ज़ीउस के लिए वारिस: क्यों IcedID ट्रोजन बैंक ग्राहकों के लिए खतरनाक है

समूह-आईबी विशेषज्ञों ने ट्रोजन पर अमेरिकी बैंक ग्राहकों पर हमला करने का विश्लेषण किया और सार्वजनिक रूप से पायथन स्क्रिप्ट और CnC सर्वर पर जानकारी के साथ गतिशील कॉन्फ़िगरेशन डेटा प्रारूप के गहन विश्लेषण के परिणाम उपलब्ध कराए।


नवंबर 2017 में, आईबीएम एक्स-फोर्स के शोधकर्ताओं की एक टीम ने एक नए ट्रोजन - IcedID पर एक रिपोर्ट प्रकाशित की, जिसका उद्देश्य मुख्य रूप से अमेरिकी बैंकों के ग्राहकों के लिए है। बोट में कुख्यात ज़ीउस मालवेयर की कई विशेषताएं हैं, जिनमें शामिल हैं: मॉड्यूल को डाउनलोड करना और चलाना, प्रमाणीकरण डेटा को सर्वर पर एकत्रित करना, संक्रमित डिवाइस के बारे में जानकारी और एक मैन-इन-ब्राउज़र (MITB) हमले को अंजाम देना। इस तथ्य के बावजूद कि अपनी कार्यक्षमता में नया ट्रोजन अन्य लोकप्रिय बैंकरों के समान निकला - ट्रिकबोट, जीओजेडआई, ड्राइडेक्स, जो बैंक ग्राहकों पर सक्रिय रूप से हमला करते हैं, आईएआरआईडीआईडी ​​विन्यास डेटा के लिए एक गैर-मानक बाइनरी प्रारूप का उपयोग करता है। इस मैलवेयर की एक अन्य विशिष्ट विशेषता यह है कि एक संक्रमित सर्वर पर सीधे MITB हमले का संचालन करने के लिए एक प्रॉक्सी सर्वर को तैनात करने की क्षमता है।

पाठ: इवान पिसारेव, समूह-आईबी मैलवेयर विश्लेषण विशेषज्ञ

तुरंत, IcedID अन्य ट्रोजन के साथ तुलना में इतना व्यापक नहीं है, लेकिन अब इसके उद्देश्यों को प्राप्त करने के लिए पर्याप्त कार्यक्षमता है, जिसमें से पीड़ित की साख की चोरी मुख्य है। यह कई तरीकों से प्राप्त किया जा सकता है, एक संक्रमित कंप्यूटर से फ़ाइलों और रजिस्ट्री प्रविष्टियों की प्रतिबंधात्मक चोरी से शुरू करना, और एन्क्रिप्टेड ब्राउज़र ट्रैफ़िक (मैन-इन-ब्राउज़र आक्रमण) को रोकना और बदलना।

IcedID के मामले में, खातों से डेटा चुराया गया था: विंडोज लाइव मेल, विंडोज मेल, रिमअर्ट्स, पोको सिस्टम्स इंक, इंक्रेडिमेल, द बैट! और आउटलुक। MITB हमला एक प्रॉक्सी सर्वर का उपयोग करके किया जाता है, जो एक संक्रमित डिवाइस पर ट्रोजन को उठाता है, जिससे सभी नेटवर्क ट्रैफ़िक अपने आप से गुजरते हैं और इसे संशोधित करते हैं। IcedID में एक सर्वर कमांड प्रोसेसिंग मॉड्यूल भी है जो आपको फ़ाइल को दूरस्थ रूप से डाउनलोड करने और चलाने की अनुमति देता है (उदाहरण के लिए, अध्ययन के मामले में, नमूना VNC मॉड्यूल लोड किया गया है, प्रोग्राम कोड जिसमें IcedID के समान कोड है)।

MITB के लिए प्रॉक्सी सर्वर का उपयोग करना इस प्रकार के ट्रोजन के लिए एक असामान्य व्यवहार है। अक्सर वह अपने हैंडलर कार्यों के लिए मानक पुस्तकालयों से ब्राउज़र संदर्भ और कॉल अग्रेषण कार्यों में मैलवेयर embedding (उदाहरण: WinHttpConnect (), InternetConnect () होता है , InternetReadFile (), WinHttpReadData () , आदि)। इससे पहले, GootKit में पहले से ही प्रॉक्सी ट्रिक का इस्तेमाल किया गया था।

