ESET: OceanLotus ਸਾਈਬਰ ਸਮੂਹ ਲਈ ਨਵੀਂ ਬੈਕਡੋਰ ਡਿਲੀਵਰੀ ਸਕੀਮਾਂ

ਇਸ ਪੋਸਟ ਵਿੱਚ ਅਸੀਂ ਤੁਹਾਨੂੰ ਦੱਸਾਂਗੇ ਕਿ ਕਿਵੇਂ ਸਾਈਬਰ ਸਮੂਹ ਓਸ਼ਨਲੋਟਸ (APT32 ਅਤੇ APT-C-00) ਨੇ ਹਾਲ ਹੀ ਵਿੱਚ ਜਨਤਕ ਤੌਰ 'ਤੇ ਉਪਲਬਧ ਸ਼ੋਸ਼ਣਾਂ ਵਿੱਚੋਂ ਇੱਕ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਹੈ। CVE-2017-11882, ਮਾਈਕਰੋਸਾਫਟ ਆਫਿਸ ਵਿੱਚ ਮੈਮੋਰੀ ਕਰੱਪਸ਼ਨ ਕਮਜ਼ੋਰੀਆਂ, ਅਤੇ ਕਿਵੇਂ ਗਰੁੱਪ ਦਾ ਮਾਲਵੇਅਰ ਬਿਨਾਂ ਕੋਈ ਨਿਸ਼ਾਨ ਛੱਡੇ ਸਮਝੌਤਾ ਕੀਤੇ ਸਿਸਟਮਾਂ 'ਤੇ ਸਥਿਰਤਾ ਪ੍ਰਾਪਤ ਕਰਦਾ ਹੈ। ਅੱਗੇ, ਅਸੀਂ ਵਰਣਨ ਕਰਾਂਗੇ ਕਿ ਕਿਵੇਂ, 2019 ਦੀ ਸ਼ੁਰੂਆਤ ਤੋਂ, ਗਰੁੱਪ ਕੋਡ ਨੂੰ ਚਲਾਉਣ ਲਈ ਸਵੈ-ਐਕਸਟਰੈਕਟਿੰਗ ਪੁਰਾਲੇਖਾਂ ਦੀ ਵਰਤੋਂ ਕਰ ਰਿਹਾ ਹੈ।

OceanLotus ਸਾਈਬਰ ਜਾਸੂਸੀ ਵਿੱਚ ਮੁਹਾਰਤ ਰੱਖਦਾ ਹੈ, ਤਰਜੀਹੀ ਟੀਚੇ ਦੱਖਣ-ਪੂਰਬੀ ਏਸ਼ੀਆ ਦੇ ਦੇਸ਼ ਹਨ। ਹਮਲਾਵਰ ਜਾਅਲੀ ਦਸਤਾਵੇਜ਼ ਬਣਾਉਂਦੇ ਹਨ ਜੋ ਸੰਭਾਵੀ ਪੀੜਤਾਂ ਦਾ ਧਿਆਨ ਖਿੱਚਣ ਲਈ ਉਹਨਾਂ ਨੂੰ ਪਿਛਲੇ ਦਰਵਾਜ਼ੇ ਨੂੰ ਚਲਾਉਣ ਲਈ ਯਕੀਨ ਦਿਵਾਉਂਦੇ ਹਨ, ਅਤੇ ਟੂਲ ਵਿਕਸਤ ਕਰਨ 'ਤੇ ਵੀ ਕੰਮ ਕਰ ਰਹੇ ਹਨ। ਹਨੀਪੌਟਸ ਬਣਾਉਣ ਲਈ ਵਰਤੇ ਗਏ ਢੰਗ ਹਮਲਿਆਂ ਵਿੱਚ ਵੱਖੋ-ਵੱਖਰੇ ਹੁੰਦੇ ਹਨ, "ਡਬਲ-ਐਕਸਟੇਂਸ਼ਨ" ਫਾਈਲਾਂ, ਸਵੈ-ਐਕਸਟ੍ਰੈਕਟਿੰਗ ਆਰਕਾਈਵਜ਼, ਮੈਕਰੋ ਦੇ ਨਾਲ ਦਸਤਾਵੇਜ਼, ਜਾਣੇ-ਪਛਾਣੇ ਕਾਰਨਾਮੇ ਤੱਕ।

ਮਾਈਕ੍ਰੋਸਾੱਫਟ ਸਮੀਕਰਨ ਸੰਪਾਦਕ ਵਿੱਚ ਇੱਕ ਸ਼ੋਸ਼ਣ ਦੀ ਵਰਤੋਂ ਕਰਨਾ

2018 ਦੇ ਮੱਧ ਵਿੱਚ, OceanLotus ਨੇ CVE-2017-11882 ਕਮਜ਼ੋਰੀ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਨ ਲਈ ਇੱਕ ਮੁਹਿੰਮ ਚਲਾਈ। ਸਾਈਬਰ ਸਮੂਹ ਦੇ ਖਤਰਨਾਕ ਦਸਤਾਵੇਜ਼ਾਂ ਵਿੱਚੋਂ ਇੱਕ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ 360 ਥਰੇਟ ਇੰਟੈਲੀਜੈਂਸ ਸੈਂਟਰ (ਚੀਨੀ ਵਿੱਚ ਖੋਜ), ਸ਼ੋਸ਼ਣ ਦੇ ਵਿਸਤ੍ਰਿਤ ਵਰਣਨ ਸਮੇਤ। ਹੇਠਾਂ ਦਿੱਤੀ ਪੋਸਟ ਵਿੱਚ ਅਜਿਹੇ ਖਤਰਨਾਕ ਦਸਤਾਵੇਜ਼ ਦੀ ਸੰਖੇਪ ਜਾਣਕਾਰੀ ਹੈ।

ਪਹਿਲੇ ਪੜਾਅ

ਦਸਤਾਵੇਜ਼ FW Report on demonstration of former CNRP in Republic of Korea.doc (SHA-1: D1357B284C951470066AAA7A8228190B88A5C7C3) ਉਪਰੋਕਤ ਅਧਿਐਨ ਵਿੱਚ ਜ਼ਿਕਰ ਕੀਤੇ ਸਮਾਨ ਹੈ। ਇਹ ਦਿਲਚਸਪ ਹੈ ਕਿਉਂਕਿ ਇਸਦਾ ਉਦੇਸ਼ ਕੰਬੋਡੀਅਨ ਰਾਜਨੀਤੀ ਵਿੱਚ ਦਿਲਚਸਪੀ ਰੱਖਣ ਵਾਲੇ ਉਪਭੋਗਤਾਵਾਂ ਲਈ ਹੈ (CNRP - ਕੰਬੋਡੀਆ ਨੈਸ਼ਨਲ ਰੈਸਕਿਊ ਪਾਰਟੀ, 2017 ਦੇ ਅੰਤ ਵਿੱਚ ਭੰਗ)। .doc ਐਕਸਟੈਂਸ਼ਨ ਦੇ ਬਾਵਜੂਦ, ਦਸਤਾਵੇਜ਼ RTF ਫਾਰਮੈਟ ਵਿੱਚ ਹੈ (ਹੇਠਾਂ ਤਸਵੀਰ ਦੇਖੋ), ਇਸ ਵਿੱਚ ਕੂੜਾ ਕੋਡ ਸ਼ਾਮਲ ਹੈ, ਅਤੇ ਇਹ ਵੀ ਵਿਗੜਿਆ ਹੋਇਆ ਹੈ।

ਚਿੱਤਰ 1. RTF ਵਿੱਚ "ਕੂੜਾ"

