DEFCON सम्मेलन 17. अपने वायरस पर हँसो! भाग 1

माइकल: मैं सभी का स्वागत करता हूं, मैं माइकल लाइ हूं, यह मैथ्यू रिचर्ड है, आप उसे मैट या रिचर्ड कह सकते हैं, क्योंकि उसके दो नाम हैं, लेकिन इससे कोई फर्क नहीं पड़ता।

मैट: हमारी बातचीत का विषय आज मालवेयर का उपहास है, और ठीक यही हम करना चाह रहे हैं।



इसलिए, हर कोई जो कोड लिखता है वह इसे अच्छी तरह से नहीं करता है, लोग बहुत सारी गलतियां करते हैं। और हर कोई जो वायरस का उपयोग करता है वह सही नहीं करता है। ऐसे लोग भी हैं जो इन दोनों मामलों में विफल होते हैं। इसलिए अधिक आराम से बैठें, आराम करें और सुनें, शायद यह जानकारी आपके लिए उपयोगी होगी।

बस मामले में, हमने प्रस्तुति में तथ्यात्मक तकनीकी सामग्री को शामिल किया ताकि आप कम से कम कुछ सीखें अगर बातचीत आपको मज़ेदार न लगे। मैं ध्यान देता हूं कि यह सिर्फ हमारी राय है, जो शायद हमारे नियोक्ताओं की राय से मेल नहीं खाती।

माइकल: पहली कहानी "हनी, मैंने एन्ट्रापी कम कर दी है!" वह इस बारे में बात करती है कि एक बहुत ही जटिल एन्क्रिप्शन एल्गोरिथ्म साइलेंट बैंकर का लेखक PRNG का उपयोग करके एन्ट्रापी बनाना कैसे भूल गया - एक छद्म यादृच्छिक संख्या जनरेटर। स्लाइड पर, आपको एक सितंबर 2007 ज़ीउस कोड स्निपेट दिखाई देता है जिसमें हैश-आधारित पहचान को रोकने के लिए PRNG का उपयोग किया जाता है। जनरेशन में ddTickCount नामक इस वैश्विक वैरिएबल को शुरू करने में शामिल हैं: पहला, यह इसे EAX रजिस्टर में रखता है, जहाँ से पहली बार फंक्शन को बुलाया जाता है। फिर यह जाँच की जाती है कि फ़ंक्शन का मान शून्य के बराबर है या नहीं और यदि नहीं है, तो गेटकाउंट कमांड का उपयोग करते हुए, TICKCount को SEED उत्पन्न करने के लिए कहा जाता है, अर्थात एक छद्म यादृच्छिक संख्या आरंभ करने के लिए।



हमें आश्चर्य नहीं हुआ जब हमने फरवरी 2008 से साइलेंट बैंकर बाइनरी फ़ाइल में इस कोड के साथ समानताएं देखीं। यह अस्थायी फ़ाइल नाम उत्पन्न करने के लिए PRNG का उपयोग करता है। यहां भी, एक ही वैश्विक चर ddTickCount है, जो यह जांचता है कि क्या कोई शून्य है, और यदि यह है, तो GetTickCount का उपयोग करके एक छद्म यादृच्छिक संख्या शुरू की जाती है। सबसे पहले, मैंने msvsrt रैंड को देखा, माइक्रोसॉफ्ट सी रनटाइम विंडोज लाइब्रेरी के रैंड () फ़ंक्शन द्वारा उपयोग किए गए छद्म यादृच्छिक संख्या जनरेटर, मैंने सोचा कि ज़ीउस लेखक और साइलेंट बैंकर लेखक के बीच एक संबंध था, बस एचईएक्स नंबरों के आधार पर जो एक बाइनरी फ़ाइल में हार्ड-कोडित थे। । लेकिन वास्तव में, वे दोनों केवल सांख्यिकीय रूप से msvsrt से जुड़े थे।

