कार्बेर बैंकिंग ट्रोजन ने बूटकिट कार्यक्षमता का अधिग्रहण किया

आज हम अपनी जांच का हिस्सा Carberp मैलवेयर में प्रकाशित कर रहे हैं, जो दूरस्थ बैंकिंग सिस्टम (RBS) को लक्षित करता है।

इस महीने हम Win32 / TrojanDownloader.Carpp परिवार से ट्रोजन के एक नए संशोधन के बारे में दिलचस्प जानकारी एकत्र करने में कामयाब रहे। यह रूस में सबसे आम दुर्भावनापूर्ण कार्यक्रमों में से एक है, जो दूरस्थ बैंकिंग प्रणालियों में धन की चोरी में लगा हुआ है और इसका उद्देश्य मुख्य रूप से उन कंपनियों द्वारा किए गए हमलों में है जो हर दिन बड़ी संख्या में नकद लेनदेन करते हैं। हमने इस ट्रोजन के बारे में पहले ही अपनी प्रस्तुति "रूस में साइबर अपराध: रुझान और मुद्दे" के बारे में बात की थी। इस मैलवेयर के डेवलपर्स रूस और पड़ोसी देशों में सबसे सक्रिय साइबर क्रिमिनल समूहों में से एक हैं, जो आरबीएस में धन की चोरी में लगे हुए हैं। कार्बरप ट्रोजन के साथ पहली घटनाओं का पता हमारे द्वारा 2010 की शुरुआत में लगाया गया था, और इस साल इसकी गतिविधि का चरम वसंत और गर्मियों के अंत में आता है, और शरद ऋतु की शुरुआत के साथ इस कार्यक्रम से संबंधित घटनाओं की संख्या फिर से बढ़ गई।



दर्ज की गई घटनाओं की संख्या में पूर्ण नेता रूस है, जो क्षेत्र द्वारा हमारे आंकड़ों की पुष्टि करता है:



साइबर क्रिमिनल ग्रुप के नकद मुनाफे की राशि हर हफ्ते लाखों डॉलर होती है, और, हमारे निगरानी शो के रूप में, हमलावर अपनी दुर्भावनापूर्ण प्रौद्योगिकियों के विकास में निवेश करने के लिए कंजूस नहीं हैं। विशेष रूप से, यह हॉडप्रोट ड्रॉपर के विकास को दर्शाता है, जो कि कार्बप, आरडीपीडीआर और शेल्डोर प्रतिष्ठानों में देखा गया था। इसके अलावा, सिस्टम में एक पिछले दरवाजे को खोलने के लिए और अपराधियों द्वारा मैन्युअल रूप से पैसे के लेन-देन को अंजाम देने के लिए, Carberp RDPdoor स्थापित कर सकता है। फिलहाल, हमने स्थापित किया है कि ये दुर्भावनापूर्ण कार्यक्रम एक साइबर क्राइम समूह की गतिविधियों का परिणाम हैं।

इस वर्ष की शुरुआत में, एंटीवायरस एजेंटों द्वारा पता नहीं लगाए गए एक बूटकिट बिल्डर की बिक्री की जानकारी विभिन्न बंद साइबर क्रिमिनल मंचों पर दिखाई देने लगी। इस बिल्डर की लागत का अनुमान कई दसियों डॉलर में था और तुलना में शानदार लग रहा था, उदाहरण के लिए, समान स्पाई और ज़ीउस की कीमतों के साथ।



इस टूलकिट को हासिल करने के लिए कुल साइबर साइबर ग्रुप कितने कामयाब हुए - हमें नहीं पता। लेकिन हमारे पास संकलित रूप में बूटकिट भाग का एक नमूना इंस्टॉलर था जो चालक स्टब को लोड करता था। हम कुछ अन्य मैलवेयर वाले इस कोड की पहचान का पता लगाने में सक्षम थे। फिलहाल, इसका उपयोग केवल रोविनिक्स बूटकिट में जाना जाता है, जो इस कार्यक्षमता का व्यापक उपयोग करने वाला पहला था। और गर्मियों के अंत से, एक बूटकिट भाग के साथ कार्बरप के एक विशेष संस्करण का परीक्षण (बहुत सीमित संख्या में वितरण) शुरू हुआ। तथ्य यह है कि बॉट टेस्ट मोड में काम करता है, दो कारकों द्वारा इंगित किया गया था: इंस्टॉलेशन प्रक्रिया के बारे में बड़ी संख्या में डिबग संदेश और एक बहुत छोटा अंतराल। हम बूट कंट्रोल कमांड के साथ बॉट कंट्रोल कमांड सेंटर पर लॉग का उपयोग करने में कामयाब रहे और सक्रिय परीक्षण प्रक्रिया के तथ्य की पुष्टि करते हैं:



