प्रशासक के अधिकारों को स्वीकार करने योग्य

सभी शुक्रवार, दोस्तों आज हम आपके साथ साझा कर रहे हैं, लेकिन रिवर्स इंजीनियरिंग पाठ्यक्रम के शुभारंभ की पूर्व संध्या पर अनुवादित एक और सामग्री।



मेरे पास एक अच्छा विचार था कि सोशल इंजीनियरिंग के बिना या तीसरे पक्ष के कारनामों का उपयोग करके अपने एप्लिकेशन को चलाने के लिए उपयोगकर्ता कैसे प्राप्त करें। इसके अलावा, आप बस आगे बढ़ सकते हैं और निष्पादन योग्य फ़ाइलों के बड़े पैमाने पर संक्रमण शुरू कर सकते हैं, लेकिन यह कई अप्रत्याशित समस्याएं पैदा कर सकता है, और इसका मतलब यह भी होगा कि विश्वसनीय आपूर्तिकर्ताओं से डिजिटल हस्ताक्षरित एप्लिकेशन अविश्वसनीय फ़ाइलों के रूप में दिखाई देंगे। यह केवल एक डीएलएल पर "कब्जा" करने के लिए एक अच्छा विचार है। मैं इस पद्धति को UAC (उपयोगकर्ता खाता नियंत्रण) को बायपास नहीं कहूंगा, क्योंकि आपको अभी भी एप्लिकेशन (आपका नहीं) चलाने के लिए अनुमति लेनी होगी।

LoadLibrary

आप पहले से ही इस अवधारणा से परिचित हो सकते हैं, लेकिन मैं फिर भी समझाऊंगा कि यह क्या है। जब अनुप्रयोग Dll में LoadLibrary को कॉल करता है, लेकिन फ़ाइल को पूर्ण पथ प्रदान नहीं करता है, तो सिस्टम पहले KnownDlls रजिस्ट्री कुंजी की जांच करता है, जिसमें वह पथ की तलाश करता है, यदि यह नहीं है, तो सिस्टम उस निर्देशिका में दिखेगा जिसके लिए आवेदन निष्पादित किया गया था, और फिर यह खोज करेगा। सिस्टम पथों में जैसे कि system32 / syswow64।

आप आवेदन के रूप में अपनी dll को उसी निर्देशिका में रख सकते हैं और इसे सामान्य रूप से बूट करने योग्य प्रणाली dll के समान नाम दे सकते हैं, लेकिन किसी भी स्थिति में, आपके dll को निम्नलिखित आवश्यकताओं को पूरा करना होगा:

• आवेदन को dll को नाम से डाउनलोड करना चाहिए न कि पूर्ण पथ पर (जैसा कि अक्सर होता है);
• आवश्यक लाइब्रेरी में HKLM \ SYSTEM \ CurrentControlSet \ Control \ Session Manager \ KnownDLLs मौजूद नहीं होना चाहिए;
• आपके dll को प्रोसेसर आर्किटेक्चर से मेल खाना चाहिए (याद रखें कि 64-बिट प्रोसेसर केवल 32-बिट लाइब्रेरी को छोड़ देगा और इसके विपरीत);
• पुस्तकालय System32 या Syswow64 में स्थित है, क्योंकि विशिष्ट पथ अक्सर काम नहीं करते हैं।

ZeroAccess वायरस ने "सोशल इंजीनियरिंग" का लाभ उठाने और उपयोगकर्ता को फ़ाइल चलाने के लिए मजबूर करने के लिए इस पद्धति का उपयोग किया। शुरू करने के लिए, एडोब फ्लैश इंस्टॉलर आधिकारिक एक से डाउनलोड किया गया था, बॉट डीएल को इंस्टॉलर के रूप में एक ही निर्देशिका में दर्ज किया गया था, और फिर इंस्टॉलर को लॉन्च किया गया था। जब इंस्टॉलर को निष्पादित किया जाता है, तो उपयोगकर्ता खाता नियंत्रण एक संदेश प्रदर्शित करता है कि एप्लिकेशन को "एडोब सिस्टम्स शामिल" के एक विश्वसनीय स्रोत द्वारा आपूर्ति की जाती है, और उपयोगकर्ता इस एप्लिकेशन को इंस्टॉल करने की सबसे अधिक संभावना है (यह दुर्भावनापूर्ण बॉट डीएल के निष्पादन की ओर जाता है)।


क्या यह फ़्लैश प्लेयर के लिए एक वास्तविक अपडेट है? या ज़ीरो असफल? किसी को पता नहीं है।

कम आक्रामक विधि

कल्पना करें कि एक फ़ोल्डर है जिसमें 90% अनुप्रयोगों के लिए जो कि उन्नत खाता अधिकारों की आवश्यकता है, स्थित हैं, और यह कि इस प्रकार के अधिकारों के बिना यह लिखने योग्य है। खैर, इस तरह के एक फ़ोल्डर मौजूद है और यह %userprofile%Downloads फ़ोल्डर है। आप शायद समझ गए हैं कि मुझे क्या मिल रहा है।

