"स्वर्ग का द्वार" के साथ मामूली वायरस

सभी को नमस्कार! रिवर्स इंजीनियरिंग पाठ्यक्रम पर एक नई स्ट्रीम की शुरुआत की प्रत्याशा में , हम आपके साथ एक बहुत ही रोचक सामग्री का अनुवाद साझा कर रहे हैं । पढ़ने में मजा आता है

---

पिछले दो सालों को रैंसमवेयर हैकर्स का साल कहा जा सकता है। रैनसमवेयर ने बिना किसी संदेह के सबसे लोकप्रिय प्रकार का मैलवेयर बना दिया है। हालांकि, पिछले वर्षों के अंत में, हमने लोकप्रियता में गिरावट और खनिकों के पक्ष में इसकी वृद्धि का निरीक्षण करना शुरू किया। यह संभव है कि 2018 में यह प्रवृत्ति केवल बढ़ेगी।

पीड़ित के दृष्टिकोण से, यह एक राहत है, क्योंकि खनिक रैंसमवेयर के रूप में खतरनाक नहीं हैं। हां, वे सिस्टम को धीमा कर देते हैं, लेकिन जैसे ही आप उनसे छुटकारा पा लेते हैं, आप पहले की तरह अपने कंप्यूटर का उपयोग करना जारी रख सकते हैं। आपका डेटा चोरी या गुम नहीं हुआ है, जैसा कि रैंसमवेयर वायरस के मामले में है।

एक मैलवेयर शोधकर्ता के दृष्टिकोण से, खनिक निराशाजनक हैं। वे गहन विश्लेषण के लिए पर्याप्त नई सामग्री प्रदान नहीं करते हैं, मुख्य रूप से क्योंकि वे कम या कोई भ्रम या चुपके के साथ प्रसिद्ध खुला स्रोत घटकों पर आधारित हैं।

हालांकि, समय-समय पर हम दिलचस्प चाल का उपयोग करके खनिक पाते हैं। हमने हाल ही में "हेविन्स गेट" नामक एक तकनीक देखी, जो 32-बिट बूटलोडर्स से 64-बिट प्रक्रियाओं में इंजेक्शन की अनुमति देता है। यह विचार नया नहीं है, इसका पहला कार्यान्वयन 2009 से शुरू हुआ है, लेकिन यह देखना दिलचस्प है कि इसे नए रूप में कैसे लागू किया गया, सीधे "जंगली से" प्राप्त किया गया।

वायरस विश्लेषण में शुरुआती एक गाइड पढ़ सकते हैं कि स्वर्ग का गेट क्या है और इसके विश्लेषण के लिए कैसे संपर्क करें।

विश्लेषण के लिए सामग्री

• 7b3491e0028d443f11989efaeb0fbec2 - पहला ड्रॉपर;

यह पैटर्न Ngay अभियान (इस पर और अधिक) की निरंतरता में पाया गया था। ऐसे नमूनों की जीवनी की जाँच ने मुझे @_qaz_qaz लेख पर ले गया , जो एक समान नमूने के साथ पहले के अभियान का वर्णन करता है। हालांकि, उनके विश्लेषण में हेवन गेट तकनीक शामिल नहीं थी।

• ed575ba72ea8b41ac2c31c8c39ce303b - दूसरा ड्रॉपर;
• ca54fa2cf8a7e3e2cd457811f336de44 - 32-बिट बूटलोडर।

व्यवहार विश्लेषण

उल्लिखित इंजेक्शन को देखने के लिए, हमें 64-बिट सिस्टम पर नमूना चलाना चाहिए। हम देखते हैं कि यह नोटबुक का सार लॉन्च करता है, जिसमें क्रिप्टोक्यूरेंसी खनन के लिए विशिष्ट पैरामीटर हैं:



ProcessExplorer में मेमोरी में लाइनों को देखते हुए, हम देखते हैं कि यह एक वास्तविक नोटबुक नहीं है, लेकिन XMRig Monero miner है ।



