ज़ीउस का विकास। भाग ii

यहां से शुरू करें ।

फाइल इंफ़ेक्टर

अक्टूबर 2010 में ट्रेंड माइक्रो द्वारा खोजी गई मैलवेयर PE_LICAT में फ़ाइल संक्रमण का विचार विकसित किया गया था। PE_LICAT एक उन्नत ज़ीउस ड्रॉपर है, इसका मुख्य कार्य रिमोट सर्वर से नई ज़ीउस फ़ाइलों को डाउनलोड और लॉन्च करना है। दुर्भावनापूर्ण कोड के 1771 बाइट्स निष्पादन योग्य फ़ाइलों में एम्बेडेड हैं। PE_LICAT एक समान एल्गोरिथ्म के साथ Zeus 2.1.0.10 - DGA के रूप में एक ही तंत्र का उपयोग करता है और डाउनलोड की गई फ़ाइल के हस्ताक्षर की जांच करने की प्रक्रिया। डीजीए के विस्तृत विवरण के लिए, ट्रेंड माइक्रो का "फाइल-पैचिंग ZBOT वेरिएंट" pdf, eng) देखें।

संक्षेप में - डीजीए विंडोज क्रिप्टो एपीआई से हैश फ़ंक्शन का उपयोग करता है। वर्तमान तिथि और मिनट (एक घंटे का उपयोग नहीं किया गया) हैशिंग द्वारा विशेष एल्गोरिथ्म द्वारा स्टार्टअप पर डोमेन की सूची बनाई गई थी। वैसे, कई स्रोत गलती से 800 या 1020 अद्वितीय डोमेन लिखते हैं (इन स्थिरांक का उपयोग एल्गोरिदम में वास्तव में किया जाता है)। वास्तव में, उनमें से केवल 60 प्रति दिन थे (मिनट 17 से गुणा किए गए थे और शेष विभाजन 1020, 1020/17 = 60 द्वारा लिया गया था)। शीर्ष-स्तरीय डोमेन .biz, .info, .org, .com, .net, साथ ही साथ / फोरम लाइन में उपसर्गों को ASCII कोड और उपसर्गों में अनुवादित किया गया था। यह ध्यान दिया जाना चाहिए कि PE_LICAT शब्द के शाब्दिक अर्थों में एक वायरस नहीं है (जैसा कि कैस्परस्की लैब इसे वर्गीकृत करता है) - यह अपने आप ही फ़ाइलों को संक्रमित करने में सक्षम नहीं है। फ़ाइल संक्रमण प्रक्रिया की शुरुआत 2.1 परिवार से ज़ीउस द्वारा शुरू की गई है, जिसे ट्रेंडील वर्गीकरण में TSPY_ZBOT.BYZ कहा जाता है।

पूर्ण वितरण चक्र इस प्रकार था:
TSPY_ZBOT.BYZ प्रारंभ होता है (स्वचालित रूप से जब आप साइट पर जाते हैं या ज़ी के पिछले संस्करण के साथ अपडेट करने के परिणामस्वरूप);
TSPY_ZBOT.BYZ अर्क PE_LICAT;
TSPY_ZBOT.BYZ PE_LICAT के साथ निष्पादन योग्य फ़ाइलों (हटाने योग्य मीडिया सहित) को संक्रमित करता है।
इसके बाद, TSPY_ZBOT.BYZ और PE_LICAT ने DGA द्वारा निर्मित डोमेन से ZeP फ़ाइल संस्करण TSPY_ZBOT.SMEQ (ट्रेंड माइक्रो वर्गीकरण के अनुसार) डाउनलोड किया।

ज़ीउस के अनुयायी

स्लाविक के पूरे कोड के हस्तांतरण की घोषणा के बावजूद, ज़ीउस 2.0.8.9 का स्रोत कोड, फरवरी 2011 में शुरू हुआ, बिक्री के लिए पेश किया जाने लगा। परिणामस्वरूप, मई 2011 में, इस संस्करण का स्रोत कोड मुफ्त एक्सेस के लिए लीक हो गया था। स्रोत संग्रह में कुछ फाइलें गायब थीं:

• peinfector.cpp;
• peinfector.h;
• peloader32.asm;
• worm.cpp;
• worm.h.

यह माना जाता है कि यह PE_LICAT मॉड्यूल (Murofet) है।

स्वाभाविक रूप से, लोग तुरंत दिखाई दिए जो इन स्रोतों के आधार पर शुरू करना चाहते थे। उदाहरण के लिए, हम प्रोजेक्ट "ICE IX" (फिल्म "रिक्रूट" से एक वायरस के रूप में नामित) का उल्लेख कर सकते हैं, जो कुछ भी नया नहीं पेश करता था और एक प्रसिद्ध नाम पर पैसा बनाने का प्रयास था। लेकिन एक "योग्य" अनुयायी पाया गया, यह एक गढ़ परियोजना है। इसकी प्रमुख विशेषता एक सामाजिक नेटवर्क के सिद्धांत पर आयोजित एक ऑनलाइन मंच का निर्माण था। यहां, ग्राहक नए कार्यों का अनुरोध कर सकते हैं, त्रुटियों की रिपोर्ट कर सकते हैं और अपने स्वयं के मॉड्यूल जोड़ सकते हैं, जो विकास प्रक्रिया को एक तरह के ओपनसोर्स प्रोजेक्ट में बदल देता है। एक ग्राहक सहायता प्रणाली भी स्थापित की जा रही है, जो वर्तमान स्थिति में गढ़ के चल रहे समर्थन में परिलक्षित होती है। इस प्रकार, लेखक रिपोर्ट करते हैं कि वे नए एंटी-वायरस डेटाबेस के रिलीज़ चक्र से कम गढ़ को अपडेट करने की कोशिश करते हैं, जो उन्हें संक्रमित कंप्यूटर पर लंबे समय तक चलने की अनुमति नहीं देता है। डेवलपर्स के अनुसार, Google Chrome में काम करते समय डेटा संग्रह मॉड्यूल सहित ज़ेडस के शुरुआती संस्करणों में सभी खामियों को गढ़ ने तय किया है। इसके अलावा, वीडियो रिकॉर्ड करने और संचारित करने की क्षमता को जोड़ा गया था।

पहली बार, एक गढ़-आधारित बॉटनेट दिसंबर 2011 में सिक्यूरलेट शोधकर्ताओं द्वारा खोजा गया था, अब सिटाल्ड-आधारित बॉटनेट की संख्या दसियों में है।

तब आधार गढ़ पैकेज $ 2399 में बेचा गया था, "किराए" की कीमत $ 125 प्रति माह थी, अतिरिक्त मॉड्यूल अलग से खरीदे जाते हैं। उदाहरण के लिए, $ 395 में एक मॉड्यूल खर्च होता है जो बॉट को स्वचालित रूप से अपडेट करने की अनुमति देता है। अपडेट्स को जेबर के माध्यम से वितरित किया जाता है, प्रत्येक अपडेट की लागत $ 15 है।

अक्टूबर 2012 में, Citadel संस्करण 1.3.4.5 (बॉट डिज़ाइनर और कंट्रोल पैनल) सार्वजनिक डोमेन में देखा गया था। शायद यह संस्करण लीक एक तरह का विज्ञापन अभियान है, क्योंकि इसी महीने में Citadel 1.3.5.1 "वर्षा संस्करण" का एक नया संस्करण जारी किया गया था। इस संस्करण के लिए उपयोगकर्ता गाइड XyliBox व्यक्तिगत ब्लॉग पर उपलब्ध है, इसमें से आप व्यक्तिगत मॉड्यूल की सुविधाओं, नवाचारों, स्थापना और कॉन्फ़िगरेशन के बारे में विवरण प्राप्त कर सकते हैं। नवीनतम संस्करण के मूल सेट की कीमत $ 3391 है, जो एक साल पहले की मूल कीमत से 41% अधिक है। पहले की तरह, मासिक किराए और मॉड्यूल का भुगतान अलग से किया जाता है।

हाल ही में "हाई-प्रोफाइल" घटनाओं में, हवाई अड्डे के बुनियादी ढांचे पर हमलों के लिए संशोधित गढ़, बॉट, अगस्त 2012 में ट्रस्टीयर विशेषज्ञों द्वारा खोजा गया था। गढ़ का उपयोग करके, साइबर अपराधियों को हवाई अड्डे के संचालन के लिए डिज़ाइन किए गए एक दूरस्थ हवाई अड्डे के कर्मचारी के पीसी और कंप्यूटर सिस्टम इंटरफेस के बीच सुरक्षित वीपीएन कनेक्शन पर नियंत्रण प्राप्त हो सकता है। हमले का निशाना कौन सा हवाई अड्डा बन गया, इसकी सूचना नहीं है। हमले को निम्नानुसार किया जाता है - सबसे पहले, वीपीएन कनेक्शन फॉर्म में दर्ज पासवर्ड और उपयोगकर्ता नाम को इंटरसेप्ट किया जाता है। अगला, दो-कारक प्रमाणीकरण के बजाय एक सरल-कारक प्रमाणीकरण मोड का उपयोग किया जाता है ("छवि प्राप्त करें" बटन पर क्लिक करके)। इसके परिणामस्वरूप, एसएमएस द्वारा पुष्टि के बजाय, उपयोगकर्ता को दस अंकों के साथ एक चित्र (सत्यापन कोड) दिखाया जाएगा। उपयोगकर्ता तब "वन-टाइम" पासवर्ड बनाने के लिए छवि में संख्याओं की एक स्ट्रिंग के साथ अपने पासवर्ड से मेल खाता है। इस प्रकार, सत्यापन छवि (स्क्रीनशॉट के माध्यम से) और पासवर्ड से नंबर प्राप्त करने के साथ-साथ "एक बार" पासवर्ड बनाने के लिए एल्गोरिथ्म को जानने के बाद, आप इसे आसानी से गणना कर सकते हैं और लॉग इन कर सकते हैं।

एक दिलचस्प तथ्य यह है कि अगर किसी रूसी या यूक्रेनी लेआउट का इस्तेमाल हमले वाले कंप्यूटर पर किया जाता है, तो Citadel इसे स्वचालित रूप से निष्क्रिय कर देगा। इससे पहले यह ध्यान दिया गया था कि ज़ीउस परिवार रूसी बोलने वाले प्रोग्रामर द्वारा विकसित किया गया है। क्या वास्तव में निर्माता ड्राइव करते हैं या तो एक तरह का "देशभक्ति" है, या घरेलू कानून प्रवर्तन एजेंसियों के दृष्टिकोण के क्षेत्र में जाने के लिए अनिच्छा के कारण (जैसा कि आप जानते हैं, देश के कानूनी मानदंड जहां अपराध हुआ) लागू होते हैं। दूसरी ओर, रूस में, इंटरनेट के माध्यम से इंटरनेट बैंकिंग और इलेक्ट्रॉनिक भुगतान प्रणालियों का प्रसार पश्चिमी देशों की तुलना में देर से होता है, इसलिए बैंकिंग ट्रोजन कार्यक्रमों के प्रसार से अधिक वित्तीय रिटर्न नहीं होगा।

ज़ीउस, संस्करण 3 - गेमओवर

ज़ीउस 2.1 में, एक कठोर परिभाषित कमांड सेंटर से दूर जाने और एक प्रबंधन प्रणाली (डीजीए का उपयोग करके) पर स्विच करने का प्रयास किया गया था जो एंटी-वायरस कंपनियों के कार्यों से अधिक संरक्षित है। जैसा कि बाद में पता चला, ज़ीउस के रचनाकारों ने इस क्षेत्र में अपना शोध जारी रखा।

अक्टूबर 2011 में, ज़्यूसट्रैकर के निर्माता रोमन ह्युसी ने, नवीनतम ज़ीउस वेरिएंट पर शोध करते हुए, अजीब यूडीपी ट्रैफ़िक की उपस्थिति देखी। आगे के विश्लेषण से पता चला कि नए ज़ीउस संस्करण में कॉन्फ़िगरेशन ब्लॉक में कई आईपी पते थे, और इन आईपी वाले कंप्यूटरों ने संक्रमित सिस्टम को जवाब दिया था। 24 घंटों के भीतर, लगभग 100 हजार अद्वितीय आईपी पते की पहचान की गई, जिसके साथ नया संशोधन जुड़ा हुआ था। अधिकांश संक्रमित कंप्यूटर भारत, इटली और अमेरिका में स्थित थे। इसलिए यह पाया गया कि ज़ीउस ने खुद को और इसके कॉन्फ़िगरेशन डेटा ब्लॉकों को अपडेट करने के लिए एक पी 2 पी तंत्र का उपयोग करने के लिए स्विच किया। कमांड सेंटर को कॉल करते समय स्क्रिप्ट नाम gameover.php के उपयोग के कारण, इस संस्करण के लिए गेमओवर ज़ीउस नाम का उपयोग किया जाता है। यह काफी प्रतीकात्मक है - जैसा कि आप देख सकते हैं, ज़ीउस के साथ "गेम" लंबे समय से अधिक हैं।

ज़ीउस पी 2 पी मैकेनिज्म (जेडपी 2 पी) केमलिया प्रोटोकॉल पर आधारित था। ZP2P नेटवर्क में कंप्यूटर (नोड) की पहचान एक विशिष्ट पहचानकर्ता (UID) द्वारा की गई थी जो पहले स्टार्ट-अप के दौरान बनाया गया था। ZP2P में प्रत्येक ज़ीउस उदाहरण में एक "पड़ोसी तालिका" स्मृति में संग्रहीत थी। इस सरणी में ZP2P नेटवर्क में लगभग 30 पड़ोसी नोड्स की सूची है - उनका यूआईडी, आईपी एड्रेस और यूडीपी पोर्ट नंबर। ZP2P नेटवर्क ने कई प्रकार के कनेक्शनों का उपयोग किया:

• कॉन्फ़िगरेशन डेटा ब्लॉक (UDP) के संस्करण के बारे में जानकारी का आदान-प्रदान करने के लिए;
• "पड़ोसी तालिका" (यूडीपी) में नोड्स के बारे में जानकारी का आदान-प्रदान करने के लिए;
• बाइनरी डेटा एक्सचेंज के लिए - मुख्य मॉड्यूल और कॉन्फ़िगरेशन डेटा ब्लॉक (टीसीपी प्रोटोकॉल का उपयोग करके)।

डीजीए में कुछ बदलाव हुए हैं, विशेष रूप से, शीर्ष-स्तरीय डोमेन 6 बन गए - आरयू, कॉम, बिज़, जानकारी, ऑर्ग, नेट ( स्रोत )। यदि ZP2P के माध्यम से संचार स्थापित नहीं किया जा सकता तो DGA को "सुरक्षा" विकल्प के रूप में उपयोग किया जाता था। अंततः, कॉन्फ़िगरेशन डेटा के ब्लॉक केवल ZP2P के माध्यम से वितरित किए गए, जिससे नियंत्रण केंद्रों की पहचान करना मुश्किल हो गया। वैसे, नियंत्रण केंद्र अब टीमों को बॉट भेजने के लिए एक पैनल की तुलना में चोरी की जानकारी और आंकड़ों का अधिक भंडार था।

फरवरी 2012 में, Symantec शोधकर्ताओं ने ZP2P का उपयोग करके ज़ीउस के दूसरे संस्करण की खोज की । इस संशोधन में एक एकीकृत नग्नेक्स-आधारित वेब सर्वर शामिल था। ZP2P में संचार प्रोटोकॉल केवल UDP का उपयोग करना शुरू कर दिया, जिससे ज़ीउस डेटा स्ट्रीम को और अधिक कठिन बना सके। अब बॉट को अन्य बॉट से HTTP प्रोटोकॉल के माध्यम से निष्पादन योग्य फ़ाइलों को डाउनलोड करने की क्षमता मिली। इस प्रकार, प्रत्येक बॉट एक तरह के कमांड सेंटर के रूप में कार्य कर सकता है या नियंत्रण श्रृंखला में एक मध्यस्थ (प्रॉक्सी) के रूप में कार्य कर सकता है। उसी तकनीक का उपयोग वेलेडैक / केलिहोस संस्करण सी बॉटनेट में किया गया था, जिसे 2012 की शुरुआत में पुनर्जीवित किया गया था - 2010 में माइक्रोसॉफ्ट और कई एंटीवायरस कंपनियों की सहायता से बंद होने के दो साल बाद।

दिलचस्प है, ZP2P बॉटनेट का उपयोग दो थर्ड-पार्टी मालवेयर - एक नकली एंटीवायरस और एक प्रॉक्सी सर्वर को वितरित करने के लिए किया गया था, कुछ ऐसा जिसे ज़ीउस ने पहले नहीं देखा था। ज़ीउस के इस संस्करण के वितरण का मूल्यांकन करने के लिए, सिमेंटेक विशेषज्ञों ने ZP2P नेटवर्क के संचालन की निगरानी की । अप्रैल से जुलाई 2012 की अवधि में, 678.205 अद्वितीय यूआईडी और 1,570.871 अद्वितीय आईपी दर्ज किए गए थे। फ़ायरवॉल या नेट के पीछे होने के कारण सभी IP डेटा उपलब्ध नहीं थे। इसके अलावा, इंटरनेट प्रदाता गतिशील पतों के एक पूल का उपयोग करते हैं, इसलिए पूल की सीमा से भिन्न आईपी पते एक ही यूआईडी से संबंधित हो सकते हैं। संयुक्त राज्य अमेरिका में सबसे अधिक संक्रमण (29.2%) हुआ।

पहले की तरह, संक्रमण का मुख्य स्रोत दुर्भावनापूर्ण साइटों के लिंक वाले पत्र थे, जो अक्सर ब्लैकहोल शोषण पैक के लिए ब्राउज़र अनुरोधों को पुनर्निर्देशित करते हैं। इसके लिए धन्यवाद, मैलवेयर की स्थापना किसी भी उपयोगकर्ता की कार्रवाई के बिना होती है (संक्रमित पृष्ठ को देखने के अलावा)। लेकिन इस बार ब्लैकहोल ने कंप्यूटरों में पी 2 पी ज़ीउस को डाउनलोड नहीं किया, बल्कि पोनी के ट्रोजन डाउनलोडर को। पोनी एक अन्य क्रिमवेयर है जिसका मुख्य कार्य एंटी-वायरस सुरक्षा को दरकिनार करके मैलवेयर डाउनलोड और लॉन्च करना है। पोनी का अपना स्वयं का व्यवस्थापक पैनल है, जो सफल डाउनलोड और लॉन्च के आंकड़ों को प्रदर्शित करता है। इस प्रकार, पी 2 पी ज़ीउस की स्थापना इस प्रकार थी:

• उपयोगकर्ता दुर्भावनापूर्ण साइट के लिंक के साथ एक ईमेल प्राप्त करता है;
• इस साइट पर पहुंचकर, ब्लैकहोल उपयोगकर्ता के कंप्यूटर पर पोनी बूटलोडर की शुरूआत करता है;
• टट्टू अपने कमांड सर्वर से संपर्क करता है और ज़ीउस फ़ाइल को स्वयं (तीन अलग-अलग सर्वर से) डाउनलोड करने के लिए उससे निर्देश प्राप्त करता है।

जैसा कि आप देख सकते हैं, ज़ीउस डेवलपर्स ने अपने "दिमाग की उपज" के प्रबंधन में सुधार करने के लिए एक शानदार काम किया है। नियंत्रण तंत्र उनके विकास में कई चरणों से गुजरे हैं:

• हार्ड-कोडेड सर्वर (वर्जन 1 और 2);
• डीजीए का उपयोग गतिशील रूप से उत्पन्न डोमेन नाम (देखें 2.1 या 2+) के लिए;
• डीजीए और एक हाइब्रिड पी 2 पी योजना, जहां बॉट एक दूसरे और सर्वर (संस्करण 3 या गेमओवर ज़ीउस) के साथ संवाद करते हैं।

यहां जारी है ।