नए मिनीड्यूक का विश्लेषण

हाल ही में, हमारे विश्लेषकों ने मिनीड्यूक मालवेयर (कास्परस्की, सिमेंटेक) के एक नए संस्करण की खोज की, जिसे सीवीई-2014-1761 जोखिम के लिए शोषण का उपयोग करके वितरित किया गया था। एमएस वर्ड 2003-2013 के सभी संस्करण इसी भेद्यता से प्रभावित थे जब तक कि संबंधित MS14-017 पैच जारी नहीं किया गया था । मिनीड्यूक एक छोटा बैकडोर (लगभग 20 केबी) है और हमलावरों को एक समझौता प्रणाली तक पूर्ण पहुंच प्राप्त करने की अनुमति देता है। यह बहुत छोटा है क्योंकि यह कोडांतरक का उपयोग करके बनाया गया है। ESET Win32 / SandyEva के रूप में MiniDuke का पता लगाता है।







इस दुर्भावनापूर्ण कार्यक्रम के नए संस्करण में, हमलावरों ने जावास्क्रिप्ट में निष्पादित एक सहायक घटक जोड़ा। यह ट्विटर के माध्यम से रिमोट सी और सी सर्वर के साथ काम करने के लिए डिज़ाइन किया गया है।





अंजीर। बोर्ड पर शोषण CVE-2014-1761 के साथ RTF दस्तावेज़।



उपरोक्त दस्तावेज को प्रस्ताव-कवर-शीट-अंग्रेजी.आर्टफ कहा गया था। नए मिनीड्यूक निष्पादन योग्य संकलित किए जाने के ठीक तीन दिन बाद (8 अप्रैल को पीई हेडर से टाइमस्टैम्प) हमें 8 अप्रैल को मिला। यह निष्पादन योग्य फ़ाइल शोषण द्वारा वितरित की गई है और इसका आकार 24 KB है।



शेल कोड की कार्यक्षमता, जिसे भेद्यता ट्रिगर होने के बाद निष्पादित किया जाता है, काफी सरल और समझ में आता है। अपने कोड को डिक्रिप्ट करने और कर्नेल 32.dll लाइब्रेरी द्वारा निर्यात किए गए कुछ फ़ंक्शन के पते प्राप्त करने के बाद, यह पेलोड फ़ाइल को डिक्रिप्ट करता है और इसे% TEMP% निर्देशिका और "अल" फ़ाइल में रखता है। डिस्क पर डंप की गई यह फ़ाइल एक लाइब्रेरी है, जिसे बाद में स्टैण्डर्ड कर्नेल 32! लोडलॉउंड्सए फंक्शन का उपयोग करके मेमोरी में लोड किया जाएगा।



शेल कोड में एंटी-डिबगिंग मैकेनिज्म होता है और तस्करों द्वारा उपयोग किए जाने वाले इंटरप्ट या ब्रेकप्वाइंट की उपस्थिति के लिए तथाकथित एपीआई के पहले बाइट्स की जांच करता है। यदि कोई विसंगतियां हैं (फ़ंक्शन प्रोलॉग मूल से मेल नहीं खाता है), शेल कोड अपने कोड से मैन्युअल रूप से प्रोलॉग (mov edi, edi; push eb eb; mov ebp, esp) को निष्पादित करके फ़ंक्शन के पहले पांच बाइट्स को छोड़ देता है।





अंजीर। शेल कोड वहां तृतीय-पक्ष कोड पर नियंत्रण स्थानांतरित करने के निर्देशों के लिए फ़ंक्शन प्रोलॉग की जांच करता है। यह देखा जा सकता है कि संशोधनों की उपस्थिति में, प्रोलॉग को सीधे शेल कोड से निष्पादित किया जाता है।



निम्न आरेख भेद्यता के सफल शोषण के मामले में दुर्भावनापूर्ण कोड के निष्पादन प्रवाह को दर्शाता है। जैसा कि हमने ऊपर उल्लेख किया है, मिनीड्यूक पेलोड के इस संस्करण में दो घटक होते हैं, जिसे हम मुख्य मॉड्यूल और ट्विटरज मॉड्यूल कहते हैं।





