🖥️ ❤️ 📖 खुद का शोध, क्या खुला स्रोत हमें बता सकते हैं? 🤟🏻 👨‍👩‍👧 ⛑️

सरकारी एजेंसियों की ओर से, बैंकों और उद्यमों पर बड़े पैमाने पर हैकर हमले पर समूह-आईबी लेख से प्रेरित होकर, मैंने आरटीएम के बारे में थोड़ा और जानने का फैसला किया।

लक्ष्य न केवल इस हमले में शामिल लोगों को खोजने के लिए है, बल्कि यह दिखाने के लिए भी है कि इस तरह की जांच अच्छे साधनों और कुछ तकनीकी पृष्ठभूमि की उपस्थिति में कितनी सुलभ है।

स्रोत डेटा पोस्ट EditorGIB से :

11 सितंबर, 2018 - सामूहिक दुर्भावनापूर्ण मेलिंग की शुरुआत
“कुल मिलाकर, सितंबर से दिसंबर के शुरू तक, हैकर्स ने सरकारी एजेंसियों द्वारा जाली 2,900 विभिन्न ईमेल पतों से 11,073 पत्र भेजे। प्रेषक पते से जुड़े लगभग 900 अलग-अलग डोमेन खोजे गए हैं। ”
पत्रों की सामग्री में जानकारी है:
"... जैसा कि पत्र के विषय में संकेत दिया गया है" गुरुवार को भेजा जाना, "" मेमो, "भुगतान अगस्त-सितंबर," "दस्तावेजों की प्रतियां, आदि)।"
दुर्भावनापूर्ण कोड के बारे में जानकारी ट्रोजन RTM है।
नेटवर्क पहचानकर्ता: डोमेन namecha.in और आईपी पते: 188.165.200.156, 185.190.82.182, 5.135.183.146, 151.80.147.153, 109.69.8.34।
समूह-आईबी से विश्लेषक के निष्कर्ष के अनुसार:
"सी और सी" सर्वर के आईपी पते को प्राप्त करने के लिए, साइट "namecha.in" एक्सेस की जाती है।

आइए देखें कि सेवाएँ संकर-analysis.com, virustotal.com namecha.in के बारे में जानते हैं। जांच के लिए, मैं लैम्पीयर नामक एक उत्पाद का उपयोग करूंगा - खुद को "सभी के लिए डेटा विश्लेषण उपकरण" के रूप में पोजिशनिंग, मेरी राय में, उत्पाद i2 रचना, माल्टेगो का परिणाम है और जाहिर है डेवलपर्स पालेंटिर से प्रेरित थे।

हाइब्रिडनलिसिस खोज प्रश्नों को निष्पादित करना , और विरुस्टोटल खोज निम्न परिणाम देता है:

यह देखा जा सकता है कि हाइब्रिड-विश्लेषण सेवा में सत्यापन के लिए एक बार भेजी गई फाइलों के नाम समूह-आईबी विश्लेषकों की रिपोर्ट के नामों के समान हैं।

चलिए रिपोर्ट आईडी इनपुट डेटा के साथ हैश प्रश्नों द्वारा 2 हाइब्रिडनालिसिस रिपोर्ट निष्पादित करते हैं, और पिछली रिपोर्ट के परिणाम से हैश करते हैं। हम प्रारंभिक परिणाम के साथ आरेख को क्वेरी परिणाम भेजेंगे और उन वस्तुओं से ग्राफ़ को साफ़ करेंगे जिनकी अभी आवश्यकता नहीं है। नतीजतन, हम प्राप्त करते हैं:

आप देख सकते हैं कि अगस्त 2017 में ग्राफ पर घटनाओं की शुरुआती तारीख है, फिर एक विफलता, और 2018 की गर्मियों की शुरुआत से बुनियादी ढांचे के उपयोग की बहाली।

क्वेरी से Virustotal तक के परिणाम की कल्पना करें

वस्तुओं और परिणामों पर उप-योग का सारांश प्रस्तुत करने के लिए:

हाइब्रिड-विश्लेषण:
- 4 डोमेन: स्टेट-काउंटर-3-1.bit, स्टेट-काउंटर-4-1.bit, स्टेट-काउंटर-6-1.bit, vpnrooter.bit;
- 19 आईपी पते: 151.80.147.153, 94.156.189.28, 185.177.59.35, 185.203.117.161, 88.221.214.41, 195.123.225.58, 5.135.183.146, 91.92.136.232, 212.73.150.183, 204.85.32.91, 169.31, 169.33। .213.132, 109.69.8.34, 185.190.82.182, 188.165.200.156, 216.58.213.131, 5.149.255.199, 104.28.17.33, 104.28.13.33
Virsutotal:
- 3 यूआरएल - namecha.in/name/d/ya-ru-stat-counter , namecha.in/name/d/stat-counter-3-1 , namecha.in/name/d/mail-ru-stat-counter -cdn

तो, सवाल उठता है:

किस प्रकार का डोमेन ज़ोन * .bit;
Namecha.in के लिए यूआरएल क्या हैं और उत्तर क्या हैं।

यह देखा जा सकता है कि हाइब्रिड-एनालिसिस डेटा से डोमेन नाम स्टेट-काउंटर-3-1. bit url namecha.in/name/d/stat-counter-3-1 के समान है।

प्रारंभ में, मुझे namecha.in के बारे में कोई जानकारी नहीं थी, हालांकि, सामान्य शब्दों में, यह पता चला: एक परियोजना Namecoin है , प्रौद्योगिकी "ब्लॉकचैन" का एक और उपयोग है।

नाम-मूल्य प्रकार के मनमाने संयोजन के लिए नामकोइन एक बिटकॉइन-आधारित भंडारण प्रणाली है, जिसमें से सबसे प्रसिद्ध वैकल्पिक रूट डीएनएस सर्वर की प्रणाली है।

संसाधन Namecha.in - एक वैकल्पिक namecoin ब्लॉक एक्सप्लोरर है।

अर्थात्, namecha.in/name/d/mail-ru-stat-counter-cdn द्वारा, निम्नलिखित सामग्री वापस की जाएगी (संक्षिप्त रूप में ):

स्थिति	सक्रिय
ब्लॉक के बाद समाप्त हो रहा है	461917 (जाने के लिए 30918 ब्लॉक)
अंतिम अद्यतन	2018-11-16 10:35:22 (ब्लॉक 425917)
कब से पंजीकृत है	2018-06-13 19:44:47 (ब्लॉक 402893)
वर्तमान मूल्य	{"आई.पी.": ["185.203.117.161"]}

संचालन

दिनांक / समय	आपरेशन	मूल्य
2018-11-16 10:35:22	OP_NAME_UPDATE	{"आई.पी.": ["185.203.117.161"]}
2018-07-30 14:05:46	OP_NAME_UPDATE	{"आई.पी.": ["195.123.226.143"]}
2018-07-18 11:35:27	OP_NAME_UPDATE	{"आई.पी.": ["185.82.219.79"]}
2018-06-13 19:44:47	OP_NAME_FIRSTUPDATE	{"आई.पी.": ["195.123.217.232"]}

जैसा कि आप देख सकते हैं, एक पूर्वव्यापी सहित निर्दिष्ट डोमेन नाम (मेल-आरयू-स्टेट-काउंटर-सीडीएन.बिट) के आईपी पते के बारे में जानकारी वापस कर दी जाती है।

वैसे, सर्वर 91.217.137.44 ( बिटकॉइन से लिया गया) से nslookup के माध्यम से बिट ज़ोन में एक डोमेन नाम के रिज़ॉल्यूशन की जांच करना संभव है।