अब हम आपदा के लिए नुस्खा प्राप्त करते हैं। यह फरवरी 2008 के कुछ महीनों बाद जारी जुलाई 2008 के साइलेंट बैंकर संस्करण से कोड का एक स्निपेट है।



उन्होंने अपने कोड को अपडेट किया और साइलेंट बैंकर का एक नया संस्करण पोस्ट किया, जो कि हमने पहले जो देखा उससे काफी अलग था। इस कार्यक्रम में, एन्क्रिप्शन कुंजी उत्पन्न करने के लिए PRNG का उपयोग किया जाता है। यहाँ अब आप यह नहीं देखते हैं कि CurrentSeed नामक एक वैश्विक चर शून्य की समानता के लिए जाँच की जाती है और इसके आधार पर एक छद्म यादृच्छिक संख्या उत्पन्न होती है, यह बस इस कोड में उपयोग किया जाता है।



यह संभव है कि कहीं बाइनरी फ़ाइल में, इस जगह से पहले भी, इस वैश्विक चर का मान किसी प्रकार की संख्या के रूप में उत्पन्न होता है। इसलिए मैं इस कोड को अलग करने के लिए आगे बढ़ता हूं और देखता हूं कि क्या इस रैंड () फ़ंक्शन में उपयोग किए जाने से पहले करंटसाइड वैल्यू का उपयोग प्रोग्राम में कहीं और किया जाता है। आप देखते हैं कि शुरू में dd खरोंच से शुरू होता है, और हम इस चर के क्रॉस-रेफरेंस की जांच करेंगे।



स्तंभ T में, मान w का अर्थ है कि पूरी बाइनरी फ़ाइल में इस वैश्विक चर के लिए केवल एक ही वैध संचालन है - यह रैंड फ़ंक्शन है। मैं इन चीजों पर तेजी से आगे बढ़ूंगा क्योंकि पिछले साल डेफकॉन में उनका उल्लेख किया गया था। "रेसिपी फॉर डिजास्टर" स्लाइड पर, लाइन सीड PRNG, या "एक छद्म रैंडम नंबर जेनरेटर की शुरूआत", यह दिखाने के लिए ग्रे में दिखाया गया है कि साइलेंट बैंकर के लेखक ने यह दीक्षा नहीं की थी।



अगला कदम यह है कि वे 16 बाइट कुंजी उत्पन्न करते हैं, जिससे MyRand () फ़ंक्शन के लिए 1000 सिस्टम कॉल होते हैं। फिर, 16-बाइट कुंजी से, वे एक 8-बाइट संख्या उत्पन्न करते हैं - कुंजी, एक विशिष्ट सूत्र का उपयोग करते हुए।

उसके बाद, वे पहले 8-बाइट संख्या से द्वितीयक कुंजी बनाने के लिए एक और 8-बाइट संख्या उत्पन्न करते हैं, INI कॉन्फ़िगरेशन फ़ाइल से इसमें एक मनमाना मूल्य जोड़ते हैं और एक तृतीयक कुंजी प्राप्त करते हैं, जो 8-बाइट संख्या भी है। अंत में, वे 8 बाइट कुंजी को 32 बाइट में बदलने के लिए एक मनमाने ढंग से सटीक गणितीय फ़ंक्शन का उपयोग करते हैं।

उसके बाद, वे चोरी किए गए डेटा को एन्क्रिप्ट करते हैं जैसे कि उपयोगकर्ता का पासवर्ड मूल 16-बाइट कुंजी का उपयोग करके। लेकिन वे चोरी किए गए डेटा के साथ इस "16" बाइट नंबर को "अपने" हमलावर को पास नहीं करते हैं, क्योंकि एन्क्रिप्टेड संदेश के साथ कुंजी भेजना एक अच्छा विचार नहीं है। इसके बजाय, साइलेंट बैंकर का लेखक चुराए गए डेटा के अंदर एक 32-बाइट नंबर रखता है और इसे प्राप्तकर्ता को भेजता है, जिसके पास एक प्रोग्राम होना चाहिए जो उस नंबर को 16-बाइट मूल कुंजी में परिवर्तित करता है। हालाँकि, हमारे पास यह कार्यक्रम नहीं है!

