ਵੋਟਿੰਗ ਫੇਲ੍ਹ ਹੋਈ: ਆਓ AgentTesla ਨੂੰ ਸਾਫ਼ ਪਾਣੀ ਦਾ ਪਰਦਾਫਾਸ਼ ਕਰੀਏ। ਭਾਗ 3

ਇਸ ਲੇਖ ਦੇ ਨਾਲ ਅਸੀਂ ਖਤਰਨਾਕ ਸੌਫਟਵੇਅਰ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਲਈ ਸਮਰਪਿਤ ਪ੍ਰਕਾਸ਼ਨਾਂ ਦੀ ਲੜੀ ਨੂੰ ਪੂਰਾ ਕਰਦੇ ਹਾਂ। IN ਪਹਿਲਾ ਭਾਗ ਅਸੀਂ ਇੱਕ ਸੰਕਰਮਿਤ ਫਾਈਲ ਦਾ ਵਿਸਤ੍ਰਿਤ ਵਿਸ਼ਲੇਸ਼ਣ ਕੀਤਾ ਜੋ ਇੱਕ ਯੂਰਪੀਅਨ ਕੰਪਨੀ ਨੇ ਡਾਕ ਦੁਆਰਾ ਪ੍ਰਾਪਤ ਕੀਤੀ ਅਤੇ ਉੱਥੇ ਏਜੰਟਟੇਸਲਾ ਸਪਾਈਵੇਅਰ ਦੀ ਖੋਜ ਕੀਤੀ। ਵਿੱਚ ਦੂਜਾ ਭਾਗ ਮੁੱਖ AgentTesla ਮੋਡੀਊਲ ਦੇ ਕਦਮ-ਦਰ-ਕਦਮ ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਨਤੀਜਿਆਂ ਦਾ ਵਰਣਨ ਕੀਤਾ।

ਅੱਜ ਇਲਿਆ ਪੋਮਰੰਤਸੇਵ, CERT Group-IB ਵਿੱਚ ਮਾਲਵੇਅਰ ਵਿਸ਼ਲੇਸ਼ਣ ਵਿੱਚ ਇੱਕ ਮਾਹਰ, ਮਾਲਵੇਅਰ ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਪਹਿਲੇ ਪੜਾਅ ਬਾਰੇ ਗੱਲ ਕਰੇਗਾ - CERT Group-IB ਮਾਹਰਾਂ ਦੇ ਅਭਿਆਸ ਤੋਂ ਤਿੰਨ ਮਿੰਨੀ-ਕੇਸਾਂ ਦੀ ਉਦਾਹਰਣ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਏਜੰਟਟੇਸਲਾ ਦੇ ਨਮੂਨਿਆਂ ਦੀ ਅਰਧ-ਆਟੋਮੈਟਿਕ ਅਨਪੈਕਿੰਗ।

ਆਮ ਤੌਰ 'ਤੇ, ਮਾਲਵੇਅਰ ਵਿਸ਼ਲੇਸ਼ਣ ਦਾ ਪਹਿਲਾ ਪੜਾਅ ਪੈਕਰ, ਕ੍ਰਿਪਟਰ, ਪ੍ਰੋਟੈਕਟਰ ਜਾਂ ਲੋਡਰ ਦੇ ਰੂਪ ਵਿੱਚ ਸੁਰੱਖਿਆ ਨੂੰ ਹਟਾਉਣਾ ਹੁੰਦਾ ਹੈ। ਜ਼ਿਆਦਾਤਰ ਮਾਮਲਿਆਂ ਵਿੱਚ, ਇਸ ਸਮੱਸਿਆ ਨੂੰ ਮਾਲਵੇਅਰ ਨੂੰ ਚਲਾ ਕੇ ਅਤੇ ਡੰਪ ਕਰਕੇ ਹੱਲ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ, ਪਰ ਅਜਿਹੀਆਂ ਸਥਿਤੀਆਂ ਹਨ ਜਿੱਥੇ ਇਹ ਤਰੀਕਾ ਢੁਕਵਾਂ ਨਹੀਂ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਜੇਕਰ ਮਾਲਵੇਅਰ ਇੱਕ ਐਨਕ੍ਰਿਪਟਰ ਹੈ, ਜੇਕਰ ਇਹ ਇਸਦੇ ਮੈਮੋਰੀ ਖੇਤਰਾਂ ਨੂੰ ਡੰਪ ਹੋਣ ਤੋਂ ਬਚਾਉਂਦਾ ਹੈ, ਜੇਕਰ ਕੋਡ ਵਿੱਚ ਵਰਚੁਅਲ ਮਸ਼ੀਨ ਖੋਜ ਵਿਧੀ ਸ਼ਾਮਲ ਹੈ, ਜਾਂ ਜੇਕਰ ਮਾਲਵੇਅਰ ਚਾਲੂ ਹੋਣ ਤੋਂ ਤੁਰੰਤ ਬਾਅਦ ਰੀਬੂਟ ਹੁੰਦਾ ਹੈ। ਅਜਿਹੇ ਮਾਮਲਿਆਂ ਵਿੱਚ, ਅਖੌਤੀ "ਅਰਧ-ਆਟੋਮੈਟਿਕ" ਅਨਪੈਕਿੰਗ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਯਾਨੀ ਖੋਜਕਰਤਾ ਦਾ ਪ੍ਰਕਿਰਿਆ 'ਤੇ ਪੂਰਾ ਨਿਯੰਤਰਣ ਹੁੰਦਾ ਹੈ ਅਤੇ ਕਿਸੇ ਵੀ ਸਮੇਂ ਦਖਲ ਦੇ ਸਕਦਾ ਹੈ। ਆਉ ਇੱਕ ਉਦਾਹਰਣ ਵਜੋਂ ਏਜੰਟਟੇਸਲਾ ਪਰਿਵਾਰ ਦੇ ਤਿੰਨ ਨਮੂਨਿਆਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਇਸ ਵਿਧੀ 'ਤੇ ਵਿਚਾਰ ਕਰੀਏ। ਇਹ ਇੱਕ ਮੁਕਾਬਲਤਨ ਨੁਕਸਾਨ ਰਹਿਤ ਮਾਲਵੇਅਰ ਹੈ ਜੇਕਰ ਤੁਸੀਂ ਇਸਦੀ ਨੈੱਟਵਰਕ ਪਹੁੰਚ ਨੂੰ ਅਸਮਰੱਥ ਬਣਾਉਂਦੇ ਹੋ।

