TDL4 - x64 सिस्टम (Win7, Vista ...) के लिए पहला पूर्ण रूट रूट

पिछले सप्ताह के अंत में, सनसनीखेज रूटकिट TDL3 का एक मौलिक रूप से नया संस्करण खोजा गया था (कुछ तथ्य हैं जो यह सुझाव देते हैं कि यह जानवर पहले भी दिखाई दिया था), इस संस्करण की मुख्य विशेषता x64 सिस्टम के लिए पूर्ण समर्थन थी।



TDL4 विंडोज़ सिस्टम के x64 संस्करणों में डिजिटल हस्ताक्षर को सत्यापित करने के लिए सुरक्षा तंत्र को सफलतापूर्वक बायपास करने का प्रबंधन करता है। TDL4 के लेखकों ने एक बहुत ही सुंदर वर्कअराउंड का उपयोग किया, जिसमें एमबीआर को संक्रमित करने और ऑपरेटिंग सिस्टम की तुलना में पहले दुर्भावनापूर्ण कोड लॉन्च करने की तकनीक का उपयोग किया जाता है। इसी तरह के तरीकों को पहले से ही इस तरह के दुर्भावनापूर्ण कार्यक्रमों द्वारा सक्रिय रूप से उपयोग किया जाता है जैसे मेब्रोट , स्टोनडबूट , आदि।



टीडीएल 3 का अंतिम सामान्य संस्करण हमने गर्मियों में 3.273 के बारे में एक विस्तृत अध्ययन किया था। अब संस्करण शुरू से गिने जाते हैं, और लेख में विचार किया गया संस्करण 0.02 गिना जाता है (संस्करण को बॉट की कॉन्फ़िगरेशन फ़ाइल में देखा जा सकता है)। इस तरह के एक अजीब संस्करण संख्या से पता चलता है कि लेखक केवल इस संस्करण में दिखाई देने वाली नई प्रौद्योगिकियों को डीबग कर रहे हैं, और भविष्य में हम कुछ और दिलचस्प होने की उम्मीद करेंगे। कार्यात्मक दृष्टिकोण से, हमने किसी भी मौलिक परिवर्तन को नहीं देखा, सिवाय छिपे हुए फाइल सिस्टम में एमबीआर संक्रमण और मामूली बदलाव के माध्यम से ड्राइवर को स्थापित करने के एक नए तरीके के अलावा। ड्राइवर बहुत कुछ वैसा ही है जैसा कि हम पहले ही TDL3 में देख चुके हैं और, सबसे अधिक संभावना है, बस x64 सिस्टम की ख़ासियत को ध्यान में रखकर बनाया गया था। रूटकिट के पिछले संस्करण ने सिस्टम ड्राइवरों के संक्रमण तंत्र का उपयोग दुर्भावनापूर्ण कार्यक्षमता को डाउनलोड करने के लिए उनके आकार को बदलने के बिना किया था, लेकिन चूंकि x64 सिस्टम में ड्राइवर डिजिटल हस्ताक्षर की जांच करता है, इसलिए हमलावरों ने इस तंत्र को मना कर दिया।



इसलिए, अब संक्रमण निम्नानुसार किया जाता है:



- भौतिक डिवाइस डिस्क्रिप्टर खुलता है (हमारे मामले में यह \\ ?? \ PhysicalDrive0 है ), जिस पर एक खंड कहा जाता है:

- आपके फ़ाइल सिस्टम की एक छवि तैयार की जाती है और हार्ड ड्राइव के अंत में लिखी जाती है

- एमबीआर द्वारा अधिलेखित - कोड जो पहले से तैयार फ़ाइल सिस्टम में मॉड्यूल लोड करता है

- x64 सिस्टम पर एक सफल संक्रमण के बाद, ExitWindowsEx () फ़ंक्शन को कॉल करके एक रिबूट होता है।



यहां बताया गया है कि डिक्रिप्ट एमबीआर कोड कैसा दिखता है, और हम दुर्भावनापूर्ण मॉड्यूल का नाम देखते हैं, जिसे रूटकिट को आगे चलाने के लिए निष्पादित करना होगा:







एन्क्रिप्शन एल्गोरिथ्म काफी सरल है और एक लूप में ROR प्रोसेसर कमांड को कॉल करने के लिए नीचे आता है:







TDL4 शुरू करने की प्रक्रिया, डिजिटल हस्ताक्षर सत्यापन तंत्र की परिधि को ध्यान में रखते हुए:



- बायोस बूट डिस्क के पहले सेक्टर को पढ़ता है और मास्टर बूट रिकॉर्ड MBR कोड पर नियंत्रण स्थानांतरित करता है और इस तरह TDL4 कोड का निष्पादन शुरू होता है

- इसके बाद, कोड को आगे के निष्पादन के लिए डिक्रिप्ट किया जाता है, जिसे रूटड्रक फाइल सिस्टम से ldr16 नामक मॉड्यूल लोड करने के लिए डिज़ाइन किया गया है

- लोडेड lrr16 मॉड्यूल 13h इंटरप्ट को स्वीकार करता है, जो हार्ड डिस्क के साथ काम करने के लिए जिम्मेदार है। इस मॉड्यूल का मुख्य कार्य ऑपरेटिंग सिस्टम (x32 या x64) की थोड़ी गहराई निर्धारित करना है, और इसके आधार पर, ldr32 या ldr64 लोड किया जाता है।

- ldr32 और ldr64 दोनों मॉड्यूल मुख्य TDL4 ड्राइवर को लोड करने के लिए डिज़ाइन किए गए हैं, जो डिजिटल हस्ताक्षर सत्यापन तंत्र को बायपास करने के लिए मानक एपीआई का उपयोग किए बिना किया जाता है।

- सबसे पहले, ड्राइवर कोड को ओएस कर्नेल के पते पर मेमोरी में रखा जाता है। तब इसे अनिर्दिष्ट फ़ंक्शन IoCreateDriver () कहकर OS ड्राइवर के रूप में पंजीकृत किया जाता है। उसके बाद, चालक को लोड माना जा सकता है।



फिर, ऑपरेटिंग सिस्टम बोर्ड पर TDL4 ड्राइवर के साथ लोड करना जारी रखता है, शुरुआत के बाद, दुर्भावनापूर्ण कोड को कुछ प्रक्रियाओं में पेश किया जाता है, और बाद में इसके व्यवहार पर TDL3 के पिछले संस्करण के समान होता है। यह बॉट कॉन्फ़िगरेशन फ़ाइल जैसा दिखता है:







TDL4, अपने पिछले भाइयों की तरह, Win32 / Olmarik मैलवेयर परिवार में गिर गया और हमारे द्वारा Win32 / Olmarik.ADA रूटकिट के रूप में पता लगाया गया है।