इसलिए, इस समय, हमें यकीन है कि मेमोरी में नोटबुक की छवि को रनपीई (प्रोसेस होलिंग) विधि द्वारा प्रतिस्थापित किया गया था।

मुख्य ड्रॉपर 32-बिट है, लेकिन पेलोड को 64-बिट नोटबुक में स्थानांतरित करता है:



सबसे दिलचस्प बात यह है कि इस प्रकार का इंजेक्शन आधिकारिक विंडोज एपीआई द्वारा समर्थित नहीं है। हम 64-बिट एप्लिकेशन (WoW64 API का उपयोग करके) से 32-बिट प्रक्रियाओं की मेमोरी को पढ़ / लिख सकते हैं, लेकिन वर्सा नहीं।

हालांकि, कुछ अनौपचारिक समाधान हैं, जैसे कि "हेविन्स गेट।"

स्वर्ग के गेट की समीक्षा

हैवन गेट तकनीक का वर्णन पहली बार 2009 में हैकर ने जी। जी। बी। उपनाम से किया था। बाद में, कई कार्यान्वयन बनाए गए थे, उदाहरण के लिए, Wow64ext पुस्तकालय या, इसके आधार पर, W64oWoW64 । 2015 में अपने ब्लॉग में, एलेक्स Ionescu ने इस तकनीक का मुकाबला करने के उपायों का वर्णन किया।
आइए देखें कि यह कैसे काम करता है।

64-बिट विंडोज पर 32-बिट प्रक्रियाएं चलाना

64-बिट संस्करण पर चलने वाली प्रत्येक 32-बिट प्रक्रिया एक विशेष WoW64 सबसिस्टम पर चलती है जो 32-बिट वातावरण का अनुकरण करती है। आप 32-बिट सैंडबॉक्स के साथ एक सादृश्य आकर्षित कर सकते हैं जो 64-बिट प्रक्रिया के अंदर बनाया गया है। तो पहले, 64-बिट प्रक्रिया वातावरण बनाया जाता है। और पहले से ही इसके अंदर एक 32-बिट वातावरण बनाया जाता है। एप्लिकेशन इस 32-बिट वातावरण में चलता है, लेकिन इसके 64-बिट हिस्से तक पहुंच नहीं है।

यदि हम 64-बिट स्कैनर का उपयोग करके बाहर से 32-बिट प्रक्रिया को स्कैन करते हैं, तो हम देखेंगे कि इसके अंदर 32 और 64-बिट DLL दोनों हैं। सबसे महत्वपूर्ण बात, इसमें NTDLL के दो संस्करण हैं: 32-बिट (SysWow64 निर्देशिका से लोड) और 64-बिट (System32 निर्देशिका से लोड):



हालाँकि, 32-बिट प्रक्रिया स्वयं 64-बिट भाग को नहीं देखती है और 32-बिट DLL का उपयोग करने के लिए सीमित है। 64-बिट प्रक्रिया में इंजेक्ट करने के लिए, आपको संबंधित फ़ंक्शन के 64-बिट संस्करणों का उपयोग करने की आवश्यकता है।

कोड सेगमेंट

पर्यावरण के प्रतिबंधित हिस्से तक पहुंच प्राप्त करने के लिए, हमें यह समझने की आवश्यकता है कि अलगाव कैसे किया जाता है। यह पता चला है कि सब कुछ बहुत सरल है। 32-बिट और 64-बिट कोड निष्पादन एक अलग कोड सेगमेंट पते के माध्यम से उपलब्ध है: 32-बिट - 0x23 और 64-बिट - 03333।

यदि हम सामान्य तरीके से पते को कॉल करते हैं, तो इसे व्याख्या करने के लिए जिस मोड का उपयोग किया जाता है वह डिफ़ॉल्ट रूप से सेट होता है। हालाँकि, हम असेंबली कोड का उपयोग करके बदलाव का अनुरोध कर सकते हैं।

