ऑपरेशन टास्कमास्टर्स: हमने रूस और सीआईएस में साइबर समूह पर हमला करने वाले संगठनों को कैसे उजागर किया

चित्र: अनप्लैश

2018 के पतन में, पीटी एक्सपर्ट सिक्योरिटी सेंटर के विशेषज्ञों ने एक आपराधिक समूह की गतिविधि का खुलासा किया, जिनकी गतिविधियों का उद्देश्य गोपनीय दस्तावेजों और जासूसी चोरी करना था। आज हम जांच की प्रगति के बारे में बात करेंगे, साथ ही मुख्य तरीकों और उपकरणों का वर्णन करेंगे जो समूह ने उपयोग किया था।

नोट : लिंक पूरी जांच रिपोर्ट प्रदान करता है। यह समझौते के संकेतक भी प्रदान करता है जिसका उपयोग किसी हमले के संकेतों की पहचान करने के लिए किया जा सकता है।

समूह किस पर हमला कर रहा है, और यह कब खोजा गया था

समूह की पहचान पीटी विशेषज्ञ सुरक्षा केंद्र के विशेषज्ञों द्वारा 2018 में की गई थी। कार्य अनुसूचक में विशिष्ट कार्यों (कार्यों) के निर्माण के आधार पर, अपराधियों ने बुनियादी ढांचे में सुरक्षित रहने की एक असामान्य विधि का उपयोग किया - यही कारण है कि पीटी ईएससी ने टास्कमास्टर्स समूह को बुलाया।

टास्क शेड्यूलर आपको कार्य में निर्दिष्ट समय में एक विशिष्ट बिंदु पर ओएस कमांड निष्पादित करने और सॉफ़्टवेयर चलाने की अनुमति देता है। इसके अलावा, इस समूहीकरण द्वारा उपयोग किया गया AtNow अनुसूचक आपको न केवल स्थानीय रूप से, बल्कि नेटवर्क पर दूरस्थ कंप्यूटरों पर भी कार्य करने की अनुमति देता है, और इन नोड्स की समय सेटिंग की परवाह किए बिना ऐसा करने के लिए। इसके अलावा, इस उपयोगिता को स्थापना की आवश्यकता नहीं है। ये विशेषताएं अटैक ऑटोमेशन को सरल बनाती हैं।

रूस और CIS में पीड़ितों की एक महत्वपूर्ण संख्या के साथ हैकर्स ने विभिन्न देशों की कंपनियों को हैक किया। हमला करने वाली अधिकांश कंपनियों को उद्योग के लिए जिम्मेदार ठहराया जा सकता है। कुल मिलाकर, हम ऊर्जा और तेल और गैस क्षेत्रों और सरकारी निकायों सहित विभिन्न उद्योगों में 30 से अधिक संगठनों के समझौते से अवगत हैं।

समूह का मुख्य लक्ष्य गोपनीय जानकारी चोरी करना है। हमलावर लंबे समय तक कॉर्पोरेट सूचना प्रणाली में एक पैर जमाने की कोशिश करते हैं और प्रमुख कंपनी सर्वर, शीर्ष प्रबंधन कार्यस्थानों और महत्वपूर्ण व्यावसायिक प्रणालियों तक पहुंच प्राप्त करते हैं।

2010 की तारीख से पहले बुनियादी ढांचे में समूह की उपस्थिति के शुरुआती निशान, और उस समय अपराधियों ने पहले से ही कुछ सर्वर और कार्यस्थानों को पूरी तरह से नियंत्रित किया था, जिसका अर्थ है कि पैठ बहुत पहले हुई थी।

एशियाई पदचिह्न

हमले के दौरान इस्तेमाल किए गए ASPXSpy2014 वेब शेल के गिटहब पर कोड में, चीनी डेवलपर्स के लिंक हैं। हालाँकि, हमें जो संस्करण मिला है, उसके बदले google.ru का लिंक है।



ASPXSpy: सार्वजनिक और आक्रमण किए गए संस्करण

वेब गोले के अनुरोधों में, पूर्वी यूरोप में होस्टिंग प्रदाता और प्रिंटिंग हाउस से संबंधित आईपी पते की पहचान की गई थी। लेकिन हमला किए गए संगठनों में से एक के प्रॉक्सी सर्वर लॉग की घटनाओं में, हमलावरों को निवासी चीनी आईपी पते 115.171.23.103 पर स्विच किया गया था, जो कि हमले के समय सॉफ्टवेयर वीपीएन के डिस्कनेक्ट होने के कारण सबसे अधिक संभावना थी।

हमले के दौरान, हमलावरों ने WinRAR अभिलेखागार की एक प्रति का उपयोग किया, जिसे एक कुंजी के साथ सक्रिय किया गया था जो व्यापक रूप से उन मंचों में वितरित किया जाता है जिनके उपयोगकर्ता चीनी में संवाद करते हैं।



सॉफ्टवेयर संसाधनों में WinRAR का लाइसेंस संस्करण



WinRAR लाइसेंस कुंजी चीनी मंचों में प्रकाशित

एक कार्य के लिए, डोमेन Brengkolang.com का उपयोग किया गया था, जो एक चीनी रजिस्ट्रार के माध्यम से पंजीकृत था। साथ ही, कई उपयोगिताओं में त्रुटि संदेश और अन्य डीबगिंग जानकारी अंग्रेजी में त्रुटियों के साथ लिखी गई है, जो यह संकेत दे सकती है कि यह डेवलपर्स के मूल नहीं है।

हमलावर कैसे कार्रवाई करते हैं

समग्र हमला वेक्टर काफी अनुमानित है। स्थानीय नेटवर्क को भेदने के बाद, हमलावर बुनियादी ढांचे, शोषण प्रणाली कमजोरियों (उदाहरण के लिए, CVE-2017-0176 ) की जांच करते हैं, फिर समझौता किए गए नोड्स पर डाउनलोड करते हैं और उपयोगिताओं का एक सेट खोलते हैं। इस सेट का उपयोग करके, वे रुचि की फ़ाइलों को खोज, कॉपी और संग्रह करते हैं, और फिर उन्हें प्रबंधन सर्वर को भेजते हैं।

नेटवर्क को नेविगेट करने के लिए, अपराधी AtNow उपयोगिता का उपयोग करके दूरस्थ नोड्स पर सिस्टम कमांड निष्पादित करते हैं, जो आपको सॉफ़्टवेयर चलाने और निर्दिष्ट समय अंतराल बीतने के बाद कमांड निष्पादित करने की अनुमति देता है। छोटे बैकडोर का उपयोग करके नोड्स का प्रबंधन करने के लिए, जिसके माध्यम से वे प्रबंधन सर्वर से जुड़ते हैं। उसी समय, बाह्य संसाधनों पर अपलोड किए गए वेब शेल के रूप में बैकअप चैनल हैं, उदाहरण के लिए, एक्सचेंज सर्वर पर।



हमला पैटर्न

समूह अपने डोमेन के लिए डायनामिक DNS इन्फ्रास्ट्रक्चर का उपयोग करता है। हमलावर साइबर हमलों का संचालन करने के लिए उपयोगिताओं और उपकरणों के एक बड़े सेट का उपयोग करते हैं और सक्रिय रूप से आपूर्ति श्रृंखला हमले योजना का उपयोग करते हैं।

नेटवर्क को स्कैन करने और सिस्टम से समझौता करने के लिए, हमलावर निशुल्क सॉफ़्टवेयर (NBTScan, PWDump, Mimikatz सहित) का उपयोग करते हैं। थर्ड-पार्टी टूल्स के अलावा, स्व-विकसित कार्यक्रमों का भी उपयोग किया जाता है।

टास्कमास्टर्स समूह का मुख्य सॉफ्टवेयर, जिसके साथ उन्होंने संक्रमित नोड्स को नियंत्रित किया है, इसमें दो घटक शामिल हैं:

• शेष डाउनलोडर - लोडर,
• RemShell - फ़ंक्शंस के मूल सेट के साथ सॉफ़्टवेयर।

आइए हम प्रत्येक घटक के बारे में अधिक विस्तार से विचार करें।

शेष डाउनलोडर

मैलवेयर के इस घटक को हमले प्रणाली के मुख्य पेलोड को वितरित करने के लिए डिज़ाइन किया गया है। बूट लोडर की सामान्य संचालन योजना नीचे दिए गए आंकड़े में दिखाई गई है।



