ຊຸດ Python threadfluent, ຄົ້ນພົບໃນ PyPI, ໄດ້ຖືກລະບຸວ່າເປັນ ອັນຕະລາຍ, ປະກອບດ້ວຍມັນແວ infostealer ແບບດັ້ງເດີມ. ເຖິງຢ່າງໃດກໍ່ຕາມ, ລັກສະນະທີ່ໂດດເດັ່ນຂອງມັນແມ່ນການໃຊ້ເຕັກນິກການປິດບັງລະຫັດຂັ້ນສູງທີ່ປິດບັງ payload ຂອງມັນ, ເຮັດໃຫ້ການວິເຄາະມີຄວາມທ້າທາຍເປັນພິເສດ. ມັນແວນີ້ໃຊ້ສາມຊັ້ນຂອງການປິດບັງແບບຊ້ຳໆໃນທົ່ວລະບົບຕ່ອງໂສ້ການໂຈມຕີຂອງມັນ, ສ້າງອຸປະສັກທີ່ສຳຄັນສຳລັບການຖອດລະຫັດດ້ວຍຕົນເອງ.
ເອກະສານຫຼອກລວງ: ມັລແວ Infostealer ແລະ ການບັງລະຫັດ
ມັນແວ Infostealer ແມ່ນຫຍັງ?
ມັນແວ Infostealer ເຮັດໜ້າທີ່ຄືກັບໂຈນທີ່ຫຼອກລວງໃນໂລກດິຈິຕອນຂອງທ່ານ. ມັນຈະຈັບຂໍ້ມູນທີ່ລະອຽດອ່ອນຢ່າງງຽບໆ ເຊັ່ນ: ລະຫັດຜ່ານ, ເລກບັດເຄຣດິດ ຫຼື ລາຍລະອຽດສ່ວນຕົວຂອງທ່ານ ໂດຍທີ່ທ່ານບໍ່ສັງເກດເຫັນ. ໂປຣແກຣມເຫຼົ່ານີ້ຈະບັນທຶກສິ່ງທີ່ທ່ານພິມ (keylogging), ລັກລອບໂປຣແກຣມທ່ອງເວັບຂອງທ່ານ, ຫຼື ສະແກນໄຟລ໌ໃນອຸປະກອນຂອງທ່ານເພື່ອເກັບກຳຂໍ້ມູນທີ່ມີຄ່າ. ສ່ວນທີ່ໜ້າຢ້ານທີ່ສຸດ? ພວກມັນເກັ່ງໃນການບໍ່ຖືກຕິດຕາມ.
1. ການເຂົ້າລະຫັດສາມເທົ່າ
ຂະບວນການເຮັດໃຫ້ສັບສົນເລີ່ມຕົ້ນດ້ວຍ payload ທີ່ຖືກເຂົ້າລະຫັດຢ່າງໜັກທີ່ຝັງຢູ່ໃນ fluent.py ໄຟລ໌. ຂະບວນການເຂົ້າລະຫັດ ແລະ ຖອດລະຫັດເບື້ອງຕົ້ນສາມາດສະຫຼຸບໄດ້ດັ່ງຕໍ່ໄປນີ້:
encoded_data = base64_module.b64decode("... BASE-6 with encrypted payload, IV and RSA-encrypted keys…”); # … Sequential decryption: ChaCha20, Blowfish and AES … encrypted_payload = AES_Cipher.new(aes_key, AES_Cipher.MODE_CBC, iv=aes_iv).decrypt(encrypted_payload[16:]) final_payload = unpad_function(encrypted_payload, AES_Cipher.block_size) exec( zlib_module.decompress(bz2_module.decompress(final_payload)) ) ຂະບວນການເຮັດໃຫ້ສັບສົນນີ້ກ່ຽວຂ້ອງກັບ:
- ການບີບອັດ: ການໃຊ້ gzip ແລະ bzip.
- Symmetric encryptionການເຂົ້າລະຫັດແບບຕ່ອງໂສ້ດ້ວຍ ChaCha20, Blowfish, ແລະ AES.
- ການເຂົ້າລະຫັດບໍ່ສົມມາດ: RSA ໃຊ້ເພື່ອເຂົ້າລະຫັດກະແຈຊິມເມຕຣິກ.
ຜົນໄດ້ຮັບຖືກເຂົ້າລະຫັດໃນ Base64 ແລະໃສ່ເປັນ ຂໍ້ມູນທີ່ຖືກເຂົ້າລະຫັດແຕ່ລະການຊ້ຳຊ້ອນຈະສ້າງຂຶ້ນບົນພື້ນຖານກ່ອນໜ້ານີ້, ສ້າງໂຄງສ້າງການເຂົ້າລະຫັດທີ່ຊ້ອນກັນເຊິ່ງເຮັດໃຫ້ມັນຍາກຫຼາຍທີ່ຈະຄົ້ນພົບ payload ຕົວຈິງໂດຍບໍ່ຕ້ອງວິສະວະກຳແບບປີ້ນກັບກັນ.
2. ການບີບອັດ Gzip
ໃນຫຼາຍຂັ້ນຕອນລະດັບກາງ, ມັນແວໃຊ້ວິທີການປິດບັງຂໍ້ມູນທີ່ງ່າຍດາຍແຕ່ມີປະສິດທິພາບຄື: ການບີບອັດ Gzip ລວມກັບການເຂົ້າລະຫັດ Base64.
import base64, zlib; eval(zlib.decompress(base64.b64decode(<STR>).decode('utf-8')) ເຕັກນິກນີ້ຮັບປະກັນວ່າຂໍ້ມູນທີ່ຖືກເຊື່ອງໄວ້ຍັງຄົງຖືກເຊື່ອງໄວ້ຕະຫຼອດຂັ້ນຕອນຕ່າງໆ.
3. ການລວມລະຫັດ ແລະ ການລວບລວມແບບໄດນາມິກ
ຊັ້ນສຸດທ້າຍກ່ຽວຂ້ອງກັບການແບ່ງ payload ທີ່ຖືກບລັອກອອກເປັນຫຼາຍຕົວແປ, ເຊິ່ງຖືກເຊື່ອມຕໍ່ກັນແບບໄດນາມິກ ແລະ ຖອດລະຫັດໃນລະຫວ່າງການປະຕິບັດ:
import base64, zlib FEQXCBDOZKHVIhT = '...' # ....(111 other variables with base-64 encoded values) ... zZytWuvuEdBXSrO = eval(<FEQXCBDOZKHVIhT' encoded with '\x>) + eval(<next variable, encoded>) + eval( ' zlib.decompress(base64.b64decode(<VAR>)).decode('utf-8') ') + ... eval(compile(base64.b64decode(eval(zZytWuvuEdBXSrO)).decode('utf-8'), ‘<app>', 'exec')) ຂັ້ນຕອນນີ້ແມ່ນມີຄວາມຫຍຸ້ງຍາກໂດຍສະເພາະໃນການວິເຄາະດ້ວຍຕົນເອງ, ຍ້ອນວ່າແຕ່ລະຕົວແປຕ້ອງໄດ້ຮັບການຖອດລະຫັດ ແລະ ລວມເຂົ້າກັນຄືນໃໝ່ເພື່ອເປີດເຜີຍ payload ຕໍ່ໄປ.
ໂດຍການລວມເຕັກນິກການເຮັດໃຫ້ມົວເຫຼົ່ານີ້ເຂົ້າກັນ, malware infostealer in threadfluent ຫຼີກລ່ຽງການກວດພົບ, ສະແດງໃຫ້ເຫັນເຖິງບົດບາດສຳຄັນຂອງ ຄວາມສັບສົນຂອງລະຫັດ ໃນການໂຈມຕີທາງອິນເຕີເນັດທີ່ທັນສະໄໝ.
