അച്ചു ഡി.ആർ.
പേരുള്ള ഒരു PyPI പാക്കേജ് ജിസിഎൽഐ-കൺട്രോൾ കീസ്ട്രോക്ക് ലോഗിംഗ്, വെബ്ക്യാം, മൈക്രോഫോൺ ക്യാപ്ചർ, ക്ലിപ്പ്ബോർഡ് നിരീക്ഷണം, ബ്രൗസർ-ക്രെഡൻഷ്യൽ ആക്സസ്, സ്ക്രീൻ നിയന്ത്രണം, പെർസിസ്റ്റൻസ്, പ്രിവിലേജ് എലവേഷൻ, സ്വയം പരസ്യപ്പെടുത്തിയ "140+ കമാൻഡുകൾ" എന്നിങ്ങനെ ഒരു സമ്പൂർണ്ണ വിൻഡോസ് റിമോട്ട്-ആക്സസ് ടൂൾ പുറത്തിറക്കി. അത് എന്താണെന്ന് അത് മറച്ചുവെച്ചില്ല: പാക്കേജിന്റെ സ്വന്തം PyPI സംഗ്രഹം അതിനെ "വഴി റിമോട്ട് ആക്സസ് ടൂൾ" എന്ന് വിശേഷിപ്പിച്ചു. npoint.io".
ആ വാക്യം പരിശോധിക്കാൻ തക്ക വിശദാംശം ആണ് "npoint.io വഴി." ഒരു സമർപ്പിത സെർവറിലേക്ക് വീട്ടിലേക്ക് വിളിക്കുന്നതിനുപകരം, ഇംപ്ലാന്റ് ഉപയോഗിച്ചു പോയിന്റ്[.]ഐഒ (ചെറിയ JSON ഡോക്യുമെന്റുകൾ ഹോസ്റ്റുചെയ്യുന്നതിനുള്ള സൌജന്യവും നിയമാനുസൃതവുമായ സേവനം) അതിന്റെ കമാൻഡ്-ആൻഡ്-കൺട്രോൾ റിലേ ആയി ഉപയോഗിക്കുന്നു. ഓപ്പറേറ്റർ ഒരു JSON ബിന്നിലേക്ക് കമാൻഡുകൾ എഴുതുന്നു; ഇംപ്ലാന്റ് പോൾ വഴി ബിൻ ചെയ്യുകയും എക്സിക്യൂട്ട് ചെയ്യുകയും ഫലങ്ങൾ തിരികെ എഴുതുകയും ചെയ്യുന്നു. തടയാൻ ആക്രമണകാരിയുടെ ഉടമസ്ഥതയിലുള്ള ഡൊമെയ്നില്ല, ഫ്ലാഗ് ചെയ്യാൻ പുതിയ IP ഇല്ല: ട്രാഫിക് ഡെവലപ്പർമാർ എല്ലാ ദിവസവും ഉപയോഗിക്കുന്ന ഒരു സേവനത്തിലേക്കാണ് പോകുന്നത്.
ഏകദേശം പതിമൂന്നര മണിക്കൂറിനുള്ളിൽ ആറ് പതിപ്പുകൾ പ്രസിദ്ധീകരിച്ചു, ഓരോന്നിനും അവസാനത്തേതിനേക്കാൾ കഴിവുണ്ട്. അവയിൽ ഓരോന്നിനും സ്കോർ ലഭിച്ചു. ml_predicted_safe (എംഎൽ_പ്രെഡിക്റ്റഡ്_സേഫ്) മാനുവൽ അവലോകനത്തിന് മുമ്പ് ഒരു ഓട്ടോമേറ്റഡ് ക്ലാസിഫയർ കുടുംബത്തെ ക്ഷുദ്രകരമായി പുനർവർഗ്ഗീകരിച്ചു.