अगली स्लाइड में 1 नंबर के साथ इस आपदा का उपयोग करने के लिए एक नुस्खा दिखाया गया है - PRNG जनरेटर की कमी - आपके लाभ के लिए।



शुरू करने के लिए, हम PRNG के मूल्य को शून्य के बराबर करते हैं। हम डीबगर के लिए पायथन स्क्रिप्ट का उपयोग करके अगले चार चरणों को स्वचालित कर सकते हैं, क्योंकि हमारे पास एक सूत्र है जो 16 बाइट कुंजी, 8 बाइट कुंजी, अगली 8 बाइट कुंजी और 32 बाइट कुंजी की गणना करता है। यह सूत्र C कोड में नहीं है, लेकिन हमारे पास है क्योंकि हमारे पास साइलेंट बैंकर बाइनरी फ़ाइल की एक प्रति है जिसमें यह मौजूद है।

मैं आपको एक डेमो दिखाऊंगा कि यह पायथन स्क्रिप्ट कैसे काम करती है। हमारे पास एक अच्छा परिदृश्य है: यहां मेरे पास साइलेंट बैंकर और एक स्वतंत्र डिबगर है जिससे मैं जुड़ा हुआ हूं, साथ ही साथ इंटरनेट एक्सप्लोरर, जिसमें साइलेंट बैंकर चल रहा है। मैंने चार विशेषताएं बताई हैं जो एन्क्रिप्शन कुंजी उत्पन्न करती हैं। मैं पिछली स्लाइड में दिखाई गई इस पायथन स्क्रिप्ट को शामिल करता हूं, जिसे मैंने बैंग कीजन कमांड के साथ आमंत्रित किया है। आप देख सकते हैं कि डिबगर बस इन कुछ कार्यों को "खो देता है" जो मैं इस डेमो के लिए 5 बार करना चाहता हूं। लेकिन वास्तविक जीवन में, हमने चाबियों का एक बड़ा सेट पाने के लिए 5,000 बार इस क्रिया को किया।

लॉग पैनल पर, आप देख सकते हैं कि लूप के प्रत्येक पुनरावृत्ति के लिए, एक प्राथमिक 16-बाइट कुंजी आउटपुट है, जो तब 32-बाइट कुंजी के साथ जुड़ा हुआ है। उसी समय जब स्क्रिप्ट लॉग में जानकारी प्रिंट करता है, डिस्क पर एक टेक्स्ट फ़ाइल भी बनाई जाती है, जिसमें 16 और 32 बाइट संबंधित कुंजियों के जोड़े शामिल होते हैं। यह सिर्फ एक हेक्साडेसिमल HEX फाइल है, इसलिए हम इस फाइल को प्रोसेस करने के लिए अपनी पायथन स्क्रिप्ट का उपयोग कर सकते हैं, हमारे पास एक लॉग डायरेक्टरी भी है जिसे हमने चोरी हुए कमांड-एंड-कंट्रोल नोड से बरामद किया है।



शीर्ष पर आप एन्क्रिप्टेड निजी कुंजी के कई प्रमाण पत्र देखते हैं, और उनके नीचे कई पाठ फाइलें होती हैं जिनमें एन्क्रिप्टेड डेटा होता है। हम केवल इस 32-बाइट कुंजी और इसके साथ जुड़ी 16-बाइट मूल कुंजी को निकालकर प्रोग्राम को चला सकते हैं और इन पाठ फ़ाइलों के अंदर खोज कर सकते हैं।

जैसे ही कार्यक्रम 16-बाइट कुंजी पाता है, यह उसमें निहित जानकारी को डिक्रिप्ट करता है और इसे पाठ फ़ाइल के रूप में प्रस्तुत करता है। आप इस फ़ाइल को स्क्रीन पर देखते हैं, और इसे पढ़ना असंभव है।



लेकिन फिर हमारे पास पठनीय .tmp अस्थायी फ़ाइलों का एक समूह है, जहाँ से हम यह जानकारी प्राप्त कर सकते हैं और इसे "सही" स्वामियों को वापस कर सकते हैं। इसलिए जानकारी की रक्षा के लिए सभी कड़ी मेहनत व्यर्थ में साइलेंट बैंकर द्वारा की गई थी क्योंकि वे एक छद्म यादृच्छिक-जनरेटर जनरेटर शुरू करना भूल गए थे।



अब मैं ऊपर का सबसे अच्छा हिस्सा दिखाऊंगा - यह साइलेंट बैंकर फ़ंक्शन है, जिसे मैंने Why_Not_Use_This (इसका उपयोग क्यों नहीं किया?) कहा है।



वास्तव में, अपने स्वयं के कार्यक्रम के अंदर, उनके पास एन्ट्रापी पैदा करने के लिए GetCursorPos फ़ंक्शन (कर्सर स्थिति निर्धारित करें) है, जिसका उपयोग PRNG आरंभ करने के लिए किया जा सकता है, और हम प्रोग्राम के अंदर इस फ़ंक्शन के क्रॉस-रेफ़रेंस की जांच कर सकते हैं।



हम देखते हैं कि कोड में 10-15 अन्य स्थानों पर इसका उपयोग किया जाता है। इस प्रकार, यह पता चला है कि साइलेंट बैंकर के लेखक प्रोग्राम में एक छद्म यादृच्छिक संख्या जनरेटर डालना नहीं भूले, वे बस कॉल ऑपरेटर का उपयोग करके एन्क्रिप्शन फ़ंक्शन में इस फ़ंक्शन को चलाना भूल गए।



अगली स्लाइड को "यह कहा जाता है कि फिसल गया ..." और यह दिखाता है कि अगर लेखक कुछ भी नहीं भूल गया था तो यह कार्यक्रम कैसे काम करेगा।



अगली कहानी, "DES या DES DES नहीं", एक मैलवेयर लेखक के बारे में है, जो यह भी नहीं जानता है कि Windows प्रोग्रामिंग इंटरफ़ेस का ठीक से उपयोग कैसे किया जाता है या यह नहीं जानता कि अधिकतम DES मुख्य आकार क्या है। नतीजतन, इस कुंजी के अमान्य आकार के कारण, इसके ट्रोजन का उपयोग तार्किक ऑपरेटर xor के साथ डिफ़ॉल्ट रूप से किया जाता है।

इसलिए, CryptDeriveKey प्रोग्राम इंटरफ़ेस फ़ंक्शन के लिए, dwFlags पैरामीटर के दो निम्न बाइट्स, झंडे जो सेट करते हैं कि परिणामी URL कैसा दिखेगा, आपकी एन्क्रिप्शन कुंजी का आकार निर्धारित करता है।



इसलिए, यदि कम बाइट्स 0080 हैं, तो हमारे द्वारा अनुरोध की जाने वाली एन्क्रिप्शन कुंजी 128-बिट RC4 कुंजी होगी। यह पैर में खुद को गोली मारने के समान है, और मैं आपको दिखाऊंगा कि क्यों।



स्लाइड पर, आप 128-बिट dwFlags कुंजी के गलत आकार - 800000 और गलत MSCryptoAPI मान के साथ एक पंक्ति देखते हैं। मैं तुम्हें इस बात का अनादर दिखाऊंगा। आप एक फ़ंक्शन को "एन्क्रिप्शन सबसिस्टम को इनिशियलाइज़ करना" कहते हैं: ट्रोजन एन्क्रिप्टेड संदर्भ को कॉल करता है और फिर MD5 हैश के लिए एक कंटेनर बनाता है, फिर बाइनरी फ़ाइल में हार्ड-कोडित पासवर्ड का एमडी 5 हैश बनाता है और 128-बिट डेस कुंजी बनाने के लिए इस हैश फ़ंक्शन के आउटपुट का उपयोग करने की कोशिश करता है। हालांकि, इस मामले में कोई कुंजी नहीं बनाई गई है, क्योंकि 128-बिट डेस कुंजी जैसी कोई चीज नहीं है।



