Win32 / Nymaim - एक और संक्रमण वेक्टर

दुर्भावनापूर्ण सॉफ़्टवेयर Win32 / TrojanDownloader.Nymaim एक ट्रोजन बूटलोडर है जिसमें रैंसमवेयर विशेषताएं भी हैं और फिरौती के लिए उपयोगकर्ता के कंप्यूटर को ब्लॉक कर सकते हैं। हमने पहले ही इसके बारे में पहले ही लिख दिया था और नोट किया था कि इस खतरे को फैलाने के लिए, हमलावरों ने लिनक्स-आधारित वेब सर्वर के उपयोगकर्ताओं के लिए दुर्भावनापूर्ण कोड के वितरण के साथ समझौता किया। ब्लैकहोल कारनामों के एक सेट का उपयोग करके उपयोगकर्ताओं के कंप्यूटरों पर Nymaim को स्थापित किया गया था, जिसके लेखक को हाल ही में प्रवर्तन एजेंसियों द्वारा गिरफ्तार किया गया था। स्वतंत्र कैफ़ेवेयर कैफ़ीन द्वारा किए गए नवीनतम अध्ययनों में से एक, जो इस कारनामे के सेट के नियंत्रण पैनल में से एक के विश्लेषण पर आधारित है, यह दर्शाता है कि हमलावर ऑपरेशन द होम अभियान की शुरुआत के बाद से लगभग 3 मिलियन उपयोगकर्ताओं को संक्रमित करने में सक्षम थे।



Nymaim का हमारा पिछला विश्लेषण अपने कोड के विभिन्न तरीकों के अध्ययन के लिए समर्पित था, जो हमलावरों ने विश्लेषण को जटिल बनाने के लिए इसका इस्तेमाल किया था। इस लेख में, हम एक नए संक्रमण वेक्टर के विचार और सी एंड सी के साथ बातचीत के प्रोटोकॉल के एक विस्तृत विश्लेषण पर अधिक विस्तार से ध्यान केंद्रित करेंगे।

दुर्भावनापूर्ण कोड Win32 / Nymaim दो अलग-अलग निष्पादन योग्य फ़ाइलों का उपयोग करके उपयोगकर्ता के कंप्यूटर से समझौता करता है। पहला लोडर के रूप में कार्य करता है और सर्वर से दूसरी फ़ाइल डाउनलोड करता है, और फिर इसे निष्पादित करता है। यह दूसरा मॉड्यूल उपयोगकर्ता के कंप्यूटर पर अन्य मैलवेयर डाउनलोड कर सकता है या फिर इसे फिरौती के लिए ब्लॉक कर सकता है। ESET एंटीवायरस उत्पाद Win32 / Nymaim के रूप में दोनों फ़ाइलों का पता लगाते हैं क्योंकि उनमें बहुत सारे सामान्य कोड होते हैं।

जब हमने पहली बार नईम की खोज की, तो यह स्पष्ट था कि यह केवल एक संक्रमण वेक्टर का उपयोग करता है: ब्लैकहोल कारनामों (ड्राइव-बाय) के एक सेट के माध्यम से कोड की गुप्त स्थापना। अब यह स्पष्ट हो गया कि हमलावरों ने उपयोगकर्ताओं को इस खतरे को पहुंचाने के लिए एक और तरीका इस्तेमाल किया।

सितंबर के अंत से, वेब ब्राउज़र का उपयोग करके इंटरनेट के माध्यम से डाउनलोड की गई फ़ाइलों के बीच इस दुर्भावनापूर्ण कार्यक्रम की बड़ी संख्या में रिकॉर्ड किए गए थे। ऐसे मामलों में फ़ाइल डाउनलोड लॉग के माध्यम से देखने पर, हमने पाया कि जिन पते से उपयोगकर्ता इन फ़ाइलों को डाउनलोड करने के लिए आए थे (संदर्भ) Google के थे। यह इंगित करता है कि वह खोज क्वेरी कर रहा था। दुर्भावनापूर्ण कोड डाउनलोड करने की पहल करने वाले कुछ वेब पेजों के हमारे विश्लेषण से पता चला कि हमलावर दुर्भावनापूर्ण सामग्री के लिंक को बढ़ावा देने के लिए "ब्लैक हैट एसईओ" का उपयोग करते थे।

हमलावर दरवाजे के नाम से विशेष वेब पेज बनाते हैं , उनका उपयोग खोज इंजन रोबोट द्वारा अनुक्रमण के लिए किया जाता है। जिन दरवाजों का हमने अध्ययन किया है, वे लोकप्रिय वेब पेजों को खराब या नक़ल करके खोज इंजन के लिए अपनी रैंकिंग बढ़ाने की कोशिश कर रहे हैं। जैसे ही उपयोगकर्ता क्वेरी परिणामों में से किसी एक लिंक पर क्लिक करता है, वह संग्रह को डाउनलोड करने की पहल करता है, जिसका नाम खोज क्वेरी में पाठ से मेल खाता है। वास्तव में, डोरवे पृष्ठ केवल उपयोगकर्ता को किसी अन्य साइट पर पुनर्निर्देशित करता है जिस पर यह संग्रह स्थित है।


अंजीर। एक फिडलर सत्र जो एक वेब पेज अनुरोध क्लिकथ्रू श्रृंखला दिखाता है।

जैसा कि ऊपर स्क्रीनशॉट में देखा जा सकता है, जब उपयोगकर्ता खोज क्वेरी लिंक पर क्लिक करता है, तो उसका ब्राउज़र एक विशेष वेब पेज पर पुनर्निर्देशित किया जाता है, जहां से यह सामग्री के साथ संग्रह में पुनर्निर्देशित होता है। ऐसे पुनर्निर्देशन कार्य उपयोगकर्ता के लिए अदृश्य हैं, जो अंततः एक खाली वेब पेज और डाउनलोड करने योग्य संग्रह देखते हैं। इस संग्रह में एक निष्पादन योग्य फ़ाइल है, जो लॉन्च के बाद, सिस्टम में दुर्भावनापूर्ण कोड स्थापित करता है। उपयोगकर्ता को उस पर अधिक विश्वास जगाने के लिए संग्रह का नाम खोज क्वेरी के पाठ से निकटता से संबंधित है। उदाहरण के लिए, खोज क्वेरी के पाठ के आधार पर एक ही संग्रह को विभिन्न नामों से लोड किया जाएगा। दुर्भावनापूर्ण कोड वाले एक संग्रह के संभावित नाम निम्नलिखित हैं जिन्हें हम प्राप्त करने में कामयाब रहे:

आईईईई-पत्रों-ऑन-मुलायम-कंप्यूटिंग-pdf.exe
निवेश-9 वीं संस्करण-2011-pdf.exe
वीडियो स्टूडियो x4.exe
अग्रिम-वेब-प्रौद्योगिकी pdf.exe
नई प्रगति-शुरुआत-3 edition.exe
लूर्डेस-मंच-Galindo-Fundamentos-de-administraci-एन-pdf.exe
संख्यात्मक विश्लेषण द्वारा रिचर्ड-बोझ और डगलस-faires-pdf.exe
speakout-पूर्व मध्यवर्ती-पश्चिम बंगाल-pdf.exe
NFS शिफ्ट-WVGA-apk.exe
बार्बी-12-नृत्य-राजकुमारियों-soundtrack.exe
गधा-कांग से देश-3-रॉम-portugues.exe
descargar-लिब्रो-अंग्रेज़ी-असीमित-पूर्व मध्यवर्ती-pdf.exe

ध्यान दें कि ये सभी नाम एक ही फ़ाइल के हैं, और कई नाम पायरेटेड सामग्री से मिलते जुलते हैं।

हमने मैलवेयर के कई परिवारों को देखा है जो इस बुनियादी ढांचे का उपयोग करके वितरित किए जाते हैं। उनमें से नकली एंटीवायरस (नकली एवी) हैं, जो ईएसईटी द्वारा विन 32 / एडवेअर.सुरिटीप्रोटेक्शन के रूप में पाए जाते हैं । साथ ही Win32 / Sirefef (ZeroAccess) और Win32 / NNaim पहले से ही वर्णित हैं।

हमारे अध्ययन के दौरान, विभिन्न देशों के लिए कई अलग-अलग लॉक स्क्रीन कवर एकत्र किए गए थे। Win32 / Nymaim यूरोप और उत्तरी अमेरिका के देशों के लिए विभिन्न कवर का उपयोग करता है। जिन देशों के लिए हम कवर प्राप्त करने में सक्षम थे, उनकी निम्नलिखित सूची संपूर्ण नहीं है, क्योंकि हमने सभी मामलों की जांच नहीं की है।

• ऑस्ट्रिया
• कनाडा
• फ्रांस
• जर्मनी
• आयरलैंड
• मेक्सिको
• नीदरलैंड
• नॉर्वे
• रोमानिया
• स्पेन
• यूनाइटेड किंगडम
• अमेरिका

एक दिलचस्प तथ्य यह है कि पुनर्खरीद की कीमत अलग-अलग देशों के लिए अलग-अलग है। निम्नलिखित चार्ट अमेरिकी डॉलर में विभिन्न देशों के लिए कीमतों को दर्शाता है।



सर्वेक्षण किए गए अधिकांश देशों के लिए, बायबैक की कीमत लगभग $ 150 है। हालांकि, संयुक्त राज्य के निवासियों के लिए यह आंकड़ा बहुत बड़ा है और $ 300 से अधिक है।

जब Win32 / Nymaim का पहला भाग किसी कंप्यूटर को संक्रमित करता है, तो यह आईपी पते का उपयोग करके प्रॉक्सी पते की एक सूची प्राप्त करने की कोशिश करता है जो कि दुर्भावनापूर्ण प्रोग्राम के शरीर में ही हार्डवॉयर किए जाते हैं। प्रॉक्सी सर्वर के माध्यम से, Win32 / Nymaim का दूसरा भाग लोड किया जाता है (यानी, एक और ड्रॉपर, जो खतरे के दूसरे चरण के लिए ज़िम्मेदार है), साथ ही साथ डेस्कटॉप ब्लॉकर और अन्य दुर्भावनापूर्ण कोड के कवर भी। इन सर्वरों के पते काफी बार बदलते हैं और C & C पते छिपाने के लिए उपयोग किए जाने लगते हैं। यदि कोई भी प्रॉक्सी उपलब्ध नहीं है, तो Nymaim एक URL का उपयोग करता है जो उसके कोड में हार्ड-कोडित है।

सर्वर के साथ दुर्भावनापूर्ण कोड का नेटवर्क इंटरैक्शन "नमकीन" RC4 (जो RC4 को विशेष बाइट्स के अतिरिक्त के साथ विश्लेषण को बाधित करने के लिए) का उपयोग करके एन्क्रिप्ट किया गया है। निम्न स्क्रीनशॉट एन्क्रिप्टेड टीसीपी पैकेट का प्रारूप दिखाता है।



एन्क्रिप्टेड संदेश के पहले बाइट में 0xF मास्क लगाने से डेटा की "नमक" की लंबाई प्राप्त होती है। यह डेटा तब अगले स्थिर RC4 कुंजी, "* & ^ V8trcv67d [wf9798687RY" में "नमक" बाइट्स जोड़कर डिक्रिप्ट किया जाता है।

डिक्रिप्शन के बाद, डेटा में निम्नलिखित संरचना होती है।



जैसा कि पहले उल्लेख किया गया है, Win32 / Nymaim उपयोगकर्ता के ओएस को लॉक करता है या मैलवेयर को वहां लोड करता है और बाद में इसे स्थापित करता है। एन्क्रिप्शन का दूसरा स्तर बाद के मामले में उपयोग किया जाता है, जो मैलवेयर के डाउनलोड के साथ जुड़ा हुआ है। आरएसए का उपयोग करते हुए, हेडर एन्क्रिप्ट किया जाता है, जबकि डेटा एन्क्रिप्शन अपने स्वयं के एल्गोरिदम के माध्यम से होता है। उपयोग की गई एन्क्रिप्शन योजना नीचे स्क्रीनशॉट में दिखाई गई है।

1. RSA का उपयोग पहले 128 बाइट्स को डिक्रिप्ट करने के लिए किया जाता है (कुंजी सभी नमूनों के लिए समान है जो हमने देखा था)।
2. डेटा के साथ हेडर और बॉडी पार्ट की अखंडता की जाँच करना।
3. डेटा के शेष टुकड़े की अखंडता की जांच करें।
4. हेडर से प्राप्त दो कुंजी का उपयोग करके डेटा का डिक्रिप्शन। नीचे स्क्रीनशॉट में इसे और अधिक स्पष्ट रूप से दिखाया गया है।
5. डिक्रिप्ट किए गए डेटा की अखंडता की जाँच करना।
6. डिक्रिप्ट किए गए डेटा को aPLib का उपयोग करके विघटित किया जाता है।

ऑस्ट्रिया


कनाडा


फ्रांस


जर्मनी