कैपहा बैंकिंग ट्रोजन वेब इंजेक्शन प्लगइन का उपयोग करके यूरोपीय बैंकों पर हमला करता है

Win32 / Caphaw बैंकिंग मालवेयर ( शायलॉक के रूप में भी जाना जाता है) साइबर अपराधियों द्वारा बड़े यूरोपीय बैंकों पर हमले शुरू करने के लिए इस्तेमाल किया गया था जो एक वर्ष से अधिक समय तक चले थे। यह धमकी 2011 के पतन में फैलने लगी। हमारे सहयोगी अलेक्जेंडर मैट्रोसोव ने इस बैंकिंग ट्रोजन का एक विस्तृत विश्लेषण किया, और हम इस विश्लेषण के दौरान किए गए सबसे दिलचस्प निष्कर्षों को प्रस्तुत करना चाहते हैं। Win32 / Caphaw को इस तथ्य से अन्य समान खतरों से अलग किया जाता है कि यह उन कुछ ट्रोजन में से एक है जो उपयोगकर्ता द्वारा इस खाते के साथ सक्रिय रूप से काम करने पर बैंक खाते से धन की चोरी कर सकते हैं।



वितरण भूगोल दर्शाता है कि इंग्लैंड, इटली, डेनमार्क और तुर्की में Win32 / Caphaw प्रबल है। हमारे ईएसईटी वायरस राडार के आंकड़ों के अनुसार, ट्रोजन की सबसे अधिक अवधि दिसंबर 2012 की अवधि है। निम्न स्क्रीनशॉट में पिछले सप्ताह के दौरान Win32 / Caphaw वितरण का भूगोल (अध्ययन के समय) दिखाया गया है।


अंजीर। कैपहाव की व्यापकता भूगोल।

नाव

Win32 / Caphaw में एक विशिष्ट बैंकिंग मैलवेयर की क्षमताएं हैं, और यह उस वातावरण को सत्यापित करने की क्षमता भी है जिसमें वे इसे चलाने का प्रयास करते हैं। इस तरह के चेक, जाहिर तौर पर, ड्रॉपर को नमूनों के स्वत: विश्लेषण के लिए डिज़ाइन किए गए सिस्टम में शुरू करने से रोकने के लिए हैं। हमने पाया कि Caphaw सभी चल रही प्रक्रियाओं में अपना कोड एम्बेड करता है, और C & C से भेजे गए कार्यों को निष्पादित करने के लिए एक बहु-थ्रेडेड आर्किटेक्चर है। यह कोड नामित पाइपों का उपयोग करके इंटरप्रोसेस संचार तंत्र (IPC) का उपयोग कर सकता है।


अंजीर। एक स्ट्रीम बनाना जिसमें आईपीसी इंटरैक्शन होगा।

Caphaw सिस्टम फ़ंक्शंस के लिए कई हुक सेट करता है। विशेष रुचि advapi32 के लिए हुक कार्य है ! InitiateSystemShutdownEx । यह सिस्टम को रिबूट करने और बंद करने की प्रक्रिया को नियंत्रित कर सकता है, और दुर्भावनापूर्ण कोड को सिस्टम में अपनी पुनर्स्थापना प्रदर्शन करने की अनुमति देता है।


अंजीर। Advapi32 को इंटरसेप्ट कर रहा है ! InitiateSystemShutdownEx फ़ंक्शन। सिस्टम में ट्रोजन को फिर से इंस्टॉल किया गया है।

Caphaw के शरीर में सभी लाइनों को एक सरल एल्गोरिथ्म का उपयोग करके एन्क्रिप्ट किया गया है।


अंजीर। स्ट्रिंग डिक्रिप्शन कोड।

Caphaw OS वातावरण की जाँच करता है कि क्या वे इसे वर्चुअल मशीन वातावरण (VMware, VirtualBox और VirtualPC) में चलाने की कोशिश कर रहे हैं। दुर्भावनापूर्ण कोड सिस्टम में चल रही प्रक्रियाओं और ड्राइवरों के नामों की जांच करता है। पूर्व-परिकलित हैश का उपयोग करके नामों की जाँच की जाती है।


अंजीर। एक फ़ंक्शन जो नामों की जांच करते समय एक स्ट्रिंग के हैश की गणना करता है।

उदाहरण के लिए, एक VMware पर्यावरण की जाँच निम्नानुसार है।


अंजीर। VMware पर्यावरण के लिए सत्यापन कोड; पूर्व-परिकलित हैश चल रही प्रक्रियाओं और ड्राइवरों के नाम की जांच करता है

हर कुछ घंटों में, ड्रॉपर फ़ाइलों को एक विशेष सेवा का उपयोग करके हटा दिया जाता है जो इन उद्देश्यों के लिए पॉलीमॉर्फिक क्रिप्टार का उपयोग करने की क्षमता प्रदान करता है। यह दृष्टिकोण इन ड्रॉपर के एंटी-वायरस स्कैनर द्वारा स्थिर हस्ताक्षर का पता लगाने से बचता है। URL जिससे ये ड्रॉपर वितरित किए गए हैं, इस तरह दिखते हैं:


अंजीर। Caphaw droppers की स्थापना के लिए अग्रणी लिंक।

इन URL का प्रारूप है:

hxxps: // [यादृच्छिक उपडोमेन]। [डोमेन] / [डीआईआर] / [डीआईआर-यादृच्छिक स्ट्रिंग] / [ड्रॉपर फ़ाइल]? r = [यादृच्छिक संख्या]

यादृच्छिक संख्या उत्पन्न करने के लिए, Caphaw निम्नलिखित एल्गोरिथ्म का उपयोग करता है:


अंजीर। Caphaw में यादृच्छिक संख्या पीढ़ी एल्गोरिथ्म।

अतिरिक्त मॉड्यूल, वेब इंजेक्शन, कॉन्फ़िगरेशन फ़ाइलें और निर्देश डाउनलोड करने के लिए Caphaw C & C का उपयोग करता है। उसी समय, C & C के साथ काम करने के लिए URL लिंक जैसे दिखते हैं:


अंजीर। URL लिंक जो Caphaw C & C के साथ सहभागिता करने के लिए उपयोग करता है।

ऐसे URL जिनका उपयोग C & C को संदर्भित करने के लिए किया जाता है, एक विशेष पैटर्न के अनुसार बनते हैं।

hxxp: // [URL प्रारूप] / [कुंजी] और आईडी = [bot id] और inst = [मास्टर या दास] और नेट [botnet id] और cmd = cfg

C & C सर्वर से प्रतिक्रिया है:



इस मामले में, एक विशेष टेम्पलेट का उपयोग किया जाता है:

hxxp: // [यादृच्छिक उपडोमेन]। [डोमेन] / [DIR] / [file_name.jpg]? r = [यादृच्छिक संख्या?

बॉट कॉन्फ़िगरेशन फ़ाइल RC4 और Base64 का उपयोग करके एन्क्रिप्ट की गई है। एन्क्रिप्शन योजना है: Base64 (RC4 (cfg_data))। डिक्रिप्शन के बाद, कॉन्फ़िगरेशन फ़ाइल का रूप है:


अंजीर। डिक्रिप्शन के बाद कॉन्फ़िगरेशन फ़ाइल।

प्लग-इन

Win32 / Caphaw में अतिरिक्त प्लगइन्स को डाउनलोड करने और निष्पादित करने की क्षमता है। बोटनेट ट्रैकिंग के दौरान हमने जो प्लगइन्स देखे, वे तालिका में दिखाए गए हैं।



Skype के माध्यम से Caphaw को वितरित करने के लिए उपयोग किया जाने वाला प्लगइन CSIS से हमारे सहयोगियों द्वारा वर्णित किया गया है । एक और दिलचस्प प्लगइन एमबीआर बूटकिट मॉड्यूल है (ईएसईटी द्वारा विन 32 / वॉलस्केप ए के रूप में परिभाषित किया गया है), जिसे सी एंड सी से विशेष अनुरोध पर संक्रमित मशीनों में डाउनलोड किया जाता है। बूटकिट एक एमबीआर संशोधन पर आधारित है और एक अहस्ताक्षरित ड्राइवर को लोड करने के लिए प्रदान करता है। इस बूटकिट के लिए int13 इंटरप्ट के लिए हुक फ़ंक्शन (इस हार्ड डिस्क से सेक्टर को पढ़ने के लिए इंटरप्ट का उपयोग किया जाता है) इस प्रकार है:


अंजीर। Int13 पर अवरोध।

मैलवेयर ड्राइवर स्थान:



चालक को 256 बाइट की कुंजी लंबाई के साथ RC4 का उपयोग करके एन्क्रिप्ट किया गया है। ड्राइवर को लोड करने वाले फ़ंक्शन को कॉल का ग्राफ का रूप है:


अंजीर। फ़ंक्शन का एक ग्राफ़ जो ड्राइवर को सिस्टम में लोड करता है।

ड्राइवर फ़ाइलों और प्रक्रियाओं को छिपाने के लिए कर्नेल में विशिष्ट सिस्टम फ़ंक्शंस को स्वीकार करता है। उनमें से सबसे दिलचस्प गुजरता नेटवर्क ट्रैफ़िक पर नियंत्रण पाने के लिए ऑब्जेक्ट्स के ड्राइवर \ nsiproxy और \ Device \ Tcp से फ़ंक्शंस को इंटरसेप्ट करता है। बूटकिट कॉन्फ़िगरेशन फ़ाइल को समान तरीके से एन्क्रिप्ट किया गया है, जैसा कि ऊपर दिया गया है। यह एक समान XML संरचना का भी उपयोग करता है:


अंजीर। बूटकिट विन्यास फाइल।

वेब इंजेक्शन और चोरी योजना

वेब इंजेक्शन कॉन्फ़िगरेशन डेटा के लिए समान रूप का उपयोग करते हैं, लेकिन उनके लिए एन्क्रिप्शन एल्गोरिथ्म अलग है। डिक्रिप्टेड रूप में, वेब इंजेक्शन इस प्रकार हैं:



निम्नलिखित नवीनतम वेब इंजेक्शन कॉन्फ़िगरेशन फ़ाइलों से बैंकों की एक सूची है:



कोड में सबसे दिलचस्प विवरणों में से एक जो वेब पेज में इंजेक्ट किया जाता है, जब ऑनलाइन बैंक पर जाकर साइबर क्रिमिनल्स ( व्यापारी का नाम: Trojan.Shylock Inject फोन नंबर ऑनलाइन बैंकिंग वेबसाइटों में ) से सभी फोन नंबरों का प्रतिस्थापन होता है। यह प्रतिस्थापन वेब इंजेक्शन के एक विशेष विन्यास पर आधारित है और प्रत्येक व्यक्ति के बैंक के लिए एक अनूठी संरचना है।



निष्कर्ष

Win32 / Caphaw बैंकिंग ट्रोजन का एक दिलचस्प परिवार है। यह दुर्भावनापूर्ण कोड कुछ में से एक है जो उपयोगकर्ता द्वारा अपने बैंक खाते के साथ काम करने पर स्वचालित रूप से पैसे चोरी करने की कार्यक्षमता है। वास्तव में, एक संक्रमित उपयोगकर्ता के लिए पैसे की चोरी के तथ्य को पहचानना बहुत मुश्किल है, क्योंकि वह ऑनलाइन बैंकिंग पेज पर फर्जी फॉर्म देखता है। हमने पूर्व में बैंकिंग ट्रोजन के ऐसे परिवारों में कारबर्प (कार्बेर गैंग इवोल्यूशन ), गटक (विन 32 / बैंकिंग बैंकिंग ट्रोजन - विस्तृत विश्लेषण ), Win32 / Spy.Ranbyus ( Win32 / Spy.anbyus ) के समान कार्यक्षमता को ट्रैक किया था, जिसका उद्देश्य दूरस्थ प्रणालियों के जावा कोड को संशोधित करना है। यूक्रेन की बैंकिंग ) और टिब्बा।