🌏 😜 🐡 दुर्भावनापूर्ण फ़ाइलों में तुच्छ एन्क्रिप्शन 🥛 🈹 🎦

नमस्कार। यह फिर से कैसपर्सकी लैब से अलेक्सी मालानोव है। पिछली बार मैंने वायरल विश्लेषकों को काम पर रखने के अनुभव के बारे में बात की थी, और आज मैं इस बारे में बात करूंगा कि वायरस लेखक क्या करते हैं ताकि उनके काम पर ध्यान न दिया जाए, और हम ऐसा करते हैं कि उनका काम अंततः व्यर्थ हो जाता है।

आमतौर पर, एक हमलावर एक दुर्भावनापूर्ण कार्यक्रम लिखता है, लगभग हमेशा अग्रिम में यह जानकर कि यह जल्द या बाद में वायरस विश्लेषकों के "ऑपरेटिंग टेबल" पर पहुंच जाएगा। और मैलवेयर से सभी जानकारी का उपयोग लेखक के खिलाफ किया जा सकता है। वह क्यों छिपाना चाहिए? खैर, सबसे पहले आपका व्यक्तित्व। कभी-कभी मैलवेयर में आप स्ट्रिंग्स भर में आ जाते हैं, जैसे कि C: \ Users \ Vasiliy Ivanov \ Documents \ Visual Studio 2005 \ earning \ trojan \ Release \ trojan.pdb। दूसरे, बहुत सारी जानकारी है जो मैलवेयर के विश्लेषण की सुविधा प्रदान करती है। आइए वायरस लेखकों की कुछ तकनीकों को देखें, और पता करें कि वे बेकार क्यों हैं।

वे क्या छिपाते हैं:

इंटरनेट लिंक

ट्रोजन-डाउनलोडर के उदाहरण मुख्य रूप से एक या अधिक लिंक के माध्यम से अन्य मैलवेयर डाउनलोड / अपडेट करते हैं। जाहिर है, अगर लिंक स्पष्ट रूप से संग्रहीत किए जाते हैं, तो किसी भी एंटीवायरस कंपनी की स्वचालित प्रसंस्करण प्रणाली आसानी से उन्हें निकाल सकती है, उन्हें आवधिक डाउनलोड की सूची में जोड़ सकती है और इन संसाधनों तक पहुंच को प्रतिबंधित कर सकती है। ट्रोजन-डाउनलोडर का अर्थ पूरी तरह से खो गया है। अन्य वर्गों के दुर्भावनापूर्ण वर्गों के लिए अपने मॉड्यूल के नए संस्करणों को डाउनलोड करना भी सामान्य है।

घटकों

मैलवेयर अब जटिल, बहु-घटक है। एक मॉड्यूल अपडेट करने के लिए जिम्मेदार है, दूसरा एक रूटकिट ड्राइवर है, तीसरा पासवर्ड इकट्ठा करने के लिए जिम्मेदार है, चौथा नियंत्रण केंद्र से कमांड प्राप्त करने और परिणामों को प्रसारित करने के लिए जिम्मेदार है। सामान्य तौर पर, बहुत बार यह सब एक "इंस्टॉलर" में बदल जाता है। यह एक तृतीय-पक्ष "डेवलपर" का एक विशेष ट्रोजन-ड्रॉपर हो सकता है, या यहां तक कि एक ही लेखक का एक अन्य घटक भी हो सकता है। URL की तरह, यदि आंतरिक PE-EXE मॉड्यूल को अधिक विश्वसनीय तरीके से छिपाया नहीं जा सकता है, तो वे आसानी से स्वचालित टूल द्वारा फाड़ दिए जाएंगे, और सभी फाइलें ऑटो-विश्लेषण और ऑटो-डिटेक्शन के लिए भेजी जाएंगी। इसके अलावा, यदि कम से कम एक मॉड्यूल दुर्भावनापूर्ण पाया जाता है, तो पूरे पैक को निश्चित रूप से मैन्युअल विश्लेषण की आवश्यकता नहीं होगी, और सब कुछ सफलतापूर्वक पता लगाया जाएगा।

पासवर्ड

आपने यह विश्वास नहीं किया है, लेकिन दुर्भावनापूर्ण फ़ाइलों में लेखक अपने पासवर्ड भी एन्क्रिप्ट करते हैं। अक्सर नहीं, बिल्कुल, लेकिन यह करता है। उदाहरण के लिए, यदि ट्रोजन-स्पाई कई स्क्रीनशॉट लेता है (या पीड़ित के कैमरे के साथ वीडियो भी लेता है), तो लेखक को सामग्री वितरित करने का सामान्य तरीका एफ़टीपी पर अपलोड करना है। वायरस लेखक पढ़ने और लिखने की पहुंच के साथ एक खाता बनाता है। और इसलिए कि कोई और अपने एफ़टीपी में नहीं भटकता है, एक पासवर्ड सेट करता है जो मैलवेयर कोड में फिट बैठता है। नतीजतन, यह न केवल किसी को भी जो वहाँ भटकता है, लेकिन एक विशिष्ट स्वतंत्र शोधकर्ता जो सभी लूट को मिटाता है और दुर्भाग्यपूर्ण लेखक को एक नोट छोड़ता है। मैं ध्यान देता हूं कि यह "कंप्यूटर की जानकारी के लिए गैरकानूनी पहुंच " है, केवल अपराधी एक बयान लिखने के लिए नहीं चलेगा।

एक अन्य उदाहरण एक मेलबॉक्स पासवर्ड है। लेखक को खुद को पीड़ित से एकत्र किए गए पासवर्ड भेजने की आवश्यकता है। लेकिन जिस मेल सेवा पर उसका मेलबॉक्स पंजीकृत है, वह असंगत लोगों को पत्र भेजने की अनुमति नहीं देता है और भेजते समय प्रमाणीकरण की आवश्यकता होती है। यह स्पष्ट है कि "गंभीर" मैलवेयर इतना गलत नहीं है, खासकर उन लोगों के लिए जो बैंकिंग जानकारी की चोरी का लक्ष्य बना रहे हैं। अन्य, इसके विपरीत, कभी-कभी जानबूझकर एक विश्लेषक द्वारा उनके कोड की समीक्षा किए जाने की अपेक्षा करते हैं। अब लगभग सब कुछ स्वचालन के लिए चला जाता है, लेकिन 10 साल पहले, जब मैंने खुद फाइलों का विश्लेषण किया, तो मुझे नमूना के अंदर वायरल विश्लेषक से इस तरह की अपील मिली: “यह चुटकी है जिसे किसी ने भी नहीं पहचाना है, और मैं चाहूंगा कि वह इस तरह से बने रहे। इसके लिए आपको कुछ करने की जरूरत नहीं है। धन्यवाद। "

तुच्छ एन्क्रिप्शन:

इसलिए निष्कर्ष: वायरस लेखकों के पास अपनी कृतियों के अंदर छिपाने के लिए कुछ है, और वे इसे करने की कोशिश कर रहे हैं। यदि आप अच्छी तरह से जानते हैं कि XOR , ROL बिट ऑपरेशन क्या हैं और समझें कि आप उनके साथ डेटा कैसे बदल सकते हैं, तो आप इस संपूर्ण अनुभाग को छोड़ सकते हैं।

मान लें कि आपके पास http: //secret.url की पंक्ति है, और आप इसे अपनी आंखों से देखने से कोड में छिपाना चाहते हैं। उसी समय, डिक्रिप्शन एल्गोरिथ्म और कुंजी भी एक ही कोड में होंगे, क्योंकि आपको स्वयं इस लाइन की आवश्यकता होगी। शायद सबसे आसान तरीका निम्नलिखित होगा।

नहीं

बिट्स की एक श्रृंखला के रूप में एक स्ट्रिंग की कल्पना करें 110100001110100 ... प्रत्येक बिट को विपरीत 001011110001011 से बदलें ... हमें स्ट्रिंग " CHLP┼╨╨M " मिलता है। अब नंगी आंखें ऐसी रेखा को पहचान नहीं सकती हैं। लेकिन आप प्रोग्राम कर सकते हैं। हम पूरी फाइल पर NOT ऑपरेशन लागू करते हैं: जो एन्क्रिप्ट किया गया है उसे वापस डिक्रिप्ट किया जाएगा। और जो नहीं है - एन्क्रिप्टेड है। परिणामी फ़ाइल में, URL स्वचालन और आंखों को दिखाई देता है।

Xor

थोड़ा जटिल। एन्क्रिप्ट करते समय, आप प्रत्येक बिट को उल्टा नहीं कर सकते, लेकिन, उदाहरण के लिए, हर चौथे (ताकि कोई भी अनुमान न लगाए)। कुछ बिट्स के ऐसे व्युत्क्रम को XOR ऑपरेशन भी कहा जाता है। A: = XOR कुंजी लिखी गई है, जहाँ बाइट को परिवर्तित किया जाना है, और कुंजी वह कुंजी है जिसमें यह लिखा है कि कौन से बिट्स बदले गए हैं।

इसके अलावा, NOT ऑपरेशन एक: = XOR FF के बराबर है। हेक्साडेसिमल एफएफ बाइनरी 11111111 के बराबर है - हम प्रत्येक बिट को उल्टा करते हैं।

डिक्रिप्ट करने के लिए, आपको उसी कुंजी के साथ डेटा को फिर से "पोक" करना होगा। यह सुनिश्चित करने के लिए कि यह वास्तव में मूल है, मैं उत्सुक पाठक को खुद सुझाव देता हूं। यह मत भूलो कि पिछली पद्धति के विपरीत, इसमें आपको प्रोग्राम में कुंजी को स्टोर करना होगा यदि आप अपने डेटा को रनटाइम पर डिक्रिप्ट करना चाहते हैं। और स्ट्रिंग को डिक्रिप्ट करने के लिए विश्लेषक को कुंजी की खोज / पुनरावृति भी करनी होगी। हालाँकि, एक और तरीका है, लेकिन उस पर और अधिक।

अन्य विधियाँ

और क्या किया जा सकता है:

प्रत्येक बाइट के लिए ADD ऑपरेशन लागू करें, अर्थात्, एक निश्चित संख्या - कुंजी जोड़ें
बाइट से बाइट में चाबी बदलें। उदाहरण के लिए, पहला बाइट कुंजी 71 के साथ "झगड़ा" है, दूसरा 73 से, तीसरा 75 से, आदि। फिर कुंजी को केवल हल नहीं किया जा सकता है, इसे पहले से ही 2 कुंजी को सॉर्ट करना होगा, और यह 256 गुना लंबा है
आप कुंजी की लंबाई बढ़ा सकते हैं। उदाहरण के लिए, चार बाइट कुंजी के साथ "झगड़ा" के लिए पहला DWORD, दूसरा DWORD इसके साथ "झगड़ा" करने के लिए, आदि। फिर, एक कुंजी के बिना डिक्रिप्शन के लिए, आपको 4 बिलियन विकल्पों के माध्यम से छाँटना होगा। और यदि आप (या आंसू दूर करने वाले कार्यक्रम) को नहीं जानते हैं कि आप जिस जानकारी की तलाश कर रहे हैं वह फ़ाइल में स्थित है, तो आपको प्रत्येक बाइट के माध्यम से छाँटना होगा (मालवेयर का आकार आमतौर पर कई सौ किलोबाइट होता है)
आप प्रत्येक बाइट में ROL चक्रीय पारी ऑपरेशन लागू कर सकते हैं। लेकिन केवल बाइट एन्क्रिप्शन "रोल" के साथ केवल 1-7 बिट्स के लिए समझ में आता है। 8 बिट्स के चक्रीय बाइट शिफ्ट के साथ, हम एक ही बाइट प्राप्त करते हैं।
आप दो बार "झगड़ा" कर सकते हैं। एक क्लर्क ने एक स्ट्रिंग एन्क्रिप्ट किया। ऐसा लगता है कि यह पर्याप्त नहीं था, उसने एक बार फिर उसी कुंजी के साथ "पोकोर्सिल" किया। यह क्या हुआ, अपने लिए अनुमान लगाओ।
लाइन को पीछे की तरफ लिखा जा सकता है
लाइन को बाइट्स में लिखा जा सकता है। ASCII वर्णों के लिए, आपको यूनिकोड मिलता है।
रेखा को वर्णमाला के तल पर स्थानांतरित किया जा सकता है, अर्थात्-> n, b-> o ..., z-> m, 0-> 5, 1-> 6 ...
वर्णों को हेक्स रूप में लिखें, अर्थात 687474703A2F2F
स्टैक पर स्ट्रिंग रखें
...
धक्का 'w //:'
पुश 'पर्थ'
और चीजें जैसी हैं

संकेतित विधियों के सभी, स्पष्ट रूप से, अधिक से अधिक साजिश के लिए संयुक्त हो सकते हैं :)

ट्रांसक्रिप्ट:

हम समस्या को दर्शाते हैं। 1 एमबी की फाइल है। अंदर, एक अज्ञात स्थान पर, ऊपर वर्णित तरीकों में से एक को http: // के साथ शुरू होने वाली एक पंक्ति के साथ एन्क्रिप्ट किया गया है। कुंजी अज्ञात है। हमें एक प्रोग्राम लिखना चाहिए जो फ़ाइल को संसाधित करता है और, महाकाव्य गणना के बिना, इस लाइन को निकालता है। कुछ और एन्क्रिप्ट किया जा सकता है, उदाहरण के लिए, आंतरिक फ़ाइल का एमजेड-पीई हेडर, लेकिन इस शर्त के साथ: आप जानते हैं कि वास्तव में आप क्या देख रहे हैं। और फिर यह ज्ञात नहीं है कि अनजान जगह में एन्क्रिप्ट किए गए अज्ञात कचरे को क्या देखना है - बहुत धन्यवाद कार्य नहीं।

एक छोटा सा विषयांतर। एलसी अब ऑटोएनलिसिस के ऐसे तरीकों का उपयोग करता है, जो परवाह नहीं करते हैं कि क्या एन्क्रिप्ट किया गया है, और कैसे। कम से कम यहां तक कि एक बहुत ही मजबूत एल्गोरिथ्म (जैसा कि वर्णित लोगों के विपरीत)। यदि प्रोग्राम द्वारा डेटा का उपयोग किया जाता है, तो यह अभी भी हमारे द्वारा पुनर्प्राप्त किया जाएगा। नीचे मैं केवल यह प्रदर्शित करूंगा कि वर्णित एन्क्रिप्शन विधियां वायरस लेखक की रक्षा नहीं करेंगी और शौकिया विश्लेषक के लिए भी मुश्किल नहीं होंगी। कोई रहस्योद्घाटन नहीं। अपने हाथ देखो।

Xor

क्या आपको वह url याद है जिसमें NOT ऑपरेशन लागू किया गया था? " CHLLP CH "। इन पत्रों को फिर से देखकर, आप हमेशा अनुमान लगाएंगे कि यह यूआरएल है। और यहां वह पंक्ति है जो कुंजी F0: " SHDDA ।" से फ़ेड की गई थी । या 0F के साथ: " g {{⌂5 "। कृपया ध्यान दें कि दूसरा और तीसरा, साथ ही अंतिम और पारमार्थिक वर्ण समान हैं। वर्णित बाइट रूपांतरणों की एक "उपयोगी" संपत्ति यह है कि वे बराबर बाइट्स को बराबर में बदलते हैं। लेकिन XOR के पास एक और उपयोगी संपत्ति है - ऑपरेशन प्रतिवर्ती है। यानी 'W' = 'h' XOR की से
यह उस कुंजी = 'W' XOR 'h' का अनुसरण करता है। और इसका मतलब है कि अगर कोई YTsUKENG अनुक्रम है, तो कुंजी: = '' 'XOR' h ' । अगला, हम इसे सत्यापित करते हैं
'C' == 't' XOR कुंजी
'के' == 'पी' XOR कुंजी
'ई' == ':' XOR कुंजी ...
यदि हां, तो हमें URL मिल गया है और हमें कुंजी पता है।

जोड़ना

इसी प्रकार, यदि '' '' = 'ह' + कुंजी है , तो कुंजी = '' '-' ज '' । और हम जाँचते हैं कि बाकी यूआरएल वास्तव में यूआरएल है।

लेकिन क्या होगा अगर हमलावर ने बाइट से बाइट को रैखिक रूप से बदल दिया?
'थ' = 'ज' + की
'Ts' = 't' + (कुंजी + डी)
'Y' = 't' + (कुंजी + 2d)
'के' = 'पी' + (कुंजी + 3 डी) ...

सभी समान:
कुंजी = '' '-' एच '
कुंजी + डी = 'सी' - 'टी'

यदि लेखक ने चार-बाइट कुंजी का उपयोग किया है:
'YTsUK' = 'http' XOR की .32

फिर हम अभी भी कुंजी की गणना कर सकते हैं और यहां तक कि शेष तीन ज्ञात बाइट्स पर इसे मान्य कर सकते हैं। लेकिन यदि कुंजी स्वयं खोज स्ट्रिंग की लंबाई है, तो वर्णित दृष्टिकोण काम नहीं करता है। किसी कारण से, छोटे लोग कुछ भी करते हैं, लेकिन ऐसा कुछ नहीं जो वास्तव में उनकी मदद करेगा।

संयोग

उदाहरण के लिए, वे तरीकों को जोड़ते हैं। Url को वापस लिखें, और यहां तक कि बाइट, और फिर एक चर कुंजी के साथ poksorsya। हाँ, यह कुछ स्वचालन के लिए भ्रामक हो सकता है। वास्तव में, यह ऐसी फ़ाइलों के सफल पता लगाने में हस्तक्षेप नहीं करता है। और जैसे ही वायरस विश्लेषक मैलवेयर को समझता है, वह डिकोडर में रिवर्स विधि (यूनिकोड (लिनियरएक्सॉर) (स्ट्रीम)) को जोड़ देगा, जिसके बाद सभी पुराने और नए संस्करणों को स्वचालित रूप से डिक्रिप्ट किया जाता है।

वाटरमार्क

वर्णित एन्क्रिप्शन विधियों का एक अन्य अनुप्रयोग: कार्यक्रम में वॉटरमार्क। मान लीजिए आप एक ईमानदार प्रोग्रामर हैं और ग्राहकों को वैसिली और जॉर्ज को प्रोग्राम की एक प्रति देते हैं। नहीं, यह एडुआर्ड और ग्रेगरी के लिए बेहतर है। और आप जानना चाहते हैं कि क्या उनमें से एक कार्यक्रम सार्वजनिक रूप से उपलब्ध है। स्रोत कोड में आप लिख सकते हैं:
#pragma data_seg ("। text")
बाहरी चार वॉटरमार्क [] = "uQPW _} _ ► WTW►"; // "एडवर्ड की कॉपी" XOR FF

संकलन के बाद, एन्क्रिप्टेड लाइन निष्पादन योग्य फ़ाइल में होगी, लेकिन इसका पता लगाना आसान नहीं है। आखिरकार, यह नहीं पता है कि क्या देखना है और कहां।

हालाँकि, जैसा कि हमें अभी पता चला है, अगर एडवर्ड की एक प्रति सार्वजनिक डोमेन में मिलती है, तो ग्रेगरी के पास कार्यक्रम के दो संस्करण होंगे, और वह आसानी से उनमें अंतर खोज सकता है और सिफर को हल कर सकता है। यह केवल आपके लिए खराब होगा, ग्रेगरी अन्य लोगों की प्रतियां नकली करने में सक्षम होगा।

निष्कर्ष:

बस इतना ही। हम कुछ तुच्छ एन्क्रिप्शन विधियों से परिचित हो गए और पता चला कि वे बेकार क्यों हैं। यदि आपके पास प्रश्न और टिप्पणियां हैं - उत्कृष्ट, वास्तव में आगे की ओर देख रहे हैं। यदि सामग्री आपको बहुत सरल लगती है, तो यहां एक ही विषय पर वायरस विश्लेषण के क्षेत्र से एक जीवन उदाहरण है।

एक वायरस (इन्फ़ेक्टर) एक संक्रमित फ़ाइल में अपने शरीर को एम्बेड करता है। उसका शरीर स्थिर है, लेकिन वह इसे DWORD पर लड़ता है जैसे कि छद्म यादृच्छिक संख्याओं के साथ:
srand (की);
क्रिप्टेड [0] = बॉडी [0] एक्सओआर रैंड ();
क्रिप्टेड [1] = बॉडी [1] एक्सओआर रैंड ();
...

कुंजी के साथ बॉडी डिकोडर पीड़ित के कोड (प्रवेश-बिंदु अस्पष्ट) द्वारा "स्मियर" किया जाता है, इसलिए आपको एन्क्रिप्टेड बॉडी का उपयोग करके इसका पता लगाना होगा। उदाहरण के लिए, आप मान सकते हैं कि वायरस का शरीर notepad.exe कोड अनुभाग है।

यह ज्ञात है कि संकलक में सबसे लोकप्रिय एल्गोरिथ्म छद्म यादृच्छिक संख्या जनरेटर के रूप में उपयोग किया जाता है:

seed = seed * 1103515245 + 12345; return (seed % ((unsigned int)RAND_MAX + 1));

पूरा दिखाओ

 /* * This file is part of the libpayload project. * * It was originally taken from the OpenBSD project. * * Copyright (c) 1990 The Regents of the University of California. * All rights reserved. * * Redistribution and use in source and binary forms, with or without * modification, are permitted provided that the following conditions * are met: * 1. Redistributions of source code must retain the above copyright * notice, this list of conditions and the following disclaimer. * 2. Redistributions in binary form must reproduce the above copyright * notice, this list of conditions and the following disclaimer in the * documentation and/or other materials provided with the distribution. * 3. Neither the name of the University nor the names of its contributors * may be used to endorse or promote products derived from this software * without specific prior written permission. * * THIS SOFTWARE IS PROVIDED BY THE REGENTS AND CONTRIBUTORS ``AS IS'' AND * ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE * IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE * ARE DISCLAIMED. IN NO EVENT SHALL THE REGENTS OR CONTRIBUTORS BE LIABLE * FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL * DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS * OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) * HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT * LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY * OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF * SUCH DAMAGE. */ #include <libpayload.h> static unsigned int next = 1; int rand_r(unsigned int *seed) { *seed = *seed * 1103515245 + 12345; return (*seed % ((unsigned int)RAND_MAX + 1)); } int rand(void) { return (rand_r(&next)); } void srand(unsigned int seed) { next = seed; }

क्या ~~मन में~~ इस वायरस को जल्दी से प्रोग्राम करना संभव है ?

दुर्भावनापूर्ण फ़ाइलों में तुच्छ एन्क्रिप्शन