ऑपरेशन TA505: ग्रुपिंग नेटवर्क इन्फ्रास्ट्रक्चर। भाग 3

दुर्भावनापूर्ण अभियानों के अध्ययन में नेटवर्क अवसंरचना विश्लेषण एक बड़ी भूमिका निभाता है। विभिन्न अंतरालों पर एक डोमेन नाम के लिए किस आईपी पते के बारे में जानकारी आपको नए हमलावर सर्वरों की पहचान करने की अनुमति देती है। विपरीत समस्या को हल करने (किसी दिए गए आईपी पते को हल करने वाले डोमेन का एक पूर्वव्यापी) नए डोमेन देता है जिसके लिए आप खोज प्रक्रिया को दोहरा सकते हैं, श्रृंखला को और आगे बढ़ाते हुए। प्राप्त की गई सभी जानकारी नोड्स के भूगोल का एक विचार प्राप्त करने में मदद करती है, "पसंदीदा" होस्टर्स और रजिस्ट्रार को हाइलाइट करें, और उन फ़ील्ड के चारित्रिक मूल्यों पर ध्यान दें, जो हमलावर को इंगित करता है कि जब वह अगले डोमेन को पंजीकृत करता है।

पहली नज़र में, बेकार मेटा-जानकारी कुछ दिनों, हफ्तों और महीनों के बाद भी काम में आ सकती है। दरअसल, मैलवेयर विश्लेषण के दौरान, जल्दी या बाद में सवाल उठता है एक या किसी अन्य आपराधिक समूह के लिए एक साधन से संबंधित: और यहां सभी अप्रत्यक्ष संकेत सहायता के लिए आते हैं, जिसमें नेटवर्क संकेतक पर डेटा भी शामिल है।

इस लेख में, हम TA505 नेटवर्क इन्फ्रास्ट्रक्चर की सबसे विशिष्ट विशेषताओं को देखेंगे और एक अन्य हैकर समूह, Buhtrap के साथ चौराहों को दिखाएंगे।

डोमेन नाम रजिस्ट्रार

कुल में, हमने समूह के 372 डोमेन का विश्लेषण किया और 22 संगठनों की पहचान की जो डोमेन नाम अधिग्रहण सेवाएं प्रदान करते हैं। हमलावरों के लिए निम्नलिखित संसाधन सबसे बड़ी रुचि थे:

• WhisGuard, इंक। - 28 डोमेन नाम,
• Eranet International Limited - 26 डोमेन नाम।

पनामियन संगठन व्हिसगार्ड अपने पंजीकरण डेटा को सार्वजनिक पहुंच से छिपाने का अवसर प्रदान करता है। यह किसी भी तरह से इस कंपनी की सेवाओं का उपयोग करने और जांच को जटिल करने का पहला मामला नहीं है।



समूह के मैलवेयर परिवारों द्वारा WhoisGuard सेवा का उपयोग कर पंजीकृत TA505 डोमेन का वितरण

इसके अलावा, हमने अन्य समान सेवाओं - PROTECTSERVICE, LTD, Whois Privacy Protection Foundation, Domains by Proxy, LLC का उपयोग किया - लेकिन कुछ हद तक।

Eranet International Limited हांगकांग के सबसे बड़े रजिस्ट्रारों में से एक है। यह ध्यान देने योग्य है कि इस प्रदाता के साथ अधिकांश डोमेन को पंजीकृत करते समय, हमलावरों ने डायनेमिक DNS का उपयोग किया था - नतीजतन, आईपी पते, जिनके लिए डोमेन नाम को बहुत बार बदल दिया गया था, जिससे आगे के निशान ढूंढना मुश्किल हो जाता है।



TA505 डोमेन का वितरण समूह के मैलवेयर परिवारों द्वारा Eranet International Limited सेवा का उपयोग करके पंजीकृत किया गया

डोमेन नाम पंजीयक

कुछ मामलों में डोमेन नामों की WHOIS जानकारी के अध्ययन के दौरान, कुछ क्षेत्रों के लिए अद्वितीय मान प्राप्त करना संभव था।

TA505 समूह डोमेन नाम WHOIS सूचना:



बेशक, सभी क्षेत्रों पर आँख बंद करके भरोसा नहीं किया जा सकता है। हालांकि, उनमें से कुछ के मूल्य दिलचस्प जानकारी प्रदान कर सकते हैं। उदाहरण के लिए, ctouma2@gmail.com पर ईमेल करके, आप अन्य डोमेन की सूची पर जा सकते हैं जो समान मूल्य पर पंजीकृत हैं। एक और मेलबॉक्स 0141.koppe.pan@gmail.com कई अलग-अलग संसाधनों की ओर जाता है: गिथब , स्टीम , जापानी हैकर फोरम क्यूईटा पर एक खाता जिसमें प्रोफ़ाइल में दुर्भावनापूर्ण डोमेन, YouTube चैनल , स्काइप खाता (लाइव): लिंक के साथ एक लिंक है। पैन), आदि।



क्विटा हैकर फोरम पर संदिग्ध डोमेन पंजीयक पृष्ठ

हम इस लेख के दायरे से परे WHOIS डेटा का गहन विश्लेषण छोड़ देंगे। हम केवल इस बात पर ध्यान देते हैं कि हमलावर पहले चरण में मैलवेयर को होस्ट करने के लिए हैक किए गए वैध संसाधनों का सहारा लेते हैं। नीचे ऐसे डोमेन के उदाहरण दिए गए हैं:

• greenthumbsup [।] जेपी
• fakers.co [।] जेपी
• नानपशमीत [।] कॉम
• नागोमी -753 [।] जे.पी.
• इलुज [।] में

स्वायत्त प्रणाली (एएस)

पूर्णता के लिए, हम स्वायत्त सिस्टम (एएस) के शीर्ष देते हैं, जो प्रबंधन सर्वर के आईपी पते के मालिक हैं। बेशक, एक एकल स्वायत्त प्रणाली में कई मेजबान हैं: दोनों वैध और नहीं, जिनमें बहुत अलग मूल के विभिन्न मैलवेयर परिवार शामिल हैं। नीचे दिए गए आंकड़ों को हमलावर की वरीयताओं की एक विशेषता के रूप में समझा जाना चाहिए। अन्य तथ्यों के साथ मिलकर, यह रोपण के लिए भौतिक हो सकता है।

स्वायत्त प्रणाली अक्सर TA505 समूह द्वारा उपयोग की जाती है:

Buhtrap Group के साथ अंतःक्रिया

11 जुलाई, 2019 को, हमारे ईएसईटी के सहयोगियों ने Win32k विंडोज घटक में शून्य-दिन की भेद्यता का उपयोग करके Buhtrap समूह के हालिया हमले के बारे में एक लेख प्रकाशित किया। वर्णित मॉड्यूलों में से एक ईमेल क्लाइंट, ब्राउज़र, आदि से उपयोगकर्ता पासवर्ड चोरी करने के लिए तथाकथित ग्रैबर-मॉड्यूल था। कुछ समय बाद, हमें शरीर में समान प्रबंधन सर्वर के साथ वर्णित (MD5: c6e9d7280f77977a6968022e8124f51c) के समान एक मॉड्यूल मिला। microsoft [।] com)।



Buhtrap धरनेवाला मॉड्यूल में सर्वर का प्रबंधन

PaSiveTotal संसाधन के अनुसार, यह होस्ट 6 जून, 2019 से IP पते 95 [।] 179.159.170 पर रहता है।

थोड़ा पहले, 2 जुलाई, 2019 को, प्रूफ़ पॉइंट के हमारे सहयोगियों ने नए TA505 टूल की घोषणा की , जिनमें से एक को एंड्रोमट (जिसे गेलूप भी कहा जाता है) कहा जाता है और फ्लैवेडएम्मी आरएटी बूटलोडर है। बूटलोडर विविधताओं में से एक (MD5: 0cbeb424d96e5c268ec2525d603f64eb) जो हमें मिले, वह compatexchange-cloudapp []। नेट डोमेन को प्रबंधन सर्वर के रूप में उपयोग करता है।



डिक्रिप्शन के बाद TA505 से जेलअप मैनेजमेंट सर्वर

PaSiveTotal संसाधन के अनुसार, यह होस्ट 8 जून, 2019 से IP पते 95 [।] 179.159.170 पर रहता है।

दोनों डोमेन एक ही रजिस्ट्रार (Tucows Domains Inc.) के साथ दो दिनों के अंतर से पंजीकृत हैं, एक ही IP पते पर हल करते हैं। इस तथ्य को ध्यान में रखते हुए कि दोनों समूहों ने जून के दौरान नियमित हमले किए, हम यह निष्कर्ष निकालते हैं कि Buhtrap और TA505 एक सामान्य होस्ट का प्रबंधन सर्वर के रूप में उपयोग करते हैं।

हम कहते हैं कि डोमेन compatexchange-cloudapp [।] नेट का उपयोग न केवल ऊपर के बूटलोडर में किया गया था, बल्कि बुहट्रैप घटकों के पुराने संस्करणों में भी किया गया था।



बुनियादी ढांचे में TA505 और Buhtrap का पहला चौराहा

कुछ समय बाद, हम एक और इसी तरह के चौराहे से मिले: इस बार, Buhtrap से एक और धरनेवाला का डोमेन और TA505 से स्मोक लोडर एक ही तरह से मिले: डोमेन टेस्ट-सर्विस012505 [।] कॉम स्मोक लोडर (MD5: 5fc6f24d43bc7ca45a81d159291955d1) और सुरक्षित है। ] 17 जुलाई से 16 जुलाई, 2019 तक नेट ग्रैबर (MD5: 79d1a836423c7ee57b6127cf2930a9d9), IP पते 194 [।] 4.56.252 पर हल हो गया है।



बुनियादी ढांचे में TA505 और Buhtrap का दूसरा चौराहा

निष्कर्ष

हम TA505 समूह के नेटवर्क बुनियादी ढांचे की सुविधाओं से परिचित हुए। हमने प्रबंधन सर्वर के लिए डोमेन नाम रजिस्ट्रार और होस्टर्स की विशेषताओं की जांच की। हमने डोमेन पंजीकरण के दौरान निर्दिष्ट ग्राहक जानकारी की उत्सुक विशेषताओं पर ध्यान दिया; यह अधिक विस्तृत शोध के लिए एक प्रारंभिक बिंदु के रूप में काम कर सकता है। हमने TA505 और Buhtrap समूहों के बीच बुनियादी ढांचे के चौराहों की जांच की। साझा सर्वर के साथ स्थिति को विभिन्न तरीकों से समझाया जा सकता है: समूह समझौते के द्वारा सर्वर साझा कर सकते हैं; समूहों के पास अपने कार्यों को समन्वित करने वाली एकल प्रबंधन इकाई हो सकती है; दोनों समूह तीसरे पक्ष से सर्वर किराए पर ले सकते हैं (और वे, बदले में, संसाधनों पर बचत करें)। हम दोनों समूहों की गतिविधि की निगरानी करना जारी रखेंगे और उनके संभावित कनेक्शन और संयुक्त गतिविधियों के बारे में नई जानकारी की तलाश करेंगे।

लेखक : एलेक्सी विश्नाकोव और मैक्सिम एनफिनोजेनोव, पॉजिटिव टेक्नोलॉजीज

श्रृंखला में पिछले लेख:

• ऑपरेशन TA505: हमने ट्रोजन ड्राइडेक्स, लॉकी रैनसमवेयर और न्यूट्रिनो बॉटनेट के रचनाकारों के नए उपकरणों का विश्लेषण कैसे किया
• ऑपरेशन TA505, भाग दो: लर्निंग हेल्पहर्पर पिछले दरवाजे NetSupport RAT के साथ