Smitnyl.A का विश्लेषण, पहला हाइब्रिड बूटकिट और फ़ाइल संक्रमण

सभी को नमस्कार!

मैं ऑनलाइन सैंडबॉक्स पर अपने लेख पर सार्वजनिक प्रतिक्रिया से थोड़ा प्रेरित था, साथ ही हार्मोन से एक दिलचस्प पोस्ट , जहां कंप्यूटर को ऑनलाइन संक्रमित करने के लिए मौजूदा विकल्पों का विश्लेषण करना संभव हो गया। और इसके आधार पर, मैंने फैसला किया कि शायद दुर्भावनापूर्ण कार्यक्रमों के संचालन के कुछ आधुनिक तंत्रों पर कुछ सामग्री ब्याज की होगी।

मुझे लगता है कि मौजूदा फाइल इंफ्रास्ट्रक्चर जैसे सैलिटी और विरुट के संचालन का तंत्र सबसे ज्यादा गुप्त नहीं होगा। बेशक, इस तरह के इन्फैटेक्टर के काम का सार अच्छी तरह से वर्णित है, और इसलिए एक नया संस्करण विकसित करना आसान है, इसे डीबग करना समस्याओं का कारण नहीं है। बहुत अधिक दिलचस्प एक नए तंत्र का वर्णन होगा - एमबीआर में बूटलोडर से फ़ाइल का संक्रमण। सबसे पहले, इस तरह के मैलवेयर अधिक जटिल होने चाहिए, कोड की लंबाई की सीमा होती है - 62 सेक्टर (7C00H), और इसके अलावा, बग की अनुपस्थिति के लिए विशेष आवश्यकताएं बनती हैं - थोड़ी सी भी त्रुटि सिस्टम बूट विफलता हो सकती है।

इस तरह के मैलवेयर का एकमात्र अनूठा उदाहरण ट्रोजन है: W32 / Smitnyl.A, कुछ फ़ाइल-साझाकरण नेटवर्क पर वितरित किया गया। हम आज इस पर विचार करेंगे।

Smitnyl.A स्टार्टअप में इंफ़ेक्टर सीधे डिस्क एक्सेस के माध्यम से MBR को संक्रमित करता है। यह मूल एमबीआर को एक दुर्भावनापूर्ण संस्करण के साथ बदल देता है जिसमें सेक्टर 32 में एक फ़ाइल संक्रमण प्रक्रिया होती है।

आंकड़े 1 और 2: मूल एमबीआर, भाग 1 (शीर्ष) और 2 (नीचे) को अधिलेखित करना




एक निष्पादन योग्य फ़ाइल को संक्रमित करने के लिए लेखक ने ऐसा मुश्किल तरीका क्यों चुना? शायद इसलिए कि यह विधि आपको विंडोज फाइल प्रोटेक्शन सिस्टम (डब्ल्यूएफपी) को बायपास करने की अनुमति देती है, जो आपको जोखिम के बिना सिस्टम फाइलों को प्रभावी ढंग से संक्रमित करने की अनुमति देती है कि उन्हें बाद में डब्ल्यूएफपी द्वारा बहाल किया जाएगा।

मूल MBR को सेक्टर 5 में संग्रहीत किया जाता है, जबकि A00H के आकार की संक्रामक प्रक्रिया सेक्टर 39 में स्थित है। संक्रमण का लक्ष्य महत्वपूर्ण प्रणाली फ़ाइल userinit.exe है।

चित्र 3: दुर्भावनापूर्ण एमबीआर कोड


आंकड़े 4: मूल एमबीआर कोड


चित्रा 5: एमबीआर संक्रमण कोड


चित्र 6: उपयोगकर्ता कोड में इंजेक्ट किया गया दुर्भावनापूर्ण कोड


Userinit.exe को संक्रमण के लक्ष्य के रूप में क्यों चुना गया है? यह शायद इसलिए किया गया है क्योंकि userinit.exe सिस्टम बूट के शुरू होने पर शुरू होने वाली पहली प्रक्रियाओं में से एक है, जो मैलवेयर को प्रारंभिक चरण में शुरू करने की अनुमति देता है, कई फायरवॉल और एंटीवायरस को लोड करने से पहले, प्रभावी ढंग से इसकी कार्यक्षमता का प्रदर्शन करता है। विशेषज्ञों का तर्क हो सकता है कि smss..exe, csrss.exe, पहले भी है। खैर, शायद इस तरह के एक प्रारंभिक डाउनलोड मैलवेयर के लिए किसी भी महत्वपूर्ण प्रक्रियाओं की अनुपस्थिति के कारण असुविधाजनक है।

Smitnyl प्रारंभिक बूट चरण के दौरान userinit.exe को संक्रमित करता है, जब MBR कोड 0x7C00 तक पहुंचता है, विभाजन तालिका से सक्रिय विभाजन और बूट क्षेत्र के प्रारंभ क्षेत्र की ऑफसेट निर्धारित की जाती है।

फिर फ़ाइल सिस्टम के प्रकार की जाँच की जाती है।

चित्र 7: बूट सेक्टर प्रकार का निर्धारण


यदि NTFS सिस्टम का पता लगाया जाता है, तो कोड मास्टर फ़ाइल टेबल (MFT) को पार्स करता है और फ़ाइल का गुण $ ROOT (।) पढ़ता है। यह प्रक्रिया आपको डिस्क पर userint.exe का स्थान खोजने की अनुमति देती है (बशर्ते कि एमएफटी सही ढंग से पार्स हो)। Smitnyl सभी रास्तों की जाँच करता है, $ ROOT से System32 फ़ोल्डर में जहाँ userinit.exe स्थित है।

चित्र 8: Userinit.exe खोज, भाग 1


चित्र 9: Userinit.exe खोज, भाग 1


मैलवेयर user_it.exe फ़ाइल को खोजने के लिए get_userinit_data_content_addr प्रक्रिया का उपयोग करता है, जो तब मूल रूप से सेक्टर 39 में स्थित दुर्भावनापूर्ण सामग्री को रिकॉर्ड करने के लिए विस्तारित लिखें फ़ंक्शन (फ़ंक्शन संख्या आह = 43H) का उपयोग करता है। संक्रमण के दौरान, userinit.exe फ़ाइल द्वारा ऑफसेट ऑफसेट द्वारा मार्कर की उपस्थिति की जांच भी करेगा। 0x28। यह क्यों आवश्यक है, नीचे समझाया जाएगा।

चित्रा 10: Userinit.exe खोज, भाग 2


चित्र 11: Userinit.exe खोज, भाग 2


संक्रमित मशीन को लोड करने के परिणामस्वरूप, userinit.exe संक्रमित हो जाता है और फिर शुरू होता है (पहले से ही सीधे ओएस)। एक userinit.exe संक्रमण का पता लगाने का एक तरीका प्राथमिक रूप से फ़ाइल के गुणों को देखना है।

आंकड़े 12 और 13: userinit.exe के गुण, मूल (ऊपर) और संक्रमित (नीचे)




सौभाग्य से, अंतर बहुत स्पष्ट है।

अब संक्रमित फाइल का कोड देखते हैं।

चित्र 14: संक्रमित Userinit.exe


यहां यह स्पष्ट हो जाता है कि संक्रमण के दौरान शिशु, संक्रमण से पहले 0x55AA मार्कर की तलाश क्यों करता है, जो कि पुन: संक्रमण को रोकना है। तो क्या होता है जब एक संक्रमित फ़ाइल लॉन्च की जाती है? मुख्य लक्ष्य सेक्टर 45 में स्थित क्रिप्टो दुर्भावनापूर्ण कोड लॉन्च करना है।

चित्र 15: सेक्टर 45 में क्रिप्टेड निष्पादन योग्य कोड


कोड में डिकोडिंग से पहले कई प्रारंभिक प्रक्रियाएं होती हैं और मुख्य कार्यक्षमता की शुरुआत होती है।

• 360safe इंटरनेट सुरक्षा प्रणाली की उपलब्धता की जाँच करें। अगर कोई मिल जाता है, तो उसे बंद कर दिया जाता है।

चित्र 16: 360safe सिस्टम उपलब्धता की जाँच


एक अस्थायी फ़ोल्डर में एक विकल्प explorer.exe बनाना एक डिकोड किया गया निष्पादन योग्य कोड है।

चित्र 17: एक्सप्लोरर एक्सप्लोरर


चित्र 18: एक्सप्लोरर एक्सप्लोरर


• डिकोडिंग के बाद,% temp% \ explorer.exe शेलएक्सक्यूट का उपयोग करके लॉन्च किया गया है - userinit.exe मूल एक्सप्लोरर के साथ बिल्कुल वैसा ही ऑपरेशन करता है! एक ही समय में, शराब एक्सप्लोरर के माध्यम से मूल एक्सप्लोरर।

चित्र 19: एक विकल्प explorer.exe और मूल explorer.exe प्रदर्शन कर रहा है


उसके बाद, मैलवेयर की मुख्य कार्यक्षमता निष्पादित होती है - यह एक क्लासिक डाउनलोडर है जो फ़ाइलों को डाउनलोड और निष्पादित करता है।

चित्र 20: डाउनलोडर कार्यक्षमता


कुल मिलाकर, 360safe सुरक्षा को अक्षम करके, दूरस्थ सर्वर http: [[...] .perfectexe.com / और अन्य से फ़ाइलों को कुशलतापूर्वक डाउनलोड और निष्पादित करना संभव हो जाता है।

एफ-सिक्योर ब्लॉग का अनुवाद ।

PS यहाँ पाठकों से वादा किए गए मैलवेयर को हटाने का वर्णन।