ລະບົບຕ່ອງໂສ້ການໂຈມຕີຫຼາຍຂັ້ນຕອນຂອງ ThreadFluent
ໄດ້ threadfluent malware infostealer ປະກອບດ້ວຍສີ່ຂັ້ນຕອນທີ່ແຕກຕ່າງກັນ, ແຕ່ລະຂັ້ນຕອນແນະນໍາຊັ້ນເພີ່ມເຕີມຂອງ ຄວາມສັບສົນຂອງລະຫັດຂັ້ນຕອນເຫຼົ່ານີ້ບໍ່ພຽງແຕ່ເຮັດໜ້າທີ່ສົ່ງມອບນ້ຳໜັກເທົ່ານັ້ນ ແຕ່ຍັງປົກປ້ອງມັນຈາກການກວດພົບ ແລະ ການວິເຄາະ.
ຂັ້ນຕອນທີ 0: ການປະຕິບັດລະຫັດເບື້ອງຕົ້ນ
ຈຸດເຂົ້າແມ່ນ __init__.py ໄຟລ໌, ເຊິ່ງເລີ່ມຕົ້ນການປະຕິບັດຂອງ payload ທີ່ຖືກປິດບັງໄວ້ໃນ fluent.pyໄຟລ໌ນີ້ໃຊ້ການປິດບັງຫຼາຍຊັ້ນ (ດັ່ງທີ່ໄດ້ອະທິບາຍໄວ້ໃນຂັ້ນຕອນທີ 1–3) ເພື່ອສ້າງ dropper ຂັ້ນຕອນທີ 1:
import os,threading def main(): if os.name == 'nt': from . import fluent fluent.main() thread = threading.Thread(target=main , daemon=True) thread.start() ຂັ້ນຕອນທີ 1: ຢອດເບື້ອງຕົ້ນ
ດຣອບເປີທຳອິດ, ເມື່ອຖອດລະຫັດອອກແລ້ວ, ຈະດາວໂຫຼດ ແລະ ຝັງລະຫັດທີ່ເປັນອັນຕະລາຍເພີ່ມເຕີມ. puts.py, ຈາກບ່ອນເກັບມ້ຽນ GitHub ໜວດຜົມແດງ-1337/repuests (ຄຳເຕືອນ: ອາດມີລະຫັດທີ່ເປັນອັນຕະລາຍຢູ່ທີ່ນີ້).
ຢອດຢາຝັງຢູ່ puts.py ເຂົ້າໄປໃນການຕິດຕັ້ງໃນທ້ອງຖິ່ນຂອງທີ່ນິຍົມ ການຮ້ອງຂໍ ຫ້ອງສະໝຸດ, ການດັດແປງຂອງມັນ __init__.py ໄຟລ໌ເພື່ອດໍາເນີນການ deobfuscation ແລະປະຕິບັດຂັ້ນຕອນຕໍ່ໄປ. deobfuscation ນີ້ປະກອບດ້ວຍການປີ້ນກັບກັນຫຼາຍໆແອັບພລິເຄຊັນຂອງຊັ້ນ obfuscation 1 … 3.
ຂັ້ນຕອນທີ 2: ຢອດທີສອງ
ດຣອບເປີອັນທີສອງ, ເມື່ອຖືກລຶບລ້າງຄວາມວຸ້ນວາຍແລ້ວຕາມຂະບວນການດຽວກັນ, ຈະດາວໂຫຼດ payload ອື່ນອີກ, ssl.py ຈາກບ່ອນເກັບມ້ຽນ GitHub, ປ່ຽນຊື່ມັນເປັນ udp.py, ແລະສ້າງໄຟລ໌ລັອກເພື່ອຮັບປະກັນວ່າມັນແວຈະບໍ່ຕິດຕັ້ງຄືນໃໝ່ຊ້ຳແລ້ວຊ້ຳອີກ. ຫຼັງຈາກນັ້ນ, ມັນຖືກເປີດໃຊ້ງານເພື່ອລຶບລ້າງຄວາມວຸ້ນວາຍຂອງມັນ, ເຊິ່ງສົ່ງຜົນໃຫ້ມີການປະຕິບັດ payload ສຸດທ້າຍຂອງ infostealer.
ຂັ້ນຕອນທີ 3: Infostealer ສຸດທ້າຍ
ຂັ້ນຕອນສຸດທ້າຍແມ່ນ infostealer ທີ່ເຮັດວຽກໄດ້ຢ່າງຄົບຖ້ວນເຊິ່ງໃຊ້ເຕັກນິກການຫຼົບຫຼີກຂັ້ນສູງ:
- ຄຸນສົມບັດຕ້ານການວິເຄາະ:
- ກວດຫາເຄື່ອງມືປ້ອງກັນມັລແວ ແລະ ຢຸດຕິການໃຊ້ງານ ຖ້າກວດພົບຂະບວນການ, IP, ຊື່ໂຮສ ຫຼື ສະພາບແວດລ້ອມເສມືນທີ່ຖືກບັນຊີດຳ.
- ການຂູດຂໍ້ມູນ:
- ເກັບກຳຂໍ້ມູນຢ່າງລະອຽດ. ຕັ້ງແຕ່ IP, ທີ່ຢູ່ Mac, ຂໍ້ມູນ VPN, ຄຸກກີ້/ປະຫວັດຂອງໂປຣແກຣມທ່ອງເວັບ, ຂໍ້ມູນບັດເຄຣດິດ ແລະ ຂໍ້ມູນປະຈຳຕົວຂອງກະເປົາເງິນດິຈິຕອນ ແລະ ອື່ນໆ, ລວມທັງພາບໜ້າຈໍ.
- ສົ່ງຂໍ້ມູນທີ່ຖືກລັກ (ເຂົ້າລະຫັດ) ຜ່ານຊ່ອງທາງ Telegram ໂດຍໃຊ້ແມ່ແບບທີ່ສະແດງຢູ່ນີ້:
ຍຸດທະສາດການລົບລ້າງຄວາມຊັບຊ້ອນ
ເພື່ອວິເຄາະແພັກເກດທີ່ຄ້າຍຄືກັນ, ນັກຄົ້ນຄວ້າຕ້ອງປີ້ນກັບຊັ້ນການປິດບັງຂອງມັນຢ່າງເປັນລະບົບ:
- ຈຳລອງຂັ້ນຕອນການປິດບັງ: ຂຽນສະຄຣິບເພື່ອຈຳລອງການຫັນປ່ຽນ (ເຊັ່ນ: ການຖອດລະຫັດ, ການຖອດລະຫັດ) ໂດຍບໍ່ຕ້ອງປະຕິບັດ payload.
- ຊັ້ນການເຂົ້າລະຫັດແບບປີ້ນກັບກັນ: ສະກັດ ແລະ ຖອດລະຫັດ payload ໂດຍໃຊ້ກະແຈ ແລະ ອັລກໍຣິທຶມທີ່ຝັງຢູ່.
- ການວິເຄາະແບບຊ້ຳໆ: ປະມວນຜົນແຕ່ລະຂັ້ນຕອນກາງແບບຊ້ຳໆເພື່ອສ້າງ payload ສຸດທ້າຍຄືນໃໝ່.
ເຄື່ອງມືອັດຕະໂນມັດ ແລະ ສະພາບແວດລ້ອມແບບ sandbox ແມ່ນສິ່ງຈຳເປັນເພື່ອເຮັດໃຫ້ການວິເຄາະນີ້ມີປະສິດທິພາບຂຶ້ນ.
ຕ້ອງການຮຽນຮູ້ເພີ່ມເຕີມກ່ຽວກັບການຢູ່ກ່ອນໜ້າໄພຂົ່ມຂູ່ໃນເວລາຈິງບໍ?
ດາວໂຫຼດເອກະສານຂາວຂອງພວກເຮົາ, 'ການເຕືອນໄພລ່ວງໜ້າ: ການກວດຈັບ ແລະ ການຈັດລຳດັບຄວາມສຳຄັນຂອງໄພຂົ່ມຂູ່ໃນເວລາຈິງ,' ແລະ ຄົ້ນພົບວິທີການປົກປ້ອງລະບົບຕ່ອງໂສ້ການສະໜອງຊອບແວຂອງທ່ານ.
ນັກສະແດງໄພຂົ່ມຂູ່
ເບິ່ງຄືວ່າແພັກເກດດັ່ງກ່າວໄດ້ຖືກເຜີຍແຜ່ຈາກສອງບັນຊີ PyPI, ອາບີຣຮອສເຊນ10 ແລະ ອາໂນມິລາໂນ785, ຖືກລຶບອອກໃນປະຈຸບັນ.
ມີບັນຊີ GitHub (ທີ່ໃຊ້ງານຢູ່ໃນປະຈຸບັນ) ຊື່ວ່າ ອາບີຣຮອສເຊນ10, ເຊິ່ງອາດຈະກ່ຽວຂ້ອງກັບການໂຄສະນາຫາສຽງ. ຜົມແດງ-shanks-1337 ຜູ້ໃຊ້ GitHub ທີ່ເປັນເຈົ້າຂອງບ່ອນເກັບມ້ຽນທີ່ໃຊ້ສຳລັບການດາວໂຫຼດ payloads ຂັ້ນຕອນທີ 2 ແລະ 3 ກໍ່ຍັງຢູ່ພາຍໃຕ້ການວິເຄາະ.
ເຖິງແມ່ນວ່າການລະບຸຕົວຕົນແມ່ນມີຄວາມສັບສົນສະເໝີ ແລະ ການເປັນສະມາຊິກຂອງທີມສີແດງກໍ່ເປັນໄປໄດ້, ແຕ່ປະເພດ ແລະ ປະລິມານຂໍ້ມູນທີ່ຖືກກັ່ນຕອງອອກມານັ້ນບອກເປັນນัยເຖິງຜູ້ກະທຳທີ່ມີເຈດຕະນາຮ້າຍ.
ສະຫຼຸບ: ບົດບາດຂອງການປິດບັງລະຫັດໃນວິວັດທະນາການຂອງມັລແວຣ໌
ໄດ້ threadfluent ຊຸດຕົວຢ່າງຂອງການປິດບັງມັນແວທີ່ທັນສະໄໝໃນການຈັດສົ່ງຫຼາຍຂັ້ນຕອນຂອງມັນ. ຄຽງຄູ່ກັບເຕັກນິກການຫຼີກລ່ຽງທີ່ໃຊ້, ຊຸດນີ້ສະແດງໃຫ້ເຫັນເຖິງຄວາມພະຍາຍາມທີ່ຊັດເຈນໃນການຫຼີກລ່ຽງການກວດພົບ ແລະ ຕ້ານການວິເຄາະ.
ການວິເຄາະນີ້ເນັ້ນໜັກເຖິງຄວາມສຳຄັນຂອງຄວາມພະຍາຍາມຮ່ວມມື ແລະ ເຄື່ອງມືອັດຕະໂນມັດໃນການຕໍ່ສູ້ກັບໄພຂົ່ມຂູ່ດັ່ງກ່າວ. ໂດຍການວິເຄາະ ແລະ ເຂົ້າໃຈວິທີການເຫຼົ່ານີ້, ຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພສາມາດພັດທະນາການປ້ອງກັນທີ່ດີກວ່າຕໍ່ກັບມັນແວທີ່ຄ້າຍຄືກັນໃນອະນາຄົດ.
ລະບົບ MEW ຂອງ Xygeni ປ້ອງກັນບໍ່ໃຫ້ແພັກເກດ threadfluent ເປັນອັນຕະລາຍເຂົ້າເຖິງການຜະລິດໄດ້ແນວໃດ
ຊີເຈນີ ຄຳເຕືອນລ່ວງໜ້າກ່ຽວກັບມັລແວ (MEW) ລະບົບດັ່ງກ່າວມີບົດບາດສຳຄັນໃນການຢຸດຢັ້ງ threadfluent ຊຸດ Python, ເຊິ່ງເປັນການເພິ່ງພາອາໄສທີ່ເປັນອັນຕະລາຍທີ່ມີໂປຣແກຣມຂັ້ນສູງ ຄວາມສັບສົນຂອງລະຫັດ ແລະຫຼາຍຂັ້ນຕອນ malware infostealer, ກ່ອນທີ່ມັນຈະສາມາດສົ່ງຜົນກະທົບຕໍ່ສະພາບແວດລ້ອມການຜະລິດ. ນີ້ແມ່ນວິທີ:
- ການກວດຫາຜ່ານການວິເຄາະແບບຄົງທີ່
ພົບ MEW threadfluentລະຫັດທີ່ເຊື່ອງໄວ້ຂອງ, ຊອກຫາສັນຍານທີ່ໜ້າສົງໄສເຊັ່ນ: ການເຂົ້າລະຫັດແບບຫຼາຍຊັ້ນ ແລະ ກິດຈະກຳການເພິ່ງພາອາໄສທີ່ຜິດປົກກະຕິ. - ການປະເມີນຄວາມສາມາດໃນການເຂົ້າເຖິງໃນເວລາແລ່ນ
ລະບົບພົບວ່າລະຫັດຂອງແພັກເກດສາມາດເຮັດວຽກໄດ້ໃນລະຫວ່າງການໃຊ້ງານ, ເຊິ່ງໝາຍມັນເປັນໄພຂົ່ມຂູ່ຮ້າຍແຮງໂດຍບໍ່ຕ້ອງໃຊ້ມັນແທ້ໆ. - CI/CD Pipeline ປົກປັກຮັກສາ
MEW ຖືກບລັອກແລ້ວ threadfluent ໃນເວລາຈິງ, ໄດ້ຢຸດມັນຈາກການຖືກລວມເຂົ້າໃນການສ້າງ, ແລະປ້ອງກັນບໍ່ໃຫ້ມັນເຂົ້າເຖິງການຜະລິດ. ມັນໄດ້ສົ່ງການແຈ້ງເຕືອນທີ່ສາມາດປະຕິບັດໄດ້ສຳລັບນັກພັດທະນາ, ເຊິ່ງຊ່ວຍປະຢັດເວລາທີ່ມີຄ່າ. - ການແບ່ງປັນຂ່າວລັບໄພຂົ່ມຂູ່
Xygeni ໄດ້ລາຍງານແພັກເກດດັ່ງກ່າວຢ່າງໄວວາໃຫ້ PyPI ແລະ ໄດ້ແບ່ງປັນການຄົ້ນພົບຂອງມັນກັບເຄືອຂ່າຍຄວາມປອດໄພທົ່ວໂລກ, ເຊິ່ງເຮັດໃຫ້ມັນຢຸດຢັ້ງການແຜ່ລາມຕື່ມອີກ.
ປົກປ້ອງທ່ານ CI/CD Pipelines ຟຣີ
ປ້ອງກັນໄພຂົ່ມຂູ່ຕ່າງໆເຊັ່ນ threadfluent ດ້ວຍລະບົບເຕືອນໄພມັລແວຣລ່ວງໜ້າຂອງ Xygeni. ເລີ່ມຕົ້ນ free trial ມື້ນີ້ ແລະ ຮັບປະກັນລະບົບຕ່ອງໂສ້ການສະໜອງຊອບແວຂອງທ່ານ.
Louis Rodriguez
Luis Rodriguez ເປັນນັກກາຍຍະພາບcist + ນັກຄະນິດສາດ ແລະ CISSP. ປະຈຸບັນເປັນຜູ້ຮ່ວມກໍ່ຕັ້ງ ແລະ CTO ທີ່ Xygeni Security. ລາວມີປະສົບການຫຼາຍກວ່າ 20 ປີໃນດ້ານຄວາມປອດໄພຂອງຊອບແວ ແລະ ໄດ້ເຂົ້າຮ່ວມໃນໂຄງການຕ່າງໆເຊັ່ນ: SAST ແລະ SCAປະຈຸບັນລາວສຸມໃສ່ software supply chain security.
Daniel Martin
ທ່ານ Daniel Martín ເປັນຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພທາງໄຊເບີ ແລະ ເປັນສະມາຊິກຂອງທີມງານຄົ້ນຄວ້າຄວາມປອດໄພຂອງ Xygeni, ເຊິ່ງຊ່ຽວຊານດ້ານ SDLC ການຫຼຸດຜ່ອນຄວາມສ່ຽງດ້ານຄວາມປອດໄພ ແລະ ຄວາມສ່ຽງຂອງແອັບພລິເຄຊັນ.
