कंफ़र - स्पैरो तोप से

कन्फर्म कृमि से संबंधित मैलवेयर का एक परिवार है। कन्फिकर वह नाम है जिसे अक्सर प्रेस में उपयोग किया जाता है और ट्रैफिककॉन्डर.बिज़ डोमेन के कुछ हिस्सों को फिर से व्यवस्थित करके बनाया जाता है, जिसे मैलवेयर के पहले संस्करण द्वारा एक्सेस किया गया था, एक अन्य संस्करण के अनुसार, यह नाम अंग्रेजी शब्द कॉन्फ़िगरेशन और जर्मन शब्द विकर (अंग्रेजी चुदाई का पर्यायवाची) से लिया गया है। विदेशी एंटीवायरस कंपनियों में, डाउनडुप नाम का उपयोग किया जाता है, साथ ही साथ कास्पर्सकी लैब के वर्गीकरण में किडो। पहले नमूने नवंबर 2008 में खोजे गए थे। जनवरी 2009 तक, दुनिया भर में लगभग 9 मिलियन कंप्यूटर प्रभावित हुए थे। इतनी बड़ी संख्या Microsoft Windows ऑपरेटिंग सिस्टम MS08-067 ऑपरेटिंग सिस्टम भेद्यता के अपने स्वचालित वितरण के लिए उपयोग करने के कारण है। यह ध्यान दिया जाना चाहिए कि वितरण के समय, Microsoft ने पहले से ही एक सुरक्षा अद्यतन जारी किया है जो इस भेद्यता को संबोधित करता है। हालांकि, तथ्य यह है कि सामान्य उपयोगकर्ता, एक नियम के रूप में, ऑपरेटिंग सिस्टम के निरंतर अद्यतन के तंत्र पर ध्यान नहीं देते हैं ("पायरेटेड" प्रतियों के उपयोग के कारण सहित) ने एक महत्वपूर्ण भूमिका निभाई। दुर्भाग्य से, एक बार फिर से, कंप्यूटर सुरक्षा मुद्दों की उपेक्षा का प्रदर्शन किया गया। अप्रैल 2009 में, बॉटनेट का आकार 3.5 मिलियन अनुमानित किया गया था।
ए (नवंबर 21, 2008), बी (दिसंबर 29, 2008), सी (20 फरवरी, 2009), डी (4 मार्च, 2009), ई (7 अप्रैल, 2009) द्वारा निरूपित किए गए कन्फिकर के पांच प्रमुख संशोधन हैं। कुछ एंटी-वायरस कंपनियों की शब्दावली क्रमशः ए, बी, बी ++, सी, डी, नामों का उपयोग करती है।