ਨਮੂਨਾ ਨੰ: 1

ਸਰੋਤ ਫਾਈਲ ਇੱਕ MS Word ਦਸਤਾਵੇਜ਼ ਹੈ ਜੋ ਕਮਜ਼ੋਰੀ CVE-2017-11882 ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਦੀ ਹੈ।

ਨਤੀਜੇ ਵਜੋਂ, ਪੇਲੋਡ ਨੂੰ ਡਾਊਨਲੋਡ ਅਤੇ ਲਾਂਚ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।

ਪ੍ਰਕਿਰਿਆ ਦੇ ਰੁੱਖ ਅਤੇ ਵਿਵਹਾਰਕ ਮਾਰਕਰਾਂ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ ਟੀਕਾ ਦਰਸਾਉਂਦਾ ਹੈ RegAsm.exe.

AgentTesla ਦੇ ਵਿਹਾਰਕ ਮਾਰਕਰ ਵਿਸ਼ੇਸ਼ਤਾ ਹਨ.

ਡਾਊਨਲੋਡ ਕੀਤਾ ਨਮੂਨਾ ਚੱਲਣਯੋਗ ਹੈ .NET- ਇੱਕ ਪ੍ਰੋਟੈਕਟਰ ਦੁਆਰਾ ਸੁਰੱਖਿਅਤ ਫਾਈਲ .NET ਰਿਐਕਟਰ.

ਆਓ ਇਸਨੂੰ ਉਪਯੋਗਤਾ ਵਿੱਚ ਖੋਲ੍ਹੀਏ dnSpy x86 ਅਤੇ ਐਂਟਰੀ ਪੁਆਇੰਟ 'ਤੇ ਜਾਓ।

ਸਮਾਗਮ ਵਿੱਚ ਜਾ ਕੇ ਸ DateTimeOffset, ਅਸੀਂ ਨਵੇਂ ਲਈ ਸ਼ੁਰੂਆਤੀ ਕੋਡ ਲੱਭਾਂਗੇ .NET-ਮੋਡਿਊਲ। ਪਾ ਦਿਓ ਬ੍ਰੇਕਪੁਆਇੰਟ ਲਾਈਨ 'ਤੇ ਜਿਸ ਵਿੱਚ ਅਸੀਂ ਦਿਲਚਸਪੀ ਰੱਖਦੇ ਹਾਂ ਅਤੇ ਫਾਈਲ ਨੂੰ ਚਲਾਉਂਦੇ ਹਾਂ.

ਵਾਪਸ ਕੀਤੇ ਬਫਰਾਂ ਵਿੱਚੋਂ ਇੱਕ ਵਿੱਚ ਤੁਸੀਂ MZ ਦਸਤਖਤ ਦੇਖ ਸਕਦੇ ਹੋ (0x4D 0x5A). ਚਲੋ ਇਸ ਨੂੰ ਬਚਾਈਏ।

ਇੱਕ ਡੰਪ ਕੀਤੀ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਇੱਕ ਡਾਇਨਾਮਿਕ ਲਾਇਬ੍ਰੇਰੀ ਹੈ ਜੋ ਇੱਕ ਲੋਡਰ ਹੈ, ਯਾਨੀ. ਸਰੋਤ ਭਾਗ ਤੋਂ ਪੇਲੋਡ ਕੱਢਦਾ ਹੈ ਅਤੇ ਇਸਨੂੰ ਲਾਂਚ ਕਰਦਾ ਹੈ।

