शरदकालीन वृद्धि: कैसे RTM हैकर्स ने सरकारी एजेंसियों की ओर से बैंकों और उद्यमों पर बड़े पैमाने पर हमला किया

यह गिरावट, ग्रुप-आईबी ने वित्तीय संस्थानों और उद्यमों के लिए बड़े पैमाने पर मैलवेयर वितरण दर्ज किया। हमलावरों ने रूसी सरकारी एजेंसियों के फर्जी मेल पते से 11,000 से अधिक पत्र भेजे - इन सभी में एक आरटीएम ट्रोजन था जो दूरस्थ बैंकिंग सेवाओं (आरबीएस) और भुगतान प्रणालियों से पैसे चोरी करने के लिए बनाया गया था। औसतन, इस प्रकार की एक सफल चोरी हमलावरों को लगभग 1.1 मिलियन रूबल लाती है।

पाठ: वीर्य रोजचेव, एसोसिएट मालवेयर विश्लेषण विशेषज्ञ समूह-आईबी

11 सितंबर से, ग्रुप-आईबी थ्रेट इंटेलिजेंस सिस्टम (साइबर इंटेलिजेंस) ने रूसी बैंकों, औद्योगिक और परिवहन कंपनियों को बड़े पैमाने पर मेलिंग दर्ज की: सितंबर में 3210 पत्र भेजे गए, अक्टूबर में 2311, नवंबर में 4768 और दिसंबर में 784। समाचारपत्रिकाएँ "तरंगें" थीं, चोटी क्रमशः 24 और 27 सितंबर को 729 और 620 अक्षरों में हुई। कुल मिलाकर, सितंबर से दिसंबर के शुरू तक, हैकर्स ने सरकारी एजेंसियों द्वारा गलत बताए गए 2,900 विभिन्न ईमेल पतों से 11,073 पत्र भेजे। प्रेषकों के पते से जुड़े लगभग 900 अलग-अलग डोमेन मिले।

मेलिंग सूची में, प्रेषकों के पते के अलावा, निम्नलिखित डोमेन नाम दिखाई देते हैं, जो राज्य और नगरपालिका संगठनों से जुड़े हैं:

• 14.rospotrebnadzor.ru - सखा गणराज्य में उपभोक्ता अधिकार संरक्षण और मानव कल्याण के पर्यवेक्षण के लिए संघीय सेवा का कार्यालय
• 22.rospotrebnadzor.ru - अल्ताई क्षेत्र में उपभोक्ता अधिकार संरक्षण और मानव कल्याण के पर्यवेक्षण के लिए संघीय सेवा का कार्यालय
• 33.rospotrebnadzor.ru - व्लादिमीर क्षेत्र में उपभोक्ता अधिकार संरक्षण और मानव कल्याण के पर्यवेक्षण के लिए संघीय सेवा का कार्यालय
• 37.rospotrebnadzor.ru - इवानोवो क्षेत्र में उपभोक्ता अधिकार संरक्षण और मानव कल्याण के पर्यवेक्षण के लिए संघीय सेवा का कार्यालय
• 38.rospotrebnadzor.ru - इरकुत्स्क क्षेत्र में उपभोक्ता अधिकार संरक्षण और मानव कल्याण के पर्यवेक्षण के लिए संघीय सेवा का कार्यालय
• 39.rospotrebnadzor.ru - उपभोक्ता अधिकार संरक्षण और मानव कल्याण के क्षेत्र में पर्यवेक्षण के लिए संघीय सेवा का कार्यालय
• 42.rospotrebnadzor.ru - केमेरोवो क्षेत्र में उपभोक्ता अधिकार संरक्षण और मानव कल्याण के पर्यवेक्षण के लिए संघीय सेवा का कार्यालय
• 47.rospotrebnadzor.ru - लेनिनग्राद क्षेत्र में उपभोक्ता अधिकार संरक्षण और मानव कल्याण के पर्यवेक्षण के लिए संघीय सेवा का कार्यालय
• 89.fsin.su - यमालो-नेनेट्स स्वायत्त ऑक्रग में रूस की संघीय प्रायद्वीपीय सेवा
• engels-edu.ru - एंगेल्सकी नगर जिले के प्रशासन की शिक्षा समिति
• enis.gosnadzor.ru - पारिस्थितिक, तकनीकी और परमाणु पर्यवेक्षण के लिए संघीय सेवा ROSTEKHNADZOR येनिसी प्रशासन
• fbuz29.rospotrebnadzor.ru - आर्कान्जेस्क क्षेत्र में स्वच्छता और महामारी विज्ञान केंद्र
• fcao.ru - टेक्नोजेनिक प्रभाव के विश्लेषण और मूल्यांकन के लिए संघीय केंद्र
• fguz-volgograd.ru - वोल्गोग्राड क्षेत्र में स्वच्छता और महामारी विज्ञान का केंद्र
• gov39.local - कैलिनिनग्राद क्षेत्र की सरकार
• mcx-samara.ru - समारा क्षेत्र के लिए रोसेलखोज़्नदज़ोर कार्यालय
• minsoc-buryatia.ru - ब्यूरेटिया गणराज्य का सामाजिक संरक्षण मंत्रालय
• minsoc26.ru - श्रम और सामाजिक संरक्षण स्टावरोपोल क्षेत्र की आबादी का संरक्षण
• minzdravsakhalin.ru - सखालिन क्षेत्र का स्वास्थ्य मंत्रालय
• mosoblsud.ru - मास्को क्षेत्रीय न्यायालय
• prokuratura.omsk.ru - ओम्स्क क्षेत्र के अभियोजक कार्यालय
• rcro.tomsk.ru - शिक्षा के विकास के लिए क्षेत्रीय केंद्र, टॉम्स्क (क्षेत्रीय राज्य बजटीय संस्थान)
• rostrud.ru - श्रम और रोजगार के लिए संघीय सेवा ROSTRUD।
• rpn.gov.ru - Rosprirodnadzor - प्राकृतिक संसाधनों के पर्यवेक्षण के लिए संघीय सेवा।
• zdrav.spb.ru - सेंट पीटर्सबर्ग स्वास्थ्य समिति की आधिकारिक वेबसाइट।
• zsib.gosnadzor.ru - पारिस्थितिक, तकनीकी और परमाणु पर्यवेक्षण ROSTEKHNZZOR के लिए संघीय सेवा।

कुछ ईमेल में "डोमेन कुंजी पहचानकर्ता मेल" ("DKIM") शीर्ष लेख दिखाई दिए। "DKIM" एक ईमेल संदेश प्रमाणीकरण विधि है जो प्रेषक पते के जालसाजी से बचाता है और आपको एक निर्दिष्ट डोमेन से एक ईमेल भेजने के तथ्य की पुष्टि करने की अनुमति देता है। उदाहरण के लिए:


DKIM चेक का परिणाम:

सर्किट ने कैसे काम किया

मेलिंग सूची के पत्र खुद को महत्वपूर्ण दस्तावेजों के रूप में प्रच्छन्न करते हैं (उदाहरण के लिए, पत्र का विषय "गुरुवार को भेजना", "मेमो नोट", "भुगतान अगस्त-सितंबर", "दस्तावेजों की प्रतियां", आदि)। पत्र का पाठ विषय से मेल खाता है, उदाहरण के लिए:


या:


एक विशेषता विशेषता प्रेषक के पते और पत्र के वापसी पते के बीच बेमेल है। पत्र का रिटर्न पता सार्वजनिक डोमेन पर पंजीकृत है।

उदाहरण के लिए:


या


प्रत्येक अक्षर एक अनुलग्नक के साथ है, जो एक निष्पादन योग्य फ़ाइल वाला एक संग्रह है। अनपैक्ड फ़ाइलों में "पीडीएफ" - फाइलों के आइकन होते हैं, जो उपयोगकर्ता को गलत तरीके से दिखाता है। अनपैक फ़ाइल लॉन्च होने के बाद, कंप्यूटर संक्रमित है।

ट्रोजन आरटीएम 2015 के अंत में दिखाई दिया - 2016 की शुरुआत में। इसका उद्देश्य दूरस्थ बैंकिंग और भुगतान प्रणालियों के साथ काम करना है। RTM मॉड्यूलर है, इसके मॉड्यूल विवरणों को बदलते हैं, कीस्ट्रोक्स पढ़ते हैं, DNS सर्वर और सुरक्षा प्रमाणपत्रों को प्रतिस्थापित करते हैं, स्क्रीनशॉट लेते हैं, आदि।

संक्रमण प्रक्रिया

• शुरू करने के बाद, RTM "DLL" लाइब्रेरी को अनपैक करता है और इसे "% TEMP%" फ़ोल्डर में सहेजता है, जिसके बाद वह इसे वर्तमान प्रक्रिया के एड्रेस स्पेस में लोड करता है।
• अनपैक करने के बाद, ".tmp" फ़ाइल की अनपैक्ड सामग्री को "% ProgramData% \ random_folder \ random_name" में कॉपी करता है।
• "विंडोज अपडेट" नामक एक कार्य को "rundll32.exe" के माध्यम से पिछले चरण में कॉपी की गई फ़ाइल को चलाने के लिए बनाता है।
• यदि कार्य का निर्माण सफल नहीं हुआ, तो Windows अद्यतन कुंजी को rundll32.exe% ProgramData% \ random_folder \ random_name DllGetClassObject होस्ट रजिस्ट्री कुंजी "HKCU's Software \ Microsoft \ Windows \ CurrentVersion \ Run \" के साथ जोड़ें। यह फ़ाइल को "% ProgramData%" निर्देशिका से हर बार जब उपयोगकर्ता सिस्टम पर लॉग करता है, लॉन्च किया जा सकता है।

विवरण और कार्यशीलता

• "RTM" में स्ट्रिंग्स को संशोधित "RC4" एल्गोरिथ्म के साथ एन्क्रिप्ट किया गया है और उपयोग से पहले डिक्रिप्ट किया गया है।
• शुरू करने के बाद, यह फाइलों और निर्देशिकाओं की उपस्थिति के लिए जाँच करता है "कोयल", "नकली_ड्राइव", "स्ट्रॉबेरी", "tsl", "target.xls", "पर्ल", "wget.exe", "* aython *" ड्राइव "C" पर , "Myapp.exe", "self.exe", "vboxservice.exe", "python.exe"। मिल जाए तो बन्द हो जाता है।
• ESET एंटीवायरस की उपस्थिति के लिए जाँच करता है। यदि यह स्थापित है, तो यह अपनी लाइसेंस फ़ाइल को शून्य से भरता है, और फिर इसे हटा देता है।
• कीबोर्ड पर कीस्ट्रोक्स को ट्रैक करना शुरू करता है। यदि सक्रिय विंडो मोज़िला फ़ायरफ़ॉक्स या इंटरनेट एक्सप्लोरर ब्राउज़र द्वारा बनाई गई थी, तो पृष्ठ URL कीबोर्ड से प्राप्त डेटा में जोड़ा जाता है।
• मॉनिटर और क्लिपबोर्ड पर जाने वाले डेटा को बचाता है। उन्हें उस विंडो का नाम जोड़ा जाता है जिससे जानकारी कॉपी की गई थी, और समय।
• उन वस्तुओं पर बायाँ-क्लिक करें, जिनका वर्ग नाम tpanel और obj_button से मेल खाता है। जब आप इन तत्वों पर क्लिक करते हैं, तो यह एक स्क्रीनशॉट बनाता है और इसे एक दूरस्थ सर्वर पर भेजता है।
• बैंकों के साथ बातचीत के बारे में जानकारी इकट्ठा करने के लिए, टैब के वर्तमान "URL" को प्राप्त करने और तालिका 1 के मूल्यों के साथ तुलना करने के लिए "इंटरनेट एक्सप्लोरर" और "मोज़िला फ़ायरफ़ॉक्स" के खुले टैब के पतों की जांच करता है। मिलान के मामले में, संबंधित जानकारी "सी एंड सी" सर्वर को भेजी जाती है। ।

• इंटरनेट एक्सप्लोरर, मोज़िला फ़ायरफ़ॉक्स और Google क्रोम ब्राउज़र के ब्राउज़िंग इतिहास को देखता है और इसमें बैंक साइटों की यात्राओं के बारे में जानकारी खोजता है। तालिका 1 के डेटा के साथ प्राप्त आंकड़ों के संयोग के मामले में, यह "C & C" सर्वर को एक संबंधित संदेश भेजता है।