ਭਾਵੇਂ ਇੱਥੇ ਗੰਧਲੇ ਤੱਤ ਹਨ, ਵਰਡ ਇਸ RTF ਫਾਈਲ ਨੂੰ ਸਫਲਤਾਪੂਰਵਕ ਖੋਲ੍ਹਦਾ ਹੈ। ਜਿਵੇਂ ਕਿ ਤੁਸੀਂ ਚਿੱਤਰ 2 ਵਿੱਚ ਦੇਖ ਸਕਦੇ ਹੋ, ਔਫਸੈੱਟ 0xC00 'ਤੇ ਇੱਕ EQNOLEFILEHDR ਬਣਤਰ ਹੈ, ਇਸਦੇ ਬਾਅਦ ਇੱਕ MTEF ਸਿਰਲੇਖ, ਅਤੇ ਫਿਰ ਫੌਂਟ ਲਈ ਇੱਕ MTEF ਐਂਟਰੀ (ਚਿੱਤਰ 3) ਹੈ।

ਚਿੱਤਰ 2. FONT ਐਂਟਰੀ ਮੁੱਲ

ਚਿੱਤਰ 3. FONT ਰਿਕਾਰਡਿੰਗ ਫਾਰਮੈਟ

ਖੇਤਰ ਵਿੱਚ ਸੰਭਵ ਓਵਰਫਲੋ ਨਾਮ, ਕਿਉਂਕਿ ਕਾਪੀ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਇਸ ਦੇ ਆਕਾਰ ਦੀ ਜਾਂਚ ਨਹੀਂ ਕੀਤੀ ਜਾਂਦੀ। ਇੱਕ ਨਾਮ ਜੋ ਬਹੁਤ ਲੰਮਾ ਹੈ ਇੱਕ ਕਮਜ਼ੋਰੀ ਨੂੰ ਚਾਲੂ ਕਰਦਾ ਹੈ। ਜਿਵੇਂ ਕਿ ਤੁਸੀਂ RTF ਫਾਈਲ ਦੇ ਭਾਗਾਂ ਤੋਂ ਦੇਖ ਸਕਦੇ ਹੋ (ਚਿੱਤਰ 0 ਵਿੱਚ 26xC2 ਆਫਸੈੱਟ), ਬਫਰ ਸ਼ੈੱਲਕੋਡ ਨਾਲ ਭਰਿਆ ਹੋਇਆ ਹੈ ਅਤੇ ਇੱਕ ਡਮੀ ਕਮਾਂਡ (0x90) ਅਤੇ ਵਾਪਸੀ ਦਾ ਪਤਾ 0x402114. ਐਡਰੈੱਸ ਵਿੱਚ ਇੱਕ ਡਾਇਲਾਗ ਤੱਤ ਹੈ EQNEDT32.exe, ਨਿਰਦੇਸ਼ਾਂ ਨੂੰ ਦਰਸਾਉਂਦਾ ਹੈ RET. ਇਹ ਖੇਤਰ ਦੀ ਸ਼ੁਰੂਆਤ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਨ ਲਈ EIP ਦਾ ਕਾਰਨ ਬਣਦਾ ਹੈ ਨਾਮਸ਼ੈੱਲਕੋਡ ਰੱਖਦਾ ਹੈ।

ਚਿੱਤਰ 4. ਸ਼ੋਸ਼ਣ ਸ਼ੈੱਲਕੋਡ ਦੀ ਸ਼ੁਰੂਆਤ

ਪਤਾ 0x45BD3C ਇੱਕ ਵੇਰੀਏਬਲ ਨੂੰ ਸਟੋਰ ਕਰਦਾ ਹੈ ਜਿਸਨੂੰ ਡੀਰੇਫਰੈਂਸ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਜਦੋਂ ਤੱਕ ਇਹ ਮੌਜੂਦਾ ਲੋਡ ਕੀਤੇ ਢਾਂਚੇ ਤੱਕ ਇੱਕ ਪੁਆਇੰਟਰ ਤੱਕ ਨਹੀਂ ਪਹੁੰਚਦਾ MTEFData. ਬਾਕੀ ਸ਼ੈੱਲਕੋਡ ਇੱਥੇ ਹੈ।

ਸ਼ੈੱਲਕੋਡ ਦਾ ਉਦੇਸ਼ ਖੁੱਲੇ ਦਸਤਾਵੇਜ਼ ਵਿੱਚ ਏਮਬੇਡ ਕੀਤੇ ਸ਼ੈੱਲਕੋਡ ਦੇ ਦੂਜੇ ਟੁਕੜੇ ਨੂੰ ਚਲਾਉਣਾ ਹੈ। ਅਸਲ ਸ਼ੈੱਲਕੋਡ ਪਹਿਲਾਂ ਸਾਰੇ ਸਿਸਟਮ ਡਿਸਕ੍ਰਿਪਟਰਾਂ (NtQuerySystemInformation ਇੱਕ ਦਲੀਲ ਨਾਲ SystemExtendedHandleInformation) ਅਤੇ ਜਾਂਚ ਕਰ ਰਿਹਾ ਹੈ ਕਿ ਕੀ ਉਹ ਮੇਲ ਖਾਂਦੇ ਹਨ PID ਵਰਣਨਕਰਤਾ ਅਤੇ PID ਪ੍ਰਕਿਰਿਆ WinWord ਅਤੇ ਕੀ ਦਸਤਾਵੇਜ਼ ਨੂੰ ਐਕਸੈਸ ਮਾਸਕ ਨਾਲ ਖੋਲ੍ਹਿਆ ਗਿਆ ਸੀ - 0x12019F.

ਇਹ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ ਕਿ ਸਹੀ ਹੈਂਡਲ ਲੱਭਿਆ ਗਿਆ ਹੈ (ਅਤੇ ਕਿਸੇ ਹੋਰ ਖੁੱਲੇ ਦਸਤਾਵੇਜ਼ ਲਈ ਹੈਂਡਲ ਨਹੀਂ), ਫੰਕਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਫਾਈਲ ਦੀ ਸਮੱਗਰੀ ਪ੍ਰਦਰਸ਼ਿਤ ਕੀਤੀ ਜਾਂਦੀ ਹੈ CreateFileMapping, ਅਤੇ ਸ਼ੈੱਲਕੋਡ ਜਾਂਚ ਕਰਦਾ ਹੈ ਕਿ ਕੀ ਦਸਤਾਵੇਜ਼ ਦੇ ਆਖਰੀ ਚਾਰ ਬਾਈਟ ਮੇਲ ਖਾਂਦੇ ਹਨ "yyyy” (ਅੰਡੇ ਦਾ ਸ਼ਿਕਾਰ ਕਰਨ ਦਾ ਤਰੀਕਾ)। ਇੱਕ ਵਾਰ ਮੇਲ ਮਿਲ ਜਾਣ 'ਤੇ, ਦਸਤਾਵੇਜ਼ ਨੂੰ ਇੱਕ ਅਸਥਾਈ ਫੋਲਡਰ ਵਿੱਚ ਕਾਪੀ ਕੀਤਾ ਜਾਂਦਾ ਹੈ (GetTempPath) ਕਿਵੇਂ ole.dll. ਫਿਰ ਦਸਤਾਵੇਜ਼ ਦੇ ਆਖਰੀ 12 ਬਾਈਟ ਪੜ੍ਹੇ ਜਾਂਦੇ ਹਨ।

