🔫 👦🏾 🈺 DEFCON सम्मेलन 27. मैकओएस के लिए हैकर उत्पादों से लाभ। भाग 1 ✌🏿 👄 👼🏼

^{संक्षिप्त भाषण ।} ^{जब भी macOS के लिए मैलवेयर का एक नया नमूना खोजा जाता है, यह हमें नए हैकिंग अवसरों का मूल्यांकन करने का अवसर प्रदान करता है जिसका उपयोग हम अपने स्वयं के लाभ के लिए कर सकते हैं।} ^{मेरा मतलब है, जीवन छोटा है, इसे अपने मैलवेयर लिखने में क्यों खर्च करें?} ^{हम मौजूदा मैलवेयर के "व्यक्तिगत उपयोग" के लिए एक कार्यप्रणाली पर चर्चा करके इस दृष्टिकोण को शुरू करते हैं, इस दृष्टिकोण के नुकसान और फायदे दोनों को उजागर करते हैं।} ^{तब हम macOS के लिए विभिन्न मैलवेयर नमूनों के हथियारकरण के माध्यम से जाएंगे, जिसमें एक इंटरैक्टिव बैकडोर, फ़ाइलों के एक्सफ़िलिएशन के लिए एक प्रत्यारोपण, रैंसमवेयर और हां, यहां तक कि एडवेयर भी शामिल हैं।} ^{हमारी सेटिंग्स में रनटाइम के विभिन्न द्विआधारी संशोधन शामिल हैं जो इन दुर्भावनापूर्ण कार्यक्रमों को अपने स्वयं के सी एंड सी सर्वरों से कार्यों को स्वीकार करने के लिए मजबूर करते हैं और / या स्वचालित रूप से हमारी ओर से कार्रवाई करते हैं।} ^{बेशक, अब अपनी प्राचीन स्थिति में, इन नमूनों का पता एंटीवायरस उत्पादों द्वारा लगाया जाता है।} ^{इसलिए, हम उन संशोधनों पर विचार करेंगे जो पारंपरिक एंटी-वायरस प्रोग्राम के लिए हमारे "हैकर" टूल की अदर्शन सुनिश्चित करेंगे।} ^{अंत में, हम नए हेयुरिस्टिक तरीकों को देखते हैं जो अभी भी मैक उपयोगकर्ताओं को ऐसे संशोधित खतरों से बचाने के लिए ऐसे खतरों का पता लगा सकते हैं।} ^{इसकी आवश्यकता क्यों है?} ^{क्योंकि यह मानव विकास का एक सामान्य चक्र है, और हमें बस यह एहसास नहीं है कि हम जो विनाश देखते हैं, उसका मतलब है नई तकनीक की शुरुआत, जो नई नौकरियां पैदा करने से पहले पुराने को नष्ट कर देती है।}

सभी को शुभकामनाएं, आज हम macOS हैकिंग उत्पादों के आधार पर "सामूहिक विनाश के हथियार" बनाने के विषय पर चर्चा करेंगे। मेरा नाम पैट्रिक है, मैं डिजिटल सिक्योरिटी में सिंकैक विश्लेषक हूं और मैं मैक सिक्योरिटी वेबसाइट और मैकओएस के लिए फ्री ऑब्जेक्टिव-सी सिक्योरिटी सूट का निर्माता भी हूं।

हम अपने स्वयं के गुप्त उद्देश्यों के लिए अन्य लोगों के मैलवेयर को रीमेक करने के बारे में बात करेंगे और मैं समझाऊंगा कि यह एक महान विचार क्यों है। फिर मैं दिखाऊंगा कि मैक के लिए मालवेयर के कितने अलग-अलग नमूने रीमेक हैं, और चूंकि हम चाहते हैं कि हमारे कारनामे एप्पल के अंतर्निहित एंटीवायरस सेवाओं और थर्ड-पार्टी एंटीवायरस सॉफ़्टवेयर दोनों के लिए अदृश्य बने रहें। अंत में, हम इस रीडोन सॉफ्टवेयर उत्पाद का पता लगाने के लिए विभिन्न सामान्य तकनीकों को देखेंगे, क्योंकि वास्तव में हमारा अंतिम लक्ष्य यह सुनिश्चित करना है कि मैक उपयोगकर्ता इस तरह के खतरों से सुरक्षित हैं।

आइए एक ऐसी योजना से शुरू करते हैं, जो आपकी स्वयं की जरूरतों के लिए मैलवेयर के पुनरुत्थान की प्रक्रिया को वैचारिक रूप से समझाती है।

कल्पना कीजिए कि हैकर ए ने सावधानीपूर्वक परिष्कृत, पूर्ण-विशेषताओं वाले मैलवेयर विकसित किए हैं और इसे दुनिया भर के विभिन्न कंप्यूटर सिस्टमों से संक्रमित किया है। हैकर बी दुर्घटना से या किसी संक्रमित प्रणाली से निकालने के द्वारा इस मैलवेयर को पकड़ने में कामयाब रहे। यह हैकर इस उत्पाद का एक नमूना अपनी प्रयोगशाला और reprofiles में रखता है। जब हम रिफ़ॉर्मिंग के बारे में बात करते हैं, तो हमारा मतलब है कि आपकी मौजूदा ज़रूरतों में से कुछ को फिर से डिज़ाइन करना या पुन: व्यवस्थित करना।

स्लाइड से पता चलता है कि परिवर्तन के बाद, हैकर बी इस सॉफ़्टवेयर का उपयोग नए लक्ष्यों के खिलाफ कर सकता है, एक अलग इंफ्रास्ट्रक्चर के खिलाफ, जिसके लिए इसे हैकर ए द्वारा विकसित किया गया था। यह एक काफी उचित विचार है। आप पूछ सकते हैं कि यह क्यों आवश्यक है, लेकिन हम कम से कम दो कारणों को नाम दे सकते हैं कि यह क्यों करने योग्य है।

सबसे पहले, अच्छी तरह से वित्त पोषित संगठन, उच्च प्रेरित और तकनीकी रूप से सशस्त्र समूह हैं, जो सरकारी एजेंसियों जैसे सीआईए और संपूर्ण वैज्ञानिक प्रयोगशालाओं के लिए काम करने वाले हैकर्स अविश्वसनीय रूप से दुर्भावनापूर्ण सॉफ़्टवेयर विकसित कर रहे हैं। इसके अलावा, इस पूर्ण विशेषताओं वाले सॉफ्टवेयर का क्षेत्र में बार-बार परीक्षण किया गया है।

चूंकि मैं बहुत आलसी हूं, और कोडिंग के बजाय, मैं समुद्र तट पर दीवार बनाना पसंद करता हूं, सर्फिंग या योगा करता हूं, मैंने सोचा: चूंकि ये लोग इस तरह के प्रभावी हैकर सॉफ़्टवेयर बनाते हैं, इसलिए इसका उपयोग क्यों न करें और इसे अपनी आवश्यकताओं के लिए रीमेक करें? जिनके पास ज्यादा समय और पैसा है, वे मेरे लिए पूरी मेहनत करते हैं।

दूसरे, अगर किसी को हमारे परिवर्तित कार्यक्रम मिलते हैं, तो उनके अधिकार को अभी भी मूल डेवलपर्स के लिए जिम्मेदार ठहराया जाएगा, और हमें नहीं, और यह बहुत अच्छा है। आप पूछ सकते हैं, "ठीक है, पैट्रिक, अगर यह इतना अच्छा विचार है, तो लोगों ने अभी तक ऐसा क्यों नहीं किया है?" मैं जवाब दूंगा: "वे ऐसा कर रहे हैं!" मैं विशेष रूप से किसी भी चीज़ पर टिप्पणी नहीं कर सकता, लेकिन जिन स्लाइडों को सार्वजनिक रूप से उपलब्ध कराया गया था, वे प्रदर्शित करती हैं कि एनएसए ने लोकप्रिय एंटीवायरस प्रोग्रामों की कमजोरियों का परीक्षण करने के लिए मैलवेयर का पुन: उपयोग किया। न्यूयॉर्क टाइम्स ने बताया कि चीनी हैकर्स भी इसी तरह की तकनीक का इस्तेमाल करते हैं।

Redone hacker सॉफ्टवेयर का उपयोग करने से ये अच्छी तरह से बंद एजेंसियों को दोहरा लाभ मिलता है। सबसे पहले, वे अन्य देशों में विकसित स्पाइवेयर का उपयोग उन लक्ष्यों के खिलाफ करते हैं जो एक अन्य एजेंसी, एक अन्य देश या साइबर जासूसी एपीटी समूह पहले से ही कम जोखिम के साथ काम कर रहे हैं। उदाहरण के लिए, यदि आप एनएसए में काम करते हैं और उस ऑब्जेक्ट को हैक करने जा रहे हैं जो अन्य हैकर्स पहले से कर रहे हैं, लेकिन वहां अपना कोड इंजेक्ट नहीं करना चाहते हैं, तो आप सुरक्षित रूप से तृतीय-पक्ष सॉफ़्टवेयर का उपयोग कर सकते हैं। एक ही समय में, आपकी गतिविधि एक गुप्त बनी रहेगी, क्योंकि पहले से ही उन लोगों को पहले से ही इस पर संदेह है।

चूंकि ऐसी एजेंसियां गुप्त रूप से काम करना पसंद करती हैं, वे ऐसे मामलों में अपनी भागीदारी के बारे में पता लगाने में किसी की भी दिलचस्पी नहीं रखते हैं और इसके लिए रीडोन सॉफ़्टवेयर योगदान देता है। बेशक, हैकर कार्यक्रमों के परिवर्तन के साथ समस्याएं पैदा होती हैं, जिसके बारे में हम आज बात करेंगे।

लेकिन हम देखेंगे कि ये समस्याएँ कम नहीं हैं। मान लीजिए कि हमने रीमेक करने के लिए किसी और के मैलवेयर का एक टुकड़ा ले लिया है। सबसे पहले, हमारे पास स्रोत कोड नहीं है, केवल बाइनरी कोड का एक नमूना है, इसलिए हमें रिवर्स इंजीनियरिंग का उपयोग करना होगा। मैं इसे विश्लेषण का चरण कहता हूं जब हम यह समझने की कोशिश करते हैं कि यह सॉफ्टवेयर क्या करता है, इसे कैसे लागू किया जाता है, इसे कैसे स्थापित किया जाता है, इसकी क्या क्षमताएं हैं और निश्चित रूप से, हमें पता चलता है कि यह किस C & C सर्वर के साथ संचार करता है।

इस सब से निपटने के बाद, दूसरा चरण शुरू होता है - यह पता लगाना कि आप इस मैलवेयर को कैसे पैच कर सकते हैं। चूंकि हमारे पास कोई स्रोत नहीं है, हम बाइनरी स्तर पर एक पैच विकसित कर रहे हैं।

चूंकि अधिकांश मामलों में यह सॉफ़्टवेयर अपने स्वयं के C & C सर्वर के साथ इंटरैक्ट करता है, इसलिए हम यह पता लगाते हैं कि यह कैसे पता करता है कि इस सर्वर का पता कहाँ से मिलता है और डेटा एक्सचेंज के लिए किस प्रोटोकॉल का उपयोग किया जाता है। उसके बाद ही आप अपना C & C सर्वर बना सकते हैं, जिस पर वहां से नए संक्रमित सिस्टम के साथ बातचीत करने के लिए, रेडोन सॉफ्टवेयर को तैनात किया जाएगा।

चूंकि हम जाने-माने मैलवेयर, ऐप्पल या अन्य एंटीवायरस सुरक्षा प्रणालियों का उपयोग करते हैं, इसलिए सबसे अधिक इस खतरे के संकेत हैं। इसलिए, रीइंफिलिंग के अंतिम चरण में, हमें यह पता लगाना चाहिए कि रेडोन सॉफ्टवेयर का पता लगाने से कैसे रोका जाए।

यदि हम वास्तव में बुरा काम नहीं करना चाहते हैं, तो रि-प्रोफाइलिंग को बहुत जिम्मेदारी से संपर्क करने की आवश्यकता है।

मैं आपको एक उदाहरण देता हूं कि हमने मैकओएस के लिए मैलवेयर के एक टुकड़े का रीमेक कैसे बनाया। पैच प्रक्रिया के दौरान, हम हैकर C & C सर्वर का बैकअप पता बदलना भूल गए। हमें यकीन था कि हम मैलवेयर के पूरी तरह से रिड्यूस्ड भाग का उपयोग कर रहे थे, लेकिन कुछ समय में हमने मूल हैकर सर्वर को एक बैकअप भेजा, जिससे हम उस बुनियादी ढांचे तक पहुंच बना रहे थे, जिस पर हम हमला कर रहे थे। इसलिए, अन्य लोगों के सॉफ़्टवेयर का परिवर्तन बहुत सावधानी से किया जाना चाहिए।

अब चलो विशेष रूप से मैक के लिए रीमेकिंग मैलवेयर के बारे में बात करते हैं, जिसका उद्देश्य किसी और के हैकर सॉफ़्टवेयर बनाना है।

पहला कदम 2 मानदंडों के आधार पर रूपांतरण के लिए मैलवेयर के नमूने का चयन करना है। पहला यह पता लगा रहा है कि इस मालवेयर से आपको यह अंदाजा हो जाना चाहिए कि आपको इंटरएक्टिव बैकडोर, या क्रिप्टोकरंसी आदि की जरूरत है या नहीं।

शायद स्पाइवेयर अटेंशन आपके लिए मायने रखता है - क्या इसे CIA या रूसी हैकरों के लिए जिम्मेदार ठहराया जाएगा। उद्देश्य- dot.com पर, हमने macOS के लिए मैलवेयर का एक प्रभावशाली संग्रह एक साथ रखा है। Redone सॉफ़्टवेयर के सभी नमूने जिनके बारे में हम आज बात करेंगे, उन्हें इस साइट से डाउनलोड किया जा सकता है।

एक बार जब आपने परिवर्तन के लिए एक नमूना चुना है, तो विश्लेषण का समय आता है। इसका मुख्य उद्देश्य रिमोट एक्सेस जैसी चीजों का पता लगाना है। यदि मैलवेयर रिमोट C & C सर्वर तक पहुंचता है, तो आपको यह पता लगाना होगा कि यह किस तरह का सर्वर है और क्या सॉफ्टवेयर को संशोधित करना संभव है, ताकि यह हमसे संपर्क न कर सके।

यदि मैलवेयर रिमोट सर्वर के साथ संवाद नहीं करता है, तो हमें इस कार्यक्रम को कैसे फिर से कनेक्ट करना है, यह जानने के लिए हमें प्रोटोकॉल से निपटने की आवश्यकता है। और निश्चित रूप से, आपको इस मैलवेयर की क्षमताओं को पूरी तरह से समझना होगा - यह कैसे काम करता है, यह सिस्टम के साथ कैसे इंटरेक्ट करता है, रिमोट सहित, यह जानने के लिए कि आप कौन से कमांड का उपयोग रिमोट कंट्रोल मैलवेयर के लिए कर सकते हैं।

जैसे ही आप यह पता लगाते हैं, यह पुन: कॉन्फ़िगर करने या पुन: व्यवस्थित करने का समय है। इसका आमतौर पर मतलब है कि आपको बाइनरी स्तर पर मैलवेयर पैच करना होगा।

यह स्लाइड दिखाती है कि हमें कोड में एम्बेडेड मूल C & C सर्वर का पता मिला है और इसे हम HEX संपादक में आवश्यक पते से बदल सकते हैं। इसका मतलब यह है कि परिवर्तन के बाद, यह सॉफ्टवेयर हमारे अपने सर्वर के साथ संवाद करने और वहां से कार्य प्राप्त करने में सक्षम होगा।

जैसा कि मैंने कहा, यदि मैलवेयर एक पिछले दरवाजे या प्रत्यारोपण है और इसे मूल C & C सर्वर से नियंत्रित किया जाता है, तो हमें अपने स्वयं के प्रबंध सर्वर को लिखना होगा और यह सुनिश्चित करना होगा कि प्रोग्राम लॉग इन है और इससे जुड़ा हुआ है ताकि हम इसकी सभी क्षमताओं को दूरस्थ रूप से उपयोग कर सकें।

एक कस्टम C & C सर्वर बहुत अधिक जटिल नहीं होना चाहिए, बस एक सक्षम पाइथन स्क्रिप्ट लिखें, लेकिन यदि आप कई लक्ष्यों के विरुद्ध अपने सॉफ़्टवेयर का उपयोग करने की योजना बनाते हैं, तो आपको कुछ अधिक गंभीर की आवश्यकता हो सकती है। पिछले DefCon ने सॉफ़्टवेयर नमूनों के विश्लेषण के लिए इन C & C सर्वरों में से एक बनाने का तरीका बताया। यह संभावना है कि आपके द्वारा विश्लेषण किए गए प्रत्येक नमूने एक अलग प्रोटोकॉल का उपयोग करके दूसरों से अलग होंगे, इसलिए, आपको परिवर्तित सॉफ़्टवेयर के प्रत्येक नमूने के लिए एक अलग C & C सर्वर की आवश्यकता होगी।

रीफ्रूट फ्रूटफली बैकडोर

आइए मैक के लिए मैलवेयर रिडिजाइन का एक वास्तविक नमूना देखें। मैक सुरक्षा विशेषज्ञों द्वारा लगभग 15 साल पहले बनाया गया, इस बैकडोर को फ्रूटफली, या फ्रूट फ्लाई कहा जाता है।

दूरस्थ मल्टीटास्किंग का समर्थन करने वाले इस पूर्ण विशेषताओं वाले बैकडोर ने हमें रीफ़िलिंग के लिए एक आदर्श उम्मीदवार के रूप में सेवा प्रदान की है। इसमें फ़ाइलों और सिस्टम प्रक्रियाओं को संक्रमित करने, एक वेब कैमरा, कमांड लाइन को नियंत्रित करने, एक keylogger के रूप में कार्य करने की क्षमता है, जो पीड़ित के डेस्कटॉप के स्क्रीनशॉट को दूरस्थ रूप से ले सकता है और मैकओएस चल रहे संक्रमित कंप्यूटरों के बारे में जानकारी एकत्र कर सकता है। हमने अपनी समस्याओं को हल करने के लिए इन सभी कार्यों का उपयोग करने का इरादा किया है।

फ्रूटली बैकडोर एक बहुत ही भ्रमित करने वाली पर्ल स्क्रिप्ट थी, लेकिन अगर आप इसे ध्यान से देखें, तो आप देख सकते हैं कि इसकी लॉजिक कमांड लाइन के तर्कों को प्रोसेस करती है। हम यह कह सकते हैं कि यह स्क्रिप्ट यह देखने के लिए जांचती है कि क्या कुछ कमांड-लाइन विकल्प या झंडे इसके कारण कुछ भी कर रहे हैं।

यह पता चला है कि वह आपके कंप्यूटर को अपने C & C सर्वर से कनेक्ट करने के लिए पोर्ट या पोर्ट के संयोजन की तलाश कर रहा है। इसका मतलब है कि यदि हम कमांड लाइन के माध्यम से अपने स्वयं के सर्वर को एक दिशा बना सकते हैं, तो हमें मूल पर्ल स्क्रिप्ट या दुर्भावनापूर्ण बाइनरी को फिर से करने की आवश्यकता नहीं होगी।

