ESET ने नए ब्राउज़र मैनिपुलेशन विधि का उपयोग करके बैकस्वे बैंकर की खोज की

हाल के वर्षों में बैंकिंग ट्रोजन साइबर अपराधियों के बीच लोकप्रियता खो रहे हैं। इसका एक कारण एंटीवायरस विक्रेताओं और वेब ब्राउज़र डेवलपर्स के लिए सुरक्षा प्रौद्योगिकियों का विकास है। बैंकर की मदद से एक हमले को अंजाम देना मुश्किल है, यही कारण है कि कई वायरस लेखक सरल और अधिक लाभदायक उपकरणों पर स्विच कर रहे हैं: एन्क्रिप्टर्स, माइनर्स और क्रिप्टोकरेंसी चुराने के लिए सॉफ्टवेयर।

कई, लेकिन सभी नहीं। हमने ब्राउज़र में हेरफेर करने के लिए नई तकनीकों का उपयोग करके बैंकरों के एक नए परिवार की खोज की है। अपनी गतिविधि पर नज़र रखने के लिए ब्राउज़र प्रक्रिया में कोड को जटिल रूप से पेश करने के बजाय, मैलवेयर, बैंकिंग कार्यों से संबंधित वस्तुओं के मूल्यों की जांच करने के लिए संदेश प्रतीक्षा चक्र में विंडोज घटनाओं को पकड़ता है।


ऑनलाइन बैंकिंग के साथ काम की खोज करने के बाद, मैलवेयर दुर्भावनापूर्ण जावास्क्रिप्ट को वेब पेज में - ब्राउज़र में डेवलपर के कंसोल के माध्यम से या सीधे एड्रेस बार में इंजेक्ट करता है। उपयोगकर्ता के ज्ञान और भागीदारी के बिना संचालन किया जाता है। पहली नज़र में, एक साधारण योजना आपको जटिल हमलों से ब्राउज़र की सुरक्षा के लिए उन्नत तंत्र को बायपास करने की अनुमति देती है।

परिचय

हमने पहली बार जनवरी 2018 में इस साइबर समूह पर ध्यान दिया, जब इसने शुरुआती घटनाक्रमों को वितरित किया - उदाहरण के लिए, क्लिपबोर्ड पर बटुए के पते को बदलकर क्रिप्टोक्यूरेंसी चोरी करने का एक कार्यक्रम। समूह कई महीनों के लिए क्रिप्टोक्यूरेंसी में लगा हुआ था, जिसके बाद उसने बैंकर का पहला संस्करण जारी किया - 13 मार्च से, ESET एंटी-वायरस उत्पादों को Win32 / BackSwap.A के रूप में पता चलेगा।

नीचे दिए गए ग्राफ में, आप हमारे आंकड़ों के अनुसार, पिछली परियोजनाओं की तुलना में कमियों में तेज उछाल देख सकते हैं। लेखक बैंकर में सुधार करते हैं और लगभग हर दिन (सप्ताहांत के लिए विराम के साथ) नए संस्करण जारी करते हैं।

चित्रा 1. डिस्कवर Win32 / BackSwap.A और संबंधित पिछले परियोजनाओं

वितरण और निष्पादन

Win32 / BackSwap.A स्पैम ईमेलों में वितरित किया जाता है जिसमें संलग्नक में नेमकोड परिवार से एक ओब्जेक्टस जावास्क्रिप्ट लोडर होता है। वर्तमान में, ये समाचार पत्र पोलैंड के उपयोगकर्ताओं पर लक्षित हैं।

हम अक्सर पीड़ित मशीनों पर एक अन्य प्रसिद्ध Win32 / TrojanDownloader.Nymaim बूटलोडर पर पाए जाते हैं , शायद उसी तरह से फैलते हैं। वर्तमान में, हम नहीं जानते कि यह संयोग है या परिवार एक-दूसरे से संबंधित हैं।

पेलोड को एक वैध अनुप्रयोग के संशोधित संस्करण के रूप में वितरित किया जाता है, आंशिक रूप से एक दुर्भावनापूर्ण घटक द्वारा फिर से लिखा जाता है। नियमित रूप से संशोधन के लिए उपयोग किया जाने वाला अनुप्रयोग - हमने इस गुणवत्ता में TPVCGateway, SQLMon, DbgView, WinRAR Uninstaller, 7Zip, OllyDbg और FileZilla Server का अवलोकन किया।

एप्लिकेशन को इस तरह से संशोधित किया गया है कि यह अपने आरंभ के बाद दुर्भावनापूर्ण कोड में बदल जाता है। ऐसा करने के लिए, लेखक सी लाइब्रेरी रनटाइम के अंदर _initterm() फ़ंक्शन तालिका में एक दुर्भावनापूर्ण घटक के लिए एक पॉइंटर जोड़ते हैं, जो मुख्य () फ़ंक्शन को कॉल करने से पहले वैश्विक चर और कार्यक्रम के अन्य भागों को आरंभ करता है।


चित्रा 2. बिंदुओं का सरणी _ एक वैध आवेदन का सूचक, जिसके अंत में बैंकरकोड का सूचक जोड़ा गया है

विधि ट्रेंबलाइजेशन जैसा दिखता है; अंतर यह है कि हमारे मामले में मूल आवेदन मालवीय को शुरू करने के बाद काम करना बंद कर देता है। विधि का उद्देश्य उपयोगकर्ता से मास्किंग नहीं है, बल्कि पहचान और अनुसंधान का मुकाबला करना है। विश्लेषकों को इस बैंकर का पता लगाना अधिक कठिन लगता है, क्योंकि कई रिवर्स इंजीनियरिंग उपकरण, जैसे आईडीए प्रो, मूल मुख्य () फ़ंक्शन को एप्लिकेशन कोड की वैध शुरुआत के रूप में दिखाते हैं। तथ्य यह नहीं है कि पहली नज़र में विश्लेषक कुछ संदिग्ध दिखाई देगा।

पेलोड एम्बेडेड डेटा के साथ एक स्थिति-स्वतंत्र बाइनरी कोड ऑब्जेक्ट है। कैरेक्टर स्ट्रिंग्स को सादे पाठ में संग्रहीत किया जाता है, जो आपको पहले से ही सूक्ष्म निशान को बदलने की अनुमति देता है, क्योंकि सभी आवश्यक विंडोज एपीआई को कोहबर द्वारा खोजा जाता है। काम की शुरुआत में, मैलवेयर स्टार्टअप फ़ोल्डर में खुद को कॉपी करके दृढ़ता प्रदान करता है, जिसके बाद यह बैंकर के कार्यों पर स्विच करता है।

पारंपरिक इंजेक्शन के तरीके

ऑनलाइन बैंकिंग इंटरफ़ेस के माध्यम से पीड़ित के खाते से धन चुराने वाला एक सामान्य बैंकर ब्राउज़र प्रक्रिया के पते के स्थान में खुद को या एक विशेष मॉड्यूल का परिचय देता है। कई कारणों से यह एक आसान काम नहीं है। सबसे पहले, इंजेक्शन को एक एंटीवायरल उत्पाद द्वारा इंटरसेप्ट किया जा सकता है। इसके अलावा, कार्यान्वित मॉड्यूल की थोड़ी गहराई को ब्राउज़र की थोड़ी गहराई के साथ मेल खाना चाहिए - 32-बिट मॉड्यूल को 64-बिट प्रक्रिया में एम्बेड नहीं किया जाना चाहिए और इसके विपरीत। नतीजतन, एक हमले के लिए एक ही मॉड्यूल के दो संस्करणों की आवश्यकता होती है - 32- / 64-बिट।

एक सफल इंजेक्शन के बाद, बैंकिंग मॉड्यूल को ब्राउज़र से संबंधित कार्यों का पता लगाना चाहिए और उन्हें रोकना चाहिए। उसे उन कार्यों की आवश्यकता होती है जो एन्क्रिप्शन से पहले और डिक्रिप्शन के बाद क्रमशः सादे पाठ प्रारूप में HTTP अनुरोध भेजने और प्राप्त करने के लिए जिम्मेदार हैं। सुविधाओं को खोजने की जटिलता ब्राउज़र से ब्राउज़र तक भिन्न होती है। मोज़िला फ़ायरफ़ॉक्स में, उन्हें nss3.dll लाइब्रेरी द्वारा निर्यात किया जाता है, और उनके पते उनके प्रसिद्ध नामों से आसानी से मिल जाते हैं। Google Chrome और अन्य क्रोमियम-आधारित ब्राउज़र इन सुविधाओं को छिपाते हैं। यह वायरस लेखकों को ब्राउज़र के एक विशिष्ट संस्करण के लिए विशेष योजनाओं के साथ आने और नए संस्करण जारी होने पर रणनीति बदलने के लिए मजबूर करता है।

