ਹੈਰਾਨੀ ਨਾਲ ਕੀਲੌਗਰ: ਕੀਲੌਗਰ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਅਤੇ ਇਸਦੇ ਡਿਵੈਲਪਰ ਦੇ ਡੀਨਨ

ਹਾਲ ਹੀ ਦੇ ਸਾਲਾਂ ਵਿੱਚ, ਮੋਬਾਈਲ ਟਰੋਜਨ ਨਿੱਜੀ ਕੰਪਿਊਟਰਾਂ ਲਈ ਟ੍ਰੋਜਨਾਂ ਨੂੰ ਸਰਗਰਮੀ ਨਾਲ ਬਦਲ ਰਹੇ ਹਨ, ਇਸਲਈ ਚੰਗੀਆਂ ਪੁਰਾਣੀਆਂ "ਕਾਰਾਂ" ਲਈ ਨਵੇਂ ਮਾਲਵੇਅਰ ਦਾ ਉਭਾਰ ਅਤੇ ਸਾਈਬਰ ਅਪਰਾਧੀਆਂ ਦੁਆਰਾ ਉਹਨਾਂ ਦੀ ਸਰਗਰਮ ਵਰਤੋਂ, ਭਾਵੇਂ ਕਿ ਅਣਸੁਖਾਵੀਂ ਘਟਨਾ ਹੈ, ਅਜੇ ਵੀ ਇੱਕ ਘਟਨਾ ਹੈ। ਹਾਲ ਹੀ ਵਿੱਚ, CERT Group-IB ਦੇ 24/7 ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਘਟਨਾ ਪ੍ਰਤੀਕਿਰਿਆ ਕੇਂਦਰ ਨੇ ਇੱਕ ਅਸਾਧਾਰਨ ਫਿਸ਼ਿੰਗ ਈਮੇਲ ਦਾ ਪਤਾ ਲਗਾਇਆ ਜੋ ਇੱਕ ਨਵਾਂ PC ਮਾਲਵੇਅਰ ਲੁਕਾ ਰਿਹਾ ਸੀ ਜੋ Keylogger ਅਤੇ PasswordStealer ਦੇ ਫੰਕਸ਼ਨਾਂ ਨੂੰ ਜੋੜਦਾ ਹੈ। ਵਿਸ਼ਲੇਸ਼ਕਾਂ ਦਾ ਧਿਆਨ ਇਸ ਗੱਲ ਵੱਲ ਖਿੱਚਿਆ ਗਿਆ ਕਿ ਕਿਵੇਂ ਸਪਾਈਵੇਅਰ ਉਪਭੋਗਤਾ ਦੀ ਮਸ਼ੀਨ 'ਤੇ ਆਇਆ - ਇੱਕ ਪ੍ਰਸਿੱਧ ਵੌਇਸ ਮੈਸੇਂਜਰ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ। ਇਲਿਆ ਪੋਮਰੰਤਸੇਵ, CERT Group-IB ਦੇ ਇੱਕ ਮਾਲਵੇਅਰ ਵਿਸ਼ਲੇਸ਼ਣ ਮਾਹਰ, ਨੇ ਦੱਸਿਆ ਕਿ ਮਾਲਵੇਅਰ ਕਿਵੇਂ ਕੰਮ ਕਰਦਾ ਹੈ, ਇਹ ਖ਼ਤਰਨਾਕ ਕਿਉਂ ਹੈ, ਅਤੇ ਇੱਥੋਂ ਤੱਕ ਕਿ ਦੂਰ ਇਰਾਕ ਵਿੱਚ ਇਸਦੇ ਨਿਰਮਾਤਾ ਨੂੰ ਵੀ ਲੱਭਿਆ।

ਇਸ ਲਈ, ਆਓ ਕ੍ਰਮ ਵਿੱਚ ਚੱਲੀਏ. ਇੱਕ ਅਟੈਚਮੈਂਟ ਦੀ ਆੜ ਵਿੱਚ, ਅਜਿਹੇ ਇੱਕ ਪੱਤਰ ਵਿੱਚ ਇੱਕ ਤਸਵੀਰ ਹੁੰਦੀ ਹੈ, ਜਿਸ 'ਤੇ ਕਲਿੱਕ ਕਰਨ 'ਤੇ ਉਪਭੋਗਤਾ ਨੂੰ ਸਾਈਟ 'ਤੇ ਲਿਜਾਇਆ ਗਿਆ ਸੀ cdn.discordapp.com, ਅਤੇ ਉੱਥੇ ਤੋਂ ਇੱਕ ਖਤਰਨਾਕ ਫਾਈਲ ਡਾਊਨਲੋਡ ਕੀਤੀ ਗਈ ਸੀ।

ਡਿਸਕਾਰਡ ਦੀ ਵਰਤੋਂ ਕਰਨਾ, ਇੱਕ ਮੁਫਤ ਵੌਇਸ ਅਤੇ ਟੈਕਸਟ ਮੈਸੇਂਜਰ, ਕਾਫ਼ੀ ਗੈਰ-ਰਵਾਇਤੀ ਹੈ। ਆਮ ਤੌਰ 'ਤੇ, ਹੋਰ ਤਤਕਾਲ ਸੰਦੇਸ਼ਵਾਹਕ ਜਾਂ ਸੋਸ਼ਲ ਨੈਟਵਰਕ ਇਹਨਾਂ ਉਦੇਸ਼ਾਂ ਲਈ ਵਰਤੇ ਜਾਂਦੇ ਹਨ।

ਵਧੇਰੇ ਵਿਸਤ੍ਰਿਤ ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਦੌਰਾਨ, ਮਾਲਵੇਅਰ ਦੇ ਇੱਕ ਪਰਿਵਾਰ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਸੀ। ਇਹ ਮਾਲਵੇਅਰ ਮਾਰਕੀਟ ਲਈ ਇੱਕ ਨਵਾਂ ਆਉਣ ਵਾਲਾ ਨਿਕਲਿਆ - 404 ਕੀਲੌਗਰ.

'ਤੇ ਇੱਕ ਕੀਲੌਗਰ ਦੀ ਵਿਕਰੀ ਲਈ ਪਹਿਲਾ ਇਸ਼ਤਿਹਾਰ ਪੋਸਟ ਕੀਤਾ ਗਿਆ ਸੀ ਹੈਕਫੋਰਮ 404 ਅਗਸਤ ਨੂੰ ਉਪਨਾਮ "8 ਕੋਡਰ" ਦੇ ਅਧੀਨ ਉਪਭੋਗਤਾ ਦੁਆਰਾ।

ਸਟੋਰ ਡੋਮੇਨ ਨੂੰ ਹਾਲ ਹੀ ਵਿੱਚ ਰਜਿਸਟਰ ਕੀਤਾ ਗਿਆ ਸੀ - ਸਤੰਬਰ 7, 2019 ਨੂੰ।

ਜਿਵੇਂ ਕਿ ਡਿਵੈਲਪਰ ਵੈਬਸਾਈਟ 'ਤੇ ਕਹਿੰਦੇ ਹਨ 404 ਪ੍ਰੋਜੈਕਟ[.]xyz, 404 ਇੱਕ ਟੂਲ ਹੈ ਜੋ ਕੰਪਨੀਆਂ ਨੂੰ ਉਹਨਾਂ ਦੇ ਗਾਹਕਾਂ ਦੀਆਂ ਗਤੀਵਿਧੀਆਂ (ਉਨ੍ਹਾਂ ਦੀ ਇਜਾਜ਼ਤ ਨਾਲ) ਜਾਂ ਉਹਨਾਂ ਲਈ ਜੋ ਉਹਨਾਂ ਦੀ ਬਾਈਨਰੀ ਨੂੰ ਰਿਵਰਸ ਇੰਜੀਨੀਅਰਿੰਗ ਤੋਂ ਬਚਾਉਣਾ ਚਾਹੁੰਦੇ ਹਨ ਬਾਰੇ ਸਿੱਖਣ ਵਿੱਚ ਮਦਦ ਕਰਨ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ। ਅੱਗੇ ਦੇਖਦੇ ਹੋਏ, ਦੱਸ ਦੇਈਏ ਕਿ ਆਖਰੀ ਕੰਮ ਦੇ ਨਾਲ 404 ਯਕੀਨੀ ਤੌਰ 'ਤੇ ਮੁਕਾਬਲਾ ਨਹੀਂ ਕਰਦਾ.

ਅਸੀਂ ਇੱਕ ਫਾਈਲ ਨੂੰ ਉਲਟਾਉਣ ਅਤੇ ਜਾਂਚ ਕਰਨ ਦਾ ਫੈਸਲਾ ਕੀਤਾ ਹੈ ਕਿ "BEST SMART KEYLOGGER" ਕੀ ਹੈ।

ਮਾਲਵੇਅਰ ਈਕੋਸਿਸਟਮ

ਲੋਡਰ 1 (AtillaCrypter)

ਸਰੋਤ ਫਾਈਲ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਸੁਰੱਖਿਅਤ ਹੈ EaxObfuscator ਅਤੇ ਦੋ-ਪੜਾਅ ਦੀ ਲੋਡਿੰਗ ਕਰਦਾ ਹੈ AtProtect ਸਰੋਤ ਭਾਗ ਤੋਂ. VirusTotal 'ਤੇ ਪਾਏ ਗਏ ਹੋਰ ਨਮੂਨਿਆਂ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਦੌਰਾਨ, ਇਹ ਸਪੱਸ਼ਟ ਹੋ ਗਿਆ ਕਿ ਇਹ ਪੜਾਅ ਖੁਦ ਡਿਵੈਲਪਰ ਦੁਆਰਾ ਪ੍ਰਦਾਨ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਸੀ, ਪਰ ਉਸਦੇ ਗਾਹਕ ਦੁਆਰਾ ਜੋੜਿਆ ਗਿਆ ਸੀ। ਬਾਅਦ ਵਿੱਚ ਇਹ ਪਤਾ ਲਗਾਇਆ ਗਿਆ ਕਿ ਇਹ ਬੂਟਲੋਡਰ AtillaCrypter ਸੀ।

ਬੂਟਲੋਡਰ 2 (AtProtect)

ਵਾਸਤਵ ਵਿੱਚ, ਇਹ ਲੋਡਰ ਮਾਲਵੇਅਰ ਦਾ ਇੱਕ ਅਨਿੱਖੜਵਾਂ ਅੰਗ ਹੈ ਅਤੇ, ਡਿਵੈਲਪਰ ਦੇ ਇਰਾਦੇ ਦੇ ਅਨੁਸਾਰ, ਵਿਰੋਧੀ ਵਿਸ਼ਲੇਸ਼ਣ ਦੀ ਕਾਰਜਕੁਸ਼ਲਤਾ ਨੂੰ ਲੈਣਾ ਚਾਹੀਦਾ ਹੈ।

ਹਾਲਾਂਕਿ, ਅਭਿਆਸ ਵਿੱਚ, ਸੁਰੱਖਿਆ ਤੰਤਰ ਬਹੁਤ ਹੀ ਮੁੱਢਲੇ ਹਨ, ਅਤੇ ਸਾਡੇ ਸਿਸਟਮ ਸਫਲਤਾਪੂਰਵਕ ਇਸ ਮਾਲਵੇਅਰ ਦਾ ਪਤਾ ਲਗਾਉਂਦੇ ਹਨ।

ਮੁੱਖ ਮੋਡੀਊਲ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਲੋਡ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਫਰੈਂਚੀ ਸ਼ੈੱਲਕੋਡ ਵੱਖ-ਵੱਖ ਸੰਸਕਰਣ. ਹਾਲਾਂਕਿ, ਅਸੀਂ ਇਸ ਗੱਲ ਨੂੰ ਬਾਹਰ ਨਹੀਂ ਰੱਖਦੇ ਕਿ ਹੋਰ ਵਿਕਲਪ ਵਰਤੇ ਜਾ ਸਕਦੇ ਸਨ, ਉਦਾਹਰਨ ਲਈ, ਰਨਪਈ.

ਸੰਰਚਨਾ ਫਾਇਲ

ਸਿਸਟਮ ਵਿੱਚ ਇਕਸਾਰਤਾ

ਸਿਸਟਮ ਵਿੱਚ ਏਕੀਕਰਨ ਬੂਟਲੋਡਰ ਦੁਆਰਾ ਯਕੀਨੀ ਬਣਾਇਆ ਜਾਂਦਾ ਹੈ AtProtect, ਜੇਕਰ ਸੰਬੰਧਿਤ ਫਲੈਗ ਸੈੱਟ ਕੀਤਾ ਗਿਆ ਹੈ।

• ਫਾਈਲ ਨੂੰ ਮਾਰਗ ਦੇ ਨਾਲ ਕਾਪੀ ਕੀਤਾ ਗਿਆ ਹੈ %AppData%GFqaakZpzwm.exe.
• ਫਾਈਲ ਬਣਾਈ ਗਈ ਹੈ %AppData%GFqaakWinDriv.url, ਲਾਂਚ ਕੀਤਾ ਜਾ ਰਿਹਾ ਹੈ Zpzwm.exe.
• ਧਾਗੇ ਵਿਚ HKCUSsoftwareMicrosoftWindowsCurrentVersionRun ਇੱਕ ਸ਼ੁਰੂਆਤੀ ਕੁੰਜੀ ਬਣਾਈ ਗਈ ਹੈ WinDriv.url.

C&C ਨਾਲ ਪਰਸਪਰ ਪ੍ਰਭਾਵ

ਲੋਡਰ AtProtect

ਜੇਕਰ ਢੁਕਵਾਂ ਫਲੈਗ ਮੌਜੂਦ ਹੈ, ਤਾਂ ਮਾਲਵੇਅਰ ਇੱਕ ਲੁਕਵੀਂ ਪ੍ਰਕਿਰਿਆ ਸ਼ੁਰੂ ਕਰ ਸਕਦਾ ਹੈ iexplorer ਅਤੇ ਸਰਵਰ ਨੂੰ ਸਫਲ ਇਨਫੈਕਸ਼ਨ ਬਾਰੇ ਸੂਚਿਤ ਕਰਨ ਲਈ ਨਿਰਧਾਰਤ ਲਿੰਕ ਦੀ ਪਾਲਣਾ ਕਰੋ।

DataStealer

ਵਰਤੇ ਗਏ ਢੰਗ ਦੇ ਬਾਵਜੂਦ, ਨੈੱਟਵਰਕ ਸੰਚਾਰ ਸਰੋਤ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਪੀੜਤ ਦੇ ਬਾਹਰੀ IP ਪ੍ਰਾਪਤ ਕਰਨ ਨਾਲ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ [http]://checkip[.]dyndns[.]org/.

ਉਪਭੋਗਤਾ-ਏਜੰਟ: ਮੋਜ਼ੀਲਾ/4.0 (ਅਨੁਕੂਲ; MSIE 6.0; Windows NT 5.2; .NET CLR1.0.3705;)

ਸੰਦੇਸ਼ ਦੀ ਆਮ ਬਣਤਰ ਇੱਕੋ ਜਿਹੀ ਹੈ। ਸਿਰਲੇਖ ਮੌਜੂਦ ਹੈ
|——- 404 ਕੀਲੌਗਰ — {ਕਿਸਮ} ——-|ਕਿੱਥੇ {ਕਿਸਮ} ਪ੍ਰਸਾਰਿਤ ਕੀਤੀ ਜਾ ਰਹੀ ਜਾਣਕਾਰੀ ਦੀ ਕਿਸਮ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੈ।
ਸਿਸਟਮ ਬਾਰੇ ਜਾਣਕਾਰੀ ਹੇਠਾਂ ਦਿੱਤੀ ਗਈ ਹੈ:

_______ + ਪੀੜਤ ਜਾਣਕਾਰੀ + _______

IP: {ਬਾਹਰੀ IP}
ਮਾਲਕ ਦਾ ਨਾਮ: {ਕੰਪਿਊਟਰ ਨਾਮ}
OS ਨਾਮ: {OS ਨਾਮ}
OS ਸੰਸਕਰਣ: {OS ਸੰਸਕਰਣ}
OS ਪਲੇਟਫਾਰਮ: {ਪਲੇਟਫਾਰਮ}
RAM ਦਾ ਆਕਾਰ: {RAM ਆਕਾਰ}
______________________________

ਅਤੇ ਅੰਤ ਵਿੱਚ, ਪ੍ਰਸਾਰਿਤ ਡੇਟਾ.

SMTP

ਪੱਤਰ ਦਾ ਵਿਸ਼ਾ ਇਸ ਪ੍ਰਕਾਰ ਹੈ: 404 ਕੇ | {ਸੰਦੇਸ਼ ਦੀ ਕਿਸਮ} | ਕਲਾਇੰਟ ਦਾ ਨਾਮ: {Username}.

ਦਿਲਚਸਪ ਗੱਲ ਇਹ ਹੈ ਕਿ ਗਾਹਕ ਨੂੰ ਚਿੱਠੀਆਂ ਪਹੁੰਚਾਉਣ ਲਈ 404 ਕੀਲੌਗਰ ਡਿਵੈਲਪਰਾਂ ਦਾ SMTP ਸਰਵਰ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ।

ਇਸ ਨਾਲ ਕੁਝ ਗਾਹਕਾਂ ਦੀ ਪਛਾਣ ਕਰਨਾ ਸੰਭਵ ਹੋ ਗਿਆ, ਨਾਲ ਹੀ ਇੱਕ ਡਿਵੈਲਪਰ ਦੀ ਈਮੇਲ ਵੀ।

FTP,

ਇਸ ਵਿਧੀ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ, ਇਕੱਤਰ ਕੀਤੀ ਜਾਣਕਾਰੀ ਨੂੰ ਇੱਕ ਫਾਈਲ ਵਿੱਚ ਸੁਰੱਖਿਅਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਉੱਥੋਂ ਤੁਰੰਤ ਪੜ੍ਹਿਆ ਜਾਂਦਾ ਹੈ।

ਇਸ ਕਾਰਵਾਈ ਦੇ ਪਿੱਛੇ ਤਰਕ ਪੂਰੀ ਤਰ੍ਹਾਂ ਸਪੱਸ਼ਟ ਨਹੀਂ ਹੈ, ਪਰ ਇਹ ਵਿਹਾਰਕ ਨਿਯਮਾਂ ਨੂੰ ਲਿਖਣ ਲਈ ਇੱਕ ਵਾਧੂ ਕਲਾਤਮਕ ਰਚਨਾ ਬਣਾਉਂਦਾ ਹੈ।

%HOMEDRIVE%%HOMEPATH%ਦਸਤਾਵੇਜ਼A{ਆਰਬਿਟਰੇਰੀ ਨੰਬਰ}.txt

pastebin

ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਸਮੇਂ, ਇਹ ਵਿਧੀ ਸਿਰਫ ਚੋਰੀ ਕੀਤੇ ਪਾਸਵਰਡਾਂ ਨੂੰ ਟ੍ਰਾਂਸਫਰ ਕਰਨ ਲਈ ਵਰਤੀ ਜਾਂਦੀ ਹੈ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਇਹ ਪਹਿਲੇ ਦੋ ਦੇ ਵਿਕਲਪ ਵਜੋਂ ਨਹੀਂ, ਪਰ ਸਮਾਨਾਂਤਰ ਤੌਰ 'ਤੇ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ. ਸ਼ਰਤ "ਵਾਵਾ" ਦੇ ਬਰਾਬਰ ਸਥਿਰ ਦਾ ਮੁੱਲ ਹੈ। ਸੰਭਵ ਤੌਰ 'ਤੇ ਇਹ ਗਾਹਕ ਦਾ ਨਾਮ ਹੈ।

ਇੰਟਰਐਕਸ਼ਨ API ਦੁਆਰਾ https ਪ੍ਰੋਟੋਕੋਲ ਦੁਆਰਾ ਹੁੰਦਾ ਹੈ pastebin. ਭਾਵ api_paste_private ਬਰਾਬਰ PASTE_UNLISTEDਵਿੱਚ ਅਜਿਹੇ ਪੰਨਿਆਂ ਦੀ ਖੋਜ ਕਰਨ ਦੀ ਮਨਾਹੀ ਹੈ pastebin.

ਐਨਕ੍ਰਿਪਸ਼ਨ ਐਲਗੋਰਿਦਮ

ਸਰੋਤਾਂ ਤੋਂ ਇੱਕ ਫਾਈਲ ਮੁੜ ਪ੍ਰਾਪਤ ਕੀਤੀ ਜਾ ਰਹੀ ਹੈ

ਪੇਲੋਡ ਨੂੰ ਬੂਟਲੋਡਰ ਸਰੋਤਾਂ ਵਿੱਚ ਸਟੋਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ AtProtect ਬਿਟਮੈਪ ਚਿੱਤਰਾਂ ਦੇ ਰੂਪ ਵਿੱਚ। ਐਕਸਟਰੈਕਸ਼ਨ ਕਈ ਪੜਾਵਾਂ ਵਿੱਚ ਕੀਤੀ ਜਾਂਦੀ ਹੈ:

• ਚਿੱਤਰ ਤੋਂ ਬਾਈਟਾਂ ਦੀ ਇੱਕ ਐਰੇ ਕੱਢੀ ਜਾਂਦੀ ਹੈ। BGR ਕ੍ਰਮ ਵਿੱਚ ਹਰੇਕ ਪਿਕਸਲ ਨੂੰ 3 ਬਾਈਟਾਂ ਦੇ ਕ੍ਰਮ ਵਜੋਂ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ। ਐਕਸਟਰੈਕਟ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਐਰੇ ਦੇ ਪਹਿਲੇ 4 ਬਾਈਟ ਸੰਦੇਸ਼ ਦੀ ਲੰਬਾਈ ਨੂੰ ਸਟੋਰ ਕਰਦੇ ਹਨ, ਬਾਅਦ ਵਾਲੇ ਬਾਈਟ ਆਪਣੇ ਆਪ ਸੰਦੇਸ਼ ਨੂੰ ਸਟੋਰ ਕਰਦੇ ਹਨ।

  

• ਕੁੰਜੀ ਦੀ ਗਣਨਾ ਕੀਤੀ ਜਾਂਦੀ ਹੈ. ਅਜਿਹਾ ਕਰਨ ਲਈ, MD5 ਨੂੰ ਪਾਸਵਰਡ ਵਜੋਂ ਦਰਸਾਏ ਮੁੱਲ “ZpzwmjMJyfTNiRalKVrcSkxCN” ਤੋਂ ਗਿਣਿਆ ਜਾਂਦਾ ਹੈ। ਨਤੀਜਾ ਹੈਸ਼ ਦੋ ਵਾਰ ਲਿਖਿਆ ਗਿਆ ਹੈ.

  

• ਡੀਕ੍ਰਿਪਸ਼ਨ ECB ਮੋਡ ਵਿੱਚ AES ਐਲਗੋਰਿਦਮ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।

ਖ਼ਰਾਬ ਕਾਰਜਸ਼ੀਲਤਾ

ਡਾਊਨਲੋਡਰ

ਬੂਟਲੋਡਰ ਵਿੱਚ ਲਾਗੂ ਕੀਤਾ ਗਿਆ ਹੈ AtProtect.

• ਸੰਪਰਕ ਕਰਕੇ [ਐਕਟਿਵਲਿੰਕ-ਰਿਪਲਸ] ਸਰਵਰ ਦੀ ਸਥਿਤੀ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ ਬੇਨਤੀ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਕਿ ਇਹ ਫਾਈਲ ਦੀ ਸੇਵਾ ਕਰਨ ਲਈ ਤਿਆਰ ਹੈ। ਸਰਵਰ ਵਾਪਸ ਆਉਣਾ ਚਾਹੀਦਾ ਹੈ “ਚਾਲੂ”.
• ਹਵਾਲਾ ਦੇ ਕੇ [ਡਾਊਨਲੋਡ ਲਿੰਕ-ਬਦਲੋ] ਪੇਲੋਡ ਡਾਊਨਲੋਡ ਕੀਤਾ ਗਿਆ ਹੈ।
• ਦੀ ਸਹਾਇਤਾ ਨਾਲ FranchyShellcode ਪੇਲੋਡ ਨੂੰ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ ਇੰਜੈਕਟ ਕੀਤਾ ਜਾਂਦਾ ਹੈ [ਇੰਜ-ਬਦਲੋ].

ਡੋਮੇਨ ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਦੌਰਾਨ 404 ਪ੍ਰੋਜੈਕਟ[.]xyz VirusTotal 'ਤੇ ਵਾਧੂ ਉਦਾਹਰਣਾਂ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਸੀ 404 ਕੀਲੌਗਰ, ਨਾਲ ਹੀ ਕਈ ਕਿਸਮਾਂ ਦੇ ਲੋਡਰ।

ਰਵਾਇਤੀ ਤੌਰ 'ਤੇ, ਉਹ ਦੋ ਕਿਸਮਾਂ ਵਿੱਚ ਵੰਡੇ ਗਏ ਹਨ:

1. ਡਾਊਨਲੋਡਿੰਗ ਸਰੋਤ ਤੋਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ 404 ਪ੍ਰੋਜੈਕਟ[.]xyz.

   
   ਡੇਟਾ ਬੇਸ 64 ਏਨਕੋਡਡ ਅਤੇ ਏਈਐਸ ਐਨਕ੍ਰਿਪਟਡ ਹੈ।

2. ਇਸ ਚੋਣ ਵਿੱਚ ਕਈ ਪੜਾਵਾਂ ਹੁੰਦੀਆਂ ਹਨ ਅਤੇ ਸੰਭਾਵਤ ਤੌਰ 'ਤੇ ਬੂਟਲੋਡਰ ਨਾਲ ਜੋੜ ਕੇ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ AtProtect.

• ਪਹਿਲੇ ਪੜਾਅ ਵਿੱਚ, ਡੇਟਾ ਲੋਡ ਕੀਤਾ ਜਾਂਦਾ ਹੈ pastebin ਅਤੇ ਫੰਕਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਡੀਕੋਡ ਕੀਤਾ ਗਿਆ HexToByte.

  

• ਦੂਜੇ ਪੜਾਅ 'ਤੇ, ਲੋਡਿੰਗ ਦਾ ਸਰੋਤ ਹੈ 404 ਪ੍ਰੋਜੈਕਟ[.]xyz. ਹਾਲਾਂਕਿ, ਡੀਕੰਪ੍ਰੇਸ਼ਨ ਅਤੇ ਡੀਕੋਡਿੰਗ ਫੰਕਸ਼ਨ ਡੇਟਾਸਟੀਲਰ ਵਿੱਚ ਪਾਏ ਗਏ ਸਮਾਨ ਹਨ। ਇਹ ਸੰਭਵ ਤੌਰ 'ਤੇ ਮੁੱਖ ਮੋਡੀਊਲ ਵਿੱਚ ਬੂਟਲੋਡਰ ਕਾਰਜਕੁਸ਼ਲਤਾ ਨੂੰ ਲਾਗੂ ਕਰਨ ਦੀ ਯੋਜਨਾ ਬਣਾਈ ਗਈ ਸੀ।

  

• ਇਸ ਪੜਾਅ 'ਤੇ, ਪੇਲੋਡ ਪਹਿਲਾਂ ਹੀ ਸੰਕੁਚਿਤ ਰੂਪ ਵਿੱਚ ਸਰੋਤ ਮੈਨੀਫੈਸਟ ਵਿੱਚ ਹੈ। ਮੁੱਖ ਮੋਡੀਊਲ ਵਿੱਚ ਵੀ ਇਸੇ ਤਰ੍ਹਾਂ ਦੇ ਐਕਸਟਰੈਕਸ਼ਨ ਫੰਕਸ਼ਨ ਪਾਏ ਗਏ ਸਨ।

ਡਾਉਨਲੋਡਰ ਵਿਸ਼ਲੇਸ਼ਣ ਕੀਤੀਆਂ ਫਾਈਲਾਂ ਵਿੱਚੋਂ ਲੱਭੇ ਗਏ ਸਨ njRat, ਸਪਾਈਗੇਟ ਅਤੇ ਹੋਰ RATs।

ਕੀਲੌਗਰ

ਲੌਗ ਭੇਜਣ ਦੀ ਮਿਆਦ: 30 ਮਿੰਟ।

ਸਾਰੇ ਅੱਖਰ ਸਮਰਥਿਤ ਹਨ। ਵਿਸ਼ੇਸ਼ ਪਾਤਰ ਬਚ ਜਾਂਦੇ ਹਨ। ਬੈਕਸਪੇਸ ਅਤੇ ਡਿਲੀਟ ਕੁੰਜੀਆਂ ਲਈ ਪ੍ਰਕਿਰਿਆ ਕੀਤੀ ਜਾ ਰਹੀ ਹੈ। ਨਾਜ਼ੁਕ ਹਾਲਤ.

ਕਲਿੱਪਬੋਰਡਲੌਗਰ

ਲੌਗ ਭੇਜਣ ਦੀ ਮਿਆਦ: 30 ਮਿੰਟ।

ਬਫਰ ਪੋਲਿੰਗ ਦੀ ਮਿਆਦ: 0,1 ਸਕਿੰਟ।

ਲਿੰਕ ਐਸਕੇਪਿੰਗ ਨੂੰ ਲਾਗੂ ਕੀਤਾ।

ਸਕਰੀਨਲੌਗਰ

ਲੌਗ ਭੇਜਣ ਦੀ ਮਿਆਦ: 60 ਮਿੰਟ।

ਵਿੱਚ ਸਕਰੀਨਸ਼ਾਟ ਸੁਰੱਖਿਅਤ ਕੀਤੇ ਗਏ ਹਨ %HOMEDRIVE%%HOMEPATH%ਦਸਤਾਵੇਜ਼404k404pic.png.

ਫੋਲਡਰ ਭੇਜਣ ਤੋਂ ਬਾਅਦ 404k ਮਿਟਾਇਆ ਜਾਂਦਾ ਹੈ।

ਪਾਸਵਰਡ ਚੋਰੀ ਕਰਨ ਵਾਲਾ

ਬ੍ਰਾਊਜ਼ਰ	ਮੇਲ ਗਾਹਕ	FTP ਗਾਹਕ
ਕਰੋਮ	ਆਉਟਲੁੱਕ	FileZilla
ਫਾਇਰਫਾਕਸ	ਥੰਡਰਬਰਡ
ਸੀਮਾਮੁਖੀ	ਫੌਕਸਮੇਲ
ਆਈਸਡ੍ਰੈਗਨ
ਪੈਲਮੂਨ
ਸਾਈਬਰਫੌਕਸ
ਕਰੋਮ
BraveBrowser
QQBrowser
ਇਰੀਡੀਅਮ ਬ੍ਰਾਊਜ਼ਰ
XvastBrowser
ਚੇਡੋਟ
360 ਬ੍ਰਾਊਜ਼ਰ
ਕੋਮੋਡੋਡ੍ਰੈਗਨ
360Chrome
ਸੁਪਰਬਰਡ
CentBrowser
GhostBrowser
ਆਇਰਨ ਬ੍ਰਾਊਜ਼ਰ
Chromium
ਵਿਵਾਲੀ
SlimjetBrowser
Bitਰਬਿਟਮ
ਕੋਕਕੋਕ
ਟੌਰਚ
UCBrowser
EpicBrowser
BliskBrowser
ਓਪੇਰਾ

ਗਤੀਸ਼ੀਲ ਵਿਸ਼ਲੇਸ਼ਣ ਲਈ ਪ੍ਰਤੀਰੋਧ

• ਜਾਂਚ ਕਰ ਰਿਹਾ ਹੈ ਕਿ ਕੀ ਕੋਈ ਪ੍ਰਕਿਰਿਆ ਵਿਸ਼ਲੇਸ਼ਣ ਅਧੀਨ ਹੈ

  ਪ੍ਰਕਿਰਿਆ ਖੋਜ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕੀਤੀ ਗਈ ਟਾਸਕਮਗ੍ਰਾ, ਪ੍ਰੋਸੈਸ ਹੈਕਰ, procexp64, procexp, procmon. ਜੇਕਰ ਘੱਟੋ-ਘੱਟ ਇੱਕ ਪਾਇਆ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਮਾਲਵੇਅਰ ਬੰਦ ਹੋ ਜਾਂਦਾ ਹੈ।

• ਜਾਂਚ ਕਰ ਰਿਹਾ ਹੈ ਕਿ ਕੀ ਤੁਸੀਂ ਵਰਚੁਅਲ ਵਾਤਾਵਰਨ ਵਿੱਚ ਹੋ

  ਪ੍ਰਕਿਰਿਆ ਖੋਜ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕੀਤੀ ਗਈ vmtoolsd, VGAuthService, vmacthlp, VBoxService, VBoxTray. ਜੇਕਰ ਘੱਟੋ-ਘੱਟ ਇੱਕ ਪਾਇਆ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਮਾਲਵੇਅਰ ਬੰਦ ਹੋ ਜਾਂਦਾ ਹੈ।

• 5 ਸਕਿੰਟ ਲਈ ਸੌਣਾ
• ਵੱਖ-ਵੱਖ ਕਿਸਮਾਂ ਦੇ ਡਾਇਲਾਗ ਬਾਕਸਾਂ ਦਾ ਪ੍ਰਦਰਸ਼ਨ

  ਕੁਝ ਸੈਂਡਬੌਕਸ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾ ਸਕਦਾ ਹੈ।

• UAC ਨੂੰ ਬਾਈਪਾਸ ਕਰੋ

  ਰਜਿਸਟਰੀ ਕੁੰਜੀ ਨੂੰ ਸੰਪਾਦਿਤ ਕਰਕੇ ਕੀਤਾ ਗਿਆ EnableLUA ਗਰੁੱਪ ਪਾਲਿਸੀ ਸੈਟਿੰਗਾਂ ਵਿੱਚ।

• ਮੌਜੂਦਾ ਫਾਈਲ ਵਿੱਚ "ਲੁਕਿਆ" ਗੁਣ ਲਾਗੂ ਕਰਦਾ ਹੈ।
• ਮੌਜੂਦਾ ਫਾਈਲ ਨੂੰ ਮਿਟਾਉਣ ਦੀ ਸਮਰੱਥਾ.

ਅਕਿਰਿਆਸ਼ੀਲ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ

ਬੂਟਲੋਡਰ ਅਤੇ ਮੁੱਖ ਮੋਡੀਊਲ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਦੌਰਾਨ, ਫੰਕਸ਼ਨ ਪਾਏ ਗਏ ਸਨ ਜੋ ਵਾਧੂ ਕਾਰਜਕੁਸ਼ਲਤਾ ਲਈ ਜ਼ਿੰਮੇਵਾਰ ਸਨ, ਪਰ ਉਹਨਾਂ ਦੀ ਕਿਤੇ ਵੀ ਵਰਤੋਂ ਨਹੀਂ ਕੀਤੀ ਜਾਂਦੀ। ਇਹ ਸ਼ਾਇਦ ਇਸ ਤੱਥ ਦੇ ਕਾਰਨ ਹੈ ਕਿ ਮਾਲਵੇਅਰ ਅਜੇ ਵੀ ਵਿਕਾਸ ਵਿੱਚ ਹੈ ਅਤੇ ਕਾਰਜਕੁਸ਼ਲਤਾ ਨੂੰ ਜਲਦੀ ਹੀ ਵਿਸਤਾਰ ਕੀਤਾ ਜਾਵੇਗਾ।

ਲੋਡਰ AtProtect

ਇੱਕ ਫੰਕਸ਼ਨ ਪਾਇਆ ਗਿਆ ਜੋ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ ਲੋਡ ਕਰਨ ਅਤੇ ਟੀਕੇ ਲਗਾਉਣ ਲਈ ਜ਼ਿੰਮੇਵਾਰ ਹੈ msiexec.exe ਆਪਹੁਦਰੇ ਮੋਡੀਊਲ.

DataStealer

• ਸਿਸਟਮ ਵਿੱਚ ਇਕਸਾਰਤਾ

  

• ਡੀਕੰਪ੍ਰੇਸ਼ਨ ਅਤੇ ਡੀਕ੍ਰਿਪਸ਼ਨ ਫੰਕਸ਼ਨ

  
  
  ਇਹ ਸੰਭਾਵਨਾ ਹੈ ਕਿ ਨੈੱਟਵਰਕ ਸੰਚਾਰ ਦੌਰਾਨ ਡਾਟਾ ਇਨਕ੍ਰਿਪਸ਼ਨ ਛੇਤੀ ਹੀ ਲਾਗੂ ਕੀਤਾ ਜਾਵੇਗਾ.

• ਐਂਟੀਵਾਇਰਸ ਪ੍ਰਕਿਰਿਆਵਾਂ ਨੂੰ ਖਤਮ ਕਰਨਾ

zlclient	Dvp95_0	ਪਾਵਸ਼ੇਡ	avgserv9
egui	Ecengine	ਪਾਵ	avgserv9schedapp
bdagent	Esafe	ਪੀਸੀਸੀਓਮਨ	avgemc
npfmsg	ਐਸਪਵਾਚ	PCCMAIN	ashwebsv
olydbg	F-Agnt95	Pccwin98	ashdisp
ਅਨੂਬਿਸ	ਲੱਭਵੀਰ	Pcfwallicon	ashmaisv
ਵਾਇਰਸ਼ਾਰਕ	Fprot	ਪਰਸਫਡਬਲਯੂ	ashserv
avastui	F- ਪ੍ਰੋਟ	POP3TRAP	aswUpdSv
_Avp32	F-Prot95	PVIEW95	symwsc
vsmon	Fp-ਜਿੱਤ	ਰਵ	Norton
mbam	Frw	Rav7win	ਨੌਰਟਨ ਆਟੋ-ਪ੍ਰੋਟੈਕਟ
ਕੀਸਕ੍ਰੈਂਬਲਰ	F-Stopw	ਸੰਕਟਕਾਲੀਨ	norton_av
_ਏਵੀਪੀਸੀਸੀ	Iamapp	Safeweb	nortonav
_Avpm	Iamserv	ਸਕੈਨ 32	ccsetmgr
ਐਕਵਿਨ 32	Ibmasn	ਸਕੈਨ 95	ccevtmgr
ਚੌਕੀ	Ibmavsp	Scanpm	avadmin
ਐਂਟੀ-ਟ੍ਰੋਜਨ	ਆਈਕਲੋਡ95	ਸਕੈਨ ਕਰੋ	avcenter
ਅੰਤਮ	ਆਈਕਲੋਡੈਂਟ	ਸਰਵ95	gਸਤ
Apvxdwin	ਆਈਕੌਨ	ਐੱਸ.ਐੱਮ.ਸੀ	avguard
ATRACK	Icsupp95	SMCSERVICE	ਨੂੰ ਸੂਚਿਤ ਕਰੋ
ਆਟੋਡਾਊਨ	Icsupnt	Snort	avscan
Avconsol	Iface	sphinx	guardgui
Ave32	ਇਓਮੋਨ98	ਸਵੀਪ95	nod32krn
Avgctrl	ਜੇਡੀ	SYMPROXYSVC	nod32kui
Avkserv	ਲੌਕਡਾਊਨ 2000	Tbscan	clamscan
Avnt	ਬਁਚ ਕੇ	ਟੀ.ਸੀ.ਏ	clamTray
ਏ.ਵੀ.ਪੀ	ਲੁਆਲ	Tds2-98	clamWin
Avp32	ਐਮਸੀਏਐਫਈਈ	Tds2-Nt	ਤਾਜ਼ਾ ਚਿੱਕੜ
ਏ.ਵੀ.ਪੀ.ਸੀ.ਸੀ	ਮੂਲੀਵ	ਟਰਮੀਨੈੱਟ	ਓਲਾਦੀਨ
Avpdos32	MPftray	ਵੈਟ95	ਸਿਗਟੂਲ
Avpm	N32 ਸਕੈਨਡਬਲਯੂ	ਵੇਟ੍ਰੇ	w9xpopen
Avptc32	NAVAPSVC	Vscan40	ਬੰਦ ਕਰੋ
ਏਵਪੁਪਡ	NAVAPW32	Vsecomr	cmgrdian
Avsched32	NAVLU32	ਵਿਸ਼੍ਵਿਨ ੩੨	alogserv
AVSYNMGR	ਨਵੰਤ	Vsstat	mcshield
Avwin95	NAVRUNR	ਵੈਬਸਕੈਨੈਕਸ	vshwin32
Avwupd32	Navw32	ਵੈਬਟ੍ਰੈਪ	avconsol
ਬਲੈਕਡ	ਨਵਵੰਤ	Wfindv32	vsstat
ਕਾਲੀ ਬਰਫ	ਨਿਓਵਾਚ	ਜ਼ੋਨ ਅਲਾਰਮ	avsynmgr
Cfiadmin	NISSERV	ਲਾਕਡਾਊਨ2000	avcmd
Cfiaudit	ਨਿਸੁਮ	ਬਚਾਅ 32	avconfig
Cfinet	ਨਮਨ	ਲੂਕੋਮਸਰਵਰ	licmgr
Cfinet32	ਆਦਰਸ਼ਵਾਦੀ	avgcc	ਤਹਿ
ਕਲੌ 95	Norton	avgcc	preupd
Claw95cf	ਨਵੀਨੀਕਰਨ	avgamsvr	MsMpEng
ਕਲੀਨਰ	Nvc95	avgupsvc	MSASCui
ਕਲੀਨਰ 3	ਚੌਕੀ	avgw	ਅਵਿਰਾ।ਸਿਸਟਰੇ
ਡਿਫਵਾਚ	ਪਦਮਿਨ	avgcc32
Dvp95	Pavcl	avgserv

• ਸਵੈ-ਵਿਨਾਸ਼
• ਨਿਰਧਾਰਤ ਸਰੋਤ ਮੈਨੀਫੈਸਟ ਤੋਂ ਡਾਟਾ ਲੋਡ ਕੀਤਾ ਜਾ ਰਿਹਾ ਹੈ

  

• ਇੱਕ ਮਾਰਗ ਦੇ ਨਾਲ ਇੱਕ ਫਾਇਲ ਦੀ ਨਕਲ %Temp%tmpG[ਮੌਜੂਦਾ ਮਿਤੀ ਅਤੇ ਸਮਾਂ ਮਿਲੀਸਕਿੰਟ ਵਿੱਚ].tmp

  
  ਦਿਲਚਸਪ ਗੱਲ ਇਹ ਹੈ ਕਿ AgentTesla ਮਾਲਵੇਅਰ ਵਿੱਚ ਇੱਕ ਸਮਾਨ ਫੰਕਸ਼ਨ ਮੌਜੂਦ ਹੈ।

• ਕੀੜਾ ਕਾਰਜਕੁਸ਼ਲਤਾ

  ਮਾਲਵੇਅਰ ਨੂੰ ਹਟਾਉਣਯੋਗ ਮੀਡੀਆ ਦੀ ਇੱਕ ਸੂਚੀ ਪ੍ਰਾਪਤ ਹੁੰਦੀ ਹੈ। ਨਾਮ ਦੇ ਨਾਲ ਮੀਡੀਆ ਫਾਈਲ ਸਿਸਟਮ ਦੇ ਰੂਟ ਵਿੱਚ ਮਾਲਵੇਅਰ ਦੀ ਇੱਕ ਕਾਪੀ ਬਣਾਈ ਜਾਂਦੀ ਹੈ Sys.exe. ਆਟੋਰਨ ਇੱਕ ਫਾਈਲ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਲਾਗੂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ autorun.inf.

  

ਹਮਲਾਵਰ ਪ੍ਰੋਫਾਈਲ

ਕਮਾਂਡ ਸੈਂਟਰ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਦੌਰਾਨ, ਡਿਵੈਲਪਰ ਦਾ ਈਮੇਲ ਅਤੇ ਉਪਨਾਮ ਸਥਾਪਤ ਕਰਨਾ ਸੰਭਵ ਸੀ - ਰੇਜ਼ਰ, ਉਰਫ ਬ੍ਰਵਾ, ਬ੍ਰਵਾ65, ਹਾਈਡਡੇਨ ਪਰਸਨ, 404 ਕੋਡਰ। ਅੱਗੇ, ਸਾਨੂੰ YouTube 'ਤੇ ਇੱਕ ਦਿਲਚਸਪ ਵੀਡੀਓ ਮਿਲਿਆ ਜੋ ਬਿਲਡਰ ਨਾਲ ਕੰਮ ਕਰਨ ਦਾ ਪ੍ਰਦਰਸ਼ਨ ਕਰਦਾ ਹੈ।

ਇਸ ਨਾਲ ਮੂਲ ਡਿਵੈਲਪਰ ਚੈਨਲ ਨੂੰ ਲੱਭਣਾ ਸੰਭਵ ਹੋ ਗਿਆ।

ਇਹ ਸਪੱਸ਼ਟ ਹੋ ਗਿਆ ਕਿ ਉਸਨੂੰ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਰ ਲਿਖਣ ਦਾ ਤਜਰਬਾ ਸੀ। ਸੋਸ਼ਲ ਨੈਟਵਰਕਸ 'ਤੇ ਪੰਨਿਆਂ ਦੇ ਲਿੰਕ ਵੀ ਹਨ, ਨਾਲ ਹੀ ਲੇਖਕ ਦਾ ਅਸਲੀ ਨਾਮ. ਉਹ ਇਰਾਕ ਦਾ ਰਹਿਣ ਵਾਲਾ ਨਿਕਲਿਆ।

ਇਹ ਉਹ ਹੈ ਜੋ ਇੱਕ 404 ਕੀਲੌਗਰ ਡਿਵੈਲਪਰ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ. ਉਸਦੀ ਨਿੱਜੀ ਫੇਸਬੁੱਕ ਪ੍ਰੋਫਾਈਲ ਤੋਂ ਫੋਟੋ।

CERT Group-IB ਨੇ ਇੱਕ ਨਵੀਂ ਧਮਕੀ - 404 Keylogger - ਬਹਿਰੀਨ ਵਿੱਚ ਸਾਈਬਰ ਧਮਕੀਆਂ (SOC) ਲਈ XNUMX-ਘੰਟੇ ਨਿਗਰਾਨੀ ਅਤੇ ਜਵਾਬ ਕੇਂਦਰ ਦੀ ਘੋਸ਼ਣਾ ਕੀਤੀ ਹੈ।

ਸਰੋਤ: www.habr.com