पावरपूल साइबरबर्ग ने उन्नत स्थानीय प्रक्रिया कॉल में शून्य-दिन भेद्यता में महारत हासिल की

27 अगस्त, 2018 को, सैंडबॉक्स ईपेपर उपनाम के साथ एक सूचना सुरक्षा विशेषज्ञ द्वारा ट्विटर पर शून्य-दिन भेद्यता के बारे में जानकारी प्रकाशित की गई थी। भेद्यता Microsoft विंडोज के संस्करणों को 7 से 10 तक प्रभावित करती है, अधिक सटीक रूप से, विंडोज टास्क शासक में उन्नत स्थानीय प्रक्रिया कॉल (ALPC) इंटरफ़ेस। यह स्थानीय विशेषाधिकार वृद्धि प्रदान करता है, जो एक हमलावर को उपयोगकर्ता स्तर से सिस्टम में दुर्भावनापूर्ण कोड के अधिकारों को बढ़ाने की अनुमति देता है। हम भेद्यता के समन्वित प्रकटीकरण के बारे में बात नहीं कर रहे हैं - SandboxEscaper खाते को जल्द ही हटा दिया गया था, कोई समापन पैच नहीं थे।

ट्वीट से लिंक प्रूफ-ऑफ-कॉन्सेप्ट शोषण कोड के साथ गिटहब रिपॉजिटरी का नेतृत्व किया - न केवल संकलित संस्करण, बल्कि स्रोत कोड भी। इसलिए, कोई भी इसे सुधारने, पता लगाने से बचने, या इसे अपने कोड में शामिल करने के लिए शोषण को संशोधित कर सकता है।

सामान्य तौर पर, यह आश्चर्य की बात नहीं है कि सिर्फ दो दिन बाद, पावरपूल साइबरबर्ग के अभियान में जंगली में शोषण दिखाई दिया। ईएसईटी टेलीमेट्री के अनुसार, हमलावरों के लक्षित देश रूस, यूक्रेन, पोलैंड, जर्मनी, यूनाइटेड किंगडम, अमेरिका, भारत, फिलीपींस, चिली हैं। अपेक्षाकृत कम पीड़ित हैं, जो अभियान के उच्च लक्ष्यीकरण का संकेत दे सकते हैं।

पॉवरपूल टूलकिट

ईएसईटी ने अपेक्षाकृत हाल ही में एक नया समूह दर्ज किया, हालांकि, पावरपूल हैकर्स के निपटान में काफी व्यापक उपकरण हैं। अगला, हम संक्षेप में उनमें से कुछ पर विचार करते हैं।

ALPC में स्थानीय विशेषाधिकार वृद्धि का फायदा उठाया गया

पावरपूल डेवलपर्स ने सैंडबॉक्सइस्पर द्वारा प्रकाशित बाइनरी फ़ाइल का उपयोग नहीं किया - उन्होंने स्रोत कोड को थोड़ा संशोधित किया और इसे पुन: संशोधित किया। शोषण को सुरक्षा शोधकर्ताओं और सीईआरटी टीमों द्वारा भी नोट किया गया है।


चित्र 1. कॉपीराइट शोषण विवरण

उल्लंघन SchRpcSetSecurity API SchRpcSetSecurity , जो उपयोगकर्ता अधिकारों को सही तरीके से मान्य नहीं करता है। इस प्रकार, उपयोगकर्ता वास्तविक अनुमतियों की परवाह किए बिना, C:\Windows\Task किसी भी फाइल को लिख सकता है - यदि कोई रीड अनुमति है, तो राइट-प्रोटेक्टेड फाइल की सामग्री को बदलना संभव है।

कोई भी उपयोगकर्ता C:\Windows\Task लिए फाइल लिख सकता है, इसलिए इस फ़ोल्डर में आप एक ऐसी फाइल बना सकते हैं जो किसी भी टारगेट फाइल के लिए एक कड़ी है। फिर, SchRpcSetSecurity फ़ंक्शन को कॉल करके, आप इस लक्ष्य फ़ाइल पर लेखन पहुंच प्राप्त कर सकते हैं। स्थानीय विशेषाधिकार वृद्धि प्रदान करने के लिए, हमलावर को उस लक्ष्य फ़ाइल का चयन करने की आवश्यकता होती है जिसे ओवरराइट किया जाएगा - यह महत्वपूर्ण है कि यह फ़ाइल व्यवस्थापक अधिकारों के साथ स्वचालित रूप से निष्पादित हो। वैकल्पिक रूप से, यह एक सिस्टम फाइल या पहले से स्थापित सॉफ्टवेयर को अपडेट करने की उपयोगिता हो सकती है, जो नियमित रूप से चलती है। अंतिम चरण लक्ष्य फ़ाइल की सामग्री को दुर्भावनापूर्ण कोड से बदलना है। इस प्रकार, अगले स्वचालित निष्पादन में, मूल अधिकारों की परवाह किए बिना, मैलवेयर के पास व्यवस्थापक अधिकार होंगे।

PowerPool डेवलपर्स ने फ़ाइल C:\Program Files (x86)\Google\Update\GoogleUpdate.exe की सामग्री को बदलने का निर्णय लिया। यह Google अनुप्रयोगों के लिए एक वैध अपडेटर है, इसे नियमित रूप से Microsoft Windows कार्य के माध्यम से व्यवस्थापक अधिकारों के साथ चलाया जाता है।


चित्र 2. Google अपडेटर के लिए एक कठिन लिंक बनाना


चित्र 3. Google अपडेटर के निष्पादन के लिए अनुमतियाँ बदलने के लिए SchRpcCreateFolder का उपयोग करना

ऊपर दिए गए आंकड़े में संचालन का क्रम, PowerPool ऑपरेटरों को GoogleUpdate.exe निष्पादन योग्य फ़ाइल के लिए लिखने की अनुमति प्राप्त करने की अनुमति देता है। फिर वे इसे अधिलेखित कर देते हैं, उनके दूसरे चरण के मैलवेयर की एक प्रति के साथ प्रतिस्थापित करते हैं (हम नीचे का वर्णन करेंगे) प्रशासक अधिकार प्राप्त करने के लिए अगली बार जब updater कहा जाता है।

प्रारंभिक समझौता

पॉवरपूल टीम पहले शिकार से समझौता करने के लिए विभिन्न तरीकों का इस्तेमाल करती है। उनमें से एक अनुलग्नक में पहले चरण के मैलवेयर के साथ स्पैम मेलिंग है। निष्कर्ष निकालना जल्दबाजी होगी, लेकिन अभी तक हमने टेलीमेट्री डेटा में बहुत कम नमूने देखे हैं, इसलिए हम मानते हैं कि प्राप्तकर्ता सावधानी से चुने गए हैं और हम सामूहिक मेलिंग के बारे में बात नहीं कर रहे हैं।

दूसरी ओर, हम जानते हैं कि अतीत में पावरपूल पहले से ही स्पैम मेलिंग का अभ्यास करता था। मई 2018 में प्रकाशित एक एसएनएस ब्लॉग पोस्ट के अनुसार, उन्होंने मैलवेयर फैलाने के लिए सिम्बोलिक लिंक फ़ाइलों (.slk) के साथ एक योजना का उपयोग किया। Microsoft Excel इन फ़ाइलों को लोड कर सकता है जो सेल को अपडेट करते हैं और Excel को PowerShell कोड निष्पादित करने का कारण बनाते हैं। ऐसा प्रतीत होता है कि इन .slk फ़ाइलों को स्पैम संदेशों में भी वितरित किया जाता है। SANS पोस्ट (SHA-1: b2dc703d3af1d015f4d53b6dbb624f5ade5553) में उल्लिखित पहली फ़ाइल के आधार पर, आप VirusTotal (SHA-1: e0882e234cba94b5c5df2df05959) के लिए संबंधित स्पैम नमूना पा सकते हैं।


चित्रा 4. पावरपूल स्पैम

विंडोज बैकडोर

पावरपूल समूह आमतौर पर दो बैकडोर के साथ काम करता है: पहले चरण के पिछले दरवाजे का उपयोग प्रारंभिक समझौते के बाद किया जाता है, दूसरे चरण के पिछले दरवाजे को केवल ब्याज की मशीनों पर लागू किया जाता है।

पहला चरण पिछले दरवाजे

यह बुद्धि के लिए इस्तेमाल किया जाने वाला मूल मैलवेयर है। दो विंडोज निष्पादनयोग्य से मिलकर बनता है।

इनमें से पहला मुख्य बैकडोर है, जो सेवा के माध्यम से दृढ़ता प्रदान करता है। यह MyDemonMutex%d नामक एक म्यूटेक्स भी बनाता है, जहाँ %d 0 से 10 तक की सीमा में है। पिछले दरवाजे प्रॉक्सी जानकारी एकत्र करता है, C & C सर्वर का पता बाइनरी फ़ाइल में हार्डकोड होता है। मालवेयर कमांड को निष्पादित कर सकता है और सिस्टम में बेसिक इंटेलिजेंस कर सकता है, डेटा को C & C सर्वर में स्थानांतरित कर सकता है।


चित्रा 5. प्रॉक्सी जानकारी एकत्र करना

निष्पादन योग्य फ़ाइलों के दूसरे का एक उद्देश्य है। वह एक स्क्रीनशॉट लेता है और इसे MyScreen.jpg फ़ाइल में MyScreen.jpg , जिसे बाद में मुख्य बैकडोर द्वारा फ़िल्टर किया जा सकता है।