• तालिका 3 के मानों के साथ मैचों के लिए चलने वाली खिड़कियों के वर्ग नामों की जांच करता है। एक मैच के मामले में, यह पहचानकर्ताओं को बचाता है जो भविष्य में सीएंडसी को किसी विशेष बैंक के साथ बातचीत के बारे में डेटा के रूप में भेजे जाएंगे।
• फिर, "RTM" "C & C" सर्वर के साथ एक संबंध स्थापित करने की कोशिश करता है (निम्नलिखित पते पाए गए: 188.165.200.156, 185.190.82.182, 5.135.183.146, 151.80.147.153, 109.69.8.34)। "C & C" सर्वर का IP पता प्राप्त करने के लिए, साइट "namecha.in" पर पहुँचा जाता है।
• एक स्ट्रीम बनाता है जो कनेक्टेड स्मार्ट कार्ड की उपस्थिति की जांच करता है।

आगे की कार्रवाई "सी एंड सी" सर्वर से प्राप्त आदेशों पर निर्भर करती है।

प्राप्त आदेश संशोधित RC4 एल्गोरिथ्म के साथ एन्क्रिप्ट किए गए हैं। "C & C" सर्वर से प्राप्त प्रत्येक संदेश में, पहले 4 बाइट एक XOR कुंजी हैं। प्राप्त आंकड़ों को डिक्रिप्ट करने से पहले, "एस-ब्लॉक" के प्रत्येक 4 बाइट्स को इस कुंजी के साथ मोडुलो दो जोड़ा जाता है। "RC4" कुंजी स्वयं प्रोग्राम में संग्रहीत है।

संदेश के बाकी हिस्सों के लिए बाइट्स 4 8 के माध्यम से "CRC32" कोड हैं। डिक्रिप्शन के बाद। यह प्रोग्राम वास्तविक "CRC-32" संदेश कोड के साथ संदेश से प्राप्त "CRC-32" कोड की तुलना करके संदेश की शुद्धता की जांच करता है।


प्राप्त संदेश का 9 वां बाइट कमांड निष्पादित होने के लिए निर्धारित करता है।

• यदि 9 बाइट्स 0x0 है, तो प्रोग्राम अपना काम जारी रखता है। इस तरह के उत्तर का मतलब है कि सर्वर द्वारा प्राप्त डेटा सही है।
• यदि 9 बाइट्स 0x5 है, तो शेष संदेश एक वैकल्पिक मॉड्यूल है जिसे "RTM" प्रक्रिया में लोड किया जाएगा।

• यदि 9 बाइट्स 0x6 है, तो शेष संदेश एक निष्पादन योग्य फ़ाइल है। इसे सहेज कर लॉन्च किया जाएगा।

• यदि 9 बाइट्स 0x8 है, तो शेष संदेश "DLL" लाइब्रेरी है। इसे सहेजा और लोड किया जाएगा।

• यदि 9 बाइट्स 0x9 है, तो शेष संदेश एक निष्पादन योग्य फ़ाइल है जिसे बिना सहेजे चलाया जाएगा।

• यदि 9 बाइट्स 0xB है, तो संदेश का शेष एक नया निष्पादन योग्य है जो वर्तमान RTM निष्पादन योग्य को बदल देगा।

• यदि 9 बाइट्स 0xC है, तो शेष संदेश "% LocalAppData%" निर्देशिका में एक फ़ाइल में सहेजा जाएगा।
• यदि 9 बाइट्स 0x1 है, तो शेष संदेश निम्न कमांड में से एक के साथ एक स्ट्रिंग है:
• "Find_files" - "C & C" से प्राप्त नाम के साथ एक फ़ाइल की खोज करता है,

• "डाउनलोड करें -" सी एंड सी "सर्वर से प्राप्त नाम के साथ फ़ाइल की सामग्री को दूरस्थ उत्तर में भेजता है, अगर कोई मौजूद है।

• "अनलोड" - अगले पुनः आरंभ होने तक "आरटीएम" का संचालन बंद कर देता है।
• "अनइंस्टॉल" - RTM वर्तमान निष्पादन योग्य फ़ाइल को निकालता है।
• "अनइंस्टॉल-लॉक" - वर्तमान निष्पादन योग्य फ़ाइल को हटाता है और रजिस्ट्री कुंजी की "शेल" कुंजी को सेट करता है "HKLM \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ Winlogon \" को "शटडाउन -s -ft-0", जो कंप्यूटर को बंद करने की ओर जाता है हर लॉगिन पर।
• "ऑटो-एलिवेट" - एक विंडो बनाता है, जब आप इसके बटन पर क्लिक करते हैं, "RTM" "rundll32.exe" लॉन्च के माध्यम से व्यवस्थापक के रूप में शुरू होता है।

