Win64 / एक्सपेरो - क्रॉस-प्लेटफ़ॉर्म फ़ाइल इंफ़ेक्टर

फ़ाइल वायरस पहले से ही अच्छी तरह से जाना जाता है और लंबे समय तक अध्ययन किया जाता है, लेकिन इसी तरह के इन्फ़ेक्टर, अधिकांश मामलों में 32-बिट फ़ाइलों को संशोधित करने के उद्देश्य से हैं। ऐसे परिवारों में से एक - एक्सपिरो (एक्सपीरो) एक लंबे समय पहले खोजा गया था और आज शायद ही किसी को आश्चर्यचकित कर सकता है। हालाँकि, हाल ही में हमारे एंटी-वायरस प्रयोगशाला द्वारा एक्सपिरो के एक नए संशोधन की खोज की गई, जो 64-बिट फ़ाइलों को संक्रमित करने में सक्षम है। इसके अलावा, इस संशोधन का शरीर सार्वभौमिक और पूरी तरह से क्रॉस-प्लेटफ़ॉर्म है, क्योंकि यह 32-बिट और 64-बिट फ़ाइलों को संक्रमित कर सकता है (और इसके विपरीत, अर्थात यह संक्रमित 32-बिट फ़ाइलों से 64-बिट फ़ाइलों को संक्रमित कर सकता है)। हमारे नामकरण प्रणाली में, वायरस को Win64 / Expiro.A कहा जाता है (उर्फ W64.Xpiro या W64 / Expiro-A )। इस स्थिति में, 32-बिट संक्रमित फ़ाइलों को Win32 / Expiro.NBF के रूप में पाया जाता है।

इंफ़ेक्टर का उद्देश्य अधिकतम विनाशकारी लाभ प्राप्त करना है और स्थानीय और नेटवर्क ड्राइव दोनों पर निष्पादन योग्य फ़ाइलों को संक्रमित करता है। इस मैलवेयर के पेलोड में Google Chrome और मोज़िला फ़ायरफ़ॉक्स ब्राउज़र के लिए एक्सटेंशन इंस्टॉल करना शामिल है। दुर्भावनापूर्ण कोड एक कंप्यूटर पर संग्रहीत डिजिटल प्रमाणपत्र और इंटरनेट एक्सप्लोरर, माइक्रोसॉफ्ट आउटलुक, और फ़ाइलज़िला एफटीपी क्लाइंट से पासवर्ड चोरी करता है। ऐसे एक्सटेंशन उपयोगकर्ता को दुर्भावनापूर्ण URL पर पुनर्निर्देशित करने के साथ-साथ विभिन्न गोपनीय जानकारी चुराने का काम करते हैं। वायरस विंडोज डिफेंडर और विंडोज सिक्योरिटी सेंटर सहित एक समझौता कंप्यूटर पर कई सेवाओं को निष्क्रिय कर देता है, और कई प्रक्रियाओं को भी समाप्त कर सकता है।

संक्रामक

वायरस बॉडी ही, 64-बिट संक्रमित फाइल में, निष्पादन योग्य फ़ाइल के अंत में (डिस्क पर) जोड़े गए 512,000 बाइट्स का एक नया .vmp0 सेक्शन है। मुख्य शरीर पर नियंत्रण स्थानांतरित करने के लिए, वायरस प्रवेश बिंदु के आकार में 1269 बाइट्स का एक दुर्भावनापूर्ण स्टार्टअप कोड सम्मिलित करता है। इस स्थिति में, मूल बाइट्स .vmp0 अनुभाग की शुरुआत में स्थानांतरित हो जाते हैं। यह स्टार्टअप कोड मुख्य कोड के लिए एक अनपैकर है, जो वायरस सेक्शन में स्थित है। नीचे स्क्रीनशॉट स्टार्टअप कोड टेम्प्लेट दिखाता है, जो संक्रमण के दौरान 64-बिट फ़ाइल के प्रवेश बिंदु के स्थान पर लिखा जाएगा।



संक्रमण के लिए इस कोड को बनाते समय, इन निर्देशों का एक हिस्सा अधिलेखित हो जाएगा, इस प्रकार मूल .vmp0 अनुभाग में डेटा की विशिष्टता को सुनिश्चित करेगा। इस मामले में, ऐड, मूव या लीक जैसे निर्देश, जिसमें तत्काल ऑफसेट दिखाई देते हैं, परिवर्तन के अधीन हैं। कोड के अंत में .vmp0 सेक्शन के अनपैक्ड कोड पर जाने का निर्देश जोड़ा जाता है।



32-बिट फ़ाइलों के लिए एक समान स्टार्टअप कोड .vmp0 सेक्शन में भी होता है और इसमें फॉर्म होता है।



32-बिट संस्करण में ऐसा क्या दिखता है:



64-बिट संस्करण में इस स्टार्टअप कोड का आकार 1269 बाइट्स और 32-बिट 711 बाइट्स में है।

वायरस निष्पादन योग्य फ़ाइलों को संक्रमित करता है, तार्किक ड्राइव निर्देशिकाओं के माध्यम से पुन: उत्तीर्ण होता है, और निष्पादन योग्य फ़ाइल उत्पन्न .vir फ़ाइल का उपयोग करके संक्रमित होती है, जिसमें दुर्भावनापूर्ण कोड फ़ाइल की नई सामग्री बनाता है और फिर 64% ब्लॉकों में संक्रमित फ़ाइल को लिखता है। यदि वायरस फ़ाइल को पढ़ने / लिखने के लिए नहीं खोल सकता है, तो यह उसके सुरक्षा डिस्क्रिप्टर और मालिक की जानकारी को बदलने की कोशिश करता है।

हस्ताक्षर किए गए निष्पादन योग्य कोई अपवाद नहीं हैं। ऐसी फ़ाइल के संक्रमण के बाद, यह हस्ताक्षरित होना बंद हो जाता है, क्योंकि वायरस अपने शरीर को अंतिम खंड के बाद रिकॉर्ड करता है, जहां एक डिजिटल हस्ताक्षर वाला ओवरले मूल फ़ाइल में स्थित होता है। इसके अलावा, वायरस डेटा निर्देशिका में सुरक्षा निर्देशिका क्षेत्र के मानों को RVA और आकार फ़ील्ड को 0. पर सेट करके समायोजित करता है। तदनुसार, भविष्य में, ऐसी फ़ाइल को निष्पादित भी किया जा सकता है, क्योंकि यह डिजिटल हस्ताक्षर के बारे में किसी भी जानकारी से वंचित है। नीचे मूल और संक्रमित 64-बिट फ़ाइल में अंतर हैं, जो डिजिटल रूप से हस्ताक्षरित है। संशोधित संस्करण में बाईं ओर, आप देख सकते हैं कि .vmp0 अनुभाग और प्रवेश बिंदु के मूल बाइट्स ओवरले के स्थान पर शुरू होते हैं।



सुरक्षा प्रक्रियाओं को समाप्त करने के संदर्भ में, एक्सपिरो मूल नहीं है और CreateToolhelp32Snapshot API का उपयोग करके उनकी सूची प्राप्त करने के आधार पर एक दृष्टिकोण का उपयोग करता है और फिर OpenProcess / TerminateProcess का उपयोग करके समाप्त करता है । एक्सपिरो सिस्टम में निम्नलिखित प्रक्रियाओं को पूरा करता है: "MSASCui.exe", "mssools.exe" और "Tcp4.exe"।



सिस्टम में अपनी उपस्थिति बनाए रखने के लिए, एक्सपेरो दो म्यूटेक्स बनाता है जिसे गज़ावट कहा जाता है।

इसके अलावा, संक्रमण प्रक्रिया को बड़ी संख्या में I / O संचालन और रीड / लिखित बाइट्स द्वारा सिस्टम में निर्धारित किया जा सकता है। चूंकि वायरस को सिस्टम में सभी फाइलों को स्कैन करने की आवश्यकता होती है, संक्रमण प्रक्रिया में लंबा समय लग सकता है, जो सिस्टम में संदिग्ध कोड की उपस्थिति का एक लक्षण भी है।



वायरस का शरीर विभिन्न एपीआई को कॉल करते समय और उन्हें मानों, लाइन ऑफसेट, और अधिक से गुजरने पर आक्षेप का उपयोग करता है। उदाहरण के लिए, निम्नलिखित कोड में, सेवा_CONTROL_STOP (0x1) को पास करते समय advapi32 पर नियंत्रण करें! ControlService API फ़ंक्शन, जिसका उपयोग सेवाओं को अक्षम करने के लिए किया जाता है, आरक्षित स्थिरांक से अंकगणित का उपयोग किया जाता है।



इस कोड के साथ, वायरस निम्नलिखित सेवाओं को अक्षम करने की कोशिश करता है: wscsvc (विंडोज सुरक्षा केंद्र), विंडफेंड (विंडोज डिफेंडर सर्विस), MsMpSvc (Microsoft एंटीमलेयर सर्विस), निस्सर्व (Microsoft एंटीमलाइज़र का हिस्सा)।

पेलोड

पेलोड के रूप में, वायरस Google क्रोम और मोज़िला फ़ायरफ़ॉक्स ब्राउज़रों के लिए एक्सटेंशन इंस्टॉल करने की कोशिश करता है। स्थापित क्रोम एक्सटेंशन के लिए मैनिफ़ेस्ट फ़ाइल निम्नानुसार है:



एक्सटेंशन वाली निर्देशिका में, इस प्लगइन की निर्देशिका को dlddmedljhmbgdhapibnagaanenmajcm कहा जाएगा। एक्सटेंशन अपने काम के लिए बैकग्राउंड.जेएस और कंटेंट.जेएस स्क्रिप्ट का उपयोग करता है। डीबॉफिकेशन के बाद, बैकग्राउंड.जेएस टेम्पलेट इस तरह दिखता है।



HID चर अपने संस्करण और उत्पाद ID के साथ सिस्टम पहचानकर्ता को संग्रहीत करता है। SLST चर में उन डोमेन की एक सूची शामिल होती है जो उपयोगकर्ता को दुर्भावनापूर्ण संसाधनों पर पुनर्निर्देशित करने के लिए उपयोग किए जाते हैं, जिनमें से कुछ SLST चर में सूचीबद्ध हैं।



मोज़िला फ़ायरफ़ॉक्स के लिए विस्तार प्रकट निम्नानुसार है।



सामग्री के जेएस स्क्रिप्ट से कोड का वह हिस्सा जो फार्म तत्वों को पार्स करने के लिए जिम्मेदार है।



बॉट के दृष्टिकोण से, एक्सपिरो निम्नलिखित कार्य कर सकता है:

• प्रबंधन सर्वरों के URL की सूची बदलें;
• cmd.exe दुभाषिया में कमांड निष्पादित करें;
• डाउनलोड करें और प्लगइन्स निष्पादित करें
• नेटवर्क से फ़ाइलों को डाउनलोड करें और उन्हें% सामान्य%%%% .exe में सहेजें;
• एक डोएसपी हमले को लागू करें टीसीपी बाढ़;
• % commonappdata% निर्देशिका में \ b * .dll मास्क का उपयोग करके फ़ाइलों की सूची बनाएं और उनसे कोड निष्पादित करें;
• प्रॉक्सी सर्वर (SOCKS, HTTP) शुरू करें;

दुर्भावनापूर्ण कोड फ़ाइल% appdata% \ FileZilla \ sitemanager.xml का उपयोग करके FileZilla की साख चुराता है। Internet Explorer में संग्रहीत पासवर्ड चोरी करते समय, एक विशेष COM ऑब्जेक्ट का उपयोग किया जाता है। यदि डाउनलोड किया गया कोड किसी वेब पेज पर क्रेडिट कार्ड डेटा एंट्री फॉर्म का पता लगाता है, तो यह डेटा को वहां से कॉपी करने की कोशिश करता है। उसी समय, यह "VISA" / "मास्टरकार्ड" प्रारूप के अनुपालन के लिए दर्ज किए गए क्रेडिट कार्ड डेटा की जांच करता है और संदेश के साथ एक विंडो प्रदर्शित करता है:

"अधिकृत करने में असमर्थ। \ N% s संसाधन केंद्र आपके कार्ड% s को \ n को सही करने में असमर्थ है। \ N सुधार करें और पुनः प्रयास करें।"

निष्कर्ष

दुर्भावनापूर्ण कोड को फैलाने के लिए निष्पादन योग्य फ़ाइलों को संक्रमित करने की विधि बहुत प्रभावी वेक्टर है। एक्सपिरो का वर्णित संशोधन घर उपयोगकर्ताओं और कंपनी के कर्मचारियों दोनों के लिए एक गंभीर खतरा है। चूंकि वायरस स्थानीय डिस्क, हटाने योग्य उपकरणों और नेटवर्क पर फ़ाइलों को संक्रमित करता है, इसलिए महामारी काफी गंभीर अनुपात में ले सकती है। एक्सपिरो के मामले में, स्थिति इस तथ्य से बढ़ जाती है कि यदि सिस्टम में कम से कम एक संक्रमित फ़ाइल बनी हुई है और निष्पादित की जाएगी, तो कुल डिस्क संक्रमण की प्रक्रिया फिर से शुरू हो जाएगी। पेलोड के वितरण के दृष्टिकोण से, एक फ़ाइल इंफ़ेक्टर भी इसके शरीर के वितरण की गतिविधि के मद्देनजर एक बेहतर विकल्प है।