दक्षिण एशिया में लक्षित हमले की जांच

इस पोस्ट में हम अपने लक्षित हमले की जांच प्रस्तुत करना चाहते हैं, जिसका उपयोग दुनिया भर के विभिन्न संगठनों से गोपनीय जानकारी चुराने के लिए किया गया था। इस जाँच के दौरान, यह पता चला कि इस हमले के निशान भारत के लिए रवाना हो रहे थे, और पाकिस्तान सबसे अधिक प्रभावित देश था। इसके अलावा, हमलावरों की कार्रवाई कम से कम पिछले दो वर्षों से सक्रिय है। हमले की एक विशिष्ट विशेषता वैध डिजिटल प्रमाणपत्र का उपयोग थी, जिसका उपयोग दुर्भावनापूर्ण निष्पादन योग्य फ़ाइलों पर हस्ताक्षर करने के लिए किया गया था। हमने एक ऐसे कारनामे की भी खोज की, जो साइबर क्रिमिनल सिस्टम में दुर्भावनापूर्ण कोड इंस्टॉल करने के लिए इस्तेमाल करते थे।



इस अभियान के हिस्से के रूप में, एक वैध डिजिटल प्रमाणपत्र का उपयोग किया गया था जिसके द्वारा दुर्भावनापूर्ण निष्पादन योग्य फ़ाइलों पर हस्ताक्षर किए गए थे। यह अधिक गोपनीयता सुनिश्चित करने और स्थापित दुर्भावनापूर्ण कोड की वैधता की एक छवि बनाने के लिए किया गया था। भारतीय कंपनी तकनीकी और वाणिज्यिक परामर्श प्रा। के लिए जुलाई 2011 के अंत में प्रमाण पत्र जारी किया गया था। लिमिटेड, नई दिल्ली में स्थित है।



हमने तुरंत वेरिसाइन से संपर्क किया और हमारे द्वारा दी गई जानकारी के अनुसार, इस प्रमाणपत्र को तुरंत रद्द कर दिया गया। कुल मिलाकर, इस घटना की जांच के परिणामस्वरूप, 70 से अधिक दुर्भावनापूर्ण फाइलें (!) इस डिजिटल हस्ताक्षर के साथ हस्ताक्षरित की गईं। इन फ़ाइलों के टाइमस्टैम्प्स के आधार पर, हमने एक समयरेखा बनाई जो इन फ़ाइलों के हस्ताक्षर की समयरेखा को दर्शाती है।



हमारे द्वारा एकत्र की गई जानकारी के आधार पर, यह स्पष्ट है कि हमलावरों ने मार्च से जून 2012 तक सबसे अधिक सक्रिय रूप से दुर्भावनापूर्ण फाइलों पर हस्ताक्षर किए। फिर हमें जून से अगस्त 2012 तक गतिविधि में थोड़ी गिरावट दिखाई देती है। फिर इस तथ्य के बावजूद अगस्त और सितंबर 2012 में प्रमाण पत्र के उपयोग में वृद्धि है वह पहले से ही याद किया गया था।

इन हस्ताक्षरित फाइलों के अलावा, जांच में कई साधारण निष्पादन योग्य फाइलें भी मिलीं जिनमें हस्ताक्षर नहीं थे। इनमें से कुछ फाइलें 2011 की शुरुआत में हमारे द्वारा खोजी गई थीं।

ड्रॉपर और प्रारंभिक हमला वेक्टर

हमलावर उपयोगकर्ताओं के एक वैक्टर में, हमलावरों ने लोकप्रिय भेद्यता CVE-2012-0158 का उपयोग किया। इस भेद्यता का शोषण एक विशेष रूप से बनाई गई Microsoft Office फ़ाइल के माध्यम से हुआ, जिसके परिणामस्वरूप ओएस में मनमाना कोड निष्पादित किया गया था। हमने एक RTF दस्तावेज़ देखा, जब इसे एक कमजोर सिस्टम पर खोला गया था, दो-चरण शेल कोड निष्पादित किया गया था। इस शेलकोड ने feds.comule.com डोमेन को सिस्टम जानकारी भेजी और digitalapp.org से एक दुर्भावनापूर्ण फ़ाइल भी डाउनलोड की।

एक और हमला वेक्टर निष्पादन योग्य फ़ाइलों का उपयोग था जो माइक्रोसॉफ्ट वर्ड या पीडीएफ फाइलों के रूप में प्रच्छन्न थे। इन फ़ाइलों को ईमेल के माध्यम से वितरित किया गया था। जैसे ही उपयोगकर्ता ने फ़ाइल लॉन्च की, इस दुर्भावनापूर्ण प्रोग्राम ने निष्पादन के लिए अतिरिक्त दुर्भावनापूर्ण मॉड्यूल डाउनलोड और लॉन्च किया। दुर्भावनापूर्ण कोड को मुखौटा करने के लिए, उपयोगकर्ता ने वास्तव में विशिष्ट सामग्री के साथ एक वर्ड दस्तावेज़ प्रदर्शित किया था, और हमने विभिन्न विषयों पर ऐसे कई दस्तावेज देखे।

खोजे गए दस्तावेजों में से एक ने भारतीय सशस्त्र बलों के विषय का इस्तेमाल किया। वास्तव में, हमारे पास विशिष्ट जानकारी नहीं है कि ये फाइलें किस विशिष्ट लोगों या संगठनों के लिए थीं। हालांकि, हमारे टेलीमेट्री सिस्टम के आधार पर, हम मानते हैं कि लक्ष्य पाकिस्तान में लोग और शैक्षणिक संस्थान थे।

नीचे दिया गया स्क्रीनशॉट इन पीडीएफ दस्तावेजों में से एक को दिखाता है, जिसकी सामग्री, वास्तव में, विभिन्न स्रोतों से एक संकलन है। यह दस्तावेज़ एक स्वयं-निकालने वाले संग्रह के माध्यम से दिया गया था, जिसे "pakistandefencetoindiantopmiltrysecec.exe" कहा जाता था।





निम्न स्क्रीनशॉट एक पीडीएफ दस्तावेज़ दिखाता है जिसे pakterrisiomforindian.exe निष्पादन योग्य फ़ाइल के माध्यम से वितरित किया गया था। इस मामले में, दस्तावेज़ की सामग्री एशियाई रक्षा ब्लॉग के पाठ पर आधारित है। यह ब्लॉग एशियाई क्षेत्र के सैन्य विषयों पर समाचार एकत्र करता है। हमारे टेलीमेट्री सिस्टम डेटा से पता चलता है कि इस फ़ाइल को पहली बार अगस्त 2011 में पाकिस्तान में कंप्यूटरों पर खोजा गया था।



पेलोड

हमें पर्याप्त प्रकार के पेलोड मिले जो इस हमले में इस्तेमाल किए गए थे। इसकी स्थापना के लिए, अन्य मामलों की तरह, ड्रॉपर का उपयोग किया गया था। इसका मुख्य कार्य एक संक्रमित कंप्यूटर से दूरस्थ हमलावर सर्वर पर महत्वपूर्ण डेटा भेजना है। निम्न तालिका में निष्पादन योग्य फ़ाइलों के परिवार और कार्यों के विवरण के साथ उनके मॉड्यूल शामिल हैं। इन सभी मॉड्यूलों का इस्तेमाल लक्षित हमले में किया गया था।



संक्रमित कंप्यूटर से चोरी की गई जानकारी को हमलावर सर्वर को अनएन्क्रिप्टेड रूप में भेजा जाता है। इस तरह का एक समाधान वास्तव में हैरान करने वाला है, क्योंकि यह उस समय की लंबाई को खतरे में डालता है जब कंप्यूटर पर दुर्भावनापूर्ण कोड खर्च होता है, जो बदले में लक्षित हमले के लिए एक महत्वपूर्ण कारक है। इस मामले में, नेटवर्क ट्रैफ़िक का विश्लेषण दुर्भावनापूर्ण गतिविधि का पता लगा सकता है। नीचे स्क्रीनशॉट keylogger लॉग फ़ाइल का हिस्सा दिखाता है।



यह लॉग फ़ाइल काफी जानकारीपूर्ण है और उपयोगकर्ता द्वारा टाइप किए गए पात्रों को प्रदर्शित करता है, साथ ही साथ यह जानकारी भी है कि किस विंडो में उन्हें टाइप किया गया था और किस समय। इस तथ्य के कारण कि इन फ़ाइलों को सर्वर को अनएन्क्रिप्टेड रूप में भेजा जाता है, नेटवर्क ट्रैफ़िक का विश्लेषण करके कंप्यूटर पर दुर्भावनापूर्ण कोड का पता लगाने का कार्य काफी सरलता से हल किया जाता है।

यह ध्यान दिया जाना चाहिए कि इस दुर्भावनापूर्ण कोड ने उपयोगकर्ता के लिए भ्रामक नाम के साथ प्रारंभ मेनू में तत्व जोड़े। नीचे स्क्रीनशॉट ऐसे मेनू आइटम का एक उदाहरण दिखाता है।



ट्रोजन उन तरीकों का उपयोग करता है जो इसके विभिन्न घटकों को रिबूट के बाद उनके अस्तित्व को सुनिश्चित करने की अनुमति देते हैं। लेकिन एक ही समय में, इसे असंगत नहीं कहा जा सकता है। चूंकि लक्षित हमले आमतौर पर यथासंभव लंबे समय तक सिस्टम में अदृश्य रहने की कोशिश करते हैं, इसलिए हम इस खतरे के लिए उपयुक्त तंत्र की कमी पर आश्चर्यचकित थे।

सी और सी संरचना

हमारे द्वारा विश्लेषण की गई अधिकांश दुर्भावनापूर्ण फ़ाइलें में अतिरिक्त मॉड्यूल डाउनलोड करने के लिए उपयोग किए गए एम्बेडेड URL होते हैं, साथ ही एक संक्रमित सिस्टम से हमलावर के सर्वर पर डेटा भेजने के लिए। कभी-कभी C & C नियंत्रण सर्वर के URL दुर्भावनापूर्ण कोड के शरीर में अनएन्क्रिप्टेड रूप में संग्रहीत किए जाते हैं। अन्य मामलों में, एक एकल-वर्ण रोटेशन (ROT-1) ऑपरेशन का उपयोग करके एन्क्रिप्शन की एक काफी बुनियादी विधि का उपयोग किया जाता है जैसा कि नीचे दिखाया गया है।

"Gjmftbttpdjbuf / ofu" -> "filesassociate.net"

हमें इस अभियान में उपयोग किए जाने वाले २० से अधिक डोमेन मिले। हालाँकि इनमें से कुछ डोमेन अभी भी सक्रिय के रूप में चिह्नित हैं, उनमें से अधिकांश अब आईपी पते के लिए अनुवादित नहीं हैं। इनमें से अधिकांश डोमेन के लिए, होस्टिंग ओवीएच के सर्वरों पर की गई थी । इस वेब होस्टिंग की एक नकारात्मक प्रतिष्ठा है क्योंकि इसका उपयोग अक्सर स्पैम और मैलवेयर वितरण कार्यों में किया जाता है। हाल ही में HOSTExploit रिपोर्ट में , यह 50 वेब होस्ट की रैंकिंग में 5 वें स्थान पर है जो दुर्भावनापूर्ण सामग्री (एक स्वायत्त प्रणाली से दी गई दुर्भावनापूर्ण गतिविधि की एकाग्रता के लिए शीर्ष 50 होस्ट) प्रदान करते हैं।

इन डोमेन में से कई के नाम, वर्तनी और वैध साइटों और कंपनियों के नामों से मिलते-जुलते हैं। यह दृष्टिकोण C & C टीम सर्वर के रूप में कार्य करने वाले डोमेन के उपयोग के वास्तविक लक्ष्यों को छिपाने के लिए एक सामान्य रणनीति है। उदाहरण के लिए, डोमेन नाम जैसे "Wearwellgarments.eu" और "secuina.com" का उपयोग किया गया था, जो कि वैध वेबसाइट "Wearwellgarments.com" और "secunia.com" के समान हैं, बाद वाले जाने-माने सुरक्षा कंपनी सिकुनिया से संबंधित हैं ।

दुर्भावनापूर्ण फ़ाइलों की उत्पत्ति

इस अभियान के विश्लेषण ने हमें दुर्भावनापूर्ण फ़ाइलों की भौगोलिक उत्पत्ति का निर्धारण करने की अनुमति दी। कई प्रमुख संकेतकों का उपयोग करते हुए, यह पाया गया कि इन फाइलों को भारत में एकत्र किया गया था। दुर्भावनापूर्ण फ़ाइलों को एक भारतीय कंपनी द्वारा डिजिटल रूप से हस्ताक्षरित किया गया। इसके अलावा, हस्ताक्षर पर टाइमस्टैम्प 5:06 और 13:45 यूटीसी के बीच भिन्न होता है, जो भारत के समय क्षेत्र में 10:36 और 19:15 के बीच 8 घंटे के कार्य दिवस से मेल खाता है। यह संभावना है कि लेखक इस समय क्षेत्र में रहते थे।

कई दुर्भावनापूर्ण फ़ाइलों ने भारतीय संस्कृति से संबंधित तार का पता लगाया है, और कुछ स्क्रिप्ट रामुकाका नामक एक चर का उपयोग करते हैं ।



"रामू काका" का संयोजन बॉलीवुड फिल्मों और साधकों में काफी आम है। चूंकि यह चर एक फ़ंक्शन में उपयोग किया जाता है जिसका उद्देश्य सिस्टम में दुर्भावनापूर्ण कोड की निरंतर उपस्थिति सुनिश्चित करना है, यह नाम आपके वास्तविक फ़ंक्शन के साथ काफी अच्छी तरह से जोड़ता है।

लेकिन दुर्भावनापूर्ण फ़ाइलों की उत्पत्ति के देश के रूप में भारत के पक्ष में सबसे सम्मोहक तर्क, हमारे टेलीमेट्री सिस्टम का डेटा है। हमने पाया कि ट्रोजन कार्यक्रम के कई वेरिएंट एक ही क्षेत्र में थोड़े समय के लिए दर्ज किए गए थे। दुर्भावनापूर्ण कोड के प्रत्येक संस्करण में एक दूसरे से थोड़ा अंतर था।

संक्रमण के आँकड़े

हमारी टेलीमेट्री प्रणाली के अनुसार, यह स्पष्ट है कि पाकिस्तान वह क्षेत्र था जिसे हमले का सबसे अधिक नुकसान उठाना पड़ा। निम्नलिखित आरेख उन सभी दुर्भावनापूर्ण फ़ाइलों के लिए दर्ज की गई छूटों के वितरण को दिखाता है जिन्हें हम पिछले दो वर्षों में इस अभियान से जोड़ते हैं।



इसके अलावा, हमने डेटा को सिंक्रोलिंग डेटा के आधार पर एकत्र किया है। इसके लिए तीन डोमेन का उपयोग किया गया, जबकि हम अपने पंजीकृत डोमेन तक पहुँचने वाले आईपी पतों के आधार पर संक्रमित मेजबानों के वितरण का भूगोल प्राप्त करने में सक्षम थे।



जाहिर है, दो आरेखों में आंकड़े पूरी तरह से अलग हैं। सिंकहोल्डिंग के माध्यम से प्राप्त आंकड़ों के मामले में, यूक्रेन और कजाकिस्तान सभी मेजबान आईपी पते के तीन तिमाहियों के लिए खाते हैं जिन्हें हम ठीक करने में सक्षम थे। सिंटोलिंग की मदद से, संक्रमित सिस्टम के केवल एक छोटे हिस्से का पता लगाया गया था, जबकि डिटेक्ट्स के आंकड़े अधिक समग्र तस्वीर दिखाते हैं।

निष्कर्ष

हमारे विश्लेषण में, हमने एक लक्षित हमले की जांच की और इस बात का सबूत दिया कि यह हमला दुनिया भर के विभिन्न ठिकानों पर लक्षित था। जाहिर है, भारत में इसकी जड़ें हैं। इस तथ्य के बावजूद कि दुनिया के कई देशों में दुर्भावनापूर्ण गतिविधि दर्ज की जाती है, पाकिस्तान में सबसे अधिक संक्रमण होते हैं। वास्तव में, लक्षित हमलों में दुर्लभता होना बंद हो गया है, लेकिन इस मामले में, किसी भी उपकरण और तकनीकों की अपेक्षाकृत कम संख्या जो दुर्भावनापूर्ण कोड को सिस्टम में अच्छे चुपके के साथ खुद को प्रदान करने की अनुमति देगी। हमलावरों ने निष्पादन योग्य फ़ाइलों में स्ट्रिंग्स के सरल उपयोग का उपयोग किया, नेटवर्क पर ट्रैफिक को ट्रांसमिट करते समय एन्क्रिप्शन का उपयोग नहीं किया, स्टार्ट मेनू में अतिरिक्त आइटम एम्बेड करके मैलवेयर को वैध किया, और संक्रमित सिस्टम के बारे में जानकारी एकत्र करने के लिए मौजूदा सार्वजनिक रूप से उपलब्ध टूल का उपयोग किया। ये विधियां बताती हैं कि हमलावरों ने बिना उचित दृष्टिकोण के इस ऑपरेशन पर प्रतिक्रिया दी। दूसरी ओर, संभवत: उन्होंने छिपने के साधनों का उपयोग करने की आवश्यकता नहीं देखी, क्योंकि मौजूदा तरीकों ने पर्याप्त न्यूनतम भेस प्रदान किया।

हमारे विश्लेषण को प्रकाशित करने के बाद, सिमेंटेक ने इस हमले से सबसे अधिक प्रभावित क्षेत्रों का भी संकेत दिया। हमारे टेलीमेट्री सिस्टम की तरह, सिमेंटेक ने पुष्टि की कि दक्षिण एशिया में सबसे समझौतावादी मेजबान हैं, अर्थात् पाकिस्तान। भारत को इस हमले के लिए संभावित देश के रूप में इंगित किया गया है।


[सहानुभूति डेटा]

वस्तु नाम

ESET दुर्भावनापूर्ण वस्तुओं का पता लगाता है जो इस अभियान में निम्न नामों के तहत उपयोग किए गए थे।

Win32 / Agent.NLD कीड़ा
Win32 / Spy.Agent.NZD ट्रोजन
Win32 / Spy.Agent.OBF ट्रोजन
Win32 / Spy.Agent.OBV ट्रोजन
Win32 / Spy.KeyLogger.NZL ट्रोजन
Win32 / Spy.KeyLogger.NZN ट्रोजन
Win32 / Spy.VB.NOF ट्रोजन
Win32 / Spy.VB.NRP ट्रोजन
Win32 / TrojanDownloader.Agent.RNT ट्रोजन
Win32 / TrojanDownloader.Agent.RNV ट्रोजन
Win32 / TrojanDownloader.Agent.RNW ट्रोजन
Win32 / VB.NTC ट्रोजन
Win32 / VB.NVM ट्रोजन
Win32 / VB.NWB ट्रोजन
Win32 / VB.QPK ट्रोजन
Win32 / VB.QTV ट्रोजन
Win32 / VB.QTY ट्रोजन
Win32 / Spy.Agent.NVL ट्रोजन
Win32 / Spy.Agent.OAZ ट्रोजन