यदि फ़ंक्शन पाए जाते हैं और अवरोधन किया जाता है (और एंटीवायरस समाधान ने इसका पता नहीं लगाया है), बैंकर एचटीटीपी ट्रैफ़िक को बदल सकता है या पीड़ितों को उन साइटों पर पुनर्निर्देशित कर सकता है जो वैध ऑनलाइन बैंकिंग संसाधनों का अनुकरण करते हैं, प्रमाण पत्र बनाते हैं। इसी तरह के तरीकों का उपयोग प्रसिद्ध बैंकिंग ट्रोजन ड्रिडेक्स , उर्सनिफ, ज़बोट, ट्रिकबोट, क्यूबोट और कई अन्य लोगों द्वारा किया जाता है।

नया ब्राउज़र हेरफेर विधि

Win32 / BackSwap.A एक पूरी तरह से अलग दृष्टिकोण लागू करता है। बंकर विंडोज ग्राफिकल शेल के तत्वों और उपयोगकर्ता इनपुट की नकल का उपयोग करता है। विधि तुच्छ लग सकती है, लेकिन यह प्रभावी है क्योंकि यह आपको पारंपरिक इंजेक्शन की ज्ञात समस्याओं को हल करने की अनुमति देती है। सबसे पहले, मैलवेयर प्रक्रिया स्तर पर ब्राउज़र के साथ बातचीत नहीं करता है। इसके लिए धन्यवाद, विशेष विशेषाधिकार और पारंपरिक इंजेक्शन से बचाने वाले एंटीवायरस को दरकिनार करने की कोई आवश्यकता नहीं है। हमलावरों के लिए दूसरा लाभ यह है कि बैंकर ब्राउज़र आर्किटेक्चर या उसके संस्करण पर निर्भर नहीं करता है; एक कोड सभी के लिए काम करता है।

मैलवेयर, Windows संदेश प्रतीक्षा पाश, जैसे EVENT_OBJECT_FOCUS, EVENT_OBJECT_SELECTION, EVENT_OBJECT_NAMECHANGE और कई अन्य लोगों के माध्यम से उपलब्ध प्रासंगिक घटनाओं की एक निश्चित श्रृंखला के लिए ईवेंट हुक सेट करके विज़िट किए गए पृष्ठ के URL को ट्रैक करता है। हैंडलर URL ऑब्जेक्ट्स को खोजता है जो स्ट्रिंग ऑब्जेक्ट्स की खोज करता है जो कि get_accValue इवेंट इंटरफ़ेस से get_accValue विधि को कॉल करके प्राप्त get_accValue से शुरू होता है।


चित्र 3. ब्राउज़र में वर्तमान पृष्ठ का URL प्राप्त करने के लिए उपयोग किया जाने वाला रिसेप्शन। ये पते प्रतिस्थापन [ht] tp [s] (लाल रंग में हाइलाइट किए गए) की जाँच करके प्राप्त किए जाते हैं

फिर Win32 / BackSwap.A बैंक से संबंधित पते और ब्राउज़र विंडो हेडर के लिए खोज करता है जो बताता है कि उपयोगकर्ता धन हस्तांतरण की तैयारी कर रहा है।


चित्रा 4. बैंकर विशिष्ट बैंकों से संबंधित कोड की लाइनों की तलाश कर रहा है। पहली पंक्ति विंडो शीर्षक है, दूसरा URL भाग है

वांछित व्यक्ति को खोजने के बाद, बैंकर एक विशिष्ट बैंक के अनुरूप दुर्भावनापूर्ण जावास्क्रिप्ट डाउनलोड करता है और इसे ब्राउज़र में इंजेक्ट करता है। इंजेक्शन एक सरल लेकिन प्रभावी तरीके से किया जाता है।

पुराने नमूनों में, Win32 / BackSwap.A क्लिपबोर्ड में एक दुर्भावनापूर्ण स्क्रिप्ट सम्मिलित करता है और Google Chrome में डेवलपर कंसोल (CTRL + SHIFT + J), मोज़िला फ़ायरफ़ॉक्स में CTRL + SHIFT + K खोलने के लिए एक कीस्ट्रोक का अनुकरण करता है, फिर बफर (CTRL) की सामग्री पेस्ट करता है + V) और कंसोल की सामग्री को निष्पादित करने के लिए ENTER दबाएँ। मैलवेयर तब कंसोल को बंद करने के लिए प्रमुख संयोजन को दोहराता है। इस समय, ब्राउज़र विंडो अदृश्य हो जाती है - एक साधारण उपयोगकर्ता को सबसे अधिक संभावना होगी कि ब्राउज़र कुछ सेकंड के लिए जमा हो जाए।

