ज़ीउस का विकास। भाग I

पहचान

ज़ीउस बॉट शायद दुर्भावनापूर्ण सॉफ़्टवेयर के सबसे प्रसिद्ध प्रतिनिधियों में से एक है। 2007 से (या 2006 तक) ज़ीउस का इतिहास है। कई लोग गलती से मानते हैं कि ज़ीउस सिर्फ एक ट्रोजन है, लेकिन ऐसा नहीं है। वास्तव में, ज़ीउस तथाकथित क्रिमवेयर का एक उदाहरण है - गैरकानूनी कृत्यों को करने के लिए डिज़ाइन किया गया सॉफ़्टवेयर। इस मामले में, क्रिमवेयर ज़ीउस का मुख्य उद्देश्य वित्तीय लेनदेन का संचालन करने के लिए इस्तेमाल किए गए क्रेडेंशियल्स को चोरी करना है। विश्लेषकों के अनुसार, वह दुनिया में बैंकिंग धोखाधड़ी के 90% मामलों के लिए जिम्मेदार है।

एक और गलत धारणा है कि एक बड़ा ज़ीउस बॉटनेट है। वास्तव में, ज़ीउस एक बहुत बड़ी संख्या का आधार है - शायद कई सौ - विभिन्न बॉटनेट्स का, और उन सभी को साइबर अपराधियों के विभिन्न समूहों द्वारा नियंत्रित किया जाता है। ज़्यूस निर्माता इसे केवल इच्छुक पार्टियों को बेचते हैं, और वे पहले से ही अपने बॉटनेट बनाने के लिए इसका उपयोग करते हैं। इस प्रकार, ज़ीउस बोटनेट के बारे में नहीं बोलना सही है, लेकिन ज़ीउस के साथ बनाए गए बोटनेट के बारे में। फरवरी 2009 में, स्विस कंप्यूटर सुरक्षा विशेषज्ञ, रोमन हूस ने ज़ीउस टीम सर्वर के बारे में जानकारी ट्रैक करने के लिए ज़्यूसट्रैकर वेबसाइट बनाई।

ज़ीउस, संस्करण 1

ZeuS डेवलपर को उपनाम स्लाविक और मॉन्स्ट्र के तहत जाना जाता है, यह वह था जो 2010 तक अकेला था और अपने उत्पाद का समर्थन करता था।

संरचनात्मक रूप से, ज़ीउस में कई भाग होते हैं - बॉट का निर्माता और प्रशासनिक पैनल।
मुख्य ज़ीस बॉट मॉड्यूल और बिल्डर सी में दृश्य स्टूडियो और आंशिक रूप से सी ++ में लिखा गया है। ज़ीस बॉट का अंतिम निष्पादन योग्य कोड बिल्डर द्वारा बनाया गया था और इसमें मुख्य मॉड्यूल और कॉन्फ़िगरेशन फ़ाइल शामिल थी। कॉन्फ़िगरेशन फ़ाइल में नियंत्रण केंद्र का पता, स्क्रिप्ट के लिए पथ और काम के लिए आवश्यक अन्य डेटा शामिल हैं। बिल्डर के पास खरीदार के कंप्यूटर के लिए हार्डवेयर बाइंडिंग है, अर्थात यह केवल एक निश्चित कॉन्फ़िगरेशन होने पर लॉन्च किया जा सकता है।

शोधकर्ताओं ने ध्यान दिया कि ज़ीउस परिवार सिस्टम पर अपने विशेषाधिकारों को बढ़ाने के लिए किसी रूटकिट या शोषण तकनीक का उपयोग नहीं करता है। मुख्य जोर ऑपरेशन के स्थायित्व पर रखा गया था, जिसमें सीमित उपयोगकर्ता अधिकारों के साथ काम करना भी शामिल था।
संस्करण 1.3.4.x के उदाहरण पर पहली पीढ़ी के ज़ीउस की विशेषताएं, मार्च 2010 ( स्रोत ):

