एक वैध डिजिटल हस्ताक्षर एलएलसी मेल के साथ एक नया ट्रोजन लोकप्रिय कार्यक्रमों के अपडेट के रूप में खुद को प्रच्छन्न करता है

एक शांत शनिवार की रात को, मेरी माँ ने साइक्लेमेन देखभाल के लिए यूट्यूब पर शांति से सर्फ किया और अचानक वीडियो के बाईं ओर एक बैनर बन गया (दुर्भाग्य से, कोई स्क्रीनशॉट नहीं होगा, क्योंकि बैनर खेला नहीं जा सकता था), स्काइप को अपडेट करने के लिए बुला रहा है। इस पर क्लिक करने के बाद, _http: //easyupdate.ru/skype/ पर पुनर्निर्देशित हुआ, जो कुछ इस तरह दिख रहा है ...



मेरी मां बहुत अनुभवी उपयोगकर्ता नहीं हैं और जैसे "आपका स्काइप का संस्करण पुराना है, उसका समर्थन 03/04/2013 को समाप्त हो जाएगा, जिसके बाद आप स्काइप के माध्यम से संवाद नहीं कर पाएंगे," वह बहुत डर गई है, इसलिए उसने "रद्द" पर क्लिक किया और मुझे बुलाया। सबसे पहले, मैंने फैसला किया कि हम एक स्काइप अपडेट के बारे में बात करेंगे और टीमव्यूअर के साथ एक आह से जुड़े, बस एक-दो बटन दबाएंगे और डिस्कनेक्ट करेंगे। अपनी शर्म के साथ, अपने सभी कई वर्षों के अनुभव के साथ, मैंने easyupdate.ru से डाउनलोड किए गए अपडेट को लॉन्च करने में भी कामयाबी हासिल की, हालांकि, लॉन्च के बाद यह देखने के बाद कि फ़ाइल को किसी कारण से प्रकाशक LLC Mail.Ru द्वारा साइन किया गया था, और स्काइप नहीं, मैंने आखिरी समय में इसे प्रतिबंधित कर दिया। निष्पादन और एहसास हुआ कि शाम दिलचस्प और लंबी होगी। सतर्कता के लिए अपनी मां की प्रशंसा करते हुए, मैंने एक ताजा बॉटनेट फिलिंग योजना का अध्ययन करने के बारे में निर्धारित किया।

डिजिटल हस्ताक्षर का रहस्य

तो, सबसे पहले, चलो फ़ाइल गुणों को देखें:


अजीब बात है, केवल 74 Kb, किसी भी तरह एक वेब इंस्टॉलर के लिए पर्याप्त नहीं है। हम डिजिटल हस्ताक्षर को देखते हैं, किस तरह का एलएलसी मेल है। यह क्या है, शायद किसी ने फिर से कानूनी इकाई के समान नाम थावे के माध्यम से खींच लिया?



अजीब बात है, डिजिटल हस्ताक्षर प्रमाण पत्र Mail.Ru से वास्तविक एक के समान है:



उनकी समान वैधता अवधि है, 9 दिसंबर, 2011 से 7 फरवरी, 2014 तक, हालांकि, Mail.ru Agent के डिजिटल हस्ताक्षर में अन्य दलों के हस्ताक्षर हैं: सिमेंटेक टाइम स्टैम्पिंग सर्विसेज सिग्नर। सभी exe फ़ाइलों को डाउनलोड के लिए ब्राउज़र में भेजे जाने से पहले मक्खी पर साइन इन किया जाता है, यह डायनामिक रूप से बदलते फ़ाइल साइनिंग टाइम द्वारा इसका सबूत है।

कुल मिलाकर, हमारे पास तीन विकल्प हैं:
1. यह Mail.ru का एक वास्तविक डिजिटल हस्ताक्षर है, जिसमें से निजी कुंजी किसी तरह से चुरा ली गई थी और अब इसका उपयोग मालवारी पर हस्ताक्षर करने के लिए किया जाता है
2. यह एक वास्तविक Mail.ru डिजिटल सिग्नेचर है जो Mail.ru खुद माल्वारी को साइन करने के लिए किसी कारण से उपयोग करता है
3. यह Mail.ru का एक नकली डिजिटल हस्ताक्षर है, जिसे वे किसी तरह समझौता करने में कामयाब रहे (जो कि संभावना नहीं है, क्योंकि RSA 2048 बिट्स है)

Googling easyupdate.ru, और इस मुद्दे में कुछ भी सार्थक नहीं मिलने पर, मैंने साइट के सभी लिंक देखे: easyupdate.ru और पाया कि, स्काइप के अलावा, लैंडिंग पृष्ठ सभी लोकप्रिय ब्राउज़रों के लिए उपलब्ध हैं:





वे एक प्यारा पॉप-अप जावास्क्रिप्ट पुष्टि से संबंधित हैं जो एक exe फ़ाइल डाउनलोड करना शुरू करता है, यहां तक ​​कि यह जांचने के लिए परेशान नहीं होता है कि उपयोगकर्ता ने किस बटन को क्लिक किया, ठीक है या रद्द करें।

VirusTotal

इस प्रकार, हमें 5 नमूने प्राप्त हुए (लिंक विरूस्तोटल फाइलों को स्कैन करने के लिए नेतृत्व करते हैं):
chromesetup.exe , firefox-setup.exe , ie-setup-full.exe , opera_int_setup.exe और skypesnup.exe

opera_int_setup.exe और ie-setup-full.exe अभी तक मेरे सामने स्कैन नहीं किया गया है, अर्थात, संक्रमण का प्रसार हाल ही में शुरू किया गया था, लेकिन 46 में से 8-9 एंटीवायरस ने शेष फाइलों पर प्रतिक्रिया दी। किसी कारण से, Kaspersky केवल एक था जिसने इसे एक्स के रूप में वर्गीकृत किया था। "वायरस नहीं है": "नहीं-ए-वायरस: HEUR: डाउनलोडर .in32.LMN.a" शायद यह निर्णय डिजिटल हस्ताक्षर से सकारात्मक रूप से प्रभावित था, लेकिन यह माइक्रोसॉफ्ट के माइक्रोसॉफ्ट से अंतर्निहित एंटीवायरस के समाधान से बेहतर है, जिसमें नमूनों में बिल्कुल भी खतरा नहीं देखा गया था।

व्यवहार जानकारी गुणसूत्र के लिए उपलब्ध है। जाहिरा तौर पर, कुछ एंटी-वायरस कंपनियों द्वारा प्रदान की जाती है, विशेष रूप से, नेटवर्क गतिविधि:


इसलिए, हमारे पास दो अजीब डोमेन हैं और Mail.ru उपडोमेन के लिए एक लिंक है, आइए उन पर एक करीब से नज़र डालें:
easyupdate.ru को मालिक (निजी व्यक्ति) के बारे में जानकारी छिपाने के साथ 30 जनवरी, 2013 को पंजीकृत किया गया था , यह सेवा अधिकांश रूसी डोमेन रजिस्ट्रारों के लिए उपलब्ध है और मुफ्त है। साइट की जड़ में 404 हमें मिलता है:

404 नहीं मिला

अनुरोधित संसाधन इस सर्वर पर नहीं मिले!
LiteSpeed ​​वेब सर्वर द्वारा संचालित
LiteSpeed ​​Technologies प्रशासन और इस वेब साइट की सामग्री के लिए ज़िम्मेदार नहीं है!

दूसरा लिंक, जाहिर तौर पर, मेल्वेन उप डोमेन में से एक पर URL पुनर्निर्देशन जैसी भेद्यता का उपयोग करता था, हालांकि, जाहिर है, भेद्यता पहले से ही प्रबंधित थी। शायद हमलावरों ने तय किया कि इस तरह के लिंक को फ़ायरवॉल के माध्यम से जाना आसान होगा।

डोमेन dwnfile.ru को मालिक के बारे में जानकारी छिपाने के साथ 1 फरवरी, 2013 को पंजीकृत किया गया था ।
लैंडिंग पृष्ठों के पाठ में निम्न डोमेन के लिंक भी होते हैं:
uprgadotesbest.com - PrivacyProtect.org के माध्यम से 26 दिसंबर, 2012 को पंजीकृत और वर्तमान में "लॉक" की स्थिति है
uploadeasy.ru - डोमेन बिल्कुल पंजीकृत नहीं है, जाहिरा तौर पर "प्रोडक्शन" में रोल आउट करने की हलचल में भूल गया, साइबर स्पेसर्स, उड़ान भरते हैं!

सभी डोमेन Reg.ru के माध्यम से पंजीकृत किए गए थे।

इसके अलावा, ट्रोजन रजिस्ट्री में प्रॉक्सी का उपयोग अक्षम करता है, जो जाहिर है, IE और क्रोम के संचालन को प्रभावित करेगा, फ़ायरफ़ॉक्स और ओपेरा की अपनी प्रॉक्सी सेटिंग्स हैं।

संबद्ध प्रोग्राम

इसके अलावा, लिंक _http: //dwnfile.ru/get_xml? File_id = 18499626 हमें निम्न सामग्री का XML लौटाता है:

<?xml version="1.0" encoding="utf-8"?>
                    <file>
                        <dltype>simple</dltype>
                        <name><![CDATA[chromesetup.exe]]></name>
                        <url><![CDATA[http://easyupdate.ru/chrome/ChromeSetup.exe]]></url>
                            <partner_new_url><![CDATA[http://dwnfile.ru/software_install?guid=$__GUID&sig=$__SIG&file_id=18499626]]></partner_new_url>
                        <partner_online_url><![CDATA[http://dwnfile.ru/online_activity?guid=$__GUID&sig=$__SIG&sid=1469&pid=775]]></partner_online_url>
                        <referer>profitraf1</referer>

                        <internet></internet>
                        <referer_inet>profitraf4</referer_inet>
                        <internet_silent></internet_silent>
                        <file_size><![CDATA[0]]></file_size>
                        <partner_new_url_inet><![CDATA[http://dwnfile.ru/software_install?guid=$__GUID&sig=$__SIG&ovr=$__OVR&file_id=18499626&browser=1]]></partner_new_url_inet>
                        <mpcln><![CDATA[9516]]></mpcln>
                    </file>

, , «», guid — , partner — , , , , . profitraf1, : profitraf.ru
, :


, , , . « » :

(mp3, , — ), . , , profidownload.ru. ( ). , . . .

, , . , , 215 , :

, «» — SMS-, «» . ( ) — Mail.Ru. .

, , , Mail.ru , . , , , . , Windows.

, Mail.ru, . , , «» , , , , , «» . , , Mail.ru, . , , , .

12

. , , «easyupdate.ru».

Mairon .