बॉट के परीक्षण संस्करण के लिए सी एंड सी

कार्बेर के नए संस्करण के इंस्टॉलर में बड़ी संख्या में डिबगिंग संदेश पाए गए:



अनपैक्ड कार्बरप कोड के अंदर की लाइनें

बूटकिट भाग को केवल महत्वपूर्ण संशोधनों के बिना छोड़ दिया गया था और यह लगभग पूरी तरह से वैसा ही है जैसा कि हमने पहले ही रोविनिक्स के साथ देखा है। बूटकिट के बारे में तकनीकी विवरण हमारी रिपोर्ट "पराजित x64: कर्नेल-मोड रूटकिट्स के आधुनिक रुझान" पर देखा जा सकता है, जिसे हमने एकोपार्टी सम्मेलन में इस गिरावट को प्रस्तुत किया था।

लेकिन इंस्टॉलर को महत्वपूर्ण संशोधनों से गुजरना पड़ा है। सिस्टम में कार्बर बूटकिट कार्यक्षमता को स्थापित करने के अलावा, विशेषाधिकारों को बढ़ाने के लिए कई कमजोरियों का उपयोग किया जाता है। सबसे पहले, यह इस तथ्य के कारण है कि बूटकिट स्थापित करने के लिए व्यवस्थापक या सिस्टम विशेषाधिकारों की आवश्यकता होती है। कॉर्पोरेट उपयोगकर्ताओं पर एक हमले के दौरान (जैसे, यह हमलावरों का लक्ष्य है) जिनके पास दूरस्थ बैंकिंग प्रणाली तक पहुंच है, उनके पास निष्पादन योग्य फ़ाइल को उच्च विशेषाधिकार के साथ चलाने का अधिकार नहीं हो सकता है, और सामाजिक इंजीनियरिंग विधियों का उपयोग करने वाले हमले से अब मदद नहीं मिलेगी। इसलिए, इंस्टॉलर अब सिस्टम में स्थानीय विशेषाधिकारों को बढ़ाने के लिए चार अलग-अलग कमजोरियों का शोषण करता है:



• MS10-073 (win32k.sys कीबोर्ड लयआउट वॉन)
• MS10-092 (कार्य शेड्यूलर वॉन)
• MS11-011 (win32k.sys SystemDefaultEUDCFont vuln)
• .NET रनटाइम ऑप्टिमाइज़ेशन वल्न

ड्रॉपर के काम में एक और दिलचस्प बिंदु सीधे बूटकिट इंस्टॉलर को शुरू करने से पहले निम्न सिस्टम फ़ंक्शन से विभिन्न हुक और स्पलैश को हटा रहा है:



यह विभिन्न सैंडबॉक्स और मॉनिटरिंग टूल के लिए एक प्रकार का वर्कअराउंड है जो उपयोगकर्ता मोड में हुक का उपयोग करता है।

बूटकिट कोड चलाने की प्रक्रिया में, डिजिटल हस्ताक्षर जांच और अन्य सुरक्षात्मक तंत्रों को दरकिनार कर, एक दुर्भावनापूर्ण ड्राइवर लोड किया जाता है। इस ड्राइवर का कार्य पेलोड को उपयोगकर्ता-मोड प्रक्रियाओं के पता स्थान में लागू करना है।

मूल ड्राइवर फ़ाइल को अनपैक करने के बाद, आप संकलक की निर्माण तिथि और संस्करण पा सकते हैं:



इन आंकड़ों के अनुसार, यह स्पष्ट है कि फ़ाइल चालू महीने की शुरुआत में एकत्र की गई थी, और अब, जाहिरा तौर पर, यह स्थिरता के लिए परीक्षण किया जा रहा है। संकलन के बाद, एक दिलचस्प रेखा चालक में बनी रही, जो डेवलपर्स के कंप्यूटर पर स्रोत कोड के साथ निर्देशिका की ओर इशारा करती है:



जाहिरा तौर पर, यह परीक्षणों का पहला और नवीनतम संस्करण नहीं है, जो हाल ही में सामने आया है। इसके अलावा, हम इस संभावना को बाहर नहीं करते हैं कि लेखक ने पहले इसे बिक्री के लिए रखा था जो इस कोड के आगे समर्थन में लगे हुए हैं। चूंकि रोवेनिक्स और कार्बरप के इस संस्करण के अलावा, इस कोड पर आधारित मैलवेयर हमारे लिए अज्ञात है, और निम्न-स्तर वाले हिस्से से पहले कार्बरप का एक भी संस्करण नहीं था, इससे पता चलता है कि उनके पास ऐसी योग्यता के डेवलपर्स नहीं थे।
इस ड्राइवर का मुख्य उद्देश्य उपयोगकर्ता प्रक्रियाओं के पते स्थान में एक पेलोड के साथ एक गतिशील पुस्तकालय को लागू करना है।



पेलोड के साथ गतिशील पुस्तकालय को अनपैक करने के बाद, आप संकलन तिथि भी देख सकते हैं, जिससे यह स्पष्ट हो जाता है कि यह ड्राइवर के साथ तुलना करते समय अलग-अलग समय पर संकलित किया गया था।



अंदर एक दिलचस्प स्ट्रिंग स्थिरांक था, जो परियोजना के साथ पूरी तरह से अलग निर्देशिका और "जीएसवीसॉफ्ट" नामक एक दिलचस्प रूट निर्देशिका की ओर इशारा करता था।



दिलचस्प है, परियोजना निर्देशिकाओं के लिए संकलन की तारीखें और रास्ते अलग-अलग हैं, जो अप्रत्यक्ष रूप से सुझाव देते हैं कि दो अलग-अलग विकास टीमों ने काम किया। इसके अलावा, "GSVSoft" नाम के साथ एक बहुत ही वास्तविक डोमेन (gsvsoft.ru) है, लेकिन इस पर आधारित किसी भी निष्कर्ष को निकालना असंभव है।

डायनेमिक लाइब्रेरी की मुख्य कार्यक्षमता कई मायनों में कार्बरप के पिछले संस्करण के समान है। इस मॉड्यूल का मुख्य उद्देश्य इंटरनेट बैंकिंग वाले पृष्ठों पर जेएस-लिपियों को लागू करना, अतिरिक्त प्लग-इन डाउनलोड करना और कमांड सेंटर के साथ बातचीत करना है।

उपरोक्त सभी का सुझाव है कि कार्बेर ट्रोजन की प्रणाली में छिपाने के मौजूदा तरीके अपने डेवलपर्स के अनुरूप नहीं हैं, और वे अपनी सुरक्षा सॉफ्टवेयर बायपास प्रौद्योगिकियों के विकास में निवेश करने के लिए तैयार हैं। इसलिए दो वर्षों में इस मैलवेयर के विकास ने इसे रूसी बैंकों के ग्राहकों के साथ घटनाओं की संख्या में नंबर एक बना दिया है, और न केवल वाणिज्यिक संगठन इससे पीड़ित हैं - सरकारी संस्थानों में भी घटनाएं हैं। नई बूटकिट कार्यक्षमता के साथ, कार्बरप टीडीएल 4 और रोविनिक्स जैसे खतरों के साथ विश्लेषण और पता लगाने की जटिलता में एक कदम आगे जाता है।

इस तथ्य के बावजूद कि अब कार्बरप का मुख्य लक्ष्य रूसी बैंकों के ग्राहक हैं, यह स्थिति जल्दी से बदल सकती है, क्योंकि इस साइबर क्रिमिनल समूह के पास अन्य देशों में बैंकों पर हमलों के लिए कोई तकनीकी बाधा नहीं है। और अन्य क्षेत्रों में बाहर निकलना नहीं होता है, इस तथ्य के कारण सबसे अधिक संभावना है कि अब तक वे इस रूप में सब कुछ से संतुष्ट हैं। लेकिन निकट भविष्य में वे अन्य क्षेत्रों में हमले के साथी पा सकते हैं। पिछले साल, यूरोपीय देशों में कार्बरप गतिविधि पहले से ही दर्ज की गई थी, लेकिन फिर इसमें गिरावट शुरू हुई।