नए संस्करणों में, सर्किट में सुधार किया गया है। डेवलपर के कंसोल के साथ बातचीत करने के बजाय, एक दुर्भावनापूर्ण स्क्रिप्ट को एड्रेस बार से सीधे एक विशेष जावास्क्रिप्ट प्रोटोकॉल के माध्यम से निष्पादित किया जाता है, एक अंडर-उपयोग फ़ंक्शन जो अधिकांश ब्राउज़र का समर्थन करता है। बैंकर CTRL + L दबाकर एड्रेस बार चुनने के लिए DELETE करता है, फ़ील्ड साफ़ करने के लिए DELETE को लूप में SendMessageA को कॉल के माध्यम से "जावास्क्रिप्ट" में वर्णों को "एंटर" करता है, और फिर संयोजन CTRL + V का उपयोग करके एक दुर्भावनापूर्ण स्क्रिप्ट सम्मिलित करता है। स्क्रिप्ट को "दबाने" के बाद निष्पादित किया जाता है। प्रक्रिया के अंत में, समझौता के निशान को हटाने के लिए एड्रेस बार को मंजूरी दे दी जाती है।

चित्रा 5 में, आप कंसोल में इंजेक्शन कोड का हिस्सा देख सकते हैं। सबसे पहले, Win32 / BackSwap.A चयनित विंडो के वर्ग नाम (नीले रंग में चिह्नित) की जाँच करके एक ब्राउज़र को परिभाषित करता है। दुर्भावनापूर्ण जावास्क्रिप्ट को बफर में कॉपी किया जाता है (लाल रंग में चिह्नित)। फिर ब्राउज़र विंडो के पारदर्शिता मूल्य को "3" में बदल दिया जाता है, जो इसे अदृश्य (बैंगनी में चिह्नित) बनाता है। ToggleBrowserConsole फ़ंक्शन से संबंधित भाग, जो कंसोल को चालू और बंद करता है, ToggleBrowserConsole ।


चित्रा 5. स्क्रिप्ट इंजेक्शन

Win32 / BackSwap.A गूगल क्रोम और मोज़िला फ़ायरफ़ॉक्स पर हमलों का समर्थन करता है, हाल के संस्करणों में इंटरनेट एक्सप्लोरर समर्थन जोड़ा गया है। यह विधि डेवलपर कंसोल के साथ अधिकांश ब्राउज़र या एड्रेस बार से जावास्क्रिप्ट कोड निष्पादित करने की क्षमता के लिए उपयुक्त है (मानक ब्राउज़र फ़ंक्शन)।

तीन समझौता किए गए ब्राउज़रों में स्व-एक्सएसएस हमलों को रोकने के लिए डिज़ाइन किया गया एक दिलचस्प सुरक्षा फीचर है : जब कोई उपयोगकर्ता कॉपी किए गए पाठ को "जावास्क्रिप्ट:" से शुरू करने की कोशिश करता है, तो पता बार में, प्रोटोकॉल उपसर्ग हटा दिया जाता है और स्क्रिप्ट को निष्पादित करने के लिए मैन्युअल रूप से फिर से दर्ज किया जाना चाहिए। Win32 / BackSwap.A कॉपी की गई दुर्भावनापूर्ण स्क्रिप्ट को चिपकाने से पहले एड्रेस बार में एक उपसर्ग के चरित्र इनपुट का अनुकरण करके इस बाधा को पार करता है।

मोज़िला फ़ायरफ़ॉक्स में एक और सुरक्षा उपकरण लागू किया गया है। ब्राउज़र डिफ़ॉल्ट रूप से कंसोल पर स्क्रिप्ट की प्रतिलिपि बनाने पर रोक लगाता है; इसके बजाय, यह संभावित जोखिमों की एक अधिसूचना प्रदर्शित करता है और उपयोगकर्ता को कॉपी किए गए वर्णों के सम्मिलन की अनुमति देने के लिए पहले "पेस्ट करने की अनुमति" वाक्यांश को मैन्युअल रूप से दर्ज करने के लिए मजबूर करता है। इस सुरक्षा उपाय को बायपास करने के लिए, Win32 / BackSwap.A शेल कमांड (चित्र 6) के निष्पादन के लिए प्रदान करता है, जो prefs.js कॉन्फ़िगरेशन prefs.js परिवर्तन करता है और इस सुरक्षा को हटा देता है।


