अधिक रूटकिट - "अच्छा" और अलग। भाग ii

यहां से शुरू करें ।

TDL 4

टीडीएल डेवलपर्स समय के साथ चलते रहते हैं। इस बार उनकी आंखें 64-बिट सिस्टम में बदल गईं जो पहले से कवर नहीं थीं। अगस्त 2011 की शुरुआत में, नए "चिप्स" के साथ TDL का 4 संस्करण है। सबसे पहले, 32 और 64 बिट संस्करणों में काम करने वाली फ़ाइलों का पृथक्करण दिखाई दिया है। दूसरे, रिबूट के बाद स्टार्टअप एल्गोरिदम एक बार फिर बदल गया है। इससे पहले, एक समान एल्गोरिथ्म का उपयोग सिनोवाल मैलवेयर में किया गया था, जो कि एंटी-वायरस कंपनियों के लिए अपने नवाचारों के लिए जाना जाता है। टीडीएल संस्करण 4 ने अब मास्टर बूट रिकॉर्ड (एमबीआर) को संक्रमित कर दिया। यह विधि इसे कंप्यूटर को शुरू करने के तुरंत बाद ऑपरेटिंग सिस्टम से पहले बूट करने की अनुमति देती है। इस प्रकार, एक बूटकिट में "उत्परिवर्तित" से टीडीएल -4। पहले की तरह, TDL-4 घटकों को हार्ड डिस्क के एक विशेष क्षेत्र में संग्रहीत किया गया था, जिसका आकार 8 एमबी से अधिक नहीं था, जिसे RC4 एल्गोरिदम के साथ एन्क्रिप्ट किया गया था। MBR में कोड ldr16 घटक (रिपॉजिटरी से) को नियंत्रित करता है। नियंत्रण के हस्तांतरण के बाद, ldr16 ने हार्ड डिस्क के साथ काम करने के कार्यों को रोक दिया (ओएस अभी तक लोड नहीं हुआ है)। TDL-4 को डाउनलोड करने के लिए, हमने kdcom.dll फ़ाइल के प्रतिस्थापन (13h पर इंटरसेप्टर को स्थापित करके और kdcom.dll के एक विशिष्ट हस्ताक्षर की खोज) का उपयोग किया, जो कि लोडिंग स्तर पर ऑपरेटिंग सिस्टम के कर्नेल को आरंभीकृत करने के लिए आवश्यक है। Kdcom.dll के बजाय, दुर्भावनापूर्ण घटक ldr32 या ldr64 (भंडारण से) को लक्ष्य OS की थोड़ी गहराई के आधार पर, लोड किया गया था। बाइनरी कोड ldr32 और ldr64 लगभग समान हैं, क्योंकि वे समान स्रोत कोड से संकलित हैं। लेकिन, कोड में अंतर के अलावा, 64 बिट सिस्टम में, विंडोज 2003 x64 (XP x64 और फिर विस्टा, सेवन) के साथ शुरू होने पर, कई प्रौद्योगिकियां दिखाई दी हैं, जिनका उद्देश्य दुर्भावनापूर्ण जोखिम से सुरक्षा करना है। उनमें से एक पैच गार्ड है, जो ओएस कर्नेल की महत्वपूर्ण वस्तुओं में परिवर्तन को ट्रैक करता है, जैसे:

• वैश्विक विवरणक तालिका - जीडीटी;
• इंटरप्ट डिस्क्रिप्टर टेबल - आईडीटी;
• सिस्टम सेवाएं डिस्क्रिप्टर टेबल - एसएसडीटी;
• कुछ सिस्टम फाइलें, उदाहरण के लिए, NTOSKRNL.EXE, NDIS.SYS, HAL.DLL;
• सेवा MSR स्टार / LSTAR / CSTAR / SFMASK पंजीकृत करती है।

जब बूटिंग, पैच गार्ड के ढांचे के भीतर, ओएस उपरोक्त वस्तुओं के लिए चेकसमों की गणना करता है, तो उन्हें बचाता है और समय-समय पर जांच करता है कि क्या वर्तमान मान सहेजे गए हैं। ऑब्जेक्ट के संशोधन (चेकसम को बदलकर) का पता लगाने के बाद, बीएसओडी डिस्प्ले के साथ ओएस क्रैश हो जाता है। पैच गार्ड के अलावा, एक और सुरक्षात्मक तंत्र दिखाई दिया है - सिस्टम द्वारा लोड किए गए ड्राइवरों के लिए डिजिटल हस्ताक्षर का अनिवार्य सत्यापन। हालांकि, लागू किए गए लोडिंग एल्गोरिथ्म ने उपरोक्त दोनों तंत्रों को सफलतापूर्वक दरकिनार करने की अनुमति दी, क्योंकि टीडीएल -4 ओएस लोड करने से पहले नियंत्रण प्राप्त करता है। Kdcom.dll फ़ाइल की अखंडता जांच को दरकिनार करने के लिए, ldr16 ने कुछ समय के लिए बूट कॉन्फ़िगरेशन डेटा (BCD) को बदल दिया, रजिस्ट्री शाखा जो Windows बूट प्रबंधक द्वारा उपयोग की जाती है और Windows Vista (यह तंत्र boot.ini द्वारा प्रतिस्थापित) से शुरू होता है। बीसीडी में तीन अलग-अलग बूट विकल्प थे:

• BcdLibraryBoolean_DisableIntegrityCheck - बल की जांच बंद करें (सबसे अधिक बार डिबगिंग उद्देश्यों के लिए उपयोग किया जाता है);
• BcdOSLoaderBoolean_WinPEMode - OS स्थापना या पुनर्प्राप्ति मोड में बंद;
• BcdLibraryBoolean_AllowPrereleaseSignatures - परीक्षण डिजिटल हस्ताक्षर वाले लोडिंग मॉड्यूल की अनुमति दें।

TDL-4 ने बूट मोड को BcdOSLoaderBoolean_WinPEMode पर स्विच किया। एक सफल बूट के बाद, ldr32 (ldr64) ने मुख्य मॉड्यूल (रूटकिट और पेलोड) को लोड किया और इस मोड को बंद कर दिया गया। फ़ंक्शन इंटरसेप्शन तकनीक स्वयं उसी के समान थी जिसका उपयोग TDL-3 में किया गया था। एमबीआर संक्रमण के साथ, इसने उस समय के एंटीवायरस टूल से अपने कामकाज को मज़बूती से छिपाने की अनुमति दी।

अप्रैल 2011 में, Microsoft ने KB2506014 अपडेट जारी किया, जिसका कार्य अहस्ताक्षरित ड्राइवरों के लोडिंग का प्रतिकार करने के लिए 64 बिट ओएस संस्करणों के winloader.exe मॉड्यूल में कई बदलाव करना था। परिणामस्वरूप, BCD ने BcdOSLoaderBoolean_WinPEMode का विकल्प खो दिया, जिसे TDL-4 बूट करने के लिए उपयोग करता था। इसके डेवलपर्स ने TDL-4 के एक अद्यतन संस्करण को जारी करने के साथ प्रतिक्रिया की, जिसमें WinPE मोड पर स्विच करने के बजाय, I_CheckImageHashInCatalog प्रक्रिया को संशोधित किया गया था। इस प्रक्रिया का उपयोग करते हुए, winload.exe द्वारा लोड किए गए मॉड्यूल की अखंडता की जांच की जाती है। TDL-4 ने अपने काम के एल्गोरिथ्म को बदल दिया, ताकि यदि हैश मैच न हो, तो भी परिणाम वापस आ जाएगा, कि सब कुछ सही है। सच है, इस तंत्र ने काफी काम नहीं किया ( स्रोत )।

टीडीएल के नए संस्करण के काम में, वितरण विधि अपरिवर्तित रही - संबद्ध कार्यक्रमों के माध्यम से। पिछले संस्करण की तुलना में, कमांड सेंटर के साथ संवाद करने के लिए उपयोग किए जाने वाले प्रोटोकॉल एन्क्रिप्शन एल्गोरिदम को अपडेट किया गया है। आरसी 4 के बजाय, एक्सओआर ऑपरेशन का उपयोग करके एक "स्व-निर्मित" एन्क्रिप्शन एल्गोरिथ्म का उपयोग किया जाने लगा। कॉन्फ़िगरेशन फ़ाइल में एक नया बीएचएस पैरामीटर दिखाई दिया है - एक पहचानकर्ता जो प्रबंध सर्वर द्वारा सेट किया गया है जब पहली बार एक बॉट इससे जुड़ता है। प्रोटोकॉल एन्क्रिप्शन अब इस पर आधारित था। इस प्रकार, प्रत्येक बॉट से डेटा स्ट्रीम अलग-अलग कुंजी के साथ एन्क्रिप्ट किया गया था, जो एंटीवायरस कंपनियों द्वारा मैलवेयर का पता लगाने के माध्यम से यातायात की निगरानी को और अधिक जटिल बनाता है।

TDL-4 ने एक प्रकार का "एंटी-वायरस" घटक प्राप्त कर लिया है, जो लगभग 20 दुर्भावनापूर्ण कार्यक्रमों को हटा देता है, उदाहरण के लिए, Gbot, ZeuS, Clishmic, Optima, आदि। यह "एंटी-वायरस" प्रतियोगियों से लड़ने में मदद करता है, साथ ही एक संक्रमित कंप्यूटर पर उपस्थिति के कारण पहचान की संभावना को कम करता है। अन्य मैलवेयर।

SOCKS प्रॉक्सी मॉड्यूल के साथ "पेलोड" के शस्त्रागार को फिर से भर दिया गया। इस तरह के एक मॉड्यूल की उपस्थिति आपको नेटवर्क के संसाधनों को गुमनाम रूप से देखने की अनुमति देती है। आप नेटवर्क पर बड़ी संख्या में साइटें पा सकते हैं जो भुगतान किए गए आधार पर गुमनाम प्रॉक्सी के आईपी पते प्रदान करने के लिए सेवाएं प्रदान करते हैं, जिनमें से अधिकांश मैलवेयर से संक्रमित कंप्यूटरों के पते हैं।

थोड़ी देर बाद, बिटकॉइन क्रिप्टोक्यूरेंसी पैदा करने के लिए एक मॉड्यूल की उपस्थिति और इस मॉड्यूल के संचालन के लिए config.ini में अतिरिक्त पैरामीटर, जैसे कि बिटकॉइन सर्वर डोमेन नाम और इसे कनेक्ट करने के लिए क्रेडेंशियल्स का पता चला।

हमलावरों द्वारा बॉटनेट के नियंत्रण सर्वर की सुरक्षा के लिए किए गए उपायों के बावजूद, कंट्रोल सर्वर के साथ TDL-4 संचार प्रोटोकॉल को जानने के बाद, एंटी-वायरस कंपनियों ने संक्रमित कंप्यूटरों की संख्या पर आंकड़े प्राप्त किए। डेटा के विश्लेषण से कमांड सेंटरों के लगभग 60 डोमेन नामों का पता चला, जिन्हें डबल फास्ट फ्लक्स तकनीक का उपयोग करके तीन अलग-अलग सर्वरों पर पुनर्निर्देशित किया गया था।

शब्द "फास्ट फ्लक्स" (शाब्दिक रूप से "तेज प्रवाह" या "प्रवाह" के रूप में अनुवादित) से तात्पर्य DNS रिकॉर्ड में तेजी से कई बदलावों से है, जो आईपी पते में निरंतर परिवर्तन की ओर जाता है जिससे डोमेन नाम संबंधित है। फास्ट फ्लक्स तकनीक स्वयं "दुर्भावनापूर्ण" नहीं है, क्योंकि यह किसी भी डीएनएस कमजोरियों का उपयोग नहीं करता है और आमतौर पर सर्वर पर लोड वितरित करने के लिए उपयोग किया जाता है। शास्त्रीय योजना में, एक एकल डोमेन नाम कई दर्जन आईपी पते से मेल खाता है जो हर कुछ मिनटों में बदल जाते हैं (एकल फास्ट फ्लक्स योजना)। यह पहले से ही IP पते द्वारा अवरुद्ध यातायात को अप्रभावी बना देता है। हमलावरों ने कुछ हद तक इस योजना में सुधार किया - डीएनएस सर्वर कमांड सेंटर के अंतिम पते को खुद नहीं लौटाता है, लेकिन बड़ी संख्या में संक्रमित कंप्यूटरों में से एक का पता, जिनमें से प्रत्येक वास्तविक प्रबंधन सर्वर (डबल फास्ट फ्लक्स स्कीम) के लिए एक प्रॉक्सी है। बॉटनेट का समर्थन करने वाले MySQL डेटाबेस ने मोल्दोवा, लिथुआनिया और यूएसए में स्थित 3 सर्वरों पर काम किया। इन डेटाबेस से मिली जानकारी के अनुसार, 2011 के पहले तीन महीनों में, दुनिया भर में लगभग 4.5 मिलियन कंप्यूटर TDL-4 से संक्रमित थे, उनमें से लगभग 28% संयुक्त राज्य अमेरिका में थे।

सबसे दिलचस्प नवाचार "पेलोड" kad.dll की उपस्थिति थी, जिसे एक P2P नेटवर्क के माध्यम से TDL-4 बॉट्स के बीच सूचना का आदान-प्रदान करने के लिए डिज़ाइन किया गया था। पी 2 पी का उपयोग करने वाले बोटनेट अब असामान्य नहीं हैं, लेकिन उनके अधिकांश कार्यान्वयन अपने निजी नेटवर्क पर आधारित हैं। TDL-4 मौजूदा सार्वजनिक फ़ाइल साझाकरण नेटवर्क Kad का उपयोग करता है। इस मामले में, पी 2 पी नेटवर्क की वास्तुकला आंशिक रूप से विकेंद्रीकृत थी ( यहां अधिक विवरण)। Kad.dll लाइब्रेरी ने nodes.dat फ़ाइल के रूप में कमांड सर्वरों में से एक से साथियों (बूटस्ट्रैप सूची) की एक सूची डाउनलोड की। Kad नेटवर्क ("स्वच्छ" या "संक्रमित") पर एक कंप्यूटर पर, ktzerules फ़ाइल रखी गई थी, जिसमें बॉट के लिए कमांड की एक एन्क्रिप्टेड सूची थी और इसे डिजिटल रूप से हस्ताक्षरित किया गया था। आदेशों की सूची जो ktzerules में हो सकती है:

• SearchCfg - Kad नेटवर्क पर एक नई ktzerules फ़ाइल की खोज करें;
• LoadExe - लोड करें और निष्पादन योग्य फ़ाइल चलाएं;
• कॉन्फ़िगरविराइट - cfg.ini में एक प्रविष्टि करें;
• खोज - काड नेटवर्क पर एक फ़ाइल के लिए खोज;
• प्रकाशित करें - काड नेटवर्क पर एक फ़ाइल प्रकाशित करें;
• नॉक - C & C की एक नई nodes.dat फ़ाइल डाउनलोड करें जिसमें संक्रमित TDSS कंप्यूटर सहित Kad नेटवर्क सर्वर और क्लाइंट के IP पतों की एक सूची है।

जैसा कि आप देख सकते हैं, काड नेटवर्क के माध्यम से, हमलावर संक्रमित कंप्यूटर पर किसी भी फ़ाइल तक पहुंच प्राप्त कर सकते हैं।

विचार जोर से

जैसा कि आप देख सकते हैं, टीडीएल के रचनाकारों ने अधिक श्रमसाध्य मार्ग लिया है, कर्नेल स्तर रूटकिट लिखना एक गैर-तुच्छ कार्य है। इस सब में, एक निश्चित "पुराने स्कूल" का अनुमान लगाया जाता है, अर्थात्, हमलावर न केवल वित्तीय लक्ष्यों का पीछा करते हैं, बल्कि किसी तरह से एंटीवायरस कंपनियों और माइक्रोसॉफ्ट को भी लगातार साबित करते हैं कि "उनका कुंग फू बेहतर है।" टीडीएल डेवलपर्स द्वारा उपयोग किए जाने वाले तरीके एंटीवायरस और ओएस सुरक्षा घटकों का मुकाबला करने के तरीकों के उनके विकास में आगे हैं। इसी समय, गोपनीय जानकारी प्राप्त करने के उद्देश्य से किए गए अधिकांश APT हमले किसी भी छिपाव का उपयोग किए बिना सुरक्षा साधनों को बायपास करने के लिए एक सरल कोड साइनिंग तकनीक से संतुष्ट हैं। इसमें एक निश्चित आर्थिक समझदारी है। टीडीएल डेवलपर्स नुकसान को कम करते हैं, स्वयं कोड विकसित करते हैं, हस्ताक्षर करने के लिए चोरी के प्रमाण पत्र का उपयोग नहीं करते हैं, सामान्य कारनामों का उपयोग करते हैं। उनका तरीका अजेयता में निरंतर काम है। साइबर जासूसों के पीछे बहुत बड़े पैसे वाले लोग हैं (जरूरी नहीं कि सिर्फ प्रतिस्पर्धी हों)। सिद्धांत यहां प्रबल है - जल्दी से आवश्यक जानकारी "लीक" हो गई और गायब हो गई। रहस्य चुराने की प्रक्रिया में, एक महत्वपूर्ण भूमिका इस तथ्य से निभाई जाती है कि चोरी के तथ्य का पता नहीं लगाया जाना चाहिए। इसलिए, बड़े विक्रेताओं के चोरी किए गए हस्ताक्षर हैं, और शून्य-दिन की कमजोरियां हैं, और अन्य "महंगी" चीजें हैं। यही है, सरल बायपास तकनीक (तकनीकी अर्थ में - खरीदा, संकलित, काम करता है) बल्कि बड़ी कीमतों पर। दूसरी ओर, यदि हम "सहबद्ध" कार्यक्रम के ढांचे में 1000 प्रतिष्ठानों के लिए $ 20 का आंकड़ा और 2009 से 2011 तक 20 मिलियन संक्रमणों का आंकड़ा (16 TDL-3 और 4 TDL-4) के आधार के रूप में लेते हैं, तो यह पता चलता है कि TDL के निर्माता खर्च करते हैं लगभग 200 हजार डॉलर प्रति वर्ष केवल वितरण के लिए। यानी उनके पास पैसा है। यह भी ध्यान दिया जाना चाहिए कि मुनाफे का मुद्रीकरण करने के लिए टीडीएसएस उन तरीकों का उपयोग करता है जो संक्रमित कंप्यूटरों की कंप्यूटिंग शक्ति को "चोरी" करते हैं, लेकिन उपयोगकर्ता को सीधे वित्तीय नुकसान नहीं पहुंचाते हैं। ये विधियाँ - बैनर रैपिंग, ब्लैक सेओ, बेनामी सेवा के प्रावधान - को शायद इसलिए चुना गया ताकि कानून प्रवर्तन एजेंसियां ​​जांच में कम रुचि लें। इसके अलावा, समूह स्वयं, जाहिरा तौर पर, रूसी-भाषी है, इसलिए पूर्व यूएसएसआर के देशों में, यदि संभव हो तो, कंप्यूटर संक्रमित नहीं हैं।