द एडवेंचर्स ऑफ़ द एलूसिव माल्वारी, भाग I

इस लेख के साथ, हम मायावी मालवरी के बारे में प्रकाशनों की एक श्रृंखला शुरू करते हैं। हैकिंग प्रोग्राम जो हमले के निशान नहीं छोड़ते हैं, जिन्हें फिल्माने के रूप में भी जाना जाता है, आमतौर पर विंडोज सिस्टम पर पावरशेल का उपयोग करते हैं ताकि बहुमूल्य सामग्री को खोजने और पुनः प्राप्त करने के लिए कमांड को गुप्त रूप से निष्पादित किया जा सके। दुर्भावनापूर्ण फ़ाइलों के बिना हैकर गतिविधि का पता लगाना एक मुश्किल काम है, क्योंकि एंटीवायरस और कई अन्य डिटेक्शन सिस्टम हस्ताक्षर विश्लेषण के आधार पर काम करते हैं। लेकिन अच्छी खबर यह है कि इस तरह के सॉफ्टवेयर मौजूद हैं। उदाहरण के लिए, UBA सिस्टम जो फ़ाइल सिस्टम में दुर्भावनापूर्ण गतिविधि का पता लगा सकता है।

जब मैंने पहली बार कूल हैकर्स के विषय का अध्ययन करना शुरू किया, जो संक्रमण के पारंपरिक तरीकों का उपयोग नहीं करते थे , लेकिन पीड़ित के कंप्यूटर पर केवल उपकरण और सॉफ़्टवेयर उपलब्ध थे, मुझे संदेह नहीं था कि यह जल्द ही एक लोकप्रिय हमले का तरीका बन जाएगा। सुरक्षा पेशेवरों का कहना है कि यह एक प्रवृत्ति बन रही है, और भयावह लेख शीर्षक इस बात का प्रमाण हैं। इसलिए, मैंने इस विषय पर प्रकाशनों की एक श्रृंखला बनाने का फैसला किया।

महान और भयानक पॉवरशेल

मैंने इनमें से कुछ विचारों के बारे में पहले PowerShell obfuscation श्रृंखला में लिखा था, लेकिन सिद्धांत में अधिक। बाद में मैं हाइब्रिड विश्लेषण के लिए एक साइट पर आया, जहां आप जंगली में "पकड़े गए" मालवरी के नमूने पा सकते हैं। मैंने इस साइट का उपयोग करने की कोशिश की ताकि मैं बेकार मालवेयर नमूनों की खोज कर सकूं। और मैंने कर दिया। वैसे, यदि आप मैलवेयर की खोज के लिए अपने स्वयं के अभियान पर जाना चाहते हैं, तो आपको इस साइट पर एक चेक पास करना होगा ताकि वे जान सकें कि आप एक सफेद टोपी विशेषज्ञ के रूप में काम कर रहे हैं। एक ब्लॉगर के रूप में जो सुरक्षा के बारे में लिखता है, मैं बिना किसी सवाल के इसके माध्यम से गया। मुझे यकीन है कि आप भी कर सकते हैं।

स्वयं नमूनों के अलावा, आप साइट पर देख सकते हैं कि ये कार्यक्रम क्या करते हैं। हाइब्रिड विश्लेषण अपने स्वयं के सैंडबॉक्स में मैलवेयर लॉन्च करता है और सिस्टम कॉल को ट्रैक करता है, नेटवर्क पर चलने वाली प्रक्रियाएं और क्रियाएं करता है, और संदेहास्पद तार भी निकालता है। बाइनरी फ़ाइलों और अन्य निष्पादनयोग्य के लिए, अर्थात जहां आप वास्तविक उच्च-स्तरीय कोड को भी नहीं देख सकते हैं, हाइब्रिड विश्लेषण यह तय करता है कि रनटाइम के दौरान सॉफ़्टवेयर दुर्भावनापूर्ण है या बस इसकी गतिविधि के आधार पर संदिग्ध है। और उसके बाद नमूना पहले से ही मूल्यांकन किया जाता है।

PowerShell और अन्य नमूना स्क्रिप्ट (विजुअल बेसिक, जावास्क्रिप्ट, आदि) के मामले में, मैं स्वयं कोड देख पा रहा था। उदाहरण के लिए, मैं ऐसे PowerShell उदाहरण में आया:

डिटेक्शन से बचने के लिए आप बेस 64-इनकोडेड पावरशेल भी चला सकते हैं। गैर-सक्रिय और छिपे हुए मापदंडों के उपयोग पर ध्यान दें।

यदि आप मेरी ऑबफ्यूजन प्रविष्टियों को पढ़ते हैं, तो आप जानते हैं कि -e विकल्प इंगित करता है कि सामग्री बेस 64 में एन्कोडेड है। वैसे, संकर विश्लेषण भी इससे मदद करता है, सब कुछ वापस डिकोड करना। यदि आप बेस 64 PowerShell (इसके बाद - PS) को स्वयं डिकोड करने का प्रयास करना चाहते हैं, तो आपको यह कमांड चलाने की आवश्यकता है:

[System.Text.Encoding]::Unicode.GetString([System.Convert]::FromBase64String($EncodedText)) 

गहरा जाओ

मैंने इस पद्धति का उपयोग करके हमारी पीएस-स्क्रिप्ट को डीकोड किया, कार्यक्रम का पाठ नीचे प्रस्तुत किया गया है, हालांकि मेरे द्वारा थोड़ा संशोधित:

ध्यान दें कि क्रेक तारीख 4 सितंबर, 2017 से जुड़ा हुआ था और सत्र कुकीज़ पारित किया गया था।

मैंने इस अटैक स्टाइल के बारे में PS obfuscation Series में लिखा है, जिसमें बेस 64 एनकोडेड स्क्रिप्ट खुद ही किसी अन्य साइट से गायब मालवेयर को डाउनलोड करती है। सभी हार्ड वर्क करने के लिए .Net फ्रेमवर्क लाइब्रेरी से वेबक्लाइंट ऑब्जेक्ट का उपयोग करते हैं।

यह किस लिए है?

