ज़ीउस - स्मार्ट कार्ड के लिए गरज

दूरस्थ बैंकिंग प्रणालियों में धोखाधड़ी पर ग्रुप-आईबी के साथ एक संयुक्त जांच के क्रम में, हमने कई दुर्भावनापूर्ण कार्यक्रमों का अध्ययन किया। इन कार्यक्रमों के नमूने अपराध को सुलझाने की प्रक्रिया में समूह-आईबी के कंप्यूटर फोरेंसिक विशेषज्ञों द्वारा प्राप्त किए गए थे। चित्र बहुत मानक था: पता चला मैलवेयर ज़बोट ट्रोजन निकला, जो, ऐसा लगता है कि पहले से ही ऊपर और नीचे का अध्ययन किया गया है, लेकिन फिर भी, हमने इसे थोड़ा और खोदने का फैसला किया। और मजा शुरू हुआ। अधिक सटीक रूप से, बल्कि एक जिज्ञासु कार्यक्षमता देखी गई, जिसकी चर्चा नीचे की जाएगी।



ज़ीउस का संस्करण जो हमारे हाथ में आया था, एक संक्रमित मशीन पर किए गए विभिन्न वित्तीय लेनदेन के बारे में जानकारी में रुचि रखता है। उदाहरण के लिए, ऑनलाइन क्लाइंट बैंकिंग सिस्टम के साथ गतिविधि के बारे में जानकारी। Zbot लगातार WinAPI फ़ंक्शंस को इंटरसेप्ट करके वेब पेजों की जाँच करता है। यदि एक SSL कनेक्शन उन संसाधनों के साथ स्थापित किया गया है जिनमें ट्रोजन के लिए ब्याज के तार शामिल हैं, तो यह निम्नलिखित क्रियाएं लेता है:



- टेम्पलेट उपयोगकर्ता नाम की उपस्थिति के लिए क्वेरी स्ट्रिंग का विश्लेषण =। * और पासवर्ड =। *

/bsi.dll/?T= टेम्प्लेट की उपस्थिति के लिए क्वेरी स्ट्रिंग का विश्लेषण



इन पैटर्नों का सफल पता लगाने पर, कीबोर्ड और माउस पर दबाए गए कुंजी को ठीक करने की प्रक्रिया शुरू की जाती है, साथ ही स्क्रीन के स्क्रीनशॉट लेने की प्रक्रिया (इसके बाद, जानकारी एक अलग फाइल में दर्ज की जाती है और सर्वर पर भेजी जाती है)।



लेकिन यह सब ज़ीउस के अन्य संशोधनों में देखा गया था। थोड़ी देर बाद सबसे दिलचस्प खुलासा हुआ। जब हमने कंप्यूटर से जुड़े तार्किक उपकरणों को खोजने के लिए जिम्मेदार कार्यात्मक का अध्ययन किया, विशेष रूप से, Zbot कार्यात्मक की खोज की गई थी, जो फ़ाइल A: \ key.dat की खोज करता है । यह फ़ाइल, एक नियम के रूप में, क्लाइंट ऑनलाइन बैंकिंग प्रणाली में अधिकृत लॉगिन के लिए कुंजी होती है और यदि फ़ाइल पाई जाती है, तो इसकी एक प्रति सर्वर पर भेजी जाती है। वैसे, ज़ीउस सर्वर पर बहुत सी चीजें भेजता है:



- कनेक्टेड स्मार्ट कार्ड रीडर की जानकारी, साथ ही सीधे स्मार्ट कार्ड पर जानकारी

- कीबोर्ड और माउस पर कीस्ट्रोक्स को ठीक करने के परिणाम, जानकारी एक अलग फाइल में दर्ज की जाती है और सर्वर पर भेजी जाती है

- कुकीज़

- सिस्टम में मिली किसी भी फाइल की कॉपी



और यहां हम जुड़े स्मार्ट कार्ड की निगरानी से संबंधित कार्यक्षमता में बहुत रुचि रखते थे। एमएस विंडोज ऑपरेटिंग सिस्टम में स्मार्ट कार्ड सपोर्ट सबसिस्टम के आर्किटेक्चर में एक जटिल संरचना होती है, जो मल्टी-लेवल ड्राइवर सिस्टम का सुझाव देती है:





इस कार्यक्षमता का आधार, स्मार्टकार्ड एपीआई स्तर पर काम कर रहा है, संसाधन प्रबंधक के साथ बातचीत कर रहा है, जिसकी मदद से कई पाठकों और स्मार्ट कार्डों पर सीधे नियंत्रण किया जाता है, जो एक ही मशीन पर काम कर रहे हैं। वास्तव में, कनेक्टेड स्मार्ट कार्ड का नियंत्रण और प्रबंधन दो दिशाओं में किया जाता है:



- पाठकों की वर्तमान स्थिति की निरंतर निगरानी और लॉगिंग

- एक हमलावर द्वारा कुछ सक्रिय क्रियाएं



ज़बॉट कनेक्टेड पाठकों पर नज़र रखता है और इन पाठकों के परिवर्तनों को भी लॉग करता है। इस स्थिति में, रिकॉर्ड किए गए डेटा को SCARD_READERSTATE सिस्टम संरचना में संग्रहीत किया जाता है, जिसमें डिवाइस का नाम, वर्तमान सॉफ़्टवेयर और हार्डवेयर स्थिति, साथ ही उपयोग किए गए कार्ड की विशेषताओं के बारे में वर्तमान जानकारी होती है। यह संरचना एक यादृच्छिक ऑफसेट पर प्रक्रिया मेमोरी में संग्रहीत होती है, और फिर संक्रमित कंप्यूटर और हमलावर कंप्यूटर के बीच एक पूर्व-स्थापित नेटवर्क चैनल के माध्यम से भेजा जाता है।

विघटित रूप में, यह इस तरह दिखता है:







एकत्र की गई जानकारी के आधार पर, हमलावर कार्यों के कुछ कार्यक्रम उत्पन्न करता है, जिसे नियंत्रण अनुक्रम के रूप में प्रस्तुत किया जाता है और नेटवर्क चैनल के माध्यम से भेजा जाता है, जैसा कि ऊपर उल्लेख किया गया है। इस नियंत्रण अनुक्रम को संक्रमित मशीन पर संग्रहीत किया जाता है और फिर संसाधित किया जाता है। अनुक्रम को Winscard.dll लाइब्रेरी के निम्नलिखित कार्यों में इसके तत्वों का अनुवाद करके संसाधित किया जाता है:



SCardGetStatusChange

SCardStatus

SCardDisconnect

SCardControl

SCardEstablishContext

SCardListReaders

SCardConnect

SCardBeginTransaction

SCardEndTransaction

SCardTransmit

SCardGetAttrib



या इसे निम्नलिखित चित्र के रूप में दर्शाया जा सकता है:







फ़ंक्शन जो नियंत्रण अनुक्रम को संसाधित करता है बल्कि बोझिल दिखता है, लेकिन, अधिकांश भाग के लिए, यह WinAPI से कॉल करने के लिए उबलता है:







विघटित रूप में कोड का हिस्सा इस प्रकार है:







स्मार्टकार्ड एपीआई स्तर की प्राथमिक क्रियाओं को जोड़कर, एक हमलावर आवश्यक पाठक का चयन कर सकता है और कुछ स्मार्ट कार्ड से जुड़ सकता है, स्मार्ट कार्ड से जानकारी लिख और पढ़ सकता है, और स्मार्ट कार्ड द्वारा प्रदान किए गए विशेष कार्यों का उपयोग कर सकता है: डेटा एन्क्रिप्शन और डिक्रिप्शन, इलेक्ट्रॉनिक-डिजिटल पीढ़ी हस्ताक्षर, एक निश्चित लंबाई के छद्म आयामी संख्याओं के अनुक्रम का निर्माण।



नियंत्रण अनुक्रम को संसाधित करने का परिणाम सहेजा जाता है और नेटवर्क चैनल के माध्यम से हमलावर को उसके कार्यों को समायोजित करने के लिए भेजा जाता है। योजनाबद्ध रूप से, इस बातचीत को इस प्रकार दर्शाया जा सकता है:







इस कार्यक्षमता के कार्यान्वयन की एक महत्वपूर्ण विशेषता यह है कि एक हमलावर से निकलने वाले नियंत्रण अनुक्रम को लगभग हर पाठक के लिए तैयार और अनुकूलित किया जा सकता है। इसलिए, हमलावरों के संपर्क की सीमा काफी बड़ी है: यह डेस्कटॉप पाठकों के लिए, मोबाइल के लिए, पिन कीबोर्ड वाले पाठकों के लिए, बायोमेट्रिक्स के लिए और कई अन्य लोगों के लिए उपयुक्त है।



लेकिन, हमने जो कार्यक्षमता पाई है, उसके बावजूद आज स्मार्ट कार्ड सभी मौजूदा सूचनाओं से महत्वपूर्ण जानकारी संग्रहीत करने का सबसे सुरक्षित तरीका है।