न्यू टेलबॉट्स साइबर्ग ग्रुप बैकडोर: इंडोप्रॉयर और नॉटेपेटिया लिंक का पहला प्रमाण

NotPetya एनकोडर की महामारी के पीछे TeleBots साइबरबर्ग के नए पिछले दरवाजे के एक अध्ययन ने Industroyer मुख्य पिछले दरवाजे के साथ कोड की एक महत्वपूर्ण समानता का पता चला, जो उस रिश्ते की पुष्टि करता है जो पहले अफवाह थी।


हाल के वर्षों की सबसे बड़ी साइबर घटनाओं में यूक्रेनी ऊर्जा उद्यमों और नोटपेटिया एनकोडर की महामारी पर हमले हैं। एक पोस्ट में हम इन घटनाओं के बीच संबंधों की जांच करेंगे।

BlackEnergy मालवेयर पैकेज के कारण, दिसंबर 2015 में इतिहास में साइबर हमले के कारण पहला विशाल बिजली आउटेज हुआ। ईएसईटी विशेषज्ञों ने इस घटना से पहले और बाद में, दोनों के बाद, ब्लैकइन्र्जी का उपयोग करके एआरटी समूह की गतिविधि की निगरानी की । 2015 के ब्लैकआउट के बाद, समूह ने ब्लैकइन्र्जी के साथ सक्रिय रूप से सक्रिय कार्य को बंद कर दिया और जिसे हम अब टेलीबॉट्स कहते हैं, में विकसित हुए।

यहां यह ध्यान दिया जाना चाहिए कि जब एआरटी समूह के बारे में बात की जाती है, तो हमारा मतलब है सामान्य तकनीकी संकेतक: कोड समानता, सामान्य नेटवर्क (सी एंड सी) बुनियादी ढांचा, मैलवेयर निष्पादन श्रृंखला, आदि। एक नियम के रूप में, हम सीधे डेवलपर्स की जांच और पहचान में भाग नहीं लेते हैं या ऑपरेटरों। शब्द "एआरटी समूह" की स्पष्ट परिभाषा नहीं है और इसका उपयोग अक्सर मैलवेयर मापदंडों को चिह्नित करने के लिए किया जाता है। इन कारणों से, हम हमलों के स्रोत, हमलावरों की राष्ट्रीय या राज्य की पहचान के बारे में अनुमान लगाने से बचते हैं।

किसी भी मामले में, हमने ब्लैकएर्जी हमलों (यूक्रेनी ऊर्जा कंपनियों, साथ ही अन्य उद्योगों और उच्च रैंकिंग सुविधाओं के उद्देश्य से) और टेलबॉट्स ग्रुप अभियानों (मुख्य रूप से यूक्रेनी वित्तीय क्षेत्र के खिलाफ) के बीच एक संबंध पाया।

जून 2017 में, दुनिया भर की कंपनियों ने डिस्ककोडर.सी वाइपर (जिसे पेट्या / नोटपेटिया के नाम से जाना जाता है) - संक्रमण की विशाल प्रकृति, जाहिरा तौर पर, एक तरह का दुष्प्रभाव था। इस घटना का अध्ययन करते हुए, हमने पाया कि टेलबॉट्स समूह के पिछले दरवाजे से संक्रमित कंपनियां, यूक्रेनी कंपनियों में लोकप्रिय मेडोक लेखा सॉफ्टवेयर के समझौते के परिणामस्वरूप इस महामारी के "शून्य रोगी" बन गए।

सवाल यह है कि इस कहानी के साथ Industroyer को क्या करना है - एक जटिल दुर्भावनापूर्ण जटिल जो दिसंबर 2016 में कीव में ब्लैकआउट का कारण बना। ESET रिपोर्ट के प्रकाशन के तुरंत बाद, कुछ सूचना सुरक्षा कंपनियों और मीडिया ने सुझाव दिया कि Industroyer ने BlackEnergy / TeleBots समूह (जिसे कभी-कभी सैंडवॉर्म भी कहा जाता है) विकसित किया। हालांकि, कोई साक्ष्य आज तक प्रस्तुत नहीं किया गया है।

