ESET ने DanaBot ट्रोजन के नए संस्करणों की खोज की

तेजी से बढ़ते मॉड्यूलर DanaBot ट्रोजन में नए बदलाव आए हैं। जनवरी 2019 के अंत में जारी किया गया संस्करण पूरी तरह से नया संचार प्रोटोकॉल लागू करता है जो ट्रोजन और इसके सी एंड सी सर्वर के संचार में एन्क्रिप्शन के कई स्तरों को जोड़ता है। इसके अलावा, DanaBot वास्तुकला और अभियान आईडी बदल दिए गए हैं।

DanaBot विकास

मई 2018 में ऑस्ट्रेलिया को लक्षित करने वाले एक स्पैम अभियान के हिस्से के रूप में खोजे जाने के बाद, DanaBot पोलैंड, इटली, जर्मनी, ऑस्ट्रिया और यूक्रेन के साथ-साथ संयुक्त राज्य अमेरिका में स्पैम अभियान सहित कई अन्य हमलों में दिखाई दिया। यूरोपीय अभियानों में, ट्रोजन की कार्यक्षमता को नए प्लगइन्स और स्पैमिंग क्षमताओं के साथ बढ़ाया गया है ।

25 जनवरी को, हमें टेलीमेट्री डेटा में डैनबोट से संबंधित असामान्य निष्पादन योग्य फाइलें मिलीं। एक और जाँच से पता चला कि ये बाइनरी फाइलें वास्तव में DanaBot के संस्करण हैं, लेकिन वे C & C सर्वर के साथ संचार करने के लिए एक अलग संचार प्रोटोकॉल का उपयोग करते हैं। 26 जनवरी के बाद से, ट्रोजन के ऑपरेटरों ने पुराने प्रोटोकॉल के साथ बाइनरी फ़ाइलों को असेंबल करना बंद कर दिया है।

लेखन के समय, DanaBot का नया संस्करण दो परिदृश्यों में वितरित किया गया था:

1. "अपडेट" के रूप में DanaBot पीड़ितों को दिया गया;
2. स्पैम मेल के माध्यम से (पोलैंड में)।

नया संचार प्रोटोकॉल

प्रोटोकॉल में, जिसका उपयोग 25 जनवरी तक किया गया था, पैकेटों को एन्क्रिप्ट नहीं किया गया था, जैसा कि चित्र 1 में दिखाया गया है।


चित्रा 1. एक पैकेट कैप्चर जो पुराने प्रोटोकॉल को अनएन्क्रिप्टेड रूप में डेटा के साथ दिखा रहा है

पूरा होने के बाद, DanaBot C & C सर्वर के साथ संचार में AES और RSA एन्क्रिप्शन एल्गोरिदम का उपयोग करता है। नया संचार प्रोटोकॉल अधिक जटिल है क्योंकि यह एन्क्रिप्शन के कई स्तरों का उपयोग करता है, जैसा कि नीचे दिए गए आंकड़े में दिखाया गया है।


चित्रा 2. नए DanaBot संचार प्रोटोकॉल की योजना

ये परिवर्तन मौजूदा नेटवर्क हस्ताक्षरों का उपयोग करके पता लगाने से बचते हैं और घुसपैठ का पता लगाने और रोकथाम प्रणालियों के लिए नए नियमों को लिखना मुश्किल बनाते हैं। इसके अलावा, संबंधित आरएसए कुंजियों तक पहुंच के बिना, भेजे गए या प्राप्त पैकेट को डिकोड करना संभव नहीं है; इस प्रकार, क्लाउड-आधारित विश्लेषण प्रणालियों (जैसे कि Any.RUN ) से RSAP फाइलें अनुसंधान के लिए अनुपयुक्त हैं।


चित्रा 3. एक नए संचार प्रोटोकॉल के साथ एक पैकेट पर कब्जा

ग्राहक द्वारा भेजे गए प्रत्येक पैकेट में एक 24 (0x18) -बाइट हैडर है:



प्रत्येक पैकेट के लिए, हेडर को एईएस द्वारा एन्क्रिप्ट किए गए पैकेट डेटा द्वारा पीछा किया जाता है, फिर एईएस शिफ्ट के आकार को इंगित करते हुए 4-बाइट मान, और फिर आरईएस द्वारा एन्क्रिप्ट किए गए एईएस कुंजी। सभी पैकेट अलग-अलग एईएस कुंजी के साथ एन्क्रिप्ट किए गए हैं।

सर्वर प्रतिक्रियाएं एक ही प्रारूप का उपयोग करती हैं। पिछले संस्करणों के विपरीत, सर्वर प्रतिक्रियाओं में पैकेज डेटा किसी विशेष संरचना (कुछ अपवादों के साथ) के अनुरूप नहीं है।

डेटा पैकेट संरचना

अक्टूबर 2018 में प्रूफ़ पॉइंट द्वारा पिछले पैकेज डेटा संरचना का विस्तार से वर्णन किया गया था। DanaBot के नवीनतम संस्करण में, इस योजना को थोड़ा संशोधित किया गया है, जैसा कि नीचे दिए गए आंकड़े में दिखाया गया है।


चित्रा 4. DanaBot के पुराने और नए संस्करणों में पैकेट डेटा संरचना की तुलना

DanaBot वास्तुकला परिवर्तन

संचार प्रोटोकॉल के अलावा, DanaBot में थोड़ा परिवर्तित वास्तुकला है। ट्रोजन के पिछले संस्करणों में एक घटक शामिल था जो मुख्य मॉड्यूल को डाउनलोड और निष्पादित करता था। फिर मुख्य मॉड्यूल ने प्लगइन्स और कॉन्फ़िगरेशन को डाउनलोड और निष्पादित किया।

नवीनतम संस्करण में, इन कार्यों को एक नए बूटलोडर द्वारा किया जाता है, जिसका उपयोग मुख्य मॉड्यूल के साथ सभी प्लगइन्स को डाउनलोड करने के लिए किया जाता है। बूटलोडर घटक को एक सेवा के रूप में पंजीकृत करके दृढ़ता सुनिश्चित की जाती है।


चित्र 5. DanaBot के पुराने और नए संस्करणों की वास्तुकला की तुलना

आदेशों

विश्लेषण के अनुसार, लोडर घटक निम्नलिखित आदेशों का उपयोग करता है:

• 0x12C - हैलो। क्लाइंट से सर्वर पर भेजा गया पहला कमांड
• 0x12D - लोड 32/64-बिट लांचर घटक
• 0x12E - प्लगइन्स और कॉन्फ़िगरेशन फ़ाइलों की एक सूची का अनुरोध करें
• 0x12F - लोड प्लगइन्स / कॉन्फ़िगरेशन फ़ाइलें

डाउनलोड किए गए प्लगइन्स और कॉन्फ़िगरेशन फ़ाइलों को क्लाइंट आईडी से प्राप्त एईएस कुंजी के साथ एन्क्रिप्ट किया गया है। इसके अलावा, प्लगइन्स को LZMA संपीड़न का उपयोग करके ज़िप प्रारूप में संग्रहीत किया जाता है, जबकि कॉन्फ़िगरेशन फ़ाइलों को zlib का उपयोग करके संग्रहीत किया जाता है।
आईडी 0x130-0x134 वाले कमांड मुख्य मॉड्यूल द्वारा भेजे जाते हैं:

• 0x130 - एकत्रित जानकारी को C & C सर्वर पर स्थानांतरित करें (उदाहरण के लिए, पीड़ित के कंप्यूटर का स्क्रीनशॉट; सिस्टम डेटा);
• 0x131 - एकत्रित जानकारी को C & C सर्वर पर स्थानांतरित करें (उदाहरण के लिए, संक्रमित कंप्यूटर की हार्ड डिस्क पर फ़ाइलों की सूची)
• 0x132 - C & C सर्वर से आगे आदेश का अनुरोध करें। प्लगइन्स लॉन्च करने, सिस्टम की जानकारी एकत्र करने और क्लाइंट सिस्टम में फ़ाइलों को बदलने सहित लगभग 30 कमांड विशिष्ट हैं
• 0x133 - Tor प्रॉक्सी के माध्यम से C & C सर्वर की सूची को अपडेट करें
• 0x134 - सटीक गंतव्य अज्ञात है, सबसे अधिक संभावना है कि इसका उपयोग प्लग-इन और सी एंड सी सर्वर के बीच संचार के लिए किया जाता है

अभियान आईडी बदलें

पिछले एक अध्ययन से पता चला है कि DanaBot को अलग-अलग आईडी के तहत वितरित किया जाता है।

DanaBot के पिछले संस्करण में, लगभग 20 अभियान पहचानकर्ताओं का उपयोग किया गया था । नवीनतम संस्करण में, पहचानकर्ता थोड़ा बदल गए हैं। 5 फरवरी, 2019 तक, हम निम्नलिखित आईडी देख रहे हैं:

• आईडी = 2 जाहिरा तौर पर, वेब परीक्षण के बिना, कॉन्फ़िगरेशन फ़ाइलों की एक छोटी संख्या की सेवा करने वाला एक परीक्षण संस्करण
• ID = 3 सक्रिय रूप से वितरित किया गया है, पोलैंड और इटली के उपयोगकर्ताओं पर लक्षित है, पोलिश और इतालवी प्रयोजनों के लिए सभी कॉन्फ़िगरेशन फ़ाइलों और वेब इंजेक्शन का कार्य करता है
• ID = 5 ऑस्ट्रेलियाई उद्देश्यों के लिए कॉन्फ़िगरेशन फ़ाइलों का कार्य करता है
• ID = 7 केवल पोलैंड पर लागू होता है, पोलिश उद्देश्यों के लिए वेब इंजेक्शन प्रदान करता है
• आईडी = 9, जाहिरा तौर पर, सीमित वितरण के साथ एक परीक्षण संस्करण भी है और विशेष लक्ष्यीकरण के बिना, यह वेब फ़ाइलों के बिना सीमित संख्या में कॉन्फ़िगरेशन फ़ाइलों का काम करता है

निष्कर्ष

2018 में, हमने वितरण और कार्यक्षमता के संदर्भ में डेनबॉट के विकास का अवलोकन किया। 2019 की शुरुआत में, ट्रोजन "आंतरिक" परिवर्तनों से गुज़रा, जो इसके रचनाकारों के सक्रिय कार्य को दर्शाता है। हाल के अपडेट बताते हैं कि DanaBot के निर्माता नेटवर्क-स्तरीय खोज से बचने के लिए प्रयास कर रहे हैं। यह संभव है कि ट्रोजन के लेखक सुरक्षा के लिए उत्पाद डेवलपर्स से आगे, कोड में तुरंत बदलाव करने के लिए प्रकाशित अध्ययनों पर ध्यान दें।

ESET उत्पाद सभी DanaBot घटकों और प्लगइन्स का पता लगाते हैं और ब्लॉक करते हैं। अगले अनुभाग में डिटेक्शन नाम दिए गए हैं।

समझौता संकेतक (IoCs)

C और C सर्वर DanaBot के नए संस्करण द्वारा उपयोग किए जाते हैं

84.54.37[.]102
89.144.25[.]243
89.144.25[.]104
178.209.51[.]211
185.92.222[.]238
192.71.249[.]51

वेब इंजेक्शन और पुनर्निर्देश के लिए सर्वर

47.74.249[.]106
95.179.227[.]160
185.158.249[.]144

हैश उदाहरण

नए डैनबोट बिल्ड नियमित रूप से जारी किए जाते हैं, इसलिए हम हैश का केवल एक हिस्सा प्रदान कर सकते हैं:
ड्रॉपर 98C70361EA611BA33EE3A79816A88B2500ED7844 Win32 / TrojanDropper.Danabot.O
बूटलोडर (x86), आईडी = 3 0DF17562844B7A0A0170C9830921C3442D59C73C Win32 / Spy.Danabot.L
बूटलोडर (x64), ID = 3 B816E90E9B71C85539EA3BB897E4F234A0422F85 Win64 / Spy.Danabot.G
बूटलोडर (x86), ID = 9 5F085B19657D2511A89F3172B7887CE29FC70792 Win32 / Spy.Danabot.I
बूटलोडर (x64), आईडी = 9 4075375A08273E65C223116ECD2CEF903BA97B1E Win64 / Spy.Danabot.F
मुख्य मॉड्यूल (x86) 28139782562B0E4CAB7F7885ECA75DFCA5E1D570 Win32 / Spy.Danabot.K
मुख्य मॉड्यूल (x64) B1FF7285B49F36FE8D65E7B896FCCDB1618EAA4B Win64 / Spy.Danabot.C

प्लग-इन

RDPWrap 890B5473B419057F89802E0B6DA011B315F3EF94 Win32 / Spy.Danabot.H
Stealer (x86) E50A03D12DDAC6EA626718286650B9BB858B2E69 Win32 / Spy.Danabot.C
Stealer (x64) 9B0EC454401023DF6D3D4903735301BA669AADD1 Win64 / Spy.Danabot.E
DBFD8553C66275694FC4B32F9DF16ADEA74145E6 Win32 / Spy.Danabot.B
VNC E0880DCFCB1724790DFEB7DFE01A5D54B33D80B6 Win32 / Spy.Danabot.D
TOR 73A5B0BEE8C9FB4703A206608ED277A06AA1E384 Win32 / Spy.Danabot.G