IcedID को एक अन्य मैलवेयर का उपयोग करके वितरित किया गया था, Emotet (वर्तमान में इसे अक्सर एक बूटलोडर के रूप में उपयोग किया जाता है, हालांकि इसकी उन्नत कार्यक्षमता है) और पहले से ही उपयोगकर्ता डेटा चोरी करने के आधुनिक तरीकों की एक व्यापक सूची शामिल थी।

अब ट्रोजन में एंटी-पार्सिंग मैकेनिज्म (स्ट्रिंग एनक्रिप्शन, हेडर करप्ट) कमजोर है और वीएम-डिटेक्ट मेथड नहीं है। शोधकर्ता के दृष्टिकोण से, मैलवेयर अभी भी विकास के अधीन है और इन सुरक्षा तंत्रों को बाद में जोड़ा जाएगा।

ग्रुप-आईबी थ्रेट इंटेलिजेंस साइबर इंटेलिजेंस सिस्टम ने विषयगत मंचों पर IcedID बिक्री का पता नहीं लगाया, जिसका अर्थ है कि बैंकिंग ट्रोजन क्षेत्र में एक नए समूह का उदय या निजी चैनलों के माध्यम से ट्रोजन की बिक्री। बॉट के लक्ष्य, डायनेमिक कॉन्फ़िगरेशन डेटा (इसके बाद कॉनफ़िगर के रूप में संदर्भित) को देखते हुए, मुख्य रूप से यूएसए में स्थित हैं।


इस लेख में ट्रोजन का विस्तृत विश्लेषण, पायथन लिपियों के साथ गतिशील विन्यास के प्रारूप का गहरा विश्लेषण और CCC पर जानकारी शामिल है।

तकनीकी हिस्सा है

ट्रोजन के काम का सामान्य विवरण

प्रारंभ में, ट्रोजन का .data अनुभाग एन्क्रिप्ट किया गया है। सबसे पहले, इसे शुरू करने के बाद, यह एल्गोरिथ्म के अनुसार अनुभाग को डिक्रिप्ट करता है:


वैरिएबल initial_seed और size_seed डेटा सेक्शन की शुरुआत में स्थित होते हैं (सेक्शन के पहले 8 बाइट्स), जिसके बाद साइज़ साइज़ बाइट्स का एन्क्रिप्टेड डेटा मिलता है। मेक_सेड () फ़ंक्शन IcedID के लिए एक अद्वितीय छद्म यादृच्छिक संख्या जनरेटर ( PRNG) फ़ंक्शन है, जिसे हम एक से अधिक बार लौटाएंगे। आप यहां फ़ंक्शन का पायथन संस्करण पा सकते हैं।

प्रारंभ में, बॉट में एन्क्रिप्टेड स्ट्रिंग्स होते हैं। विश्लेषण की सुविधा के लिए, आईडीए प्रो के लिए एक स्क्रिप्ट को डिकोड किया गया था ताकि स्ट्रिंग्स को डिक्रिप्ट किया जा सके (आपको अपने नमूने में डिक्रिप्शन फ़ंक्शन का पता सम्मिलित करना होगा)।

अगला चरण SetUnhandledExceptionFilter () फ़ंक्शन का उपयोग करके एक अपवाद हैंडलर जोड़ना है। यदि एप्लिकेशन ऑपरेशन के दौरान कोई अपवाद होता है, तो यह बस पुनरारंभ होता है।

एक अपवाद हैंडलर को जोड़ने के बाद, ट्रोजन संक्रमित सिस्टम के बारे में जानकारी एकत्र करता है:

1. ओएस संस्करण
2. ओएस बिल्ड नंबर
3. सर्विस पैक संस्करण
4. सिस्टम की क्षमता
5. ओएस प्रकार

अनुप्रयोग एक सुरक्षा डिस्क्रिप्टर बनाता है: D: (A ;; GA ;; WD) (ए;; जीए ;;; AN) S: (ML ;; NW ;; S-1-16-0) , और फिर मेमोरी आवंटित करता है; ट्रोजन के संचालन के दौरान जानकारी लॉगिंग के लिए। लॉगिंग स्ट्रिंग्स का उदाहरण (आईडीए में एक स्क्रिप्ट का उपयोग करके तार प्राप्त किए गए थे):

