🥇 ਦਿੱਖ ਅਸਫਲ ਰਹੀ: ਅਸੀਂ AgentTesla ਨੂੰ ਸਾਫ਼ ਪਾਣੀ ਲਈ ਲਿਆ ਰਹੇ ਹਾਂ। ਭਾਗ 1

ਹਾਲ ਹੀ ਵਿੱਚ, ਇਲੈਕਟ੍ਰੀਕਲ ਇੰਸਟਾਲੇਸ਼ਨ ਉਪਕਰਣਾਂ ਦੇ ਇੱਕ ਯੂਰਪੀਅਨ ਨਿਰਮਾਤਾ ਨੇ ਗਰੁੱਪ-ਆਈਬੀ ਨਾਲ ਸੰਪਰਕ ਕੀਤਾ - ਇਸਦੇ ਕਰਮਚਾਰੀ ਨੂੰ ਮੇਲ ਵਿੱਚ ਇੱਕ ਖਤਰਨਾਕ ਅਟੈਚਮੈਂਟ ਦੇ ਨਾਲ ਇੱਕ ਸ਼ੱਕੀ ਪੱਤਰ ਪ੍ਰਾਪਤ ਹੋਇਆ। ਇਲਿਆ ਪੋਮਰੰਤਸੇਵ, CERT Group-IB ਦੇ ਇੱਕ ਮਾਲਵੇਅਰ ਵਿਸ਼ਲੇਸ਼ਣ ਮਾਹਰ ਨੇ ਇਸ ਫਾਈਲ ਦਾ ਵਿਸਤ੍ਰਿਤ ਵਿਸ਼ਲੇਸ਼ਣ ਕੀਤਾ, ਉੱਥੇ AgentTesla ਸਪਾਈਵੇਅਰ ਦੀ ਖੋਜ ਕੀਤੀ ਅਤੇ ਦੱਸਿਆ ਕਿ ਅਜਿਹੇ ਮਾਲਵੇਅਰ ਤੋਂ ਕੀ ਉਮੀਦ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ ਅਤੇ ਇਹ ਕਿਵੇਂ ਖਤਰਨਾਕ ਹੈ।

ਇਸ ਪੋਸਟ ਦੇ ਨਾਲ ਅਸੀਂ ਅਜਿਹੀਆਂ ਸੰਭਾਵੀ ਖਤਰਨਾਕ ਫਾਈਲਾਂ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ ਬਾਰੇ ਲੇਖਾਂ ਦੀ ਇੱਕ ਲੜੀ ਖੋਲ੍ਹ ਰਹੇ ਹਾਂ, ਅਤੇ ਅਸੀਂ ਇਸ ਵਿਸ਼ੇ 'ਤੇ ਇੱਕ ਮੁਫਤ ਇੰਟਰਐਕਟਿਵ ਵੈਬਿਨਾਰ ਲਈ 5 ਦਸੰਬਰ ਨੂੰ ਸਭ ਤੋਂ ਉਤਸੁਕ ਹੋਣ ਦੀ ਉਡੀਕ ਕਰ ਰਹੇ ਹਾਂ। "ਮਾਲਵੇਅਰ ਵਿਸ਼ਲੇਸ਼ਣ: ਅਸਲ ਕੇਸਾਂ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ". ਸਾਰੇ ਵੇਰਵੇ ਕੱਟ ਦੇ ਅਧੀਨ ਹਨ.

ਵੰਡ ਵਿਧੀ

ਅਸੀਂ ਜਾਣਦੇ ਹਾਂ ਕਿ ਮਾਲਵੇਅਰ ਫਿਸ਼ਿੰਗ ਈਮੇਲਾਂ ਰਾਹੀਂ ਪੀੜਤ ਦੀ ਮਸ਼ੀਨ ਤੱਕ ਪਹੁੰਚਿਆ। ਪੱਤਰ ਦਾ ਪ੍ਰਾਪਤਕਰਤਾ ਸ਼ਾਇਦ BCCed ਸੀ।

ਸਿਰਲੇਖਾਂ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਦਰਸਾਉਂਦਾ ਹੈ ਕਿ ਪੱਤਰ ਭੇਜਣ ਵਾਲੇ ਨੂੰ ਧੋਖਾ ਦਿੱਤਾ ਗਿਆ ਸੀ। ਅਸਲ ਵਿੱਚ, ਪੱਤਰ ਦੇ ਨਾਲ ਛੱਡ ਦਿੱਤਾ vps56[.]oneworldhosting[.]com.