मुझे एक dll को खोजने की उम्मीद नहीं थी जो अधिकांश अनुप्रयोगों को लोड करता है और एक ही समय में एक दुर्भावनापूर्ण dll के लिए सभी मानदंडों को पूरा करता है, और खोज के लगभग पांच मिनट बाद मुझे एक सोने की खान मिली: dwmapi.dll । यह लाइब्रेरी न केवल सभी मानदंडों को पूरा करती है, बल्कि सभी इंस्टॉलेशन फ़ाइलों को भी डाउनलोड करती है। अब हम अपना स्वयं का dll बनाते हैं, इसे “dwmapi.dll” नाम देते हैं, इसे डाउनलोड फोल्डर में रखते हैं और इंस्टॉलेशन फाइल को चलाते हैं।



सफलता! लेकिन तथ्य यह है कि जैसे ही हम स्थापना शुरू करते हैं, यह काम नहीं करेगा, क्योंकि हमने एक महत्वपूर्ण पुस्तकालय को बदल दिया है, लेकिन इसे ठीक करना आसान है। हम dll को संक्रमित करते हैं।

एक संक्रामक dll बनाना

सबसे पहले, मैं बस एक नया अनुभाग शीर्षलेख जोड़ना चाहता था, PE हैडर में NumberOfSections फ़ील्ड बदलें, और उसके बाद पीई अनुभाग के अंत में अपना खंड जोड़ें। यह पता चला कि अंतिम सेक्शन हेडिंग के तुरंत बाद एक संबंधित इंपोर्ट डायरेक्टरी है जिसे हमारे सेक्शन हेडिंग द्वारा ओवरराइट कर दिया जाएगा। इसलिए, सभी पीई को खरोंच से बहाल करने के लिए एक आवेदन लिखने के लगभग 2 घंटे बाद, किसी ने मुझे याद दिलाया कि लिंक की गई आयात निर्देशिका केवल आयातित फ़ाइलों के डाउनलोड को गति देने के लिए मौजूद है और इसे अधिलेखित किया जा सकता है, और फिर पीई हेडर में बस अक्षम कर दिया गया।

अगले 15 मिनट के लिए मैंने CTRL + Z आयोजित किया, जहां मैं शुरू किया और बेवकूफ महसूस किया। कोड की दो पंक्तियों के बाद, मेरे इन्फ़ेक्टर ने जैसा होना चाहिए, काम किया और मैं अगले कदम पर आगे बढ़ सका। अब इन्फ़ेक्टर बस संबंधित खंड को डिस्कनेक्ट करता है और नए अनुभाग शीर्ष लेख के साथ संबंधित आयात निर्देशिका को फिर से लिखता है, पीई फ़ाइल के अंत में एक नया अनुभाग जोड़ता है, नए अनुभाग को समायोजित करने के लिए SizeOfImage को समायोजित करता है, और फिर हमारे नए अनुभाग को इंगित करने के लिए AddressOfEntitPoint को बदलता है।

अब हमें केवल वह कोड चाहिए जो हम वहां डालते हैं।

shellcode

स्पष्ट पसंद शेलकोड को निष्पादित करने के लिए जोड़े गए अनुभाग को बाध्य करना था, इसलिए हमें स्थानांतरण और आयात के बारे में चिंता करने की आवश्यकता नहीं थी। वास्तविक कोड बहुत सरल है और कुछ सुविधाजनक FASM मैक्रो का उपयोग करते हुए लिखा गया है, मैं जल्दी से इस पर काम करता हूं कि यह कैसे काम करता है।

• यह सुनिश्चित करने के लिए स्टैक की जाँच की जाती है कि dwmapi.dll को DLL_PROCESS_ATTACH द्वारा बुलाया गया है;
• Ldr PEB संरचना का उपयोग कर्नेल 32 और Ntdll के आधार पते को प्राप्त करने के लिए किया जाता है;
• एक साधारण GetProcAddress कार्यान्वयन निम्न कार्यों को आयात करने के लिए उपयोग किया जाता है: NtOpenProcessToken, NtQueryInformationToken, NtClose, ExpandEnvironmentStringsA, CreateProcessA;
• वर्तमान प्रक्रिया टोकन खोला गया है और कोड यह पुष्टि करने के लिए अनुरोध करता है कि जिस एप्लिकेशन से हम शुरू कर रहे हैं, उसमें यूएसी व्यवस्थापक अधिकार हैं;
• यह cmd.exe पथ को चालू करता है, और फिर कमांड लाइन को कहा जाता है;
• निष्पादन dwmapi.dll के वास्तविक प्रवेश बिंदु पर वापस स्थानांतरित कर दिया जाता है, यही वजह है कि निष्पादन जारी रह सकता है।

यह सब एक साथ रखना

ऑपरेशन का अंतिम परिणाम हमारे शेलकोड के साथ dwmapi.dll को संक्रमित करता है और इसे डाउनलोड फ़ोल्डर में रखता है, जैसे ही उपयोगकर्ता डाउनलोड करता है और इंस्टॉलर चलाता है, जिसके लिए व्यवस्थापक अधिकारों की आवश्यकता होती है, कमांड लाइन को प्रशासक के रूप में कहा जाएगा (WowfFsRedirect के कारण और तथ्य यह है कि अधिकांश सेटिंग्स wow64 के तहत काम करती हैं, हम 32-बिट और 64-बिट विंडोज सिस्टम पर समान कोड का उपयोग कर सकते हैं)।

आप मेरे जीथब पर पूर्ण infector और शेलकोड पा सकते हैं: https://github.com/MalwareTech/UACElevator ।

वह सब है। कोर्स पर मिलते हैं!