इमोटेट के साथ क्या हो रहा है? | WeLiveSecurity

इमोटेट 2014 से सक्रिय एक मैलवेयर परिवार है, जो माइलबग या टीए542 नामक साइबर अपराध समूह द्वारा संचालित है। हालाँकि इसकी शुरुआत एक बैंकिंग ट्रोजन के रूप में हुई थी, लेकिन बाद में यह एक बॉटनेट में विकसित हुआ जो दुनिया भर में सबसे प्रचलित खतरों में से एक बन गया। इमोटेट स्पैम ईमेल के माध्यम से फैलता है; यह संक्रमित कंप्यूटरों से जानकारी निकाल सकता है और तीसरे पक्ष के मैलवेयर को उन तक पहुंचा सकता है। इमोटेट संचालक अपने लक्ष्यों के बारे में बहुत अधिक नकचढ़े नहीं हैं, वे व्यक्तियों के साथ-साथ कंपनियों और बड़े संगठनों से संबंधित सिस्टम पर अपने मैलवेयर इंस्टॉल करते हैं।

जनवरी 2021 में, इमोटेट एक का लक्ष्य था टेकडाउन यूरोजस्ट और यूरोपोल द्वारा समन्वित आठ देशों के एक अंतरराष्ट्रीय, सहयोगात्मक प्रयास के परिणामस्वरूप। हालाँकि, इस ऑपरेशन के बावजूद, इमोटेट नवंबर 2021 में वापस जीवित हो गया।

चित्र 1. इसकी वापसी के बाद से दिलचस्प इमोटेट घटनाओं की समयरेखा

स्पैम अभियान

2021 के अंत में कई स्पैम अभियानों की वापसी के बाद, 2022 की शुरुआत में ये रुझान जारी रहे और हमने पंजीकरण कराया इमोटेट ऑपरेटरों द्वारा कई स्पैम अभियान शुरू किए गए। इस दौरान इमोटेट मुख्य रूप से एम्बेडेड वीबीए मैक्रोज़ के साथ दुर्भावनापूर्ण माइक्रोसॉफ्ट वर्ड और माइक्रोसॉफ्ट एक्सेल दस्तावेज़ों के माध्यम से फैल रहा था।

जुलाई 2022 में, माइक्रोसॉफ्ट ने इमोटेट और क्यूबॉट जैसे सभी मैलवेयर परिवारों के लिए गेम बदल दिया - जिन्होंने इंटरनेट से प्राप्त दस्तावेजों में वीबीए मैक्रोज़ को अक्षम करके दुर्भावनापूर्ण दस्तावेज़ के साथ फ़िशिंग ईमेल को फैलाने की विधि के रूप में इस्तेमाल किया था। ये बदलाव था की घोषणा Microsoft द्वारा वर्ष की शुरुआत में और मूल रूप से अप्रैल की शुरुआत में तैनात किया गया था, लेकिन उपयोगकर्ता की प्रतिक्रिया के कारण अपडेट को वापस ले लिया गया था। अंतिम रोलआउट जुलाई 2022 के अंत में आया और, जैसा कि चित्र 2 में देखा जा सकता है, अपडेट के परिणामस्वरूप इमोटेट समझौते में महत्वपूर्ण गिरावट आई; हमने 2022 की गर्मियों के दौरान कोई महत्वपूर्ण गतिविधि नहीं देखी।

चित्र 2. इमोटेट का पता लगाने की प्रवृत्ति, सात दिवसीय चलती औसत

इमोटेट के मुख्य आक्रमण वेक्टर को अक्षम करने से इसके ऑपरेटरों को अपने लक्ष्यों से समझौता करने के लिए नए तरीकों की तलाश करनी पड़ी। आटे का बग प्रयोग शुरू कर दिया दुर्भावनापूर्ण एलएनके और एक्सएलएल फ़ाइलों के साथ, लेकिन जब वर्ष 2022 समाप्त हो रहा था, इमोटेट ऑपरेटरों ने एक नया अटैक वेक्टर खोजने के लिए संघर्ष किया जो वीबीए मैक्रोज़ जितना प्रभावी होगा। 2023 में, उन्होंने तीन विशिष्ट मैलस्पैम अभियान चलाए, जिनमें से प्रत्येक ने थोड़ा अलग घुसपैठ एवेन्यू और सोशल इंजीनियरिंग तकनीक का परीक्षण किया। हालाँकि, हमलों का सिकुड़ता आकार और दृष्टिकोण में लगातार बदलाव परिणामों से असंतोष का संकेत दे सकते हैं।

उन तीन अभियानों में से पहला अभियान 8 मार्च के आसपास हुआ^th, 2023, जब इमोटेट बॉटनेट ने एम्बेडेड दुर्भावनापूर्ण वीबीए मैक्रोज़ के साथ इनवॉइस के रूप में छिपाए गए वर्ड दस्तावेजों को वितरित करना शुरू किया। यह काफी अजीब था क्योंकि VBA मैक्रोज़ को Microsoft द्वारा डिफ़ॉल्ट रूप से अक्षम कर दिया गया था, इसलिए पीड़ित एम्बेडेड दुर्भावनापूर्ण कोड नहीं चला सकते थे।

13 मार्च के बीच अपने दूसरे अभियान में^th और 18 मार्च^thऐसा प्रतीत होता है कि हमलावरों ने इन खामियों को स्वीकार कर लिया है, और उत्तर श्रृंखला दृष्टिकोण का उपयोग करने के अलावा, उन्होंने एम्बेडेड VBScripts के साथ VBA मैक्रोज़ से OneNote फ़ाइलों (ONE) पर भी स्विच किया है। यदि पीड़ितों ने फ़ाइल खोली, तो उन्हें एक संरक्षित OneNote पृष्ठ जैसा दिखने वाला स्वागत किया गया, और उनसे सामग्री देखने के लिए व्यू बटन पर क्लिक करने के लिए कहा गया। इस ग्राफ़िक तत्व के पीछे एक छिपा हुआ वीबीस्क्रिप्ट था, जिसे इमोटेट डीएलएल डाउनलोड करने के लिए सेट किया गया था।

OneNote की चेतावनी के बावजूद कि इस कार्रवाई से दुर्भावनापूर्ण सामग्री उत्पन्न हो सकती है, लोग आदतन समान संकेतों पर क्लिक करते हैं और इस प्रकार संभावित रूप से हमलावरों को अपने डिवाइस से समझौता करने की अनुमति दे सकते हैं।

ईएसईटी टेलीमेट्री में देखा गया आखिरी अभियान 20 मार्च को लॉन्च किया गया था^th, संयुक्त राज्य अमेरिका में आगामी आयकर देय तिथि का लाभ उठाते हुए। बॉटनेट द्वारा भेजे गए दुर्भावनापूर्ण ईमेल अमेरिकी कर कार्यालय आंतरिक राजस्व सेवा (आईआरएस) से आने का दिखावा करते थे और इसमें W-9 फॉर्म.ज़िप नामक एक संलग्न संग्रह फ़ाइल होती थी। शामिल ज़िप फ़ाइल में एम्बेडेड दुर्भावनापूर्ण वीबीए मैक्रो वाला एक वर्ड दस्तावेज़ शामिल था जो संभवतः पीड़ित के पास था सक्षम. विशेष रूप से संयुक्त राज्य अमेरिका को लक्षित इस अभियान के अलावा, हमने एम्बेडेड वीबीस्क्रिप्ट्स और वननोट दृष्टिकोण का उपयोग करते हुए एक और अभियान भी देखा जो उसी समय चल रहा था।

जैसा कि चित्र 3 में देखा जा सकता है, ईएसईटी द्वारा पता लगाए गए अधिकांश हमलों का लक्ष्य जापान (43%), इटली (13%) था, हालांकि ये आंकड़े इन क्षेत्रों में मजबूत ईएसईटी उपयोगकर्ता आधार द्वारा पक्षपाती हो सकते हैं। उन शीर्ष दो देशों को हटाने के बाद (शेष विश्व पर ध्यान केंद्रित करने के लिए), चित्र 4 में यह देखा जा सकता है कि शेष विश्व भी प्रभावित हुआ, स्पेन (5%) तीसरे स्थान पर है और उसके बाद मेक्सिको (5) है। %) और दक्षिण अफ़्रीका (4%)।

चित्र 3. इमोटेट का पता लगाना जनवरी 2022 - जून 2023

चित्र 4. इमोटेट डिटेक्शन जनवरी 2022 - जून 2023 (जेपी और आईटी को छोड़कर)

बढ़ी हुई सुरक्षा और अस्पष्टताएँ

इसके पुनः प्रकट होने के बाद, इमोटेट को कई उन्नयन मिले। पहली उल्लेखनीय विशेषता यह है कि बॉटनेट ने अपनी क्रिप्टोग्राफ़िक योजना को बदल दिया। टेकडाउन से पहले, इमोटेट ने आरएसए को अपनी प्राथमिक असममित योजना के रूप में इस्तेमाल किया और फिर से प्रकट होने के बाद, बॉटनेट ने एलिप्टिक वक्र क्रिप्टोग्राफी का उपयोग करना शुरू कर दिया। वर्तमान में प्रत्येक डाउनलोडर मॉड्यूल (जिसे मुख्य मॉड्यूल भी कहा जाता है) दो एम्बेडेड सार्वजनिक कुंजियों के साथ आता है। एक का उपयोग एलिप्टिक कर्व डिफी हेलमैन कुंजी एक्सचेंज प्रोटोकॉल के लिए किया जाता है और दूसरे का उपयोग हस्ताक्षर सत्यापन - डिजिटल हस्ताक्षर एल्गोरिदम के लिए किया जाता है।

इमोटेट मैलवेयर को 64-बिट आर्किटेक्चर में अपडेट करने के अलावा, माइलबग ने अपने मॉड्यूल की सुरक्षा के लिए कई नए ऑबफस्केशन भी लागू किए हैं। पहला उल्लेखनीय अस्पष्टीकरण नियंत्रण प्रवाह को समतल करना है जो विश्लेषण और इमोटेट के मॉड्यूल में कोड के दिलचस्प भागों का पता लगाने को काफी धीमा कर सकता है।

माइलबग ने कई रैंडमाइजेशन तकनीकों को भी लागू किया और उनमें सुधार किया, जिनमें से सबसे उल्लेखनीय हैं संरचना सदस्यों के क्रम का रैंडमाइजेशन और निर्देशों का रैंडमाइजेशन जो स्थिरांक की गणना करते हैं (स्थिरांक छिपे हुए हैं)।

एक और अद्यतन जो ध्यान देने योग्य है वह 2022 की अंतिम तिमाही के दौरान हुआ, जब मॉड्यूल ने टाइमर कतारों का उपयोग करना शुरू किया। उनके साथ, मॉड्यूल के मुख्य कार्य और मॉड्यूल के संचार भाग को कॉलबैक फ़ंक्शन के रूप में सेट किया गया था, जिसे कई थ्रेड्स द्वारा बुलाया जाता है और यह सब नियंत्रण प्रवाह फ़्लैटनिंग के साथ जोड़ा जाता है, जहां राज्य मान जो कोड के किस ब्लॉक को प्रबंधित करता है आह्वान किए जाने को धागों के बीच साझा किया जाता है। यह अस्पष्टता विश्लेषण में एक और बाधा उत्पन्न करती है और निष्पादन प्रवाह का अनुसरण करना और भी कठिन बना देती है।

नए मॉड्यूल

लाभदायक और प्रचलित मैलवेयर बने रहने के लिए, माइलबग ने कई नए मॉड्यूल लागू किए, जो चित्र 5 में पीले रंग में दिखाए गए हैं। उनमें से कुछ को बॉटनेट के लिए एक रक्षात्मक तंत्र के रूप में बनाया गया था, अन्य को मैलवेयर के अधिक कुशल प्रसार के लिए, और अंतिम लेकिन कम से कम, एक मॉड्यूल के रूप में बनाया गया था। जो जानकारी चुराता है जिसका उपयोग पीड़ित के पैसे चुराने के लिए किया जा सकता है।

चित्र 5. इमोटेट का सबसे अधिक उपयोग किया जाने वाला मॉड्यूल। रेड टेकडाउन से पहले अस्तित्व में था; वापसी के बाद पीला दिखाई दिया

थंडरबर्ड ईमेल चुराने वाला और थंडरबर्ड संपर्क चुराने वाला

इमोटेट स्पैम ईमेल के माध्यम से फैलता है और लोग अक्सर उन ईमेल पर भरोसा करते हैं, क्योंकि इमोटेट सफलतापूर्वक ईमेल थ्रेड अपहरण तकनीक का उपयोग करता है। टेकडाउन से पहले, इमोटेट ने मॉड्यूल का उपयोग किया था जिसे हम आउटलुक कॉन्टैक्ट स्टीलर और आउटलुक ईमेल स्टीलर कहते हैं, जो आउटलुक से ईमेल और संपर्क जानकारी चुराने में सक्षम थे। लेकिन क्योंकि हर कोई आउटलुक का उपयोग नहीं करता है, टेकडाउन के बाद इमोटेट ने एक मुफ्त वैकल्पिक ईमेल एप्लिकेशन - थंडरबर्ड पर भी ध्यान केंद्रित किया।

इमोटेट समझौता किए गए कंप्यूटर पर थंडरबर्ड ईमेल स्टीलर मॉड्यूल तैनात कर सकता है, जो (जैसा कि नाम से पता चलता है) ईमेल चुराने में सक्षम है। मॉड्यूल प्राप्त संदेशों (एमबॉक्स प्रारूप में) वाली थंडरबर्ड फ़ाइलों के माध्यम से खोज करता है और प्रेषक, प्राप्तकर्ता, विषय, दिनांक और संदेश की सामग्री सहित कई क्षेत्रों से डेटा चुराता है। फिर सभी चुराई गई जानकारी को आगे की प्रक्रिया के लिए C&C सर्वर पर भेज दिया जाता है।

थंडरबर्ड ईमेल स्टीलर के साथ, इमोटेट एक थंडरबर्ड कॉन्टैक्ट स्टीलर भी तैनात करता है, जो थंडरबर्ड से संपर्क जानकारी चुराने में सक्षम है। यह मॉड्यूल थंडरबर्ड फ़ाइलों के माध्यम से भी खोज करता है, इस बार प्राप्त और भेजे गए दोनों संदेशों की तलाश करता है। अंतर यह है कि यह मॉड्यूल केवल जानकारी निकालता है से:, सेवा मेरे:, सीसी: और प्रतिलिपि: फ़ील्ड्स और एक आंतरिक ग्राफ़ बनाता है कि किसने किसके साथ संचार किया, जहां नोड्स लोग हैं, और यदि दो लोग एक-दूसरे के साथ संचार करते हैं तो उनके बीच बढ़त होती है। अगले चरण में, मॉड्यूल चोरी हुए संपर्कों को ऑर्डर करता है - सबसे अधिक जुड़े हुए लोगों से शुरू होता है - और यह जानकारी C&C सर्वर को भेजता है।

यह सारा प्रयास दो अतिरिक्त मॉड्यूल (जो टेकडाउन से पहले से ही मौजूद थे) द्वारा पूरक है - मेलपासव्यू स्टीलर मॉड्यूल और स्पैमर मॉड्यूल। MailPassView चुराने वाला पासवर्ड पुनर्प्राप्ति के लिए वैध nirSoft टूल का दुरुपयोग करता है और ईमेल एप्लिकेशन से क्रेडेंशियल चुराता है। जब चोरी हुए ईमेल, क्रेडेंशियल और कौन किसके संपर्क में है, इसकी जानकारी संसाधित हो जाती है, तो मेयिलबग दुर्भावनापूर्ण ईमेल बनाता है जो पहले चोरी की गई बातचीत के उत्तर की तरह दिखता है और उन ईमेल को चुराए गए क्रेडेंशियल्स के साथ एक स्पैमर मॉड्यूल में भेजता है जो भेजने के लिए उन क्रेडेंशियल्स का उपयोग करता है एसएमटीपी के माध्यम से पिछले ईमेल वार्तालापों के दुर्भावनापूर्ण उत्तर।

Google Chrome क्रेडिट कार्ड चुराने वाला

जैसा कि नाम से पता चलता है, Google Chrome क्रेडिट कार्ड चुराने वाला Google Chrome ब्राउज़र में संग्रहीत क्रेडिट कार्ड के बारे में जानकारी चुराता है। इसे प्राप्त करने के लिए, मॉड्यूल आमतौर पर स्थित वेब डेटा डेटाबेस फ़ाइल तक पहुंचने के लिए एक स्थिर रूप से लिंक की गई SQLite3 लाइब्रेरी का उपयोग करता है %LOCALAPPDATA%GoogleChromeUser डेटाडिफॉल्टवेब डेटा. मॉड्यूल तालिका पर प्रश्नचिह्न लगाता है क्रेडिट कार्ड एसटी नाम_का_कार्ड, समाप्ति महीना, समाप्ति_वर्ष, तथा कार्ड_नंबर_एन्क्रिप्टेड, जिसमें डिफ़ॉल्ट Google Chrome प्रोफ़ाइल में सहेजे गए क्रेडिट कार्ड के बारे में जानकारी शामिल है। अंतिम चरण में, कार्ड_नंबर_एन्क्रिप्टेड मान को संग्रहीत कुंजी का उपयोग करके डिक्रिप्ट किया जाता है %LOCALAPPDATA%GoogleChromeUser डेटास्थानीय स्थिति फ़ाइल और सारी जानकारी C&C सर्वर को भेज दी जाती है।

Systeminfo और हार्डवेयरइन्फो मॉड्यूल

इमोटेट की वापसी के तुरंत बाद, नवंबर 2021 में एक नया मॉड्यूल जिसे हम Systeminfo कहते हैं, सामने आया। यह मॉड्यूल एक समझौता किए गए सिस्टम के बारे में जानकारी एकत्र करता है और इसे C&C सर्वर को भेजता है। एकत्रित की गई जानकारी में निम्न शामिल हैं:

• का आउटपुट systeminfo आदेश
• का आउटपुट ipconfig / सभी आदेश
• का आउटपुट nltest /dclist: आदेश (अक्टूबर 2022 में हटाया गया)
• प्रक्रिया सूची
• अपटाइम (के माध्यम से प्राप्त किया गया GetTickCount) सेकंड में (अक्टूबर 2022 में हटा दिया गया)

In अक्टूबर 2022 इमोटेट के ऑपरेटरों ने एक और नया मॉड्यूल जारी किया जिसे हम हार्डवेयरइन्फो कहते हैं। भले ही यह किसी समझौता की गई मशीन के हार्डवेयर के बारे में विशेष रूप से जानकारी नहीं चुराता है, यह Systeminfo मॉड्यूल के लिए जानकारी के पूरक स्रोत के रूप में कार्य करता है। यह मॉड्यूल समझौता की गई मशीन से निम्नलिखित डेटा एकत्र करता है:

• कंप्यूटर का नाम
• उपयोगकर्ता नाम
• प्रमुख और लघु संस्करण संख्याओं सहित ओएस संस्करण की जानकारी
• सत्र आईडी
• सीपीयू ब्रांड स्ट्रिंग
• रैम के आकार और उपयोग के बारे में जानकारी

दोनों मॉड्यूल का एक प्राथमिक उद्देश्य है - यह सत्यापित करना कि संचार वैध रूप से समझौता किए गए पीड़ित से आता है या नहीं। इमोटेट, विशेष रूप से अपनी वापसी के बाद, कंप्यूटर सुरक्षा उद्योग और शोधकर्ताओं के बीच वास्तव में एक गर्म विषय था, इसलिए मेयिलबग ने अपनी गतिविधियों की ट्रैकिंग और निगरानी से खुद को बचाने के लिए काफी प्रयास किए। इन दो मॉड्यूल द्वारा एकत्र की गई जानकारी के लिए धन्यवाद, जो न केवल डेटा एकत्र करते हैं, बल्कि एंटी-ट्रैकिंग और एंटी-एनालिसिस ट्रिक्स भी शामिल करते हैं, मैलवेयर शोधकर्ताओं की गतिविधियों या सैंडबॉक्स से वास्तविक पीड़ितों को अलग बताने की माइलबग की क्षमताओं में काफी सुधार हुआ था।

आगे क्या होगा?

ईएसईटी अनुसंधान और टेलीमेट्री के अनुसार, बॉटनेट के दोनों युग अप्रैल 2023 की शुरुआत से शांत हैं। वर्तमान में यह स्पष्ट नहीं है कि क्या यह लेखकों के लिए एक और छुट्टी का समय है, क्या वे नए प्रभावी संक्रमण वेक्टर को खोजने के लिए संघर्ष करते हैं, या यदि कोई नया व्यक्ति बॉटनेट का संचालन कर रहा है।

हालाँकि हम उन अफवाहों की पुष्टि नहीं कर सकते हैं कि बॉटनेट के एक या दोनों एपोच जनवरी 2023 में किसी को बेचे गए थे, हमने एक एपोच पर एक असामान्य गतिविधि देखी। डाउनलोडर मॉड्यूल के नवीनतम अपडेट में एक नई कार्यक्षमता शामिल है, जो मॉड्यूल की आंतरिक स्थितियों को लॉग करती है और एक फ़ाइल में इसके निष्पादन को ट्रैक करती है सी:जेस्मिथलोडर (चित्र 6, चित्र 7)। क्योंकि यह फ़ाइल वास्तव में कुछ लॉग करने के लिए मौजूद होनी चाहिए, यह कार्यक्षमता किसी ऐसे व्यक्ति के लिए डिबगिंग आउटपुट की तरह दिखती है जो पूरी तरह से नहीं समझता है कि मॉड्यूल क्या करता है और यह कैसे काम करता है। इसके अलावा, उस समय बॉटनेट स्पैमर मॉड्यूल भी व्यापक रूप से फैला रहा था, जिन्हें माइलबग के लिए अधिक मूल्यवान माना जाता है क्योंकि ऐतिहासिक रूप से वे इन मॉड्यूल का उपयोग केवल उन मशीनों पर करते थे जिन्हें वे सुरक्षित मानते थे।

चित्र 6. डाउनलोडर मॉड्यूल के व्यवहार की लॉगिंग

चित्र 7. डाउनलोडर मॉड्यूल के व्यवहार की लॉगिंग

बॉटनेट अब शांत क्यों है, इसका जो भी स्पष्टीकरण हो, वह सत्य है, इमोटेट अपनी प्रभावशीलता के लिए जाना जाता है और इसके ऑपरेटरों ने बॉटनेट को फिर से बनाने और बनाए रखने और यहां तक ​​​​कि कुछ सुधार जोड़ने का प्रयास किया है, इसलिए भविष्य में क्या होगा यह देखने के लिए हमारे ब्लॉग पर नज़र रखें हम।

आईओसी

फ़ाइलें

नेटवर्क

MITER ATT&CK तकनीक

यह तालिका का उपयोग करके बनाई गई थी 12 संस्करण MITER ATT&CK उद्यम तकनीकों का।

• एसईओ संचालित सामग्री और पीआर वितरण। आज ही प्रवर्धित हो जाओ।
• प्लेटोडेटा.नेटवर्क वर्टिकल जेनरेटिव एआई। स्वयं को शक्तिवान बनाएं। यहां पहुंचें।
• प्लेटोआईस्ट्रीम। Web3 इंटेलिजेंस। ज्ञान प्रवर्धित। यहां पहुंचें।
• प्लेटोईएसजी. ऑटोमोटिव/ईवीएस, कार्बन, क्लीनटेक, ऊर्जा, पर्यावरण, सौर, कचरा प्रबंधन। यहां पहुंचें।
• BlockOffsets. पर्यावरणीय ऑफसेट स्वामित्व का आधुनिकीकरण। यहां पहुंचें।
• स्रोत: https://www.welivesecurity.com/2023/07/06/whats-up-with-emotet/