ਈਮੇਲ ਅਟੈਚਮੈਂਟ ਵਿੱਚ ਇੱਕ WinRar ਪੁਰਾਲੇਖ ਸ਼ਾਮਲ ਹੈ qoute_jpeg56a.r15 ਇੱਕ ਖਤਰਨਾਕ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਨਾਲ QOUTE_JPEG56A.exe ਅੰਦਰ.

ਮਾਲਵੇਅਰ ਈਕੋਸਿਸਟਮ

ਹੁਣ ਦੇਖਦੇ ਹਾਂ ਕਿ ਅਧਿਐਨ ਅਧੀਨ ਮਾਲਵੇਅਰ ਦਾ ਈਕੋਸਿਸਟਮ ਕਿਹੋ ਜਿਹਾ ਦਿਖਾਈ ਦਿੰਦਾ ਹੈ। ਹੇਠਾਂ ਦਿੱਤਾ ਚਿੱਤਰ ਇਸਦੀ ਬਣਤਰ ਅਤੇ ਭਾਗਾਂ ਦੇ ਪਰਸਪਰ ਪ੍ਰਭਾਵ ਦੀਆਂ ਦਿਸ਼ਾਵਾਂ ਨੂੰ ਦਰਸਾਉਂਦਾ ਹੈ।

ਹੁਣ ਆਉ ਮਾਲਵੇਅਰ ਦੇ ਹਰੇਕ ਹਿੱਸੇ ਨੂੰ ਹੋਰ ਵਿਸਥਾਰ ਵਿੱਚ ਵੇਖੀਏ.

ਲੋਡਰ

ਅਸਲ ਫ਼ਾਈਲ QOUTE_JPEG56A.exe ਇੱਕ ਸੰਕਲਿਤ ਹੈ AutoIt v3 ਸਕ੍ਰਿਪਟ

ਮੂਲ ਸਕ੍ਰਿਪਟ ਨੂੰ ਧੁੰਦਲਾ ਕਰਨ ਲਈ, ਸਮਾਨ ਵਾਲਾ ਇੱਕ ਔਬਫਸਕੇਟਰ PELock AutoIT-Obfuscator ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ
Deobfuscation ਤਿੰਨ ਪੜਾਵਾਂ ਵਿੱਚ ਕੀਤਾ ਜਾਂਦਾ ਹੈ:

ਉਲਝਣਾਂ ਨੂੰ ਦੂਰ ਕਰਨਾ ਲਈ-ਜੇ
ਪਹਿਲਾ ਕਦਮ ਸਕ੍ਰਿਪਟ ਦੇ ਨਿਯੰਤਰਣ ਪ੍ਰਵਾਹ ਨੂੰ ਬਹਾਲ ਕਰਨਾ ਹੈ। ਨਿਯੰਤਰਣ ਪ੍ਰਵਾਹ ਫਲੈਟਿੰਗ ਐਪਲੀਕੇਸ਼ਨ ਬਾਈਨਰੀ ਕੋਡ ਨੂੰ ਵਿਸ਼ਲੇਸ਼ਣ ਤੋਂ ਬਚਾਉਣ ਦੇ ਸਭ ਤੋਂ ਆਮ ਤਰੀਕਿਆਂ ਵਿੱਚੋਂ ਇੱਕ ਹੈ। ਉਲਝਣ ਵਾਲੇ ਪਰਿਵਰਤਨ ਐਲਗੋਰਿਦਮ ਅਤੇ ਡੇਟਾ ਢਾਂਚੇ ਨੂੰ ਕੱਢਣ ਅਤੇ ਪਛਾਣਨ ਦੀ ਗੁੰਝਲਤਾ ਨੂੰ ਨਾਟਕੀ ਢੰਗ ਨਾਲ ਵਧਾਉਂਦੇ ਹਨ।
ਕਤਾਰ ਰਿਕਵਰੀ
ਦੋ ਫੰਕਸ਼ਨਾਂ ਦੀ ਵਰਤੋਂ ਸਤਰ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਹੈ:
- gdorizabegkvfca - ਬੇਸ64-ਵਰਗੀ ਡੀਕੋਡਿੰਗ ਕਰਦਾ ਹੈ
- xgacyukcyzxz - ਦੂਜੀ ਦੀ ਲੰਬਾਈ ਦੇ ਨਾਲ ਪਹਿਲੀ ਸਤਰ ਦਾ ਸਧਾਰਨ ਬਾਈਟ-ਬਾਈਟ XOR
ਉਲਝਣਾਂ ਨੂੰ ਦੂਰ ਕਰਨਾ BinaryToString и ਚਲਾਓ

ਮੁੱਖ ਲੋਡ ਨੂੰ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਵੰਡੇ ਰੂਪ ਵਿੱਚ ਸਟੋਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਫੌਂਟ ਫਾਈਲ ਦੇ ਸਰੋਤ ਭਾਗ.