Namecha.in पर एक खोज का उपयोग करते हुए, * .bit ज़ोन में निम्नलिखित डोमेन ढूंढना संभव था, जो पीढ़ी और निर्माण के प्रकार से, संभवतः मूल रूप से संबंधित हैं:

namecha.in/name/d/ya-ru-stat-counter , ya-ru-stat-counter.bit;
namecha.in/name/d/ya-ru-stat-counter-cdn , ya-ru-stat-counter-cdn.bit;
namecha.in/name/d/stat-counter-3-1 , stat-counter-3-1.bit;
namecha.in/name/d/stat-counter-3-2 , stat-counter-3-2.bit;
namecha.in/name/d/stat-counter-4-1 , stat-counter-4-1.bit;
namecha.in/name/d/stat-counter-4-2 , स्टेट-काउंटर -4-2.bit;
namecha.in/name/d/stat-counter-6-1 , stat-counter-6-1.bit;
namecha.in/name/d/stat-counter-6-2 , stat-counter-6-2.bit;
namecha.in/name/d/mail-ru-stat , mail-ru-stat.bit;
namecha.in/name/d/mail-ru-stat-cdn , mail-ru-stat-cdn.bit;
namecha.in/name/d/mail-ru-stat-counter , mail-ru-stat-counter.bit;
namecha.in/name/d/mail-ru-stat-counter-cdn , mail-ru-stat-counter-cdn.bit

इसलिए, namecha.in पर प्रश्नों का उपयोग करते हुए, मैंने * .bit ज़ोन में सूचीबद्ध डोमेन पर सभी जानकारी एकत्र की, एक सूचना को डेटाटाइम, IP, URL, डोमेन के साथ एक csv फ़ाइल में सहेजा, इसे Lampyre में आयात किया और ग्राफ के लिए एक टेम्पलेट बनाया।

जानी-मानी कंपनियों में शामिल होने का संकेत देता है, लेकिन यहां सवाल उठते हैं:

उनकी संरचनात्मक पहचान - मेरा मानना है कि अगर वे वास्तव में विभिन्न लोगों द्वारा आविष्कार किए गए थे, तो उनकी संरचना अलग होगी।
जिन IP पते से इन प्रविष्टियों का समाधान किया जाता है, उनका इन दोनों कंपनियों से कोई लेना-देना नहीं है, लेकिन वे विदेशी होस्टर्स से संबंधित हैं। दोनों कंपनियों के रूसी संघ के बाहर अपने स्वयं के डेटा केंद्र हैं और यह संभावना नहीं है कि वे होस्टिंग सेवाओं पर किसी भी सेवा की मेजबानी करना शुरू करेंगे। लेकिन यहां तक कि अगर उन्होंने किया, तो वे इन पतों पर रिवर्स डीएनएस रिकॉर्ड जोड़ सकते हैं।
ऐसा लगता है कि इन उरोजों का आविष्कार स्वयं को प्रसिद्ध रूसी सेवाओं के रूप में करने के लिए किया गया था।

एक ग्राफ के रूप में यह इस तरह दिखता है (यूआरएल के साथ कोने - ग्राफ से हटा दिया गया)

ग्राफ के अनुसार, आप देख सकते हैं कि अप्रैल 2018 से * .bit डोमेन से बुनियादी ढांचा तैयार किया गया है और वर्तमान में इसका उपयोग जारी है। डोमेन और आईपी-पतों की "यादृच्छिकता", जैसा कि मुझे लगता है, बाहर रखा गया है।

इसलिए, आरटीएम ट्रोजन ने namecha.in का रुख किया, इस तथ्य की शुरुआत से, जांच एक निश्चित स्थिर बुनियादी ढांचे में आई - आईपी पते का एक नेटवर्क, जो स्पष्ट रूप से मैलवेयर वितरण अभियान का हिस्सा हो सकता है।

कुल मिलाकर, आईपी पते की पहचान की गई: हाइब्रिड-विश्लेषण से - 19, namecha.in और * .bit डोमेन वाली योजना से - 31।

कुल 44 अद्वितीय आईपी पते:

102.165.37.97, 104.28.16.33, 104.28.17.33, 109.69.8.34, 109.94.110.11, 109.94.110.12, 149.202.30.7, 151.80.147.153, 169.239.129.25, 173.242.124.143, 185.141.61.246, 1854141, 1854141 62.82, 185.177.59.35, 185.190.82.182, 185.203.117.161, 185.203.119.69, 185.205.210.184, 185.206.146.194, 185.82.2.2.7.79, 188.165.200.156, 193.37.212.134, 193.37.212.147.147.112.147.112.147.112.147.112.147.17 195.123.217.232, 195.123.217.242, 195.123.225.58, 195.123.226.143, 195.123.245.184, 204.85.32.91, 212.73.150.183, 216.58.213.131, 216.58.213.132, 5.135.183.146, 5.149.199.199.199999999.2.2.2.2.2। 49.245, 88.221.214.41, 91.92.136.133, 91.92.136.232, 94.156.144.112, 94.156.189.28, 94.156.35.107

और अब, हमारे अध्ययन के इनपुट के लिए समूह-आईबी से विश्लेषक के लेख पर वापस जाएं:

"अगला," RTM "" C & C "सर्वर (निम्नलिखित पते पाए गए: 188.165.200.156, 185.190.82.182, 5.135.183.146, 151.80.147.153, 109.69.8.34) के साथ एक संबंध स्थापित करने की कोशिश करता है। "C & C" सर्वर का IP पता प्राप्त करने के लिए, साइट "namecha.in" पर पहुँचा जाता है।

इन सभी 5 IP पतों को हमारे द्वारा हाइब्रिड-विश्लेषण के पहले अनुरोध के परिणामों के अनुसार तर्क namecha.in के साथ खोजा गया था, और यह केवल उनसे निपटना संभव होगा, लेकिन मैंने अन्य IP पतों को खोजने का प्रयास जारी रखा। परिणामस्वरूप, 44 आईपी पते रिश्तों के विषय पर विश्लेषण और शोध के लिए उपलब्ध हैं।

पहले से ही एक समझ है कि ज्ञात 5 आईपी पते किसी न किसी कारण से जुड़े होने चाहिए, यह संभव है कि नेटवर्क (ग्राफ पर) अन्य 39 पते के साथ भी जुड़ा होगा, या वे सभी एक दिलचस्प संरचना बनाएंगे।

फिर से रूसी हैकर्स?

जाहिर है, हमलों के लक्ष्य रूसी उद्यम थे, और फाइलों को रूसी में बुलाया गया था, और सरकारी एजेंसियों द्वारा भेजे गए विभिन्न ईमेल पतों से भेजा गया था। क्या रूसी निशान के अधिक लक्षण होंगे? उपरोक्त आईपी पते पर और क्या पाया जा सकता है?

आइए देखें कि आईपी पते देशों के हैं और निम्नलिखित परिणाम प्राप्त करें: संयुक्त राज्य अमेरिका, बुल्गारिया, फ्रांस, ऑस्ट्रिया, कनाडा, चेकिया, नीदरलैंड, पोलैंड, दक्षिण अफ्रीका, स्पेन।

जाँच करें कि क्या टो नेटवर्क नोड्स 44 आईपी पतों में पाए गए थे, यह इस तरह की जाँच को अंजाम देने के लिए अतिश्योक्तिपूर्ण नहीं होगा।

ध्यान दें कि आईपी 151.80.147.153 - 2015 के बाद से, एक नियमित टीओआर नेटवर्क नोड, उपनाम: DarkOVH, ईमेल: julles.reneau@post.com - यह आईपी ग्रुप-आईबी विश्लेषक और हाइब्रिड-विश्लेषण रिपोर्ट की रिपोर्ट के अनुसार गुजरता है।

