहरूको सूची बनाउनुहोस्;
• टाढाको C&C सर्भरसँग अन्तरक्रिया गर्नुहोस्।

मालवेयर मोड्युल, जुन यी सबै कार्यहरू गर्न जिम्मेवार छ, एक एन्क्रिप्टेड DLL पुस्तकालय हो। यो डिक्रिप्ट गरिएको छ र Punto कार्यान्वयनको समयमा मेमोरीमा लोड हुन्छ। माथिका कार्यहरू गर्न, DLL कार्यान्वयनयोग्य कोडले तीन थ्रेडहरू सुरु गर्दछ।

आक्रमणकारीहरूले आफ्नो उद्देश्यका लागि Punto सफ्टवेयर रोजेको तथ्य अचम्मको कुरा होइन: केही रूसी फोरमहरूले प्रयोगकर्ताहरूलाई सम्झौता गर्न वैध सफ्टवेयरमा त्रुटिहरू प्रयोग गर्ने जस्ता विषयहरूमा खुला रूपमा विस्तृत जानकारी प्रदान गर्छन्।

दुर्भावनापूर्ण पुस्तकालयले RC4 एल्गोरिदम प्रयोग गर्दछ यसको स्ट्रिङहरू इन्क्रिप्ट गर्न, साथै C&C सर्भरसँग सञ्जाल अन्तरक्रियाको समयमा। यसले प्रत्येक दुई मिनेटमा सर्भरलाई सम्पर्क गर्छ र यस अवधिमा सम्झौता प्रणालीमा सङ्कलन गरिएका सबै डाटा त्यहाँ पठाउँछ।

चामल। 10. बोट र सर्भर बीचको सञ्जाल अन्तरक्रियाको टुक्रा।

पुस्तकालयले प्राप्त गर्न सक्ने C&C सर्भर निर्देशनहरू तल दिइएका छन्।

C&C सर्भरबाट निर्देशनहरू प्राप्त गर्ने प्रतिक्रियामा, मालवेयरले स्थिति कोडको साथ प्रतिक्रिया दिन्छ। यो नोट गर्न चाखलाग्दो छ कि हामीले विश्लेषण गरेका सबै बैंकर मोड्युलहरू (जनवरी 18 को संकलन मितिको साथ सबैभन्दा भर्खरको) मा "TEST_BOTNET" स्ट्रिङ समावेश छ, जुन प्रत्येक सन्देशमा C&C सर्भरमा पठाइन्छ।

निष्कर्षमा

कर्पोरेट प्रयोगकर्ताहरूसँग सम्झौता गर्न, आक्रमणकारीहरूले पहिलो चरणमा कम्पनीका एक कर्मचारीलाई शोषणको साथ फिसिङ सन्देश पठाएर सम्झौता गर्छन्। अर्को, एक पटक प्रणालीमा मालवेयर स्थापना भएपछि, तिनीहरूले सफ्टवेयर उपकरणहरू प्रयोग गर्नेछन् जसले तिनीहरूलाई प्रणालीमा आफ्नो अधिकारलाई महत्त्वपूर्ण रूपमा विस्तार गर्न र यसमा थप कार्यहरू गर्न मद्दत गर्नेछ: कर्पोरेट नेटवर्कमा अन्य कम्प्युटरहरू सम्झौता र प्रयोगकर्ताको जासूसी, साथै। उसले गर्ने बैंकिङ कारोबार।

स्रोत: www.habr.com