लौ की प्रबंधन संरचना का विश्लेषण

फ्लेम की खोज के कुछ सप्ताह से भी कम समय बीत चुका है, OpenDNS और GoDaddy के सहयोगियों की मदद से, हम दुर्भावनापूर्ण डोमेन को अपने सर्वर पर पुनर्निर्देशित करने में सक्षम थे। इस प्रकार प्राप्त जानकारी के विस्तृत विश्लेषण के परिणामस्वरूप, हमारे विशेषज्ञ निम्नलिखित निष्कर्ष पर आए:

• फ्लेम टीम के सर्वर, जो कई वर्षों से चालू थे, पिछले सप्ताह के तुरंत बाद काट दिए गए थे कैस्परस्की लैब ने एक दुर्भावनापूर्ण कार्यक्रम के अस्तित्व की खोज की थी।
• वर्तमान में, 80 से अधिक डोमेन ज्ञात हैं जिनका उपयोग फ़्लेम कमांड सर्वर पर डेटा स्थानांतरित करने के लिए किया गया था, जो 2008 और 2012 के बीच पंजीकृत थे।
• पिछले 4 वर्षों में, लौ कमान सर्वर वैकल्पिक रूप से दुनिया के विभिन्न देशों में स्थित हैं, जिनमें हांगकांग, तुर्की, जर्मनी, पोलैंड, मलेशिया, लातविया, यूके और स्विटजरलैंड शामिल हैं।
• फ्लेम कमांड सर्वर डोमेन को पंजीकृत करने के लिए नकली पंजीकरण डेटा और विभिन्न रजिस्ट्रार कंपनियों का उपयोग किया गया था, और यह गतिविधि 2008 में वापस शुरू हुई।
• सूचनाओं को चुराने के लिए ज्वाला का उपयोग करने वाले हमलावर विशेष रूप से कार्यालय दस्तावेजों, पीडीएफ फाइलों और ऑटोकैड ड्राइंग में रुचि रखते थे।
• फ्लेम कमांड सर्वर पर अपलोड किए गए डेटा को अपेक्षाकृत सरल एल्गोरिदम का उपयोग करके एन्क्रिप्ट किया गया था। खुले स्रोत ज़ालिब पुस्तकालय और एक संशोधित पीपीडीएम संपीड़न एल्गोरिथ्म का उपयोग करके चोरी किए गए दस्तावेज़ों को संकुचित किया गया था।
• प्रारंभिक आंकड़ों के अनुसार, विंडोज 7 ऑपरेटिंग सिस्टम के 64-बिट संस्करण, जिसे पहले कास्पर्सकी लैब द्वारा सबसे सुरक्षित में से एक के रूप में अनुशंसित किया गया था, फ्लेम संक्रमण के संपर्क में नहीं था।


वितरण भूगोल लौ

हमें क्या पता चला?

आप संक्रमण की विधि और सिक्योर लिस्ट में हमारे ब्लॉग पोस्ट में सर्वर फ्लेम इन्फ्रास्ट्रक्चर के वितरण के बारे में अधिक पढ़ सकते हैं। यहां हम वितरण के भूगोल और सबसे दिलचस्प तथ्यों पर कुछ आंकड़े प्रदान करते हैं।

उदाहरण के लिए, यहाँ केएसएन से वर्तमान ज्वाला आँकड़े हैं:



जाहिर है, फ्लेम पीड़ितों की सबसे बड़ी संख्या मध्य पूर्व में है। यह ध्यान रखना महत्वपूर्ण है कि कुछ पीड़ित विभिन्न वीपीएन / प्रॉक्सी सेवाओं का उपयोग कर सकते हैं। ऐसे मामलों में, संक्रमित सिस्टम हो सकता है, उदाहरण के लिए, यूरोपीय आईपी पते, हालांकि वे शारीरिक रूप से एशियाई क्षेत्र में स्थित हैं। इसके अलावा, कुछ "पीड़ितों" वास्तव में अन्य शोधकर्ताओं की मशीनें हो सकती हैं। हालांकि, सामान्य तौर पर, आंकड़े काफी सटीक दिखते हैं और संक्रमण के भौगोलिक वितरण को दर्शाते हैं।

ज्वाला से प्रभावित ऑपरेटिंग सिस्टम के बारे में क्या? यहां उन प्रणालियों के ओएस पर डेटा के आधार पर प्राप्त आंकड़े हैं जहां संक्रमण का पता चला था:



विंडोज 7 32-बिट के साथ सिस्टम पर संक्रमण की सबसे बड़ी संख्या नोट की गई थी। दूसरे स्थान पर विंडोज एक्सपी है। यह ध्यान रखना महत्वपूर्ण है कि फ्लेम विंडोज 7 64-बिट पर काम नहीं करता है, जिसे हमने पहले अन्य प्रकार के खतरों से बचाने के लिए एक अच्छा समाधान के रूप में सिफारिश की थी।

