डिजिटल फोरेंसिक टिप्स एंड ट्रिक्स: टेलीग्राम IM- आधारित RAT - भाग II

फिर से नमस्कार, दोस्तों!

जब मैंने टेलीग्राम आईएम-आधारित आरएटी के बारे में अपना लेख प्रकाशित किया, तो मुझे एक सामान्य बिंदु के साथ कुछ संदेश प्राप्त हुए हैं - अगर टेलीग्राम आईएम-आधारित आरएटी से संक्रमित एक कार्य केंद्र हो तो क्या अतिरिक्त प्रमाण मिल सकते हैं?

ठीक है, मैंने सोचा, चलो इस जांच को जारी रखें, इसके अलावा विषय ने इस तरह की रुचि को आकर्षित किया था।



टेलीग्राम-आधारित आरएटी रैम में कुछ निशान छोड़ता है और हम इसे विश्लेषण के दौरान पा सकते हैं।

लेकिन ज्यादातर मामलों में एक अन्वेषक वास्तविक समय में रैम का विश्लेषण नहीं कर सकता है। हम जितनी जल्दी हो सके रैम डंप कैसे प्राप्त कर सकते हैं? उदाहरण के लिए आप Belkasoft Live RAM Capturer का उपयोग कर सकते हैं। यह पूरी तरह से नि: शुल्क उपकरण है और कठिन प्रशासनिक प्रयासों के बिना बहुत तेजी से काम करता है।



प्रक्रिया समाप्त होने के बाद हेक्स दर्शकों में से किसी में डंप फ़ाइल खोलें (इस उदाहरण में मैंने एफटीके इमेजर का उपयोग किया था, लेकिन आप अधिक हल्के उपकरण चुन सकते हैं)। Telegram.org स्ट्रिंग की खोज करें - यदि कोई देशी टेलीग्राम ऐप संक्रमित कार्य केंद्र पर उपयोग नहीं कर रहा है, तो यह टेलीग्राम आरएटी प्रक्रिया की उपस्थिति का "लाल झंडा" है।



ठीक है, चलो "टेलपोट" स्ट्रिंग के लिए एक और खोज करें। Telepot का उपयोग करने वाले टेलीग्राम बॉट एपीआई के लिए टेलपॉट एक पायथन-आधारित मॉड्यूल है । यह टेलीग्राम RAT में एक सामान्य रूप से उपयोग किया जाने वाला मॉड्यूल है।



तो, अब आप देखते हैं - यह कोई बड़ी बात नहीं है, खासकर जब आप जानते हैं कि किसी कार्य के लिए कौन सा उपकरण अधिक उपयुक्त है।

रूस में पूरे * .telegram.org डोमेन क्षेत्र Roskomnadzor द्वारा प्रतिबंधित है और टेलीग्राम अक्सर सर्वर-साइड से कनेक्ट करने के लिए प्रॉक्सी या वीपीएन का उपयोग करता है। लेकिन हम अभी भी ब्याज के कार्य केंद्र से * .telegram.org - के लिए DNS अनुरोधों का पता लगा सकते हैं - हमारे लिए एक और "लाल झंडा"।

यहाँ मैं ट्रैफ़िक का नमूना ले रहा हूँ जो मैंने विर्सार्क के साथ लिया है:



और अंतिम लेकिन कम से कम नहीं - टेलीग्राम आरएटी ने फाइलसिस्टम (एनटीएफएस) पर निशान लगाया। जैसा कि मैंने अपने लेख के पहले भाग में उल्लेख किया है, पायथन-आधारित टेलीग्राम आरएटी को केवल एक फ़ाइल का उपयोग करने के लिए तैनात करने का सबसे अच्छा तरीका सभी फ़ाइलों को pyinstaller के साथ संकलित करना है ।
.Exe फ़ाइल निष्पादित होने के बाद, बहुत सारी पायथन फ़ाइलें (मॉड्यूल, लाइब्रेरी आदि) निकाली गई हैं और हम इस गतिविधि को $ MFT में पा सकते हैं

हां, एक LIVE सिस्टम पर $ MFT (और अन्य फोरेंसिक-साउंड चीजें) निकालने के लिए एक स्वतंत्र और हल्का उपकरण है। मैं आपको फोरकोपी_हैंडी टूल के बारे में बता रहा हूं। यह एक नया-नया उपकरण नहीं है, लेकिन फिर भी कुछ कंप्यूटर फोरेंसिक के लिए उपयोगी है।

ठीक है, हम $ MFT निकाल सकते हैं और, जैसा कि आप देख रहे हैं, हमें एक सिस्टम रजिस्ट्री, इवेंट लॉग, प्रीफैच आदि भी मिल रहा है



अब, कुछ ऐसे निशान ढूंढते हैं जिन्हें हम ढूंढ रहे हैं। हम MFTEcmd के साथ $ MFT पार्स करते हैं



और यहाँ टेलीग्राम आरएटी के लिए विशिष्ट फाइल सिस्टम गतिविधि है। बहुत सी .pyd फाइलें और पायथन लाइब्रेरी:



मुझे लगता है कि अब टेलीग्राम-आधारित RAT का पता लगाने के लिए पर्याप्त होना चाहिए, दोस्तों :)