खतरनाक आमंत्रण, या फ़िशिंग ईमेल के लिए युद्ध का भार कैसे काम करता है

हाल ही में, पीटी ईएससी विशेषज्ञों ने एक प्रकाशक प्रारूप दस्तावेज की खोज की, जिसे "निमंत्रण नवंबर 29-30, 2018.pub" (1edd5b6a02ec82cec381c1a1ec74a67e) कहा गया। इस लेख में, हम आपको बताएंगे कि कैसे एक साधारण-सा दिखने वाला दस्तावेज़ ट्रोजन में बदल जाता है, जिससे एक हमलावर को वेबकैम से चित्र कैप्चर करने, कमांड द्वारा ध्वनि रिकॉर्ड करने या स्काइप विंडो का पता चलने पर, PowerShell स्क्रिप्ट चलाने, स्क्रीनशॉट लेने, मीडिया उपकरणों की फ़ाइलों को कॉपी करने की अनुमति मिलती है।

इसलिए, जब आप दस्तावेज़ को खोलते हैं, तो एक विंडो धुंधली दस्तावेज़-स्टब और Microsoft प्रकाशक स्क्रिप्ट को शामिल करने के अनुरोध के साथ दिखाई देती है।



उपयोगकर्ता द्वारा इसे चालू करने के बाद, दस्तावेज़ में निर्मित स्क्रिप्ट जावास्क्रिप्ट में चलती है। यह इस तरह दिखता है:



स्क्रिप्ट का परिणाम Base64 से दो फाइलों, पीडीएफ और EXE का डिकोडिंग होगा। दोनों फाइलें C: \ Users \ {Username} \ AppData \ Roaming \ DBFUpdate को लिखी जाएंगी। तदनुसार, दोनों फ़ाइलों को निष्पादित किया जाएगा, और उपयोगकर्ता को दस्तावेज़ स्क्रीन पर ऐसा स्टब दिखाई देगा:

ट्रेजर हंटर आरएटी

हमलावर मल्टी-मॉड्यूल आरएटी का उपयोग बड़े कार्यों के सेट के साथ करते हैं जो संक्रमित मशीन तक पूर्ण पहुंच प्रदान करते हैं।

कोड विशेषताएं:

1. बड़ी संख्या में एसटीएल निर्माणों के साथ सी ++ में पूरी तरह से लिखा गया है जो आंतरिक रूप से उपयोग किया जाता है।
2. बूस्ट लाइब्रेरी के आवेदन, विशेष रूप से JSON और संग्रह में।
3. डिबगिंग फ़ंक्शन (दांव पर अनुभाग में अधिक)।

मुख्य ट्रोजन

मुख्य ट्रोजन पीड़ित की मशीन पर तय किया गया है और एक प्लेटफॉर्म है जिस पर C2 से दुर्भावनापूर्ण मॉड्यूल लोड किए गए हैं।

सबसे पहले, स्टैगर काम करने वाली डायरेक्टरी को इनिशियलाइज़ करता है, जो बाद में मॉड्यूल्स द्वारा एकत्र की गई जानकारी, काम करने के लिए मॉड्यूल्स के लिए आवश्यक उपयोगिताओं आदि को स्टोर करेगा।



नीचे कार्यशील निर्देशिका बनाने के लिए रास्तों का आरंभीकरण है:



आवश्यक निर्देशिकाएं बनाए जाने के बाद, मुख्य ट्रोजन संक्रमित मशीन के बारे में जानकारी एकत्र करता है और इसे नियंत्रण सर्वर को भेजता है।

ट्रॉयन को ऐसे डेटा में दिलचस्पी है:

• ओएस के संस्करण की पहचानकर्ता जिस पर मुख्य ट्रोजन चल रहा है;
• डिफ़ॉल्ट इंटरफ़ेस भाषा
• सर्विस पैक OS का प्रमुख संस्करण नंबर;
• कंप्यूटर का नाम और मशीन पहचानकर्ता (मशीन पहचानकर्ता प्राप्त करने के विवरण के लिए, नेटवर्क प्रोटोकॉल पर अनुभाग देखें)।

इस तरह से संक्रमित मशीन के बारे में जानकारी एकत्र की जाती है:



इसके बाद, मुख्य ट्रोजन एचकेयू \ एनवायरनमेंट \ यूज़रइनट्रीमप्रोग्लोनस्क्रिप्ट में रजिस्ट्री में मूल्य के संशोधन के माध्यम से संक्रमित मशीन पर तय किया गया है। यह निष्पादन योग्य फ़ाइल का नाम है जिसे कार्यशील निर्देशिका के प्रारंभ के दौरान आवंटित किया गया था, जिस स्थिति में यह "DCTHOST.exe" के बराबर है। इस विधि का वर्णन हेक्साकोर्न ब्लॉग पर किया गया है, और इसका इस्तेमाल APT28 और कोबाल्ट समूह ने अपने ComDLLDroper में भी किया था।



और मुख्य ट्रोजन को इनिशियलाइज़ करने का अंतिम चरण अपने वर्तमान स्थान से कार्यकारी निर्देशिका के लिए निष्पादन योग्य फ़ाइल को उसी नाम से कॉपी कर रहा है जिस नाम को तब चुना गया था जब वर्किंग डायरेक्टरी को इनिशियलाइज़ किया गया था।

मुख्य ट्रोजन को शुरू करने के बाद, कमांड प्राप्त करने की तैयारी की जाती है। कोर मॉड्यूल को चालू मॉड्यूल की सूची में जोड़ा जाता है, जो कि मुख्य ट्रोजन है। इसके बाद, पहचानकर्ता 0. के साथ कोर मॉड्यूल से एक कमांड लॉन्च किया जाता है। मुख्य मॉड्यूल में इस कमांड का कोई कार्यान्वयन नहीं है, इसके बजाय, यह सिर्फ एक स्टब है। कोर मॉड्यूल के ऑब्जेक्ट का निर्माता नीचे प्रस्तुत किया गया है।



अंत में, दो धागे शुरू होते हैं। थ्रेड्स में से एक टाइमर शुरू होता है, जो हर सेकंड डिफ़ॉल्ट रूप से उठता है और C2 से कमांड का अनुरोध करने की कोशिश करता है।



दूसरी धारा अतिरिक्त पुस्तकालयों और मानक मॉड्यूल को लोड करती है। मॉड्यूल की तरह पुस्तकालय, एक पहचानकर्ता होता है, लेकिन मॉड्यूल के विपरीत, पुस्तकालय पहचानकर्ता नकारात्मक होते हैं, -1 से शुरू करते हैं, कम संख्या की ओर बढ़ते हैं। नीचे C2 से डाउनलोड किए गए पुस्तकालयों की सूची है।

मुख्य ट्रोजन की विशेषताएँ

अपने काम की शुरुआत में, प्रारंभिककरण के तुरंत बाद, मुख्य ट्रोजन सेटअपहैंडल्ड एक्ससेप्शनफिल्टर के माध्यम से एक अपवाद हैंडलर सेट करता है, जिसमें दिलचस्प कार्यक्षमता होती है। जब अपवाद होते हैं, तो वे हैंडलर में गिर जाते हैं, जो अनुप्रयोग के मिनीडंप को लिखते हैं, जबकि अपवाद के बारे में जानकारी भी सहेजते हैं। फिर यह खुद को पुनः आरंभ करता है। स्क्रीन पर - एक मिनीडम्प बनाना:

नेटवर्क प्रोटोकॉल

सॉफ्टवेयर और C2 के बीच आदान-प्रदान एक स्व-लिखित बाइनरी प्रोटोकॉल का उपयोग करके होता है। प्रत्येक संदेश को BinPackage (RTTI से लिया गया नाम) का उपयोग करके वर्णित किया गया है। प्रत्येक BinPackage अनिवार्य रूप से std :: वेक्टर पर एक आवरण है, जो PackageRecord सेट (नाम का आविष्कार किया गया है) को संग्रहीत करता है। PackageRecord डेटा संग्रहीत करने के लिए न्यूनतम इकाई है।

struct PackageRecord { _DWORD dataId; _DWORD datatype; _DWORD szData; char[] data; }; 

इस संरचना के क्षेत्रों के बारे में अधिक जानकारी:

• dataId - रिकॉर्ड के प्रकार को इंगित करता है। या तो प्रविष्टि एक मॉड्यूल पहचानकर्ता, या एक कमांड पहचानकर्ता, या पेलोड है।
• szData - रिकॉर्ड में संग्रहीत डेटा का आकार।
• डेटाटाइप एक डेटा प्रकार है।

कुल मिलाकर, तीन डेटा प्रकारों का उपयोग दर्ज किया गया था:

• "0" के मान का अर्थ है कि रिकॉर्ड में संग्रहीत डेटा को DWORD के रूप में व्याख्या किया जाना चाहिए।
• मान "1" - रिकॉर्ड में संग्रहीत डेटा को ASCIIZ स्ट्रिंग के रूप में समझा जाना चाहिए।
• मान "2" - रिकॉर्ड में संग्रहीत डेटा को एन्क्रिप्टेड डेटा / कच्चे बफर के रूप में व्याख्या की जानी चाहिए।

नियंत्रण सर्वर पर बिनपैकेज भेजते समय, मशीन पहचानकर्ता को इसमें जोड़ा जाता है। पहचानकर्ता उस अनुभाग का GUID है जिसमें से सभी विशेष वर्ण काटे जाते हैं। आकृति में - मशीन पहचानकर्ता प्राप्त करना:



भेजने से पहले, BinPackage में संग्रहीत सभी रिकॉर्ड एक ही बफर में क्रमिक रूप से एकत्र किए जाते हैं और एन्क्रिप्ट किए जाते हैं। एन्क्रिप्शन के लिए, WinAES लाइब्रेरी का उपयोग किया जाता है , विशेष रूप से AES-128-CBC।

CryptoAPI विंडोज का उपयोग करते हुए, दो 16-बाइट छद्म-यादृच्छिक सरणियां उत्पन्न होती हैं। IV के लिए एक, कुंजी के लिए दूसरा। एन्क्रिप्शन किया जाता है और एन्क्रिप्टेड डेटा को BinPackage में वापस जोड़ा जाता है, जिसमें एन्क्रिप्ट किया गया पैकेट होता है और जिसमें तीन प्रविष्टियाँ होती हैं:

• आईडी 0x777 के साथ रिकॉर्ड - एन्क्रिप्शन के लिए उपयोग की जाने वाली कुंजी है;
• आईडी 0x555 के साथ रिकॉर्ड - इसमें IV का उपयोग एन्क्रिप्शन के लिए किया गया है;
• आईडी 0x999 के साथ रिकॉर्ड - इसमें एन्क्रिप्टेड डेटा शामिल है (सामान्य तौर पर, इस आईडी के साथ एक रिकॉर्ड एक पेलोड को इंगित करता है और न केवल एन्क्रिप्टेड डेटा को स्टोर करने के लिए उपयोग किया जाता है)।

एन्क्रिप्शन प्रक्रिया पूरी होने के बाद, जेनरेट किए गए BinPackage को फिर से एक सिंगल बफर में इकट्ठा किया जाता है और HTTP POST के माध्यम से मैनेजिंग सर्वर 151.80.237.222 पर भेजा जाता है।



मशीन जानकारी युक्त पैकेज का एक उदाहरण नीचे दिया गया है:



और यह सिस्टम जानकारी के साथ एन्क्रिप्टेड पैकेट का एक उदाहरण है:

मॉड्यूल

प्रत्येक मॉड्यूल, कोर के अपवाद के साथ, नियंत्रण सर्वर से लोड किया गया है। सभी मॉड्यूल को दो श्रेणियों में विभाजित किया जा सकता है - वे मॉड्यूल जो स्वचालित रूप से लोड किए गए हैं, और मॉड्यूल जो नियंत्रण सर्वर से अनुरोध पर लोड किए गए हैं।

मॉड्यूल का अनुरोध करने वाले पैकेज का एक उदाहरण:



मॉड्यूल अनुरोध का जवाब:



प्रत्येक मॉड्यूल में एक सरल इंटरफ़ेस होता है जिसमें तीन फ़ंक्शन होते हैं: इनिट मॉड्यूल को लोड करने पर बुलाया जाता है, जिसे फ़िनी के पूरा होने पर कहा जाता है, और एक फ़ंक्शन जो मॉड्यूल के कॉन्फ़िगरेशन को बदलता है। प्रत्येक मॉड्यूल में GetModule नाम का एक निर्यात भी होता है, जो इस मॉड्यूल का प्रतिनिधित्व करने वाली एक वस्तु बनाता है और इसे मुख्य ट्रोजन में लौटाता है। हमारे द्वारा खोजे गए सभी मॉड्यूल चिंतनशील लोडिंग का उपयोग करके मेमोरी में लॉन्च किए गए हैं।



इसके अलावा, मॉड्यूल के नाम उस रूप में दिए गए हैं जिसमें वे आरटीटीआई में कक्षा के नाम के रूप में मौजूद हैं।

CCore मॉड्यूल

यह मॉड्यूल बुनियादी कार्यक्षमता का प्रतिनिधित्व करता है और सीधे मुख्य ट्रोजन में बनाया गया है। इसका निर्माण नीचे दी गई तालिका में देखा जा सकता है:

मॉड्यूल आईडी	टीम आई.डी.	विवरण
0	0	मूल रूप से, कमांड के बजाय ट्रोजन एक स्टब है, और इसका सटीक उद्देश्य स्थापित नहीं किया जा सकता है
	1	मॉड्यूल कॉन्फ़िगरेशन को संशोधित करें
	2	कंप्यूटर जानकारी का अनुरोध करें
	3	नियंत्रण सर्वर से उपयोगिता डाउनलोड करें
	4	उपयोगिताओं वाली निर्देशिका की सूची का अनुरोध करें
	5	मॉड्यूल डाउनलोड करें और इसे निष्पादित करें

CShell मॉड्यूल

यह मॉड्यूल एक संक्रमित मशीन को एक दूरस्थ शेल प्रदान करता है। जब मॉड्यूल को प्रारंभ किया जाता है, तो cmd.exe प्रक्रिया बनाई जाती है, जिसमें दो पाइप जुड़े होते हैं: एक मानक इनपुट के लिए और एक मानक आउटपुट के लिए, जिसके माध्यम से कमांड प्राप्त होते हैं और नियंत्रण सर्वर से और इसके विपरीत प्रसारित होते हैं। इस क्षण भी, एक थ्रेड शुरू होता है, जो स्वचालित रूप से सभी आउटपुट लेता है और इसे कंट्रोल सर्वर को भेजता है। आंकड़ा CShell मॉड्यूल के आरंभ को दर्शाता है।

मॉड्यूल आईडी	टीम आई.डी.	विवरण
2	0	शेल को कमांड भेजें
	1	फ़ाइल प्रिंट करें। एक फ़ाइल पढ़ी जाती है, जिसका पथ नियंत्रण सर्वर से प्रेषित होता है, और इस फ़ाइल की सामग्री नियंत्रण सर्वर पर अपलोड की जाती है
	2	सिस्टम में मौजूद सभी डिस्क की एक सूची प्राप्त करें। डेटा JSON प्रारूप में नियंत्रण सर्वर को भेजा जाता है
	3	फ़ाइल को नियंत्रण सर्वर से डाउनलोड करें। पथ जहां फ़ाइल को सहेजना है, और डेटा नियंत्रण सर्वर से प्राप्त होता है

CFileSystemBrowser मॉड्यूल

यह एक निष्क्रिय मॉड्यूल है, जो अनुरोध पर आपको फ़ाइल सिस्टम की संरचना के बारे में जानकारी प्राप्त करने की अनुमति देता है। यह है कि CFileSystemBrowser मॉड्यूल का आरंभ कैसे होता है:

मॉड्यूल आईडी	टीम आई.डी.	विवरण
3	0	सिस्टम में मौजूद सभी डिस्क की एक सूची प्राप्त करें। JSON प्रारूप में डेटा C2 को भेजा जाता है
	1	निर्देशिका सूची प्राप्त करें। लिस्टिंग JSON फॉर्मेट में जेनरेट की जाती है
	2	फ़ाइल प्रिंट करें। एक फ़ाइल पढ़ी जाती है, जिस पथ को C2 से स्थानांतरित किया जाता है, और इस फ़ाइल की सामग्री C2 पर अपलोड की जाती है
	3	फ़ाइल हटाएँ। फ़ाइल का पथ C2 से स्थानांतरित किया गया है

सीएसस्क्रीनशॉट मॉड्यूल

यह मॉड्यूल आपको स्क्रीनशॉट लेने या वेबकैम से चित्र कैप्चर करने की अनुमति देता है। यह अनुरोध पर और टाइमर में एक विशिष्ट अवधि के साथ दोनों कर सकता है।

मॉड्यूल आईडी	टीम आई.डी.	विवरण
4	0	स्क्रीनशॉट लें और इसे कंट्रोल सर्वर को भेजें
	1	एक टाइमर चलाएं, जिसके बाद मशीन की स्क्रीन से एक स्क्रीनशॉट लिया जाता है। परिणामी स्क्रीनशॉट को BinPackage में पैक किया जाता है और लॉग फ़ोल्डर में सहेजा जाता है। फ़ाइलों के लिए नाम "MS_" उपसर्ग के साथ GetTempFileName API का उपयोग करके उत्पन्न होते हैं।
	2	संक्रमित मशीन पर उपलब्ध उपकरणों के वीडियो प्राप्त करें
	3	वेबकैम से एक फ्रेम कैप्चर करें और इसे कंट्रोल सर्वर को भेजें

CSender मॉड्यूल

यह मॉड्यूल शुरू में सक्रिय नहीं है। यह लॉग फ़ोल्डर की सामग्री को नियंत्रण सर्वर पर अपलोड करता है। कॉन्फ़िगरेशन को बदलने के लिए अनुरोध आने पर इसे सक्रिय किया जाता है, जिसमें सत्यापन अवधि शामिल है।

CKeylogger मॉड्यूल

यह मॉड्यूल भी शुरू में सक्रिय नहीं है। यह तब सक्रिय होता है जब कॉन्फ़िगरेशन परिवर्तन के लिए एक अनुरोध बफर के आकार में आता है जिसमें लॉग संग्रहीत होता है। कच्चेइनपुट के माध्यम से इनपुट का अवरोधन किया जाता है। इसके अलावा, कीलॉगर उस विंडो की निगरानी करता है जिसमें उपयोगकर्ता एक इनपुट बनाता है और उसका शीर्षक लॉग करता है।

CDictaphone मॉड्यूल

यह मॉड्यूल कमांड को या स्काइप विंडो का पता लगाने पर ध्वनि रिकॉर्ड करता है। जब लॉन्च किया जाता है, तो यह एक थ्रेड शुरू करता है जो सिस्टम में सभी खिड़कियों और उनके बच्चे की खिड़कियों को सूचीबद्ध करता है और उन कक्षाओं में खिड़की की तलाश करता है जिनका वर्ग नाम TLiveConversation या TCallMonitorControl है। यदि ऐसी खिड़की मिली, तो रिकॉर्डिंग शुरू होती है। नीचे CDictaphone मॉड्यूल की शुरूआत है:



और Skype विंडो खोज



एमसीआई के माध्यम से विशेष कमांड भेजकर रिकॉर्डिंग की जाती है। यह है कि CDictaphone मॉड्यूल चक्र कैसे दिखता है:



विंडो को बंद करने या रिकॉर्डिंग पूरा करने के लिए एक कमांड प्राप्त करने के बाद, प्राप्त डेटा को एक अस्थायी फ़ोल्डर में सहेजा जाता है, जिसके बाद इसे लंगड़ा एमपी 3 एनकोडर द्वारा एन्कोड किया गया है (इसे एक उपयोगिता माना जाता है और पहले से लोड किया जाना चाहिए, यह नियंत्रण सर्वर से प्राप्त करना संभव नहीं था)। एन्कोडेड फ़ाइल लॉग फ़ोल्डर में सहेजी जाती है। एक फ़ोल्डर नाम उत्पन्न करना स्क्रीनशॉट के लिए नाम उत्पन्न करने के समान है।

मॉड्यूल आईडी	टीम आई.डी.	विवरण
7	0	रिकॉर्डिंग शुरू करें और 15 मिनट के बाद इसे पूरा करें
	1	रिकॉर्डिंग बंद करो
	2	स्थिति की जाँच करें: प्रगति में रिकॉर्डिंग कर रहा है

CProcessesManager मॉड्यूल

यह एक निष्क्रिय मॉड्यूल है, जो अनुरोध पर प्रक्रियाओं की एक सूची को वापस करने में सक्षम है या पीआईडी ​​द्वारा इसे समाप्त कर दिया गया है।

मॉड्यूल आईडी	टीम आई.डी.	विवरण
8	0	प्रक्रियाओं की सूची लौटाता है: उनके नाम, पीआईडी ​​और प्रक्रिया का स्वामित्व रखने वाले उपयोगकर्ता का नाम।
	1	पीआईडी ​​प्रक्रिया पूरी

CDownloader मॉड्यूल

मॉड्यूल को बड़ी फ़ाइलों को नियंत्रण सर्वर पर अपलोड करने के लिए डिज़ाइन किया गया है। चंक्स द्वारा डेटा ट्रांसमिशन को बाहर किया जाता है, जिसके आकार को इसके कॉन्फ़िगरेशन द्वारा स्थापित किया जाता है। मॉड्यूल एक फ़ाइल से डेटा पढ़ता है, जिस पथ को वह नियंत्रण सर्वर से प्राप्त करता है, और BinPackage में चंक्स पैक करता है। प्रत्येक बंकपैकेज के लिए, जिसमें फ़ाइल के लिए पथ सहित पहचानकर्ता 0x888 के साथ एक प्रविष्टि जोड़ी जाती है। प्रत्येक भाग को पास करने के बाद, नींद 5 सेकंड के लिए की जाती है।

मॉड्यूल आईडी	टीम आई.डी.	विवरण
9	0	स्टब, सटीक मान सेट करने में विफल
	1	बड़ी मात्रा में डेटा (0x500000 बाइट्स) के हस्तांतरण को वहन करता है, जिसके बाद यह हस्तांतरण पर खर्च किए गए समय को मापता है, और इस मान को C2 में भेजता है
	2	एक मशीन से एक फ़ाइल डाउनलोड करें

सीपीएस मॉड्यूल

यह मॉड्यूल आपको PowerShell स्क्रिप्ट चलाने की अनुमति देता है।

मॉड्यूल आईडी	टीम आई.डी.	विवरण
10	0	C2 से एक PowerShell स्क्रिप्ट प्राप्त करता है और इसे निष्पादित करता है

CDeviceMonitor मॉड्यूल

एक निष्क्रिय मॉड्यूल जो कनेक्टेड मीडिया उपकरणों की निगरानी करता है और उनसे फाइलें कॉपी करता है। यह डिवाइस कनेक्टिविटी का पता लगाने के लिए WM_DEVICECHANGE प्रसारण संदेशों का उपयोग करता है। डिवाइस को कंट्रोल सर्वर से कनेक्ट करने के बाद, डिवाइस कनेक्ट होने पर, उसके वॉल्यूम लेबल और डिवाइस के पथ के बारे में जानकारी भेजी जाती है। डिवाइस को पथ प्राप्त करने के लिए उपयोग किया जाने वाला कोड इसके समान है। सभी फ़ाइलों को लॉग फ़ोल्डर में कॉपी किया जाता है। स्क्रीनशॉट के लिए नाम उसी तरह उत्पन्न होते हैं। FsIndex.dat फ़ाइल अलग से बनाई गई है, जिसमें शब्दकोश को बढ़ावा :: संग्रह के साथ क्रमबद्ध स्थित है। यह शब्दकोश उन मूल रास्तों को संग्रहीत करता है जिन्हें कॉपी किया गया था, और उनके एमडी 5 हैश। नीचे DevicePath की रसीद दी गई है:



उपसंहार के रूप में, कई सिफारिशें:

• अज्ञात प्राप्तकर्ताओं के पत्रों में संलग्नक खोलने की आवश्यकता नहीं है, इसमें बहुत कम Microsoft प्रकाशक स्क्रिप्ट शामिल है।
• अज्ञात प्रेषकों के पत्रों में लिंक पर क्लिक करना कम खतरनाक नहीं है। वह साइट जहां आप जाते हैं मैलवेयर को होस्ट कर सकते हैं जो स्वचालित रूप से आपके पीसी पर डाउनलोड हो जाएगा।
• आपको सॉफ़्टवेयर को विशेष रूप से Microsoft Windows और Microsoft Office को नियमित रूप से अपडेट करना होगा, जो मैलवेयर की एक विस्तृत श्रृंखला तक पहुंच बंद कर देगा।