विज़ुअल बेसिक के साथ सैंडबॉक्स कैसे मालवेयर विकसित करता है

जेएसओसी सीईआरटी में हर दिन हम विभिन्न सैंडबॉक्स से घटनाओं का सामना करते हैं जो हमारे ग्राहकों के एंटीएपीटी समाधानों के हिस्से के रूप में कार्य करते हैं और वेब और ईमेल ट्रैफ़िक से हजारों फ़ाइलों को गुजरते हैं। यह ध्यान देने योग्य है कि उनके विकास में आधुनिक सैंडबॉक्स सिस्टम कर्नेल मोड और यूजर मोड में एपीआई फ़ंक्शन को केवल इंटरसेप्टिंग सिस्टम कॉल की तुलना में बहुत आगे चले गए। तेजी से, वे अपने स्वयं के हाइपरविजर का उपयोग करते हैं, उपयोगकर्ता गतिविधि का अनुकरण करने के लिए एक प्रणाली, गतिशील इंस्ट्रूमेंटेशन, कोड के वर्गों पर हैशिंग और क्लस्टरिंग, कोड कवरेज का विश्लेषण, आदि। इस तरह की विभिन्न प्रौद्योगिकियां यह भ्रम पैदा करती हैं कि अगर कुछ फ़ाइल सैंडबॉक्स में काम नहीं करती है और अपना "सही चेहरा" नहीं दिखाती है, तो यह शायद आभासी वातावरण का पता लगाने के लिए एपीटी या एक अभिनव तकनीक है, जिसके बारे में आईबी समुदाय को अभी तक पता नहीं है। लेकिन ...


चूँकि हम वाणिज्यिक सैंडबॉक्स के काम की आंतरिक विशेषताओं को नहीं जानते हैं, कुछ मामलों में हम दोहरे जांच करते हैं - मैन्युअल रूप से उन नमूनों का विश्लेषण करते हैं जो परीक्षण पास कर चुके हैं। हाल ही में, हमें कई बार पता चला है कि कुछ वाणिज्यिक सैंडबॉक्स (उद्देश्य कारणों से हम यह नहीं कह सकते हैं कि कौन से हैं) ने गतिशील विश्लेषण के दौरान कुछ दुर्भावनापूर्ण फ़ाइलों का पता नहीं लगाया, और यदि स्थिर विश्लेषक भी चुप था, तो फ़ाइल पूरी तरह से छोड़ दी गई थी।

सैंडबॉक्स स्कैन पॉनी, लोकी और हॉकआई जैसे प्रसिद्ध मैलवेयर परिवारों को बायपास करने में कामयाब रहा। केवल एक चीज ने उन्हें एकजुट किया - वे विजुअल बेसिक में लिखे एक पैकर द्वारा कवर किए गए थे।

यह देखते हुए कि ये एचपीई परिवार लंबे समय से कुछ भी नया नहीं है, "सकारात्मक" सैंडबॉक्स फैसला बहुत निराशाजनक है। इसलिए, हमने इस पैकर के संचालन के सामान्य सिद्धांत और कुछ समय में हमारे द्वारा किए गए टिप्पणियों का वर्णन करने का निर्णय लिया।
पैकर के काम की सामान्य योजना को सशर्त रूप से 4 चरणों में विभाजित किया गया है और नीचे दिए गए चित्र में दिखाया गया है।



दुर्भावनापूर्ण फ़ाइल का प्रवेश बिंदु विज़ुअल बेसिक एप्लिकेशनों का विशिष्ट दिखता है:



हम इस पैकर के लिए विभिन्न विकल्पों में आ गए, और VB Wrapper कोड में बार-बार बदलाव हुए, लेकिन कार्य समान रहा: स्टेज 1 कोड पर नियंत्रण स्थानांतरण। पहले के नमूनों में, Enum * वर्ग एपीआई फ़ंक्शन (उदाहरण के लिए, EnumWindows, EnumCalendarInfo, आदि) का उपयोग करके नियंत्रण स्थानांतरित किया गया था। ई) जिसके लिए कोड का पता चरण 1 एक पैरामीटर के रूप में इंगित किया गया था। हाल ही में, हम देखते हैं कि नियंत्रण को सीधे स्थानांतरित किया जाता है।

स्टेज 1

प्रबंधन कोड प्राप्त करता है। चरण 1. यह कोड एन्क्रिप्ट नहीं किया गया है, लेकिन इसे बाधित किया गया है। ऑबफ्यूशेशन मेथड सैंपल से सैंपल में भिन्न होते हैं, लेकिन सामान्य ऑपरेशन एल्गोरिथ्म में बदलाव नहीं होता है:

1. कई (कचरा सहित) निर्देशों के साथ एक चक्र जो चरण 2 कोड को डिकोड करने के लिए आवश्यक कुंजी उत्पन्न करता है। कोड के इस टुकड़े की ख़ासियत यह है कि नींद-कार्य नहीं हैं, लेकिन बड़ी संख्या में पुनरावृत्तियों के कारण, इसके निष्पादन में औसतन 1-2 मिनट लगते हैं।
2. डिक्रिप्शन (नियमित XOR) और स्टेज 2 कोड पर नियंत्रण का हस्तांतरण।

नीचे दिए गए स्क्रीनशॉट में इस्तेमाल किए गए मोटापे के तरीकों के उदाहरणों को दिखाया गया है:

2 चरण

स्टेज 2 में कोड का मुख्य कार्य पर्यावरण की जांच करना और एंटी-डिबगिंग विधियों को लागू करना है। कोड के कुछ हिस्सों को एन्क्रिप्ट किया गया है (निष्पादन से पहले डिक्रिप्ट किया गया है, और उसके बाद, उसी एक्सओआर एल्गोरिथ्म के साथ वापस एन्क्रिप्ट किया गया है) जो हस्ताक्षर द्वारा पता लगाना मुश्किल बनाते हैं। डिक्रिप्शन के बाद, विशेषता विशेषताएँ दिखाई देती हैं, जिसके अनुसार चरण 2 कोड को मैन्युअल विश्लेषण द्वारा पहचाना जा सकता है।



चेक की सूची काफी बड़ी है और पैकर के विभिन्न संस्करणों में भिन्न है, इसलिए हम कई तरीके देंगे जो सभी संस्करणों में पाए गए थे, स्क्रीनशॉट के साथ, और अंत में हम पूरी सूची को तालिका में सूचीबद्ध करते हैं।

1) GetTickCount + नींद

वर्तमान टाइमस्टैम्प को लिया जाता है, स्लीप को 2 सेकंड के लिए कहा जाता है, जिसके बाद एक और टाइमस्टैम्प तुरंत लिया जाता है।

उसके बाद, अंकों के बीच अंतर की जांच की जाती है (चाहे 2 सेकंड वास्तव में पारित हो गए)।

2) SetErrorMode

SetErrorMode API कॉल के सही संचालन की जाँच करता है। फ़ंक्शन को 0x800 और 0x0 के मापदंडों के साथ एक पंक्ति में दो बार कहा जाता है, जिसके बाद दूसरी कॉल का परिणाम चेक किया जाता है: यह 0x800 के बराबर होना चाहिए।

3) सेटलैस्टर्र

सबसे पहले, SetLastError को पैरामीटर 0x5 के साथ कहा जाता है, जिसके बाद यह जाँच की जाती है कि TEB में लास्ट एरर कोड वैल्यू को सही तरीके से सेट किया गया है (अर्थात यह 0x5 है)।

4) कर्सर आंदोलन की जाँच करना

कोड एक अंतहीन लूप में प्रवेश करता है जो माउस के हिलने का इंतजार करता है।

5) DbgBreakPoint और DbgUiRemoteBreakin

डिबगर को प्रक्रिया से जोड़ने से रोकने के लिए इन कार्यों को संशोधित किया जाता है।

उपकरण	टिप्पणी
GetTickCount + नींद	टाइमस्टैम्प की जाँच करना
SetErrorMode	फ़ंक्शन की जांच करना सही तरीके से काम कर रहा है
SetLastError	फ़ंक्शन की जांच करना सही तरीके से काम कर रहा है
GetCursorPos	कर्सर आंदोलन की जाँच करें
DbgBreakPoint	डिबगर अनुलग्नक को रोकने के लिए फ़ंक्शन संशोधन
DbgUiRemoteBreakin	डिबगर अनुलग्नक को रोकने के लिए फ़ंक्शन संशोधन
हुक हटाना	कार्य के पहले 5 बाइट्स ntdll.dll में बहाल किए जाते हैं, अगर हुक हैं
NtSetInformationThread	पैरामीटर 0x11 (ThreadHideFromDebugger)
GetThreadContext + DR की जाँच करें	डीबग डीआर0-डीआर 3, डीआर 6, डीआर 7 को चेक करता है।
ब्रेकप्वाइंट की जांच करें	कुछ कार्यों की शुरुआत में निर्देश INT3 (0xCC), int 3 (0xCD 0x03) और ud2 (0x0F 0x0B) की जाँच की जाती है
क्युपिड (EAX = 0x0)	रजिस्टर EAX, ECX, EDX की जाँच की जाती है
क्युपिड (EAX = 0x40000000)	रजिस्टर EAX, ECX, EDX की जाँच की जाती है
क्युपिड (EAX = 0x1)	31 वें ECX बिट की जाँच की
पीईबी (बीडब्यूगेड)	चेक का मान 0x1 है
PEB (NtGlobalFlag)	चेक किया गया मान 0x70
NtQueryInformationProcess	झंडे के साथ कहा जाता है ProcessDebugPort (0x7), ProcessDebugFlags (0x1F), ProcessDebugObjectHandle (0x1E)
प्रक्रिया का नाम जाँच	तार "नमूना", "सैंडबॉक्स", "वायरस", "मैलवेयर", "स्व।" की जाँच की जाती है

यदि चरण 2 की सभी तकनीकों को पूरा किया जाता है, तो विशेष प्रारूप के अनुपालन के लिए कमांड लाइन की जांच की जाती है। यदि चेक विफल हो जाता है, तो निम्नलिखित क्रियाएं की जाती हैं:

1) CreateProcess फ़ंक्शन को वर्तमान प्रक्रिया को पुनरारंभ करने के लिए CREATE_SUSPENDED ध्वज के साथ कहा जाता है। इस स्थिति में, कमांड लाइन में आवश्यक प्रारूप है।
2) GetContextThread और SetContextThread फ़ंक्शन का उपयोग करके, प्रवेश बिंदु को एक नए में बदल दिया जाता है, जो स्टेज 1 कोड में स्थित है।
3) चरण 1 और 2 (एक लंबे चक्र और सभी जांचों सहित) को दोहराएं। इस बार, कमांड लाइन की जांच सफल है और प्रक्रिया अगले चरण पर आगे बढ़ती है।

3 चरण

इस स्तर पर, मुख्य वायरस के शरीर को डिक्रिप्ट किया जाता है और वर्तमान प्रक्रिया पर प्रक्रिया खोखले तकनीक का प्रदर्शन किया जाता है, जिसके बाद नियंत्रण मुख्य वायरस के प्रवेश बिंदु पर स्थानांतरित किया जाता है।

सबक सीखा

हम वास्तव में यह नहीं कह सकते हैं कि इस मामले में यह या उस सैंडबॉक्स का क्या कारण है, लेकिन मैं यह मानना ​​चाहता हूं कि मालवेयर द्वारा लेख में वर्णित तकनीकों का उपयोग करने की संभावना लंबे समय से विक्रेताओं द्वारा प्रदान की गई है, और समस्या केवल लंबे समय तक पैकर के काम के पहले चरण में निहित है। ।

इस तथ्य के बावजूद कि आधुनिक सैंडबॉक्स को ज्यादातर एपीटी हमलों के खिलाफ सुरक्षा प्रणालियों के हिस्से के रूप में तैनात किया जाता है, हमारी टिप्पणियों से पता चलता है कि समुदाय के लिए जाने-माने कुख्यात परिवार भी बुनियादी ढांचे में प्रवेश कर सकते हैं। चूँकि इस बात की कोई गारंटी नहीं है कि सैंडबॉक्स को बायपास करने वाले नमूने में इसके शस्त्रागार में एंटीवायरस बायपास तकनीकों के एक जोड़े नहीं होंगे, आप केवल सुरक्षात्मक समाधानों के इस समूह पर भरोसा नहीं कर सकते। ऐसे मामलों में, एक अच्छी तरह से निर्मित निगरानी प्रक्रिया, जिसमें अंतिम मेजबानों से सूचना सुरक्षा घटनाएं शामिल हैं, समय पर प्रतिक्रिया सुनिश्चित कर सकती हैं और संभावित नुकसान को कम कर सकती हैं।