Win32 / नैपोलर - जंगली बॉट में नया

हाल ही में, हमारे विशेषज्ञों ने एक नया मैलवेयर प्रोग्राम खोजा है जो Win32 / नैपोलर जैसे एंटी-वायरस डेटाबेस में जोड़ा गया था। हमने डिबगिंग और कोड इंजेक्शन के दिलचस्प तरीकों के कारण अगस्त के मध्य में इस पर ध्यान आकर्षित किया। इस बॉट का उपयोग साइबर अपराधियों द्वारा कई उद्देश्यों के लिए किया जाता है: DoS हमलों का संचालन करना, SOCKS परदे के पीछे संगठित करना और संक्रमित प्रणालियों से डेटा चोरी करना। अन्य ट्रोजन की तरह, वेब फॉर्म से डेटा प्राप्त करने के लिए Win32 / नैपोलर अपने कोड को ब्राउज़रों में इंजेक्ट कर सकता है।

हम जुलाई के अंत से नेपोलर गतिविधि का अवलोकन कर रहे हैं। तब से, हजारों संक्रमण दर्ज किए गए हैं, जिनमें से कई दक्षिण अमेरिका में हैं। पेरू, इक्वाडोर और कोलंबिया जैसे देशों में संक्रमण की संख्या सबसे अधिक है। वितरण के भूगोल के बारे में अधिक जानकारी विरसादर पर पाई जा सकती है।



हम इस दुर्भावनापूर्ण कोड को वितरित करने के अभियान को देखने में सक्षम नहीं थे, लेकिन अप्रत्यक्ष सबूत इस उद्देश्य के लिए सोशल नेटवर्क फेसबुक के उपयोग का संकेत देते हैं। चूंकि नैपोलर के पास फेसबुक खातों की साख को चुराने की क्षमता है, इसलिए बॉटनेट ऑपरेटर्स इस डेटा का उपयोग एक समझौता किए गए उपयोगकर्ता के संपर्कों को संदेश भेजने के लिए कर सकते हैं। निम्न फ़ाइल नामों की एक सूची है जो हमलावर नैपोलर वितरण अभियानों में उपयोग किए जाते हैं:

• Photo_032.JPG_www.facebook.com.exe
• Photo_032.JPG_www.facebook.com.exe
• Photo_014-WWW.FACEBOOK.COM.exe

सच्चे फ़ाइल एक्सटेंशन को मास्क करने और उपयोगकर्ताओं को भ्रमित करने के लिए, डबल नाम एक्सटेंशन का उपयोग किया गया था (उदाहरण के लिए, * .JPG.EXE, * .TXT.EXE। AVAST से हमारे सहयोगियों ने अपने विश्लेषण में इन संक्रमण वैक्टर की पुष्टि की ।

डिबगिंग विरोधी चालें

पहली चीज जो हमने देखी, वह पीई हैडर में एक प्रवेश बिंदु पते की कमी थी।



ऐसी फ़ाइल में, थ्रेड लोकल स्टोरेज (TLS) में स्थित होने पर OS जो कार्य करेगा, वह कार्य करेगा। ड्रॉपर में दो पंजीकृत टीएलएस फ़ंक्शन हैं। उनमें से पहला कोई कार्य नहीं करता है। दूसरा RC4 एल्गोरिथ्म और 0xDEADBEEF कुंजी का उपयोग करके कोड को डिक्रिप्ट करने के लिए जिम्मेदार है। यह डिक्रिप्टेड कोड ओएस पर पिछले फ़ंक्शन रिटर्न नियंत्रण से पहले तीसरे टीएलएस फ़ंक्शन के रूप में पंजीकृत है।



तीसरा टीएलएस फ़ंक्शन इसे निष्पादित करने से पहले बाकी कोड को डिक्रिप्ट करता है। दुर्भावनापूर्ण कोड इसके विश्लेषण को जटिल करने के लिए निम्नलिखित तरकीबों का उपयोग करता है:

• आयात तालिका में आयातित कार्यों के सभी पते निष्पादन के दौरान इन कार्यों के नामों की हैश का उपयोग करते हुए भरे जाते हैं।
• ओएस के साथ ड्रॉपर की बातचीत मुख्य रूप से मानक API का उपयोग करने के बजाय सीधे अनिर्दिष्ट ntdll फ़ंक्शन को कॉल करके की जाती है।

डिक्रिप्शन फ़ंक्शन पर नियंत्रण स्थानांतरित करने के लिए, Win32 / नैपोलर मेमोरी में 0x55 ओपकोड के लिए दिखता है (पुश ईबीपी निर्देश से मेल खाता है, फ़ंक्शन की अपेक्षित शुरुआत)। यदि इस निर्देश को 0xCC opcode (यानी, इस पर डिबग ब्रेकपॉइंट सेट किया गया है) द्वारा प्रतिस्थापित किया जाता है, तो कोड का डिक्रिप्शन काम नहीं करेगा, क्योंकि फ़ंक्शन को कॉल नहीं किया जाएगा। इस तरह के एक विरोधी डिबगिंग तंत्र आपको ड्रॉपर ऑपरेशन की प्रक्रिया में एक डिबगर का पता लगाने और आवश्यक कार्रवाई करने की अनुमति देता है।

गतिशील विश्लेषण को जटिल करने के लिए, Win32 / नैपोलर ने अपनी छवि के आधार पर एक बच्चे की प्रक्रिया बनाई जो इसे डीबग करने की क्षमता के साथ है।



डायनेमिक विश्लेषण को जटिल बनाने की इस प्रथा का विश्लेषण स्व-डीबगिंग सिरफिफ़ क्रिप्ट के विश्लेषण में किया गया था। लेकिन नैपोलर के मामले में, दुर्भावनापूर्ण कोड के साथ खुद को डिबग करने की क्षमता अपने मुख्य शरीर में महसूस की जाती है, और पैकर में नहीं।

जैसे ही डीबग की गई प्रक्रिया शुरू होती है, ट्रोजन WaitForDebugEvent फ़ंक्शन द्वारा दिए गए डीबगिंग इवेंट का निष्पादन चक्र शुरू करता है। इस चक्र का छद्म पृष्ठ नीचे स्क्रीनशॉट में दिखाया गया है।



इस कोड द्वारा संसाधित किया जाने वाला पहला ईवेंट CREATE_PROCESS_DEBUG_EVENT है। इसके बारे में एक अधिसूचना तब आती है जब डिबग की गई प्रक्रिया शुरू कर दी गई है। इस स्थिति में, माता-पिता (मुख्य) प्रक्रिया एक स्वतंत्र स्थिति (स्थिति-स्वतंत्र कोड) के साथ कोड की ऑफसेट और आकार प्राप्त करने के लिए मानक MZ और PE मार्कर की उपस्थिति के लिए चल रही प्रक्रिया की छवि फ़ाइल के हेडर का विश्लेषण करेगी। फिर, डिबग की गई प्रक्रिया में एक मेमोरी ब्लॉक आवंटित किया जाएगा, जहां कोड लागू किया जाएगा। इस प्रकार, एक समान ऑपरेशन के माध्यम से, इस प्रक्रिया में एक ही कोड की दो प्रतियां बनाई जाएंगी।

लूप में संसाधित होने वाली अगली घटना EXCEPTION_DEBUG_EVENT है। इस घटना के लिए प्रोसेसिंग कोड पहले टीएलएस फ़ंक्शन को अधिलेखित कर देगा ताकि यह पुश / रिट निर्देशों के उपयोग के माध्यम से निष्पादन योग्य फ़ाइल की शुरुआत में कोड के निष्पादन को पुनर्निर्देशित करे। फिर, नेपोलर के मुख्य शरीर को डिक्रिप्ट किया जाता है और इसके बाद के निष्पादन (बच्चे की प्रक्रिया के संदर्भ में)। भविष्य में, बाल प्रक्रिया से कोड लगभग सभी बुनियादी कार्यों के लिए जिम्मेदार है, अर्थात्, प्रक्रियाओं में कोड का कार्यान्वयन, बच्चे की प्रक्रियाओं का शुभारंभ और सिस्टम में अपनी उपस्थिति को छिपाने के लिए विभिन्न कार्यों के अवरोधन और आवश्यक जानकारी को बाधित करना।

लूप का अंतिम चरण EXIT_PROCESS_DEBUG_EVENT ईवेंट प्राप्त करना है। ऐसा करने पर, पेरेंट कोड DebugActiveProcessStop को कॉल करके डीबग करना बंद कर देता है और NtTerminProcess का उपयोग करके अपनी प्रक्रिया समाप्त करता है ।



Win32 / नैपोलर की मुख्य विशेषताओं में से एक वेब पेज रूपों की जानकारी चोरी करने की क्षमता है जो एक ब्राउज़र में प्रदर्शित होते हैं। ट्रोजन प्रोग्राम में ट्रस्टीयर सुरक्षा उत्पाद का पता लगाने के लिए एक विशेष कोड है, जो विशेष सुरक्षा कार्यों के साथ उपयोगकर्ता के ब्राउज़र को पूरक करता है। यदि, सिस्टम में चल रही प्रक्रियाओं की गणना करते समय, एक ऐसी प्रक्रिया पाई जाती है, जिसमें इसके नाम में "ट्रस्टीयर" शामिल है, तो इसे समाप्त करने के लिए मजबूर किया जाएगा।

नेटवर्क कनेक्टिविटी

C & C कमांड सर्वर से बातचीत करने के लिए, Win32 / नैपोलर HTTP प्रोटोकॉल का उपयोग करता है। सर्वर द्वारा बॉट द्वारा भेजे गए पहले संदेश में निम्नलिखित जानकारी है:

• बॉट संस्करण
• चालू खाते से उपयोगकर्ता नाम
• कंप्यूटर का नाम
• बॉट आईडी
• ओएस संस्करण
• प्रणाली का प्रकार (x32 / x64)।

फिर सर्वर बॉट को कार्यों के साथ प्रतिक्रिया करता है, जिसे इसे पूरा करना होगा। इन कमांड को RC4 का उपयोग करके एन्क्रिप्ट किया गया है, बॉट आईडी के साथ एन्क्रिप्शन की कुंजी के रूप में उपयोग किया जाता है। बॉट कई आदेशों का समर्थन करता है:

• सूचना चोरी
• SOCKS प्रॉक्सी
• DoS हमला
• अतिरिक्त मॉड्यूल डाउनलोड करें
• मॉड्यूल निष्पादन
• बॉट अपडेट।

प्रत्येक कमांड की अपनी विशिष्ट पहचानकर्ता होती है, जिसे एक बाइट के रूप में संग्रहीत किया जाता है, उसके बाद कमांड पैरामीटर। निम्नलिखित स्क्रीनशॉट यातायात का हिस्सा दिखाता है जो बॉट और प्रबंधन सर्वर के बीच बातचीत के दौरान उपयोग किया गया था।



निम्नलिखित आंकड़ा संबंधित कुंजी का उपयोग करके इस कमांड के डिक्रिप्शन को दर्शाता है। पहला बाइट "0xC" बॉट के लिए "स्लीप" कमांड का कोड है। पैरामीटर स्ट्रिंग "600" है, जो सेकंड की संख्या को दर्शाता है जिसके द्वारा बॉट को सो जाना चाहिए।



हमने Win32 / नैपोलर द्वारा उपयोग किए जाने वाले कम से कम सात अलग-अलग C & C सर्वर देखे हैं। उनमें से अधिकांश केवल कुछ दिनों के लिए ऑनलाइन रहे। उसके बाद, ऑपरेटर ने उन्हें एक नए नेटवर्क में स्थानांतरित कर दिया। इस तरह के व्यवहार को इस तथ्य से समझाया जा सकता है कि बॉट सक्रिय रूप से "जंगली" में उपयोग किया जाता है, अर्थात, इसमें उपयोगकर्ताओं के कंप्यूटरों पर बड़ी संख्या में इंस्टॉलेशन हैं। निम्नलिखित C & C सर्वर द्वारा पाए गए डोमेन की एक सूची है:

• dabakhost.be
• terra-araucania.cl
• xyz25.com
• yandafia.com
• elzbthfntr.com
• alfadente.com.br

मैलवेयर कॉन्फ़िगरेशन फ़ाइलों में TOR के लिंक का पता लगाया गया था। शायद नेटवर्क संचार के दौरान इस अनाम नेटवर्क का लाभ उठाने के लिए हमलावर बाद में इस फ़ंक्शन का उपयोग करेंगे।

Win32 / नैपोलर लेखक अपने "उत्पाद" को बेचने में बहुत रुचि रखते हैं। बॉट का विज्ञापन करने वाली वेबसाइट बहुत ही रचनात्मक दिखती है और इसमें संभावित ग्राहकों के लिए जानकारी होती है। C & C सर्वर और SQL डेटाबेस के साथ काम करने वाले PHP स्क्रिप्ट के साथ बॉट की बातचीत का पूरा कोड इस पर पाया जा सकता है। इसके अलावा, साइट में प्लगइन्स के विभिन्न उदाहरण हैं जो दुर्भावनापूर्ण कोड ऑपरेटरों द्वारा उपयोग किए जा सकते हैं। प्लगइन्स स्वयं डेल्फी में लिखे जाने चाहिए।



साइट में उन परिवर्तनों के बारे में जानकारी है जो ट्रोजन प्रोग्राम (चैंज) के विभिन्न संस्करणों में किए गए थे। इन आंकड़ों के आधार पर, पहला बदलाव 14 जुलाई को किया गया था, जो हमारी मान्यताओं से मेल खाता है, क्योंकि हमने अगस्त की शुरुआत में पहले बॉट के नमूनों का अवलोकन किया था। इन नमूनों के लिए डोमेन पंजीकरण की तारीख भी अगस्त की शुरुआत से मेल खाती है।