जर्मनी और ऑस्ट्रेलिया के हेस्परबोट लक्ष्य

सितंबर में, हमने एक नए बैंकिंग ट्रोजन की घोषणा की जिसे हेस्परबॉट कहा गया (जिसे Win32 / Spy.Hesperbot के नाम से जाना जाता है)। इस उपकरण का उपयोग करने वाले साइबर अपराधी अभी भी सक्रिय हैं, नवंबर में इस मैलवेयर का उपयोग करने के नए मामले दर्ज किए गए थे।

हमने पहले ही दिखाया है कि इस मैलवेयर के संक्रमण का भौगोलिक वितरण कई विशिष्ट देशों में काफी स्थानीय है। उपयोगकर्ताओं को संक्रमित करने के लिए, उन्होंने अपनी मूल भाषा में फ़िशिंग संदेशों के साथ स्पैम अभियानों का उपयोग किया। जैसा कि अपेक्षित था, हमलावरों को नए देशों पर ध्यान केंद्रित करने के लिए एक लंबा समय नहीं लगा। चार के अलावा जो हमने पहले ही संकेत दिया है (तुर्की, चेक गणराज्य, पुर्तगाल, ग्रेट ब्रिटेन), पिछले महीने जर्मनी और ऑस्ट्रेलिया में उपयोगकर्ताओं के लिए दुर्भावनापूर्ण कोड के नए संस्करण रिपोर्ट किए गए थे।

पिछले महीने, चेक गणराज्य में संक्रमण के बड़े मामले दर्ज किए गए, और हमलावरों ने चेक बॉटनेट के लिए कॉन्फ़िगरेशन फ़ाइलों में वेब इंजेक्शन स्क्रिप्ट भी जोड़े। नीचे दिए गए आरेख में देश द्वारा हेस्परबॉट संक्रमण का वितरण दिखाया गया है, जिसे हमने नवंबर में ईएसईटी लाइवग्रिड का उपयोग करके दर्ज किया था।



Hesperbot में एक मॉड्यूलर आर्किटेक्चर है और कॉन्फ़िगरेशन फ़ाइलों के माध्यम से हमलावरों को नए ऑनलाइन बैंकिंग सिस्टम के लिए दुर्भावनापूर्ण कोड को लक्षित करने की अनुमति मिलती है। इस कॉन्फ़िगरेशन फ़ाइल का उपयोग करते हुए, विशेष निर्देश दुर्भावनापूर्ण कोड के लिए दिए जाते हैं, उदाहरण के लिए, जो कि फॉर्म धरनेवाला मॉड्यूल को यूआरएल को अनदेखा करना चाहिए। यही है, जब इस तरह के URL का HTTP POST अनुरोध में सामना होता है, तो यह मॉड्यूल ऑनलाइन बैंकिंग खातों / क्रेडिट कार्डों के बारे में जानकारी प्राप्त करने और उन्हें हमलावरों को हस्तांतरित करने के लिए उपयोगकर्ता द्वारा वेब रूपों में दर्ज डेटा को चुराने के लिए विशेष कार्य नहीं करेगा। पतों की एक अन्य सूची का उपयोग उन स्थितियों को निर्धारित करने के लिए किया जाता है जब वीडियो कैप्चर मॉड्यूल चालू हो जाता है (इसका उपयोग वर्चुअल कीबोर्ड को दरकिनार करने के साधन के रूप में किया जा सकता है और बोटनेट ऑपरेटर को ऑनलाइन बैंकिंग खाते में प्रवेश किए बिना पीड़ित के बैंक खाते की शेष राशि की निगरानी करने में मदद करता है)। कॉन्फ़िगरेशन फ़ाइल में ज़ीउस और स्पाईइ के समान प्रारूप में वेब इंजेक्शन भी हैं।

नीचे दी गई तालिका ऑनलाइन बैंकिंग सिस्टम के URL दिखाती है जो नवीनतम कॉन्फ़िगरेशन फ़ाइलों में से एक में पाए गए थे।



निम्नलिखित एक वेब फॉर्म का लेआउट है जिसके साथ हमलावर एक मोबाइल घटक को स्थापित करने में पीड़ित को लुभाने की कोशिश करते हैं।





अगला, उपयोगकर्ता को उचित स्थापना निर्देशों का पालन करने की आवश्यकता है।







निम्नलिखित चेक बैंक की वेबसाइट पर एक वेब इंजेक्शन का एक वास्तविक मामला है।



ध्यान दें कि Hesperbot के मामले में, उपयोगकर्ता ब्राउज़र एड्रेस बार में https कनेक्शन आइकन का निरीक्षण करना जारी रखता है। इसके लिए उनके द्वारा उपयोग किए जाने वाले तरीकों के बारे में अधिक विस्तृत जानकारी हमारे विस्तृत विश्लेषण में मिल सकती है।

हमने पहले से ही अपने पिछले विश्लेषण में विभिन्न हेस्पर्टबॉट मॉड्यूल का वर्णन किया है। दुर्भावनापूर्ण कोड का नवीनतम संस्करण अब दो नए मॉड्यूल का उपयोग करता है। पहले को gbitcoin कहा जाता है और निम्न फ़ाइलों को चुराने की कोशिश करता है:

-% APPDATA% \ Bitcoin \ wallet.dat
-% APPDATA% \ MultiBit \ multibit.wallet

इन फाइलों का उपयोग बिटकॉइन फंडों के रिपॉजिटरी के रूप में किया जाता है और बिटकॉइन और मल्टीबिट क्लाइंट के लिए गुप्त कुंजी संग्रहीत करता है। बिटकॉइन मुद्रा की वर्तमान उच्च लागत के साथ, इस तरह के एक मॉड्यूल को जोड़ने का निर्णय समझ में आता है। बिटकॉइन को सुरक्षित रूप से कैसे उपयोग किया जाए, इस बारे में कुछ सुझाव हमारे अंग्रेजी भाषा के ब्लॉग और साथ ही बिटकॉइन विकी पर पाए जा सकते हैं।

साइबर अपराधियों द्वारा जोड़ा गया दूसरा मॉड्यूल पहले की तुलना में और भी दिलचस्प है। इस मॉड्यूल की गतिविधि Hesperbot कॉन्फ़िगरेशन फ़ाइल द्वारा निर्धारित की जाती है। यदि इसमें संबंधित रिकॉर्ड हैं, तो मॉड्यूल निम्नलिखित क्रियाएं कर सकता है:

• आवश्यक प्रक्रिया में सभी थ्रेड्स को रोकें, साथ ही साथ अपने सभी दृश्यमान विंडो को छिपाएं।
• MessageBox फ़ंक्शन का उपयोग करके उपयोगकर्ता को विशेष संदेश दिखाएं।
• एक निश्चित समय के लिए ws2_32.dll पुस्तकालय से recv , WSARecv , सेंड , WSASend कार्यों को रोककर नेटवर्क संचार को अवरुद्ध करें।

अंजीर। Hesperbot ने नेटवर्क फ़ंक्शन को इंटरसेप्ट किया।


अंजीर। Hesperbot ने नेटवर्क फ़ंक्शन को इंटरसेप्ट किया।

इस स्थिति में, हुक किए गए कार्य WSAEACCESS त्रुटि लौटाएंगे। Hesperbot हुक लगाने के लिए sch_mod हेल्पर मॉड्यूल का उपयोग करता है।

अब तक, हम कॉन्फ़िगरेशन फ़ाइलों को खोजने में सक्षम नहीं हैं जो इस नई कार्यक्षमता को सक्रिय करते हैं। ऐसे हैंडलर का उपयोग करने का एक संभावित उद्देश्य कुछ बैंकिंग अनुप्रयोगों के संचालन को रोकना है, जिस पर ट्रोजन नियंत्रण हासिल नहीं कर सकता है। यह अभ्यास उपयोगकर्ता को ब्राउज़र के वेब इंटरफ़ेस का उपयोग करने के लिए संकेत दे सकता है, जो पहले से ही दुर्भावनापूर्ण कोड द्वारा समझौता किया गया है।

हम C & C Hesperbot कंट्रोल पैनल को खोजने में सक्षम थे।



ऊपर दिया गया स्क्रीनशॉट Hesperbot द्वारा लक्षित देशों के लिए विभिन्न बैंकों और मोबाइल घटक की सफल स्थापनाओं की संख्या दर्शाता है। जैसा कि पहले उल्लेख किया गया है, साइबर अपराधी ऑनलाइन बैंकिंग प्रणालियों की साइटों पर वेब इंजेक्शन के माध्यम से एक मोबाइल घटक के स्थापना पृष्ठ पर पीड़ितों को लुभाते हैं। ऊपर दिखाया गया कंट्रोल पैनल तुर्की, ऑस्ट्रेलियाई और जर्मन बॉटनेट पर आंकड़े प्रदान कर सकता है।

निष्कर्ष

हेस्परबोट का उपयोग करने वाले हमलावर हाल ही में बहुत सक्रिय रहे हैं, इसलिए हम बैंक ग्राहकों के लिए वित्तीय घाटे की इसी उम्मीद कर सकते हैं। हम हेस्पर्टबॉट गतिविधि की निगरानी करना जारी रखते हैं और आगे के घटनाक्रम पर आपको अपडेट करते रहेंगे।