बूटकिट विश्लेषण

सभी को नमस्कार! "रिवर्स इंजीनियरिंग" पाठ्यक्रम के शुभारंभ के सिलसिले में , हमने एक नियोजित खुला पाठ आयोजित किया। इसने अपने लोडिंग के विभिन्न चरणों में बूटकिट ऑपरेशन एल्गोरिदम को डिसाइड किया ।



लेक्चरर - आर्थर पकुलोव , कैसपर्सकी लैब में वायरस विश्लेषक।

निम्नलिखित लेख परिचयात्मक है और पाठ के केवल भाग का एक पाठ संस्करण है, जो बूटकिट इंस्टॉलर को समर्पित है। बूटकिट का एक विस्तृत विश्लेषण स्वयं, वीडियो देखें।

बूटकिट एक दुर्भावनापूर्ण प्रोग्राम है जो मास्टर बूट रिकॉर्ड को संशोधित करता है, पहला भौतिक डिस्क या बूट सेक्टर का पहला सेक्टर, वीबीआर। इस तरह के कार्यक्रम, मूल रूप से, एक ट्रोजन कार्यक्षमता है और सिस्टम में किसी भी छिपे हुए कार्यों को करने के लिए उपयोग किया जाता है। हमारे उदाहरण में, बूटकिट विशेषाधिकार को प्रक्रिया के स्तर तक बढ़ाता है, जिसका नाम अक्षरों के अनुक्रम से शुरू होता है: "पूर्ण"। वास्तव में, एक बूटकिट एक रूटकिट है जो 0 सुरक्षा रिंग में काम करना शुरू करता है, जो ऑपरेटिंग सिस्टम लोड होने से पहले ही शुरू हो जाता है। यह इस कारण से है कि वह अनुसंधान के लिए बहुत रुचि रखते हैं।

इस तरह के कार्यक्रम को विकसित करने के लिए, सामान्य रूप से रिवर्स इंजीनियरिंग कौशल पर्याप्त नहीं हैं। यह केवल लिस्टिंग को पढ़ने में सक्षम होने के लिए पर्याप्त नहीं है, आपको प्रोसेसर आर्किटेक्चर, मेमोरी एड्रेसिंग आदि जैसी चीजों को भी समझने की आवश्यकता है। हमने एक खुले सबक में बूटकिट के प्रमुख स्थानों को देखा।

काम के लिए, एक विशेष नमूना बूटकिट- xp.exe तैयार किया गया था, जो कि विंडोज़ एक्सपी के तहत काम कर रहा है। इसलिए, बूटकिट का अध्ययन करने के अलावा, हम इस ऑपरेटिंग सिस्टम के लिए थोड़ा उदासीन थे। लेकिन सामान्य तौर पर, ओएस एक्सपी को रिवर्स करने के लिए आसान बनाने के लिए चुना गया था, क्योंकि एक्सपी एक अच्छा दृश्य है और अनावश्यक जटिलताओं की अनुपस्थिति है। खैर, इस ओएस के लिए नमूना विशेष रूप से लिखा गया था, इसके कोड को देखते हुए।

यहाँ बूटक इंस्टॉलर कैसा दिखता है :



बस इसे देखते हुए, आप कुछ निष्कर्ष निकाल सकते हैं। उदाहरण के लिए, यह तुरंत स्पष्ट है कि इस फ़ाइल का एक छोटा वजन है। यदि आप प्रवेश बिंदु को देखते हैं, तो आप देख सकते हैं कि कोड को भौतिक डिस्क पर प्रतीकात्मक लिंक के नाम के साथ एक फाइल डिस्क्रिप्टर प्राप्त हो रहा है - "PhysicalDrive0":



इसके अलावा, कोड को समझने की सुविधा के लिए, हमने आईडीए पर स्विच किया । यह स्पष्ट हो जाता है कि एक विशिष्ट ट्रोजन के लिए उपलब्ध कार्यक्षमता काफी छोटी है। यहां तक ​​कि आयात तालिका संदिग्ध रूप से छोटी है:



पैक किए गए नमूनों का विश्लेषण करते समय ऐसी तस्वीर आमतौर पर उभरती है। लेकिन, हमारे मामले में, फ़ाइल पैक नहीं लगती है। यह पता चला है कि नमूना या तो कुछ रक्षक / क्रिप्ट द्वारा कवर किया गया है और इसके काम की प्रक्रिया में गतिशील तरीके से कार्यों के पते प्राप्त होते हैं, जिसके बाद इसे वांछित कार्यात्मक कहते हैं, या सब कुछ ठीक है, और नमूना जैसा है वैसा ही है।

हम कोड का पता लगाना जारी रखते हैं।



जैसा कि हमने HIEW में देखा, CreateFileA फ़ंक्शन को पहले पैरामीटर के रूप में एक दिलचस्प तर्क के साथ कहा जाता है। वास्तव में यहाँ क्या किया जा रहा है? यहाँ कर्नेल ऑब्जेक्ट के रूप में ऐसी चीज़ को वापस बुलाना उचित है। उन्हें उपयोगकर्ता मोड से सीधे हेरफेर नहीं किया जा सकता है, वे ऑपरेटिंग सिस्टम के कर्नेल द्वारा नियंत्रित होते हैं। उपयोगकर्ता मोड से, एक प्रोग्राम केवल किसी भी कर्नेल ऑब्जेक्ट की स्थिति को प्राप्त करने / बदलने का अनुरोध कर सकता है। सिस्टम को इंगित करने के लिए कि किस विशेष कर्नेल ऑब्जेक्ट के साथ कार्यक्रम काम करेगा, इसके लिए आवश्यक कर्नेल ऑब्जेक्ट का हैंडल प्राप्त करना आवश्यक है। रसीद के लिए अनुरोध करने पर, यदि सभी चेक पास हो जाते हैं, तो ओएस हमसे अनुरोधित OA के हैंडल को वापस कर देगा। और पहले से ही हैंडल का उपयोग करके, हम संबंधित ओए के साथ काम कर सकते हैं।

इस प्रकार, ऊपर की छवि में, CreateFile का उपयोग करते हुए, एक प्रतीकात्मक लिंक पहले कनेक्ट किए गए भौतिक हार्ड डिस्क तक पहुंच जाता है। यदि पहुंच प्रदान की जाती है, तो आप ऐसी "फ़ाइल" के साथ किसी अन्य सरल फ़ाइल के साथ काम कर सकते हैं। यही है, पूरी हार्ड डिस्क को एक बड़ी फाइल के रूप में प्रस्तुत किया जाएगा।

तो, चलो जारी रखें। हैंडल वापस आ गया है, और हम खुद को यहाँ पाते हैं:



आगे क्या होता है? और फिर ReadFile फ़ंक्शन पहले 0x200 बाइट्स पढ़ता है। और हमारे पास पहले भौतिक डिस्क का पहला क्षेत्र है।



जैसा कि आप अनुमान लगा सकते हैं, यह मास्टर बूट रिकॉर्ड (एमबीआर) है। एमबीआर में 3 भाग होते हैं: कोड भाग, विभाजन तालिका और हस्ताक्षर। एक सामान्य स्थिति में, बायोस एमबीआर को स्मृति में 0: 0x7c00h पते पर पढ़ता है, इसे नियंत्रित करता है। तो, MBR का कोड भाग निष्पादित करना शुरू कर देता है। निष्पादन के दौरान, यह विभाजन तालिका को पार्स करता है, बूट सेक्टर पाता है और इसे लोड करता है। बूटकिट के मामले में, यदि एमबीआर अधिलेखित हो जाता है, तो उसका कोड अब नियंत्रण प्राप्त करेगा।

ठीक है, एमबीआर पढ़ा जाता है, और आगे क्या है ? और फिर बूटकिट PhysicalDrive0 को फिर से खोलता है, लेकिन राइट एक्सेस मोड के साथ।



अगला, एक सूचक 600 वें ऑफसेट पर सेट किया गया है। यही है, मूल क्षेत्र को तीसरे क्षेत्र में पढ़ा और कॉपी किया जाता है ।