हमारे सिंकहोल से और OpenDNS से ​​आंकड़े

इस अध्ययन में हमारे साथी, OpenDNS ने हाल के वर्षों के लिए फ्लेम डोमेन पंजीकरण तिथियां एक साथ रखी हैं। आप इस एनिमेटेड डेटा को यहां देख सकते हैं: www.opendns.com/flame-timeline



पिछले सप्ताह से, हमारे सर्वर ने संक्रमित उपयोगकर्ताओं से बहुत सारे हिट दर्ज किए हैं - नीचे आप उनके स्थान पर आंकड़े देख सकते हैं। यह ध्यान में रखना चाहिए कि संक्रमित मशीनों के विशाल बहुमत पहले से ही एंटीवायरस प्रोग्राम के साथ ठीक हो गए हैं। इस प्रकार, हम उन पीड़ितों के कनेक्शन को देखते हैं, जो जाहिरा तौर पर, एंटीवायरस का उपयोग नहीं करते हैं या लंबे समय तक उन्हें अपडेट नहीं करते हैं।

हमने यूके, स्पेन, रूस और रोमानिया से भी कनेक्शन देखा, जो विभिन्न विशेषज्ञों से संबंधित हैं, दोनों स्वतंत्र और सुरक्षा कंपनियों से।



हमारे सिंकहोल सर्वर द्वारा एक्सेस किए गए 10 सबसे अधिक बार उपयोग किए जाने वाले डोमेन के आंकड़े नीचे दिए गए हैं:



वर्तमान में, 28 फ्लेम-संबंधित डोमेन को Kaspersky Lab से संबंधित एक सिंक सर्वर पर पुनः निर्देशित किया गया है: flashupdates.info, nvidiadrivers.info, nvidiasoft.info, nvidiastream.info, rendercodec.info, syncstream.info, videosync.info, dnslocation.info, dnsmask.info, dnsportal.info, dnsupdate.info, flushdns.info, localgateway.info, pingserver.info, serveflash.info, server.in.in, autosync.info, bannerspot.in, bannerzone.in, micromedia से संबंधित हैं। , mysync.info, newsync.info, syncdomain.info, Synclock.info, Syncprovider.info, syncsource.info, syncupdate.info और ultrasoft.in।

ज्वाला द्वारा प्रेषित डेटा

जब फ्लेम सिंक्रॉल से जुड़ता है, तो यह स्वयं की पहचान करने के लिए एक POST अनुरोध भेजता है। उसके बाद, एक बड़ा डेटा पैकेट भेजा जाता है जिसमें बहुत सारी "रोचक" जानकारी होती है, उदाहरण के लिए, ज्वाला संस्करण के बारे में, इसका कॉन्फ़िगरेशन, संक्रमित सिस्टम में गतिविधि का इतिहास, दस्तावेजों से निकाला गया डेटा, और इसी तरह।



हमारे द्वारा देखे गए सभी कॉन्फ़िगरेशन में, एक ही पासवर्ड "LifeStyle2" का उपयोग किया गया था। यह पासवर्ड फ्लेम कॉन्फ़िगरेशन फ़ाइल में संग्रहीत है और इसे बदला जा सकता है।

सर्वर पर अपलोड किए गए डेटा पैकेट में एन्क्रिप्टेड लॉग फाइलें और अन्य संपीड़ित जानकारी होती है। यदि आप इस डेटा को डिक्रिप्ट करते हैं, तो आप फ्लेम के संस्करण के बारे में जानकारी पा सकते हैं, जो सर्वर पर प्रसारित होता है।

हमारे सर्वर से जुड़े संस्करणों में ज्वाला का वितरण निम्नानुसार है:



अधिकांश कनेक्शन 2.242 संस्करण द्वारा बनाए गए थे, जो कि एक ही है जिसे हमने शुरू में खोजा और विश्लेषण किया था। यह पुष्टि करता है कि यह लौ का सबसे आम संस्करण है। लेकिन यह सबसे अधिक प्रासंगिक नहीं है: हम संस्करण 2.243 से संक्रमित उपयोगकर्ता से एक कनेक्शन देखते हैं!

संस्करण 2.080 भी बहुत दिलचस्प है - यह "mssecmgr.ocx" (~ 890kb) का एक छोटा संस्करण है, जिसमें एक बड़े 6-मेगाबाइट संस्करण में उपलब्ध सभी मॉड्यूल शामिल नहीं हैं। हमारे पास इस विकल्प का एक नमूना भी है, और हमने एक बड़े नमूने के साथ इसका विश्लेषण किया।

उन कंप्यूटरों में, जो हमारे सिनाचोल से जुड़े हैं, कई बहुत दिलचस्प मामले हैं: तीन पीसी - लेबनान, इराक और ईरान में। हमारे सिंक्रोटॉल ऑपरेशन के दौरान, इन मशीनों पर फ्लेम के संस्करण बदल गए - कृमि ने शायद इस दौरान खुद को अपडेट किया। उदाहरण के लिए, विकल्प 2.212 इन दो मामलों में बदलकर 2.242 हो गया। यह अभी भी अज्ञात सी एंड सी के अस्तित्व को इंगित करता है, जो हमारे शंखनाद के दौरान भी काम करता था। या हमारे लिए अज्ञात लौ तंत्र अद्यतन के बारे में।

सिस्टम से प्राप्त सभी डेटा के बीच, हमलावरों को ऑटोकैड में ड्राइंग में स्पष्ट रूप से रुचि है। यह एक दिलचस्प विवरण है, क्योंकि यह ज्ञात है कि ऑटोकैड परियोजनाएं ड्यूक ट्रोजन का लक्ष्य भी थीं।

DWG फाइलें जो ऑटोकैड परियोजनाएं हैं, के अलावा, लौ पीडीएफ और पाठ फ़ाइलों के साथ-साथ अन्य दस्तावेजों के लिए उद्देश्यपूर्ण खोज करता है, और पाया फ़ाइलों के बारे में लघु गाइड बनाता है। वह ई-मेल और कई अन्य प्रकार की "दिलचस्प" (उच्च-मूल्य) फ़ाइलों के लिए शिकार करता है जो कि वर्म कॉन्फ़िगरेशन में निर्दिष्ट हैं।

प्रबंधन सर्वर को भेजे गए डेटा को साधारण XOR एन्क्रिप्शन का उपयोग करके एन्क्रिप्ट किया गया है, जो प्रतिस्थापन सिफर के साथ संयुक्त है। इसके अलावा, ज़ालिब और पीपीडीएम पुस्तकालयों का उपयोग करके कई ब्लॉक अंदर संकुचित होते हैं।

दिलचस्प है, सर्वर को प्रेषित डेटा को 8192 बाइट्स के पैकेट में विभाजित किया गया है। यह संभवतः त्रुटियों से उबरने के लिए किया जाता है - यह ज्ञात है कि मध्य पूर्व में इंटरनेट बहुत धीमा है और बहुत स्थिर नहीं है।

डेटा ट्रांसफर करते समय फ्लेम की एक और दिलचस्प विशेषता एसएसएच कनेक्शन का उपयोग है। जाहिरा तौर पर (इस तथ्य के बावजूद कि हम इस व्यवहार को पुन: पेश नहीं कर सके), जब इंटरनेट काम करता है, लेकिन फ्लेम सर्वर एसएसएल के माध्यम से सुलभ नहीं हैं, यह एसएसएच का उपयोग करने की कोशिश करता है।

कृमि में निर्मित पुट्टी-आधारित पुस्तकालय का उपयोग करके एक एसएसएच कनेक्शन स्थापित किया जाता है। वर्तमान में सर्वर आईपी एड्रेस और यूजरनेम / पासवर्ड अज्ञात है। यह संभव है कि वे सी एंड सी के माध्यम से अपडेट किए जाते हैं और केवल तब पहुंचते हैं जब एसएसएल के साथ अस्थायी समस्याएं होती हैं। एसएसएच का उपयोग करने के कारणों में से एक कुछ देशों में एसएसएल / एचटीटीपीएस यातायात के प्रतिबंध के साथ एक सामान्य स्थिति हो सकती है, जैसे कि, उदाहरण के लिए, ईरान।

पिछले सप्ताह, कैस्परस्की लैब ने कई देशों के सीईआरटी के साथ संपर्क स्थापित किया ताकि उन्हें ज्वाला डोमेन और दुर्भावनापूर्ण सर्वर के आईपी पते की जानकारी दी जा सके। हम इस अध्ययन में उनकी मदद के लिए इन टीमों को धन्यवाद देना चाहते हैं।

यदि आप एक सरकारी स्वामित्व वाले सीईआरटी का प्रतिनिधित्व करते हैं और फ्लेम के सर्वरों के बारे में अधिक जानकारी चाहते हैं, तो कृपया हमसे theflame@kaspelsky.com पर संपर्क करें।

एक निष्कर्ष के बजाय

कैसपर्सकी लैब इस जांच के लिए त्वरित प्रतिक्रिया और अमूल्य समर्थन के लिए GoDaddy नेटवर्क के दुरुपयोग विभाग और विलियम मैकआर्थर को धन्यवाद देना चाहती है। OpenDNS सुरक्षा अनुसंधान टीम ने हमें जांच के दौरान बहुमूल्य सहायता प्रदान की।