खनिक के अंदर: स्वर्ग का गेट कार्यान्वयन

मैं इस खनिक का पूर्ण विश्लेषण नहीं करूँगा, क्योंकि यह पहले ही यहाँ वर्णित किया जा चुका है । चलिए सीधे उस जगह पर चलते हैं जहाँ मस्ती शुरू होती है। दुर्भावनापूर्ण प्रोग्राम इसके वातावरण की जांच करता है, और यदि यह पता लगाता है कि यह 64-बिट सिस्टम पर चल रहा है, तो यह 64-बिट प्रक्रिया में इंजेक्ट करने के लिए एक अलग तरीके का उपयोग करता है:



कुछ विरोधी विश्लेषण जांचों के बाद, यह एक नई, निलंबित 64-बिट प्रक्रिया (इस मामले में, एक नोटपैड) बनाता है:



यह लक्ष्य है जिसमें दुर्भावनापूर्ण भार लागू किया जाएगा।
जैसा कि हमने पहले सीखा, पेलोड को 64-बिट प्रक्रिया में एम्बेड करने के लिए, हमें उचित 64-बिट फ़ंक्शन का उपयोग करने की आवश्यकता है।

सबसे पहले, बूटलोडर 64-बिट NTDLL प्रसंस्करण से गुजरता है:



get_ntdll फ़ंक्शन के अंदर क्या होता है, get_ntdll लिए अधिक विस्तृत विवरण की आवश्यकता होती है। स्पष्टीकरण के रूप में, हम रेवॉल्फ लाइब्रेरी में समान कोड पर एक नज़र डाल सकते हैं।

प्रक्रिया वातावरण के 64-बिट हिस्से तक पहुंचने के लिए, हमें खंड चयनकर्ताओं के साथ काम करने की आवश्यकता है। आइए देखें कि मैलवेयर 64-बिट मोड में कैसे प्रवेश करता है।



ऐसा लगता है कि इस कोड को सीधे खुली लाइब्रेरी से कॉपी किया गया था: https://github.com/rwfpl/rewolf-wow64ext/blob/master/src/internal.h#L26

खंड चयनकर्ता 0x33 को स्टैक पर धकेल दिया जाता है। फिर, मैलवेयर निम्न पंक्ति को कॉल करता है: (इस तरह, अगली पंक्ति का पता भी स्टैक पर धकेल दिया जाता है।)



स्टैक retf गया पता 5 बाइट्स जोड़कर तय किया जाता है और उसे retf : निर्धारित किया retf :



आखिर में RETF स्टेटमेंट कहा जाता है। आरईटीएफ एक "दूर की वापसी" है, और नियमित आरईटी के विपरीत, यह आपको न केवल उस पते को निर्दिष्ट करने की अनुमति देता है जिससे आप निष्पादन जारी रखना चाहते हैं, बल्कि एक खंड भी। तर्क के रूप में, यह स्टैक से दो DWORD लेता है। इस प्रकार, जब RETF निष्पादित होता है, तो रिटर्न रिटर्न पता बन जाता है:

0x33: 0x402A50

बदले हुए खंड के लिए, निर्दिष्ट पते पर शुरू होने वाले कोड को 64-बिट के रूप में व्याख्या किया गया है। तो कोड जो डिबगर देखता है वह 32-बिट है ...



... वास्तव में 64-बिट।

विचारों को जल्दी से बदलने के लिए, मैं PE-bear फ़ंक्शन का उपयोग करता हूं:



और यहाँ इस तरह का कोड दिखता है जैसे कि इसे 64-बिट के रूप में समझा जाता है:



इस प्रकार, जो कोड यहां निष्पादित किया गया है, वह रजिस्टर R12 की सामग्री को स्टैक पर एक चर में स्थानांतरित करने के लिए जिम्मेदार है, और फिर वापस 32-बिट मोड पर स्विच करता है। यह 64-बिट थ्रेड सूचना ब्लॉक (TEB) प्राप्त करने के लिए किया जाता है, जिसमें से हमें 64-बिट प्रोसेस एनवायरनमेंट ब्लॉक (PEB) यहां से मिलता है - हम एक समान कोड को देखते हैं ।

