यैंडेक्स में सूचना सुरक्षा की जांच। Rdomn - छिपा हुआ खतरा

इस पोस्ट में हम उन उपयोगकर्ताओं के संक्रमण के सबसे जटिल मामलों में से एक के बारे में बात करना चाहते हैं जिनके पास हमें जांच करने का एक मौका था और जिसमें कई लोकप्रिय तकनीकों का उपयोग किया गया था।

संक्रमित साइटों के वेब पेजों में दुर्भावनापूर्ण कोड को इंजेक्ट करने के लिए हमलावर लगातार तरीकों में सुधार कर रहे हैं। यदि इससे पहले यह स्थिर सामग्री या php-स्क्रिप्ट CMS का संशोधन था, तो अब और अधिक जटिल तकनीकों के उपयोग का सहारा लें।



आजकल, वेब सर्वर सबसे अधिक बार संक्रमित होता है: दुर्भावनापूर्ण मॉड्यूल इंस्टॉल किए जाते हैं, दुर्भावनापूर्ण साझा किए गए ऑब्जेक्ट पेश किए जाते हैं, या निष्पादन योग्य फ़ाइल दुर्भावनापूर्ण कार्यक्षमता के साथ recompiled है। दुर्भावनापूर्ण जावास्क्रिप्ट की शुरूआत के लिए सक्रिय रूप से उपयोग किया जाता है, उदाहरण के लिए, फ्लैश ।

2013 के अंत में, हमारे रोबोट ने बड़ी संख्या में दुर्भावनापूर्ण साइटों का पता लगाना शुरू किया, जिन पृष्ठों पर एक दुर्भावनापूर्ण फ़्लैश ऑब्जेक्ट को एम्बेड किया गया था। इस पृष्ठ ने ऐसे कोड की मेजबानी की।

NB: पोस्ट में सभी दुर्भावनापूर्ण कोड स्क्रीनशॉट के रूप में दिए गए हैं, ताकि रोबोट इस पृष्ठ को संक्रमित न पाए।



इस फ़्लैश मूवी को साइट विज़िटर के ब्राउज़र में लोड किया गया और एक्शनस्क्रिप्ट निष्पादित किया गया, जिसने फ़ॉर्म के पते के लिए एक अनुरोध भेजा:
hxxp: //rdomn1394028305.hopto.me/gray-bg.puff? img = <random_number>?
उदाहरण के लिए:
hxxp: //rdomn1394089507.hopto.me/gray-bg.png? img = 0.28730966709554195

इस अनुरोध के जवाब में, डेटा प्रेषित किया गया था:



उन्हें जावास्क्रिप्ट कोड एन्क्रिप्ट किया गया था जिसे डिक्रिप्ट किया गया और निष्कासित ऑपरेटर द्वारा निष्पादित किया गया। नतीजतन, फ्लैश मूवी ने फॉर्म zzbdbqs.podzone.net/ytydhdy9.html के URL के साथ एक आइफ्रेम का गठन किया।

एक फ़्रेमसेट को iframe में लोड किया गया था, उपयोगकर्ता के ब्राउज़र में न्यूट्रिनो एक्सप्लॉइट किट से लैंडिंग पृष्ठ लोड करना:



इसके बाद के लैंडिंग पेज पर काम किया गया। Fshciym.js स्क्रिप्ट एक jQuery संस्करण 1.9.1 फ्रेमवर्क है। उन्होंने सक्रिय रूप से भाग लेने की प्रक्रिया में भाग लिया, जो मुख्य स्क्रिप्ट सबरूटीन की कॉम्पैक्ट बॉडी में किया गया था:



Wdb () फ़ंक्शन इनपुट पैरामीटर के आधार पर विभिन्न js- ऑपरेटरों को लौटाता है। इस प्रकार, मुख्य दिनचर्या को कोड में बदल दिया गया था:



इस कोड ने शोषण पैक की मेजबानी से amnjzvktkqdbj दस्तावेज़ को लोड किया और इसे ijvb फ़ंक्शन के इनपुट में पारित कर दिया, जिसने डिकोड्यूरिकोम्पोनेंट और दस्तावेज़ के बाद के डिक्रिप्शन को निष्पादित किया। नतीजतन, एक जटिल स्क्रिप्ट PluginDetect और कोड से बनाई गई थी:





यह कोड निर्धारित करता है कि उपयोगकर्ता ने कौन से प्रोग्राम इंस्टॉल किए थे ( एमएस ऑफिस, वीएलसी प्लेयर, जावा, फ्लैश ), और परिणामों के आधार पर, उपयुक्त कारनामों के साथ एक पेज लोड किया। उपयोगकर्ता के ब्राउज़र में चलने वाले दुर्भावनापूर्ण कोड की दिलचस्प संरचना के अलावा, यह मामला उस तरह से दिलचस्प है जिस तरह से सर्वर संक्रमित है।

कई वेबमास्टर्स जिन्होंने हमारे तकनीकी समर्थन से संपर्क किया था, वे हमें उन सर्वरों की जड़ें देने के लिए सहमत हुए जो संक्रमित थे। हमें पता चला कि इसके लिए अपाचे के लिए एक दुर्भावनापूर्ण मॉड्यूल का उपयोग किया गया था। यह एक अलग .so (आमतौर पर mod_status.so नाम के साथ) है, जो अपाचे वेब सर्वर के कॉन्फ़िगरेशन में लिखा गया है। पता लगाने और हटाने में अधिक कठिन बनाने के लिए, हमलावरों ने मॉड्यूल को अन्य मॉड्यूल (उदाहरण के लिए, perl.conf ) की कॉन्फ़िगरेशन स्क्रिप्ट में लोड करने का आदेश दिया। इन फ़ाइलों के संशोधन को प्रतिबंधित करने के लिए चैट कॉन्फ़िगरेशन उपयोगिता का उपयोग करके परिवर्तित कॉन्फ़िगरेशन फ़ाइलों को सेट किया गया था। उपयोग के बाद ही चैटट्रैट की उपयोगिता हटा दी गई थी। इसके बजाय, एक खाली फ़ाइल उसी नाम और विशेषताओं के साथ लिखी गई थी जो इसे हटाने से रोकती है।

आरंभीकरण के दौरान, मॉड्यूल ने कॉल फ़ंक्शन द्वारा कई हुक स्थापित किए हैं:
ap_hook_log_transaction,
ap_hook_post_config,
ap_hook_insert_filter,
ap_register_output_filter



जब post_config_hook प्रक्रिया को कॉल किया गया ( ap_hook_post_config कॉल करके ), तो मॉड्यूल कॉन्फ़िगरेशन डिक्रिप्ट और लोड किया गया था। फ़ाइल मैपिंग भी बनाई गई थी, जिसे बाद में इंटरप्रोसेस संचार के लिए उपयोग किया गया था। इस चरण के बाद, प्रक्रिया के विशेषाधिकारों की जाँच की गई और, यदि इसकी जड़ें विशेषाधिकार थीं, तो यह कांटा गया और एक अनंत लूप शुरू हुआ। इसमें, मॉड्यूल ने रूट विशेषाधिकारों और निषिद्ध प्रक्रियाओं के साथ सिस्टम में एक उपयोगकर्ता सत्र की उपस्थिति के लिए जाँच की, और यदि आवश्यक हो, तो रिमोट सर्वर पर एक बैककनेक्ट बनाया, जिससे हमलावरों को इसे दूर से नियंत्रित करने की क्षमता मिल सके।

सर्वर के HTTP प्रतिक्रियाओं में दुर्भावनापूर्ण कोड का इंजेक्शन एक फ़ंक्शन में हुआ जो Apache वेब सर्वर के आउटपुट फ़िल्टर के रूप में सेट किया गया है। कार्यान्वयन से तुरंत पहले, दुर्भावनापूर्ण मॉड्यूल ने जाँच की कि क्या HTTP अनुरोध नियंत्रित कर रहा था, क्या मॉड्यूल के रिमोट कंट्रोल की अनुमति दी गई थी, और क्या इसके कॉन्फ़िगरेशन को अपडेट करने की आवश्यकता है। फिर चेक की एक श्रृंखला हुई: क्या दुर्भावनापूर्ण कोड पेश करने का समय समाप्त हो गया है और क्या यह कॉन्फ़िगरेशन में निहित है।

यदि परिणाम सकारात्मक थे, तो झंडे की जाँच की गई जो रूट विशेषाधिकार या सिस्टम में निषिद्ध प्रक्रिया के साथ सक्रिय उपयोगकर्ता सत्र का संकेत देते थे। उसके बाद, अनुरोध और प्रतिक्रिया मापदंडों की जांच की गई - उपयोगकर्ता-एजेंट, सामग्री-प्रकार, संदर्भकर्ता , सबस्ट्रिंग की उपस्थिति, इससे पहले या बाद में दुर्भावनापूर्ण कोड की शुरूआत होती है। यदि ये सभी चेक सफल थे, तो दुर्भावनापूर्ण कोड HTTP प्रतिक्रिया में एम्बेड किया गया था।
दुर्भावनापूर्ण मॉड्यूल ने हमलावरों को सर्वर को दूरस्थ रूप से नियंत्रित करने की भी अनुमति दी। ऐसा करने के लिए, यह एक HTTP अनुरोध भेजने के लिए आवश्यक था जिसमें एक विशेष मूल्य के साथ "प्रागमा" हेडर होता है। इस तरह के अनुरोध के प्रसंस्करण के दौरान, यह मान Base64 एल्गोरिथ्म का उपयोग करके डिकोड किया गया था, मूल्य के पहले 8 बाइट्स को डिक्रिप्ट किया गया था, और पहले 4 बाइट्स को निरंतर 0xDEADBEEF के लिए समानता के लिए जांचा गया था। इस 8 बाइट ब्लॉक के दूसरे 4 बाइट्स एक कमांड थे। आदेशों के प्रकार और तालिका में उनका विवरण:

टीम मूल्य	विवरण
10001h	स्थिति प्राप्त करें
10002h	कॉन्फ़िगरेशन अद्यतन करें
10003h	HTTP प्रतिक्रियाओं में कोड इंजेक्शन फिर से शुरू करें
10004h	HTTP प्रतिक्रियाओं में कोड इंजेक्शन निलंबित करें
10005h	रिमोट सर्वर से वापस कनेक्ट करें

प्राग्मा मूल्य के बाकी आदेश के लिए पेलोड है। कॉन्फ़िगरेशन अपडेट पैकेज के अपवाद के साथ डेटा स्पष्ट रूप में प्रसारित किया गया था, जिसे ईसीबी मोड में XTEA एल्गोरिथ्म (11 राउंड) का उपयोग करके एन्क्रिप्ट किया गया है ।
इसके अलावा, दुर्भावनापूर्ण मॉड्यूल में सिस्टम में चल रही प्रक्रियाओं की निगरानी और रूट विशेषाधिकारों के साथ एक उपयोगकर्ता सत्र की उपस्थिति के लिए कार्य शामिल थे।

अवांछित प्रक्रियाओं की निगरानी की प्रक्रिया में, मॉड्यूल / proc / निर्देशिका की सामग्री को पढ़ता है और पढ़ने /proc/%d/cmdline द्वारा चल रही प्रक्रियाओं की कमांड लाइन प्राप्त करता है। निषिद्ध प्रक्रियाओं के नामों के लिए कमांड लाइनों के प्राप्त मूल्यों की जांच की गई, जो दुर्भावनापूर्ण मॉड्यूल के कॉन्फ़िगरेशन में सूचीबद्ध हैं। यदि किसी अवांछित प्रक्रिया का पता चलता है, तो सर्वर की HTTP प्रतिक्रियाओं में दुर्भावनापूर्ण कोड की शुरूआत को अस्थायी रूप से रोक दिया जाता है।

इसी तरह, रूट विशेषाधिकारों वाले एक उपयोगकर्ता सत्र की जाँच की गई। दुर्भावनापूर्ण मॉड्यूल को चलने वाली प्रक्रियाओं की आईडी मिली, और प्रत्येक प्रक्रिया के लिए, पढ़ने /proc/%d/status द्वारा इसकी /proc/%d/status । इसके अलावा, प्राप्त आंकड़ों से, मॉड्यूल ने यूआईडी प्राप्त किया और उनकी तुलना में 0. यदि प्रक्रिया इस स्थिति से मिली, तो मॉड्यूल ने इसे देखा /proc/%d/fd और सबस्ट्रिंग पीटीएस के लिए देखा। उन फ़ाइल डिस्क्रिप्टर के लिए जिनके लिए यह सबस्ट्रिंग पाया गया था, अंतिम संशोधन का समय प्राप्त किया गया था। यदि वर्तमान समय और प्राप्त एक के बीच का अंतर कॉन्फ़िगरेशन में परिभाषित मूल्य से कम है, तो मॉड्यूल ने माना कि सिस्टम में एक रूट उपयोगकर्ता सत्र है और अस्थायी रूप से दुर्भावनापूर्ण कोड की शुरूआत को भी रोक दिया है।


दुर्भावनापूर्ण मॉड्यूल का प्रारंभिक कॉन्फ़िगरेशन


अद्यतित मैलवेयर मॉड्यूल कॉन्फ़िगरेशन (HTTP प्रतिक्रियाओं में एम्बेड करने के लिए दुर्भावनापूर्ण कोड अंदर दिखाई देता है)

दुर्भावनापूर्ण कोड पेश करने के लिए, हमलावर अधिक से अधिक नए तरीकों के साथ आते हैं और अलग-अलग पृष्ठों और लिपियों को वेब सर्वर की निष्पादन योग्य फ़ाइलों का उपयोग करने से आगे बढ़ते हैं, जो पारंपरिक तरीकों से दुर्भावनापूर्ण कोड का पता लगाने में मदद करता है। यदि आपके सर्वर ने इस तरह के संक्रमण से गुजरा है, तो वायरसटोटल सेवा का उपयोग करके सभी अपाचे मॉड्यूल की जांच करके एक दुर्भावनापूर्ण मॉड्यूल का पता लगाने में मदद मिलेगी।

संक्रमण से बचने, ट्रैफ़िक के नुकसान और होस्टिंग के मामले में अपने वेब सर्वर और उन पर मौजूद साइटों पर नज़र रखें - ग्राहकों का एक बड़ा बहिर्वाह। इस मुद्दे पर साइटों के मार्कअप को ध्यान से देखें - इसके लिए आप Yandex.Webmaster में साइटें पंजीकृत कर सकते हैं, साथ ही हम उन संक्रमण पत्रों को भी पढ़ सकते हैं जिन्हें हम मानक ईमेल पते पर भेजते हैं। यदि आपकी कंपनी उपयुक्त सॉफ़्टवेयर को होस्ट या विकसित कर रही है, तो आपके लिए सुरक्षित ब्राउज़िंग एपीआई का उपयोग करना अधिक सुविधाजनक हो सकता है , जिसके लिए हमने हाल ही में एक नया PHP एसडीके, या वेबमास्टर एपीआई में "वायरल" पैरामीटर जारी किया है ।

अपने उपयोगकर्ताओं, साइटों और सर्वरों का ध्यान रखें!