बंदूक की नोक पर लिनक्स

इस पोस्ट में हम लिनक्स ओएस पर हाल ही में खोजे गए खतरों और उस पर हुए हमलों के बारे में बात करना चाहते हैं। यह ज्ञात है कि यह ऑपरेटिंग सिस्टम उपयोगकर्ता कंप्यूटर पर सर्वर की तुलना में अधिक बार उपयोग किया जाता है। इस प्रकार, लिनक्स पर हमलों के दौरान साइबर अपराधियों द्वारा किए गए लक्ष्यों की अपनी विशिष्टताएं हैं जो विंडोज सिस्टम पर सामान्य हमलों से अलग हैं।

पहले भाग में, हम लिनक्स / SSHDoor.A के बारे में बात करेंगे, एक खतरा जो साइबर अपराधियों द्वारा एक समझौता किए गए सर्वर तक छिपी पहुंच प्राप्त करने और जानकारी चुराने के लिए उपयोग किया जाता है। सामग्री का दूसरा भाग लिनक्स सर्वरों के खिलाफ हमलों के अध्ययन के लिए समर्पित है जो अपाचे को वेब सर्वर के रूप में उपयोग करते हैं।



लिनक्स / SSHDoor.A

हाल ही में, हमारे एंटी-वायरस प्रयोगशाला में विश्लेषण के लिए एक दिलचस्प नमूना प्राप्त हुआ था। यह लिनक्स के लिए SSH डेमॉन का एक दुर्भावनापूर्ण संस्करण है। इस डेमन में पिछले दरवाजे की कार्यक्षमता है और यह हमलावरों को एक समझौता किए गए सर्वर तक पहुंच प्रदान करता है।

याद रखें कि सिक्योर शेल प्रोटोकॉल (SSH) एक बहुत लोकप्रिय प्रोटोकॉल है जो सुरक्षित डेटा विनिमय के लिए उपयोग किया जाता है। यह यूनिक्स दुनिया में व्यापक रूप से फ़ाइलों को स्थानांतरित करने, दूरस्थ सर्वरों का प्रबंधन करने आदि के लिए उपयोग किया जाता है। यहां वर्णित संशोधित SSH डेमॉन को उपयोगकर्ता नाम और पासवर्ड चोरी करने के लिए डिज़ाइन किया गया है, और यह आपको सर्वर के लिए या तो पासवर्ड के माध्यम से खोलने की अनुमति देता है जो दुर्भावनापूर्ण कोड में हार्ड-कोडित है, या एक विशेष SSH कुंजी के माध्यम से।

ऐसी लाइनें जो एक कानूनी बाइनरी फ़ाइल से समझौता करती हैं, जिससे इसके गुप्त या दुर्भावनापूर्ण व्यवहार का पता लगाया जा सकता है, सामान्य XOR एल्गोरिथ्म का उपयोग करके एन्क्रिप्ट किया जाता है। हमें ऐसी 16 लाइनें मिलीं। नीचे दिया गया आंकड़ा इस छिपे हुए डेटा को डिक्रिप्ट करने के लिए (डिक्रिप्शन के लिए निरंतर 0x23 का उपयोग करके) कोड के हिस्से को दिखाता है।


अंजीर। दुर्भावनापूर्ण कोड जो स्ट्रिंग्स के डिक्रिप्टर का उपयोग करता है।

HTTP प्रोटोकॉल का उपयोग चोरी के डेटा को रिमोट सर्वर पर भेजने के लिए किया जाता है। डेटा 1024-बिट RSA कुंजी का उपयोग करके एन्क्रिप्ट किया गया है, जो एक बाइनरी फ़ाइल में संग्रहीत है, फिर बेस 64 का उपयोग करके एन्क्रिप्ट किया गया है और HTTP प्रोटोकॉल के लिए POST अनुरोध के माध्यम से सर्वर को भेजा गया है।


अंजीर। एक POST HTTP अनुरोध का एक उदाहरण जिसके माध्यम से डेटा चोरी हो जाता है सर्वर पर भेजा जाता है।

हमारे द्वारा विश्लेषण की गई बाइनरी फ़ाइल में डेटा एकत्र करने के लिए उपयोग किए जाने वाले सर्वर के दो डोमेन पते शामिल हैं: Opensh.info, linuxrepository.org। संभवतः इन दोनों नामों को विशेष रूप से समझौता किए गए सर्वरों के प्रशासकों की ओर से संदेह से बचने के लिए चुना गया था। विश्लेषण के समय, इन नामों ने आइसलैंड में स्थित एक सर्वर को आईपी 82.221.99.69 के साथ इंगित किया।

जब डेमॉन चल रहा होता है, तो दुर्भावनापूर्ण कोड रिमोट सर्वर को आईपी पते और पोर्ट नंबर को भेजता है जिसके तहत यह काम करता है, साथ ही सर्वर का होस्ट नाम भी।


अंजीर। पिछले दरवाजे द्वारा भेजे गए सेवा डेटा।

जब भी कोई उपयोगकर्ता सफलतापूर्वक हैक किए गए सर्वर में प्रवेश करता है, तो उपयोगकर्ता नाम और पासवर्ड भी दूरस्थ सर्वर को भेज दिए जाते हैं। पहचान की चोरी के अलावा, एक पिछले दरवाजे से दो अलग-अलग तरीकों से एक समझौता सर्वर पर नियंत्रण के साथ एक हमलावर प्रदान करता है। सबसे पहले, इसमें एक अंतर्निहित पासवर्ड, एक हार्ड-वायर्ड पासवर्ड है। यदि कोई उपयोगकर्ता इस पासवर्ड का उपयोग करके लॉग इन करने की कोशिश करता है, तो वह स्वचालित रूप से समझौता किए गए सर्वर तक पहुंच प्राप्त करता है। नीचे दिया गया आंकड़ा उस कोड को दिखाता है जो उस कोड के बीच पासवर्ड की तुलना करने के लिए ज़िम्मेदार है जिसे कोड में सीवन किया गया था और वह है जिसे उपयोगकर्ता ने लॉगिन करने की कोशिश करते समय टाइप किया था।


अंजीर। दुर्भावनापूर्ण पासवर्ड तुलना कोड।

दूसरे, संशोधित बाइनरी फ़ाइल में SSH कुंजी है। यदि कोई उपयोगकर्ता सार्वजनिक कुंजी से संबंधित किसी निजी कुंजी का उपयोग कर सर्वर पर लॉग ऑन करता है, जिसे धमकी फ़ाइल के कोड में वायर्ड किया जाता है, तो उसे स्वचालित रूप से एक्सेस दी जाती है।

पिछले दरवाजे भी /var/run/.options फ़ाइल से कॉन्फ़िगरेशन डेटा प्राप्त कर सकते हैं। यदि ऐसी कोई फ़ाइल मौजूद है, तो दुर्भावनापूर्ण कोड इस फ़ाइल में संग्रहीत होस्ट नाम, पासवर्ड और SSH कुंजी का उपयोग करता है।

लिनक्स / Chapro.A का उपयोग कर लिनक्स हमला

नीचे हम लिनक्स सर्वर पर हमले के बारे में बात करेंगे जो अपाचे वेब सर्वर का उपयोग करते हैं (और नेटवर्क पर आधे से अधिक हैं)। अपाचे नामक एक विशेष मैलवेयर मॉड्यूल की खोज करने के लिए हम गंभीर रूप से चिंतित थे। इस मॉड्यूल का उपयोग किसी छेड़छाड़ वाले वेब सर्वर द्वारा प्रदर्शित वेब पेजों में दुर्भावनापूर्ण सामग्री को इंजेक्ट करने के लिए किया जाता है । हमने यह भी पता लगाया कि इस दुर्भावनापूर्ण कोड का उपयोग क्रेडिट कार्ड और ऑनलाइन बैंकिंग से संबंधित गोपनीय डेटा चोरी करने के लिए किया गया था ।

विश्लेषित अपाचे मालवेयर मॉड्यूल को हमारे द्वारा Linux / Chapro.A के रूप में जोड़ा गया था। इसका मुख्य कार्य इस समझौता किए गए सर्वर द्वारा प्रबंधित वेब पृष्ठों में दुर्भावनापूर्ण सामग्री को इंजेक्ट करना है। अध्ययन के दौरान, यह पता चला कि एक विशेष आइफ्रेम की शुरुआत के माध्यम से, हमलावर उपयोगकर्ता को प्रसिद्ध Win32 / Zbot बैंकिंग ट्रोजन के संशोधनों में से एक की छिपी स्थापना के लिए पुनर्निर्देशित करते हैं, जो आमतौर पर संक्रमित मशीनों से बैंक गुप्त जानकारी चोरी करने के लिए उपयोग किया जाता है।


अंजीर। लिनक्स / Chapro.A का उपयोग कर हमले की योजना।

हमने यह भी पाया कि इस मॉड्यूल में कई दिलचस्प विशेषताएं हैं जो इसे सिस्टम प्रशासक से सफलतापूर्वक छिपाते हैं। इस दुर्भावनापूर्ण अपाचे मॉड्यूल के विश्लेषण के अलावा, हम दुर्भावनापूर्ण सामग्री का विश्लेषण प्रस्तुत करेंगे जो वह शुरू करने और मुख्य पेलोड के अवलोकन में शामिल थी - Win32 / Zbot Trojan।

Linux / Chapro.A वेब पेज इंफ़ेक्टर

दुर्भावनापूर्ण कोड एक विशेष अपाचे मॉड्यूल है - x64 बाइनरी फ़ाइल। वह XOR एल्गोरिथ्म और 12-बाइट कुंजी का उपयोग करके अपनी लाइनों को बाधित करने की तकनीक का उपयोग करता है। इसमें सिस्टम एडमिनिस्ट्रेटर से अपनी उपस्थिति को छिपाने के उद्देश्य से कई विशेषताएं शामिल हैं - इसके लिए, उपयोगकर्ता को दुर्भावनापूर्ण सामग्री के साथ एक वेब पेज पास करने से पहले, मॉड्यूल कई चेक करता है।

सबसे पहले, यह ज्ञात बॉट और ब्राउज़रों की उपस्थिति के लिए ब्राउज़र के उपयोगकर्ता एजेंट की जांच करता है जो क्लाइंट सिस्टम के संक्रमित होने पर उपयोग किए जाने वाले शोषण सेट के लिए असुरक्षित नहीं हैं। यदि इस वेब पेज तक पहुँचने वाले क्लाइंट ब्राउज़र में एक उपयोगकर्ता एजेंट है जो दुर्भावनापूर्ण कोड द्वारा वेब क्रॉलर के रूप में पहचाना जाता है, तो ग्राहक से दुर्भावनापूर्ण सामग्री (iframe) छिपाई जाती है।


अंजीर। उपयोगकर्ता एजेंटों की एक सूची जिसमें से दुर्भावनापूर्ण कोड एम्बेडेड सामग्री छुपाता है।

दूसरे, लिनक्स / चैप्रो. लिनक्स सिस्टम पर सभी सक्रिय एसएसएच सत्रों की जांच करता है जिसमें यह इस संबंध में शामिल आईपी पते को निर्धारित करने के लिए चल रहा है। यदि कोई विज़िटर उस सिस्टम के पेज को देखता है जिसमें SSH कनेक्शन की सूची से एक IP पता है, तो वह क्लाइंट को दुर्भावनापूर्ण सामग्री पर पुनर्निर्देशित नहीं करेगा। यह तकनीक इस सामग्री को सिस्टम प्रशासक या वेब डेवलपर्स से छिपाने में मदद करती है जो इस वेब सर्वर पर चल रहे हों।

तीसरा, लिनक्स / Chapro.A वेब पेज की सामग्री में एक दुर्भावनापूर्ण iframe एम्बेड करने से पहले, यह क्लाइंट के वेब ब्राउज़र वातावरण में कुकीज़ सेट करता है। यदि क्लाइंट ब्राउज़र में पहले से ही समान कुकीज नहीं हैं, तो कोई भी दुर्भावनापूर्ण सामग्री क्लाइंट को प्रेषित नहीं की जाएगी। इस दृष्टिकोण के साथ, एक ही आगंतुक को हर बार वेब सर्वर तक पहुंचने पर दुर्भावनापूर्ण सामग्री प्राप्त नहीं होगी, जो संक्रमण के कारणों और तरीकों की जांच को भी जटिल करता है।

और अंत में, चौथा, लिनक्स / Chapro.A IP पते की एक सूची संग्रहीत करता है जो पहले से ही दुर्भावनापूर्ण सामग्री प्राप्त कर चुके हैं। यदि कोई उपयोगकर्ता एक ही आईपी पते से दो बार किसी संक्रमित वेबसाइट पर जाता है, तो उसे केवल एक बार ही ऐसी सामग्री प्राप्त होगी। यह क्लाइंट के संक्रमण के कारणों की पहचान करने के लिए अतिरिक्त कठिनाइयाँ भी पैदा करता है।

लिनक्स / Chapro.A का उपयोग करके लागू की गई सामग्री

जैसा कि हमने उल्लेख किया है, लिनक्स / Chapro.A का मुख्य कार्य अपाचे वेब सर्वर द्वारा प्रस्तुत वेब पृष्ठों में दुर्भावनापूर्ण iframes को इंजेक्ट करना है। इस तरह के iframes प्राप्त करने के लिए, मैलवेयर 10 मिनट की आवृत्ति के साथ अपने C & C कमांड सर्वर पर HTTP POST अनुरोध भेजता है। निम्न आकृति इन प्रश्नों में से एक दिखाती है।


अंजीर। Linux / Chapro.A से C & C सर्वर के लिए अनुरोध।

हमारे विश्लेषण के समय, यह C & C जर्मनी में स्थित था। सर्वर को भेजा गया अनुरोध काफी सरल है और इसमें मैलवेयर का संस्करण और साथ ही ओएस का संस्करण भी शामिल है जिसमें यह चलता है। कमांड सर्वर इन अनुरोधों का जवाब एक iframe के साथ देता है, जिसे दुर्भावनापूर्ण Apache मॉड्यूल का उपयोग करके लागू किया जाना चाहिए। यह प्रेषित iframe base64 और XOR का उपयोग करके एन्क्रिप्ट किया गया है। यदि एक समझौता किए गए सर्वर के लिए आगंतुक किसी भी सूची में नहीं आता है, जिसके बारे में हमने पिछले अनुभाग में बात की थी, तो वह वेब पेज की एक प्रतिलिपि एक एम्बेडेड iframe के साथ प्राप्त करता है जिसे C & C सर्वर से डाउनलोड किया गया था।

नीचे दी गई छवि एक वेब पेज से समझौता करने वाले iframe के लिए HTML कोड दिखाती है। दिलचस्प बात यह है कि उपयोगकर्ता के ध्यान से बचने के लिए, यह दुर्भावनापूर्ण iframe ब्राउज़र द्वारा प्रदर्शित क्षेत्र के बाहर स्थित है।


अंजीर। दुर्भावनापूर्ण iframe।

हमले में प्रयुक्त कारनामों का एक सेट

हमारे विश्लेषण के क्रम में, हमने पाया कि आइफ्रेम, जो लिनक्स / चैप्रो का उपयोग करके तैनात किया गया है, उपयोगकर्ता को "स्वीट ऑरेंज" के शोषण सेट पर पुनर्निर्देशित करता है। हमारे विश्लेषण के समय, यह लैंडिंग पृष्ठ वाला पृष्ठ (सर्वर) लिथुआनिया में स्थित था। ये कारनामे आधुनिक ब्राउज़रों और प्लगइन्स में निम्नलिखित कमजोरियों का फायदा उठाने की कोशिश करते हैं:
● CVE-2012-5076: जावा JAX-WS क्लास हैंडलिंग
● CVE-2012-4681: जावा getField Method क्लास इनवोकेशन प्रिविलेज एस्केलेशन
● CVE-2006-0003: इंटरनेट एक्सप्लोरर MDAC
● CVE-2010-0188: Adobe Reader LibTiff पूर्णांक अतिप्रवाह

यदि शोषण का एक सेट इन कमजोरियों में से एक का फायदा उठाने में सक्षम है, तो यह पीड़ित की मशीन पर एक दुर्भावनापूर्ण पेलोड निष्पादित करता है।

हमला पेलोड

हमले का अंतिम लक्ष्य Win32 / Zbot बैंकिंग ट्रोजन (आमतौर पर ज़ीउस के रूप में जाना जाता है) के संशोधनों में से एक को स्थापित करना है। हमारे मामले में, Win32 / Zbot यूरोपीय और रूसी बैंकिंग संस्थानों के उद्देश्य से है। नीचे दिया गया स्क्रीनशॉट ग्राहकों को बैंक खाते तक ऑनलाइन पहुंच प्रदान करने के लिए बैंकों द्वारा उपयोग किए गए फॉर्म को दिखाता है।


अंजीर। मूल वेब फ़ॉर्म का उपयोग उपयोगकर्ता को ऑनलाइन बैंकिंग प्रणाली में प्रवेश करने के लिए किया जाता है।

जैसा कि हम देख सकते हैं, बैंकिंग प्रणाली उपयोगकर्ता को चेतावनी देती है कि ऑनलाइन बैंकिंग प्रणाली पिन कोड, सीवीसी / सीवीवी कोड या सीधे बैंक कार्ड से जुड़े अन्य डेटा के रूप में अतिरिक्त, सख्ती से गोपनीय जानकारी नहीं मांगेगी और केवल उसके मालिक से संबंधित होगी। । हालाँकि, जब कोई उपयोगकर्ता ज़ीउस-संक्रमित कंप्यूटर से इस पृष्ठ पर जाता है, तो यह चेतावनी प्रदर्शित रूप से सफलतापूर्वक हटा दी जाती है। नीचे दिया गया स्क्रीनशॉट ऐसा ही एक मामला दिखाता है।


अंजीर। एक समझौता किए गए वेब पेज पर एक वेब फॉर्म जिसमें उपयोगकर्ता के लिए अतिरिक्त चेतावनी नहीं होती है।

जैसे ही उपयोगकर्ता अपने खाते के तहत बैंकिंग प्रणाली में सफलतापूर्वक प्रवेश करता है, दुर्भावनापूर्ण कोड एक पॉप-अप विंडो प्रदर्शित करता है जिसमें उसे कार्ड का CVV कोड दर्ज करने के लिए कहा जाएगा। यह इस बात की बेअदबी के बारे में ठीक है कि मूल, गैर-समझौता किए गए वेब फॉर्म में जानकारी चेतावनी देती है। इसके बाद, दुर्भावनापूर्ण कोड उपयोगकर्ता और उसके CVV के क्रेडेंशियल्स को हमलावरों को भेजने की कोशिश करेगा।