फ्लैश बैनर के माध्यम से ड्राइव-बाय डाउनलोड हमलों और नए मैलवेयर वितरण वैक्टर का पता लगाने के बारे में

आज हम आपको फ्लैश-बैनर का उपयोग करके एक नए प्रकार के ड्राइव-बाय डाउनलोड हमले के बारे में बताना चाहते हैं, और इससे कैसे निपटना है। इस तरह के हमले से हमलावरों को बिना हैक किए साइट के माध्यम से वायरस फैलाने की अनुमति मिलती है। दुर्भावनापूर्ण सॉफ़्टवेयर को फ़्लैश विज्ञापन बैनर के माध्यम से वितरित किया जाता है, जिसके माध्यम से वेबमास्टर अपनी साइट का मुद्रीकरण करना चाहते हैं। हालाँकि, उन्हें स्वयं यह संदेह नहीं हो सकता है कि वेब पेज पर स्थापित बैनर ने उनके पोर्टल को वायरस वितरण नेटवर्क का एक हिस्सा बना दिया है।

दुर्भावनापूर्ण कोड
दुर्भावनापूर्ण जावास्क्रिप्ट कोड का निष्पादन, उदाहरण के लिए, वेब ब्राउज़र के संदर्भ में, एक्सटर्नलफेस क्लास की कॉल () विधि के लिए संभव है, जो एक्शनस्क्रिप्ट 3.0 में दिखाई दिया था। वेब ब्राउज़र के संदर्भ में जावास्क्रिप्ट कोड निष्पादित करने की प्रक्रिया जो ActiveX के साथ काम करने की क्षमता का समर्थन करती है, Shockwave Flash के लिए ActiveX घटक के माध्यम से कार्यान्वित की जाती है। और इस सुविधा के बिना वेब ब्राउज़र के लिए, शॉकवेव फ्लैश के लिए प्लगइन का उपयोग किया जाता है। ActiveX घटक या प्लगइन फ़्लैश फ़ाइल के बायटेकोड को पार्स करता है जो इसे प्रसंस्करण के लिए भेजा गया था और जावास्क्रिप्ट कोड उत्पन्न करता है जिसे वेब ब्राउज़र के संदर्भ में निष्पादित किया जाएगा यदि ऐसी कार्यक्षमता फ़्लैश फ़ाइल में मौजूद है। जावास्क्रिप्ट कोड उत्पन्न होने के बाद, इसे सक्रिय रूप से ActiveX घटक में पूर्वनिर्धारित जावास्क्रिप्ट कार्यों या शॉकवेव फ्लैश के लिए प्लगइन के माध्यम से प्रेषित किया जाता है। चित्र 1 ऐसे कार्यों की सूची दिखाता है।



अंजीर। 1 - जावास्क्रिप्ट का उपयोग करते हुए कोड के गठन और आगे निष्पादन ExcternalInterface.call () में जगह लेता है

परीक्षण फ्लैश बैनर का हानिरहित जावास्क्रिप्ट कोड नीचे दिखाया गया है, जो कि एक वेब ब्राउज़र के संदर्भ में ActiveX घटक या शॉकवेव फ्लैश के लिए प्लगइन के निष्पादन के लिए उत्पन्न होता है।




Yandex.Photos पर देखें

अंजीर। 2 - परीक्षण के जावास्क्रिप्ट कोड फ्लैश बैनर ExcternalInterface.call (), जो ActiveX घटक या शॉकवेव फ्लैश के लिए प्लगइन द्वारा उत्पन्न होता है


Yandex.Photos पर देखें

अंजीर। 3 - एक परीक्षण फ्लैश बैनर से ExcternalInterface.call () को निष्पादित करने का परिणाम है

चित्रा 3 फायरबग प्लग-इन विंडो को फ़ायरफ़ॉक्स ब्राउज़र के लिए एक परीक्षण फ़्लैश बैनर प्रदर्शित करने और तैयार किए गए जावास्क्रिप्ट कोड को कॉल करने के परिणाम के साथ दिखाता है जो दुर्भावनापूर्ण कार्य नहीं करता है। इस प्रकार, बाहरीइंटरफेस क्लास के कॉल () पद्धति का उपयोग करके, आप जावास्क्रिप्ट में किसी भी फ़ंक्शन को कॉल कर सकते हैं। इससे हमलावर दुर्भावनापूर्ण कार्रवाई कर सकते हैं।


Yandex.Photos पर देखें

चित्र 4 - HTML पृष्ठ पर बाह्य जावास्क्रिप्ट स्क्रिप्ट का उपयोग करने के लिए फ़्लैश बैनर से ExcternalInterface.call () कॉलिंग


Yandex.Photos पर देखें

अंजीर। 5 - एक फ़्लैश बैनर से जावास्क्रिप्ट का उपयोग कर सत्र डेटा चोरी करने के लिए ExcternalInterface.call () कॉलिंग

फ्लैश बैनर से जावास्क्रिप्ट कोड के सफल निष्पादन के लिए कई प्रतिबंध हैं, जो फ्लैश रनटाइम पर लागू होते हैं और फ़्लैश.system पैकेज से fscommand () फ़ंक्शन के लिए आधिकारिक मैनुअल पेज पर वर्णित हैं और ExctxalInterface.call () पर लागू होते हैं। बाहरी प्रतिबंधों के आधार पर इस तरह के प्रतिबंध लागू होते हैं। यदि अनुमति है, तो नाममात्र संपत्ति है:

• वहीडोमैन (डिफ़ॉल्ट) - स्क्रिप्टिंग केवल उसी डोमेन में स्थित SWF फ़ाइलों के लिए अनुमति दी जाती है जो वेब पेज के रूप में है;
• हमेशा - एसडब्ल्यूएफ HTML पेज तक पहुंच सकता है जिसमें यह एम्बेडेड है, भले ही यह एक अलग डोमेन पर हो;
• कभी नहीं - SWF फ़ाइल किसी भी HTML पृष्ठों तक नहीं पहुँच सकती है।

यांडेक्स द्वारा विकसित वेब पृष्ठों पर दुर्भावनापूर्ण सामग्री का पता लगाने की प्रणाली ने पहली बार दिसंबर 2010 में दुर्भावनापूर्ण जावास्क्रिप्ट कोड को निष्पादित करने की इस पद्धति के उपयोग की खोज की।

24 अप्रैल 2012 तक, इस फ़ाइल को VirusTotal सेवा पर प्रस्तुत किए गए केवल 42 एंटीवायरस प्रोग्रामों में से एक का पता चला था। अर्थात्, सोफोस एंटीवायरस फैसले के साथ ट्रोज / SWFDlr-AB ।
दुर्भावनापूर्ण SWF फ़ाइल की मात्रा:

• MD5: fd588c260cf38be7a7259c195da5b023
• SHA-1: 9d5353d82392c85451e99cb7736ba7b30498e1624
• SHA-256: e15758a2f0ec5b6cb3203ee42d0454ffc7830a2026bcc3eebfdfa9bd0017c965



चित्रा 6 - सोफोस वर्गीकरण के अनुसार मैल्जियस फ्लैश बैनर को ट्रोज / एसडब्ल्यूएफडलर-एबी के रूप में पाया गया

इस दुर्भावनापूर्ण SWF फ़ाइल में इसके शरीर में ActionScript कोड है, जो नीचे दिए गए चित्र में दिखाया गया है।


Yandex.Photos पर देखें

अंजीर। 7 - दुर्भावनापूर्ण कोड को तिकड़ी / SWFDlr-AB फ्लैश बैनर में ExcternalInterface.call () विधि से पारित किया गया

जैसा कि आप इस आंकड़े से देख सकते हैं, HTTP हेडर में पारित उपयोगकर्ता-एजेंट फ़ील्ड के मूल्य की जाँच की जाती है। यदि ब्राउज़र क्रोमियम परिवार से संबंधित नहीं है, और एक ही समय में इस फ़्लैश एप्लिकेशन की पहुंच वांछित पते से हुई है, तो आंकड़े में कोड के टुकड़े के रूप में इंगित किया गया है, पृष्ठ पर एक अदृश्य तत्व बनाया गया है, जो पता hxxp पर दुर्भावनापूर्ण जावास्क्रिप्ट कोड लोड करता है: // 66.199.232.59/workarounds.js। दुर्भावनापूर्ण कोड के प्रसार के समय, वर्कअराउंड.जेएस फ़ाइल से स्क्रिप्ट में मायने रखता है () फ़ंक्शन। निष्पादन के बाद, इस फ़ंक्शन ने पृष्ठ पर एक छिपे हुए DIV तत्व और इसके अंदर एक छिपे हुए IFRAME का निर्माण किया। बाद के SRC विशेषता में एड्रेस hxxp शामिल है: //nnuled.co.cc/in.cgi; 3 - टीडीएस सूत्र पर स्विच करने के लिए।


Yandex.Photos पर देखें

अंजीर। 8 - वर्कअराउंड।जेएस फ़ाइल से गिनती () फ़ंक्शन के दुर्भावनापूर्ण कोड का हिस्सा

इसके अलावा, पते से hxxp: //nnuled.co.cc/in.cgi? 3, एक संक्रमण BlackHole Exploit Pack, hxxp पर स्थित है: //ds3c.co.cc/index.php? Tp - 50afe4b907e38c82, हुआ। वहां से, मैलवेयर फैल गया।

दुर्भावनापूर्ण फ़्लैश बैनर के इस परिवार की पहली खोज के बाद से, हमलावरों ने दुर्भावनापूर्ण कॉल और दुर्भावनापूर्ण कोड का पता लगाने की क्षमता को जटिल करना शुरू कर दिया है। यह एक दुर्भावनापूर्ण फ़्लैश-बैनर द्वारा दर्शाया गया है, जिसका वितरण अप्रैल 2012 के मध्य में हमारे द्वारा दर्ज किया गया था। उस समय, वायरसटोटल सेवा पर प्रस्तुत किसी भी एंटीवायरस द्वारा ज्ञात फ़ाइल को दुर्भावनापूर्ण नहीं माना गया था।

दुर्भावनापूर्ण SWF फ़ाइल की मात्रा:
• MD5: 6daa91ce91eee37be0d89e351a7e3a3e
• SHA-1: bccc85031396e9c14911ed1c5e6829087ee9993
• SHA-256: 92395014ac2a8a9e35eaf17f6e73b4fdd64353838afbff0bf50afb80f0c6dfccbb



चित्र 9 - अप्रैल 2012 के मध्य में दुर्भावनापूर्ण फ़्लैश बैनर का पता चला

दिखने में यह एक नियमित फ़्लैश विज्ञापन बैनर है, लेकिन इस SWF फ़ाइल की सामग्री में एक और SWF फ़ाइल है।



अंजीर। 10 - फ्लैश बैनर जिसमें एक और एसडब्ल्यूएफ फ़ाइल होती है

यह SWF फ़ाइल ActionScript कोड का उपयोग करके एक बाइनरी सरणी से भरी हुई है, जैसा कि चित्र 11 में दिखाया गया है।


Yandex.Photos पर देखें

चित्र 11 - एक बाइनरी सरणी से एक एसडब्ल्यूएफ फ़ाइल डाउनलोड करना

हिडन एक्शनस्क्रिप्ट भारी रूप से बाधित है। कोड के विश्लेषण को जटिल करने के लिए, कचरा निर्देश, झूठे निशान और आरक्षित शब्द (यदि, के लिए, प्रत्येक, आदि) विधियों और चर के नाम के रूप में उपयोग किए जाते हैं, साथ ही यह भी जांचते हैं कि फ्लैश बैनर कहां से और यदि एक्सेस किया गया था वर्तमान में एप्लिकेशन डिबगिंग के अंतर्गत है। डीबॉफिकेशन के बाद, एक्शनस्क्रिप्ट कोड के अंदर बड़े पूर्णांक दो-आयामी सरणियों को स्ट्रिंग्स में परिवर्तित किया जाता है:

• सुपरफू
• फ़ाइल: //
• स्टैंडअलोन
• भेजी
• इं
• आरयू
• रामबलर
• मेल.रु
• YB
• Yx
• हां
• शुरू हुआ
• गूगल
• बॉट
• बॉट
• जीटीबी
• vkontakte
• mail.ru
• बिंग
• याहू
• गूगल
• यांडेक्स
• रंबलर
• विंडोज
• MSIE
• एक्सप्लोरर
• फ़ायरफ़ॉक्स
• ओपेरा

दुर्भावनापूर्ण कोड HTTP हेडर में पारित उपयोगकर्ता-एजेंट फ़ील्ड के मूल्य की जांच करता है। यदि यह ऊपर सूचीबद्ध सूची में से किसी एक लोकप्रिय ब्राउज़र से मेल नहीं खाता है या इसमें ऐसे सबस्ट्रिंग शामिल हैं जो इंगित करते हैं कि साइट विज़िटर एक खोज रोबोट है, तो दुर्भावनापूर्ण कोड काम करना बंद कर देता है। यह खोज परिणाम पृष्ठ या बड़े पोर्टल से पारित होने के लिए HTTP हेडर में प्रेषित रेफर फ़ील्ड के मूल्य की भी जांच करता है। यदि ऊपर वर्णित सभी शर्तों को पूरा किया जाता है, तो जावास्क्रिप्ट कोड लोड किया जाता है, जिसे दुर्भावनापूर्ण बैनर के अंदर एक मोटे रूप में संग्रहीत किया जाता है। निम्नलिखित deobfuscated दुर्भावनापूर्ण जावास्क्रिप्ट कोड का हिस्सा है जो इसके निष्पादन का मुख्य कार्य प्रदर्शित करता है। दुर्भावनापूर्ण कोड का पता लगाने के लिए और अधिक कठिन बनाने के लिए, मुख्य जावास्क्रिप्ट कोड को निष्पादित करने के बाद, कोड को निष्पादित किया जाता है जो दुर्भावनापूर्ण गतिविधि के निशान को हटा देता है।



अंजीर। 12 - जावास्क्रिप्ट कोड जो दुर्भावनापूर्ण गतिविधि के निशान को हटाता है


Yandex.Photos पर देखें

अंजीर। 13 - एक SWF फ़ाइल से दुर्भावनापूर्ण जावास्क्रिप्ट कोड को निष्क्रिय कर दिया

दुर्भावनापूर्ण कोड वेब पेज पर एक अदृश्य कंटेनर बनाता है जो <SUB> yadro-yadro.com संसाधन से एक दुर्भावनापूर्ण स्क्रिप्ट लोड करता है, जहां <SUB> एक यादृच्छिक पूर्णांक है। वहां से, इसे .xx डोमेन ज़ोन में एक दुर्भावनापूर्ण होस्ट पर पुनर्निर्देशित किया गया है, जिस पर दुर्भावनापूर्ण कोड के प्रसार के समय न्यूक्लियर एक्सप्लिट पैक स्थित था।

इस तरह से दुर्भावनापूर्ण कोड का वितरण यांडेक्स व्यवहार विश्लेषक द्वारा शायद ही कभी पता लगाया जाता है, प्रति तिमाही 1-2 बार। लेकिन चूंकि दुर्भावनापूर्ण फ्लैश बैनर मुख्य रूप से बड़ी संख्या में उपयोगकर्ताओं द्वारा प्रतिदिन देखे जाने वाले प्रसिद्ध पोर्टलों के पन्नों से डाउनलोड किए जाते हैं, इसलिए संक्रमित कंप्यूटरों की संख्या बहुत महत्वपूर्ण है।

सबसे अधिक संभावना है, जिन्होंने इस पद्धति का आविष्कार किया, उन्होंने इसके खिलाफ लड़ाई को जटिल बनाने के लिए इसे गुप्त रखा। इस पद्धति का उपयोग करके एक संक्रमित संसाधन से दुर्भावनापूर्ण कोड का सक्रिय वितरण औसतन 2 दिनों से अधिक नहीं रहता है, लेकिन इसके बारे में सभी आवश्यक जानकारी एकत्र करने के लिए पर्याप्त से अधिक है।

विशेष रूप से, ओपनएक्स विज्ञापन सर्वर के साथ एकीकृत सीएमएस का उपयोग अक्सर दुर्भावनापूर्ण कोड को फैलाने के लिए किया जाता है। OpenX विज्ञापन सर्वर आपकी साइट पर विज्ञापन के प्रबंधन के लिए एक लोकप्रिय प्रणाली है, प्रति क्लिक लागत के संकेत के साथ इसके छापों की संख्या आदि। हमलावर वास्तव में उन साइटों का चयन करते हैं जो इसका उपयोग करते हैं, क्योंकि इसमें निर्मित फ्लैश ऑब्जेक्ट के लिए allowScriptAccess पैरामीटर "हमेशा" पर सेट है। विज्ञापन बैनरों को घुमाने के लिए ओपनएक्स एड सर्वर का उपयोग करने वाली साइट के बाद पाया जाता है (जो कि मुश्किल नहीं है - यह प्रणाली बहुत लोकप्रिय है), हमलावर केवल एक दुर्भावनापूर्ण फ्लैश ऑब्जेक्ट के प्लेसमेंट पर सहमत हो सकते हैं।


Yandex.Photos पर देखें

अंजीर। 14 - ओपनएक्स विज्ञापन सर्वर में एक नई फ्लैश ऑब्जेक्ट बनाने के लिए जावास्क्रिप्ट कोड

निष्कर्ष
संभवतः, कुछ समय बाद, ऐसे दुर्भावनापूर्ण फ़्लैश अनुप्रयोगों को पारंपरिक रूप से एंटीवायरस द्वारा मज़बूती से पता लगाया जाएगा, और उनके द्वारा उपयोग की जाने वाली कमजोरियों को बंद कर दिया जाएगा। लेकिन तब तक, आपकी साइट के उपयोगकर्ताओं की सुरक्षा और उस पर स्थिर ट्रैफ़िक सुनिश्चित करने के लिए (संक्रमण ट्रैफ़िक को काफी कम कर देता है), हम अनुशंसा करते हैं कि आप:

• फ़्लैश अनुप्रयोगों से जावास्क्रिप्ट कोड के निष्पादन पर रोक लगाने के लिए, अनुमतिस्क्रिप्ट पैरामीटर को "कभी नहीं" के लिए सेट करें। इसके अलावा, नेविगेट करने के लिए कॉल को रोकने के लिए नेविगेट करने के लिए (), fscommand (), ExternalInterface.call (), आप "कोई नहीं" या "आंतरिक" के लिए allowNetworking पैरामीटर सेट कर सकते हैं। दुर्भाग्य से, यह फ़्लैश अनुप्रयोगों की कार्यक्षमता को कम करने की आवश्यकता के कारण है।
• काम करने के लिए विज्ञापन अनुप्रयोगों के लिए ज़रूरी नेविगेटट्रूएलआरएल () विधि के लिए, और खतरनाक बाहरीइंटरफेस.call () विफल होने के लिए, एक अलग डोमेन या उपडोमेन पर फ्लैश बैनर रखें, फिर "वही" और "सभी" के लिए allowNetworking पैरामीटर के लिए allowScriptAccess पैरामीटर सेट करें। ।
• यदि फ़्लैश एप्लिकेशन को काम करने के लिए अधिकतम अनुमतियों की आवश्यकता होती है, तो इसका स्रोत कोड प्राप्त करें, इसे सावधानीपूर्वक जांचें और इसे स्वयं संकलित करें। यदि सत्यापन के दौरान आप तरीके देखते हैं तो इसमें नेविगेट करें। वेबसाइट।
• HTML5 का उपयोग एनिमेटेड इंटरेक्टिव विज्ञापन इकाइयों के लिए एक वैकल्पिक तकनीक के रूप में किया जा सकता है।

आपके द्वारा उपयोग किए जा सकने वाले प्रतिबंधों के बारे में अधिक जानकारी के लिए, हम अनुशंसा करते हैं कि आप स्वयं को आधिकारिक Adobe सुरक्षा पृष्ठ के साथ-साथ " सीमा नेटवर्क कनेक्शन APIs " पृष्ठ से परिचित कराएं ।

यदि आपको संदेह है कि आपकी साइट संक्रमित है या आप इसे संक्रमित होने से रोकना नहीं चाहते हैं, तो आप साइट की सुरक्षा सुनिश्चित करने के लिए सिफारिशों का उपयोग कर सकते हैं। आप अपनी साइट को मैलवेयर से फैलने से कैसे बचा सकते हैं, इसके बारे में RIT 2012 में Yandex Safe Search टीम की रिपोर्ट के पाठ से जान सकते हैं।

इसके अलावा, हम नियमित रूप से यांडेक्स सेफ सर्च ब्लॉग पर शोध और विश्लेषण प्रकाशित करते हैं, देखते रहें।

Yandex सिक्योर सर्च टीम