दुर्भावनापूर्ण सॉफ़्टवेयर के निर्माता इसकी पहचान से बचने की कोशिश करते हैं: हम एक उदाहरण के रूप में Spy.GmFUToMitm का विश्लेषण करते हैं

चित्र: अनप्लैश

पॉजिटिव टेक्नोलॉजीज सिक्योरिटी सेंटर (पीटी एक्सपर्ट सिक्योरिटी सेंटर) के विशेषज्ञों ने चीनी इंटरनेट सेगमेंट में फैले मैलवेयर के एक दिलचस्प नमूने की खोज की। MITM हमलों को अंजाम देने के लिए इस सॉफ्टवेयर का इस्तेमाल अन्य चीजों के अलावा किया जाता है और इसकी मुख्य विशेषता यह है कि इसका पता लगाने से बचने के लिए विभिन्न तकनीकों का संयोजन है। हमने उन्हें यह दिखाने के लिए पार्स करने का फैसला किया कि कैसे दुर्भावनापूर्ण सॉफ़्टवेयर के डेवलपर्स इसकी गतिविधि को छिपाते हैं।

यह सब कैसे शुरू हुआ

नेटवर्क ट्रैफ़िक विश्लेषण प्रणाली ने इस तथ्य पर हमारा ध्यान आकर्षित किया है कि एक दुर्भावनापूर्ण एप्लिकेशन नियमित रूप से इसमें शामिल अतिरिक्त सामग्री के साथ एक छवि का अनुरोध करता है। डाउनलोड छवियों के भंडारण के लिए एक वैध संसाधन से हुआ - imgsa.baidu.com। इसके अलावा, जैसा कि यह निकला, यह क्यूटनेस के भारी स्तर के साथ एक तस्वीर थी :) और इसके बाद हमलावरों द्वारा विभिन्न दुर्भावनापूर्ण भारों को छिपाने के लिए इसका उपयोग करने का प्रयास कितना निंदनीय था!



अंजीर। 1. पेलोड के वितरण के तथ्य को छिपाने के लिए उपयोग की जाने वाली छवि

प्रारंभिक डेटा एकत्र करने और नमूनों की तुलना करने के लिए शुरू करने के लिए, हमने समान नमूनों की खोज का आयोजन किया - और कुछ पाया। यह नेटवर्क इंटरैक्शन में विशेषता डेटा और दुर्भावनापूर्ण ट्रैफ़िक के हमारे व्यापक डेटाबेस के लिए संभव धन्यवाद किया गया था। विशेष रूप से, नेटवर्क ट्रैफ़िक में एक स्पष्ट पैटर्न देखा जा सकता है, एक ऐसा पैटर्न जिसमें दुर्भावनापूर्ण एप्लिकेशन द्वारा समान कार्यों की पुनरावृत्ति होती है।



अंजीर। 2. चिह्नित पैटर्न के साथ नेटवर्क ट्रैफ़िक

हमने पहले अनुरोध की जांच की, इसके जवाब में, सर्वर ने एक एन्क्रिप्टेड कॉन्फ़िगरेशन (छवि 3) को वापस कर दिया जिसमें पेलोड शामिल छवियों के पते थे। यह डेटा hxxp://63634[.]top:8081/koded ।



अंजीर। 3. एन्क्रिप्टेड कॉन्फ़िगरेशन

डेटा डिक्रिप्शन

प्राप्त डेटा को डेस एल्गोरिदम द्वारा इलेक्ट्रॉनिक कोड बुक मोड में कुंजी 0x6a 0x5f 0x6b 0x2a 0x2a 0x2d 0x76 0x76 के साथ मैलिक प्रोग्राम के मुख्य भाग में डिक्रिप्ट किया गया है। डिक्रिप्शन के बाद, प्लेनटेक्स्ट एक स्ट्रिंग (छवि 4) है, जिसमें से प्रत्येक में छवि का लिंक होता है। एमडी 5 हैश की समानता के आधार पर, यह समान छवि है। जाहिर है, वितरण योजना की स्थिरता के लिए, हमलावर एक ही डेटा को अलग-अलग पते पर स्थित करते हैं।



अंजीर। 4. डिक्रिप्टेड बूटलोडर विन्यास का उदाहरण

प्राप्त आंकड़ों का उपयोग करते हुए, अगला चरण दुर्भावनापूर्ण डाउनलोडर छवि के डाउनलोड को आरंभ करता है। यह इसमें से पहले 5120 बाइट्स (बत्तख और पिल्ला) को काटता है और केवल पेलोड (चित्र 5) का उपयोग करता है, जो तुरंत 5121 बाइट से शुरू होता है।



चित्र 5। पेलोड का उदाहरण।

डेटा को डिक्रिप्ट करने के बाद, हमें अगला प्रारूप कॉन्फ़िगरेशन मिला, जो पहले चरण में प्राप्त किया गया था। यह छवि लिंक का एक और हिस्सा है, लेकिन इस बार सभी एमडी 5 हैश अलग हैं और प्रत्येक पंक्ति के अंत में दो वर्ण प्रत्यय हैं:



अंजीर। 6. लिंक और संदिग्ध प्रत्ययों का दूसरा सेट

दुर्भावनापूर्ण एल्गोरिथ्म

अब ये असली पेलोड मॉड्यूल हैं। जैसा कि यह निकला, प्रत्येक पंक्ति के अंत में दो अक्षर एक विशिष्ट छवि का चयन करने के लिए उपयोग किए जाते हैं, अर्थात् एक विशिष्ट पेलोड। सबसे पहले, प्रत्यय "AD" के साथ एक पंक्ति का उपयोग किया जाता है (चित्र 7)। यह विकल्प पहले से ही दुर्भावनापूर्ण प्रोग्राम बनाने के चरण में पूर्व निर्धारित है। अर्थात्, लोड अनुक्रम दो-अंकीय प्रत्ययों के रूप में पूर्वनिर्धारित है।



अंजीर। 7. प्रत्यय "AD" के साथ एक लिंक का चयन करना

डाउनलोड की गई छवि में पहले से ही एक दुर्भावनापूर्ण मॉड्यूल है, इसे कम से कम इसके आकार के आधार पर कहा जा सकता है। डेटा अभी भी छवियों के रूप में नकाबपोश है और 5120 बाइट्स के समान ऑफसेट पर स्थित है। अतिरिक्त बाइट्स को छोड़ने के बाद, लोडर अर्क, हैश राशि की जांच करता है और फिर पीई फ़ाइल में TkRep.dll नामक एक मॉड्यूल को डिक्रिप्ट करता है।



अंजीर। 8. छवि शरीर और इसके हैश राशि में एक एन्क्रिप्टेड मॉड्यूल का एक उदाहरण

यह लाइब्रेरी एक दुर्भावनापूर्ण प्रक्रिया में भरी हुई है और सबसे पहले पर्यावरण की जाँच करता है जिसमें मॉड्यूल चल रहा है:



अंजीर। 9. वर्चुअलाइजेशन वातावरण की जाँच करना

Devenv.exe, OLLYDBG.EXE, Dbgview.exe, windbg.exe, MSDEV.exe, Delphi32.exe, E.exe, PCHunter32.exe, PCHunter64.exe - साथ ही एंटी-वायरस टूल की उपस्थिति के साथ प्रक्रियाओं की उपस्थिति के लिए चल रही प्रक्रियाओं के बीच की जाँच।



अंजीर। 10. प्रक्रिया सत्यापन

एक मानक डिबग चेक बनाता है।



अंजीर। 11. डिबगर के संदर्भ में प्रक्रिया की शुरुआत की जांच करना

तालिका में सूचीबद्ध खुले पाइप के लिए चेक।

अगला कदम दुर्भावनापूर्ण सर्वर पर संक्रमित नोड को पंजीकृत करना है, HTTP प्रोटोकॉल (छवि 12) के लिए POST अनुरोध के साथ संक्रमित नोड के बारे में एन्क्रिप्टेड जानकारी भेजना।



अंजीर। 12. साइबर अपराधियों के सर्वर पर पंजीकरण के लिए अनुरोध

यह उल्लेखनीय है कि सर्वर से प्रतिक्रिया में हमेशा समान डेटा होता है, और इसके अलावा, क्लाइंट द्वारा केवल सर्वर प्रतिक्रिया कोड को ध्यान में रखा जाता है।

मैलवेयर अपनी गतिविधि को कैसे छिपाता है

पेलोड के दिए गए अनुक्रम के अनुसार, हम निम्नलिखित के अध्ययन के लिए आगे बढ़ते हैं। इसका प्रत्यय "AR" है। क्लाइंट, मौजूदा स्कीम के अनुसार, Baidu इमेजेज इमेज स्टोरेज सर्विस से एनक्रिप्टेड लोड के साथ इमेज का अगला कॉन्सेप्ट डाउनलोड करता है, मॉड्यूल को डिक्रिप्ट करता है और रैंडम नाम से इसे एक नई प्रक्रिया में शुरू करता है। हमारी राय में, यह कार्यक्षमता दुर्भावनापूर्ण एप्लिकेशन को हानिरहित बनाने का कार्य करती है। अक्सर यह एक ऑनलाइन गेम का ग्राहक है (चित्र 13)। और यह एक और भेस तकनीक थी।



अंजीर। 13. ऑनलाइन गेम इंटरफ़ेस

इस विचलित करने वाले पैंतरेबाज़ी के बाद, दुर्भावनापूर्ण प्रक्रिया संक्रमित नोड पर फिक्सिंग के चरण तक पहुंचती है। ऐसा करने के लिए, यह रूटकिट प्रोग्राम की कार्यक्षमता के समान कार्यक्षमता का उपयोग करता है। विशेष रूप से, सिस्टम में अपने स्वयं के सुरक्षित चालक का परिचय।

और ऐसा ही होता है। डिक्रिप्टेड कॉन्फ़िगरेशन से, प्रत्यय "एई" के साथ लोड का चयन किया जाता है। यह TaskReportDLL.dll लाइब्रेरी है। इसमें पिछले चरण से TkRep.dll लाइब्रेरी के समान कार्य हैं - सिस्टम के बारे में जानकारी भेजें और सुरक्षात्मक उपकरणों की उपलब्धता की जांच करें।

फिर RealWorkDll.dll लाइब्रेरी डाउनलोड की जाती है। RealWorkDll.dll के कार्यों के बीच, ड्राइवर को डाउनलोड करना महत्वपूर्ण है, जिसे VMPROTECT द्वारा आंशिक रूप से संरक्षित किया गया है, और पीई फ़ाइल जिसे यह ड्राइवर सिस्टम पर स्थापित करेगा।



अंजीर। 14. ड्राइवर डेटाबेस के लिए पथ

फिर ड्राइवर को स्थापित करने के लिए उपयोग की जाने वाली पीई फाइलें हटा दी जाती हैं और फिक्सिंग का यह चरण पूरा हो जाता है।

चालक डेटाबेस पंक्ति में एक खोज ने हमें रूटकिट []। कॉम रिसोर्स मिरर रिपॉजिटरी में ले जाया , जिसमें "objfre_wxp_x86" पथ में संबंधित नाम के साथ FUTo रूटकिट का एक उदाहरण पाया गया (छवि 14)। हमारी कंपनी के ब्लॉग में, इस रूटकिट को 2006 में वापस माना गया था।

आइए RealWorkDll.dll मॉड्यूल द्वारा स्थापित SDriverBlogx86 ड्राइवर की प्रणाली में काम पर अधिक विस्तार से विचार करें। पहले चरण में, क्लाइंट का पंजीकरण डेटा नेटवर्क पर जाता है। POST का उपयोग अनुरोध के रूप में किया जाता है, लेकिन अब पोर्ट नंबर 8081 (छवि 15) पर है। जाहिरा तौर पर, इस पोर्ट का उपयोग डेटा प्राप्त करने के लिए किया जाता है यदि संक्रमित सिस्टम पर गतिविधि रूटकिट "FUTo" के सक्रियण चरण तक पहुंच गई है।



अंजीर। 15. सिस्टम में स्थापित ड्राइवर से C2 के लिए अनुरोध

साइबर क्रिमिनल्स के सर्वर तक पहुंच एन्क्रिप्टेड रूप में होती है, एन्क्रिप्शन से पहले डेटा सिस्टम के बारे में जानकारी है। डेटा फ़ील्ड, प्रस्तुति प्रारूप और फ़ील्ड की संख्या के विभाजक सभी मॉड्यूल (छवि 16) के लिए समान हैं।



अंजीर। 16. संक्रमित नोड की पहचान के लिए सिस्टम की जानकारी

इसके अलावा, सिस्टम में एम्बेडेड चालक के संचालन का तंत्र आरंभ करने वाले बूटलोडर के साथ मेल खाता है - केवल अंतर यह है कि इस बार छवियों के लिंक रूटकिट पोर्ट से अनुरोध किए गए थे और कॉन्फ़िगरेशन संग्रहण पथ / koded से / qqwe में बदल गया था। शायद यह किसी तरह सेवाओं qq.com और wechat.com से संबंधित है।

प्रक्रिया द्वारा प्राप्त मॉड्यूल की सूची में पीई फ़ाइलों की एक सूची शामिल है। लेकिन इस मामले में, लोड का चयन करने के लिए दो-अक्षर प्रत्यय के बजाय, पंक्ति के अंत में कुंजी में फ़ाइल नाम होता है:



अंजीर। 17. सिस्टम में तय ड्राइवर द्वारा प्राप्त कॉन्फ़िगरेशन

छवियों को लोड करने के बाद, पेलोड भी 5120 बाइट्स के ऑफसेट पर स्थित है। इंस्टॉल किए गए ड्राइवर के लिए पेलोड संरचना में फ़ाइल नाम के रूप में पिछली सूची से कुंजी शामिल है, और फिर पीई फ़ाइल ही। पिछले चरणों के विपरीत, पेलोड को यहां एन्क्रिप्ट नहीं किया गया है।



अंजीर। 18. सिस्टम में स्थापित रूटकिट द्वारा प्राप्त पेलोड

इस स्तर पर प्राप्त सभी पेलोड के बीच, यह MITM हमलों के संचालन के लिए मॉड्यूल को ध्यान देने योग्य है। इसका हैश b9fcf48376083c71db0f13c9e344c0383bafa5b116fbf751672d54940082b99a बराबर है, इसके साथ वाली छवि इस पते पर संग्रहीत है।

Devenv.exe, OLLYDBG.EXE, Dbgview.exe, windbg.exe, MSDEV.exe, Delphi32.exe, E.exe, PCHunter32.exe, PCHunter64.exe, साथ ही साथ प्रक्रियाओं ZhuDongFangYu, 360Safe, के नाम के साथ प्रक्रियाओं के लिए मॉड्यूल की जाँच करता है। 360Tray।

GET अनुरोध की सहायता से काम करने की प्रक्रिया में, सर्टिफिकेट server.crt, server.key, server.der, startcom.crt डाउनलोड किए जाते हैं।



अंजीर। 19. प्रमाण पत्र के लिए अनुरोध

MITM हमले के संचालन के लिए मॉड्यूल के वर्ग के नाम हमलावरों के इरादों (छवि 20) के बारे में कोई संदेह नहीं छोड़ते हैं।



अंजीर। 20. MITM हमले के संचालन के लिए मॉड्यूल के वर्ग नाम

निष्कर्ष

इस मैलवेयर में एक बूटलोडर, एक भेस फ़ाइल, एक रूटकिट ड्राइवर और बीच के हमले में एक व्यक्ति के संचालन के लिए एक मॉड्यूल होता है। गुप्त पेलोड वितरण के लिए, सॉफ्टवेयर जेपीईजी छवियों के साथ डेटा को फैलाने के लिए एक तकनीक का उपयोग करता है। कमांड सर्वर के लिए, हमलावर डोमेन ज़ोन शीर्ष, बोली, साथ ही क्लाउड प्लेटफार्मों के आधार पर नाम पंजीकृत करते हैं।

दुर्भावनापूर्ण सॉफ़्टवेयर के डेवलपर्स द्वारा उपयोग की जाने वाली गतिविधि को मास्क करने के कुछ तरीके यहां दिए गए हैं:

• एक कानूनी आवेदन के रूप में प्रच्छन्न,
• छवियों के लिए मास्किंग ट्रैफ़िक,
• रूटकिट के रूप में डॉकिंग।

माना जाता है कि नेटवर्क ट्रैफ़िक विश्लेषण प्रणाली पीटी नेटवर्क अटैक डिस्कवरी द्वारा Spy.GmFUToMitm के रूप में माना जाता है।


लेखक : दिमित्री मकरोव, एवगेनी उस्तीनोव, पॉजिटिव टेक्नोलॉजीज