• "Dbo- स्कैन" - बैंकिंग सेवाओं (तालिका 2) से संबंधित फाइलों की खोज शुरू करता है।
• "शटडाउन" - कंप्यूटर को बंद कर देता है।

• "रिबूट" - कंप्यूटर को रिबूट करता है

• "होस्ट्स-ऐड" - प्राप्त डेटा को "होस्ट" फ़ाइल में लिखता है और कमांड "ipconfig.exe / flushdns" चलाकर DNS सेवा रिकॉर्ड का कैश साफ़ करता है
• "होस्ट्स-क्लियर" - "होस्ट" फाइल को क्लिन करता है और कमांड "ipconfig.exe / flushdns" चलाकर DNS सर्विस रिकॉर्ड के कैश को साफ करता है।
• "स्क्रीनशॉट" - एक स्क्रीनशॉट बनाता है और इसे सर्वर पर भेजता है।
• "किल-प्रोसेस" - चल रही प्रक्रियाओं की खोज करता है, जिसके नाम पर सर्वर से प्राप्त एक पंक्ति होती है, उनके पहचानकर्ता प्राप्त करते हैं और उन्हें समाप्त करते हैं।

• "वीडियो-स्टार्ट" - एक स्ट्रीम बनाता है जो हर 2 सेकंड में एक स्क्रीनशॉट बनाता है और इसे C & C सर्वर से प्राप्त दूरस्थ पते पर स्थानांतरित करता है।

• "वीडियो-स्टॉप" - स्क्रीनशॉट बनाने वाली स्ट्रीम को रोकता है।
• "Msg" - C & C से प्राप्त पाठ के साथ एक पॉप-अप विंडो बनाता है

• यह माना जाता है कि "RTM" में अतिरिक्त मॉड्यूल डाउनलोड करने की क्षमता है ".dtt"।

• यह माना जाता है कि "डेल-मॉड्यूल" कमांड प्राप्त करने के बाद, निष्पादन रोक दिया जाता है और लोड किए गए मॉड्यूल का कोड हटा दिया जाता है।

तालिका 1 - "URL" की सूची बैंकों के साथ बातचीत का संकेत देती है

तालिका 2 - बैंकों के साथ बातचीत का संकेत करने वाली फ़ाइलों की सूची

तालिका 3 - वर्ग के नामों की सूची

चोरी की योजना

स्क्रीनशॉट और एक keylogger का उपयोग करते हुए, RTM उपयोगकर्ता के उपयोगकर्ता नाम और पासवर्ड को पहचानता है, डाउनलोड करता है और कंप्यूटर के लिए रिमोट कंट्रोल टूल लॉन्च करता है, जिसके बाद संक्रमित कंप्यूटर पर रिमोट कंट्रोल के माध्यम से या तो एक भुगतान आदेश बनाया जाता है और रिमोट बैंकिंग सिस्टम को भेजा जाता है, या रिमोट बैंकिंग सिस्टम में उपयोग किए जाने वाले प्रमाणीकरण डेटा या गुप्त कुंजी चोरी हो जाती हैं। , और हमलावर के कंप्यूटर से ऑर्डर भेजा जाता है। ग्रुप-आईबी के अनुसार, एक सफल चोरी की स्थिति में, औसतन, हैकर एक कानूनी इकाई से 1,100,000 रूबल के ऐसे हमलों से "कमाते हैं"।

सामान्य तौर पर, गिरावट के दौरान - सितंबर से नवंबर तक - RTM आपराधिक समूह ने बड़े रूसी बैंकों और उद्यमों पर कई बड़े पैमाने पर हमले किए। साइबर अटैक अर्ली वार्निंग सिस्टम थ्रेट डिटेक्शन सिस्टम पॉलीगॉन (टीडीएस) का उपयोग करके दुर्भावनापूर्ण गतिविधि का पता लगाया गया और अवरुद्ध किया गया, जो आपको बैंक नेटवर्क सिस्टम के मुख्य नेटवर्क से अलग, एक सुरक्षित संदेशों को "अनपैक" करने की अनुमति देता है, उन्हें दुर्भावनापूर्ण जांच के लिए जाँचता है और पता चला ऑब्जेक्ट के खतरे की डिग्री पर एक निर्णय जारी करता है। ।