द एलूसिव माल्वारी का एडवेंचर्स, भाग II: सीक्रेट वीबीए लिपियों

यह लेख फिललेस मालवेयर सीरीज का हिस्सा है। श्रृंखला के अन्य सभी भाग:

• द एडवेंचर्स ऑफ़ द एलूसिव माल्वारी, भाग I
• द एलूसिव माल्वारी के एडवेंचर्स, भाग II: हिडन वीबीए लिपियों (हम यहां हैं)

मैं हाइब्रिड विश्लेषण वेबसाइट (हा) का प्रशंसक हूं। यह एक प्रकार का मैलवेयर चिड़ियाघर है जहां आप सुरक्षित "जंगली" शिकारियों को सुरक्षित दूरी से हमला किए बिना देख सकते हैं। हा सुरक्षित वातावरण में मैलवेयर लॉन्च करता है, सिस्टम कॉल, जनरेट की गई फाइलें और इंटरनेट ट्रैफ़िक रिकॉर्ड करता है, और आपके द्वारा विश्लेषण किए गए प्रत्येक नमूने के लिए इन सभी परिणामों को प्रदर्शित करता है। इस प्रकार, आप भ्रमित कोड को हल करके अपना समय और ऊर्जा बर्बाद नहीं कर सकते, लेकिन हैकर्स के सभी इरादों को तुरंत समझ सकते हैं।

हा उदाहरण है कि मेरा ध्यान आकर्षित किया या तो अनुप्रयोगों या VBA लिपियों के लिए जावास्क्रिप्ट एन्कोडेड या विजुअल बेसिक का उपयोग करें जो वर्ड या एक्सेल दस्तावेजों में मैक्रोज़ के रूप में एम्बेडेड हैं और फ़िशिंग ईमेल से जुड़े हैं। जब खोला जाता है, तो ये मैक्रो पीड़ित के कंप्यूटर पर पावरशेल सत्र शुरू करते हैं। हैकर आम तौर पर Power64 को बेस 64 एनकोडेड कमांड स्ट्रीम भेजते हैं। यह सब वेब फ़िल्टर और एंटीवायरस सॉफ़्टवेयर के साथ पता लगाने के लिए हमले को मुश्किल बनाने के लिए किया जाता है जो विशिष्ट कीवर्ड का जवाब देते हैं।
सौभाग्य से, हा स्वचालित रूप से बेस 64 को डिकोड करता है और तुरंत एक पठनीय रूप में सब कुछ दिखाता है। अनिवार्य रूप से, आपको इन लिपियों के काम करने के तरीके पर ध्यान देने की आवश्यकता नहीं है, क्योंकि आप संबंधित हा सेक्शन में चलने वाली प्रक्रियाओं के लिए कमांड का पूरा आउटपुट देख सकते हैं। नीचे एक उदाहरण देखें:



हाइब्रिड विश्लेषण ने बेस 64 एनकोडेड कमांड्स को पॉवरशेल में भेजा:



... और फिर उन्हें आपके लिए डिकोड करता है। # जादुई रूप से

पिछले पोस्ट में, मैंने PowerShell सत्र शुरू करने के लिए अपने स्वयं के थोड़े से मोटे जावास्क्रिप्ट कंटेनर बनाए। फिर मेरी स्क्रिप्ट, कई PowerShell- आधारित मैलवेयर की तरह, एक दूरस्थ वेबसाइट से निम्न PowerShell स्क्रिप्ट डाउनलोड करती है। फिर, एक उदाहरण के रूप में, मैंने स्क्रीन पर एक संदेश को प्रिंट करने वाला हानिरहित पीएस डाउनलोड किया। लेकिन समय बदल रहा है, और अब मैं परिदृश्य को जटिल बनाने का प्रस्ताव करता हूं।

पॉवरशेल एम्पायर और रिवर्स शेल

इस अभ्यास का एक लक्ष्य यह दिखाना है कि कैसे (अपेक्षाकृत) एक हैकर आसानी से क्लासिक परिधि के बचाव और एंटीवायरस के आसपास पहुंच सकता है। अगर मेरे जैसे प्रोग्रामिंग कौशल के बिना एक आईटी ब्लॉगर एक शाम में पूरी तरह से अनिर्धारित (FUD) मैलवेयर बना सकता है, तो इसमें रुचि रखने वाले युवा हैकर की संभावनाओं की कल्पना करें!

और अगर आप आईटी सुरक्षा प्रदान करने वाले व्यक्ति हैं, लेकिन आपके प्रबंधक को इन खतरों के संभावित परिणामों के बारे में पता नहीं है, तो बस उन्हें यह लेख दिखाएं।

हैकर्स का लैपटॉप या पीड़ित के सर्वर तक सीधी पहुँच पाने का सपना है। ऐसा करना बहुत सरल है: सभी हैकर को सीईओ के लैपटॉप पर कुछ गोपनीय फाइलें प्राप्त करनी होती हैं।

किसी तरह मैंने पहले ही पोस्ट-पॉवरशेल एम्पायर रनटाइम के बारे में लिखा । आइए याद रखें कि यह क्या है।

संक्षेप में, यह एक पॉवरशेल-आधारित पैठ परीक्षण उपकरण है, जो कई अन्य विशेषताओं के बीच, रिवर्स शेल को चलाना आसान बनाता है। आप PSE होमपेज पर इसके बारे में अधिक जान सकते हैं।

चलो थोड़ा प्रयोग करते हैं। मैंने Amazon Web Services के क्लाउड में एक सुरक्षित मैलवेयर परीक्षण वातावरण स्थापित किया है। आप जल्दी और सुरक्षित रूप से इस भेद्यता का एक कार्यशील उदाहरण दिखाने के लिए मेरे उदाहरण का अनुसरण कर सकते हैं (और उद्यम परिधि के अंदर वायरस को लॉन्च करने के लिए निकाल नहीं दिया जा सकता है)।

यदि आप PowerShell साम्राज्य कंसोल प्रारंभ करते हैं, तो आपको निम्न जैसा कुछ दिखाई देगा:



सबसे पहले, आप अपने हैकर कंप्यूटर पर श्रोता प्रक्रिया शुरू करते हैं। "श्रोता" कमांड दर्ज करें, और "सेट होस्ट" का उपयोग करके अपने सिस्टम का आईपी पता निर्दिष्ट करें। फिर निष्पादित कमांड (नीचे) के साथ श्रोता प्रक्रिया शुरू करें। इस प्रकार, अपने हिस्से के लिए, दूरस्थ शेल से नेटवर्क कनेक्शन की प्रतीक्षा करना शुरू करें:



दूसरे पक्ष के लिए, आपको लॉन्चर कमांड दर्ज करके एजेंट कोड उत्पन्न करना होगा (नीचे देखें)। यह रिमोट एजेंट के लिए पावरशेल कोड उत्पन्न करेगा। ध्यान दें कि यह Base64 में एन्कोडेड है, और पेलोड के दूसरे चरण का प्रतिनिधित्व करता है। दूसरे शब्दों में, मेरा जावास्क्रिप्ट कोड अब स्क्रीन पर हानिरहित पाठ आउटपुट के बजाय पावरशेल को चलाने के लिए इस एजेंट को खींचेगा और रिवर्स शेल को चलाने के लिए हमारे दूरस्थ PSE सर्वर से कनेक्ट करेगा।


उलटे खोल का जादू। यह एन्कोडेड पॉवरशेल कमांड मेरे श्रोता से जुड़ेगा और रिमोट शेल शुरू करेगा।

आपको यह प्रयोग दिखाने के लिए, मैंने एक निर्दोष पीड़ित की भूमिका निभाई और Evil.doc खोला, जिससे हमारा जावास्क्रिप्ट लॉन्च हुआ। पहला भाग याद है? PowerShell कॉन्फ़िगर किया गया था ताकि इसकी विंडो पॉप अप न हो, इसलिए पीड़ित को कुछ भी असामान्य नहीं दिखाई देगा। हालाँकि, यदि आप Windows टास्क मैनेजर खोलते हैं, तो आपको PowerShell पृष्ठभूमि प्रक्रिया दिखाई देगी, जो अभी भी अधिकांश के लिए कोई अलार्म पैदा नहीं करेगी। क्योंकि यह नियमित रूप से PowerShell है, है ना?



अब, जब आप Evil.doc चलाते हैं, तो एक छिपी हुई पृष्ठभूमि प्रक्रिया PowerShell साम्राज्य के साथ सर्वर से जुड़ेगी। हैकर-पेंटर की सफेद टोपी पर रखने के बाद, मैं पॉवरशेल एम्पायर कंसोल पर लौट आया और अब मुझे एक संदेश दिखाई देता है कि मेरा रिमोट एजेंट सक्रिय है।



तब मैंने PSE में शेल को खोलने के लिए "इंटरैक्ट" कमांड दर्ज किया - और यहाँ मैं हूँ! संक्षेप में, मैंने टैको सर्वर में हैक किया, जिसे मैंने खुद एक बार स्थापित किया था।



मैंने अभी जो प्रदर्शन किया है, उसमें आपसे इतने काम की आवश्यकता नहीं है। आप सूचना सुरक्षा के अपने ज्ञान को बेहतर बनाने के लिए एक से दो घंटे के लिए लंच ब्रेक के लिए सुरक्षित रूप से यह सब कर सकते हैं। यह समझने का एक शानदार तरीका है कि हैकर्स बाहरी सुरक्षा परिधि सुरक्षा को कैसे दरकिनार करते हैं और आपके सिस्टम पर गुप्त रूप से तैनात हैं।

आईटी प्रबंधकों का मानना ​​है कि उन्होंने किसी भी पैठ के खिलाफ अविनाशी सुरक्षा का निर्माण किया है, शायद यह जानकारीपूर्ण भी मिलेगा - ठीक है, अगर, निश्चित रूप से, आप उन्हें लंबे समय तक आपके बगल में बैठने के लिए मना सकते हैं।

वास्तविकता में वापस

जैसा कि मैंने उम्मीद की थी, एक वास्तविक हैक जो औसत उपयोगकर्ता को दिखाई नहीं देता है, वह केवल मेरे द्वारा वर्णित के रूप में भिन्नता है। अगले प्रकाशन के लिए सामग्री एकत्र करने के लिए, मैंने हा पर एक नमूने की तलाश शुरू की जो मेरे आविष्कार किए गए उदाहरण के समान काम करता है। और मुझे इसे लंबे समय तक देखने की ज़रूरत नहीं थी - साइट पर इस तरह के हमले की तकनीक के लिए कई विकल्प हैं।

मैलवेयर जो मैंने हा पर ढूंढना समाप्त किया है वह \ VBA स्क्रिप्ट है जिसे वर्ड डॉक्यूमेंट में बनाया गया था। यही है, मुझे डॉक एक्सटेंशन को नकली करने की आवश्यकता नहीं है, यह मैलवेयर वास्तव में सबसे आम दिखने वाला माइक्रोसॉफ्ट वर्ड दस्तावेज़ है। यदि आप रुचि रखते हैं, तो मैंने इस नमूने को चुना, जिसे rfq.doc कहा जाता है।

मुझे जल्दी से पता चला कि अक्सर आप किसी दस्तावेज़ से दुर्भावनापूर्ण VBA स्क्रिप्ट को सीधे नहीं निकाल पाएंगे। हैकर्स उन्हें संकुचित और छिपाते हैं, और वे Word के अंतर्निहित मैक्रो टूल में दिखाई नहीं देते हैं। इसे निकालने के लिए आपको एक विशेष उपकरण की आवश्यकता होगी। सौभाग्य से, मैं फ्रैंक बाल्डविन के ऑफिसमालस्कैनर में आया। धन्यवाद, फ्रैंक।

इस उपकरण का उपयोग करके, मैं बहुत भ्रमित करने वाला VBA कोड निकालने में सक्षम था। यह कुछ इस तरह देखा गया:


पेशेवरों द्वारा विरोध किया गया था। मैं प्रभावित हुआ!

हमलावर कोड को गड़बड़ाने में वास्तव में अच्छे हैं, न कि एविल.डॉक बनाने के मेरे प्रयासों की तरह। ठीक है, ठीक है, अगले भाग में हम अपने वीबीए डिबगर्स प्राप्त करेंगे, इस कोड में थोड़ा गहराई से जाएं और हा परिणामों के साथ हमारे विश्लेषण की तुलना करें।