سست ٹک ٹکنگ ٹائم بم: مشرقی ایشیا میں ڈی ایل پی سافٹ ویئر ڈویلپر کا ٹک اے پی ٹی گروپ سمجھوتہ

ای ایس ای ٹی کے محققین نے ایک مہم دریافت کی جسے ہم بڑے اعتماد کے ساتھ اے پی ٹی گروپ ٹک سے منسوب کرتے ہیں۔ یہ واقعہ ایک مشرقی ایشیائی کمپنی کے نیٹ ورک میں پیش آیا جو ڈیٹا نقصان سے بچاؤ (DLP) سافٹ ویئر تیار کرتی ہے۔

حملہ آوروں نے سافٹ ویئر ڈویلپر کے نیٹ ورک کے اندر میلویئر فراہم کرنے کے لیے DLP کمپنی کے اندرونی اپ ڈیٹ سرورز سے سمجھوتہ کیا، اور کمپنی کے ذریعے استعمال کیے جانے والے جائز ٹولز کے ٹروجنائزڈ انسٹالرز، جس کے نتیجے میں کمپنی کے صارفین کے کمپیوٹرز پر میلویئر کا نفاذ ہوا۔

اس بلاگ پوسٹ میں، ہم سمجھوتہ کرنے والی کمپنی اور اس کے صارفین کے نیٹ ورکس میں پائے جانے والے میلویئر کے بارے میں تکنیکی تفصیلات فراہم کرتے ہیں۔ دراندازی کے دوران، حملہ آوروں نے شیڈو پی نامی ایک غیر دستاویزی ڈاؤنلوڈر کو تعینات کیا، اور انہوں نے نیٹ بوائے پچھلے دروازے (عرف حملہ آور) اور گھوسٹ ڈاؤن ڈاؤنلوڈر۔

ٹک کے پروفائل، اور سمجھوتہ کرنے والی کمپنی کے اعلیٰ قدر والے کسٹمر پورٹ فولیو کی بنیاد پر، حملے کا مقصد غالباً سائبر جاسوسی تھا۔ ڈیٹا کے نقصان سے بچاؤ کی کمپنی کے ساتھ ابتدائی طور پر کس طرح سمجھوتہ کیا گیا یہ معلوم نہیں ہے۔

جائزہ پر نشان لگائیں۔

ٹک (BronZE BUTLER یا REDBALDKNIGHT کے نام سے بھی جانا جاتا ہے) ایک APT گروپ ہے، کم از کم 2006 سے فعال ہونے کا شبہ ہے۔، بنیادی طور پر اے پی اے سی خطے کے ممالک کو نشانہ بنانا۔ یہ گروپ اپنی سائبر جاسوسی کی کارروائیوں کے لیے دلچسپی رکھتا ہے، جو خفیہ معلومات اور دانشورانہ املاک کی چوری پر توجہ مرکوز کرتا ہے۔

ٹک ایک خصوصی کسٹم میلویئر ٹول سیٹ کو استعمال کرتا ہے جو سمجھوتہ شدہ مشینوں تک مسلسل رسائی، جاسوسی، ڈیٹا کو نکالنے، اور ٹولز کو ڈاؤن لوڈ کرنے کے لیے ڈیزائن کیا گیا ہے۔ ٹک کی سرگرمی کے بارے میں ہماری تازہ ترین رپورٹ نے اسے پایا ProxyLogon کمزوری کا استحصال کرنا جنوبی کوریا کی آئی ٹی کمپنی سے سمجھوتہ کرنے کے لیے، کیونکہ اس ریموٹ کوڈ پر عمل درآمد تک رسائی رکھنے والے گروپوں میں سے ایک اس خطرے کو عوامی طور پر ظاہر کرنے سے پہلے استحصال کرتا ہے۔ ایک صفر دن کے دوران، گروپ نے ویب سرور پر بیک ڈور کو تعینات کرنے کے لیے ویب شیل انسٹال کرنے کے لیے استحصال کا استعمال کیا۔

حملے کا جائزہ

مارچ 2021 میں، نامعلوم ذرائع سے حملہ آوروں نے مشرقی ایشیائی سافٹ ویئر ڈویلپر کمپنی کے نیٹ ورک تک رسائی حاصل کی۔

حملہ آوروں نے مستقل میلویئر تعینات کیا اور ایک جائز ایپلیکیشن کے انسٹالرز کو تبدیل کر دیا Q-Dir ٹروجنائزڈ کاپیوں کے ساتھ جو، جب عمل میں آیا، ایک اوپن سورس VBScript بیک ڈور کو گرا دیا ReVBShell، نیز جائز Q-Dir درخواست کی ایک کاپی۔ اس کی وجہ سے سمجھوتہ کرنے والی کمپنی کے دو صارفین کے نیٹ ورکس میں بدنیتی پر مبنی کوڈ کا نفاذ ہوا جب ٹروجنائزڈ انسٹالرز کو ریموٹ سپورٹ سافٹ ویئر کے ذریعے منتقل کیا گیا - ہمارا مفروضہ یہ ہے کہ ایسا اس وقت ہوا جب DLP کمپنی نے اپنے صارفین کو تکنیکی مدد فراہم کی۔

حملہ آوروں نے اپ ڈیٹ سرورز سے بھی سمجھوتہ کیا، جس نے DLP کمپنی کے نیٹ ورک کے اندر موجود مشینوں کو دو مواقع پر نقصان دہ اپ ڈیٹس پہنچائے۔ ESET ٹیلی میٹری کا استعمال کرتے ہوئے، ہمیں DLP کمپنی کے نیٹ ورک سے باہر نقصان دہ اپ ڈیٹس کے کسی دوسرے کیس کا پتہ نہیں چلا۔

DLP کمپنی کے کسٹمر پورٹ فولیو میں حکومت اور فوجی ادارے شامل ہیں، جس سے سمجھوتہ کرنے والی کمپنی APT گروپ جیسے کہ ٹک کے لیے خاص طور پر پرکشش ہدف بنتی ہے۔

ٹائم لائن

ESET ٹیلی میٹری کے مطابق، مارچ 2021 میں حملہ آوروں نے سافٹ ویئر ڈویلپر کمپنی کی کئی مشینوں میں مالویئر تعینات کیا۔ میلویئر میں نیٹ بوائے اور گھوسٹ ڈاون فیملیز کی مختلف قسمیں اور شیڈو پی نامی پہلے سے غیر دستاویزی ڈاؤنلوڈر شامل تھے۔

اپریل میں، حملہ آوروں نے سمجھوتہ کرنے والی کمپنی کے نیٹ ورک میں Q-dir انسٹالرز کی ٹروجنائزڈ کاپیاں متعارف کرانا شروع کیں۔

جون اور ستمبر 2021 میں، سمجھوتہ کرنے والی کمپنی کے نیٹ ورک میں، کمپوننٹ جو سمجھوتہ کرنے والی کمپنی کے تیار کردہ سافٹ ویئر کے لیے اپ ڈیٹ کرتا ہے، نے ایک پیکیج ڈاؤن لوڈ کیا جس میں ایک بدنیتی پر مبنی عمل تھا۔

فروری اور جون 2022 میں، ٹروجنائزڈ Q-dir انسٹالرز کو سمجھوتہ کرنے والی کمپنی کے صارفین کو ریموٹ سپورٹ ٹولز کے ذریعے منتقل کیا گیا۔

تصویر 1. حملے اور متعلقہ واقعات کی ٹائم لائن۔

سمجھوتہ شدہ اپ ڈیٹ سرورز

پہلا واقعہ جہاں میلویئر پر مشتمل ایک اپ ڈیٹ رجسٹرڈ کیا گیا وہ جون میں تھا، اور پھر ستمبر 2021 میں۔

اپ ڈیٹ زپ آرکائیو کی شکل میں آیا جس میں ایک بدنیتی پر مبنی ایگزیکیوٹیبل فائل تھی۔ یہ سمجھوتہ کرنے والی کمپنی کے تیار کردہ سافٹ ویئر سے ایک جائز اپ ڈیٹ ایجنٹ کے ذریعہ تعینات اور عمل میں لایا گیا تھا۔ سمجھوتہ کا سلسلہ تصویر 2 میں دکھایا گیا ہے۔

شکل 2. سمجھوتہ کے سلسلے کی مثال

پہلا پتہ چلا کیس جون 2021 میں پیش آیا، اور اپ ڈیٹ کو اندرونی سرور سے ڈاؤن لوڈ کیا گیا اور تعینات کیا گیا۔ دوسرا کیس ستمبر 2021 میں عوامی سامنا کرنے والے سرور سے پیش آیا۔

بدنیتی پر مبنی عملدرآمد HTTP GET کی درخواست کو جاری کرتا ہے۔ http://103.127.124[.]117/index.html ایمبیڈڈ پے لوڈ کو ڈکرپٹ کرنے کی کلید حاصل کرنے کے لیے، جو RC6 الگورتھم کے ساتھ انکرپٹ کیا گیا ہے۔ پے لوڈ کو گرا دیا جاتا ہے۔ ٪ ٹیمپ٪ بے ترتیب نام اور a کے ساتھ ڈائریکٹری .vbe توسیع، اور پھر عملدرآمد کیا جاتا ہے.

اگرچہ ہم نے پتہ لگانے (VBS/Agent.DL) کی بنیاد پر سمجھوتہ کرنے والی مشین سے گرا ہوا نمونہ حاصل نہیں کیا ہے، لیکن ہمیں زیادہ اعتماد ہے کہ پتہ چلا اسکرپٹ اوپن سورس بیک ڈور تھا۔ ReVBShell.

ESET ٹیلی میٹری کا استعمال کرتے ہوئے، ہم نے DLP کمپنی کے کسی ایسے صارف کی شناخت نہیں کی جس کو اس کمپنی کے تیار کردہ سافٹ ویئر کے ذریعے کوئی نقصان دہ فائلیں موصول ہوئی ہوں۔ ہمارا مفروضہ یہ ہے کہ حملہ آوروں نے نیٹ ورک پر دیر سے منتقل ہونے کے لیے اپ ڈیٹ سرورز سے سمجھوتہ کیا، نہ کہ بیرونی صارفین کے خلاف سپلائی چین حملہ کرنے کے لیے۔

ٹروجنائزڈ Q-Dir انسٹالرز

Q-Dir سافٹ ویئر او کے کے ذریعہ تیار کردہ ایک جائز ایپلی کیشن ہے جو اپنے صارف کو ایک ہی ونڈو میں ایک ہی وقت میں چار فولڈرز کو نیویگیٹ کرنے کی اجازت دیتی ہے، جیسا کہ شکل 3 میں دکھایا گیا ہے۔ ہمارا ماننا ہے کہ جائز ایپلیکیشن ایک ٹول کٹ کا حصہ ہے جو سمجھوتہ کرنے والے ملازمین کے ذریعہ استعمال کیا جاتا ہے۔ کمپنی، اس بنیاد پر کہ نیٹ ورک کے اندر پتہ لگانے کا آغاز کہاں سے ہوا۔

شکل 3. Q-Dir ایپلیکیشن کا اسکرین شاٹ

ای ایس ای ٹی ٹیلی میٹری کے مطابق، اپریل 2021 میں، بدنیتی پر مبنی اپ ڈیٹس کا پتہ لگانے سے دو ماہ قبل، حملہ آوروں نے کمپرومائزڈ کمپنی کے نیٹ ورک میں ایپلی کیشن کے 32- اور 64-بٹ ٹروجنائزڈ انسٹالرز کو متعارف کرانا شروع کیا۔

ہمیں فروری اور جون 2022 میں دو کیسز ملے، جہاں ٹروجنائزڈ انسٹالرز کو ریموٹ سپورٹ ٹولز helpU اور ANYSUPPORT کے ذریعے مشرقی ایشیا میں واقع دو کمپنیوں کے کمپیوٹرز میں منتقل کیا گیا، ایک انجینئرنگ عمودی میں، اور دوسری مینوفیکچرنگ انڈسٹری۔

ان کمپیوٹرز پر سمجھوتہ کرنے والی کمپنی کا سافٹ ویئر انسٹال تھا، اور trojanized Q-dir انسٹالر کو صارفین کی طرف سے سپورٹ سافٹ ویئر انسٹال کرنے کے چند منٹ بعد موصول ہوا تھا۔

ہمارا مفروضہ یہ ہے کہ سمجھوتہ کرنے والی DLP کمپنی کے صارفین اس کمپنی سے تکنیکی مدد حاصل کر رہے تھے، ان میں سے ایک ریموٹ سپورٹ ایپلی کیشنز کے ذریعے اور نقصان دہ انسٹالر کو غیر دانستہ طور پر DLP کمپنی کے صارفین کی خدمت کے لیے استعمال کیا گیا تھا۔ اس بات کا امکان نہیں ہے کہ حملہ آوروں نے خود ٹروجنائزڈ انسٹالرز کو منتقل کرنے کے لیے سپورٹ ٹولز انسٹال کیے ہوں۔

32 بٹ انسٹالر

انسٹالر کو ٹروجنائز کرنے کے لیے استعمال کی جانے والی تکنیک میں سیکشن ہیڈرز ٹیبل کے آخر میں شیل کوڈ کو ایک گہا میں انجیکشن لگانا شامل ہے - ایپلیکیشن کو استعمال کرتے ہوئے مرتب کیا گیا تھا۔ 0x1000 لیے فائل الائنمنٹ اور سیکشن الائنمنٹکے ایک گہا میں چھوڑ کر 0xD18۔ بائٹس - نقصان دہ، پوزیشن سے آزاد شیل کوڈ کو ایڈجسٹ کرنے کے لیے کافی بڑا۔ ایپلیکیشن کے انٹری پوائنٹ کوڈ کو JMP ہدایات کے ساتھ جوڑا گیا ہے جو شیل کوڈ کی طرف اشارہ کرتا ہے، اور کال کے فوراً بعد واقع ہوتا ہے۔ ون مین (شکل 4)؛ اس لیے بدنیتی پر مبنی کوڈ کو صرف اس وقت عمل میں لایا جاتا ہے جب ایپلیکیشن کے جائز کوڈ کا عمل مکمل ہو جاتا ہے۔

شکل 4۔ اسمبلی کوڈ دکھاتا ہے۔ جے ایم پی ہدایت جو عمل درآمد کے بہاؤ کو شیل کوڈ کی طرف موڑ دیتی ہے۔ ہیکساڈیسیمل ڈمپ PE کے سیکشن ہیڈر کے آخر میں شیل کوڈ دکھاتا ہے۔

شیل کوڈ، جو شکل 5 میں دکھایا گیا ہے، ایک غیر خفیہ کردہ پے لوڈ کو ڈاؤن لوڈ کرتا ہے۔ http://softsrobot[.]com/index.html کرنے کے لئے %TEMP%ChromeUp.exe پہلے سے طے شدہ طور پر؛ اگر فائل نہیں بنائی جا سکتی ہے، تو اسے استعمال کرتے ہوئے ایک نیا نام ملتا ہے۔ GetTempFileNameA API.

شکل 5. فنکشن کا ڈی کمپائلڈ کوڈ جو بائنری فائل کو ڈاؤن لوڈ کرنے اور اسے ڈسک پر لکھنے کا آرکیسٹریٹ کرتا ہے۔

64 بٹ انسٹالر

جبکہ صرف ایک بدنیتی پر مبنی 32-بٹ انسٹالر ملا، 64-بٹ انسٹالرز DLP کمپنی کے پورے نیٹ ورک میں کئی جگہوں پر پائے گئے۔ انسٹالر میں Q-Dir ایپلی کیشن اور ایک انکوڈ شدہ (VBE) ReVBShell بیک ڈور ہے جسے حملہ آوروں نے اپنی مرضی کے مطابق بنایا تھا۔ ان دونوں کو LZO کے ساتھ کمپریس کیا گیا تھا اور RC6 کے ساتھ انکرپٹ کیا گیا تھا۔ فائلوں کو میں گرا دیا گیا ہے۔ ٪ ٹیمپ٪ ڈائریکٹری اور پھانسی.

ReVBShell

ReVBShell بہت بنیادی صلاحیتوں کے ساتھ ایک اوپن سورس بیک ڈور ہے۔ بیک ڈور کوڈ VBScript میں لکھا جاتا ہے اور کنٹرولر کوڈ Python میں لکھا جاتا ہے۔ GET اور POST درخواستوں کے ساتھ سرور کے ساتھ مواصلت HTTP سے زیادہ ہے۔

بیک ڈور کئی کمانڈز کو سپورٹ کرتا ہے، بشمول:

• کمپیوٹر کا نام، آپریٹنگ سسٹم کا نام، فن تعمیر، اور آپریٹنگ سسٹم کا زبان کا ورژن حاصل کرنا
• صارف نام اور ڈومین نام حاصل کرنا
• نیٹ ورک اڈاپٹر کی معلومات حاصل کرنا
• چلانے کے عمل کی فہرست بنانا
• شیل کمانڈز کو چلانا اور آؤٹ پٹ واپس بھیجنا
• موجودہ ڈائریکٹری کو تبدیل کرنا
• دیئے گئے URL سے فائل ڈاؤن لوڈ کرنا
• درخواست کردہ فائل اپ لوڈ کرنا

ہمارا ماننا ہے کہ حملہ آوروں نے ReVBShell ورژن 1.0 استعمال کیا، جو GitHub پر مرکزی برانچ کمٹ ہسٹری کی بنیاد پر ہے۔

DLP کمپنی کے سمجھوتے کے بارے میں مزید

اس سیکشن میں، ہم ٹولز اور میلویئر فیملیز کے بارے میں مزید تفصیلات فراہم کرتے ہیں جنہیں ٹک نے سمجھوتہ کرنے والی سافٹ ویئر کمپنی کے نیٹ ورک میں تعینات کیا ہے۔

مسلسل رسائی کو برقرار رکھنے کے لیے، حملہ آوروں نے نقصان دہ لوڈر DLLs کو ڈی ایل ایل سرچ آرڈر ہائی جیکنگ کے خطرے سے دوچار جائز دستخط شدہ ایپلیکیشنز کے ساتھ تعینات کیا۔ ان DLLs کا مقصد ایک مقررہ عمل میں پے لوڈ کو ڈی کوڈ اور انجیکشن کرنا ہے (اس واقعے کے تمام معاملات میں، تمام لوڈرز کو انجیکشن لگانے کے لیے ترتیب دیا گیا تھا۔ SVCHOST.EXE).

ہر لوڈر میں پے لوڈ تین میلویئر خاندانوں میں سے ایک ہے: ShadowPy، Ghostdown، یا Netboy۔ شکل 6 لوڈنگ کے عمل کو واضح کرتا ہے۔

شکل 6۔ ٹک میلویئر لوڈنگ کے عمل کا اعلیٰ سطحی جائزہ

اس رپورٹ میں ہم ShadowPy ڈاؤنلوڈر اور نیٹ بوائے بیک ڈور کے تجزیہ پر توجہ مرکوز کریں گے۔

شیڈو پی

ShadowPy ایک ڈاؤنلوڈر ہے جسے Python میں تیار کیا گیا ہے اور اسے اپنی مرضی کے مطابق ورژن کا استعمال کرتے ہوئے ونڈوز کے قابل عمل میں تبدیل کیا گیا ہے۔ py2exe. ڈاؤنلوڈر عمل کرنے کے لیے ازگر کی اسکرپٹس حاصل کرنے کے لیے اپنے C&C سے رابطہ کرتا ہے۔

ہمارے نتائج کی بنیاد پر، ہمیں یقین ہے کہ میلویئر 2021 میں DLP کمپنی کے سمجھوتے سے کم از کم دو سال پہلے تیار کیا گیا تھا۔ ہم نے کوئی اور واقعہ نہیں دیکھا جہاں ShadowPy کو تعینات کیا گیا تھا۔

اپنی مرضی کے مطابق py2exe لوڈر

جیسا کہ پہلے بیان کیا گیا ہے، نقصان دہ DLL لوڈر DLL سائڈ لوڈنگ کے ذریعے شروع کیا جاتا ہے۔ ShadowPy کے معاملے میں ہم نے مشاہدہ کیا۔ vssapi.dll طرف سے لوڈ کیا جا رہا ہے avshadow.exeایویرا سیکیورٹی سوفٹ ویئر سوٹ کا ایک جائز سافٹ ویئر جزو۔

بدنیتی پر مبنی DLL اس کے اوورلے میں خفیہ کردہ، تین بڑے اجزاء پر مشتمل ہے: py2exe کسٹم لوڈر، Python انجن اور PYC کوڈ۔ سب سے پہلے، DLL لوڈر کوڈ اپنی مرضی کے مطابق py2exe لوڈر کو اپنے اوورلے میں تلاش کرتا ہے اور NULL-proserving XOR کا استعمال کرتے ہوئے اسے ڈیکرپٹ کرتا ہے۔ 0x56 کلید کے طور پر، پھر یہ اسے میموری میں لوڈ کرتا ہے اور اسے ایک نئے میں انجیکشن دیتا ہے۔ SVCHOST.EXE عمل جو یہ تخلیق کرتا ہے۔ اس کے بعد کسٹم py2exe لوڈر کے انٹری پوائنٹ کو ریموٹ پراسیس پر عمل میں لایا جاتا ہے۔ اصل py2exe لوڈر کوڈ اور ٹک کے استعمال کردہ اپنی مرضی کے مطابق ورژن کے درمیان فرق یہ ہے کہ کسٹم لوڈر بدنیتی کے مواد کو پڑھتا ہے۔ vssapi.dll ڈسک سے اور اوورلے میں Python انجن اور PYC کوڈ تلاش کرتا ہے، جبکہ اصل ریسورس سیکشن میں انجن اور PYC کوڈ کا پتہ لگاتا ہے۔

لوڈنگ چین کو تصویر 7 میں دکھایا گیا ہے۔

تصویر 7. پی وائی سی پے لوڈ کو انجام دینے کے لیے اٹھائے گئے اقدامات کا اعلیٰ سطحی جائزہ

ازگر ڈاؤنلوڈر

PYC کوڈ ایک سادہ ڈاؤنلوڈر ہے جس کا مقصد ایک Python اسکرپٹ کو بازیافت کرنا اور اسے ایک نئے دھاگے میں چلانا ہے۔ یہ ڈاؤنلوڈر تصادفی طور پر فہرست سے ایک URL چنتا ہے (حالانکہ ہم نے جن نمونوں کا تجزیہ کیا ہے ان کے لیے صرف ایک URL موجود تھا) اور مندرجہ ذیل ڈیٹا پر مشتمل ایک سٹرنگ بنا کر سمجھوتہ کرنے والی مشین کے لیے ایک منفرد ID بناتا ہے:

• مشین کا مقامی IP پتہ
• میک ایڈریس
• صارف نام (جیسا کہ کے ذریعہ واپس کیا گیا ہے۔ %صارف کا نام% ماحولیاتی متغیر)
• ڈومین اور صارف نام (کے نتائج میں کون ہوں کمانڈ)
• نیٹ ورک کمپیوٹر کا نام (جیسا کہ Python's platform.node فنکشن)
• آپریٹنگ سسٹم کی معلومات (جیسا کہ Python's platform.platform فنکشن)
• فن تعمیر کی معلومات (جیسا کہ ازگر کے ذریعہ واپس کیا گیا ہے۔ platform.architecture فنکشن)

آخر میں، یہ استعمال کرتا ہے abs(zlib.crc32( )) وہ قدر پیدا کرنے کے لیے جو ID کے طور پر کام کرے گی۔ ID کو بے ترتیب حروف پر مشتمل سٹرنگ کے بیچ میں ڈالا جاتا ہے اور مزید مبہم کیا جاتا ہے، پھر اسے URL کے ساتھ جوڑ دیا جاتا ہے جیسا کہ شکل 8 میں دکھایا گیا ہے۔

شکل 8. ڈی کمپائلڈ ازگر کوڈ جو یو آر ایل تیار کرتا ہے، مبہم منفرد صارف ID کو شامل کرتا ہے۔

یہ HTTP GET کی درخواست جاری کرتا ہے۔ ٹریولاسسٹ[.]com ایک نیا پے لوڈ وصول کرنے کے لیے جو کہ ایک فکسڈ، سنگل بائٹ کلید کے ساتھ XOR سے ڈکرپٹ ہو، 0xC3، پھر base64-ڈی کوڈ؛ نتیجہ کو CFB موڈ میں AES الگورتھم کا استعمال کرتے ہوئے 128 بٹ کلید اور IV پے لوڈ کے ساتھ فراہم کردہ کے ساتھ ڈکرپٹ کیا جاتا ہے۔ آخر میں اسے استعمال کرتے ہوئے ڈیکمپریس کیا جاتا ہے۔ zlib اور ایک نئے دھاگے میں پھانسی دی گئی۔

نیٹ بوائے

نیٹ بوائے (ارف حملہ آور) ڈیلفی میں ایک بیک ڈور پروگرام ہے۔ یہ 34 کمانڈز کو سپورٹ کرتا ہے جو حملہ آوروں کو اسکرین پر قبضہ کرنے، کمپرومائزڈ مشین پر ماؤس اور کی بورڈ ایونٹس کو انجام دینے، فائلوں اور خدمات میں ہیرا پھیری کرنے اور دیگر صلاحیتوں کے علاوہ سسٹم اور نیٹ ورک کی معلومات حاصل کرنے کی اجازت دیتے ہیں۔

نیٹ ورک پروٹوکول

نیٹ بوائے اپنے C&C سرور سے TCP پر رابطہ کرتا ہے۔ بیک ڈور اور اس کے C&C کے درمیان معلومات کے تبادلے کے لیے استعمال ہونے والے پیکٹ فارمیٹ کو شکل 9 میں بیان کیا گیا ہے۔

تصویر 9. نیٹ بوائے کے ذریعے نافذ کردہ C&C پیکٹ فارمیٹ کی مثال

اپنے پیکٹوں کو فنگر پرنٹ کرنے کے لیے، یہ دو بے ترتیب نمبر (ہیڈر میں پہلے دو فیلڈز) تیار کرتا ہے جو کہ ایک ساتھ XOR کیے جاتے ہیں (جیسا کہ شکل 10 میں دکھایا گیا ہے) ایک تیسری قدر تشکیل دینے کے لیے جو پیکٹ کی تصدیق کے لیے استعمال ہوتی ہے۔

شکل 10۔ ڈیکمپائلڈ کوڈ جو دو بے ترتیب نمبر تیار کرتا ہے اور ان کو ملا کر پیکٹ فنگر پرنٹ ویلیو بناتا ہے۔

پیکٹ کی توثیق تصویر 11 میں دکھائی گئی ہے، جب بیک ڈور کو اپنے کنٹرولر سے ایک نئی کمانڈ موصول ہوتی ہے۔

شکل 11۔ ڈی کمپائل شدہ کوڈ جو نئے موصول ہونے والے پیکٹ کی توثیق کرتا ہے۔

پیکٹ ہیڈر میں انکرپٹڈ کمپریسڈ ڈیٹا کا سائز، اور غیر کمپریسڈ ڈیٹا کے سائز کے علاوہ کسی اور فیلڈ کا سائز (DWORD) بھی ہوتا ہے جس میں ایک بے ترتیب نمبر ہوتا ہے (توثیق کے لیے استعمال نہیں کیا جاتا ہے) جو ڈیٹا کو کمپریس کرنے سے پہلے اس کے ساتھ منسلک کیا جاتا ہے، جیسا کہ شکل 12 میں دکھایا گیا ہے۔

شکل 12۔ ڈی کمپائلڈ کوڈ جو کنٹرولر کو بھیجنے کے لیے ایک نیا پیکٹ بناتا ہے۔

کمپریشن کے لیے، Netboy کمپریشن الگورتھم کے LZRW فیملی کا ایک قسم استعمال کرتا ہے اور خفیہ کاری کے لیے یہ 4 بٹ کلید کے ساتھ ASCII حروف سے بنا ہوا RC256 الگورتھم استعمال کرتا ہے۔

بیک ڈور کمانڈز

نیٹ بوائے 34 کمانڈز کو سپورٹ کرتا ہے۔ تاہم، جدول 1 میں ہم صرف 25 نمایاں ترین افراد کی وضاحت کرتے ہیں جو حملہ آوروں کو سمجھوتہ شدہ نظاموں پر کچھ خاص صلاحیتیں فراہم کرتے ہیں۔

ٹیبل 1. انتہائی دلچسپ نیٹ بوائے بیک ڈور کمانڈز

انتساب

ہم اس حملے کو ٹک کو اعلی اعتماد کے ساتھ اس میلویئر کی بنیاد پر منسوب کرتے ہیں جو پہلے ٹک سے منسوب کیا گیا تھا، اور ہماری بہترین معلومات کے مطابق دیگر APT گروپوں کے ساتھ اشتراک نہیں کیا گیا ہے، اور شیڈو پی اور نیٹ بوائے کے استعمال کردہ لوڈر کے درمیان کوڈ کی مماثلت ہے۔ .

مزید برآں، حملہ آوروں کے ذریعے اپنے C&C سرورز سے رابطہ کرنے کے لیے استعمال کیے گئے ڈومینز کو ماضی کے معاملات میں ٹک سے منسوب کیا گیا تھا: waterglue[.]org in 2015، اور softsrobot[.]com in 2020.

ممکنہ طور پر متعلقہ سرگرمی

مئی 2022 میں، AhnLab محققین نے ایک رپورٹ شائع کی ایک نامعلوم دھمکی آمیز اداکار کے بارے میں جو جنوبی کوریا سے CHM فائلوں کے ساتھ اداروں اور افراد کو نشانہ بنا رہا ہے جو سائیڈ لوڈنگ کے لیے ایک جائز قابل عمل اور ایک بدنیتی پر مبنی DLL تعینات کرتا ہے۔ DLL کا مقصد ایک VBE اسکرپٹ کو ڈیکمپریس، ڈکرپٹ، ڈراپ اور اس پر عمل کرنا ہے۔ ٪ ٹیمپ٪ فولڈر ڈی کوڈ شدہ اسکرپٹ ایک بار پھر ReVBShell بیک ڈور کو ظاہر کرتی ہے۔

ہم سمجھتے ہیں کہ مہم کا تعلق اس رپورٹ میں بیان کردہ حملے سے ہونے کا امکان ہے، کیونکہ دونوں حملوں کا کسٹم ReVBShell بیک ڈور ایک ہی ہے، اور بدنیتی پر مبنی 64-بٹ انسٹالر کے درمیان متعدد کوڈ مماثلتیں ہیں (SHA-1: B9675D0EFBC4AE92E02B3BFC8CA04B01F8877DB6) اور quartz.dll نمونہ (SHA-1: ECC352A7AB3F97B942A6BDC4877D9AFCE19DFE55AhnLab کے ذریعہ بیان کیا گیا ہے۔

نتیجہ

ESET کے محققین نے مشرقی ایشیائی ڈیٹا کے نقصان سے بچاؤ کی کمپنی کے سمجھوتے کا پردہ فاش کیا۔ مداخلت کے دوران، حملہ آوروں نے کم از کم تین میلویئر فیملیز کو تعینات کیا، اور سمجھوتہ کرنے والی کمپنی کے ذریعے استعمال ہونے والے اپ ڈیٹ سرورز اور ٹولز سے سمجھوتہ کیا۔ نتیجے کے طور پر، کمپنی کے دو گاہکوں کو بعد میں سمجھوتہ کیا گیا تھا.

حملے کے دوران استعمال کیے گئے نقصان دہ ٹولز کے ہمارے تجزیے سے پہلے غیر دستاویزی میلویئر کا انکشاف ہوا، جسے ہم نے ShadowPy کا نام دیا۔ تحقیقات کے دوران پائے جانے والے میلویئر میں مماثلت کی بنیاد پر، ہم نے بڑے اعتماد کے ساتھ اس حملے کو ٹک اے پی ٹی گروپ سے منسوب کیا ہے، جو APAC کے علاقے کو نشانہ بنانے والی سائبر جاسوسی کارروائیوں کے لیے جانا جاتا ہے۔

ہم اپنی تحقیق کے دوران معلومات اور نمونوں کا اشتراک کرنے پر AhnLab سے Cha Minseok کا شکریہ ادا کرنا چاہیں گے۔

آئی او سیز

فائلوں

نیٹ ورک

MITER ATT&CK تکنیک

یہ میز استعمال کرتے ہوئے بنایا گیا تھا۔ ورژن 12 MITER ATT&CK فریم ورک کا.

• SEO سے چلنے والا مواد اور PR کی تقسیم۔ آج ہی بڑھا دیں۔
• پلیٹو بلاک چین۔ Web3 Metaverse Intelligence. علم میں اضافہ۔ یہاں تک رسائی حاصل کریں۔
• ماخذ: https://www.welivesecurity.com/2023/03/14/slow-ticking-time-bomb-tick-apt-group-dlp-software-developer-east-asia/