चित्र 6. एक शेल कमांड, जो फ़ायरफ़ॉक्स कंसोल में स्क्रिप्ट डालने से सुरक्षा को हटा देता है

जावास्क्रिप्ट दुर्भावनापूर्ण कोड

Win32 / BackSwap.A लक्ष्य बैंकों में से प्रत्येक के लिए एक विशेष स्क्रिप्ट का उपयोग करता है। चूंकि सभी बैंकों की अलग-अलग साइटें हैं, इसलिए कोड अलग-अलग है और अलग-अलग चर हैं। लिपियों को उन पृष्ठों में इंजेक्ट किया जाता है, जिन पर बैंकर के अनुसार, मनी ट्रांसफर की तैयारी की जाती है। कार्यान्वित स्क्रिप्ट गुप्त रूप से प्राप्तकर्ता के खाता नंबर को दूसरे के साथ बदल देती है, और जब पीड़ित हस्तांतरण भेजता है, तो धन हमलावरों के खाते में जाएगा। अनधिकृत ट्रांसफ़र (दो-कारक प्रमाणीकरण) के विरुद्ध प्रतिसाद शक्तिहीन हैं, क्योंकि खाता धारक धन भेजने की पुष्टि करता है।

Win32 / BackSwap.A के लेखकों ने पाँच पोलिश बैंकों के साथ काम करने के लिए पटकथाएँ लिखीं: PKO Bank Polski, Bank Zachodni WBK SA, mBank, ING और Pekao। ऑपरेटर कुछ बैंकों को लक्ष्यों की सूची से हटा देते हैं - अधिकांश नए संस्करणों में तीन बैंक शेष हैं: पीकेओ बीपी, एमबैंक और आईएनजी। पुराने संस्करणों में, हमलावर हैक किए गए वर्डप्रेस साइटों पर सी एंड सी सर्वर से प्राप्तकर्ता का खाता नंबर भेजते हैं। नए संस्करणों में, नंबर स्वयं दुर्भावनापूर्ण स्क्रिप्ट में संग्रहीत किए जाते हैं। खाते अक्सर बदलते हैं - लगभग हर नए अभियान में एक नया खाता नंबर उपयोग किया जाता है।

बैंकर्स एक निश्चित सीमा में स्थानान्तरण में रुचि रखते हैं - आमतौर पर 10,000 से 20,000 पोलिश ज़्लॉटी (168,000-337,000 रूबल)। स्क्रिप्ट न केवल प्राप्तकर्ता के खाता नंबर को बदल देती है, बल्कि एक नकली के साथ इनपुट फ़ील्ड को भी बदल देती है - उपयोगकर्ता सही संख्या देखता है और कुछ भी संदेह नहीं करता है।


चित्र 7. दुर्भावनापूर्ण जावास्क्रिप्ट कोड का हिस्सा। लाल रंग में चिह्नित साइटें हस्तांतरण राशि की जांच करने और प्राप्तकर्ता के खाता नंबर को बदलने के लिए जिम्मेदार हैं

निष्कर्ष

Win32 / BackSwap.A साबित करता है कि सुरक्षा उद्योग और वायरस लेखकों के बीच टकराव को हमेशा एक नई परिष्कृत तकनीक और रणनीति की आवश्यकता नहीं होती है। ब्राउज़र कोड इंजेक्शन से सुरक्षा बढ़ाते हैं, इसलिए मैलवेयर के लेखकों ने अन्य हमले के तरीकों पर स्विच किया है, और केवल Win32 / BackSwap.A में लागू किया गया है।

ESET एंटीवायरस उत्पाद Win32 / BackSwap.A जैसे खतरे का पता लगाते हैं।

ईएसईटी विशेषज्ञों ने एक नए हमले के तरीके के बारे में समझौता किए गए ब्राउज़रों के डेवलपर्स को सूचित किया।

IoCs

9BC4C1D5403DDD90712CE87225490A21D1EDC516 JS/Nemucod.EAN trojan
CF5A74C268661501156663F74CD5E20603B0F261 Win32/BackSwap.A trojan
6251F9AD0E5F551AC4A6B918EF366E86C4CCFDC4 Win32/BackSwap.A trojan
2DC9760A7C6E9D261C73EFB7B2604840734BC058 Win32/BackSwap.A trojan
A68901D0D8C1247FF280F9453E3AE45687C57566 Win32/BackSwap.A trojan (JavaScript)