अप्रैल 2018 में, हमने टेलीबॉट्स समूह की एक नई गतिविधि दर्ज की - एक नया Win32 / एक्सरामेल पिछले दरवाजे को तैनात करने का प्रयास। हमारे विश्लेषण से पता चला कि यह पिछले दरवाजे Industroyer मुख्य पिछले दरवाजे का एक उन्नत संस्करण है - जो पहला प्रमाण था।

Win32 / Exaramel पिछले दरवाजे विश्लेषण

Win32 / Exaramel पिछले दरवाजे शुरू में एक ड्रॉपर का उपयोग कर स्थापित किया गया है। ड्रॉपर के मेटाडेटा के अनुसार, बैकडोर को एक विशेष समझौता किए गए कंप्यूटर पर तैनाती से ठीक पहले माइक्रोसॉफ्ट विजुअल स्टूडियो में संकलित किया गया था।


Win32 / Exaramel पिछले दरवाजे ड्रॉपर की चित्रा 1. पीई समय टिकट

निष्पादन के बाद, ड्रॉपर विंडोज सिस्टम निर्देशिका में Win32 / Exaramel बाइनरी को wsmproav है और विवरण "Windows चेक एवी" के साथ wsmproav नाम से विंडोज सेवा शुरू करता है। Windows सेवा का फ़ाइल नाम और विवरण ड्रॉपर में हार्डकोड किया गया है।


चित्रा 2. Win32 / Exaramel पिछले दरवाजे द्वारा बनाई गई विंडोज सेवा रजिस्ट्री सेटिंग्स

इसके अलावा, ड्रॉपर XML रजिस्ट्री में विंडोज रजिस्ट्री में पिछले दरवाजे के कॉन्फ़िगरेशन को लिखता है।


चित्रा 3. Win32 / Exaramel के XML कॉन्फ़िगरेशन

कॉन्फ़िगरेशन में कई ब्लॉक होते हैं:

- अंतराल - नींद समारोह के लिए उपयोग किए जाने वाले मिलीसेकंड में समय
- सर्वर - कमांड सर्वर की सूची (C & C)
- जांचें - यह निर्धारित करने के लिए एक वेबसाइट का उपयोग किया जाता है कि मेजबान की इंटरनेट एक्सेस है या नहीं
- प्रॉक्सी - होस्ट नेटवर्क में प्रॉक्सी सर्वर
- संग्रहण - पथ जिसका उपयोग एक्सफ़िल्टरेशन के लिए इच्छित फ़ाइलों को संग्रहीत करने के लिए किया जाता है

जैसा कि आप कॉन्फ़िगरेशन की पहली पंक्ति से देख सकते हैं, उपयोग किए गए एंटीवायरस उत्पादों के आधार पर हमलावर समूह लक्ष्य। Industroyer कॉम्प्लेक्स में एक समान दृष्टिकोण का उपयोग किया जाता है - विशेष रूप से, कुछ Industroyer बैकस्ट को भी एंटी-वायरस सेवा (नाम avtask.exe तहत तैनात) के रूप में प्रच्छन्न किया गया था और समूहीकरण के लिए उसी दृष्टिकोण का उपयोग किया था।

एक और दिलचस्प तथ्य यह है कि पिछले दरवाजे C & C सर्वर का उपयोग करता है जिनके डोमेन का नाम ESET से संबंधित डोमेन की नकल करता है। esetsmart[.]org अलावा, उपरोक्त कॉन्फ़िगरेशन से esetsmart[.]org , हमें एक समान डोमेन um10eset[.]net मिला um10eset[.]net , जिसका उपयोग हाल ही में खुले लिनक्स संस्करण टेलीबॉट्स मालवेयर द्वारा किया गया था। यह ध्यान रखना महत्वपूर्ण है कि ये हमलावर-नियंत्रित सर्वर वैध ईएसईटी नेटवर्क के बुनियादी ढांचे से संबंधित नहीं हैं। वर्तमान में, हमने यह नहीं पाया है कि Exaramel उन डोमेन का उपयोग करता है जो अन्य सूचना सुरक्षा कंपनियों के बुनियादी ढांचे की नकल करते हैं।