ਚਿੱਤਰ 5. ਦਸਤਾਵੇਜ਼ ਮਾਰਕਰ ਦਾ ਅੰਤ

ਮਾਰਕਰ ਵਿਚਕਾਰ 32-ਬਿੱਟ ਮੁੱਲ AABBCCDD и yyyy ਅਗਲੇ ਸ਼ੈੱਲਕੋਡ ਦਾ ਆਫਸੈੱਟ ਹੈ। ਇਸਨੂੰ ਫੰਕਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕਿਹਾ ਜਾਂਦਾ ਹੈ CreateThread. ਉਹੀ ਸ਼ੈੱਲਕੋਡ ਕੱਢਿਆ ਜੋ ਪਹਿਲਾਂ ਓਸ਼ਨਲੋਟਸ ਸਮੂਹ ਦੁਆਰਾ ਵਰਤਿਆ ਗਿਆ ਸੀ। ਪਾਈਥਨ ਇਮੂਲੇਸ਼ਨ ਸਕ੍ਰਿਪਟ, ਜੋ ਅਸੀਂ ਮਾਰਚ 2018 ਵਿੱਚ ਜਾਰੀ ਕੀਤਾ ਸੀ, ਅਜੇ ਵੀ ਦੂਜੇ ਪੜਾਅ ਦੇ ਡੰਪ ਲਈ ਕੰਮ ਕਰਦਾ ਹੈ।

ਦੂਜਾ ਪੜਾਅ

ਭਾਗਾਂ ਨੂੰ ਹਟਾਉਣਾ

ਫਾਈਲ ਅਤੇ ਡਾਇਰੈਕਟਰੀ ਦੇ ਨਾਮ ਗਤੀਸ਼ੀਲ ਤੌਰ 'ਤੇ ਚੁਣੇ ਗਏ ਹਨ। ਕੋਡ ਬੇਤਰਤੀਬ ਢੰਗ ਨਾਲ ਚੱਲਣਯੋਗ ਜਾਂ DLL ਫਾਈਲ ਦਾ ਨਾਮ ਚੁਣਦਾ ਹੈ C:Windowssystem32. ਇਹ ਫਿਰ ਆਪਣੇ ਸਰੋਤਾਂ ਨੂੰ ਬੇਨਤੀ ਕਰਦਾ ਹੈ ਅਤੇ ਖੇਤਰ ਨੂੰ ਮੁੜ ਪ੍ਰਾਪਤ ਕਰਦਾ ਹੈ FileDescription ਫੋਲਡਰ ਨਾਮ ਦੇ ਤੌਰ ਤੇ ਵਰਤਣ ਲਈ. ਜੇਕਰ ਇਹ ਕੰਮ ਨਹੀਂ ਕਰਦਾ ਹੈ, ਤਾਂ ਕੋਡ ਬੇਤਰਤੀਬੇ ਡਾਇਰੈਕਟਰੀਆਂ ਵਿੱਚੋਂ ਇੱਕ ਫੋਲਡਰ ਨਾਮ ਚੁਣਦਾ ਹੈ %ProgramFiles% ਜ C:Windows (GetWindowsDirectoryW ਤੋਂ)। ਇਹ ਅਜਿਹੇ ਨਾਮ ਦੀ ਵਰਤੋਂ ਕਰਨ ਤੋਂ ਪਰਹੇਜ਼ ਕਰਦਾ ਹੈ ਜੋ ਮੌਜੂਦਾ ਫਾਈਲਾਂ ਨਾਲ ਟਕਰਾ ਸਕਦਾ ਹੈ ਅਤੇ ਇਹ ਯਕੀਨੀ ਬਣਾਉਂਦਾ ਹੈ ਕਿ ਇਸ ਵਿੱਚ ਹੇਠਾਂ ਦਿੱਤੇ ਸ਼ਬਦ ਨਹੀਂ ਹਨ: windows, Microsoft, desktop, system, system32 ਜ syswow64. ਜੇਕਰ ਡਾਇਰੈਕਟਰੀ ਪਹਿਲਾਂ ਤੋਂ ਮੌਜੂਦ ਹੈ, ਤਾਂ "NLS_{6 ਅੱਖਰ}" ਨਾਮ ਨਾਲ ਜੋੜਿਆ ਜਾਂਦਾ ਹੈ।

ਸਰੋਤ 0x102 ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਫਾਈਲਾਂ ਵਿੱਚ ਡੰਪ ਕੀਤਾ ਜਾਂਦਾ ਹੈ %ProgramFiles% ਜ %AppData%, ਇੱਕ ਬੇਤਰਤੀਬੇ ਚੁਣੇ ਫੋਲਡਰ ਵਿੱਚ. ਸਿਰਜਣ ਦੇ ਸਮੇਂ ਨੂੰ ਬਦਲਿਆ ਗਿਆ ਹੈ ਤਾਂ ਜੋ ਉਹੀ ਮੁੱਲ ਹੋਣ kernel32.dll.

ਉਦਾਹਰਨ ਲਈ, ਇੱਥੇ ਫੋਲਡਰ ਅਤੇ ਫਾਈਲਾਂ ਦੀ ਸੂਚੀ ਹੈ ਜੋ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਚੁਣ ਕੇ ਬਣਾਈ ਗਈ ਹੈ C:Windowssystem32TCPSVCS.exe ਇੱਕ ਡਾਟਾ ਸਰੋਤ ਦੇ ਤੌਰ ਤੇ.

ਚਿੱਤਰ 6. ਵੱਖ-ਵੱਖ ਭਾਗਾਂ ਨੂੰ ਕੱਢਣਾ

ਸਰੋਤ ਬਣਤਰ 0x102 ਇੱਕ ਡਰਾਪਰ ਵਿੱਚ ਕਾਫ਼ੀ ਗੁੰਝਲਦਾਰ ਹੈ. ਸੰਖੇਪ ਵਿੱਚ, ਇਸ ਵਿੱਚ ਸ਼ਾਮਲ ਹਨ:
- ਫਾਈਲ ਨਾਮ
- ਫਾਈਲ ਦਾ ਆਕਾਰ ਅਤੇ ਸਮੱਗਰੀ
- ਕੰਪਰੈਸ਼ਨ ਫਾਰਮੈਟ (COMPRESSION_FORMAT_LZNT1, ਫੰਕਸ਼ਨ ਦੁਆਰਾ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ RtlDecompressBuffer)

ਪਹਿਲੀ ਫਾਈਲ ਨੂੰ ਇਸ ਤਰ੍ਹਾਂ ਰੀਸੈਟ ਕੀਤਾ ਗਿਆ ਹੈ TCPSVCS.exe, ਜੋ ਕਿ ਜਾਇਜ਼ ਹੈ AcroTranscoder.exe (ਇਸਦੇ ਅਨੁਸਾਰ FileDescription, SHA-1: 2896738693A8F36CC7AD83EF1FA46F82F32BE5A3).

