एक शव परीक्षा कहानी: हम हैंसिटर को कैसे उलटते हैं

उन लोगों के लिए जो पहले से ही क्रैकमे पज़ल के साथ पर्याप्त खेल चुके हैं , हम एक ताजा ट्रोजन में लाए। जंगली में, हैन्केटर डाउनलोडर अभी भी अपने प्राकृतिक आवास - स्पैम मेलिंग में पाया जाता है। वर्तमान में, यह सक्रिय रूप से पांडा बैंकिंग ट्रोजन को डाउनलोड करने के लिए उपयोग किया जाता है, जो कुख्यात ज़ीउस का एक संशोधन है।

एक सर्द गर्मी की शाम, हम ईमेल स्पैम को देखते हुए उससे आमने-सामने मिले। यदि आप यह देखना पसंद करते हैं कि हुड के नीचे मैलवेयर क्या है, तो हमारे नए रिवर्स पार्सिंग को पढ़ें।

हमारा दुर्भावनापूर्ण दस्तावेज़ इस तरह दिखता है:



डिफ़ॉल्ट रूप से, मैक्रोज़ अवरुद्ध हैं, इसलिए सिस्टम चेतावनी देता है: "मैक्रोज़ अक्षम कर दिया गया है।" हालांकि, संदेश की सामग्री का कहना है कि मैक्रोज़ को शामिल किया जाना चाहिए। अच्छा, चलो करते हैं। सक्षम सामग्री बटन पर क्लिक करने के बाद, कंप्यूटर संक्रमित है। अब देखते हैं कि किस तरह के मैक्रो को निष्पादित किया जाता है और संक्रमण वास्तव में कैसे होता है। यह Word-> Vacros \ View मैक्रोज़ टैब पर जाकर वर्ड में तुरंत किया जा सकता है।



आप और अधिक पेशेवर रूप से कर सकते हैं - ओलेटस पैकेज से ओलेबबा का उपयोग करें। आप वहां लिंक पर पैकेज स्थापित कर सकते हैं। अगला, टाइप करें olevba doc_file –c –decode> source.txt और मैक्रो स्रोत प्राप्त करें।



कोड के द्वारा, मैं तुरंत कहना चाहता हूं कि ट्रोजन डाउनलोडर्स की श्रेणी का है। लिपि सिर्फ मालवाड़ा से कहीं दूर है। इसे साबित करने के लिए, आइए बेस 64 स्ट्रिंग्स को डिकोड करें। हमारे लिए यह तुरंत एचवीई के माध्यम से करने के लिए अधिक सुविधाजनक है, ताकि हम सौ बार कॉपी-पेस्ट न करें। ऐसा करने के लिए, हम एक विशेष प्लगइन का उपयोग करते हैं, जो यहां वर्णित है । यहाँ क्या हुआ:



यह एक दुर्भावनापूर्ण स्क्रिप्ट है, जिसे दो भागों में तोड़कर 1.hta के रूप में सहेजा गया है। सिद्धांत रूप में, हम विशेष रूप से रुचि नहीं रखते हैं कि यह कैसे काम करता है। यह सब बहुत आम है। एकमात्र महत्वपूर्ण बिंदु उस URL को निर्धारित करना है जिस पर दुर्भावनापूर्ण फ़ाइल डाउनलोड की गई है। आइए उसे खोजने की कोशिश करें, क्योंकि यह जानकारी सुरक्षा के लिए उपयोगी हो सकती है। वे ऐसे URL पर अनुरोध ब्लॉक करने के लिए नेटवर्क नियम जोड़ सकते हैं, जो कंपनी को संक्रमण से बचा सकते हैं।

हा! कोई लिंक नहीं हैं। लेकिन 6.exe फ़ाइल कहाँ से आती है, जो 1.hta से शुरू होती है? यह hiew में हमारी डॉक फ़ाइल पर एक और नज़र डालने का समय है, लेकिन अधिक ध्यान से:



हाँ, एक exe-shnik डॉक दस्तावेज़ में बनाया गया है। हाँ, और भारी पैक किया। आइए बताते हैं कि क्या चल रहा है। मैक्रो दुर्भावनापूर्ण 1.hta स्क्रिप्ट को Temp फ़ोल्डर में छोड़ता है और इसे लॉन्च करता है, और 1.hta, बदले में, अपनी निर्देशिका से 6..exe लॉन्च करता है। यह स्पष्ट है कि 6.exe एक ही पैक्ड PE-shnik है जिसे हम स्क्रीन पर देखते हैं। लेकिन अब हम सोच रहे हैं कि कैसे 6..exe% अस्थायी% में गिरता है। और यह माइक्रोसॉफ्ट ऑफिस सुइट में एक दिलचस्प विशेषता के कारण होता है। तथ्य यह है कि किसी भी OLE दस्तावेज़ में, Ole10Native प्रारूप में किसी भी अन्य फ़ाइल को एम्बेड किया जा सकता है।