ആക്രമണ ശരീരഘടന
ജിസിഎൽഐ-കൺട്രോൾ ഇറക്കുമതി പാക്കേജ് ഇൻസ്റ്റാൾ ചെയ്യുന്നു ജിസിഎൽഐ, 35-മൊഡ്യൂൾ പൈത്തൺ കോഡ്ബേസ്. ഇൻസ്റ്റാൾ സമയമില്ല. hooks — ഒന്നും പ്രവർത്തിക്കുന്നില്ല പൈപ്പ് ഇൻസ്റ്റാൾ. ഉപകരണം പ്രവർത്തിച്ചുകഴിഞ്ഞാൽ, മൊഡ്യൂളുകളിൽ തന്നെ ശേഷി നിലനിൽക്കുന്നു, മൊഡ്യൂൾ ലേഔട്ട് ഒരു ഉൽപ്പന്ന സ്പെക്ക് ഷീറ്റ് പോലെ വായിക്കപ്പെടുന്നു:
കമാൻഡ് ചാനലാണ് രസകരമായ ഭാഗം. മിക്ക റിമോട്ട്-ആക്സസ് ടൂളിംഗും ഓപ്പറേറ്റർ നിയന്ത്രിക്കുന്ന ഒരു സെർവറിലേക്ക് എത്തുന്നു - ഒരു ഐപി, ഒരു ഡൊമെയ്ൻ, റിപ്പോർട്ട് ചെയ്യാനും ഓഫ്ലൈനായി എടുക്കാനും കഴിയുന്ന ഒരു ഹോസ്റ്റിംഗ് ദാതാവ്. ജിസിഎൽഐ-കൺട്രോൾ പകരം ഒരു സൗജന്യ JSON-ബിൻ സേവനം ഒരു ഡെഡ്-ഡ്രോപ്പ് ആയി. ദി എൻപോയിന്റ് മൊഡ്യൂൾ ചെറിയ JSON പ്രമാണങ്ങൾ വായിക്കുകയും എഴുതുകയും ചെയ്യുന്നു പോയിന്റ്[.]ഐഒ സാധാരണ HTTPS-ൽ; ക്രിപ്റ്റോ/എൻക്രിപ്റ്റ് ചെയ്യുക ബിൻ ഉള്ളടക്കങ്ങൾ പ്ലെയിൻടെക്സ്റ്റ് കമാൻഡുകളല്ലാത്തതിനാൽ എക്സ്ചേഞ്ച് ചെയ്ത പേലോഡുകളെ മൊഡ്യൂളുകൾ പൊതിയുന്നു. പ്രഭാവം ഒരു മധ്യസ്ഥതയുള്ള, എൻക്രിപ്റ്റ് ചെയ്ത റിലേയാണ്:
- ഓപ്പറേറ്റർ ഒരു (എൻക്രിപ്റ്റ് ചെയ്ത) നിർദ്ദേശം ഒരു JSON ബിന്നിലേക്ക് ഇടുന്നു.
- ഇരയായ ഹോസ്റ്റിൽ പ്രവർത്തിക്കുന്ന ഇംപ്ലാന്റ്, ആ ബിൻ പോൾ ചെയ്യുകയും, ഡീക്രിപ്റ്റ് ചെയ്യുകയും, അതിന്റെ കമാൻഡ് ഹാൻഡ്ലറുകളിൽ ഒന്നിനെ എക്സിക്യൂട്ട് ചെയ്യുകയും, (എൻക്രിപ്റ്റ് ചെയ്ത) ഫലം തിരികെ എഴുതുകയും ചെയ്യുന്നു.
- ഒരു നെറ്റ്വർക്ക് മോണിറ്ററിന്, ഇര സംസാരിക്കുന്നത് പോയിന്റ്[.]ഐഒ — ഡെവലപ്പർ ട്രാഫിക്കിൽ പ്രത്യക്ഷപ്പെടുന്നതിന് ന്യായമായ കാരണമുള്ള ഒരു സേവനം.
ഇവിടെ രണ്ടാം ഘട്ട ഡൗൺലോഡോ അവ്യക്തമായ ലോഡറോ ഇല്ല: വായിക്കാൻ കഴിയുന്ന പൈത്തണിൽ ശേഷി മുഴുവനായും ലഭ്യമാണ്, കൂടാതെ റിലേ തിരഞ്ഞെടുക്കുന്നതും റിലേ ചെയ്ത പേലോഡുകളുടെ എൻക്രിപ്ഷനും മാത്രമാണ് "മറയ്ക്കുന്നത്".
