परमाणु पैक पर स्मार्ट पुनर्निर्देश

हम ब्लैकहोल के नवीनतम संस्करण और बाद में न्यूक्लियर पैक के साथ फैले कार्बरप की दिलचस्प लहर को पकड़ने में कामयाब रहे। इसके अलावा, एक ऐसी ही कहानी नीदरलैंड में एक महीने पहले हुई थी, लेकिन केवल न्यूक्लियर पैक संस्करण 2 ने इसमें भाग लिया, और एक अन्य बैंकिंग दिग्गज सिनोवाल / मेब्रोट वितरित किया गया ।


परमाणु पैक एक बार फिर से शोषण किट के बीच लोकप्रियता हासिल कर रहा है। दरअसल, ब्लैकहोल से पलायन सुरक्षात्मक सॉफ़्टवेयर की तरफ से इसकी अच्छी पहचान और दुनिया भर के बड़ी संख्या में शोधकर्ताओं के करीबी ध्यान के कारण है।

सबसे लोकप्रिय शोषण किट अब इस प्रकार हैं:

• ब्लैकहोल
• Eleonore
• परमाणु पैक
• गुप्त
• अचंभा
• सकुरा

लेकिन हमारे इतिहास पर वापस जाते हैं, इसलिए इस सप्ताह Leksim Ltd / RELNET-NET AS5577 नेटवर्क से बड़े पैमाने पर हमले दर्ज किए गए थे, या यहीं, शोषण किट को होस्ट किया गया था जो कानूनी वेब संसाधनों से पुनर्निर्देशित थे।




वैसे, इस विशेष होस्टिंग का प्रतीकात्मक क्या एक साल पहले अवैध गतिविधियों में देखा गया है, और अप्रैल में क्या विशिष्ट है।

लेकिन इस पोस्ट में चर्चा कुछ और के बारे में होगी, पूरे बिंदु यह है कि सबसे अधिक बार दुर्भावनापूर्ण नमूने एकत्र करने और पुनर्निर्देशन की खोज के लिए सक्रिय सिस्टम काफी सरल रूप से बनाए गए हैं और उनमें से बहुत से वास्तव में डोम मॉडल को समझ नहीं सकते हैं और एक वास्तविक उपयोगकर्ता का भ्रम पैदा कर सकते हैं।

हम परमाणु पैक (पहली बार 2009 में खोजी गई) का उपयोग करते हुए एक दिलचस्प हमला करने में कामयाब रहे, जो पहले से ही है, हालांकि आदिम, एक वास्तविक उपयोगकर्ता की उपस्थिति का पता लगाने और सक्रिय नमूनाकरण प्रणालियों का प्रतिकार करने की ललक।

तो, पहले चीजें पहले। पहले चरण में, जब एक संक्रमित वेब पेज पर जाते हैं, तो JS स्क्रिप्ट निष्पादित होती है (हमारे उदाहरण में, hxxp: //winfield-oil.ru/javascript/script.js)।



जो बदले में, एक दिलचस्प समारोह में होता है जिसमें एक अजीब डोमेन के लिए अपील होती है (hxxp: //onj42a.qpoctushpm.is-an-actor.com/g/)।



जैसा कि उपरोक्त कोड से देखा जा सकता है, गेटएल्सबायटैगनेम () कहा जाता है और कुछ आदिम गणितीय गणनाएं की जाती हैं, और परिणामस्वरूप, एक और स्क्रिप्ट लॉन्च की जाती है।



यह अस्पष्ट राक्षस केवल पहली नज़र में इतना डरावना दिखता है, लेकिन वास्तव में, उसका कार्य केवल iFrame कोड उत्पन्न करना है, जो इसे पुनर्निर्देशित करेगा।



IFrame कोड इस प्रकार है:



इस पूरे पुनरावृत्ति ऑपरेशन का उद्देश्य विभिन्न मैलवेयर डिटेक्शन सिस्टम को iFrame रीडायरेक्ट का पता लगाने से रोकना है। इसके अलावा, ऑनस्मोसोव इवेंट्स के लिए एक चेक भी देखा गया था, जो कि कर्सर वेब पेज पर चलता रहता है अन्यथा पुनर्निर्देशन नहीं होगा।

पुनर्निर्देशन के बाद, CVE-2012-0507 सहित विभिन्न कारनामों के साथ एक हमला होता है, जिसे मैंने आखिरी बार लिखा था ।



ऊपर प्रस्तुत कोड में, आप देख सकते हैं कि जावा एपलेट डाउनलोड कर रहा है (hxxp: //094t8g.qktsnwukvi.webhop.net//images/274e0118278c38ab7f7ff5f98b71d9dc.jar) और MyStart पद्धति के लिए पैरामीटर (स्ट्रिंग पैरामस्ट्रिंग स्ट्रिंग)। Java / Exploit.CVE-2012-0507.J की संरचना इस प्रकार है:



पेलोड लोड करने के लिए URL डिकोडिंग एल्गोरिथ्म इस प्रकार है:



इस पैरामीटर का मान बाद में URL को डीकोड करने की प्रक्रिया में उपयोग किया जाता है (hxxp: //094t8g.qktsnwukvi.webhop.net/server_privileges.php? 7e9e0e75503391ed492e5abe22e1989e = 2) जिससे दुर्भावनापूर्ण प्रोग्राम डाउनलोड किया जाता है? बाद के लॉन्च के लिए।

यदि CVE-2012-0507 का शोषण करना संभव नहीं है, तो पीडीएफ भेद्यता CVE-2010-0188 (JS / Exploit.Pdfka.PJN) का फायदा उठाने का प्रयास किया जाता है।



एक दिलचस्प विसंगति तब भी देखी गई, जब 3.04 तक, ब्लैकहोल वहाँ लटका हुआ था, लेकिन तीसरे दिन इसे सीवीई -2018-0507 के साथ अद्यतन परमाणु पैक द्वारा प्रतिस्थापित किया गया था। लेकिन दोनों मामलों में, Win32 / TrojanDownloader.Carberp.AH लोड किया गया था ।

02 / अप्रैल / 2012 GET hxxp: //dx6ts.yfwumdwyei.is-a-hunter.com/g/3854063525500425.js 62.122.79.32
02 / अप्रैल / 2012 GET hxxp: //yfwumdwyei.is-a-hunter.com/main.php? पेज = 4f086f0830a83d5f 62.122.79.32 [ब्लैकहोल]

03 / अप्रैल / 2012 GET hxxp: //094t8g.qktsnwukvi.webhop.net/g/017432546059324.js 62.122.79.41
03 / अप्रैल / 2012 GET hxxp: //qktsnwukvi.webhop.net/main.php? पेज = 4f086f0830a83d5f 62.122.79.41 [ब्लैकहोल]

03 / अप्रैल / 2012 GET hxxp: //pqiyoc.qktsnwukvi.webhop.net/g/697079368134578.js 62.122.79.41
03 / अप्रैल / 2012 GET hxxp: //094t8g.qktsnwukvi.webhop.net/server_privileges.php? E843aac68e6c4d61269460a1781536 = 2 62.122.79.41 [परमाणु पैक]

और सचमुच आज, परमाणु पैक को निम्न पते पर दर्ज किया गया था और ब्लैकहोल से जाने का तथ्य भी देखा गया था:

09 / अप्रैल / 2012 जीईटी hxxp: //lifenews-click2.org/server_privileile.php? 42afeed2b049dbda5fe177000c3787c5 = 2 [परमाणु पैक]

भविष्य में, दुर्भावनापूर्ण वेब पेजों का पता लगाने के लिए विभिन्न सैंडबॉक्स और सक्रिय सिस्टम के लिए प्रतिक्रिया केवल बढ़ जाएगी। और मुझे लगता है कि निकट भविष्य में हम इस दिशा में कई और दिलचस्प चीजें देखेंगे।

अध्ययन लेखक: मैट्रोज़ोव