Win32 / Red जिम और TDL4 में क्या आम है?

2013 की शुरुआत के बाद से, हमने ट्रोजन कार्यक्रमों के एक दिलचस्प परिवार पर नज़र रखना शुरू कर दिया - Win32 / Redyms। यह खतरा उल्लेखनीय है कि यह लोकप्रिय खोज इंजनों के खोज प्रश्नों के परिणामों को खराब करने की तकनीक का उपयोग करता है। हमने पाया कि इसे संयुक्त राज्य अमेरिका और कनाडा में सबसे बड़ा वितरण मिला । यह इन देशों में है कि साइबर क्रिमिनल मार्केट किसी लोकप्रिय खोज इंजन से दुर्भावनापूर्ण या विज्ञापन संसाधनों के लिए उपयोगकर्ता को पुनर्निर्देशित (क्लिक करने) के लिए उच्चतम मूल्य प्रदान करता है।

हमारे लीड एनालिस्ट अलेक्जेंडर मैट्रोसोव ने Win32 / Redyms का गहन विश्लेषण किया। नतीजतन, इस दुर्भावनापूर्ण कोड की एक और प्रोग्राम, Win32 / Agent.TJO के साथ समानता, जिसे ओलमारिक / TDL4 परिवार के हिस्से के रूप में भी जाना जाता है, की खोज की गई थी। Win32 / Agent.TJO एक उपयोगकर्ता-मोड ट्रोजन है जो TDL4 घटकों में से एक के क्लिकर तंत्र पर आधारित है। TDL4, Win32 / Agent.TJO और Win32 / Redyms दोनों ब्राउज़र द्वारा प्रेषित नेटवर्क ट्रैफ़िक के प्रबंधन के लिए समान तंत्र का उपयोग करते हैं। ट्रैफ़िक को नियंत्रित करने के लिए, बॉट Microsoft Windows सॉकेट प्रदाता लाइब्रेरी (mswsock.dll) से कई कार्यों को स्वीकार करता है:




अंजीर। Mswsock.dll लाइब्रेरी फ़ंक्शंस को इंटरसेप्ट करना।

इन दुर्भावनापूर्ण कार्यक्रमों के सभी तीन परिवार अवरोधन कार्यों के समान तरीकों का उपयोग करते हैं, साथ ही साथ RC4 एन्क्रिप्शन एल्गोरिथ्म का उपयोग करके एन्क्रिप्ट किए गए C & C सर्वर के साथ बातचीत करते हैं।

C और C सर्वर के साथ बातचीत के लिए जिम्मेदार फ़ंक्शन का ग्राफ निम्नानुसार है:


अंजीर। C & C फ़ंक्शन का ग्राफ़।

Win32 / Redyms की एक और दिलचस्प विशेषता डोमेन जेनरेशन एल्गोरिथम (डीजीए) में खोजी गई थी, जो बातचीत के लिए C & C सर्वर का चयन करती है। यह एल्गोरिथ्म प्रारंभिक वर्णक्रम के अनुसार सरल वर्णमाला क्रमपरिवर्तन और अन्य परिवर्तनों पर आधारित है। नीचे दिए गए आंकड़े अजगर में इस एल्गोरिथ्म के पुनर्निर्माण के साथ-साथ नियमित रूप से विघटित कोड दिखाते हैं।


अंजीर। पुनर्निर्मित अजगर डीजीए फ़ंक्शन कोड।


अंजीर। डिकम्पोज्ड डीजीए फ़ंक्शन कोड।


अंजीर। सी एंड सी दुर्भावनापूर्ण कोड सर्वर की सूची।

उपरोक्त आंकड़ों में दिखाई गई सूची में से पहला डोमेन नाम दिसंबर 2012 के मध्य में दर्ज किया गया था - जनवरी 2013 की शुरुआत में। यह अप्रत्यक्ष रूप से इंगित करता है कि Win32 / Redyms दिसंबर के अंत से वितरित किया गया है।

Win32 / Redyms सभी सक्रिय प्रक्रियाओं में अपने दुर्भावनापूर्ण कोड को एम्बेड करता है। यदि एम्बेडेड कोड यह पता लगाता है कि यह ब्राउज़र एप्लिकेशन में काम करता है, तो यह इस प्रक्रिया में एक विशेष थ्रेड बनाता है, और mswsock.dll लाइब्रेरी से फ़ंक्शंस भी स्वीकार करता है।


अंजीर। Win32 / रेड्स दुर्भावनापूर्ण कोड का एक हिस्सा जो ब्राउज़र प्रक्रिया में एक विशेष थ्रेड बनाता है।

कार्यान्वित कोड एक चल रही ब्राउज़र प्रक्रिया में नेटवर्क गतिविधि को स्वीकार करता है और नीचे दिए गए चित्र में दिखाई गई सूची से खोज इंजनों को खोजने की कोशिश करता है।


अंजीर। दुर्भावनापूर्ण कोड को ट्रैक करने वाले खोज इंजनों की सूची।

यदि यह खोज इंजन गतिविधि का पता लगाता है, तो सभी खोज क्वेरी को C & C कमांड सर्वर पर पुनर्निर्देशित किया जाता है, और खोज क्वेरी के दौरान प्रदान किए गए URL को C & C से प्राप्त किए गए लोगों के अनुसार बदल दिया जाता है। URL सत्यापन कोड WSPSend () फ़ंक्शन के अवरोधन पर आधारित है, जो डेटा संग्रहीत करने के लिए AVL पेड़ों को संरचना के रूप में उपयोग करता है। एवीएल पेड़ों की संरचनाओं के साथ काम करने के लिए, दुर्भावनापूर्ण कोड कर्नेल 32.dll से RTL_GENERIC_TABLE संरचना का उपयोग करता है। TDL4 cmd.dll उपयोगकर्ता-मोड घटक में समान विचारों का उपयोग करता है।