1. E | C | IN | INS | ISF | CP% u
2. I | C | IN | INT | CI | % यू
3. W | C | IN | INT | CI | CRLL

IcedID कई पैरामीटर ले सकता है। उनमें से हैं:

• --svc = - IcedID_reg ("* p *") नाम के साथ कुंजी से रजिस्ट्री तक स्ट्रिंग को पैरामीटर से बचाता है, जहाँ IcedID_reg (str) स्ट्रिंग स्ट्रिंग से कुंजी का नाम जनरेट करने का कार्य है (रजिस्ट्री कुंजी नाम उत्पन्न करने के लिए एल्गोरिथ्म बाद में वर्णित किया जाएगा), जिसके बाद। ट्रोजन नाम वैश्विक \ <% यादृच्छिक पात्रों% की स्ट्रिंग> के साथ एक घटना को दर्शाता है। त्रुटि के मामले में, बॉट / w = पैरामीटर के साथ अपनी प्रक्रिया की एक प्रति बनाता है। यदि यह नहीं किया जा सकता है, तो यह रजिस्ट्री में एक मूल्य बनाता है:

HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \ Run \ <% लंबाई वर्णमाला के यादृच्छिक वर्णों से लंबाई 9 का एक स्ट्रिंग [az]%>

जिससे सिस्टम में एक दृढ़ता बनी रहे। यह कुंजी ट्रोजन के प्रारंभिक प्रक्षेपण के लिए अभिप्रेत है।

• / u - डिफ़ॉल्ट रूप से, मैलवेयर स्वयं को डोमेन व्यवस्थापक ( रनस प्रोग्राम का उपयोग करके) चलाने की कोशिश करता है। यदि यह ध्वज मौजूद है, ट्रोजन इस ऑपरेशन को नहीं करता है और बस निर्देशिका C: \ Users \ <% username%> \ AppData \ Local \ <% में इसकी प्रतिलिपि बनाता है , तो वर्णमाला के यादृच्छिक वर्णों से लंबाई 9 का एक स्ट्रिंग [az]%> नाम के साथ <% वर्णमाला के यादृच्छिक वर्णों से लंबाई 9 की एक स्ट्रिंग [az]%>। Exe , और रजिस्ट्री में फ़ाइल का पथ लिखते हैं, जिससे सिस्टम में एक दृढ़ता सुनिश्चित होती है।

HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \ Run \ <% लंबाई वर्णमाला के यादृच्छिक वर्णों से लंबाई 9 का एक स्ट्रिंग [az]%>

ऐसा लगता है कि बैंकर को अपडेट करते समय इस कुंजी का उपयोग किया जाता है। 5 सेकंड के लिए ट्रोजन "सो जाता है" को पुनरारंभ करने से पहले।

• / c - दुर्भावनापूर्ण कार्यों को करने से पहले, ट्रोजन 5 सेकंड के लिए "सो जाता है"
• / w = - IcedID_reg ("* p *") नाम के साथ कुंजी से रजिस्ट्री के लिए पैरामीटर से एक स्ट्रिंग बचाता है

मापदंडों को संसाधित करने के बाद, एप्लिकेशन रजिस्ट्री तक पहुंचता है और गतिशील कॉन्फ़िगरेशन डेटा बाहर निकालता है जिसमें CnC पते शामिल हैं, साथ ही साथ वेब इंजेक्शन भी हैं। रजिस्ट्री में डेटा संग्रहीत करने का प्रारूप निम्नलिखित वर्गों में वर्णित है।

रजिस्ट्री तक पहुंचने के बाद, प्रोग्राम एक थ्रेड बनाता है, जो हर 5 या 10 मिनट (आंतरिक ध्वज के आधार पर), कमांड प्राप्त करने के लिए CnC से संपर्क करता है। यह CnC के लिए कॉल के बीच "गिरते सोते हुए" बॉट के गैर-मानक तंत्र को ध्यान देने योग्य है: डेवलपर्स ने मानक स्लीप () फ़ंक्शन का उपयोग नहीं किया, इसके बजाय उन्होंने एक गैर-सिग्नल स्थिति में एक घटना बनाई और, सिग्नल स्टेट में अनुवाद किए बिना, WaitForSingleObject () फ़ंक्शन को कॉल करें। CnC कॉल प्रवाह निर्माण कार्य:


IcedID में नींद () फ़ंक्शन का एनालॉग:


सर्वर तक पहुँच की लंबी अवधि, साथ ही गैर-मानक "स्लीप फंक्शन" के विश्लेषण का मुकाबला करने के लिए सबसे अधिक संभावना है।

एसएसएल का उपयोग सर्वर और एप्लिकेशन के बीच ट्रैफिक को छिपाने के लिए किया जाता है।

धागा शुरू करने के बाद, संक्रमित मशीन पर ट्रैफ़िक को संसाधित करने के लिए बोट स्थानीय मशीन पर प्रॉक्सी सर्वर "उठाता" है।

सर्वर और संचार उपकरण के संचार प्रोटोकॉल पर निम्नलिखित अनुभागों में चर्चा की जाएगी। हालांकि, यह ध्यान देने योग्य है कि सर्वर के कमांड पर मैलवेयर VNC सर्वर को कॉन्फ़िगर, प्रारंभ और बंद कर सकता है, cmd.exe कमांड निष्पादित कर सकता है, फाइलें डाउनलोड कर सकता है।

IcedID और CnC सर्वर के बीच सहभागिता

CnC पतों की सूची को एन्क्रिप्टेड रूप में बैंकर के शरीर में संग्रहीत किया जाता है, साथ ही साथ रजिस्ट्री में एक गतिशील कॉन्फ़िगरेशन के रूप में। सर्वर और ट्रोजन के बीच बातचीत HTTPS प्रोटोकॉल का उपयोग करके किया जाता है। सर्वर को POST अनुरोधों के साथ डेटा भेजता है, डेटा प्राप्त करने के लिए GET का उपयोग करता है।

सर्वर क्वेरी स्ट्रिंग निम्नानुसार है:

<% CnC%> /forum/viewtopic.php?a=<%Integer%>&b=<%Long पूर्णांक%> और d = <% पूर्णांक%> और e = <% पूर्णांक%> और <% अन्य डेटा%>

फ़ील्ड मान:

• a - एक प्रकार का अनुरोध, यह क्षेत्र मान ले सकता है:
  

  मूल्य	प्रभाव
  0.1	संक्रमित मशीन के बारे में जानकारी भेजें
  2.3	अन्य डेटा सर्वर पर भेजें
  4	डायनामिक कॉन्फ़िगरेशन का नवीनतम संस्करण प्राप्त करें और उन्हें IcedID_reg ("* cf1") नाम के साथ कुंजी का उपयोग करके रजिस्ट्री में डालें।
  5	गतिशील config फाइल के नवीनतम संस्करण प्राप्त करें और ( «* cfg0») IcedID_reg के नाम के तहत एक रजिस्ट्री कुंजी में डाल
  6	डायनेमिक कॉन्फिग का नवीनतम संस्करण प्राप्त करें और IcedID_reg ("* rtd") (CnC पतों) के नाम की कुंजी के साथ रजिस्ट्री में डालें।
  7	वीएनसी मॉड्यूल का नवीनतम संस्करण प्राप्त करें
  8	नवीनतम बॉट संस्करण प्राप्त करें

• बी - बॉट आईडी
• डी - झंडा
• ई - निरंतर, सीधे बॉट कोड में स्थित है

इसके अलावा, क्षेत्र का मान क्षेत्र "ए" पर निर्भर करता है। यदि यह 0 या 1 है, तो क्वेरी इस तरह दिखती है:

POST /forum/viewtopic.php?a=<%0 या 1%> & b = <% BotID%> & d = <% Integer%> & e = <% Constant%> & f = <% Cf51 चेकसम%> & g = <% Cfg0 चेकसम%> & h = <% Rtd चेकसम%> & r = <% VNC चेकसम%> & i = <% अनुरोध समय%> HTTP / 1.1
कनेक्शन: करीब
सामग्री-प्रकार: आवेदन / x-www-form-urlencoded
सामग्री-लंबाई:

अनुरोध निकाय में संक्रमित मशीन के बारे में जानकारी होती है। जानकारी के रूप में प्रदान की जाती है:

k = <% स्ट्रिंग%> & l = <% स्ट्रिंग%>% j = <% पूर्णांक%> & n = <% पूर्णांक%> & m = <% स्ट्रिंग%>

जहां:

• k - UNICODE में कंप्यूटर का नाम
• एल - UNICODE में डोमेन सदस्य
• एम - सिस्टम जानकारी:
  
  1. ओएस संस्करण
  2. ओएस बिल्ड नंबर
  3. सर्विस पैक संस्करण
  4. सिस्टम की क्षमता
  5. ओएस प्रकार

यदि फ़ील्ड 2 या 3 है, तो क्वेरी इस तरह दिखती है:

POST /forum/viewtopic.php?a=<%3 या 2%> & b = <% BotID%> & d = <% Integer%> & e = <% लगातार%> HTTP / 1.1
कनेक्शन: करीब
सामग्री-प्रकार: आवेदन / ओकटेट-धारा
सामग्री-लंबाई:

अन्यथा, अनुरोध इस प्रकार है:

GET /forum/viewtopic.php?a=<%4-8%>&b=<%BotID%>&d=<%Integer%>&e=<%Constant%>&o-<%Object चेकसम%>
HTTP / 1.1
कनेक्शन: करीब

सामग्री-प्रकार: आवेदन / x-www-form-urlencoded
सामग्री-लंबाई:

प्रश्नों के उदाहरण नीचे दिए गए आंकड़ों में प्रस्तुत किए गए हैं। सर्वर तक पहुँचने पर पैकेज हेडर:


संदेश निकाय:


ट्रोजन सर्वर से कमांड प्राप्त कर सकता है। कमांड को पूर्णांक मान के रूप में दर्शाया जाता है। सभी कमांड स्ट्रिंग्स के रूप में बॉट में आते हैं, जिनमें से पैरामीटर "प्रतीक" द्वारा अलग किए जाते हैं। कार्यक्रम 23 आदेशों को संसाधित कर सकता है:


यदि कमांड को सफलतापूर्वक निष्पादित किया जाता है, तो ट्रोजन सर्वर पर स्ट्रिंग "ट्रू" भेजता है, अन्यथा "गलत"।

उन्नत कमांड मॉड्यूल को लॉन्च करने के लिए एक कमांड प्राप्त करने के मामले में, एप्लिकेशन सर्वर को दो बाइट भेजता है, जिसके बाद वह प्रतिक्रिया की प्रतीक्षा करता है। सर्वर से प्राप्त पहली बाइट तालिका से विस्तारित कमांड से मेल खाती है:


VNC सर्वर को दो संभावित तरीकों से शुरू किया जा सकता है (आंतरिक ध्वज के आधार पर):

1. CreateProcessA () फ़ंक्शन का उपयोग rundll32.exe कर्नेल32 पैरामीटर के साथ , स्लीप -s <% param%>
2. CreateProcessA () फ़ंक्शन का उपयोग svchost.exe -s <% param%> पैरामीटर के साथ करें

जहां <% परम%> स्ट्रिंग प्रतिनिधित्व में 16 बाइट्स हैं, इस प्रकार भरा गया है:


शुरू करने के तुरंत बाद, VNC मॉड्यूल -s स्विच की उपस्थिति के लिए जाँच करता है, जिसके बाद यह पारित पैरामीटर को पढ़ता है और जाँच करता है:

paramValue[0] == paramValue[1] ^ (paramValue[3] | (paramValue[2] << 16)) 

और डुप्लिकेटहैंडल () फ़ंक्शन का उपयोग करके सर्वर के साथ आगे की बातचीत के लिए सॉकेट हैंडल की एक प्रति बनाता है।

CreateProcessA () फ़ंक्शन के स्टार्टअप इनफो पैरामीटर में विशेष रूप से जेनरेट किए गए Desktop'a: डिफ़ॉल्ट <% फ्लैग%> का नाम होता है । साथ ही, VNC मॉड्यूल पता फ़ंक्शन कॉल से पहले ProcessInformation पैरामीटर में रखा गया है:



जैसा कि सूची से देखा जा सकता है, IcedID में संक्रमित मशीन के पूर्ण नियंत्रण के लिए क्षमताओं की एक विस्तृत श्रृंखला है। यहां तक ​​कि अगर ऑपरेटर किसी भी फ़ंक्शन की कमी की समस्या का सामना करता है, तो वह बस ट्रोजन की मदद से एक और प्रोग्राम डाउनलोड करेगा और उसे सौंपे गए कार्यों को पूरा करेगा। उदाहरण के लिए, दिसंबर 2017 के अंत में, हमने इस बैंकर द्वारा ट्रिकबोट के वितरण को दर्ज किया।

कॉन्फ़िगरेशन जानकारी

रजिस्ट्री प्रविष्टियों के लिए नामों का सृजन

सर्वर से प्रोग्राम को मिलने वाले सभी कॉन्फ़िगरेशन डेटा को संक्रमित डिवाइस की रजिस्ट्री में संग्रहीत किया जाता है (VNC मॉड्यूल को छोड़कर, जो प्रारूप Tmp% 0.8X01.dat में% TEMP% निर्देशिका में संग्रहीत है )।

रजिस्ट्री कुंजियों के नाम जो हमारे लिए ब्याज की कॉन्फ़िगरेशन डेटा संग्रहीत करते हैं, की गणना निम्न फ़ंक्शन का उपयोग करके की जाती है:


जैसा कि आप आंकड़ा से देख सकते हैं, मुख्य नाम दो चर - एमडी और हैश से एक MD5 हैश मान है। रजिस्ट्री चर में किस प्रकार का डेटा संग्रहीत किया जाता है, यह पहले चर के मूल्य पर निर्भर करता है। उदाहरण के लिए, * cfg0 या * cfg1 के वैरिएबल मान के साथ , रजिस्ट्री कुंजी स्टोर वेब इंजेक्शंस, के मान के साथ * rtd कुंजी स्टोरों को CnC सूची में संग्रहीत करता है।

कंप्यूटरसाइड एक उपयोगकर्ता-अद्वितीय चर है। इसकी गणना उपयोगकर्ता के SID के आधार पर की जाती है। स्क्रिप्ट इस चर की गणना का एक अजगर संस्करण प्रदान करता है।

रजिस्ट्री में कॉन्फ़िगरेशन प्रविष्टियों के लिए पूर्ण पथ:

स्वरूप में HKEY_CLASSES_ROOT \ CLSID \ <% MD5 मान: {% 0.8X-% 0.4X-% 0.4X-% 0.4X-% 0.4X% 0.8X}%>

ऊपर वर्णित एल्गोरिथ्म IcedID_reg () नाम को उत्पन्न करने के लिए ठीक एल्गोरिथम है, जिसे बार-बार ऊपर उल्लेख किया गया था।

हमें निम्नलिखित स्ट्रिंग मान मिले जो बैंकर के लिए महत्वपूर्ण जानकारी के रजिस्ट्री नाम उत्पन्न करने में शामिल हैं:

• * cfg0 - वेब इंजेक्शन की एक आम सूची है
• * cfg1 - पेज डेटा को पूरी तरह से चुराने के लिए पते और तार की एक सूची होती है
• * rtd - CnC पतों की एक सूची
• * bc * - सर्वर से विस्तारित कमांड प्रोसेसिंग मॉड्यूल की स्थिति के बारे में सूचित करता है यदि यह प्रविष्टि रजिस्ट्री में है - मॉड्यूल चल रहा है
• * p * - कुंजियों के साथ स्टार्टअप पैरामीटर बचाता है --svc = और / w =

डायनेमिक कॉन्फ़िगरेशन फ़ाइलों की संग्रहण संरचना

डायनामिक कॉन्फ़िगरेशन को एन्क्रिप्टेड रूप में रजिस्ट्री में संग्रहीत किया जाता है। VNC सर्वर, जो% TEMP% निर्देशिका में स्थित है, उसी तरह एन्क्रिप्ट किया गया है।

डेटा एन्क्रिप्शन के लिए दो एल्गोरिदम का उपयोग किया जाता है: मालिकाना ट्रोजन एल्गोरिदम और आरसी 4। एन्क्रिप्शन एल्गोरिथ्म योजना:


सिद्धांत से अभ्यास की ओर बढ़ते हैं। रजिस्ट्री से पढ़ने के बाद शुरू में एन्क्रिप्टेड डेटा:


डेटा प्राप्त करने के बाद, मैलवेयर इसे अपने एल्गोरिथ्म का उपयोग करके डिक्रिप्ट करता है:


और फिर से हम make_seed () फ़ंक्शन को पूरा करते हैं!