अंजीर। मालवेयर एक्शन।



जैसे ही दुर्भावनापूर्ण MiniDuke DLL नियंत्रण लेता है, यह rundll32.exe से संबंधित के लिए इसकी प्रक्रिया के संदर्भ की जांच करता है, साथ ही साथ% TEMP% के लिए वर्तमान निर्देशिका। यदि इन शर्तों को पूरा किया जाता है, तो दुर्भावनापूर्ण प्रोग्राम मानता है कि यह पहली बार लॉन्च किया गया था और सिस्टम में इसकी स्थापना की प्रक्रिया शुरू करता है। MiniDuke सिस्टम जानकारी एकत्र करता है और इस जानकारी के आधार पर इसके कॉन्फ़िगरेशन डेटा को एन्क्रिप्ट करता है। इस विधि का उपयोग OSX / फ्लैशबैक में किया गया था और इसे वॉटरमार्किंग (बिटडेफ़ेंडर) नाम दिया गया था। यह इस तथ्य की ओर जाता है कि DLL में संग्रहीत कॉन्फ़िगरेशन डेटा को दूसरे कंप्यूटर पर पुनर्प्राप्त नहीं किया जा सकता है। दुर्भावनापूर्ण कोड द्वारा एकत्र की गई जानकारी, जिसके आधार पर डेटा एन्क्रिप्ट किया जाएगा, पिछले संस्करण से नहीं बदला गया है और निम्न मूल्यों पर आधारित है।

• वॉल्यूम क्रम संख्या ( कर्नेल32 का उपयोग करके ! GetVolumeInformationA )।
• CPU के बारे में जानकारी (cpuid अनुदेश का उपयोग करके)।
• कंप्यूटर का नाम ( kern32! GetComputerNameA )।

जब MiniDuke ने अपने DLL का एन्क्रिप्टेड वर्जन जेनरेट किया है, तो वह इसे "% ALLUSERSPROFILE% \ Application Data" डायरेक्टरी में फाइल में लिखता है। फ़ाइल नाम, एक्सटेंशन की तरह, यहाँ सूचीबद्ध मूल्यों के आधार पर चुना जाता है । रिबूट के बाद अपने अस्तित्व को सुनिश्चित करने के लिए, MiniDuke स्टार्टअप निर्देशिका में एक छिपी हुई .LNK शॉर्टकट फ़ाइल बनाता है, जो मालवेयर के एक घटक को इंगित करता है। शॉर्टकट फ़ाइल का नाम निम्न मानों में से एक का उपयोग करके उत्पन्न होता है।







जैसा कि आप अनुमान लगा सकते हैं, rundll32.exe .LNK के माध्यम से dll निष्पादित करने के लिए उपयोग किया जाएगा। इस स्थिति में, कमांड इस तरह दिखाई देगी:



"C: \ Windows \ system32 \ rundll32.exe% path_to_main_module%, export_fion"

"C: \ Windows \ system32 \ rundll32.exe C: \ DOCUME ~ 1 \ ALLUSE ~ 1 \ APPLIC ~ 1 \ data.cat, IlqUenn"



जब rundll32 मिनीड्यूक डीएलएल निष्पादित करता है, तो इस लाइब्रेरी का कोड पहले से ही एक अलग परिदृश्य में निष्पादित किया जाएगा (यह पहली बार लॉन्च नहीं किया गया है)। अपने डेटा को डिक्रिप्ट करने के लिए, दुर्भावनापूर्ण कोड उस सिस्टम के बारे में जानकारी एकत्र करना शुरू करता है जिसे हमने ऊपर उल्लेख किया था। MiniDuke के पिछले संस्करण के साथ, यह संस्करण सिस्टम में निम्नलिखित चल रही प्रक्रियाओं की जाँच करता है।







यदि सिस्टम में इन प्रक्रियाओं में से एक का पता लगाया जाता है, तो दुर्भावनापूर्ण कोड गलत तरीके से इसके डेटा को डिक्रिप्ट करता है, जिससे दूरस्थ C & C सर्वर के साथ काम करना असंभव हो जाता है। अपने डेटा के सही डिक्रिप्शन और ऊपर की सूची से चलने वाली प्रक्रियाओं की अनुपस्थिति के मामले में, मिनीड्यूक रिमोट सी एंड सी सर्वर के यूआरएल की खोज के लिए @FloydLSchwartz खाते का ट्विटर सेवा पेज प्राप्त करता है। पृष्ठ को खोजने के लिए, "X" टैग का उपयोग करें) "" ("uri!") द्वारा खोजे गए दुर्भावनापूर्ण प्रोग्राम का पिछला संशोधन। यदि कोई टैग पाया जाता है, तो दुर्भावनापूर्ण कोड उस डेटा से URL को हटाता है जो टैग का अनुसरण करता है। @FloydLSchwartz ट्विटर अकाउंट से हमने पाया कि उपरोक्त टैग का उल्लेख किए बिना केवल हमारे पेज पर रीट्वीट है।





अंजीर। एक ट्विटर अकाउंट जिसका उपयोग दुर्भावनापूर्ण प्रोग्राम के C & C सर्वर के बारे में जानकारी प्राप्त करने के लिए किया जाता है।



अगले चरण में, MiniDuke संक्रमित प्रणाली पर निम्नलिखित जानकारी एकत्र करता है:

• कंप्यूटर का नाम और डोमेन;
• www.geoiptool.com के माध्यम से प्राप्त संक्रमित कंप्यूटर के आईपी पते का देश कोड ;
• OS संस्करण जानकारी
• डोमेन नियंत्रक का नाम, उपयोगकर्ता का नाम और समूह जो उसके हैं;
• सिस्टम में स्थापित एवी उत्पादों की सूची;
• इंटरनेट प्रॉक्सी कॉन्फ़िगरेशन;
• मैलवेयर का संस्करण।

यह जानकारी फिर पेलोड के लिए विशेष अनुरोध के साथ C & C सर्वर को भेजी जाती है। अंतिम URL C & C सर्वर के साथ बातचीत करने के लिए उपयोग किया जाता है: " <url_start> /creat..php? <Rnd_param> = <system_info> "।

• url_start - ट्विटर खाते के माध्यम से प्राप्त URL;
• rnd_param - बेतरतीब ढंग से उत्पन्न लोअरकेस वर्ण;
• system_info - सिस्टम की जानकारी, एन्क्रिप्ट किया गया, और फिर base64 के माध्यम से एन्कोड किया गया।

ऐसे URL का एक उदाहरण नीचे दिया गया है।







पेलोड urlmon! URLDownloadToFileA API का उपयोग करके लोड किया गया है और "fdbywu" नामक एक फ़ाइल है।





अंजीर। पेलोड प्राप्त करने का कार्य।



भरी हुई पेलोड एक नकली GIF8 छवि फ़ाइल है। इस फ़ाइल में एन्क्रिप्टेड निष्पादन योग्य कोड है। मिनीड्यूक इस डाउनलोड की गई फ़ाइल को उसी तरह से संसाधित करता है जैसे उसके पिछले संस्करण को। आरएसए -2048 का उपयोग करके डेटा अखंडता की जांच की जाती है, फिर निष्पादन योग्य फ़ाइल का डेटा डिक्रिप्ट किया जाता है और एक अलग फ़ाइल में संग्रहीत किया जाता है। अगला, फ़ाइल निष्पादन के लिए लॉन्च की गई है। जीआईएफ के अंदर निष्पादन योग्य फ़ाइल की अखंडता को सत्यापित करने के लिए, आरएसए -2048 सार्वजनिक कुंजी का उपयोग किया जाता है, जो मैलवेयर के पिछले संस्करण में उपयोग किए जाने के समान है।



इस घटना में कि MiniDuke ट्विटर खाते से C & C सर्वर का पता प्राप्त करने में विफल रहता है, यह वर्तमान तिथि के आधार पर खोजों के लिए एक विशेष उपयोगकर्ता नाम बनाता है। खोज क्वेरी हर सात दिनों में बदलती है और Google खोज में उपयोग किए जाने वाले मैलवेयर के पिछले संस्करणों में बैकअप तंत्र जैसा दिखता है। पायथन में इस डीजीए एल्गोरिथ्म का कार्यान्वयन यहां पाया जा सकता है ।



TwitterJS मॉड्यूल विंडोज सिस्टम फ़ाइल cryptdll.dll की एक कॉपी में एम्बेडेड है। दुर्भावनापूर्ण कोड इस सिस्टम dll में कोड का एक ब्लॉक सम्मिलित करता है, इस कोड को निर्यात किए गए कार्यों में से एक को पुनर्निर्देशित करता है। नीचे दिया गया स्क्रीनशॉट इस लाइब्रेरी के संशोधित संस्करण के लिए निर्यात तालिका दिखाता है।







यह फ़ाइल (cryptdll.dll की एक संशोधित प्रतिलिपि) तो NTUSER.DAT फ़ाइल के लिए NT USERPROFILE% निर्देशिका (सिस्टम फ़ाइल, जो सिस्टम रजिस्ट्री का हिस्सा है) में NTFS डेटा स्ट्रीम (ADS) के रूप में सहेजी गई है। अगला, इस लाइब्रेरी के लिए कॉल डिस्क के लिए एक ओपन कमांड के रूप में पंजीकृत है। इस प्रकार, यह हर बार कहा जाएगा कि उपयोगकर्ता एक्सप्लोरर के माध्यम से एक तार्किक ड्राइव खोलने की कोशिश करता है। सिस्टम में TwitterJS मॉड्यूल (cryptdll.dll) को स्थापित करने के लिए मैलवेयर द्वारा उपयोग init.cmd स्क्रिप्ट फ़ाइल की सामग्री निम्नलिखित है।







एक बार लोड होने के बाद, TwitterJS JScript COM ऑब्जेक्ट के एक इंस्टेंस के निर्माण की शुरुआत करता है और JScript फ़ाइल को ही डिक्रिप्ट करता है, जिसमें मॉड्यूल का तर्क होता है।







इसे लॉन्च करने से पहले, मिनीड्यूक इसे लागू करता है। नीचे दिए गए स्क्रीनशॉट में दो अलग-अलग आक्षेपों का परिणाम दिखाया गया है। हम देख सकते हैं कि चर के अलग-अलग अर्थ हैं। शायद यह विभिन्न जांच प्रणालियों द्वारा जांच करने से रोकने के लिए किया जाता है जो कि JScript प्रविष्टि बिंदु पर कोड को स्कैन करते हैं।





अंजीर। पहले आक्षेप का परिणाम।





अंजीर। दूसरे आक्षेप का परिणाम।



इस स्क्रिप्ट का उद्देश्य C & C को खोजने के लिए Twitter का उपयोग करना और निष्पादन के लिए JScript कोड निकालना है। यह जानकारी के लिए खोज करने के लिए एक ट्विटर उपयोगकर्ता खाता बनाता है। प्रत्येक सात दिनों में बदलने वाली अभिव्यक्ति का उपयोग करके खोज की जाती है। फिर बॉट ट्विटर उपयोगकर्ता प्रोफाइल पर जाता है जो खोज क्वेरी के परिणामस्वरूप प्राप्त किया गया था और ".xhtml" में समाप्त होने वाले ट्वीट की खोज करता है। एक बार ऐसा URL मिल जाने के बाद, बॉट लिंक स्ट्रिंग लेता है और “.xhtml” को “.php” से बदल देता है। कंप्यूटर के बारे में जानकारी HTTP हेडर के स्वीकार पैरामीटर में एम्बेडेड है।







