सलिता के बारे में आप क्या जानते हैं?

मालवेयर के सबसे प्रसिद्ध परिवारों में से एक है। इसके विकास में कई चरणों से गुजरा है।
इसका पहला उल्लेख जुलाई 2003 तक है। अपने शुरुआती संस्करण में, सॉलिटी ने अपने कोड को जोड़कर निष्पादन योग्य फ़ाइलों को संक्रमित किया, UPX का उपयोग करके पैक किया गया। एक कीलॉगर ने पेलोड के रूप में काम किया, इंटरसेप्टेड डेटा रूस में स्थित सर्वरों में से एक को एसएमटीपी के माध्यम से भेजा गया था। यह नाम शहर के अंग्रेजी नाम से लिया गया है - "सलावत सिटी" (सलावत, बश्कोरतोस्तान गणराज्य)। संभवतः, डेवलपर का उपनाम - सेक्टर - Dr.Web के वर्गीकरण में नाम दिया गया था। उस समय, साल्ट तकनीकी रूप से दिलचस्प नहीं था, लेखक ने बल्कि आदिम तंत्र का इस्तेमाल किया था - उस समय के अन्य मैलवेयर नमूनों की तुलना में फ़ाइल इंफ़ेक्टर अपेक्षाकृत सरल था, एसएमटीपी सर्वर पते को कोड के अंदर हार्ड-कोड किया गया था और इसे बदला नहीं जा सकता था, और न ही यह हो सकता है पेलोड बदल गया।
2004 से 2008 तक, लेखक ने सालिटी को बेहतर बनाने के लिए कड़ी मेहनत की। संक्रमण की विधि में काफी बदलाव आया है, और वायरस एंट्री पॉइंट (एंट्री-पॉइंट ऑब्स्क्यूरिंग तकनीक) को बदले बिना पॉलीमॉर्फिक हो गया है, जिससे पता लगाने और उपचार की प्रक्रिया जटिल हो गई है। दुर्भावनापूर्ण कार्यों को अलग-अलग मॉड्यूल में पृथक किया गया था, जो कोड में हार्डकोड किए गए कई URL से अतिरिक्त लोड किए जा सकते थे। इसमें सुरक्षा तंत्र का मुकाबला करने की प्रक्रिया भी शामिल थी: कुछ फायरवॉल, यूटिलिटीज और एंटीवायरस प्रोग्राम को ब्लॉक या डिसेबल करना। 2008 से (संभवतः 2007 के अंत में), लेखक ने वितरण योजनाओं को मौलिक रूप से बदल दिया है, बजाय पूर्वनिर्धारित पते के जो एंटीवायरस कंपनियों द्वारा आसानी से अवरुद्ध किए जा सकते हैं, मॉड्यूल को अपडेट करने के लिए एक पीयर-टू-पीयर तंत्र और बाद के लॉन्च के लिए थर्ड-पार्टी मैलवेयर डाउनलोड करना लागू किया गया था।


आर्किटेक्चर

निम्नलिखित लार के नवीनतम संस्करणों में से एक के संचालन का वर्णन करता है (2008 के बाद)। सभी घटक स्वतंत्र हैं और अलग-अलग थ्रेड में चलते हैं।

इंजेक्शन मॉड्यूल (किसी अन्य प्रक्रिया के पता स्थान में कार्यान्वयन)

सैलिटी सभी चल रही प्रक्रियाओं में अपनी प्रतिलिपि को एम्बेड करने की कोशिश करती है, अपवादों के साथ जो कि 'सिस्टम', 'स्थानीय सेवा' और 'नेटवर्क सेवा' की ओर से चलते हैं। विशेषाधिकार प्राप्त प्रक्रियाओं के लिए, डिबग विशेषाधिकार को उजागर करता है, और फिर से घुसपैठ करने की कोशिश करता है। कार्यान्वयन को बाहर करने के लिए, एप्लिकेशन नाम के साथ म्यूटेक्स का उपयोग करता है। यह एक कंप्यूटर संक्रमण के संकेतों में से एक है।

सुरक्षा मॉड्यूल

यह मॉड्यूल एंटीवायरस सॉफ्टवेयर से सालिटी की सुरक्षा करता है। OS को सुरक्षित बूट मोड में लोड होने से रोकने के लिए, वायरस रजिस्ट्री में कुंजियों और मानों को निम्न शाखाओं में हटा देता है: 'HKEY_CURRENT_USER \ System \ CurrentControlSet \ Control \ SafeBoot' और 'HKK_LOCAL_MACHINE \ System \ CurrentControlSet \ Control \ SafeBoot'।
कई एंटीवायरस प्रोग्राम की सेवाएं अवरुद्ध हैं। सालिटी के पहले के संस्करण और भी आक्रामक थे और सिस्टम से इन सेवाओं को हटा दिया गया था।
वायरस एक कर्नेल चालक का भी परिचय देता है। यह ड्राइवर% सिस्टम% \ ड्राइवर फ़ोल्डर में एक छद्म यादृच्छिक नाम के तहत जोड़ा गया है। "Amsint32" नाम से एक सेवा बनाई गई है। ड्राइवर तीन अलग-अलग कार्य करता है:

• प्रक्रियाओं का "किलर" (प्रोसेस किलर) - साल्टिंग लगातार चलने वाली प्रक्रियाओं को स्कैन करता है, और यदि प्रक्रिया का नाम सुरक्षा सॉफ्टवेयर की सूची में शामिल है, तो ऐसी प्रक्रिया बंद हो जाती है। सूची स्वयं कोड में हार्डकोड है। एंटी-वायरस आत्मरक्षा को बायपास करने के लिए, कर्नेल स्तर पर ड्राइवर द्वारा सभी प्रक्रियाओं को नष्ट कर दिया जाता है;
• पैकेट फ़िल्टर - ड्राइवर IPFilter ड्राइवर के लिए IOCTL_PF_SET_EXTENSION_POINTER नियंत्रण अनुरोध भेजकर 'IPFilter Callback दिनचर्या' फ़ंक्शन पंजीकृत करता है (यह फ़ंक्शन Windows XP (2003/2000 में काम किया गया था, लेकिन अब विस्टा और बाद के संस्करणों में उपयोग नहीं किया गया है)। इस सुविधा के लिए धन्यवाद, सॉलिटेयर आईपी पैकेट को छोड़ सकता है जो एंटीवायरस सॉफ़्टवेयर विक्रेता साइटों के पते पैटर्न के अनुरूप था। नतीजतन, उपयोगकर्ता पहुंच नहीं सकता, उदाहरण के लिए, Symantec.com;
• इनकमिंग और आउटगोइंग SMTP ट्रैफ़िक का अवरोधक (अवरोधक)। यह कार्यक्षमता उपयोगकर्ता मोड में काम कर रहे एक मॉड्यूल द्वारा कार्यान्वित की गई थी, और बॉटनेट ऑपरेटर से एक कमांड पर लॉन्च की गई थी। बाद के संस्करणों में, इस मॉड्यूल का उपयोग नहीं किया गया था, हालांकि इसका कोड संरक्षित था।

संक्रमण मॉड्यूल

संक्रमण मॉड्यूल वायरस के प्रजनन के लिए जिम्मेदार है, जैसा कि वस्तुएं हैं:

• रजिस्ट्री शाखा में सूचीबद्ध फाइलें 'HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ ShellNoRoam \ MUICache'। इस शाखा में उन अनुप्रयोगों के नाम हैं जो एक्सप्लोरर का उपयोग करता है जब टास्कबार में आइकन समूहित करते हैं। साइड इफेक्ट के रूप में - MUICache सिस्टम पर स्थापित लगभग सभी अनुप्रयोगों का भंडार है;
• 'HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \ Run' और 'HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows \ CurrentVersion \ Run' शाखाओं की रन कुंजियों में फ़ाइलें;
• B से Z तक की माउंटेड ड्राइव्स पर स्कैन (एन्युमरेट) एक्साई और स्क्रब फाइल;
• विंडोज विभाजन के अलावा अन्य डिस्क की रूट निर्देशिकाओं को कैलकुलेटर या माइनस्वीपर कार्यक्रमों की एक संक्रमित प्रतिलिपि बनाकर संक्रमित किया जाता है। फ़ाइल को एक मनमाना नाम और विस्तार exe, cmd या pif के साथ बनाया गया है। Autorun.inf फ़ाइल भी डिस्क को बढ़ते समय स्वचालित रूप से बनाई गई संक्रमित फ़ाइलों को लॉन्च करने के लिए बनाई या संशोधित की जाती है। इस तरह की फ़ाइल शुरू करते समय, संबंधित प्रोग्राम ("कैलकुलेटर" या "माइनस्वीपर") को शुरू करने के बजाय, एक्सप्लोरर विंडो खुलती है;
• निष्पादन योग्य फ़ाइलों के लिए नेटवर्क संसाधन स्कैन किए जाते हैं।

