शेड का नया एनक्रिप्टर हमला रूसी व्यापार उपयोगकर्ताओं को लक्षित करता है

जनवरी 2019 में, हमने दुर्भावनापूर्ण जावास्क्रिप्ट ईमेल अटैचमेंट (2018 में, इस हमले के वेक्टर का कम से कम उपयोग किया गया) की हिरासत की संख्या में तेज वृद्धि दर्ज की। "नए साल के अंक" में, कोई भी शेड-एनकोडर (उर्फ ट्रॉल्डेश) के वितरण के लिए रूसी-भाषा के समाचार पत्र को एकल कर सकता है, जिसे ईएसईटी उत्पादों द्वारा Win32 / Filecoder.Shade के रूप में पाया जाता है।

यह हमला शेड एनक्रिप्टर स्पैम अभियान को जारी रखने के लिए प्रतीत होता है जिसे अक्टूबर 2018 में खोजा गया था।

नया शेड अभियान

हमारे टेलीमेट्री आंकड़ों के अनुसार, अक्टूबर 2018 की दूसरी छमाही तक अक्टूबर अभियान लगातार गति पर था। इसके बाद क्रिसमस ब्रेक हुआ, और फिर जनवरी 2019 के मध्य में, अभियान गतिविधि दोगुनी हो गई (नीचे ग्राफ़ देखें)। चार्ट में सप्ताहांत में गिरावट का सुझाव है कि हमलावर कॉर्पोरेट ईमेल पते पसंद करते हैं।


चित्र 1. अक्टूबर 2018 से Win32 / Filecoder.Shade को फैलाने वाले दुर्भावनापूर्ण जावास्क्रिप्ट अनुलग्नकों का पता लगाना

जैसा कि पहले उल्लेख किया गया है, अभियान उस प्रवृत्ति का चित्रण करता है जिसे हम 2019 की शुरुआत से देख रहे हैं - हमले के वेक्टर के रूप में दुर्भावनापूर्ण जावास्क्रिप्ट संलग्नक की वापसी। नीचे दिए गए ग्राफ़ में डायनामिक्स दिखाए गए हैं।


चित्र 2. 2018 के बाद से ईमेल अनुलग्नकों में वितरित दुर्भावनापूर्ण जावास्क्रिप्ट का पता लगाना। संलग्नक का पता ESET ने JS / Danger.ScriptAttachment के रूप में लगाया है

यह ध्यान देने योग्य है कि शेड एनकोडर वितरण अभियान रूस में सबसे अधिक सक्रिय है, जो कि दुर्भावनापूर्ण जावास्क्रिप्ट अटैचमेंट की कुल संख्या के 52% के लिए जिम्मेदार है। अन्य हताहतों में यूक्रेन, फ्रांस, जर्मनी और जापान शामिल हैं, जैसा कि नीचे दिखाया गया है।


चित्रा 3. Win32 / Filecoder.Shade को वितरित करने वाले दुर्भावनापूर्ण जावास्क्रिप्ट अटैचमेंटों के पता लगाने की संख्या। 1 जनवरी से 24 जनवरी 2019 तक डेटा

हमारे विश्लेषण के अनुसार, जनवरी अभियान का एक विशिष्ट हमला पीड़ित के साथ रूसी में एक पत्र प्राप्त होता है जो ज़िप संग्रह की जानकारी के साथ होता है। अनुलग्नक में ज़िप या inf.zip।

पत्र वैध रूसी कंपनियों के आधिकारिक अनुरोधों के रूप में प्रच्छन्न हैं। हमने बिनबैंक की ओर से समाचार पत्र (2019 के बाद से ओटिट्री बैंक के साथ विलय) और मैग्नेट रिटेल चेन को देखा। नीचे दी गई छवि में पाठ।


चित्रा 4. जनवरी अभियान में इस्तेमाल किया गया नमूना स्पैम मेलिंग

ज़िप संग्रह में एक जावास्क्रिप्ट फ़ाइल है, जिसे Information.js कहा जाता है। निकालने और चलाने के बाद, फ़ाइल को एक दुर्भावनापूर्ण बूटलोडर द्वारा डाउनलोड किया जाता है जिसे ESET उत्पादों द्वारा Win32 / Injector के रूप में जाना जाता है। बूटलोडर डिक्रिप्ट करता है और अंतिम पेलोड को लॉन्च करता है - शेड एनकोडर।

दुर्भावनापूर्ण डाउनलोडर को वैध वैध वर्डप्रेस साइटों के URL से डाउनलोड किया जाता है, जहां यह एक छवि के रूप में सामने आता है। वर्डप्रेस पेजों से समझौता करने के लिए, हमलावर बोट्स का उपयोग करके बड़े पैमाने पर स्वचालित ब्रूट बल हमले का उपयोग करते हैं। हमारे टेलीमेट्री दुर्भावनापूर्ण बूटलोडर द्वारा होस्ट किए गए सैकड़ों URL कैप्चर करते हैं, सभी पते स्ट्रिंग sjj.jpg के साथ समाप्त होते हैं।

बूटलोडर पर एक अमान्य डिजिटल हस्ताक्षर है, जो कथित तौर पर कोमोडो द्वारा जारी किया गया है। हस्ताक्षरकर्ता सूचना क्षेत्र और टाइमस्टैम्प का मूल्य प्रत्येक नमूने के लिए अद्वितीय है।


चित्र 5. दुर्भावनापूर्ण बूटलोडर द्वारा उपयोग किए जाने वाले नकली डिजिटल हस्ताक्षर

इसके अलावा, बूटलोडर वैध क्लाइंट सर्वर रनटाइम प्रोसेस (csrss..exe) सिस्टम प्रक्रिया के रूप में प्रस्तुत करके खुद को छिपाने का प्रयास करता है। यह स्वयं को C: \ ProgramData \ Windows \ csrss.ex पर कॉपी करता है, जहां विंडोज बूटलोडर द्वारा बनाया गया छिपा हुआ फ़ोल्डर है; आमतौर पर ProgramData में यह फ़ोल्डर नहीं है।


चित्र 6. दुर्भावनापूर्ण सॉफ़्टवेयर जो एक सिस्टम प्रक्रिया है और Windows Server 2012 R2 में एक वैध बाइनरी फ़ाइल से कॉपी किए गए संस्करण की जानकारी का उपयोग करता है

शेड एनकोडर

अंतिम पेलोड शेड (ट्रॉलेश) एनकोडर है। इसे पहली बार 2014 के अंत में जंगल में खोजा गया था, तब से इसे बार-बार अपडेट किया जाता रहा है। शेड स्थानीय ड्राइव पर विभिन्न प्रकार की फ़ाइलों को एन्क्रिप्ट करता है। नए अभियान में, वह .crypted000007 को एन्क्रिप्टेड फ़ाइलों में जोड़ता है।

पीड़ित को संक्रमित कंप्यूटर पर संग्रहीत TXT फ़ाइल में रूसी और अंग्रेजी में भुगतान निर्देश मिलते हैं। अक्टूबर 2018 में अंतिम अभियान के समान ही पाठ है।


चित्रा 7. शेड बायबैक आवश्यकताओं, जनवरी 2019

संकेतक से समझौता करें

दुर्भावनापूर्ण ज़िप अनुलग्नकों के हैश के उदाहरण
0A76B1761EFB5AE9B70AF7850EFB77C740C26F82
D072C6C25FEDB2DDF5582FA705255834D9BC9955
80FDB89B5293C4426AD4D6C32CDC7E5AE32E969A
5DD83A36DDA8C12AE77F8F65A1BEA804A1DF8E8B
6EA6A1F6CA1B0573C139239C41B8820AED24F6AC
43FD3999FB78C1C3ED9DE4BD41BCF206B74D2C76

ESET का पता लगाने: जेएस / खतरे

जावास्क्रिप्ट लोडर हैश उदाहरण
37A70B19934A71DC3E44201A451C89E8FF485009
08C8649E0B7ED2F393A3A9E3ECED89581E0F9C9E
E6A7DAF3B1348AB376A6840FF12F36A137D74202
1F1D2EEC68BBEC77AFAE4631419E900C30E09C2F
CC4BD14B5C6085CFF623A6244E0CAEE2F0EBAF8C

ESET का पता लगाने: Win32 / इंजेक्टर

शेड एनक्रिप्टर हैशिंग उदाहरण
FEB458152108F81B3525B9AED2F6EB0F22AF0866
7AB40CD49B54427C607327FFF7AD879F926F685F
441CFA1600E771AA8A78482963EBF278C297F81A
9023B108989B61223C9DC23A8FB1EF7CD82EA66B
D8418DF846E93DA657312ACD64A671887E8D0FA7

ESET का पता लगाने: Win32 / Filecoder.Shade

शेड एनकोडर की मेजबानी करने वाले URL में विशेषता स्ट्रिंग
hxxp://[redacted]/ssj.jpg