Win32 / Theola Google Chrome ब्राउज़र के लिए प्लग-इन का उपयोग करके ऑनलाइन बैंकिंग सिस्टम से डेटा चुराते हैं

Win32 / Theola Win32 / Mebroot.FX बूटकिट परिवार (2007 से ज्ञात) का एक दुर्भावनापूर्ण घटक है। Theola malware में विशेष ब्राउज़र प्लग-इन शामिल हैं जो Mebroot ऑनलाइन बैंकिंग से संबंधित धोखाधड़ी लेनदेन के लिए स्थापित करता है। इस पोस्ट में, हम उस दुर्भावनापूर्ण ब्राउज़र प्लग-इन के लिए अलेक्जेंडर मैट्रोसोव द्वारा किए गए विश्लेषण के बारे में बात करेंगे और इस सवाल का जवाब देंगे: संक्रमित मशीन पर ऑनलाइन बैंकिंग प्रणाली के साथ काम करते समय पैसा कैसे चुराया जाता है।

हमने जनवरी 2013 के अंत से इन प्लग इन के ज्ञात मामलों की संख्या में वृद्धि देखी है। जिन देशों में थेला सबसे आम हैं उनमें नीदरलैंड, नॉर्वे, इटली, डेनमार्क और चेक गणराज्य शामिल हैं। ईएसईटी वायरस रडार आँकड़े ऐसे क्षेत्र दिखाते हैं जिनमें थियोला संक्रमण की व्यापकता स्पष्ट है, अध्ययन के समय सप्ताह के आँकड़े।


अंजीर। सबसे बड़ी गतिविधि के क्षेत्र Win32 / Theola हैं।

Win32 / Mebroot.FX पर लौटते हुए , हम याद रखना चाहते हैं कि यह बूटकिट सामान्य MBR संक्रमण विधियों का उपयोग करता है, हार्ड ड्राइव के क्षेत्रों तक पहुँच प्राप्त करने के लिए उपयोग किए जाने वाले दुर्भावनापूर्ण int13 हैंडलर का उपयोग करता है। इस स्थिति में, दुर्भावनापूर्ण घटकों को निम्न क्रम में लोड किया जाता है:



क्रोम प्लगइन

ESET Win32 / Theola.F के रूप में Google Chrome के लिए एक दुर्भावनापूर्ण प्लग-इन का पता लगाता है। यह प्लगइन NPAPI इंटरफ़ेस ( नेटस्केप प्लगइन एप्लीकेशन प्रोग्रामिंग इंटरफ़ेस ) पर आधारित है और इसका अपना मॉड्यूल CRX ( CRX पैकेज प्रारूप ) प्रारूप का उपयोग करके पैक किया गया है। CRX कंटेनर में निम्नलिखित मैनिफ़ेस्ट फ़ाइल शामिल है:



मैनिफ़ेस्ट फ़ाइल में सबसे दिलचस्प लाइन "अनुमतियाँ" है। इसकी मदद से, इस प्लगइन के निष्पादन के लिए अनुमत क्रियाओं का वर्णन किया गया है। एक्सेस अधिकारों का यह सेट धोखेबाजों को दुर्भावनापूर्ण संचालन करने की अनुमति देने के लिए पर्याप्त है। Win32 / Theola Google क्रोम ब्राउज़र में लोड होता है जैसा कि नीचे दिखाया गया है:



Deobfuscation के बाद, हम देखेंगे कि पहली जावास्क्रिप्ट विधि डिफ़ॉल्ट ब्राउज़र प्लगइन के रूप में अपने स्वयं के मॉड्यूल को लोड करती है।



यह जावास्क्रिप्ट मॉड्यूल एक लोड वेब पेज पर सभी वेब रूपों के लिए एक विशेष POST विधि को संशोधित करता है। यह मॉड्यूल पासवर्ड फ़ील्ड को भी दृश्यमान बनाता है, डेस्कटॉप से ​​छवियों को कैप्चर करने के लिए वीडियो रिकॉर्ड करने की क्षमता का उपयोग करके और फिर इसे हमलावर सर्वर को भेजता है; यह स्पष्ट रूप से पासवर्ड चुराने का एक बहुत ही मूल तरीका है।



विस्तार पैनल में ब्राउज़र-लोडेड प्लगइन निम्नानुसार दिखता है:



NP_GetEntryPoints () फ़ंक्शन प्लग-इन लोडिंग प्रक्रिया शुरू करता है और ब्राउज़र में काम करने के लिए प्लग-इन के लिए आवश्यक अन्य फ़ंक्शन को पॉइंटर्स प्राप्त करता है। विघटित कोड NP_GetEntryPoints () नीचे प्रस्तुत किया गया है।



नीचे दिया गया स्क्रीनशॉट रिस्टोर की गई वर्चुअल मेथड टेबल (vtable) दिखाता है, जो Win32 / Theola malicious code की मुख्य कार्यक्षमता को दर्शाता है; इसमें वीडियो रिकॉर्डिंग विशेषताएं भी हैं जो एमपीईजी वीडियो रिकॉर्डिंग के लिए x264 ओपन सोर्स लाइब्रेरी पर आधारित हैं।



जब प्लगइन पहले से ही चल रहा है, तो ऐडलिस्ट () फ़ंक्शन संक्रमित मशीन पर वेब गतिविधि को ट्रैक करने के लिए जावास्क्रिप्ट कोड लोड करता है।



URL के साथ काम करने के लिए जावास्क्रिप्ट कोड नीचे प्रस्तुत किया गया है।



विधि से पहले की जाँच करें ()।



यदि कोई दुर्भावनापूर्ण कोड एक ऑनलाइन बैंकिंग वेब पेज पर गतिविधि का पता लगाता है, तो यह एक विशेष नामित पाइप के माध्यम से सभी गोपनीय जानकारी (पासवर्ड, क्रेडिट कार्ड नंबर, आदि) भेजता है। इस चैनल का नाम निम्नलिखित एल्गोरिथम द्वारा निर्मित है:



कर्नेल मोड मॉड्यूल और अन्य उपयोगकर्ता मोड मॉड्यूल के साथ प्लगइन की बातचीत विशेष नामित पाइप हैंडलर का उपयोग करके कार्यान्वित की जाती है। प्रत्येक ऐसा हैंडलर एक निश्चित प्रकार की घटना के निष्पादन के लिए जिम्मेदार होता है।

निष्कर्ष

Google Chrome ब्राउज़र दुनिया में सबसे लोकप्रिय में से एक है, और दुर्भावनापूर्ण कोड के लेखकों के बीच इसकी लोकप्रियता भी बढ़ रही है। Win32 / Theola अपने दुर्भावनापूर्ण मॉड्यूल को क्रोम ब्राउज़र में प्लग-इन के रूप में लागू करता है। वास्तव में, पता लगाने में कठिनाई के लिए यह विधि काफी प्रभावी तरीका है, क्योंकि वेब गतिविधि को नियंत्रित करने के लिए प्लगइन केवल प्रलेखित एपीआई का उपयोग करता है। ये डॉक्यूमेंटेड एपीआई संवेदनशील डेटा से निपटने के लिए एक पर्याप्त तरीका है जो वेब रूपों में दर्ज किया गया है। नेटवर्क ट्रैफ़िक पर नियंत्रण पाने के लिए बड़ी संख्या में बैंकिंग मैलवेयर उपयोगकर्ता-मोड सूँघने वाले एपीआई का उपयोग करते हैं, लेकिन उनके विपरीत, Win32 / Theola वैध और प्रलेखित विधियों का उपयोग करता है जो प्रभावी भी हैं, लेकिन आपको एंटी-वायरस सॉफ़्टवेयर स्कैन को बेहतर ढंग से बायपास करने की अनुमति देते हैं।