दूसरा चरण पिछले दरवाजे

मालवर को पहले चरण के दौरान लोड किया जाता है, संभवतः यदि मशीन ऑपरेटरों के लिए दिलचस्प लगती है। हालांकि, कार्यक्रम एक आधुनिक एआरटी पिछले दरवाजे की तरह नहीं है।

C और C सर्वर का पता बाइनरी प्रारूप में हार्ड-कोडित है, इस महत्वपूर्ण कॉन्फ़िगरेशन आइटम को अपडेट करने के लिए कोई तंत्र नहीं है। पिछले दरवाजे http://[C&C domain]/cmdpool और http://[C&C domain]/upload से अतिरिक्त फाइलें डाउनलोड करता है। अतिरिक्त फाइलें मुख्य रूप से क्षैतिज आंदोलन के लिए उपकरण हैं, जिनका उल्लेख नीचे किया गया है।

समर्थित कमांड:
- कमांड निष्पादित करें
- प्रक्रिया को पूरा करें
- फाइल भेजें
- डाउनलोड फ़ाइल
- फ़ोल्डर सामग्री देखें

कमांड JSON प्रारूप में भेजे जाते हैं। नीचे दिए गए उदाहरण कमांड निष्पादित करने और फ़ोल्डरों को सूचीबद्ध करने के लिए अनुरोध हैं:


चित्रा 6. पिछले दरवाजे के उदाहरण

क्षैतिज आंदोलन के लिए उपकरण

दूसरे चरण के पिछले दरवाजे का उपयोग करके सिस्टम को निरंतर पहुंच प्रदान करके, पावरपूल ऑपरेटर नेटवर्क पर क्षैतिज गति के लिए, मुख्य रूप से पावरशेल में लिखे गए कई ओपन-सोर्स टूल का उपयोग करते हैं।

- पॉवरडंप : मेटास्प्लोइट मॉड्यूल जो सिक्योरिटी अकाउंट मैनेजर से उपयोगकर्ता नाम और हैश प्राप्त कर सकता है।
- PowerSploit : PowerShell मॉड्यूल का संग्रह, एक ला मेटास्प्लोइट।
- SMBExec : SMB प्रोटोकॉल का उपयोग कर पास-हैश हमलों को निष्पादित करने के लिए एक PowerShell उपकरण।
- क्वार्क्स PwDump : एक विंडोज़ निष्पादन योग्य जो क्रेडेंशियल निकाल सकता है।
- फायरमास्टर : विंडोज एग्जीक्यूटेबल जो आउटलुक, वेब ब्राउजर आदि से सेव किए गए पासवर्ड को निकाल सकता है

निष्कर्ष

अद्यतनों की रिलीज़ से पहले कमजोरता का खुलासा उपयोगकर्ताओं को जोखिम में डालता है। इस मामले में, विंडोज के नवीनतम संस्करण से भी समझौता किया जा सकता है। CERT-CC समस्या के लिए एक समाधान प्रस्तुत करता है, जो हालाँकि, Microsoft द्वारा आधिकारिक तौर पर सहमति नहीं दी गई है।

पावरपूल हमला सीमित संख्या में उपयोगकर्ताओं को लक्षित करता है। हालांकि, घटना से पता चलता है कि हमलावर हमेशा अद्यतित होते हैं और जल्दी से नए कारनामों को लागू करते हैं।

ईएसईटी विशेषज्ञ नई भेद्यता के शोषण की निगरानी करना जारी रखते हैं। GitHub पर समझौता संकेतक भी उपलब्ध हैं।

संकेतक से समझौता करें

हैश

स्टेज वन बैकडोर (Win32 / Agent.SZS) 038f75dcf1e5277565c68d57fa1f4f7b3005f3f3
स्टेज वन बैकडोर (Win32 / Agent.TCH) 247b542af23ad9c63697428c7b77348681aadc9a
दूसरा चरण पिछले दरवाजे (Win32 / Agent.TIA) 0423672fe9201c325e33f296595fb70dcd81bcd9
दूसरा चरण पिछले दरवाजे (Win32 / Agent.TIA) b4ec4837d07ff64e34947296e73732171d1c1586
LPPC शोषण ALPC (Win64 / Exploit.Agent.H) 9dc173d4d4f74765b5fc1e1c9a2d188d5387beea

ESET का पता लगाना

- Win32 / Agent.SZS
- Win32 / Agent.TCH
- Win32 / Agent.TEL
- Win32 / Agent.THT
- Win32 / Agent.TDK
- Win32 / Agent.TIA
- Win32 / Agent.TID

C & C सर्वर

- समाचार संबंधी [।] नेट
- रोज़बिजनेस [।] यूआई
- एफ़िशोनलाइन [।] यूआई
- खेल-कलेक्टर [।] कॉम
- 27.102.106 [।] 149