ਇਸ ਦੇ ਨਾਲ ਹੀ, ਲੋੜੀਂਦੇ ਸਰੋਤ ਖੁਦ ਡੰਪ ਵਿੱਚ ਮੌਜੂਦ ਨਹੀਂ ਹਨ. ਉਹ ਮਾਪਿਆਂ ਦੇ ਨਮੂਨੇ ਵਿੱਚ ਹਨ।

ਉਪਯੋਗਤਾ dnSpy ਦੋ ਬਹੁਤ ਉਪਯੋਗੀ ਕਾਰਜਕੁਸ਼ਲਤਾਵਾਂ ਹਨ ਜੋ ਦੋ ਸੰਬੰਧਿਤ ਫਾਈਲਾਂ ਤੋਂ "ਫਰੈਂਕਨਸਟਾਈਨ" ਬਣਾਉਣ ਵਿੱਚ ਸਾਡੀ ਮਦਦ ਕਰੇਗੀ।

1. ਪਹਿਲਾ ਤੁਹਾਨੂੰ ਮੂਲ ਨਮੂਨੇ ਵਿੱਚ ਇੱਕ ਗਤੀਸ਼ੀਲ ਲਾਇਬ੍ਰੇਰੀ ਨੂੰ "ਪੇਸਟ" ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ।

   

2. ਦੂਜਾ ਸੰਮਿਲਿਤ ਡਾਇਨਾਮਿਕ ਲਾਇਬ੍ਰੇਰੀ ਦੀ ਲੋੜੀਦੀ ਵਿਧੀ ਨੂੰ ਕਾਲ ਕਰਨ ਲਈ ਐਂਟਰੀ ਪੁਆਇੰਟ 'ਤੇ ਫੰਕਸ਼ਨ ਕੋਡ ਨੂੰ ਦੁਬਾਰਾ ਲਿਖਣਾ ਹੈ।

   

ਅਸੀਂ ਆਪਣੇ "ਫ੍ਰੈਂਕਨਸਟਾਈਨ" ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਦੇ ਹਾਂ, ਸੈੱਟ ਬ੍ਰੇਕਪੁਆਇੰਟ ਡੀਕ੍ਰਿਪਟ ਕੀਤੇ ਸਰੋਤਾਂ ਦੇ ਨਾਲ ਇੱਕ ਬਫਰ ਵਾਪਸ ਕਰਨ ਵਾਲੀ ਲਾਈਨ 'ਤੇ, ਅਤੇ ਪਿਛਲੇ ਪੜਾਅ ਦੇ ਸਮਾਨਤਾ ਦੁਆਰਾ ਇੱਕ ਡੰਪ ਪੈਦਾ ਕਰਦਾ ਹੈ।

ਦੂਜੇ ਡੰਪ ਵਿਚ ਲਿਖਿਆ ਹੈ VB.NET ਇੱਕ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਜੋ ਸਾਡੇ ਜਾਣੂ ਇੱਕ ਪ੍ਰੋਟੈਕਟਰ ਦੁਆਰਾ ਸੁਰੱਖਿਅਤ ਹੈ ConfuserEx.

ਪ੍ਰੋਟੈਕਟਰ ਨੂੰ ਹਟਾਉਣ ਤੋਂ ਬਾਅਦ, ਅਸੀਂ ਪਹਿਲਾਂ ਲਿਖੇ ਗਏ YARA ਨਿਯਮਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਾਂ ਅਤੇ ਇਹ ਯਕੀਨੀ ਬਣਾਉਂਦੇ ਹਾਂ ਕਿ ਅਨਪੈਕ ਕੀਤੇ ਮਾਲਵੇਅਰ ਅਸਲ ਵਿੱਚ ਏਜੰਟਟੇਸਲਾ ਹੈ।

ਨਮੂਨਾ ਨੰ: 2

ਸਰੋਤ ਫਾਈਲ ਇੱਕ MS Excel ਦਸਤਾਵੇਜ਼ ਹੈ। ਇੱਕ ਬਿਲਟ-ਇਨ ਮੈਕਰੋ ਖਤਰਨਾਕ ਕੋਡ ਨੂੰ ਲਾਗੂ ਕਰਨ ਦਾ ਕਾਰਨ ਬਣਦਾ ਹੈ।

ਨਤੀਜੇ ਵਜੋਂ, PowerShell ਸਕ੍ਰਿਪਟ ਲਾਂਚ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।

ਸਕ੍ਰਿਪਟ C# ਕੋਡ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਦੀ ਹੈ ਅਤੇ ਇਸ ਨੂੰ ਕੰਟਰੋਲ ਟ੍ਰਾਂਸਫਰ ਕਰਦੀ ਹੈ। ਕੋਡ ਆਪਣੇ ਆਪ ਵਿੱਚ ਇੱਕ ਬੂਟਲੋਡਰ ਹੈ, ਜਿਵੇਂ ਕਿ ਸੈਂਡਬੌਕਸ ਰਿਪੋਰਟ ਤੋਂ ਵੀ ਦੇਖਿਆ ਜਾ ਸਕਦਾ ਹੈ।

