Qadars - दो-कारक प्रमाणीकरण को बायपास करने की क्षमता वाला एक नया बैंकिंग ट्रोजन

हमने हाल ही में एक नया बैंकिंग मैलवेयर खोजा है जो हमारे डेटाबेस में Win32 / Qadars के रूप में जोड़ा गया था। इस खतरे का पहला सार्वजनिक कवरेज लेक्रसी द्वारा किया गया था । दुनिया भर के उपयोगकर्ताओं को संक्रमित करने के लिए क़ादर्स हाल ही में काफी सक्रिय रहे हैं। अन्य बैंकिंग मैलवेयर की तरह, यह एक वेब इंजेक्शन तंत्र के माध्यम से ऑनलाइन बैंकिंग डेटा और उपयोगकर्ता फंड चुराता है। हमारे शोधकर्ताओं ने पाया कि काडार ऑनलाइन बैंकिंग प्रणाली के साथ काम करने से संबंधित विभिन्न कार्यों के लिए इस तरह के वेब इंजेक्शन की एक विस्तृत श्रृंखला का उपयोग करता है।



इससे पहले हमने बैंकिंग हेस्परबोट ट्रोजन के बारे में लिखा था, जिसमें मोबाइल प्लेटफार्मों के लिए एक विशेष घटक शामिल है। यह घटक आपको एमटीएएन बैंकिंग लेनदेन पुष्टिकरण कोड के आधार पर दो-कारक प्रमाणीकरण तंत्र को बायपास करने की अनुमति देता है। एक विशेष संदेश ऑनलाइन बैंकिंग पेज पर वेब इंजेक्शन के माध्यम से मोबाइल घटक स्थापित करने के लिए क़ादर्स एक हेस्परबॉट-जैसे दृष्टिकोण का उपयोग करता है। दोनों के बीच अंतर यह है कि क़दर अपने दम पर भरोसा करने के बजाय मौजूदा एंड्रॉइड / पर्कले मोबाइल मैलवेयर का उपयोग करता है।

आमतौर पर, एक नियम बैंकिंग ट्रोजन पर लागू होता है, या तो उन्हें बड़ी संख्या में वित्तीय संस्थानों और बैंकों को लक्षित किया जाता है, या हमलावर भौगोलिक विशेषता द्वारा कुछ बैंकों पर ध्यान केंद्रित करते हैं, अर्थात, उनके वास्तविक स्थान से। Win32 / Qadars दूसरी श्रेणी से संबंधित है, हमलावर इसे एक विशिष्ट क्षेत्र या क्षेत्रों के उपयोगकर्ताओं को लक्षित करते हैं, और बैंकों के संदर्भ में वेब इंजेक्शन कॉन्फ़िगरेशन फ़ाइलों का भी उपयोग करते हैं जो इस क्षेत्र में सबसे अधिक मांग हैं। नीचे छह प्रमुख देश हैं जो क़ादारों से प्रभावित हैं।

- हॉलैंड
- फ्रांस
- कनाडा
- भारत
- ऑस्ट्रेलिया
- इटली

हमने इन देशों में पुरुषों के द्वारा क़ादारों के प्रसार की कई लहरों का अवलोकन किया, और नीदरलैंड में यह प्रक्रिया विशेष रूप से तीव्र थी, वहाँ पर पूरे निगरानी अवधि के लिए हमारे द्वारा निगरानी करने वाले पुरुषवादियों की गतिविधि पर नज़र रखी गई। इस बैंकिंग ट्रोजन की निम्नलिखित विशेषताओं पर ध्यान दिया जाना चाहिए।

• इसकी खोज के छह महीने बाद, यह अभी भी बहुत सक्रिय है।
• केवल कुछ देशों के लिए निर्देशित।
• यह वेब इंजेक्शन की एक विस्तृत श्रृंखला का उपयोग करता है, जिनमें से कुछ का उपयोग बैंकिंग ट्रोजन के एक अन्य परिवार द्वारा अन्य दुर्भावनापूर्ण अभियानों में किया गया था।
• यह mTAN कोड (मोबाइल उपकरणों) पर आधारित दो-कारक प्रमाणीकरण प्रणाली को बायपास करने के लिए एंड्रॉइड / पेरकेले दुर्भावनापूर्ण कोड का उपयोग करता है।

इस मैलवेयर की पहली पहचान मई 2013 के मध्य में दर्ज की गई थी। निम्न ग्राफ दिन के हिसाब से Win32 / Qadars की संख्या को दर्शाता है।



हालाँकि मई में क़ादर्स को वापस देखा गया था, लेकिन संक्रमण फैलने की पहली वास्तविक लहर जून के अंत में आई थी। जाहिर है, लेखकों ने अपने दुर्भावनापूर्ण उपकरण का परीक्षण किया, क्योंकि हमें इसके कई मध्यवर्ती संस्करण मिले। दुर्भावनापूर्ण कोड के प्रसार की पहली लहर में, हमलावरों ने इटली में, और बाद की लहरों में डच उपयोगकर्ताओं को लक्षित किया।

हम इसके संस्करण के माध्यम से इस दुर्भावनापूर्ण टूल के विकास का पता लगा सकते हैं, जो निष्पादन योग्य फ़ाइल में इंगित किया गया है। पहला संस्करण 1.0.0.0 था, और नवीनतम 1.0.2.7। नए संस्करणों के जारी होने से संकेत मिलता है कि दुर्भावनापूर्ण कोड इस दुर्भावनापूर्ण कोड को सक्रिय रूप से विकसित कर रहा है। निम्नलिखित ग्राफ प्रत्येक संस्करण की पहली खोज की तारीख को दर्शाता है।



Win32 / Qadars वित्तीय धोखाधड़ी करने के लिए प्रसिद्ध मैन-इन-द-ब्राउज़र (MitB) तंत्र का उपयोग करता है। Win32 / Spy.Zbot (ज़ीउस) की तरह, यह दुर्भावनापूर्ण कोड ब्राउज़र प्रक्रिया में इंजेक्ट किया जाता है और वहां आवश्यक एपीआई कॉल को स्वीकार करता है। इन अंतःक्षेपों का उपयोग करते हुए, वह उपयोगकर्ता द्वारा देखे गए वेब पृष्ठों में दुर्भावनापूर्ण सामग्री को इंजेक्ट करने में सक्षम है। वास्तव में, यह सामग्री कुछ भी हो सकती है, लेकिन एक नियम के रूप में यह एक वेब प्रपत्र है जिसका उपयोग हमलावरों द्वारा गोपनीय ऑनलाइन बैंकिंग डेटा एकत्र करने के लिए किया जाता है। एक अन्य अवतार में, यह दुर्भावनापूर्ण सामग्री जावास्क्रिप्ट हो सकती है जो उपयोगकर्ता के ज्ञान या सहमति के बिना स्वचालित रूप से धन हस्तांतरित करने का प्रयास करती है।

वेब इंजेक्शन विन्यास फाइल को C & C सर्वर को नियंत्रित करने से डाउनलोड किया जाता है और इसमें बैंक के वेब पेजों के URL होते हैं, जो सामग्री इन पृष्ठों में एम्बेड की जानी चाहिए, साथ ही पृष्ठ पर प्रस्तावित कार्यान्वयन स्थान भी। यह कॉन्फ़िगरेशन फ़ाइल स्वरूप अन्य बैंकिंग ट्रोजन की फ़ाइलों के समान है। फ़ाइल को प्रबंधन सर्वर से डाउनलोड करने के बाद, इसे रजिस्ट्री कुंजियों में से एक में एन्क्रिप्टेड रूप (एईएस) में संग्रहीत किया जाता है। वर्तमान में, Qadars दो ब्राउज़रों में अवरोधन करने में सक्षम है: फ़ायरफ़ॉक्स और इंटरनेट एक्सप्लोरर। दुर्भावनापूर्ण कोड में Google Chrome के लिए एक स्टब भी होता है, इसलिए भविष्य में हम इस ब्राउज़र के लिए संबंधित हुक भी देख सकते हैं।

एक बार कंप्यूटर पर दुर्भावनापूर्ण कोड स्थापित होने के बाद, बॉटनेट ऑपरेटर उसे विभिन्न कमांड भेज सकता है, जो नीचे दी गई तालिका में सूचीबद्ध हैं।



1.0.2.7 संस्करण में, एक ऐड-ऑन दिखाई दिया, जो उपयोगकर्ता क्रेडेंशियल्स एफ़टीपी उपयोगकर्ता खाते को चोरी करने के लिए एक मॉड्यूल है। यह एफ़टीपी ग्राहकों के एक व्यापक सेट का समर्थन करता है और उनकी कॉन्फ़िगरेशन फ़ाइलों को खोलने की कोशिश करता है, साथ ही उपयोगकर्ता खाता डेटा भी चोरी करता है। दिलचस्प है, उपयोगकर्ता क्रेडेंशियल्स को चुराने के लिए, कादर कुछ प्रसिद्ध स्थिर पासवर्ड का उपयोग करता है जो एफ़टीपी क्लाइंट डिफ़ॉल्ट रूप से अपनी कॉन्फ़िगरेशन फ़ाइल को एन्क्रिप्ट करने के लिए उपयोग करते हैं। एक अन्य दुर्भावनापूर्ण कोड Win32 / PSW.Fareit ( पोनी लोडर ) में भी यह क्षमता है।

नेटवर्क संचार के दौरान डेटा को एन्क्रिप्ट करने के लिए, Win32 / Qadars ईसीबी मोड में एईएस का उपयोग करता है । संदेश भेजने से पहले, ग्राहक नौ अक्षरों का एक मनमाना स्ट्रिंग उत्पन्न करता है, तो वह इस स्ट्रिंग के MD5 का उपयोग एईएस कुंजी के रूप में करेगा। इस कुंजी का उपयोग सर्वर द्वारा प्रतिक्रिया संदेश को एन्क्रिप्ट करने के लिए भी किया जाएगा। एईएस कुंजी को सुरक्षित रूप से प्रसारित करने के लिए, जो एन्क्रिप्शन ऑपरेशन में उपयोग किया जाता है, क्लाइंट इसे एन्क्रिप्ट भी करता है, और फिर इसे संदेश के अंत में जोड़ता है। उसके बाद, यह सब उत्पन्न संदेश आधार 64 का उपयोग करके एन्क्रिप्ट किया गया है और सर्वर को भेजा गया है। नीचे दिया गया आंकड़ा इस प्रक्रिया को सर्वर पर भेजे गए संदेश के संबंधित क्षेत्रों के साथ दिखाता है।


अंजीर। क्लाइंट और सर्वर के बीच नेटवर्किंग।

सर्वर द्वारा संदेश में भेजे गए कुंजी का उपयोग करके सर्वर प्रतिक्रिया को एन्क्रिप्ट किया जाता है। अखंडता सुनिश्चित करने के लिए, ग्राहक MD5 संदेश भी जोड़ता है। नीचे दिया गया आंकड़ा सर्वर प्रतिक्रिया की संरचना को दर्शाता है।


अंजीर। सर्वर संदेश प्रारूप।



Win32 / Qadars द्वारा उपयोग किए जाने वाले नेटवर्क प्रोटोकॉल प्रारूप को जानने के बाद हमने बॉटनेट पर नज़र रखने और इसके व्यवहार का अध्ययन करने में हमारे काम को बहुत आसान बनाया।

Win32 / Qadars कॉन्फ़िगरेशन फ़ाइल, जिसमें वेब इंजेक्शन शामिल हैं, अक्सर बदलता है और कुछ वित्तीय संस्थानों के उद्देश्य से है। इन वेब इंजेक्शन के प्रभाव को बढ़ाने के लिए, मैलवेयर लेखक विशिष्ट क्षेत्रों या देशों में उपयोगकर्ताओं को संक्रमित करने का प्रयास करते हैं। यह स्पष्ट नहीं था कि हमलावरों ने मई से अक्टूबर तक कादर को बांटने के लिए किस तरह का तरीका चुना। हमारे टेलीमेट्री सिस्टम के कुछ डेटा का उपयोग करते हुए, हमें पता चला कि उन्होंने उन देशों में विशेष समझौता किए हुए मेजबानों का अधिग्रहण किया था जिनके लिए वे इस मैलवेयर को वितरित करने जा रहे थे। हमारे विशेषज्ञ इस निष्कर्ष पर पहुंचे क्योंकि समझौता किए गए कंप्यूटरों में वे डाउनलोडर और अन्य पे-पर-इंस्टॉल (पीपीआई) दुर्भावनापूर्ण कोड थे, उदाहरण के लिए, Win32 / Virut फ़ाइल वायरस।

नवंबर में शुरू होने पर, हमलावरों ने न्यूक्लियर एक्सप्लॉइट किट का उपयोग करके Win32 / Qadars का वितरण शुरू किया। नीचे कुछ URL दिए गए हैं जो नवंबर की शुरुआत में इसे वितरित करने के लिए उपयोग किए गए थे, वे स्पष्ट रूप से दिखाई देने वाले टेम्पलेट हैं जो परमाणु ईके के लिए विशिष्ट हैं।



ये दोनों मैलवेयर वितरण विधियाँ botnet ऑपरेटरों को उस क्षेत्र का चयन करने की अनुमति देती हैं जहाँ संभावित पीड़ित स्थित हैं।

जैसा कि हमने पहले ही उल्लेख किया है, हमलावरों ने अपने उपयोगकर्ताओं को क़ादर्स के साथ दुर्भावनापूर्ण कोड, अर्थात नीदरलैंड, फ्रांस, कनाडा, ऑस्ट्रेलिया, भारत और इटली के साथ समझौता करने के लिए छह देशों को चुना। नीचे दिया गया ग्राफ़ मई और नवंबर 2013 के बीच क़ादारों के संक्रमण का भौगोलिक वितरण दर्शाता है।


अंजीर। क़ादारों का भौगोलिक वितरण।

जैसा कि आप देख सकते हैं, नीदरलैंड्स (75%) में संक्रमण की सबसे बड़ी संख्या मौजूद है, और फ्रांस दूसरे स्थान पर है।


अंजीर। Qadars संक्रमण दिन और देश द्वारा उनके वितरण से पता चला।

यह दिलचस्प लगता है कि हमलावरों ने कनाडा के उपयोगकर्ताओं से समझौता किया, जो अक्टूबर के आखिरी 15 दिनों के दौरान दर्ज किया गया था। यह हमारे द्वारा खोजी गई बॉट कॉन्फ़िगरेशन फ़ाइलों द्वारा पुष्टि की गई है, जिसमें कनाडाई बैंकों को लक्षित करने वाले वेब इंजेक्शन शामिल थे।

अन्य देशों में बैंकिंग संस्थानों के मामले में वेब इंजेक्शन की जटिलता अलग-अलग होती है। जब भी कोई उपयोगकर्ता सुरक्षित ऑनलाइन बैंकिंग साइट में प्रवेश करने की कोशिश करता है, तो उनमें से कुछ अतिरिक्त जानकारी एकत्र करते हैं। ऐसा करने के लिए, उपयोगकर्ता को एक अतिरिक्त वेब फ़ॉर्म प्रदर्शित किया जाता है, जो उसे ऑनलाइन बैंकिंग खाते में लॉग इन करने पर हमलावरों के लिए आवश्यक जानकारी मांगता है। इस तरह के एक उदाहरण का एक उदाहरण नीचे प्रस्तुत किया गया है।



अन्य वेब इंजेक्शन जो दुर्भावनापूर्ण कोड के शस्त्रागार में हैं, स्वचालित रूप से बैंकिंग संचालन कर सकते हैं और दो-कारक प्रमाणीकरण को बायपास करने के तरीके शामिल कर सकते हैं।

ये वेब इंजेक्शन, जिन्हें हमने बार-बार उल्लेख किया है, विभिन्न तरीकों से दुर्भावनापूर्ण कोड द्वारा प्राप्त किया जा सकता है। उनमें से कुछ स्वयं दुर्भावनापूर्ण कोड के हिस्से के रूप में वितरित किए जाते हैं, या हमलावरों द्वारा खरीदे जा सकते हैं। गुप्त मंचों में, ग्राहकों के लिए इस तरह के वेब इंजेक्शन वितरित करने के लिए विभिन्न प्रस्ताव हैं। इस मामले में कीमत ग्राहक की इच्छाओं और आवश्यक क्षमताओं से भिन्न होती है। Win32 / Qadars का विश्लेषण करते समय, हमने देखा कि ये वेब इंजेक्शन विभिन्न लोगों द्वारा विकसित किए गए थे, क्योंकि उनकी लेखन शैली अलग-अलग मामलों में भिन्न थी। जाहिर है, उनमें से कई गुप्त मंचों में अधिग्रहण किए गए थे, क्योंकि दुर्भावनापूर्ण सामग्री के वितरण के इस रूप को साइबर अपराधियों द्वारा पसंद किया जाता है। इंजेक्शन में से एक बाहरी सामग्री को निकालने के लिए एक विशेषता टेम्पलेट का उपयोग करता है: स्क्रिप्ट और चित्र। इस मामले में URL पैटर्न इस तरह दिखेगा:



URL के उस हिस्से का डेटा जो "डेटा" पैरामीटर का मान है, बेस 64 का उपयोग करके एन्कोड किया गया है। इस मामले में डिक्रिप्ट करते समय, हमें पैरामीटर "प्रोजेक्ट = mob-ingnl-fand & action = file & id = css" मिलता है, जो हमलावरों के लक्ष्य के बारे में अधिक जानकारी देता है। दिलचस्प बात यह है कि हमने चेक बैंकों के खिलाफ निर्देशित अभियान में एक समान इंजेक्शन पता पैटर्न देखा था, और वहां Win32 / Yebot (उर्फ टिलन ) का उपयोग किया गया था।

क़ादर्स के मामले में, हमलावर तथाकथित एटीएस (ऑटोमैटिक ट्रांसफर सिस्टम) की सेवाओं का सहारा लेते हैं। यह शब्द उन वेब इंजेक्शनों को संदर्भित करता है जो पीड़ित के बैंक खाते पर इन हमलावरों के लिए आवश्यक संचालन के स्वचालित निष्पादन का उपयोग करते हैं जब उत्तरार्द्ध इसे प्राप्त करता है। इस तरह के इंजेक्शन के लिए कोड अधिक जटिल हो सकता है और यह अतिरिक्त कार्य करेगा, उदाहरण के लिए, यह वहां से एक निश्चित राशि निकालने के लिए सबसे बड़ी राशि के साथ एक बैंक खाता का चयन करेगा। धन की राशि की निकासी का अर्थ है खच्चर के बैंक खाते में उसका स्थानांतरण (वह व्यक्ति जिसके खाते से धनराशि किसी फर्जी ऑपरेशन में स्थानांतरित की जाती है) या हमलावर। इंजेक्शन कोड में दो-कारक प्रमाणीकरण प्रणाली को बायपास करने के लिए अतिरिक्त तंत्र शामिल हो सकते हैं जो बैंक अपने उपयोगकर्ताओं के लेनदेन की सुरक्षा के लिए उपयोग करते हैं।

हमें दुनिया भर के कुछ बैंकों में लक्षित एटीएस सिस्टम बेचने वाले कई साइबर अपराधी मिले। ऐसे गुप्त मंचों के लिए, "सार्वजनिक" वेब इंजेक्शन की अवधारणाएं हैं, जो सभी को बेची जाती हैं और "निजी", जो ग्राहक के लिए अतिरिक्त रूप से कॉन्फ़िगर की जाती हैं, और प्रत्येक ग्राहक कोड की एक प्रति प्राप्त करता है। इस प्रकार, निजी वितरण के साथ योजना में, खरीदार इंजेक्शन के स्रोत कोड को इसे और वितरित करने के अधिकार के साथ प्राप्त करता है। विश्लेषण में पाया गया कि क़ादारों के लेखकों ने वेब इंजेक्शन खरीदे, हमने एक सार्वजनिक एटीएस का अवलोकन किया, जो कॉन्फ़िगरेशन फ़ाइल में पंजीकृत था। हमलावर जो इस सार्वजनिक इंजेक्शन को वितरित करता है, वह इसके लिए एक प्रशासनिक पैनल भी संलग्न करता है, जो क़ादर्स ऑपरेटरों को स्वचालित स्थानांतरण सेटिंग्स को नियंत्रित करने की अनुमति देता है।



हाइलाइट की गई लाइन फ्रेंच बैंक पर इंजेक्शन के फोकस को दर्शाती है और हमलावर का दावा है कि वह एसएमएस संदेशों के आधार पर दो-कारक प्रमाणीकरण को बायपास कर सकता है।

मोबाइल घटक

कुछ एटीएस सिस्टम जिन्हें हम विश्लेषण करने में सक्षम थे, उन्हें डिज़ाइन किया गया है ताकि ऑनलाइन बैंकिंग प्रणाली द्वारा भेजे जाने से पहले दुर्भावनापूर्ण कोड एक लेनदेन पुष्टिकरण कोड के साथ एक एसएमएस संदेश को रोक सके। इस संदेश में बैंकिंग लेनदेन की पुष्टि का mTAN कोड है। उपयोगकर्ता तब इस कोड को ऑनलाइन बैंकिंग साइट के ब्राउज़र के वेब रूप में दर्ज करता है। जैसा कि हम जानते हैं, मैलवेयर द्वारा मोबाइल घटक का उपयोग नया नहीं है। Hesperbot और Zeus-in-the-mobile (ZitMo) को उदाहरण के रूप में उद्धृत किया जा सकता है। यह दिलचस्प है कि वेब इंजेक्शन वितरित करने वाले हमलावरों ने उनके लिए मोबाइल उपकरणों के लिए दुर्भावनापूर्ण कोड की क्षमताओं का उपयोग करना शुरू कर दिया। इस प्रकार, हमलावर जो उपयोगकर्ता के कंप्यूटर पर इसे स्थापित करने के लिए दुर्भावनापूर्ण कोड का उपयोग करते हैं, वे सेवा के रूप में बाजार में ऐसे अवसर प्राप्त कर सकते हैं, साथ ही विशिष्ट बैंकों के लिए एक प्रशासनिक पैनल और मोबाइल मैलवेयर भी।

Win32 / Qadars के मामले में, मोबाइल घटक एक दुर्भावनापूर्ण Android / Perkele कोड है और इसे स्थापित करने के लिए उपयोग किए जाने वाले वेब इंजेक्शन के साथ पूरा होता है। Perkele उपयोगकर्ता के डिवाइस पर एसएमएस संदेशों को इंटरसेप्ट करने और उन्हें हमलावरों पर पुनर्निर्देशित करने में सक्षम है। इस दुर्भावनापूर्ण मोबाइल उपकरण को ब्रेज़े क्रेब्स ने क्रेब्सन्ससिटी में वर्णित किया था। वेब इंजेक्शन का उपयोग करते हुए, पेरकेले को उपयोगकर्ता के मोबाइल डिवाइस पर निम्न प्रकार से स्थापित किया जाता है: जब कोई उपयोगकर्ता अपने ऑनलाइन बैंकिंग खाते में प्रवेश करता है, तो एक विशेष दुर्भावनापूर्ण कोड जो पहले से ही वेब पेज में एम्बेडेड होता है एक विशिष्ट फोन मॉडल के लिए एक विशेष मोबाइल एप्लिकेशन की स्थापना का अनुरोध करता है (जिसके लिए एक मंच चुनना है) स्थापना)। यह मोबाइल एप्लिकेशन कथित रूप से उस बैंक से संबंधित है जिसके साथ उपयोगकर्ता काम करता है।


अंजीर। Android / Perkele संस्करण का इंटरफ़ेस, जिसका उद्देश्य फ्रांसीसी बैंकों है।

दुर्भावनापूर्ण Android / Perkele कोड विभिन्न प्लेटफार्मों के लिए संस्करणों में मौजूद है, जिनमें Android, ब्लैकबेरी, सिम्बियन शामिल हैं। Win32 / Qadars के मामले में, हमने केवल Android संस्करण का अवलोकन किया। मालवेयर स्थापित होने के बाद, mTAN बैंक ट्रांजैक्शन कन्फर्मेशन कोड साइबर अपराधियों की संख्या पर पुनर्निर्देशित किया जाएगा, और उपयोगकर्ता उन्हें नहीं देखेगा। यह ध्यान देने योग्य है कि किटकैट नामक एंड्रॉइड के नवीनतम संस्करण में इनकमिंग एसएमएस को छिपाने पर अतिरिक्त प्रतिबंध हैं , इसलिए पेरकेले चुपके मोड में ऐसा करने में सक्षम नहीं होंगे।

निष्कर्ष

हाल ही में, हमने बैंकिंग ट्रोजन की संख्या और नए परिवारों के उद्भव में वृद्धि देखी है, जिसमें Win32 / Napolar , Win32 / Hesperbot , Win32 / Qadars शामिल हैं। यह शायद ज़ीउस और कारबर्प जैसे प्रसिद्ध बैंकिंग ट्रोजन से ग्रंथों के रिसाव के कारण है, जिससे हमलावरों को इन दुर्भावनापूर्ण साधनों के संचालन को बेहतर ढंग से समझने की अनुमति मिली। एक और दिलचस्प विशेषता वेब इंजेक्शन को स्वचालित करने के लिए विशेष उपकरणों का उपयोग है, जैसा कि एटीएस (एक सेवा के रूप में इंजेक्शन) के साथ होता है। ऐसी सेवा हमलावरों को अनुमति देती है जो एक संक्रमित सिस्टम पर अधिक जटिल जोड़तोड़ करने के लिए मैलवेयर वितरित करते हैं, जिसमें दो-कारक प्रमाणीकरण को दरकिनार करना शामिल है।

SHA1 हैश
Win32 / Qadars (परमाणु पैक): F31BF806920C97D9CA8418C9893052754DF2EB4D
Win32 / Qadars (1.0.2.3): DAC7065529E59AE6FC366E23C470435B0FA6EBBE
Android / Perkele: B2C70CA7112D3FD3E0A88D2D38647318D68f836F