ज्वाला: वर्तमान में क्या जाना जाता है

क्या आपने फ्लेम के बारे में सुना है? वापस बैठो, अब हम आपको सभी विवरण देंगे।

ड्यूक और स्टक्सनेट वायरस ने मध्य पूर्व में साइबर युद्ध की डिग्री बढ़ा दी है, लेकिन हमने हाल ही में अब तक के सबसे परिष्कृत साइबर हथियार की खोज की है। साइबर जासूसी के लिए बनाया गया फ्लेम वर्म, इंटरनेशनल टेलीकम्युनिकेशन यूनियन (ITU) के अनुरोध पर एक अध्ययन करते समय कैस्परस्की लैब के विशेषज्ञों के विचार में आया, जिन्होंने हमें मध्य पूर्व में स्थित कंप्यूटरों से संवेदनशील डेटा को हटाने वाले एक अज्ञात दुर्भावनापूर्ण व्यक्ति को खोजने में सहायता के लिए कहा। पूर्व। इस कार्यक्रम की खोज करने की प्रक्रिया में, वाइपर को डब किया गया, हमने Worm.Win32.Flame नामक मैलवेयर का एक नया नमूना खोजा।


सात देश सबसे ज्यादा प्रभावित

हालाँकि लौ में कुख्यात ड्यूक और स्टक्सनेट साइबर हथियारों की तुलना में एक अलग कार्यक्षमता है, इन सभी दुर्भावनापूर्ण कार्यक्रमों में बहुत कुछ है: हमलों का भूगोल, एक संकीर्ण लक्ष्य अभिविन्यास सॉफ्टवेयर में विशिष्ट कमजोरियों के उपयोग के साथ संयुक्त। यह अज्ञात हमलावरों द्वारा मध्य पूर्व में तैनात "साइबरनेटिक सुपरवीपॉन" के साथ एक सममूल्य पर ज्वाला बनाता है। एक शक के बिना, लौ अपने अस्तित्व के इतिहास में सबसे जटिल साइबर हमले में से एक है। कार्यक्रम आकार में बड़ा है और अविश्वसनीय रूप से जटिल है। यह साइबर युद्ध और साइबर जासूसी जैसी अवधारणाओं पर पुनर्विचार करने के लिए मजबूर करता है।

Www.securelist.ru पर एक पोस्ट में इस परिष्कृत खतरे के बारे में अधिक पढ़ें, और यहां हम मैलवेयर का एक महत्वपूर्ण विवरण प्रदान करते हैं।

वर्णन

क्या वास्तव में लौ है? एक कीड़ा? पिछले दरवाजे? इसकी कार्यक्षमता क्या है?

ज्वाला एक बहुत ही परिष्कृत हमला टूलकिट है, जो कि ड्यूक से जटिलता में बेहतर है। यह एक बैकडोर ट्रोजन है, जिसमें कीड़े की विशेषताएं भी हैं और यह अपने मालिक से एक आदेश प्राप्त होने पर स्थानीय नेटवर्क पर और हटाने योग्य मीडिया के माध्यम से फैलने की अनुमति देता है।

ज्वाला का प्रारंभिक प्रवेश बिंदु अज्ञात है - हमें संदेह है कि प्रारंभिक संक्रमण लक्षित हमलों के माध्यम से होता है, लेकिन हम अभी तक प्रारंभिक हमले वेक्टर को खोजने में सक्षम नहीं हैं। हमें संदेह है कि भेद्यता MS10-033 का उपयोग किया जा रहा है, लेकिन फिलहाल हम इसकी पुष्टि नहीं कर सकते हैं।

सिस्टम को संक्रमित करने के बाद, ज्वाला संचालन का एक जटिल सेट करने के लिए आगे बढ़ती है, जिसमें नेटवर्क ट्रैफ़िक का विश्लेषण करना, स्क्रीन कैप्चर बनाना, ऑडियो वार्तालाप रिकॉर्ड करना, प्रमुख प्रेसों को रोकना आदि शामिल हैं। यह सारा डेटा फ्लेम कमांड सर्वर के माध्यम से ऑपरेटरों के लिए उपलब्ध है।

भविष्य में, ऑपरेटर संक्रमित कंप्यूटरों के लिए अतिरिक्त मॉड्यूल डाउनलोड करने का निर्णय ले सकते हैं जो ज्वाला कार्यक्षमता का विस्तार करते हैं। कुल मिलाकर लगभग 20 मॉड्यूल हैं, जिनमें से अधिकांश हम वर्तमान में अध्ययन कर रहे हैं।

लौ कितनी जटिल है?

सबसे पहले, फ्लेम एक विशाल पैकेज है जिसमें सॉफ्टवेयर मॉड्यूल होते हैं, जिनका कुल आकार, जब पूरी तरह से तैनात होता है, तो लगभग 20 एमबी होता है। नतीजतन, इस मैलवेयर का विश्लेषण बड़ी जटिलता का है। लौ इतनी बड़ी है कि इसमें कोड संपीड़न (zlib, libbz2, ppmd) और डेटाबेस हेरफेर (sqlite3), साथ ही साथ Lua वर्चुअल मशीन सहित कई अलग-अलग लाइब्रेरी शामिल हैं।

लुआ एक स्क्रिप्टिंग भाषा है, यानी एक प्रोग्रामिंग भाषा जिसे सी में लिखे कोड के साथ आसानी से बढ़ाया और एकीकृत किया जा सकता है। कई लौ घटकों के लिए, शीर्ष-स्तरीय तर्क लुआ में लिखा जाता है - जबकि रूटीन और लाइब्रेरी जो सीधे संक्रमण को लागू करते हैं, उन्हें C ++ के साथ संकलित किया जाता है।

कोड की कुल राशि की तुलना में, लुआ में लिखा हिस्सा अपेक्षाकृत छोटा है। हमारा अनुमान है कि लुआ पर विकास की मात्रा कोड की 3,000 से अधिक लाइनें हैं। एक औसत डेवलपर को कोड की ऐसी मात्रा बनाने और डीबग करने में लगभग एक महीने का समय लगता है।


अंजीर। 1 - एलयूए भाषा में विघटित ज्वाला कोड

इसके अलावा, दुर्भावनापूर्ण प्रोग्राम आंतरिक जरूरतों के लिए एम्बेडेड SQL प्रश्नों के साथ स्थानीय डेटाबेस का उपयोग करता है, कई एन्क्रिप्शन विधियों, विभिन्न संपीड़न एल्गोरिदम का उपयोग करता है, विंडोज मैनेजमेंट इंस्ट्रूमेंटेशन का उपयोग करके स्क्रिप्ट बनाता है, बैच स्क्रिप्ट का उपयोग करता है, आदि।

मैलवेयर लॉन्च करना और डीबग करना कोई तुच्छ कार्य नहीं है, क्योंकि मैलवेयर एक नियमित निष्पादन योग्य फ़ाइल नहीं है, लेकिन कई DLL ऑपरेटिंग सिस्टम के स्टार्टअप पर लोड होते हैं।

सामान्य तौर पर, यह कहा जा सकता है कि फ्लेम आज तक पाए गए सबसे जटिल खतरों में से एक है।

विश्लेषण

नियंत्रण रेखा के प्रमुख विशेषज्ञों ने तुरंत कार्यक्रम के विश्लेषण के लिए खुद को समर्पित कर दिया, और हालांकि इसे पूरी तरह से विश्लेषण करने में महीनों लगेंगे, कुछ डेटा पहले ही संदर्भ द्वारा लेख में उपलब्ध है।

यहाँ हम आपको ज्वाला संक्रमण के लिए आपके सिस्टम की त्वरित "मैनुअल" जांच का तरीका प्रदान कर सकते हैं:

1. फ़ाइल के लिए खोजें ~ DEB93D.tmp। सिस्टम में इसकी उपस्थिति का मतलब है कि कंप्यूटर संक्रमित है या फ्लेम से संक्रमित है।
2. रजिस्ट्री कुंजी की जाँच करें HKLM_SYSTEM \ CurrentControlSet \ Control \ Lsa \ Authentication पैकेज। यदि आपको इसमें mssecmgr.ocx या difpack.ocx मिल जाता है, तो आपका कंप्यूटर फ्लेम से संक्रमित है।
3. निम्नलिखित फ़ोल्डर के लिए जाँच करें। यदि वे हैं, तो आप संक्रमित हैं।
C: \ Program Files \ Common Files \ Microsoft साझा \ MSSecurityMgr
C: \ Program Files \ Common Files \ Microsoft साझा \ MSAudio
C: \ Program Files \ Common Files \ Microsoft साझा \ MSAuthCtrl
C: \ Program Files \ Common Files \ Microsoft साझा \ MSAPackages
C: \ Program Files \ Common Files \ Microsoft साझा \ MSSndMix
4. ऊपर दिए गए शेष फ़ाइल नामों में एक खोज चलाएँ। वे सभी अद्वितीय हैं, और उनकी उपस्थिति का अर्थ आपके फ्लेम कंप्यूटर के संक्रमण की बहुत अधिक संभावना होगी।

अपना ख्याल रखना! और बने रहिये ...