डुकू - नेस्टिंग डॉल

परिचय

1 सितंबर, 2011 को, हंगरी से, ~ DN1.tmp नाम की एक फ़ाइल VirusTotal वेबसाइट पर भेजी गई थी। उस समय, फ़ाइल को केवल दो एंटी-वायरस इंजन - बिटडिफेंडर और AVIRA द्वारा दुर्भावनापूर्ण के रूप में पाया गया था। तो शुरू हुई ड्यूक की कहानी। आगे देखते हुए, मुझे यह कहना होगा कि इस फाइल के नाम पर मैलवेयर के ड्यूक परिवार का नाम रखा गया है। हालाँकि, यह फ़ाइल पूरी तरह से एक स्वतंत्र स्पायवेयर मॉड्यूल है जिसमें कीलॉगर के फंक्शन लगाए गए हैं, जो संभवत: एक दुर्भावनापूर्ण ड्रॉपर लोडर का उपयोग कर रहा है, और इसे केवल एक "पेलोड" माना जा सकता है, जो इसके संचालन के दौरान ड्यूक मालवेयर द्वारा लोड किया गया है, लेकिन ड्यूक का एक अभिन्न अंग (मॉड्यूल) नहीं है। । ड्यूक के घटकों में से एक को केवल 9 सितंबर को विरुस्तोटल सेवा में भेजा गया था। इसकी विशिष्ट विशेषता ड्राइवर है, डिजिटल रूप से सी-मीडिया द्वारा हस्ताक्षरित है। कुछ विशेषज्ञों ने तुरंत एक और प्रसिद्ध मैलवेयर मॉडल - स्टक्सनेट के साथ उपमाओं को आकर्षित करना शुरू किया, जिसमें हस्ताक्षर किए गए ड्राइवर भी शामिल थे। दुनिया भर की विभिन्न एंटीवायरस कंपनियों द्वारा पता लगाए गए ड्यूक संक्रमित कंप्यूटरों की कुल संख्या दसियों में है। कई कंपनियों का दावा है कि फिर से मुख्य लक्ष्य ईरान है, लेकिन संक्रमण के वितरण के भूगोल को देखते हुए, यह निश्चित रूप से नहीं कहा जा सकता है।

इस मामले में, किसी को केवल नई कंपनी के नए-नए शब्द एपीटी (उन्नत लगातार खतरे) के बारे में आत्मविश्वास से बोलना चाहिए।

सिस्टम कार्यान्वयन प्रक्रिया

हंगेरियन संगठन क्रायसे (हंगरी की प्रयोगशाला की क्रिप्टोग्राफी और बुडापेस्ट यूनिवर्सिटी ऑफ टेक्नोलॉजी एंड इकोनॉमिक्स के सिस्टम सिक्योरिटी) के विशेषज्ञों द्वारा की गई जांच से इंस्टॉलर (ड्रॉपर) की खोज हुई जिसके जरिए सिस्टम संक्रमित था। यह एक Microsoft Word फ़ाइल थी, जिसमें win32k.sys ड्राइवर भेद्यता (MS11-087, 13 नवंबर, 2011 को Microsoft द्वारा वर्णित) के एक शोषण के साथ थी, जो TTF फोंट के प्रतिपादन के लिए जिम्मेदार है। शोषण शेलकोड दस्तावेज़ में एम्बेडेड 'डेक्सटर रेगुलर' नामक एक फ़ॉन्ट का उपयोग करता है, शोटाइम इंक को फ़ॉन्ट के निर्माता के रूप में दर्शाया गया है। जैसा कि आप देख सकते हैं, ड्यूक के निर्माता हास्य की भावना के लिए विदेशी नहीं हैं: डेक्सटर एक सीरियल किलर है, इसी नाम की एक टेलीविज़न श्रृंखला का नायक, जिसे शोटाइम ने शूट किया है। डेक्सटर केवल (यदि संभव हो तो) अपराधियों को मारता है, यानी कानून को वैधता के नाम पर स्थानांतरित करता है। शायद, इस तरह से, ड्यूक के डेवलपर्स विडंबना है कि वे अच्छे उद्देश्यों के साथ अवैध गतिविधियों में लगे हुए हैं। ईमेल उद्देश्यपूर्ण तरीके से भेजे गए थे। भेजने के लिए, सबसे अधिक संभावना, समझौता किया गया (हैक किया गया) कंप्यूटरों को ट्रैकिंग को कठिन बनाने के लिए एक मध्यस्थ के रूप में उपयोग किया गया था।
इस प्रकार, Word दस्तावेज़ में निम्नलिखित घटक पाए गए:

• पाठ सामग्री
• निर्मित फ़ॉन्ट;
• शोषण खोल;
• चालक;
• इंस्टॉलर (DLL)।

एक सफल ऑपरेशन की स्थिति में, शोषण शेलकोड ने निम्नलिखित ऑपरेशन (कर्नेल मोड में) किए:

• पुन: जांच के लिए एक चेक बनाया गया था; इसके लिए, पते पर रजिस्ट्री में 'HK1_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ इंटरनेट सेटिंग्स \ Z \' 4 'में' CF1D 'कुंजी की उपस्थिति की जाँच की गई थी; यदि यह सही था, तो सिल्ककोड ने अपना निष्पादन पूरा कर लिया;
• दो फाइलों को डिक्रिप्ट किया गया था - ड्राइवर (एसआईएस) और इंस्टॉलर (डीएलएल);
• ड्राइवर को services.exe प्रक्रिया में इंजेक्ट किया गया और इंस्टॉलर को चलाया;
• अंत में, शेलकोड ने मेमोरी में शून्य के साथ खुद को मिटा दिया।

इस तथ्य के कारण कि win32k.sys को विशेषाधिकार प्राप्त उपयोगकर्ता 'सिस्टम' की ओर से चलाया जाता है, ड्यूक डेवलपर्स ने अनधिकृत लॉन्च और अधिकारों के उन्नयन (सीमित अधिकारों के साथ उपयोगकर्ता खाते के तहत लॉन्च) दोनों की समस्या को हल किया।
नियंत्रण प्राप्त करने के बाद, इंस्टॉलर इसमें मौजूद डेटा के तीन ब्लॉक को मेमोरी में डीक्रिप्ट कर देता है, जिसमें:

• हस्ताक्षरित ड्राइवर (sys);
• मुख्य मॉड्यूल (dll);
• इंस्टॉलर कॉन्फ़िगरेशन डेटा (pnf)।

इंस्टॉलर कॉन्फ़िगरेशन डेटा में, एक तिथि सीमा निर्धारित की गई थी (दो टाइमस्टैम्प के रूप में - प्रारंभ और अंत)। इंस्टॉलर ने जांच की कि क्या वर्तमान तिथि इसमें आती है, यदि नहीं, तो इसने अपना निष्पादन पूरा किया। साथ ही, इंस्टॉलर के कॉन्फ़िगरेशन डेटा ने उन नामों को इंगित किया जिनके तहत ड्राइवर और मुख्य मॉड्यूल सहेजे गए थे। इस मामले में, मुख्य मॉड्यूल एन्क्रिप्टेड रूप में डिस्क पर संग्रहीत किया गया था।



ड्यूक ऑटोरुन के लिए, ड्राइवर फ़ाइल का उपयोग करके एक सेवा बनाई गई थी, जो रजिस्ट्री में संग्रहीत कुंजी का उपयोग करके, मक्खी पर मुख्य मॉड्यूल को डिक्रिप्ट करती थी। मुख्य मॉड्यूल में कॉन्फ़िगरेशन डेटा का अपना ब्लॉक होता है। पहली शुरुआत में, इसे डिक्रिप्ट किया गया था, स्थापना तिथि इसमें दर्ज की गई थी, जिसके बाद इसे फिर से एन्क्रिप्ट किया गया था और मुख्य मॉड्यूल द्वारा सहेजा गया था। इस प्रकार, सफल स्थापना पर, प्रभावित सिस्टम में तीन फ़ाइलों को सहेजा गया था - ड्राइवर, मुख्य मॉड्यूल और इसकी कॉन्फ़िगरेशन डेटा फ़ाइल, जबकि अंतिम दो फाइलें डिस्क पर एन्क्रिप्टेड रूप में संग्रहीत की गई थीं। सभी डिक्रिप्शन प्रक्रियाओं को केवल मेमोरी में किया गया था। एंटीवायरस सॉफ़्टवेयर द्वारा पता लगाने की संभावना को कम करने के लिए ऐसी जटिल स्थापना प्रक्रिया का उपयोग किया गया था।

मुख्य मॉड्यूल

कैसपर्सकी लैब के अनुसार, मुख्य मॉड्यूल (संसाधन 302) शुद्ध सी में एमएसवीसी 2008 का उपयोग करते हुए लिखा गया है, लेकिन एक वस्तु-उन्मुख दृष्टिकोण का उपयोग करके। दुर्भावनापूर्ण कोड विकसित करते समय यह दृष्टिकोण अप्रचलित है। आमतौर पर, यह कोड आकार को कम करने और C ++ में निहित निहित कॉल से छुटकारा पाने के लिए C में लिखा जाता है। यहाँ एक निश्चित सहजीवन है। साथ ही, घटना-संचालित वास्तुकला का उपयोग किया गया था। कैस्परस्काई लैब के कर्मचारियों को इस सिद्धांत पर झुकाव है कि मुख्य मॉड्यूल को प्रीप्रोसेसर ऐड-इन का उपयोग करके लिखा गया था, जो आपको ऑब्जेक्ट शैली में सी कोड लिखने की अनुमति देता है।
ऑपरेटरों से आदेश प्राप्त करने की प्रक्रिया के लिए मुख्य मॉड्यूल जिम्मेदार है। Duqu इंटरेक्ट करने के कई तरीके प्रदान करता है: HTTP और HTTPS प्रोटोकॉल का उपयोग करने के साथ-साथ नामित पाइप का उपयोग करना। HTTP (एस) के लिए, कमांड सेंटर के डोमेन नाम इंगित किए जाते हैं, जबकि प्रॉक्सी सर्वर के माध्यम से काम करना संभव था - उन्हें एक उपयोगकर्ता नाम और पासवर्ड दिया गया था। चैनल के लिए, आईपी एड्रेस और उसका नाम सेट है। निर्दिष्ट डेटा मुख्य मॉड्यूल के कॉन्फ़िगरेशन डेटा ब्लॉक (एन्क्रिप्टेड रूप में) में संग्रहीत है।
नामित पाइप का उपयोग करने के लिए, आरपीसी सर्वर का हमारा अपना कार्यान्वयन शुरू किया गया था। उसने निम्नलिखित सात कार्यों का समर्थन किया:

• स्थापित संस्करण लौटाएं;
• निर्दिष्ट प्रक्रिया में डीएल इंजेक्ट करें और निर्दिष्ट फ़ंक्शन को कॉल करें;
• डाउनलोड dll;
• CreateProcess () कॉल करके प्रक्रिया शुरू करें;
• दी गई फ़ाइल की सामग्री को पढ़ें;
• किसी दिए गए फ़ाइल में डेटा लिखें;
• निर्दिष्ट फ़ाइल हटाएं।

ड्यूक-संक्रमित कंप्यूटरों के बीच अद्यतन मॉड्यूल और कॉन्फ़िगरेशन डेटा वितरित करने के लिए स्थानीय नेटवर्क के अंदर नामित पाइप का उपयोग किया जा सकता है। इसके अलावा, ड्यूक अन्य संक्रमित कंप्यूटरों के लिए एक प्रॉक्सी सर्वर के रूप में कार्य कर सकता था (जिसकी गेटवे पर फ़ायरवॉल सेटिंग्स के कारण इंटरनेट तक पहुंच नहीं थी)। ड्यूक के कुछ संस्करणों में, आरपीसी कार्यक्षमता गायब थी।

ज्ञात पेलोड

सिमेंटेक ने ड्यूक कंट्रोल सेंटर से एक कमांड से डाउनलोड किए गए कम से कम चार प्रकार के "पेलोड" की खोज की।
इसके अलावा, उनमें से केवल एक निवासी था और एक निष्पादन योग्य फ़ाइल (exe) के रूप में संकलित किया गया था, जिसे डिस्क में सहेजा गया था। शेष तीन को एक डीएल लाइब्रेरी के रूप में निष्पादित किया गया। उन्हें डिस्क पर सहेजे बिना गतिशील रूप से लोड किया गया था और मेमोरी में निष्पादित किया गया था।

निवासी "पेलोड" एक कीलॉगर के कार्यों के साथ एक जासूस मॉड्यूल ( इन्फॉस्टीलर ) था। यह VirusTotal को भेजने से था कि Duqu अनुसंधान शुरू हुआ। मुख्य जासूस कार्यक्षमता संसाधन में थी, जिसमें पहले 8 किलोबाइट थे जिनमें फोटो आकाशगंगा NGC 6745 (मास्किंग के लिए) का हिस्सा था। यहां यह याद किया जाना चाहिए कि अप्रैल 2012 में, कुछ मीडिया (http://www.mehrnews.com/en/newsdetail.aspx?NewsID=1297506) में जानकारी प्रकाशित की गई थी कि ईरान कुछ प्रकार के दुर्भावनापूर्ण सितारों के सॉफ्टवेयर के संपर्क में था, जबकि घटना के विवरण का खुलासा नहीं किया गया था। शायद, यह वास्तव में "पेलोड" Duqu का एक ऐसा मॉडल था जिसे तब ईरान में खोजा गया था, इसलिए इसका नाम "सितारे" (सितारे) था।
जासूसी मॉड्यूल निम्नलिखित जानकारी एकत्र:

• चालू प्रक्रियाओं की सूची, वर्तमान उपयोगकर्ता और डोमेन के बारे में जानकारी;
• नेटवर्क ड्राइव सहित तार्किक ड्राइव की सूची;
• स्क्रीनशॉट;
• नेटवर्क इंटरफ़ेस पते, रूटिंग टेबल;
• कीबोर्ड कीस्ट्रोक लॉग फ़ाइल;
• ओपन एप्लीकेशन विंडो के नाम
• उपलब्ध नेटवर्क संसाधनों की सूची (संसाधनों को साझा करना);
• हटाने योग्य लोगों सहित सभी ड्राइव पर फ़ाइलों की पूरी सूची;
• एक "नेटवर्क वातावरण" में कंप्यूटर की सूची।

एक अन्य जासूसी मॉड्यूल ( इन्फॉस्टीलर ) पहले से वर्णित का एक रूपांतर था, लेकिन एक डीएल लाइब्रेरी के रूप में संकलित किया गया था, एक keylogger के कार्यों, फाइलों की एक सूची संकलित करना और एक डोमेन से संबंधित कंप्यूटरों को सूचीबद्ध करने से इसे हटा दिया गया था।
निम्नलिखित मॉड्यूल ( टोही ) ने सिस्टम जानकारी एकत्र की:

• क्या कंप्यूटर एक डोमेन का हिस्सा है;
• विंडोज सिस्टम निर्देशिका के लिए पथ;
• ऑपरेटिंग सिस्टम संस्करण;
• वर्तमान उपयोगकर्ता का नाम;
• नेटवर्क एडेप्टर की सूची;
• प्रणाली और स्थानीय समय, साथ ही समय क्षेत्र।

अंतिम मॉड्यूल ( जीवन विस्तारक ) ने कार्य पूरा होने तक शेष दिनों की संख्या के मूल्य में वृद्धि (मुख्य मॉड्यूल के कॉन्फ़िगरेशन डेटा फ़ाइल में संग्रहीत) को लागू किया। डिफ़ॉल्ट रूप से, यह मान ड्यूक संशोधन के आधार पर 30 या 36 दिनों के लिए सेट किया गया था, और हर दिन एक कम हो गया।