यदि इनमें से कोई भी API फ़ंक्शन विफल हो जाता है, तो यह इस स्थान पर कूदता है, जिसे मैंने पीले रंग में चिह्नित किया है, और एक संदेश प्रदर्शित करता है जिसे कुंजी प्राप्त नहीं की जा सकती है। और यह स्थान यहीं है, जहां यह मूल्य को स्थानांतरित करता है जो कि ईबीपी में है और उस समय 0 है, अर्थात्, इस बूलियन मान bUseMSCryptoAPI में सही है।

आइए देखें कि कार्यक्रम के निष्पादन के दौरान यह क्या प्रभाव डालता है। हम कोड संरचना के इस तत्व का पालन करेंगे यह देखने के लिए कि कार्यक्रम में इसका उपयोग कहां किया जाता है और यह ट्रोजन प्रदर्शन कितना भिन्न होता है जब फ़ंक्शन सही होता है और जब घाव झूठा होता है।



हम देखते हैं कि उस फ़ंक्शन में तार्किक मान की जाँच की जाती है जिसे मैंने एन्क्रिप्ट डेटा कहा जाता है, "डेटा एन्क्रिप्शन", और अगर यह सच है, तो यह इस ब्लॉक पर आता है, जहाँ DES एन्क्रिप्शन और CryptEncrypt MSAPI का उपयोग किया जाता है।



हालाँकि, यदि यह मान 0 है, और जैसा कि हम जानते हैं, यह हमेशा शून्य होगा, फ़ंक्शन इस ब्लॉक में जाता है, जो डिफ़ॉल्ट रूप से xor है।



मैं इस बात को लेकर उत्सुक था कि किस समय दुर्भावनापूर्ण कार्यक्रम के लेखक ने इस सब का बैकअप लेने का फैसला किया। शायद लोग उसे ऊपर से धक्का दे रहे थे, इसलिए उसे मैलवेयर से छुटकारा पाने के लिए मजबूर किया गया था, लेकिन आखिरी मिनट में उसने महसूस किया कि उसका डेस काम नहीं करता था, इसलिए उसने बैकअप रिकॉर्डिंग के लिए xor का इस्तेमाल किया। सब सब में, यह बहुत मजेदार था, इसलिए इस कहानी का नैतिक हमेशा बैकअप बनाने के लिए है!

निम्नलिखित कहानी कहा जाता है "आपने क्या किया है?" मैंने एक शब्द के साथ आने की कोशिश की जो बताता है कि कोरफ्लड ट्रोजन का एन्क्रिप्शन कैसे काम करता है, और इसे "स्थान-निर्भर एन्क्रिप्शन" कहने का फैसला किया। संक्षेप में, इस ट्रोजन के लेखकों ने एक नई एन्क्रिप्शन विधि का आविष्कार किया। मैंने सोचा, हो सकता है कि किसी ने पहले ही इस बारे में एक लेख लिखा हो और इसे "google" होना चाहिए? Google ने मुझे एक अमेरिकी पेटेंट साइट का लिंक दिया जहां किसी ने "स्थान-निर्भर एन्क्रिप्शन" के लिए पेटेंट दर्ज किया। यह योजना काफी भ्रामक है, इसलिए इसका अध्ययन करने में बहुत समय लगेगा। यहां बताया गया है कि यह कैसे काम करता है: मैं आपको एक एन्क्रिप्टेड संदेश भेज रहा हूं, और इसे डिक्रिप्ट करने और इसे पढ़ने के लिए, आपको जीपीएस डिवाइस लेने और मेरे द्वारा इंगित अक्षांश और देशांतर के साथ एक बिंदु पर जाने की आवश्यकता है। आमतौर पर, एन्क्रिप्शन सुरक्षा और प्रयोज्य के बीच एक समझौता है, लेकिन इस पद्धति में न तो कोई है और न ही दूसरा है।