ਤੁਸੀਂ ਦੇਖਿਆ ਹੋਵੇਗਾ ਕਿ ਕੁਝ DLL ਫਾਈਲਾਂ 11 MB ਤੋਂ ਵੱਡੀਆਂ ਹਨ। ਇਹ ਇਸ ਲਈ ਹੈ ਕਿਉਂਕਿ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਦੇ ਅੰਦਰ ਬੇਤਰਤੀਬ ਡੇਟਾ ਦਾ ਇੱਕ ਵੱਡਾ ਨਿਰੰਤਰ ਬਫਰ ਰੱਖਿਆ ਗਿਆ ਹੈ। ਇਹ ਸੰਭਵ ਹੈ ਕਿ ਇਹ ਕੁਝ ਸੁਰੱਖਿਆ ਉਤਪਾਦਾਂ ਦੁਆਰਾ ਖੋਜ ਤੋਂ ਬਚਣ ਦਾ ਇੱਕ ਤਰੀਕਾ ਹੈ।

ਦ੍ਰਿੜਤਾ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਣਾ

ਸਰੋਤ 0x101 ਡਰਾਪਰ ਵਿੱਚ ਦੋ 32-ਬਿੱਟ ਪੂਰਨ ਅੰਕ ਹਨ ਜੋ ਇਹ ਦੱਸਦੇ ਹਨ ਕਿ ਨਿਰੰਤਰਤਾ ਕਿਵੇਂ ਪ੍ਰਦਾਨ ਕੀਤੀ ਜਾਣੀ ਚਾਹੀਦੀ ਹੈ। ਪਹਿਲੇ ਦਾ ਮੁੱਲ ਇਹ ਦੱਸਦਾ ਹੈ ਕਿ ਮਾਲਵੇਅਰ ਪ੍ਰਬੰਧਕ ਅਧਿਕਾਰਾਂ ਤੋਂ ਬਿਨਾਂ ਕਿਵੇਂ ਜਾਰੀ ਰਹੇਗਾ।

ਸਾਰਣੀ 1. ਪ੍ਰਸ਼ਾਸਕ ਦੇ ਅਧਿਕਾਰਾਂ ਤੋਂ ਬਿਨਾਂ ਨਿਰੰਤਰਤਾ ਵਿਧੀ

ਦੂਜੇ ਪੂਰਨ ਅੰਕ ਦਾ ਮੁੱਲ ਇਹ ਦਰਸਾਉਂਦਾ ਹੈ ਕਿ ਪ੍ਰਬੰਧਕ ਅਧਿਕਾਰਾਂ ਨਾਲ ਚੱਲਣ ਵੇਲੇ ਮਾਲਵੇਅਰ ਨੂੰ ਕਿਵੇਂ ਸਥਿਰਤਾ ਪ੍ਰਾਪਤ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ।

ਸਾਰਣੀ 2. ਪ੍ਰਸ਼ਾਸਕ ਦੇ ਅਧਿਕਾਰਾਂ ਨਾਲ ਸਥਿਰਤਾ ਵਿਧੀ

ਸੇਵਾ ਦਾ ਨਾਮ ਐਕਸਟੈਂਸ਼ਨ ਤੋਂ ਬਿਨਾਂ ਫਾਈਲ ਦਾ ਨਾਮ ਹੈ; ਡਿਸਪਲੇਅ ਨਾਮ ਫੋਲਡਰ ਦਾ ਨਾਮ ਹੈ, ਪਰ ਜੇਕਰ ਇਹ ਪਹਿਲਾਂ ਹੀ ਮੌਜੂਦ ਹੈ, ਤਾਂ ਸਤਰ "ਇਸ ਨਾਲ ਜੋੜਿਆ ਜਾਂਦਾ ਹੈRevision 1” (ਇੱਕ ਅਣਵਰਤਿਆ ਨਾਮ ਮਿਲਣ ਤੱਕ ਗਿਣਤੀ ਵਧਦੀ ਜਾਂਦੀ ਹੈ)। ਓਪਰੇਟਰਾਂ ਨੇ ਯਕੀਨੀ ਬਣਾਇਆ ਕਿ ਸੇਵਾ ਦੁਆਰਾ ਨਿਰੰਤਰਤਾ ਮਜ਼ਬੂਤ ​​ਸੀ - ਅਸਫਲ ਹੋਣ ਦੀ ਸਥਿਤੀ ਵਿੱਚ, ਸੇਵਾ ਨੂੰ 1 ਸਕਿੰਟ ਬਾਅਦ ਮੁੜ ਚਾਲੂ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ। ਫਿਰ ਮੁੱਲ WOW64 ਨਵੀਂ ਸੇਵਾ ਦੀ ਰਜਿਸਟਰੀ ਕੁੰਜੀ 4 'ਤੇ ਸੈੱਟ ਕੀਤੀ ਗਈ ਹੈ, ਇਹ ਦਰਸਾਉਂਦੀ ਹੈ ਕਿ ਇਹ 32-ਬਿੱਟ ਸੇਵਾ ਹੈ।

ਇੱਕ ਅਨੁਸੂਚਿਤ ਕੰਮ ਨੂੰ ਕਈ COM ਇੰਟਰਫੇਸਾਂ ਦੁਆਰਾ ਬਣਾਇਆ ਗਿਆ ਹੈ: ITaskScheduler, ITask, ITaskTrigger, IPersistFile и ITaskScheduler. ਅਸਲ ਵਿੱਚ, ਮਾਲਵੇਅਰ ਇੱਕ ਲੁਕਿਆ ਹੋਇਆ ਕੰਮ ਬਣਾਉਂਦਾ ਹੈ, ਮੌਜੂਦਾ ਉਪਭੋਗਤਾ ਜਾਂ ਪ੍ਰਬੰਧਕ ਜਾਣਕਾਰੀ ਦੇ ਨਾਲ ਖਾਤਾ ਜਾਣਕਾਰੀ ਸੈਟ ਕਰਦਾ ਹੈ, ਅਤੇ ਫਿਰ ਟਰਿੱਗਰ ਸੈਟ ਕਰਦਾ ਹੈ।

ਇਹ 24 ਘੰਟਿਆਂ ਦੀ ਮਿਆਦ ਅਤੇ 10 ਮਿੰਟਾਂ ਦੇ ਦੋ ਫਾਂਸੀ ਦੇ ਵਿਚਕਾਰ ਅੰਤਰਾਲ ਵਾਲਾ ਰੋਜ਼ਾਨਾ ਕੰਮ ਹੈ, ਜਿਸਦਾ ਮਤਲਬ ਹੈ ਕਿ ਇਹ ਲਗਾਤਾਰ ਚੱਲੇਗਾ।

ਖਤਰਨਾਕ ਬਿੱਟ

ਸਾਡੀ ਉਦਾਹਰਣ ਵਿੱਚ, ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ TCPSVCS.exe (AcroTranscoder.exe) ਇੱਕ ਜਾਇਜ਼ ਸਾਫਟਵੇਅਰ ਹੈ ਜੋ DLL ਲੋਡ ਕਰਦਾ ਹੈ ਜੋ ਇਸਦੇ ਨਾਲ ਰੀਸੈਟ ਹੁੰਦੇ ਹਨ। ਇਸ ਮਾਮਲੇ ਵਿੱਚ, ਇਹ ਦਿਲਚਸਪੀ ਹੈ Flash Video Extension.dll.

ਇਸ ਦਾ ਫੰਕਸ਼ਨ DLLMain ਸਿਰਫ਼ ਇੱਕ ਹੋਰ ਫੰਕਸ਼ਨ ਨੂੰ ਕਾਲ ਕਰਦਾ ਹੈ. ਕੁਝ ਅਸਪਸ਼ਟ ਭਵਿੱਖਬਾਣੀਆਂ ਮੌਜੂਦ ਹਨ:

ਚਿੱਤਰ 7. ਫਜ਼ੀ ਭਵਿੱਖਬਾਣੀ

ਇਹਨਾਂ ਗੁੰਮਰਾਹਕੁੰਨ ਜਾਂਚਾਂ ਤੋਂ ਬਾਅਦ, ਕੋਡ ਨੂੰ ਇੱਕ ਭਾਗ ਮਿਲਦਾ ਹੈ .text ਫਾਈਲ TCPSVCS.exe, ਇਸ ਦੇ ਬਚਾਅ ਨੂੰ ਬਦਲਦਾ ਹੈ PAGE_EXECUTE_READWRITE ਅਤੇ ਡਮੀ ਨਿਰਦੇਸ਼ਾਂ ਨੂੰ ਜੋੜ ਕੇ ਇਸਨੂੰ ਦੁਬਾਰਾ ਲਿਖਦਾ ਹੈ:

ਚਿੱਤਰ 8. ਨਿਰਦੇਸ਼ਾਂ ਦਾ ਕ੍ਰਮ

ਫੰਕਸ਼ਨ ਐਡਰੈੱਸ ਦੇ ਅੰਤ ਵਿੱਚ FLVCore::Uninitialize(void), ਨਿਰਯਾਤ Flash Video Extension.dll, ਹਦਾਇਤ ਸ਼ਾਮਲ ਕੀਤੀ ਗਈ ਹੈ CALL. ਇਸਦਾ ਮਤਲਬ ਹੈ ਕਿ ਖਤਰਨਾਕ DLL ਲੋਡ ਹੋਣ ਤੋਂ ਬਾਅਦ, ਜਦੋਂ ਰਨਟਾਈਮ ਕਾਲ ਕਰਦਾ ਹੈ WinMain в TCPSVCS.exe, ਹਦਾਇਤ ਪੁਆਇੰਟਰ NOP ਵੱਲ ਇਸ਼ਾਰਾ ਕਰੇਗਾ, ਜਿਸ ਨਾਲ FLVCore::Uninitialize(void), ਅਗਲਾ ਪੜਾਅ.

ਫੰਕਸ਼ਨ ਸਿਰਫ਼ ਇੱਕ ਮਿਊਟੇਕਸ ਬਣਾਉਂਦਾ ਹੈ ਜਿਸ ਨਾਲ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ {181C8480-A975-411C-AB0A-630DB8B0A221}ਮੌਜੂਦਾ ਉਪਭੋਗਤਾ ਨਾਮ ਦੇ ਬਾਅਦ. ਇਹ ਫਿਰ ਡੰਪ ਕੀਤੀ *.db3 ਫਾਈਲ ਨੂੰ ਪੜ੍ਹਦਾ ਹੈ, ਜਿਸ ਵਿੱਚ ਸਥਿਤੀ-ਸੁਤੰਤਰ ਕੋਡ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਵਰਤੋਂ ਕਰਦਾ ਹੈ CreateThread ਸਮੱਗਰੀ ਨੂੰ ਚਲਾਉਣ ਲਈ.

*.db3 ਫਾਈਲ ਦੀ ਸਮੱਗਰੀ ਸ਼ੈੱਲਕੋਡ ਹੈ ਜੋ OceanLotus ਸਮੂਹ ਆਮ ਤੌਰ 'ਤੇ ਵਰਤਦਾ ਹੈ। ਅਸੀਂ ਦੁਬਾਰਾ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤੀ ਈਮੂਲੇਟਰ ਸਕ੍ਰਿਪਟ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਇਸਦੇ ਪੇਲੋਡ ਨੂੰ ਸਫਲਤਾਪੂਰਵਕ ਅਨਪੈਕ ਕੀਤਾ ਹੈ GitHub 'ਤੇ.

ਸਕ੍ਰਿਪਟ ਅੰਤਮ ਪੜਾਅ ਨੂੰ ਕੱਢਦੀ ਹੈ। ਇਹ ਕੰਪੋਨੈਂਟ ਇੱਕ ਬੈਕਡੋਰ ਹੈ, ਜਿਸਦਾ ਅਸੀਂ ਪਹਿਲਾਂ ਹੀ ਵਿਸ਼ਲੇਸ਼ਣ ਕੀਤਾ ਹੈ ਪਿਛਲਾ OceanLotus ਅਧਿਐਨ. ਇਹ GUID ਦੁਆਰਾ ਨਿਰਧਾਰਤ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ {A96B020F-0000-466F-A96D-A91BBF8EAC96} ਬਾਈਨਰੀ ਫਾਈਲ. ਮਾਲਵੇਅਰ ਕੌਂਫਿਗਰੇਸ਼ਨ ਅਜੇ ਵੀ PE ਸਰੋਤ ਵਿੱਚ ਐਨਕ੍ਰਿਪਟ ਕੀਤੀ ਗਈ ਹੈ। ਇਸਦੀ ਲਗਭਗ ਇੱਕੋ ਜਿਹੀ ਸੰਰਚਨਾ ਹੈ, ਪਰ C&C ਸਰਵਰ ਪਿਛਲੇ ਸਰਵਰ ਨਾਲੋਂ ਵੱਖਰੇ ਹਨ:

- andreagahuvrauvin[.]com
- byronorenstein[.]com
- stienollmache[.]xyz

OceanLotus ਟੀਮ ਨੇ ਮੁੜ ਖੋਜ ਤੋਂ ਬਚਣ ਲਈ ਵੱਖ-ਵੱਖ ਤਕਨੀਕਾਂ ਦੇ ਸੁਮੇਲ ਦਾ ਪ੍ਰਦਰਸ਼ਨ ਕੀਤਾ। ਉਹ ਲਾਗ ਦੀ ਪ੍ਰਕਿਰਿਆ ਦੇ ਇੱਕ "ਸੁਧਾਰਿਤ" ਚਿੱਤਰ ਦੇ ਨਾਲ ਵਾਪਸ ਆਏ। ਬੇਤਰਤੀਬ ਨਾਮਾਂ ਦੀ ਚੋਣ ਕਰਕੇ ਅਤੇ ਬੇਤਰਤੀਬੇ ਡੇਟਾ ਨਾਲ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਭਰ ਕੇ, ਉਹ ਭਰੋਸੇਯੋਗ IoCs (ਹੈਸ਼ਾਂ ਅਤੇ ਫਾਈਲ ਨਾਮਾਂ ਦੇ ਅਧਾਰ ਤੇ) ਦੀ ਗਿਣਤੀ ਨੂੰ ਘਟਾਉਂਦੇ ਹਨ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਥਰਡ-ਪਾਰਟੀ DLL ਲੋਡਿੰਗ ਦੀ ਵਰਤੋਂ ਲਈ ਧੰਨਵਾਦ, ਹਮਲਾਵਰਾਂ ਨੂੰ ਸਿਰਫ ਜਾਇਜ਼ ਬਾਈਨਰੀ ਨੂੰ ਹਟਾਉਣ ਦੀ ਲੋੜ ਹੈ AcroTranscoder.

ਸਵੈ-ਐਕਟਰੈਕਟਿੰਗ ਪੁਰਾਲੇਖ

RTF ਫਾਈਲਾਂ ਤੋਂ ਬਾਅਦ, ਸਮੂਹ ਉਪਭੋਗਤਾ ਨੂੰ ਹੋਰ ਉਲਝਣ ਲਈ ਆਮ ਦਸਤਾਵੇਜ਼ ਆਈਕਨਾਂ ਦੇ ਨਾਲ ਸਵੈ-ਐਕਸਟਰੈਕਟਿੰਗ (SFX) ਪੁਰਾਲੇਖਾਂ ਵਿੱਚ ਚਲਾ ਗਿਆ। ਧਮਕੀ ਪੁਸਤਕ ਨੇ ਇਸ ਬਾਰੇ ਲਿਖਿਆ (ਚੀਨੀ ਵਿੱਚ ਲਿੰਕ). ਲਾਂਚ ਹੋਣ 'ਤੇ, ਸਵੈ-ਐਕਸਟਰੈਕਟ ਕਰਨ ਵਾਲੀਆਂ RAR ਫਾਈਲਾਂ ਨੂੰ ਛੱਡ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ .ocx ਐਕਸਟੈਂਸ਼ਨ ਵਾਲੇ DLL ਨੂੰ ਚਲਾਇਆ ਜਾਂਦਾ ਹੈ, ਜਿਸਦਾ ਅੰਤਮ ਪੇਲੋਡ ਪਹਿਲਾਂ ਦਸਤਾਵੇਜ਼ੀ ਕੀਤਾ ਗਿਆ ਹੈ। {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll. ਮੱਧ ਜਨਵਰੀ 2019 ਤੋਂ, OceanLotus ਇਸ ਤਕਨੀਕ ਦੀ ਮੁੜ ਵਰਤੋਂ ਕਰ ਰਿਹਾ ਹੈ, ਪਰ ਸਮੇਂ ਦੇ ਨਾਲ ਕੁਝ ਸੰਰਚਨਾਵਾਂ ਨੂੰ ਬਦਲ ਰਿਹਾ ਹੈ। ਇਸ ਭਾਗ ਵਿੱਚ ਅਸੀਂ ਤਕਨੀਕ ਅਤੇ ਬਦਲਾਅ ਬਾਰੇ ਗੱਲ ਕਰਾਂਗੇ।

