साइबर्गग्रुप टर्ला मॉस्किटो अभियान में मेटस्प्लोइट का उपयोग करता है

तुरला कम से कम दस वर्षों से संचालित एक प्रसिद्ध साइबर-जासूस समूह है। समूह का पहला उल्लेख 2008 का है और अमेरिकी रक्षा विभाग की हैक से जुड़ा है। इसके बाद, तुर्ला को कई सूचना सुरक्षा घटनाओं - सरकार और रणनीतिक उद्योगों पर हमले, रक्षा उद्योग सहित, के साथ श्रेय दिया गया।



जनवरी 2018 में, हमने नई तुर्ला मच्छर पिछले दरवाजे वितरण अभियान और संक्रमण संकेतकों की पहली रिपोर्ट प्रकाशित की। अभियान अभी भी सक्रिय है; हमलावरों ने पता लगाने से बचने के लिए रणनीति बदल दी।

मार्च 2018 से, हमने इस अभियान में महत्वपूर्ण बदलाव देखे हैं - अब टर्ला मच्छर को वितरित करने के लिए खुले स्रोत मेटस्प्लोइट ढांचे का उपयोग करता है। यह पहली बार नहीं है कि टर्ला अपने स्वयं के औजारों को छोड़ देती है - पहले हमने क्रेडेंशियल्स (Mimikatz) निकालने के लिए उपयोगिताओं का उपयोग देखा। लेकिन यहां यह उल्लेखनीय है कि टर्ला पहली बार अपने घटनाक्रम के बजाय आक्रमण के पहले चरण के बैकडोर के रूप में मेटस्प्लोइट का उपयोग करती है, जैसे कि स्किपर ।

विस्तार

जैसा कि हमने पिछली रिपोर्ट में बताया था, वर्तमान तुर्ला अभियान में लक्ष्य डिवाइस संक्रमण वेक्टर एक नकली इंस्टॉलर है, जो वैध एडोब फ़्लैश प्लेयर के साथ समूह के बैकडोर में से एक को डाउनलोड करता है। प्राथमिकता के लक्ष्य पूर्वी यूरोप के देशों के वाणिज्य दूतावास और दूतावास हैं।

समझौता तब होता है जब कोई उपयोगकर्ता HTTP के माध्यम से get.adobe.com से फ़्लैश इंस्टॉलर डाउनलोड करता है। ट्रैफ़िक को अंत डिवाइस और एडोब सर्वर के बीच इंटरसेप्ट किया गया है, जो टर्ला ऑपरेटरों को वैध फ़ाइल को ट्रोजन संस्करण के साथ बदलने की अनुमति देता है। नीचे दिया गया आंकड़ा उन बिंदुओं को दिखाता है जिस पर यातायात को रोकना सैद्धांतिक रूप से संभव है। कृपया ध्यान दें कि Adobe / Akamai से समझौता करने वाला पांचवा परिदृश्य शामिल नहीं है। उपयोगकर्ताओं को धोखा देने के लिए हमलावरों ने केवल Adobe ब्रांड का उपयोग किया।



हमने एक ट्रैफ़िक अवरोधन बिंदु सेट नहीं किया था, लेकिन एक नई निष्पादन योग्य फ़ाइल मिली, जो कि flashplayer28_xa_install.exe नामक एक वैध फ्लैश इंस्टॉलर को अनुकरण करती है। इस प्रकार, समझौता करने की मूल विधि अभी भी उपयोग में है।

के विश्लेषण

मार्च 2018 की शुरुआत में, टर्ला गतिविधि ट्रैकिंग प्रयास के हिस्से के रूप में, हमने मच्छर वितरण अभियान में बदलावों को देखा। इस तथ्य के बावजूद कि समूह किसी भी अभिनव उपकरण का उपयोग नहीं करता है, यह अपनी रणनीति, तकनीकों और प्रक्रियाओं (टीटीआर) में एक प्रमुख बदलाव है।

पहले, समझौता श्रृंखला में एक फर्जी फ्लैश इंस्टॉलर शामिल था, बूटलोडर और मुख्य बैकडोर को रीसेट करना (नीचे आंकड़ा देखें)।



हाल ही में, हमने देखा है कि पिछले पिछले दरवाजे को रीसेट करने का तरीका बदल गया है। फ्लैश का फर्जी इंस्टॉलर अभी भी अभियान में शामिल है, लेकिन दो दुर्भावनापूर्ण DLL को सीधे छोड़ने के बजाय, यह मेटस्प्लॉइट शेलकोड को निष्पादित करता है और Google ड्राइव से एक वैध इंस्टॉलर को रीसेट या डाउनलोड करता है। शेलकोड तब एक समझौता प्रणाली का उपयोग करने के लिए एक हमलावर को बेनकाब करके, एक सामान्य मेटास्प्लोइट पेलोड को लोड करता है। अंत में, कार्य केंद्र पर एक मच्छर पिछले दरवाजे स्थापित है। नई योजना नीचे दिए गए आंकड़े में दिखाई गई है।



Metasploit के उपयोग के संबंध में, हम मान सकते हैं कि ऑपरेटर मैन्युअल रूप से प्रक्रिया को नियंत्रित करता है। हमले की अवधि अपेक्षाकृत कम है - समझौता करने के प्रयास की शुरुआत के बाद अंतिम पिछले दरवाजे को तीस मिनट के भीतर रीसेट किया गया था।

उपयोग किया गया शेलकोड मेटास्प्लोइट का विशिष्ट है। यह सात पुनरावृत्तियों के साथ shikata_ga_nai एनकोडर द्वारा संरक्षित है। नीचे दिए गए स्क्रीनशॉट एन्क्रिप्टेड और डिक्रिप्टेड पेलोड दिखाते हैं।





डिक्रिप्शन के बाद, शेलकोड 209.239.115 [।] 91 / 6OHEJ पर C & C सर्वर के साथ संचार करता है, जो अतिरिक्त शेलकोड के लोड को नियंत्रित करता है। ईएसईटी टेलीमेट्री के अनुसार, अगला कदम मेटाटेटर को लोड करना है। यह IP पता मनोविज्ञान-blog.ezua [।] कॉम डोमेन से मेल खाता है, जिसका उपयोग अक्टूबर 2017 से मच्छर अभियान में किया गया है।

अगला, फर्जी फ्लैश इंस्टॉलर एक वैध ड्राइव को गूगल ड्राइव यूआरएल से डाउनलोड करता है और इसे चलाता है ताकि उपयोगकर्ता को कुछ भी संदेह न हो।

अतिरिक्त उपकरण

नए नकली इंस्टॉलर और मीटरपरेटर के अलावा, हमने देखा कि टर्ला अतिरिक्त टूल का उपयोग करती है:

• एक कस्टम निष्पादन योग्य जिसमें केवल Metasploit शेलकोड शामिल है। मीटरपरेटर सत्र तक पहुंच बनाए रखने के लिए उपयोग किया जाता है। में बचाया

    C: \ Users \ <username> \ AppData \ Roaming \ Microsoft \ Windows \ Start मेनू \ प्रोग्राम \ स्टार्टअप \ msupdateconf.exe 

  वह दृढ़ता प्रदान करता है।
• PowerShell स्क्रिप्ट चलाने के लिए एक और कस्टम निष्पादन योग्य।
• C & C सर्वर के रूप में Google Apps स्क्रिप्ट का उपयोग करके मच्छर jscript बैकडोर।
• Metasploit मॉड्यूल ext_server_priv.x86.dll का उपयोग करके विशेषाधिकार बढ़ाना ।

निष्कर्ष

पोस्ट पिछले कुछ महीनों में तुर्ला मच्छर वितरण अभियान के विकास का वर्णन करता है। मुख्य परिवर्तन मेटासैप्लोइट का उपयोग है, जो एक लोकप्रिय पैठ परीक्षण ढाँचा है, जो कस्टम मच्छर पिछले दरवाजे में पहला कदम है।

संकेतक से समझौता करें

सी और सी

• 209.239.115 [।] 91 / 6OHEJ
• 70.32.39 [।] 219 / n2DE3

एक वैध फ्लैश इंस्टॉलर से लिंक करें

• drive.google [।] कॉम / uc? Authuser = 0 & id = 1s4kyrwa7gCH8I5Z1EU1IZ_JaR48A7UeP और निर्यात = डाउनलोड