विन 32 / गैपज़: द लास्ट एपिसोड

आज हम Win32 / Gapz बूटकिट विश्लेषण के अंतिम भाग को प्रकाशित करते हैं, और एक पीडीएफ भी प्रस्तुत करना चाहते हैं जिसमें सभी तकनीकी विवरणों के साथ इस दिलचस्प खतरे का विश्लेषण शामिल है। उनके विश्लेषण में कई महीनों का गहन समय लगा। गैपज़ में, हमने देखा कि इस प्रकार के खतरों के डेवलपर्स जटिलता के एक नए स्तर पर पहुंच गए हैं। हम यह भी मानते हैं कि Win32 / Gapz, वास्तव में, सबसे जटिल बूटकिट है जो हमने पहले देखा है। आप हमारे पीडीएफ दस्तावेज़ माइंड द गैपज़ में इस खतरे का एक विस्तृत तकनीकी विश्लेषण पा सकते हैं : सबसे जटिल बूटकिट का कभी विश्लेषण किया गया? ।

हमारे सहयोगियों येवगेनी रोडियोनोव और अलेक्जेंडर मैट्रोसोव ने दिसंबर 2012 से विन 32 / गैपज़ कोड का विश्लेषण किया है। इस विश्लेषण से इस खतरे के बारे में अधिक से अधिक दिलचस्प विवरण सामने आए।



हमने पहले ही गैपज़ के बारे में लिखा था:

• पावर लोडर कोड के आधार पर गैपज़ और रेड्यूपर ड्रॉपर
• आधुनिक बूटकिट तकनीक और Win32 / Gapz का विस्तृत विश्लेषण

Win32 / Gapz का प्रचलन का स्तर काफी कम है (इसकी पहली पहचान की शुरुआत से, हमने सौ से भी कम सक्रिय रिकॉर्ड किए)। इनमें से अधिकांश निष्कर्ष रूस में थे। दिसंबर 2012 में विश्लेषण शुरू होने के समय सभी ज्ञात सी एंड सी पैनल पहले से ही बंद थे। अतिरिक्त पेलोड को लोड करने के लिए डोमेन को डीएनडीएनएस सेवा के माध्यम से पंजीकृत किया गया है। निम्नलिखित यूआरएल की एक सूची है जो अनपैकिंग के बाद ड्रॉपर में पाई गई थी:

• hxxp: //xpiracyrt.is-into-cars.com/apps/32.lz
• hxxp: //retguard.is-into-cars.com/apps/32.lz
• hxxp: //soparesolv.is-into-cars.com/apps/32.lz
• hxxp: //xpiracyrt.is-into-cars.com/upds/7/1/upd.lz
• hxxp: //retguard.is-into-cars.com/upds/7/1/upd.lz
• hxxp: //soparesolv.is-into-cars.com/upds/7/1/upd.lz

Win32 / Gapz.C संशोधन , जिसमें MBR संक्रमण के लिए कार्यक्षमता शामिल है, निम्नलिखित IP पते पर संक्रमण प्रक्रिया की डिबग जानकारी भेजता है:



इस आईपी पते की मेजबानी जर्मनी में स्थित है और प्रकाशन के समय, अभी भी ऑनलाइन है।



हमने पाया कि यह IP कई डोमेन से जुड़ा है: meetafora.ru, sukarabotay.com। ये दोनों डोमेन 2011 में पंजीकृत थे, और 2013 के मध्य में समाप्त हो रहे थे। अब इस आईपी ने पहले ही बॉट से डिबग जानकारी स्वीकार करना बंद कर दिया है।

सभी गैपज़ संशोधनों में बूटकिट शामिल थे, अतिरिक्त सी एंड सी के पते कॉन्फ़िगरेशन फ़ाइल से निकाले गए थे, जो एक छिपे हुए एफएस में संग्रहीत है। यह फ़ाइल मुख्य कर्नेल-मोड घटक में छिपी हुई ड्राइव पर स्थित है। C & C डोमेन को तीसरे स्तर के डोमेन (परिवर्तनीय घटक - एक तृतीय-स्तरीय डोमेन) के रूप में गतिशील DNS सेवा strangled.net ( Win32 / Gapz.A में उपयोग किया जाता है) के रूप में उत्पन्न किया जाता है।



ऐसे डोमेन के साथ नेटवर्क इंटरैक्शन का एक उदाहरण नीचे प्रस्तुत किया गया है।



Win32 / Gapz.C संशोधन एक अलग डोमेन पीढ़ी योजना का उपयोग करता है:



नेटवर्क कर्नेल मोड नेटवर्किंग स्थानीय IPS / IDS का उपयोग करके सत्यापन को रोकने के लिए TCP / IP स्टैक और HTTP प्रोटोकॉल के मैनुअल कार्यान्वयन पर आधारित है। स्टैक कार्यान्वयन के बारे में पूरी जानकारी के लिए, यहाँ देखें।

हम मानते हैं कि Win32 / Gapz परिवार सबसे जटिल बूटकिट है जिसे हमने पहले कभी देखा है। अन्य प्रमुख बूटकिट प्रतिनिधियों के साथ गैपज़ सुविधाओं की तुलना करने वाली एक तालिका निम्नलिखित है:



एफएस गैपज़ सपोर्ट के साथ हिडन फाइल सिस्टम रीडर

गैपज़ का सामना करने वाले सुरक्षा पेशेवरों और एवी रिसीवर की सहायता के लिए, हमने इस बूटकिट की आवश्यकताओं के साथ हमारे हिडन फाइल सिस्टम रीडर को अपडेट किया है। अब यह गैप से छिपे हुए एफएस घटकों को भी बचा सकता है। आप यहाँ उपयोगिता डाउनलोड कर सकते हैं ।