ਗਲੂਇੰਗ ਆਰਡਰ ਹੇਠ ਲਿਖੇ ਅਨੁਸਾਰ ਹੈ: TIEQHCXWFG, ਆਈ.ਐੱਮ.ਈ., SPDGUHIMPV, KQJMWQQAQTKTFXTUOSW, AOCHKRWWSKWO, JSHMSJPS, NHHWXJBMTTSPXVN, BFUTIFWWXVE, HWJHO, AVZOUMVFRDWFLWU.

WinAPI ਫੰਕਸ਼ਨ ਨੂੰ ਐਕਸਟਰੈਕਟ ਕੀਤੇ ਡੇਟਾ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ CryptDecrypt, ਅਤੇ ਮੁੱਲ ਦੇ ਆਧਾਰ 'ਤੇ ਤਿਆਰ ਕੀਤੀ ਸੈਸ਼ਨ ਕੁੰਜੀ ਨੂੰ ਕੁੰਜੀ ਦੇ ਤੌਰ 'ਤੇ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ fZgFiZlJDxvuWatFRgRXZqmNCIyQgMYc.

ਡੀਕ੍ਰਿਪਟਡ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਫੰਕਸ਼ਨ ਇਨਪੁਟ 'ਤੇ ਭੇਜੀ ਜਾਂਦੀ ਹੈ ਰਨਪਈ, ਜੋ ਕਰਦਾ ਹੈ ProcessInject в RegAsm.exe ਬਿਲਟ-ਇਨ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਸ਼ੈੱਲਕੋਡ (ਵਜੋ ਜਣਿਆ ਜਾਂਦਾ RunPE ਸ਼ੈੱਲਕੋਡ). ਲੇਖਕਤਾ ਸਪੈਨਿਸ਼ ਫੋਰਮ ਦੇ ਉਪਭੋਗਤਾ ਨਾਲ ਸਬੰਧਤ ਹੈ indetectables[.]net ਉਪਨਾਮ ਵਾਰਡੋ ਦੇ ਤਹਿਤ.

ਇਹ ਵੀ ਧਿਆਨ ਦੇਣ ਯੋਗ ਹੈ ਕਿ ਇਸ ਫੋਰਮ ਦੇ ਥਰਿੱਡਾਂ ਵਿੱਚੋਂ ਇੱਕ ਵਿੱਚ, ਲਈ ਇੱਕ obfuscator ਛੱਤ 'ਤੇ ਨਮੂਨੇ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਦੌਰਾਨ ਪਛਾਣੀਆਂ ਗਈਆਂ ਸਮਾਨ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਦੇ ਨਾਲ।

ਆਪ ਜੀ ਸ਼ੈੱਲਕੋਡ ਕਾਫ਼ੀ ਸਧਾਰਨ ਅਤੇ ਧਿਆਨ ਆਕਰਸ਼ਿਤ ਕਰਦਾ ਹੈ ਸਿਰਫ ਹੈਕਰ ਗਰੁੱਪ AnunakCarbanak ਤੋਂ ਉਧਾਰ ਲਿਆ ਗਿਆ ਹੈ। API ਕਾਲ ਹੈਸ਼ਿੰਗ ਫੰਕਸ਼ਨ।

ਅਸੀਂ ਵਰਤੋਂ ਦੇ ਮਾਮਲਿਆਂ ਬਾਰੇ ਵੀ ਜਾਣੂ ਹਾਂ ਫਰਾਂਸੀਸੀ ਸ਼ੈੱਲਕੋਡ ਵੱਖ-ਵੱਖ ਸੰਸਕਰਣ.
ਵਰਣਿਤ ਕਾਰਜਸ਼ੀਲਤਾ ਤੋਂ ਇਲਾਵਾ, ਅਸੀਂ ਅਕਿਰਿਆਸ਼ੀਲ ਫੰਕਸ਼ਨਾਂ ਦੀ ਵੀ ਪਛਾਣ ਕੀਤੀ ਹੈ:

ਟਾਸਕ ਮੈਨੇਜਰ ਵਿੱਚ ਮੈਨੂਅਲ ਪ੍ਰਕਿਰਿਆ ਸਮਾਪਤੀ ਨੂੰ ਬਲੌਕ ਕਰਨਾ
ਜਦੋਂ ਇਹ ਸਮਾਪਤ ਹੋ ਜਾਂਦੀ ਹੈ ਤਾਂ ਬੱਚੇ ਦੀ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਮੁੜ ਚਾਲੂ ਕਰਨਾ
UAC ਨੂੰ ਬਾਈਪਾਸ ਕਰੋ
ਪੇਲੋਡ ਨੂੰ ਇੱਕ ਫਾਈਲ ਵਿੱਚ ਸੁਰੱਖਿਅਤ ਕੀਤਾ ਜਾ ਰਿਹਾ ਹੈ
ਮਾਡਲ ਵਿੰਡੋਜ਼ ਦਾ ਪ੍ਰਦਰਸ਼ਨ
ਮਾਊਸ ਕਰਸਰ ਦੀ ਸਥਿਤੀ ਬਦਲਣ ਦੀ ਉਡੀਕ ਕੀਤੀ ਜਾ ਰਹੀ ਹੈ
ਐਂਟੀਵੀਐਮ ਅਤੇ ਐਂਟੀਸੈਂਡਬਾਕਸ
ਸਵੈ-ਵਿਨਾਸ਼
ਨੈੱਟਵਰਕ ਤੋਂ ਪੰਪਿੰਗ ਪੇਲੋਡ

ਅਸੀਂ ਜਾਣਦੇ ਹਾਂ ਕਿ ਅਜਿਹੀ ਕਾਰਜਸ਼ੀਲਤਾ ਰੱਖਿਅਕ ਲਈ ਵਿਸ਼ੇਸ਼ ਹੈ ਸਾਈਫਰਆਈਟੀ, ਜੋ ਕਿ, ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ, ਸਵਾਲ ਵਿੱਚ ਬੂਟਲੋਡਰ ਹੈ।

ਸਾਫਟਵੇਅਰ ਦਾ ਮੁੱਖ ਮੋਡੀਊਲ

ਅੱਗੇ, ਅਸੀਂ ਮਾਲਵੇਅਰ ਦੇ ਮੁੱਖ ਮੋਡੀਊਲ ਦਾ ਸੰਖੇਪ ਵਰਣਨ ਕਰਾਂਗੇ, ਅਤੇ ਦੂਜੇ ਲੇਖ ਵਿੱਚ ਇਸ ਨੂੰ ਹੋਰ ਵਿਸਥਾਰ ਵਿੱਚ ਵਿਚਾਰਾਂਗੇ। ਇਸ ਕੇਸ ਵਿੱਚ, ਇਹ ਇੱਕ ਐਪਲੀਕੇਸ਼ਨ ਹੈ .NET.

ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਦੌਰਾਨ, ਸਾਨੂੰ ਪਤਾ ਲੱਗਾ ਕਿ ਇੱਕ obfuscator ਵਰਤਿਆ ਗਿਆ ਸੀ ConfuserEX.

IELibrary.dll

ਲਾਇਬ੍ਰੇਰੀ ਨੂੰ ਇੱਕ ਮੁੱਖ ਮੋਡੀਊਲ ਸਰੋਤ ਵਜੋਂ ਸਟੋਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਇਸਦੇ ਲਈ ਇੱਕ ਮਸ਼ਹੂਰ ਪਲੱਗਇਨ ਹੈ ਏਜੰਟ ਟੇਸਲਾ, ਜੋ ਕਿ ਇੰਟਰਨੈੱਟ ਐਕਸਪਲੋਰਰ ਅਤੇ ਐਜ ਬ੍ਰਾਊਜ਼ਰਾਂ ਤੋਂ ਵੱਖ-ਵੱਖ ਜਾਣਕਾਰੀ ਕੱਢਣ ਲਈ ਕਾਰਜਕੁਸ਼ਲਤਾ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ।

ਏਜੰਟ ਟੇਸਲਾ ਇੱਕ ਮਾਡਿਊਲਰ ਜਾਸੂਸੀ ਸੌਫਟਵੇਅਰ ਹੈ ਜੋ ਇੱਕ ਜਾਇਜ਼ ਕੀਲੌਗਰ ਉਤਪਾਦ ਦੀ ਆੜ ਵਿੱਚ ਇੱਕ ਮਾਲਵੇਅਰ-ਏ-ਏ-ਸਰਵਿਸ ਮਾਡਲ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਵੰਡਿਆ ਜਾਂਦਾ ਹੈ। ਏਜੰਟ ਟੇਸਲਾ ਬ੍ਰਾਉਜ਼ਰਾਂ, ਈਮੇਲ ਕਲਾਇੰਟਸ ਅਤੇ FTP ਕਲਾਇੰਟਸ ਤੋਂ ਸਰਵਰ ਤੋਂ ਹਮਲਾਵਰਾਂ ਤੱਕ ਉਪਭੋਗਤਾ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਨੂੰ ਐਕਸਟਰੈਕਟ ਕਰਨ ਅਤੇ ਸੰਚਾਰਿਤ ਕਰਨ, ਕਲਿੱਪਬੋਰਡ ਡੇਟਾ ਰਿਕਾਰਡ ਕਰਨ ਅਤੇ ਡਿਵਾਈਸ ਸਕ੍ਰੀਨ ਨੂੰ ਕੈਪਚਰ ਕਰਨ ਦੇ ਸਮਰੱਥ ਹੈ। ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਸਮੇਂ, ਡਿਵੈਲਪਰਾਂ ਦੀ ਅਧਿਕਾਰਤ ਵੈੱਬਸਾਈਟ ਉਪਲਬਧ ਨਹੀਂ ਸੀ।

ਐਂਟਰੀ ਪੁਆਇੰਟ ਫੰਕਸ਼ਨ ਹੈ GetSavedPasswords ਕਲਾਸ ਇੰਟਰਨੈੱਟ ਐਕਸਪਲੋਰਰ.

ਆਮ ਤੌਰ 'ਤੇ, ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਲੀਨੀਅਰ ਹੁੰਦਾ ਹੈ ਅਤੇ ਇਸ ਵਿੱਚ ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਵਿਰੁੱਧ ਕੋਈ ਸੁਰੱਖਿਆ ਨਹੀਂ ਹੁੰਦੀ ਹੈ। ਸਿਰਫ਼ ਅਸਾਧਾਰਨ ਫੰਕਸ਼ਨ ਹੀ ਧਿਆਨ ਦਾ ਹੱਕਦਾਰ ਹੈ GetSavedCookies. ਜ਼ਾਹਰਾ ਤੌਰ 'ਤੇ, ਪਲੱਗਇਨ ਦੀ ਕਾਰਜਕੁਸ਼ਲਤਾ ਦਾ ਵਿਸਤਾਰ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਸੀ, ਪਰ ਅਜਿਹਾ ਕਦੇ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਸੀ।

ਬੂਟਲੋਡਰ ਨੂੰ ਸਿਸਟਮ ਨਾਲ ਜੋੜਿਆ ਜਾ ਰਿਹਾ ਹੈ

ਆਉ ਅਧਿਐਨ ਕਰੀਏ ਕਿ ਬੂਟਲੋਡਰ ਸਿਸਟਮ ਨਾਲ ਕਿਵੇਂ ਜੁੜਿਆ ਹੋਇਆ ਹੈ। ਅਧਿਐਨ ਅਧੀਨ ਨਮੂਨਾ ਐਂਕਰ ਨਹੀਂ ਕਰਦਾ, ਪਰ ਸਮਾਨ ਘਟਨਾਵਾਂ ਵਿੱਚ ਇਹ ਹੇਠ ਲਿਖੀ ਸਕੀਮ ਦੇ ਅਨੁਸਾਰ ਵਾਪਰਦਾ ਹੈ:

ਫੋਲਡਰ ਵਿੱਚ C: ਉਪਭੋਗਤਾ ਪਬਲਿਕ ਸਕ੍ਰਿਪਟ ਬਣਾਈ ਗਈ ਹੈ ਵਿਜ਼ੂਅਲ ਬੇਸਿਕ
ਸਕ੍ਰਿਪਟ ਉਦਾਹਰਨ:
ਲੋਡਰ ਫਾਈਲ ਦੀ ਸਮੱਗਰੀ ਨੂੰ ਇੱਕ ਨਲ ਅੱਖਰ ਨਾਲ ਪੈਡ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਫੋਲਡਰ ਵਿੱਚ ਸੁਰੱਖਿਅਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ %Temp%<ਕਸਟਮ ਫੋਲਡਰ ਦਾ ਨਾਮ><ਫਾਇਲ ਨਾਮ>
ਸਕ੍ਰਿਪਟ ਫਾਈਲ ਲਈ ਰਜਿਸਟਰੀ ਵਿੱਚ ਇੱਕ ਆਟੋਰਨ ਕੁੰਜੀ ਬਣਾਈ ਗਈ ਹੈ HKCUSoftwareMicrosoftWindowsCurrentVersionRun<Script name>

ਇਸ ਲਈ, ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਪਹਿਲੇ ਭਾਗ ਦੇ ਨਤੀਜਿਆਂ ਦੇ ਆਧਾਰ 'ਤੇ, ਅਸੀਂ ਅਧਿਐਨ ਅਧੀਨ ਮਾਲਵੇਅਰ ਦੇ ਸਾਰੇ ਹਿੱਸਿਆਂ ਦੇ ਪਰਿਵਾਰਾਂ ਦੇ ਨਾਮ ਸਥਾਪਤ ਕਰਨ, ਲਾਗ ਪੈਟਰਨ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ, ਅਤੇ ਦਸਤਖਤ ਲਿਖਣ ਲਈ ਵਸਤੂਆਂ ਪ੍ਰਾਪਤ ਕਰਨ ਦੇ ਯੋਗ ਹੋ ਗਏ। ਅਸੀਂ ਅਗਲੇ ਲੇਖ ਵਿੱਚ ਇਸ ਵਸਤੂ ਦਾ ਆਪਣਾ ਵਿਸ਼ਲੇਸ਼ਣ ਜਾਰੀ ਰੱਖਾਂਗੇ, ਜਿੱਥੇ ਅਸੀਂ ਮੁੱਖ ਮੋਡੀਊਲ ਨੂੰ ਹੋਰ ਵਿਸਥਾਰ ਵਿੱਚ ਦੇਖਾਂਗੇ ਏਜੰਟ ਟੇਸਲਾ. ਮਿਸ ਨਾ ਕਰੋ!

ਵੈਸੇ, 5 ਦਸੰਬਰ ਨੂੰ ਅਸੀਂ ਸਾਰੇ ਪਾਠਕਾਂ ਨੂੰ "ਮਾਲਵੇਅਰ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ: ਅਸਲ ਮਾਮਲਿਆਂ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ" ਵਿਸ਼ੇ 'ਤੇ ਇੱਕ ਮੁਫਤ ਇੰਟਰਐਕਟਿਵ ਵੈਬਿਨਾਰ ਲਈ ਸੱਦਾ ਦਿੰਦੇ ਹਾਂ, ਜਿੱਥੇ ਇਸ ਲੇਖ ਦੇ ਲੇਖਕ, ਇੱਕ CERT-GIB ਮਾਹਰ, ਔਨਲਾਈਨ ਦੇ ਪਹਿਲੇ ਪੜਾਅ ਨੂੰ ਦਿਖਾਉਣਗੇ। ਮਾਲਵੇਅਰ ਵਿਸ਼ਲੇਸ਼ਣ - ਅਭਿਆਸ ਤੋਂ ਤਿੰਨ ਅਸਲ ਮਿੰਨੀ-ਕੇਸਾਂ ਦੀ ਉਦਾਹਰਣ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਨਮੂਨਿਆਂ ਦੀ ਅਰਧ-ਆਟੋਮੈਟਿਕ ਅਨਪੈਕਿੰਗ, ਅਤੇ ਤੁਸੀਂ ਵਿਸ਼ਲੇਸ਼ਣ ਵਿੱਚ ਹਿੱਸਾ ਲੈ ਸਕਦੇ ਹੋ। ਵੈਬਿਨਾਰ ਉਹਨਾਂ ਮਾਹਰਾਂ ਲਈ ਢੁਕਵਾਂ ਹੈ ਜਿਨ੍ਹਾਂ ਨੂੰ ਪਹਿਲਾਂ ਹੀ ਖਤਰਨਾਕ ਫਾਈਲਾਂ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ ਦਾ ਤਜਰਬਾ ਹੈ। ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਕਾਰਪੋਰੇਟ ਈਮੇਲ ਤੋਂ ਸਖਤੀ ਨਾਲ ਹੈ: ਰਜਿਸਟਰ. ਤੁਹਾਡੇ ਲਈ ਇੰਤਜਾਰ!

ਜ਼ਖ਼ਮ

rule AgentTesla_clean{
meta:
    author = "Group-IB"
    file = "78566E3FC49C291CB117C3D955FA34B9A9F3EEFEFAE3DE3D0212432EB18D2EAD"
    scoring = 5
    family = "AgentTesla"
strings:
    $string_format_AT = {74 00 79 00 70 00 65 00 3D 00 7B 00 30 00 7D 00 0D 00 0A 00 68 00 77 00 69 00 64 00 3D 00 7B 00 31 00 7D 00 0D 00 0A 00 74 00 69 00 6D 00 65 00 3D 00 7B 00 32 00 7D 00 0D 00 0A 00 70 00 63 00 6E 00 61 00 6D 00 65 00 3D 00 7B 00 33 00 7D 00 0D 00 0A 00 6C 00 6F 00 67 00 64 00 61 00 74 00 61 00 3D 00 7B 00 34 00 7D 00 0D 00 0A 00 73 00 63 00 72 00 65 00 65 00 6E 00 3D 00 7B 00 35 00 7D 00 0D 00 0A 00 69 00 70 00 61 00 64 00 64 00 3D 00 7B 00 36 00 7D 00 0D 00 0A 00 77 00 65 00 62 00 63 00 61 00 6D 00 5F 00 6C 00 69 00 6E 00 6B 00 3D 00 7B 00 37 00 7D 00 0D 00 0A 00 73 00 63 00 72 00 65 00 65 00 6E 00 5F 00 6C 00 69 00 6E 00 6B 00 3D 00 7B 00 38 00 7D 00 0D 00 0A 00 5B 00 70 00 61 00 73 00 73 00 77 00 6F 00 72 00 64 00 73 00 5D 00}
    $web_panel_format_string = {63 00 6C 00 69 00 65 00 6E 00 74 00 5B 00 5D 00 3D 00 7B 00 30 00 7D 00 0D 00 0A 00 6C 00 69 00 6E 00 6B 00 5B 00 5D 00 3D 00 7B 00 31 00 7D 00 0D 00 0A 00 75 00 73 00 65 00 72 00 6E 00 61 00 6D 00 65 00 5B 00 5D 00 3D 00 7B 00 32 00 7D 00 0D 00 0A 00 70 00 61 00 73 00 73 00 77 00 6F 00 72 00 64 00 5B 00 5D 00 3D 00 7B 00 33 00 7D 00 00 15 55 00 52 00 4C 00 3A 00 20 00 20 00 20 00 20 00 20 00 20 00 00 15 55 00 73 00 65 00 72 00 6E 00 61 00 6D 00 65 00 3A 00 20 00 00 15 50 00 61 00 73 00 73 00 77 00 6F 00 72 00 64 00 3A 00}
condition:
     all of them
}

rule  AgentTesla_obfuscated {
meta:
    author = "Group-IB"
    file = "41DC0D5459F25E2FDCF8797948A7B315D3CB075398D808D1772CACCC726AF6E9"
    scoring = 5
    family = "AgentTesla"
strings:
    $first_names = {61 66 6B 00 61 66 6D 00 61 66 6F 00 61 66 76 00 61 66 79 00 61 66 78 00 61 66 77 00 61 67 6A 00 61 67 6B 00 61 67 6C 00 61 67 70 00 61 67 72 00 61 67 73 00 61 67 75 00}
    $second_names = "IELibrary.resources"
condition:
     all of them
}

rule AgentTesla_module_for_IE{
meta:
    author = "Group-IB"
    file = "D55800A825792F55999ABDAD199DFA54F3184417215A298910F2C12CD9CC31EE"
    scoring = 5
    family = "AgentTesla_module_for_IE"
strings:
    $s0 = "ByteArrayToStructure" 
    $s1 = "CryptAcquireContext" 
    $s2 = "CryptCreateHash" 
    $s3 = "CryptDestroyHash" 
    $s4 = "CryptGetHashParam" 
    $s5 = "CryptHashData"
    $s6 = "CryptReleaseContext" 
    $s7 = "DecryptIePassword" 
    $s8 = "DoesURLMatchWithHash" 
    $s9 = "GetSavedCookies" 
    $s10 = "GetSavedPasswords" 
    $s11 = "GetURLHashString"  
condition:
     all of them
}

rule RunPE_shellcode {
meta:
    author = "Group-IB"
    file = "37A1961361073BEA6C6EACE6A8601F646C5B6ECD9D625E049AD02075BA996918"
    scoring = 5
    family = "RunPE_shellcode"
strings:
    $malcode = {
      C7 [2-5] EE 38 83 0C // mov     dword ptr [ebp-0A0h], 0C8338EEh
      C7 [2-5] 57 64 E1 01 // mov     dword ptr [ebp-9Ch], 1E16457h
      C7 [2-5] 18 E4 CA 08 // mov     dword ptr [ebp-98h], 8CAE418h
      C7 [2-5] E3 CA D8 03 // mov     dword ptr [ebp-94h], 3D8CAE3h
      C7 [2-5] 99 B0 48 06 // mov     dword ptr [ebp-90h], 648B099h
      C7 [2-5] 93 BA 94 03 // mov     dword ptr [ebp-8Ch], 394BA93h
      C7 [2-5] E4 C7 B9 04 // mov     dword ptr [ebp-88h], 4B9C7E4h
      C7 [2-5] E4 87 B8 04 // mov     dword ptr [ebp-84h], 4B887E4h
      C7 [2-5] A9 2D D7 01 // mov     dword ptr [ebp-80h], 1D72DA9h
      C7 [2-5] 05 D1 3D 0B // mov     dword ptr [ebp-7Ch], 0B3DD105h
      C7 [2-5] 44 27 23 0F // mov     dword ptr [ebp-78h], 0F232744h
      C7 [2-5] E8 6F 18 0D // mov     dword ptr [ebp-74h], 0D186FE8h
      }
condition:
    $malcode 
}

rule AgentTesla_AutoIT_module{
meta:
    author = "Group-IB"
    file = "49F94293F2EBD8CEFF180EDDD58FA50B30DC0F08C05B5E3BD36FD52668D196AF"
    scoring = 5
    family = "AgentTesla"
strings:                                    
    $packedexeau = {55 ED F5 9F 92 03 04 44 7E 16 6D 1F 8C D7 38 E6 29 E4 C8 CF DA 2C C4 E1 F3 65 48 25 B8 93 9D 66 A4 AD 3C 39 50 00 B9 60 66 19 8D FC 20 0A A0 56 52 8B 9F 15 D7 62 30 0D 5C C3 24 FE F8 FC 39 08 DF 87 2A B2 1C E9 F7 06 A8 53 B2 69 C3 3C D4 5E D4 74 91 6E 9D 9A A0 96 FD DB 1F 5E 09 D7 0F 25 FB 46 4E 74 15 BB AB DB 17 EE E7 64 33 D6 79 02 E4 85 79 14 6B 59 F9 43 3C 81 68 A8 B5 32 BC E6}
condition:
     all of them
}

ਹੈਸ਼

ਨਾਮ	qoute_jpeg56a.r15
MD5	53BE8F9B978062D4411F71010F49209E
SHA1	A8C2765B3D655BA23886D663D22BDD8EF6E8E894
SHA256	2641DAFB452562A0A92631C2849B8B9CE880F0F8F 890E643316E9276156EDC8A
ਦੀ ਕਿਸਮ	WinRAR ਨੂੰ ਆਰਕਾਈਵ ਕਰੋ
ਆਕਾਰ	823014

ਨਾਮ	QOUTE_JPEG56A.exe
MD5	329F6769CF21B660D5C3F5048CE30F17
SHA1	8010CC2AF398F9F951555F7D481CE13DF60BBECF
SHA256	49F94293F2EBD8CEFF180EDDD58FA50B30DC0F08 C05B5E3BD36FD52668D196AF
ਦੀ ਕਿਸਮ	PE (ਕੰਪਾਈਲਡ AutoIt ਸਕ੍ਰਿਪਟ)
ਆਕਾਰ	1327616
ਅਸਲੀ ਨਾਮ	ਅਣਜਾਣ
ਮਿਤੀ ਸਟੈਂਪ	15.07.2019
ਲਿੰਕਰ	ਮਾਈਕ੍ਰੋਸਾਫਟ ਲਿੰਕਰ(12.0)[EXE32]

MD5	C2743AEDDADACC012EF4A632598C00C0
SHA1	79B445DE923C92BF378B19D12A309C0E9C5851BF
SHA256	37A1961361073BEA6C6EACE6A8601F646C5B6ECD 9D625E049AD02075BA996918
ਦੀ ਕਿਸਮ	ਸ਼ੈੱਲਕੋਡ
ਆਕਾਰ	1474

ਸਰੋਤ: www.habr.com

ਵੋਟਿੰਗ ਫੇਲ੍ਹ ਹੋਈ: ਆਓ AgentTesla ਨੂੰ ਸਾਫ਼ ਪਾਣੀ ਦਾ ਪਰਦਾਫਾਸ਼ ਕਰੀਏ। ਭਾਗ 1