Win32 / DoS.OutFlare.A का उद्देश्य CloudFlare की एंटी-डीडीओएस सेवा को बायपास करना है

CloudFlare एक लोकप्रिय CDN वेबसाइट सपोर्ट सर्विस है और इसमें विभिन्न प्रकार की सेवाएं शामिल हैं, जैसे कि अंतिम उपयोगकर्ता के लिए वेब पेज लोड करने में तेजी लाना, सुरक्षा फीचर्स, उदाहरण के लिए, एंटी-डीडीओएस। हमने एक दुर्भावनापूर्ण प्रोग्राम - Win32 / DoS.OutFlare.A की खोज की, जिसका उद्देश्य क्लाउडसेलेर नियंत्रण में आने वाली साइटों पर DoS हमलों को करने के लिए इस सेवा को दरकिनार करना है। हमारा विश्लेषण Win32 / DoS.OutFlare.A पर केंद्रित है।



दुर्भावनापूर्ण कोड का व्यवहार विशेष रूप से ध्यान देने योग्य नहीं है। प्रारंभ में, वह सिस्टम में उनके रहने के प्रमाण के रूप में म्यूटेक्स ग्लोबल \ sad_day बनाने की कोशिश करता है। सफल होने पर, यह स्वयं को% APPDATA% निर्देशिका में कॉपी करता है, स्वतः ऑटोरन में जोड़ता है, और पुनरारंभ होता है। उसके बाद, OutFlare इंटरनेट एक्सप्लोरर ब्राउज़र प्रक्रिया की एक प्रतिलिपि शुरू करता है - iexplore.exe राज्य में निलंबित करता है और इसमें अपना पेलोड लागू करता है।


अंजीर। CloudFlare अलग-अलग थ्रेड्स में महत्वपूर्ण कार्य करता है।

अपने प्रबंधन C & C सर्वर से कनेक्ट करने से पहले, दुर्भावनापूर्ण कोड सार्वजनिक सेवाओं www.speakeasy.net का उपयोग करके आउटगोइंग डाउनलोड की गति को मापने के लिए तीन परीक्षण करता है और इन परिणामों को मेमोरी में संग्रहीत करता है। उसके बाद, बॉट टीसीपी पोर्ट 9835 और चैनल # मेन का उपयोग करके आईआरसी सर्वर से जुड़ता है। इस बिंदु पर, बॉट आइडल स्टेट में होगा, सर्वर से कमांड का इंतजार करेगा। इनमें से अधिकांश कमांड DoS के हमले हैं। उनमें से एक - "सीएफ", विशेष रूप से दिलचस्प है। यह टीम CloudFlare के लिए क्लाइंट-साइड एंटी- DDoS वर्कअराउंड को लागू करने के लिए ज़िम्मेदार है।


अंजीर। बॉट द्वारा समर्थित आदेशों की सूची।

CloudFlare सेवा DDoS हमलों को रोकने के उद्देश्य से एक विशेष विधि का उपयोग करती है। इस तरह की प्रणाली में, क्लाइंट को कुछ शर्तों को पूरा करना चाहिए, जब CloudFlare द्वारा नियंत्रित साइट तक पहुंच हो, जो निश्चित रूप से यह सुनिश्चित करना चाहिए कि अनुरोध वैध है और उपयोगकर्ता के ब्राउज़र से आता है। सेवा ब्राउज़र को एक विशेष जावा स्क्रिप्ट निष्पादित करने के लिए कहती है, जो एक गणितीय अभिव्यक्ति है, जबकि नेत्रहीन, उपयोगकर्ता के लिए CloudFlare द्वारा सत्यापन नीचे दिए गए आंकड़े की तरह दिखता है:



पृष्ठ में POST अनुरोध का एक विशेष रूप है, जिसका उपयोग सर्वर पर प्रतिक्रिया भेजने के लिए किया जाएगा। इस फॉर्म के तुरंत बाद जावास्क्रिप्ट कोड का एक टुकड़ा है जो गणितीय अभिव्यक्ति की गणना करता है और पिछले फॉर्म से एक POST अनुरोध करता है।


अंजीर। HTTP अनुरोध का POST फ़ॉर्म।


अंजीर। एक गणितीय अभिव्यक्ति की गिनती।

उपयोगकर्ता का वेब ब्राउज़र इस जावास्क्रिप्ट को निष्पादित करेगा और HTTP POST अनुरोध निष्पादित करेगा, जो नीचे स्क्रीनशॉट की तरह दिखेगा। सर्वर को भेजे गए इस जवाब में गणितीय अभिव्यक्ति का परिकलित मान होगा।



यदि अभिव्यक्ति की सही गणना की गई थी, तो CloudFlare सेवा सर्वर से कनेक्शन की पुष्टि करने वाली विशेष कुकीज़ सेट करके जवाब देगी। सर्वर के साथ इस खुले सत्र के दौरान आगे के अनुरोधों में इस कुकी के लिंक क्लाउडफ़्लेयर को एक विशेष चेक को दरकिनार करके सीधे सर्वर को एक अनुरोध भेजने का कारण बनेंगे।



Win32 / DoS.OutFlare.A में कार्यक्षमता शामिल है जिसका उद्देश्य इस सुरक्षात्मक तंत्र को बायपास करना है। यह वेब पेज के कोड के हिस्से का विश्लेषण करता है और जेएस क्लाउडफ्लेर कार्यक्षमता के आवश्यक हिस्से पर मैचों की तलाश करता है। आवश्यक मापदंडों की पहचान होने के बाद, दुर्भावनापूर्ण कोड गणितीय अभिव्यक्ति की गणना करता है और इसे आवश्यक कुकी प्राप्त करने के लिए सर्वर पर भेजता है, जो एक वास्तविक वेब सर्वर पर DDoS हमले के संचालन के लिए आवश्यक है।


अंजीर। अभिव्यक्ति का मूल्यांकन करने का पुनः प्रयास।


अंजीर। अभिव्यक्ति की गणना।