एंटीवायरस फ़ाइलों (सूची से) के लिए, संक्रमण के बजाय, बाइट्स के साथ प्रवेश बिंदु कोड को फिर से लिखने का प्रयास किया जाता है "“ । "(दोहराया निर्देश int 3 और ret)। यदि यह ऑपरेशन विफल हो जाता है, तो Sality फ़ाइल को हटाने का प्रयास करता है। संक्रमण मॉड्यूल निर्देशिकाओं को भी स्कैन करता है और एक्सटेंशन vdb या avc (एंटीवायरस कंपनियों Symantec और Kaspersky के हस्ताक्षर) के साथ फ़ाइलों को हटाता है।
संक्रमण मॉड्यूल की एक दिलचस्प विशेषता: संक्रमण प्रक्रिया अक्षम हो जाती है अगर सहकर्मी सूची खाली है। यह एक अजीब वितरण रणनीति को दर्शाता है - अगर पी 2 पी नेटवर्क से कोई संबंध नहीं है, तो फ़ाइलों को संक्रमित करने की आवश्यकता नहीं है और अतिरिक्त दुर्भावनापूर्ण मॉड्यूल को डाउनलोड करना संभव नहीं है।
संक्रमण के लिए, ईपीओ (प्रवेश-बिंदु अस्पष्ट) तकनीक का उपयोग किया जाता है:

• प्रवेश बिंदु नहीं बदलता है;
• वायरस कोड पर स्विच करने के लिए jmp कमांड इनपुट पते पर दर्ज किया गया है, कोड अंतिम अनुभाग के अंत में स्थित है, जो इसके लिए विशेष रूप से विस्तारित है। अनुभाग के झंडे के अलावा, लिखने और निष्पादित करने की अनुमति जोड़ी जाती है;
• डिक्रिप्शन के बाद, जेएमपी कमांड द्वारा हटाई गई फ़ाइल की सामग्री को पुनर्स्थापित किया जाता है, मुख्य वायरस कोड को एक अलग स्ट्रीम में लॉन्च किया जाता है, नियंत्रण को मूल प्रविष्टि बिंदु पर स्थानांतरित किया जाता है।

एक विशिष्ट म्यूटेक्स के लिए सिस्टम में अपनी उपस्थिति की जाँच करता है, विभिन्न विकल्पों के लिए अलग। डिस्क की रूट डायरेक्टरी से लॉन्च होने पर एक्सप्लोरर विंडो खुल जाती है।

मॉड्यूल डाउनलोड करें

डाउनलोड मॉड्यूल सहकर्मी से सहकर्मी मॉड्यूल द्वारा प्राप्त यूआरएल से अतिरिक्त दुर्भावनापूर्ण मॉड्यूल को डाउनलोड करने और लॉन्च करने के लिए जिम्मेदार है। डाउनलोड की गई फाइलें RC4 सिफर के साथ एन्कोडेड हैं, जिसकी कुंजी कोड में पंजीकृत है। यह सबसे अधिक संभावना है कि लवणता और इसके दुर्भावनापूर्ण मॉड्यूल एक ही लेखक द्वारा बनाए गए थे। हालांकि, दुर्भावनापूर्ण मॉड्यूल पारंपरिक तरीके से काम करते हैं और दुनिया भर में स्थित प्रबंधन सर्वरों से जुड़ते हैं।
लवणता द्वारा वितरित दुर्भावनापूर्ण मॉड्यूल की सूची:
स्पैम जनरेटर और स्पैम रिले; स्पैम सामग्री आमतौर पर कैसीनो विज्ञापन या फार्मास्यूटिकल्स से जुड़ी होती है;
HTTP प्रॉक्सी का उपयोग नेटवर्क गतिविधि को मुखौटा करने और गुमनामी हासिल करने के लिए किया जाता है;
सूचना संग्राहकों , पासवर्ड, खाते और व्यक्तिगत डेटा, वेब प्रपत्रों से डेटा (इंटरनेट एक्सप्लोरर में कार्यान्वयन) सहित;
वेबसाइट संक्रमण। यह दुर्भावनापूर्ण मॉड्यूल एफ़टीपी खातों को स्वीकार करता है, फिर एफ़टीपी डेटा से जुड़ता है और HTML फ़ाइलों को संक्रमित करता है। संक्रमण एक IFRAME को एम्बेड करके होता है जो एक तृतीय-पक्ष संसाधन को इंगित करता है या सर्वर साइड पर चलने वाली स्क्रिप्ट का उपयोग करता है। ऐसे संक्रमणों के उद्देश्य उपयोगकर्ता द्वारा कंप्यूटर से लेकर स्पैम मेलिंग तक के संक्रमण और संक्रमण तक हो सकते हैं;
वितरित हैकिंग प्रणाली , फरवरी 2011 में एक मॉड्यूल वितरित किया गया था जो C & C सर्वर कमांड के आधार पर कई मोड में काम कर सकता था:

• SIP और HTTP सर्वर डिस्कवरी: C & C मॉड्यूल को स्कैन करने के लिए IP पतों की एक सूची भेजता है। स्कैन परिणाम सी एंड सी सर्वर को सूचित किया जाता है;
• लक्ष्य सर्वर पर खातों का पंजीकरण (कार्यक्षमता पूरी तरह से लागू नहीं है);
• हैकिंग खाते: C & C मॉड्यूल को खातों की सूची और गणना के लिए पासवर्ड की एक सूची भेजता है। पाया गया मान्य लॉगिन-पासवर्ड जोड़ी वापस C & C सर्वर पर भेज दी जाती है;
• Asterisk FreePBX को हैक करना, पिछले चरण में पाई गई सर्वर सूचियों और पासवर्ड सूचियों या अन्य स्रोतों से प्राप्त का उपयोग Asterisk FreePBX सर्वरों के पासवर्ड का पता लगाने और चयन करने के लिए किया जाता है। इस तरह के हमले के उद्देश्य आमतौर पर वित्तीय होते हैं। आप भुगतान किए गए नंबर को पंजीकृत कर सकते हैं और प्रत्येक सिप किए गए SIP खातों से उस पर कॉल कर सकते हैं। हैकिंग FreePBX के और भी गंभीर परिणाम हो सकते हैं, क्योंकि एक हमलावर लाभ उपयोगकर्ताओं के प्रमाणीकरण और चार्जिंग पर नियंत्रण करता है, साथ ही साथ रूटिंग भी;

