डीडीओएस हमलों के लिए इस्तेमाल किया गया ऑर्बिट डाउनलोडर डाउनलोड मैनेजर

प्रोग्राम ऑर्बिट डाउनलोडर (इनोशॉक) एक डाउनलोड मैनेजर (डाउनलोड मैनेजर) है और इसका उपयोग इंटरनेट से फाइल डाउनलोड करने में तेजी लाने के लिए किया जाता है, और इसमें YouTube जैसी लोकप्रिय सेवाओं से वीडियो डाउनलोड करने की क्षमता भी होती है। यह कम से कम 2006 के बाद से जारी किया गया है और, कई अन्य कार्यक्रमों की तरह, मुफ्त उपयोग के लिए उपलब्ध है। इस डाउनलोड प्रबंधक के डेवलपर को ओपनकैंडी जैसे इंस्टॉलर से राजस्व प्राप्त होता है, जो तीसरे पक्ष के सॉफ़्टवेयर को स्थापित करने के लिए उपयोग किया जाता है और आपको लाभ के लिए विज्ञापन प्रदर्शित करने की अनुमति देता है।



इस प्रकार का विज्ञापन पहले से ही काफी विशिष्ट घटना है और एक कारण है कि ESET विश्लेषकों ने इस तरह के सॉफ़्टवेयर को "संभावित रूप से अवांछित अनुप्रयोगों" ( संभावित रूप से अवांछित अनुप्रयोग , PUA) के परिवार के रूप में वर्गीकृत किया है। पीयूए के लिए कार्यक्रमों को वर्गीकृत करने की एक समान प्रक्रिया विश्लेषकों के लिए काफी नियमित है और सभी विवरणों के गहन अध्ययन की आवश्यकता है, क्योंकि जिन कारणों से सॉफ्टवेयर को पीयूए को सौंपा जा सकता है, वे व्यक्तिगत रूप से निर्धारित किए जाते हैं।



साइबर क्रिमिनल्स समझते हैं कि कई उपयोगकर्ता फ़िशिंग के जाल में गिर सकते हैं जब उन्हें वीडियो होस्टिंग सेवाओं से फ़ाइलों को डाउनलोड करने और अपने स्वयं के प्रयोजनों के लिए उपयोग करने का अवसर प्रदान किया जाता है, इसलिए आपको प्रोग्राम या ब्राउज़र एक्सटेंशन डाउनलोड करने की कोशिश करते समय सावधान रहना होगा जो एक डाउनलोड प्रबंधक के रूप में प्रस्तुत किया जाता है। ऑर्बिट डाउनलोडर के मामले में, हमने पाया कि इसके कुछ संस्करणों में डेनियल ऑफ सर्विस (DoS) हमलों के लिए दुर्भावनापूर्ण कोड है। इस कार्यक्रम की लोकप्रियता को देखते हुए (ऑर्बिट डाउनलोडर को कई लोकप्रिय सॉफ़्टवेयर वितरण वेबसाइटों पर सबसे अधिक डाउनलोड किए गए अनुप्रयोगों में से एक के रूप में सूचीबद्ध किया गया है), यह माना जा सकता है कि इसकी मदद से DDoS हमलों के लिए भारी मात्रा में नेटवर्क ट्रैफ़िक उत्पन्न किया जा सकता है। ऑर्बिट डाउनलोडर के दुर्भावनापूर्ण संस्करणों को ESET द्वारा Win32 / DDoS.Orbiter.A के रूप में पाया जाता है।

दुर्भावनापूर्ण कोड को 4.1.1.14 (25 दिसंबर, 2012) और 4.1.1.15 (10 जनवरी, 2013) संस्करणों के बीच orbitdm.exe निष्पादन योग्य में जोड़ा गया था। यह फ़ाइल डाउनलोड प्रबंधक का मुख्य मॉड्यूल है और निम्नलिखित क्रियाएं करता है। अपने hXXp सर्वर के लिए HTTP GET अनुरोध भेजता है : //obupdate.orbitdownloader.com/update/myinfo.php । सर्वर तब दो URL के साथ प्रतिक्रिया करता है जिसमें निम्न जानकारी होती है। "Url" नाम वाला पहला URL hXXp जैसा दिखता है : //obupdate.orbitdownloader.com/update/ido.ipl और Win32 PE DLL फ़ाइल को इंगित करता है जो गुप्त रूप से डाउनलोड की जाएगी। ध्यान दें कि हमने इस फ़ाइल के दस से अधिक संस्करण खोजे हैं। " Param " नाम वाला दूसरा URL hXXp की तरह दिखता है : //obupdate.orbitdownloader.com/update/rinfo.php? Lang = भाषा । हमलावरों ने एक अन्य टेम्पलेट का भी उपयोग किया - hXXp: //obupdate.orbitdownloader.com/update/par.php? Lang = भाषा

हम सर्वर से निम्नलिखित प्रतिक्रिया प्राप्त करने में कामयाब रहे:

[अपडेट]
url = http: //www.kkk.com
बाहर करना =
परम = २००

ईमानदारी से, हमें यह समझ में नहीं आया कि हमलावरों ने प्रतिक्रिया के लिए URL के रूप में उस नाम के साथ एक वेबसाइट क्यों चुनी। शायद यह सेवा के प्रदर्शन के बारे में लेखकों का परीक्षण था। नीचे सर्वर के साथ प्रोग्राम के नेटवर्क इंटरैक्शन का एक स्क्रीनशॉट है, जिसके दौरान कॉन्फ़िगरेशन फ़ाइल और डीएलएल का अनुरोध किया जाता है।



DLL का विश्लेषण करने के बाद, यह पता चला कि इसमें निर्यातित SendHTTP फ़ंक्शन है, जो दो क्रिया करता है। एन्क्रिप्टेड कॉन्फ़िगरेशन फ़ाइल डाउनलोड करें hXXp: //obupdate.orbitdownloader.com/update/il.php जिसमें आक्रमण करने के लिए पतों की सूची है। अगला, यह कॉन्फ़िगरेशन फ़ाइल में सूचीबद्ध लक्ष्यों पर हमले को करता है। नीचे il.php कॉन्फ़िगरेशन फ़ाइल के भाग का एक स्क्रीनशॉट है।



इस फ़ाइल में प्रविष्टियाँ प्रारूप URL = IP में हैं, उदाहरण के लिए, जैसा कि नीचे दिखाया गया है।

bbs1.tanglongs.com/2DClient_main.swf=210.245.122.119
tanglongs.com/static/script/jquery-1.7.1.min.js=118.69.169.103

फ़ाइल प्रविष्टि का पहला भाग, यानी URL, DoS हमले का लक्ष्य है। दूसरा भाग आईपी पता है जिसे आईपी पैकेट भेजे जाने के स्रोत के रूप में प्रतिस्थापित किया गया है। फ़ाइल को स्वयं base64 और XOR एल्गोरिथम का उपयोग करके 32-वर्ण स्ट्रिंग का उपयोग करके एन्क्रिप्ट किया गया है। स्ट्रिंग एक विशेष पासवर्ड से MD5 है जिसे DLL फ़ाइल में हार्डवॉयर किया गया है।

हमने दो तरह के हमलों की खोज की। अगर WinPcap एक समझौता किए गए सिस्टम पर मौजूद है, तो विशेष रूप से गठित टीसीपी SYN पैकेट्स को पोर्ट 80 के माध्यम से रिमोट सिस्टम पर स्रोत के रूप में एक मनमाने आईपी पते के साथ भेजा जाता है। इस तरह के हमले को SYN बाढ़ के रूप में जाना जाता है। यह जोर दिया जाना चाहिए कि WinPcap नेटवर्क पैकेट बनाने के लिए एक वैध उपकरण है, एक नेटवर्क के साथ काम कर रहा है और किसी भी तरह से घुसपैठियों से जुड़ा नहीं है। WinPcap की अनुपस्थिति में, पोर्ट 80 पर HTTP कनेक्शन स्थापित करने के लिए TCP पैकेट भेजे जाते हैं। UDP का उपयोग करते समय, पोर्ट 53 का उपयोग रिमोट सिस्टम पर किया जाता है।

आधुनिक संचार चैनलों की बैंडविड्थ के कारण इस तरह के हमले काफी प्रभावी हैं। हमारी प्रयोगशाला में एक गीगाबिट ईथरनेट पोर्ट के साथ लगभग 140 हजार पैकेट प्रति सेकंड एक परीक्षण प्रणाली पर भेजे गए थे। यह नोट किया गया था कि सूत्रों के गलत आईपी पते वियतनाम के हैं। इन IP एड्रेस ब्लॉक को ido.ipl के रूप में लोड की गई DLL फ़ाइल में हार्डवॉयर किया गया था।