हमलावर क्लिक धोखाधड़ी को व्यवस्थित करने के लिए Win32 / Boaxxe.BE का उपयोग करते हैं।

इस विश्लेषण में, हम एक दिलचस्प Win32 / Boaxxe.BE मैलवेयर के परिवार के बारे में बात करना चाहते हैं, जो विभिन्न क्लिक धोखाधड़ी तकनीक का उपयोग करके विज्ञापन साइटों पर सीधे यातायात के लिए साइबर अपराधियों द्वारा उपयोग किया जाता है। इस तरह, हमलावरों को क्लिक के लिए भुगतान करने वाले विज्ञापनदाता से भौतिक लाभ मिलता है। विश्लेषण का पहला भाग सहबद्ध नेटवर्क के बुनियादी ढांचे को कवर करता है जो इस दुर्भावनापूर्ण कार्यक्रम को फैलाने के लिए उपयोग किया जाता है, दूसरे भाग में, हम दुर्भावनापूर्ण कोड के तकनीकी पहलुओं पर ध्यान केंद्रित करेंगे।



वितरण और लाभ

Win32 / Boaxxe.BE को भागीदार 2013. सहबद्ध कार्यक्रम वेबसाइट से वितरित किया गया था, जिसने सितंबर 2013 में अपना काम शुरू किया। संबद्ध मालिकों या ग्राहकों (भागीदारों) ने उपयोगकर्ताओं के कंप्यूटर पर इस मैलवेयर को स्थापित करने के लिए हमलावरों का भुगतान किया। नीचे दिया गया स्क्रीनशॉट एक भागीदार (तथाकथित संबद्ध सहयोगी) के नियंत्रण कक्ष को दिखाता है, जो दुर्भावनापूर्ण कोड के वितरण से संबंधित आंकड़ों को कैप्चर करता है।



"प्रोमो" अनुभाग एक दुर्भावनापूर्ण प्रोग्राम को इंगित करता है जिसे शाखा के माध्यम से वितरित किया जाना चाहिए।



दुर्भावनापूर्ण प्रोग्राम के साथ निष्पादन योग्य फ़ाइल या तो सीधे डाउनलोड (डाउनलोड) या एक विशेष डाउनलोड URL (डाउनलोड लिंक) के माध्यम से उपलब्ध होती है, जिसमें "web5.asia/promos/download?token=TOKEN&hlub_id=SUB-ID" फ़ॉर्म होता है। TOKEN पैरामीटर आकार में 20 बाइट्स का एक मान है, जो संबद्ध (संबद्ध) शाखा की पहचान करता है। इस शाखा द्वारा वितरित विभिन्न निष्पादन योग्य फ़ाइलों की पहचान करने के लिए SUB-ID पैरामीटर का भी उपयोग किया जा सकता है।

डाउनलोड बटन के नीचे वेब पेज के हिस्से पर "प्रोमो" खंड, एंटी-वायरस उत्पादों द्वारा मैलवेयर फ़ाइलों का पता लगाने की रेटिंग को दर्शाता है। हमने हर घंटे दुर्भावनापूर्ण प्रोग्राम की बाइनरी फ़ाइलों में बदलाव देखा, जो एंटीवायरस स्कैनर द्वारा पता लगाने से बचता है। जैसा कि आमतौर पर इस तरह के मामलों में होता है, उसी दुर्भावनापूर्ण प्रोग्राम का पता लगाने के लिए उसे हटा दिया जाता है।

तकनीकी विवरण में जाने के बिना, हम ध्यान दें कि दुर्भावनापूर्ण प्रोग्राम की निष्पादन योग्य फ़ाइलों में संबद्ध प्रोग्राम की पहचान होती है, जिससे C & C सर्वर को उस शाखा की सही रिपोर्ट करने की अनुमति मिलती है जिससे दुर्भावनापूर्ण प्रोग्राम इंस्टॉल किया गया था। शाखा पहचानकर्ता एक डबल-बाइट मान है, जो संबद्ध प्रोग्राम में प्रत्येक नए पंजीकृत खाते के लिए एक से बढ़ जाता है। हमारी निगरानी के चार महीनों में, चालीस नए संबद्ध खातों का निर्माण दर्ज किया गया।

आँकड़े पृष्ठ का रूप है।



इंस्टॉल कॉलम सफल मैलवेयर इंस्टॉलेशन की संख्या को गिनाता है। ब्लॉक किए गए कॉलम का उद्देश्य पूरी तरह से स्पष्ट नहीं है क्योंकि हमने इसके लिए गैर-शून्य मानों का पालन नहीं किया है। अन्य स्तंभों को समझने के लिए, यह ध्यान दिया जाना चाहिए कि Win32 / Boaxxe.BE दो अलग-अलग प्रकार के क्लिक धोखाधड़ी को लागू करता है:

• उपयोगकर्ता द्वारा आरंभ किए गए क्लिक धोखाधड़ी: उपयोगकर्ता किसी ब्राउज़र में खोज क्वेरी दर्ज करता है और दुर्भावनापूर्ण कोड प्रासंगिक खोज परिणामों में विज्ञापन साइटों को प्रतिस्थापित करता है। यह प्रथा विभिन्न मैलवेयर परिवारों में लागू की जाती है, उदाहरण के लिए, Win32 / TrojanDownloader.Tracur और Win32 / Goblin (उर्फ Win32 / Xpaj)। इस प्रकार के क्लिक धोखाधड़ी के आंकड़े निम्नलिखित कॉलम में दर्ज किए गए हैं:
  
  • सक्रिय : उस दिन वेब ब्राउज़ करने के लिए Win32 / Boaxxe.BE से संक्रमित कंप्यूटरों की संख्या।
  • खोज : खोज क्वेरी में प्रयुक्त कीवर्ड की संख्या।
  • क्लिक : उपयोगकर्ता द्वारा की गई रीडायरेक्ट की संख्या (क्लिक पूरा)।
  • पीपीसी लाभ : इस पार्टनर द्वारा क्लिक फ्रॉड के जरिए अर्जित की गई राशि।
  
  
• स्वचालित क्लिक धोखाधड़ी: Win32 / Boaxxe.BE उपयोगकर्ता की जानकारी के बिना गुप्त रूप से विज्ञापन साइटों पर जाने की क्षमता को शामिल करता है।
  
  • लाइव : संक्रमित कंप्यूटरों की संख्या जो क्लिक धोखाधड़ी करते हैं।
  • CPV क्रियाएँ : मालवेयर द्वारा की जाने वाली स्वचालित क्लिक धोखाधड़ी क्रियाओं की संख्या।
  • CPV लाभ : क्लिक धोखाधड़ी के माध्यम से एक भागीदार द्वारा अर्जित राशि।
  
  

वेबसाइट एक JSON ऑब्जेक्ट को एक URL भी प्रदान करती है जिसमें भागीदार द्वारा सीधे प्रसंस्करण के लिए उपरोक्त आँकड़े होते हैं। दिलचस्प बात यह है कि इन आँकड़ों तक पहुँचने के लिए प्रमाणीकरण का उपयोग नहीं किया जाता है, इसलिए आपको बस इस तक पहुँचने के लिए बीस-बाइट शाखा के टोकन की आवश्यकता है। उदाहरण के लिए, हमें 7 दिसंबर से संबद्ध कार्यक्रम में अपने खाते का उपयोग करने वाले भागीदारों में से एक से आंकड़े मिले। इस मामले में, भागीदार को स्वचालित क्लिक धोखाधड़ी (CPV लाभ) के लिए $ 50 और $ 200 के नकद लाभ (PPC लाभ) के साथ तीन हजार से अधिक प्रतिष्ठान (3.332) प्राप्त हुए। इस भागीदार के आंकड़े नीचे दिखाए गए हैं।



यह आश्चर्य की बात नहीं है कि हमलावर नियमित मैनुअल क्लिकों की तुलना में स्वचालित क्लिक (CPV क्रियाएँ) के लिए अधिक अर्जित करते हैं। ऑपरेटिंग सिस्टम चालू होने पर दुर्भावनापूर्ण कोड द्वारा स्वचालित क्लिक लगातार उत्पन्न होते हैं। CPV क्रियाएँ / CPV लाभ अनुपात हमें प्रति क्लिक $ 0.0005 का अनुमानित मूल्य और क्लिक / PPC लाभ $ 0.015 के बराबर है। जाहिर है, हमलावरों के लिए एक वास्तविक उपयोगकर्ता को पुनर्निर्देशित करना अधिक लाभदायक है।

नियंत्रण कक्ष वेब पेज में एक भागीदार के लिए टिकट बनाने के माध्यम से भुगतान और सहायता सेवाओं के लिए एक अनुभाग होता है।

नीचे दिया गया आंकड़ा हमलावरों द्वारा इस्तेमाल की गई योजना को दिखाता है।



जैसा कि हम पहले ही बता चुके हैं, उपयोगकर्ताओं को संक्रमित करने के लिए दुर्भावनापूर्ण फ़ाइलें Partnerska.me नेटवर्क भागीदारों द्वारा वितरित की जाती हैं। संक्रमण के बाद, उपयोगकर्ता विज्ञापन साइटों को स्वचालित रूप से (गुप्त रूप से) देखने के लिए या खोज इंजन में लिंक पर क्लिक करने के लिए मजबूर होंगे। संक्रमित मशीनें द्वार खोज इंजन का उपयोग करती हैं जो खोज क्वेरी के लिए विज्ञापन साइटों की सूची लौटाती हैं। वितरित URL लिंक आमतौर पर उन साइटों के माध्यम से रीडायरेक्ट की एक श्रृंखला को ट्रिगर करते हैं जो एक विज्ञापनदाता-प्रकाशक संबंध (श्रृंखला में प्रत्येक वेबसाइट प्राप्त ट्रैफ़िक के लिए पिछले भुगतान करता है) से जुड़े होते हैं।

अंत में, विज्ञापित साइटें, जिनमें से वैध हो सकती हैं, ट्रैफ़िक के लिए विज्ञापन नेटवर्क का भुगतान करें। ये नेटवर्क प्राप्त डेटा के लिए डोरवे सेवा का एक शुल्क और भुगतान हिस्सा लेते हैं। अंत में, partnerka.me पैसे के शेष हिस्से को प्राप्त करता है, अपना हिस्सा लेता है और भागीदारों (शाखाओं) को भाग का भुगतान करता है।

हम मानते हैं कि संबद्ध नेटवर्क के मालिक Win32 / Boaxxe.BE के निर्माण से संबंधित नहीं हैं, उनकी सेवा केवल इस दुर्भावनापूर्ण प्रोग्राम को वितरित करने के लिए उपयोग की जाती है। Boaxxe-in-the-Wild के अन्य संस्करणों पर ध्यान दिया गया कि उनकी रचना में अतिरिक्त कार्य थे: रक्षा तंत्र या मौजूदा मॉड्यूल के अन्य कार्यान्वयन, लेकिन साथ ही वे उसी विज्ञापन नेटवर्क पर पुनर्निर्देश का उपयोग करते हैं।

नीचे दिए गए स्क्रीनशॉट में डेली Win32 / Boaxxe.BE के आंकड़ों को दिखाया गया है, क्योंकि सितंबर 2013 में भागीदारका खोला गया था।



इस दुर्भावनापूर्ण उपकरण में हमलावरों की रुचि काफी अधिक है, जो इसके वितरण के लिए शाखाओं की संख्या में वृद्धि से मेल खाती है। पीक गतिविधि संकेतक व्यक्तिगत शाखाओं के आंकड़ों के भी अनुरूप हैं, उदाहरण के लिए, उनमें से एक ने दिसंबर के अंत में बड़े पैमाने पर स्पैम वितरण अभियान शुरू किया।

क्लिक धोखाधड़ी के लिए दुर्भावनापूर्ण ब्राउज़र एक्सटेंशन

Win32 / Boaxxe.BE दुर्भावनापूर्ण कोड की स्थापना प्रक्रिया नीचे दिए गए चित्र में दिखाई गई है। इस प्रक्रिया में तीन चरण शामिल हैं।



Win32 / Boaxxe.BE शुरू में एक इंस्टॉलर (NSIS इंस्टालर) हो सकता है, जिसमें एक निष्पादन योग्य फ़ाइल और एक सहायक setup.dll फ़ाइल होती है। इंस्टॉलर का कार्य दोनों फाइलों को खुद से निकालना और निष्पादन योग्य फ़ाइल को चलाना है, जो एमुलेटर या डीबगर्स के लिए ओएस वातावरण की जांच करने के बाद, बीएमपी छवि फ़ाइल को खुद से निकालता है। एक उदाहरण चित्र नीचे प्रस्तुत किया गया है।



इस कथित छवि का डेटा तब एक नई निष्पादन योग्य फ़ाइल में डिक्रिप्ट किया जाता है, जिसे निष्पादन के लिए लॉन्च किया जाता है। दुर्भावनापूर्ण वस्तुओं के विश्लेषण के लिए विश्लेषकों और स्वचालित प्रणालियों को भ्रमित करने के लिए इस तरह की तकनीक का उपयोग किया जाता है, जो यह तय कर सकता है कि यह फ़ाइल निष्पादन के लिए अभिप्रेत नहीं है। जब "छवि" फ़ाइल को निष्पादन योग्य में परिवर्तित किया जाता है, तो इसे RC4 के माध्यम से डिक्रिप्ट किया जाता है और फिर aPlib का उपयोग करके अनपैक किया जाता है। अंत में, CALL और JMP संक्रमण निर्देश निष्पादन योग्य फ़ाइल में विशेष E8 / E9 पद्धति का उपयोग करके कॉन्फ़िगर किए गए हैं।

दूसरे चरण में, Win32 / Boaxxe.BE ब्राउज़र के लिए विशेष एक्सटेंशन की स्थापना करता है, जिसके माध्यम से बाद में यह ब्राउज़र प्रक्रिया तक पूरी पहुंच प्राप्त कर लेगा और धोखाधड़ी पर क्लिक करेगा। विभिन्न प्रकार के ब्राउज़रों के लिए ब्राउज़र तक पहुंचने की विधि अलग-अलग है, उदाहरण के लिए, जैसा कि ऊपर दिखाया गया है, ब्राउज़र एक्सटेंशन तंत्र का उपयोग Google क्रोम और मोज़िला फ़ायरफ़ॉक्स तक पहुंचने के लिए किया जाता है, और इंटरनेट एक्सप्लोरर के मामले में, ब्राउज़र प्रक्रिया के लिए विशेष ब्राउज़र इंटरसेप्ट का उपयोग किया जाता है। निम्नलिखित स्पष्टीकरण है कि कैसे क्रोम और फ़ायरफ़ॉक्स तक पहुंच प्राप्त करने के लिए दुर्भावनापूर्ण कोड अपने एक्सटेंशन का उपयोग करता है।

Google Chrome ब्राउज़र के लिए एक्सटेंशन आमतौर पर हस्ताक्षरित एक्सटेंशन के माध्यम से वितरित किए जाते हैं। CRX फाइलें जो केवल एक ब्राउज़र में ऐसी फाइल को खोलकर स्थापित की जा सकती हैं। लेकिन विकास के प्रयोजनों के लिए तथाकथित स्थापित करना भी संभव है। "अनपैक्ड" एक्सटेंशन, इसका मतलब है कि आप एक्सटेंशन फ़ाइलों को वांछित निर्देशिका में कॉपी कर सकते हैं और इसे डाउनलोड करने के लिए क्रोम सेटिंग्स को संशोधित कर सकते हैं। यह इस विधि है जिसका उपयोग Win32 / Boaxxe.BE में किया जाता है। प्रक्रिया निष्पादन योग्य फ़ाइल के शरीर में निहित विभिन्न डेटा के RC4 का उपयोग करके डिक्रिप्शन के साथ शुरू होती है।

ऐसा ही एक डेटा ब्लॉक एक एक्सटेंशन मैनिफ़ेस्ट है , जो JSON ऑब्जेक्ट है।



मेनिफेस्ट में एक्सटेंशन के नाम का चयन ओएस में स्थापित अनुप्रयोगों की सूची के आधार पर किया जाएगा, जो कंप्यूटर के हार्डवेयर (हार्डवेयर-विशिष्ट) पर निर्भर करता है। इस प्रकार, प्रत्येक संक्रमित कंप्यूटर पर, एक्सटेंशन फ़ाइल एक नए नाम के साथ होगी। यह प्रकट दो जावास्क्रिप्ट फ़ाइलों को पंजीकृत करता है। पहला "पृष्ठभूमि" जीवन भर विस्तार प्रक्रिया के संदर्भ में काम करेगा। दूसरी स्क्रिप्ट प्रत्येक वेब पेज में एम्बेड की जाएगी जिसका URL "मिलान" पैरामीटर से मेल खाता है (ऊपर दिए गए उदाहरण में, यह सभी वेब पेज के लिए काम करेगा)। "अनुमतियाँ" पैरामीटर ब्राउज़र को प्रबंधित करने के लिए निर्दिष्ट वेब पेज (सभी के लिए) और क्रोम एपीआई तक पहुंच के आवश्यक स्तर को निर्धारित करता है।

एक्सटेंशन कोड स्वयं तीन अलग-अलग फ़ाइलों में है। पहला बैकग्राउंड स्क्रिप्ट है, जिसमें लगभग 100 पंक्तियों के ओब्सेस्ड कोड होते हैं और इसमें एक्सटेंशन का मूल तर्क होता है।



दूसरी स्क्रिप्ट निम्नलिखित सामग्री के साथ एक सामग्री-स्क्रिप्ट है।



यह केवल वर्तमान URL और प्राप्तकर्ता पार्टी के साथ एक संदेश भेजता है और प्रतिक्रिया को निष्पादित करता है।

एक अन्य फ़ाइल JSON_PAYLOAD नामक एक JSON ऑब्जेक्ट है, जिसमें चार फ़ील्ड होते हैं।



स्क्रिप्ट फ़ाइलों को डिस्क पर सहेजने से पहले, पृष्ठभूमि स्क्रिप्ट में चर "@@ STRING @@" के रूप में सभी मापदंडों को आवश्यक मूल्यों में बदल दिया जाएगा।

• "TOKEN" पैरामीटर को बेस 64 और RC4 ("टोकेन क्रिप्टोकरेंसी" कुंजी) का उपयोग करके एन्कोडेड स्ट्रिंग में बदल दिया गया है। स्ट्रिंग "u: 14AB8569 w: 1234 p: 1 c: 5b b: 32 v: 0" रूप ले सकती है।
  
  
• "LOGIC" पैरामीटर को कुंजी के रूप में पिछले "TOKEN" मान का उपयोग करके बेस 64 और RC4 के माध्यम से एन्कोड किए गए JSON_PAYLOAD सामग्री में बदल दिया जाता है।

अंत में, सभी तीन फाइलें क्रोम एक्सटेंशन निर्देशिका में सहेजी जाती हैं।

Chrome में कोई एक्सटेंशन इंस्टॉल करना, एक्सटेंशन के संशोधन के माध्यम से किया जाता है। क्रोम इंस्टॉलेशन डायरेक्टरी में सेटिंग्स फ़ाइल में मौजूद ऑब्जेक्ट के JSON को सेट करता है। इस फ़ाइल में सभी स्थापित ब्राउज़र एक्सटेंशन के बारे में जानकारी है। Win32 / Boaxxe.BE अपना विस्तार दर्ज करने के लिए निम्नलिखित पंक्तियाँ सम्मिलित करता है:



इन सभी कार्यों के बाद, हमलावरों के लिए आवश्यक जावास्क्रिप्ट कोड क्रोम में लोड किया जाएगा। यह ध्यान दिया जाना चाहिए कि Google ने जनवरी 2014 में शुरू होने वाले ब्राउज़र के लिए ऐसे एक्सटेंशन की स्थापना पर प्रतिबंध लगाने की घोषणा की, यदि ब्राउज़र स्वयं डेवलपर मोड में उपयोग नहीं किया गया है।

नीचे फ़ायरफ़ॉक्स के विस्तार के लिए जिम्मेदार फाइलें हैं।

• install.rdf, एक एक्सटेंशन मैनिफ़ेस्ट है
  
  फ़ील्ड "आईडी", "नाम", "संस्करण" और "निर्माता" उन मूल्यों से भरा होगा जो हार्डवेयर-निर्भर हैं। हमारे उदाहरण के लिए, ये फ़ील्ड "id" को "{1234}" और "नाम" को "Microsoft Office" के रूप में लेंगे।
• Chrome.manifest फ़ाइल डीक्रिप्ट की जाती है और इसमें निम्न डेटा होते हैं।
  
  यह फ़ाइल पहली पंक्ति ("घटक") में जावास्क्रिप्ट एक्सटेंशन कोड की घोषणा करती है, और फिर यह सुनिश्चित करती है कि एक्सटेंशन लोड हो गया है और ब्राउज़र शुरू होने पर इसे अधिसूचित किया जाएगा। किसी स्क्रिप्ट फ़ाइल की सामग्री को डिस्क पर लिखते समय, @@ STRING @@ के चर को संबंधित मानों के साथ प्रतिस्थापित किया जाता है। अंततः, तीन install.rdf, chrome.manifest, और JavaScript फ़ाइलों को एक ब्राउज़र के साथ एक निर्देशिका में डिस्क में सहेजा जाता है।
  

फ़ायरफ़ॉक्स में एक्सटेंशन को स्थापित करने के लिए, दुर्भावनापूर्ण कोड ब्राउज़र के "प्रोफ़ाइल" निर्देशिका में निम्नलिखित ऑपरेशन करता है: यह "Extension.ini" फ़ाइल में एक्सटेंशन पथ को पंजीकृत करता है और SQLite डेटाबेस में उसी पहचानकर्ता के साथ एक्सटेंशन की उपस्थिति के लिए जांच करता है।



यदि ऐसा कोई पहचानकर्ता मौजूद है, तो दुर्भावनापूर्ण कोड तालिका को अपडेट करता है ताकि यह एक नए विस्तार की ओर इशारा करे। यदि ऐसा कोई पहचानकर्ता नहीं है, तो विस्तार तालिका में डाला जाता है।

पेलोड

स्थापना के अंतिम चरण में, Win32 / Boaxxe.BE अपने पेलोड को पुनः प्राप्त करता है, जो एक दूरस्थ सर्वर पर संग्रहीत होता है। इसे डाउनलोड करने के लिए, सर्वर को भेजे गए संदेश का उपयोग करें, जो नीचे प्रस्तुत किया गया है।



संदेश का ऊपरी भाग, लाल रंग में हाइलाइट किया गया है, जिसमें चार फ़ील्ड शामिल हैं:

• चेकसम फ़ील्ड;
• पेलोड का आकार
• संदेश का प्रकार;
• पार्टनर आईडी

संदेश के नीले भाग में निम्नलिखित सहायक जानकारी है।



244-बाइट छद्म यादृच्छिक कुंजी का उपयोग करके संदेश RC4 के माध्यम से एन्क्रिप्ट किया गया है। यह कुंजी अतिरिक्त रूप से RSA सार्वजनिक कुंजी का उपयोग करके एन्क्रिप्ट की गई है, जो दुर्भावनापूर्ण कोड फ़ाइल में निहित है। इसके अलावा, यह एन्क्रिप्ट की गई कुंजी और एन्क्रिप्टेड संदेश स्वयं बेस 64 का उपयोग करके अतिरिक्त एन्क्रिप्शन के अधीन हैं।

दूरस्थ सर्वर एक html पृष्ठ के साथ प्रतिक्रिया करता है जिसमें उसके शरीर में base64 का उपयोग करके एन्क्रिप्ट किया गया डेटा होता है। डिक्रिप्शन के बाद, हमें दो निष्पादन योग्य फाइलें मिलती हैं। पहला DLL1 एक "स्प्रिंगबोर्ड" लाइब्रेरी है जिसे regsvr32.exe प्रक्रिया के संदर्भ में शुरू करने के लिए ऑटोरन के माध्यम से पंजीकृत किया जाएगा। इसका मुख्य उद्देश्य एक और DLL को डिक्रिप्ट करना और सभी सिस्टम प्रक्रियाओं के संदर्भों में अपनी उपस्थिति बनाए रखना है। दूसरी DLL2 फ़ाइल वास्तविक Win32 / Boaxxe.BE पेलोड है और इसे एन्क्रिप्टेड रूप (RC4) में हार्ड ड्राइव पर संग्रहीत किया जाएगा। RC4 के माध्यम से एन्क्रिप्शन की कुंजी डिस्क और अन्य हार्डवेयर-निर्भर डेटा के सीरियल नंबर के मूल्यों के माध्यम से उत्पन्न होती है। दूसरे शब्दों में, कंप्यूटर के हार्डवेयर के बारे में जानकारी के बिना, लाइब्रेरी को डिक्रिप्ट करना मुश्किल होगा (इस प्रकार की क्रिप्टोग्राफ़िक कुंजी को पर्यावरणीय कुंजी, "पर्यावरण कुंजी") के रूप में भी जाना जाता है।

सर्वर से पेलोड के अनुरोध के संचालन के बाद, साथीका.म नेटवर्क नेटवर्क कंट्रोल पैनल के आंकड़ों पर संस्थापनों की संख्या के साथ कॉलम एक से बढ़ जाएगा। लेकिन यह केवल तभी होगा जब इस तरह का अनुरोध इस कंप्यूटर से पहली बार आएगा।

यह ध्यान दिया जाना चाहिए कि दुर्भावनापूर्ण कोड कंप्यूटर पर अपनी प्रक्रियाओं के नाम के माध्यम से चलने वाले AV उत्पादों का पता लगाता है और फिर पेलोड फाइलें (पैरामीटर v) प्राप्त करते समय सर्वर को यह जानकारी भेजता है। यह रिमोट सर्वर को सहायक तंत्र का उपयोग करने की अनुमति देता है जो पेलोड का पता लगाने की संभावना को कम करेगा। उदाहरण के लिए, यदि ESET एंटी-वायरस उत्पाद कंप्यूटर पर चल रहा है, तो परिणामी पेलोड Themida वाणिज्यिक संरक्षक के माध्यम से सुरक्षित है।

DLL1 हमेशा regsvr32.exe प्रक्रिया के संदर्भ में सिस्टम पर काम करेगा; यह WH_CALLWNDPROC संदेश के लिए एक हैंडलर भी पंजीकृत करता है। इस प्रकार, यह पुस्तकालय, भविष्य में, सभी जीयूआई प्रक्रियाओं में लोड किया जाएगा जो ऐसा संदेश प्राप्त करते हैं। हर बार एक नई प्रक्रिया के पता स्थान में लोड होने पर, DLL1 DLL2 को डिक्रिप्ट करेगा और इसके मुख्य कार्य को कॉल करेगा। यह DLL2 अपने DNS कैश, उपयोगकर्ता क्लिक धोखाधड़ी मॉड्यूल और स्वचालित क्लिक धोखाधड़ी सहित विभिन्न कार्यों के लिए जिम्मेदार है।

जब DLL2 को ब्राउज़र प्रक्रिया (IE, फ़ायरफ़ॉक्स, क्रोम) के एड्रेस स्पेस में लोड किया जाता है, तो यह अपना DNS कैश बनाता है और बनाए रखता है, जो डोमेन नाम और आईपी पते के बीच पत्राचार को संग्रहीत करता है। इस तरह के कैश का मुख्य उद्देश्य नेटवर्क पर ट्रैफिक एनालिसिस सिस्टम द्वारा दुर्भावनापूर्ण कोड गतिविधि का पता लगाने से बचना है। कैश स्वयं दो डेटा संरचनाओं पर निर्भर करता है। पहला DNS_CACHE कैश है, जिसमें 0x60 बाइट्स की निश्चित लंबाई के रिकॉर्ड होते हैं। इस तरह की संरचना का एक उदाहरण नीचे दिखाया गया है।



प्रत्येक प्रविष्टि में एक डोमेन नाम से संबंधित जानकारी होती है, जो दोनों वैध हो सकती है (यानी Boaxxe पर लागू नहीं होती है) और दुर्भावनापूर्ण है। प्रविष्टि में निम्न शामिल हैं:

• डोमेन का नाम पहले बाइट में इसकी लंबाई से पहले था।
• डोमेन उद्देश्य फ़ील्ड "डोमेन उद्देश्य" (लाल रंग में चिह्नित) का उपयोग दुर्भावनापूर्ण लोगों से वैध डोमेन को अलग करने के लिए किया जाता है।
• आईपी ​​पता फ़ील्ड (नीले रंग में चिह्नित)। जैसा कि हम नीचे समझाते हैं, यह पता वास्तव में बिल्कुल ऐसा नहीं है जो सीधे डोमेन के साथ जुड़ा हुआ है।
• क्षेत्र "पहले से ही हल" (हरे रंग में चिह्नित) है।
• Windows OLE x64 प्रारूप में अंतिम सफल डोमेन रिज़ॉल्यूशन (काला में चिह्नित) का टाइमस्टैम्प।

निम्नलिखित संरचना पिछले एक का एक अधिक संक्षिप्त संस्करण है।



इस सहयोगी कंटेनर (मानचित्र) में 256 तत्वों की क्षमता है, जिनमें से प्रत्येक का आकार 24 बाइट्स है।कुंजी कैश में संग्रहीत डोमेन के नाम के चेकसम मूल्य (नीले रंग में चिह्नित) है, इसके बाद आईपी पते से जुड़ा है, और अंत में दो टाइमस्टैम्प फ़ील्ड हैं जो डोमेन के सक्रिय होने पर समय अंतराल का वर्णन करते हैं। संपूर्ण संरचना एक विशिष्ट रजिस्ट्री कुंजी में संग्रहीत है और नियमित रूप से DNS कैश से मेमोरी में अपडेट की जाती है। इस प्रकार, दुर्भावनापूर्ण कोड डोमेन मैपिंग जानकारी को संचित कर सकता है, इसे उस समय के लिए बचा सकता है जब इसकी आवश्यकता होती है, और इसे आवश्यकतानुसार उपयोग करें

जब DLL2 को पहली बार कंप्यूटर पर regsvr32.exe प्रक्रिया के संदर्भ में लॉन्च किया जाता है, तो DNS कैश खाली होता है। इस मामले में, एन्क्रिप्टेड रूप में लगभग पाँच सौ वैध डोमेन का एक सेट, DLL2 लाइब्रेरी में संग्रहीत है। प्रोग्राम तब कैश को पॉप्युलेट करने के लिए हार्डवेयर-निर्भर मूल्य के आधार पर उपलब्ध डोमेन का एक सबसेट चुनता है। इस प्रकार, विभिन्न संक्रमित कंप्यूटरों में एक निश्चित संख्या में वैध डोमेन के अलग-अलग नमूने होंगे। ब्राउज़र प्रक्रिया के पता स्थान में DLL2 लोड करते समय, पहली बार, यह संबद्ध आईडी के मूल्य के अनुसार, कैश में कई (आमतौर पर चार) दुर्भावनापूर्ण डोमेन जोड़ता है।

एक दुर्भावनापूर्ण प्रोग्राम किसी विशेष कंप्यूटर के लिए मनमाने तरीके से वैध डोमेन चुनकर कुछ लक्ष्यों का पीछा करता है। यह सुनिश्चित करना है कि विश्लेषण प्रणालियों से यातायात की निगरानी के मामले में डीएनएस प्रश्नों की एक ही श्रृंखला से दुर्भावनापूर्ण कोड की पहचान नहीं की जा सकती है। इस प्रकार, DNS क्वेरी पैटर्न के आधार पर विश्वसनीय Win32 / Boaxxe.BE खोज का निर्माण करना मुश्किल है।

दुर्भावनापूर्ण कोड नियमित रूप से अपने कैश में प्रत्येक प्रविष्टि की जांच करेगा और अंतिम अपडेट के बाद 24 घंटे बीतने पर इसे अपडेट करेगा। जैसा कि अपेक्षित था, यह रिकॉर्ड को अपडेट करने के लिए एक DNS क्वेरी का उपयोग करता है, लेकिन प्राप्त आईपी पता वास्तविकता में दुर्भावनापूर्ण कोड द्वारा उपयोग किए गए से मेल नहीं खाएगा। वास्तव में, प्राप्त आईपी पते के अंतिम तीन बाइट्स को RC4 और डोमेन से जुड़े वास्तविक आईपी पते को प्राप्त करने के लिए "ANKS" कुंजी का उपयोग करके एन्क्रिप्ट किया जाएगा।

एक उदाहरण पर विचार करें: यदि आप thegreerfive.biz डोमेन (Win32 / Boaxxe.BE द्वारा उपयोग किया जाने वाला दुर्भावनापूर्ण डोमेन) के लिए DNS क्वेरी निष्पादित करते हैं, तो आपको प्रतिक्रिया के रूप में IP पता 31.240.6.70 (हेक्साडेसिमल में 1F00 06 46) मिलेगा। लेकिन इस डोमेन से जुड़ा वास्तविक सर्वर पता 31.193.0.178 (1F C1 00 B2) है, क्योंकि RC4 को बाइट्स F0 06 46 के साथ लागू करने से हमें C1 00 B2 मिलता है।

जैसा कि आप पहले से ही समझते हैं, Win32 / Boaxxe.BE बुनियादी सुविधाओं के प्रबंधन के लिए जिम्मेदार ऑपरेटर केवल वास्तविक आईपी पतों को नियंत्रित करते हैं, अर्थात, एन्क्रिप्शन एल्गोरिथ्म का उपयोग करके प्राप्त पते जो एक वास्तविक डीएनएस रिकॉर्ड से पते पर लागू होता है। इस प्रकार, उन डोमेन का एक सरल विश्लेषण जिसके साथ मैलवेयर संपर्क एक कुंजी के बिना पूरी तरह से बेकार है जिसके साथ आप वास्तविक पते प्राप्त कर सकते हैं।

क्लिक धोखाधड़ी को कार्यान्वित करना एक

उपयोगकर्ता द्वारा शुरू किया गया धोखाधड़ी धोखाधड़ी वेब संसाधनों के लिए उपयोगकर्ताओं को पुनर्निर्देशित करने की एक प्रक्रिया है जो एक हमलावर को तब चाहिए जब वह खोज क्वेरी करता है। यह Win32 / Boaxxe.BE को विज्ञापन साइटों पर यातायात चलाने की अनुमति देता है। इस तरह की सगाई एक विशिष्ट खोज क्वेरी के लिए सार्थक रूप से की जाती है। इस धोखाधड़ी योजना के तर्क को आंकड़े में नीचे प्रस्तुत किया गया है। नीला पाठ उपयोगकर्ता के कार्यों को इंगित करता है, और लाल दुर्भावनापूर्ण प्रोग्राम की क्रियाओं को इंगित करता है।



पहले चरण में, उपयोगकर्ता कीवर्ड K का उपयोग करके एक खोज क्वेरी करता है और प्रतिक्रिया के रूप में इस शब्द से मेल खाने वाली साइटों की सूची प्राप्त करता है। उसी समय, Win32 / Boaxxe.BE K शब्द को अपने स्वयं के खोज इंजन पर भेजता है, जो संबंधित साइटों की एक सूची भी देता है। यदि इस कीवर्ड से संबंधित कोई साइट नहीं है, तो पुनर्निर्देशन नहीं किया जाता है। दूसरे चरण में, उपयोगकर्ता चयनित साइट पर क्लिक (क्लिक) करता है और संबंधित वेब पेज की सामग्री प्राप्त करता है। यदि उपयोगकर्ता के पास Win32 / Boaxxe.BE स्थापित है, तो वह लौटी सूची से संबंधित लिंक पर एक मजबूर क्लिक करता है। व्यवहार में, उपयोगकर्ता के पास उस वेब पेज को देखने का समय नहीं है जिसे उसने क्लिक किया है, इसके बजाय, वह दुर्भावनापूर्ण कोड द्वारा शुरू किए गए वेब पेज पर पहुंच जाता है।

जैसा कि हमने ऊपर संकेत किया है, क्रोम और फ़ायरफ़ॉक्स के लिए उपयोगकर्ता द्वारा शुरू किए गए धोखाधड़ी कार्यों को ब्राउज़र एक्सटेंशन में लागू किया जाता है, और इंटरनेट एक्सप्लोरर के लिए दुर्भावनापूर्ण कोड प्रक्रिया मेमोरी में इंटरसेप्ट्स का उपयोग करता है।

एक्सटेंशन में उपयोग किए जाने वाले ऑपरेशन दोनों ब्राउज़रों के लिए समान हैं, इसलिए हम इस प्रक्रिया का वर्णन केवल Google Chrome के लिए करते हैं। जैसा कि हमने ऊपर उल्लेख किया है, क्रोम के लिए एक्सटेंशन में दो जावास्क्रिप्ट फाइलें शामिल हैं: एक पृष्ठभूमि स्क्रिप्ट, एक उदाहरण जो हमेशा सक्रिय रहेगा, और एक सामग्री स्क्रिप्ट, जिसका एक उदाहरण प्रत्येक वेब पेज के लिए काम करेगा।

जब लॉन्च किया जाता है, तो बैकग्राउंड स्क्रिप्ट JSON_PAYLOAD को डिक्रिप्ट करेगी और उसके फ़ील्ड "c" (ऊपर देखें) की गणना करेगी, जिसमें एक्सटेंशन का तर्क है। यह कोड दुर्भावनापूर्ण कोड द्वारा समर्थित खोज इंजन युक्त सरणी की घोषणा करता है। ये सभी उपयोगकर्ता से GET अनुरोध के माध्यम से पैरामीटर के रूप में कीवर्ड प्राप्त करते हैं, जिसका दुर्भावनापूर्ण कोड द्वारा विश्लेषण किया जाता है। दिसंबर में दुर्भावनापूर्ण कोड द्वारा उपयोग किए जाने वाले खोज इंजन की सूची नीचे दी गई है।



उदाहरण के रूप में खोज क्वेरी "www.google.com/search?q=cat" का URL लें, यह स्पष्ट है कि यह तालिका की पहली पंक्ति से मेल खाएगा और कीवर्ड "कैट" URL से दुर्भावनापूर्ण कोड द्वारा निकाला जाएगा और फिर Win32 / के लिए भेजा जाएगा Boaxxe.BE, जो हाल के महीनों में searchpagex.com (Firefox के मामले में searchpagex.org) है।

इसके अलावा, दुर्भावनापूर्ण कोड तथाकथित सफेद साइटों की सूची का समर्थन करता है: विकिपीडिया, फेसबुक, ट्विटर। यदि ये साइट GET अनुरोध में मौजूद हैं, तो उपयोगकर्ता Boaxxe डोमेन पर पुनर्निर्देशित नहीं किया जाएगा। यह संभावना उसे अधिक गुप्त रखने की अनुमति देती है, क्योंकि इन साइटों के साथ रीडायरेक्ट के मामले में, उपयोगकर्ता तुरंत ब्राउज़र में दुर्भावनापूर्ण गतिविधि पर संदेह कर सकता है।

Boaxxe उपयोगकर्ता के विज़िट के प्रत्येक URL को संसाधित करने के लिए Chrome API का उपयोग करके ईवेंट हैंडलर्स को पंजीकृत करता है। इन हैंडलर का उपयोग करना, जो सामग्री स्क्रिप्ट में समाहित है, मैलवेयर रीडायरेक्ट लॉजिक को लागू करता है। Win32 / Boaxxe.BE सर्च इंजन की प्रतिक्रिया एक JSON ऑब्जेक्ट है, जिसमें "searchpagex.com/c?t=BASE64ID" URL शामिल हैं। जब आप इनमें से किसी एक URL पर जाते हैं, तो विज्ञापन नेटवर्क के साथ एक पुनर्निर्देशित श्रृंखला होती है, जो एक वेबसाइट के साथ समाप्त होती है जो सीधे कीवर्ड से संबंधित होती है। इसके साथ ही इस पुनर्निर्देशन प्रक्रिया के साथ, विस्तार हर घंटे एक नया संस्करण का अनुरोध करने के लिए JSON_PAYLOAD ऑब्जेक्ट के क्षेत्र के पैरामीटर "c" में निर्दिष्ट URL की जांच करेगा।

: इंटरनेट एक्सप्लोरर में एक कस्टम क्लिक धोखाधड़ी को लागू करने के लिए, Win32 / Boaxxe.BE निम्नलिखित एपीआई कार्यों को बीच में रोक HttpAddRequestHeadersA , CreateWindowExW और DrawTextExW । इन फ़ंक्शंस के हैंडलर दुर्भावनापूर्ण प्रोग्राम के शरीर में स्थित होते हैं और बाद में URL पते प्रदान करते हैं, जिसे उपयोगकर्ता को देखना चाहिए, जो एक अलग Boaxxe स्ट्रीम में चलता है।

यह धागा Chrome के एक्सटेंशन के मामले में हमारे द्वारा वर्णित एक समान तर्क को लागू करता है। यह खोज इंजनों की सूची के साथ आने वाले URL की तुलना करता है और अनुरोध से कीवर्ड पुनर्प्राप्त करता है। अंतर यह है कि यह निकाले गए कीवर्ड्स को अपने स्वयं के खोज इंजन में नहीं भेजते हैं, बल्कि एक दुर्भावनापूर्ण आईपी पते पर भेजते हैं, जो DNS कैश में संग्रहीत होता है। सर्वर से प्रतिक्रिया RC4 का उपयोग करके एन्क्रिप्ट किया गया है और इसका निम्न रूप है।



"यू" पैरामीटर का उपयोग उस URL की पहचान करने के लिए किया जाता है, जिसमें उपयोगकर्ता को पुनर्निर्देशित किया जाना चाहिए, और "आर" पैरामीटर में रेफरल के बारे में जानकारी होती है। यह पुनर्निर्देशित स्रोत URL Win32 / Boaxxe.BE खोज इंजन द्वारा इंगित किया गया है। इस रेफ़रर फ़ील्ड का उपयोग करने से मैलवेयर ऑपरेटर्स को विज्ञापन नेटवर्क से लाभ मिलता है। इस तरह, डोरवे सर्च इंजन का उपयोग करके एक उपयोगकर्ता संक्रमण की नकल की जाती है।

स्वचालित क्लिक धोखाधड़ी उपयोगकर्ता के हस्तक्षेप के बिना दुर्भावनापूर्ण कोड के साथ वेब संसाधनों के लिए एक गुप्त यात्रा है। इस कार्रवाई को करने के लिए, Win32 / Boaxxe.BE कोड, regsvr32.exe के संदर्भ में चल रहा है, इंटरनेट एक्सप्लोरर लॉन्च करता है। यह नई प्रक्रिया उपयोगकर्ता के लिए अदृश्य "-एम्बेडिंग" पैरामीटर के कारण अदृश्य है जिसके साथ ब्राउज़र चल रहा है।

Boaxxe विभिन्न इंटरनेट एक्सप्लोरर विकल्पों को संशोधित करता है, उदाहरण के लिए, नेविगेशन ध्वनियों को बंद करने या फ़ाइल डाउनलोड पर प्रतिबंध को हटाने के लिए। यह एक थ्रेड भी बनाता है जो लगातार इसके निष्पादन समय और प्रक्रिया द्वारा उपयोग की जाने वाली मेमोरी पर नज़र रखता है; यदि मेमोरी की खपत या निष्पादन का समय बड़ा है, तो प्रक्रिया जबरन समाप्त कर दी जाती है। दुर्भावनापूर्ण कोड MessageBeep फ़ंक्शन को भी स्वीकार करता है, जिसका उपयोग ध्वनि प्रभाव चलाने के लिए किया जा सकता है।

इसके अलावा, Win32 / Boaxxe.BE अपने स्वयं के DNS कैश में भागीदार पहचानकर्ता से जुड़ी नई प्रविष्टियाँ जोड़ता है। फिर वह RC4 / base64 एन्क्रिप्शन का उपयोग करके उनमें से एक को एक अनुरोध भेजता है, और एक स्वचालित क्लिक धोखाधड़ी करने के लिए आवश्यक जानकारी के रूप में प्रतिक्रिया प्राप्त करता है। एक उदाहरण प्रतिक्रिया नीचे दी गई है:



महत्वपूर्ण प्रतिक्रिया मापदंडों का विवरण नीचे दिया गया है।



उपरोक्त संदेश के आधार पर, ब्राउज़र प्रक्रिया "u" पैरामीटर द्वारा निर्दिष्ट रेफ़र के साथ निर्दिष्ट URL पर जाएगी, जिसे "r" पैरामीटर द्वारा दर्शाया गया है। यात्रा करने के लिए स्रोत URL चार या पाँच मध्यवर्ती लिंक (HTTP स्थिति 302 का उपयोग करके) के पुनर्निर्देश की श्रृंखला शुरू करता है। श्रृंखला में देखे गए प्रत्येक पृष्ठ का विश्लेषण उससे लिंक निकालने के लिए किया जाता है, जिसे भविष्य में, पुनर्निर्देशित किया जाएगा। पुनरावर्ती की गहराई या पुनर्निर्देश की संख्या "एन" पैरामीटर द्वारा निर्दिष्ट की जाती है।

इन ऑपरेशनों को करने की प्रक्रिया में, समय-समय पर प्रवाह एक निश्चित मात्रा में सो जाता है, जो पैरामीटर "टी" द्वारा इंगित किया जाता है। यह संभवत: विभिन्न साइटों पर जाने पर मानव व्यवहार को अनुकरण करने के लिए किया जाता है। विज्ञापन पृष्ठों पर जाने के बाद, दुर्भावनापूर्ण कोड एक वैध प्रसिद्ध साइटों (Google, फेसबुक, ट्विटर, आदि) में से एक HTTP GET अनुरोध निष्पादित करता है। यह नेटवर्क ट्रैफ़िक स्ट्रीम में अधिक प्रभावी रूप से मास्क क्लिक धोखाधड़ी के लिए दुर्भावनापूर्ण कोड की अनुमति देता है।

निष्कर्ष

हमने Win32 / Boaxxe.BE दुर्भावनापूर्ण कोड के संचालन के बारे में विस्तार से वर्णन करने का प्रयास किया, जिसका मुख्य उद्देश्य हमलावरों द्वारा विज्ञापनदाता से सामग्री लाभ के बाद के निष्कर्षण (क्लिक धोखाधड़ी) उत्पन्न करना है। मैलवेयर में अपने ट्रैफ़िक को छुपाने के लिए कई तंत्र सम्‍मिलित हैं, जिसमें इसे एन्क्रिप्ट करना, वैध वेबसाइटों के अनुरोधों का उपयोग करना और अपने स्वयं के DNS कैश का उपयोग करना शामिल है।

SHA-1 नमूने