Conficker.A

मैलवेयर कोड को विंडोज डायनेमिक लाइब्रेरी (PE DLL फ़ाइल) के रूप में संकलित किया गया है और UPX का उपयोग करके पैक किया गया है। इसकी प्रतियों के लिए, यह कर्नेल 32.dll फ़ाइल से ली गई निर्माण और परिवर्तन तिथि निर्दिष्ट करता है, ताकि तिथि के अनुसार इसकी पहचान की संभावना को बाहर कर सके। ऑपरेटिंग सिस्टम के संस्करण के आधार पर, यह अगले सिस्टम के प्रारंभ में स्वचालित स्टार्टअप के विभिन्न तरीकों का उपयोग करता है। यदि Windows 2000 स्थापित है, तो कोड को services.exe प्रक्रिया में इंजेक्ट किया जाता है। अन्यथा, netsvcs नामक एक सेवा बनाई जाती है जो svchost.exe के माध्यम से चलती है।
इस संस्करण में केवल एक वितरण विधि थी - सर्वर सेवा (MS08-067) में भेद्यता का दोहन करके। ऐसा करने के लिए, Conficker एक यादृच्छिक TCP पोर्ट पर HTTP सर्वर को शुरू करता है, जिसे बाद में अन्य कंप्यूटरों पर डाउनलोड करने के लिए उपयोग किया जाता है। Conficker स्कैन करके नेटवर्क वाले वातावरण में कंप्यूटर के IP पतों की एक सूची प्राप्त करता है। तेजी से नेटवर्क प्रसार सुनिश्चित करने के लिए, कृमि सिस्टम में नेटवर्क कनेक्शन की संभावित संख्या को बढ़ाता है tcpip.sys सिस्टम ड्राइवर छवि की मेमोरी में लोड होने के साथ-साथ पैरामीटर को बदलते हुए।
[HKLM \ SYSTEM \ CurrentControlSet \ Services \ Tcpip \ Parameters] रजिस्ट्री शाखा में 'TcpNumConnections' = 'dword: 0x00FFFFFE'। अगला, यह दूरस्थ कंप्यूटरों पर हमला करता है। ऐसा करने के लिए, एक विशेष रूप से उत्पन्न RPC अनुरोध भेजा जाता है, जो wapcpy_s फ़ंक्शन को netapi32.dll लाइब्रेरी में कॉल करने पर बफर अतिप्रवाह का कारण बनता है। इसके परिणामस्वरूप, नियंत्रण बूटलोडर को स्थानांतरित कर दिया जाता है, जो संक्रमित कंप्यूटर से कन्फिकर को डाउनलोड करता है और इसे निष्पादन के लिए लॉन्च करता है। MS08-067 भेद्यता के पुन: उपयोग को रोकने के लिए (ताकि अन्य मैलवेयर कंप्यूटर को संक्रमित नहीं कर सके), Conficker netapi32.dll लाइब्रेरी के NetpwPathCanonicalize फ़ंक्शन को कॉल करने के लिए एक जाल सेट करता है, बफर ओवरफ्लो को रोकता है और इस प्रकार हॉटपॉचिंग तकनीक को लागू करता है (रिबूट किए बिना अपडेट स्थापित करता है, हालांकि) वास्तव में, कोई पैच स्थापित नहीं है)।
प्रबंधन के लिए कमांड सेंटर का नाम हार्ड-कोडेड नहीं है, 5 शीर्ष-स्तरीय डोमेन के उपसर्गों का उपयोग करके छद्म-यादृच्छिक एल्गोरिथ्म का उपयोग करके प्रतिदिन 250 डोमेन उत्पन्न किए जाते हैं। इस प्रकार, रचनाकारों ने एंटी-वायरस कंपनियों के कर्मचारियों द्वारा ब्लैक-लिस्ट पर कमांड सेंटर के पते दर्ज करने और नियंत्रण खोने से खुद को बचाने की कोशिश की। उनसे, कन्फ़िकर इंटरनेट से अन्य दुर्भावनापूर्ण कार्यक्रमों को डाउनलोड करने और लॉन्च करने के लिए आदेश प्राप्त करने की कोशिश करता है। इसके अलावा, वह trafficconverter.biz डोमेन की ओर मुड़ता है, उससे डाउनलोड करने और एक निश्चित नाम loadadv.exe के साथ एक फ़ाइल निष्पादित करने का प्रयास करता है।
डाउनलोड की गई फ़ाइलों के प्रतिस्थापन से बचाने के लिए, एन्क्रिप्शन और डिजिटल हस्ताक्षर का उपयोग करके क्रिप्टोग्राफ़िक एल्गोरिदम का उपयोग किया गया था। डाउनलोड की गई फ़ाइल के लिए 512-बिट SHA-1 हैश की गणना की गई थी, जिसे तब RC4 एल्गोरिथ्म का उपयोग करते हुए एन्क्रिप्शन कुंजी के रूप में उपयोग किया जाता था, इस हैश का उपयोग 1024-बिट कुंजी के साथ RSA को डिजिटल रूप से साइन करने के लिए भी किया जाता था। निम्नलिखित विकल्पों के विपरीत में आत्मरक्षा के कार्य शामिल नहीं थे।
यह सुझाव दिया गया है कि यूक्रेन में कॉन्फिकर का विकास कन्फिकर के रूप में किया गया था। इस मामले में यूक्रेनी कीबोर्ड लेआउट और आत्म-विनाश के लिए जाँच की गई। इसके अलावा, GeoIP डेटाबेस को maxmind.com से डाउनलोड किया जाता है और, स्कैन किए जाने पर, इसकी मदद से पहचाने गए यूक्रेनी पते संक्रमित नहीं होते हैं। भविष्य के संस्करणों में, यह कार्यक्षमता लागू नहीं की गई है।

Conficker.B

इस संस्करण में, "कमजोर" पासवर्ड के साथ नेटवर्क संसाधनों (निर्देशिका) का उपयोग करके "ऑटोटैट" का विस्तार करने के लिए दो और वितरण तंत्र जोड़े गए थे और ऑटोरुन.इनफ के माध्यम से लॉन्च के साथ यूएसबी-फ्लैश मीडिया को संक्रमित करने के लिए एक एल्गोरिथ्म। व्यवस्थापक खाते के अंतर्गत दूरस्थ कंप्यूटर से कनेक्ट करने का प्रयास करता है; इसके लिए, कोड में निर्दिष्ट सूची के अनुसार पासवर्ड क्रमिक रूप से गणना किए जाते हैं। सफल चयन पर, कृमि फ़ाइल को दूरस्थ कंप्यूटर पर कॉपी किया जाता है और टास्क शेड्यूलर कार्य को regsvr32 का उपयोग करके सेवा के रूप में चलाने के लिए बनाया जाता है। USB- फ्लैश मीडिया से ऑटोरन के लिए, एक obfuscated autorun.inf फ़ाइल बनाई जाती है, dll फ़ाइल को vmx एक्सटेंशन के साथ यादृच्छिक नाम के तहत RECYCLER छिपी निर्देशिका में रखा जाता है।
संशोधन से डाउनलोड की गई फ़ाइलों की क्रिप्टोग्राफिक सुरक्षा तंत्र में बदलाव आया है, एमडी 6 एल्गोरिदम (उस समय नवीनतम, 2008 में विकसित) हैश एल्गोरिथ्म के रूप में उपयोग किया गया था, आरएसए कुंजी की लंबाई 4096 बिट्स तक बढ़ गई थी। कोड स्पष्ट रूप से "बफर अतिप्रवाह" या क्रिप्टोग्राफिक एल्गोरिदम के कार्यान्वयन में कमजोरियों जैसे एक भेद्यता का उपयोग करने के लिए सभी संभावित अवसरों को खत्म करने की लेखकों की इच्छा को दर्शाता है।
इस संस्करण में, आत्मरक्षा कार्यों को पेश किया गया था। विशेष रूप से, निम्नलिखित सेवाओं को अक्षम कर दिया गया था: विंडोज स्वचालित अपडेट सेवा; पृष्ठभूमि बुद्धिमान स्थानांतरण सेवा;
Windows सुरक्षा केंद्र Servic; विंडोज डिफेंडर सेवा; विंडोज त्रुटि रिपोर्टिंग सेवा। इस प्रकार, ऑपरेटिंग सिस्टम अपडेट तंत्र अक्षम हो गया था, जिसके माध्यम से Microsoft से विशेष हटाने वाले टूल की स्थापना हो सकती है। Dnsrslvr.dll लाइब्रेरी के निम्नलिखित कार्यों को कॉल करने के लिए साक्षात्कार स्थापित किए गए थे: DNS_Query_A; DNS_Query_UTF8; DNS_Query_W; Query_Main; SendTo; NetpwPathCanonicalize; InternetGetConnectedState। उसी समय, DNS सेवा के माध्यम से अनुरोध किए गए संसाधनों के नाम डोमेन की एक विशिष्ट सूची तक पहुंच को प्रतिबंधित करने के लिए फ़िल्टर किए गए थे। इस प्रकार, मुख्य साइटों पर उपयोगकर्ता की पहुंच को अवरुद्ध कर दिया गया था, जहां आप एंटी-वायरस डेटाबेस अपडेट या विशेष मैलवेयर हटाने की उपयोगिता को डाउनलोड कर सकते हैं।

Conficker.C

मुख्य परिवर्तन केवल डोमेन पीढ़ी तंत्र की चिंता करता है, यही वजह है कि कुछ एंटीवायरस कंपनियां B ++ के इस संस्करण को कॉल करती हैं। एक छद्म यादृच्छिक एल्गोरिथ्म का उपयोग करते हुए कन्फिकर द्वारा उत्पन्न डोमेन नामों को आरक्षित करने के लिए कन्फ़िकर वर्किंग ग्रुप की पहल के जवाब में, डेवलपर्स ने उनकी संख्या 250 से बढ़ाकर 50,000 प्रति दिन कर दी, जिसने उन्हें दैनिक रूप से पंजीकृत करने के प्रयासों को शून्य कर दिया। पीढ़ी के लिए, पहले से ही 8 शीर्ष-स्तरीय डोमेन के उपसर्गों का उपयोग किया गया था (5 के बजाय), 50,000 में से, 500 को चुना गया था, इसका मतलब था कि सभी संक्रमित कंप्यूटरों का लगभग 1% दैनिक कनेक्शन और, इस प्रकार, नियंत्रण केंद्र पर लोड कम हो गया। उदाहरण के लिए, यदि आप 10 मिलियन का आंकड़ा लेते हैं, तो इसका मतलब है कि सर्वर वास्तव में 100,000 कंप्यूटरों से DDOS हमले के अधीन था।

Conficker.D

डोमेन उत्पन्न करने के लिए उपयोग किए जाने वाले उपसर्गों की संख्या 8 से बढ़कर 110 हो गई। एल्गोरिथम डेवलपर रोनाल्ड रिवेस्ट द्वारा बनाए गए MD6 प्रकार "बफर ओवरफ्लो" के कार्यान्वयन में एक त्रुटि और 19 फरवरी, 2009 को प्रकाशित किया गया था। आत्म-रक्षा प्रणाली में सुधार किया गया था - "सुरक्षित मोड" में बूट करने की क्षमता को बंद कर दिया गया था और उन कार्यक्रमों की प्रक्रियाओं को समाप्त करने का प्रयास किया गया था जिनके नाम में निर्दिष्ट लाइनें (एंटी-वायरस प्रोग्राम) हैं।
उनके स्वयं के वितरण के तंत्र को पूरी तरह से हटा दिया गया है। अद्यतन करने के लिए सहकर्मी से सहकर्मी तंत्र पेश किया गया है। कृमि की अन्य प्रतियों से जानकारी प्राप्त करने के लिए, दो "सर्वर" स्ट्रीम बनाए जाते हैं, एक टीसीपी पर चलता है, दूसरा यूडीपी पर। पी 2 पी कार्यान्वयन की एक दिलचस्प विशेषता साथियों की मूल सूची की अस्वीकृति है। यह सूची आमतौर पर या तो निष्पादन योग्य कोड के अंदर निर्दिष्ट होती है, या सार्वजनिक सर्वर पर रखी जाती है। IP पतों को स्कैन करके कन्फर्म अपने साथियों को ढूंढता है। पाया गया प्रत्येक आईपी पते के लिए, यह जांचा गया था कि क्या उस पर कन्फर्म काम कर रहा था। यदि ऐसा है, तो रिमोट कॉपी के साथ संचार करने के लिए एक "क्लाइंट" धागा बनाया गया था। स्कैन के दौरान, एंटी-वायरस कंपनियों के पते की काली सूची के लिए आईपी की जांच की गई, वे एक्सेस नहीं किए गए हैं। सर्वर स्ट्रीम कभी भी कनेक्टेड क्लाइंट के पियर सूची में पते नहीं जोड़ते हैं। पते केवल क्लाइंट थ्रेड्स द्वारा जोड़े जाते हैं यदि वर्म का वर्तमान संस्करण दूरस्थ संस्करण से मेल खाता है। विभिन्न संस्करणों के मामले में, नवीनतम को या तो क्लाइंट से सर्वर द्वारा, या क्लाइंट से सर्वर द्वारा डाउनलोड किया जाता है। पी 2 पी तंत्र दो प्रकार के वितरण प्रदान करता है, बाद में "वितरण" के लिए डाउनलोड की गई फ़ाइल को बचाने के मोड में, या एक स्ट्रीम के रूप में एड्रेस स्पेस में स्टार्टअप मोड में। यह आपको फ़ाइल के रूप में सहेजे बिना फ्लाई पर निष्पादन योग्य कोड को बदलने की अनुमति देता है। एक ही समय में, उत्पन्न डोमेन द्वारा डाउनलोड की गई फ़ाइलें लॉन्च की जाती हैं और चल रहे कन्फर्म की परवाह किए बिना काम करती हैं।

Conficker.E

एक बार फिर, कई नवाचार पेश किए गए। उदाहरण के लिए, संक्रमण और संचारण अपडेट (P2P तंत्र के माध्यम से) के लिए उपलब्ध आईपी को स्कैन करने की प्रक्रिया इंटरनेट पर चैनल की चौड़ाई का अनुमान लगाती है और, इस मूल्यांकन के अनुसार, इसके वितरण और स्कैनिंग गतिविधि को नियंत्रित करती है। ऐसा लैन प्रशासकों का ध्यान आकर्षित करने के लिए नहीं किया जाता है। एक और विशेषता इसके वितरण के लिए नेटवर्क के बुनियादी ढांचे में बदलाव है। संक्रमण एल्गोरिथ्म के लिए यह आवश्यक है कि संक्रमित होस्ट एक कनेक्शन आरंभ करता है (शोषण के बाद MS08-067 सफलतापूर्वक हो गया है) संक्रमित होस्ट के साथ कन्फ़िकर कोड डाउनलोड करने के लिए। मॉडेम और राउटर में स्थापित फायरवॉल आमतौर पर इस गतिविधि को रोकते हैं। इसके अलावा, संक्रमित कंप्यूटर NAT के पीछे सबसे अधिक संभावना है। इसलिए, Conficker स्थानीय नेटवर्क में गेटवे को पूर्व-पता करता है। ऐसा करने के लिए, यह अपना स्वयं का एसएसडीपी सर्वर चलाता है, जो पूरे नेटवर्क में संदेशों को प्रसारित करता है। एसएसडीपी का समर्थन करने वाला एक नेटवर्क डिवाइस एक प्रतिक्रिया भेजता है। इस तरह से प्रवेश द्वार की खोज करने के बाद, कृमि अपने लिए एक चैनल बनाने के लिए उपकरण को UPnP तंत्र के माध्यम से पुन: कॉन्फ़िगर करता है कि प्रवेश द्वार विपरीत दिशा में (बाहरी नेटवर्क से अंदर) से गुजरेगा और इस चैनल का उपयोग करके अन्य कंप्यूटरों को संक्रमित करेगा।
भेद्यता MS08-067 का शोषण करके संक्रमण प्रक्रिया वापस आ गई थी।
यदि वर्तमान तिथि 3 मई 2009 या उसके बाद की थी, तो Conficker.E ने स्वयं को हटा दिया, लेकिन कंप्यूटर पर अपना पिछला संस्करण छोड़ दिया।
अंत में, "लाभ विमुद्रीकरण" इस संस्करण के साथ शुरू हुआ, इसके लिए दो प्रकार के मैलवेयर डाउनलोड किए गए थे। पहला नकली स्पाइवेयर प्रोटेक्ट 2009 एंटीवायरस है, जिसे यूक्रेन में स्थित सर्वरों से डाउनलोड किया गया है। शुरू करने के बाद, वह समय-समय पर सिस्टम में पाए गए वायरस के बारे में संदेश प्रदर्शित करता है और उपचार की संभावना के साथ अपने भुगतान किए गए पूर्ण संस्करण को खरीदने की पेशकश करता है। दूसरा वाल्डैक ट्रोजन है, जिसे कैस्पर्सकी लैब के वर्गीकरण के अनुसार इक्षमा के रूप में भी जाना जाता है, जिसे जनवरी 2009 में खोजा गया था। Waledac की मुख्य कार्यक्षमता पहचान की चोरी और स्पैमिंग है। फरवरी 2010 में, वर्जीनिया फ़ेडरल कोर्ट ने माइक्रोसॉफ्ट को एक मुकदमा दायर किया और उसे वालिदैक वनस्पति प्रबंधन प्रणाली से जुड़े 277 डोमेन को निलंबित करने की अनुमति दी। ये सभी डोमेन .com ज़ोन में पंजीकृत थे, जो एक अमेरिकी कंपनी, वेरिसाइन द्वारा संचालित था।

अंतभाषण

कॉन्फिकर विश्लेषण अत्यधिक परस्पर विरोधी भावनाओं को उकसाता है। एक ओर - विचार का एक अत्यंत उच्च स्तर। दूसरी ओर, "पेलोड", जो अंत में व्यापक है, इस तथ्य के साथ बिल्कुल फिट नहीं है कि हमलावरों के पास लक्ष्य कंप्यूटर में एक बड़ी संख्या में मैलवेयर स्थापित करने के लिए बहुत अच्छे अवसर थे, जिसमें सिस्टम सिस्टम खाते चोरी करना भी शामिल था। वह है - गौरैया पर बंदूक से। ऐसा लगता है कि डेवलपर्स ने मुख्य रूप से अनुसंधान लक्ष्यों का पीछा किया। यह अभी भी स्पष्ट नहीं है कि यूक्रेन इस मैलवेयर का जन्मस्थान है या नहीं। कुछ शोधकर्ता बताते हैं कि MS08-067 भेद्यता के लिए एक काम करने वाला कारनामा पहली बार चीन में दिखाई दिया, और इसका कोड लगभग पूरी तरह से कन्फर्म में पुन: पेश किया गया है। वियतनामी कंप्यूटर सुरक्षा कंपनी BKIS का दावा है कि चीन में Conficker बनाया गया था। बीकेआईएस के विशेषज्ञों ने निष्कर्ष निकाला कि कन्फर्म कृमि चीन से अपने कोड का विश्लेषण करने के बाद आया है, जो कि 2001 की महामारी में अपराधी निमदा के साथ बहुत आम है। यह माना जाता है कि निमाड़ा चीन में विकसित हुआ था, क्योंकि इस देश के कोड पाए गए थे। आधिकारिक तौर पर, इन आंकड़ों की पुष्टि नहीं की गई है।

संदर्भ:

सिमेंटेक विश्लेषणात्मक रिपोर्ट "द डाउनडुप कोडेक्स" , संस्करण 2.0 (संलग्न, पीडीएफ);
संस्करण ए, बी, बी ++ के कामकाज का विश्लेषण एसआरआई इंटरनेशनल से कॉन्फिकर्स लॉजिक और रेंडेवस पॉइंट्स का विश्लेषण (संलग्न, htm);
SRI इंटरनेशनल कन्फ़र सी विश्लेषण (संस्करण, htm) से संस्करण सी (डी) का प्रदर्शन विश्लेषण;
एसआरआई इंटरनेशनल कन्फ्यूकर सी पी 2 पी रिवर्स इंजीनियरिंग रिपोर्ट (संलग्न, htm) से सहकर्मी से सहकर्मी तंत्र का वर्णन।