शुरू करने के बाद, पिछले दरवाजे C & C सर्वर के साथ एक संबंध स्थापित करता है और सिस्टम में निष्पादन के लिए कमांड प्राप्त करता है। नीचे उपलब्ध आदेशों की एक सूची है:

- प्रक्रिया शुरू करना
- एक विशिष्ट विंडोज उपयोगकर्ता से एक प्रक्रिया शुरू करना
- दिए गए रास्ते पर किसी फ़ाइल में डेटा लिखना
- फ़ाइल को संग्रहण उपनिर्देशिका में कॉपी करें (फ़ाइल डाउनलोड करें)
- एक शेल कमांड चलाएं
- एक विशिष्ट विंडोज उपयोगकर्ता से एक शेल कमांड चलाएं
MSScriptControl.ScriptControl.1 का उपयोग करके VBS कोड चलाएँ MSScriptControl.ScriptControl.1

कमांड चक्र कोड और Win32 / Exaramel में पहले छह आदेशों का कार्यान्वयन Industroyer सॉफ्टवेयर पैकेज से पिछले दरवाजे के समान है।


चित्रा 4. विघटित Win32 / Exaramel पिछले दरवाजे कोड की तुलना (बाएं) और Win32 / Industroyer (दाएं)

दोनों मैलवेयर परिवार निष्पादित शेल कमांड और रनिंग प्रक्रियाओं के आउटपुट को स्टोर करने के लिए एक रिपोर्ट फ़ाइल का उपयोग करते हैं। Win32 / Industroyer पिछले दरवाजे के मामले में, रिपोर्ट फ़ाइल को एक यादृच्छिक फ़ोल्डर में यादृच्छिक नाम से संग्रहीत किया जाता है; Win32 / Exaramel में, रिपोर्ट फ़ाइल को report.txt कहा जाता है, और रिपॉजिटरी के लिए इसका पथ बैकग्राउंड कॉन्फ़िगरेशन फ़ाइल में निर्दिष्ट किया जाता है।

मानक आउटपुट (stdout) और मानक त्रुटि (stderr) को रिपोर्ट फ़ाइल पर पुनर्निर्देशित करने के लिए, दोनों बैकडोर hStdOutput और hStdError पैरामीटर को रिपोर्ट फ़ाइल विवरणक पर सेट करते हैं। यह इन मैलवेयर परिवारों के बीच एक और समानता है।


चित्रा 5. विघटित Win32 / Exaramel और Win32 / Industroyer पिछले दरवाजे कोड की तुलना, क्रमशः

यदि मैलवेयर ऑपरेटर पीड़ित के कंप्यूटर से फ़ाइलों को बाहर निकालना चाहते हैं, तो उन्हें कॉन्फ़िगरेशन में निर्दिष्ट data संग्रहण पथ के उपनिर्देशिका में इन फ़ाइलों को कॉपी करने की आवश्यकता है। सी और सी सर्वर के साथ एक नया कनेक्शन स्थापित करने से पहले, पिछले दरवाजे स्वचालित रूप से इन फ़ाइलों को भेजने से पहले उन्हें संपीड़ित और एन्क्रिप्ट करेगा।

Industroyer पिछले दरवाजे और नए TeleBots पिछले दरवाजे के बीच मुख्य अंतर यह है कि उत्तरार्द्ध कस्टम बाइनरी प्रारूप के बजाय संचार और कॉन्फ़िगरेशन के लिए XML प्रारूप का उपयोग करता है।

दुर्भावनापूर्ण पासवर्ड चोरी उपकरण

Exaramel के साथ मिलकर, TeleBots समूह कुछ पुराने टूल का उपयोग करता है, जिसमें एक पासवर्ड चोरी उपकरण (आंतरिक नाम CredRaptor या PAI) और थोड़ा संशोधित Mimikatz शामिल है।

2016 से केवल इस समूह द्वारा उपयोग किया जाने वाला उन्नत पासवर्ड-चोरी करने का उपकरण क्रेड्राप्टर को अंतिम रूप दिया गया है। पिछले संस्करणों के विपरीत, यह न केवल ब्राउज़रों से, बल्कि आउटलुक और कई एफ़टीपी ग्राहकों से भी सहेजे गए पासवर्ड एकत्र करता है। नीचे समर्थित अनुप्रयोगों की एक सूची है:

- बिटकॉइन एफ़टीपी
- बुलेटप्रोफ़ एफ़टीपी क्लाइंट
- क्लासिक एफ़टीपी
- कॉफीकूप
- कोर एफ़टीपी
- क्राइबर वेबसाइटप्रोफेसर
- क्यूटफटीपी
- एफएआर मैनेजर
- फाइलजिला
- फ्लैशएफएक्सपी
- फ्रिगेट 3
- एफ़टीपी कमांडर
- एफ़टीपी एक्सप्लोरर
- एफ़टीपी नेविगेटर
- गूगल क्रोम
- इंटरनेट एक्सप्लोरर 7 - 11
- मोज़िला फ़ायरफ़ॉक्स
- ओपेरा
- आउटलुक 2010, 2013, 2016
- स्मार्टएफटीपी
- सॉफ्टएक्स एफ़टीपी क्लाइंट
- कुल कमांडर
- टर्बोफेट
- विंडोज वॉल्ट
- WinSCP
- WS_FTP क्लाइंट

सुधार हमलावरों को वेबसाइटों के वेबमास्टर खातों और आंतरिक बुनियादी ढांचे में सर्वर से डेटा एकत्र करने की अनुमति देता है। ऐसे सर्वरों तक पहुंच होने पर, आप अतिरिक्त बैकस्ट स्थापित कर सकते हैं। अक्सर, इन सर्वरों में विंडोज स्थापित होने के अलावा एक ओएस होता है, इसलिए हमलावरों को बैकडोर को अनुकूलित करना पड़ता है।

घटना की प्रतिक्रिया के दौरान, हमने TeleBots - Linux / Exaramel.A के लिनक्स पिछले दरवाजे की खोज की।

Linux / Exaramel पिछले दरवाजे विश्लेषण

पिछले दरवाजे को गो प्रोग्रामिंग भाषा में लिखा गया है और 64-बिट ईएलएफ बाइनरी के रूप में संकलित किया गया है। हमलावर किसी भी नाम के तहत चयनित निर्देशिका में एक पिछले दरवाजे को तैनात कर सकते हैं।

अगर पिछले दरवाजे को कमांड लाइन तर्क के रूप में स्ट्रिंगर 'कोई नहीं' के साथ हमलावरों द्वारा निष्पादित किया जाता है, तो यह रिबूट के बाद स्वचालित रूप से शुरू करने के लिए दृढ़ता तंत्र का उपयोग करने की कोशिश करता है। यदि बैकडोर रूट खाते के अंतर्गत नहीं चल रहा है, तो यह crontab फ़ाइल का उपयोग करता है। हालाँकि, यदि इसे रूट के रूप में चलाया जाता है, तो यह विभिन्न लिनक्स init सिस्टम को सपोर्ट करता है। यह निर्धारित करता है कि वर्तमान में कमांड निष्पादित करके कौन सा init सिस्टम उपयोग में है:

strings /sbin/init | awk 'match($0, /(upstart|systemd|sysvinit)/){ print substr($0, RSTART, RLENGTH);exit; }'

परिणाम के आधार पर, पिछले दरवाजे का उपयोग निरंतरता सुनिश्चित करने के लिए निम्न हार्ड-कोडेड स्थानों का उपयोग करता है (बाद में इनिट सिस्टम और इसके स्थान के रूप में संदर्भित):

sysvinit - /etc/init.d/syslogd
upstart - /etc/init/syslogd.conf
systemd - /etc/systemd/system/syslogd.service

स्टार्टअप के दौरान, पिछले दरवाजे विन्यास फाइल को खोलने की कोशिश करता है, जो कि config.json नाम के तहत पिछले दरवाजे के समान निर्देशिका में संग्रहीत होती है। यदि कॉन्फ़िगरेशन फ़ाइल मौजूद नहीं है, तो एक नई फ़ाइल बनाई जाती है। कॉन्फ़िगरेशन s0m3t3rr0r कुंजी और RC4 एल्गोरिथ्म का उपयोग करके एन्क्रिप्ट किया गया है।


चित्र 6. डिक्रिप्टेड लिनक्स / एक्सामरेल बैकडोर जेएसएन कॉन्फ़िगरेशन

पिछले दरवाजे हार्ड-कोडेड C & C (डिफ़ॉल्ट रूप से, 176.31.225 [।] 204 जो हमने देखा नमूना में) या Hosts रूप में कॉन्फ़िगरेशन फ़ाइल में निर्दिष्ट C & C सर्वर से कनेक्ट होता है। संचार HTTPS के माध्यम से होते हैं। पिछले दरवाजे निम्नलिखित आदेशों का समर्थन करता है:

App.Update - नए संस्करण में अपडेट करें
App.Delete - स्व-प्रणाली से हटाने
App.SetProxy - कॉन्फ़िगरेशन में प्रॉक्सी सर्वर सेटिंग्स सेट करें
App.SetServer - कॉन्फ़िगरेशन में C & C सर्वर को अपडेट करना
App.SetTimeout - टाइमआउट मान सेट करना (C & C सर्वर से कनेक्शन के बीच अंतराल)
IO.WriteFile - एक रिमोट सर्वर से फाइल डाउनलोड करना
IO.ReadFile - स्थानीय डिस्क से C & C सर्वर पर फ़ाइल अपलोड करना
OS.ShellExecute - एक शेल कमांड निष्पादित करें

निष्कर्ष

Exaramel के उद्घाटन से पता चलता है कि TeleBots समूह 2018 में सक्रिय है, और हमलावर रणनीति और उपकरणों में सुधार करना जारी रखते हैं।

Win32 / Exaramel कोड और Industroyer मुख्य पिछले दरवाजे के बीच महत्वपूर्ण समानताएं पहले सार्वजनिक रूप से प्रस्तुत किए गए सबूत हैं जो Industroyer को TeleBots समूह से जोड़ते हैं और इसलिए, NotPetya और BlackEnergy cyccampaigns को। साइबरबैट के स्रोतों के बीच एक लिंक स्थापित करते समय, यह त्रुटि या जानबूझकर धोखे की संभावना पर विचार करने के लायक है, लेकिन इस मामले में हम इस पर विचार नहीं करते हैं।

यह ध्यान देने योग्य है कि Ex32el पिछले दरवाजे के Win32 और लिनक्स संस्करणों को एक ऐसे संगठन में खोजा गया था जो उद्योग से संबंधित नहीं है। ईएसईटी विशेषज्ञों ने यूक्रेन के खोजी अधिकारियों को खोज की सूचना दी, इसलिए हमले को समय पर स्थानीय किया गया और रोका गया।

ईएसईटी इस साइबर समूह की गतिविधि पर नजर रखता है।

समझौता संकेतक (IoCs)

ESET का पता लगाना

Win32/Exaramel trojan
Win32/Agent.TCD trojan
Linux/Agent.EJ trojan
Linux/Exaramel.A trojan
Win32/PSW.Agent.OEP trojan
Win32/RiskWare.Mimikatz.Z application
Win64/Riskware.Mimikatz.AI application

SHA-1 हैश

पिछले दरवाजे Win32 / Exaramel Cybergroup TeleBots
65BC0FF4D4F2E20507874F59127A899C26294BC7
3120C94285D3F86A953685C189BADE7CB575091D

पासवर्ड चोरी उपकरण
F4C4123849FDA08D1268D45974C42DEB2AAE3377
970E8ACC97CE5A8140EE5F6304A1E7CB56FA3FB8
DDDF96F25B12143C7292899F9D5F42BB1D27CB20
64319D93B69145398F9866DA6DF55C00ED2F593E
1CF8277EE8BF255BB097D53B338FC18EF0CD0B42
488111E3EB62AF237C68479730B62DD3F52F8614

Mimikatz
458A6917300526CC73E510389770CFF6F51D53FC
CB8912227505EF8B8ECCF870656ED7B8CA1EB475

Linux / Exaramel
F74EA45AD360C8EF8DB13F8E975A5E0D42E58732

सी और सी सर्वर

um10eset[.]net (IP: 176.31.225.204)
esetsmart[.]org (IP: 5.133.8.46)