परिणामी पृष्ठ पर पहले लिंक में base64 एन्कोडेड डेटा होना चाहिए। लिंक विशेषता नाम का उपयोग जेओआर को डिक्रिप्ट करने के लिए उपयोग किए जाने वाले एक्सओआर एल्गोरिथ्म की कुंजी के रूप में किया जाता है। अंत में, मिनिड्यूक एक्सट्रैक्टेड स्क्रिप्ट के हैश की गणना करता है और इसकी ट्विटर हैज़ कोड में हैश सिल के साथ तुलना करता है। यदि वे मेल खाते हैं, तो परिणामी स्क्रिप्ट को कॉल करने के लिए eval () का उपयोग करके निष्पादित किया जाता है।







इस घटक में उपयोग किया गया हैश एल्गोरिथ्म SHA-1 के समान है, लेकिन इसके समान नहीं है, क्योंकि आउटपुट में अलग-अलग राख है। हमने यह पता लगाने का निर्णय लिया कि मूल एल्गोरिथ्म में लेखकों ने वास्तव में क्या बदला है। संभावित परिकल्पनाओं में से एक यह था कि एल्गोरिथ्म को इस तरह से संशोधित किया गया था कि संभव टकराव (बग) की अनुमति दे सके। हालांकि, बाह्य रूप से, सब कुछ मूल योजना के समान दिखता है: समान गणितीय चरणों और स्थिरांक का उपयोग किया जाता है। हमने लघु संदेशों के लिए एक अंतर देखा, उदाहरण के लिए, हैश में दूसरा 32-बिट डबल शब्द नियमित SHA-1 द्वारा उत्पन्न से अलग था।



SHA1 ("परीक्षण"): a94a8fe5 ccb19ba6 1c4c0873d391e987982fbd3

TwitterJS_SHA1 ("परीक्षण"): a94a8fe5 dce4f01c 1c4c0873d391e987982fbd3



हमें पता चला कि हैश में दूसरा दोहरा शब्द मूल एल्गोरिथ्म से मेल नहीं खाता है। समस्या चरों के दायरे के दुरुपयोग के कारण होती है। जैसा कि नीचे दिखाया गया है, SHA-1 कोड में, चर f का उपयोग दो बार किया जाता है। लेकिन Z फ़ंक्शन में, इसका उपयोग करने से पहले, वैर कीवर्ड गायब है, जो इसे स्थानीय चर के रूप में घोषित करेगा। यह देखा जा सकता है कि तब फ़ंक्शन Z को वैश्विक चर f के साथ फिर से बुलाया जाता है, जिसे पहले से ही फ़ंक्शन द्वारा प्रारंभ किया गया है।







इस त्रुटि के लिए एक संभावित स्पष्टीकरण यह है कि स्क्रिप्ट को पेलोड में सीधे इंजेक्ट करने से पहले कुछ स्वचालित उपकरण द्वारा चर नाम उत्पन्न किए गए थे। सबसे अधिक संभावना है, स्क्रिप्ट के मूल संस्करण में, इन दो चर के अलग-अलग नाम थे।



हम 2013-2014 के ट्विटर खातों के अनुमानित नामों को उत्पन्न करने में कामयाब रहे। और जांचें कि क्या वे अभी सक्रिय हैं। हमारे शोध के समय, केवल एक खाता @ AA2ADcAOAA सक्रिय था। इस खाते को 21 और 27 अगस्त 2013 के बीच उल्लेखित स्क्रिप्ट द्वारा जनरेट किया गया था और इसमें ट्वीट्स नहीं थे।



इस दुर्भावनापूर्ण कोड के संभावित पीड़ितों का पता लगाने की कोशिश करते हुए, हमने विशेष ट्विटर खातों को पंजीकृत किया और बॉट्स के लिंक के साथ ट्वीट उत्पन्न किए। हम बेल्जियम, फ्रांस और यूके में स्थित चार कंप्यूटरों से कई कनेक्शन प्राप्त करने में सफल रहे। हमने आपको संक्रमित कंप्यूटरों की सूचना देने के लिए इन देशों के CERT त्वरित प्रतिक्रिया केंद्रों से संपर्क किया।



हम Win32 / Exploit.CVE-2014-1761.D के रूप में एक शोषण के साथ एक RTF दस्तावेज़ और Win32 / SandyEva.G के रूप में एक MiniDuke घटक पाते हैं ।