• ब्राउज़र में दर्ज क्रेडेंशियल्स की चोरी;
• विंडोज संरक्षित भंडारण में संग्रहीत पहचान की चोरी;
• ग्राहक प्रमाणपत्र की चोरी X.509;
• एफ़टीपी और पीओपी क्रेडेंशियल्स चोरी
• HTTP और फ्लैश कुकीज़ की चोरी और हटाने;
• बाद में पहचान की चोरी (वेब ​​इंजेक्शन) के लिए अनुरोध किए गए HTML पृष्ठों का संशोधन;
• अन्य साइटों के लिए उपयोगकर्ता अनुरोधों को पुनर्निर्देशित करना;
• स्क्रीनशॉट बनाएँ
• दूरस्थ सर्वर पर फ़ाइलें खोजें और अपलोड करें;
• होस्ट फ़ाइल को संशोधित करना;
• दूरस्थ सर्वर से फ़ाइल का डाउनलोड और बाद में लॉन्च;
• ऑपरेटिंग सिस्टम को लोड करने में असमर्थता के लिए महत्वपूर्ण रजिस्ट्री शाखाओं को हटाना।

संस्करण 1.4 के साथ शुरू, फ़ायरफ़ॉक्स में वेब इंजेक्शन को लागू करने के लिए कार्यक्षमता दिखाई दी है। वेब इंजेक्शन - HTML और जावास्क्रिप्ट कोड का एक सेट जो वास्तविक बैंकिंग का अनुकरण करने वाले दूरदराज के बैंकिंग सिस्टम के क्रेडेंशियल के लिए इनपुट रूपों का प्रदर्शन प्रदान करता है। जब आप किसी ब्राउज़र के माध्यम से किसी भी आरबी सिस्टम की साइट पर जाने की कोशिश करते हैं, तो ट्रोजन अनुरोध को स्वीकार करता है और एक नकली फॉर्म प्रदर्शित करता है। इस तरह से चोरी किए गए क्रेडेंशियल्स को हमलावर कमांड सेंटर में भेजा जाता है। एंटीवायरस सॉफ़्टवेयर का पता लगाने के लिए और अधिक कठिन बनाने के लिए, ज़ीउस ने पॉलीमॉर्फिक एन्क्रिप्शन का उपयोग करना शुरू किया और इसकी फ़ाइल को आकार देने के लिए एक तंत्र बनाया। उसी समय, प्रत्येक संक्रमित सिस्टम पर ज़ीउस फ़ाइल ने नए मापदंडों के साथ खुद को नए सिरे से एन्क्रिप्ट किया, ताकि विभिन्न कंप्यूटरों पर एक ही बिल्ड पूरी तरह से अलग हो।

संस्करण ज़ीउस के घटकों के लिए मूल्य निर्धारण 1.3.4.x:

• बिल्डर और व्यवस्थापक - $ 3000 से $ 4000 तक;
• बैक कनेक्ट मॉड्यूल (कोई भी पोर्ट, उदाहरण के लिए, आपको RDP के माध्यम से कनेक्ट करने की अनुमति देता है) - $ 1,500;
• फ़ायरफ़ॉक्स क्रेडेंशियल चोरी मॉड्यूल (फॉर्म धरनेवाला) - $ 2000;
• अधिसूचना और जेबर के माध्यम से चोरी की जानकारी भेजने के लिए मॉड्यूल - $ 500;
• निजी (कस्टम-निर्मित) वीएनसी (रिमोट कंट्रोल, आरडीपी एनालॉग) मॉड्यूल - $ 10,000;
• विंडोज विस्टा / सात समर्थन - $ 2000।

ज़ीउस बॉट्स विभिन्न तरीकों से वितरित किए गए थे। उदाहरण के लिए, 2009 की गिरावट में, यह अमेरिकी कर सेवा की ओर से भेजे गए स्पैम संदेशों में वितरित किया गया था। एक अन्य मामले में, पत्र ने कहा कि स्वाइन फ्लू H1N1 के खिलाफ सार्वभौमिक टीकाकरण किया गया था। पत्रों में लिंक साइबर अपराधियों द्वारा बनाई गई नकली साइटों की ओर ले गए। साइटों को एक exe प्रारूप निष्पादन योग्य फ़ाइल डाउनलोड करने और चलाने की पेशकश की गई, जिसमें निश्चित रूप से कुछ निर्देश शामिल थे। दरअसल फाइल ज़ीस बॉट थी। स्पैमर्स ने स्पैम भेजने के लिए कटवेल बॉटनेट (जिसे पुड्डो और टिकाला के नाम से भी जाना जाता है) की "शक्ति" का इस्तेमाल किया। बाद में, टैक्टिक को बदल दिया गया और इफ्रेम या jscript युक्त साइटों के लिंक कुछ शोषण पैक के लिए भेजे जाने लगे, जो पत्रों में भेजे जाने लगे। इससे बिना किसी उपयोगकर्ता क्रियाओं को संक्रमित करना संभव हो गया - यह लिंक का पालन करने के लिए पर्याप्त था, और ज़ीउस स्वचालित रूप से स्थापित किया गया था, निश्चित रूप से, यदि ब्राउज़र कमजोरियों के संपर्क में था (एक उपयुक्त सुरक्षा अद्यतन नहीं था)। पत्र लिखने की प्रक्रिया में, सामाजिक इंजीनियरिंग के तरीकों का व्यापक रूप से उपयोग किया गया था।

कुछ ज़ीउस व्यवस्थापक पैनल में "मक्खी पर" एफ़टीपी खातों की जाँच करने का कार्य था - जैसे ही चोरी किए गए क्रेडेंशियल्स का एक नया भाग भेजा गया, एफ़टीपी खातों की उपस्थिति के लिए एक चेक बनाया गया और ऐसे खातों की तुरंत जाँच की गई। अगर चेक के परिणामस्वरूप यह पता चला कि एक्सेस है, तो एक्सटेंशन .htm, .html और .php (चूंकि FTP सेवा को अक्सर किसी साइट पर सामग्री अपलोड करने के लिए उपयोग किया जाता है) और ifame या jscript इन फ़ाइलों में डाला गया था। एक शोषण पैक के लिए अग्रणी। इस प्रकार, साइटें स्वचालित रूप से संक्रमित हो गईं।

अप्रैल 2010 में, ज़ीउस ने निष्पादन योग्य फ़ाइलों ( स्रोत ) में अपने ड्रॉपर को पेश करने के लिए अतिरिक्त कार्यक्षमता प्राप्त की, एम्बेडेड कोड के 512 बाइट्स ने निम्नलिखित क्रियाएं कीं:

• एक दूरस्थ फ़ाइल डाउनलोड करना जिसका URL आंतरिक रूप से सेट किया गया था;
• निष्पादन के लिए डाउनलोड की गई फ़ाइल लॉन्च करना;
• संक्रमित कार्यक्रम का मूल कोड चल रहा है।

यह कार्यक्षमता कुछ हद तक एक वायरल की याद दिलाती है। हालाँकि, यदि एंटीवायरस ने संक्रमित फाइल को डिस्चार्ज कर दिया है, तो वायरस अब शुरू नहीं हो पाएगा। इस मामले में, एक मौका था कि एंटीवायरस मुख्य ज़ीउस मॉड्यूल को हटा देगा और ड्रॉपर को नहीं छूएगा, जो आपको कंप्यूटर को फिर से संक्रमित करने की अनुमति देता है, संभवतः ज़ीउस के नए संस्करण के साथ।

प्रतियोगी

दिसंबर 2009 के आसपास, ज़ीउस प्रतिद्वंद्वी SpyEye "ब्लैक मार्केट" पर दिखाई दिया, कार्यक्षमता और रचना (बिल्डर और व्यवस्थापक पैनल), जो ज़ीउस के समान थे, लेकिन कीमत कम थी, बुनियादी मॉड्यूल के लिए यह लगभग $ 500 था। इसके बाद, प्रतियोगिता फरवरी 2010 के स्पाई के संस्करण 1.0.7 में दिखाई दी, समारोह "ज़ीउस किलर", जिसे ज़्यूस को हटाने के लिए डिज़ाइन किया गया था। सभी ज़ीउस प्रतियों को बंद करने के लिए, SpyEye ने नामित पाइप के माध्यम से एक आदेश भेजा कि प्रत्येक ज़ीउस प्रतिलिपि अपनी आवश्यकताओं के अनुरूप खुलती है। SpyEye ने ज़ीउस को विशिष्ट म्यूटेक्स नाम से पता लगाया था कि ज़ीउस इसकी प्रति का पता लगाने और फिर से लॉन्च को रोकने के लिए उपयोग करता था। इसके अलावा, SpyEye ज़ीउस द्वारा भेजी गई रिपोर्टों को रोक सकता है, और इस तरह डबल काम नहीं करता है। एक और नवीनता ट्रस्टी के रैपर सुरक्षा प्रणाली को बायपास करने के लिए डिज़ाइन किया गया एक मॉड्यूल है, जिसका उद्देश्य ज़ीउस का मुकाबला करने के लिए ब्राउज़र में मैलवेयर को शुरू करने की संभावना को अवरुद्ध करना है, जो बनाया गया था, अन्य बातों के साथ। ज़ीस बिल्डर की तरह स्पाईफाई बिल्डर में एक दिए गए हार्डवेयर कॉन्फ़िगरेशन के लिए बाध्यकारी के आधार पर एक लाइसेंसिंग प्रणाली शामिल थी। यह VMProtect हिंगेड सुरक्षा का उपयोग करके लागू किया गया था।

फोरम से मिली जानकारी के अनुसार, अक्टूबर 2010 में, ज़ीउस स्लाविक के निर्माता ने अपने प्रतियोगी, डेवलपर SpyEye को स्रोत कोड हस्तांतरित किया, और आगे के विकास को रोक दिया। कोड हार्डमैन के उपनाम वाले एक व्यक्ति को हस्तांतरित किया गया था, जिसे ग्रिबोडेमॉन भी कहा जाता है। हार्डमैन के अनुसार, उन्होंने स्रोत कोड नि: शुल्क प्राप्त किए और सभी पूर्व स्लाविक ग्राहकों की देखभाल की, बाद में ज़ीउस और स्पाईईई स्रोत कोड के कुछ प्रकार के विलय को मान लिया गया। दरअसल, जनवरी 2011 के बाद से, एंटीवायरस कंपनियों के शोधकर्ताओं ने SpyEye के नए हाइब्रिड संस्करणों का पता लगाना शुरू कर दिया है, उनकी संख्या 1.3 संस्करण के साथ शुरू हो गई है।

SpyEye संस्करण 1.3.45 के घटकों के लिए मूल्य निर्धारण, अगस्त 2011:

• बिल्डर और एडमिनपेल - $ 2000;
• फ़ायरफ़ॉक्स ब्राउज़र के लिए वेब इंजेक्शन मॉड्यूल - $ 2000;
• रॉटोर्ट संरक्षण बाईपास मॉड्यूल - $ 500;
• Socks5 प्रॉक्सी मॉड्यूल - $ 1000;
• आरडीपी प्रोटोकॉल एक्सेस मॉड्यूल - $ 3000;
• एफ़टीपी बैक कनेक्ट मॉड्यूल - $ 300;
• मोज़िला फ़ायरफ़ॉक्स ब्राउज़र प्रमाणपत्र चोरी मॉड्यूल - $ 300;
• क्रेडिट कार्ड क्रेडेंशियल चोरी मॉड्यूल - $ 200;
• ओपेरा और क्रोम (फॉर्म धरनेवाला) क्रेडेंशियल चोरी मॉड्यूल - $ 1000।

इस संस्करण के लिए उपयोगकर्ता गाइड XyliBox व्यक्तिगत ब्लॉग पर उपलब्ध है ।

ज़ीउस, संस्करण 2.1

उसी समय, आरएसए के शोधकर्ताओं ने कुछ तथ्यों की खोज की, जो व्यवसाय छोड़ने के बारे में स्लाव के शब्दों पर संदेह करते हैं। अगस्त 2010 में, अर्थात्, ज़्यूस पर काम की समाप्ति की "आधिकारिक" घोषणा के दो महीने पहले, ज़ीउस बॉट का उपयोग करके एक बोटनेट की खोज की गई थी, जिसका संस्करण 2.1.0.10 था। जांच से पता चला है कि संकेतित संस्करण की किट "ब्लैक मार्केट" पर नहीं बेची गई थी। इस प्रकार के बॉट की बाद की खोजों ने आरएसए विशेषज्ञों को आश्वासन दिया कि केवल एक व्यक्ति (या व्यक्तियों का समूह) के पास इस संशोधन का स्वामित्व है - पिछली घटनाओं के विपरीत, बॉट संस्करण 2.1.0.10 की कॉन्फ़िगरेशन फ़ाइल लंबे समय तक महत्वपूर्ण बदलावों से नहीं गुजरती थी (पहले प्रत्येक बॉटनेट ऑपरेटर ज़ीउस पर आधारित अपनी अनूठी कॉन्फ़िगरेशन फ़ाइल का उपयोग करता है)।

ज़ीउस 2.1.0.10 की एक प्रमुख विशेषता प्रबंधन सर्वर के साथ संचार योजना में बदलाव था। अब कॉन्फ़िगरेशन फ़ाइल में सर्वर पते हार्डकोड नहीं थे। पता सूची डीजीए (डोमेन जनरेशन एल्गोरिथम) का उपयोग करके उत्पन्न की गई थी। इससे पहले, इसी तरह की तकनीक का उपयोग बॉबक्स, क्रैकेन, सिनोवाल (उर्फ टॉरपीग), श्रीज़बी और कन्फिकर जैसे मालवेयर नमूनों में बार-बार किया गया था। ज़ीउस उत्पन्न पते पर अपने कमांड सर्वरों की तलाश कर रहा था। नियंत्रण के अवरोधन से बचाने के लिए, डाउनलोड की गई फ़ाइल के डिजिटल हस्ताक्षर को उसके अद्यतन (विंडोज क्रिप्टो एपीआई का उपयोग करके) के दौरान सत्यापित किया गया था। ऐसा करने के लिए, ज़ीउस कोड में 1024 बिट्स की आरएसए सार्वजनिक कुंजी शामिल थी।

2011 में आरएसए के शोधकर्ता ज़ीउस सर्वर संस्करण 2.1.0.10 में से एक का उपयोग करने में सक्षम थे। उन्होंने पाया कि अगस्त 2010 से अगस्त 2011 के बीच 210,000 से अधिक कंप्यूटरों ने इस सर्वर से संपर्क किया, जिसमें संक्रमित कंप्यूटरों से लगभग 200 गीगाबाइट डेटा प्राप्त हुआ। लगभग 42% संक्रमित कंप्यूटर संयुक्त राज्य अमेरिका में थे। यह भी पता लगाना संभव था कि इस कमांड सर्वर तक पहुंच को अधिकृत करने के लिए लॉगिन में से एक "स्लाविक" था। इसलिए, आरएसए विशेषज्ञों का सुझाव है कि स्लाविक वास्तव में अपना बॉटनेट बनाने के बारे में निर्धारित करता है (शायद एक नहीं)।

यहां जारी है ।