प्रायोगिक मॉड्यूल , आज केवल दो प्रयोगात्मक मॉड्यूल ज्ञात हैं, जो, जाहिरा तौर पर, प्रौद्योगिकी का परीक्षण करने के लिए लॉन्च किए गए थे। पहला मॉड्यूल स्वचालित रूप से फेसबुक एप्लिकेशन को पंजीकृत करने के लिए एक स्क्रिप्ट है। मॉड्यूल मानक COM इंटरफ़ेस के माध्यम से इंटरनेट एक्सप्लोरर में लागू एक डेटा कलेक्टर है, जो वेब रूपों से पंजीकरण डेटा एकत्र करता है, इसे C & C सर्वर को भेजता है और इसे स्थानीय रूप से एन्क्रिप्टेड रूप में बचाता है। प्रयोगात्मक मॉड्यूल क्रियाओं के निम्नलिखित अनुक्रम के साथ एक स्क्रिप्ट को निष्पादित करता है: एक दृश्यमान (!) विंडो मोड में इंटरनेट एक्सप्लोरर खोलें, facebook.com पर जाएं, इंटरसेप्टेड पंजीकरण डेटा का उपयोग करने में लॉग इन करें, VIOT स्लॉट्स एप्लिकेशन पेज (# 11908467418) पर जाएं, एप्लिकेशन तक पहुंच की अनुमति दें, बंद करें एक खिड़की। आवेदन 'बुनियादी जानकारी' के स्तर पर पहुँच का उपयोग करता है - नाम, लिंग, फोटो और मित्र सूची। फिलहाल, यह मॉड्यूल कोई दुर्भावनापूर्ण कार्य नहीं करता है (इसलिए इसे प्रायोगिक कहा जाता है), हालांकि, इस तरह की गतिविधि की बहुत संभावना हमलावरों को स्पैम (पोस्टिंग) वितरित करने या आभासी ऋण प्राप्त करने के लिए हैक किए गए फेसबुक खाते का उपयोग करने की अनुमति देता है।
सैलिटी द्वारा वितरित एक अन्य स्क्रिप्ट ने निम्नलिखित क्रियाएं कीं: इंटरनेट एक्सप्लोरर को अदृश्य मोड में लॉन्च करें, google.com पर जाएं; "ऑटो बीमा बोलियाँ" स्ट्रिंग की खोज करें; खिड़की बंद करो। स्क्रिप्ट प्रयोगात्मक उद्देश्यों को पूरा करती है और आपको Google रुझानों में कुछ विषयों को बढ़ावा देने की अनुमति देती है।

पीयर-टू-पीयर मॉड्यूल

पीयर-टू-पीयर मॉड्यूल दुर्भावनापूर्ण मॉड्यूल को URL लिंक वितरित करने के लिए जिम्मेदार है। P2P नेटवर्क में C & C सर्वर तय नहीं हैं। सैलिटी के मामले में, एक बॉटनेट नेटवर्क को ब्लॉक करने के प्रयास का मतलब सभी सुपरपर्स को ब्लॉक करना होगा, जो सैद्धांतिक रूप से संभव है, लेकिन इसे लागू करना मुश्किल है। नेटवर्क से प्रारंभिक कनेक्शन संक्रमित फाइलों में समाहित साथियों की बूटस्ट्रैप सूची और सार्वजनिक आईपी और कई मौजूदा साथियों के पोर्ट के माध्यम से है। वायरस के सभी रूपों में, सूची का आकार 1000 प्रविष्टियों तक सीमित है।
पहली बार लॉन्च किए जाने के समय, Windows रजिस्ट्री में प्रारंभिक सूची की एक स्थानीय प्रतिलिपि बनाई जाती है (एक छद्म यादृच्छिक नाम के तहत HKEY_CURRENT_USER शाखा में), और फिर इस स्थानीय सूची को नए सक्रिय जोड़कर और निष्क्रिय साथियों को हटाकर अद्यतन किया जाता है।
कम से कम चार प्रोटोकॉल संस्करण हैं:

• प्रोटोकॉल संस्करण V1 के कार्यान्वयन के किसी भी उदाहरण का पता नहीं चला;
• V2 को पहली बार 2008 की शुरुआत में खोजा गया था, लेकिन अब उपयोग में नहीं है;
• V3 प्रोटोकॉल का संस्करण और उस पर आधारित नेटवर्क अब तक सबसे आम और शाखित हैं। इस प्रोटोकॉल का पहला उल्लेख 2009 के बाद से मिला है;
• V4 प्रोटोकॉल पर आधारित एक नेटवर्क V3 नेटवर्क की तुलना में काफी छोटा है। इसे पहली बार 2010 के अंत में खोजा गया था।

प्रोटोकॉल संस्करण V2 और V3 के बीच अंतर न्यूनतम हैं। चूंकि प्रत्येक संक्रमित फ़ाइल में URL लिंक की सूची की जांच करने के लिए उपयोग की जाने वाली सार्वजनिक कुंजी होती है, इसलिए प्रोटोकॉल के प्रत्येक नए संस्करण में नई कुंजी के उपयोग की आवश्यकता होती है। यह माना जा सकता है कि संस्करण V2 से V3 तक संक्रमण URL की सूची पर हस्ताक्षर करने के लिए उपयोग की जाने वाली निजी कुंजी से समझौता करने के तथ्य से निर्धारित किया गया था।

3 जी संस्करण के प्रोटोकॉल में ऑपरेशन एल्गोरिथ्म में एक संभावित भेद्यता थी, जिसने इसे एक बोटनेट (एंटी-वायरस कंपनियों या अन्य घुसपैठियों) पर नियंत्रण रखने की अनुमति दी - URL की सूची को डाउनलोड करने और जांचने के बाद, पते पर या उनसे डाउनलोड की गई फ़ाइलों पर कोई अन्य जांच नहीं की जाती है। यही है, आप DNS रिकॉर्ड को बदल सकते हैं और / या मॉड्यूल फ़ाइलों को अपने स्वयं के साथ बदल सकते हैं, जिससे नियंत्रण का अवरोधन हो सकता है। बॉटनेट को नष्ट करने के लिए इस संभावना के बारे में जानकारी एक अज्ञात व्यक्ति द्वारा छद्म नाम कानून-पालन करने वाले नागरिक (कानून-पालन करने वाले नागरिक) के तहत प्रकाशित की गई थी। तीसरे संस्करण की इंगित कमजोरियों को खत्म करने के लिए, ऐसा लगता है कि लेखक ने 4 वें संस्करण को विकसित किया है, जिसमें सभी डाउनलोड की गई फाइलें हैं एक डिजिटल हस्ताक्षर होना चाहिए और लंबाई में 2048 बिट्स के आरएसए सार्वजनिक कुंजी का उपयोग शुरू करने से पहले सत्यापित किया जाता है।

हमारे दिन

वर्तमान में, दुनिया में सबसे आम मैलवेयर में से एक है। अक्टूबर 2012 में सैन डिएगो और कैलिफोर्निया विश्वविद्यालय (इटली) के कैलिफोर्निया विश्वविद्यालय के शोधकर्ताओं के एक समूह ने सालिटी गतिविधि के विश्लेषण के साथ एक रिपोर्ट (पीडीएफ, संलग्न) प्रकाशित की। निष्क्रिय यातायात निगरानी प्रणाली UCSD नेटवर्क टेलीस्कोप का उपयोग करके जानकारी एकत्र की गई थी। शोधकर्ताओं का कहना है कि फरवरी 2011 में 12 दिनों की अवधि में, SIP कनेक्शन आरंभ करने के लिए पैकेट 3 मिलियन IP पते से आए थे। रिपोर्ट के लेखकों के अनुसार, बोटनेट मालिकों ने एसआईपी सर्वर को मुफ्त टेलीफोनी, अनाम कॉल, धोखाधड़ी, आदि के लिए उपयोग करने के लिए नकली खाते बनाने के लिए मजबूर करने की कोशिश की।
दिलचस्प है, स्कैन को जितना संभव हो उतना मास्क करने के लिए कई तकनीकों का उपयोग किया गया था। उदाहरण के लिए, 1 मिलियन आईपी पतों से, कनेक्शन को इनिशियलाइज़ करने के लिए केवल एक पैकेट भेजा गया था, तब इन पतों का उपयोग नहीं किया गया था। स्कैन किए गए आईपी पते की रेंज हिल्बर्ट फ्रैक्टल वक्र के साथ-साथ स्कैनिंग के तथ्य का पता लगाने के लिए अलग-अलग है। शोधकर्ताओं का मानना ​​है कि IPv4 की पूरी रेंज, यानी पूरा इंटरनेट स्कैन किया गया था, लेकिन कोई खतरा का पता लगाने वाला सिस्टम इस ट्रैफिक का पता नहीं लगा सकता था, क्योंकि विभिन्न IP से अनुरोध आए थे। ये तथ्य लवण वनस्पति के दायरे को समझने और इसके रचनाकारों की बौद्धिक क्षमताओं का मूल्यांकन करने में मदद करते हैं।

यह पाठ सिमेंटेक की रिपोर्ट का एक अधूरा रूसी अनुवाद है "सैलिटी: एक पीयर-टू-पीयर वायरल नेटवर्क की कहानी" , 1 जुलाई 2011 (pdf, eng)।