👨‍👩‍👧 ℹ️ 🚻 धमकी स्पॉटलाइट: Neshta फ़ाइल वायरस 💿 👩🏼‍✈️ 🧔🏼

सलाम, ख़बरों को! पाठ्यक्रम "रिवर्स इंजीनियरिंग 2.0" की शुरुआत की प्रत्याशा में हम आपके साथ एक और दिलचस्प अनुवाद साझा करना चाहते हैं।

संक्षिप्त समीक्षा

Neshta एक काफी पुराना फ़ाइल वायरस है जो अभी भी व्यापक है। यह मूल रूप से 2003 में खोजा गया था और पहले ब्लैकपोस मैलवेयर से जुड़ा था। यह संक्रमित फ़ाइलों में दुर्भावनापूर्ण कोड जोड़ता है। मूल रूप से, यह खतरा अनजाने डाउनलोड या अन्य दुर्भावनापूर्ण कार्यक्रमों के माध्यम से पर्यावरण में प्रवेश करता है। यह विंडोज़ निष्पादन योग्य फ़ाइलों को संक्रमित करता है और नेटवर्क संसाधनों और हटाने योग्य मीडिया पर हमला कर सकता है।

2018 में, निश्ता ने मुख्य रूप से विनिर्माण पर ध्यान केंद्रित किया, लेकिन वित्तीय, उपभोक्ता और ऊर्जा क्षेत्रों पर भी हमला किया। स्थिरता के कारणों के लिए, Neshta खुद svchost.com का नाम बदल देता है, और फिर रजिस्ट्री को संशोधित करता है ताकि यह हर बार शुरू हो जाए।। Exe फ़ाइल लॉन्च की जाती है। यह ज्ञात है कि यह खतरा सिस्टम की जानकारी एकत्र करता है और हमलावरों द्वारा नियंत्रित सर्वर पर डेटा को घुसपैठ करने के लिए POST अनुरोधों का उपयोग करता है। हमारे विश्लेषण में इस्तेमाल की गई निस्सा बायनेरिज़ ने डेटा बहिष्कार व्यवहार या कार्यक्षमता का प्रदर्शन नहीं किया।

तकनीकी विश्लेषण

इस खंड में Neshta संक्रमण के लक्षणों का वर्णन किया गया है। हमने 2007, 2008 और 2019 में VirusTotal पर अपलोड किए गए वायरस के नमूने लिए।

हमने निम्नलिखित SHA-256 हैशिंग फ़ाइलों के साथ फ़ाइलों का विश्लेषण किया:

29fd307edb4cfa4400a586d38116a90ce91233a3fc277de1cab7890e681c409a
980bac6c9afe8efc9c6fe459a5f77213b0d8524eb00de82437288eb96138b9a2
539452719c057f59238e123c80a0a10a0b577c4d8af7a5447903955e6cf7aa3d
a4d0865565180988c3d9dbf5ce35b7c17bac6458ef234cfed82b4664116851f2
46200c11811058e6d1173a2279213d0b7ccde611590e427b3b28c0f684192d00
c965f9503353ecd6971466d32c1ad2083a5475ce64aadc0b99ac13e2d2c31b75

स्टेटिक फाइल विश्लेषण

नेशटा कोड बोरलैंड डेल्फी 4.0 के साथ संकलित। फ़ाइल का आकार आमतौर पर 41,472 बाइट्स है।

किसी भी डेल्फी बाइनरी की तरह, Neshta में चार लिखने योग्य (DATA, BSS, .idata और .tls) और तीन साझा खंड (.rdata, .reloc और .rsrc):

चित्र 1. अनुभाग हेडर की विशेषताएं हैं ।

इसके अलावा, Neshta कोड दिलचस्प लाइनें दिखाता है - नीचे चित्र 2 देखें:

“डेल्फी-सबसे अच्छा। बाकी सभी को F ***। Neshta 1.0 बेलारूस में बनाया गया था। हम ~ ~ त्सिकावी ~ बेलारूस_किम डज़ियाचट्टम के प्रयासों को दोहरा रहे हैं। Alyaksandr Rygoravich, आप एक करामाता हैं :) वोसेन-केप्स्की दंपति ... अलीवारा - बीयर बनाते हैं! सादर 2 टॉमी सलो। [नवंबर -2005] तुम्हारा [द्विजदुल्ला आपनस] ’’
(“डेल्फी सबसे अच्छा है। जाने के लिए ***। निश्चेता १.० बेलारूस में बनी। सभी ~ रोचक ~ बेलारूसी लड़कियों को नमस्कार। एल्यस्कैंडर ग्रिगोरीविच, आप भी :) शरद एक बुरा युगल है… एलिवेरिया सबसे अच्छी बीयर है! टॉमी सैलो के लिए शुभकामनाएं। [नवंबर २००५] आपका [दादाजी आपनस]) "

चित्र 2: वायरस के शरीर में दिलचस्प रेखाएँ

फ़ाइल संक्रमण

Neshta की मुख्य विशेषता एक फ़ाइल घुसपैठिया है जो स्थानीय ड्राइव पर .exe फ़ाइलों की खोज करती है। Neshta ".exe" फ़ाइलों को लक्षित करता है, केवल उन लोगों को छोड़कर, जिनके शॉर्टकट में निम्न में से कोई भी रेखाएँ शामिल हैं:

% Temp%
% SystemRoot% (आमतौर पर C: \ Windows)
\ PROGRA ~ 1 \

संक्रमण की प्रक्रिया का सारांश नीचे और चित्रा 3. में वर्णन किया गया

Neshta:

लक्ष्य स्रोत फ़ाइल की शुरुआत से 41,472 (0xA200) बाइट्स पढ़ता है।
स्रोत फ़ाइल के आरंभ और अंत में PAGE_READWRITE विशेषता के साथ दो विभाजन बनाता है और मेमोरी आवंटित करता है।
स्रोत फ़ाइल की शुरुआत में अपने दुर्भावनापूर्ण शीर्ष लेख और कोड डालता है। रिकॉर्ड किया गया डेटा 41,472 बाइट्स है।
एन्कोडेड सोर्स हेडर और कोड को एक फाइल में लिखता है जो आकार में 41.472 बाइट्स है।

ये क्रियाएं आपको संक्रमित फ़ाइल लॉन्च करने के तुरंत बाद दुर्भावनापूर्ण कोड चलाने की अनुमति देती हैं:

चित्र 3: फ़ाइल संक्रमण

जब संक्रमित फ़ाइल लॉन्च की जाती है, तो स्रोत प्रोग्राम को %Temp%\3582-490\<filename>WinExec API का उपयोग करके रखा और लॉन्च किया जाता है।

स्थिरता

Neshta अपने आप C:\Windows\svchost.comको निम्न मापदंडों का उपयोग करके रजिस्ट्री में स्थापित करता है:

रजिस्ट्री कुंजी: HKLM \ SOFTWARE \ Classes \ exefile \ shell \ open \ कमांड
रजिस्ट्री मान: (डिफ़ॉल्ट)
मान: %SystemRoot%\svchost.com "%1" %*
यह रजिस्ट्री परिवर्तन सिस्टम को हर बार शुरू करने के लिए बताता है। exe चलाया जाता है। फ़ाइल। "% 1"% * रनिंग .exe फ़ाइल इंगित करता है। इसके अलावा, Neshta एक अन्य कामकाजी उदाहरण के अस्तित्व की जांच के लिए एक नामित म्यूटेक्स बनाता है:

MutexPolesskayaGlush*.*<0x90>svchost.com<0x90>exefile\shell\open\command‹À "%1" %*œ‘@

एक और इंजेक्शन फ़ाइल "directx.sys" है, जो% SystemRoot% को भेजी जाती है। यह एक पाठ फ़ाइल है (कर्नेल चालक नहीं) जिसमें चलाने के लिए अंतिम संक्रमित फ़ाइल का पथ है। हर बार किसी संक्रमित फ़ाइल को निष्पादित करने के बाद इसे अपडेट किया जाता है।

ब्लैकबेरी साइलेन्स Neshta बंद कर देता है

BlackBerry Cylance लाखों सुरक्षित और असुरक्षित फ़ाइलों पर खतरों का पता लगाने के लिए प्रशिक्षित AI- आधारित एजेंटों का उपयोग करता है। हमारे स्वचालित सुरक्षा एजेंट विशिष्ट फ़ाइल हस्ताक्षर पर निर्भर होने के बजाय, फ़ाइल विशेषताओं और दुर्भावनापूर्ण व्यवहार के आधार पर Neshta को ब्लॉक करते हैं। ब्लैकबेरी साइलेन्स, जो शून्य-दिन के खतरों पर एक भविष्य कहनेवाला लाभ प्रदान करता है , नए और ज्ञात साइबर हमलों के खिलाफ प्रशिक्षित और प्रभावी है। अधिक जानकारी के लिए, https://www.cylance.com पर जाएं ।

आवेदन

समझौता संकेतक (आईओसी)

हैश

29fd307edb4cfa4400a586d38116a90ce91233a3fc277de1cab7890e681c409a ओ
ओ 980bac6c9afe8efc9c6fe459a5f77213b0d8524eb00de82437288eb96138b9a2
ओ 539452719c057f59238e123c80a0a10a0b577c4d8af7a5447903955e6cf7aa3d
ओ a4d0865565180988c3d9dbf5ce35b7c17bac6458ef234cfed82b4664116851f2
ओ 46200c11811058e6d1173a2279213d0b7ccde611590e427b3b28c0f684192d00
ओ c965f9503353ecd6971466d32c1ad2083a5475ce64aadc0b99ac13e2d2c31b75

फ़ाइल नाम

o% SystemRoot% \ svchost.com
o% SystemRoot% \ directx.sys
o% Temp% \ tmp5023.tmp

C2s / आईपी
mutexes

o MutexPolesskayaGlush *। * <0x90> svchost.com <0x90> exefile \ shell \ open \ कमांड À "% 1"% "œ '@ @

दिलचस्प लाइनें

ओ डेल्फी-सबसे अच्छा। बाकी सब से एफ ** k। Neshta 1.0 बेलारूस में बनाया गया था। हम ~ त्सिकव ~ बेलारूस_किम जियाचट्टम पकड़े हुए हैं। Alyaksandr Rygoravich, आप एक करामाता हैं :) वोसेन-केप्स्की दंपति ... अलीवारा - बीयर बनाते हैं! सादर 2 टॉमी सलो। [नवम्बर -२०००] तुम्हारा [द्विजदुल अपान]

SHA256	29fd307edb4cfa4400a586d38116a90ce91233a3fc277de1cab7890e681c409a
एक प्रकार	pe32 निष्पादन योग्य (गुजरात) इंटेल 80386, एमएस विंडोज़ के लिए
आकार	41472
टाइमस्टैम्प	1992: 06: 20 07: 22: 17 + 09: 00
ITW	svchost [।] com

पाठ्यक्रम के बारे में अधिक जानें।

धमकी स्पॉटलाइट: Neshta फ़ाइल वायरस