यह निश्चित रूप से सुरक्षित नहीं है और इसके लिए आवश्यक है कि आप उस संदेश को पढ़ने के लिए भेजे जाने वाले बिंदु पर जाएं। मैट ने मजाक में कहा कि यदि आप ई-मेल के माध्यम से ऑनलाइन लड़ाई कर रहे हैं और वास्तव में किसी से छुटकारा पाना चाहते हैं, तो उसे एक एन्क्रिप्टेड संदेश भेजें कि वह इराक में कहीं पढ़ सकता है, और आपको अब उसके साथ कोई समस्या नहीं होगी।

कोरफ़्लड ट्रोजन में इस पद्धति का उपयोग कैसे किया जाता है? स्लाइड एक कोड टुकड़ा दिखाती है, जिसमें से यह है कि ट्रोजन उपयोगकर्ता जानकारी चोरी हो जाने के बाद, इसे एन्क्रिप्ट करता है और इसे डिस्क पर लिखता है ताकि ट्रोजन बाद में यह जानकारी प्राप्त कर सके और अपनी वेबसाइट पर कमांड-एंड-कंट्रोल अपलोड कर सके।

इस फ़ंक्शन को SetFilePointer (फ़ाइल पॉइंटर सेट करें) कहा जाता है, और इसका रिटर्न मान dWord है, यह इंगित करने के लिए कि जिस फ़ाइल को पॉइंटर को सेट किया गया था, उसे ऑफसेट किया गया था। अगला, फ़ंक्शन nNumberOfBitesToWrite को एन्क्रिप्ट करने के लिए बाइट्स की संख्या लेता है और इसे ecx रजिस्टर में ले जाता है। वह फिर एन्क्रिप्शन के लिए डेटा पॉइंटर लेता है और इसे edx रजिस्टर में ले जाता है।



उसके बाद, xor ऑपरेटर का उपयोग किया जाता है, जो प्रत्येक बाइट को अल और आह बफर में रखता है, जिसका अर्थ है कि SetFilePointer से लौटे निम्न और उच्च स्तर के बाइट्स। इस प्रकार, इस योजना में एन्क्रिप्शन कुंजी उस फ़ाइल में ऑफसेट है जिसमें डेटा मौजूद है। यह सिर्फ आश्चर्यजनक है!

अगली स्लाइड को "कोर डंप रीसेट कैसे करें" कहा जाता है। इसमें डंपकोर कार्यक्रम को दर्शाया गया है जो मैंने अभी लिखा था, जो अभी-अभी सामने आया है। आप इसे डाउनलोड कर सकते हैं, वहाँ सभी स्रोत कोड है। यह प्रोग्राम आपकी मदद करेगा यदि कंप्यूटर Coreflood वायरस से संक्रमित है, जो किसी कारण से चोरी हुए डेटा को डाउनलोड करने के लिए कमांड-एंड-कंट्रोल सर्वर को नहीं मिल सका। तो आप इन फ़ाइलों को प्राप्त कर सकते हैं जो उन्होंने डिस्क पर सहेजे हैं और मेरे प्रोग्राम का उपयोग करके उन्हें डिक्रिप्ट करते हैं, यह जानने के लिए कि आपसे क्या चुराया गया था, उदाहरण के लिए, यदि आपको इसके बारे में क्लाइंट को सूचित करना है।