शेष लोडर वर्कफ़्लो

लोडर अपने कोड में पहले से निर्दिष्ट पते पर HTML पेज तक पहुंचता है और HTML टैग की विशेषता विशेषता के मूल्य को पढ़ता है:



HTML फ़ाइल उदाहरण

फिर रीड वैल्यू को डिक्रिप्ट किया जाता है, और जो इसमें निहित है, उसके आधार पर, बूटलोडर या तो स्टैंडबाय मोड (स्लीप कमांड) में चला जाता है या पीई फाइल को डिस्क में सहेजता है और लॉन्च करता है। डाउनलोड की गई पीई फ़ाइल सिर्फ पेलोड है - मुख्य रेमशेल ट्रोजन।

ट्रोजन रीशेल

शेष, संक्रमित नोड्स को नियंत्रित करने के लिए हमलावरों द्वारा उपयोग किया जाने वाला मुख्य मैलवेयर, निम्न विकल्पों के साथ हमलावरों को प्रदान करता है:

1. रिमोट होस्ट कंट्रोल (cmd शेल) के लिए टर्मिनल।
2. दूरस्थ होस्ट में फ़ाइलें अपलोड करना।
3. दूरस्थ होस्ट से प्रबंधन सर्वर पर फ़ाइलें डाउनलोड करें।

ट्रोजन दो प्रबंधन सर्वर का उपयोग करता है। पहला एक मध्यस्थ या प्रॉक्सी के रूप में कार्य करता है, जो मैलवेयर के अनुरोध पर, मुख्य प्रबंधन सर्वर का पता प्रदान करता है। साथ ही, पहले प्रबंधन सर्वर से दूसरे प्रबंधन प्रॉक्सी सर्वर में मैलवेयर स्थानांतरित करने के लिए एक कमांड प्राप्त किया जा सकता है।



पहले प्रबंधन सर्वर से प्राथमिक की ओर पलायन

हमने इस मैलवेयर के विभिन्न रूपांतर पाए। कुछ में, उदाहरण के लिए, नोड को प्रबंधन सर्वर से फ़ाइलों को डाउनलोड करने के लिए कोई आदेश नहीं था - ऐसे मामलों में, हमलावरों ने फ़ाइलों को अपलोड करने के लिए एक मालिकाना उपयोगिता का उपयोग किया। दूसरों में, कमांड जोड़े गए हैं जो आपको सिस्टम पर चलने वाली प्रक्रियाओं की एक सूची प्राप्त करने और पीआईडी ​​(प्रक्रिया पहचानकर्ता) द्वारा प्रक्रिया को पूरा करने की अनुमति देते हैं।
कॉन्फ़िगरेशन डेटा, जैसे कि प्रॉक्सी प्रॉक्सी सर्वर, पोर्ट, उपयोगकर्ता-एजेंट का पता, RC4 का उपयोग करके एन्क्रिप्ट किया गया है और मैलवेयर कोड में स्थिरांक द्वारा सेट किया गया है।

प्रबंधन सर्वर और मैलवेयर के बीच भेजा गया डेटा RC4 एल्गोरिथ्म का उपयोग करके एन्क्रिप्ट किया गया है और इसके अलावा Base64 के साथ एन्कोड किया गया है। RC4 के लिए MD5 हैश की गणना करके एक निरंतर स्ट्रिंग का उपयोग करके कुंजी तैयार की जाती है। प्रबंधन सर्वर से प्राप्त आदेशों को निष्पादित करने का परिणाम एक विशिष्ट उपसर्ग 1111 के साथ URL पर HTTP अनुरोध के रूप में भेजा जाता है।

मैलवेयर में हार्टबीट मैकेनिज्म भी शामिल है, जिसमें 0000 के विशिष्ट उपसर्ग के साथ किसी दिए गए URL को होस्टनाम कमांड के परिणाम के साथ HTTP अनुरोध के साथ यादृच्छिक अंतराल "टैप" होता है।



दिल की धड़कन

प्रबंधन सर्वर

संक्रमित नोड्स पर मैलवेयर के प्रबंधन के लिए सर्वर भाग को कंसोल ईएलएफ फ़ाइलों द्वारा दर्शाया गया है। सर्वर प्रबंधन इंटरफ़ेस शेल के रूप में बनाया गया है और नीचे दिए गए चित्र में प्रस्तुत कमांड का समर्थन करता है।



सर्वर दूरस्थ होस्ट को भेजे गए सभी आदेशों को विस्तार से लॉग करता है। इन लॉग फ़ाइलों को डिस्क पर एन्क्रिप्टेड रूप में संग्रहीत किया जाता है। लॉग फ़ाइलों को एन्क्रिप्ट करने के लिए, RC4 एल्गोरिथ्म का उपयोग किया जाता है।

हम मैलवेयर के सर्वर साइड के कई उदाहरणों का विश्लेषण करने में सक्षम थे। एक मामले में, हमें एआईएमआई डेवलपर का उल्लेख मिला, जिसे हमने टास्कमास्टर्स ग्रुपिंग के अन्य टूल में संदर्भ पाया।



स्क्रिप्ट द्वारा प्रदर्शित जानकारी में डेवलपर्स का उल्लेख करना

वेब शेल 404-इनपुट-शेल

वेब शेल की कार्यक्षमता तक पहुंचने के लिए प्राधिकरण विंडो IIS वेब सर्वर के मानक त्रुटि पृष्ठ 404 के रूप में प्रच्छन्न है। कमांड लाइन तक पहुंचने और कमांड निष्पादित करने के लिए, आपको एक पासवर्ड दर्ज करना होगा। यदि आप बैक लिंक पर क्लिक करते हैं तो पासवर्ड फ़ील्ड छिपा और प्रदर्शित होता है।

Click the <a href="#" ondblclick="history_back()">Back</a> button to try another link.</li> 

प्राधिकरण के लिए, हमलावरों ने पासवर्ड 0p; / 9ol का उपयोग किया। - उन्होंने अभिलेखागार को एन्क्रिप्ट करने के लिए एक ही पासवर्ड का उपयोग किया। वेब शेल कोड में इस पासवर्ड का एमडी 5 हैश है।



कुल मिलाकर, जांच के भाग के रूप में, हमने इस वेब शेल के तीन संशोधनों की खोज की। वे कार्यक्षमता में भिन्न हैं: उनमें से एक का उपयोग केवल सर्वर से फ़ाइलों को डाउनलोड करने के लिए किया जाता है, दूसरे को सर्वर पर फाइलें अपलोड करने के लिए, तीसरा ओएस आदेशों को निष्पादित करने के लिए।

निष्कर्ष

हमारे अध्ययन से पता चलता है कि साइबर अपराधी न केवल क्षणिक वित्तीय लक्ष्यों का पीछा कर सकते हैं। तेजी से, वे डेटा तक पहुंच प्राप्त करना चाहते हैं और संगठनों के सूचना प्रवाह पर नियंत्रण हासिल करना चाहते हैं।

साइबर जासूसी का शिकार अर्थव्यवस्था के विभिन्न क्षेत्रों में कंपनियां हो सकती हैं। इस तरह के हमलों से बचाव करने के तरीके को समझने के लिए, विशेष उपकरणों का उपयोग करना आवश्यक है। साथ ही जांच के चरण में, हमलावरों द्वारा उपयोग की जाने वाली रणनीति का विस्तार से अध्ययन करना महत्वपूर्ण है। संगठनों के लिए इस समस्या को अपने दम पर हल करना काफी मुश्किल है, क्योंकि इसके लिए न केवल उन्नत उपकरणों की आवश्यकता होती है, बल्कि उच्च योग्य सूचना सुरक्षा विशेषज्ञों की भी आवश्यकता होती है। सुरक्षा पेशेवरों से प्राप्त सिफारिशों के कार्यान्वयन से बुनियादी ढांचे की सुरक्षा के स्तर में वृद्धि होगी और इसकी हैकिंग को जटिल बनाया जाएगा।