रूटकिट अवतार और हिडनफसर

मई की शुरुआत में, हमने Win32 / Rootkit.Avatar रूटकिट का विश्लेषण प्रकाशित किया । हालांकि, इसमें संक्रमित सिस्टम पर पेलोड और प्लग-इन के बारे में जानकारी का अभाव था। हमारे एंटीवायरस लैब ने इस मैलवेयर की गतिविधि को ट्रैक किया। जुलाई के मध्य में, हमने एक और Win32 / Rootkit.Avatar ड्रॉपर की खोज की, जिसमें इंटरैक्शन के लिए सक्रिय C & C सर्वर के बारे में जानकारी थी। अलेक्जेंडर मैट्रोसोव , एवगेनी रोडियोनोव और एंटोन चेरेपोनोव ने इस रूटकिट का विस्तृत विश्लेषण किया, जिससे पता चलता है कि यह सक्रिय होना जारी है। हम कर्नेल मोड में रूटकिट सेल्फ-डिफेंस के तरीकों के बारे में नई जानकारी प्रकट करते हैं।



पेलोड

विश्लेषण किए गए नमूनों की कॉन्फ़िगरेशन जानकारी में एक ही प्रारूप है जैसा कि हमने पिछले पोस्ट में बताया था। डिक्रिप्टेड रूप में, अध्ययन के तहत कॉन्फ़िगरेशन निम्नानुसार है।



ऊपर कॉन्फ़िगरेशन फ़ाइल (पीले में हाइलाइटेड) में निर्दिष्ट नियंत्रण सी एंड सी सर्वर हमारे विश्लेषण के समय काम नहीं करता था, इसलिए हमने याहू ग्रुप सेवा का उपयोग किया, जिसमें दुर्भावनापूर्ण कोड सी एंड सी के साथ संवाद करने के लिए आवश्यक जानकारी को डुप्लिकेट करता है।

Win32 / Rootkit.Avatar के पास C & C के साथ संवाद करने का एक और तरीका है, अगर अन्य तरीके किसी कारण से काम नहीं कर सकते हैं। जैसा कि हमने अपने पिछले विश्लेषण में उल्लेख किया है, दुर्भावनापूर्ण कोड विशेष मापदंडों का उपयोग करके याहू ग्रुप्स में संदेशों की खोज करता है। अवतार " hxxp: //finance.groups.yahoo.com/group/I62TUUWM/ " संदेशों की खोज के लिए एक पैरामीटर के रूप में निम्न पंक्ति का उपयोग करता है। हमने इस पैरामीटर के अनुरूप निम्नलिखित समूह की खोज की है।



आरएसए एल्गोरिथ्म और एक निजी 1024-बिट कुंजी का उपयोग करके समूह विवरण एन्क्रिप्ट किया गया है, जो बॉट कॉन्फ़िगरेशन फ़ाइल में स्थित है। डिक्रिप्शन के बाद हमें मिलता है:



हमारे मामले में, कॉन्फ़िगरेशन फ़ाइल से मुख्य C & C सर्वर अब सक्रिय नहीं था, इसलिए बॉट ने याहू समूह का उपयोग करके एक अलग C & C प्राप्त करने वाले चैनल का उपयोग करने का प्रयास किया। अतिरिक्त सर्वर के साथ सफलतापूर्वक बातचीत करने के बाद, अतिरिक्त मॉड्यूल लोड करने के लिए बॉट को निम्न कमांड प्राप्त हुई।



इन निर्देशों का उपयोग करके, दो अतिरिक्त मॉड्यूल संक्रमित सिस्टम में डाउनलोड किए जाते हैं:

• cr.mod ( Win32 / Agent.UZD ) - SOCKS5 प्रॉक्सी क्लाइंट
• loader29.mod ( Win32 / TrojanDownloader.Zurgop.AZ ) - स्मोक बॉट डाउनलोडर।

रूटकिट आत्मरक्षा तंत्र

जब एक प्रणाली संक्रमित होती है, तो अवतार सिस्टम में स्थापित सिस्टम ड्राइवरों में से एक को संशोधित करता है, और डिस्क के अंत में अपने मॉड्यूल और पेलोड को एक छिपे हुए स्टोरेज में रखता है। इस प्रकार, काउंटर का पता लगाने के लिए, यह हार्ड ड्राइव के विशिष्ट क्षेत्र को मिनीपॉर्ट ड्राइव के ड्राइवर स्तर पर इंटरसेप्ट्स के साथ पढ़ने / लिखने से बचाता है। बेशक, यह दृष्टिकोण नया नहीं है और पहले से ही टीडीएल 3/4, ओलामास्को और अन्य जैसे जटिल खतरों द्वारा उपयोग किया गया है। फिर भी, अवतार में इस दृष्टिकोण के कार्यान्वयन का विवरण उनके प्रकाशन के लायक है।

रूटकिट अपनी अंतःक्रियाओं को मुखौटा बनाने की कोशिश कर रहा है ताकि ध्यान आकर्षित न हो और एक मानक ओएस चालक की तरह दिखे। विशेष रूप से, यह कर्नेल मोड के एड्रेस स्पेस में लोड मिनीपॉर्ट ड्राइवर की छवि को डुप्लिकेट करता है और इसे इस तरह से संशोधित करता है जैसे डिस्क पर रीड / राइट अनुरोधों को इंटरसेप्ट करने में सक्षम हो। निम्नलिखित स्क्रीनशॉट दिखाता है कि रूटकिट संक्रमण के बाद सिस्टम में क्या संशोधन किए गए हैं।



दूसरे शब्दों में, दुर्भावनापूर्ण कोड ड्राइवर की छवि को डाउनलोड करता है और इसके कोड को इंजेक्ट करने के लिए इसके एक खंड का उपयोग करता है। अवतार IMAGE_SCN_MEM_DISCARDABLE अनुभाग विशेषता सेट के साथ INIT अनुभाग की खोज करता है। इसका मतलब यह है कि ड्राइवर को इनिशियलाइज़ किए जाने के बाद इस सेक्शन के कंटेंट को मेमोरी से अनलोड किया जा सकता है। इस प्रकार, अवतार इस दृष्टिकोण का लाभ उठाता है जब इस खंड में अपना कोड रखते हैं (सहायक चालक डिस्क से रूटकिट के साथ लोड किया गया था)। रूटकिट पाया गया अनुभाग NONPAGED में बदल जाता है और IMAGE_SCN_MEM_DISCARDABLE ध्वज को विशेषता से रीसेट करता है, और फिर वहां दुर्भावनापूर्ण कोड की प्रतिलिपि बनाता है।

मूल DRIVER_OBJECT की प्रतिलिपि बनाते समय, जिसका उपयोग मिनिपोर्ट द्वारा किया जाता है, रूटकिट निम्न क्षेत्रों को संशोधित करता है:

• DriverInit - ड्राइवर छवि में प्रवेश बिंदु
• DriverStart - छवि डाउनलोड पता
• प्रमुख निर्देश - IRP_MJ_INTERNAL_CONTROL सहित IRP कमांड संचालकों को संकेत की एक सरणी
• DriverUnload - ड्राइवर को अनलोड किए जाने पर एक फ़ंक्शन
• DriverExtension-> AddDevice - PnP उपकरणों के ड्राइवरों के लिए एक फ़ंक्शन।

उपरोक्त संशोधनों को करने के बाद, अर्थात स्मृति और इसके संशोधनों में मूल चालक का दोहराव, एक नया DRIVER_OBJECT रूटकिट जोड़ने से डिस्क पर संबोधित सभी पढ़ने / लिखने के संचालन को नियंत्रित कर सकता है। यह बदले में, आपको हार्ड ड्राइव के क्षेत्र की रक्षा करने की अनुमति देता है जिसमें रूटकिट फाइलें संग्रहीत की जाती हैं।

यदि आप डिस्क से एक संशोधित रूटकिट ड्राइवर की छवि को पढ़ने की कोशिश करते हैं, तो इसकी तुलना उस मेमोरी से भरी हुई है, जो रूटकिट इस तरह के ऑपरेशन को रोक देगा और मूल चालक को वापस कर देगा। इस प्रकार, यह संभावना नहीं है कि डिस्क से पढ़ी गई फ़ाइल और स्मृति में स्थित एक के बीच अंतर देखा जाएगा। हालाँकि, संशोधित ड्राइवर का डिजिटल हस्ताक्षर अब मान्य नहीं है।

HiddenFsReader

अवतार रूटकिट की छिपी हुई फ़ाइल सिस्टम के साथ काम करने के लिए फोरेंसिक टूल हिडनफ्रीडर को अपडेट किया गया है। नीचे इस रूटकिट का एफएस डंप है।



यह ध्यान दिया जाना चाहिए कि HiddenFsReader केवल आवश्यक फ़ाइलों को निकालने में सक्षम है जब रूटकिट स्वयं सिस्टम में सक्रिय है। यह सीमा इस तथ्य का परिणाम है कि एक छिपे हुए एफएस को डिक्रिप्ट करने के लिए, रूटकिट ड्राइवर के शरीर से एन्क्रिप्शन कुंजी के 10 बाइट्स निकालना आवश्यक है, जो प्रत्येक संक्रमण मामले के लिए अद्वितीय हैं। एक बार सिस्टम ठीक हो जाने के बाद, एक छिपे हुए विभाजन से फ़ाइलों को पुनर्प्राप्त करना असंभव लगता है। किसी विशिष्ट संक्रमण के लिए दुर्भावनापूर्ण कोड द्वारा छिपे हुए खंड में फ़ाइल नाम बेतरतीब ढंग से उत्पन्न होते हैं।

Win32 / Rootkit.Avatar मैलवेयर का एक दिलचस्प उदाहरण है जो फोरेंसिक टूल को बायपास करने के लिए कई तरीकों का उपयोग करता है, जो समझौता किए गए कंप्यूटरों पर अपने विश्लेषण को जटिल करता है।