ਇੱਕ ਲਾਲਚ ਬਣਾਉਣਾ

ਦਸਤਾਵੇਜ਼ THICH-THONG-LAC-HANH-THAP-THIEN-VIET-NAM (1).EXE (SHA-1: AC10F5B1D5ECAB22B7B418D6E98FA18E32BBDEAB) ਪਹਿਲੀ ਵਾਰ 2018 ਵਿੱਚ ਪਾਇਆ ਗਿਆ ਸੀ। ਇਹ SFX ਫਾਈਲ ਸਮਝਦਾਰੀ ਨਾਲ ਬਣਾਈ ਗਈ ਸੀ - ਵਰਣਨ ਵਿੱਚ (ਸੰਸਕਰਣ ਦੀ ਜਾਣਕਾਰੀ) ਇਹ ਕਹਿੰਦਾ ਹੈ ਕਿ ਇਹ ਇੱਕ JPEG ਚਿੱਤਰ ਹੈ। SFX ਸਕ੍ਰਿਪਟ ਇਸ ਤਰ੍ਹਾਂ ਦਿਖਾਈ ਦਿੰਦੀ ਹੈ:

ਚਿੱਤਰ 9. SFX ਕਮਾਂਡਾਂ

ਮਾਲਵੇਅਰ ਰੀਸੈੱਟ ਹੁੰਦਾ ਹੈ {9ec60ada-a200-4159-b310-8071892ed0c3}.ocx (SHA-1: EFAC23B0E6395B1178BCF7086F72344B24C04DCC), ਨਾਲ ਹੀ ਇੱਕ ਤਸਵੀਰ 2018 thich thong lac.jpg.

ਡਿਕੋਈ ਚਿੱਤਰ ਇਸ ਤਰ੍ਹਾਂ ਦਿਖਾਈ ਦਿੰਦਾ ਹੈ:

ਚਿੱਤਰ 10. ਡੀਕੋਈ ਚਿੱਤਰ

ਤੁਸੀਂ ਦੇਖਿਆ ਹੋਵੇਗਾ ਕਿ SFX ਸਕ੍ਰਿਪਟ ਦੀਆਂ ਪਹਿਲੀਆਂ ਦੋ ਲਾਈਨਾਂ OCX ਫਾਈਲ ਨੂੰ ਦੋ ਵਾਰ ਕਾਲ ਕਰਦੀਆਂ ਹਨ, ਪਰ ਇਹ ਕੋਈ ਗਲਤੀ ਨਹੀਂ ਹੈ।

{9ec60ada-a200-4159-b310-8071892ed0c3}.ocx (ShLd.dll)

ਇੱਕ OCX ਫਾਈਲ ਦਾ ਨਿਯੰਤਰਣ ਪ੍ਰਵਾਹ ਦੂਜੇ OceanLotus ਕੰਪੋਨੈਂਟਸ ਦੇ ਸਮਾਨ ਹੈ - ਬਹੁਤ ਸਾਰੇ ਕਮਾਂਡ ਕ੍ਰਮ JZ/JNZ и PUSH/RET, ਕੂੜਾ ਕੋਡ ਨਾਲ ਬਦਲਦੇ ਹੋਏ।

ਚਿੱਤਰ 11. ਅਸਪਸ਼ਟ ਕੋਡ

ਜੰਕ ਕੋਡ ਨੂੰ ਫਿਲਟਰ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਨਿਰਯਾਤ ਕਰੋ DllRegisterServer, ਬੁਲਾਇਆ regsvr32.exe, ਹੇਠ ਅਨੁਸਾਰ:

ਚਿੱਤਰ 12. ਮੂਲ ਇੰਸਟਾਲਰ ਕੋਡ

ਅਸਲ ਵਿੱਚ, ਪਹਿਲੀ ਕਾਲ 'ਤੇ DllRegisterServer ਨਿਰਯਾਤ ਰਜਿਸਟਰੀ ਮੁੱਲ ਸੈੱਟ ਕਰਦਾ ਹੈ HKCUSOFTWAREClassesCLSID{E08A0F4B-1F65-4D4D-9A09-BD4625B9C5A1}Model DLL ਵਿੱਚ ਐਨਕ੍ਰਿਪਟਡ ਆਫਸੈੱਟ ਲਈ (0x10001DE0).

ਜਦੋਂ ਫੰਕਸ਼ਨ ਨੂੰ ਦੂਜੀ ਵਾਰ ਬੁਲਾਇਆ ਜਾਂਦਾ ਹੈ, ਇਹ ਉਸੇ ਮੁੱਲ ਨੂੰ ਪੜ੍ਹਦਾ ਹੈ ਅਤੇ ਉਸ ਪਤੇ 'ਤੇ ਚਲਾਉਂਦਾ ਹੈ। ਇੱਥੋਂ ਸਰੋਤ ਅਤੇ RAM ਵਿੱਚ ਬਹੁਤ ਸਾਰੀਆਂ ਕਾਰਵਾਈਆਂ ਪੜ੍ਹੀਆਂ ਅਤੇ ਚਲਾਈਆਂ ਜਾਂਦੀਆਂ ਹਨ।

ਸ਼ੈੱਲਕੋਡ ਉਹੀ PE ਲੋਡਰ ਹੈ ਜੋ ਪਿਛਲੀਆਂ OceanLotus ਮੁਹਿੰਮਾਂ ਵਿੱਚ ਵਰਤਿਆ ਗਿਆ ਸੀ। ਇਸ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਨਕਲ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਸਾਡੀ ਸਕ੍ਰਿਪਟ. ਅੰਤ ਵਿੱਚ ਉਹ ਰੀਸੈਟ ਕਰਦਾ ਹੈ db293b825dcc419ba7dc2c49fa2757ee.dll, ਇਸਨੂੰ ਮੈਮੋਰੀ ਵਿੱਚ ਲੋਡ ਕਰਦਾ ਹੈ ਅਤੇ ਚਲਾਉਂਦਾ ਹੈ DllEntry.

DLL ਆਪਣੇ ਸਰੋਤ ਦੀ ਸਮੱਗਰੀ ਨੂੰ ਐਕਸਟਰੈਕਟ ਕਰਦਾ ਹੈ, ਡੀਕ੍ਰਿਪਟ (AES-256-CBC) ਕਰਦਾ ਹੈ ਅਤੇ ਇਸਨੂੰ ਡੀਕੰਪ੍ਰੈਸ ਕਰਦਾ ਹੈ (LZMA)। ਸਰੋਤ ਦਾ ਇੱਕ ਖਾਸ ਫਾਰਮੈਟ ਹੈ ਜੋ ਡੀਕੰਪਾਈਲ ਕਰਨਾ ਆਸਾਨ ਹੈ।

ਚਿੱਤਰ 13. ਇੰਸਟੌਲਰ ਸੰਰਚਨਾ ਢਾਂਚਾ (KaitaiStruct Visualizer)

ਸੰਰਚਨਾ ਸਪਸ਼ਟ ਤੌਰ ਤੇ ਨਿਰਧਾਰਤ ਕੀਤੀ ਗਈ ਹੈ - ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਪੱਧਰ ਦੇ ਅਧਾਰ ਤੇ, ਬਾਈਨਰੀ ਡੇਟਾ ਨੂੰ ਲਿਖਿਆ ਜਾਵੇਗਾ %appdata%IntellogsBackgroundUploadTask.cpl ਜ %windir%System32BackgroundUploadTask.cpl (ਜ SysWOW64 64-ਬਿੱਟ ਸਿਸਟਮਾਂ ਲਈ)।

ਨਾਮ ਦੇ ਨਾਲ ਇੱਕ ਕੰਮ ਬਣਾ ਕੇ ਹੋਰ ਨਿਰੰਤਰਤਾ ਨੂੰ ਯਕੀਨੀ ਬਣਾਇਆ ਜਾਂਦਾ ਹੈ BackgroundUploadTask[junk].jobਕਿੱਥੇ [junk] ਬਾਈਟਾਂ ਦੇ ਇੱਕ ਸਮੂਹ ਨੂੰ ਦਰਸਾਉਂਦਾ ਹੈ 0x9D и 0xA0.

ਕਾਰਜ ਐਪਲੀਕੇਸ਼ਨ ਦਾ ਨਾਮ %windir%System32control.exe, ਅਤੇ ਪੈਰਾਮੀਟਰ ਮੁੱਲ ਡਾਊਨਲੋਡ ਕੀਤੀ ਬਾਈਨਰੀ ਫਾਈਲ ਦਾ ਮਾਰਗ ਹੈ। ਲੁਕਿਆ ਹੋਇਆ ਕੰਮ ਹਰ ਰੋਜ਼ ਚੱਲਦਾ ਹੈ।

ਢਾਂਚਾਗਤ ਤੌਰ 'ਤੇ, ਇੱਕ CPL ਫਾਈਲ ਇੱਕ ਅੰਦਰੂਨੀ ਨਾਮ ਵਾਲੀ ਇੱਕ DLL ਹੈ ac8e06de0a6c4483af9837d96504127e.dll, ਜੋ ਇੱਕ ਫੰਕਸ਼ਨ ਨੂੰ ਨਿਰਯਾਤ ਕਰਦਾ ਹੈ CPlApplet. ਇਹ ਫਾਈਲ ਇਸਦੇ ਇੱਕੋ ਇੱਕ ਸਰੋਤ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਦੀ ਹੈ {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll, ਫਿਰ ਇਸ DLL ਨੂੰ ਲੋਡ ਕਰਦਾ ਹੈ ਅਤੇ ਇਸਦੇ ਇਕੋ-ਇਕ ਨਿਰਯਾਤ ਨੂੰ ਕਾਲ ਕਰਦਾ ਹੈ DllEntry.

ਬੈਕਡੋਰ ਕੌਂਫਿਗਰੇਸ਼ਨ ਫਾਈਲ

ਪਿਛਲੇ ਦਰਵਾਜ਼ੇ ਦੀ ਸੰਰਚਨਾ ਨੂੰ ਏਨਕ੍ਰਿਪਟ ਕੀਤਾ ਗਿਆ ਹੈ ਅਤੇ ਇਸਦੇ ਸਰੋਤਾਂ ਵਿੱਚ ਏਮਬੈਡ ਕੀਤਾ ਗਿਆ ਹੈ। ਸੰਰਚਨਾ ਫਾਇਲ ਦੀ ਬਣਤਰ ਪਿਛਲੇ ਇੱਕ ਦੇ ਸਮਾਨ ਹੈ.

ਚਿੱਤਰ 14. ਪਿਛਲੇ ਦਰਵਾਜ਼ੇ ਦੀ ਸੰਰਚਨਾ ਬਣਤਰ (ਕਾਈਟਾਈਸਟ੍ਰਕਟ ਵਿਜ਼ੂਅਲਾਈਜ਼ਰ)

ਹਾਲਾਂਕਿ ਢਾਂਚਾ ਸਮਾਨ ਹੈ, ਬਹੁਤ ਸਾਰੇ ਫੀਲਡ ਮੁੱਲਾਂ ਵਿੱਚ ਦਿਖਾਏ ਗਏ ਮੁੱਲਾਂ ਤੋਂ ਅੱਪਡੇਟ ਕੀਤੇ ਗਏ ਹਨ ਸਾਡੀ ਪੁਰਾਣੀ ਰਿਪੋਰਟ.

ਬਾਈਨਰੀ ਐਰੇ ਦੇ ਪਹਿਲੇ ਤੱਤ ਵਿੱਚ ਇੱਕ DLL (HttpProv.dll MD5: 2559738D1BD4A999126F900C7357B759), Tencent ਦੁਆਰਾ ਪਛਾਣ ਕੀਤੀ ਗਈ. ਪਰ ਕਿਉਂਕਿ ਬਾਈਨਰੀ ਤੋਂ ਨਿਰਯਾਤ ਦਾ ਨਾਮ ਹਟਾ ਦਿੱਤਾ ਗਿਆ ਸੀ, ਹੈਸ਼ ਮੇਲ ਨਹੀਂ ਖਾਂਦੇ।

ਵਧੀਕ ਖੋਜ

ਨਮੂਨੇ ਇਕੱਠੇ ਕਰਦੇ ਸਮੇਂ, ਅਸੀਂ ਕੁਝ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਵੱਲ ਧਿਆਨ ਦਿੱਤਾ। ਹੁਣੇ ਵਰਣਿਤ ਨਮੂਨਾ ਜੁਲਾਈ 2018 ਦੇ ਆਸਪਾਸ ਪ੍ਰਗਟ ਹੋਇਆ ਸੀ, ਅਤੇ ਇਸ ਵਰਗੇ ਹੋਰ ਵੀ ਹਾਲ ਹੀ ਵਿੱਚ ਜਨਵਰੀ ਦੇ ਅੱਧ ਤੋਂ ਫਰਵਰੀ 2019 ਦੇ ਸ਼ੁਰੂ ਵਿੱਚ ਪ੍ਰਗਟ ਹੋਏ ਸਨ। SFX ਪੁਰਾਲੇਖ ਨੂੰ ਇੱਕ ਲਾਗ ਵੈਕਟਰ ਦੇ ਤੌਰ ਤੇ ਵਰਤਿਆ ਗਿਆ ਸੀ, ਇੱਕ ਜਾਇਜ਼ ਡੀਕੋਏ ਦਸਤਾਵੇਜ਼ ਅਤੇ ਇੱਕ ਖਤਰਨਾਕ OSX ਫਾਈਲ ਨੂੰ ਛੱਡ ਦਿੱਤਾ ਗਿਆ ਸੀ।

ਭਾਵੇਂ OceanLotus ਜਾਅਲੀ ਟਾਈਮਸਟੈਂਪਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ, ਅਸੀਂ ਦੇਖਿਆ ਹੈ ਕਿ SFX ਅਤੇ OCX ਫਾਈਲਾਂ ਦੇ ਟਾਈਮਸਟੈਂਪ ਹਮੇਸ਼ਾ ਇੱਕੋ ਜਿਹੇ ਹੁੰਦੇ ਹਨ (0x57B0C36A (08/14/2016 @ 7:15pm UTC) ਅਤੇ 0x498BE80F (02/06/2009 @ 7:34am UTC) ਕ੍ਰਮਵਾਰ)। ਇਹ ਸ਼ਾਇਦ ਇਹ ਦਰਸਾਉਂਦਾ ਹੈ ਕਿ ਲੇਖਕਾਂ ਕੋਲ ਕੁਝ ਕਿਸਮ ਦਾ "ਡਿਜ਼ਾਈਨਰ" ਹੈ ਜੋ ਇੱਕੋ ਟੈਂਪਲੇਟ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ ਅਤੇ ਕੁਝ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਨੂੰ ਬਦਲਦਾ ਹੈ।

2018 ਦੀ ਸ਼ੁਰੂਆਤ ਤੋਂ ਅਸੀਂ ਜਿਨ੍ਹਾਂ ਦਸਤਾਵੇਜ਼ਾਂ ਦਾ ਅਧਿਐਨ ਕੀਤਾ ਹੈ, ਉਨ੍ਹਾਂ ਵਿੱਚ, ਹਮਲਾਵਰਾਂ ਦੀ ਦਿਲਚਸਪੀ ਵਾਲੇ ਦੇਸ਼ਾਂ ਨੂੰ ਦਰਸਾਉਣ ਵਾਲੇ ਵੱਖ-ਵੱਖ ਨਾਮ ਹਨ:

— ਕੰਬੋਡੀਆ ਮੀਡੀਆ ਦੀ ਨਵੀਂ ਸੰਪਰਕ ਜਾਣਕਾਰੀ(ਨਵਾਂ).xls.exe
— 李建香 (个人简历).exe (ਇੱਕ CV ਦਾ ਜਾਅਲੀ pdf ਦਸਤਾਵੇਜ਼)
— ਫੀਡਬੈਕ, ਜੁਲਾਈ 28-29, 2018.exe ਤੱਕ ਅਮਰੀਕਾ ਵਿੱਚ ਰੈਲੀ

ਜਦੋਂ ਤੋਂ ਪਿਛਲੇ ਦਰਵਾਜ਼ੇ ਦੀ ਖੋਜ ਕੀਤੀ ਗਈ ਸੀ {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll ਅਤੇ ਕਈ ਖੋਜਕਰਤਾਵਾਂ ਦੁਆਰਾ ਇਸਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਪ੍ਰਕਾਸ਼ਨ, ਅਸੀਂ ਮਾਲਵੇਅਰ ਕੌਂਫਿਗਰੇਸ਼ਨ ਡੇਟਾ ਵਿੱਚ ਕੁਝ ਤਬਦੀਲੀਆਂ ਵੇਖੀਆਂ।

ਪਹਿਲਾਂ, ਲੇਖਕਾਂ ਨੇ ਸਹਾਇਕ DLLs ਤੋਂ ਨਾਮ ਹਟਾਉਣੇ ਸ਼ੁਰੂ ਕੀਤੇ (DNSprov.dll ਅਤੇ ਦੋ ਸੰਸਕਰਣ HttpProv.dll). ਓਪਰੇਟਰਾਂ ਨੇ ਫਿਰ ਤੀਜੇ DLL (ਦੂਜੇ ਸੰਸਕਰਣ) ਨੂੰ ਪੈਕ ਕਰਨਾ ਬੰਦ ਕਰ ਦਿੱਤਾ HttpProv.dll), ਸਿਰਫ਼ ਇੱਕ ਨੂੰ ਏਮਬੈਡ ਕਰਨ ਲਈ ਚੁਣਨਾ।

ਦੂਜਾ, ਬਹੁਤ ਸਾਰੇ ਬੈਕਡੋਰ ਕੌਂਫਿਗਰੇਸ਼ਨ ਫੀਲਡ ਬਦਲੇ ਗਏ ਸਨ, ਬਹੁਤ ਸਾਰੇ IoC ਉਪਲਬਧ ਹੋਣ ਕਾਰਨ ਖੋਜ ਤੋਂ ਬਚਣ ਦੀ ਸੰਭਾਵਨਾ ਹੈ। ਲੇਖਕਾਂ ਦੁਆਰਾ ਸੰਸ਼ੋਧਿਤ ਮਹੱਤਵਪੂਰਨ ਖੇਤਰਾਂ ਵਿੱਚ ਸ਼ਾਮਲ ਹਨ:

• AppX ਰਜਿਸਟਰੀ ਕੁੰਜੀ ਬਦਲੀ ਗਈ (IoCs ਦੇਖੋ)
• mutex ਏਨਕੋਡਿੰਗ ਸਤਰ ("def", "abc", "ghi")
• ਪੋਰਟ ਨੰਬਰ

ਅੰਤ ਵਿੱਚ, ਵਿਸ਼ਲੇਸ਼ਣ ਕੀਤੇ ਗਏ ਸਾਰੇ ਨਵੇਂ ਸੰਸਕਰਣਾਂ ਵਿੱਚ IoCs ਭਾਗ ਵਿੱਚ ਸੂਚੀਬੱਧ ਨਵੇਂ C&Cs ਹਨ।

ਸਿੱਟਾ

OceanLotus ਦਾ ਵਿਕਾਸ ਜਾਰੀ ਹੈ। ਸਾਈਬਰ ਸਮੂਹ ਟੂਲਸ ਅਤੇ ਡੀਕੋਇਜ ਨੂੰ ਸ਼ੁੱਧ ਕਰਨ ਅਤੇ ਵਿਸਤਾਰ ਕਰਨ 'ਤੇ ਕੇਂਦ੍ਰਿਤ ਹੈ। ਲੇਖਕ ਧਿਆਨ ਖਿੱਚਣ ਵਾਲੇ ਦਸਤਾਵੇਜ਼ਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਖਤਰਨਾਕ ਪੇਲੋਡਾਂ ਦਾ ਭੇਸ ਬਣਾਉਂਦੇ ਹਨ ਜਿਨ੍ਹਾਂ ਦਾ ਵਿਸ਼ਾ ਇਰਾਦੇ ਵਾਲੇ ਪੀੜਤਾਂ ਨਾਲ ਸੰਬੰਧਿਤ ਹੈ। ਉਹ ਨਵੀਆਂ ਸਕੀਮਾਂ ਵਿਕਸਿਤ ਕਰਦੇ ਹਨ ਅਤੇ ਜਨਤਕ ਤੌਰ 'ਤੇ ਉਪਲਬਧ ਸਾਧਨਾਂ ਦੀ ਵਰਤੋਂ ਵੀ ਕਰਦੇ ਹਨ, ਜਿਵੇਂ ਕਿ ਸਮੀਕਰਨ ਸੰਪਾਦਕ ਸ਼ੋਸ਼ਣ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਉਹ ਪੀੜਤਾਂ ਦੀਆਂ ਮਸ਼ੀਨਾਂ 'ਤੇ ਬਚੇ ਹੋਏ ਕਲਾਕ੍ਰਿਤੀਆਂ ਦੀ ਸੰਖਿਆ ਨੂੰ ਘਟਾਉਣ ਲਈ ਸਾਧਨਾਂ ਵਿੱਚ ਸੁਧਾਰ ਕਰ ਰਹੇ ਹਨ, ਇਸ ਤਰ੍ਹਾਂ ਐਂਟੀਵਾਇਰਸ ਸੌਫਟਵੇਅਰ ਦੁਆਰਾ ਖੋਜਣ ਦੀ ਸੰਭਾਵਨਾ ਨੂੰ ਘਟਾ ਰਹੇ ਹਨ।

ਸਮਝੌਤੇ ਦੇ ਸੂਚਕ

ਸਮਝੌਤਾ ਦੇ ਸੂਚਕਾਂ ਦੇ ਨਾਲ-ਨਾਲ MITER ATT&CK ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਉਪਲਬਧ ਹਨ ਜੀਵਨ ਸੁਰੱਖਿਆ 'ਤੇ и GitHub 'ਤੇ.

ਸਰੋਤ: www.habr.com