ESET: नई Zebrocy Components का विश्लेषण

साइबरबर्ग सेडनीट कम से कम 2004 से काम कर रहा है और नियमित रूप से समाचार पर दिखाई देता है। माना जाता है कि 2016 के चुनावों से पहले अमेरिकी डेमोक्रेटिक नेशनल कमेटी, वर्ल्ड एंटी-डोपिंग एजेंसी (WADA), TV5Monde टेलीविज़न नेटवर्क, और अन्य हमलों के बाद सेडनीट (बेहतर फ़र्ज़ी भालू के रूप में जाना जाता है)। समूह के शस्त्रागार में दुर्भावनापूर्ण टूल का एक सेट शामिल है, जिनमें से कुछ हमने पिछली रिपोर्ट में दस्तावेज किए हैं।

हमने हाल ही में एक UEFI रूटकिट LoJax पर एक रिपोर्ट जारी की, जो सेडनीट से भी संबंधित है और बाल्कन में हमलों में मध्य और पूर्वी यूरोप में इस्तेमाल की गई थी।

अगस्त 2018 में, सेडनिट ऑपरेटरों ने दो नए ज़ेब्रोसी घटकों को तैनात किया, और अब से हमने इस उपकरण के उपयोग में वृद्धि देखी है। Zebrocy बूटलोडर्स, ड्रॉपर और बैकडोर का एक संग्रह है। डाउनलोडर और ड्रॉपर खुफिया के लिए हैं, जबकि बैकडोर दृढ़ता और स्पायवेयर प्रदान करते हैं। इन नए घटकों में मेल सर्विस प्रोटोकॉल SMTP और POP3 के माध्यम से एकत्र किए गए डेटा को एक्सफ़िलिएट करने का एक असामान्य तरीका है।


नए औजारों के शिकार ज़ेब्रोसी के बारे में हमारी पिछली पोस्ट में बताए गए पीड़ितों से मिलते जुलते हैं, साथ ही साथ कास्परस्की लैब में भी । हमलों के लक्ष्य मध्य एशिया, मध्य और पूर्वी यूरोप में हैं, ये मुख्य रूप से दूतावास, विदेश मंत्रालय और राजनयिक हैं।

सिंहावलोकन

चित्रा 1. पुराने और नए Zebrocy घटकों के योजनाबद्ध

दो वर्षों के लिए, साइबरबर्ग सेडनीट ने फ़िशिंग ईमेल का इस्तेमाल ज़ेब्रोसी के लिए संक्रमण के वेक्टर के रूप में किया था (ऊपर तालिका में विकल्प 1 और 2)। समझौता होने के बाद, हमलावरों ने पीड़ित के बारे में जानकारी इकट्ठा करने के लिए पहले चरण के विभिन्न बूटलोडर्स का इस्तेमाल किया और, ब्याज के मामले में, कुछ घंटों या दिनों के बाद दूसरे स्तर के एक बैकस्टेड को तैनात किया।

क्लासिक ज़ब्रोसी अभियान योजना पत्र के अनुलग्नक में एक संग्रह के रूप में पीड़ित को प्राप्त करना है। संग्रह में दो फ़ाइलें हैं, जिनमें से एक हानिरहित दस्तावेज़ है, और दूसरा एक निष्पादन योग्य फ़ाइल है। हमलावर दूसरी फ़ाइल को दस्तावेज़ या छवि का विशिष्ट नाम और "डबल एक्सटेंशन" का उपयोग करके पीड़ित को बरगलाते हैं।

नए अभियान (तालिका में विकल्प 3) में, एक अधिक जटिल योजना का उपयोग किया जाता है - हम नीचे इसका विश्लेषण करेंगे।

डेल्फी ड्रॉपर

पहला बाइनरी एक डेल्फी ड्रॉपर है, जो ज़ेब्रोसी अभियान के लिए काफी असामान्य है। ज्यादातर मामलों में, यह हमले के पहले चरण में पीड़ित के सिस्टम पर स्थापित एक बूटलोडर है।

कई तरीकों की मदद से ड्रॉपर रिवर्स इंजीनियरिंग को जटिल बनाता है। जांच किए गए नमूनों में, वह कुंजी तत्वों की शुरुआत और अंत को इंगित करने के लिए कीवर्ड लीवर का उपयोग करता है, जैसा कि नीचे दिखाया गया है।

