OceanLotus: macOS ਲਈ ਮਾਲਵੇਅਰ ਅੱਪਡੇਟ

ਮਾਰਚ 2019 ਵਿੱਚ, ਸਾਈਬਰ ਸਮੂਹ OceanLotus ਤੋਂ macOS ਮਾਲਵੇਅਰ ਦਾ ਇੱਕ ਨਵਾਂ ਨਮੂਨਾ VirusTotal, ਇੱਕ ਪ੍ਰਸਿੱਧ ਔਨਲਾਈਨ ਸਕੈਨਿੰਗ ਸੇਵਾ 'ਤੇ ਅੱਪਲੋਡ ਕੀਤਾ ਗਿਆ ਸੀ। ਬੈਕਡੋਰ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਵਿੱਚ ਮੈਕੋਸ ਮਾਲਵੇਅਰ ਦੇ ਪਿਛਲੇ ਸੰਸਕਰਣ ਦੇ ਸਮਾਨ ਸਮਰੱਥਾਵਾਂ ਹਨ ਜਿਸਦਾ ਅਸੀਂ ਅਧਿਐਨ ਕੀਤਾ ਸੀ, ਪਰ ਇਸਦਾ ਢਾਂਚਾ ਬਦਲ ਗਿਆ ਹੈ ਅਤੇ ਇਸਦਾ ਪਤਾ ਲਗਾਉਣਾ ਵਧੇਰੇ ਮੁਸ਼ਕਲ ਹੋ ਗਿਆ ਹੈ। ਬਦਕਿਸਮਤੀ ਨਾਲ, ਅਸੀਂ ਇਸ ਨਮੂਨੇ ਨਾਲ ਜੁੜੇ ਇੱਕ ਡਰਾਪਰ ਨੂੰ ਲੱਭਣ ਵਿੱਚ ਅਸਮਰੱਥ ਸੀ, ਇਸਲਈ ਸਾਨੂੰ ਅਜੇ ਤੱਕ ਲਾਗ ਵੈਕਟਰ ਨਹੀਂ ਪਤਾ ਹੈ।

ਅਸੀਂ ਹਾਲ ਹੀ ਵਿੱਚ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤਾ ਹੈ OceanLotus ਬਾਰੇ ਪੋਸਟ ਅਤੇ ਕਿਵੇਂ ਓਪਰੇਟਰ ਨਿਰੰਤਰਤਾ ਪ੍ਰਦਾਨ ਕਰਨ, ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਨੂੰ ਤੇਜ਼ ਕਰਨ, ਅਤੇ ਵਿੰਡੋਜ਼ ਸਿਸਟਮਾਂ 'ਤੇ ਪੈਰਾਂ ਦੇ ਨਿਸ਼ਾਨ ਨੂੰ ਘੱਟ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰ ਰਹੇ ਹਨ। ਇਹ ਵੀ ਜਾਣਿਆ ਜਾਂਦਾ ਹੈ ਕਿ ਇਸ ਸਾਈਬਰ ਸਮੂਹ ਵਿੱਚ ਮੈਕੋਸ ਲਈ ਇੱਕ ਕੰਪੋਨੈਂਟ ਵੀ ਹੈ। ਇਹ ਪੋਸਟ ਪਿਛਲੇ ਸੰਸਕਰਣ (Trend Micro ਦੁਆਰਾ ਵਰਣਨ ਕੀਤਾ ਗਿਆ ਹੈ), ਅਤੇ ਇਹ ਵੀ ਦੱਸਦਾ ਹੈ ਕਿ ਤੁਸੀਂ IDA Hex-Rays API ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਵਿਸ਼ਲੇਸ਼ਣ ਦੌਰਾਨ ਸਤਰ ਦੇ ਡੀਕ੍ਰਿਪਸ਼ਨ ਨੂੰ ਕਿਵੇਂ ਸਵੈਚਲਿਤ ਕਰ ਸਕਦੇ ਹੋ।

ਐਨਾਲਜ਼

ਅਗਲੇ ਤਿੰਨ ਭਾਗ SHA-1 ਹੈਸ਼ ਨਾਲ ਨਮੂਨੇ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਦਾ ਵਰਣਨ ਕਰਦੇ ਹਨ E615632C9998E4D3E5ACD8851864ED09B02C77D2. ਫਾਈਲ ਨੂੰ ਬੁਲਾਇਆ ਜਾਂਦਾ ਹੈ ਫਲੈਸ਼ਲਾਈਟ, ESET ਐਂਟੀਵਾਇਰਸ ਉਤਪਾਦ ਇਸਨੂੰ OSX/OceanLotus.D ਵਜੋਂ ਖੋਜਦੇ ਹਨ।

ਐਂਟੀ-ਡੀਬਗਿੰਗ ਅਤੇ ਸੈਂਡਬੌਕਸ ਸੁਰੱਖਿਆ

ਸਾਰੇ macOS OceanLotus ਬਾਈਨਰੀਆਂ ਵਾਂਗ, ਨਮੂਨਾ UPX ਨਾਲ ਪੈਕ ਕੀਤਾ ਗਿਆ ਹੈ, ਪਰ ਜ਼ਿਆਦਾਤਰ ਪੈਕੇਜਰ ਪਛਾਣ ਸਾਧਨ ਇਸ ਨੂੰ ਇਸ ਤਰ੍ਹਾਂ ਨਹੀਂ ਪਛਾਣਦੇ ਹਨ। ਇਹ ਸ਼ਾਇਦ ਇਸ ਲਈ ਹੈ ਕਿਉਂਕਿ ਉਹਨਾਂ ਵਿੱਚ ਜਿਆਦਾਤਰ "UPX" ਸਤਰ ਦੀ ਮੌਜੂਦਗੀ 'ਤੇ ਨਿਰਭਰ ਦਸਤਖਤ ਹੁੰਦੇ ਹਨ, ਇਸ ਤੋਂ ਇਲਾਵਾ, Mach-O ਦਸਤਖਤ ਘੱਟ ਆਮ ਹੁੰਦੇ ਹਨ ਅਤੇ ਅਕਸਰ ਅੱਪਡੇਟ ਨਹੀਂ ਹੁੰਦੇ ਹਨ। ਇਹ ਵਿਸ਼ੇਸ਼ਤਾ ਸਥਿਰ ਖੋਜ ਨੂੰ ਮੁਸ਼ਕਲ ਬਣਾਉਂਦਾ ਹੈ। ਦਿਲਚਸਪ ਗੱਲ ਇਹ ਹੈ ਕਿ, ਅਨਪੈਕ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਪ੍ਰਵੇਸ਼ ਪੁਆਇੰਟ ਸੈਕਸ਼ਨ ਦੇ ਸ਼ੁਰੂ ਵਿੱਚ ਹੈ __cfstring ਹਿੱਸੇ ਵਿੱਚ .TEXT. ਇਸ ਭਾਗ ਵਿੱਚ ਫਲੈਗ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਹਨ ਜਿਵੇਂ ਕਿ ਹੇਠਾਂ ਚਿੱਤਰ ਵਿੱਚ ਦਿਖਾਇਆ ਗਿਆ ਹੈ।

ਚਿੱਤਰ 1. MACH-O __cfstring ਭਾਗ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ

ਜਿਵੇਂ ਕਿ ਚਿੱਤਰ 2 ਵਿੱਚ ਦਿਖਾਇਆ ਗਿਆ ਹੈ, ਭਾਗ ਵਿੱਚ ਕੋਡ ਸਥਾਨ __cfstring ਕੋਡ ਨੂੰ ਸਟ੍ਰਿੰਗਾਂ ਦੇ ਰੂਪ ਵਿੱਚ ਪ੍ਰਦਰਸ਼ਿਤ ਕਰਕੇ ਤੁਹਾਨੂੰ ਕੁਝ ਡਿਸਅਸੈਂਬਲੀ ਟੂਲਸ ਨੂੰ ਟ੍ਰਿਕ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ।

ਚਿੱਤਰ 2. IDA ਦੁਆਰਾ ਡੇਟਾ ਦੇ ਰੂਪ ਵਿੱਚ ਖੋਜਿਆ ਗਿਆ ਬੈਕਡੋਰ ਕੋਡ

ਇੱਕ ਵਾਰ ਚਲਾਏ ਜਾਣ ਤੋਂ ਬਾਅਦ, ਬਾਈਨਰੀ ਇੱਕ ਐਂਟੀ-ਡੀਬਗਰ ਵਜੋਂ ਇੱਕ ਥਰਿੱਡ ਬਣਾਉਂਦਾ ਹੈ ਜਿਸਦਾ ਇੱਕੋ ਇੱਕ ਉਦੇਸ਼ ਡੀਬਗਰ ਦੀ ਮੌਜੂਦਗੀ ਦੀ ਲਗਾਤਾਰ ਜਾਂਚ ਕਰਨਾ ਹੈ। ਇਸ ਪ੍ਰਵਾਹ ਲਈ:

- ਕਿਸੇ ਵੀ ਡੀਬਗਰ, ਕਾਲਿੰਗ ਨੂੰ ਅਨਹੁੱਕ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦਾ ਹੈ ptrace с PT_DENY_ATTACH ਇੱਕ ਬੇਨਤੀ ਪੈਰਾਮੀਟਰ ਦੇ ਤੌਰ ਤੇ
- ਕਿਸੇ ਫੰਕਸ਼ਨ ਨੂੰ ਕਾਲ ਕਰਕੇ ਜਾਂਚ ਕਰਦਾ ਹੈ ਕਿ ਕੁਝ ਵਿਸ਼ੇਸ਼ ਪੋਰਟ ਖੁੱਲ੍ਹੇ ਹਨ ਜਾਂ ਨਹੀਂ task_get_exception_ports
- ਫਲੈਗ ਦੀ ਮੌਜੂਦਗੀ ਦੀ ਜਾਂਚ ਕਰਕੇ ਜਾਂਚ ਕਰਦਾ ਹੈ ਕਿ ਕੀ ਡੀਬਗਰ ਜੁੜਿਆ ਹੋਇਆ ਹੈ, ਜਿਵੇਂ ਕਿ ਹੇਠਾਂ ਚਿੱਤਰ ਵਿੱਚ ਦਿਖਾਇਆ ਗਿਆ ਹੈ P_TRACED ਮੌਜੂਦਾ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ

ਚਿੱਤਰ 3. sysctl ਫੰਕਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਡੀਬਗਰ ਕੁਨੈਕਸ਼ਨ ਦੀ ਜਾਂਚ ਕਰਨਾ

ਜੇਕਰ ਵਾਚਡੌਗ ਡੀਬੱਗਰ ਦੀ ਮੌਜੂਦਗੀ ਦਾ ਪਤਾ ਲਗਾਉਂਦਾ ਹੈ, ਤਾਂ ਫੰਕਸ਼ਨ ਕਿਹਾ ਜਾਂਦਾ ਹੈ exit. ਇਸ ਤੋਂ ਇਲਾਵਾ, ਨਮੂਨਾ ਫਿਰ ਦੋ ਕਮਾਂਡਾਂ ਚਲਾ ਕੇ ਵਾਤਾਵਰਣ ਦੀ ਜਾਂਚ ਕਰਦਾ ਹੈ:

ioreg -l | grep -e "Manufacturer" и sysctl hw.model

ਨਮੂਨਾ ਫਿਰ ਜਾਣੇ-ਪਛਾਣੇ ਵਰਚੁਅਲਾਈਜੇਸ਼ਨ ਸਿਸਟਮਾਂ ਤੋਂ ਸਤਰ ਦੀ ਹਾਰਡ-ਕੋਡ ਕੀਤੀ ਸੂਚੀ ਦੇ ਵਿਰੁੱਧ ਵਾਪਸੀ ਮੁੱਲ ਦੀ ਜਾਂਚ ਕਰਦਾ ਹੈ: acle, vmware, ਵਰਚੁਅਲਬੌਕਸ ਜ ਸਮਾਨ. ਅੰਤ ਵਿੱਚ, ਅਗਲੀ ਕਮਾਂਡ ਜਾਂਚ ਕਰਦੀ ਹੈ ਕਿ ਕੀ ਮਸ਼ੀਨ ਹੇਠਾਂ ਦਿੱਤੇ “MBP”, “MBA”, “MB”, “MM”, “IM”, “MP” ਅਤੇ “XS” ਵਿੱਚੋਂ ਇੱਕ ਹੈ। ਇਹ ਸਿਸਟਮ ਮਾਡਲ ਕੋਡ ਹਨ, ਉਦਾਹਰਨ ਲਈ, “MBP” ਦਾ ਮਤਲਬ ਮੈਕਬੁੱਕ ਪ੍ਰੋ, “MBA” ਦਾ ਮਤਲਬ ਹੈ ਮੈਕਬੁੱਕ ਏਅਰ, ਆਦਿ।

system_profiler SPHardwareDataType 2>/dev/null | awk '/Boot ROM Version/ {split($0, line, ":");printf("%s", line[2]);}

ਮੁੱਖ ਜੋੜ

ਜਦੋਂ ਕਿ Trend Micro ਦੀ ਖੋਜ ਤੋਂ ਬਾਅਦ ਬੈਕਡੋਰ ਕਮਾਂਡਾਂ ਨਹੀਂ ਬਦਲੀਆਂ ਹਨ, ਅਸੀਂ ਕੁਝ ਹੋਰ ਸੋਧਾਂ ਨੂੰ ਦੇਖਿਆ ਹੈ। ਇਸ ਨਮੂਨੇ ਵਿੱਚ ਵਰਤੇ ਗਏ C&C ਸਰਵਰ ਕਾਫ਼ੀ ਨਵੇਂ ਹਨ ਅਤੇ 22.10.2018/XNUMX/XNUMX ਨੂੰ ਬਣਾਏ ਗਏ ਸਨ।

- daff.faybilodeau[.]com
- sarc.onteagleroad[.]com
- au.charlineopkesston[.]com

ਸਰੋਤ URL ਵਿੱਚ ਬਦਲ ਗਿਆ ਹੈ /dp/B074WC4NHW/ref=gbps_img_m-9_62c3_750e6b35.
C&C ਸਰਵਰ ਨੂੰ ਭੇਜੇ ਗਏ ਪਹਿਲੇ ਪੈਕੇਟ ਵਿੱਚ ਹੋਸਟ ਮਸ਼ੀਨ ਬਾਰੇ ਹੋਰ ਜਾਣਕਾਰੀ ਸ਼ਾਮਲ ਹੈ, ਜਿਸ ਵਿੱਚ ਹੇਠਾਂ ਦਿੱਤੀ ਸਾਰਣੀ ਵਿੱਚ ਕਮਾਂਡਾਂ ਦੁਆਰਾ ਇਕੱਤਰ ਕੀਤੇ ਸਾਰੇ ਡੇਟਾ ਸ਼ਾਮਲ ਹਨ।

ਇਸ ਸੰਰਚਨਾ ਤਬਦੀਲੀ ਤੋਂ ਇਲਾਵਾ, ਨਮੂਨਾ ਨੈੱਟਵਰਕ ਫਿਲਟਰਿੰਗ ਲਈ ਲਾਇਬ੍ਰੇਰੀ ਦੀ ਵਰਤੋਂ ਨਹੀਂ ਕਰਦਾ ਹੈ libcurl, ਪਰ ਇੱਕ ਬਾਹਰੀ ਲਾਇਬ੍ਰੇਰੀ। ਇਸ ਨੂੰ ਲੱਭਣ ਲਈ, ਬੈਕਡੋਰ ਕੁੰਜੀ ਨਾਲ AES-256-CBC ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਮੌਜੂਦਾ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਹਰੇਕ ਫਾਈਲ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦਾ ਹੈ। gFjMXBgyXWULmVVVzyxy, ਜ਼ੀਰੋ ਨਾਲ ਪੈਡ ਕੀਤਾ। ਹਰੇਕ ਫਾਈਲ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਇਸ ਤਰ੍ਹਾਂ ਸੁਰੱਖਿਅਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ /tmp/store, ਅਤੇ ਇਸਨੂੰ ਇੱਕ ਲਾਇਬ੍ਰੇਰੀ ਦੇ ਰੂਪ ਵਿੱਚ ਲੋਡ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਫੰਕਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕੀਤੀ ਗਈ ਹੈ dlopen. ਜਦੋਂ ਇੱਕ ਡੀਕ੍ਰਿਪਸ਼ਨ ਕੋਸ਼ਿਸ਼ ਦਾ ਨਤੀਜਾ ਇੱਕ ਸਫਲ ਕਾਲ ਵਿੱਚ ਹੁੰਦਾ ਹੈ dlopen, ਬੈਕਡੋਰ ਐਕਸਪੋਰਟ ਕੀਤੇ ਫੰਕਸ਼ਨਾਂ ਨੂੰ ਕੱਢਦਾ ਹੈ Boriry и ChadylonV, ਜੋ ਕਿ ਸਰਵਰ ਨਾਲ ਨੈੱਟਵਰਕ ਸੰਚਾਰ ਲਈ ਜ਼ਾਹਰ ਤੌਰ 'ਤੇ ਜ਼ਿੰਮੇਵਾਰ ਹਨ। ਸਾਡੇ ਕੋਲ ਨਮੂਨੇ ਦੇ ਮੂਲ ਸਥਾਨ ਤੋਂ ਡਰਾਪਰ ਜਾਂ ਹੋਰ ਫਾਈਲਾਂ ਨਹੀਂ ਹਨ, ਇਸਲਈ ਅਸੀਂ ਇਸ ਲਾਇਬ੍ਰੇਰੀ ਨੂੰ ਪਾਰਸ ਨਹੀਂ ਕਰ ਸਕਦੇ ਹਾਂ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਕਿਉਂਕਿ ਕੰਪੋਨੈਂਟ ਐਨਕ੍ਰਿਪਟਡ ਹੈ, ਇਹਨਾਂ ਸਤਰਾਂ 'ਤੇ ਆਧਾਰਿਤ YARA ਨਿਯਮ ਡਿਸਕ 'ਤੇ ਪਾਈ ਗਈ ਫਾਈਲ ਨਾਲ ਮੇਲ ਨਹੀਂ ਖਾਂਦਾ ਹੈ।

ਜਿਵੇਂ ਕਿ ਉਪਰੋਕਤ ਲੇਖ ਵਿੱਚ ਦੱਸਿਆ ਗਿਆ ਹੈ, ਇਹ ਬਣਾਉਂਦਾ ਹੈ ਗਾਹਕ ਆਈ.ਡੀ. ਇਹ ID ਹੇਠ ਲਿਖੀਆਂ ਕਮਾਂਡਾਂ ਵਿੱਚੋਂ ਇੱਕ ਦੇ ਵਾਪਸੀ ਮੁੱਲ ਦਾ MD5 ਹੈਸ਼ ਹੈ:

- ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformSerialNumber/ { split($0, line, """); printf("%s", line[4]); }'
- ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformUUID/ { split($0, line, """); printf("%s", line[4]); }'
- ifconfig en0 | awk '/ether /{print $2}' (MAC ਪਤਾ ਪ੍ਰਾਪਤ ਕਰੋ)
- ਅਣਜਾਣ ਟੀਮ ("x1ex72x0a"), ਜੋ ਪਿਛਲੇ ਨਮੂਨਿਆਂ ਵਿੱਚ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ

ਹੈਸ਼ਿੰਗ ਤੋਂ ਪਹਿਲਾਂ, ਰੂਟ ਅਧਿਕਾਰਾਂ ਨੂੰ ਦਰਸਾਉਣ ਲਈ ਵਾਪਸੀ ਮੁੱਲ ਵਿੱਚ "0" ਜਾਂ "1" ਜੋੜਿਆ ਜਾਂਦਾ ਹੈ। ਇਹ ਕਲਾਇੰਟ ID ਵਿੱਚ ਸਟੋਰ ਕੀਤਾ /Library/Storage/File System/HFS/25cf5d02-e50b-4288-870a-528d56c3cf6e/pivtoken.appex, ਜੇਕਰ ਕੋਡ ਰੂਟ ਦੇ ਤੌਰ 'ਤੇ ਜਾਂ ~/Library/SmartCardsServices/Technology/PlugIns/drivers/snippets.ecgML ਵਿੱਚ ਚਲਾਇਆ ਜਾਂਦਾ ਹੈ ਤਾਂ ਹੋਰ ਸਾਰੇ ਮਾਮਲਿਆਂ ਵਿੱਚ। ਫਾਈਲ ਨੂੰ ਆਮ ਤੌਰ 'ਤੇ ਫੰਕਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਲੁਕਾਇਆ ਜਾਂਦਾ ਹੈ _chflags, ਇਸ ਦਾ ਟਾਈਮਸਟੈਂਪ ਕਮਾਂਡ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਬਦਲਿਆ ਜਾਂਦਾ ਹੈ touch –t ਇੱਕ ਬੇਤਰਤੀਬ ਮੁੱਲ ਦੇ ਨਾਲ.

ਡੀਕੋਡਿੰਗ ਸਤਰ

ਪਿਛਲੇ ਵਿਕਲਪਾਂ ਵਾਂਗ, ਸਤਰਾਂ ਨੂੰ AES-256-CBC (ਹੈਕਸਾਡੈਸੀਮਲ ਕੁੰਜੀ:) ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਏਨਕ੍ਰਿਪਟ ਕੀਤਾ ਗਿਆ ਹੈ। 9D7274AD7BCEF0DED29BDBB428C251DF8B350B92 ਜ਼ੀਰੋ ਨਾਲ ਪੈਡ ਕੀਤਾ ਗਿਆ, ਅਤੇ IV ਜ਼ੀਰੋ ਨਾਲ ਭਰਿਆ) ਫੰਕਸ਼ਨ ਰਾਹੀਂ CCCrypt. ਕੁੰਜੀ ਪਿਛਲੇ ਸੰਸਕਰਣਾਂ ਤੋਂ ਬਦਲ ਗਈ ਹੈ, ਪਰ ਕਿਉਂਕਿ ਸਮੂਹ ਅਜੇ ਵੀ ਉਹੀ ਸਟ੍ਰਿੰਗ ਐਨਕ੍ਰਿਪਸ਼ਨ ਐਲਗੋਰਿਦਮ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ, ਡੀਕ੍ਰਿਪਸ਼ਨ ਨੂੰ ਸਵੈਚਲਿਤ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਇਸ ਪੋਸਟ ਤੋਂ ਇਲਾਵਾ, ਅਸੀਂ ਇੱਕ IDA ਸਕ੍ਰਿਪਟ ਜਾਰੀ ਕਰ ਰਹੇ ਹਾਂ ਜੋ ਬਾਈਨਰੀ ਫਾਈਲ ਵਿੱਚ ਮੌਜੂਦ ਸਟ੍ਰਿੰਗਾਂ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਨ ਲਈ Hex-Rays API ਦੀ ਵਰਤੋਂ ਕਰਦੀ ਹੈ। ਇਹ ਸਕ੍ਰਿਪਟ OceanLotus ਦੇ ਭਵਿੱਖ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਅਤੇ ਮੌਜੂਦਾ ਨਮੂਨਿਆਂ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਵਿੱਚ ਮਦਦ ਕਰ ਸਕਦੀ ਹੈ ਜੋ ਅਸੀਂ ਅਜੇ ਤੱਕ ਪ੍ਰਾਪਤ ਨਹੀਂ ਕਰ ਸਕੇ ਹਾਂ। ਸਕ੍ਰਿਪਟ ਇੱਕ ਫੰਕਸ਼ਨ ਨੂੰ ਪਾਸ ਕੀਤੇ ਆਰਗੂਮੈਂਟਾਂ ਨੂੰ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਇੱਕ ਵਿਆਪਕ ਵਿਧੀ 'ਤੇ ਅਧਾਰਤ ਹੈ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਇਹ ਪੈਰਾਮੀਟਰ ਅਸਾਈਨਮੈਂਟਾਂ ਨੂੰ ਦੇਖਦਾ ਹੈ। ਵਿਧੀ ਨੂੰ ਫੰਕਸ਼ਨ ਆਰਗੂਮੈਂਟਾਂ ਦੀ ਸੂਚੀ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਦੁਬਾਰਾ ਵਰਤਿਆ ਜਾ ਸਕਦਾ ਹੈ ਅਤੇ ਫਿਰ ਇਸਨੂੰ ਕਾਲਬੈਕ ਵਿੱਚ ਪਾਸ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ।

ਫੰਕਸ਼ਨ ਪ੍ਰੋਟੋਟਾਈਪ ਨੂੰ ਜਾਣਨਾ ਡਿਸਕ੍ਰਿਪਟ, ਸਕ੍ਰਿਪਟ ਇਸ ਫੰਕਸ਼ਨ ਦੇ ਸਾਰੇ ਅੰਤਰ-ਹਵਾਲੇ ਲੱਭਦੀ ਹੈ, ਸਾਰੀਆਂ ਆਰਗੂਮੈਂਟਾਂ, ਫਿਰ ਡੇਟਾ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਦੀ ਹੈ ਅਤੇ ਕਰਾਸ-ਰੈਫਰੈਂਸ ਐਡਰੈੱਸ 'ਤੇ ਟਿੱਪਣੀ ਦੇ ਅੰਦਰ ਸਧਾਰਨ ਟੈਕਸਟ ਰੱਖਦੀ ਹੈ। ਸਕ੍ਰਿਪਟ ਦੇ ਸਹੀ ਢੰਗ ਨਾਲ ਕੰਮ ਕਰਨ ਲਈ, ਇਸ ਨੂੰ ਬੇਸ64 ਡੀਕੋਡਿੰਗ ਫੰਕਸ਼ਨ ਦੁਆਰਾ ਵਰਤੇ ਗਏ ਕਸਟਮ ਵਰਣਮਾਲਾ 'ਤੇ ਸੈੱਟ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਇੱਕ ਗਲੋਬਲ ਵੇਰੀਏਬਲ ਨੂੰ ਕੁੰਜੀ ਦੀ ਲੰਬਾਈ ਵਾਲਾ ਪਰਿਭਾਸ਼ਿਤ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ (ਇਸ ਸਥਿਤੀ ਵਿੱਚ ਇੱਕ DWORD, ਚਿੱਤਰ 4 ਵੇਖੋ)।

ਚਿੱਤਰ 4. ਗਲੋਬਲ ਵੇਰੀਏਬਲ key_len ਦੀ ਪਰਿਭਾਸ਼ਾ

ਫੰਕਸ਼ਨ ਵਿੰਡੋ ਵਿੱਚ, ਤੁਸੀਂ ਡੀਕ੍ਰਿਪਸ਼ਨ ਫੰਕਸ਼ਨ 'ਤੇ ਸੱਜਾ-ਕਲਿਕ ਕਰ ਸਕਦੇ ਹੋ ਅਤੇ "ਐਕਸਟ੍ਰੈਕਟ ਅਤੇ ਡੀਕ੍ਰਿਪਟ ਆਰਗੂਮੈਂਟਸ" 'ਤੇ ਕਲਿੱਕ ਕਰ ਸਕਦੇ ਹੋ। ਸਕ੍ਰਿਪਟ ਨੂੰ ਟਿੱਪਣੀਆਂ ਵਿੱਚ ਡੀਕ੍ਰਿਪਟਡ ਲਾਈਨਾਂ ਰੱਖਣੀਆਂ ਚਾਹੀਦੀਆਂ ਹਨ, ਜਿਵੇਂ ਕਿ ਚਿੱਤਰ 5 ਵਿੱਚ ਦਿਖਾਇਆ ਗਿਆ ਹੈ।

ਚਿੱਤਰ 5. ਡੀਕ੍ਰਿਪਟਡ ਟੈਕਸਟ ਟਿੱਪਣੀਆਂ ਵਿੱਚ ਰੱਖਿਆ ਗਿਆ ਹੈ

ਇਸ ਤਰ੍ਹਾਂ ਡੀਕ੍ਰਿਪਟਡ ਸਟ੍ਰਿੰਗਾਂ ਨੂੰ IDA ਵਿੰਡੋ ਵਿੱਚ ਆਸਾਨੀ ਨਾਲ ਇਕੱਠੇ ਰੱਖਿਆ ਜਾਂਦਾ ਹੈ xrefs ਇਸ ਫੰਕਸ਼ਨ ਲਈ ਜਿਵੇਂ ਕਿ ਚਿੱਤਰ 6 ਵਿੱਚ ਦਿਖਾਇਆ ਗਿਆ ਹੈ।

ਚਿੱਤਰ 6. xrefs to f_decrypt ਫੰਕਸ਼ਨ

ਅੰਤਮ ਸਕ੍ਰਿਪਟ ਇੱਥੇ ਲੱਭੀ ਜਾ ਸਕਦੀ ਹੈ ਗਿਤੁਬ ਰਿਪੋਜ਼ਟਰੀ.

ਸਿੱਟਾ

ਜਿਵੇਂ ਕਿ ਪਹਿਲਾਂ ਹੀ ਦੱਸਿਆ ਗਿਆ ਹੈ, OceanLotus ਆਪਣੀ ਟੂਲਕਿੱਟ ਨੂੰ ਲਗਾਤਾਰ ਸੁਧਾਰ ਅਤੇ ਅੱਪਡੇਟ ਕਰ ਰਿਹਾ ਹੈ। ਇਸ ਵਾਰ, ਸਾਈਬਰ ਸਮੂਹ ਨੇ ਮੈਕ ਉਪਭੋਗਤਾਵਾਂ ਦੇ ਨਾਲ ਕੰਮ ਕਰਨ ਲਈ ਮਾਲਵੇਅਰ ਵਿੱਚ ਸੁਧਾਰ ਕੀਤਾ ਹੈ. ਕੋਡ ਬਹੁਤ ਜ਼ਿਆਦਾ ਨਹੀਂ ਬਦਲਿਆ ਹੈ, ਪਰ ਕਿਉਂਕਿ ਬਹੁਤ ਸਾਰੇ ਮੈਕ ਉਪਭੋਗਤਾ ਸੁਰੱਖਿਆ ਉਤਪਾਦਾਂ ਨੂੰ ਨਜ਼ਰਅੰਦਾਜ਼ ਕਰਦੇ ਹਨ, ਮਾਲਵੇਅਰ ਨੂੰ ਖੋਜ ਤੋਂ ਬਚਾਉਣਾ ਸੈਕੰਡਰੀ ਮਹੱਤਵ ਦਾ ਹੈ।

ESET ਉਤਪਾਦ ਪਹਿਲਾਂ ਹੀ ਖੋਜ ਦੇ ਸਮੇਂ ਇਸ ਫਾਈਲ ਦਾ ਪਤਾ ਲਗਾ ਰਹੇ ਸਨ। ਕਿਉਂਕਿ C&C ਸੰਚਾਰ ਲਈ ਵਰਤੀ ਜਾਂਦੀ ਨੈੱਟਵਰਕ ਲਾਇਬ੍ਰੇਰੀ ਹੁਣ ਡਿਸਕ 'ਤੇ ਐਨਕ੍ਰਿਪਟ ਕੀਤੀ ਗਈ ਹੈ, ਹਮਲਾਵਰਾਂ ਦੁਆਰਾ ਵਰਤੇ ਗਏ ਸਹੀ ਨੈੱਟਵਰਕ ਪ੍ਰੋਟੋਕੋਲ ਦਾ ਅਜੇ ਪਤਾ ਨਹੀਂ ਹੈ।

ਸਮਝੌਤੇ ਦੇ ਸੂਚਕ

ਸਮਝੌਤਾ ਦੇ ਸੂਚਕਾਂ ਦੇ ਨਾਲ-ਨਾਲ MITER ATT&CK ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਵੀ ਉਪਲਬਧ ਹਨ GitHub.

ਸਰੋਤ: www.habr.com