ഒരു JSON-ബിൻ ഡെഡ്-ഡ്രോപ്പ് പ്രവർത്തനപരമായി ആകർഷകമാകുന്നത് എന്തുകൊണ്ടാണെന്ന് പ്രത്യേകം പറയേണ്ടതില്ല, കാരണം ആ പാറ്റേൺ വീണ്ടും കാണാൻ നമ്മൾ പ്രതീക്ഷിക്കുന്നത് എന്തുകൊണ്ടാണെന്ന് ഇത് വിശദീകരിക്കുന്നു:
- ഓപ്പറേറ്ററുടെ ഉടമസ്ഥതയിലുള്ള എൻഡ്പോയിന്റ് ഇല്ല. രജിസ്റ്റർ ചെയ്യാൻ C2 ഡൊമെയ്നില്ല, വാടകയ്ക്കെടുക്കാൻ VPS ഇല്ല, ഒരു ഡിഫെൻഡർക്കോ രജിസ്ട്രാർക്കോ പിടിച്ചെടുക്കാൻ ഒന്നുമില്ല. നീക്കം ചെയ്യൽ പാക്കേജ് ചാനലിനെ സ്പർശിക്കുന്നില്ല; നീക്കം ചെയ്യൽ ചാനൽ ദശലക്ഷക്കണക്കിന് രേഖകളിൽ ഒന്ന് മാത്രം പരിശോധിക്കാൻ ഒരു പൊതു-ഉദ്ദേശ്യ SaaS-നോട് ആവശ്യപ്പെടുക എന്നതാണ് ഇതിനർത്ഥം.
- പ്രശസ്തി വെളുപ്പിക്കൽ. ഒരു അറിയപ്പെടുന്ന ഡെവലപ്പർ സേവനത്തിലേക്ക് ഔട്ട്ബൗണ്ട് ചെയ്യുന്ന HTTPS-ന് ഒരു പുതിയ ഡൊമെയ്നോ ഒരു റോ IP-യോ നൽകുന്ന റെപ്യൂട്ടേഷൻ പിഴകളൊന്നും ഉണ്ടാകില്ല. പല എഗ്രസ്-ഫിൽട്ടറിംഗ് സജ്ജീകരണങ്ങളും ഇത് പരോക്ഷമായി അനുവദിക്കുന്നു.
- അസിൻക്രൊണിയും നിഷേധാത്മകതയും. ഒരു പോളിംഗ് മോഡൽ - ഇംപ്ലാന്റ് ഒരു തുറന്ന സോക്കറ്റ് കൈവശം വയ്ക്കുന്നതിനുപകരം ഒരു ഇടവേളയിൽ ഒരു ഡോക്യുമെന്റ് ലഭ്യമാക്കുന്നു - ഒരു ഇന്ററാക്ടീവ് സെഷനല്ല, ആനുകാലിക API പോളിംഗ് പോലെ തോന്നിക്കുന്ന ട്രാഫിക് സൃഷ്ടിക്കുന്നു. ഡോക്യുമെന്റ് ഉള്ളടക്കങ്ങൾ എൻക്രിപ്റ്റ് ചെയ്യുന്നത് ബിൻ കണ്ടെത്തുന്ന ഒരു വിശകലന വിദഗ്ദ്ധൻ പോലും കമാൻഡ് ലിസ്റ്റ് അല്ല, സൈഫർടെക്സ്റ്റ് കാണുന്നു എന്നാണ്.
- നിസ്സാര ഭ്രമണം. മറ്റൊരു ബിന്നിലേക്കോ, പൂർണ്ണമായും വ്യത്യസ്തമായ ഒരു നോട്ട്/പേസ്റ്റ് സേവനത്തിലേക്കോ നീങ്ങുന്നത്, ഓപ്പറേറ്ററെ സംബന്ധിച്ചിടത്തോളം ഒരു വരി കോൺഫിഗറേഷൻ മാറ്റമാണ്. നിർദ്ദിഷ്ട റിലേയിലേക്ക് കീ ചെയ്തിരിക്കുന്ന ഏതൊരു ബ്ലോക്ക്ലിസ്റ്റും അത് ഷിപ്പ് ചെയ്യുന്ന നിമിഷം തന്നെ പഴയതായിരിക്കും.
ഓപ്പറേറ്റർ സ്വീകരിക്കുന്ന വിട്ടുവീഴ്ച ത്രൂപുട്ടും ലേറ്റൻസിയുമാണ്: ഒരു ഡെഡ്-ഡ്രോപ്പ് റിലേ ഒരു നേരിട്ടുള്ള കണക്ഷനേക്കാൾ വേഗത കുറഞ്ഞതും ബാൻഡ്വിഡ്ത്ത് കുറഞ്ഞതുമാണ്. ഹ്രസ്വ കമാൻഡുകൾ പുറപ്പെടുവിക്കുകയും കാലക്രമേണ ഫലങ്ങൾ ശേഖരിക്കുകയും ചെയ്യുന്ന ഒരു നിരീക്ഷണ-നിയന്ത്രണ ഇംപ്ലാന്റിന്, ആ കൈമാറ്റം നടത്താൻ എളുപ്പമാണ്.
ടൈംലൈൻ
കുടുംബം അതിവേഗം വളർന്നു. ഫ്ലാഗ് ചെയ്ത പതിപ്പുകൾക്കായുള്ള ടിക്കറ്റ്-സൃഷ്ടി ടൈംസ്റ്റാമ്പുകൾ മുഴുവൻ നിരീക്ഷിച്ച ആർക്കിനെയും ഏകദേശം പതിമൂന്നര മണിക്കൂറിനുള്ളിൽ സ്ഥാപിക്കുന്നു, കൂടാതെ സ്കാനറിന്റെ സ്വന്തം തെളിവുകളുടെ എണ്ണവും കോഡിനൊപ്പം വളർന്നു - ആദ്യ പതിപ്പിലെ ഫ്ലാഗ് ചെയ്ത രണ്ട് സൈറ്റുകളിൽ നിന്ന് ഏറ്റവും പുതിയ പതിപ്പിൽ പതിനാലായി.
പതിപ്പ് നമ്പറുകൾ കർശനമായ ക്രമത്തിൽ പ്രസിദ്ധീകരിച്ചിട്ടില്ല, പക്ഷേ ദിശ വ്യക്തമാണ്: ആദ്യം ഒരു ചെറിയ കട്ട്, തുടർന്ന് പൂർണ്ണമായും ഫീച്ചർ ചെയ്ത 0.7.1 ലേക്കുള്ള ദ്രുത ആവർത്തനം. സജീവമായി വികസിപ്പിച്ചുകൊണ്ടിരിക്കുന്ന ഒരു പ്രോജക്റ്റ് വളരുന്നതിനനുസരിച്ച് ഒരു പൊതു രജിസ്ട്രിയിലേക്ക് തള്ളപ്പെടുന്നതിന്റെ രൂപമാണിത്, ഒറ്റയടിക്ക് ഉണ്ടാകുന്ന ഒരു കുറവ് അല്ല.
വിട്ടുവീഴ്ചയുടെ സൂചകങ്ങൾ
താഴെയുള്ള എല്ലാ സൂചകങ്ങളും ഓൺ-ഡിസ്ക് പാക്കേജ് ഉള്ളടക്കങ്ങളുമായി താരതമ്യപ്പെടുത്തി സ്ഥിരീകരിച്ചു, കൂടാതെ പതിപ്പ് 0.7.1 ന്റെ ഒരു ഡിറ്റർമിനിസ്റ്റിക് ഇൻഡിക്കേറ്റർ സ്കാനും; ഒന്നും തന്നെ ഊഹക്കച്ചവടമല്ല.
ഡിഫൻഡർ കുറിപ്പ്: ഏറ്റവും ശക്തമായ ഈടുനിൽക്കുന്ന സിഗ്നൽ ഡൊമെയ്ൻ അല്ല (ഒരു റിലേ ഹോസ്റ്റ് നിസ്സാരമായി കറങ്ങുന്നു) മറിച്ച് ആകൃതി: മൂന്നോ അതിലധികമോ വ്യത്യസ്ത ഹോസ്റ്റ്-സർവൈലൻസ് പ്രിമിറ്റീവുകളെ ബണ്ടിൽ ചെയ്യുന്ന ഒരൊറ്റ പാക്കേജ്. ഒപ്പം ഒരു പൊതു കണ്ടന്റ്-ഹോസ്റ്റിംഗ് സേവനത്തിലൂടെ ഒരു കമാൻഡ്/പ്രതികരണ ലൂപ്പ് റൂട്ട് ചെയ്യുന്നു. തടയൽ പോയിന്റ്[.]ഐഒ മിക്ക കടകൾക്കും പൂർണ്ണമായും പ്രായോഗികമല്ല; ഇൻപുട്ട് ഉപകരണങ്ങൾ പിടിച്ചെടുക്കുകയും ഒരു JSON-ബിൻ സേവനവുമായി സംസാരിക്കുകയും ചെയ്യുന്ന ഒരു അപ്രതീക്ഷിത പ്രക്രിയയെക്കുറിച്ച് മുന്നറിയിപ്പ് നൽകുന്നത് വളരെ ശക്തമാണ്.
നിരീക്ഷിച്ച പെരുമാറ്റവും ഫ്രെയിമിംഗും
രണ്ട് കാര്യങ്ങൾ ഈ സാമ്പിളിനെ അസാധാരണമാക്കുന്നു, രണ്ടും ഉദ്ദേശ്യത്തെക്കുറിച്ചുള്ള അനുമാനങ്ങളേക്കാൾ നിരീക്ഷിക്കാവുന്ന വസ്തുതകളാണ്.
അത് സ്വയം പരസ്യപ്പെടുത്തി. PyPI-യിൽ വിതരണം ചെയ്ത പാക്കേജ് സംഗ്രഹം പ്ലെയിൻ ഭാഷയിൽ കഴിവുകൾ വിവരിച്ചു - റിമോട്ട് ആക്സസ്, ഡെസ്ക്ടോപ്പ് നിയന്ത്രണം, ഉപയോക്തൃ മാനേജ്മെന്റ്, വെബ്ക്യാം, ഓഡിയോ, കീലോഗർ, പെർസിസ്റ്റൻസ്, ബ്രൗസർ ഡാറ്റ, വൈഫൈ, രജിസ്ട്രി, "140+ കമാൻഡുകൾ". ഒരു ബിൽഡ് ഹെൽപ്പർ, ഒരു CLI റാപ്പർ അല്ലെങ്കിൽ ഒരു AI-ഏജന്റ് യൂട്ടിലിറ്റി ആയി കോഡ് കൈമാറാൻ ശ്രമിച്ചില്ല, പൊതു രജിസ്ട്രികളിൽ നമ്മൾ കാണുന്ന ഏറ്റവും സാധാരണമായ വേഷമാണിത്. ആ ഓപ്പൺനെസ്സ് ആക്സസ് നിയന്ത്രണങ്ങളില്ലാതെ പ്രസിദ്ധീകരിച്ച ഒരു റെഡ്-ടീം ടൂളിനെ പ്രതിഫലിപ്പിക്കുമോ അതോ മറ്റെന്തെങ്കിലുമാണോ എന്നത് പാക്കേജ് ഉള്ളടക്കങ്ങൾ മാത്രം പരിഹരിക്കാത്ത ഒരു ചോദ്യമാണ്; പ്രവർത്തിക്കുന്ന, പൊതുവായ ഉദ്ദേശ്യമുള്ള റിമോട്ട് ആക്സസ്, സർവൈലൻസ് ടൂൾകിറ്റ് ഉള്ള ആർക്കും ഇൻസ്റ്റാൾ ചെയ്യാൻ കഴിയുമെന്നത് ഉറപ്പാണ്. PIP.
അത് ഒരു സൗമ്യമായ സേവനത്തിലുള്ള വിശ്വാസത്തെ ആശ്രയിച്ചു. ഉപയോഗിക്കുന്നു പോയിന്റ്[.]ഐഒ കാരണം റിലേയാണ് നിർവചിക്കുന്ന സാങ്കേതികത. ഇത് വിശാലമായ ഒരു പാറ്റേണിന്റെ ഒരു ഉദാഹരണമാണ് - ഒരു നിയമാനുസൃത SaaS വഴി C2 റൂട്ടിംഗ് (സൈറ്റുകൾ ഒട്ടിക്കുക, JSON ബിന്നുകൾ, ചാറ്റ് വെബ്)hooks, ക്ലൗഡ് ഡോക്സ്) അങ്ങനെ ക്ഷുദ്രകരമായ ട്രാഫിക് സാധാരണ ഡെവലപ്പർ പ്രവർത്തനത്തിലേക്ക് ലയിക്കുകയും പിടിച്ചെടുക്കാൻ ഓപ്പറേറ്ററുടെ ഉടമസ്ഥതയിലുള്ള എൻഡ്പോയിന്റ് ഉണ്ടാകാതിരിക്കുകയും ചെയ്യും. റിലേയിലെ പേലോഡുകൾ എൻക്രിപ്റ്റ് ചെയ്തിരിക്കുന്നതിനാൽ ബിൻ ഉള്ളടക്കങ്ങൾ ഒരു സാധാരണ നിരീക്ഷകന് കമാൻഡുകളായി വായിക്കാൻ കഴിയില്ല.
പ്രസാധകരുടെ സിഗ്നലുകൾ നേർത്തതും പൊതുവായതുമാണ്. പാക്കേജ് പ്രഖ്യാപിച്ചു ഒരു രചയിതാവ് “gcli സംഭാവകരുടെയും” ഒരു MIT ലൈസൻസിന്റെയും, അതിന്റെ ഹോംപേജും റിപ്പോസിറ്ററി ഫീൽഡുകളും ചൂണ്ടിക്കാണിച്ചു github[.]com/gcli-control/gcli. അതൊന്നും സ്ഥിരീകരണമല്ല: ഒരു രചയിതാവിന്റെ സ്ട്രിംഗ് സൗജന്യ വാചകമാണ്, ഒരു MIT ലൈസൻസ് ഹെഡറിന് ഒന്നും ചെലവാകില്ല, പാക്കേജ് മെറ്റാഡാറ്റയിലെ ഒരു റിപ്പോസിറ്ററി URL ഒരു അവകാശവാദമാണ്, ഉറവിടത്തിന്റെ തെളിവല്ല. പാറ്റേൺ - ഒരു പുതിയ പേര്, ഒരു പൊതുവായ കൂട്ടായ രചയിതാവ്, പാക്കേജിനു ചുറ്റും സൃഷ്ടിച്ച ഒരു സ്വയം-റഫറൻഷ്യൽ ഓർഗനൈസേഷൻ/റിപ്പോ - ഒരു റിമോട്ട്-കൺട്രോൾ സവിശേഷത വളർത്തിയെടുത്ത ഒരു സ്ഥാപിത ഉപകരണത്തേക്കാൾ, കോഡ് വഹിക്കാൻ പ്രത്യേകമായി ഉയർന്നുവരുമ്പോൾ ഒരു പ്രോജക്റ്റ് എങ്ങനെയിരിക്കും എന്നതാണ്. ഇവയെ ഞങ്ങൾ നിരീക്ഷണങ്ങളായി കണക്കാക്കുന്നു; അവ പൊരുത്തപ്പെടുന്നു, പക്ഷേ അവ സ്വയം ഒരു ഉദ്ദേശ്യ-നിർമ്മിത വിതരണത്തെ സ്ഥാപിക്കുന്നില്ല.
കഴിവിന്റെയും ഡെലിവറിയുടെയും അടിസ്ഥാനത്തിൽ ഞങ്ങൾ ഈ സ്വഭാവത്തെ ക്ഷുദ്രകരമായി വിശേഷിപ്പിക്കുന്നു: ഒരു പൂർണ്ണവും പ്രവർത്തിപ്പിക്കാവുന്നതുമായ റിമോട്ട്-ആക്സസ്, നിരീക്ഷണ ഇംപ്ലാന്റ്, ഒരു രഹസ്യ റിലേ ഉപയോഗിച്ച് ഒരു പൊതു പാക്കേജ് സൂചികയിൽ വിതരണം ചെയ്യുന്നു. ഞങ്ങൾ ഒരു ലക്ഷ്യമോ പ്രേരണയോ ആരോപിക്കുന്നില്ല.
ആഘാതം, ട്രെൻഡുകൾ & പ്രതിരോധക്കാർക്ക് എന്തുചെയ്യാൻ കഴിയും
വേഷംമാറി നടക്കുന്ന രീതിയിലുള്ള പരീക്ഷണങ്ങൾക്ക് പറ്റിയ സ്ഥലം. നിരവധി ഓട്ടോമേറ്റഡ് പാക്കേജ് ട്രയേജ് കീകൾ മറച്ചു പിടിക്കുക സിഗ്നലുകൾ സാധാരണ രജിസ്ട്രി മാൽവെയർ — അവ്യക്തമായ ബ്ലോബുകൾ, ഇൻസ്റ്റാൾ സമയം hooks, ക്രെഡൻഷ്യൽ-കൊയ്ത്തൽ വൺ-ലൈനറുകൾ. ലളിതമായ ഒരു പാക്കേജ് തുറന്ന് ഒരു RAT, വൃത്തിയായി വായിക്കാവുന്ന കോഡും ഇൻസ്റ്റാൾ ഹുക്കും ഇല്ലാതെ, ആ ടെല്ലുകളൊന്നും അവതരിപ്പിക്കുന്നില്ല, മറച്ചുവെക്കൽ പ്രതീക്ഷിക്കുന്ന ഹ്യൂറിസ്റ്റിക്സുകളെ മറികടക്കാൻ കഴിയില്ല. ഈ ക്ലാസിനെ വിശ്വസനീയമായി പിടികൂടുന്ന സിഗ്നലുകൾ വേഷംമാറി അടിസ്ഥാനമാക്കിയുള്ളതല്ല, ഘടനാപരമാണ്: ഒരു ശേഷി സെൻസസ് (ഒരു പാക്കേജിൽ എത്ര വ്യത്യസ്ത ഹോസ്റ്റ്-സർവൈലൻസ് പ്രിമിറ്റീവുകൾ സഹവർത്തിക്കുന്നു) കൂടാതെ C2-ആകൃതി വിശകലനം (പൊതു-ഉദ്ദേശ്യ ഉള്ളടക്ക-ഹോസ്റ്റിംഗ് സേവനത്തിലൂടെ റൂട്ട് ചെയ്യുന്ന ഒരു കമാൻഡ്/പ്രതികരണ ലൂപ്പ്). ആ പരിശോധനകൾ എത്രത്തോളം സത്യസന്ധമാണെങ്കിലും അല്ലെങ്കിൽ പരിഗണിക്കാതെ തന്നെ പ്രവർത്തിക്കുന്നു. മങ്ങിയത് പാക്കേജിംഗ് ആണ്.
SaaS-as-C2 ട്രെൻഡ്. ഒരു നിയമാനുസൃത ഹോസ്റ്റിംഗ് സേവനത്തെ ദുരുപയോഗം ചെയ്യുന്നത് പുതിയ കാര്യമല്ല, പക്ഷേ സേവനം തടയുന്നതിനുള്ള പ്രതിരോധ ചെലവ് ഉയർന്നതും സേവനങ്ങൾ മാറുന്നതിനുള്ള ആക്രമണ ചെലവ് പൂജ്യത്തോടടുത്തതുമായതിനാൽ അത് പ്രവർത്തിക്കുന്നത് തുടരുന്നു. ഇതിൽ കൂടുതൽ പ്രതീക്ഷിക്കുക. നിർദ്ദിഷ്ട മോശം ഡൊമെയ്നുകളിലേക്ക് നയിക്കുന്ന നെറ്റ്വർക്ക് പ്രതിരോധങ്ങൾ ഉടനടി കാലഹരണപ്പെടും; പെരുമാറ്റ നിയമങ്ങൾ (“ഈ പ്രക്രിയ ക്ലിപ്പ്ബോർഡും വെബ്ക്യാമും വായിക്കുകയും തുടർന്ന് ഒരു നോട്ട്-ഹോസ്റ്റിംഗ് API-യുമായി സംസാരിക്കുകയും ചെയ്യുന്നു”) അങ്ങനെ ചെയ്യുന്നില്ല.
ഒരു കോൺക്രീറ്റ് കണ്ടെത്തൽ രേഖാചിത്രം. ഈടുനിൽക്കുന്ന നിയമം പോയിന്റ്[.]ഐഒ ഒരു സാധാരണ ഡെവലപ്പർ അല്ലെങ്കിൽ CI ഹോസ്റ്റിൽ വ്യക്തിഗതമായി സാധാരണവും എന്നാൽ സംയുക്തമായി അപൂർവവുമായ രണ്ട് നിരീക്ഷണങ്ങൾ ഇത് സംയോജിപ്പിക്കുന്നു:
ഒരു സെഷനുള്ളിൽ ഒരൊറ്റ പ്രക്രിയ രണ്ടും ഉണ്ടാകുമ്പോൾ മുന്നറിയിപ്പ് നൽകുക:
(എ) ഒരു ഹോസ്റ്റ്-സർവൈലൻസ് പ്രിമിറ്റീവ് - ഇൻപുട്ട് ഉപകരണം (കീബോർഡ്/മൗസ് ഹുക്ക്), ക്യാമറ, മൈക്രോഫോൺ, സ്ക്രീൻ ക്യാപ്ചർ, ക്ലിപ്പ്ബോർഡ് റീഡ്-ലൂപ്പ് അല്ലെങ്കിൽ ഒരു ബ്രൗസർ ക്രെഡൻഷ്യൽ സ്റ്റോർ ("Login ഡാറ്റ" / "ലോക്കൽ സ്റ്റേറ്റ്" / DPAPI); കൂടാതെ
(B) (B) ലെ നിർദ്ദിഷ്ട സേവനം പരിഗണിക്കാതെ, ഒരു പൊതു കണ്ടന്റ്-ഹോസ്റ്റിംഗ് / പേസ്റ്റ് / JSON-ബിൻ / ചാറ്റ്-വെബ്ഹുക്ക് സേവനത്തിലേക്ക് ഔട്ട്ബൗണ്ട് അഭ്യർത്ഥനകൾ നടത്തുകയും തുടർന്ന് അവലോകനത്തിനായി ഉയർത്തുകയും ചെയ്യുന്നു.
പകുതിയും ഒറ്റയ്ക്ക് സംശയാസ്പദമല്ല: ധാരാളം നിയമാനുസൃത ഉപകരണങ്ങളുടെ സ്ക്രീൻഷോട്ട്, കൂടാതെ ഒരു ഹോസ്റ്റിംഗ് API-യിലേക്ക് ധാരാളം പോസ്റ്റ് JSON. ഒരു ഹ്രസ്വകാല പ്രക്രിയയ്ക്കുള്ളിലെ സംയോജനമാണ് സിഗ്നൽ, അത് ഏത് റിലേ റൊട്ടേഷനെയും അതിജീവിക്കുന്നു.
ടീമുകൾക്കുള്ള പ്രായോഗിക ഘട്ടങ്ങൾ:
- ഡെവലപ്പറിലും CI ഹോസ്റ്റുകളിലും പബ്ലിക് പാക്കേജ് ഇൻസ്റ്റാളേഷനുകളെ ഒരു സൗകര്യമായിട്ടല്ല, മറിച്ച് ഒരു എക്സിക്യൂഷൻ ബൗണ്ടറിയായി കണക്കാക്കുക — ഒരു ബിൽഡ് ഏജന്റിലെ RAT നിങ്ങളുടെ രഹസ്യങ്ങളുള്ള ഒരു RAT ആണ്.
- അനുവദിക്കപ്പെട്ട ആന്തരിക മിററുകൾ തിരഞ്ഞെടുക്കുക; റിമോട്ട് കൺട്രോളിനായി അക്ഷരാർത്ഥത്തിൽ പേരുള്ളതും ഒരു കീലോഗറിനെ വിവരിക്കുന്നതുമായ ഒരു പാക്കേജ് ഒരിക്കലും ഒരു കോർപ്പറേറ്റ് സൂചികയിൽ പരിഹരിക്കപ്പെടരുത്.
- മുന്നറിയിപ്പ് കോമ്പിനേഷൻ — ഒറ്റപ്പെട്ട ഉപയോഗങ്ങളുള്ള ഏതെങ്കിലും ഒറ്റ പ്രിമിറ്റീവിനെക്കാൾ, ഇൻപുട്ട്-ഉപകരണം അല്ലെങ്കിൽ സ്ക്രീൻ ക്യാപ്ചർ പ്ലസ് ഔട്ട്ബൗണ്ട് ട്രാഫിക് ഒരു കണ്ടന്റ്/പേസ്റ്റ്/JSON-ബിൻ സേവനത്തിലേക്ക്.
- വിശാലമായ ഹോസ്റ്റ്-ആക്സസ് ശേഷിയുള്ള പാക്കേജുകൾക്ക് ഒരു ടെർമിനൽ വിധിന്യായമായി ഒരു ഓട്ടോമേറ്റഡ് "സേഫ്" സ്കോറിനെ ആശ്രയിക്കരുത്; അവയെ മനുഷ്യ അവലോകനത്തിലേക്ക് നയിക്കുക.
പാക്കേജ് കുടുംബത്തെ ക്ഷുദ്രകരമായി തരംതിരിക്കുകയും രജിസ്ട്രി നീക്കം ചെയ്യലിനായി റഫർ ചെയ്യുകയും ചെയ്തിട്ടുണ്ട്. റിലേ അടിസ്ഥാനമാക്കിയുള്ള C2 ഒരു ഓപ്പറേറ്ററുടെ ഉടമസ്ഥതയിലുള്ള ഹോസ്റ്റിനെ സിങ്ക്ഹോളിലേക്ക് വിടാത്തതിനാൽ, ഡ്യൂറബിൾ ഡിഫൻസീവ് മൂല്യം മുകളിലുള്ള ബിഹേവിയറൽ ഫിംഗർപ്രിന്റിലാണ്, ഏതെങ്കിലും ഒരൊറ്റ ബ്ലോക്ക്ലിസ്റ്റ് എൻട്രിയിലല്ല.
