Microsoft विंडोज के तहत मैलवेयर के अध्ययन में पहला अनुभव

परिचय

बहुत से शायद अपने USB फ्लैश ड्राइव के लिए डर की इस भावना को "विदेशी" कंप्यूटर में प्लग करके जानते हैं। इसके अलावा, यदि आप यह नहीं देख सकते हैं कि उपयोगकर्ता के अधिकारों के कारण इस कंप्यूटर के ऑपरेटिंग सिस्टम में क्या हो रहा है, और यह कंप्यूटर स्वयं "सार्वजनिक रूप से सुलभ" (एक शैक्षणिक संस्थान में एक दर्शक) है। और एक और अधिक भद्दी भावना जब भय उचित है: एक यूएसबी फ्लैश ड्राइव पर लिखने के अलावा, किसी तरह से वायरस उस पर डेटा को संशोधित करता है, इसके अलावा, कुटिल।
मैंने भी इसका सामना किया। और एक नकली फ्लैश ड्राइव पर वायरस का नमूना प्राप्त करने के बाद, मैंने यह पता लगाने का फैसला किया कि वह क्या कर रहा था और उसके काम का सार क्या था, और सबसे महत्वपूर्ण बात, इस संक्रमण को कंप्यूटर और "संक्रमित" फ्लैश ड्राइव से कैसे बाहर निकालना है।
लेख उन लोगों के लिए उपयोगी होगा जो सॉफ्टवेयर विश्लेषण के क्षेत्र में रुचि रखते हैं, चाहे योग्यता और कौशल की परवाह किए बिना (विशेषज्ञ एक टिप्पणी में अपने अनुभव के बारे में लिख सकते हैं)।

दृश्य क्रियाओं का विश्लेषण

USB फ्लैश ड्राइव के नमूने की प्रतिलिपि बनाने से पहले ही, मुझे पता था कि ऐसे USB फ्लैश ड्राइव के साथ क्या हो रहा था:

• एक निष्पादन योग्य फ़ाइल (.exe) RECYCLER फ़ोल्डर (वजन: 79160 बाइट्स, MD5: 4fd40d4acdd4c0bb657c7db329035c6a ) में डाली जाती है ;
• सभी फ़ोल्डर छिपे हुए हैं। फ़ोल्डर गुणों के माध्यम से पिछली विशेषताओं को वापस करना असंभव है;
• Autorun.inf फ़ाइल को RECYCLER की फ़ाइल में लिंक के साथ रूट पर कॉपी किया जाता है
• फ़ोल्डर आइकन और उनके नाम रूट से शॉर्टकट बनाए जाते हैं। शॉर्टकट एक ही निष्पादन योग्य फ़ाइल को इंगित करते हैं।

एक प्रोग्राम लिखना जो फ़ोल्डर्स को पुनर्स्थापित करेगा और मैलवेयर को हटा देगा, बिल्कुल भी मुश्किल नहीं है, जो काफी जल्दी किया गया था:

• निर्देशिका ट्रैवर्सल FindFirstFile / FindNextFile का उपयोग करके किया गया था;
• यदि वर्तमान फ़ाइल एक फ़ोल्डर थी, तो विशेषताएँ FILE_ATTRIBUTE_NORMAL पर रीसेट कर दी गईं;
• सभी EXE फ़ाइलों को RECYCLER फ़ोल्डर से हटा दिया गया था।

दुर्भाग्य से, संघर्ष का यह तरीका अप्रभावी और कष्टप्रद है, क्योंकि प्रत्येक जोड़ी के बाद फ्लैश ड्राइव को फिर से साफ करना आवश्यक था। इसलिए, मैंने यह देखने का फैसला किया कि वर्चुअल मशीन पर क्या हो रहा है और, तदनुसार, एक मारक लिखें।

एक वीएम फ़ाइल की जांच

VM के रूप में, वर्चुअल बॉक्स पर Windows XP SP3 का उपयोग किया गया था। वैसे, वीएम पर विश्लेषण किसी भी एंटीवीएम कार्यों की अनुपस्थिति को इंगित करता है। मैलवेयर विश्लेषण के लिए, मैंने इसके लिए काफी मानक सॉफ्टवेयर का उपयोग किया:

• PEid
• ओली डिबगर
• Wireshark
• संसाधन हैकर
• AVZ
• रूटकिट प्रकट करनेवाला
• प्रक्रिया की निगरानी
• प्रक्रिया खोजकर्ता
• Autoruns

इसलिए, सबसे पहले, मैंने यह देखने का फैसला किया कि फाइल किसके साथ पैक की गई थी। PEiD ने दिखाया:



यह निश्चित रूप से अनुभवहीन था कि फ़ाइल किसी भी चीज़ में पैक नहीं की गई थी, और संसाधन हैकर में फ़ाइल खोलने के बाद, अनुमान लगाया गया था:



एन्क्रिप्ट किए गए संसाधन (संभवतः अनपैक करने के लिए एक कुंजी, डेटा या बस कचरा)। किसी भी मामले में, यह अब एक निर्दोष फ़ाइल की तरह नहीं दिखता है। मैं असहमति में मजबूत नहीं हूं, इसलिए मुझे ऑलिडबग पर बहुत अधिक समय नहीं लगा: मुझे यकीन था कि कोई एंटी-डिबगिंग नहीं थी (सिस्टम पर स्थापना के चरण में कम से कम, कोई पठनीय लाइनें नहीं थीं, केवल "993" को छोड़कर जो मेरी आंख को पकड़ा था, और वह फ़ाइल अभी भी एन्क्रिप्ट की गई थी)

स्थापना पथ सबसे आम हैं: फ़ाइल को CSIDL_APPDATA में स्थिर नाम Kmlslc.exe के तहत कॉपी किया जाता है, स्टार्टअप कुंजी HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \ Run में "Kmlslc" है। उसके बाद, रनिंग फ़ाइल को हटा दिया जाता है (सबसे अधिक संभावना है कि यह सिस्टम में पहले से पाए गए प्राणी को हटा देता है, और कमांड लाइन तर्क के माध्यम से पथ पारित हो जाता है)।
नेटवर्क ट्रैफिक के अनुसार, हम कह सकते हैं कि यह एक बॉट है। मैलवेयर एक बाहरी आईपी पता प्राप्त करने के लिए wipmania.com से संपर्क करता है, जिसके बाद यह डिफ़ॉल्ट फ़ायरवॉल को दरकिनार करते हुए, डोमेन नाम का उपयोग करके कई साइटों तक पहुँचने की कोशिश करता है:



वैसे, जब होस्ट फ़ाइल में संबंधित डोमेन लिखते हैं, तो बॉट बंद करने का प्रयास नहीं करता है। इसके अलावा, फ़ंक्शंस HttpSendRequest, InternetWriteFile, URLDownloadToFile, ट्रैफ़िक का विश्लेषण करने और एंटी-वायरस अपडेट को ब्लॉक करने, साइटों पर जाने, उदाहरण के लिए, kaspersky.ru, virustotal.com, आदि को बाधित करने के लिए भेजा जाता है।

स्थापना के बाद, ऑटोरन कुंजी अनुपलब्ध है, ऑटोरन ने बस इसे नहीं देखा, और प्रक्रिया सूची में कोई Kmlslc.exe नहीं था। साथ ही, डिस्क पर फ़ाइल दिखाई नहीं दे रही थी। RootkitRevealer का उपयोग करके सिस्टम को स्कैन करने के बाद, यह पता चला कि रजिस्ट्री और निर्देशिकाओं तक पहुंच को बाधित किया गया था, सूचना के उत्पादन को संशोधित करता है। एक काफी सामान्य तकनीक। कार्यान्वयन के लिए निम्नलिखित कार्य बाधित होते हैं: CopyFile, CreateFile, MoveFile, LdrLoadDll, NtEnumerateValueKey, NtQueryDirectoryFile, NtResumeThread, RegCreateKeyEx, RegCreateKeyEx, GetAddrInfo।



Procmon में फ़िल्टर को तुच्छ रूप से कॉन्फ़िगर करने से, यह स्पष्ट हो गया कि मैलवेयर ने इंटरसेप्टर कोड को विश्वसनीय प्रक्रिया (explorer.exe) में पेश किया था। यह लॉग से देखा जा सकता है कि कोड समय-समय पर फ़ाइल के अस्तित्व को सत्यापित करने की कोशिश करता है।



"क्यों नहीं?" के सिद्धांत से प्रेरित होकर मैंने डिलीट के माध्यम से फाइल को मिटाने की कोशिश की। मेरे आश्चर्य के लिए, फ़ंक्शन सफल था, और एम्बेडेड कोड, फ़ाइल तक पहुंचने के बाद, SUCCESS के बजाय FILE_NOT_FOUND को फेंकना शुरू कर दिया। इसने मुझे इस विचार के लिए प्रेरित किया कि एम्बेडेड कोड में WinAPI अवरोधन के अलावा कुछ भी लागू नहीं किया गया था। दुर्भाग्य से, मुझे अभी भी पता नहीं है कि हुक को प्रोग्रामेटिक रूप से कैसे शूट किया जाए, लेकिन मुझे पता है कि AVZ इसे बहुत अच्छी तरह से करता है। पीसी को रिबूट करने के बाद, ओएस को इस मैलवेयर से मुक्त माना जा सकता है।

निष्कर्ष

उपरोक्त से क्या निष्कर्ष निकाला जा सकता है? एपीआई के अवरोधन के बावजूद, ओटस्टुक और अन्य तकनीकों से पहले डोमेन नामों की जांच करने के बावजूद, मैलवेयर में अभी भी कई कमियां हैं, जिसके खिलाफ व्यावहारिक रूप से फायदे समझ में नहीं आते हैं:

• एक सिस्टम पर स्थापित होने पर स्थैतिक नाम;
• विलोपन के विरुद्ध सुरक्षा का अभाव।

पेशेवरों और विपक्षों का विश्लेषण करते हुए, यह माना जा सकता है कि कम से कम दो विकास में शामिल थे: एक क्रिप्टेड (या तीसरे ने ऐसा किया) और WinAPI अवरोधन को लागू किया, दूसरे ने फ़ाइल को USB फ्लैश ड्राइव पर कॉपी करते हुए लिखा, सिस्टम में इसे स्थापित करना और व्यवस्थापक पैनल (या गेट) के साथ संचार करना।
दुर्भावनापूर्ण गतिविधि पर शोध करने के बाद, एक मारक लिखा गया था। स स स ।