एक आश्चर्य के साथ Keylogger: अपने डेवलपर के keylogger और डीन का विश्लेषण

हाल के वर्षों में, मोबाइल ट्रोजन व्यक्तिगत कंप्यूटरों के लिए ट्रोजन को सक्रिय रूप से दबा रहे हैं, इसलिए अच्छे पुराने "कारों" के तहत नए मैलवेयर का उद्भव और साइबर अपराधियों द्वारा उनका सक्रिय उपयोग, हालांकि एक अप्रिय, लेकिन फिर भी एक घटना है। हाल ही में, CERT Group-IB ने सूचना सुरक्षा घटनाओं के लिए राउंड-द-क्लॉक रिस्पांस सेंटर में एक असामान्य फ़िशिंग ई-मेल दर्ज किया, जो पीसी के लिए एक नया मैलवेयर छिपाता था, जो Keylogger और PasswordStealer के कार्यों को जोड़ता है। विश्लेषकों का ध्यान उस तरह से आकर्षित किया गया था जिस तरह से उपयोगकर्ता की मशीन पर स्पाइवेयर मिला था - लोकप्रिय वॉइस मैसेंजर का उपयोग करके। सीईआरटी ग्रुप-आईबी में मैलवेयर विश्लेषण के विशेषज्ञ इल्या पोमरेन्त्सेव ने बताया कि मैलवेयर कैसे काम करता है, यह खतरनाक क्यों है, और यहां तक ​​कि इसका निर्माता भी पाया जाता है - दूर इराक में।


तो, चलो क्रम में चलते हैं। अनुलग्नक की आड़ में, इस तरह के एक पत्र में एक तस्वीर होती है, जब क्लिक किया जाता है, तो उपयोगकर्ता को cdn.discordapp.com मिला, और वहां से एक दुर्भावनापूर्ण फ़ाइल डाउनलोड की गई।

एक नि: शुल्क आवाज और पाठ संदेशवाहक का उपयोग करना, काफी असामान्य है। आमतौर पर अन्य दूतों या सामाजिक नेटवर्क का उपयोग इन उद्देश्यों के लिए किया जाता है।


अधिक विस्तृत विश्लेषण में, एचपीई परिवार की स्थापना की गई थी। यह मालवेयर मार्केट का नया चेहरा बन गया - 404 कीलॉगर ।

पहली keylogger बिक्री की घोषणा 8 अगस्त को "404 कोडर" उपनाम के साथ एक उपयोगकर्ता द्वारा hackforums पर पोस्ट की गई थी।



स्टोर का डोमेन हाल ही में पंजीकृत किया गया था - 7 सितंबर, 2019।


साइट पर डेवलपर्स के रूप में 404projects [।] Xyz , 404 आश्वासन देते हैं, यह एक उपकरण है जो कंपनियों को अपने ग्राहकों (उनकी अनुमति के साथ) के कार्यों के बारे में जानने में मदद करने के लिए बनाया गया है या उनकी जरूरत है जो रिवर्स इंजीनियरिंग से अपनी बाइनरी फ़ाइल की रक्षा करना चाहते हैं। आगे देखते हैं, हम कहते हैं कि 404 बस अंतिम कार्य का सामना नहीं कर सकते हैं।



हमने फ़ाइलों में से एक को पुनर्निर्देशित करने और "सर्वश्रेष्ठ स्मार्ट कीबोर्ड" की जाँच करने का निर्णय लिया।

एचपीई पारिस्थितिकी तंत्र

बूटलोडर 1 (AtillaCrypter)

स्रोत फ़ाइल EaxObfuscator के साथ सुरक्षित है और संसाधन अनुभाग से AtProtect का दो-चरण डाउनलोड करता है। VirusTotal पर पाए गए अन्य नमूनों के विश्लेषण में, यह स्पष्ट हो गया कि यह चरण डेवलपर द्वारा स्वयं प्रदान नहीं किया गया था, बल्कि इसके क्लाइंट द्वारा जोड़ा गया था। यह आगे स्थापित किया गया था कि यह बूटलोडर एटिलाक्रिएट है।

बूटलोडर 2 (एटप्रोटेक्ट)

वास्तव में, यह बूटलोडर मैलवेयर का एक अभिन्न अंग है और डेवलपर के अनुसार, इसका विश्लेषण करने के लिए कार्यक्षमता को संभालना चाहिए।


हालांकि, व्यवहार में, सुरक्षा तंत्र अत्यंत आदिम हैं, और हमारे सिस्टम इस मैलवेयर का सफलतापूर्वक पता लगाते हैं।

मुख्य मॉड्यूल का लोडिंग फ्रैंकी शेलकोड के विभिन्न संस्करणों का उपयोग करके किया जाता है। हालांकि, हम यह नहीं छोड़ते हैं कि अन्य विकल्पों का उपयोग किया जा सकता है, उदाहरण के लिए, RunPE ।

कॉन्फ़िगरेशन फ़ाइल

सिस्टम पिन

सिस्टम के लिए बन्धन AtProtect लोडर द्वारा प्रदान किया जाता है, अगर इसी ध्वज को सेट किया जाता है।

• फ़ाइल को पथ % AppData% \\ GFqaak \\ Zpzwm.exe के साथ कॉपी किया गया है।
• फ़ाइल % AppData% \\ GFqaak \\ WinDriv.url , Zpzwm.exe शुरू करते हुए बनाई गई है ।
• HKCU \\ Software \\ Microsoft \\ Windows \\ CurrentVersion \\ रन शाखा में, WinDriv.url शुरू करने के लिए एक कुंजी बनाई जाती है ।

C & C के साथ सहभागिता

एटप्रोटेक्ट लोडर

उपयुक्त ध्वज के साथ, मैलवेयर छिपी हुई iexplorer प्रक्रिया शुरू कर सकता है और एक सफल संक्रमण के सर्वर को सूचित करने के लिए निर्दिष्ट लिंक का पालन कर सकता है।

DataStealer

उपयोग की गई विधि के बावजूद, नेटवर्क इंटरैक्शन पीड़ित के बाहरी IP को प्राप्त करने के साथ शुरू होता है [http]: // checkip [।] डायंडन्स [] org / resource।

उपयोगकर्ता-एजेंट: मोज़िला / 4.0 (संगत; MSIE 6.0; Windows NT 5.2; .NET CLR1.0.3705;)

संदेश की सामान्य संरचना समान है। वर्तमान शीर्षक
| ------- ४०४ कीलॉगर - {टाइप} ------- | , जहां {प्रकार} प्रेषित सूचना के प्रकार से मेल खाती है।
निम्नलिखित प्रणाली की जानकारी है:

_______ + VICTIM जानकारी + _______

IP: {बाहरी IP}
स्वामी का नाम: {कंप्यूटर का नाम}
OS नाम: {OS नाम}
OS संस्करण: {OS संस्करण}
OS प्लेटफॉर्म: {प्लेटफ़ॉर्म}
RAM आकार: {RAM आकार}
______________________________

और अंत में, प्रेषित डेटा।

एसएमटीपी

पत्र का विषय निम्नानुसार है: 404 K | {संदेश प्रकार} | ग्राहक का नाम: {उपयोगकर्ता नाम} ।

दिलचस्प है, डेवलपर्स के एसएमटीपी सर्वर का उपयोग 404 कीलॉगर क्लाइंट को पत्र देने के लिए किया जाता है।


इसने हमें कुछ ग्राहकों, साथ ही डेवलपर्स में से एक के मेल की पहचान करने की अनुमति दी।

एफ़टीपी

इस पद्धति का उपयोग करते समय, एकत्र की गई जानकारी को एक फ़ाइल में संग्रहीत किया जाता है और तुरंत वहां से पढ़ा जाता है।


इस कार्रवाई का तर्क पूरी तरह से स्पष्ट नहीं है, लेकिन यह व्यवहार के नियमों को लिखने के लिए एक अतिरिक्त विरूपण साक्ष्य बनाता है।

% HOMEDRIVE %% HOMEPATH% \\ दस्तावेज़ \\ A {मनमानी संख्या .txt

pastebin

विश्लेषण के समय, इस पद्धति का उपयोग केवल चोरी के पासवर्ड को स्थानांतरित करने के लिए किया जाता है। इसके अलावा, इसका उपयोग पहले दो के विकल्प के रूप में नहीं, बल्कि समानांतर में किया जाता है। स्थिति "वावा" के बराबर एक स्थिर मूल्य है। यह माना जाता है कि ग्राहक का नाम है।


बातचीत pastebin एपीआई के माध्यम से https प्रोटोकॉल के माध्यम से होती है। Api_paste_pStreet मूल्य PASTE_UNLISTED है , जो पास्टबिन में ऐसे पृष्ठों की खोज को प्रतिबंधित करता है।

एन्क्रिप्शन एल्गोरिदम

संसाधनों से फ़ाइल निकालें

पेलोड को बिटमैप छवियों के रूप में AtProtect लोडर के संसाधनों में संग्रहीत किया जाता है। निष्कर्षण कई चरणों में किया जाता है:

• चित्र से बाइट्स का एक सरणी निकाला जाता है। प्रत्येक पिक्सेल को बीजीआर क्रम में 3 बाइट्स के अनुक्रम के रूप में माना जाता है। निष्कर्षण के बाद, सरणी के पहले 4 बाइट्स संदेश की लंबाई संग्रहीत करते हैं, अगला - संदेश स्वयं।
  
  
  
• कुंजी की गणना की जाती है। ऐसा करने के लिए, MD5 की गणना "ZpzwmjMJyfTNiRalKVrcSkxCN" मान से की जाती है जो पासवर्ड के रूप में निर्दिष्ट है। परिणामी हैश दो बार लिखा गया है।
  
  
  
• ईसीबी मोड में एईएस एल्गोरिथ्म द्वारा डिक्रिप्शन किया जाता है।
  

दुर्भावनापूर्ण कार्यक्षमता

डाउनलोडर

AtProtect बूटलोडर में लागू किया गया।

• [सक्रियण-प्रतिक्षेप] के साथ संपर्क करके, सर्वर स्थिति को फ़ाइल देने के लिए तैयार होने का अनुरोध किया जाता है। सर्वर को "चालू" वापस करना चाहिए।
• पेलोड डाउनलोड करने के लिए [डाउनलोडलिंक-रिप्लेसमेंट] लिंक का उपयोग करें।
• FranchyShellcode पेलोड को [ चोट -जगह] प्रक्रिया में इंजेक्ट करता है।

404projects के विश्लेषण []।] VirusTotal पर Xyz डोमेन ने 404 Keylogger के अतिरिक्त उदाहरणों के साथ-साथ कई प्रकार के डाउनलोडर्स का भी खुलासा किया।


परंपरागत रूप से, उन्हें दो प्रकारों में विभाजित किया जाता है:

1. डाउनलोड संसाधन 404projects [।] Xyz से किया जाता है।
   
   
   
   
   डेटा बेस 64 एनकोडेड है और एईएस एन्क्रिप्टेड है।
   
2. इस विकल्प में कई चरण होते हैं और प्रायः AtProtect लोडर के साथ संयोजन में उपयोग किया जाता है।

• पहले चरण में, डेटा को पास्टबिन से डाउनलोड किया जाता है और HexToByte फ़ंक्शन का उपयोग करके डीकोड किया जाता है।
  
  
  
• दूसरे चरण में, 404projects [।] Xyz स्वयं लोडिंग के स्रोत के रूप में कार्य करता है। डीकंप्रेसर और डिकोडिंग फ़ंक्शन डेटास्टीलर में पाए जाने वाले समान हैं। संभवतः मुख्य मॉड्यूल में बूटलोडर कार्यक्षमता को लागू करने की योजना बनाई गई थी।
  
  
  
• इस स्तर पर, पेलोड पहले से ही संकुचित रूप में संसाधन प्रकट में है। मुख्य मॉड्यूल में भी इसी तरह के निष्कर्षण कार्य पाए गए।

विश्लेषण की गई फाइलों में लोडर njRat , SpyGate और अन्य RAT पाए गए।

keylogger

लॉग भेजने की अवधि: 30 मिनट।

सभी वर्ण समर्थित हैं। विशेष पात्र बच जाते हैं। कुंजी बैकस्पेस और डिलीट की प्रोसेसिंग है। मामला संवेदनशील।

ClipboardLogger

लॉग भेजने की अवधि: 30 मिनट।

बफर मतदान अवधि: 0.1 सेकंड।

भागने वाले लिंक को लागू किया।

ScreenLogger

लॉग भेजने की अवधि: 60 मिनट।

स्क्रीनशॉट % HOMEDRIVE %% HOMEPATH% \\ दस्तावेज़ \\ 404k \\ 404pic.png में सहेजे गए हैं ।

भेजने के बाद, 404k फ़ोल्डर हटा दिया जाता है।

PasswordStealer

गतिशील विश्लेषण का मुकाबला

• विश्लेषण के तहत प्रक्रिया की जाँच
  
  यह taskmgr , ProcessHacker , procexp64 , procexp , procmon की खोज करके किया जाता है। यदि कम से कम एक पाया जाता है, तो मैलवेयर बाहर निकल जाता है।
• सत्यापित करें कि आप एक आभासी वातावरण में हैं
  
  यह vmtoolsd , VGAuthService , vmacthlp , VBoxService , VBoxTray की खोज प्रक्रियाओं द्वारा किया जाता है। यदि कम से कम एक पाया जाता है, तो मैलवेयर बाहर निकल जाता है।
• 5 सेकंड के लिए सो जाते हैं
• विभिन्न प्रकार के संवाद बॉक्स का प्रदर्शन
  
  इसका उपयोग कुछ सैंडबॉक्स को बायपास करने के लिए किया जा सकता है।
• यूएसी बाईपास
  
  यह समूह नीति सेटिंग्स में EnableLUA रजिस्ट्री कुंजी को संपादित करके किया जाता है।
• वर्तमान फ़ाइल में गुप्त विशेषता लागू करना।
• वर्तमान फ़ाइल को हटाने की क्षमता।

निष्क्रिय विशेषताएं

बूटलोडर और मुख्य मॉड्यूल के विश्लेषण के दौरान, अतिरिक्त कार्यक्षमता के लिए जिम्मेदार कार्य पाए गए, लेकिन उनका कहीं भी उपयोग नहीं किया जाता है। यह शायद इस तथ्य के कारण है कि मैलवेयर अभी भी विकास के अधीन है, और जल्द ही कार्यक्षमता का विस्तार किया जाएगा।

एटप्रोटेक्ट लोडर

एक फ़ंक्शन पाया गया जो msiexec.exe प्रक्रिया में एक मनमाना मॉड्यूल को लोड करने और इंजेक्ट करने के लिए जिम्मेदार था।

DataStealer

• सिस्टम पिन
  
  
  
• डिकम्प्रेसन और डिक्रिप्शन फ़ंक्शंस
  
  
  
  
  
  
  
  संभवतः, नेटवर्क इंटरैक्शन के दौरान डेटा का एन्क्रिप्शन जल्द ही लागू किया जाएगा।
  
• एंटीवायरस प्रक्रियाओं को समाप्त करना

• आत्म विनाश
• निर्दिष्ट संसाधन प्रकट से डेटा लोड हो रहा है
  
  
  
• पथ % Temp% \\ tmpG \\ के साथ फ़ाइल की प्रतिलिपि बनाना [मिलीसेकंड में वर्तमान दिनांक और समय] .mp।
  
  
  
  
  दिलचस्प है, एक समान फ़ंक्शन AgentTesla मैलवेयर में मौजूद है।
  
• कृमि की कार्यक्षमता
  
  मैलवेयर हटाने योग्य मीडिया की एक सूची प्राप्त करता है। मैलवेयर की एक प्रति मीडिया फ़ाइल सिस्टम की जड़ में Sys.exe नाम से बनाई गई है । ऑटोस्टार्ट को autorun.inf फ़ाइल का उपयोग करके कार्यान्वित किया जाता है।
  
  
  
  
  

घुसपैठिए प्रोफाइल

कमांड सेंटर के विश्लेषण के दौरान, डेवलपर के मेल और उपनाम - रेज़र, उर्फ ​​ब्रवा, Brwa65, HiDDen PerSOn, 404 कोडर को स्थापित करना संभव था। तब YouTube पर एक उत्सुक वीडियो पाया गया, जो बिल्डर के साथ काम को प्रदर्शित करता है।




इसने हमें मूल डेवलपर चैनल खोजने की अनुमति दी।


यह स्पष्ट हो गया कि उन्हें क्रिप्टोकरंसी लिखने का अनुभव था। सामाजिक नेटवर्क पर पृष्ठों के लिंक भी हैं, साथ ही लेखक का वास्तविक नाम भी है। यह इराक का निवासी था।



कि 404 Keylogger डेवलपर माना जाता है। उनकी निजी फेसबुक प्रोफाइल से तस्वीरें







सीईआरटी ग्रुप-आईबी ने एक नए खतरे की घोषणा की - 404 कीलॉगर, बहरीन में 24 घंटे साइबर खतरा निगरानी और प्रतिक्रिया केंद्र (एसओसी)।