RTM ਸਾਈਬਰ ਸਮੂਹ ਰੂਸੀ ਕੰਪਨੀਆਂ ਤੋਂ ਫੰਡ ਚੋਰੀ ਕਰਨ ਵਿੱਚ ਮਾਹਰ ਹੈ

ਇੱਥੇ ਕਈ ਜਾਣੇ ਜਾਂਦੇ ਸਾਈਬਰ ਸਮੂਹ ਹਨ ਜੋ ਰੂਸੀ ਕੰਪਨੀਆਂ ਤੋਂ ਫੰਡ ਚੋਰੀ ਕਰਨ ਵਿੱਚ ਮਾਹਰ ਹਨ। ਅਸੀਂ ਸੁਰੱਖਿਆ ਖਾਮੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਹਮਲੇ ਦੇਖੇ ਹਨ ਜੋ ਟੀਚੇ ਦੇ ਨੈਟਵਰਕ ਤੱਕ ਪਹੁੰਚ ਦੀ ਆਗਿਆ ਦਿੰਦੇ ਹਨ। ਇੱਕ ਵਾਰ ਜਦੋਂ ਉਹ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰ ਲੈਂਦੇ ਹਨ, ਹਮਲਾਵਰ ਸੰਗਠਨ ਦੇ ਨੈਟਵਰਕ ਢਾਂਚੇ ਦਾ ਅਧਿਐਨ ਕਰਦੇ ਹਨ ਅਤੇ ਫੰਡ ਚੋਰੀ ਕਰਨ ਲਈ ਆਪਣੇ ਖੁਦ ਦੇ ਟੂਲ ਲਗਾਉਂਦੇ ਹਨ। ਇਸ ਰੁਝਾਨ ਦੀ ਇੱਕ ਸ਼ਾਨਦਾਰ ਉਦਾਹਰਨ ਹੈਕਰ ਗਰੁੱਪ ਬੁਹਟਰੈਪ, ਕੋਬਾਲਟ ਅਤੇ ਕੋਰਕੋਵ ਹਨ।

RTM ਸਮੂਹ ਜਿਸ 'ਤੇ ਇਹ ਰਿਪੋਰਟ ਫੋਕਸ ਕਰਦੀ ਹੈ ਇਸ ਰੁਝਾਨ ਦਾ ਹਿੱਸਾ ਹੈ। ਇਹ ਡੈਲਫੀ ਵਿੱਚ ਲਿਖੇ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤੇ ਮਾਲਵੇਅਰ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ, ਜਿਸ ਨੂੰ ਅਸੀਂ ਹੇਠਾਂ ਦਿੱਤੇ ਭਾਗਾਂ ਵਿੱਚ ਹੋਰ ਵਿਸਥਾਰ ਵਿੱਚ ਦੇਖਾਂਗੇ। ESET ਟੈਲੀਮੈਟਰੀ ਸਿਸਟਮ ਵਿੱਚ ਇਹਨਾਂ ਟੂਲਸ ਦੇ ਪਹਿਲੇ ਟਰੇਸ 2015 ਦੇ ਅੰਤ ਵਿੱਚ ਲੱਭੇ ਗਏ ਸਨ। ਟੀਮ ਲੋੜ ਅਨੁਸਾਰ ਸੰਕਰਮਿਤ ਸਿਸਟਮਾਂ ਉੱਤੇ ਵੱਖ-ਵੱਖ ਨਵੇਂ ਮਾਡਿਊਲ ਲੋਡ ਕਰਦੀ ਹੈ। ਹਮਲਿਆਂ ਦਾ ਉਦੇਸ਼ ਰੂਸ ਅਤੇ ਕੁਝ ਗੁਆਂਢੀ ਦੇਸ਼ਾਂ ਵਿੱਚ ਰਿਮੋਟ ਬੈਂਕਿੰਗ ਪ੍ਰਣਾਲੀਆਂ ਦੇ ਉਪਭੋਗਤਾਵਾਂ 'ਤੇ ਹੈ।

1. ਉਦੇਸ਼

RTM ਮੁਹਿੰਮ ਦਾ ਉਦੇਸ਼ ਕਾਰਪੋਰੇਟ ਉਪਭੋਗਤਾਵਾਂ ਲਈ ਹੈ - ਇਹ ਉਹਨਾਂ ਪ੍ਰਕਿਰਿਆਵਾਂ ਤੋਂ ਸਪੱਸ਼ਟ ਹੈ ਜੋ ਹਮਲਾਵਰ ਇੱਕ ਸਮਝੌਤਾ ਸਿਸਟਮ ਵਿੱਚ ਖੋਜਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦੇ ਹਨ। ਰਿਮੋਟ ਬੈਂਕਿੰਗ ਪ੍ਰਣਾਲੀਆਂ ਨਾਲ ਕੰਮ ਕਰਨ ਲਈ ਲੇਖਾਕਾਰੀ ਸੌਫਟਵੇਅਰ 'ਤੇ ਫੋਕਸ ਹੈ।

RTM ਲਈ ਦਿਲਚਸਪੀ ਦੀਆਂ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦੀ ਸੂਚੀ ਬੁਹਟਰੈਪ ਸਮੂਹ ਦੀ ਅਨੁਸਾਰੀ ਸੂਚੀ ਨਾਲ ਮਿਲਦੀ ਜੁਲਦੀ ਹੈ, ਪਰ ਸਮੂਹਾਂ ਵਿੱਚ ਵੱਖ-ਵੱਖ ਲਾਗ ਵੈਕਟਰ ਹਨ। ਜੇ ਬੁਹਟਰੈਪ ਨੇ ਜਾਅਲੀ ਪੰਨਿਆਂ ਦੀ ਜ਼ਿਆਦਾ ਵਰਤੋਂ ਕੀਤੀ, ਤਾਂ RTM ਨੇ ਡਰਾਈਵ-ਬਾਈ ਡਾਉਨਲੋਡ ਹਮਲੇ (ਬ੍ਰਾਊਜ਼ਰ ਜਾਂ ਇਸਦੇ ਹਿੱਸਿਆਂ 'ਤੇ ਹਮਲੇ) ਅਤੇ ਈਮੇਲ ਦੁਆਰਾ ਸਪੈਮਿੰਗ ਦੀ ਵਰਤੋਂ ਕੀਤੀ। ਟੈਲੀਮੈਟਰੀ ਡੇਟਾ ਦੇ ਅਨੁਸਾਰ, ਧਮਕੀ ਦਾ ਉਦੇਸ਼ ਰੂਸ ਅਤੇ ਕਈ ਨੇੜਲੇ ਦੇਸ਼ਾਂ (ਯੂਕਰੇਨ, ਕਜ਼ਾਕਿਸਤਾਨ, ਚੈੱਕ ਗਣਰਾਜ, ਜਰਮਨੀ) 'ਤੇ ਹੈ। ਹਾਲਾਂਕਿ, ਪੁੰਜ ਵੰਡ ਪ੍ਰਣਾਲੀ ਦੀ ਵਰਤੋਂ ਦੇ ਕਾਰਨ, ਟੀਚੇ ਵਾਲੇ ਖੇਤਰਾਂ ਤੋਂ ਬਾਹਰ ਮਾਲਵੇਅਰ ਦਾ ਪਤਾ ਲਗਾਉਣਾ ਕੋਈ ਹੈਰਾਨੀ ਵਾਲੀ ਗੱਲ ਨਹੀਂ ਹੈ।

ਮਾਲਵੇਅਰ ਖੋਜਾਂ ਦੀ ਕੁੱਲ ਗਿਣਤੀ ਮੁਕਾਬਲਤਨ ਛੋਟੀ ਹੈ। ਦੂਜੇ ਪਾਸੇ, ਆਰਟੀਐਮ ਮੁਹਿੰਮ ਗੁੰਝਲਦਾਰ ਪ੍ਰੋਗਰਾਮਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੀ ਹੈ, ਜੋ ਇਹ ਦਰਸਾਉਂਦੀ ਹੈ ਕਿ ਹਮਲੇ ਬਹੁਤ ਜ਼ਿਆਦਾ ਨਿਸ਼ਾਨਾ ਹਨ।

ਅਸੀਂ RTM ਦੁਆਰਾ ਵਰਤੇ ਗਏ ਕਈ ਧੋਖੇਬਾਜ਼ ਦਸਤਾਵੇਜ਼ਾਂ ਦੀ ਖੋਜ ਕੀਤੀ ਹੈ, ਜਿਸ ਵਿੱਚ ਗੈਰ-ਮੌਜੂਦ ਇਕਰਾਰਨਾਮੇ, ਇਨਵੌਇਸ ਜਾਂ ਟੈਕਸ ਅਕਾਊਂਟਿੰਗ ਦਸਤਾਵੇਜ਼ ਸ਼ਾਮਲ ਹਨ। ਹਮਲੇ ਦੁਆਰਾ ਨਿਸ਼ਾਨਾ ਬਣਾਏ ਗਏ ਸੌਫਟਵੇਅਰ ਦੀ ਕਿਸਮ ਦੇ ਨਾਲ ਮਿਲ ਕੇ, ਲਾਲਚ ਦੀ ਪ੍ਰਕਿਰਤੀ, ਇਹ ਦਰਸਾਉਂਦੀ ਹੈ ਕਿ ਹਮਲਾਵਰ ਲੇਖਾ ਵਿਭਾਗ ਦੁਆਰਾ ਰੂਸੀ ਕੰਪਨੀਆਂ ਦੇ ਨੈਟਵਰਕ ਵਿੱਚ "ਪ੍ਰਵੇਸ਼" ਕਰ ਰਹੇ ਹਨ। ਸਮੂਹ ਨੇ ਉਸੇ ਯੋਜਨਾ ਦੇ ਅਨੁਸਾਰ ਕੰਮ ਕੀਤਾ ਬੁਹਟਰੈਪ 2014-2015 ਵਿੱਚ

ਖੋਜ ਦੌਰਾਨ, ਅਸੀਂ ਕਈ C&C ਸਰਵਰਾਂ ਨਾਲ ਗੱਲਬਾਤ ਕਰਨ ਦੇ ਯੋਗ ਸੀ। ਅਸੀਂ ਹੇਠਾਂ ਦਿੱਤੇ ਭਾਗਾਂ ਵਿੱਚ ਕਮਾਂਡਾਂ ਦੀ ਪੂਰੀ ਸੂਚੀ ਦੇਵਾਂਗੇ, ਪਰ ਹੁਣ ਲਈ ਅਸੀਂ ਕਹਿ ਸਕਦੇ ਹਾਂ ਕਿ ਕਲਾਇੰਟ ਕੀਲੌਗਰ ਤੋਂ ਸਿੱਧੇ ਹਮਲਾ ਕਰਨ ਵਾਲੇ ਸਰਵਰ ਨੂੰ ਡੇਟਾ ਟ੍ਰਾਂਸਫਰ ਕਰਦਾ ਹੈ, ਜਿੱਥੋਂ ਵਾਧੂ ਕਮਾਂਡਾਂ ਪ੍ਰਾਪਤ ਕੀਤੀਆਂ ਜਾਂਦੀਆਂ ਹਨ।

ਹਾਲਾਂਕਿ, ਉਹ ਦਿਨ ਜਦੋਂ ਤੁਸੀਂ ਸਿਰਫ਼ ਇੱਕ ਕਮਾਂਡ ਅਤੇ ਨਿਯੰਤਰਣ ਸਰਵਰ ਨਾਲ ਜੁੜ ਸਕਦੇ ਹੋ ਅਤੇ ਉਹ ਸਾਰਾ ਡੇਟਾ ਇਕੱਠਾ ਕਰ ਸਕਦੇ ਹੋ ਜਿਸ ਵਿੱਚ ਤੁਹਾਡੀ ਦਿਲਚਸਪੀ ਸੀ। ਅਸੀਂ ਸਰਵਰ ਤੋਂ ਕੁਝ ਸੰਬੰਧਿਤ ਕਮਾਂਡਾਂ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਵਾਸਤਵਿਕ ਲੌਗ ਫਾਈਲਾਂ ਨੂੰ ਦੁਬਾਰਾ ਬਣਾਇਆ ਹੈ।

ਉਹਨਾਂ ਵਿੱਚੋਂ ਪਹਿਲੀ ਫਾਈਲ 1c_to_kl.txt ਨੂੰ ਟ੍ਰਾਂਸਫਰ ਕਰਨ ਲਈ ਬੋਟ ਨੂੰ ਬੇਨਤੀ ਹੈ - 1C: ਐਂਟਰਪ੍ਰਾਈਜ਼ 8 ਪ੍ਰੋਗਰਾਮ ਦੀ ਇੱਕ ਟ੍ਰਾਂਸਪੋਰਟ ਫਾਈਲ, ਜਿਸਦੀ ਦਿੱਖ RTM ਦੁਆਰਾ ਸਰਗਰਮੀ ਨਾਲ ਨਿਗਰਾਨੀ ਕੀਤੀ ਜਾਂਦੀ ਹੈ. 1C ਇੱਕ ਟੈਕਸਟ ਫਾਈਲ ਵਿੱਚ ਆਊਟਗੋਇੰਗ ਭੁਗਤਾਨਾਂ 'ਤੇ ਡੇਟਾ ਅਪਲੋਡ ਕਰਕੇ ਰਿਮੋਟ ਬੈਂਕਿੰਗ ਪ੍ਰਣਾਲੀਆਂ ਨਾਲ ਗੱਲਬਾਤ ਕਰਦਾ ਹੈ। ਅੱਗੇ, ਭੁਗਤਾਨ ਆਰਡਰ ਦੇ ਸਵੈਚਾਲਨ ਅਤੇ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਲਈ ਫਾਈਲ ਰਿਮੋਟ ਬੈਂਕਿੰਗ ਸਿਸਟਮ ਨੂੰ ਭੇਜੀ ਜਾਂਦੀ ਹੈ।

ਫਾਈਲ ਵਿੱਚ ਭੁਗਤਾਨ ਵੇਰਵੇ ਸ਼ਾਮਲ ਹਨ। ਜੇਕਰ ਹਮਲਾਵਰ ਆਊਟਗੋਇੰਗ ਭੁਗਤਾਨਾਂ ਬਾਰੇ ਜਾਣਕਾਰੀ ਬਦਲਦੇ ਹਨ, ਤਾਂ ਤਬਾਦਲਾ ਹਮਲਾਵਰਾਂ ਦੇ ਖਾਤਿਆਂ ਵਿੱਚ ਗਲਤ ਵੇਰਵਿਆਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਭੇਜਿਆ ਜਾਵੇਗਾ।

ਕਮਾਂਡ ਅਤੇ ਕੰਟਰੋਲ ਸਰਵਰ ਤੋਂ ਇਹਨਾਂ ਫਾਈਲਾਂ ਦੀ ਬੇਨਤੀ ਕਰਨ ਤੋਂ ਲਗਭਗ ਇੱਕ ਮਹੀਨੇ ਬਾਅਦ, ਅਸੀਂ ਇੱਕ ਨਵਾਂ ਪਲੱਗਇਨ ਦੇਖਿਆ, 1c_2_kl.dll, ਸਮਝੌਤਾ ਕੀਤੇ ਸਿਸਟਮ ਉੱਤੇ ਲੋਡ ਕੀਤਾ ਜਾ ਰਿਹਾ ਹੈ। ਮੋਡੀਊਲ (DLL) ਨੂੰ ਲੇਖਾਕਾਰੀ ਸੌਫਟਵੇਅਰ ਪ੍ਰਕਿਰਿਆਵਾਂ ਵਿੱਚ ਪ੍ਰਵੇਸ਼ ਕਰਕੇ ਡਾਉਨਲੋਡ ਫਾਈਲ ਦਾ ਆਪਣੇ ਆਪ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ। ਅਸੀਂ ਹੇਠਾਂ ਦਿੱਤੇ ਭਾਗਾਂ ਵਿੱਚ ਇਸਦਾ ਵਿਸਥਾਰ ਨਾਲ ਵਰਣਨ ਕਰਾਂਗੇ।

ਦਿਲਚਸਪ ਗੱਲ ਇਹ ਹੈ ਕਿ, 2016 ਦੇ ਅੰਤ ਵਿੱਚ ਬੈਂਕ ਆਫ਼ ਰੂਸ ਦੇ FinCERT ਨੇ 1c_to_kl.txt ਅਪਲੋਡ ਫਾਈਲਾਂ ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਾਲੇ ਸਾਈਬਰ ਅਪਰਾਧੀਆਂ ਬਾਰੇ ਇੱਕ ਬੁਲੇਟਿਨ ਚੇਤਾਵਨੀ ਜਾਰੀ ਕੀਤੀ। 1C ਦੇ ਡਿਵੈਲਪਰ ਵੀ ਇਸ ਸਕੀਮ ਬਾਰੇ ਜਾਣਦੇ ਹਨ; ਉਹਨਾਂ ਨੇ ਪਹਿਲਾਂ ਹੀ ਇੱਕ ਅਧਿਕਾਰਤ ਬਿਆਨ ਦਿੱਤਾ ਹੈ ਅਤੇ ਸਾਵਧਾਨੀਆਂ ਨੂੰ ਸੂਚੀਬੱਧ ਕੀਤਾ ਹੈ।

ਹੋਰ ਮੋਡੀਊਲ ਵੀ ਕਮਾਂਡ ਸਰਵਰ ਤੋਂ ਲੋਡ ਕੀਤੇ ਗਏ ਸਨ, ਖਾਸ ਤੌਰ 'ਤੇ VNC (ਇਸਦੇ 32 ਅਤੇ 64-ਬਿੱਟ ਸੰਸਕਰਣ)। ਇਹ VNC ਮੋਡੀਊਲ ਵਰਗਾ ਹੈ ਜੋ ਪਹਿਲਾਂ ਡਰਾਈਡੇਕਸ ਟਰੋਜਨ ਹਮਲਿਆਂ ਵਿੱਚ ਵਰਤਿਆ ਗਿਆ ਸੀ। ਇਸ ਮੋਡੀਊਲ ਨੂੰ ਸੰਕਰਮਿਤ ਕੰਪਿਊਟਰ ਨਾਲ ਰਿਮੋਟਲੀ ਕਨੈਕਟ ਕਰਨ ਅਤੇ ਸਿਸਟਮ ਦਾ ਵਿਸਤ੍ਰਿਤ ਅਧਿਐਨ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ। ਅੱਗੇ, ਹਮਲਾਵਰ ਨੈੱਟਵਰਕ ਦੇ ਆਲੇ-ਦੁਆਲੇ ਘੁੰਮਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦੇ ਹਨ, ਉਪਭੋਗਤਾ ਪਾਸਵਰਡ ਕੱਢਦੇ ਹਨ, ਜਾਣਕਾਰੀ ਇਕੱਠੀ ਕਰਦੇ ਹਨ ਅਤੇ ਮਾਲਵੇਅਰ ਦੀ ਨਿਰੰਤਰ ਮੌਜੂਦਗੀ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਂਦੇ ਹਨ।

2. ਲਾਗ ਦੇ ਵੈਕਟਰ

ਨਿਮਨਲਿਖਤ ਚਿੱਤਰ ਮੁਹਿੰਮ ਦੇ ਅਧਿਐਨ ਦੀ ਮਿਆਦ ਦੇ ਦੌਰਾਨ ਖੋਜੇ ਗਏ ਇਨਫੈਕਸ਼ਨ ਵੈਕਟਰਾਂ ਨੂੰ ਦਰਸਾਉਂਦਾ ਹੈ। ਸਮੂਹ ਵੈਕਟਰਾਂ ਦੀ ਇੱਕ ਵਿਸ਼ਾਲ ਸ਼੍ਰੇਣੀ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ, ਪਰ ਮੁੱਖ ਤੌਰ 'ਤੇ ਡਾਉਨਲੋਡ ਹਮਲੇ ਅਤੇ ਸਪੈਮ ਦੁਆਰਾ ਚਲਾਏ ਜਾਂਦੇ ਹਨ। ਇਹ ਸਾਧਨ ਨਿਸ਼ਾਨਾ ਹਮਲਿਆਂ ਲਈ ਸੁਵਿਧਾਜਨਕ ਹਨ, ਕਿਉਂਕਿ ਪਹਿਲੇ ਕੇਸ ਵਿੱਚ, ਹਮਲਾਵਰ ਸੰਭਾਵੀ ਪੀੜਤਾਂ ਦੁਆਰਾ ਵਿਜ਼ਿਟ ਕੀਤੀਆਂ ਸਾਈਟਾਂ ਦੀ ਚੋਣ ਕਰ ਸਕਦੇ ਹਨ, ਅਤੇ ਦੂਜੇ ਵਿੱਚ, ਉਹ ਲੋੜੀਂਦੇ ਕੰਪਨੀ ਦੇ ਕਰਮਚਾਰੀਆਂ ਨੂੰ ਸਿੱਧੇ ਅਟੈਚਮੈਂਟਾਂ ਦੇ ਨਾਲ ਈਮੇਲ ਭੇਜ ਸਕਦੇ ਹਨ।

ਮਾਲਵੇਅਰ ਨੂੰ ਕਈ ਚੈਨਲਾਂ ਰਾਹੀਂ ਵੰਡਿਆ ਜਾਂਦਾ ਹੈ, ਜਿਸ ਵਿੱਚ RIG ਅਤੇ Sundown ਸ਼ੋਸ਼ਣ ਕਿੱਟਾਂ ਜਾਂ ਸਪੈਮ ਮੇਲਿੰਗ ਸ਼ਾਮਲ ਹਨ, ਜੋ ਹਮਲਾਵਰਾਂ ਅਤੇ ਇਹਨਾਂ ਸੇਵਾਵਾਂ ਦੀ ਪੇਸ਼ਕਸ਼ ਕਰਨ ਵਾਲੇ ਹੋਰ ਸਾਈਬਰ ਹਮਲਾਵਰਾਂ ਵਿਚਕਾਰ ਸਬੰਧਾਂ ਨੂੰ ਦਰਸਾਉਂਦੇ ਹਨ।

2.1 RTM ਅਤੇ Buhtrap ਕਿਵੇਂ ਸਬੰਧਿਤ ਹਨ?

RTM ਮੁਹਿੰਮ ਬੁਹਟਰੈਪ ਵਰਗੀ ਹੈ। ਕੁਦਰਤੀ ਸਵਾਲ ਇਹ ਹੈ: ਉਹ ਇੱਕ ਦੂਜੇ ਨਾਲ ਕਿਵੇਂ ਸਬੰਧਤ ਹਨ?

ਸਤੰਬਰ 2016 ਵਿੱਚ, ਅਸੀਂ ਬੁਹਟਰੈਪ ਅੱਪਲੋਡਰ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਵੰਡੇ ਜਾ ਰਹੇ ਇੱਕ RTM ਨਮੂਨੇ ਨੂੰ ਦੇਖਿਆ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਸਾਨੂੰ ਬੁਹਟਰੈਪ ਅਤੇ ਆਰਟੀਐਮ ਦੋਵਾਂ ਵਿੱਚ ਵਰਤੇ ਗਏ ਦੋ ਡਿਜੀਟਲ ਸਰਟੀਫਿਕੇਟ ਮਿਲੇ ਹਨ।

ਪਹਿਲਾ, ਕਥਿਤ ਤੌਰ 'ਤੇ ਕੰਪਨੀ DNISTER-M ਨੂੰ ਜਾਰੀ ਕੀਤਾ ਗਿਆ, ਦੂਜੇ ਡੇਲਫੀ ਫਾਰਮ (SHA-1: 025C718BA31E43DB1B87DC13F94A61A9338C11CE) ਅਤੇ ਬੁਹਟਰੈਪ ਡੀਐਲਐਲ (SHA-1: 1E2642B454CBD2BD889A) ਨੂੰ ਡਿਜੀਟਲ ਤੌਰ 'ਤੇ ਹਸਤਾਖਰ ਕਰਨ ਲਈ ਵਰਤਿਆ ਗਿਆ ਸੀ। 6)।

ਦੂਸਰਾ, ਬਿੱਟ-ਟ੍ਰਡਜ ਨੂੰ ਜਾਰੀ ਕੀਤਾ ਗਿਆ, ਬੇਸ਼ਰਾਪ ਲੋਡਰਾਂ ਤੇ ਦਸਤਖਤ ਕਰਨ ਲਈ ਵਰਤਿਆ ਗਿਆ ਸੀ (ਸ਼ਾ -1: 7c1b6fe1713acta923a243f], ਡਾ download ਨਲੋਡ ਅਤੇ ਸਥਾਪਤ ਕਰੋ.

RTM ਓਪਰੇਟਰ ਉਹਨਾਂ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ ਜੋ ਹੋਰ ਮਾਲਵੇਅਰ ਪਰਿਵਾਰਾਂ ਲਈ ਆਮ ਹਨ, ਪਰ ਉਹਨਾਂ ਕੋਲ ਇੱਕ ਵਿਲੱਖਣ ਸਰਟੀਫਿਕੇਟ ਵੀ ਹੈ। ESET ਟੈਲੀਮੈਟਰੀ ਦੇ ਅਨੁਸਾਰ, ਇਹ Kit-SD ਨੂੰ ਜਾਰੀ ਕੀਤਾ ਗਿਆ ਸੀ ਅਤੇ ਸਿਰਫ ਕੁਝ RTM ਮਾਲਵੇਅਰ (SHA-1: 42A4B04446A20993DDAE98B2BE6D5A797376D4B6) 'ਤੇ ਹਸਤਾਖਰ ਕਰਨ ਲਈ ਵਰਤਿਆ ਗਿਆ ਸੀ।

RTM ਉਸੇ ਲੋਡਰ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ ਜਿਵੇਂ ਕਿ ਬੁਹਟਰੈਪ, RTM ਕੰਪੋਨੈਂਟ ਬੁਹਟਰੈਪ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਤੋਂ ਲੋਡ ਕੀਤੇ ਜਾਂਦੇ ਹਨ, ਇਸਲਈ ਸਮੂਹਾਂ ਵਿੱਚ ਇੱਕੋ ਜਿਹੇ ਨੈੱਟਵਰਕ ਸੂਚਕ ਹੁੰਦੇ ਹਨ। ਹਾਲਾਂਕਿ, ਸਾਡੇ ਅਨੁਮਾਨਾਂ ਦੇ ਅਨੁਸਾਰ, RTM ਅਤੇ Buhtrap ਵੱਖ-ਵੱਖ ਸਮੂਹ ਹਨ, ਘੱਟੋ-ਘੱਟ ਕਿਉਂਕਿ RTM ਨੂੰ ਵੱਖ-ਵੱਖ ਤਰੀਕਿਆਂ ਨਾਲ ਵੰਡਿਆ ਜਾਂਦਾ ਹੈ (ਨਾ ਸਿਰਫ਼ "ਵਿਦੇਸ਼ੀ" ਡਾਊਨਲੋਡਰ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ)।

ਇਸਦੇ ਬਾਵਜੂਦ, ਹੈਕਰ ਸਮੂਹ ਸਮਾਨ ਓਪਰੇਟਿੰਗ ਸਿਧਾਂਤਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ। ਉਹ ਲੇਖਾਕਾਰੀ ਸੌਫਟਵੇਅਰ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਕਾਰੋਬਾਰਾਂ ਨੂੰ ਨਿਸ਼ਾਨਾ ਬਣਾਉਂਦੇ ਹਨ, ਇਸੇ ਤਰ੍ਹਾਂ ਸਿਸਟਮ ਦੀ ਜਾਣਕਾਰੀ ਇਕੱਠੀ ਕਰਦੇ ਹਨ, ਸਮਾਰਟ ਕਾਰਡ ਰੀਡਰਾਂ ਦੀ ਖੋਜ ਕਰਦੇ ਹਨ, ਅਤੇ ਪੀੜਤਾਂ ਦੀ ਜਾਸੂਸੀ ਕਰਨ ਲਈ ਖਤਰਨਾਕ ਸਾਧਨਾਂ ਦੀ ਇੱਕ ਲੜੀ ਨੂੰ ਤਾਇਨਾਤ ਕਰਦੇ ਹਨ।

3. ਵਿਕਾਸ

ਇਸ ਭਾਗ ਵਿੱਚ, ਅਸੀਂ ਅਧਿਐਨ ਦੌਰਾਨ ਮਿਲੇ ਮਾਲਵੇਅਰ ਦੇ ਵੱਖ-ਵੱਖ ਸੰਸਕਰਣਾਂ ਨੂੰ ਦੇਖਾਂਗੇ।

3.1 ਸੰਸਕਰਣ

RTM ਇੱਕ ਰਜਿਸਟਰੀ ਭਾਗ ਵਿੱਚ ਸੰਰਚਨਾ ਡੇਟਾ ਨੂੰ ਸਟੋਰ ਕਰਦਾ ਹੈ, ਸਭ ਤੋਂ ਦਿਲਚਸਪ ਹਿੱਸਾ ਬੋਟਨੈੱਟ-ਅਗੇਤਰ ਹੈ। ਸਾਡੇ ਦੁਆਰਾ ਅਧਿਐਨ ਕੀਤੇ ਗਏ ਨਮੂਨਿਆਂ ਵਿੱਚ ਦੇਖੇ ਗਏ ਸਾਰੇ ਮੁੱਲਾਂ ਦੀ ਸੂਚੀ ਹੇਠਾਂ ਦਿੱਤੀ ਸਾਰਣੀ ਵਿੱਚ ਪੇਸ਼ ਕੀਤੀ ਗਈ ਹੈ।

ਇਹ ਸੰਭਵ ਹੈ ਕਿ ਮੁੱਲਾਂ ਦੀ ਵਰਤੋਂ ਮਾਲਵੇਅਰ ਸੰਸਕਰਣਾਂ ਨੂੰ ਰਿਕਾਰਡ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ। ਹਾਲਾਂਕਿ, ਅਸੀਂ bit2 ਅਤੇ bit3, 0.1.6.4 ਅਤੇ 0.1.6.6 ਵਰਗੇ ਸੰਸਕਰਣਾਂ ਵਿੱਚ ਜ਼ਿਆਦਾ ਅੰਤਰ ਨਹੀਂ ਦੇਖਿਆ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਇੱਕ ਅਗੇਤਰ ਸ਼ੁਰੂ ਤੋਂ ਹੀ ਹੈ ਅਤੇ ਇੱਕ ਆਮ C&C ਡੋਮੇਨ ਤੋਂ ਇੱਕ .bit ਡੋਮੇਨ ਵਿੱਚ ਵਿਕਸਤ ਹੋਇਆ ਹੈ, ਜਿਵੇਂ ਕਿ ਹੇਠਾਂ ਦਿਖਾਇਆ ਜਾਵੇਗਾ।

3.2 ਸਮਾਸੂਚੀ, ਕਾਰਜ - ਕ੍ਰਮ

ਟੈਲੀਮੈਟਰੀ ਡੇਟਾ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, ਅਸੀਂ ਨਮੂਨਿਆਂ ਦੀ ਮੌਜੂਦਗੀ ਦਾ ਇੱਕ ਗ੍ਰਾਫ ਬਣਾਇਆ ਹੈ।

4. ਤਕਨੀਕੀ ਵਿਸ਼ਲੇਸ਼ਣ

ਇਸ ਭਾਗ ਵਿੱਚ, ਅਸੀਂ RTM ਬੈਂਕਿੰਗ ਟਰੋਜਨ ਦੇ ਮੁੱਖ ਕਾਰਜਾਂ ਦਾ ਵਰਣਨ ਕਰਾਂਗੇ, ਜਿਸ ਵਿੱਚ ਪ੍ਰਤੀਰੋਧਕ ਵਿਧੀ, RC4 ਐਲਗੋਰਿਦਮ ਦਾ ਆਪਣਾ ਸੰਸਕਰਣ, ਨੈਟਵਰਕ ਪ੍ਰੋਟੋਕੋਲ, ਜਾਸੂਸੀ ਕਾਰਜਕੁਸ਼ਲਤਾ ਅਤੇ ਕੁਝ ਹੋਰ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਸ਼ਾਮਲ ਹਨ। ਖਾਸ ਤੌਰ 'ਤੇ, ਅਸੀਂ SHA-1 ਨਮੂਨੇ AA0FA4584768CE9E16D67D8C529233E99FF1BBF0 ਅਤੇ 48BC113EC8BA20B8B80CD5D4DA92051A19D1032B 'ਤੇ ਧਿਆਨ ਕੇਂਦਰਿਤ ਕਰਾਂਗੇ।

4.1 ਇੰਸਟਾਲੇਸ਼ਨ ਅਤੇ ਬਚਤ

4.1.1. ਲਾਗੂ ਕਰਨ

RTM ਕੋਰ ਇੱਕ DLL ਹੈ, ਲਾਇਬ੍ਰੇਰੀ ਨੂੰ .EXE ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਡਿਸਕ ਉੱਤੇ ਲੋਡ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਆਮ ਤੌਰ 'ਤੇ ਪੈਕ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਅਤੇ ਇਸ ਵਿੱਚ DLL ਕੋਡ ਹੁੰਦਾ ਹੈ। ਇੱਕ ਵਾਰ ਲਾਂਚ ਹੋਣ ਤੋਂ ਬਾਅਦ, ਇਹ DLL ਨੂੰ ਐਕਸਟਰੈਕਟ ਕਰਦਾ ਹੈ ਅਤੇ ਹੇਠ ਦਿੱਤੀ ਕਮਾਂਡ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਇਸਨੂੰ ਚਲਾਉਂਦਾ ਹੈ:

rundll32.exe “%PROGRAMDATA%Winlogonwinlogon.lnk”,DllGetClassObject host

4.1.2 ਡੀ.ਐਲ.ਐਲ

ਮੁੱਖ DLL ਹਮੇਸ਼ਾ %PROGRAMDATA%Winlogon ਫੋਲਡਰ ਵਿੱਚ winlogon.lnk ਦੇ ਰੂਪ ਵਿੱਚ ਡਿਸਕ ਤੇ ਲੋਡ ਹੁੰਦਾ ਹੈ। ਇਹ ਫਾਈਲ ਐਕਸਟੈਂਸ਼ਨ ਆਮ ਤੌਰ 'ਤੇ ਇੱਕ ਸ਼ਾਰਟਕੱਟ ਨਾਲ ਜੁੜੀ ਹੁੰਦੀ ਹੈ, ਪਰ ਫਾਈਲ ਅਸਲ ਵਿੱਚ ਡੇਲਫੀ ਵਿੱਚ ਲਿਖੀ ਇੱਕ DLL ਹੈ, ਜਿਸਦਾ ਨਾਮ ਡਿਵੈਲਪਰ ਦੁਆਰਾ core.dll ਹੈ, ਜਿਵੇਂ ਕਿ ਹੇਠਾਂ ਚਿੱਤਰ ਵਿੱਚ ਦਿਖਾਇਆ ਗਿਆ ਹੈ।

Пример названия DLL F4C746696B0F5BB565D445EC49DD912993DE6361

ਇੱਕ ਵਾਰ ਲਾਂਚ ਹੋਣ ਤੋਂ ਬਾਅਦ, ਟਰੋਜਨ ਆਪਣੀ ਪ੍ਰਤੀਰੋਧ ਵਿਧੀ ਨੂੰ ਸਰਗਰਮ ਕਰਦਾ ਹੈ। ਸਿਸਟਮ ਵਿੱਚ ਪੀੜਤ ਦੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ 'ਤੇ ਨਿਰਭਰ ਕਰਦੇ ਹੋਏ, ਇਹ ਦੋ ਵੱਖ-ਵੱਖ ਤਰੀਕਿਆਂ ਨਾਲ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਜੇਕਰ ਤੁਹਾਡੇ ਕੋਲ ਪ੍ਰਸ਼ਾਸਕ ਦੇ ਅਧਿਕਾਰ ਹਨ, ਤਾਂ ਟ੍ਰੋਜਨ HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun ਰਜਿਸਟਰੀ ਵਿੱਚ ਵਿੰਡੋਜ਼ ਅੱਪਡੇਟ ਐਂਟਰੀ ਜੋੜਦਾ ਹੈ। ਵਿੰਡੋਜ਼ ਅੱਪਡੇਟ ਵਿੱਚ ਸ਼ਾਮਲ ਕਮਾਂਡਾਂ ਉਪਭੋਗਤਾ ਦੇ ਸੈਸ਼ਨ ਦੇ ਸ਼ੁਰੂ ਵਿੱਚ ਚੱਲਣਗੀਆਂ।

HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunWindows ਅੱਪਡੇਟ [REG_SZ] = rundll32.exe “%PROGRAMDATA%winlogon.lnk”,DllGetClassObject ਹੋਸਟ

ਟਰੋਜਨ ਵਿੰਡੋਜ਼ ਟਾਸਕ ਸ਼ਡਿਊਲਰ ਵਿੱਚ ਇੱਕ ਟਾਸਕ ਜੋੜਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਵੀ ਕਰਦਾ ਹੈ। ਟਾਸਕ Winlogon.lnk DLL ਨੂੰ ਉੱਪਰ ਦਿੱਤੇ ਸਮਾਨ ਪੈਰਾਮੀਟਰਾਂ ਨਾਲ ਲਾਂਚ ਕਰੇਗਾ। ਨਿਯਮਤ ਉਪਭੋਗਤਾ ਅਧਿਕਾਰ ਟ੍ਰੋਜਨ ਨੂੰ ਉਸੇ ਡੇਟਾ ਦੇ ਨਾਲ HKCUSoftwareMicrosoftWindowsCurrentVersionRun ਰਜਿਸਟਰੀ ਵਿੱਚ ਵਿੰਡੋਜ਼ ਅੱਪਡੇਟ ਐਂਟਰੀ ਜੋੜਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੇ ਹਨ:

rundll32.exe “%PROGRAMDATA%winlogon.lnk”,DllGetClassObject host

4.2 ਸੋਧਿਆ RC4 ਐਲਗੋਰਿਦਮ

ਇਸਦੀਆਂ ਜਾਣੀਆਂ-ਪਛਾਣੀਆਂ ਕਮੀਆਂ ਦੇ ਬਾਵਜੂਦ, RC4 ਐਲਗੋਰਿਦਮ ਮਾਲਵੇਅਰ ਲੇਖਕਾਂ ਦੁਆਰਾ ਨਿਯਮਿਤ ਤੌਰ 'ਤੇ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ। ਹਾਲਾਂਕਿ, RTM ਦੇ ਸਿਰਜਣਹਾਰਾਂ ਨੇ ਇਸਨੂੰ ਥੋੜ੍ਹਾ ਜਿਹਾ ਸੋਧਿਆ ਹੈ, ਸੰਭਵ ਤੌਰ 'ਤੇ ਵਾਇਰਸ ਵਿਸ਼ਲੇਸ਼ਕਾਂ ਦੇ ਕੰਮ ਨੂੰ ਹੋਰ ਮੁਸ਼ਕਲ ਬਣਾਉਣ ਲਈ. RC4 ਦਾ ਇੱਕ ਸੋਧਿਆ ਹੋਇਆ ਸੰਸਕਰਣ ਖਤਰਨਾਕ RTM ਟੂਲਸ ਵਿੱਚ ਸਟ੍ਰਿੰਗਸ, ਨੈੱਟਵਰਕ ਡੇਟਾ, ਕੌਂਫਿਗਰੇਸ਼ਨ ਅਤੇ ਮੋਡੀਊਲ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਨ ਲਈ ਵਿਆਪਕ ਤੌਰ 'ਤੇ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ।

4.2.1. ਅੰਤਰ

ਮੂਲ RC4 ਐਲਗੋਰਿਦਮ ਵਿੱਚ ਦੋ ਪੜਾਅ ਸ਼ਾਮਲ ਹਨ: s-ਬਲਾਕ ਅਰੰਭਕਰਨ (ਉਰਫ਼ KSA - ਕੀ-ਸ਼ਡਿਊਲਿੰਗ ਐਲਗੋਰਿਦਮ) ਅਤੇ ਸੂਡੋ-ਰੈਂਡਮ ਸੀਕੁਏਂਸ ਜਨਰੇਸ਼ਨ (PRGA - ਸੂਡੋ-ਰੈਂਡਮ ਜਨਰੇਸ਼ਨ ਐਲਗੋਰਿਦਮ)। ਪਹਿਲੇ ਪੜਾਅ ਵਿੱਚ ਕੁੰਜੀ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਐਸ-ਬਾਕਸ ਨੂੰ ਸ਼ੁਰੂ ਕਰਨਾ ਸ਼ਾਮਲ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਦੂਜੇ ਪੜਾਅ ਵਿੱਚ ਏਨਕ੍ਰਿਪਸ਼ਨ ਲਈ ਐਸ-ਬਾਕਸ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਸਰੋਤ ਟੈਕਸਟ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।

RTM ਲੇਖਕਾਂ ਨੇ s-ਬਾਕਸ ਸ਼ੁਰੂਆਤੀ ਅਤੇ ਏਨਕ੍ਰਿਪਸ਼ਨ ਦੇ ਵਿਚਕਾਰ ਇੱਕ ਵਿਚਕਾਰਲਾ ਕਦਮ ਜੋੜਿਆ ਹੈ। ਵਾਧੂ ਕੁੰਜੀ ਵੇਰੀਏਬਲ ਹੈ ਅਤੇ ਐਨਕ੍ਰਿਪਟ ਅਤੇ ਡੀਕ੍ਰਿਪਟ ਕੀਤੇ ਜਾਣ ਵਾਲੇ ਡੇਟਾ ਦੇ ਨਾਲ ਹੀ ਸੈੱਟ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਫੰਕਸ਼ਨ ਜੋ ਇਸ ਵਾਧੂ ਪਗ ਨੂੰ ਕਰਦਾ ਹੈ ਹੇਠਾਂ ਚਿੱਤਰ ਵਿੱਚ ਦਿਖਾਇਆ ਗਿਆ ਹੈ।

4.2.2. ਸਟ੍ਰਿੰਗ ਇਨਕ੍ਰਿਪਸ਼ਨ

ਪਹਿਲੀ ਨਜ਼ਰ 'ਤੇ, ਮੁੱਖ DLL ਵਿੱਚ ਕਈ ਪੜ੍ਹਨਯੋਗ ਲਾਈਨਾਂ ਹਨ. ਬਾਕੀ ਉੱਪਰ ਦੱਸੇ ਗਏ ਐਲਗੋਰਿਦਮ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਏਨਕ੍ਰਿਪਟ ਕੀਤੇ ਗਏ ਹਨ, ਜਿਸਦੀ ਬਣਤਰ ਹੇਠਾਂ ਦਿੱਤੀ ਚਿੱਤਰ ਵਿੱਚ ਦਿਖਾਈ ਗਈ ਹੈ। ਸਾਨੂੰ ਵਿਸ਼ਲੇਸ਼ਣ ਕੀਤੇ ਨਮੂਨਿਆਂ ਵਿੱਚ ਸਟ੍ਰਿੰਗ ਇਨਕ੍ਰਿਪਸ਼ਨ ਲਈ 25 ਤੋਂ ਵੱਧ ਵੱਖ-ਵੱਖ RC4 ਕੁੰਜੀਆਂ ਮਿਲੀਆਂ ਹਨ। XOR ਕੁੰਜੀ ਹਰੇਕ ਕਤਾਰ ਲਈ ਵੱਖਰੀ ਹੁੰਦੀ ਹੈ। ਅੰਕੀ ਖੇਤਰ ਨੂੰ ਵੱਖ ਕਰਨ ਵਾਲੀਆਂ ਲਾਈਨਾਂ ਦਾ ਮੁੱਲ ਹਮੇਸ਼ਾ 0xFFFFFFFFF ਹੁੰਦਾ ਹੈ।

ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਦੀ ਸ਼ੁਰੂਆਤ ਵਿੱਚ, RTM ਸਟ੍ਰਿੰਗਾਂ ਨੂੰ ਇੱਕ ਗਲੋਬਲ ਵੇਰੀਏਬਲ ਵਿੱਚ ਡੀਕ੍ਰਿਪਟ ਕਰਦਾ ਹੈ। ਜਦੋਂ ਇੱਕ ਸਟ੍ਰਿੰਗ ਨੂੰ ਐਕਸੈਸ ਕਰਨ ਲਈ ਜ਼ਰੂਰੀ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਟਰੋਜਨ ਬੇਸ ਐਡਰੈੱਸ ਅਤੇ ਆਫਸੈੱਟ ਦੇ ਅਧਾਰ 'ਤੇ ਡੀਕ੍ਰਿਪਟਡ ਸਟ੍ਰਿੰਗਾਂ ਦੇ ਪਤੇ ਦੀ ਗਤੀਸ਼ੀਲਤਾ ਨਾਲ ਗਣਨਾ ਕਰਦਾ ਹੈ।

ਸਤਰ ਵਿੱਚ ਮਾਲਵੇਅਰ ਦੇ ਫੰਕਸ਼ਨਾਂ ਬਾਰੇ ਦਿਲਚਸਪ ਜਾਣਕਾਰੀ ਹੁੰਦੀ ਹੈ। ਸੈਕਸ਼ਨ 6.8 ਵਿੱਚ ਕੁਝ ਉਦਾਹਰਣਾਂ ਦਿੱਤੀਆਂ ਗਈਆਂ ਹਨ।

4.3. ਨੈੱਟਵਰਕ

RTM ਮਾਲਵੇਅਰ ਦਾ C&C ਸਰਵਰ ਨਾਲ ਸੰਪਰਕ ਕਰਨ ਦਾ ਤਰੀਕਾ ਵਰਜਨ ਤੋਂ ਦੂਜੇ ਸੰਸਕਰਣ ਵਿੱਚ ਬਦਲਦਾ ਹੈ। ਪਹਿਲੀਆਂ ਸੋਧਾਂ (ਅਕਤੂਬਰ 2015 - ਅਪ੍ਰੈਲ 2016) ਨੇ ਹੁਕਮਾਂ ਦੀ ਸੂਚੀ ਨੂੰ ਅੱਪਡੇਟ ਕਰਨ ਲਈ livejournal.com 'ਤੇ ਇੱਕ RSS ਫੀਡ ਦੇ ਨਾਲ ਰਵਾਇਤੀ ਡੋਮੇਨ ਨਾਮਾਂ ਦੀ ਵਰਤੋਂ ਕੀਤੀ।

ਅਪ੍ਰੈਲ 2016 ਤੋਂ, ਅਸੀਂ ਟੈਲੀਮੈਟਰੀ ਡੇਟਾ ਵਿੱਚ .bit ਡੋਮੇਨਾਂ ਵਿੱਚ ਇੱਕ ਸ਼ਿਫਟ ਦੇਖਿਆ ਹੈ। ਇਹ ਡੋਮੇਨ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਮਿਤੀ ਦੁਆਰਾ ਪੁਸ਼ਟੀ ਕੀਤੀ ਗਈ ਹੈ - ਪਹਿਲਾ RTM ਡੋਮੇਨ fde05d0573da.bit 13 ਮਾਰਚ, 2016 ਨੂੰ ਰਜਿਸਟਰ ਕੀਤਾ ਗਿਆ ਸੀ।

ਮੁਹਿੰਮ ਦੀ ਨਿਗਰਾਨੀ ਕਰਦੇ ਹੋਏ ਅਸੀਂ ਜੋ ਵੀ URL ਦੇਖੇ ਹਨ ਉਹਨਾਂ ਦਾ ਇੱਕ ਸਾਂਝਾ ਮਾਰਗ ਸੀ: /r/z.php. ਇਹ ਕਾਫ਼ੀ ਅਸਾਧਾਰਨ ਹੈ ਅਤੇ ਇਹ ਨੈੱਟਵਰਕ ਪ੍ਰਵਾਹ ਵਿੱਚ RTM ਬੇਨਤੀਆਂ ਦੀ ਪਛਾਣ ਕਰਨ ਵਿੱਚ ਮਦਦ ਕਰੇਗਾ।

4.3.1. ਆਦੇਸ਼ਾਂ ਅਤੇ ਨਿਯੰਤਰਣ ਲਈ ਚੈਨਲ

ਪੁਰਾਤਨ ਉਦਾਹਰਨਾਂ ਨੇ ਇਸ ਚੈਨਲ ਦੀ ਵਰਤੋਂ ਆਪਣੇ ਕਮਾਂਡ ਅਤੇ ਕੰਟਰੋਲ ਸਰਵਰਾਂ ਦੀ ਸੂਚੀ ਨੂੰ ਅੱਪਡੇਟ ਕਰਨ ਲਈ ਕੀਤੀ। ਹੋਸਟਿੰਗ livejournal.com 'ਤੇ ਸਥਿਤ ਹੈ, ਰਿਪੋਰਟ ਲਿਖਣ ਦੇ ਸਮੇਂ ਇਹ URL hxxp://f72bba81c921(.)livejournal(.)com/ data/rss 'ਤੇ ਰਿਹਾ।

Livejournal ਇੱਕ ਰੂਸੀ-ਅਮਰੀਕੀ ਕੰਪਨੀ ਹੈ ਜੋ ਇੱਕ ਬਲੌਗਿੰਗ ਪਲੇਟਫਾਰਮ ਪ੍ਰਦਾਨ ਕਰਦੀ ਹੈ। RTM ਓਪਰੇਟਰ ਇੱਕ LJ ਬਲੌਗ ਬਣਾਉਂਦੇ ਹਨ ਜਿਸ ਵਿੱਚ ਉਹ ਕੋਡ ਕੀਤੇ ਕਮਾਂਡਾਂ ਦੇ ਨਾਲ ਇੱਕ ਲੇਖ ਪੋਸਟ ਕਰਦੇ ਹਨ - ਸਕ੍ਰੀਨਸ਼ੌਟ ਦੇਖੋ।

ਕਮਾਂਡ ਅਤੇ ਕੰਟਰੋਲ ਲਾਈਨਾਂ ਨੂੰ ਇੱਕ ਸੋਧੇ ਹੋਏ RC4 ਐਲਗੋਰਿਦਮ (ਸੈਕਸ਼ਨ 4.2) ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਏਨਕੋਡ ਕੀਤਾ ਗਿਆ ਹੈ। ਚੈਨਲ ਦੇ ਮੌਜੂਦਾ ਸੰਸਕਰਣ (ਨਵੰਬਰ 2016) ਵਿੱਚ ਹੇਠਾਂ ਦਿੱਤੇ ਕਮਾਂਡ ਅਤੇ ਕੰਟਰੋਲ ਸਰਵਰ ਪਤੇ ਸ਼ਾਮਲ ਹਨ:

• hxxp://cainmoon(.)net/r/z.php
• hxxp://rtm(.)dev/0-3/z.php
• hxxp://vpntap(.)top/r/z.php

4.3.2 .bit ਡੋਮੇਨ

ਸਭ ਤੋਂ ਤਾਜ਼ਾ RTM ਨਮੂਨਿਆਂ ਵਿੱਚ, ਲੇਖਕ .bit TLD ਸਿਖਰ-ਪੱਧਰੀ ਡੋਮੇਨ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ C&C ਡੋਮੇਨਾਂ ਨਾਲ ਜੁੜਦੇ ਹਨ। ਇਹ ICANN (ਡੋਮੇਨ ਨਾਮ ਅਤੇ ਇੰਟਰਨੈਟ ਕਾਰਪੋਰੇਸ਼ਨ) ਸਿਖਰ-ਪੱਧਰ ਦੇ ਡੋਮੇਨਾਂ ਦੀ ਸੂਚੀ ਵਿੱਚ ਨਹੀਂ ਹੈ। ਇਸ ਦੀ ਬਜਾਏ, ਇਹ Namecoin ਸਿਸਟਮ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ, ਜੋ ਕਿ ਬਿਟਕੋਇਨ ਤਕਨਾਲੋਜੀ ਦੇ ਸਿਖਰ 'ਤੇ ਬਣਾਇਆ ਗਿਆ ਹੈ। ਮਾਲਵੇਅਰ ਲੇਖਕ ਅਕਸਰ ਆਪਣੇ ਡੋਮੇਨ ਲਈ .bit TLD ਦੀ ਵਰਤੋਂ ਨਹੀਂ ਕਰਦੇ ਹਨ, ਹਾਲਾਂਕਿ ਇਸ ਤਰ੍ਹਾਂ ਦੀ ਵਰਤੋਂ ਦੀ ਇੱਕ ਉਦਾਹਰਣ ਪਹਿਲਾਂ Necurs botnet ਦੇ ਇੱਕ ਸੰਸਕਰਣ ਵਿੱਚ ਦੇਖੀ ਗਈ ਹੈ।

ਬਿਟਕੋਇਨ ਦੇ ਉਲਟ, ਵਿਤਰਿਤ ਨੇਮਕੋਇਨ ਡੇਟਾਬੇਸ ਦੇ ਉਪਭੋਗਤਾਵਾਂ ਕੋਲ ਡੇਟਾ ਨੂੰ ਬਚਾਉਣ ਦੀ ਸਮਰੱਥਾ ਹੈ। ਇਸ ਵਿਸ਼ੇਸ਼ਤਾ ਦਾ ਮੁੱਖ ਕਾਰਜ .bit ਸਿਖਰ-ਪੱਧਰ ਦਾ ਡੋਮੇਨ ਹੈ। ਤੁਸੀਂ ਉਹਨਾਂ ਡੋਮੇਨਾਂ ਨੂੰ ਰਜਿਸਟਰ ਕਰ ਸਕਦੇ ਹੋ ਜੋ ਇੱਕ ਵਿਤਰਿਤ ਡੇਟਾਬੇਸ ਵਿੱਚ ਸਟੋਰ ਕੀਤੇ ਜਾਣਗੇ। ਡੇਟਾਬੇਸ ਵਿੱਚ ਸੰਬੰਧਿਤ ਐਂਟਰੀਆਂ ਵਿੱਚ ਡੋਮੇਨ ਦੁਆਰਾ ਹੱਲ ਕੀਤੇ IP ਪਤੇ ਹੁੰਦੇ ਹਨ। ਇਹ TLD "ਸੈਂਸਰਸ਼ਿਪ-ਰੋਧਕ" ਹੈ ਕਿਉਂਕਿ ਸਿਰਫ਼ ਰਜਿਸਟਰਾਰ ਹੀ .bit ਡੋਮੇਨ ਦੇ ਰੈਜ਼ੋਲਿਊਸ਼ਨ ਨੂੰ ਬਦਲ ਸਕਦਾ ਹੈ। ਇਸਦਾ ਮਤਲਬ ਹੈ ਕਿ ਇਸ ਕਿਸਮ ਦੇ TLD ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਇੱਕ ਖਤਰਨਾਕ ਡੋਮੇਨ ਨੂੰ ਰੋਕਣਾ ਬਹੁਤ ਮੁਸ਼ਕਲ ਹੈ.

RTM ਟਰੋਜਨ ਵੰਡੇ ਗਏ Namecoin ਡੇਟਾਬੇਸ ਨੂੰ ਪੜ੍ਹਨ ਲਈ ਲੋੜੀਂਦੇ ਸੌਫਟਵੇਅਰ ਨੂੰ ਏਮਬੈਡ ਨਹੀਂ ਕਰਦਾ ਹੈ। ਇਹ .bit ਡੋਮੇਨਾਂ ਨੂੰ ਹੱਲ ਕਰਨ ਲਈ ਕੇਂਦਰੀ DNS ਸਰਵਰਾਂ ਜਿਵੇਂ ਕਿ dns.dot-bit.org ਜਾਂ OpenNic ਸਰਵਰਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ। ਇਸ ਲਈ, ਇਸ ਵਿੱਚ DNS ਸਰਵਰਾਂ ਵਾਂਗ ਹੀ ਟਿਕਾਊਤਾ ਹੈ। ਅਸੀਂ ਦੇਖਿਆ ਹੈ ਕਿ ਬਲੌਗ ਪੋਸਟ ਵਿੱਚ ਜ਼ਿਕਰ ਕੀਤੇ ਜਾਣ ਤੋਂ ਬਾਅਦ ਕੁਝ ਟੀਮ ਡੋਮੇਨ ਖੋਜੇ ਨਹੀਂ ਗਏ ਸਨ।

ਹੈਕਰਾਂ ਲਈ .bit TLD ਦਾ ਇੱਕ ਹੋਰ ਫਾਇਦਾ ਲਾਗਤ ਹੈ। ਇੱਕ ਡੋਮੇਨ ਰਜਿਸਟਰ ਕਰਨ ਲਈ, ਓਪਰੇਟਰਾਂ ਨੂੰ ਸਿਰਫ 0,01 NK ਦਾ ਭੁਗਤਾਨ ਕਰਨ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ, ਜੋ ਕਿ $0,00185 (ਦਸੰਬਰ 5, 2016 ਤੱਕ) ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੈ। ਤੁਲਨਾ ਲਈ, domain.com ਦੀ ਲਾਗਤ ਘੱਟੋ ਘੱਟ $10 ਹੈ।

4.3.3. ਪ੍ਰੋਟੋਕੋਲ

ਕਮਾਂਡ ਅਤੇ ਕੰਟਰੋਲ ਸਰਵਰ ਨਾਲ ਸੰਚਾਰ ਕਰਨ ਲਈ, RTM ਇੱਕ ਕਸਟਮ ਪ੍ਰੋਟੋਕੋਲ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਫਾਰਮੈਟ ਕੀਤੇ ਡੇਟਾ ਦੇ ਨਾਲ HTTP POST ਬੇਨਤੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ। ਮਾਰਗ ਮੁੱਲ ਹਮੇਸ਼ਾ /r/z.php; ਮੋਜ਼ੀਲਾ/5.0 ਉਪਭੋਗਤਾ ਏਜੰਟ (ਅਨੁਕੂਲ; MSIE 9.0; ਵਿੰਡੋਜ਼ NT 6.1; ਟ੍ਰਾਈਡੈਂਟ/5.0)। ਸਰਵਰ ਨੂੰ ਬੇਨਤੀਆਂ ਵਿੱਚ, ਡੇਟਾ ਨੂੰ ਇਸ ਤਰ੍ਹਾਂ ਫਾਰਮੈਟ ਕੀਤਾ ਗਿਆ ਹੈ, ਜਿੱਥੇ ਆਫਸੈੱਟ ਮੁੱਲ ਬਾਈਟਾਂ ਵਿੱਚ ਦਰਸਾਏ ਗਏ ਹਨ:

ਬਾਈਟ 0 ਤੋਂ 6 ਏਨਕੋਡ ਨਹੀਂ ਹਨ; 6 ਤੋਂ ਸ਼ੁਰੂ ਹੋਣ ਵਾਲੇ ਬਾਈਟਾਂ ਨੂੰ ਇੱਕ ਸੋਧੇ ਹੋਏ RC4 ਐਲਗੋਰਿਦਮ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਏਨਕੋਡ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। C&C ਜਵਾਬ ਪੈਕੇਟ ਦੀ ਬਣਤਰ ਸਰਲ ਹੈ। ਬਾਈਟਾਂ ਨੂੰ 4 ਤੋਂ ਲੈ ਕੇ ਪੈਕੇਟ ਆਕਾਰ ਤੱਕ ਏਨਕੋਡ ਕੀਤਾ ਗਿਆ ਹੈ।

ਸੰਭਾਵਿਤ ਐਕਸ਼ਨ ਬਾਈਟ ਮੁੱਲਾਂ ਦੀ ਸੂਚੀ ਹੇਠਾਂ ਦਿੱਤੀ ਸਾਰਣੀ ਵਿੱਚ ਪੇਸ਼ ਕੀਤੀ ਗਈ ਹੈ:

ਮਾਲਵੇਅਰ ਹਮੇਸ਼ਾਂ ਡੀਕ੍ਰਿਪਟ ਕੀਤੇ ਡੇਟਾ ਦੇ CRC32 ਦੀ ਗਣਨਾ ਕਰਦਾ ਹੈ ਅਤੇ ਇਸਦੀ ਤੁਲਨਾ ਪੈਕੇਟ ਵਿੱਚ ਮੌਜੂਦ ਚੀਜ਼ਾਂ ਨਾਲ ਕਰਦਾ ਹੈ। ਜੇ ਉਹ ਵੱਖਰੇ ਹਨ, ਤਾਂ ਟਰੋਜਨ ਪੈਕੇਟ ਨੂੰ ਸੁੱਟ ਦਿੰਦਾ ਹੈ।
ਵਾਧੂ ਡੇਟਾ ਵਿੱਚ ਇੱਕ PE ਫਾਈਲ, ਫਾਈਲ ਸਿਸਟਮ ਵਿੱਚ ਖੋਜੀ ਜਾਣ ਵਾਲੀ ਇੱਕ ਫਾਈਲ, ਜਾਂ ਨਵੇਂ ਕਮਾਂਡ URL ਸਮੇਤ ਕਈ ਵਸਤੂਆਂ ਹੋ ਸਕਦੀਆਂ ਹਨ।

4.3.4. ਪੈਨਲ

ਅਸੀਂ ਦੇਖਿਆ ਹੈ ਕਿ RTM C&C ਸਰਵਰਾਂ 'ਤੇ ਇੱਕ ਪੈਨਲ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ। ਹੇਠਾਂ ਸਕ੍ਰੀਨਸ਼ੌਟ:

4.4 ਵਿਸ਼ੇਸ਼ਤਾ ਚਿੰਨ੍ਹ

RTM ਇੱਕ ਆਮ ਬੈਂਕਿੰਗ ਟਰੋਜਨ ਹੈ। ਇਹ ਕੋਈ ਹੈਰਾਨੀ ਦੀ ਗੱਲ ਨਹੀਂ ਹੈ ਕਿ ਓਪਰੇਟਰ ਪੀੜਤ ਦੇ ਸਿਸਟਮ ਬਾਰੇ ਜਾਣਕਾਰੀ ਚਾਹੁੰਦੇ ਹਨ। ਇੱਕ ਪਾਸੇ, ਬੋਟ OS ਬਾਰੇ ਆਮ ਜਾਣਕਾਰੀ ਇਕੱਠੀ ਕਰਦਾ ਹੈ। ਦੂਜੇ ਪਾਸੇ, ਇਹ ਪਤਾ ਲਗਾਉਂਦਾ ਹੈ ਕਿ ਕੀ ਸਮਝੌਤਾ ਕੀਤੇ ਸਿਸਟਮ ਵਿੱਚ ਰੂਸੀ ਰਿਮੋਟ ਬੈਂਕਿੰਗ ਪ੍ਰਣਾਲੀਆਂ ਨਾਲ ਸੰਬੰਧਿਤ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਸ਼ਾਮਲ ਹਨ।

4.4.1. ਆਮ ਜਾਣਕਾਰੀ

ਜਦੋਂ ਮਾਲਵੇਅਰ ਰੀਬੂਟ ਤੋਂ ਬਾਅਦ ਸਥਾਪਿਤ ਜਾਂ ਲਾਂਚ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਕਮਾਂਡ ਅਤੇ ਕੰਟਰੋਲ ਸਰਵਰ ਨੂੰ ਇੱਕ ਰਿਪੋਰਟ ਭੇਜੀ ਜਾਂਦੀ ਹੈ ਜਿਸ ਵਿੱਚ ਆਮ ਜਾਣਕਾਰੀ ਸ਼ਾਮਲ ਹੁੰਦੀ ਹੈ:

• ਸਮਾਂ ਖੇਤਰ;
• ਡਿਫਾਲਟ ਸਿਸਟਮ ਭਾਸ਼ਾ;
• ਅਧਿਕਾਰਤ ਉਪਭੋਗਤਾ ਪ੍ਰਮਾਣ ਪੱਤਰ;
• ਪ੍ਰਕਿਰਿਆ ਦੀ ਇਕਸਾਰਤਾ ਦਾ ਪੱਧਰ;
• ਉਪਭੋਗਤਾ ਨਾਮ;
• ਕੰਪਿਊਟਰ ਦਾ ਨਾਮ;
• OS ਸੰਸਕਰਣ;
• ਵਾਧੂ ਸਥਾਪਿਤ ਮੋਡੀਊਲ;
• ਸਥਾਪਤ ਐਂਟੀਵਾਇਰਸ ਪ੍ਰੋਗਰਾਮ;
• ਸਮਾਰਟ ਕਾਰਡ ਰੀਡਰਾਂ ਦੀ ਸੂਚੀ।

4.4.2 ਰਿਮੋਟ ਬੈਂਕਿੰਗ ਸਿਸਟਮ

ਇੱਕ ਆਮ ਟਰੋਜਨ ਟੀਚਾ ਇੱਕ ਰਿਮੋਟ ਬੈਂਕਿੰਗ ਸਿਸਟਮ ਹੈ, ਅਤੇ RTM ਕੋਈ ਅਪਵਾਦ ਨਹੀਂ ਹੈ। ਪ੍ਰੋਗਰਾਮ ਦੇ ਇੱਕ ਮੋਡੀਊਲ ਨੂੰ TBdo ਕਿਹਾ ਜਾਂਦਾ ਹੈ, ਜੋ ਡਿਸਕਾਂ ਨੂੰ ਸਕੈਨ ਕਰਨਾ ਅਤੇ ਬ੍ਰਾਊਜ਼ਿੰਗ ਇਤਿਹਾਸ ਸਮੇਤ ਵੱਖ-ਵੱਖ ਕਾਰਜ ਕਰਦਾ ਹੈ।

ਡਿਸਕ ਨੂੰ ਸਕੈਨ ਕਰਕੇ, ਟਰੋਜਨ ਜਾਂਚ ਕਰਦਾ ਹੈ ਕਿ ਮਸ਼ੀਨ 'ਤੇ ਬੈਂਕਿੰਗ ਸੌਫਟਵੇਅਰ ਇੰਸਟਾਲ ਹੈ ਜਾਂ ਨਹੀਂ। ਟਾਰਗੇਟ ਪ੍ਰੋਗਰਾਮਾਂ ਦੀ ਪੂਰੀ ਸੂਚੀ ਹੇਠਾਂ ਦਿੱਤੀ ਸਾਰਣੀ ਵਿੱਚ ਹੈ। ਦਿਲਚਸਪੀ ਦੀ ਇੱਕ ਫਾਈਲ ਦਾ ਪਤਾ ਲਗਾਉਣ ਤੋਂ ਬਾਅਦ, ਪ੍ਰੋਗਰਾਮ ਕਮਾਂਡ ਸਰਵਰ ਨੂੰ ਜਾਣਕਾਰੀ ਭੇਜਦਾ ਹੈ. ਅਗਲੀਆਂ ਕਾਰਵਾਈਆਂ ਕਮਾਂਡ ਸੈਂਟਰ (C&C) ਐਲਗੋਰਿਦਮ ਦੁਆਰਾ ਦਰਸਾਏ ਗਏ ਤਰਕ 'ਤੇ ਨਿਰਭਰ ਕਰਦੀਆਂ ਹਨ।

RTM ਤੁਹਾਡੇ ਬ੍ਰਾਊਜ਼ਰ ਇਤਿਹਾਸ ਅਤੇ ਖੁੱਲ੍ਹੀਆਂ ਟੈਬਾਂ ਵਿੱਚ URL ਪੈਟਰਨ ਵੀ ਲੱਭਦਾ ਹੈ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਪ੍ਰੋਗਰਾਮ FindNextUrlCacheEntryA ਅਤੇ FindFirstUrlCacheEntryA ਫੰਕਸ਼ਨਾਂ ਦੀ ਵਰਤੋਂ ਦੀ ਜਾਂਚ ਕਰਦਾ ਹੈ, ਅਤੇ URL ਨੂੰ ਹੇਠਾਂ ਦਿੱਤੇ ਪੈਟਰਨਾਂ ਵਿੱਚੋਂ ਇੱਕ ਨਾਲ ਮੇਲ ਕਰਨ ਲਈ ਹਰੇਕ ਐਂਟਰੀ ਦੀ ਜਾਂਚ ਵੀ ਕਰਦਾ ਹੈ:

ਖੁੱਲ੍ਹੀਆਂ ਟੈਬਾਂ ਦਾ ਪਤਾ ਲਗਾਉਣ ਤੋਂ ਬਾਅਦ, ਇਹ ਜਾਂਚ ਕਰਨ ਲਈ ਕਿ ਕੀ ਟੈਬ ਪੈਟਰਨ ਨਾਲ ਮੇਲ ਖਾਂਦੀ ਹੈ, ਟ੍ਰੋਜਨ ਡਾਇਨਾਮਿਕ ਡਾਟਾ ਐਕਸਚੇਂਜ (DDE) ਵਿਧੀ ਰਾਹੀਂ ਇੰਟਰਨੈੱਟ ਐਕਸਪਲੋਰਰ ਜਾਂ ਫਾਇਰਫਾਕਸ ਨਾਲ ਸੰਪਰਕ ਕਰਦਾ ਹੈ।

ਤੁਹਾਡੇ ਬ੍ਰਾਊਜ਼ਿੰਗ ਇਤਿਹਾਸ ਅਤੇ ਖੁੱਲ੍ਹੀਆਂ ਟੈਬਾਂ ਦੀ ਜਾਂਚ ਜਾਂਚਾਂ ਵਿਚਕਾਰ 1 ਸਕਿੰਟ ਦੇ ਬ੍ਰੇਕ ਦੇ ਨਾਲ ਇੱਕ WHILE ਲੂਪ (ਪੂਰਵ ਸ਼ਰਤ ਵਾਲਾ ਇੱਕ ਲੂਪ) ਵਿੱਚ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਰੀਅਲ ਟਾਈਮ ਵਿੱਚ ਨਿਗਰਾਨੀ ਕੀਤੇ ਜਾਣ ਵਾਲੇ ਹੋਰ ਡੇਟਾ ਦੀ ਸੈਕਸ਼ਨ 4.5 ਵਿੱਚ ਚਰਚਾ ਕੀਤੀ ਜਾਵੇਗੀ।

ਜੇਕਰ ਕੋਈ ਪੈਟਰਨ ਲੱਭਿਆ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਪ੍ਰੋਗਰਾਮ ਹੇਠਾਂ ਦਿੱਤੀ ਸਾਰਣੀ ਤੋਂ ਸਤਰ ਦੀ ਸੂਚੀ ਵਰਤ ਕੇ ਕਮਾਂਡ ਸਰਵਰ ਨੂੰ ਇਸਦੀ ਰਿਪੋਰਟ ਕਰਦਾ ਹੈ:

4.5 ਨਿਗਰਾਨੀ

ਜਦੋਂ ਟਰੋਜਨ ਚੱਲ ਰਿਹਾ ਹੈ, ਸੰਕਰਮਿਤ ਸਿਸਟਮ ਦੀਆਂ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ (ਬੈਂਕਿੰਗ ਸੌਫਟਵੇਅਰ ਦੀ ਮੌਜੂਦਗੀ ਬਾਰੇ ਜਾਣਕਾਰੀ ਸਮੇਤ) ਬਾਰੇ ਜਾਣਕਾਰੀ ਕਮਾਂਡ ਅਤੇ ਕੰਟਰੋਲ ਸਰਵਰ ਨੂੰ ਭੇਜੀ ਜਾਂਦੀ ਹੈ। ਫਿੰਗਰਪ੍ਰਿੰਟਿੰਗ ਉਦੋਂ ਹੁੰਦੀ ਹੈ ਜਦੋਂ RTM ਪਹਿਲੀ ਵਾਰ ਸ਼ੁਰੂਆਤੀ OS ਸਕੈਨ ਤੋਂ ਤੁਰੰਤ ਬਾਅਦ ਨਿਗਰਾਨੀ ਪ੍ਰਣਾਲੀ ਨੂੰ ਚਲਾਉਂਦਾ ਹੈ।

4.5.1. ਰਿਮੋਟ ਬੈਂਕਿੰਗ

TBdo ਮੋਡੀਊਲ ਬੈਂਕਿੰਗ-ਸਬੰਧਤ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨ ਲਈ ਵੀ ਜ਼ਿੰਮੇਵਾਰ ਹੈ। ਇਹ ਸ਼ੁਰੂਆਤੀ ਸਕੈਨ ਦੌਰਾਨ ਫਾਇਰਫਾਕਸ ਅਤੇ ਇੰਟਰਨੈੱਟ ਐਕਸਪਲੋਰਰ ਵਿੱਚ ਟੈਬਾਂ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ ਡਾਇਨਾਮਿਕ ਡੇਟਾ ਐਕਸਚੇਂਜ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ। ਇੱਕ ਹੋਰ TShell ਮੋਡੀਊਲ ਕਮਾਂਡ ਵਿੰਡੋਜ਼ (ਇੰਟਰਨੈੱਟ ਐਕਸਪਲੋਰਰ ਜਾਂ ਫਾਈਲ ਐਕਸਪਲੋਰਰ) ਦੀ ਨਿਗਰਾਨੀ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ।

ਮੋਡੀਊਲ ਵਿੰਡੋਜ਼ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨ ਲਈ COM ਇੰਟਰਫੇਸ IShellWindows, iWebBrowser, DWebBrowserEvents2 ਅਤੇ IConnectionPointContainer ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ। ਜਦੋਂ ਇੱਕ ਉਪਭੋਗਤਾ ਇੱਕ ਨਵੇਂ ਵੈਬ ਪੇਜ ਤੇ ਨੈਵੀਗੇਟ ਕਰਦਾ ਹੈ, ਤਾਂ ਮਾਲਵੇਅਰ ਇਸਨੂੰ ਨੋਟ ਕਰਦਾ ਹੈ। ਇਹ ਫਿਰ ਪੰਨੇ ਦੇ URL ਦੀ ਉਪਰੋਕਤ ਪੈਟਰਨਾਂ ਨਾਲ ਤੁਲਨਾ ਕਰਦਾ ਹੈ। ਮੈਚ ਦਾ ਪਤਾ ਲਗਾਉਣ ਤੋਂ ਬਾਅਦ, ਟਰੋਜਨ 5 ਸਕਿੰਟਾਂ ਦੇ ਅੰਤਰਾਲ ਨਾਲ ਲਗਾਤਾਰ ਛੇ ਸਕ੍ਰੀਨਸ਼ਾਟ ਲੈਂਦਾ ਹੈ ਅਤੇ ਉਹਨਾਂ ਨੂੰ C&S ਕਮਾਂਡ ਸਰਵਰ ਨੂੰ ਭੇਜਦਾ ਹੈ। ਪ੍ਰੋਗਰਾਮ ਬੈਂਕਿੰਗ ਸੌਫਟਵੇਅਰ ਨਾਲ ਸਬੰਧਤ ਕੁਝ ਵਿੰਡੋ ਦੇ ਨਾਮਾਂ ਦੀ ਵੀ ਜਾਂਚ ਕਰਦਾ ਹੈ - ਪੂਰੀ ਸੂਚੀ ਹੇਠਾਂ ਦਿੱਤੀ ਗਈ ਹੈ:

4.5.2 ਸਮਾਰਟ ਕਾਰਡ

RTM ਤੁਹਾਨੂੰ ਲਾਗ ਵਾਲੇ ਕੰਪਿਊਟਰਾਂ ਨਾਲ ਜੁੜੇ ਸਮਾਰਟ ਕਾਰਡ ਰੀਡਰਾਂ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਇਹਨਾਂ ਡਿਵਾਈਸਾਂ ਦੀ ਵਰਤੋਂ ਕੁਝ ਦੇਸ਼ਾਂ ਵਿੱਚ ਭੁਗਤਾਨ ਦੇ ਆਦੇਸ਼ਾਂ ਨੂੰ ਸੁਲਝਾਉਣ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਜੇਕਰ ਇਸ ਕਿਸਮ ਦਾ ਯੰਤਰ ਕੰਪਿਊਟਰ ਨਾਲ ਜੁੜਿਆ ਹੋਇਆ ਹੈ, ਤਾਂ ਇਹ ਟਰੋਜਨ ਨੂੰ ਸੰਕੇਤ ਦੇ ਸਕਦਾ ਹੈ ਕਿ ਮਸ਼ੀਨ ਬੈਂਕਿੰਗ ਲੈਣ-ਦੇਣ ਲਈ ਵਰਤੀ ਜਾ ਰਹੀ ਹੈ।

ਹੋਰ ਬੈਂਕਿੰਗ ਟਰੋਜਨਾਂ ਦੇ ਉਲਟ, RTM ਅਜਿਹੇ ਸਮਾਰਟ ਕਾਰਡਾਂ ਨਾਲ ਇੰਟਰੈਕਟ ਨਹੀਂ ਕਰ ਸਕਦਾ। ਸ਼ਾਇਦ ਇਹ ਕਾਰਜਕੁਸ਼ਲਤਾ ਇੱਕ ਵਾਧੂ ਮੋਡੀਊਲ ਵਿੱਚ ਸ਼ਾਮਲ ਕੀਤੀ ਗਈ ਹੈ ਜੋ ਅਸੀਂ ਅਜੇ ਤੱਕ ਨਹੀਂ ਵੇਖੀ ਹੈ।

4.5.3 ਕੀਲੌਗਰ

ਸੰਕਰਮਿਤ ਪੀਸੀ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨ ਦਾ ਇੱਕ ਮਹੱਤਵਪੂਰਨ ਹਿੱਸਾ ਕੀਸਟ੍ਰੋਕ ਕੈਪਚਰ ਕਰਨਾ ਹੈ। ਅਜਿਹਾ ਲਗਦਾ ਹੈ ਕਿ RTM ਡਿਵੈਲਪਰਾਂ ਕੋਲ ਕੋਈ ਵੀ ਜਾਣਕਾਰੀ ਨਹੀਂ ਹੈ, ਕਿਉਂਕਿ ਉਹ ਨਾ ਸਿਰਫ਼ ਨਿਯਮਤ ਕੁੰਜੀਆਂ, ਸਗੋਂ ਵਰਚੁਅਲ ਕੀਬੋਰਡ ਅਤੇ ਕਲਿੱਪਬੋਰਡ ਦੀ ਵੀ ਨਿਗਰਾਨੀ ਕਰਦੇ ਹਨ।

ਅਜਿਹਾ ਕਰਨ ਲਈ, SetWindowsHookExA ਫੰਕਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕਰੋ। ਹਮਲਾਵਰ ਪ੍ਰੋਗਰਾਮ ਦੇ ਨਾਮ ਅਤੇ ਮਿਤੀ ਦੇ ਨਾਲ, ਦਬਾਈਆਂ ਗਈਆਂ ਕੁੰਜੀਆਂ ਜਾਂ ਵਰਚੁਅਲ ਕੀਬੋਰਡ ਨਾਲ ਸੰਬੰਧਿਤ ਕੁੰਜੀਆਂ ਨੂੰ ਲੌਗ ਕਰਦੇ ਹਨ। ਬਫਰ ਨੂੰ ਫਿਰ C&C ਕਮਾਂਡ ਸਰਵਰ ਨੂੰ ਭੇਜਿਆ ਜਾਂਦਾ ਹੈ।

SetClipboardViewer ਫੰਕਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕਲਿੱਪਬੋਰਡ ਨੂੰ ਰੋਕਣ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਜਦੋਂ ਡੇਟਾ ਟੈਕਸਟ ਹੁੰਦਾ ਹੈ ਤਾਂ ਹੈਕਰ ਕਲਿੱਪਬੋਰਡ ਦੀ ਸਮੱਗਰੀ ਨੂੰ ਲੌਗ ਕਰਦੇ ਹਨ। ਬਫਰ ਨੂੰ ਸਰਵਰ ਨੂੰ ਭੇਜਣ ਤੋਂ ਪਹਿਲਾਂ ਨਾਮ ਅਤੇ ਮਿਤੀ ਵੀ ਲੌਗ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।

4.5.4. ਸਕਰੀਨਸ਼ਾਟ

ਇੱਕ ਹੋਰ RTM ਫੰਕਸ਼ਨ ਸਕ੍ਰੀਨਸ਼ਾਟ ਇੰਟਰਸੈਪਸ਼ਨ ਹੈ। ਇਹ ਵਿਸ਼ੇਸ਼ਤਾ ਉਦੋਂ ਲਾਗੂ ਹੁੰਦੀ ਹੈ ਜਦੋਂ ਵਿੰਡੋ ਨਿਗਰਾਨੀ ਮੋਡੀਊਲ ਦਿਲਚਸਪੀ ਵਾਲੀ ਸਾਈਟ ਜਾਂ ਬੈਂਕਿੰਗ ਸੌਫਟਵੇਅਰ ਦਾ ਪਤਾ ਲਗਾਉਂਦਾ ਹੈ। ਸਕਰੀਨਸ਼ਾਟ ਗ੍ਰਾਫਿਕ ਚਿੱਤਰਾਂ ਦੀ ਇੱਕ ਲਾਇਬ੍ਰੇਰੀ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਲਏ ਜਾਂਦੇ ਹਨ ਅਤੇ ਕਮਾਂਡ ਸਰਵਰ ਵਿੱਚ ਟ੍ਰਾਂਸਫਰ ਕੀਤੇ ਜਾਂਦੇ ਹਨ।

4.6 ਅਣਇੰਸਟੌਲੇਸ਼ਨ

C&C ਸਰਵਰ ਮਾਲਵੇਅਰ ਨੂੰ ਚੱਲਣ ਤੋਂ ਰੋਕ ਸਕਦਾ ਹੈ ਅਤੇ ਤੁਹਾਡੇ ਕੰਪਿਊਟਰ ਨੂੰ ਸਾਫ਼ ਕਰ ਸਕਦਾ ਹੈ। ਕਮਾਂਡ ਤੁਹਾਨੂੰ ਆਰਟੀਐਮ ਦੇ ਚੱਲਣ ਦੌਰਾਨ ਬਣਾਈਆਂ ਗਈਆਂ ਫਾਈਲਾਂ ਅਤੇ ਰਜਿਸਟਰੀ ਐਂਟਰੀਆਂ ਨੂੰ ਸਾਫ਼ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੀ ਹੈ। ਫਿਰ DLL ਦੀ ਵਰਤੋਂ ਮਾਲਵੇਅਰ ਅਤੇ ਵਿਨਲੋਗਨ ਫਾਈਲ ਨੂੰ ਹਟਾਉਣ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਜਿਸ ਤੋਂ ਬਾਅਦ ਕਮਾਂਡ ਕੰਪਿਊਟਰ ਨੂੰ ਬੰਦ ਕਰ ਦਿੰਦੀ ਹੈ। ਜਿਵੇਂ ਕਿ ਹੇਠਾਂ ਦਿੱਤੀ ਤਸਵੀਰ ਵਿੱਚ ਦਿਖਾਇਆ ਗਿਆ ਹੈ, DLL ਨੂੰ ਡਿਵੈਲਪਰਾਂ ਦੁਆਰਾ erase.dll ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਹਟਾ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ।

ਸਰਵਰ ਟਰੋਜਨ ਨੂੰ ਇੱਕ ਵਿਨਾਸ਼ਕਾਰੀ ਅਨਇੰਸਟੌਲ-ਲਾਕ ਕਮਾਂਡ ਭੇਜ ਸਕਦਾ ਹੈ। ਇਸ ਸਥਿਤੀ ਵਿੱਚ, ਜੇਕਰ ਤੁਹਾਡੇ ਕੋਲ ਪ੍ਰਬੰਧਕ ਅਧਿਕਾਰ ਹਨ, ਤਾਂ RTM ਹਾਰਡ ਡਰਾਈਵ ਉੱਤੇ MBR ਬੂਟ ਸੈਕਟਰ ਨੂੰ ਮਿਟਾ ਦੇਵੇਗਾ। ਜੇਕਰ ਇਹ ਅਸਫਲ ਹੋ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਟਰੋਜਨ MBR ਬੂਟ ਸੈਕਟਰ ਨੂੰ ਇੱਕ ਬੇਤਰਤੀਬੇ ਸੈਕਟਰ ਵਿੱਚ ਸ਼ਿਫਟ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰੇਗਾ - ਫਿਰ ਕੰਪਿਊਟਰ ਬੰਦ ਹੋਣ ਤੋਂ ਬਾਅਦ OS ਨੂੰ ਬੂਟ ਕਰਨ ਦੇ ਯੋਗ ਨਹੀਂ ਹੋਵੇਗਾ। ਇਸ ਨਾਲ OS ਦੀ ਪੂਰੀ ਮੁੜ ਸਥਾਪਨਾ ਹੋ ਸਕਦੀ ਹੈ, ਜਿਸਦਾ ਅਰਥ ਹੈ ਸਬੂਤ ਦਾ ਵਿਨਾਸ਼।

ਪ੍ਰਸ਼ਾਸਕ ਦੇ ਅਧਿਕਾਰਾਂ ਤੋਂ ਬਿਨਾਂ, ਮਾਲਵੇਅਰ ਅੰਡਰਲਾਈੰਗ RTM DLL ਵਿੱਚ ਏਨਕੋਡ ਕੀਤਾ ਇੱਕ .EXE ਲਿਖਦਾ ਹੈ। ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਕੰਪਿਊਟਰ ਨੂੰ ਬੰਦ ਕਰਨ ਲਈ ਲੋੜੀਂਦੇ ਕੋਡ ਨੂੰ ਚਲਾਉਂਦਾ ਹੈ ਅਤੇ ਮੋਡੀਊਲ ਨੂੰ HKCUCurrentVersionRun ਰਜਿਸਟਰੀ ਕੁੰਜੀ ਵਿੱਚ ਰਜਿਸਟਰ ਕਰਦਾ ਹੈ। ਹਰ ਵਾਰ ਜਦੋਂ ਉਪਭੋਗਤਾ ਸੈਸ਼ਨ ਸ਼ੁਰੂ ਕਰਦਾ ਹੈ, ਤਾਂ ਕੰਪਿਊਟਰ ਤੁਰੰਤ ਬੰਦ ਹੋ ਜਾਂਦਾ ਹੈ।

4.7 ਸੰਰਚਨਾ ਫਾਇਲ

ਮੂਲ ਰੂਪ ਵਿੱਚ, RTM ਕੋਲ ਲਗਭਗ ਕੋਈ ਸੰਰਚਨਾ ਫਾਈਲ ਨਹੀਂ ਹੈ, ਪਰ ਕਮਾਂਡ ਅਤੇ ਕੰਟਰੋਲ ਸਰਵਰ ਸੰਰਚਨਾ ਮੁੱਲ ਭੇਜ ਸਕਦਾ ਹੈ ਜੋ ਰਜਿਸਟਰੀ ਵਿੱਚ ਸਟੋਰ ਕੀਤੇ ਜਾਣਗੇ ਅਤੇ ਪ੍ਰੋਗਰਾਮ ਦੁਆਰਾ ਵਰਤੇ ਜਾਣਗੇ। ਸੰਰਚਨਾ ਕੁੰਜੀਆਂ ਦੀ ਸੂਚੀ ਹੇਠਾਂ ਦਿੱਤੀ ਸਾਰਣੀ ਵਿੱਚ ਪੇਸ਼ ਕੀਤੀ ਗਈ ਹੈ:

ਸੰਰਚਨਾ ਨੂੰ ਸਾਫਟਵੇਅਰ [ਸੂਡੋ-ਰੈਂਡਮ ਸਤਰ] ਰਜਿਸਟਰੀ ਕੁੰਜੀ ਵਿੱਚ ਸਟੋਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਹਰੇਕ ਮੁੱਲ ਪਿਛਲੀ ਸਾਰਣੀ ਵਿੱਚ ਪੇਸ਼ ਕੀਤੀਆਂ ਕਤਾਰਾਂ ਵਿੱਚੋਂ ਇੱਕ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੈ। ਮੁੱਲ ਅਤੇ ਡੇਟਾ RTM ਵਿੱਚ RC4 ਐਲਗੋਰਿਦਮ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਏਨਕੋਡ ਕੀਤੇ ਗਏ ਹਨ।

ਡੇਟਾ ਦਾ ਇੱਕ ਨੈਟਵਰਕ ਜਾਂ ਸਤਰ ਵਰਗਾ ਹੀ ਢਾਂਚਾ ਹੈ। ਏਨਕੋਡ ਕੀਤੇ ਡੇਟਾ ਦੇ ਸ਼ੁਰੂ ਵਿੱਚ ਇੱਕ ਚਾਰ-ਬਾਈਟ XOR ਕੁੰਜੀ ਜੋੜੀ ਜਾਂਦੀ ਹੈ। ਸੰਰਚਨਾ ਮੁੱਲਾਂ ਲਈ, XOR ਕੁੰਜੀ ਵੱਖਰੀ ਹੈ ਅਤੇ ਮੁੱਲ ਦੇ ਆਕਾਰ 'ਤੇ ਨਿਰਭਰ ਕਰਦੀ ਹੈ। ਇਸਦੀ ਗਣਨਾ ਹੇਠ ਲਿਖੇ ਅਨੁਸਾਰ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ:

xor_key = (len(config_value) << 24) | (len(config_value) << 16)
| len(config_value)| (len(config_value) << 8)

4.8. ਹੋਰ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ

ਅੱਗੇ, ਆਓ ਹੋਰ ਫੰਕਸ਼ਨਾਂ ਨੂੰ ਵੇਖੀਏ ਜੋ RTM ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ।

4.8.1. ਵਧੀਕ ਮੋਡੀਊਲ

ਟਰੋਜਨ ਵਿੱਚ ਵਾਧੂ ਮੋਡੀਊਲ ਸ਼ਾਮਲ ਹਨ, ਜੋ ਕਿ DLL ਫਾਈਲਾਂ ਹਨ। C&C ਕਮਾਂਡ ਸਰਵਰ ਤੋਂ ਭੇਜੇ ਗਏ ਮੋਡਿਊਲ ਨੂੰ ਬਾਹਰੀ ਪ੍ਰੋਗਰਾਮਾਂ ਦੇ ਰੂਪ ਵਿੱਚ ਚਲਾਇਆ ਜਾ ਸਕਦਾ ਹੈ, RAM ਵਿੱਚ ਪ੍ਰਤੀਬਿੰਬਿਤ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਅਤੇ ਨਵੇਂ ਥ੍ਰੈੱਡਾਂ ਵਿੱਚ ਲਾਂਚ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਸਟੋਰੇਜ ਲਈ, ਮੋਡੀਊਲ .dtt ਫਾਈਲਾਂ ਵਿੱਚ ਸੁਰੱਖਿਅਤ ਕੀਤੇ ਜਾਂਦੇ ਹਨ ਅਤੇ ਨੈੱਟਵਰਕ ਸੰਚਾਰ ਲਈ ਵਰਤੀ ਜਾਂਦੀ ਉਸੇ ਕੁੰਜੀ ਨਾਲ RC4 ਐਲਗੋਰਿਦਮ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਏਨਕੋਡ ਕੀਤੇ ਜਾਂਦੇ ਹਨ।

ਹੁਣ ਤੱਕ ਅਸੀਂ VNC ਮੋਡੀਊਲ (8966319882494077C21F66A8354E2CBCA0370464), ਬ੍ਰਾਊਜ਼ਰ ਡਾਟਾ ਐਕਸਟਰੈਕਸ਼ਨ ਮੋਡੀਊਲ (03DE8622BE6B2F75A364A275995C3411626C module and theBklD4C9) ਦੀ ਸਥਾਪਨਾ ਨੂੰ ਦੇਖਿਆ ਹੈ। 1E2F1EFC562FBA1 B69BE6D58B88753E7CFAB)।

VNC ਮੋਡੀਊਲ ਨੂੰ ਲੋਡ ਕਰਨ ਲਈ, C&C ਸਰਵਰ ਪੋਰਟ 44443 'ਤੇ ਇੱਕ ਖਾਸ IP ਪਤੇ 'ਤੇ VNC ਸਰਵਰ ਨਾਲ ਕੁਨੈਕਸ਼ਨਾਂ ਦੀ ਬੇਨਤੀ ਕਰਨ ਲਈ ਇੱਕ ਕਮਾਂਡ ਜਾਰੀ ਕਰਦਾ ਹੈ। ਬ੍ਰਾਊਜ਼ਰ ਡਾਟਾ ਰੀਟ੍ਰੀਵਲ ਪਲੱਗਇਨ TBrowserDataCollector ਨੂੰ ਚਲਾਉਂਦਾ ਹੈ, ਜੋ IE ਬ੍ਰਾਊਜ਼ਿੰਗ ਇਤਿਹਾਸ ਨੂੰ ਪੜ੍ਹ ਸਕਦਾ ਹੈ। ਫਿਰ ਇਹ C&C ਕਮਾਂਡ ਸਰਵਰ ਨੂੰ ਵਿਜ਼ਿਟ ਕੀਤੇ URL ਦੀ ਪੂਰੀ ਸੂਚੀ ਭੇਜਦਾ ਹੈ।

ਖੋਜੇ ਗਏ ਆਖਰੀ ਮੋਡੀਊਲ ਨੂੰ 1c_2_kl ਕਿਹਾ ਜਾਂਦਾ ਹੈ। ਇਹ 1C ਐਂਟਰਪ੍ਰਾਈਜ਼ ਸੌਫਟਵੇਅਰ ਪੈਕੇਜ ਨਾਲ ਇੰਟਰੈਕਟ ਕਰ ਸਕਦਾ ਹੈ। ਮੋਡੀਊਲ ਵਿੱਚ ਦੋ ਭਾਗ ਸ਼ਾਮਲ ਹਨ: ਮੁੱਖ ਭਾਗ - DLL ਅਤੇ ਦੋ ਏਜੰਟ (32 ਅਤੇ 64 ਬਿੱਟ), ਜੋ ਕਿ ਹਰੇਕ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ ਟੀਕੇ ਲਗਾਏ ਜਾਣਗੇ, WH_CBT ਲਈ ਇੱਕ ਬਾਈਡਿੰਗ ਰਜਿਸਟਰ ਕਰਦੇ ਹੋਏ। 1C ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ ਪੇਸ਼ ਕੀਤੇ ਜਾਣ ਤੋਂ ਬਾਅਦ, ਮੋਡੀਊਲ CreateFile ਅਤੇ WriteFile ਫੰਕਸ਼ਨਾਂ ਨੂੰ ਬੰਨ੍ਹਦਾ ਹੈ। ਜਦੋਂ ਵੀ CreateFile ਬਾਊਂਡ ਫੰਕਸ਼ਨ ਨੂੰ ਕਾਲ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਮੋਡੀਊਲ ਮੈਮੋਰੀ ਵਿੱਚ ਫਾਈਲ ਪਾਥ 1c_to_kl.txt ਨੂੰ ਸਟੋਰ ਕਰਦਾ ਹੈ। WriteFile ਕਾਲ ਨੂੰ ਰੋਕਣ ਤੋਂ ਬਾਅਦ, ਇਹ WriteFile ਫੰਕਸ਼ਨ ਨੂੰ ਕਾਲ ਕਰਦਾ ਹੈ ਅਤੇ ਫਾਈਲ ਪਾਥ 1c_to_kl.txt ਨੂੰ ਮੁੱਖ DLL ਮੋਡੀਊਲ ਨੂੰ ਭੇਜਦਾ ਹੈ, ਇਸਨੂੰ ਤਿਆਰ ਕੀਤਾ Windows WM_COPYDATA ਸੁਨੇਹਾ ਪਾਸ ਕਰਦਾ ਹੈ।

ਮੁੱਖ DLL ਮੋਡੀਊਲ ਭੁਗਤਾਨ ਆਦੇਸ਼ਾਂ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਲਈ ਫਾਈਲ ਨੂੰ ਖੋਲ੍ਹਦਾ ਅਤੇ ਪਾਰਸ ਕਰਦਾ ਹੈ। ਇਹ ਫਾਈਲ ਵਿੱਚ ਮੌਜੂਦ ਰਕਮ ਅਤੇ ਟ੍ਰਾਂਜੈਕਸ਼ਨ ਨੰਬਰ ਨੂੰ ਪਛਾਣਦਾ ਹੈ। ਇਹ ਜਾਣਕਾਰੀ ਕਮਾਂਡ ਸਰਵਰ ਨੂੰ ਭੇਜੀ ਜਾਂਦੀ ਹੈ। ਸਾਡਾ ਮੰਨਣਾ ਹੈ ਕਿ ਇਹ ਮੋਡੀਊਲ ਇਸ ਸਮੇਂ ਵਿਕਾਸ ਅਧੀਨ ਹੈ ਕਿਉਂਕਿ ਇਸ ਵਿੱਚ ਇੱਕ ਡੀਬੱਗ ਸੁਨੇਹਾ ਹੈ ਅਤੇ ਇਹ 1c_to_kl.txt ਨੂੰ ਆਪਣੇ ਆਪ ਸੰਸ਼ੋਧਿਤ ਨਹੀਂ ਕਰ ਸਕਦਾ ਹੈ।

4.8.2. ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਵਾਧਾ

RTM ਗਲਤ ਗਲਤੀ ਸੁਨੇਹੇ ਪ੍ਰਦਰਸ਼ਿਤ ਕਰਕੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਨੂੰ ਵਧਾਉਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰ ਸਕਦਾ ਹੈ। ਮਾਲਵੇਅਰ ਇੱਕ ਰਜਿਸਟਰੀ ਜਾਂਚ ਦੀ ਨਕਲ ਕਰਦਾ ਹੈ (ਹੇਠਾਂ ਤਸਵੀਰ ਦੇਖੋ) ਜਾਂ ਇੱਕ ਅਸਲੀ ਰਜਿਸਟਰੀ ਸੰਪਾਦਕ ਆਈਕਨ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ। ਕਿਰਪਾ ਕਰਕੇ ਯਾਦ ਰੱਖੋ ਕਿ ਗਲਤ ਸ਼ਬਦ-ਜੋੜ ਉਡੀਕ - ਕੀ। ਸਕੈਨਿੰਗ ਦੇ ਕੁਝ ਸਕਿੰਟਾਂ ਬਾਅਦ, ਪ੍ਰੋਗਰਾਮ ਇੱਕ ਗਲਤ ਗਲਤੀ ਸੁਨੇਹਾ ਪ੍ਰਦਰਸ਼ਿਤ ਕਰਦਾ ਹੈ।

ਵਿਆਕਰਣ ਦੀਆਂ ਗਲਤੀਆਂ ਦੇ ਬਾਵਜੂਦ, ਇੱਕ ਗਲਤ ਸੰਦੇਸ਼ ਔਸਤ ਉਪਭੋਗਤਾ ਨੂੰ ਆਸਾਨੀ ਨਾਲ ਧੋਖਾ ਦੇਵੇਗਾ। ਜੇਕਰ ਉਪਭੋਗਤਾ ਦੋ ਲਿੰਕਾਂ ਵਿੱਚੋਂ ਇੱਕ 'ਤੇ ਕਲਿੱਕ ਕਰਦਾ ਹੈ, ਤਾਂ RTM ਸਿਸਟਮ ਵਿੱਚ ਆਪਣੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਨੂੰ ਵਧਾਉਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰੇਗਾ।

ਦੋ ਰਿਕਵਰੀ ਵਿਕਲਪਾਂ ਵਿੱਚੋਂ ਇੱਕ ਦੀ ਚੋਣ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਟਰੋਜਨ ਪ੍ਰਸ਼ਾਸਕ ਦੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਦੇ ਨਾਲ ShellExecute ਫੰਕਸ਼ਨ ਵਿੱਚ Runas ਵਿਕਲਪ ਦੀ ਵਰਤੋਂ ਕਰਕੇ DLL ਲਾਂਚ ਕਰਦਾ ਹੈ। ਉਪਭੋਗਤਾ ਨੂੰ ਉੱਚਾਈ ਲਈ ਇੱਕ ਅਸਲੀ ਵਿੰਡੋਜ਼ ਪ੍ਰੋਂਪਟ (ਹੇਠਾਂ ਚਿੱਤਰ ਦੇਖੋ) ਦਿਖਾਈ ਦੇਵੇਗਾ। ਜੇਕਰ ਉਪਭੋਗਤਾ ਲੋੜੀਂਦੀਆਂ ਇਜਾਜ਼ਤਾਂ ਦਿੰਦਾ ਹੈ, ਤਾਂ ਟਰੋਜਨ ਪ੍ਰਸ਼ਾਸਕ ਦੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਨਾਲ ਚੱਲੇਗਾ।

ਸਿਸਟਮ 'ਤੇ ਸਥਾਪਿਤ ਡਿਫੌਲਟ ਭਾਸ਼ਾ 'ਤੇ ਨਿਰਭਰ ਕਰਦਿਆਂ, ਟਰੋਜਨ ਰੂਸੀ ਜਾਂ ਅੰਗਰੇਜ਼ੀ ਵਿੱਚ ਗਲਤੀ ਸੁਨੇਹੇ ਪ੍ਰਦਰਸ਼ਿਤ ਕਰਦਾ ਹੈ।

4.8.3. ਸਰਟੀਫਿਕੇਟ

RTM ਵਿੰਡੋਜ਼ ਸਟੋਰ ਵਿੱਚ ਸਰਟੀਫਿਕੇਟ ਜੋੜ ਸਕਦਾ ਹੈ ਅਤੇ csrss.exe ਡਾਇਲਾਗ ਬਾਕਸ ਵਿੱਚ "ਹਾਂ" ਬਟਨ ਨੂੰ ਆਪਣੇ ਆਪ ਕਲਿੱਕ ਕਰਕੇ ਜੋੜਨ ਦੀ ਭਰੋਸੇਯੋਗਤਾ ਦੀ ਪੁਸ਼ਟੀ ਕਰ ਸਕਦਾ ਹੈ। ਇਹ ਵਿਵਹਾਰ ਨਵਾਂ ਨਹੀਂ ਹੈ; ਉਦਾਹਰਨ ਲਈ, ਬੈਂਕਿੰਗ ਟਰੋਜਨ ਰੀਟੇਫੇ ਵੀ ਸੁਤੰਤਰ ਤੌਰ 'ਤੇ ਨਵੇਂ ਸਰਟੀਫਿਕੇਟ ਦੀ ਸਥਾਪਨਾ ਦੀ ਪੁਸ਼ਟੀ ਕਰਦਾ ਹੈ।

4.8.4. ਰਿਵਰਸ ਕਨੈਕਸ਼ਨ

RTM ਲੇਖਕਾਂ ਨੇ ਬੈਕਕਨੈਕਟ TCP ਸੁਰੰਗ ਵੀ ਬਣਾਈ ਹੈ। ਅਸੀਂ ਅਜੇ ਤੱਕ ਇਸ ਵਿਸ਼ੇਸ਼ਤਾ ਨੂੰ ਵਰਤੋਂ ਵਿੱਚ ਨਹੀਂ ਦੇਖਿਆ ਹੈ, ਪਰ ਇਹ ਸੰਕਰਮਿਤ ਪੀਸੀ ਦੀ ਰਿਮੋਟਲੀ ਨਿਗਰਾਨੀ ਕਰਨ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ।

4.8.5 ਹੋਸਟ ਫਾਈਲ ਪ੍ਰਬੰਧਨ

C&C ਸਰਵਰ ਵਿੰਡੋਜ਼ ਹੋਸਟ ਫਾਈਲ ਨੂੰ ਸੋਧਣ ਲਈ ਟਰੋਜਨ ਨੂੰ ਕਮਾਂਡ ਭੇਜ ਸਕਦਾ ਹੈ। ਹੋਸਟ ਫਾਈਲ ਦੀ ਵਰਤੋਂ ਕਸਟਮ DNS ਰੈਜ਼ੋਲਿਊਸ਼ਨ ਬਣਾਉਣ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।

4.8.6 ਇੱਕ ਫਾਈਲ ਲੱਭੋ ਅਤੇ ਭੇਜੋ

ਸਰਵਰ ਲਾਗ ਵਾਲੇ ਸਿਸਟਮ 'ਤੇ ਇੱਕ ਫਾਈਲ ਖੋਜਣ ਅਤੇ ਡਾਊਨਲੋਡ ਕਰਨ ਲਈ ਬੇਨਤੀ ਕਰ ਸਕਦਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਖੋਜ ਦੌਰਾਨ ਸਾਨੂੰ ਫਾਈਲ 1c_to_kl.txt ਲਈ ਇੱਕ ਬੇਨਤੀ ਪ੍ਰਾਪਤ ਹੋਈ। ਜਿਵੇਂ ਕਿ ਪਹਿਲਾਂ ਦੱਸਿਆ ਗਿਆ ਹੈ, ਇਹ ਫਾਈਲ 1C: ਐਂਟਰਪ੍ਰਾਈਜ਼ 8 ਲੇਖਾ ਪ੍ਰਣਾਲੀ ਦੁਆਰਾ ਤਿਆਰ ਕੀਤੀ ਗਈ ਹੈ।

4.8.7. ਅੱਪਡੇਟ

ਅੰਤ ਵਿੱਚ, RTM ਲੇਖਕ ਮੌਜੂਦਾ ਸੰਸਕਰਣ ਨੂੰ ਬਦਲਣ ਲਈ ਇੱਕ ਨਵਾਂ DLL ਜਮ੍ਹਾਂ ਕਰਕੇ ਸੌਫਟਵੇਅਰ ਨੂੰ ਅਪਡੇਟ ਕਰ ਸਕਦੇ ਹਨ।

5. ਸਿੱਟਾ

RTM ਦੀ ਖੋਜ ਦਰਸਾਉਂਦੀ ਹੈ ਕਿ ਰੂਸੀ ਬੈਂਕਿੰਗ ਪ੍ਰਣਾਲੀ ਅਜੇ ਵੀ ਸਾਈਬਰ ਹਮਲਾਵਰਾਂ ਨੂੰ ਆਕਰਸ਼ਿਤ ਕਰਦੀ ਹੈ। ਬੁਹਟਰੈਪ, ਕੋਰਕੋ ਅਤੇ ਕਾਰਬਨਕ ਵਰਗੇ ਸਮੂਹ ਰੂਸ ਵਿੱਚ ਵਿੱਤੀ ਸੰਸਥਾਵਾਂ ਅਤੇ ਉਹਨਾਂ ਦੇ ਗਾਹਕਾਂ ਤੋਂ ਸਫਲਤਾਪੂਰਵਕ ਪੈਸਾ ਚੋਰੀ ਕਰਦੇ ਹਨ। RTM ਇਸ ਉਦਯੋਗ ਵਿੱਚ ਇੱਕ ਨਵਾਂ ਖਿਡਾਰੀ ਹੈ।

ESET ਟੈਲੀਮੈਟਰੀ ਦੇ ਅਨੁਸਾਰ, ਖਤਰਨਾਕ RTM ਟੂਲ ਘੱਟੋ-ਘੱਟ 2015 ਦੇ ਅਖੀਰ ਤੋਂ ਵਰਤੋਂ ਵਿੱਚ ਹਨ। ਪ੍ਰੋਗਰਾਮ ਵਿੱਚ ਜਾਸੂਸੀ ਸਮਰੱਥਾਵਾਂ ਦੀ ਪੂਰੀ ਸ਼੍ਰੇਣੀ ਹੈ, ਜਿਸ ਵਿੱਚ ਸਮਾਰਟ ਕਾਰਡ ਪੜ੍ਹਨਾ, ਕੀਸਟ੍ਰੋਕ ਨੂੰ ਰੋਕਣਾ ਅਤੇ ਬੈਂਕਿੰਗ ਲੈਣ-ਦੇਣ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨਾ, ਨਾਲ ਹੀ 1C: ਐਂਟਰਪ੍ਰਾਈਜ਼ 8 ਟ੍ਰਾਂਸਪੋਰਟ ਫਾਈਲਾਂ ਦੀ ਖੋਜ ਕਰਨਾ ਸ਼ਾਮਲ ਹੈ।

ਇੱਕ ਵਿਕੇਂਦਰੀਕ੍ਰਿਤ, ਬਿਨਾਂ ਸੈਂਸਰ ਕੀਤੇ .bit ਸਿਖਰ-ਪੱਧਰ ਦੇ ਡੋਮੇਨ ਦੀ ਵਰਤੋਂ ਬਹੁਤ ਹੀ ਲਚਕੀਲੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਂਦੀ ਹੈ।

ਸਰੋਤ: www.habr.com