ਪੇਲੋਡ ਇੱਕ ਚੱਲਣਯੋਗ ਹੈ .NET-ਫਾਇਲ।

ਵਿੱਚ ਫਾਈਲ ਖੋਲ੍ਹੀ ਜਾ ਰਹੀ ਹੈ dnSpy x86, ਤੁਸੀਂ ਦੇਖ ਸਕਦੇ ਹੋ ਕਿ ਇਹ ਗੁੰਝਲਦਾਰ ਹੈ। ਉਪਯੋਗਤਾ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਰੁਕਾਵਟਾਂ ਨੂੰ ਹਟਾਉਣਾ de4dot ਅਤੇ ਵਿਸ਼ਲੇਸ਼ਣ 'ਤੇ ਵਾਪਸ ਜਾਓ।

ਕੋਡ ਦੀ ਜਾਂਚ ਕਰਦੇ ਸਮੇਂ, ਤੁਸੀਂ ਹੇਠਾਂ ਦਿੱਤੇ ਫੰਕਸ਼ਨ ਨੂੰ ਲੱਭ ਸਕਦੇ ਹੋ:

ਏਨਕੋਡ ਕੀਤੀਆਂ ਲਾਈਨਾਂ ਸ਼ਾਨਦਾਰ ਹਨ ਐਂਟਰੀ ਪੁਆਇੰਟ и ਬੁਲਾਓ. ਅਸੀਂ ਪਾਉਂਦੇ ਹਾਂ ਬ੍ਰੇਕਪੁਆਇੰਟ ਪਹਿਲੀ ਲਾਈਨ ਤੱਕ, ਬਫਰ ਮੁੱਲ ਨੂੰ ਚਲਾਓ ਅਤੇ ਸੁਰੱਖਿਅਤ ਕਰੋ ਬਾਈਟ_0.

ਡੰਪ ਦੁਬਾਰਾ ਇੱਕ ਐਪਲੀਕੇਸ਼ਨ ਹੈ .NET ਅਤੇ ਸੁਰੱਖਿਅਤ ConfuserEx.

ਅਸੀਂ ਵਰਤਦੇ ਹੋਏ ਰੁਕਾਵਟਾਂ ਨੂੰ ਹਟਾਉਂਦੇ ਹਾਂ de4dot ਅਤੇ 'ਤੇ ਅੱਪਲੋਡ ਕਰੋ dnSpy. ਫਾਈਲ ਦੇ ਵਰਣਨ ਤੋਂ ਅਸੀਂ ਸਮਝਦੇ ਹਾਂ ਕਿ ਅਸੀਂ ਇਸਦਾ ਸਾਹਮਣਾ ਕਰ ਰਹੇ ਹਾਂ CyaX-ਸ਼ਾਰਪ ਲੋਡਰ.

ਇਸ ਲੋਡਰ ਵਿੱਚ ਵਿਆਪਕ ਐਂਟੀ-ਵਿਸ਼ਲੇਸ਼ਣ ਕਾਰਜਕੁਸ਼ਲਤਾ ਹੈ।

ਇਸ ਕਾਰਜਸ਼ੀਲਤਾ ਵਿੱਚ ਬਿਲਟ-ਇਨ ਵਿੰਡੋਜ਼ ਪ੍ਰੋਟੈਕਸ਼ਨ ਸਿਸਟਮ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨਾ, ਵਿੰਡੋਜ਼ ਡਿਫੈਂਡਰ ਨੂੰ ਅਸਮਰੱਥ ਕਰਨਾ, ਨਾਲ ਹੀ ਸੈਂਡਬਾਕਸ ਅਤੇ ਵਰਚੁਅਲ ਮਸ਼ੀਨ ਖੋਜ ਵਿਧੀ ਸ਼ਾਮਲ ਹੈ। ਨੈੱਟਵਰਕ ਤੋਂ ਪੇਲੋਡ ਨੂੰ ਲੋਡ ਕਰਨਾ ਜਾਂ ਇਸਨੂੰ ਸਰੋਤ ਭਾਗ ਵਿੱਚ ਸਟੋਰ ਕਰਨਾ ਸੰਭਵ ਹੈ। ਲਾਂਚ ਨੂੰ ਟੀਕੇ ਦੁਆਰਾ ਆਪਣੀ ਖੁਦ ਦੀ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ, ਆਪਣੀ ਖੁਦ ਦੀ ਪ੍ਰਕਿਰਿਆ ਦੇ ਡੁਪਲੀਕੇਟ ਵਿੱਚ, ਜਾਂ ਪ੍ਰਕਿਰਿਆਵਾਂ ਵਿੱਚ ਕੀਤਾ ਜਾਂਦਾ ਹੈ MSBuild.exe, vbc.exe и RegSvcs.exe ਹਮਲਾਵਰ ਦੁਆਰਾ ਚੁਣੇ ਗਏ ਪੈਰਾਮੀਟਰ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ।

ਹਾਲਾਂਕਿ, ਸਾਡੇ ਲਈ ਉਹ ਇਸ ਤੋਂ ਘੱਟ ਮਹੱਤਵਪੂਰਨ ਹਨ ਐਂਟੀਡੰਪ- ਫੰਕਸ਼ਨ ਜੋ ਜੋੜਦਾ ਹੈ ConfuserEx. ਇਸ ਦਾ ਸਰੋਤ ਕੋਡ 'ਤੇ ਪਾਇਆ ਜਾ ਸਕਦਾ ਹੈ GitHub.

ਸੁਰੱਖਿਆ ਨੂੰ ਅਸਮਰੱਥ ਬਣਾਉਣ ਲਈ, ਅਸੀਂ ਮੌਕੇ ਦੀ ਵਰਤੋਂ ਕਰਾਂਗੇ dnSpy, ਜੋ ਤੁਹਾਨੂੰ ਸੰਪਾਦਿਤ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ IL-ਕੋਡ.

ਸੰਭਾਲੋ ਅਤੇ ਇੰਸਟਾਲ ਕਰੋ ਬ੍ਰੇਕਪੁਆਇੰਟ ਪੇਲੋਡ ਡੀਕ੍ਰਿਪਸ਼ਨ ਫੰਕਸ਼ਨ ਨੂੰ ਕਾਲ ਕਰਨ ਦੀ ਲਾਈਨ ਤੱਕ। ਇਹ ਮੇਨ ਕਲਾਸ ਦੇ ਕੰਸਟਰਕਟਰ ਵਿੱਚ ਸਥਿਤ ਹੈ।

ਅਸੀਂ ਪੇਲੋਡ ਨੂੰ ਲਾਂਚ ਅਤੇ ਡੰਪ ਕਰਦੇ ਹਾਂ। ਪਹਿਲਾਂ ਲਿਖੇ ਯਾਰਾ ਨਿਯਮਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, ਅਸੀਂ ਯਕੀਨੀ ਬਣਾਉਂਦੇ ਹਾਂ ਕਿ ਇਹ ਏਜੰਟਟੇਸਲਾ ਹੈ।

ਨਮੂਨਾ ਨੰ: 3

ਸਰੋਤ ਫਾਈਲ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਹੈ VB ਮੂਲ PE32-ਫਾਇਲ।

ਐਂਟਰੌਪੀ ਵਿਸ਼ਲੇਸ਼ਣ ਐਨਕ੍ਰਿਪਟਡ ਡੇਟਾ ਦੇ ਇੱਕ ਵੱਡੇ ਹਿੱਸੇ ਦੀ ਮੌਜੂਦਗੀ ਨੂੰ ਦਰਸਾਉਂਦਾ ਹੈ।

ਵਿਚ ਅਰਜ਼ੀ ਫਾਰਮ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਦੇ ਸਮੇਂ VB ਡੀਕੰਪਾਈਲਰ ਤੁਸੀਂ ਇੱਕ ਅਜੀਬ ਪਿਕਸਲੇਟਡ ਬੈਕਗ੍ਰਾਉਂਡ ਦੇਖ ਸਕਦੇ ਹੋ।

ਐਂਟਰੌਪੀ ਗ੍ਰਾਫ਼ bmp-image ਅਸਲ ਫਾਈਲ ਦੇ ਐਨਟ੍ਰੋਪੀ ਗ੍ਰਾਫ ਦੇ ਸਮਾਨ ਹੈ, ਅਤੇ ਆਕਾਰ ਫਾਈਲ ਦੇ ਆਕਾਰ ਦਾ 85% ਹੈ।

ਚਿੱਤਰ ਦੀ ਆਮ ਦਿੱਖ ਸਟੈਗਨੋਗ੍ਰਾਫੀ ਦੀ ਵਰਤੋਂ ਨੂੰ ਦਰਸਾਉਂਦੀ ਹੈ.

ਆਉ ਪ੍ਰਕਿਰਿਆ ਦੇ ਰੁੱਖ ਦੀ ਦਿੱਖ ਵੱਲ ਧਿਆਨ ਦੇਈਏ, ਅਤੇ ਨਾਲ ਹੀ ਇੱਕ ਇੰਜੈਕਸ਼ਨ ਮਾਰਕਰ ਦੀ ਮੌਜੂਦਗੀ.

ਇਹ ਦਰਸਾਉਂਦਾ ਹੈ ਕਿ ਅਨਪੈਕਿੰਗ ਜਾਰੀ ਹੈ। ਵਿਜ਼ੂਅਲ ਬੇਸਿਕ ਲੋਡਰਾਂ ਲਈ (ਉਰਫ਼ VBKrypt ਜ VBIinjector) ਆਮ ਵਰਤੋਂ ਸ਼ੈੱਲਕੋਡ ਪੇਲੋਡ ਨੂੰ ਅਰੰਭ ਕਰਨ ਲਈ, ਅਤੇ ਨਾਲ ਹੀ ਇੰਜੈਕਸ਼ਨ ਖੁਦ ਕਰਨ ਲਈ।

ਵਿੱਚ ਵਿਸ਼ਲੇਸ਼ਣ VB ਡੀਕੰਪਾਈਲਰ ਇੱਕ ਘਟਨਾ ਦੀ ਮੌਜੂਦਗੀ ਦਿਖਾਈ ਲੋਡ ਕਰੋ ਫਾਰਮ 'ਤੇ FegatassocAirballoon2.

ਚਲੋ ਚਲੀਏ IDA ਪ੍ਰੋ ਨਿਰਧਾਰਤ ਪਤੇ 'ਤੇ ਜਾਓ ਅਤੇ ਫੰਕਸ਼ਨ ਦਾ ਅਧਿਐਨ ਕਰੋ। ਕੋਡ ਬਹੁਤ ਜ਼ਿਆਦਾ ਗੁੰਝਲਦਾਰ ਹੈ। ਉਹ ਟੁਕੜਾ ਜੋ ਸਾਡੀ ਦਿਲਚਸਪੀ ਰੱਖਦਾ ਹੈ ਹੇਠਾਂ ਪੇਸ਼ ਕੀਤਾ ਗਿਆ ਹੈ।

ਇੱਥੇ ਦਸਤਖਤ ਲਈ ਪ੍ਰਕਿਰਿਆ ਦੇ ਐਡਰੈੱਸ ਸਪੇਸ ਨੂੰ ਸਕੈਨ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਇਹ ਪਹੁੰਚ ਬਹੁਤ ਹੀ ਸ਼ੱਕੀ ਹੈ.

ਪਹਿਲੀ, ਸਕੈਨਿੰਗ ਸ਼ੁਰੂ ਪਤਾ 0x400100. ਇਹ ਮੁੱਲ ਸਥਿਰ ਹੈ ਅਤੇ ਜਦੋਂ ਅਧਾਰ ਨੂੰ ਸ਼ਿਫਟ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਤਾਂ ਐਡਜਸਟ ਨਹੀਂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਆਦਰਸ਼ ਗ੍ਰੀਨਹਾਉਸ ਹਾਲਤਾਂ ਵਿੱਚ ਇਹ ਅੰਤ ਨੂੰ ਦਰਸਾਏਗਾ PE-ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਦਾ ਹੈਡਰ। ਹਾਲਾਂਕਿ, ਡੇਟਾਬੇਸ ਸਥਿਰ ਨਹੀਂ ਹੈ, ਇਸਦਾ ਮੁੱਲ ਬਦਲ ਸਕਦਾ ਹੈ, ਅਤੇ ਲੋੜੀਂਦੇ ਦਸਤਖਤ ਦੇ ਅਸਲ ਪਤੇ ਦੀ ਖੋਜ ਕਰਨਾ, ਹਾਲਾਂਕਿ ਇਹ ਇੱਕ ਵੇਰੀਏਬਲ ਓਵਰਫਲੋ ਦਾ ਕਾਰਨ ਨਹੀਂ ਬਣੇਗਾ, ਬਹੁਤ ਲੰਬਾ ਸਮਾਂ ਲੈ ਸਕਦਾ ਹੈ।

ਦੂਜਾ, ਹਸਤਾਖਰ ਦਾ ਅਰਥ iWGK. ਮੈਨੂੰ ਲਗਦਾ ਹੈ ਕਿ ਇਹ ਸਪੱਸ਼ਟ ਹੈ ਕਿ ਵਿਲੱਖਣਤਾ ਦੀ ਗਰੰਟੀ ਲਈ 4 ਬਾਈਟ ਬਹੁਤ ਛੋਟੇ ਹਨ. ਅਤੇ ਜੇ ਤੁਸੀਂ ਪਹਿਲੇ ਬਿੰਦੂ ਨੂੰ ਧਿਆਨ ਵਿਚ ਰੱਖਦੇ ਹੋ, ਤਾਂ ਗਲਤੀ ਕਰਨ ਦੀ ਸੰਭਾਵਨਾ ਬਹੁਤ ਜ਼ਿਆਦਾ ਹੈ.

ਅਸਲ ਵਿੱਚ, ਲੋੜੀਂਦਾ ਟੁਕੜਾ ਪਹਿਲਾਂ ਲੱਭੇ ਦੇ ਸਿਰੇ ਨਾਲ ਜੁੜਿਆ ਹੋਇਆ ਹੈ bmp-ਆਫਸੈੱਟ ਦੁਆਰਾ ਤਸਵੀਰਾਂ 0xA1D0D.

ਪੂਰਨਤਾ ਸ਼ੈੱਲਕੋਡ ਦੋ ਪੜਾਵਾਂ ਵਿੱਚ ਕੀਤਾ ਗਿਆ। ਪਹਿਲਾ ਮੁੱਖ ਭਾਗ ਨੂੰ ਸਮਝਦਾ ਹੈ। ਇਸ ਕੇਸ ਵਿੱਚ, ਕੁੰਜੀ ਵਹਿਸ਼ੀ ਫੋਰਸ ਦੁਆਰਾ ਨਿਰਧਾਰਤ ਕੀਤੀ ਜਾਂਦੀ ਹੈ.

ਡੀਕ੍ਰਿਪਟਡ ਨੂੰ ਡੰਪ ਕਰੋ ਸ਼ੈੱਲਕੋਡ ਅਤੇ ਲਾਈਨਾਂ ਨੂੰ ਦੇਖੋ।

ਪਹਿਲਾਂ, ਅਸੀਂ ਹੁਣ ਬੱਚੇ ਦੀ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਬਣਾਉਣ ਲਈ ਫੰਕਸ਼ਨ ਨੂੰ ਜਾਣਦੇ ਹਾਂ: CreateProcessInternalW.

ਦੂਜਾ, ਅਸੀਂ ਸਿਸਟਮ ਵਿੱਚ ਫਿਕਸੇਸ਼ਨ ਦੀ ਵਿਧੀ ਤੋਂ ਜਾਣੂ ਹੋ ਗਏ.

ਚਲੋ ਮੂਲ ਪ੍ਰਕਿਰਿਆ 'ਤੇ ਵਾਪਸ ਚੱਲੀਏ। ਪਾ ਦਿਓ ਬ੍ਰੇਕਪੁਆਇੰਟ 'ਤੇ CreateProcessInternalW ਅਤੇ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਜਾਰੀ ਰੱਖੋ। ਅੱਗੇ ਅਸੀਂ ਕੁਨੈਕਸ਼ਨ ਦੇਖਦੇ ਹਾਂ NtGetContextThread/NtSetContextThread, ਜੋ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਸਟਾਰਟ ਐਡਰੈੱਸ ਨੂੰ ਐਡਰੈੱਸ 'ਤੇ ਬਦਲਦਾ ਹੈ ਸ਼ੈੱਲਕੋਡ.

ਅਸੀਂ ਇੱਕ ਡੀਬਗਰ ਨਾਲ ਬਣਾਈ ਗਈ ਪ੍ਰਕਿਰਿਆ ਨਾਲ ਜੁੜਦੇ ਹਾਂ ਅਤੇ ਇਵੈਂਟ ਨੂੰ ਕਿਰਿਆਸ਼ੀਲ ਕਰਦੇ ਹਾਂ ਲਾਇਬ੍ਰੇਰੀ ਲੋਡ/ਅਨਲੋਡ 'ਤੇ ਸਸਪੈਂਡ ਕਰੋ, ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਮੁੜ ਸ਼ੁਰੂ ਕਰੋ ਅਤੇ ਲੋਡ ਹੋਣ ਦੀ ਉਡੀਕ ਕਰੋ .NET-ਲਾਇਬ੍ਰੇਰੀਆਂ।

ਹੋਰ ਵਰਤ ਕੇ ਪ੍ਰੋਸੈਸ ਹੈਕਰ ਡੰਪ ਖੇਤਰ ਜਿਨ੍ਹਾਂ ਵਿੱਚ ਪੈਕ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ .NET- ਐਪਲੀਕੇਸ਼ਨ.

ਅਸੀਂ ਸਾਰੀਆਂ ਪ੍ਰਕਿਰਿਆਵਾਂ ਨੂੰ ਰੋਕਦੇ ਹਾਂ ਅਤੇ ਮਾਲਵੇਅਰ ਦੀ ਕਾਪੀ ਨੂੰ ਮਿਟਾ ਦਿੰਦੇ ਹਾਂ ਜੋ ਸਿਸਟਮ ਵਿੱਚ ਏਮਬੈਡ ਹੋ ਗਿਆ ਹੈ।

ਡੰਪ ਕੀਤੀ ਫਾਈਲ ਨੂੰ ਇੱਕ ਪ੍ਰੋਟੈਕਟਰ ਦੁਆਰਾ ਸੁਰੱਖਿਅਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ .NET ਰਿਐਕਟਰ, ਜਿਸ ਨੂੰ ਉਪਯੋਗਤਾ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਆਸਾਨੀ ਨਾਲ ਹਟਾਇਆ ਜਾ ਸਕਦਾ ਹੈ de4dot.

ਪਹਿਲਾਂ ਲਿਖੇ ਯਾਰਾ ਦੇ ਨਿਯਮਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, ਅਸੀਂ ਯਕੀਨੀ ਬਣਾਉਂਦੇ ਹਾਂ ਕਿ ਇਹ ਏਜੰਟਟੇਸਲਾ ਹੈ।

ਆਓ ਸੰਖੇਪ ਕਰੀਏ

ਇਸ ਲਈ, ਅਸੀਂ ਇੱਕ ਉਦਾਹਰਨ ਦੇ ਤੌਰ 'ਤੇ ਤਿੰਨ ਮਿੰਨੀ-ਕੇਸਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਅਰਧ-ਆਟੋਮੈਟਿਕ ਨਮੂਨੇ ਨੂੰ ਅਨਪੈਕਿੰਗ ਕਰਨ ਦੀ ਪ੍ਰਕਿਰਿਆ ਦਾ ਵਿਸਤਾਰ ਵਿੱਚ ਪ੍ਰਦਰਸ਼ਨ ਕੀਤਾ, ਅਤੇ ਇੱਕ ਪੂਰੇ ਕੇਸ ਦੇ ਆਧਾਰ 'ਤੇ ਮਾਲਵੇਅਰ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਵੀ ਕੀਤਾ, ਇਹ ਪਤਾ ਲਗਾਇਆ ਕਿ ਅਧਿਐਨ ਅਧੀਨ ਨਮੂਨਾ ਏਜੰਟਟੇਸਲਾ ਹੈ, ਇਸਦੀ ਕਾਰਜਕੁਸ਼ਲਤਾ ਨੂੰ ਸਥਾਪਿਤ ਕਰਨਾ ਅਤੇ ਇੱਕ ਸਮਝੌਤਾ ਦੇ ਸੂਚਕਾਂ ਦੀ ਪੂਰੀ ਸੂਚੀ।

ਸਾਡੇ ਦੁਆਰਾ ਕੀਤੇ ਗਏ ਖਤਰਨਾਕ ਵਸਤੂ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਲਈ ਬਹੁਤ ਸਮਾਂ ਅਤੇ ਮਿਹਨਤ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ, ਅਤੇ ਇਹ ਕੰਮ ਕੰਪਨੀ ਵਿੱਚ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਕਰਮਚਾਰੀ ਦੁਆਰਾ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ, ਪਰ ਸਾਰੀਆਂ ਕੰਪਨੀਆਂ ਇੱਕ ਵਿਸ਼ਲੇਸ਼ਕ ਨੂੰ ਨਿਯੁਕਤ ਕਰਨ ਲਈ ਤਿਆਰ ਨਹੀਂ ਹਨ.

ਗਰੁੱਪ-ਆਈਬੀ ਲੈਬਾਰਟਰੀ ਆਫ਼ ਕੰਪਿਊਟਰ ਫੋਰੈਂਸਿਕਸ ਅਤੇ ਮੈਲੀਸ਼ੀਅਸ ਕੋਡ ਵਿਸ਼ਲੇਸ਼ਣ ਦੁਆਰਾ ਪ੍ਰਦਾਨ ਕੀਤੀਆਂ ਸੇਵਾਵਾਂ ਵਿੱਚੋਂ ਇੱਕ ਸਾਈਬਰ ਘਟਨਾਵਾਂ ਦਾ ਜਵਾਬ ਹੈ। ਅਤੇ ਇਸ ਲਈ ਗਾਹਕ ਦਸਤਾਵੇਜ਼ਾਂ ਨੂੰ ਮਨਜ਼ੂਰੀ ਦੇਣ ਅਤੇ ਸਾਈਬਰ ਹਮਲੇ ਦੇ ਵਿਚਕਾਰ ਉਨ੍ਹਾਂ 'ਤੇ ਚਰਚਾ ਕਰਨ ਵਿੱਚ ਸਮਾਂ ਬਰਬਾਦ ਨਾ ਕਰਨ, ਗਰੁੱਪ-ਆਈ.ਬੀ. ਘਟਨਾ ਪ੍ਰਤੀਕਿਰਿਆ ਰਿਟੇਨਰ, ਇੱਕ ਪ੍ਰੀ-ਸਬਸਕ੍ਰਿਪਸ਼ਨ ਘਟਨਾ ਪ੍ਰਤੀਕਿਰਿਆ ਸੇਵਾ ਜਿਸ ਵਿੱਚ ਇੱਕ ਮਾਲਵੇਅਰ ਵਿਸ਼ਲੇਸ਼ਣ ਪੜਾਅ ਵੀ ਸ਼ਾਮਲ ਹੈ। ਇਸ ਬਾਰੇ ਹੋਰ ਜਾਣਕਾਰੀ ਲਈ ਜਾ ਸਕਦੀ ਹੈ ਇੱਥੇ.

ਜੇ ਤੁਸੀਂ ਇੱਕ ਵਾਰ ਫਿਰ ਅਧਿਐਨ ਕਰਨਾ ਚਾਹੁੰਦੇ ਹੋ ਕਿ ਏਜੰਟਟੇਸਲਾ ਦੇ ਨਮੂਨੇ ਕਿਵੇਂ ਅਨਪੈਕ ਕੀਤੇ ਜਾਂਦੇ ਹਨ ਅਤੇ ਇਹ ਦੇਖਣਾ ਚਾਹੁੰਦੇ ਹੋ ਕਿ ਇੱਕ CERT ਗਰੁੱਪ-ਆਈਬੀ ਮਾਹਰ ਇਹ ਕਿਵੇਂ ਕਰਦਾ ਹੈ, ਤਾਂ ਤੁਸੀਂ ਇਸ ਵਿਸ਼ੇ 'ਤੇ ਵੈਬਿਨਾਰ ਰਿਕਾਰਡਿੰਗ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰ ਸਕਦੇ ਹੋ। ਇੱਥੇ.

ਸਰੋਤ: www.habr.com