एक सेक्टर का बैकअप क्यों? जाहिर है, यह इस तथ्य के लिए आवश्यक है कि भविष्य में इसकी आवश्यकता होगी।

फिर चक्र शुरू होता है। स्वाभाविक रूप से, कोड को देखकर, कोई भी व्यक्ति var_1C, 1BEh और अन्य जैसे स्थिरांक पर ध्यान नहीं दे सकता है। और, एक ही समय में, ऊपर स्थित एमबीआर संरचना को स्मृति में ताज़ा किया जाना चाहिए। विशेष रूप से, हम "ऑफसेट" कॉलम में रुचि रखते हैं।



देखें, पहले सेक्टर का रीड बफर बफर में है। फिर इसमें 1BEh जोड़ा जाता है। वास्तव में, सूचक विभाजन तालिका की शुरुआत में जाता है। तालिका के अंत से सेक्टर के अंत तक के सभी डेटा को एक ही ऑफसेट - 1BE से शुरू करके _marked_bytes में डाला जाता है।



यही है, मूल MBR का दूसरा और तीसरा भाग _marked_bytes में डाला जाता है।

आगे क्या होता है? और फिर SetFilePointer , हमारी "फ़ाइल", यानी MBR की शुरुआत के लिए सूचक सेट करता है।



फिर एक राइट (WriteFile) का गठन _marked_bytes और फ्रीजिंग मेमोरी है। इस पर, बूटकिट इंस्टॉलर की कार्यक्षमता समाप्त हो जाती है।

लेकिन यह देखना अच्छा होगा कि वास्तव में _marked_bytes के पहले भाग में क्या है । ऐसा करने के लिए, इसे डिस्क पर डंप करें और इसका विश्लेषण करें। आपकी आंख को पकड़ने वाली पहली चीज 0x413 के पते पर 2 परिवर्तनीय सामग्रियों की कमी है।



यदि आप तकनीकी दस्तावेज को देखते हैं, तो आप पा सकते हैं कि चर 0X413 में किलोबाइट्स में स्थापित भौतिक मेमोरी की मात्रा है। तदनुसार, बूटकिट कोड "कट ऑफ" दो किलोबाइट मेमोरी का है:



अब, जैसा कि आगे नहीं किया जाना है, तो यह माना जाएगा कि इसमें 2 किलोबाइट स्मृति से कम है। क्यों - अभी तक स्पष्ट नहीं है।

अगला, भौतिक पता 6 बिट्स की एक बिटवाइड लेफ्ट शिफ्ट का उपयोग करके "बिट ऑफ" मेमोरी के टुकड़े की गणना की जाती है:



6 की एक शिफ्ट एक बार में दो क्रियाएं करती है - किलोबाइट को बाइट्स में परिवर्तित करती है (चर के मान को 2 ^ 10 से गुणा करती है), जिससे मेमोरी के कटे हुए टुकड़े का भौतिक पता प्राप्त होता है, और इससे खंड संख्या निकालता है, परिणाम को 0x10 (2 ^ 4) से विभाजित करता है।

उसके बाद, आपके शरीर को मेमोरी के इस टुकड़े पर कॉपी किया जाएगा, और चूंकि बूटकिट कोड "काट" टुकड़े में है, इसलिए कोई भी इसे और अधिक परेशान नहीं करेगा । इसके अलावा, इस मेमोरी क्षेत्र में जो कुछ भी लिखा गया है, कोई रुकावट नहीं बदलेगी। हम कह सकते हैं कि कोड सिस्टम के लिए लगभग अदृश्य हो जाता है , जैसे कि वहां कोई मेमोरी नहीं है।

यह बूटकिट की शुरुआत है। इसके बाद इंटरप्ट इंटरसेप्शन, ntldr हस्ताक्षर ट्रैकिंग, OS कर्नेल मॉड्यूल का संशोधन आदि होगा।

इसलिए, हम इसे खराब नहीं करेंगे, वेबिनार को अंत तक देखना बेहतर है ताकि कुछ भी याद न हो।