यदि यह मामला है, तो स्टार्टअप पर MS-Office स्वयं इस तरह से बनाई गई फ़ाइल को Ole10Native संरचना शीर्षलेख में निर्दिष्ट नाम के तहत% अस्थायी% फ़ोल्डर में छोड़ देता है। आइए इस वस्तु पर एक नजर डालते हैं। हमें FAR-manager - OLE2Viewer के लिए प्लगइन द्वारा मदद की गई थी । हम अपने दुर्भावनापूर्ण दस्तावेज़ को प्लगइन में खोलते हैं, ObjectPool \ _1593522492 निर्देशिका पर जाएं और इसे देखें:



इस फ़ाइल (Ole10Native) की प्रतिलिपि बनाएँ और hiew में खोलें।



यहाँ हम देखते हैं कि हमारे OLE ऑब्जेक्ट - 5c.pif को% temp% फ़ोल्डर में किस नाम से जाना जाएगा। अब वापस हमारे मैक्रो के लिए। उनका काम एक नशे में धुत्त शानी को लॉन्च करना है।



वास्तव में, सटीक होने के लिए, मैक्रो हमेशा 1.hta के माध्यम से गिराई गई फ़ाइल को शुरू नहीं करता है, लेकिन यह भी इस प्रकार है: शेल "cmd.exe / c पिंग लोकलहोस्ट -n 100 &&" और Environ ("Temp") और "\ 6 .pif ", vbHide



लॉन्च विधि, जैसा कि हम देखते हैं, सिस्टम में निम्नलिखित प्रक्रियाओं की उपस्थिति पर निर्भर करता है: bdagent.exe और PSUAMain.exe। फिर आपको लोकलहोस्ट करने की आवश्यकता क्यों है -n 100। और यह एक प्राचीन यूनानी चाल है, जो कृत्रिम रूप से देरी कर सकती है। आमतौर पर इसकी विविधताओं का उपयोग स्वयं को हटाने के लिए किया जाता है।

इस स्तर पर, हमने एक दुर्भावनापूर्ण दस्तावेज़ के संचालन की जांच की। यह हमारे लिए स्पष्ट हो गया कि दस्तावेज़ स्वयं ट्रोजन-डाउनलोडर प्रकार के मैलवेयर से संबंधित नहीं है, क्योंकि यह पहली नज़र में लग रहा था, लेकिन ट्रोजन-ड्रॉपर प्रकार के लिए उपयुक्त है। यहाँ स्टार्टअप पर क्या हुआ है:



अब यह खुद पेलोड को अलग करना है। हमें पहले ही पता चल गया था कि हमारा ट्रोजन पैक किया गया है, इसलिए हमें इसे पहले खोलना चाहिए। आमतौर पर इस प्रक्रिया को दो चरणों में विभाजित किया जाता है:
1. आयात किए गए डंप + को हटाकर आयात तालिका को पुनर्स्थापित करना।
2. वैश्विक चरों का विश्लेषण और शुद्धिकरण।

हमें दूसरे चरण की आवश्यकता है क्योंकि कई एपीआई कार्य हैं जो अपने काम के परिणामस्वरूप, हमारे लिए गैर-दोहराए गए मान लौटाते हैं। उदाहरण के लिए, CreatHeap एक ढेर डिस्क्रिप्टर हमें लौटाएगा, जो आगे काम के लिए उपयोग किया जाएगा। बहुत बार कोड में टाइप चेक होते हैं: यदि ढेर डिस्क्रिप्टर == 0 है, तो हीप डिस्क्रिप्टर प्राप्त करें, अन्यथा पहले से ही एक आरंभिक का उपयोग करें । लेकिन डंप के समय, दिए गए डिस्क्रिप्टर वाले वेरिएबल को पहले से ही इनिशियलाइज़ किया गया था और उस समय डिस्क्रिप्टर वैध था। जब हम डंप शुरू करने का प्रयास करते हैं, तो हमारे विवरणक के साथ चर में पुराना मूल्य होगा, अर्थात 0 के बराबर नहीं, जिसका अर्थ है कि परीक्षा पास होगी।