64-बिट PEB का उपयोग NTDLL के 64-बिट संस्करण को खोजने के लिए एक प्रारंभिक बिंदु के रूप में किया जाता है। यह हिस्सा काफी तुच्छ तरीके से लागू किया गया है (इस पद्धति का "वैनिला" कार्यान्वयन यहां पाया जा सकता है ), लोड किए गए पुस्तकालयों के लिए एक सूचक का उपयोग करके, जो पीईबी संरचना में खेतों में से एक है। तो, PEB से हमें Ldr नामक फ़ील्ड मिलता है:



Ldr _PEB_LDR_DATA प्रकार की एक संरचना है। इसमें InMemoryOrderModuleList नामक प्रविष्टि शामिल है:



इस सूची में सभी भरी हुई लाइब्रेरी हैं जो अध्ययन के तहत प्रक्रिया की स्मृति में मौजूद हैं। हम उस सूची को देखते हैं जब तक कि हमें वह पुस्तकालय नहीं मिल जाता है जिसमें हम रुचि रखते हैं, हमारे मामले में यह NTDLL है। यह ठीक यही है जो उपरोक्त get_ntdll फ़ंक्शन get_ntdll । एक उपयुक्त नाम खोजने के लिए, यह निम्नलिखित फ़ंक्शन को is_ntdll_lib रूप में नामित करता है, जो वर्णों द्वारा ntdll.dll के खिलाफ लाइब्रेरी का नाम जांचता है। इस कोड के बराबर निकला।



यदि नाम मेल खाते हैं, तो लाइब्रेरी का पता रजिस्टरों के एक जोड़े को दिया जाता है:



एक बार जब हमें एनटीडीएलएल मिल गया, तो हमें केवल संबंधित कार्यों के पते प्राप्त करने की आवश्यकता है। हम पुस्तकालय निर्यात तालिका को देखकर ऐसा कर सकते हैं:



निम्नलिखित कार्यों को पुनः प्राप्त किया जाता है:

• NttUnmapViewOfSection
• NtGetContextThread
• NtAllocateVirtualMemory
• NtReadVirtualMemory
• NtWriteVirtualMemory
• NtSetContextThread।

जैसा कि हम जानते हैं, ये कार्य RunPE तकनीक के विशिष्ट हैं। सबसे पहले, मूल PE फ़ाइल को अनमैप करने के लिए NtUnmapViewOfSection का उपयोग किया जाता है। फिर, दूरस्थ प्रक्रिया में, मेमोरी आवंटित की जाती है और एक नया पीई लिखा जाता है। अंत में, प्रक्रिया संदर्भ को बदल दिया जाता है ताकि निष्पादन एम्बेडेड मॉड्यूल से शुरू हो।

दूरस्थ प्रक्रिया को नियंत्रित करने के लिए फ़ंक्शन पते संग्रहीत और बाद में ( इस कोड के समान) कहा जाता है।

निष्कर्ष

अब तक, खनिकों के लेखकों ने बहुत अधिक रचनात्मकता नहीं दिखाई है। वे खुले स्रोत के घटकों पर भरोसा करके अपने लक्ष्य को प्राप्त करते हैं। वर्णित मामला अच्छी तरह से इस प्रवृत्ति को दर्शाता है, क्योंकि एक तैयार-किए गए कार्यान्वयन का उपयोग किया गया था।

स्वर्ग का गेट कई वर्षों से है। कुछ दुर्भावनापूर्ण प्रोग्राम इसका उपयोग चुपके से बढ़ाने के लिए करते हैं। लेकिन इस खान के मामले में, लेखकों ने संभवतः पेलोड का उपयोग करके प्रदर्शन को अधिकतम करने की मांग की, जो लक्ष्य वास्तुकला को सबसे अच्छी तरह से फिट बैठता है।

वह सब है। आप यहाँ हमारे पाठ्यक्रम के बारे में अधिक जानकारी प्राप्त कर सकते हैं।