पोकरएजेंट विश्लेषण या 16 हजार फेसबुक अकाउंट चोरी करने का तरीका

हमने हाल ही में पोकरएजेंट पर एक प्रेस विज्ञप्ति प्रकाशित की जिसमें इस मैलवेयर की क्षमताओं का संक्षेप में वर्णन किया गया है। अब हम उसका विस्तृत अध्ययन प्रस्तुत करना चाहते हैं, उसके द्वारा किए गए लक्ष्यों के बारे में बताना, और उन अवसरों का वर्णन करना भी जो वह हमलावरों के लिए खोलते हैं।

पोकरएजेंट का उद्देश्य सोशल नेटवर्क फेसबुक और उसके उपयोगकर्ताओं से समझौता करना है। हम 2012 से बॉटनेट पर नज़र रख रहे हैं और पता चला है कि दुर्भावनापूर्ण कोड इसके लिए विकसित किया गया था:
● फेसबुक उपयोगकर्ता खातों के पंजीकरण डेटा का अपहरण;
● फेसबुक अकाउंट से जुड़े क्रेडिट कार्ड की जानकारी की चोरी;
● खेल Zynga पोकर में उपयोगकर्ता आँकड़े (अंक) की चोरी (इसके बारे में अधिक जानकारी यहाँ पाई जा सकती है )।

हमारे शोध प्रयोगशाला ने लगभग एक साल पहले इस दुर्भावनापूर्ण कोड की खोज की थी। इसका विश्लेषण करने की प्रक्रिया में, यह स्पष्ट हो गया है कि हम कुछ दिलचस्प काम कर रहे हैं, क्योंकि हमने इस कोड में निम्नलिखित विशेषताएं देखी हैं:
● फेसबुक लिंक और Zynga पोकर ऐप;
● निष्पादन योग्य फ़ाइल का नाम "पोकरएजेंट" है;
● बॉटनेट की कुछ विशेषताएं - ट्रोजन सी एंड सी कमांड सर्वर से निर्देश का अनुरोध करता है।

ESET इस ट्रोजन के विभिन्न वेरिएंट को MSIL / Agent.NKY के रूप में परिभाषित करता है। इसके संशोधनों में से एक की शुरुआती खोज के बाद, हमने जल्द ही दूसरों की खोज की - पुराने और नए दोनों - और वितरण के आंकड़े भी प्राप्त किए, जिसके अनुसार इज़राइल सबसे अधिक प्रभावित देश था।

हमने ट्रोजन के स्रोत कोड का एक गहन विश्लेषण किया (जो एक सरल कार्य निकला, क्योंकि यह सी # सुविधाजनक अपघटन के लिए लिखा गया था)।



मुख्य कार्यक्षमता

यह कहना सुरक्षित है कि इस दुर्भावनापूर्ण कोड के लेखक (या इसके वितरण में शामिल हैकर्स) के पास चोरी के पंजीकरण डेटा का एक व्यापक डेटाबेस, अर्थात् लॉगिन और पासवर्ड फेसबुक खातों से हैं। जांच की शुरुआत में, हम समझ नहीं पाए कि हमलावर इस तरह की जानकारी कैसे प्राप्त कर सकते हैं, लेकिन समय के साथ यह बात स्पष्ट हो गई।

योजना इस प्रकार है: जब बॉट (संक्रमित कंप्यूटर) C & C सर्वर से जुड़ता है, तो यह कार्य करने का अनुरोध करता है। ऐसा ही एक कार्य एक फेसबुक उपयोगकर्ता से समझौता करता है। दुर्भावनापूर्ण कोड इस उपयोगकर्ता के संचालन में लॉग करता है और गेम जिनेगा पोकर में अपने आंकड़े एकत्र करता है और खाते में संग्रहीत क्रेडिट कार्ड के बारे में जानकारी देता है। ध्यान दें कि इस तरह की योजना में, उपयोगकर्ता के पोकरएजेंट संक्रमित कंप्यूटर के लिए फेसबुक अकाउंट होना आवश्यक नहीं है। समझौता के लिए एक खाता चुनने का कार्य C & C सर्वर की ओर से हल किया जाता है, इस मामले में संक्रमित कंप्यूटर प्रॉक्सी की तरह कार्य करता है।

Zynga पोकर आँकड़े विशेष भेजे गए अनुरोध की प्रतिक्रिया पार्स करके प्राप्त किए जाते हैं : //facebook2.poker.zynga.com/poker/inc/ajax/profile_popup।
php? zid = 1:% _ FACEBOOK_ID% और हस्ताक्षरित_प्रश्न =% _ हस्ताक्षर% और मंच = 1 । इस लौटे उत्तर (छवि 1) में विभिन्न व्यक्तिगत जानकारी शामिल हैं: उपयोगकर्ता नाम, लिंग, प्रोफाइल फोटो, गेम रेटिंग और अंक, साथ ही दोस्तों की संख्या।


अंजीर। 1. उपयोगकर्ता डेटा एक विशेष लिंक के माध्यम से फेसबुक द्वारा लौटाता है जो दुर्भावनापूर्ण कोड का उपयोग करता है।

इसके अलावा, पोकरएजेंट इंट्रेस्ट ऑफ इंट्रेस्ट (यूजर जेंडर, गेम रेटिंग और पॉइंट्स) हमलावरों के C & C सर्वर को भेजा जाता है।

यह ध्यान देने योग्य है कि एक अपराधी को अनुरोध भेजने के लिए, पीड़ित की फेसबुक आईडी और जिंगा पोकर आवेदन के लिए एक विशेष " हस्ताक्षरित अनुरोध " पैरामीटर की आवश्यकता होती है (यह सुनिश्चित करने के लिए आवेदन की अनुमति देता है कि यह अनुरोध फेसबुक द्वारा भेजा गया था)। हमने पाया कि बॉट के विभिन्न संस्करण मापदंडों के एक अलग सेट का उपयोग करते हैं।

खाते से जुड़ी भुगतान विधियों की संख्या (चित्र 2) निर्धारित करने के लिए, बॉट खाते पर ऑपरेशन में लॉग इन करता है (उपयोगकर्ता नाम और पासवर्ड जो हमलावर के पास पहले से है) का उपयोग करता है। इसके बाद वह लिंक hxxps: //secure.facebook.com/settings; टैब = पेमेंट्सियन = तरीकों पर क्लिक करता है और फेसबुक से प्रतिक्रिया प्राप्त करता है। दुर्भावनापूर्ण कोड "टैग में आपके पास सहेजे गए भुगतान के तरीके हैं" वाक्य में टैग की सामग्री में रुचि है।


अंजीर। 2. दुर्भावनापूर्ण कोड का एक पृष्ठ जिसमें ऑनलाइन भुगतान विधियों की संख्या होती है।

प्राप्त जानकारी भी हमलावर सर्वर को भेजी जाती है और डेटाबेस में संग्रहीत की जाती है।

पोकरएजेंट में उस उपयोगकर्ता की दीवार पर फ़िशिंग लिंक प्रकाशित करने की क्षमता है, जिसके खाते में वह लॉग इन है। यह तकनीक उपयोगकर्ता खातों के पंजीकरण डेटा (लॉगिन और पासवर्ड) एकत्र करने का मुख्य तरीका है । तथ्य यह है कि इस तरह की योजना में फ़िशिंग का मुख्य उद्देश्य उपयोगकर्ता को एक पृष्ठ पर नकली लॉगिन और पासवर्ड के रूप में पुनर्निर्देशित करना है । इस प्रकार, यदि कोई उपयोगकर्ता अपने डेटा को इस रूप में दर्ज करता है, तो वे हमलावरों के हाथों में हैं।

लिंक प्रकाशित करने के लिए, हमलावर C & C सर्वर से कमांड भेजने की तकनीक का भी उपयोग करते हैं। एक विशेष आदेश और जानकारी खाते के लॉगिन और पासवर्ड युक्त बॉट में भेजी जाती है, जिसकी दीवार पर एक फ़िशिंग लिंक प्रकाशित किया जाएगा, साथ ही साथ लिंक - एक एन्क्रिप्टेड URL। यह जानकारी प्राप्त करने के बाद, दुर्भावनापूर्ण कोड फेसबुक खाते में प्रवेश करता है और उपयोगकर्ता की दीवार पर पहले से ही डिक्रिप्ट किए गए लिंक को प्रकाशित करता है। ऐसे लिंक का एक उदाहरण:


अंजीर। 3. फ़िशिंग लिंक जो पोकरएजेंट अपने दोस्तों या ग्राहकों के पंजीकरण डेटा प्राप्त करने के लिए उपयोगकर्ता की दीवार पर रखता है।

लिंक पृष्ठ की ओर जाता है, जो चित्र 4 में दिखाया गया है। बॉटनेट पर शोध करने की प्रक्रिया में, हमने कई ऐसे ही पृष्ठों का अवलोकन किया, जिनसे उपयोगकर्ता को नकली लॉगिन और पासवर्ड के रूप में पुनः निर्देशित किया गया था। हमारे टेलीमेट्री सिस्टम से पता चलता है कि अधिकांश मामलों में हमले का उद्देश्य इजरायली उपयोगकर्ताओं पर था।


अंजीर। 4. वह पेज जिससे उपयोगकर्ता सक्रिय तत्वों में से किसी एक पर क्लिक करते समय फर्जी फेसबुक लॉगइन फॉर्म पर पुनर्निर्देशित होता है।

इस पृष्ठ (छवि 4) पर विषयों के बावजूद, इसका एक लक्ष्य है - उपयोगकर्ता को अपने पंजीकरण डेटा दर्ज करने के लिए नकली रूप में पुनर्निर्देशित करना।


अंजीर। 5. फ़ेक फेसबुक लॉगिन फ़ॉर्म, जिसके उपयोग से उपयोगकर्ता हमलावरों के हाथों में अपना उपयोगकर्ता नाम और पासवर्ड देता है।

बॉट कोड का विश्लेषण इसकी एक दिलचस्प विशेषता दिखाता है (छवि 6)। हमें एक फ़ंक्शन मिला, जिसे ShouldPublish कहा जाता है, जो निर्धारित करता है कि उपयोगकर्ता की दीवार पर फ़िशिंग लिंक रखना है या नहीं। लिंक पोस्ट करने के कारणों में से एक आपके खाते में बंधे क्रेडिट कार्ड की कमी हो सकती है। एक और है अगर उपयोगकर्ता के पास कम गेम पॉइंट या अपर्याप्त गेम रेटिंग है।


अंजीर। 6. एक फ़ंक्शन जो "निर्णय" करता है कि उपयोगकर्ता की दीवार पर फ़िशिंग लिंक प्रकाशित करना है या नहीं।

आक्रमण

यह ध्यान दिया जाना चाहिए कि पोकरएजेंट वितरण के लिए फेसबुक का उपयोग नहीं करता है - यह अन्य ट्रोजन से इसका अंतर है। इस धमकी में साइबर अपराधियों का जोर जानकारी की चोरी पर था , क्योंकि दुर्भावनापूर्ण कोड में स्वयं वितरण कार्य नहीं होते हैं।

फेसबुक पर ध्यान सबसे लोकप्रिय सामाजिक नेटवर्क के उपयोगकर्ताओं के लिए खातों और भुगतान के साधनों तक पहुंच प्राप्त करने की हमलावरों की इच्छा से समझाया गया है। हालाँकि, बॉट केवल C & C सर्वर के माध्यम से दुर्भावनापूर्ण आदेशों को निष्पादित करता है, जो न केवल फेसबुक पर आदेश जारी कर सकता है। अंतत: किसी बॉट से संक्रमित उपयोगकर्ता के कंप्यूटर में सोशल नेटवर्क खाता भी नहीं हो सकता है, बस यह है कि उसके कंप्यूटर का उपयोग इन धोखाधड़ी गतिविधियों को प्रॉक्सी के रूप में करने के लिए किया जाएगा।



हमारी जांच के परिणामस्वरूप, यह स्थापित करना संभव था कि बॉटनेट का मुख्य उद्देश्य चोरी के फेसबुक लॉगिन और पासवर्ड के डेटाबेस का लगातार विस्तार करना या फिर से भरना है, क्रेडिट कार्ड को बचाया, साथ ही साथ जिंगा पोकर में खिलाड़ी के आंकड़े एकत्र करना है । हम केवल अनुमान लगा सकते हैं कि हमलावर इस जानकारी का उपयोग क्यों करना चाहते थे - इसे अन्य साइबर अपराधियों को बेचा जा सकता है, या हमलावर कुछ व्यक्तिगत उद्देश्यों के लिए इसका उपयोग कर सकता है।

बॉट कोड

हमारे द्वारा विश्लेषण किए गए मैलवेयर के नमूने C # में लिखे गए थे, इसलिए इस तरह के कोड को अर्थ और तर्क के न्यूनतम नुकसान के साथ स्रोत तक विघटित किया जा सकता है। चित्र 7 स्रोत कोड की संरचना को दर्शाता है। अन्य वर्गों के विवरण में जाने के बिना, हम कह सकते हैं कि मुख्य दुर्भावनापूर्ण कोड पॉपअप और प्रकाशित कक्षाओं में है। पॉपअप फेसबुक आईडी प्राप्त करने के लिए जिम्मेदार है और इस खाते के लिए जिंगा पोकर आँकड़े लौटाता है। प्रकाशन उपयोगकर्ता की दीवार पर फ़िशिंग लिंक प्रकाशित करने के लिए जिम्मेदार है।


अंजीर। 7. पोकरएजेंट का सोर्स कोड स्ट्रक्चर।

कमांड सी और सी सर्वर के साथ सहभागिता

C & C सर्वर के साथ सहभागिता SOAP प्रोटोकॉल का उपयोग करके की जाती है। दुर्भावनापूर्ण कोड में URL और मुख्य C & C के साथ कोड में वायर्ड दो सरणियाँ शामिल हैं, जो DES (ट्रोजन के विभिन्न संशोधनों में भिन्न होते हैं) का उपयोग कर एन्क्रिप्टेड हैं:
● पहला सरणी C & C सर्वर के पतों के भंडार के रूप में कार्य करता है, जहां बॉट को अपडेट, कॉन्फ़िगरेशन फ़ाइल, आदि के लिए आवेदन करने की आवश्यकता होती है।
● दूसरे का उपयोग आपके फेसबुक अकाउंट के चोरी हुए लॉगिन और पासवर्ड से संबंधित कार्य करने के लिए किया जाता है।

C & C सर्वर के प्रबंधन के लिए मुख्य URL पहले से ही दुर्भावनापूर्ण कोड फ़ाइल में हैं; अनिवार्य रूप से, ये यूआरएल लिंक हैं जहां बॉट वास्तविक सी एंड सी लिंक का अनुरोध करेगा। यही है, हम C & C को कॉल को व्यवस्थित करने का दो-स्तरीय तरीका देखते हैं, जो निश्चित रूप से, वांछित C & C लिंक पर जाने के लिए लचीलापन जोड़ता है, जो समय-समय पर बदलते रहते हैं। नीचे दी गई तालिका C & C सर्वर द्वारा समर्थित संभावित आदेशों को दिखाती है:



उदाहरण GetNextTask सर्वर संदेश:


अंजीर। 8. सर्वर संदेश GetNextTask।

फेसबुक सगाई

पोकरएजेंट कोड इस तरह से लिखा जाता है जैसे कि सोशल नेटवर्क फेसबुक से संबंधित दुर्भावनापूर्ण कार्य करते समय इसकी अधिकतम विश्वसनीयता सुनिश्चित करना। विशेष रूप से, यह वर्तमान में निष्पादित कार्य की स्थिति की निगरानी करता है और ऑपरेशन की स्थिति सर्वर को भेजता है। दुर्भावनापूर्ण कोड फेसबुक पेज को नेविगेट करने के लिए चल रहे ब्राउज़र के उदाहरणों का उपयोग करता है, जिससे उपयोगकर्ता के कार्यों का अनुकरण होता है। तब यह HTML को पार्स करता है, पाठ को भरता है, और आवश्यकतानुसार क्लिक करता है।

पोकरएजेंट में फेसबुक पर विशेष लॉगिन परिदृश्यों को संसाधित करने की क्षमता है - उदाहरण के लिए, यदि उपयोगकर्ता का खाता कहता है कि उन्हें केवल एक विशिष्ट डिवाइस से लॉग इन करने की अनुमति है (अन्यथा उपयोगकर्ता को लॉगिन करने के प्रयास की चेतावनी दी जाएगी)। नीचे दिया गया कोड स्निपेट इन क्रियाओं को करता है:


अंजीर। 9. पोकरएजेंट कोड जो फेसबुक के साथ इंटरैक्ट करता है।

उपयोगकर्ता की दीवार पर फ़िशिंग लिंक प्रकाशित करने के लिए, दुर्भावनापूर्ण कोड नीचे प्रस्तुत दो विधियों में से एक का उपयोग करता है। कॉन्फ़िगरेशन फ़ाइल निर्धारित करती है कि किसका उपयोग करना है।

लिंक प्रकाशित करने के लिए पहली विधि निम्नलिखित hxxp URL का उपयोग करना है : //www.facebook.com/sharer/shar.php. U =?


अंजीर। 10. पोकरएजेंट द्वारा उपयोग की जाने वाली फ़िशिंग लिंक प्रकाशित करने का एक तरीका।

दूसरा तरीका अद्यतन स्थिति फ़ॉर्म का उपयोग करना है, जिसे उपयोगकर्ता साझा करता है (आईडी के साथ HTML तत्व = "पेजलेट_कंपोजर")।


अंजीर। 11. स्थिति अद्यतन का उपयोग करके फ़िशिंग लिंक प्रकाशित करने की एक विधि।

धमकी फैलती है

पोकरएजेंट के सीधे वितरण के लिए, मार्च 2012 से इस गतिविधि में काफी कमी आई है। हम जानते हैं कि यह ट्रोजन किसी अन्य दुर्भावनापूर्ण प्रोग्राम का उपयोग करके उपयोगकर्ता के कंप्यूटर पर डाउनलोड किया जाता है - एक विशेष बूटलोडर / डाउनलोडर, जिसके कई संस्करण हमारे द्वारा खोजे गए थे।

यह बूटलोडर नेटवर्क पर भी देखा गया और फ़िशिंग का उपयोग करके फैल गया। ट्रोजन द्वारा उपयोग की जाने वाली प्रकृति और विधियों को देखते हुए, हम मानते हैं कि पोकरएजेंट डाउनलोडर को सोशल इंजीनियरिंग विधियों का उपयोग करके फेसबुक के माध्यम से वितरित किया गया था ।

हम दिसंबर 2011 से पोकरएजेंट को MSIL / Agent.NKY के रूप में पहचान रहे हैं। हमारी सामान्य खोजों के लिए धन्यवाद, हम इस दुर्भावनापूर्ण कोड के पहले और बाद के दोनों संस्करणों का पता लगाने में सक्षम थे। पोकरएजेंट के कुल 36 अलग-अलग संस्करणों को सितंबर 2011 से मार्च 2012 तक टाइमस्टैम्प के साथ खोजा गया था। इस तरह, हम पोकरएजेंट प्रोजेक्ट के सक्रिय विकास को ट्रैक कर सकते हैं।

हमारे बॉटनेट ट्रैकिंग सिस्टम ने बताया कि पोकरएजेंट द्वारा कम से कम 800 कंप्यूटर संक्रमित थे और हमलावरों ने कम से कम 16,194 फेसबुक खातों तक पहुंच प्राप्त की।

ईएसईटी लाइव ग्रिड का उपयोग करके प्राप्त आंकड़ों के लिए धन्यवाद, हमने देखा है कि दुर्भावनापूर्ण कोड के लेखक ने फरवरी 2012 के मध्य से पोकरएजेंट को सक्रिय रूप से वितरित करना बंद कर दिया है।


अंजीर। 12. PokerAgent के वितरण की गतिशीलता।

हमारे टेलीमेट्री सिस्टम के अनुसार, सभी MSIL / Agent.NKY के 99% लोग इजरायल में थे, और यह इस देश में था कि अधिकांश हमले दर्ज किए गए थे। इस मामले में आवश्यक जानकारी एकत्र करने के बाद, हमने इजरायल के कानून प्रवर्तन अधिकारियों का रुख किया। गोपनीयता के कारणों के लिए इस जांच के विवरण का खुलासा नहीं किया जा सकता है। हमने फेसबुक प्रशासन को भी सूचित किया, जिसने हमले के परिणामों को खत्म करने के लिए आवश्यक उपाय किए।

निष्कर्ष और सिफारिशें

"पोकरएजेंट" घटना सबसे बड़े सामाजिक नेटवर्क के उपयोगकर्ताओं और सबसे बड़ी पोकर साइट के खिलाड़ियों के खिलाफ एक सफल हमला है। हालाँकि, सुरक्षा के तरीके हैं, जिनका अनुपालन करने से हम इस तरह के हमलों से खुद को बचाएंगे।

• सतर्क रहें - यह मुख्य उपाय है जिसके द्वारा आप सामाजिक इंजीनियरिंग का उपयोग करके अपने आप को हमलों से बचा सकते हैं। प्रमाणीकरण लिंक वाले पृष्ठ को खोलते समय संदिग्ध लिंक पर क्लिक न करें और अपने ब्राउज़र के एड्रेस बार पर ध्यान दें।
• फेसबुक के पास अपने उपयोगकर्ताओं की सुरक्षा बढ़ाने के लिए कई तंत्र हैं - विशेष रूप से, दो-कारक प्रमाणीकरण तंत्र। इसका उपयोग करने पर विचार करें।
• हम आपको सलाह भी देते हैं कि दर्ज किए गए पासवर्ड को याद रखने के लिए ब्राउज़र या अन्य एप्लिकेशन को अनुमति देने से पहले सावधानी से सोचें।
• और अंत में, हम ईएसईटी सोशल मीडिया स्कैनर का उपयोग करने की सलाह देते हैं, जो एक फेसबुक एप्लीकेशन है जो सोशल नेटवर्क पर आपके खाते की सुरक्षा का ख्याल रखता है।