रैंसमवेयर Win32 / Nymaim - आक्षेपक क्रोनिकल्स

पिछले महीने, हमने गृह अभियान मैलवेयर वितरण अभियान के बारे में लिखा। एक लंबे समय के लिए, हमलावरों ने अपाचे लिनक्स-आधारित वेब सर्वरों से दुर्भावनापूर्ण अपाचे मॉड्यूल का उपयोग करके समझौता किया जिसे डार्कच के रूप में जाना जाता है (ईएसईटी द्वारा लिनक्स / चैप्रो के रूप में पाया गया)। इस कोड का उपयोग वेबसाइट उपयोगकर्ताओं को ब्लैकहोल एक्सप्लॉइट किट पर पुनर्निर्देशित करने के लिए किया गया था। हमले के विश्लेषण के दौरान, यह पता चला कि इसका पेलोड Win32 / Nymaim ransomware परिवार था । यह विश्लेषण इस दुर्भावनापूर्ण प्रोग्राम की तकनीकी विशेषताओं और उपयोगकर्ताओं के कंप्यूटरों पर इसे स्थापित करने के तरीके पर केंद्रित है।



संक्रमण

वह विधि जिसके माध्यम से उपयोगकर्ता Nymaim को संक्रमित करते हैं, नीचे दिए गए चित्र में दिखाया गया है। जैसा कि हमने पहले कहा, इसमें एक समझौता किए गए वेब सर्वर पर जाने वाले उपयोगकर्ता होते हैं जिसके माध्यम से दुर्भावनापूर्ण कोड वाला वेब पेज वितरित किया जाता है। Nymaim के मामले में, इस तरह के एक संसाधन की यात्रा का परिणाम एक बंद उपयोगकर्ता का कंप्यूटर बन जाता है। नामीम के मुख्य कोड को लोड करने के लिए जाने-माने पोनी लोडर डाउनलोडर (ईएसईटी विथ विन 32 / फेरिट के रूप में पाया गया) का उपयोग किया जाता है।



अपने निष्पादन योग्य की स्पष्ट वैधता को बनाए रखने के लिए, Fareit को डिजिटल हस्ताक्षर जानकारी प्रदान की जाती है।



नमूनों की यह विशेषता फरेइट ने हमें विश्लेषण के लिए आवश्यक नमूनों को समूहित करने का अवसर दिया। उनका विश्लेषण करते हुए, हमने पाया कि Nymaim ड्रॉपर निकालने के लिए इस दुर्भावनापूर्ण कोड द्वारा डोमेन catch-cdn.com का उपयोग किया गया था, जो तब समझौता किए गए कंप्यूटर पर इंस्टॉल किए गए थे। हमने एक ही नाम 6. एक्सई के साथ एक फ़ाइल को लोड करने का अवलोकन किया, जो अलग-अलग समय के अंतराल पर एक ड्रॉपर Win32 / Sirefef (उर्फ ज़ीरोएसे), Win32 / Urausy (Win32 / LockScreen) और Win32 / Nymaim था। निम्न आंकड़ा इस स्थिर URL पर डाउनलोड किए गए मैलवेयर के वितरण के लिए समयरेखा दिखाता है।



एल्गोरिथ्म जिसके द्वारा सर्वर पर दुर्भावनापूर्ण कार्यक्रमों के इन परिवारों को बदल दिया गया था, हमारे लिए पूरी तरह से स्पष्ट नहीं है। हमने नोट किया कि जुलाई के पहले छमाही में यूरैसी नमूने डाउनलोड के लिए उपलब्ध थे। Sirefef अगस्त की शुरुआत में दिखाई दिया, और नियिम तय समय की पूरी अवधि में नियमित रूप से दिखाई दिया।

तकनीकी विनिर्देश

Win32 / Nymaim संक्रमण प्रक्रिया को दो चरणों में विभाजित किया जा सकता है। पहले चरण में, डाउनलोडर हार्ड-वायर्ड आईपी पतों की सूची का उल्लेख करते हुए निमय के मुख्य निकाय को डाउनलोड करने का प्रयास करता है। डाउनलोड पूरा होने के बाद, यह कोड अपनी फ़ाइल का नाम अनियंत्रित नाम पर रख देता है। इन चरणों में से प्रत्येक में, रैंसमवेयर अपने विश्लेषण में हस्तक्षेप करने के लिए कई सामान्य तरीकों का उपयोग करता है।

ऐसी ही एक विधि नियंत्रण प्रवाह अवरोध है। दुर्भावनापूर्ण कोड वांछित फ़ंक्शन को नियंत्रण स्थानांतरित करने के लिए मैन्युअल रूप से कॉल स्टैक को संशोधित करता है, इस प्रकार स्थैतिक विश्लेषण के दौरान कार्यों के बीच सही संक्रमण को छिपाता है।



ऊपर दिए गए स्क्रीनशॉट में, दो आक्षेप तरीकों पर प्रकाश डाला गया है। पहला एक फ़ंक्शन को कॉल करना है जो पारित किए गए पैरामीटर के आधार पर माँ फ़ंक्शन के स्टैक पर मूल्य को संशोधित करता है। ऐसी विधि नीचे और अधिक विवरण में प्रस्तुत की गई है।



फ़ंक्शन (0x34, 0x35, 0x36) को दिए गए तर्क के आधार पर, स्टैक पर सामग्री को रजिस्टरों में से एक के साथ संशोधित किया जाता है, जो सरल पुश रेग कमांड के बराबर है। उदाहरण के लिए, तर्क 0x34 के मामले में, हमें पुश एक्सेक्स मिलता है।

नीचे दिए गए फ़ंक्शन में दूसरा ओफ़्स्क्यूशन विधि का उपयोग किया जाता है और इसका उद्देश्य तथाकथित फ़ंक्शन के सही पते को छिपाना है। यह नीचे देखा गया है कि फ़ंक्शन को दिया गया तर्क किसी अन्य फ़ंक्शन को कॉल करते समय ऑफसेट के रूप में उपयोग किया जाएगा, अर्थात, इसका उपयोग आवश्यक पते की गणना करने के लिए एक निरंतर के रूप में किया जाता है।



जैसा कि आप इस कोड से देख सकते हैं, फ़ंक्शन XOR और ADD संचालन का उपयोग करके आवश्यक ऑफ़सेट की गणना करने के लिए तर्क के रूप में दो स्थिरांक का उपयोग करता है। अगला, इस ऑपरेशन का परिणाम स्टैक पर सहेजा जाता है, और रिटन फ़ंक्शन द्वारा कॉलिंग फ़ंक्शन को नियंत्रण स्थानांतरित करने के लिए उपयोग किए गए पते का मूल्य संशोधित होता है। इस प्रकार, एक नया फ़ंक्शन कहा जाएगा।



Nymaim में उपयोग किया जाने वाला एक अन्य प्रकार का ओफ़्फ़िकेशन, Win32 API फ़ंक्शन को कॉल करना है। जब किसी दुर्भावनापूर्ण कोड को DLL से आवश्यक फ़ंक्शन को कॉल करने की आवश्यकता होती है, तो यह एन्क्रिप्ट किए गए डेटा अनुभाग से इस DLL के आधार पते को पढ़ता है। फ़ंक्शंस का पता इन फ़ंक्शंस के नामों की पूर्व-तैयार हैश से गणना की जाती है। नीचे एक फ़ंक्शन के लिए कोड है जो फ़ंक्शन के नाम के हैश की गणना करता है। तब इसका उपयोग तुलना के लिए किया जाता है।



जब फ़ंक्शन का पता मिलता है, तो इसे मेमोरी में संग्रहीत किया जाता है और फिर जंप अनुदेश का उपयोग करके कोड में विभिन्न स्थानों पर उपयोग किया जाता है। एक और विशेषता यह है कि एपीआई से लौटते समय, निष्पादन का प्रवाह दुर्भावनापूर्ण कोड के लिए नहीं, बल्कि ntdll.dll कॉल EBX में निर्देश के लिए जाता है। API कॉल से ठीक पहले, Nymaim स्टैक को संशोधित करता है ताकि API से बाहर निकलने के बाद, निष्पादन थ्रेड ntdll.dll पर स्विच हो जाए, और EBX, बदले में, वास्तविक रिटर्न पता शामिल करता है। अधिक स्पष्ट रूप से, इस प्रक्रिया को नीचे दिए गए आंकड़े में दिखाया गया है।



इस तरह के जोड़तोड़ से नईम को डिबगिंग को और अधिक कठिन बनाने की अनुमति मिलती है, विशेष रूप से चरण-दर-चरण निष्पादन (ट्रेसिंग) के साथ। स्टैक-सही किया गया वापसी पता फ़ंक्शन को डीबगर "फ़ंक्शन से लौटने से पहले" निष्पादित करने से रोकता है।

Nymaim स्ट्रिंग एन्क्रिप्शन का उपयोग करता है। डिक्रिप्शन फ़ंक्शन नीचे की तरह दिखता है।



इसके निष्पादन के दूसरे चरण में, Win32 / Nymaim समान गतिरोध विधियों का उपयोग करता है, लेकिन स्क्रीन को रिबूट करने और लॉक करने के बाद उत्तरजीविता सुनिश्चित करने के लिए कोड की कार्यक्षमता का विस्तार किया जाता है। दुर्भावनापूर्ण कोड सॉफ़्टवेयर \ Microsoft \ Windows NT \ CurrentVersion \ Winlogon \ shell में स्वयं को पंजीकृत करके ऑटोस्टार्ट के सामान्य अभ्यास का उपयोग करता है।

हमारे विश्लेषण से पता चला है कि कुछ स्थितियों में, Win32 / Nymaim, इसके निष्पादन के दूसरे चरण में, समझौता किए गए कंप्यूटर पर Win32 / Sirefef नामक एक और खतरा स्थापित करता है। इसके अलावा, भविष्य में, निमय अन्य ट्रोजन को कंप्यूटर पर डाउनलोड कर सकता है।

Nymaim का मुख्य कार्य कंप्यूटर को लॉक करना है। ऐसा करने के लिए, लॉक के बारे में जानकारी के साथ एक HTML पेज लोड किया जाता है। यह लचीलापन हमलावरों को विभिन्न भयभीत पृष्ठों को प्रदर्शित करने की अनुमति देता है, उदाहरण के लिए, उनके स्थान या उन पर स्थापित सॉफ़्टवेयर (उदाहरण के लिए, किसी भी मीडिया फ़ाइल या टोरेंट क्लाइंट) पर निर्भर करता है। नतीजतन, लॉक स्क्रीन की जानकारी उपयोगकर्ता के लिए बहुत विश्वसनीय हो जाती है। ऐसा करने के लिए, उपयोगकर्ता सिस्टम निम्न चल रही प्रक्रियाओं की खोज करता है।

• अज्युरियस
• utorrent
• MediaGet
• बिटटोरेंट
• Bitcomet

इसके अलावा, Nymaim निम्न एक्सटेंशन वाली फ़ाइलों की खोज करता है: .doc, .xls, .psd .bmp, .jpg, .mpg, .mov, .rtf, .fla और .mp3 एकत्रित जानकारी को compdata.js फ़ाइल में संग्रहीत किया जाएगा, जिसे बाद में अवरुद्ध HTML कोड में शामिल किया जाएगा। ऐसी फाइल का एक उदाहरण नीचे दिया गया है।



सहायक फ़ाइलों को लॉक करने के लिए उपयोग किया जाता है, जिसका नाम है, HTML कोड, स्क्रिप्ट और स्क्रीन छवि फ़ाइलें "दस्तावेज़ और सेटिंग \ [user_name] \ स्थानीय सेटिंग्स \ Temp" निर्देशिका (Windows XP) में संग्रहीत होती हैं। सिस्टम को लॉक करने के लिए, रैंसमवेयर एक विंडो को पूरी स्क्रीन का आकार बनाता है और दो विशेष थ्रेड उत्पन्न करता है। जिनमें से एक चल रही प्रक्रियाओं को ट्रैक करेगा और यदि यह शुरू होता है तो मानक टास्कम ..exe प्रक्रिया प्रबंधक को पूरा करेगा। दूसरा धागा नए डेस्कटॉप के उद्भव पर नज़र रखता है जो सक्रिय "दुर्भावनापूर्ण" को रोक सकते हैं और यदि वे दिखाई देते हैं तो वापस स्विच करते हैं। यह व्यवहार उरुसी रैनसमवेयर के व्यवहार के समान है, जिसे AVAST विश्लेषकों द्वारा वर्णित किया गया था । नीचे संयुक्त राज्य में स्थित उपयोगकर्ताओं के लिए कवर उपस्थिति है।



रैंसमवेयर रिमोट सर्वर से बॉट आईडी भेजकर इंटरैक्ट करता है। सर्वर सहायक संचालन करने के लिए कुछ निर्देश वापस भेज सकता है। बीओटी आईडी HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Cryptography \ MachineGuid के मान के आधार पर बनाई गई है। यदि सर्वर इस डेटाबेस के साथ बॉट पहले से ही है तो सर्वर बॉट को अवरुद्ध पृष्ठ नहीं भेज सकता है।

निष्कर्ष

हमारे द्वारा ट्रैक किया गया "होम अभियान" मार्च 2013 से Win32 / Nymaim रैंसमवेयर वितरित कर रहा है। जैसा कि हमने अपने अध्ययन में बताया, हमलावर उपयोगकर्ताओं से समझौता करने के लिए दुर्भावनापूर्ण कोड के अन्य परिवारों का भी उपयोग करते हैं। नीचे एक ऐसे अभियान में उपयोगकर्ता के सिस्टम से समझौता करने के चरणों का चित्रण किया गया है।