$ yara -s tag_yara.yar SCANPASS_QXWEGRFGCVT_323803488900X_jpeg.exe find_tag SCANPASS_QXWEGRFGCVT_323803488900X_jpeg.exe 0x4c260:$tag: l\x00i\x00v\x00e\x00r\x00 0x6f000:$tag: liver 0x6f020:$tag: liver 0x13ab0c:$tag: liver 

ऊपर यारा नियम स्ट्रिंग लीवर की खोज करता है । यकृत की पहली पंक्ति का उपयोग कोड में किया जाता है, लेकिन यह कुछ भी अलग नहीं करता है, जबकि अन्य प्रमुख विवरणकर्ता को साझा करते हैं, छवि (इसका हेक्सडंप नीचे दिखाया गया है) और ड्रॉपर में एन्क्रिप्टेड घटक।

 $ hexdump -Cn 48 -s 0x6f000 SCANPASS_QXWEGRFGCVT_323803488900X_jpeg.exe 0006f000 6c 69 76 65 72 4f 70 65 6e 41 69 72 33 39 30 34 |liverOpenAir3904| 0006f010 35 5f 42 61 79 72 65 6e 5f 4d 75 6e 63 68 65 6e |5_Bayren_Munchen| 0006f020 6c 69 76 65 72 ff d8 ff e0 00 10 4a 46 49 46 00 |liver……JFIF.| 

सबसे पहले, डेटा फ़ाइल नाम C: \ Users \ public \ Pictures \ scanPassport.jpg के साथ सहेजा जाता है , अगर ऐसी फ़ाइल पहले से मौजूद नहीं है।

दिलचस्प बात यह है कि ड्रॉपर फ़ाइल को SCANPASS_QXWEGRFGCVT_323803488900X_jpeg.exe कहा जाता है, जो पासपोर्ट और यात्रा से संबंधित एक फ़िशिंग योजना का भी सुझाव देता है। इसका मतलब यह हो सकता है कि ऑपरेटर फ़िशिंग संदेश का उद्देश्य जान सकता है। ड्रॉपर छवि को खोलता है और, यदि फ़ाइल पहले से मौजूद है, तो निष्पादन बंद हो जाता है। अन्यथा, वह इसे खोलता है और कुंजी हैंडल OpenAir39045_Bayren_Munchen प्राप्त करता है। छवि गायब है, हालांकि प्रारूप सही है - नीचे आंकड़ा देखें।


चित्रा 2. ScanPassport.jpg

मुख्य वर्णनकर्ता लाइन में बेरेन_मंच - एफसी बेयर्न म्यूनिख फुटबॉल टीम का संदर्भ है। किसी भी मामले में, विवरणक की सामग्री महत्वपूर्ण नहीं है, लेकिन इसकी लंबाई, जिसके साथ आप घटक को डिक्रिप्ट करने के लिए XOR कुंजी प्राप्त कर सकते हैं।

XOR कुंजी प्राप्त करने के लिए, ड्रॉपर अंतिम लीवर कीवर्ड की खोज करता है और इसे डिस्क्रिप्टर की लंबाई से इंडेंट करता है। XOR कुंजी की लंबाई 27 (0x1b) बाइट्स (कुंजी विवरणक की लंबाई के समान) है।

XOR कुंजी और एक साधारण लूप का उपयोग करते हुए, ड्रॉपर अंतिम भाग को एन्क्रिप्ट करता है - फ़ाइल के अंतिम टैग के तुरंत बाद स्थित एन्क्रिप्टेड घटक। कृपया ध्यान दें कि निष्पादन योग्य घटक का एमजेड हेडर लिवर कीवर्ड के तुरंत बाद शुरू होता है, और एक्सओआर कुंजी पीई हेडर के हिस्से से प्राप्त की जाती है, जो आमतौर पर घटक के डिक्रिप्शन के बाद बरामद 0x00 बाइट्स का एक क्रम है, जैसा कि नीचे दिए गए चित्र में दिखाया गया है।


चित्रा 3. एन्क्रिप्टेड घटक (बाएं) बनाम डिक्रिप्टेड घटक (दाएं)

घटक C: \ Users \ Public \ Documents \ AcrobatReader.txt पर रीसेट है और फ़ाइल को C: \ Users \ Public \ Documents \ AcrobatReader.exe में कनवर्ट करता है ।

शायद यह पीसी के संरक्षण को बायपास करने का एक प्रयास है, जो एक चेतावनी उत्पन्न करता है जब बाइनरी फ़ाइल डिस्क के साथ एक्सटेंशन .exe के साथ फ़ाइल को फ्लश करता है।

एक बार फिर, ऑपरेटर पीड़ित को छलने की कोशिश करता है, और यदि वह निर्देशिका पर ध्यान देती है, तो वह चित्र को निम्न आकृति में देखेगी:


चित्रा 4. घटक एक पीडीएफ फाइल की तरह दिखता है

डिफ़ॉल्ट रूप से, विंडोज एक्सटेंशन को छुपाता है, और यह एक हमलावर द्वारा उपयोग किया जाता है जो डॉक्यूमेंट्स फ़ोल्डर में निष्पादन योग्य फ़ाइल को डंप करता है और इसे पीडीएफ के रूप में प्रच्छन्न करता है।

अंत में, ड्रॉपर होस्ट किए गए घटक को निष्पादित करता है और बाहर निकलता है।

MSIL मेल लोडर

पिछले ड्रॉपर का डिलीवर किया गया कंपोनेंट MSIL लोडर है जो UPX से पैक है। बेहतर समझ के लिए, प्रक्रिया का तर्क नीचे वर्णित है, फिर स्रोत कोड दिया गया है और नियंत्रण योजना पर विचार किया गया है।

एप्लिकेशन लॉन्च करने के लिए मुख्य विधि कॉल रन , जो तब फॉर्म 1 बनाता है।

 {   Application.EnableVisualStyles();   Application.SetCompatibleTextRenderingDefault(false);   Application.Run((Form) new Form1()); } 

फ़ॉर्म 1 कई चर प्रदान करता है, जिनमें से सात के लिए एक नया टाइमर शामिल है।

    this.start = new Timer(this.components);  this.inf = new Timer(this.components);   this.txt = new Timer(this.components);   this.subject = new Timer(this.components);   this.run = new Timer(this.components);   this.load = new Timer(this.components);   this.screen = new Timer(this.components); 

टाइमर ऑब्जेक्ट में तीन महत्वपूर्ण फ़ील्ड हैं:

• सक्षम: सक्षम टाइमर स्थिति इंगित करता है।
• अंतराल: मिलीसेकंड में घटनाओं के बीच का समय
• टिक: टाइमर समाप्त होने पर और टाइमर चालू होने पर कॉलबैक निष्पादित किया जाता है

फ़ील्ड निम्नानुसार इंगित की गई हैं:

   this.start.Enabled = true;   this.start.Interval = 120000;   this.start.Tick += new EventHandler(this.start_Tick);   this.inf.Interval = 10000;   this.inf.Tick += new EventHandler(this.inf_Tick);   this.txt.Interval = 120000;   this.txt.Tick += new EventHandler(this.txt_Tick);   this.subject.Interval = 120000;   this.subject.Tick += new EventHandler(this.subject_Tick);   this.run.Interval = 60000;   this.run.Tick += new EventHandler(this.run_Tick);   this.load.Interval = 120000;   this.load.Tick += new EventHandler(this.load_Tick);   this.screen.Interval = 8000;   this.screen.Tick += new EventHandler(this.screen_Tick); 

प्रत्येक वस्तु के लिए, अंतराल अंतराल 8 सेकंड से 2 मिनट तक निर्धारित किया जाता है। ईवेंट हैंडलर में कॉलबैक जोड़ा जाता है। ध्यान दें कि प्रारंभ केवल सक्षम के लिए मान को सेट करता है, जिसका अर्थ है कि 2 मिनट (12,000 मिलीसेकंड = 120 सेकंड) के बाद, start_Tick को ईवेंट हैंडलर द्वारा बुलाया जाएगा।

    private void start_Tick(object sender, EventArgs e)   {       try       {           this.start.Enabled = false;           Lenor lenor = new Lenor();           this.dir = !Directory.Exists(this.label15.Text.ToString()) ? this.label16.Text.ToString() + "\" : this.label15.Text.ToString() + "\";           this.att = this.dir + "audev.txt";           this._id = lenor.id(this.dir);           this.inf.Enabled = true;       } 

इसके अलावा, प्रत्येक विधि समान व्यवहार प्रदर्शित करती है - शुरुआत में झूठे को सक्षम मान को बदल देती है। विधि निष्पादित की गई है, और फिर अगले ऑब्जेक्ट के सक्षम मान को सही पर बदलता है , जो अगले टाइमर को सक्रिय करता है। सक्षम चर का उपयोग ऑपरेटर द्वारा राज्य मशीन की तरह कुछ बनाने के लिए किया जाता है - यदि फ़ंक्शन काम नहीं करता है, तो तंत्र अपने निष्पादन को दोहराता है जब तक कि यह एक सकारात्मक परिणाम प्राप्त नहीं करता है। दो कार्यों के निष्पादन के बीच के समय को देरी को जोड़कर एंटी-वायरस सुरक्षा को बायपास करने के प्रयास के रूप में इस्तेमाल किया जा सकता है।

अब, प्रत्येक विधि की संरचना का वर्णन करने के बाद, हम नियंत्रण एल्गोरिथ्म पर आगे बढ़ते हैं। निम्नलिखित मेलबॉक्स के बीच ईमेल के आदान-प्रदान के रूप में चरणों का अवलोकन है।


चित्रा 5. ईमेल विनिमय

निष्पादन के दौरान फ़ाइलों में से प्रत्येक को डंप करने के लिए उपयोग किए जाने वाले एक विशिष्ट पथ के अस्तित्व के लिए मालवार जाँच करता है। यदि संभव हो, तो C: \ Users \ Public \ Videos \ का उपयोग करें , अन्यथा C: \ Documents and Settings \ All Users \ Documents \ को डिफ़ॉल्ट निर्देशिका के रूप में। कृपया ध्यान दें कि दूसरा रास्ता विंडोज एक्सपी के लिए विशिष्ट है, जबकि पहला रास्ता विस्टा के लिए विशिष्ट है और उच्चतर है।

एक 16-बाइट आईडी आयतन C: और उपयोगकर्ता नाम की सीरियल संख्या को मिलाकर बनाई गई है; यह audev.txt फ़ाइल में संग्रहीत है।

बूटलोडर निम्नलिखित जानकारी एकत्र करता है:
- वर्तमान आवेदन पथ
- ऑपरेटिंग सिस्टम संस्करण
- सिस्टम निर्देशिका
- उपयोगकर्ता डोमेन
- कार का नाम
- उपयोगकर्ता नाम
- वर्तमान समय क्षेत्र
- वर्तमान तिथि
- तार्किक ड्राइव की सूची और उनमें से प्रत्येक के बारे में जानकारी (मॉडल, सीरियल नंबर, आदि)
- निर्देशिकाओं की सूची C: \ Program Files \ और C: \ Program Files (x86) \
- प्रक्रियाओं की सूची

यह डेटा C: \ Users \ Public \ Videos \ si.ini में संग्रहीत है और डिफ़ॉल्ट पोर्ट 465 का उपयोग करके SMTPS के माध्यम से अनुलग्नक में पत्र द्वारा भेजा गया है। संदेश बॉडी में SI लाइन (जिसका अर्थ सिस्टम जानकारी हो सकता है), संदेश प्राप्तकर्ता symp7 है। g@post.cz सूचनाओं के पूरे आदान-प्रदान के लिए, अक्षरों के विषय को आईडी के रूप में इंगित किया गया है।

ऑपरेटर ने कई अतिरिक्त पते बनाने का फैसला किया और एक ही पत्र दो अन्य प्राप्तकर्ताओं को भेजता है, सबसे अधिक संभावना है, अगर प्राथमिक पता काम नहीं करता है। पत्र भेजने के बाद, बूटलोडर si.ini फ़ाइल को हटा देता है।

मालवेयर के पहले रन के दौरान, एक सेट.टैक्स फ़ाइल {System_Parametrs = 10} पाठ और विंडोज रजिस्ट्री कुंजी में एक प्रविष्टि के साथ बनाई जाती है ।


चित्रा 6. रजिस्ट्री में दृढ़ता

एक स्क्रीनशॉट को पीड़ित के कंप्यूटर से scx.bin नाम के तहत लिया गया है और संदेश के शरीर में पाठ SC (जिसका अर्थ स्क्रीनशॉट हो सकता है) के साथ ईमेल संलग्नक द्वारा भेजा गया है।