डिक्रिप्शन के बाद हमारे पास (पतों पर ध्यान दें - यह मेमोरी के एक ही सेक्शन में डिक्रिप्टेड है):


स्मृति में दूसरी डिक्रिप्शन के बाद, हम निम्नलिखित देखते हैं:


डेटा अनजिप और पार्स होने के बाद। यह उल्लेखनीय है कि डेटा को मुक्त करने से पहले, डेटा को RC4 - अनुप्रयोग के गतिशील विश्लेषण के खिलाफ सुरक्षा का उपयोग करके वापस एन्क्रिप्ट किया गया है।

आगे की डेटा संरचना कॉन्फ़िगरेशन डेटा के प्रकार पर निर्भर करती है। उदाहरण के लिए, rtd उपसर्ग के साथ कॉन्फ़िगरेशन डेटा को प्रारूप में संग्रहीत किया जाता है:

 typedef struct CNCStruct { char signedMD5sum[128]; int checksum; BStrings cnc[N]; } CNCStruct; typedef struct BStrings { int length; char str[length]; } BStrings; 

एक अध्ययन में CnC पतों की सूची:


प्राप्त सूची से CnC पतों तक पहुँचने से पहले, बॉट डिजिटल हस्ताक्षर की जाँच करता है। हस्ताक्षर को सत्यापित करने के लिए सार्वजनिक कुंजी को एन्क्रिप्टेड रूप में बॉट के शरीर में संग्रहीत किया जाता है। हस्ताक्षर सत्यापन प्रक्रिया के बाद, एप्लिकेशन सार्वजनिक कुंजी को "रैंडम" कर देता है, पहले यादृच्छिक डेटा के साथ, और फिर शून्य के साथ:


Cfg उपसर्ग के साथ विन्यास प्रारूप में संग्रहीत किया जाता है:

 typedef struct CfgStruct { int checksum; int elements_count; char config[]; } CfgStruct; 

अध्ययनित मामले में, हमने निम्नलिखित डेटा देखा:


डेटा को एक अद्वितीय बाइनरी प्रारूप में संग्रहीत किया जाता है, जिस पर बाद में चर्चा की जाएगी।

आप किसी स्क्रिप्ट में रजिस्ट्री कुंजियाँ बनाने और कॉन्फ़िगरेशन डेटा को डिक्रिप्ट करने के लिए एल्गोरिथ्म देख सकते हैं।

कॉन्फ़िगरेशन डेटा पार्सिंग एल्गोरिथम

डेटा को डिक्रिप्ट करने के बाद, प्रोग्राम उन्हें पार्स करता है और उन्हें एक लिंक्ड सूची के रूप में सहेजता है, जो बाद में संक्रमित डिवाइस (MITB) पर यातायात के विश्लेषण में भाग लेता है। सबसे पहले, डेटा को उन ब्लॉकों में विभाजित किया गया है जिनकी संरचना है:

 typedef struct BaseBlock { int size; char type; char global_flag; char data[size - 6]; } BaseBlock; 

डेटा फ़ील्ड की संरचना ध्वज के प्रकार पर निर्भर करती है। इस संरचना का ध्वज इंगित करता है कि अनुरोध के URL / निकाय में स्ट्रिंग पाए जाने पर क्या होता है। फ़ील्ड निम्न मान ले सकती है:

यदि प्रकार 0x40 या 0x41 है तो डेटा फ़ील्ड की संरचना:

 typedef struct ConfigBlock { BStrings patterns[N]; int(0); } ConfigBlock; 

अन्यथा, क्षेत्र संरचना:

 typedef struct BaseBlock { int typeSizeStr; string urlStr; int flagSize; char flag[flagSize]; int firstOptStrSize; char firstOptStr[firstOptStrSize]; int secondOptStrSize; char secondOptStr[secondOptStrSize]; int thirdOptStrSize; char thirdOptStr[thirdOptStrSize]; } BaseBlock; 

चलो नमूना ब्लॉकों में से एक पर करीब से नज़र डालें:


सबसे पहले, "सामान्य जानकारी को कॉन्फ़िगर करें ब्लॉक" ब्लॉक में "कॉन्फ़िगर ब्लॉक प्रकार" फ़ील्ड पर ध्यान दें। यह 0x11 है, जिसका अर्थ है कि जब कोई उपयोगकर्ता किसी पेज को लोड करता है जिसका URL नियमित अभिव्यक्ति नियम के अंतर्गत आता है ^ [^ =] * \ / wcmfd \ / wcmpw \ / CustomerLogin $ , लाइन <body (दूसरा तर्क) को लाइन से प्रतिस्थापित किया जाता है < शरीर शैली = "प्रदर्शन: कोई नहीं;" (तीसरा तर्क)।

एप्लिकेशन मेमोरी में, प्रत्येक प्रकार के लिए एक लिंक की गई सूची बनाई जाती है। लिंक की गई सूचियों के लिए पार्सिंग एल्गोरिदम को आईडीए प्रो स्क्रीन के रूप में नीचे दिए गए चित्र में प्रस्तुत किया गया है। आप यहां कॉन्फ़िगरेशन डेटा पार्स के लिए पायथन स्क्रिप्ट देख सकते हैं।

CnC सूचना

IcedID के विकास की निगरानी के कई महीनों के बाद, हमें कई डोमेन मिले जो ट्रोजन CnC अनुभाग में गतिशील कॉन्फ़िगरेशन की सूची में शामिल थे। हम पत्राचार के रूप में डोमेन का प्रतिनिधित्व करेंगे (ई-मेल जिससे पंजीकरण हुआ → डोमेन):

आइए अब उन उपयोगकर्ताओं पर करीब से नज़र डालें जिन पर डोमेन पंजीकृत किया गया है:


अंत में, बदलते डोमेन आईपी पते की कालक्रम पर विचार करें। सभी आईपी पते नवंबर 2017 से तालिका में जोड़े गए हैं:


प्रस्तुत आंकड़ों का अध्ययन करने के बाद, हम यह संक्षेप कर सकते हैं कि सभी डोमेन अस्थायी मेल सेवा का उपयोग करके उत्पन्न मेल पर पंजीकृत हैं। काल्पनिक कुलसचिव का स्थान संयुक्त राज्य अमेरिका में है, जबकि डोमेन स्वयं रूस, यूक्रेन, नीदरलैंड, चीन, कजाकिस्तान और जर्मनी में स्थित हैं (हाल ही में यूक्रेन और जर्मनी के लिए "चाल" डोमेन की प्रवृत्ति हुई है)। सभी डोमेन डोमेन ज़ोन "कॉम" और "नेट" में हैं। डोमेन में शामिल वर्णमाला में केवल अंग्रेजी वर्णमाला के अक्षर शामिल हैं। CnC पक्ष पर, OpenResty वेब सर्वर उठाया जाता है।

निष्कर्ष

ज़्यूस-जैसे ट्रोजन के "पुरातनता" के बावजूद, उनकी प्रासंगिकता नहीं गिरती है। नतीजतन, IcedID बैंक ग्राहकों के उद्देश्य से ट्रोजन के क्षेत्र में दिखाई देता है। हालाँकि बैंकर के पास पहले से ही अवसरों की एक विस्तृत सूची थी, वह अभी भी सुधार कर रहा है: अनपैकिंग के तरीके अधिक जटिल होते जा रहे हैं, और लक्ष्यों की सूची का विस्तार हो रहा है। सबसे अधिक संभावना है, भविष्य में, मैलवेयर एंटी-विश्लेषण तंत्र का अधिग्रहण करेगा, और CnC सर्वर चुनिंदा रूप से संक्रमित उपकरणों को वेब इंजेक्शन देगा। इस बीच, ट्रोजन अपने "उपयोगकर्ताओं" की सभी आवश्यकताओं को पूरा नहीं करते हैं, जैसा कि दिसंबर में ट्रिकबोट के उपयोग से स्पष्ट किया गया था, जिसमें IcedID के साथ दिसंबर में किया गया था।

ग्रुप-आईबी साइबर क्राइम के बारे में सब कुछ जानता है, लेकिन सबसे दिलचस्प बातें बताता है।

सूचना सुरक्षा, हैकर्स और साइबर हमलों, हैकविवि और इंटरनेट समुद्री डाकू के बारे में एक्शन-पैक टेलीग्राम चैनल (https://t.me/Group_IB)। कदम से सनसनीखेज साइबर अपराध की जांच, समूह-आईबी प्रौद्योगिकियों का उपयोग करके व्यावहारिक मामले और निश्चित रूप से, इंटरनेट पर शिकार बनने से बचने के तरीके के बारे में सिफारिशें।

YouTube चैनल ग्रुप-आईबी
इंस्टाग्राम www.instagram.com/group_ib पर ग्रुप-आईबी फोटोग्राफ
Twitter लघु समाचार twitter.com/GroupIB

ग्रुप-आईबी साइबर हमलों का पता लगाने और रोकने, धोखाधड़ी का पता लगाने और सिंगापुर में मुख्यालय वाले एक नेटवर्क में बौद्धिक संपदा की रक्षा करने के लिए समाधान के अग्रणी डेवलपर्स में से एक है।