ऑपरेशन TA505: हमने ट्रोजन ड्राइडेक्स, लॉकी रैनसमवेयर और न्यूट्रिनो बॉटनेट के रचनाकारों के नए उपकरणों का विश्लेषण कैसे किया

2019 के लिए TA505 समूह के हमलों का भूगोल

पीटी एक्सपर्ट सिक्योरिटी सेंटर के थ्रेट इंटेलिजेंस विश्लेषकों की हमारी टीम छह महीने से TA505 से साइबर अपराधियों की निगरानी कर रही है। हमलावरों के हित का क्षेत्र वित्तीय है, और लक्ष्य विभिन्न महाद्वीपों के दर्जनों देशों में स्थित हैं।

TA505 को किस समूह के लिए जाना जाता है

हमलावरों के इस समूह का एक समृद्ध इतिहास है : 2014 के बाद से, उन्होंने बैंकिंग ट्रोजन ड्राइडेक्स, न्यूट्रिनो बॉटनेट, साथ ही क्रिप्टोग्राफर्स की एक पूरी श्रृंखला - लॉकी, जाफ, ग्लोबइम्पोस्टर, आदि को सूचीबद्ध किया है।

समूह की गतिविधि दुनिया भर में दर्ज की गई थी - उत्तरी अमेरिका से मध्य एशिया तक। नोट: हमने रूस में दुर्भावनापूर्ण TA505 समूहों के पृथक मामले दर्ज किए, लेकिन यह मानने का हर कारण है कि हमलावरों के पास हमारे देश में लक्ष्य नहीं थे, और डाक प्रकृति में यादृच्छिक थे।

समूह के मुख्य रूप से वित्तीय प्रेरणा के बावजूद, पिछले छह महीनों में अपने लक्ष्यों के बीच, अनुसंधान संस्थान, ऊर्जा उद्योग के संगठन, स्वास्थ्य सेवा, विमानन कंपनियां और यहां तक ​​कि सार्वजनिक क्षेत्र भी रहे हैं।



2019 के लिए उद्योग द्वारा TA505 हमलों का वितरण

नीचे एक फ़िशिंग ईमेल का उदाहरण दिया गया है जिसमें समूह द्वारा विकसित दुर्भावनापूर्ण सॉफ़्टवेयर हैं और लक्षित, ईमेल पते से देखते हुए, ब्रिटिश विदेश कार्यालय को दिया जाता है।



2018 के वसंत के बाद से, समूह रिमोट एक्सेस टूल फ्लैवेडएमी का उपयोग कर रहा है, और वर्ष के अंत के बाद से यह नए सर्वहेलर पिछले दरवाजे का उपयोग कर रहा है। TA505 - उन कुछ में से एक जो लंबे समय तक जोरदार गतिविधि का दावा कर सकते हैं। इसके अलावा, हमलों की प्रत्येक नई लहर के साथ, वे अपने उपकरणों में दिलचस्प बदलाव लाते हैं।



महीने 2019 के लिए TA505 ग्रुप डिस्कवरी डायनेमिक्स

बेशक, इस तरह की उद्दाम गतिविधि पर किसी का ध्यान नहीं जाता है: हमारे सहयोगियों के कई प्रकाशन हैं प्रूफ पॉइंट , ट्रेंड माइक्रो , योरोई और न केवल दुर्भावनापूर्ण तकनीकों और मैलवेयर के बारे में। हालांकि, कई दिलचस्प विवरणों को अनदेखा किया जाता है:

• समूह पहचानकर्ता पीई पैकर;
• सर्वरहेल्पर पिछले दरवाजे की एक भिन्नता, जिसमें जोर अपनी कार्यक्षमता पर नहीं है, लेकिन नेट्सपॉर्टमैनगर के तैयार-किए और प्रसिद्ध कार्यान्वयन पर;
• नेटवर्क इन्फ्रास्ट्रक्चर: विशेषता रजिस्ट्रार, होस्टर्स, जिनमें बिशप समूह के बुनियादी ढांचे के साथ चौराहे शामिल हैं;
• अन्य VPO समूह पहले वर्णित नहीं हैं।

यह लेख TA505 के बारे में हमारी पोस्ट की श्रृंखला में पहला है।

भाग एक पैकेज से मिलते हैं

मध्य जून 2019 में, हमने देखा कि अगले FlawedAmmy मैलवेयर डाउनलोडर पिछले संस्करणों से काफी अलग हैं: उदाहरण के लिए, हेक्साडेसिमल संपादक में प्रोग्राम कोड का दृश्य प्रतिनिधित्व बदल गया, और यहां तक ​​कि कई बार लिया गया कुछ विशेषता बन गया:



ASCII कार्यक्रम कोड का प्रतिनिधित्व

कोड के एक त्वरित विश्लेषण से पता चला कि हमारे पास निष्पादन योग्य फ़ाइलों का एक अज्ञात पैकर है। बाद में यह पता चला कि इस पैकर में न केवल पूर्वोक्त लोडर शामिल थे, बल्कि पेलोड सहित एचपीई समूह के अन्य नमूने भी थे। फिर हमने लक्ष्य वस्तु को स्वचालित रूप से निकालने के लिए विघटन तर्क का विस्तार से अध्ययन करने का निर्णय लिया।

परत 1. मुड़ XOR

अनपैकर का प्रमुख हिस्सा बेकार निर्देशों की एक बहुतायत से पहले है। वायरस लेखक अक्सर एंटीवायरस उत्पादों के इम्यूलेटर को भ्रमित करने के लिए इस तरह की तकनीक का सहारा लेते हैं। सभी दिलचस्प चीजें WinAPI फ़ंक्शन VirtualAllocEx का उपयोग करके 0xD20 आकार के बफर के लिए मेमोरी के आवंटन के साथ शुरू होती हैं। मेमोरी को PAGE_EXECUTE_READWRITE अनुमतियों के साथ आवंटित किया गया है, जो आपको कोड लिखने और निष्पादित करने की अनुमति देता है।



अनपैकर सामग्री की शुरुआत

अध्ययन के तहत फ़ाइल के डेटा अनुभाग में डेटा की एक सरणी होती है जो डिक्रिप्शन प्रक्रिया से गुजरती है, और परिणाम आवंटित मेमोरी को लिखा जाता है। डिक्रिप्शन एल्गोरिथम:

• पूर्णांक के रूप में 4 बाइट्स की व्याख्या करें,
• सीरियल नंबर घटाएं
• किसी दिए गए स्थिरांक के साथ XOR ऑपरेशन करें,
• 7 इकाइयों द्वारा बाईं ओर एक चक्रीय बिटवाइज़ शिफ्ट करें,
• दिए गए स्थिरांक के साथ XOR ऑपरेशन फिर से करें।

पहली परत को डिकोड करना
हम बाद में इसे संदर्भित करने के लिए संक्षिप्त नाम SUB-XOR-ROL7-XOR द्वारा इस एल्गोरिथम को निरूपित करते हैं।
डिक्रिप्शन प्रक्रिया के बाद, चर क्रमिक रूप से आरंभिक होते हैं। इसे निम्नलिखित प्रारूप में C में एक संरचना में भरने के रूप में दर्शाया जा सकता है:

struct ZOZ { HMODULE hkernel32; void *aEncodedBlob; unsigned int nEncodedBlobSize; unsigned int nBlobMagic; unsigned int nBlobSize; }; 

जहां:

• hkernel32 - पुस्तकालय विवरणक kernel32.dll;
• aEncodedBlob - एन्कोडेड डेटा ब्लॉक का सूचक, हमने इसका उल्लेख तब किया जब हमने ऊपर के नमूनों की दृश्य समानता का उल्लेख किया;

एन्कोडेड डेटा ब्लॉक

• nEncodedBlobSize - एन्कोडेड डेटा ब्लॉक का 4-बाइट आकार;
• nBlobM दुखद - डेटा ब्लॉक के सामने 4-बाइट स्थिर, जिसे हम बाद में वापस कर देंगे;
• nBlobSize - डिकोड किए गए डेटा ब्लॉक का 4-बाइट आकार;

हमने ZOZ संरचना को कहा (यह लेट्सपेक पर "505" है)।



ZOZ संरचना भरें

वर्णित कार्यों के परिणामस्वरूप, कोड निष्पादन डिक्रिप्टेड बफर पर पुनर्निर्देशित किया जाएगा (अब इसमें कोई संदेह नहीं है कि डिक्रिप्ट किए गए डेटा निष्पादन योग्य कोड है), और भरे हुए संरचना के लिए सूचक एक फ़ंक्शन पैरामीटर के रूप में पारित किया जाएगा:



" ZOZ " संरचना के साथ डिक्रिप्ट किए गए कोड को तर्क के रूप में पारित करना



डिक्रिप्ट किए गए कोड के टुकड़े टुकड़े में

परत 2. छोटा बेहतर

कोड के डिक्रिप्ट किए गए टुकड़े पर नियंत्रण स्थानांतरित करने के बाद, पहला कदम WinAPI फ़ंक्शन GetProcAddress, VirtualQuery, VirtualAlloc, VirtualProtect, VirtualFree और LoadLibraryA के पते निर्धारित करना है। यह सूची अक्सर शेल कोड के काम में पाई जाती है: आखिरकार, उन्हें पेलोड के बाद के लॉन्च के लिए मेमोरी को तैयार करने और सही ढंग से भरने की आवश्यकता होती है।

प्रारंभिक प्रक्रियाओं के पूरा होने पर, प्रेषित एन्कोडेड डेटा ब्लॉक को काट दिया जाता है: प्रत्येक पांच बाइट्स में से, पहले दो को छोड़ दिया जाता है, और शेष तीन को बचा लिया जाता है:



कोडित डेटा ब्लॉक में कमी

फिर, डिक्रिप्शन प्रक्रिया, जिसे हम SUB-XOR-ROL7-XOR कहते हैं, का प्रदर्शन किया जाता है । इस स्थिति में, XOR ऑपरेशन के लिए एक स्थिरांक के रूप में, एक और nBlobMagic मान का उपयोग किया जाता है, जिसे ZZZ संरचना में पारित किया गया था।



SUB-XOR-ROL7-XOR का पुन: उपयोग करना

उसके बाद, परिणामी सरणी को एक फ़ंक्शन में स्थानांतरित किया जाता है जिसमें अधिक जटिल परिवर्तनों की एक श्रृंखला होती है। स्थिरांक के विशिष्ट मूल्यों द्वारा, यह स्थापित करना आसान है कि यह लोकप्रिय पीई-रैपर एफएसजी (फास्ट फूड गुड) का कार्यान्वयन है । यह उत्सुक है कि एफएसजी पैकर का मूल संस्करण पीई को वर्गों में संपीड़ित करता है, और हमारे मामले में एल्गोरिथ्म का कार्यान्वयन पीई के साथ समग्र रूप से काम करता है।



FSG पैकर कार्यान्वयन

इस स्तर पर, अनपैक पीई लक्ष्य फ़ाइल आगे के विश्लेषण के लिए तैयार है। शेलकोड के बाकी हिस्से को मूल पे को अनपैक्ड संस्करण के साथ पता स्थान में अधिलेखित कर दिया जाएगा और इसे सही ढंग से चलाया जाएगा। यह ध्यान रखना दिलचस्प है कि एक लोड किए गए मॉड्यूल के प्रवेश बिंदु को समायोजित करने की प्रक्रिया में, पीईबी में संरचनाओं में हेरफेर किया जाता है। हमलावरों ने कर्नेल 32 डिस्क्रिप्टर को पहली परत के तर्क से आगे बढ़ाने का निर्णय लिया, क्योंकि यह पीईबी संरचनाओं का उपयोग करके अज्ञात है।



पीईबी में लोड किए गए मॉड्यूल के प्रवेश बिंदु के मूल्य को ओवरराइट करें

निष्कर्ष

तो, पेलोड अनपैकिंग एल्गोरिथ्म:

• SUB-XOR-ROL7-XOR का उपयोग करके शेल कोड डिकोडिंग,
• ZOZ संरचना में भरना और शेलकोड को कॉल करना,
• पांच से तीन पेलोड में कमी,
• SUB-XOR-ROL7-XOR का उपयोग करके पेलोड डिकोडिंग,
• विघटन पैकर एफएसजी।

मैलवेयर के विकास के दौरान, तर्क बदल गया: उदाहरण के लिए, SUB-XOR-ROL7-XOR एल्गोरिथ्म (माना मामले में सात) की चक्रीय पारियों की संख्या पांच, नौ द्वारा बदल दी गई है, x5 प्लेटफॉर्म के लिए पैकर संस्करण जारी किया गया था, आदि अद्वितीय साइबरक्रिमिनल ग्रुपिंग पैकर उत्कृष्ट है। TA505 के उपकरण और विशेषताओं के बारे में भविष्य के कथन के लिए एपिग्राफ।

निम्नलिखित लेखों में, हम बात करेंगे कि कैसे TA505 उपकरण नवीनतम हमलों के दौरान विकसित और परिवर्तित हुए, अन्य साइबर समूहों के साथ प्रतिभागियों की बातचीत के बारे में, और हम पहले से जांचे गए मैलवेयर मॉडल का अध्ययन करेंगे।

लेखक : एलेक्सी विश्नाकोव और स्टैनिस्लाव राकोवस्की, पॉजिटिव टेक्नोलॉजीज

IOCs

b635c11efdf4dc2119fa002f73a9df7b - b635c11efdf4dc2119fa002f73a9df7b पैकेज्ड लोडर
71b183a44f755ca170fc2e29b05b64d5 - 71b183a44f755ca170fc2e29b05b64d5 बूटलोडर