उसके बाद, जैसे ही प्रोग्राम इस डिस्क्रिप्टर का उपयोग करने की कोशिश करता है, ओएस एक अपवाद फेंक देगा और प्रोग्राम एक त्रुटि के साथ क्रैश हो जाएगा। तो, इससे बचने के लिए, आपको इन चरों को शून्य करना होगा। वे आमतौर पर डेटा के लेखन योग्य अनुभाग में स्थित होते हैं। शायद आप हेक्स संपादक में इस खंड को खोलने और शून्य के साथ सब कुछ अधिलेखित करने का सुझाव देते हैं? आप आंशिक रूप से सही हैं, लेकिन आपको जल्दबाजी में कार्रवाई नहीं करनी चाहिए। ट्रोजन हैं जो चर की जांच 0 पर नहीं, बल्कि एक यादृच्छिक DWORD पर करते हैं। और इस बात पर निर्भर करता है कि परीक्षण का परीक्षण किया जा रहा है या नहीं, विभिन्न कार्रवाई की जाती है। आपको उदाहरणों के लिए दूर नहीं जाना पड़ेगा। क्रैडेक्स को देखें (हाल ही में यह रडार से कहीं गायब हो गया है, जाहिर तौर पर इसे पूरी तरह से ईएमओटीईटीए में अपग्रेड किया गया है)।

तो, चलो अपना नमूना चलाते हैं (एक आभासी मशीन में, निश्चित रूप से)। यह भी वांछनीय है कि ट्रैफ़िक जो वर्चुअल मशीन से बाहर निकल जाएगा, एक वीपीएन के माध्यम से जाता है।

हम अपना ट्रोजन लॉन्च करते हैं, और यह प्रक्रिया में लटका रहता है। अद्भुत! आमतौर पर, ट्रोजन जल्दी से चीजें करते हैं, और फिर तुरंत समाप्त हो जाते हैं और आत्म-विनाश करते हैं। इसलिए, आपको इन कार्यों के लिए ज़िम्मेदार कोड में स्थानों की तलाश करनी होगी, उन पर ब्रेक लगाना होगा और फिर डंप करना होगा। हमारे मामले में, हम इसे वैसे ही कर सकते हैं।

डंप के लिए, हम अद्भुत उपयोगिता - प्रोसेस डंप का उपयोग करते हैं, जो यहां पाया जा सकता है । यह उपयोगिता न केवल सभी छिपे हुए निष्पादन योग्य मॉड्यूल को ढूंढती है और उन्हें डंप करती है, बल्कि आयात तालिका को भी पुनर्स्थापित करती है। उपयोगिता को निम्न प्रकार से प्रशासक के रूप में चलाया जाना चाहिए: pd / pid xxxx, जहां xxxx ट्रोजन प्रक्रिया की आईडी है। उसके बाद, उपयोगिता सभी प्रक्रिया मॉड्यूल को डंप कर देगी। हमने अतिरिक्त लोगों को हटा दिया और यही रहता है:



ट्रोजन प्रक्रिया की निष्पादन योग्य फ़ाइल का नाम 1..exe है। यह पता चला है कि अनपैक्ड ट्रोजन 0x2C0000 पर स्थित था। इसे hiew में खोलें:



बस एक आँख खुश! अब फाइल अनपैक्ड है, यह स्पष्ट रूप से दिखाई दे रही है। आयात तालिका को भी मान्यता दी गई थी। आइए इसे आईडीए-प्रो में खोलें।



हमने पहले ही कुछ कार्यों का नाम बदल दिया था जबकि हमने नमूना छांटा था। ट्रोजन के साथ शुरू होने वाली पहली चीज अपने मॉड्यूल के लोड पते को निर्धारित कर रही है। और वास्तव में: वह कैसे जानता था कि उसके ठूंठ का पता क्या है? यह एक पुरानी सिद्ध तकनीक के साथ किया जाता है - वर्तमान पते के लिए 0x1000 के पीछे एक मेमोरी पेज को फ़्लिप करते हुए जब तक हम "एमजेड" बाइट्स में नहीं आते। यह काम करता है क्योंकि निष्पादन योग्य मॉड्यूल हमेशा एक पते पर ओएस को लोड करते हैं जो 0x1000 का एक बहु है। इसे अपने लिए देखें। हमारे मामले में, 100 स्ट्रिपिंग की एक सीमा निर्धारित है।



अगर किसी को यह समझ में नहीं आता है कि कहाँ वापस आना है, तो यहाँ है:
परिणाम + = 0xFFFFF000 परिणाम के बराबर है - = 0x1000।

अपने मॉड्यूल का डाउनलोड पता प्राप्त करने के बाद, अनपैक्ड ट्रोजन इसके संचालन के लिए आवश्यक कार्यों के पते प्राप्त करता है। शुरू करने के लिए, दो कार्यों के पते खोजे गए हैं - लोडलॉउंड्सए और गेटप्रोकैड्रेस। इन फ़ंक्शंस के पते जानने के बाद, आप उनका उपयोग सभी आराम पाने के लिए कर सकते हैं। ये फ़ंक्शन कर्नेल 32 लाइब्रेरी में हैं। इसका पता रिंग लिस्ट के पहले (शून्य - ntdll, फर्स्ट कर्नेलबेस आदि) तत्व को पढ़कर प्राप्त होता है, जो इनिशियलाइज़ेशन ऑर्डर में लोड किए गए सभी मॉड्यूल्स का _ _RR_DATA_TABLE_ENTRY स्ट्रक्चर के साथ वर्णन करता है। सूची में सूचक पीईबी से खींचा गया है।



पता kernel32.dll (विंडोज 7 के साथ शुरू होने से - kernelBase.dll से शुरू) प्राप्त करने के बाद, ट्रोजन मैन्युअल रूप से अपने एक्सपोर्ट टेबल को पार्स कर सकता है और आवश्यक दो फ़ंक्शन ढूंढ सकता है, जो कि उपप्रकार में सब_EF1E60 सबरूटीन में प्रदर्शित होता है।



अब एक फ़ंक्शन पर नज़र डालें जिसे हमने गेटहैप कहा है।



यहां हम केवल उस स्थिति का अवलोकन कर रहे हैं जो ऊपर वर्णित की गई थी। डंप के समय, हाइप चर में 600000h का मान होता था। इसलिए GetProcessHeap को नहीं कहा जाएगा। इसके बजाय, प्रोग्राम loc_EF11DD लेबल पर जाएगा, जहां HeapAlloc को अमान्य हैंडल के साथ कहा जाता है, जो हमें एक त्रुटि देगा। इसलिए, हम हेक्स संपादक लेते हैं और इस संख्या को शून्य करते हैं। हमने छह समान स्थानों को गिना।

अगला, मज़ा शुरू होता है। ट्रोजन हार्ड डिस्क के क्रमांक और मैक पते के आधार पर एक अद्वितीय "क्लाइंट" आईडी बनाता है। यहाँ प्राप्त जानकारी:



हमें निम्नलिखित भी मिलते हैं: आईपी पता, ओएस संस्करण, नेटवर्क नाम और उपयोगकर्ता नाम। इन सभी के आधार पर, एक HTTP अनुरोध व्यवस्थापक पैनल के लिए उत्पन्न होता है, जिसका पता हमें अभी तक नहीं पता है। यह लाइनों में नहीं है (यहां तक ​​कि अनपैक्ड रूप में भी)। लेकिन यह वहां नहीं है, क्योंकि यह कॉन्फ़िगर में एन्क्रिप्टेड है। इसका पता कोड से खींचा जा सकता है:



कॉन्फ़िगरेशन का वजन 0x2008 बाइट्स से है और इसका प्रारूप निम्न है: पहले 8 बाइट्स RC4 कुंजी हैं, 0x2000 बाइट्स एन्क्रिप्टेड डेटा हैं।



तथ्य यह है कि RC4 एन्क्रिप्शन एल्गोरिथ्म का उपयोग निम्नलिखित सूची से स्पष्ट हो जाता है:



कृपया ध्यान दें कि पहले 8 बाइट अकेले RC4 की कुंजी नहीं हैं। कुंजी इन बाइट्स के SHA1 हैश है। आपको फ़ंक्शन CryptDeriveKey पर ध्वज 0x280011 पर भी ध्यान देने की आवश्यकता है। MSDN के पास इस ध्वज के बारे में एक अस्वीकरण है:



इससे यह स्पष्ट हो जाता है कि इस ध्वज के उच्च 16 बिट्स बिट्स में मुख्य आकार निर्धारित करते हैं। अर्थात्, बाइट्स में कुंजी का आकार है: (0x280011 >> 16) / 8 = 5. इसलिए, कुंजी हैश से पहले पांच बाइट्स होगी, जो कॉन्फ़िगरेशन के पहले आठ बाइट्स से होगी। चलो कॉन्फिग को डंप करें और एक पायथन स्क्रिप्ट लिखें जो इसे हमारे लिए डिक्रिप्ट करेगा। स्क्रिप्ट इस प्रकार है:



उनके काम का परिणाम config.rc4 फ़ाइल था। इसे hiew में खोलें:



हम व्यवस्थापक क्षेत्रों की एक डिक्रिप्टेड सूची देखते हैं। पहला शब्द "19nep07" है - निर्माण संख्या। इसके लिए 16 बाइट आवंटित किए गए हैं। इसके बाद "|" द्वारा अलग किए गए व्यवस्थापक URL की एक सूची है।

तो, व्यवस्थापक पैनल के पहले कॉल में यह प्रारूप होगा:
GUID = 3068075364164635648 और BUILD = 19nep07 & INFO = WIN-56G04BL06SL @ WIN -56G04BL06SL \ Reverse & IP = 356.127.52 और TYPE = 1 & WIN = 6.1 (x32)



फिर उत्पन्न अनुरोध पहले व्यवस्थापक पैनल सूची में भेजा जाता है।



अगला, व्यवस्थापक से प्रतिक्रिया पढ़ी जाती है, ज़ाहिर है, अगर यह अभी भी जीवित है। इसका उत्तर बेस 64 एनकोडेड होना चाहिए। यदि ऐसा नहीं होता है, तो सूची से अगला व्यवस्थापक लिया जाता है। कभी-कभी लाइव प्रवेश एक अजीब जवाब देते हैं:



यह परिचित है, है ना? हाँ, ये वही संख्याएँ हैं ! वास्तव में, एक लेखक जानता है कि व्यवस्थापक उन्हें वापस क्यों शुरू करता है! सामान्य रूप में, कमांड वापस आती है। दुर्भाग्य से, यह पूरी तरह से निश्चित रूप से कहना असंभव है कि प्रतिक्रिया प्रारूप क्या होगा, क्योंकि कोई यातायात नहीं है, सभी प्रवेश मृत हैं। डिकोड की गई फ़ाइल अतिरिक्त रूप से 0x7A तक डिकोड की गई है:



प्रतिक्रिया में एक आदेश होना चाहिए। यदि ऐसा नहीं है, तो अगले व्यवस्थापक पैनल के लिए एक अपील है। कमांड कोड को "x:" के रूप में एन्कोड किया गया है, जहां x एक विशिष्ट कमांड को एन्कोडिंग करने वाला अक्षर है। उनमें से 7 हैं: 'आर', 'एल', 'ई', 'बी', 'डी', 'सी', 'एन'। "बी" और "आर" कमांड पर विचार करें।

इन कमांड के हैंडलर का एक ही कार्य होता है। हमने इसे गेटएक्स नाम दिया। यहाँ यह कैसा दिखता है:



मुझे लगता है कि यहां सब कुछ स्पष्ट है। ट्रोजन एक http-अनुरोध करता है और निष्पादन योग्य फ़ाइल संपीड़ित रूप में प्रतिक्रिया में वापस आ जाता है, जो तब विघटित हो जाता है। तब रूपांतर संभव हैं। "बी" कमांड के मामले में, निम्नलिखित तीन क्रियाएं होती हैं:

1. जमे हुए रूप में svchost प्रक्रिया का निर्माण



डाउनलोड मॉड्यूल प्रक्रिया के पते की जगह में इंजेक्शन



3. इंजेक्ट मॉड्यूल में नियंत्रण स्थानांतरण



R कमांड के मामले में, निम्नलिखित तीन क्रियाएं होती हैं:
1. GetExe फ़ंक्शन को कॉल करके निष्पादन योग्य फ़ाइल डाउनलोड करना।
एक बेतरतीब नाम के तहत एक अस्थायी फ़ोल्डर में डाउनलोड की गई फ़ाइल को सहेजना।
3. एक गिरा हुआ फ़ाइल लॉन्च करें।



हो गया।

PS अगली बार हम या तो पांडा या कुछ क्रिप्टोकरेंसी को पार्स कर सकते हैं। उन टिप्पणियों में लिखें जिन्हें आप (अनुसंधान उद्देश्यों के लिए, निश्चित रूप से) में सबसे अधिक रुचि रखते हैं।