चुराए गए डेटा के लॉग स्लाइड में लाल रंग में परिक्रमा करते हैं।



कोरफ्लड में अभी भी क्या दिलचस्प है: हालांकि इसमें एक कमजोर एन्क्रिप्शन एल्गोरिथ्म है, फिर भी यह पीड़ित के कंप्यूटर कॉन्फ़िगरेशन, बैंकों और क्रेडिट यूनियनों से सभी लक्ष्य जानकारी, और इसी तरह सभी चोरी की जानकारी को स्थानांतरित करने की कोशिश करता है। तो एक कोर डंप को हटाने का एक और तरीका कहा जाता है "Wireshark का उपयोग करके एक कोर डंप को कैसे निकालना है।" Wireshark एक प्रोग्राम है जो ईथरनेट नेटवर्क ट्रैफ़िक, या टीसीपी डेटा प्रवाह का विश्लेषण करता है।



निम्नलिखित स्लाइड दिखाती है कि कोरफ्लड कैसे काम करता है। ये dll हैं जो एक्सप्लोरर और इंटरनेट एक्सप्लोरर में दर्ज किए गए हैं। वे रजिस्ट्री को संशोधित करते हैं, आवेदन की पुनः आरंभ की आवश्यकता होती है, लेकिन सिस्टम रिबूट की आवश्यकता नहीं होती है। इन dlls को एक प्रक्रिया में इंजेक्ट करने के विभिन्न तरीके हैं।



हैकर्स के लिए महत्वपूर्ण है जो वायरस पर आक्रमण नहीं करना चाहते हैं, यह है कि वायरस उपयोगकर्ता के कंप्यूटर में कैसे प्रवेश करता है: क्या मालवेयर के प्रभाव के लिए सिस्टम रीबूट की आवश्यकता होती है, या क्या यह उपयोगकर्ता के लिए केवल एप्लिकेशन को पुनरारंभ करने के लिए पर्याप्त है, इस मामले में एक्सप्लोरर।

और अब यह शांत है ताकि कोई सुन न सके!



यह वह कोड है जिसे हमने रिवर्स इंजीनियरिंग का उपयोग करके फिर से बनाया है। यह दिखाता है कि कोरफ्लड कैसे मैन्युअल रूप से एक्सप्लोरर को बंद कर देता है ताकि परिवर्तन तुरंत प्रभावी हो जाएं। आप शायद इस बात से परिचित हैं कि जब कंप्यूटर पर एक्सप्लोरर विफल हो जाता है तो क्या होता है - टास्कबार गायब हो जाता है, सभी खुले अनुप्रयोगों की खिड़कियां, डेस्कटॉप पर सभी आइकन गायब हो जाते हैं, और फिर एक-एक करके वे अपनी जगह पर लौटने लगते हैं।

कोरफ्लड के लेखक स्पष्ट रूप से इस बारे में जानते थे, इसलिए उन्होंने ओपनप्रोसेस कॉल से ठीक पहले कंडक्टर के "सही" त्रुटि मोड को सेट करने के लिए इस स्थान पर एक सिस्टम कॉल रखा।

SetErrorMode फ़ंक्शन क्या करता है? यह सिस्टम को भेजी जाने वाली सूचनाओं की एक विशिष्ट विफलता को रोकता है जो एक छोटी पॉप-अप विंडो बनाते हैं और एक त्रुटि संदेश भेजते हैं जिसके कारण एप्लिकेशन समाप्त हो जाता है। एक्सप्लोरर के दुर्घटनाग्रस्त होने से पहले एक पॉप-अप विंडो को उपयोगकर्ता को दिखाई देने से रोकने के लिए उन्होंने इस त्रुटि संदेश के साथ किया था। मुझे बताएं कि उपयोगकर्ता को क्या अधिक संदिग्ध लगता है: एक छोटी सी पॉप-अप विंडो जो कि स्क्रीन पर दिखाई देने वाली चीज़ों के गायब होने के साथ आती है और फिर बिना किसी त्रुटि संदेश के सब कुछ गायब हो जाती है और दिखाई देती है? मैंने सुना है आपने कहा: "दोनों घटनाएं।"

अगली स्लाइड में मैंने कहा "हथियारों और पैरों के साथ, लेकिन बिना सिर के।" कोरफ़्लड, जब एक डीएलएल के रूप में लोड किया जाता है, तो लोड किए गए मॉड्यूल की सूची में प्रकट नहीं होता है। वह ढेर पर थोड़ी मेमोरी आवंटित करता है और खुद को ढेर के इस स्थान पर कॉपी करता है - मैंने इसे एक लाल फ्रेम में डाल दिया।



फिर यह अपने पीई हेडर को हटा देता है, इसलिए यदि आप इस ट्रोजन से संक्रमित कंप्यूटर से मिलते हैं, तो कहें: "मेरा अगला कदम इस निष्पादन योग्य फ़ाइल को डंप करने और इसे विश्लेषण के लिए आईडीए पर अपलोड करना चाहिए", लेकिन निष्पादन योग्य फ़ाइल को डंप करना बहुत मुश्किल है। अगर इसका पीई हेडर नहीं है। इसलिए, जब Coreflood वर्चुअल आबंटन को कॉल करता है, तो यह मेम के झंडे को ऊपर से नीचे तक परिभाषित करता है, जिसके कारण सिस्टम उच्चतम को लौटाता है, सबसे कम नहीं, उपलब्ध पता। इससे ट्रोजन अन्य सिस्टम डीएल के बीच उपयोगकर्ता मोड के एक उच्च मेमोरी क्षेत्र में खुलने / बंद होने वाले कोट्स को छिपाने की अनुमति देता है। इसलिए, अगले डेमो में मैंने "बेकार सब कुछ कैसे छिपाया जाए," कहा।



जब आप Coreflood जैसी कोई चीज़ लेते हैं जो चुपके से उपयोग होती है, और ऐसे वायरस के साथ काम करने के लिए कोई तैयार उपकरण नहीं हैं, तो आपको अपना खुद का बनाना होगा।
, . , . , ProcDump . PE Import Reconstructor, , , .

, . . Volatility, Internet Explorer . , Coreflood, , . , 7FF81000.



, HEX , Coreflood. , , . .

, , Coreflood, Volatility . , ID Internet Explorer. , , PID 1732. Malfind, , , , . VAD , , . , .



, , 7FF81000. , Fix IAT, PID 1732 Internet Explorer , Coreflood.

dll, Internet Explorer, , RBA , , .

, 7FF81000, , . , PE . , Import Reconstructor: , , . Fix IAT , PE modify viewer , .



21:15

DEFCON 17. ! भाग २


हमारे साथ बने रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक दिलचस्प सामग्री देखना चाहते हैं? एक आदेश रखकर या अपने दोस्तों को इसकी अनुशंसा करके हमें समर्थन दें, एंट्री-लेवल सर्वरों के अनूठे एनालॉग पर हैबर उपयोगकर्ताओं के लिए 30% छूट जो हमने आपके लिए ईजाद की है: VPS (KVM) E5-2650 v4 (6 कोर) 10GB DDR4 240GB SSD 1Gbps से पूरा सच $ 20 या सर्वर को कैसे विभाजित करें? (विकल्प RAID1 और RAID10 के साथ उपलब्ध हैं, 24 कोर तक और 40GB DDR4 तक)।

VPS (KVM) E5-2650 v4 (6 करोड़) 10GB DDR4 240GB SSD 1Gbps दिसंबर तक मुफ्त में जब छह महीने की अवधि के लिए भुगतान करते हैं, तो आप यहां ऑर्डर कर सकते हैं ।

डेल R730xd 2 बार सस्ता? केवल हमारे पास 2 x Intel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps 100 टीवी 249 डॉलर में नीदरलैंड और यूएसए से है! इन्फ्रास्ट्रक्चर Bldg का निर्माण कैसे करें के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग?