🏴 🛌🏾 👰🏽 और फिर से Qbot - बैंकिंग ट्रोजन का एक नया तनाव 🎅 👩🏿‍🤝‍👩🏻 ⁉️

हमने खोजा और उलट-पुलट कर एक और नया कबाट बनाया - कॉबट - कॉम्प्लेक्स, व्यापक रूप से ज्ञात मैलवेयर जो डेटा एकत्र करता है जो आपको वित्तीय धोखाधड़ी करने की अनुमति देता है। यहाँ डेटा के कुछ उदाहरण दिए गए हैं जो Qbot एकत्रित करता है: ब्राउज़र कुकीज़, प्रमाणपत्र जानकारी, कीस्ट्रोक, लॉगिन-पासवर्ड जोड़े और अन्य क्रेडेंशियल्स, साथ ही साथ वेब अनुप्रयोगों में खुले सत्रों से डेटा।

Varonis सुरक्षा अनुसंधान टीम ने 2019 में Qbot संक्रमण के कई मामलों का जवाब दिया, मुख्य रूप से संयुक्त राज्य अमेरिका में। ऐसा लगता है कि Qbot डेवलपर्स निष्क्रिय नहीं थे: उन्होंने नई कार्यक्षमता के साथ नए उपभेदों का निर्माण किया, साथ ही साथ सूचना सुरक्षा के लिए जिम्मेदार टीमों द्वारा पहचान को रोकने की क्षमता में सुधार किया।

हमने Qbot के पहले के तनाव का वर्णन किया और इसके TTP (रणनीति, तकनीक और प्रक्रियाओं) पर चर्चा की। नया स्ट्रेन पिछले एक से दो मुख्य विवरणों में भिन्न होता है:

एक डोमेन उपयोगकर्ता के पासवर्ड का अनुमान लगाने की कोशिश करने के बजाय, यह स्ट्रेन उपलब्ध नेटवर्क फोल्डर का नक्शा बनाने के लिए पहले से ही समझौता किए गए उपयोगकर्ता का उपयोग करता है;
HTTP POST अनुरोधों का उपयोग करने के बजाय यह पीड़ित डेटा को FTP सर्वर पर भेजता है।

खोज

हमारे ग्राहकों में से एक ने वरोनिस साइबरसिटी प्लेटफॉर्म से एक अधिसूचना के बाद मदद मांगी कि उपयोगकर्ता खाता असामान्य रूप से व्यवहार करता है और एक असामान्य संख्या में नेटवर्क नोड तक पहुंच प्रदान करता है। फिर ग्राहक ने उस डिवाइस पर एंटी-वायरस समाधान के लॉग पर ध्यान आकर्षित किया, जहां से यह पहुंच बनाई गई थी, और उसी समय दिखाई देने वाली संक्रमित फ़ाइल के बारे में असंवैधानिक सूचनाओं को देखा।

कच्ची फाइलें उपयोगकर्ता प्रोफ़ाइल के अस्थायी फ़ोल्डर में थीं और उनके पास एक्सटेंशन .vbs और .zip थे ।

Varonis फोरेंसिक टीम ने उपयोगकर्ता को संक्रमित फ़ाइलों के नमूनों को पुनः प्राप्त करने में मदद की, और सुरक्षा अनुसंधान टीम ने विश्लेषण किया और पाया कि यह Qbot की एक नई भिन्नता थी ।

वह कैसे काम करता है

हमने अपनी प्रयोगशाला में संक्रमित फ़ाइल लॉन्च की और समान संकेतक पाए कि यह उन लोगों के साथ दुर्भावनापूर्ण था जो हमारे पिछले अध्ययन में थे - "explorer.exe" प्रक्रिया का कार्यान्वयन, उसी URL से कनेक्शन, रजिस्ट्री में निरंतर उपस्थिति सुनिश्चित करने के लिए समान तंत्र और डिस्क पर, और "calc.exe" के साथ फ़ाइल की समान प्रतिस्थापन प्रतिलिपि।
इस स्ट्रेन में एक एन्क्रिप्टेड कॉन्फ़िगरेशन फ़ाइल थी, जिसमें गलत एक्सटेंशन ".dll" था। Explorer.exe प्रक्रिया के एक गतिशील विश्लेषण का उपयोग करते हुए, हमने पाया कि एन्क्रिप्टेड RC4 कॉन्फ़िगरेशन फ़ाइल को डिक्रिप्ट करने की कुंजी है अनूठी स्ट्रिंग का SHA1 हैश, जो प्रत्येक डिवाइस के लिए मैलवेयर बनाता है (हम जानते हैं कि यह एक यादृच्छिक चरित्र सेट नहीं है, जैसा कि पिछले Qbot भिन्नता ने बनाया था। एक ही डिवाइस के लिए एक ही लाइन)।

हम अपने डिवाइस के लिए डिकोड किए गए कॉन्फ़िगरेशन डेटा

इस प्रकार हैं : इस कॉन्फ़िगरेशन में निम्न डेटा शामिल हैं:

स्थापना का समय;
C2 से अंतिम कॉल का समय;
पीड़ित का बाहरी आईपी;
पीड़ित द्वारा घिरे नेटवर्क फ़ोल्डरों की सूची।

चरण I: बूटलोडर

फ़ाइल नाम: JVC_82633.vbs
SHA1: f38ed9fec9fe4e6451645724852aa2da9fce1be9
पिछले संस्करण की तरह, Qbot की इस भिन्नता ने मुख्य दुर्भावनापूर्ण मॉड्यूल को डाउनलोड करने के लिए VBS फ़ाइल का उपयोग किया।

द्वितीय चरण: सिस्टम में एक निरंतर उपस्थिति और प्रक्रियाओं में कार्यान्वयन सुनिश्चित करना

पिछले नमूने की तरह, बूटलोडर मैलवेयर के कर्नेल मॉड्यूल को लॉन्च करता है और ओएस में उनकी उपस्थिति की स्थिरता सुनिश्चित करता है। यह संस्करण अपने आप में
% Appdata% \ Roaming \ Microsoft \ {आर्बिटवर्ल्ड लाइन} के बजाय% Appdata% \ Roaming \ {आर्बिटवर्ल्ड लाइन} की प्रतिलिपि बनाता है , लेकिन रजिस्ट्री कुंजियों और अनुसूचित कार्यों के मान समान बने रहे।

मुख्य पेलोड उपयोगकर्ता की ओर से चलने वाली सभी सक्रिय प्रक्रियाओं में अंतर्निहित है।

चरण III: डेटा चोरी - हैकर सर्वर के लिए पथ

सिस्टम में उपस्थिति सुनिश्चित करने के बाद, मैलवेयर URI content.bigflimz.com का उपयोग करके अपने C2 सर्वर से कनेक्ट करने का प्रयास करता है। यह संस्करण उस डेटा को एकत्र करता है जो पीड़ित के कंप्यूटर से उसके उद्देश्यों के लिए महत्वपूर्ण है और इसे हार्ड-कोडित लॉगिन और पासवर्ड सेटिंग्स का उपयोग करके एफ़टीपी के माध्यम से भेजता है।

इस सर्वर में निम्न नामकरण सिद्धांत के साथ, पीड़ितों से एकत्रित डेटा एन्क्रिप्ट किया गया था: "आर्टिक 1e- * 6 अक्षर और उनके बाद एक और 6 अंक * - * पॉस-टाइम *। ज़िप"।

हमने निर्दिष्ट एफ़टीपी सर्वर को खोला और इस फ़ोल्डर को निम्नलिखित सामग्रियों के साथ पाया:

हम अभी तक ज़िप फ़ाइलों को डिक्रिप्ट करने में सक्षम नहीं हुए हैं कि क्या डेटा चोरी हो गया है।

वसूली और वसूली

चूँकि हमें केवल एक संक्रमित उपकरण मिला, हमारी सिफारिशें थीं:

, , ;
, , IP-, ;
Varonis, .

और फिर से Qbot - बैंकिंग ट्रोजन का एक नया तनाव

खोज

वह कैसे काम करता है

चरण I: बूटलोडर

द्वितीय चरण: सिस्टम में एक निरंतर उपस्थिति और प्रक्रियाओं में कार्यान्वयन सुनिश्चित करना

चरण III: डेटा चोरी - हैकर सर्वर के लिए पथ

वसूली और वसूली

More articles: