नए Android RAT टेलीग्राम प्रोटोकॉल का उपयोग करता है

ईएसईटी वायरस लैब ने एक नया एंड्रॉइड आरएटी (रिमोट एडमिनिस्ट्रेशन टूल) की खोज की जो डेटा को प्रबंधित और बहिष्कृत करने के लिए टेलीग्राम प्रोटोकॉल का उपयोग करता है। प्रारंभ में, हमने पहले से ही ज्ञात आईआरआरएटी और टेलीआरएटी की बढ़ती गतिविधि पर ध्यान आकर्षित किया, लेकिन फिर, यह समझने के बाद कि क्या हो रहा था, हमने एक पूरी तरह से नया परिवार पाया। नया आरएटी कम से कम अगस्त 2017 से सक्रिय है। मार्च 2018 में, माल्वारी स्रोत कोड हैकर्स के टेलीग्राम चैनलों के माध्यम से वितरित किया गया था, जिसके परिणामस्वरूप आज सैकड़ों संशोधन जंगली में काम करते हैं।



एक संस्करण बाकी हिस्सों से अलग है। स्रोत कोड की उपलब्धता के बावजूद, यह एक विशेष टेलीग्राम चैनल के माध्यम से वाणिज्यिक नाम HeroRat के तहत बेचा जाता है। लेखक मालवेयर-ए-ए-सर्विस मॉडल के अनुसार उपयोग के लिए HeroRat की पेशकश करते हैं। मालवर तीन ट्रिम स्तरों में विभिन्न कार्यों और एक वीडियो सपोर्ट चैनल के साथ उपलब्ध है। यह स्पष्ट नहीं है कि यह विकल्प मर्ज किए गए कोड के आधार पर लिखा गया था या इसके विपरीत, मूल है, जिसका स्रोत कोड तब नेटवर्क पर दिखाई दिया था।

यह कैसे काम करता है

हमलावर Android अनुप्रयोगों, सामाजिक नेटवर्क और तत्काल दूतों के अनौपचारिक स्टोर के माध्यम से आरएटी वितरित करते हैं। हमने देखा कि कैसे दुर्भावनापूर्ण प्रोग्राम उन अनुप्रयोगों के रूप में प्रच्छन्न है जो उपहार के रूप में बिटकॉइन का वादा करते हैं, मुफ्त मोबाइल इंटरनेट या सोशल नेटवर्क में ग्राहकों को धोखा देते हैं। Google Play पर, यह मालवरी नहीं मिली। सबसे अधिक संक्रमण ईरान में दर्ज किए गए हैं।


चित्रा 1. आरएटी वितरित करने के लिए उपयोग किए जाने वाले कई अनुप्रयोग

मैलवेयर Android के सभी संस्करणों के साथ संगत है। उपयोगकर्ता को एक अनुमति अनुरोध (कभी-कभी एप्लिकेशन को डिवाइस व्यवस्थापक के रूप में सक्रिय करने सहित) को स्वीकार करने की आवश्यकता होती है, जो सोशल इंजीनियरिंग का उपयोग करता है।


चित्र 2. RAT डिवाइस व्यवस्थापक अधिकारों का अनुरोध करता है

दुर्भावनापूर्ण एप्लिकेशन इंस्टॉल और चलाने के बाद, स्क्रीन पर एक छोटी पॉप-अप विंडो दिखाई देती है। यह रिपोर्ट करता है कि प्रोग्राम डिवाइस पर काम नहीं कर सकता है और हटा दिया जाएगा। हमने अंग्रेजी और फारसी में संदेशों के साथ नमूने देखे (डिवाइस की भाषा सेटिंग्स के आधार पर)।

जब निष्कासन पूरा हो जाता है, तो एप्लिकेशन आइकन गायब हो जाएगा। साथ ही हमलावरों की तरफ से एक नया संक्रमित उपकरण पंजीकृत किया जाएगा।


