डिजिटल फोरेंसिक टिप्स एंड ट्रिक्स: टेलीग्राम IM- आधारित RAT - भाग I

क्या आप जानते हैं कि टेलीग्राम आईएम कुछ अवैध करने के लिए टूलकिट के रूप में अधिक से अधिक लोकप्रिय हो गया है?
विभिन्न अवैध और समुद्री डकैती सामग्री के साथ बहुत सारे छिपे हुए चैनल और बॉट हैं। मैं आपको एक लेख सुझा सकता हूं जहां इनमें से कुछ बिंदुओं का गहराई से वर्णन किया गया है।

लेकिन मेरी दिलचस्पी टेलीग्राम को रिमोट एक्सेस टूलकिट (आरएटी) के रूप में उपयोग कर रही है।



मुझे कम से कम 2 कारणों से इसमें हमलावरों के लिए संभावित बड़ा क्षेत्र दिखाई देता है:

• टेलीग्राम पूरी तरह से कानूनी उत्पाद है और यह एजेंट एंटीवायरस सॉफ़्टवेयर के लिए संदिग्ध नहीं दिखता है

• Youtube और अन्य इंटरनेट संसाधनों पर विस्तृत निर्देशों के साथ "कैसे आरटीए के रूप में टेलीग्राम का उपयोग करें" के बारे में बहुत सारी जानकारी है

इसलिए, कोई भी इसे जीथब या कहीं और से डाउनलोड कर सकता है और आईएम को आरएटी के रूप में उपयोग करने का प्रयास कर सकता है



और यहाँ कुछ वीडियो मैनुअल हैं:



ठीक है, अब आप देखते हैं - टेलीग्राम-आधारित आरएटी को डाउनलोड करना और इसे उपयोग करने का तरीका समझना इतना कठिन नहीं है। इसके अलावा - इन परियोजनाओं में से लगभग सभी पायथन कोड का उपयोग करते हैं। तो, कोई भी pyinstaller या इस तरह के टूल का उपयोग करके .exe से python कोड संकलित कर सकता है।

अंतिम पर आपको मिलेगा - बूम! - एक निष्पादन योग्य आरएटी उपकरण, जो एंटीवायरस के लिए undetectable है!
कूल हे?

यहाँ उदाहरण के लिए mvrozanti / RAT-through-Telegram की कुछ क्षमताएं हैं:

arp - display arp table capture_pc - screenshot PC cmd_exec - execute shell command cp - copy files cd - change current directory delete - delete a file/folder download - download file from target decode_all - decode ALL encoded local files dns - display DNS Cache encode_all - encode ALL local files freeze_keyboard - enable keyboard freeze unfreeze_keyboard - disable keyboard freeze get_chrome - Get Google Chrome's login/passwords hear - record microphone ip_info - via ipinfo.io keylogs - get keylogs ls - list contents of current or specified directory msg_box - display message box with text mv - move files pc_info - PC information ping - makes sure target is up play - plays a youtube video proxy - opens a proxy server pwd - show current directory python_exec - interpret python reboot - reboot computer run - run a file schedule - schedule a command to run at specific time self_destruct - destroy all traces shutdown - shutdown computer tasklist - display services and processes running to - select targets by it's name update - update executable wallpaper - change wallpaper 

एक हमलावर RAT को अनुकूलित कर सकता है (एक आइकन बदलें, एक प्रमाण पत्र आदि जोड़ें), फिर संकलन करें और इसे फ़िशिंग ईमेल कैशबैक के रूप में भेजें। आगे क्या है? कुछ भी!

फ़ाइलों के लिए खोजें (यहां तक ​​कि एक नेटवर्क ड्राइव पर), एप्लिकेशन और स्क्रिप्ट निष्पादित करें, दस्तावेज़ अपलोड करें और डाउनलोड करें, एक keylogs प्राप्त करें, ब्ला-ब्ला - कुछ भी!

बेशक - एक हमलावर को संक्रमित कार्य केंद्र की आवश्यकता होती है जिसमें इंटरनेट का उपयोग होता है। लेकिन मुझे लगता है कि कुछ कारणों से यह कोई बड़ी बात नहीं है।

ठीक है, मुख्य सवाल यह है कि एक टेलीग्राम आरएटी का पता कैसे लगाया गया था या यह अभी वर्कस्टेशन पर उपयोग कर रहा है?

1. आधुनिक malwares ज्यादातर आईटी-बुनियादी ढांचे के दीर्घकालिक शोषण के लिए बनाए गए हैं। तो, एक दृढ़ता अंक खोजने की कोशिश करें। सामान्य तरीका ऑटोरन कुंजियों की जांच करना है:



इस स्क्रीनशॉट पर आप एडोब आइकन के साथ एक एप्लिकेशन देखते हैं, लेकिन इसमें गैर-मानक नाम और स्थान है - अगर आपको यह एक तरह का मिला, तो इसे विरोस्तुटल या संबंधित सेवा पर जांचें।

वैसे - यह टेलीग्राम-आधारित आरएटी कार्यकारी फ़ाइल की जाँच के परिणाम हैं। जैसा कि आप देखते हैं, इंजनों के बस मामूली हिस्से ने इसे संदिग्ध माना।



2. चूंकि ऑटोरन में कुछ अजीब पाया गया था, इसलिए प्रक्रिया सूची की जांच करने के लिए अगला स्पष्ट कदम है। ठीक है, यहाँ हमने इस Adobe जैसी प्रक्रिया को सक्रिय नेटवर्क सत्र के साथ पाया है:



ठीक है, आइए इस आईपी पते की जांच करें ... और - बूम! - यह एक टेलीग्राम आईपी है



3. इस प्रक्रिया के व्यवहार का पता कैसे लगाएं? प्रक्रिया मॉनिटर का उपयोग करने का प्रयास करें!

अधिक आरामदायक दृश्य प्राप्त करने के लिए प्रक्रिया और फाइलसिस्टम ऑपरेशन द्वारा फ़िल्टर का उपयोग करना न भूलें:



आप फ़ाइलों और फ़ोल्डरों पर कई अलग-अलग ऑपरेशन देख सकते हैं और कुछ फ़ाइलनाम हमें प्रक्रिया कार्यों (win32clipboard.pyd) के बारे में एक महत्वपूर्ण जानकारी देते हैं।

इसके अलावा, हमने देखा कि सक्रिय प्रक्रिया कई अस्थायी फ़ाइलों का निर्माण करती है - हम इस ज्ञान का उपयोग जांच प्रक्रिया के दौरान आगे कर सकते हैं।



4. उदाहरण के लिए, RAT पहली बार शुरू होने पर किस तारीख को समझने के दो तरीके:

• WinPrefetchView का उपयोग करके सिस्टम प्रीफ़ेट सूची की जाँच करें

• NetworkUsageView का उपयोग करके SRUM से प्रक्रियाओं के नेटवर्क उपयोग के आंकड़ों की जाँच करें

ठीक है, अब आपके पास सटीक तिथि है और यह समझने के लिए अपनी जांच जारी रख सकते हैं कि यह फ़ाइल कहाँ से आई है: एक ब्राउज़र इतिहास की जाँच करें, जांचें कि क्या ईमेल अटैचमेंट खोले गए थे और इस अवधि पर निष्पादित किए गए थे आदि।

ध्यान देने के लिए फिर से धन्यवाद! मैं जल्द ही एक नए अच्छे सामान के साथ वापस आऊंगा!