पैसे का पालन करें: क्रिप्टो वॉलेट में C & C सर्वर के पतों को छिपाने के लिए RTM समूह ने कैसे शुरू किया

साइबर क्रिमिनल ग्रुप RTM 2015 से बैंक ग्राहकों से पैसे चुरा रहा है। इसके ज्यादातर पीड़ित रूसी कंपनियां हैं। साइबर अपराधियों द्वारा उपयोग किए जाने वाले दुर्भावनापूर्ण सॉफ़्टवेयर को आमतौर पर सूचना सुरक्षा समुदाय में RTM के रूप में भी जाना जाता है।

इस कार्यक्रम के बारे में बहुत सारी तकनीकी रिपोर्टें लिखी गई हैं , जो मालवेयर के सामान्य तंत्र के बारे में विस्तार से बताती हैं । इस लेख में, हम प्रबंध (C & C) RTM सर्वर के पते प्राप्त करने के तरीकों पर ध्यान केंद्रित करेंगे। कार्यक्रम के प्रत्येक पुनरावृत्ति में, हमलावर जानबूझकर इस कार्य से संपर्क करते हैं: वे ब्लॉग के माध्यम से पते को वितरित करते हैं, वैकल्पिक DNS सर्वर और टोर नेटवर्क की प्रणाली का उपयोग करते हैं। दूसरे दिन, हमने पाया कि आरटीएम ने बिटकॉइन वॉलेट पर लेनदेन में आईपी को छिपाना शुरू किया।

RTM क्या है?

इसके मूल में, RTM एक बैंकिंग ट्रोजन है। कार्यक्रम का मुख्य उद्देश्य हमलावरों को पीड़ित कंपनी के भुगतान आदेशों में हेरफेर करने की अनुमति देना है ताकि साइबर अपराधियों के खाते में अपने धन को चुपचाप स्थानांतरित किया जा सके।

आमतौर पर, आरटीएम को मेलिंग सूचियों के माध्यम से पीड़ितों के कंप्यूटर तक पहुंचाया जाता है, जो कि आमतौर पर हैक की गई साइटों (जैसे समाचार प्रकाशन) या एकाउंटेंट के लिए नकली संसाधनों के माध्यम से होता है। अपराधी पत्रों को एक पैक निष्पादन योग्य फ़ाइल संलग्न करते हैं। पैकेजिंग के साधन के रूप में, हमलावर अपने स्वयं के विकास और स्वयं निकालने वाले अभिलेखागार दोनों का उपयोग करते हैं।


RTM समूह द्वारा वितरित .exe निष्पादन योग्य फ़ाइलों के उदाहरण

आंकड़े की नमूना फाइलों को वितरण के क्रम में व्यवस्थित किया गया है। अधिकांश समय, आरटीएम निष्पादनयोग्य एक कस्टम पैकर के साथ पैक किए गए थे और पीडीएफ दस्तावेज़ के रूप में प्रच्छन्न थे। 2019 की शुरुआत में, पहले नमूने दिखाई देने लगे, जो एक स्व-निकालने वाले RAR संग्रह हैं और DOCX प्रारूप में एक फ़ाइल के रूप में प्रच्छन्न हैं। वर्तमान में RTM को सेल्फ-एक्सट्रैक्टिंग CAB आर्काइव के रूप में वितरित किया जाता है।


"भुगतान 11.06.exe" फ़ाइल का बाइनरी प्रतिनिधित्व

शुरू करने के बाद, निष्पादन योग्य फ़ाइल डिस्क में पैक डीएलएल को कॉपी करती है और इसे rundll32.exe उपयोगिता का उपयोग करके लॉन्च करती है। एक नियम के रूप में, इस लाइब्रेरी का आंतरिक नाम core.dll है। इसका बाद का ऑपरेशन rundll32.exe प्रक्रिया के एड्रेस स्पेस में होता है।

यह Core.dll है जो RTM नियंत्रण सर्वर के साथ प्राथमिक इंटरैक्शन प्रदान करता है, जिसके माध्यम से प्रोग्राम कमांड और हमलावरों से अतिरिक्त मॉड्यूल प्राप्त करता है।

मॉड्यूल एन्क्रिप्टेड रूप में वितरित किए जाते हैं और विभिन्न तरीकों से लॉन्च किए जा सकते हैं। ये घटक हमलावरों को एक समझौता किए गए कंप्यूटर को दूरस्थ रूप से नियंत्रित करने की क्षमता देते हैं, 1 सी प्रणाली में भुगतान दस्तावेजों को प्रतिस्थापित करते हैं, आदि।

प्रबंधन सर्वर खोजने के तरीके

आरएसएस फ़ीड

आरटीएम के पहले संस्करणों में, नियंत्रण सर्वरों के पते को अपडेट करने के लिए आरएसएस फ़ीड का उपयोग किया गया था। हमलावरों ने LiveJournal में एक ब्लॉग बनाया था जिसमें एन्क्रिप्टेड रूप में C & C पते थे। नियंत्रण सर्वर के नए पते प्राप्त करने के लिए, पता hxxps पर एक अनुरोध भेजा गया था: //.livejournal [] कॉम / डेटा / आरएसएस / और प्रतिक्रिया निम्न प्रारूप में संसाधित की गई थी (उदाहरण के लिए, https://f72bba81c2121.livejournal.com/data/rss/ )। :


RSS फ़ीड सामग्री। विवरण फ़ील्ड में नियंत्रण सर्वर के एन्क्रिप्टेड पते शामिल हैं


प्रबंध सर्वर के प्रारंभिक पते और आरएसएस फ़ीड के पते के साथ अस्वीकृत लाइनें

.bit

मार्च 2016 में, RTM ने डोमेन में .bit ज़ोन को नियंत्रण सर्वर के पते के रूप में उपयोग करना शुरू किया। वे ब्लॉकचैन तकनीक पर आधारित एक वैकल्पिक नामकोइन डीएनएस रजिस्ट्रार द्वारा समर्थित हैं। सिस्टम विकेंद्रीकृत है, इसलिए .bit डोमेन ब्लॉक करना मुश्किल है।

RTM पर .bit प्रबंधन सर्वर के IP पते दो तरीकों में से एक में प्राप्त किए गए थे:

• Namecoin Block Browser API के माध्यम से;
• विशेष DNS सर्वर का उपयोग डोमेन नाम संकल्प के माध्यम से।

प्रबंधन सर्वर के आईपी पते प्राप्त करने का कार्य

नेमकोइन ब्लॉक ब्राउज़र एपीआई के माध्यम से नियंत्रण सर्वरों के आईपी पते प्राप्त करने के कार्य में, सामग्री को पता hxxps पर संसाधित किया जाता है: //namecoin.cyphrs [।] कॉम / एपीआई / name_show / d / स्टेट-काउंटर -7 (उदाहरण के रूप में डोमेन स्टेट-काउंटर का उपयोग करके)। -7 [।] बिट):


नेमकोइन ब्लॉक ब्राउज़र एपीआई के माध्यम से नियंत्रण सर्वर के आईपी पते प्राप्त करने का कार्य

प्रतिक्रिया सर्वर से प्रबंधन सर्वर के आईपी पते प्राप्त होते हैं। Hxxps के अनुरोधों के अलावा: //namecoin.cyphrs [।] Com / api / name_show / d /, हमलावरों ने hxxps के लिए अनुरोधों का भी उपयोग किया: // namecha [।] में / नाम / d /, "वर्तमान मूल्य" फ़ील्ड को संसाधित करना।


URL hxxps पर वेबपृष्ठ सामग्री: // namecha [।] में / नाम / डी / स्टेट-काउंटर -7

यदि इस तरह से आईपी एड्रेस प्राप्त करना संभव नहीं था, तो हमलावर विशेष DNS सर्वर (उदाहरण के लिए, यहां से ) का उपयोग करके DnsQuery_A फ़ंक्शन के साथ नियंत्रण सर्वर के डोमेन नाम को हल करते हैं।

Core.dll लाइब्रेरी कोड में DnsQuery_A फ़ंक्शन का उपयोग इस तरह दिखता है:


विशेष DNS सर्वर का उपयोग करके डोमेन नाम संकल्प के माध्यम से प्रबंधन सर्वर के आईपी पते प्राप्त करने का कार्य

DnsQuery_A फ़ंक्शन का निम्न प्रोटोटाइप है:


WinDNS.h हेडर फ़ाइल में घोषित DnsQuery_A फ़ंक्शन का प्रोटोटाइप

DnsQuery_A फ़ंक्शन के लिए 4 वें तर्क स्टैक पर _IP4_ARRAY संरचना का पता है। इसमें विशेष DNS सर्वरों के IP पतों की एक सरणी है:


स्टैक पर _IP4_ARRAY संरचना

यदि DnsQuery_A फ़ंक्शन को सफलतापूर्वक निष्पादित किया जाता है, तो प्रबंधन सर्वर का IP पता निम्न मान को पढ़कर प्राप्त किया जा सकता है: pDnsRecord -> Data.A.IpAddress।

यह उदाहरणों में से एक के डिकम्पोज्ड कोड से देखा जा सकता है कि एक विशेष DNS सर्वर 188.165 [।] 200.156 का उपयोग C & C डोमेन नाम को हल करने के लिए किया जाता है। और विफलता के मामले में, तीन डीएनएस सर्वरों की एक सूची का उपयोग किया जाता है: 91.217 [।] 137.37, 188.165 [।] 200.156, 217.12 [।] 210.54।

टो

15 फरवरी, 2019 को, हमने पहली बार RTM नमूनों की खोज की, जिसका प्रबंधन सर्वर Tor नेटवर्क (hxxp: // 5aaw3unbkm5jqx7d [।] प्याज / सूचकांक [।] Php) पर स्थित है।


डिक्रिप्ट किए गए स्ट्रिंग्स के बीच टोर प्रबंधन सर्वर का पता


असंतुष्ट कोड का वह भाग जहां नियंत्रण सर्वर URL पार्स किया जाता है

ऐसे नमूने 9 अप्रैल, 2019 तक भेजे गए थे, जिसके बाद RTM ने फिर से .bit डोमेन ज़ोन का उपयोग करने के लिए स्विच किया।

Bitcoin

10 जून, 2019 को, हमने एक आरटीएम नमूने की खोज की, जो एक विशिष्ट क्रिप्टो वॉलेट पर लेनदेन से सी एंड सी सर्वर के आईपी पते प्राप्त करता है। प्रत्येक IP पता दो लेन-देन में सूचीबद्ध बिटकॉइन की संख्या में छिपा होता है।

IP पते प्राप्त करने के लिए, C & C VPO hxxps: // चेन [] पर एक अनुरोध करता है। इसलिए / एपीआई / v2 / get_tx_received / BTC /। प्रतिक्रिया में क्रिप्टो वॉलेट खाते में लेनदेन का एक सेट होता है। स्क्रीनशॉट में एक उदाहरण दिखाया गया है:



उस कोड के अनुभाग पर विचार करें जिसमें प्रबंधन सर्वर के आईपी पते प्राप्त होते हैं:



FindValue फ़ंक्शन हस्तांतरण राशि के आंशिक भाग के लिए खोज करता है। खोज बफर के अंत से बाहर किया जाता है, और प्रत्येक बाद के फ़ंक्शन कॉल के साथ, डेटा को संसाधित किया जाता है, जो वर्तमान सूचकांक से शुरू होता है। यही है, FindValue फ़ंक्शन के लगातार कॉल के साथ, मूल्य 8483, 40030, 14728 और इसी तरह प्राप्त किए जाएंगे। कार्यक्रम दो आईपी पते उत्पन्न करता है: प्रत्येक पता लगातार दो अनुवादों में छिपा हुआ है।


एक क्रिप्टो वॉलेट में स्थानान्तरण से आईपी पता प्राप्त करने के लिए डिस्सेम्ड कोड

यह कोड निम्न कार्य करता है:

ip_address = str(value_1 & 0xff) + "." + str(value_1 >> 0x8) + "." + str(value_0 & 0xff) + "." + str(value_0 >> 0x8) 

यही है, 0.00008483 बीटीसी और फिर 0.00040030 बीटीसी को सूचीबद्ध करके, हमलावरों ने अपने कार्यक्रम के लिए आईपी पते को 94.156 [?] 35.33 पर छिपा दिया। इसी तरह, पिछले दो लेनदेन से, RTM प्रबंधन सर्वर का दूसरा IP पता प्राप्त करता है।

जैसे, RTM मैलवेयर आज तक भेजा जा रहा है।

निष्कर्ष

आप देख सकते हैं कि C & C सर्वर पते के हस्तांतरण का आयोजन करते समय, RTM उन तरीकों का उपयोग करना पसंद करता है जो आपको मैलवेयर के स्रोत कोड को संशोधित किए बिना आईपी को गतिशील रूप से बदलने की अनुमति देता है।

एक ओर, यह हमलावरों के लिए जीवन को आसान बनाता है और भटक सकता है विश्लेषकों का नेतृत्व। दूसरी ओर, यह विशेषज्ञों को दुर्भावनापूर्ण मेलिंग करने से पहले नियंत्रण सर्वर के पते की भविष्यवाणी करने की अनुमति देता है।