चित्र 3. डिवाइस पर HeroRat स्थापित करने का प्रदर्शन (मालवीय के लेखकों के प्रशिक्षण वीडियो से स्क्रीनशॉट)


चित्र 4. अंग्रेजी और फारसी में नकली निष्कासन संदेश वाला मालवारी स्रोत कोड

एक समझौता किए गए डिवाइस तक पहुंच प्राप्त करने के बाद, हमलावर नए डिवाइस को नियंत्रित करने के लिए टेलीग्राम बॉट की क्षमताओं का उपयोग करता है। प्रत्येक संक्रमित डिवाइस को एक बोट द्वारा नियंत्रित किया जाता है, जिसे टेलीग्राम एप्लिकेशन के माध्यम से कॉन्फ़िगर और नियंत्रित किया जाता है।

मालवेयर में कई तरह की फाइल जासूसी और एक्सफ़िलिएशन टूल्स हैं, जिसमें टेक्स्ट मैसेज और कॉन्टेक्ट्स को इंटरसेप्ट करना, टेक्स्ट मैसेज और कॉल भेजना, साउंड रिकॉर्ड करना और स्क्रीनशॉट लेना, डिवाइस को लोकेट करना और इसकी सेटिंग्स को मैनेज करना शामिल है।

HeroRat को तीन ट्रिम स्तरों (कांस्य, चांदी और सोने के पैकेज) में क्रमशः 25, 50 और 100 डॉलर में बेचा जाता है। HeroRat के लेखक का स्रोत कोड $ 650 खरीदने के लिए पेश किया गया है।

HeroRat फ़ंक्शन टेलीग्राम बॉट इंटरफ़ेस में इंटरेक्टिव बटन के माध्यम से एक्सेस किया जाता है। हमलावर RAT के संस्करण में उपलब्ध बटनों पर क्लिक करके संक्रमित उपकरणों को नियंत्रित कर सकते हैं, जिनका उन्होंने उपयोग किया था।


चित्रा 5. HeroRat नियंत्रण कक्ष


चित्रा 6. हीरोरैट फ़ंक्शंस (बाएं से दाएं): कांस्य, चांदी और सोने के पैकेज (मालवीय के लेखकों के प्रशिक्षण वीडियो से स्क्रीनशॉट)

टेलीग्राम का उपयोग करने वाले पहले से अध्ययन किए गए एंड्रॉइड आरएटी के विपरीत, जो मानक एंड्रॉइड जावा में लिखे गए हैं, नए परिवार को सी # में स्क्रैम्बल से विकसित किया गया है, एक्समरीन फ्रेमवर्क का उपयोग करके, एंड्रॉइड मैलवेयर के लिए एक दुर्लभ संयोजन।

टेलीग्राम प्रोटोकॉल के माध्यम से संचार की विधि प्रोग्रामिंग भाषा के अनुकूल है - टेलीग्राम बॉट एपीआई के बजाय, जिसका उपयोग पहले अध्ययन किए गए आरएटी द्वारा किया गया था, नया परिवार टेलीग्राम का उपयोग करता है, सी # में टेलीग्राम बॉट बनाने के लिए एक पुस्तकालय।

संक्रमित उपकरणों से डेटा का कमांड ट्रांसमिशन और एक्सफ़िलिएशन पूरी तरह से टेलीग्राम प्रोटोकॉल द्वारा कवर किया जाता है - इस उपाय का उद्देश्य ट्रैफ़िक पर आधारित डिटेक्शन को ज्ञात डाउनलोड सर्वर पर काउंटर करना है।

संक्रमण संकेतक

System.OS - 896FFA6CB6D7789662ACEDC3F9C024A0 - Android / Agent.AQO
Andro.OS - E16349E8BB8F76DCFF973CB71E9EA59E - Android / Spy.Agent.AMS
FreeInterNet.OS - 0E6FDBDF1FB1E758D2352407D4DBF91E - Android / Agent.AQO