रूटकिट अवतार: एक विस्तृत विश्लेषण

फरवरी 2013 में, नए अवतार रूटकिट के बारे में जानकारी दिखाई दी, जो कि, जाहिर है, एक भूमिगत मंचों से उत्पन्न होती है। विशेष रूप से, इसकी क्षमताओं का विवरण पेस्टबिन सेवा पर प्रकाशित किया गया था । नए रूटकिट के बारे में सुरक्षा समुदाय में बहुत चर्चा की गई थी, क्योंकि इस रूटकिट की वर्णित विशेषताएं वास्तव में प्रभावशाली थीं। उनमें से, उदाहरण के लिए, हार्ड डिस्क की भागीदारी के बिना ड्राइवरों को डाउनलोड करने की क्षमता, ओएस बूट-ड्राइवरों का संक्रमण, नई बॉटनेट सुरक्षा योजनाएं और अन्य। इसने कई सुरक्षा / एवी उत्पादों और जाने-माने एंटी-रूटकिट्स को बायपास करने का भी दावा किया।

जब हमें इस रूटकिट के ड्रॉपर मिले, हमने तुरंत इसका विश्लेषण करना शुरू कर दिया। मुझे कहना होगा कि हमने इसे डेटाबेस में Win32 / Rootkit.Avatar के रूप में जोड़ा है। सहकर्मियों एंटोन चेरेपोनोव और अलेक्जेंडर मैट्रसोव ने इस रूटकिट, इसके पेलोड और बुनियादी क्षमताओं का विस्तृत विश्लेषण किया।



मार्च में, हमारे एंटी-वायरस लैब ने दो ड्रॉपर की खोज की, जो अलग-अलग सी एंड सी सर्वरों के साथ बातचीत करते थे और अलग-अलग संकलन दिनांक थे।





जैसा कि घोषणा में बताया गया है, Win32 / Rootkit.Avatar में एक ड्राइवर इन्फ़ेक्टर होता है, लेकिन इसके अलावा, यह दो बार इस तकनीक का उपयोग करता है: पहला ड्रॉपर में HIPS से पता लगाना और दूसरा रिबूट के बाद बचने के लिए ड्राइवर में। पहले मामले में, मानक ओएस चालक का उपयोग करके कर्नेल मोड से सीधे रूटकिट ड्राइवर को लोड करने का लाभ उपयोग किया जाता है, और दूसरे मामले में, रूटकिट रिबूट के बाद इसकी शुरूआत सुनिश्चित करता है। बेशक, इस रणनीति में ड्राइवरों के लिए डिजिटल हस्ताक्षरों को सत्यापित करके फ़ाइल अखंडता और अखंडता नियंत्रण का उल्लंघन करने के मामले में कमियां हैं, इसलिए रूटकिट केवल x86 सिस्टम पर काम कर सकता है।

droppers

अवतार एक बहु-परत ड्रॉपर दृष्टिकोण का उपयोग करता है। पहले स्तर का ड्रॉपर दूसरे स्तर के ड्रॉपर और चालक के लिए अपघटन (LZMA) करता है। वास्तव में, दूसरे स्तर के ड्रॉपर और ड्रायवर अपने आप में अनूठे फ़ाइलों को उत्पन्न करते समय हर बार उत्पन्न होते हैं, क्योंकि प्रारंभिक ड्रॉपर म्यूटेक्स और घटनाओं के लिए यादृच्छिक नाम उत्पन्न करता है जो उनके कोड में उपयोग किए जाते हैं और प्रत्येक मॉड्यूल के शरीर में सीधे इन संशोधनों को निष्पादित करते हैं। प्रारंभिक ड्रॉपर एक एंटी-डिबगिंग टूल के रूप में एक दिलचस्प ट्रिक का उपयोग करता है, यह KUSER_SHARED_DATA.InterruptTime संरचना (KUSER_SHARED_DATA पृष्ठ पर स्थित है, उपयोगकर्ता मोड और कर्नेल मोड में) से समय की तुलना करने पर आधारित है। दुर्भावनापूर्ण कोड कॉल को एक और KiUserExceptionDispatcher फ़ंक्शन के अंदर RtlDispatchException फ़ंक्शन को संशोधित करता है। अगला चरण वांछित अपवाद हैंडलर में एक समावेशन और नियंत्रण पास उत्पन्न करता है।



इस स्थिति में, माप का वर्तमान समय KUSER_SHARED_DATA.InterruptTime से लिया जाता है और फिर निष्पादन के बाद के चरणों की तुलना में। यह तंत्र ड्रॉपर कोड के अनुकरण और डिबगिंग का पता लगाने की अनुमति देता है।

दूसरे स्तर का ड्रॉपर आभासी मशीनों के लिए पर्यावरण की जांच करता है, और इसके लिए काफी प्रसिद्ध चेक का उपयोग किया जाता है। वीएम पर जांच के लिए जिम्मेदार कोड को निष्पादित करने से पहले, ड्रॉपर "एक्सप्लोरर" कुंजी का उपयोग करके इसे हटा देता है।



अगले चरण में, ड्रॉपर ओएस संस्करण और वर्तमान विशेषाधिकारों की जांच करता है। इस स्थिति में, दो विशेषाधिकार वृद्धि विधियों का उपयोग किया जाता है:

• भेद्यता MS11-080 को उजागर करना ।
• COM ऊंचाई (UAC श्वेतसूची)।

एक ड्रॉपर के साथ सिस्टम को संक्रमित करने की प्रक्रिया को नीचे दिए गए चित्र में दिखाया गया है।



MS11-080 भेद्यता के लिए शोषण मेटास्प्लोइट फ्रेमवर्क से शोषण कोड के समान कोड का उपयोग करता है, लेकिन कुछ मामूली बदलावों के साथ। Afd.sys ड्राइवर संस्करण की जाँच करने के बाद, ड्रॉपर ऑपरेशन के लिए निम्न कोड का उपयोग करता है।



निम्न स्क्रीनशॉट IOCTL 0x000120BB का उपयोग करते हुए कोड दिखाता है, वांछित रूटकिट फ़ंक्शन के लिए HalDispatchTable में सूचक को फिर से लिखने के लिए afd! AFDJoinLeaf फ़ंक्शन को कॉल करता है।



शेल कोड के सफल संचालन और नियंत्रण के हस्तांतरण के बाद, यह रूटकिट ड्राइवर के डाउनलोड को आरंभ करता है।



वास्तव में, rootkit ड्राइवर को डिस्क पर एक अलग फ़ाइल के रूप में संग्रहीत नहीं किया जाता है, लेकिन मेमोरी बफर से लोड किया जाता है। नीचे ड्राइवर को लोड करने वाले फ़ंक्शन के लिए कॉल ग्राफ़ है।



सफलतापूर्वक विशेषाधिकार बढ़ाने के बाद, दुर्भावनापूर्ण कोड% WINDIR% \ system32 \ ड्राइवरों निर्देशिका में संक्रमण के लिए एक उपयुक्त ड्राइवर की खोज करता है। संक्रमण पूरा हो जाने के बाद, चालक प्रवेश बिंदु ( GsDriverEntry ) को दुर्भावनापूर्ण कोड (स्टब) निष्पादित करने के लिए संशोधित किया जाता है। संशोधित प्रविष्टि बिंदु इस प्रकार है:



इस ठूंठ का एक मुख्य कार्य दूसरे स्तर के ड्रॉपर की निष्पादन प्रक्रिया से जुड़ना और रूटकिट ड्राइवर के शरीर को मेमोरी में पढ़ना है। स्टब कोड नीचे दिए गए चित्र में दिखाया गया है।



एक सफल संक्रमण के बाद, संशोधित ड्राइवर खुद को% TEMP% निर्देशिका में कॉपी करता है और मानक OS तंत्र (सेवा नियंत्रण प्रबंधक के माध्यम से या ZwLoadDriver के माध्यम से) का उपयोग करके खुद को लोड करने की कोशिश करता है।



इस प्रकार, अवतार रूटकिट ड्राइवर फ़ाइल को वास्तव में हार्ड ड्राइव पर संग्रहीत नहीं किया जाता है, लेकिन इसे उस कोड से लोड किया जाएगा जिसे MS100-080 का उपयोग करके कहा जाता है। सिस्टम ड्राइवर संक्रमण का उपयोग करके रूटकिट डाउनलोड की यह विधि, एचआईपीएस को दरकिनार करने का एक प्रभावी तरीका है और आपको एक विश्वसनीय सिस्टम ड्राइवर से एक और कर्नेल-मोड मॉड्यूल लोड करने की अनुमति देता है।

ड्राइवर

ड्राइवर को सफलतापूर्वक मेमोरी में लोड करने के बाद, एक रिबूट के बाद अपने अस्तित्व को सुनिश्चित करने के लिए दुर्भावनापूर्ण कोड सिस्टम ड्राइवर को संक्रमित करता है। वांछित ड्राइवर का चयन करने के लिए एक विशेष एल्गोरिथ्म का उपयोग किया जाता है। उसी समय, अवतार बेतरतीब ढंग से एक ड्राइवर का चयन करता है और ओएस के विभिन्न संस्करणों के लिए विशिष्ट ब्लैकलिस्ट के खिलाफ अपना नाम जांचता है।



संक्रमित चालक कोड का निष्पादन प्रवाह निम्न परिदृश्य के अनुसार होता है:

1. प्रवेश बिंदु पर एक स्टब को निष्पादित किया जाता है।



2. उसके बाद GUID_DEVINTERFACE_DISK वर्ग के लिए Pnp Notify कॉलबैक फ़ंक्शन इंस्टॉल किया गया है, जिसमें ड्राइवर बॉडी को छिपे हुए रूटकिट फ़ाइल सिस्टम से लोड किया जाएगा। इसी तरह की तकनीक TDL3 , TDL4, और Olmasco (MaxSS / SST) में देखी गई थी।



3. प्रवेश बिंदु के स्रोत बाइट्स को पुनर्स्थापित किया जाता है।



एक रूटकिट ड्राइवर मूल फ़ाइल के मूल आकार को बदलने के बिना कई सिस्टम ड्राइवरों को संक्रमित कर सकता है।

अवतार वर्चुअल मशीन पर्यावरण की खोज के लिए एक दिलचस्प चाल का उपयोग करता है। यह 0xF0000 पर BIOS डेटा पढ़ने के लिए nt-MmMapIoSpace फ़ंक्शन को कॉल करता है और निम्नलिखित पंक्तियों के लिए जाँच करता है:

• समानताएं सॉफ्टवेयर
• वर्चुअल मशीन
• VirtualBox
• QEMU BIOS
• VMware
• Bochs

कोड में भी केवीएम और हाइपर-वी के लिए सीपीयूआईडी अनुदेश के पहले से ही ज्ञात ट्रिक का उपयोग करने के लिए अतिरिक्त चेक हैं।

हिडन FS का उपयोग उपयोगकर्ता मोड पेलोड और सहायक फ़ाइलों को संग्रहीत करने के लिए किया जाता है। सभी फ़ाइलों को एक सममित एल्गोरिथ्म का उपयोग करके एन्क्रिप्ट किया गया है। नीचे एक फ़ंक्शन के लिए एक कॉल ग्राफ है जो छिपे हुए एफएस के साथ काम करता है।



छिपे हुए FS पर संग्रहीत फ़ाइलों के लिए विशेष विशेषताएँ हैं।



दुर्भावनापूर्ण कोड नेटवर्क से डाउनलोड करने और उपयोगकर्ता-मोड और कर्नेल-मोड मॉड्यूल के रूप में अतिरिक्त पेलोड के आगे निष्पादन की अनुमति देता है। यह पेलोड एक छिपे हुए FS पर भी संग्रहीत किया जाता है। Win32 / Rootkit.Avatar एक संक्रमित सिस्टम ड्राइवर को छोड़कर, इसके किसी भी घटक को NTFS वॉल्यूम पर संग्रहीत नहीं करता है। एक छिपे हुए, एन्क्रिप्टेड FS का यह संयोजन, संक्रमित सिस्टम ड्राइवर के साथ अवतार संक्रमण की जांच के लिए पारंपरिक फोरेंसिक तकनीकों का उपयोग करना अधिक कठिन बनाता है।

उपयोगकर्ता मोड पेलोड को लागू करने के लिए, KeInitializeApc फ़ंक्शन का उपयोग APC ऑब्जेक्ट को आरंभीकृत करने के लिए किया जाता है, जो तब आवश्यक रूटकिट फ़ंक्शन को निष्पादित करने के लिए उपयोग किया जाता है।



पेलोड

अध्ययन के तहत अवतार रूटकिट संशोधन का पेलोड मूल नहीं है। मुख्य विशेषताएं:

• टीम C & C के साथ सहभागिता।
• पार्सिंग कॉन्फ़िगरेशन जानकारी।
• छिपे हुए एफएस के साथ काम करें।
• रूटकिट ड्राइवर के साथ बातचीत।
• सिस्टम में पेलोड स्थापित करना।

रूटकिट के इस संशोधन की जांच करते समय, हमने देखा कि avcmd.dll के रूप में पेलोड svchost.exe सिस्टम प्रक्रिया में पेश किया गया था। यह मॉड्यूल C & C के साथ काम करने के लिए जिम्मेदार है, जिनके IP पते कॉन्फ़िगरेशन फ़ाइल में संग्रहीत हैं। इस फ़ाइल में निम्न संरचना है।

• बॉटनेट का पहचानकर्ता (नाम)।
• C & C टीम सर्वर URL।
• एन्क्रिप्शन एल्गोरिथ्म के लिए 1024-बिट कुंजी।
• RSA-1024 के लिए सार्वजनिक कुंजी।
• पेलोड को लागू करने की प्रक्रियाओं के नाम।

दो अलग-अलग ड्रॉपरों से डिक्रिप्टेड कॉन्फ़िगरेशन जानकारी के उदाहरण नीचे दिए गए हैं।

पहचानकर्ता BTN1 के साथ बॉटनेट के लिए।



पहचानकर्ता NET1 के साथ बॉटनेट के लिए।



सी और सी के साथ बातचीत की सुरक्षा के लिए, अवतार अपने स्वयं के बेस 64 एन्क्रिप्शन एल्गोरिथ्म का उपयोग करता है। उसी समय, उपयोगकर्ता मोड में सभी नेटवर्क इंटरैक्शन सामान्य WinInet API फ़ंक्शन का उपयोग करके किया जाता है।

यदि आपके पास अन्य विधियों का उपयोग करने में समस्या हो रही है, तो अवतार के पास C & C के साथ संचार करने का एक अतिरिक्त तरीका है। वह विशेष मापदंडों का उपयोग करके याहू समूहों में संदेशों की खोज करने की कोशिश करता है।





निम्नलिखित मापदंडों के आधार पर एक अनुक्रम खोजा जाता है (हमारे मामले में, ये 17BTN1 और 17NET1 हैं)।



इन पंक्तियों के जुड़े होने के बाद, प्राप्त बाइट अनुक्रम एन्क्रिप्टेड है जो कॉन्फ़िगरेशन फ़ाइल से 1024-बिट कुंजी का उपयोग करके अपने एल्गोरिथ्म का उपयोग करता है।

BTN1 कुंजी = 6mQ98EXP3v7TKMdk704uOUzGqvikuoHt98n8IPp4K19
a3qyZ96LoOc54sb3g9eJVyAs7VmPxQjkkM9R960ev275K24PQ550K1
9fNk8305jRDUTb4cEut4579Zg9i32qU

NET1 कुंजी = E623J5XKJ9NF4bseM5J2nkwhs1K2766DUOMUDSee3c
7xu06Q9QayV61U4fm5H89ppuNgLt9M5D2XTCLcd0aS3m9CO1aZg9h9
o2zb2EIC437IU3X1P3ec07481E0j2Tdr

एन्क्रिप्शन के बाद, बेस 64 को प्राप्त अनुक्रम पर लागू किया जाता है और फिर अक्षरों को ऊपरी मामले में बदल दिया जाता है, जबकि कुछ वर्णों को फ़िल्टर किया जाता है। पहचानकर्ता BTN1 के साथ एक बोटनेट के लिए एक उदाहरण नीचे दिखाया गया है।

सिम्फिल्टर (अपरकेस (Base64 (एनक्रिप्ट (17BTN1))))) = EZTFDHPP

स्ट्रिंग EZTFDHWP का उपयोग बाद में याहू समूह की खोज के लिए किया जाता है। यदि इस तरह का अनुरोध सफल होता है, तो अगला कदम है कि समूह की संख्या की जांच करना और उसका विवरण डेटा पढ़ना।



समूह विवरण को RSA और 1024-बिट निजी कुंजी का उपयोग करके एन्क्रिप्ट किया गया है। कॉन्फ़िगरेशन फ़ाइल में संग्रहीत सार्वजनिक कुंजी को जानकर इस तरह के डेटा को डिक्रिप्ट किया जा सकता है। हमारा मानना ​​है कि इस जानकारी को सक्रिय सी एंड सी सर्वरों की अनुपस्थिति में बॉटनेट पर नियंत्रण वापस करने के लिए उपयोग किए गए एन्क्रिप्टेड संदेशों में पाया जा सकता है।

इस फ़ंक्शन को खोजने के बाद, हमने याहू ग्रुप्स पर ऐसे संदेशों की जाँच की। एक समूह पाया गया कि निर्दिष्ट मापदंडों (11BTN1 = EFS9KHRF) से मेल खाता है। खोज क्वेरी इस तरह दिखाई देती है:

hxxp: //groups.yahoo.com/search? क्वेरी = EFS9KHRF और सॉर्ट = प्रासंगिकता



यह देखा जा सकता है कि एन्क्रिप्टेड संदेश इस समूह के विवरण में मौजूद है।



हमने RSA-1024 कुंजी को कॉन्फ़िगरेशन फ़ाइलों में से एक का उपयोग करके इस संदेश को डिक्रिप्ट किया है। बॉटनेट पहचानकर्ता BTN1 के साथ कॉन्फ़िगरेशन फ़ाइल की कुंजी का उपयोग किया गया था।

dZ8FsJ4z0 :: http: //www.avatarbut.info www.avatarsbut.info

यह जानकारी C & C के URL में से एक के समान है जिसे हमने BTN1 कॉन्फ़िगरेशन फ़ाइल में ही देखा था। ऐसा लगता है कि इस समूह का उपयोग साइबर अपराधियों द्वारा बातचीत के इस मोड के आसपास चलाने के लिए किया गया था, क्योंकि इसमें कॉन्फ़िगरेशन फ़ाइल से जानकारी शामिल है।

याहू समूहों में संदेश का उपयोग करते हुए इस तरह की एक बॉटनेट समर्थन योजना बॉटनेट सिंकिंग प्रयासों के खिलाफ उत्कृष्ट सुरक्षा प्रदान करती है, क्योंकि सी एंड सी सर्वर डोमेन जानकारी एक असममित आरएसए-आधारित एन्क्रिप्शन एल्गोरिथ्म का उपयोग करके एन्क्रिप्ट की गई है। शोध प्रक्रिया के दौरान, स्कैमर केवल संदेशों को डिक्रिप्ट करने के लिए सार्वजनिक कुंजी निकाल सकते हैं, लेकिन इस कुंजी का उपयोग नए संदेशों को एन्क्रिप्ट करने और डमी समूह बनाने के लिए नहीं किया जा सकता है।

अवतार रनटाइम लाइब्रेरी

दुर्भावनापूर्ण कोड Win32 / Rootkit.Avatar में सहायक घटकों को विकसित करने के लिए एक विशेष एपीआई है। इस एपीआई का उपयोग अवतार रनटाइम लाइब्रेरी और एक विशेष एसडीके पर आधारित है जो अतिरिक्त उपयोगकर्ता-मोड मॉड्यूल के विकास का वर्णन करता है। ये मॉड्यूल रूटकिट ड्राइवर के साथ बातचीत भी कर सकते हैं। अवतार रनटाइम लाइब्रेरी में निम्नलिखित एपीआई शामिल हैं:

• aTakeProcessToken - एक एक्सेस टोकन को एक प्रक्रिया से दूसरी प्रक्रिया में असाइन करें ।
• aExecute - एक दूरस्थ प्रक्रिया के संदर्भ में एक मॉड्यूल निष्पादित।
• aLoadDriver - छिपे हुए FS के स्थान से ड्राइवर को लोड करें।
• aLoadFileFromAvatarDisk - एक छिपे हुए FS से एक फ़ाइल पढ़ें।
• aSaveFileOrAttrToAvatarDisk - एक छिपा FS को एक फ़ाइल लिखें।
• aSendReport - दूरस्थ C & C को सूचना भेजें।

पेलोड भंडारण संरचना जो प्रक्रियाओं में एम्बेडेड होगी, इस तरह दिखती है।



अवतार एसडीके का विश्लेषण करने के बाद, हमने निष्कर्ष निकाला कि यह परियोजना काफी योग्य डेवलपर्स द्वारा विकसित की गई थी। जाहिर है, मूल कार्यक्षमता का परीक्षण करने और कर्नेल मोड घटक की आवश्यक स्थिरता सुनिश्चित करने के लिए दुर्भावनापूर्ण कोड के डेवलपर्स रूटकिट कोड पर कम से कम छह महीने से काम कर रहे हैं।

निष्कर्ष

Win32 / Rootkit.Avatar rootkit परिवार में AV उत्पादों के संदर्भ में पहचान को दरकिनार करने के लिए दिलचस्प तकनीकें हैं। अवतार रूटकिट, गैपज़ बूटकिट के साथ, सिस्टम के दीर्घकालिक संक्रमण प्रदान करने के लिए उपयोग किया जा सकता है। अवतार अपनी फ़ाइलों को एक नियमित वॉल्यूम पर संग्रहीत नहीं करता है, लेकिन इसके लिए अपने स्वयं के छिपे हुए FS का उपयोग करता है; इसके अलावा, यह मानक ड्राइवरों को संक्रमित करने की तकनीक का उपयोग करता है, जो कि फोरेंसिक परीक्षा आयोजित करने के दृष्टिकोण से जांच के लिए अधिक कठिन मामला है।

यदि C & C सर्वर अनुपलब्ध हैं, तो खतरे में बॉटनेट पर नियंत्रण बनाए रखने के अतिरिक्त तरीके भी हैं। एक संक्रमित प्रणाली को पूरी तरह से कीटाणुरहित करने के लिए, सबसे पहले, रूटकिट ड्राइवर और उसके उपयोगकर्ता-मोड पेलोड को निष्क्रिय करना आवश्यक है और उसके बाद संक्रमित सिस्टम ड्राइवर को पुनर्स्थापित करने का प्रयास करें।