टीम केंद्र

20 अक्टूबर, 2011 को (खोज के बारे में जानकारी के प्रसार के तीन दिन बाद), ड्यूक ऑपरेटरों ने कमांड सेंटरों के कामकाज के निशान को नष्ट करने की प्रक्रिया को अंजाम दिया। कमांड केंद्रों को दुनिया भर में हैक किए गए सर्वरों पर होस्ट किया गया था - वियतनाम, भारत, जर्मनी, सिंगापुर, स्विट्जरलैंड, ग्रेट ब्रिटेन, हॉलैंड, दक्षिण कोरिया में। यह दिलचस्प है कि सभी पहचाने गए सर्वर CentOS संस्करण 5.2, 5.4 या 5.5 चला रहे थे। OS 32-बिट और 64-बिट दोनों थे। इस तथ्य के बावजूद कि कमांड सेंटरों के काम से संबंधित सभी फाइलें हटा दी गई थीं, कैसपर्सकी लैब विशेषज्ञ सुस्त फाइलों से लॉग फाइलों की जानकारी का हिस्सा पुनर्प्राप्त करने में कामयाब रहे। सबसे दिलचस्प तथ्य यह है कि सर्वर पर हमलावर हमेशा ओपनएसएसएच 4.3 पैकेज को प्रतिस्थापित करते हैं, डिफ़ॉल्ट रूप से इंस्टॉल किया जाता है, संस्करण 5.8 के साथ। यह हैकिंग सर्वर के लिए ओपनएसएसएच 4.3 में अज्ञात भेद्यता का संकेत दे सकता है। सभी सिस्टम कमांड सेंटर के रूप में उपयोग नहीं किए गए थे। 80 और 443 पोर्ट के लिए ट्रैफ़िक पुनर्निर्देशित करने की कोशिश करते समय, कुछ sshd लॉग में त्रुटियों को देखते हुए, टर्मिनल कमांड सेंटर से कनेक्ट करने के लिए प्रॉक्सी सर्वर के रूप में उपयोग किया जाता था।

तिथियां और मॉड्यूल

अप्रैल 2011 में भेजे गए वर्ड डॉक्यूमेंट, जिसकी कैस्पर्सकी लैब द्वारा जांच की गई थी, में 31 अगस्त, 2007 के संकलन दिनांक के साथ इंस्टॉलर डाउनलोड ड्राइवर था। इसी तरह के ड्राइवर (आकार - 20608 बाइट्स, MD5 - EEDCA45BD613E0D9A9E5C69122007F17) दस्तावेज़ में जो क्रायसिस प्रयोगशाला में आए थे, उनकी संकलन तिथि 21 फरवरी, 2008 थी। इसके अलावा, कैसपर्सकी लैब विशेषज्ञों ने 20 जनवरी, 2008 की एक तारीख के साथ एक ऑटोरन ड्राइवर rndismpc.sys (आकार - 19968 बाइट्स, MD5 - 9AEC6E10C5EE9C05BED93221544C783E) पाया। 2009 के निशान के साथ कोई घटक नहीं पाए गए। ड्यूक के व्यक्तिगत भागों के संकलन समय टिकटों के आधार पर, इसका विकास 2007 की शुरुआत में वापस हो सकता है। इसका प्रारंभिक प्रकटन प्रपत्र ~ की अस्थायी फाइलों की खोज से जुड़ा है ~ DO (शायद एक स्पाइवेयर मॉड्यूल द्वारा निर्मित), जिसके निर्माण की तिथि 28 नवंबर, 2008 है ( लेख "ड्युक् & स्टक्सनेट: दिलचस्प घटनाओं की एक समयरेखा")। सबसे हाल ही में ड्यूक से संबंधित तारीख 23 फरवरी, 2012 है, जो मार्च 2012 में सिमेंटेक द्वारा खोजे गए इंस्टॉलर डाउनलोड ड्राइवर में शामिल थी।

उपयोग की गई जानकारी के स्रोत:

कैस्परस्की लैब से ड्यूक के बारे में लेखों की एक श्रृंखला ;
सिमेंटेक एनालिटिक रिपोर्ट "डब्ल्यू 32 ड्यूक् द प्रेड्यूसर टू द अगली स्टक्सनेट" , संस्करण 1.4, नवंबर 2011 (पीडीएफ)।