हमने यह पता लगाना शुरू किया कि एक लॉन्चर के रूप में इस फ्रूटली स्क्रिप्ट को बचाना संभव है या नहीं। जैसा कि स्लाइड में दिखाया गया है, हम अपने स्वयं के C & C सर्वर के पते को इसमें एम्बेड कर सकते हैं। इसका मतलब यह है कि हम मूल हैकर सर्वर के साथ कनेक्शन को दरकिनार करते हुए, इस बैकडोर को आसानी से अपने सर्वर से कनेक्ट करने के लिए फिर से प्रोफाइल कर सकते हैं।

हालांकि, इस पिछले दरवाजे का उपयोग करने के लिए, इसे उपयोगकर्ता के कंप्यूटर पर स्थापित किया जाना चाहिए। अच्छी खबर यह है कि मैंने पहले से ही ऐसा इंस्टॉलर लिखा है, जो pastebin.com पर उपलब्ध है। यह कोड की कुछ पंक्तियाँ हैं जो मूल पिछले दरवाजे की तरह ही मैलवेयर स्थापित करती हैं। चूँकि मैंने पहले इस नमूने का विश्लेषण करने के लिए C & C सर्वर भी लिखा था, हम इसके संचालन को प्रदर्शित करना शुरू कर सकते हैं।

इस तरह का रियल-टाइम प्रदर्शन हमेशा एक जोखिम होता है, इसलिए मैं इस मैलवेयर को अपने रिसर्च लैपटॉप पर चलाने जा रहा हूं, वर्चुअल मशीन से नहीं। मैं दोहराता हूं - मैं आपको परिवर्तित मालवेयर की पूरी शक्ति दिखाने का इरादा रखता हूं, और वास्तविक परिस्थितियों में प्रदर्शन अधिक विश्वसनीय है, इसलिए आइए एक वास्तविक हार्डवेयर पर कार्रवाई में इस सॉफ़्टवेयर को देखें।

सबसे पहले C & C सर्वर को शुरू करना है। आप देखते हैं कि अब सिस्टम इसके लिए कनेक्शन की प्रतीक्षा कर रहा है। फिर आपको इंस्टॉलर के माध्यम से मालवेयर चलाने की आवश्यकता है, इसे इस सर्वर का आईपी पता पास करना। शुरू करने के बाद, हम विंडो के दाईं ओर देखते हैं कि मैलवेयर सफलतापूर्वक हमारे C & C सर्वर से जुड़ा है। हम हैकिंग कार्यों का एक पूरा गुच्छा भी देखते हैं जो यह मैलवेयर मेरे निजी लैपटॉप पर चलने वाली प्रक्रियाओं के खिलाफ उपयोग कर सकता है।

कमांड # 13 के निष्पादन से पता चलता है कि यह मैलवेयर निर्देशिका / उपयोगकर्ता / पैट्रिक / एफपीएसॉड में स्थापित है या नहीं। कमांड नंबर 2 का उपयोग करके, आप एक स्क्रीनशॉट ले सकते हैं, और पैरामीटर 0 का उपयोग करके आप एक पूर्ण-स्क्रीन स्क्रीनशॉट ले सकते हैं।

अब मैं स्क्रीनशॉट लेने की कोशिश करूंगा और इसे हमारे C & C सर्वर को भेजूंगा। जैसा कि आप देख सकते हैं, सब कुछ वैसा ही काम करना चाहिए जैसा कि करना चाहिए। यह है कि पुन: डिज़ाइन किए गए FruitFly पिछले दरवाजे कैसे काम करता है।

खान में काम करनेवाला का परिवर्तन

इसके बाद, हम अपने उद्देश्यों के लिए CreativeUpdate क्रिप्टोक्यूरेंसी माइनर को रीमेक करने के बारे में बात करेंगे। यह उपयोगी है यदि आप क्रिप्टो खनन के लिए अन्य लोगों के कंप्यूटर का उपयोग करना चाहते हैं, लेकिन एक ही समय में समय, कौशल और संसाधन नहीं हैं।

यह क्रिप्टो माइनर ट्रोजन में एकीकृत होता है और इसे मैकपुडेट डॉट कॉम से लोकप्रिय थर्ड-पार्टी एप्लिकेशन के माध्यम से वितरित किया जाता है। स्लाइड फ़ायरफ़ॉक्स क्वांटम ब्राउज़र को स्थापित करने का एक उदाहरण दिखाती है, जिसमें मूल मोज़िला डेवलपर के हस्ताक्षर नहीं होते हैं और उपयोगकर्ता के कंप्यूटर में एडोब क्रिएटिव क्लाउड सर्वर में से एक से क्रिप्टो माइनर डाउनलोड करता है।

यदि हम ऐसी ट्रोजन युक्त एक संक्रमित डिस्क छवि को माउंट करते हैं, और रिवर्स इंजीनियरिंग को मुख्य बाइनरी में लागू करते हैं, तो हम पाएंगे कि यह "प्रिंट के साथ स्क्रिप्ट निष्पादित" - "प्रिंट के साथ स्क्रिप्ट निष्पादित" नामक एक विधि का उपयोग करता है। यदि आप यह देखते हैं कि यह डिकंपाइलर या डिस्सेम्बलर के साथ क्या करता है, तो आप देख सकते हैं कि यह एप्लिकेशन के संसाधन निर्देशिका के बाहर "स्क्रिप्ट" नामक फ़ाइल को निष्पादित करता है। सबसे पहले, वह एक लोकप्रिय उत्पाद की प्रतिलिपि की आड़ में एक ट्रोजन प्रोग्राम लॉन्च करता है जिसे उपयोगकर्ता अपने कंप्यूटर पर डाउनलोड करता है, उदाहरण के लिए, फ़ायरफ़ॉक्स ब्राउज़र, ताकि उसे कुछ भी बुरा होने का संदेह न हो।

अगला, हम इस स्क्रिप्ट में देखते हैं कि यह हमलावर सर्वर के साथ संचार करता है, जहां से यह mdworker.zip संग्रह डाउनलोड करता है। अनपैकिंग के दौरान, यह संग्रह सिस्टम पर mdworker नामक कुछ स्थापित करता है। यदि आप संग्रह से निकाले गए MacOS.plist फ़ाइल को देखते हैं, तो आप देख सकते हैं कि यह उपयोगकर्ता के कंप्यूटर पर इस दुर्भावनापूर्ण mdworker बाइनरी को बचाता है।

हम कमांड लाइन तर्क भी देखते हैं जो इस बाइनरी को पास किए जाते हैं। यदि आप इस बाइनरी mdworker फ़ाइल को निष्पादित करते हैं, तो आप देख सकते हैं कि यह खनन कंपनी माइनर गेट के स्वामित्व वाली पूरी तरह से कानूनी क्रिप्टोक्यूरेंसी माइनर है।

कमांड लाइन की दलीलें माइनर खाते को भी इंगित करती हैं, जिसमें खनन के परिणाम और खनन के लिए क्रिप्टोक्यूरेंसी के प्रकार भेजे जाएंगे।

चूंकि संबंधित पैरामीटर कमांड लाइन के माध्यम से प्रेषित होते हैं, और बाइनरी फ़ाइल में एम्बेडेड नहीं होते हैं, इसलिए, जैसा कि फलों के मक्खी के मामले में, हम अपने उद्देश्यों के लिए इस मैलवेयर का पुन: उपयोग करने के लिए कमांड-लाइन तर्कों को प्रतिस्थापित कर सकते हैं। इसलिए, हम पहले संपत्ति की सूची के गुणों की सूची की फाइल को संशोधित करते हैं, या मैलवेयर के .plist ताकि यह हमारे अपने खनन खाते की ओर इशारा करता है, और फिर से मैलवेयर में संग्रह के सभी घटकों को पैक करें। इसके अलावा, सर्वर से संग्रह को डाउनलोड करने के बजाय, हम इसे केवल मैलवेयर एप्लिकेशन में जोड़ते हैं। यह बहुत सरल और अधिक स्वायत्त है, क्योंकि हमें बूट करने के लिए दूरस्थ सर्वर को कॉन्फ़िगर करने की आवश्यकता नहीं है।

अगला, हम स्क्रिप्ट को फिर से कॉन्फ़िगर करते हैं ताकि यह उस संग्रह के साथ काम करे जो हमने जोड़ा था। अंत में, हम सब कुछ फ़ायरफ़ॉक्सबिग इमेज में वापस करते हैं और हम काम कर सकते हैं।

मैं आपके ध्यान में दूसरा डेमो लाता हूं। फ़ाइल विंडो में, आपको दुर्भावनापूर्ण स्क्रिप्ट, mdworker.zip संग्रह, एप्लिकेशन सेटिंग फ़ाइल AppSettings.plist और मूल फ़ायरफ़ॉक्स ब्राउज़र सहित एप्लिकेशन घटक दिखाई देते हैं।

मुख्य विंडो में, हम देखते हैं कि उपयोगकर्ता द्वारा डाउनलोड की गई सामग्री ऐसी दिखती है जैसे यह लॉन्च होने वाली है।

मैं अपने स्वयं के क्रिप्टोक्यूरेंसी खनन के लिए इसका उपयोग करने के लिए अपने लैपटॉप पर इस एप्लिकेशन को चलाता हूं। मैं ब्राउज़र आइकन पर क्लिक करता हूं, फ़ायरफ़ॉक्स ब्राउज़र विंडो स्क्रीन पर दिखाई देती है और बाहरी रूप से सब कुछ ठीक दिखता है।

इस एप्लिकेशन को शुरू करने के बाद सिस्टम पर वास्तव में क्या होता है, यह देखने के लिए, मैं स्क्रीन पर macOS टर्मिनल विंडो को कॉल करता हूं। , mdworker, , patrick@objective-see.com.

- ransomware

, , , - ransomware, .

, KeRanger. , macOS. Bit-Torrent, -. , , .

, General.rtf. , , macOS. , C&C- .

, , , «» . -.

. -, , .

, , HEX- , «», C&C-, 127.0.0.1. RSA , RSA- , NetCat.

. , , KeRanger. NetCat , .

, .

README_FOR_DECRIPT.txt. , : « wardle@objective-see.com!».

Windtall

Windtall. , , APT-. , .

malware. macOS, , URL-.

, . , , , macOS Custom URL, , .

, , , - URL, macOS .

Java . , URL, Mac. Java-, URL, .
, , , , .

, , . , , , , C&C- .

. SPF, , C&C-, , , C&C-.

24:00

DEFCON 27. macOS. भाग २

विज्ञापन का एक सा :)

हमारे साथ बने रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक दिलचस्प सामग्री देखना चाहते हैं? एक ऑर्डर देकर या अपने दोस्तों को सलाह देकर, $ 4.99 से डेवलपर्स के लिए क्लाउड VPS , प्रवेश स्तर के सर्वरों के अनूठे एनालॉग पर हैबर उपयोगकर्ताओं के लिए 30% छूट का समर्थन करें, जो हमने आपके लिए आविष्कार किया है: VPS (KVM) E5-2650 v4 (6) के बारे में पूरी सच्चाई Cores) $ 20 से 10GB DDR4 240GB SSD 1Gbps या सर्वर कैसे साझा करें? (विकल्प RAID1 और RAID10 के साथ उपलब्ध हैं, 24 कोर तक और 40GB DDR4 तक)।

डेल R730xd 2 बार सस्ता? केवल हमारे पास 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 TV नीदरलैंड के 199 डॉलर में से है! डेल R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - $ 99 से! इन्फ्रास्ट्रक्चर Bldg का निर्माण कैसे करें के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग?

DEFCON सम्मेलन 27. मैकओएस के लिए हैकर उत्पादों से लाभ। भाग 1

रीफ्रूट फ्रूटफली बैकडोर

खान में काम करनेवाला का परिवर्तन

- ransomware

Windtall

विज्ञापन का एक सा :)

More articles: