Win32 / Syndicasec.A साइबर जासूसी ऑपरेशन में इस्तेमाल किया जाने वाला बैकडोर

हाल ही में, हमारे पास दुर्भावनापूर्ण कोड का एक दिलचस्प नमूना आया है जो ESET Win32 / Syndicasec.A के रूप में पता लगाता है। उन्होंने कई कारणों से ध्यान आकर्षित किया:

• हमारी टेलीमेट्री प्रणाली इस खतरे के साथ बहुत छोटे पैमाने पर संक्रमण दिखाती है, और वितरण का भूगोल नेपाल और चीन जैसे देशों तक सीमित है। इस दुर्भावनापूर्ण कोड के पिछले संस्करणों को 2010 से हमारे द्वारा रिपोर्ट किया गया है।
• पेलोड जावास्क्रिप्ट कोड का एक छोटा सा टुकड़ा है जो विंडोज डब्ल्यूएमआई सबसिस्टम का उपयोग करके पंजीकृत है।
• पिछले दरवाजे सी और सी टीम सर्वर के बारे में जानकारी प्राप्त करने के लिए नकली ब्लॉग वेबसाइटों का उपयोग करता है। इन वेबसाइटों को तिब्बत में पंजीकृत डोमेन पर होस्ट किया जाता है।
• अपनी विशेषताओं के अनुसार, यह ऑपरेशन तिब्बती कार्यकर्ताओं जैसे ओएस एक्स लामाडाई और अन्य के खिलाफ पिछले जासूस अभियानों के समान है।

हमने इस पिछले दरवाजे का एक विस्तृत अध्ययन किया और एक समझौता किए गए कंप्यूटर पर इसकी स्थापना के विवरण का पता लगाया, तंत्र ने अपनी उपस्थिति बनाए रखने के लिए, साथ ही साथ सी और सी सर्वर के साथ बातचीत के विवरण का भी उपयोग किया।



उपस्थिति स्थापित करना और बनाए रखना

Win32 / Syndicasec दुर्भावनापूर्ण कोड को स्थापित करने के लिए एक शोषण का उपयोग किया जाता है। इस तथ्य के बावजूद कि हमारे एंटी-वायरस उत्पादों द्वारा इस शोषण के कार्यों को अवरुद्ध करने के संचालन को दर्ज किया गया था, हम इसे पूरी तरह से प्राप्त नहीं कर सके, इसलिए हमें यकीन नहीं है कि हमले के लिए किस विशेष शोषण का उपयोग किया गया था। अगला, दो-चरण पिछले दरवाजे की स्थापना प्रक्रिया शुरू होती है।

पहले चरण में, ड्रॉपर कुछ प्रारंभिक कार्रवाई करता है। % SYSTEM32% \ sysprep.exe फ़ाइल के अस्तित्व की जाँच करता है। यदि यह मौजूद है, तो दुर्भावनापूर्ण कोड कॉपी करता है .cab फ़ाइल को% TEMP% निर्देशिका से ही निकाला जाता है। इसके अलावा, इस संग्रह की सामग्री को Windows अद्यतन स्टैंडअलोन इंस्टॉलर उपकरण (wusa.exe) का उपयोग करके% System32% \ cryptbase.dll फ़ाइल में कॉपी किया जाएगा। ऐसा करने के लिए, नीचे दिए गए कमांड का उपयोग करें।



.Cab फ़ाइल स्वयं ड्रॉपर खुले में संग्रहीत की जाती है, सिवाय इसके कि कोई संग्रह हस्ताक्षर नहीं है - पहले कुछ बाइट्स। डिस्क पर फ़ाइल में लिखे जाने से पहले ये बाइट्स मेमोरी बफर में जोड़ दिए जाएंगे।

विशेषाधिकारों को बढ़ाने के लिए, ड्रॉपर COM एलेवेशन (UAC श्वेतसूची) नामक एक भेद्यता का फायदा उठाने का प्रयास करता है। सिस्टम में विशेषाधिकारों को बढ़ाने का एक समान तरीका अवतार रूटकिट ड्रॉपर द्वारा उपयोग किया गया था, जिसकी हमने समीक्षा की ।

इस लाइब्रेरी के अंदर, हमें एक डिबग लाइन मिली, जो प्रोजेक्ट का कुछ विचार देती है।



दूसरा चरण एक और ड्रॉपर निष्पादित करना है, जो% TEMP% \ gupdate.exe में संग्रहीत है। यदि सिस्टम में sysprep.exe टूल मौजूद है, तो ड्रॉपर को इस टूल का उपयोग करके लॉन्च किया जाता है। ड्रॉपर UAC श्वेतसूची का शोषण करके विशेषाधिकार वृद्धि तकनीक का भी उपयोग करता है। यदि सिस्टम पर sysprep नहीं पाया जाता है, तो gupdate.exe निष्पादित करने के लिए नियमित cmd.exe कमांड लाइन दुभाषिया का उपयोग किया जाता है।

सिस्टम पर पेलोड को स्थापित करने के लिए gupdate.exe निष्पादन योग्य फ़ाइल जिम्मेदार है। इसके लिए, WMI का उपयोग किया जाता है। यह ध्यान दिया जाना चाहिए कि यह विधि मैलवेयर में काफी दुर्लभ है। इस रणनीति को स्टक्सनेट कीड़ा में देखा गया है। आप ट्रेंड माइक्रो में हमारे सहयोगियों से एक दस्तावेज़ में इसका विस्तृत विवरण पा सकते हैं।

WMI का उपयोग करके पेलोड को सेट करने की विधि में हमलावर के दृष्टिकोण से बहुत उपयोगी विशेषताएं हैं, उदाहरण के लिए, दुर्भावनापूर्ण कोड को डिस्क पर फ़ाइल के रूप में स्थायी रूप से संग्रहीत करने की आवश्यकता नहीं है। यह दृष्टिकोण प्रोसेस एक्सप्लोरर जैसे टूल का उपयोग करके दुर्भावनापूर्ण गतिविधि का पता लगाने की संभावना को काफी कम कर देता है।

सिस्टम में पेलोड को स्थापित करना निम्नानुसार है। पहले चरण में, जावास्क्रिप्ट कोड का टुकड़ा नियमित XOR का उपयोग करके gupdate.exe ड्रॉपर में डिक्रिप्ट किया जाता है। स्क्रीनशॉट में इस कोड का एक उदाहरण नीचे प्रस्तुत किया गया है।



इसके बाद आपके स्वयं के WMI वर्ग का निर्माण होता है।

1. कक्षा __TimerInstruction

दुर्भावनापूर्ण कोड __TimerInstruction क्लास को “ProbeScriptInit” नामक एक घटना को हर 60,000 मिलीसेकंड पर उसकी अलार्म स्थिति में सेट करने के लिए बनाता है।



2. कक्षा __EventFilter

यह वर्ग __EventConsumer में निहित दुर्भावनापूर्ण कोड के साथ एक विशेष टाइमर के तार्किक संयोजन के लिए जिम्मेदार है।



3. __EventConsumer

इस वर्ग में दुर्भावनापूर्ण कोड होता है जिसे हर बार __TimerInstruction कोड के साथ सेट किया जाता है।



उपरोक्त ऑब्जेक्ट रूट \ सदस्यता नामस्थान में स्थित हैं, जो उनकी पर्याप्त गोपनीयता सुनिश्चित करता है।

पिछले दरवाजे सुविधाओं और नेटवर्किंग

__EventConsumer ऑब्जेक्ट में निहित दुर्भावनापूर्ण स्क्रिप्ट पर विचार करें। इस स्क्रिप्ट का कोड विश्लेषण के लिए काफी सरल है। यह देखा जा सकता है कि इसमें ऐसे URL शामिल हैं जिन्हें कोड में हार्डवेर किया गया है, जिन्हें मनमाने ढंग से चुना गया है, और फिर नियमित GET HTTP प्रोटोकॉल अनुरोध के माध्यम से C & C कमांड सर्वर के साथ काम करने के लिए उपयोग किया जाता है। हम इन पतों को कॉल करते हैं: स्टेज एक यूआरएल। वास्तव में, ये सभी हार्ड-वायर्ड पते फर्जी ब्लॉगों के वेब पेज पर ले जाते हैं, जो C & C सर्वर के साथ संचार के लिए दूसरे स्तर के पते ट्रैक करते हैं। नीचे दिया गया स्क्रीनशॉट इन ब्लॉगों में से एक का उदाहरण दिखाता है:



RSS फ़ीड में एक प्रमुख तत्व एक टैग है जिसमें दो '@' के सीमांकक के बीच एक एन्क्रिप्टेड स्ट्रिंग है।

नीचे दिया गया स्क्रीनशॉट स्क्रिप्ट कोड दिखाता है, जो दिखाता है कि इस लाइन को डिक्रिप्ट करने के लिए किस प्रक्रिया का उपयोग किया जाता है।



एक और पते में स्ट्रिंग परिणामों को डिक्रिप्ट करना जिसे स्टेज टू URL कहा जाता है। इस पते का उपयोग वास्तविक संचार के लिए कमांड सी और सी सर्वर के साथ किया जाएगा।

प्रारंभिक संदेश HTTP प्रोटोकॉल के POST अनुरोध का उपयोग करके दूसरे स्तर के URL पर भेजा जाता है और इसमें संक्रमित कंप्यूटर के बारे में कुछ बुनियादी जानकारी होती है। इस संदेश की प्रतिक्रिया एक HTML कंटेनर div है जिसमें एक या अधिक कमांड होते हैं।



स्टेटिक विश्लेषण से पता चलता है कि परिणामी कमांड बफ़र में एक ओब्सेक्टेड जावास्क्रिप्ट स्क्रिप्ट शामिल है, जो कि eval के माध्यम से () रूपांतरित होती है, खुद से दूसरी स्क्रिप्ट निकालती है।

देखी गई गतिविधि

कोड विश्लेषण के समानांतर में, हमने एक विशेष परीक्षण कंप्यूटर के व्यवहार की निगरानी की जो Win32 / Syndicasec का उपयोग करके संक्रमित था। पहले कुछ दिनों की निगरानी के बाद, सीएंडसी की टीमें दर्ज की गईं। सीएंडसी के साथ बॉट की देखी गई बातचीत से, यह स्पष्ट है कि यह इंटरैक्शन स्वचालित नहीं है, लेकिन एक व्यक्ति द्वारा नियंत्रित किया जाता है जो बॉट प्रबंधन कंसोल के पीछे है। हम इस नतीजे पर पहुंचे, क्योंकि हर दिन एक अलग संख्या में टीमों को अनियमित अंतराल पर भेजा जाता था।

नीचे दिए गए स्क्रीनशॉट में C & C सर्वर के साथ बॉट के इंटरैक्शन के पहले सत्रों में से एक का एक टुकड़ा दिखाया गया है। यदि आप टाइमस्टैम्प पर ध्यान देते हैं, तो आप पाएंगे कि सभी कमांड 30 मिनट से अधिक समय के भीतर प्राप्त किए गए थे। यह ध्यान दिया जाना चाहिए कि प्रत्येक कमांड में निष्पादन के लिए आवश्यक जावास्क्रिप्ट स्क्रिप्ट शामिल हैं। संक्षिप्तता के लिए, हमने केवल कुछ कार्यों के लिए पूर्ण कोड को शामिल किया है। समान टाइमस्टैम्प वाले कमांड एक ही कमांड बफर में प्राप्त किए गए थे।




यह कहा जा सकता है कि ऑपरेटर संक्रमित मशीन पर फ़ाइल सिस्टम, साथ ही नेटवर्क सेटिंग्स, मैप किए गए ड्राइव और रनिंग प्रोग्राम देख रहा था।

अगले दिन, ऑपरेटर ने संक्रमित सिस्टम के बारे में डेटा एकत्र करने के लिए आदेशों के एक अलग सेट का उपयोग किया।




इस सत्र में, ऑपरेटर ने समान लक्ष्यों को पूरा करने के लिए समान आदेशों का उपयोग किया, लेकिन वे थोड़े अलग तरीके से किए गए थे। इससे पता चलता है कि इस मामले में हम पहले वाले की तुलना में एक अलग ऑपरेटर के साथ काम कर रहे थे। आप उदाहरण के लिए, निम्न पंक्ति में स्पष्ट टाइपो या त्रुटि नोट कर सकते हैं:

ExecuteCommand ('dir c: \\ dir c:');

2013-04-22 तक दूसरे स्तर के URL अपरिवर्तित रहे। फिर एक नया netfortibt.info डोमेन जोड़ा गया। इस पर जानकारी के लिए अगला भाग देखें।

दुर्भावनापूर्ण कोड इतिहास

हमें मुख्य दुर्भावनापूर्ण लिपि के संस्करणों में से एक मिला, जो जुलाई 2010 तक है। यह स्क्रिप्ट ऑनलाइन जावास्क्रिप्ट पार्सर में से एक पर अपलोड की गई है। नीचे दिया गया स्क्रीनशॉट स्क्रिप्ट कोड की पहली पंक्तियों में दो संस्करणों के लिए अंतर दिखाता है: 0.5.2 और 1.2.0।



दो संस्करणों के बीच मतभेदों के आगे के विश्लेषण पर, हम शीर्षक कंटेनर के शरीर में एन्क्रिप्ट किए गए डेटा को देख सकते हैं, जो आरएसएस फ़ीड को संदर्भित करता है और नए संस्करण में नहीं बदला गया है। दूसरी ओर, यह देखा जा सकता है कि पुराने संस्करण में, C & C सर्वर ने बॉट्स को भेजे गए कमांड पर एन्क्रिप्शन लागू नहीं किया था, लेकिन उन्हें सादे पाठ में भेजा था। कमांड को मुख्य स्क्रिप्ट के संस्करण 1.2.0 में पहले से ही एन्क्रिप्ट किया गया था (सर्कलडबल () फ़ंक्शन देखें)



हम देख सकते हैं कि स्क्रिप्ट का 0.5.2 संस्करण रूट \ सब्स्क्रिप्शन नेमस्पेस में ऑब्जेक्ट्स को पंजीकृत करने के लिए WMI API फ़ंक्शन के लिए कॉल करता है। यह योजना नए संस्करण 1.2.0 में प्रयुक्त से भिन्न है, जिसमें यह ऑपरेशन WMI कॉल करने के लिए ड्रॉपर पर निर्भर करता है।



स्क्रिप्ट के पुराने संस्करण में केवल एक हार्ड-वायर्ड प्रथम-स्तरीय URL शामिल है, जो इस विश्लेषण को लिखने के समय अभी भी सक्रिय था। नीचे इस URL का वेबपेज है।



यह देखा जा सकता है कि सितंबर 2010 में प्रकाशित होने वाली तारीख से केवल 25 उपयोगकर्ता इस पृष्ठ पर गए थे। शीर्षक कंटेनर की डिक्रिप्ट की गई सामग्री एक दूसरे स्तर के URL (hxxp: //.hostaim.com/summer/ieupdate.php) को दिखाती है।

उसी जावास्क्रिप्ट पार्सर का उपयोग करके एक और स्क्रिप्ट पाई गई। हम 2012 में शुरू होने वाले संक्रमित होस्ट और C & C कमांड सर्वर के बीच एक संवाद देख सकते हैं। क्वेरी स्ट्रिंग इंगित करता है कि संक्रमित होस्ट पर एक संस्करण 1.0.1 स्क्रिप्ट चल रही है।



उपरोक्त जानकारी काफी स्पष्ट रूप से दिखाती है कि यह खतरा सक्रिय है और इसका उपयोग कई वर्षों से किया जा रहा है।

निम्नलिखित उन डोमेन के बारे में जानकारी है जो दूसरे स्तर के URL के लिए उपयोग किए गए थे।



एक DoD IP पते के विपरीत, अन्य तीन ने सैकड़ों डोमेन होस्ट किए। इनमें से अधिकांश डोमेन एक साल से कम समय पहले पंजीकृत किए गए थे और एशियाई भाषाओं का उपयोग करने वाले छोटे व्यवसायों के लिए शौकिया वेबसाइटों को इंगित करते हैं।

डोमेन नाम nedfortibt.info में एनईडी का संक्षिप्त नाम है, जो नेशनल एंडोमेंट फॉर डेमोक्रेसी (लोकतंत्र के लिए नेशनल एंडोमेंट) के लिए है। यह संगठन साइट पर स्वयं का वर्णन इस प्रकार करता है:

नेशनल एंडोमेंट फॉर डेमोक्रेसी (NED) एक निजी गैर-लाभकारी संगठन है, जिसकी गतिविधियों का उद्देश्य दुनिया भर में लोकतांत्रिक संस्थानों को विकसित और मजबूत करना है। हर साल, NED फंड 90 से अधिक देशों में लोकतांत्रिक लक्ष्यों को प्राप्त करने के लिए काम करने वाले विदेशों में गैर-सरकारी संगठनों की परियोजनाओं का समर्थन करने के लिए 1,000 से अधिक अनुदान का भुगतान करता है।

नींव खुले तौर पर चीन के साथ उनके संघर्ष में तिब्बतियों का समर्थन करती है।