Windows ईवेंट लॉग या फ़ायरवॉल को स्कैन करने वाले सुरक्षा सॉफ़्टवेयर के लिए, बेस 64 एन्कोडिंग ऐसे वेब अनुरोध से बचाव के लिए एक साधारण टेक्स्ट पैटर्न द्वारा WebClient स्ट्रिंग का पता लगाने से रोकता है। और जब से सभी "बुराई" मैलवेयर तब डाउनलोड किया जाता है और हमारे पॉवरशेल में स्थानांतरित किया जाता है, इस प्रकार यह दृष्टिकोण आपको पूरी तरह से पता लगाने से बचने की अनुमति देता है। बल्कि, मैंने पहले ऐसा सोचा था।

यह पता चला है कि विंडोज पॉवरशेल लॉग के उन्नत लॉगिंग (मेरा लेख देखें) को शामिल करने के साथ, आप इवेंट लॉग में लोड की गई लाइन देख सकते हैं। मैं ( दूसरों की तरह) मानता हूं कि Microsoft को डिफ़ॉल्ट रूप से लॉगिंग के इस स्तर को सक्षम करना चाहिए। इसलिए, जब विस्तारित लॉगिंग को चालू किया जाता है, तो हम विंडोज घटना में देखेंगे कि हमने जिस उदाहरण की ऊपर जांच की थी, उसके अनुसार एक पीएस स्क्रिप्ट से लोड करने के लिए एक पूर्ण अनुरोध लॉग किया गया था। इसलिए, इसे सक्रिय करने के लिए समझ में आता है, सहमत हैं?

अतिरिक्त स्क्रिप्ट जोड़ें

Visual Basic और अन्य स्क्रिप्टिंग भाषाओं में लिखे गए Microsoft Office मैक्रोज़ में हैकर जानबूझकर PowerShell हमले को छिपाते हैं। विचार यह है कि पीड़ित को एक संदेश मिलता है, उदाहरण के लिए, डिलीवरी सेवा से, .doc प्रारूप में संलग्न रिपोर्ट के साथ। आप इस दस्तावेज़ को खोलते हैं, जिसमें एक मैक्रो होता है, और अंततः यह दुर्भावनापूर्ण PowerShell को लॉन्च करता है।

अक्सर, विज़ुअल बेसिक स्क्रिप्ट को ही बाधित किया जाता है, ताकि यह स्वतंत्र रूप से एंटीवायरस और अन्य मैलवेयर स्कैनर को विकसित कर सके। उपरोक्त की भावना में, मैंने उपरोक्त PowerShell को जावास्क्रिप्ट में एन्कोड करने के लिए एक अभ्यास के रूप में निर्णय लिया। नीचे मेरे काम के परिणाम हैं:

हमारे पॉवरशेल को छिपाते हुए जावास्क्रिप्ट को निष्क्रिय कर दिया। रियल हैकर्स इसे एक या दो बार करते हैं।

यह उन तकनीकों में से एक है जो मैं नेट पर आया हूँ: एन्कोडेड पॉवरशेल को चलाने के लिए Wscript.Shell का उपयोग करना। वैसे, जावास्क्रिप्ट स्वयं मैलवेयर पहुंचाने का एक साधन है। विंडोज के कई संस्करणों में एक अंतर्निहित विंडोज स्क्रिप्ट होस्ट है , जो स्वयं जेएस चला सकता है।
हमारे मामले में, दुर्भावनापूर्ण JS स्क्रिप्ट .doc.js एक्सटेंशन वाली फ़ाइल के रूप में संलग्न है। Windows आमतौर पर केवल पहला प्रत्यय दिखाता है, इसलिए यह पीड़ित को Word दस्तावेज़ के रूप में दिखाई देगा।

JS आइकन केवल स्क्रॉल आइकन में प्रदर्शित होता है। यह आश्चर्य की बात नहीं है कि कई लोग इस लगाव को खोलेंगे, यह सोचकर कि यह एक वर्ड डॉक्यूमेंट है।

मेरे उदाहरण में, मैंने अपनी वेबसाइट से स्क्रिप्ट डाउनलोड करने के लिए ऊपर PowerShell को संशोधित किया है। दूरस्थ PS स्क्रिप्ट केवल ईविल मालवेयर प्रिंट करती है। जैसा कि आप देख सकते हैं, वह बिल्कुल भी दुष्ट नहीं है। बेशक, असली हैकर्स लैपटॉप या सर्वर तक पहुंच प्राप्त करने में रुचि रखते हैं, कहते हैं, एक कमांड शेल के माध्यम से। अगले लेख में मैं दिखाऊंगा कि पॉवरशेल एम्पायर का उपयोग करके यह कैसे करना है।

मुझे उम्मीद है कि पहले परिचयात्मक लेख के लिए हमने इस विषय में बहुत गहराई से गोता नहीं लगाया। अब मैं आपको एक सांस लेने दूंगा, और अगली बार जब हम अतिरिक्त परिचयात्मक शब्दों और तैयारी के बिना फाइललेस-माल्वारी का उपयोग करके हमलों के वास्तविक जीवन के उदाहरणों का विश्लेषण करना शुरू करेंगे।