यदि हम इन आईपी पते से टॉरेंट डाउनलोड (बाहर) करते हैं तो हम जाँच करेंगे।

और अब, मेरे हिस्से के लिए, एक छोटी सी चाल होगी - चूंकि लेख दो दृष्टिकोणों में तैयार किया गया था, मैं पहले से ही यथोचित रूप से मानता हूं कि कोई व्यक्ति जो 188.165.200.156 पर रूसी बोलता है, लेकिन अब स्क्रीनशॉट और तालिका से बिल्कुल भी स्पष्ट नहीं है। इससे पहले, एक लेख लिखने के पहले दृष्टिकोण में, निहित टोरेंट पर एक खोज करने से परिणाम, दूसरों के बीच में, ऐसी जानकारी:

30.11.2018 14:36:00 30.11.2018 14:36:00 188.165.200.156  ( 1) Preacher (2016).WEB-DL.720p.LostFilm 1976 cd46d4168ee44f31fbefce4303e24cbbda2d2cafe8283fa30363bc6148455d1ac1130edad0c9237934c05bf6c2d857c7

यही है, इस आईपी पते के पीछे का उपयोगकर्ता रूसी समझता है? और हाँ, 188.165.200.156 भी 5 दिलचस्प पतों में से एक है।

इसलिए, वर्तमान दृश्य जांच के ढांचे के भीतर धारणा की पुष्टि करने के लिए, कि "रूसी कॉमरेड" के समान कोई व्यक्ति आईपी 188.165.200.156 के पीछे बैठता है, हम निम्नलिखित पंक्ति का चयन करते हैं:

 17.12.2018 18:18:00 17.12.2018 18:18:00 188.165.200.156 Books 2017-14 986 186a81cee9d9900f42f700bc53a9da08f5ba6cd2ab56b885e3157f063f203871e01c95d2877325710a1859a66c71a379

टोरेंट आईडी द्वारा, हम आईडी द्वारा एक अनुरोधित डाउनलोड की गई टोरेंट की जानकारी भेजते हैं और हमें एक उत्तर मिलता है कि किसने और किस आईपी ने दिए गए आईडी के साथ टोरेंट डाउनलोड किया है। परिणाम इस प्रकार है:

इस तरह के टोरेंट के डाउनलोड और वितरकों की तालिका के अनुसार, ये सभी रूसी भाषी कामरेड हैं। इसके अलावा, Lampyre यह नहीं बताता है कि यह iknowwhatyoudownload.com सेवा के परिणाम का उपयोग करता है, और सिद्धांत रूप में, कोई भी लिंक का पालन करके धार की सामग्री को देख सकता है - रूसी में बहुत सारी पुस्तक फाइलें हैं।

अंतिम लेआउट और अजीब संसाधन

लैम्पियर और विज़ुअलाइज़ेशन के तरीकों (ग्राफ स्टैकिंग, अनावश्यक वर्टिकल डिलीट करना, वर्टिकलिंग ग्रुपिंग, ग्राफ़ के गुण और किनारों के दृश्य बदलना) से प्रश्नों को जोड़कर, ऐसी योजना बनाई गई थी ।

इस प्रक्रिया में, विभिन्न कठिनाइयाँ उत्पन्न हुईं, और कुछ इनपुट डेटा के अनुसार हाइब्रिड-विश्लेषण में जानकारी की कमी दिखाई दी, और वीरस्टोटल सेवा ने लैंपविरे के अनुरोध पर एक डेटा स्लाइस लौटाया, जबकि इसे www.virustotal-#/home/upload पर इंटरफ़ेस से प्रदान करते हुए इसे एक और प्रदान किया। डेटा सेट, www.virustotal.com/gui/home/upload - सबसे पूर्ण डेटा से इंटरफ़ेस से खोज के माध्यम से। अंतिम आरेख पर कई लिंक - किनारों को बनाने के मैनुअल मोड में लैम्पीयर में संकलित।

मेरी राय में, आरेख स्पष्ट रूप से आईपी-पतों, नामों और दुर्भावनापूर्ण फ़ाइलों के हैश मूल्यों के बीच के संबंध को दर्शाता है। आईपी पते से ग्राफ पर क्षेत्र प्रतिष्ठित है: 151.80.147.153, 188.165.200.156, 5.135.183.146, 54.38.49.245, 149.202.30.7।
जीआईबी विश्लेषकों द्वारा निर्धारित आईपी पते 151.80.147.153, 188.165.200.156, 5.135.183.146, 185.190.82.182, 109.69.8.34 हैं।

जैसा कि आप आरेख से देख सकते हैं, GIB रिपोर्ट में प्रस्तुत आईपी पते - 185.190.82.182, 109.69.8.34 हैश से जुड़े हुए हैं: b0cde90e300e6d86394de375cdbb462962016521d9487922922e49e49e5e4977a, जो कि, जो कि, बारी में, से जुड़ा है। साल।

दुर्भावनापूर्ण गतिविधि से संबंधित अगली घटना जून 2018 में शुरू होती है और 2018 के अंत तक बढ़ रही है।

एक अच्छे तरीके से, ओएचएच प्रदाता के आईपी पते पर प्रबंधन, पंजीकरण, भुगतान और इतने तक पहुंच के लॉग के साथ जांच जारी रखी जा सकती है। लेकिन अफसोस, ऐसा कोई डेटा नहीं है, और जांच पूरी हो सकती है, लेकिन ...

जांच के दौरान, संसाधनों के वेब पृष्ठों की सामग्री को ब्राउज़ करना मेरे सिर से फ्रेंच संसाधन arthurgarnier.fr के बाहर नहीं गया

यह ध्यान देने योग्य है कि वह अपने सिर से बाहर नहीं निकला, क्योंकि रूसी टोरेंट ने उससे डाउनलोड (वितरित) किया था।

संसाधन कथित रूप से फ्रांसीसी इंजीनियर "आर्थर गार्नियर" का है, संसाधन भी उसके फिर से शुरू होने का संकेत देता है - arthurgarnier.fr/CV_A_Garnier.pdf । जिससे यह सीखना संभव है: github.com/ArthurGarnier , www.linkedin.com/in/arthur-garnier-13326880 । इसके अलावा, सारांश के अनुसार, इसे 2017 के अंत में संकलित किया गया था, यह github.com में बेहद कम लिखता है। Www.linkedin.com प्रोफ़ाइल इंगित करता है कि अक्टूबर 2017 से वर्तमान तक, आर्थर ग्रुप SII में एक इंजीनियर रहा है। और ऐसा लगता है कि कुछ भी नहीं, लेकिन एक ही बात ... लेकिन पेज पर, अन्य बातों के अलावा, आर्थर के ट्विटर अकाउंट twitter.com/Dark_Arthur का पता दर्शाया गया है

और यहाँ जब आप अपने खाते में जाते हैं

इस प्रोफ़ाइल के पीछे कौन है, क्यों रूसी भाषा के ट्विटर अकाउंट को आर्थर की वेबसाइट पर इंगित किया गया है, और माना जाता है कि यह वास्तविक नहीं है, बाद में पाया गया खाता: twitter.com/UpsiloN1X - एक सवाल है।

निष्कर्ष में, यह कहना संभव है कि, शुरू में घोषित लक्ष्य हासिल नहीं किया गया था, लेकिन इस तरह के एक अध्ययन के परिणाम, साथ ही अनुभूति की प्रक्रिया, बहुत ही रोमांचक निकली।

ट्विटर पर खाते के बारे में सवाल थे, आईपी पते की सूची, "रूसी ट्रैक" के बारे में इतनी जानकारी क्यों। मुझे लगता है कि सच्चे आर्थर से संपर्क करके एक स्वतंत्र जांच जारी रखना संभव होगा, अगर वह अभी भी अपने सर्वर का प्रबंधन करता है (यदि सर्वर बिल्कुल भी)।

खुद का शोध, क्या खुला स्रोत हमें बता सकते हैं?

फिर से रूसी हैकर्स?

अंतिम लेआउट और अजीब संसाधन

More articles: