Xunlei डाउनलोड प्रबंधक का उपयोग एंड्रॉइड एप्लिकेशन को चुपचाप स्थापित करने के लिए किया जाता है

इस पोस्ट में, हम संभावित रूप से अनवांटेड एप्लिकेशन (पीयूए) सॉफ्टवेयर पर जानकारी प्रकाशित करते हैं, जिनके घटकों को ईएसईटी द्वारा विन 32 / कंकण के रूप में पाया जाता है। इन घटकों को Xunlei डाउनलोड प्रबंधक में कार्यान्वित किया जाता है। निम्नलिखित दिलचस्प विशेषताओं के कारण हमने इस सॉफ़्टवेयर को देखा:

• सिस्टम में इसकी गोपनीयता और अस्तित्व सुनिश्चित करने के लिए, यह सॉफ़्टवेयर Microsoft Office के प्लग-इन के रूप में इसके एक घटक को पंजीकृत करता है।
• पता लगाया गया दुर्भावनापूर्ण कोड एंड्रॉइड डिवाइसों के लिए एप्लिकेशन इंस्टॉल करता है जो उपयोगकर्ता के ज्ञान के बिना, यूएसबी के माध्यम से कंप्यूटर से जुड़े होते हैं।
• Win32 / Kankan में विशेष सिस्टम टूल का पता लगाने के लिए कोड होता है जो सिस्टम में इसके व्यवहार का विश्लेषण करता है।
• Xunlei फ़ाइलें जिनमें यह दुर्भावनापूर्ण कोड होता है, उन्हें चीनी कंपनी Xunlei Networking Technologies (Xunlei के डेवलपर) द्वारा डिजिटल रूप से हस्ताक्षरित किया जाता है।

कहानी

Win32 / Kankan कहानी पिछले जून से शुरू हुई जब Xunlei Networking Technologies द्वारा हस्ताक्षरित एक संदिग्ध कार्यक्रम की शिकायतें कई चीनी मंचों पर दिखाई दीं। विचाराधीन कंपनी Xunlei सॉफ़्टवेयर विकसित कर रही है, जिसका उपयोग फ़ाइल डाउनलोड (डाउनलोड प्रबंधक) को गति देने के लिए किया जाता है। Xunlei ऑर्बिट डाउनलोडर डाउनलोड मैनेजर के समान है, जिसकी कहानी हमने पहले प्रकाशित की थी।

Xunlei की लोकप्रियता को इस तथ्य से समझाया गया है कि यह कार्यक्रम, फ़ाइलों के त्वरित डाउनलोड की संभावना के अलावा, उपयोगकर्ता को नेटवर्क पर आवश्यक फ़ाइलों की खोज करने और फिर उन्हें अनुकूलित तरीके (टोरेंट क्लाइंट) में डाउनलोड करने की अनुमति देता है। कार्यक्रम में विभिन्न फ़ाइलों के पते का एक उत्पन्न डेटाबेस है। जब आपको किसी विशेष फ़ाइल को डाउनलोड करने की आवश्यकता होती है, तो Xunlei ब्राउज़र या टोरेंट क्लाइंट का उपयोग इस तरह से करता है कि डाउनलोड करने के लिए न्यूनतम संभव समय लगता है। इस अवसर को लागू करने के लिए, Xunlei Networking Technologies ने फ़ाइलों के लिए एक खोज इंजन, विभिन्न प्रोटोकॉल के समर्थन के साथ एक टोरेंट क्लाइंट, अपने स्वयं के P2p प्रोटोकॉल और सॉफ्टवेयर में अन्य उपकरणों को एकीकृत किया है। Xunlei का अधिक विस्तृत विवरण यहां पाया जा सकता है ।

यह डाउनलोड प्रबंधक चीनी उपयोगकर्ताओं के साथ बहुत लोकप्रिय है। 2009 में प्रकाशित एक टोरेंटफ्रीक अध्ययन से पता चलता है कि Xunlei दुनिया में सबसे अधिक मांग वाला टॉरेंट क्लाइंट है जिसके पास एक सौ मिलियन से अधिक उपयोगकर्ता आईडी हैं। जबकि uTorrent के लिए उपयोगकर्ताओं की अधिकतम संख्या 92 मिलियन थी। यह ध्यान दिया जाना चाहिए कि Xunlei चीनी बाजार के लिए एक स्थानीय उत्पाद है, क्योंकि आधिकारिक वेबसाइट में चीनी के अलावा कोई भाषा नहीं है, और सॉफ़्टवेयर इंटरफ़ेस का अन्य भाषाओं में अनुवाद तृतीय-पक्ष कंपनियों या उपयोगकर्ताओं द्वारा स्वयं द्वारा किया गया था।

के विश्लेषण

हमने ऊपर उल्लेख किया है कि कुछ चीनी उपयोगकर्ताओं को उनके कंप्यूटरों पर Xunlei Networking Technologies प्रमाणपत्र द्वारा हस्ताक्षरित संदिग्ध फाइलें मिली थीं। प्रमाण पत्र नीचे दिखाया गया है।


अंजीर। वह प्रमाणपत्र जिसके द्वारा दुर्भावनापूर्ण फ़ाइलों पर हस्ताक्षर किए जाते हैं।

ये फाइलें इंस्टॉलर (विंडोज इंस्टॉलर) की थीं, जिसका नाम INPEnhSetup.exe था। यह Nullsoft Scriptable Install System वितरण प्रणाली पर आधारित है। इंस्टॉलेशन प्रक्रिया के दौरान, इंस्टॉलर डोमेन kkyouxi.stat.kankan.com से संपर्क करता है, जिसे इसके कोड में हार्डवॉयर किया जाता है, ताकि सर्वर को नए इंस्टॉलेशन की शुरुआत के बारे में सूचित किया जा सके। फिर, सिस्टम पर तीन फाइलें स्थापित की जाती हैं: INPEn.dll , INPEnhUD.exe और INPEnhSvc.exe । उसके बाद, INPEn.dll लाइब्रेरी को मेमोरी में लोड किया जाता है और DllRegisterServer फ़ंक्शन को कहा जाता है । इसके बाद, इंस्टॉलर फिर से kkyouxi.stat.kankan.com से संपर्क करता है और अपने काम को पूरा करने की घोषणा करता है।

INPEn.dll में कोड निष्पादन Word, Excel और PowerPoint के लिए InputEnhance नामक प्लगइन के रूप में dll को पंजीकृत करने के साथ शुरू होता है। इस ऑपरेशन को करने के लिए, यह उपयुक्त स्थान पर रजिस्ट्री कुंजियाँ बनाता है, जो INPEnh.dll लाइब्रेरी को भविष्य में Office अनुप्रयोगों के लिए प्लग-इन के रूप में कार्य करने की अनुमति देता है। नीचे इन रजिस्ट्री कुंजियों में से कुछ हैं।


अंजीर। रजिस्ट्री कुंजी जिसके माध्यम से दुर्भावनापूर्ण DLL डाउनलोड होता है।

स्क्रीनशॉट दिखाता है कि LoadBehavior पैरामीटर 3 पर सेट है। इसलिए, एप्लिकेशन शुरू होने पर हर बार प्लगइन लोड होगा। इस प्रकार, दुर्भावनापूर्ण कोड के लेखक एक रिबूट और बाद में लॉन्च के बाद इसके अस्तित्व को सुनिश्चित करते हैं। हर बार जब Microsoft Office से कोई एप्लिकेशन लॉन्च किया जाता है (जैसे Word, Excel या PowerPoint), तो यह लाइब्रेरी प्लग-इन के रूप में मेमोरी में लोड हो जाती है। उपयोगकर्ता के लिए, ऐसी कार्रवाई पूरी तरह से पारदर्शी है, अर्थात, वह इसे नहीं देखता है। INPEn.dll अपूर्ण रूप से निम्नलिखित क्रियाएं करता है:

• यह एक दूरस्थ सर्वर से tools.ini कॉन्फ़िगरेशन फ़ाइल (conf.kklm.n0808.com/tools.ini) डाउनलोड करता है। फ़ाइल में विभिन्न पैरामीटर हैं, उदाहरण के लिए, विभिन्न सिस्टम टूल्स के नामों की एक सूची, जो कि बेस 64 एल्गोरिथ्म द्वारा एन्कोडेड है। नीचे यह फ़ाइल है।
  
• जाँचता है कि कॉन्फ़िगरेशन फ़ाइल में प्रस्तुत की गई सूची से कोई प्रक्रिया चल रही है या नहीं। यदि शुरू किया जाए, तो पुस्तकालय काम करना बंद कर देता है। कॉन्फ़िगरेशन फ़ाइलों में से एक के लिए आवेदनों की सूची नीचे दी गई है। यह देखा जा सकता है कि इसमें विश्लेषण और डीबगिंग टूल (विंडोज टास्क मैनेजर, ऑली डेबगर, एमएस प्रोसेस मॉनिटर, विंडसर, आदि) की प्रक्रियाओं के नाम हैं, न कि एंटी-वायरस उत्पादों की प्रक्रियाओं के नाम। इस प्रकार, यह स्पष्ट है कि लेखकों के पास लाइब्रेरी में कोड है जो प्रोग्राम के व्यवहार का विश्लेषण करने या सिस्टम में इसकी गतिविधि का पता लगाने से बचने में मदद करता है।
  
• यह जांचता है कि इंटरनेट कनेक्शन सक्रिय है या नहीं, प्रसिद्ध चीनी संसाधनों से संपर्क करने की कोशिश कर रहा है, उदाहरण के लिए, baidu.com और qq.com। यदि कोई नेटवर्क कनेक्शन नहीं है, तो कोड ऐसे कनेक्शन के लिए प्रतीक्षा चक्र में जाता है।
• यदि सभी पिछले चेक सफलतापूर्वक पूरे हो गए हैं, तो प्लगइन स्टेटसर्वर सर्वर (कॉन्फ़िगरेशन फ़ाइल देखें) में विभिन्न जानकारी भेजता है, विशेष रूप से, विंडोज का संस्करण और उस एप्लिकेशन के नाम जिसके संदर्भ में डीएल लॉन्च किया गया था। उसके बाद, INPEnhUD.exe लॉन्च किया गया है।
• इसके अलावा, कोड विभिन्न कार्यों के प्रसंस्करण के चक्र में प्रवेश करता है, जिसे हम आगे बताएंगे।

INPEnhUD.exe एप्लिकेशन को एक अपडेटर (updater) के रूप में वर्णित किया जा सकता है। यह xml- फ़ाइल अपडेट के हार्ड-वायर्ड पते को निकालता है। kklm.n0808.com/officeaddinupdate.xml, जो नीचे प्रस्तुत है, इसके कोड से।


अंजीर। "अद्यतन फ़ाइल" का एक हिस्सा जो Xunlei कोड के साथ नई निष्पादन योग्य फ़ाइलों को डाउनलोड करने के लिए उपयोग किया जाता है।

यह देखा जा सकता है कि इस xml फ़ाइल में विभिन्न निष्पादन योग्य फ़ाइलों और उनके MD5 हैश की ओर इशारा करते URL की एक सूची है। इस सूची की फ़ाइलों को कंप्यूटर के लिए अपडेटर द्वारा डाउनलोड किया जाएगा और एमडी 5 सत्यापन के बाद निष्पादित किया जाएगा। जब ये क्रियाएं पूरी हो जाती हैं, तो updater कोड निष्पादन योग्य फ़ाइल INPEnhSvc.exe लॉन्च करता है, जिसे हम सेवा कहते हैं।

यह INPEnhSvc.exe ("सेवा") वास्तव में Xunlei के गुप्त कोड का मूल है और यह विभिन्न दूरस्थ कमांड निष्पादित कर सकता है। डिबगिंग और विश्लेषण टूल के लिए समान जांच करने के बाद जो हमने पिछले मॉड्यूल में देखा था, वह XML कॉन्फ़िगरेशन फ़ाइल डाउनलोड करता है, जिसमें विभिन्न कमांड शामिल हो सकते हैं। उन्हें दो समूहों में विभाजित किया जा सकता है।

• स्थानीय कमांड: स्कैनग्राम , स्कैंडस्कॉप्ट , स्कैनफेवराइट्स
• दूरस्थ कमांड: installpcapp , installphoneapp , setdesktopshortcut , addfavorites , setiestartpage

जैसा कि नाम से पता चलता है, नेटवर्क डाउनलोड का उपयोग किए बिना स्थानीय कमांड सेवा कोड द्वारा ही कार्यान्वित किए जाते हैं: स्कैनग्राम एक विशिष्ट रजिस्ट्री कुंजी की खोज करता है और स्टेटसर्वर, स्कैंडेस्कटॉप और स्कैनफेवराइट्स में अपनी उपस्थिति या अनुपस्थिति की रिपोर्ट करता है। डेस्कटॉप निर्देशिकाओं में .lnk और .url शॉर्टकट फ़ाइलों के लिए देखें। और पसंदीदा, क्रमशः।

यदि सेवा को दूरस्थ आदेश प्राप्त होता है, तो यह कार्यालय प्लग-इन (ऊपर वर्णित) के साथ सहभागिता करता है, जो इस सुविधा को निष्पादित करने के लिए जिम्मेदार है। यह इंटरैक्शन टास्कलिस्ट.इन नामक एक कॉन्फ़िगरेशन फ़ाइल के माध्यम से होता है और इसमें तीन अलग-अलग अनुभाग होते हैं: डूइंग , डन , डोनबायटा । दोनों निष्पादनों में GUID की सूची होती है, जिनमें से प्रत्येक एक विशिष्ट कार्य के साथ जुड़ा हुआ है। इन मॉड्यूल के बीच बातचीत की प्रक्रिया इस प्रकार है:

• जब कोई सेवा दूरस्थ कमांड प्राप्त करती है, तो यह आवश्यक पैरामीटर (जैसे, URL) के साथ वांछित GUID को डूइंग अनुभाग में लिखती है।
• एक पुस्तकालय जिसे एक कार्यालय प्लगइन के रूप में पंजीकृत किया गया है वह इस GUID को पढ़ता है। यह तब कार्यसूची . ini के Done और DoneByDate अनुभागों में ऐसे GUID की उपस्थिति की जाँच करता है। यदि कमांड को अभी तक निष्पादित नहीं किया गया है, अर्थात दोनों वर्गों में अनुपस्थित है, तो यह निष्पादन के अधीन है।
• एक बार कमांड निष्पादित हो जाने पर, प्लगइन GUID मान को Done सेक्शन में लिखता है। इसके अलावा, installpcapp और installphoneapp कमांड के लिए GUID मान भी DoneByDate सेक्शन में लिखे गए हैं। यह संभवतया इन आदेशों के बाद के निष्पादन के लिए किया जाता है।

नीचे इस कार्य प्रक्रिया का एक दृश्य आरेख है। नीली आयतें प्रक्रियाओं का प्रतिनिधित्व करती हैं, और पीली आयतें फाइलों का प्रतिनिधित्व करती हैं।



दूरस्थ टीमों को अतिरिक्त स्पष्टीकरण की आवश्यकता नहीं है, क्योंकि उनके नाम खुद के लिए बोलते हैं। अपवाद इंस्टॉलफोनेप कमांड है, जिसे हम अधिक विस्तार से जांचेंगे ।

मोबाइल ऐप

इंस्टॉलफोनीप कमांड, जैसा कि नाम से पता चलता है, का उपयोग रिमोट सर्वर से एक मोबाइल एप्लिकेशन डाउनलोड करने और फिर एंड्रॉइड (एपीके फ़ाइल) चलाने वाले मोबाइल डिवाइस पर इसे स्थापित करने के लिए किया जाता है। इस कार्य को पूरा करने के लिए, सेवा Android डिबग ब्रिज (ADB) एप्लिकेशन को डाउनलोड करती है , जो Android SDK का हिस्सा है। इसके बाद, प्लगइन एपीके फ़ाइलों को डाउनलोड करता है जिनके पते एक्सएमएल कमांड फाइल (config.xml) में निर्दिष्ट हैं और उन एंड्रॉइड डिवाइसों को सूचीबद्ध करते हैं जो एडीबी का उपयोग करके कंप्यूटर से जुड़े हैं। इन ऑपरेशनों के बाद, कोड डिवाइस पर प्रत्येक एप्लिकेशन को इंस्टॉल करता है।

यह ध्यान दिया जाना चाहिए कि एप्लिकेशन केवल तभी इंस्टॉल किया जाएगा जब एंड्रॉइड डिवाइस यूएसबी के माध्यम से कंप्यूटर से जुड़ा हुआ है, और डिबगिंग सक्षम है, जो डिवाइस की सेटिंग्स के माध्यम से सक्रिय है। आधिकारिक तौर पर, यह केवल एप्लिकेशन डेवलपमेंट के लिए प्रदान किया जाता है, लेकिन इसका उपयोग कुछ प्रकार के एप्लिकेशन द्वारा भी किया जाता है, जिसमें डिवाइस पर फर्मवेयर अपडेट करने के लिए भी शामिल है। इस इंटरैक्शन मोड में, डिवाइस पर एप्लिकेशन को स्टील्थ मोड में स्थापित किया जाएगा और उपयोगकर्ता इस पर ध्यान नहीं देगा।

डाउनलोड करने योग्य अनुप्रयोगों के स्क्रीनशॉट नीचे दिखाए गए हैं।


अंजीर। Xunlei द्वारा स्थापित अनुप्रयोगों के स्क्रीनशॉट।

हमारे विश्लेषण के अनुसार, ये सभी एप्लिकेशन उपयोगकर्ता के लिए वास्तविक अवसर प्रदान करते हैं। उनमें से तीन ऐप स्टोर में डाउनलोड के लिए उपलब्ध हैं। इन अनुप्रयोगों में हमें कोई दुर्भावनापूर्ण कार्य नहीं मिला, हालांकि, यह ध्यान दिया जाना चाहिए कि विश्लेषण को जटिल करने के लिए इन अनुप्रयोगों के कोड को भारी रूप से बाधित किया गया है।

फिलहाल, चौथा एप्लिकेशन अभी भी Google Play पर उपलब्ध है और उपयोगकर्ताओं को तथाकथित विशेष अनुकूल दरों पर फोन कॉल करने की अनुमति देता है। हालांकि, एप्लिकेशन में कुछ संदिग्ध विशेषताएं हैं, उदाहरण के लिए, विभिन्न यूआरएल के साथ नियमित रूप से बातचीत, जिसे एंड्रॉइड एडवेयर के वितरक के रूप में जाना जाता है। इस एप्लिकेशन को Android / SMSreg.BT के रूप में ESET द्वारा पता लगाया गया है और संभावित रूप से अवांछित (संभावित रूप से अवांछित अनुप्रयोग, PUA) भी है।

गुप्त Xunlei कोड के माध्यम से इन अनुप्रयोगों को स्थापित करने की प्रेरणा अज्ञात बनी हुई है। हालाँकि, डेवलपर कंपनी Xunlei Networking Technologies की भूमिका पूरी तरह से स्पष्ट नहीं है। तथ्य यह है कि इस अवांछित कोड वाली फाइलें इस कंपनी के एक डिजिटल प्रमाण पत्र द्वारा हस्ताक्षरित हैं। इसके अतिरिक्त, सहायक डोमेन kankan.com, जिसका उपयोग डेटा संग्रह सर्वर (स्टेटसर्वर) के रूप में किया जाता है, का उपयोग इस कंपनी की अन्य सेवा के रूप में भी किया जाता है। इसमें कोई संदेह नहीं है कि कंपनी के कर्मचारियों को अपने सॉफ़्टवेयर की अवांछनीय छिपी क्षमताओं के बारे में पता था।

पिछले साल अगस्त में, कंपनी के प्रतिनिधियों ने उपयोगकर्ता की शिकायतों का जवाब देते हुए कहा कि कुछ कर्मचारियों ने इस कोड को बनाने और वितरित करने के लिए कंपनी के संसाधनों का उपयोग किया। विशेष रूप से, यह इंगित किया गया था कि कंपनी के एक विभाग जो इस तरह की विशेषताओं को सॉफ्टवेयर में एकीकृत करने के लिए जिम्मेदार था, इसके लिए जिम्मेदार था।

ध्यान दें कि Xunlei अनइंस्टालर उसी डिजिटल प्रमाणपत्र के साथ हस्ताक्षरित है। यह उपयोक्ता के कंप्यूटर के लिए डाउनलोड किया जाता है, जो कि उपर्युक्त घटक के लिए धन्यवाद, जिसके बारे में हमने ऊपर लिखा था। हमारे विश्लेषण के अनुसार, अनइंस्टॉलर सही ढंग से काम करता है और कार्यक्रम के सभी तत्वों को हटा देता है। इस साल के अगस्त और सितंबर में इस पीयूए सॉफ्टवेयर के लिए डिटेक्शन इंडिकेटर्स के साथ कंकन के इस संस्करण के वितरण अभियान की शुरुआत और समाप्ति का पता चलता है।



यह देखा जा सकता है कि 8 अगस्त को शिखर के बाद इस सॉफ्टवेयर का वितरण स्तर काफी कम हो गया (9 अगस्त को अनइंस्टालर पर हस्ताक्षर किए गए थे)। ESET VirusRadar के अनुसार, Win32 / Kankan गतिविधि मानचित्र नीचे दिया गया है, जो दर्शाता है कि चीन सबसे अधिक सक्रिय था।



निष्कर्ष

एक Xunlei पुस्तकालयों में से एक का उपयोग करने के लिए एक कार्यालय प्लगइन के रूप में छिपाने के लिए और बाद में अपनी अवांछित सुविधाओं को लागू करने, Android अनुप्रयोगों की छिपी स्थापना के लिए एक तंत्र, साथ ही पिछले दरवाजे की कार्यक्षमता की पुष्टि करता है कि Xunlei उत्पाद उपयोगकर्ताओं के लिए खतरनाक है। इस प्रकार, इस सॉफ़्टवेयर को Win32 / Kankan के रूप में ESET डेटाबेस में जोड़ा गया था।