भेजने के बाद, मैलवेयर SSL (पोर्ट 995) पर POP3 प्रोटोकॉल का उपयोग करके मेलबॉक्स kae.mezhnosh@post.cz से संपर्क करता है और आईडी से मेल खाने वाले विषय के साथ संदेशों की तलाश करता है। यदि ऐसा कोई संदेश मौजूद है और शरीर खाली नहीं है, तो मैलवेयर इसे हटा देता है और शरीर में okey के साथ एक संदेश को sym777.g@post.cz पर भेजता है । पहले प्राप्त संदेश की सामग्री इस प्रकार साफ़ और पार्स की गई है:

 string[] strArray = this._adr.Replace("B&", "").Replace("Db", "").Split('%');       string str1 = strArray[0];       string str2 = strArray[1]; 

दो लाइनें प्राप्त की जाती हैं: पहला पासवर्ड है, और दूसरा मेल पते के लिए उपयोगकर्ता नाम है।

प्राप्त मेलबॉक्स से कनेक्ट करने के लिए नए क्रेडेंशियल्स का उपयोग किया जाता है, इसमें उस विषय के साथ एक संदेश की खोज करते हैं जो माल्वारी की आईडी से मेल खाता है, और फ़ाइल नाम में स्ट्रिंग audev के साथ एक आवेदन। यदि दोनों शर्तें पूरी होती हैं, तो मैलवेयर एप्लिकेशन को स्टोर करता है और सर्वर से संदेश को हटा देता है।

एक संदेश लॉग sym777.g@post.cz को भेजा जाता है, और POP3 के माध्यम से प्राप्त संदेश हाल ही में प्राप्त उपयोगकर्ता डेटा के साथ प्राप्तकर्ता से आते हैं।

हमले की योजना जांच को जटिल बनाती है। सबसे पहले, यदि आपके पास अक्षरों के साथ एक बूटलोडर है, तो आप अगले चरण वाले मेलबॉक्स से कनेक्ट नहीं कर सकते।

दूसरे, यदि आपको मेल के लिए क्रेडेंशियल्स मिलते हैं, तो भी आपको अगला पेलोड नहीं मिल सकता है क्योंकि यह रसीद के बाद हटा दिया जाता है।

जब बूटलोडर डिस्क के लिए अनुलग्नक को सफलतापूर्वक लिखता है, तो यह मेल को शरीर में okey2 के साथ एक संदेश भेजता है और l.txt अटैचमेंट 090 होता है । उसी फ़ाइल को शून्य से अधिलेखित किया जाता है, और मैलवेयर एक अन्य संदेश प्राप्त करने की कोशिश करता है। यदि यह काम करता है, तो l.txt फ़ाइल को शरीर में okey3 के साथ भेजा जाता है। अनुलग्नक की सामग्री निर्देशिका और फ़ाइल नाम है। मालवर ने इस पते पर audev फ़ाइल को स्थानांतरित किया। अंत में, मैलवेयर शरीर में okey4 के साथ एक ईमेल भेजता है और अनुलग्नक में l.txt । यह निष्पादन योग्य फ़ाइल, audev.exe को लॉन्च करता है , और प्रक्रिया सूची में audev लाइन की उपस्थिति के लिए जांच करता है।

   Process.Start(this.rn);   foreach (Process process in Process.GetProcesses())   {       if (process.ProcessName.Contains("audev")) } 

यदि ऐसा नाम पाया जाता है, तो अंतिम पत्र भेजा जाएगा, जिसमें बॉडी okey5 और अनुलग्नक में l.txt शामिल है। अंत में, l.txt और set.txt को हटा दिया जाता है, बनाई गई विंडोज रजिस्ट्री कुंजी को हटा दिया जाता है, और प्रोग्राम समाप्त हो जाता है।

डेल्फी मेल डाउनलोडर

बूटलोडर की मुख्य भूमिका एक समझौता प्रणाली के महत्व का आकलन करना है और, यदि यह दिलचस्प है, तो नवीनतम ज़ेब्रॉसी बूटलोडर को लोड और निष्पादित करें।

बाइनरी फ़ाइल डेल्फी में लिखी गई है और UPX का उपयोग करके पैक की गई है। TForm1 ऑब्जेक्ट की पूरी परिभाषा अपने संसाधनों के साथ अनुभाग में पाई जा सकती है, यह कुछ उपयोग किए गए कॉन्फ़िगरेशन मापदंडों को दर्शाता है। निम्नलिखित अनुभाग बूटलोडर के आरंभीकरण, क्षमताओं और नेटवर्क प्रोटोकॉल का वर्णन करते हैं।

प्रारंभ

सबसे पहले, स्ट्रिंग्स के सेट को डिक्रिप्ट करता है जो ईमेल पते और पासवर्ड हैं। ऑपरेटर एईएस ईसीबी एन्क्रिप्शन एल्गोरिथ्म लागू करता है। प्रत्येक पंक्ति को हेक्साडेसिमल स्थान में डिक्रिप्ट किया गया है, जहां पहले चार बाइट्स डिक्रिप्टेड लाइन के अंतिम आकार के अनुरूप हैं (अंत में डिक्रिप्टेड लाइनें कुछ इंडेंटेशन हो सकती हैं)। TForm1 ऑब्जेक्ट में दो एईएस कुंजी शामिल हैं: पहला डेटा एन्क्रिप्ट करने के लिए उपयोग किया जाता है, और दूसरा इसे डिक्रिप्ट करने के लिए उपयोग किया जाता है।

मेल पते और पासवर्ड का उपयोग ऑपरेटर द्वारा मालवारी में कमांड भेजने के लिए किया जाता है, साथ ही पीड़ित के कंप्यूटर से एकत्रित जानकारी प्राप्त करने के लिए भी किया जाता है। संचार प्रोटोकॉल SMTP और POP3 लागू होते हैं - दोनों एसएसएल के माध्यम से। ओपनएसएसएल का उपयोग करने के लिए, मैलवेयर दो ओपेनएसएसएल डायनेमिक लाइब्रेरी का उपयोग करता है और उसका उपयोग करता है: libeay32.dll (98c348cab0f835d6cf17c3a31cd5811f86c0388b) और ssleay32.dll (6d981d71895581dfb103186864868686) ।


चित्रा 7. ओपनएसएसएल डीएलएल गुण

कृपया ध्यान दें कि सभी फ़ाइलों को मैलवेयर के कार्य निर्देशिका में डंप किया गया है : C: \ Users \ Public \ ।

प्रवेश स्क्रिप्ट की प्रसिद्ध पटकथा तकनीक के माध्यम से मालवरी के पहले निष्पादन के दौरान दृढ़ता प्रदान की जाती है। Registration.bat स्क्रिप्ट के साथ एक फाइल बनाई जाती है और TForm1 ऑब्जेक्ट से कई लाइनें लिखी जाती हैं। अंतिम स्क्रिप्ट इस प्रकार है:

 reg add HKCU\Environment /v "UserInitMprLogonScript" /t REG_EXPAND_SZ /d "C:\Users\Public\Videos\audev.exe" /f del C:\Users\Public\Videos\registr.bat exit 

पिछले नहीं बल्कि कम से कम, मैलवेयर एक आईडी बनाता है, उसी तरह जैसा कि पहले वर्णित ज़ब्रोसी बायनेरिज़ में है। यह GetUserNameW विंडोज एपीआई का उपयोग करके उपयोगकर्ता नाम प्राप्त करता है और शुरुआत में C: \ ड्राइव के सीरियल नंबर को जोड़ता है।

संभावनाएं

यह देखते हुए कि पीड़ित के बारे में जानकारी एकत्र करने के लिए कई शर्तें और प्रक्रियाएं हैं, निम्नलिखित इसकी विभिन्न क्षमताओं का विवरण है। स्कैन कॉन्फ़िगरेशन को TForm1 ऑब्जेक्ट में संग्रहीत किया जाता है, जहां पीड़ित के कंप्यूटर से जानकारी एकत्र करने के लिए सात अलग-अलग संभावनाओं को समूहीकृत किया जाता है।

एक साधारण स्कैन से शुरू होने वाली, पहली जानकारी जो मैलवेयर प्राप्त कर सकती है, वह निम्न एक्सटेंशन वाली फ़ाइलों से संबंधित है: .docx, .xlsx, .pdf, .pptx, .rar, .zip, .jpg, .bmp, .tiff डिस्क पर पाई गई प्रत्येक फ़ाइल के लिए, मैलवेयर को पूर्ण पथ और अंतिम संशोधन तिथि प्राप्त होती है। यह जानकारी एईएस कुंजी का उपयोग करके एन्क्रिप्ट की गई है, जिसके बारे में हमने पहले बात की थी, और 0.txt फ़ाइल में संग्रहीत की गई थी। एक्सटेंशन में एक अन्य स्कैन का उद्देश्य है .dat, .json, .db और, जैसा कि पिछले मामले में है, पूर्ण पथ प्राप्त करता है और अंतिम तिथि फ़ाइल बदल दी गई थी। यह फिर उन्हें एन्क्रिप्ट करता है और 57.txt फ़ाइल में संग्रहीत करता है।

चल रही प्रक्रियाओं की लिस्टिंग मालवरी की एक और विशेषता है जो आपको 08.txt फ़ाइल में जानकारी संग्रहीत करने की अनुमति देती है। यह इस तरह दिखता है:

 ======Listing_of_processes======= [System Process] System smss.exe csrss.exe wininit.exe csrss.exe winlogon.exe services.exe lsass.exe […] 

I.txt फ़ाइल पीड़ित के कंप्यूटर के बारे में सामान्य जानकारी एकत्र करती है, साथ ही साथ माल्वारी (संस्करण संख्या और जिस पथ पर इसे निष्पादित किया जाता है) के बारे में कुछ जानकारी एकत्र करती है। नीचे दिए गए उदाहरण देखें:

 v7.00 C:\Users\Public\Videos\audev.txt ============================================ Log_Drivers: C: fixed; size= 102297 Mb, free=83927 Mb S/N: [redacted] ================================================== OSV: Windows 7 WinType: 32 WinDir: C:\Windows Lang: English (United States) TZ: UTC1:0 Romance Standard Time HostN: [redacted]-PC User: [redacted] ===============S_LIST===================== C:\Program Files\Common Files C:\Program Files\desktop.ini C:\Program Files\DVD Maker C:\Program Files\Internet Explorer C:\Program Files\Microsoft.NET C:\Program Files\MSBuild C:\Program Files\Reference Assemblies C:\Program Files\Uninstall Information C:\Program Files\Windows Defender […] 

मैलवेयर स्क्रीनशॉट ले सकते हैं, जो 2 \ [YYYY-mm-dd HH-MM-SS] -Image_001.jpg प्रारूप में सहेजे जाते हैं, और सभी कैप्चर किए गए स्क्रीनशॉट की फ़ाइलों के लिए पथों की एक सूची के साथ एक और फ़ाइल 2 \ sa.bin उत्पन्न करता है। अंतिम विकल्प नेटवर्क घटकों और सिस्टम डेटा को सूचीबद्ध करना है, परिणाम 4.txt में लिखा गया है।

नेटवर्क प्रोटोकॉल

डेल्फी मेल लोडर ज़ेब्रोसी टूलकिट के लिए एक अपेक्षाकृत नया अतिरिक्त है, यह ऑपरेटर से डेटा को एक्सफ़िलिएट करने और कमांड प्राप्त करने का एक नया तरीका प्रदान करता है। एक्सफ़िल्ट्रेशन काफी सरल है, लेकिन यह नेटवर्क पर बहुत अधिक शोर करता है, क्योंकि पहले एकत्रित एन्क्रिप्टेड फाइलें एसएमटीपीएस के माध्यम से भेजी जाती हैं, फ़ाइल का प्रत्येक संस्करण तीन बार होता है।



संदेश का विषय पीड़ित आईडी है , और फ़ाइल को सामग्री के अनुरूप कीवर्ड के साथ अनुलग्नक के रूप में भेजा जाता है। कृपया ध्यान दें कि प्रत्येक फ़ाइल के लिए एक एन्क्रिप्टेड संस्करण भेजा जा रहा है।



दोनों स्कैन के लिए स्क्रीनशॉट और फाइलें भी भेजी जाती हैं, लेकिन अलग-अलग कीवर्ड के साथ।




चित्रा 8. प्रेषित डेटा के साथ एक संदेश का उदाहरण

जबकि एसएमटीपी का उपयोग डेटा एक्सफ़िलिएशन के लिए किया जाता है, बाइनरी फ़ाइल POP3 और संदेश पार्सिंग के माध्यम से tomasso25@ambcomission.com मेल पते से जुड़ी होती है। पत्र के मुख्य भाग में मैलवेयर द्वारा आज्ञा के रूप में व्याख्या किए गए विभिन्न कीवर्ड शामिल हैं।



निष्पादन के बाद, डिबगर लॉग और कमांड (यदि कोई हो) का परिणाम ऑपरेटर को वापस भेज दिया जाता है। उदाहरण के लिए, एक स्कैन कमांड के बाद, ऑपरेटर को एक फाइल मिलती है जिसमें प्रत्येक ऐसी फाइल के साथ मिलान एक्सटेंशन वाली फाइलों की एक सूची होती है।

हालांकि इस बूटलोडर में पिछले दरवाजे हैं, यह सिस्टम में डेल्फी पर एक बूटलोडर है, जो पहले से ही इस समूह से जुड़ा है, जिसे हमने पिछले लेख में ज़ेब्रोसी के बारे में बताया था।

निष्कर्ष

अतीत में, हम पहले से ही जेब्रोसी और पारंपरिक सेडनिट मालवेयर के चौराहे को देख चुके हैं। हमने ज़ैरोसी डंपिंग सेडनिट के फ्लैगशिप बैकडोर को एक्सएजेंट सिस्टम में पकड़ा, इसलिए हम उच्च विश्वास के साथ इस साइबरबर्ग के लिए ज़ेब्रोज़ी के लेखक होने का श्रेय देते हैं।

फिर भी, द्विआधारी फाइलों के विश्लेषण से भाषा के स्तर पर त्रुटियों का पता चला, साथ ही साथ विकास, लेखकों की योग्यता के एक अलग स्तर का संकेत देता है। दोनों बूटलोडर्स डेटा को एक्सफ़िलिएट करने के लिए मेल प्रोटोकॉल का उपयोग करते हैं और समान जानकारी एकत्र करने के लिए समान तंत्र रखते हैं। हालांकि, वे नेटवर्क और सिस्टम पर बहुत अधिक शोर पैदा करते हैं, कई फाइलें बनाते हैं और उन्हें भेजते हैं। डेल्फी पर मेल लोडर का विश्लेषण करने की प्रक्रिया में, यह हमें लग रहा था कि कुछ फ़ंक्शन चले गए थे, लेकिन लाइनें अभी भी बाइनरी फ़ाइल में बनी हुई हैं। इस टूलकिट का उपयोग सेडनीट टीम द्वारा किया जाता है, लेकिन हमारा मानना ​​है कि इसे दूसरी टीम द्वारा विकसित किया जा रहा है - जो पारंपरिक सेडनिट घटकों के रचनाकारों की तुलना में कम अनुभवी है।

ज़ेब्रोसी घटक सेडनिट टूलकिट के अतिरिक्त हैं, और हाल की घटनाओं में पारंपरिक माल्वरी के बजाय ज़ेब्रोज़ी बायनेरिज़ के सक्रिय उपयोग की व्याख्या हो सकती है।

संकेतक से समझौता करें

फ़ाइल नाम, SHA-1, और ESET उत्पादों द्वारा जांच

1. SCANPASS_QXWEGRFGCVT_323803488900X_jpeg.exe - 7768fd2812ceff05db8f969a7bed1de5615bfc5a - Win32 / Sednit.ORQ
2. C: \ Users \ public \ Pictures \ scanPassport.jpg - da70c54a8b9fd236793b2b3f8a50e6cd37e2df
3. C: \ Users \ Public \ Documents \ AcrobatReader। {Exe, txt} - a225d457c3396e647ffc710cd1edd4c74dc57152 - MSIL / Sednit.D
4. C: \ Users \ Public \ Videos \ audev.txt - a659a765536d2099ecbde988d6763028ff92752e - Win32 / Sednit.CH
5.% TMP% \ Indy0037C632.tmp - 20954fe36388ae8b1174424c8e4996ea2689f747 - Win32 / TrojanDownloader.Sednit.CMR
6.% TMP% \ Indy01863A21.tmp - e0d8829d2e76e9bb02e3b375981181ae02462c43 - Win32 / TrojanDownloader.Snnit.CMQ

ईमेल

carl.dolzhek17@post.cz
shinina.lezh@post.cz
P0tr4h4s7a@post.cz
carl.dolzhek17@post.cz
sym777.g@post.cz
kae.mezhnosh@post.cz
tomasso25@ambcomission.com
kevin30@ambcomission.com
salah444@ambcomission.com
karakos3232@seznam.cz
rishit333@ambcomission.com
antony.miloshevich128@seznam.cz