0 बुधवार - नवीनतम मैलवेयर अध्ययन

कुछ लोग इसे पागलपन कह सकते हैं। मेरे लिए यह सिर्फ एक माध्यम है।

मुझे यह कल मिला, और मैंने आज इसे सुलझा लिया। यह पुराने 2012 सीवीई (सुरक्षा प्रबंधक , मुझे लगता है) से जावा शोषण के लिए लोड में आया था। मैं उसे 0day कहता हूं ^[1] , क्योंकि यह किसी भी रूप में VirusTotal / Malwr डेटाबेस में मौजूद नहीं है - या तो पैक या अनपैक्ड ।

आईडीए में विश्लेषण का प्रयास ^[2] एक त्रुटि के साथ विफल रहता है:


ऐसा लगता है कि गधे जिसने यह सबसे अधिक संभावना की थी वह जानता था कि मेरे जैसा कोई व्यक्ति विश्लेषण करने की कोशिश करेगा। किसी भी मामले में, निर्वासन संशोधनों के लिए कई विकल्प नहीं हैं जो डिस्सेम्बलर को पागल करते हैं लेकिन विंडोज द्वारा अनदेखा किया जाता है।

CFF एक्सप्लोरर में exe फाइल की जांच करने पर, हमें NT हेडर में से एक में एक त्रुटि दिखाई देती है, जिसका नाम "आयात निर्देशिका" में देरी आयात निर्देशिका RVA के मूल्य पर है। सीएफएफ महान है कि यह तुरंत 0x00000040 मूल्य गलत को उजागर करता है। त्रुटि को ठीक करने के लिए इसे शून्य करें।


हम एक्सई को बचाते हैं और इसे आईडीए में फिर से खोजते हैं - अब कोई त्रुटि नहीं है और उद्घाटन एक अड़चन के बिना होता है।

एक त्वरित निरीक्षण से पता चलता है कि यह MFC है ^[3] -एक आवेदन। मैं इसे कैसे समझूं? यह स्पष्ट रूप से आयात अनुभाग के लाइब्रेरी कॉलम में कहा गया है।


आवेदन, ज़ाहिर है, पैक किया गया है। याददाश्त भरी हुई है। कोई संशोधित अनुभाग हेडर नहीं, बैंल पैक्ड मेमोरी।


खैर, स्थैतिक विश्लेषण एक विकल्प नहीं है। आगे के शोध के लिए, गतिशील विश्लेषण की आवश्यकता है। चेकर्स इम्यूनिटी गंजा!

इससे पहले कि आप इम्युनिटी और वर्चुअल मशीन में गोता लगाएँ, यह कुछ दिलचस्प बातों पर ध्यान देने योग्य है, जो आईडीए में दिखाई नहीं देते हैं, लेकिन सीएफएफ एक्सप्लोरर में देखे गए हैं। शुरू करने के लिए, कुछ फाइलें हैं जो कैप्टन एविडेंस की खुशी के लिए, संसाधन निर्देशिका में छिपी हुई हैं।

पहला PNG फ़ाइल है:


दूसरा HTML पृष्ठ है:


यह अजीब है। इरफानव्यू (छवियों के लिए सबसे अच्छा दर्शक) में पीएनजी फ़ाइल को लोड करके, हम एक छोटे से काले आयत को देखते हैं जो 55 केबी के आकार के साथ काफी फिट नहीं है। निश्चित रूप से अंदर कुछ छिपा है। स्टेग्नोग्राफ़ी ?


अब HTML पेज को देखें। नोटपैड ++ में इसे डाउनलोड करने और साफ करने से, हमें ब्राउज़र प्रकार का पता लगाने वाली स्क्रिप्ट के समान कुछ मिलता है।


यह सब संसाधन अनुभाग में क्यों है, और यहां तक ​​कि एक अनपैक रूप में भी - एक रहस्य बना हुआ है। हम संसाधन अनुभाग पर लौट आएंगे। इस बीच, अनपैकिंग जारी रखें।

हम इम्युनिटी डिबगर और वर्चुअल बॉक्स लॉन्च करते हैं और एंटी-डिबग पायथन प्लगइन को लोड करते हैं।


प्रक्रिया पूरी होने के बाद, आप मेमोरी को मर्ज कर सकते हैं और उसका विश्लेषण कर सकते हैं:


मैंने मेमोरी के कई क्षेत्रों पर ध्यान दिया जिसमें रीड राइट एक्ज़्यूट (आरडब्ल्यूई) लिखा गया था। उनमें से एक 0x00910000 पर है, दूसरा 0x00930000 पर है, अगला 0x00940000 पर है, और अंत में, अंतिम 0x00970000 पर है। आगे के विश्लेषण से पता चलता है कि 4 में से केवल 3 में कार्यक्रम होते हैं। हालांकि, तीन कार्यक्रमों को एक में छिपाएं? अच्छा ईस्टर अंडे।


अब हम अपने कार्यक्रमों को और विश्लेषण के लिए डंप करेंगे। हम OllyDumpEx को लोड करते हैं और हमारे 0090 क्षेत्रों को खिलाते हैं। यह देखा जा सकता है कि 0x00910000 और 0x00970000 पते पर कार्यक्रम उनके आकार, अनुभाग हेडर और विशेषताओं को देखते हुए, मूल के साथ मेल खाते हैं। और 0x00950000 का क्षेत्र उनसे अलग है: अन्य अनुभाग हेडर, विभिन्न आकार। यह वही सुनहरा अंडा होना चाहिए (मैंने शाब्दिक अनुवाद छोड़ दिया, क्योंकि भविष्य में लेखक सुनहरी अंडे का उपयोग अपनी स्क्रीन - लगभग अनुवाद में करता है।)


हम डंप अखंडता को संरक्षित करने के लिए पुनर्निर्माण मोड के बजाय बाइनरी (रॉ) मोड का उपयोग करके अपने एक्स को डंप करेंगे।


दो खंड शीर्षकों से संकेत मिलता है कि कार्यक्रम UPX ^[4] का उपयोग कर पैक किया गया है । अपैक्स यूटिलिटी चलाने से इसकी पुष्टि होती है। इसलिए हम आसानी से अपना अंडा खोल सकते हैं।


नया एक्सई लगभग 40Kb बड़ा और सही ढंग से अनपैक्ड है, इसलिए अब हम अंत में इसकी आईडीए को फीड कर सकते हैं। लाइनों को देखते हुए, हम दिलचस्प चीजें देखते हैं।


यह एक HTTP अनुरोध है। ऐसा लग रहा है कि यह बात POST अनुरोध का उपयोग करके माँ को घर भेजा जा रहा है।

आप पूछ सकते हैं - सी एंड सी सर्वर के बारे में क्या? यह सादे पाठ के रूप में कार्यक्रम में निहित नहीं लगता है। याद रखें, मैंने आपसे संसाधन अनुभाग के बारे में नहीं भूलने के लिए कहा था? हमारे Golden_egg.exe के संसाधन अनुभाग पर एक नज़र डालें


देखा। http://31.207.6.161। हमें स्पष्ट पाठ में एक पता प्रदान करना बहुत अच्छा है। अस्पष्टता के माध्यम से सुरक्षा फिर से हमला करती है।

आप सोच रहे होंगे कि मुख्य एप्लिकेशन चलने पर क्या होता है। आइए देखें:

बूट समय पर, यह स्वचालित रूप से मेरे प्रोसेस एक्सप्लोरर को बंद कर देता है और लगभग तुरंत बंद होने से पहले "प्रबंधक द्वारा कार्य प्रबंधक को अक्षम कर दिया गया" संदेश के साथ कार्य प्रबंधक को डाउनलोड करने के किसी भी प्रयास का जवाब देता है। मैं एक स्क्रीनशॉट लेना चाहता था, लेकिन यह पता चला कि मैं इतना तेज़ नहीं था। प्रतिरक्षा की ओर मुड़ते हुए, हम देखते हैं कि मूल कार्यक्रम "Golden_egg.exe" पहले ही पूरा हो चुका है। बदले में - अस्थायी निर्देशिका से "zpNvNKSi.exe" नाम के साथ कुछ अन्य कार्यक्रम। हैश की तुलना करें - और वे समान प्रतीत होते हैं:


(क्या आपको मेरा हैश पसंद आया? आप इसे बिना रजिस्टर और एसएमएस के डाउनलोड कर सकते हैं)

विज्ञापन विराम समाप्त हो गया है, अब यह स्पष्ट है कि कार्यक्रम क्या करता है - कार्य प्रबंधक बंद कर दिया गया है, यह "आपत्तिजनक" अनुप्रयोगों को मारता है और अस्थायी निर्देशिका से लॉन्च किया जाता है। Msconfig चेक स्टार्टअप पर 2 नई प्रविष्टियाँ दिखाता है:


मैंने दोनों फाइलों की जाँच की और वे मूल कार्यक्रम के साथ बाइट करने के लिए बाइट करते हैं।

इम्युनिटी का उपयोग करते हुए कार्यक्रम में संलग्न करें, मेमोरी और थ्रेड्स की संख्या ("टी" कुंजी दबाकर देखें) - हम देखते हैं कि कार्यक्रम बहु-थ्रेडेड है। मैंने 12 सूत्र गिनाए।


मुझे लगता है कि प्रत्येक थ्रेड पर नज़र रखता है कि क्या अन्य थ्रेड्स में से एक को मार दिया गया है। हालाँकि, प्रक्रिया को निलंबित करके, हम प्रोसेस एक्सप्लोरर का उपयोग करके इसकी मेमोरी में देख सकते हैं। विश्लेषण से पता चलता है कि ऐसी लाइनें हैं जो आईडीए में नहीं दिखाई गई थीं:


एकाएक। मुझे लगता है कि कार्यक्रम इन उपयोगिताओं की जांच करता है और अगर वे चल रहे हैं तो जबरन उन्हें बंद कर देते हैं। यह बताता है कि जब प्रोग्राम चल रहा था तो मैं प्रोसेस एक्सप्लोरर का उपयोग क्यों नहीं कर पाया। यह इन उपयोगिताओं में से किसी के लॉन्च को जटिल बनाने का एक तरीका है, तुरंत उन्हें मार देता है। सूची में आप regedit, LordPE, Wireshark, regmon, filemon, procmon, tcpview, taskmgr और यहां तक ​​कि Windows Defender पा सकते हैं। गंभीर रूप से। सच है, मुझे प्रोसेस एक्सप्लोरर - प्रोसेस हैकर का चचेरा भाई नहीं दिखता है।

हमारी स्मृति के हमारे मेढ़े पर लौटना: यह स्पष्ट है कि कार्यक्रम या तो लाइनों को बाधित करता है या उन्हें दो बार पैक करता है। किसी भी मामले में, आइए इसे समझें।


यूनिकोड एन्कोडिंग में किसी एक स्ट्रिंग्स की मेमोरी सर्च करने के बाद, हम देखते हैं कि स्ट्रिंग "टास्कमार्ग" डीडीटा सेक्शन में है। क्या आईडीए ने तार के बारे में झूठ बोला है? वास्तव में नहीं। हम धीमी बाइनरी खोज (Alt + B) का उपयोग करके फिर से कोशिश करते हैं - और अधिक लाइनें ढूंढते हैं। जाहिर है, आईडीए डिफ़ॉल्ट रूप से खोज करने पर यूनिकोड के तार नहीं दिखाता है। आप आईडीए में Alt + A दबाकर और यूनिकोड का चयन करके खोज विकल्प बदल सकते हैं।


नई लाइनों के विश्लेषण से हमें दुर्भावनापूर्ण प्रोग्राम की अधिक कार्यक्षमता का पता चलता है।


यह तो इंटरेस्टिंग है।

यह देखते हुए कि विंडसरक को शुरू करने के हमारे प्रयासों को कार्यक्रम द्वारा अवरुद्ध किया जाएगा, आपको कार्यक्रमों की मजबूर समाप्ति के लिए फ़ंक्शन को खोजने और इसे पैच करने की आवश्यकता है। यह कैसे करना है? आइए Api TerminateProcess () कॉल के लिए देखें।

आईडीए का उपयोग करना उतना मुश्किल नहीं है। आयात अनुभाग में हमें टर्मिनेप्रोसेस की एक कड़ी मिलती है।


यह एक चक्र जैसा दिखता है जो CreateToolhelp32Snapshot को कॉल के साथ प्रक्रियाओं के नामों को देखता है और, यदि वे कुछ शर्त को पूरा करते हैं, तो उन्हें समाप्त कर देता है। ऐसा लगता है कि प्रक्रिया के नामों की सूची जो हमने पहले देखी थी, का उपयोग यहां किया गया है।

तो हम क्या कर सकते हैं? हम प्रोग्राम लॉजिक को बदल सकते हैं ताकि टर्मिनेटप्रोसेस को कॉल करने के बजाय यह होगा ... लेकिन कुछ भी नहीं होगा। Xref (eXternal REFerences) के साथ रूटीन की जाँच करने के बाद, हम देखते हैं कि फंक्शन को रूटीन 0x00401D2A कहा जाता है। इसमें jnz निर्देश होता है, जो सबरूटीन को एक सशर्त संक्रमण बनाता है जो प्रक्रियाओं को स्कैन करता है और उन्हें समाप्त करता है। यदि हम प्रोग्राम को पैच कर सकते हैं ताकि यह सबरूटीन नहीं कहा जाएगा, तो हम किसी भी उपयोगिताओं को ब्लैकलिस्ट से चला सकते हैं।


अपनी आस्तीन ऊपर रोल। मैं इम्यूनिटी का उपयोग करके पैच करना पसंद करता हूं - यह काफी सरल है, और मुझे यह बेहतर पता है। चलिए शुरू करते हैं हमारे exe में एक सबरूटीन की तलाश करके। सशर्त कूद अनुदेश 0x00401D4E पर स्थित है। हम पूरे क्षेत्र को खोदते हैं - इसलिए हम तुरंत 0x00401D2C पते पर जाने के बजाय निष्पादित करने के लिए आगे बढ़ते हैं, जहां आपत्तिजनक प्रक्रियाओं का समापन हुआ।


हम कार्यक्रम को फिर से शुरू करते हैं और निषिद्ध कार्यक्रमों में से एक को चलाने की कोशिश करते हैं। ऐसा लगता है कि एक बार regedit शुरू होने पर सब कुछ काम करता है और प्रोसेस एक्सप्लोरर को जबरन समाप्त नहीं किया गया।



अंत में, आप Wireshark का उपयोग करके नेटवर्क गतिविधि का एक विस्तृत विश्लेषण कर सकते हैं, साथ ही साथ फाइल सिस्टम और रजिस्ट्री का उपयोग कर सकते हैं, और वास्तव में प्रोसेस एक्सप्लोरर में काम कर रहे प्रोग्राम के साथ खेल सकते हैं।

प्रोसेस एक्सप्लोरर इंगित करता है कि SYN ^[5] भेजा गया है हमारे C & C सर्वर के लिए एक पैकेट (हाँ, वह जिसका पता हमने संसाधन अनुभाग से खींचा है) पोर्ट 80 पर।


Wireshark थोड़ी और जानकारी देता है। यहाँ हम अपने HTTP C & C सर्वर को भेजे गए SYN पैकेट को ही नहीं देखते हैं, बल्कि बड़ी संख्या में DNS क्वेरीज़ को अजीब डोमेन के बारे में जानकारी प्राप्त करने के लिए भी देखते हैं। आगे क्या है?


सर्वर घर-घर दस्तक देता रहेगा, लेकिन मुझे इसकी जरूरत नहीं है। मैं अपने "सुनहरा_बेग। Exe" में संसाधन अनुभाग को संशोधित कर सकता हूं और इसे अपने स्वयं के HTTP सर्वर पर लपेट सकता हूं और इसकी कार्यक्षमता की जांच कर सकता हूं, लेकिन यह बहुत कठिन है। हमारे पास पहले से ही बहुत कुछ है: एक सी एंड सी सर्वर, एक अनपैक्ड प्रोग्राम, इसका HTTP सिग्नेचर, और इसके व्यवहार के बारे में भी हमें पता है। केस बंद एक और 0 बुधवार आया और गया।

यदि आप इसके साथ मैलवेयर और टिंकर डाउनलोड करना चाहते हैं, तो आप इसे यहाँ ले जा सकते हैं। पासवर्ड "संक्रमित" है।

मुझे आशा है कि आपको यह छोटा अध्ययन उपयोगी लगेगा। एक अच्छी दरार है!

जो Giron द्वारा पोस्ट किया गया

मूल लेख

1. term 0day (अंग्रेजी शून्य दिन) एक शब्द है जो दुर्भावनापूर्ण कार्यक्रमों को संदर्भित करता है जिसके खिलाफ रक्षा तंत्र या कमजोरियां अभी तक विकसित नहीं हुई हैं जो हल नहीं हुई हैं।
2.। आईडीए प्रो डिस्सेम्बलर (इंजी। इंटरएक्टिव डिस्लेम्बलर) - एक इंटरएक्टिव डिस्सेम्बलर है जो व्यापक रूप से रिवर्स इंजीनियरिंग के लिए उपयोग किया जाता है।
3. 3. माइक्रोसॉफ्ट फाउंडेशन क्लासेस (MFC) पैकेज एक C ++ लाइब्रेरी है जिसे Microsoft द्वारा विकसित किया गया है और इसे लाइब्रेरी कक्षाओं के एक समृद्ध सेट का उपयोग करके Microsoft Windows के लिए GUI अनुप्रयोगों के विकास की सुविधा के लिए बनाया गया है।
4. X UPX (eXecutables के लिए अंतिम पैकर) - एक निष्पादन योग्य फ़ाइल पैकर जो कई अलग-अलग प्लेटफार्मों और फ़ाइल स्वरूपों का समर्थन करता है।
5. 5. SYN - कनेक्शन स्थापित करने के लिए क्लाइंट द्वारा सर्वर को भेजा गया एक पैकेट।