रोविनिक्स बूटकिट अपडेट। लेख अनुवाद

यह लेख 13 जुलाई, 2012 को अलेक्जेंडर मैट्रसोव द्वारा लिखे गए लेख का अनुवाद है, जो कि एक लिंक है जिसे मैंने कार्बेर स्रोतों के रिसाव के बारे में एक पोस्ट के अंत में पाया था। यह मुझे दिलचस्प लगा और मैंने इसका अनुवाद करने का फैसला किया।
जिनके लिए यह उतना ही दिलचस्प था, बिल्ली का स्वागत करना।

हमने अप्रैल 2011 के बाद से रोवनिक्स बूटकिट परिवार की गतिविधियों की निगरानी की (इसके बाद, लेखक की ओर से भाषण - लगभग।)। Rovnix X64 प्लेटफार्मों के लिए अहस्ताक्षरित कर्नेल ड्राइवरों को डाउनलोड करने के लिए VBR (वॉल्यूम बूट रिकॉर्ड) संक्रमण का उपयोग करने वाला पहला परिवार था। करीब ध्यान देने का कारण एंटीवायरस की पहचान का पता लगाने के लिए रोविनिक्स डेवलपर्स की इच्छा थी। जंगली में पहले नमूनों के पेलोड ने रूस के उपयोगकर्ताओं के इंटरनेट कनेक्शन को अवरुद्ध कर दिया और उन्हें अनलॉक करने के लिए कम संख्या में एसएमएस भेजने के लिए मजबूर किया (हस्ता ला विस्टा, बूटकिट: एक्सप्लॉइटिंग वीबीआर) ।

इन इंटरनेट-ब्लॉकिंग विकल्पों ने 2011 की गर्मियों में बूटकिट घटक का उपयोग करना बंद कर दिया। उस समय, Rovnix फ्रेमवर्क Hodprot / Origami botnet (Win32Carberp का विकास: गहरा जा रहा है) के लिए जिम्मेदार Carberp डेवलपर्स को बेचा गया था। कार्बेर डेवलपर्स ने 2011 के अंत तक केवल इस ढांचे का उपयोग किया था। हमें अन्य ढांचे की बिक्री के बारे में जानकारी नहीं है। हमारे पास केवल ऐसी जानकारी है जो रोविनिक्स बूटकिट के आधार पर कोड के साथ संक्रमण की कम आवृत्ति की पुष्टि करती है। कुछ दिनों पहले, हमें कुछ दिलचस्प नमूने मिले और उनके त्वरित विश्लेषण से RBRnix.B की तरह VBR संक्रमण परिदृश्य का संशोधन हुआ।
ड्रॉपर को अनपैक करने के बाद, हमें BkSetup.dll Rovnix bootkit मॉड्यूल को स्थापित करने के अगले चरणों की तैयारी के लिए एक विशिष्ट घटक मिला। BkSetup.dll मॉड्यूल की संकलन तिथि नए सिरे से और दिनांक 24 जून, 2012 को देखी गई (निश्चित रूप से, यह दिनांक नकली करने के लिए संभव है, लेकिन अब तक डेवलपर्स ने इसे नहीं बदला है)।



इसके अलावा, संसाधन जानकारी BkSetup.dll के संसाधन खंड में पाई गई थी। यहाँ यह है:



फ़ाइल संस्करण को 2.4 में बदल दिया गया था: पहले कार्बेर ने BkSetup.dll संस्करण 2.1 का उपयोग किया था और सी एंड सी द्वारा भेजी गई डिबग जानकारी में डिबग जानकारी के रूप में संग्रहीत किया था।



BkSetup.dll की मुख्य कार्यक्षमता संक्रमण की प्रक्रिया और छिपे हुए भंडारण के निर्माण पर केंद्रित है। BkSetup.dll मूल प्रक्रिया कॉल प्रवाह निम्नानुसार है:




रोविनिक्स बूटकिट के नए संस्करण के साथ नया नमूना बिक्री गतिविधि के फिर से शुरू होने का एक अप्रत्यक्ष सबूत है, और निकट भविष्य में हम रोवेनिक्स और अन्य मैलवेयर के बीच संबंधों के विवरण का खुलासा करने में सक्षम होंगे। और अब हम Rovnix.D संशोधन के तकनीकी विवरण में गोता लगाते हैं।

बहुरूपिक बूट कोड

Rovnix.B के संशोधन के साथ, बूट कोड ने पॉलीमॉर्फ़िज्म का उपयोग किया, जिसमें स्थैतिक हस्ताक्षर के एंटीवायरस का पता लगाने में मदद मिली। प्रारंभ में, कार्बर्क नमूनों में बूटकिट का उपयोग करके एक बहुरूपिक कोड पाया गया था। निम्नलिखित आंकड़ा बहुरूपी कोड की मूल बातें दिखाता है।



कोड के मुख्य ब्लॉक के क्रमपरिवर्तन के आधार पर एक साधारण बहुरूपता चाल हमेशा डिक्रिप्टेड वीबीआर कोड पर मैलवेयर नियंत्रण की ओर जाता है। कोड के मुख्य ब्लॉक इस प्रकार हैं:




[बहुरूपिक कोड Rovnix.B]

पॉलीमोर्फिक कोड का उपयोग करने का कारण एक स्थैतिक हस्ताक्षर के एंटीवायरस का पता लगाना है: इस कोड को केवल अनुकरण का उपयोग करके पता लगाया जा सकता है। एमुलेशन तकनीक सैंडबॉक्स से निकटता से संबंधित है, जहां कोड को अपने गतिशील विश्लेषण के उद्देश्य के लिए एक सुरक्षित आभासी वातावरण में निष्पादित किया जाता है। Rovnix.D और Rovnix.B संशोधनों के बीच अंतर इस ग्राफ में प्रस्तुत किए गए हैं:




[Rovnix.D विकल्प (शीर्ष) और Rovnix.B विकल्प (नीचे)]

एन्क्रिप्टेड वीबीआर कोड का भंडारण स्थान भी बदल दिया गया है, और बहुरूपिक कोड निष्पादित होने के बाद, नियंत्रण को डीक्रिप्टेड वीबीआर कोड में स्थानांतरित कर दिया जाता है। एन्क्रिप्टेड VBR कोड का असमान स्थान निम्नानुसार है:




हमने हार्ड ड्राइव के RAW सेक्टरों से एक अहस्ताक्षरित ड्राइवर को डिक्रिप्ट करने और पढ़ने के कार्य में भी परिवर्तन पाया। इन क्षेत्रों का उपयोग सामान्य छिपे हुए भंडारण में नहीं किया जाता है, लेकिन केवल एक दुर्भावनापूर्ण ड्राइवर को स्टोर करने के लिए एक जगह के रूप में होता है जो संक्रमित मशीन पर निर्दिष्ट उपयोगकर्ता प्रक्रियाओं में पेलोड को इंजेक्ट करता है। अंतर को निम्नलिखित आकृति में देखा जा सकता है:




[Rovnix.D विकल्प (शीर्ष) और Rovnix.B विकल्प (नीचे)]

ये सभी परिवर्तन एंटीवायरस डिटेक्शन को दरकिनार करने के उद्देश्य से हैं और रोविनिक्स बूटकिट की समग्र संरचना में मूलभूत परिवर्तनों को प्रतिबिंबित नहीं करते हैं।

छिपे हुए भंडारण में परिवर्तन

छिपी हुई फ़ाइल प्रणाली की संरचना रोविनिक्स के पिछले संशोधनों से संरचना के समान है और पहले से ही पिछले ब्लॉग पोस्टों में वर्णित किया गया है (रोविनिक्स रीलोडेड: विकास का नया चरण) लिंक यहां। हालाँकि, फ़ाइल सिस्टम इनिशियलाइज़ेशन कोड में मामूली बदलाव पाए गए। छिपे हुए भंडारण से INJECTS.SYS फ़ाइल को पढ़ने के लिए एक अजीब फ़ंक्शन कॉल का पता चला था।



यह जिज्ञासु फ़ंक्शन मानक फ़ाइल सिस्टम पर फ़ाइल में INJECTS.SYS फ़ाइल से एक या दो पथ निकालता है। फ़ंक्शन कोड नीचे दिए गए चित्र में दिखाया गया है:



प्रवाह नियंत्रण कभी भी इस कोड के निष्पादन तक नहीं पहुंचेगा, क्योंकि स्थिति हमेशा NULL होती है और नियंत्रण कभी भी इस कोड को पारित नहीं किया जाएगा। मेरी राय में, रोविनिक्स डी में इस संशोधन का उपयोग परीक्षणों के लिए किया गया था, और हम जंगली में कई खोजों को नहीं देखते हैं। ऐसा लगता है कि Rovnix.D किसी और चीज की तैयारी में एक संक्रमणकालीन संस्करण है, लेकिन फिलहाल हमारे पास इसकी स्पष्ट समझ नहीं है कि यह क्या हो सकता है।

पेलोड

पेलोड मॉड्यूल में C & C सर्वर से अतिरिक्त मॉड्यूल को डाउनलोड करने और निष्पादित करने के विकल्प शामिल हैं। यह मॉड्यूल सिस्टम मेमोरी में हुक और अन्य दुर्भावनापूर्ण परिवर्तन प्रदान नहीं करता है, और एक नियम के रूप में, यह सबसे आम एंटीवायरस द्वारा पता नहीं लगाया गया है।

C & C डोमेन rtttt-windows.com है

पेलोड मॉड्यूल मल्टीथ्रेडिंग मोड में काम करता है और एक दुर्भावनापूर्ण ड्राइवर के साथ संवाद कर सकता है। पेलोड सिंक्रनाइज़ेशन प्रदान करने के लिए, म्यूटेक्स एक लोड उत्पन्न करता है: ग्लोबल <Generated_string>। मुख्य सूत्र के लिए कॉल शेड्यूल इस प्रकार है:




पेलोड मॉड्यूल दुर्भावनापूर्ण चालक को बाद में रिकॉर्डिंग के लिए गुप्त भंडारण और प्रक्रियाओं में कार्यान्वयन के लिए एन्क्रिप्टेड सरणियों को भी भेज सकता है। इससे पहले, रोविनिक्स ने कई तैनाती के लिए कार्यक्षमता का उपयोग नहीं किया था, और केवल एक पेलोड मॉड्यूल प्रदान किया था। Rovnix.D कई पेलोड का उपयोग कर सकता है और एक बोटनेट को पट्टे पर देने के लिए इस्तेमाल किया जा सकता है, और किराये की अवधि के अंत में पेलोड को बदल दिया जाएगा।

निष्कर्ष

फिलहाल, x64 प्लेटफॉर्म के लिए जटिल खतरों के परिप्रेक्ष्य में परिवर्तन देखा जा सकता है। परिवार
Sirefef (ZeroAccess) अपने नवीनतम संशोधनों (ZeroAccess: code injection chronicles) LINK HERE में उपयोगकर्ता मोड में चला गया। ओलमारिक / ओलमास्को (टीडीएल 4 और मैक्सएसएस संशोधनों) में जंगली में बड़ी संख्या में संक्रमण नहीं होते हैं और उन्होंने विकास को रोक दिया है (द एवोल्यूशन ऑफ टीडीएल: विजय एक्स 64)। 64 वें प्लेटफ़ॉर्म के लिए रूटकिट्स / बूटकिट्स क्यों मर जाते हैं? मेरी राय में, 64-बिट सिस्टम को संक्रमित करने के तरीकों की संख्या बहुत सीमित है, और कुछ नया खोजने के लिए डेवलपर की ओर से बहुत समय और काफी अनुभव की आवश्यकता होती है। अधिकांश बूटकिट संक्रमणों में एमबीआर संशोधनों का उपयोग किया गया था, लेकिन यह विधि काफी पुरानी है और अब तक सबसे आम एंटीवायरस प्रोग्राम एमबीआर में बदलाव के लिए चेक प्रदान करते हैं। रोवनीक्स परिवार संक्रमण के अन्य तरीकों का उपयोग करता है
वीबीआर संशोधन, लेकिन नए संशोधनों की एक निरंतर स्ट्रीम के लिए बड़ी मात्रा में डीबगिंग जानकारी प्राप्त करने के लिए सी एंड सी की आवश्यकता होती है। कई प्लेटफार्मों पर विकासशील और डिबगिंग की जटिलता रोवनीक्स बूटकिट फ्रेमवर्क की उच्च कीमतों का एक कारण है। उदाहरण के लिए, एक पूरी तरह कार्यात्मक बिल्डर की लागत 60,000 डॉलर है, जिसमें छह महीने के लिए मूल समर्थन भी शामिल है। यह मूल्य केवल बूटकिट के लिए है, आपको सिस्टम में परिवर्तन को गहरा बनाने की अनुमति देने के लिए विशेषाधिकार वृद्धि के कारनामों की लागत को छोड़कर।

भविष्य में, परिष्कृत चुपके प्रौद्योगिकियों का उपयोग मुख्य रूप से लक्षित हमलों के लिए किया जाएगा, क्योंकि खरीदने और उनका उपयोग करने की लागत विशिष्ट साइबर अपराधियों के लिए अपेक्षित लाभ के साथ तुलनीय नहीं है। अब हमारे पास दस से अधिक x64 बूटकिट परिवार हैं और जंगली में उनकी गतिविधि भी घट रही है।

उल्लेख Rovnix.D ड्रॉपर के SHA1 हैश:

C1C0CC056D31222D3735E6801ACBA763AC024C5B
764B4F0202097F2B41A2821D30A7424490BF3A42

मेरे सहयोगियों पावेल स्मियरियाक और मैक्सिम ग्रिगोरीव के लिए विशेष धन्यवाद।

अलेक्जेंडर मैट्रोसोव, सिक्योरिटी इंटेलिजेंस टीम लीड