कार्बेर: द एंडलेस स्टोरी

साइबर क्रिमिनल ग्रुप कार्बरप पहले समूह में से एक था जिसने दूरस्थ बैंकिंग प्रणालियों से समझौता करने और रूस के सबसे बड़े बैंकों के खिलाफ धोखाधड़ी के संचालन के उद्देश्य से बड़े पैमाने पर दुर्भावनापूर्ण कार्यक्रमों का इस्तेमाल किया। कार्बेर कोर समूह के कई सदस्य पहले ही गिरफ्तार किए जा चुके हैं , लेकिन यह मैलवेयर परिवार अभी भी सक्रिय है और विकसित करना जारी है। हमारे सहयोगी अलेक्जेंडर मैट्रोसोव ने कार्बेर बैंकिंग ट्रोजन के नवीनतम संशोधन का विश्लेषण किया, जिसे हम नीचे प्रस्तुत करना चाहते हैं।

स्क्रीनशॉट ईएसईटी वायरस रडार आँकड़े दिखाता है, जो पिछले महीने में कार्बेर संक्रमण से सबसे अधिक प्रभावित क्षेत्रों को दर्शाता है।



आप देख सकते हैं कि कार्बरप से सबसे अधिक प्रभावित क्षेत्र अभी भी रूस है । यदि हम इस दुर्भावनापूर्ण कोड का पता लगाने वाले इतिहास को देखें, तो हम देखेंगे कि 2012 के वसंत और गर्मियों में कार्बेर ग्रुप सबसे अधिक सक्रिय था । 2012 की गर्मियों में बड़े पैमाने पर गिरफ्तारी के बाद, बॉटनेट अभी भी सक्रिय था, हालांकि हिरासत की संख्या घटने लगी थी।



Carberp समूह अभी भी रूस और यूक्रेन में बैंकिंग धोखाधड़ी में लगे ऐसे ही समूहों में पहले स्थान पर है। अगला, हम बॉट कोड के नवीनतम, अपडेट किए गए संस्करण पर विचार करेंगे, साथ ही साथ अतिरिक्त प्लग-इन का उपयोग करेंगे।

दुर्भावनापूर्ण इंजेक्शन विधि

अंतिम कार्बेर ड्रॉपरों में से एक का विश्लेषण करते समय, हमने पावर लोडर के आधार पर दुर्भावनापूर्ण कोड को विश्वसनीय प्रक्रियाओं में इंजेक्ट करने के लिए एक विशेष तकनीक की खोज की। इसके निष्पादन की शुरुआत में, ड्रॉपर सार्वजनिक (साझा) वर्गों में से एक को खोलने की कोशिश करता है और एक अनुभाग के अंत में शेल कोड को जोड़ता है, जिसकी एक सूची नीचे प्रस्तुत की गई है:



अगला, ड्रॉपर उन्हीं तरीकों का उपयोग करता है जो गैपज़ उपयोग करता है, कोड में मामूली बदलाव के अपवाद के साथ।



अंतिम चरण में, एंटीवायरस सॉफ़्टवेयर को बायपास करने के लिए दुर्भावनापूर्ण कोड को explorer.exe विश्वसनीय प्रक्रिया में पेश किया जाता है और एक विश्वसनीय प्रक्रिया के रूप में अपने आगे के कार्यों को निष्पादित करता है।



यह तकनीक नई नहीं है और Shell_TrayWnd कार्यान्वयन विधि का उपयोग करती है, जो पहले से ही कुछ सालों पहले कुछ भूमिगत रूसी मंचों में वर्णित थी।

जावा में लिखित बैंकिंग सॉफ्टवेयर का ऑन-द-फ्लाई संशोधन

हमने ट्रोजन कार्यक्रमों के एक और परिवार में बैंकिंग ग्राहकों के लिए जावा कोड को संशोधित करने के लिए पहले से ही एक विधि का वर्णन किया है - Win32 / Spy.Ranbyus । Ranbyus बैंकिंग सॉफ्टवेयर कोड के निष्पादन को ट्रैक करने के लिए JVM (जावा वर्चुअल मशीन) को अपने निष्पादन के दौरान संशोधित करता है। Carberp जावा में लिखे बैंकिंग सॉफ्टवेयर को ओपन सोर्स Javassist लाइब्रेरी का उपयोग करके संशोधित करता है। यह लाइब्रेरी आपको फ्लाई (प्रगति पर) में जावा बाइटकोड का प्रबंधन करने की अनुमति देती है। दुर्भावनापूर्ण कोड Carberp सबसे लोकप्रिय ऑनलाइन बैंकिंग सिस्टम, BIFIT के iBIT 2 में से एक में इस बाईटेकोड के संशोधन का उपयोग करता है।

अंतिम कार्बप नमूना के विश्लेषण के दौरान, निम्नलिखित लाइनें पाई गईं जो iBank2 ऑनलाइन बैंकिंग प्रणाली के क्लाइंट सॉफ्टवेयर में मौजूद हैं, जिसमें जावा कोड के सुधार के लिए एक दिलचस्प लिंक है।



संक्रमित कंप्यूटर पर iBank2 क्लाइंट का उपयोग करने के बाद, दुर्भावनापूर्ण कोड अतिरिक्त AgentX.jar मॉड्यूल को लोड करता है (ESET को Java / Spy.Banker.AB के रूप में पाया जाता है)। जब यह मॉड्यूल सफलतापूर्वक लोड हो जाता है, तो Carberp Javassist लाइब्रेरी को लोड करने की कोशिश करता है। Java / Spy.Banker Carberp का एक विशेष घटक है, जिसे मक्खी पर भुगतान दस्तावेजों को संशोधित करने के लिए डिज़ाइन किया गया है।
विघटित जावा वर्ग, जिसका उपयोग क्लाइंट के iBank2 कोड को संशोधित करने के लिए किया जाता है, इस प्रकार है:



IBank2 में परिवर्तन करने के बाद, हमलावर इस बैंकिंग सॉफ़्टवेयर का उपयोग करके किए गए सभी भुगतानों को नियंत्रित कर सकते हैं। BIFIT का iBank2 सिस्टम अपने कोड की अखंडता की जांच नहीं करता है, और इसके संशोधन के बाद काम करना जारी रखता है जैसे कि कुछ भी नहीं हुआ था, अर्थात यह नकद लेनदेन के संचालन को अंजाम दे सकता है। लेकिन इस मामले में, पैसे का लेन-देन साइबर क्रिमिनल ग्रुप कार्बरप के माध्यम से होता है।

Java / Spy.Banker मॉड्यूल में एक समय पासवर्ड का उपयोग करके दो-कारक प्रमाणीकरण प्रणाली को बायपास करने की कार्यक्षमता है। इस चेक को बायपास करने के लिए एक विघटित जावा वर्ग नीचे प्रस्तुत किया गया है।



इस मामले में भुगतान की पुष्टि के लिए विघटित कोड इस प्रकार है:



AgentX मॉड्यूल एक सामान्य मैलवेयर घटक नहीं है, क्योंकि यह जावा सिस्टम को स्वयं नहीं बदलता है, लेकिन कोड को संशोधित करने के लिए एक वैध पुस्तकालय का उपयोग करता है। मैन्युअल रूप से इस मॉड्यूल का विश्लेषण किए बिना AgenX.jar में दुर्भावनापूर्ण गतिविधि को पहचानना मुश्किल है। इस विश्लेषण को लिखने के समय, AgentX.jar मॉड्यूल की बहुत कम पहचान दर थी।

दुर्भावनापूर्ण कोड के घटकों के रूप में वैध सॉफ़्टवेयर का उपयोग करना

दुर्भावनापूर्ण कोड जिसका हमने वर्णन किया है कि अपने कार्यों को करने के लिए वैध पुस्तकालयों का उपयोग करता है अकेले नहीं है। पिछले हफ्ते , कई यूरोपीय देशों के लक्षित हमले के बारे में जानकारी सामने आई थी। हमला एक विशेष दुर्भावनापूर्ण टूलकिट TeamSpy का उपयोग करके किया गया था। TeamSpy ने प्रसिद्ध TeamViewer सॉफ़्टवेयर के संशोधित घटकों का उपयोग किया। ईएसईटी ने इस पिछले दरवाजे की खोज की, जो 2010 ( शेल्डर-शॉक्ड ) के बाद से टीमव्यूअर मॉड्यूल का उपयोग कर रहा है। Win32 / Sheldor दुर्भावनापूर्ण कोड का उपयोग Carberp cybercriminal समूह द्वारा 2010 से संक्रमित सिस्टम से मैन्युअल रूप से धन हस्तांतरित करने के लिए किया गया है। Carberp समूह संक्रमित कंप्यूटरों तक दूरस्थ पहुँच के लिए अन्य वैध सॉफ़्टवेयर का भी उपयोग करता है; नीचे दी गई तालिका में, हम ऐसे सॉफ्टवेयर की किस्मों को पेश करते हैं, जिनका इस्तेमाल कार्बेर ग्रुप द्वारा किया जाता है।



साइबर क्रिमिनल समूहों द्वारा कानूनी सॉफ्टवेयर टूल का उपयोग संक्रमित सिस्टम तक दूरस्थ पहुंच प्राप्त करने के तरीकों में से एक है। इस मामले में, यह दुर्भावनापूर्ण गतिविधि का पता लगाने में बहुत मुश्किल करता है। Win32 / Sheldor और Win32 / RDPdoor जैसे दुर्भावनापूर्ण कोड परिवार मूल घटकों में कुछ बदलाव करते हैं। इसी समय, मिपको और एमी जैसे सॉफ़्टवेयर अपरिवर्तित रूप से उपयोग किए जाते हैं। कुछ मामलों में, एंटीवायरस के दृष्टिकोण से वैध सॉफ़्टवेयर को दुर्भावनापूर्ण रूप से पता लगाना अनुचित होगा।

निष्कर्ष

इस पोस्ट में, हमने साइबर क्राइम ग्रुप कार्बरप की गतिविधि में दर्ज किए गए नवीनतम परिवर्तनों को संक्षेप में प्रस्तुत किया है। सबसे दिलचस्प बदलाव जावा / Spy.Banker घटक (AgentX.jar) और रूस और यूक्रेन में सबसे लोकप्रिय बैंकिंग सॉफ़्टवेयर से संबंधित हैं, जो जावा कोड के संशोधन के माध्यम से हमला किया जाता है। एक अन्य दिलचस्प अवलोकन रिमोट एक्सेस हासिल करने के लिए दुर्भावनापूर्ण कोड के घटकों के रूप में कानूनी सॉफ्टवेयर का बढ़ता उपयोग है। इस मामले में, ऐसे सॉफ़्टवेयर का पता लगाने वाला तंत्र गलत सकारात्मकता (झूठी सकारात्मक) की अनुपस्थिति की ओर ले जाता है, विशेष रूप से जटिल लगता है, खासकर अगर हमलावर हर कुछ महीनों में इस सॉफ़्टवेयर को संशोधित करते हैं।