TL، ڊاڪٽر
هڪ PyPI پيڪيج جنهن جو نالو آهي gcli-ڪنٽرول هڪ مڪمل ونڊوز ريموٽ رسائي وارو اوزار موڪليو: ڪي اسٽروڪ لاگنگ، ويب ڪيم ۽ مائڪروفون ڪيپچر، ڪلپ بورڊ مانيٽرنگ، برائوزر-ڪريڊينشل رسائي، اسڪرين ڪنٽرول، پرسسٽنس، پرائيويزل ايليوييشن، ۽ هڪ خود اشتهار ڏنل "140+ ڪمانڊز." اهو لڪايو نه ته اهو ڇا هو: پيڪيج جي پنهنجي PyPI خلاصي ان کي "ريموٽ رسائي ٽول ذريعي" جي طور تي بيان ڪيو. اين پوائنٽ.آئي او".
جنهن تفصيل تي توقف ڪرڻ جي لائق آهي اهو جملو آهي "npoint.io ذريعي." هڪ وقف ٿيل سرور کي گهر سڏڻ بدران، استعمال ٿيل امپلانٽ اين پوائنٽ[.]آئو (ننڍن JSON دستاويزن کي هوسٽ ڪرڻ لاءِ هڪ مفت، جائز سروس) ان جي ڪمانڊ اينڊ ڪنٽرول رلي جي طور تي. آپريٽر JSON بن ۾ ڪمانڊ لکي ٿو؛ امپلانٽ پول جيڪي بن ۾ رکي ٿو، عمل ڪري ٿو، ۽ نتيجا واپس لکي ٿو. ڪو به حملي آور جي ملڪيت وارو ڊومين بلاڪ ڪرڻ لاءِ ناهي، ڪو به نئون IP نشان لڳائڻ لاءِ ناهي: ٽرئفڪ هڪ سروس ڏانهن وڃي ٿو جيڪا ڊولپرز هر روز استعمال ڪندا آهن.
ڇهه نسخا تقريباً ساڍا تيرهن ڪلاڪن ۾ شايع ٿيا، هر هڪ آخري کان وڌيڪ قابل. انهن مان هر هڪ کي اسڪور ڏنو ويو. ايم ايل_پريڊڪٽڊ_سيف دستي جائزي کان اڳ هڪ خودڪار درجه بندي ڪندڙ طرفان خاندان کي بدڪار جي طور تي ٻيهر درجه بندي ڪيو ويو.
حملي جي اناٽومي
gcli-ڪنٽرول درآمد پيڪيج انسٽال ڪري ٿو جي سي ايل آءِ، هڪ 35-ماڊيول پٿون ڪوڊ بيس. ڪو به انسٽاليشن وقت ناهي hooks - ڪجھ به نه هلندو آهي pip انسٽال. صلاحيت پاڻ ماڊيولز ۾ رهندي آهي، هڪ ڀيرو اوزار هلندو آهي، ۽ ماڊيول لي آئوٽ هڪ پراڊڪٽ اسپيڪ شيٽ وانگر پڙهي ٿو:
ڪمانڊ چينل دلچسپ حصو آهي. گھڻا ريموٽ رسائي ٽولنگ هڪ سرور تائين پهچن ٿا جيڪو آپريٽر ڪنٽرول ڪري ٿو - هڪ IP، هڪ ڊومين، هڪ هوسٽنگ فراهم ڪندڙ جيڪو رپورٽ ڪري سگهجي ٿو ۽ آف لائن ورتو وڃي ٿو. gcli-ڪنٽرول بدران علاج ڪري ٿو a مفت JSON-bin سروس هڪ ڊيڊ ڊراپ جي طور تي. هن اين پوائنٽ ماڊيول ننڍڙا JSON دستاويز پڙهي ۽ لکي ٿو اين پوائنٽ[.]آئو عام HTTPS تي؛ جي cryptto/encrypt ماڊيول مٽا سٽا ٿيل پيل لوڊ کي لپيٽندا آهن ته جيئن بن مواد سادي متن جي حڪمن ۾ نه هجن. اثر هڪ وچولي، انڪرپٽ ٿيل رلي آهي:
- آپريٽر هڪ (انڪرپٽ ٿيل) هدايت کي JSON بن ۾ ڇڏي ٿو.
- متاثر ٿيل هوسٽ تي هلندڙ امپلانٽ، پول ڪري ٿو جيڪو بن ڪري ٿو، ڊيڪرپٽ ڪري ٿو، پنهنجي ڪمانڊ هينڊلر مان هڪ کي عمل ۾ آڻي ٿو، ۽ (انڪرپٽ ٿيل) نتيجو واپس لکي ٿو.
- هڪ نيٽ ورڪ مانيٽر ڏانهن، متاثر صرف ڳالهائي رهيو آهي اين پوائنٽ[.]آئو — هڪ خدمت جيڪا ڊولپر ٽرئفڪ ۾ ظاهر ٿيڻ جو جائز سبب هجي.
هتي ڪو به ٻئي مرحلي جو ڊائون لوڊ ناهي ۽ نه ئي ڪو مبهم لوڊر آهي: صلاحيت مڪمل طور تي، پڙهڻ جي قابل پٿون ۾ موڪلي ويندي آهي، ۽ صرف "لڪائڻ" رلي جو انتخاب ۽ رلي ٿيل پيل لوڊ جي انڪرپشن آهي.
JSON-bin dead-drop عملي طور تي پرڪشش ڇو آهي اهو بيان ڪرڻ جي لائق آهي، ڇاڪاڻ ته اهو وضاحت ڪري ٿو ته اسان ڇو ٻيهر نموني ڏسڻ جي اميد رکون ٿا:
- ڪو به آپريٽر جي ملڪيت وارو اينڊ پوائنٽ ناهي. رجسٽر ڪرڻ لاءِ ڪو به C2 ڊومين ناهي، ڪرائي تي ڏيڻ لاءِ ڪو به VPS ناهي، ۽ ڪنهن محافظ يا رجسٽرار کي ضبط ڪرڻ لاءِ ڪجهه به ناهي. پئڪيج چينل کي نه ڇهندو آهي؛ ختم ڪرڻ چئنل مطلب ته هڪ عام مقصد واري SaaS کان لکين مان هڪ دستاويز جي پوليس ڪرڻ لاءِ پڇڻ.
- شهرت جي لتاڙ. هڪ مشهور ڊولپر سروس ڏانهن آئوٽ بائونڊ HTTPS ڪنهن به شهرت جي سزا نه ٿو ڏئي جيڪا هڪ تازي ڊومين يا خام IP کي هوندي. ڪيترائي ايگريس فلٽرنگ سيٽ اپ ان کي ضمني طور تي اجازت ڏين ٿا.
- غير هم وقت سازي ۽ انڪار. هڪ پولنگ ماڊل - امپلانٽ هڪ کليل ساکٽ رکڻ جي بدران وقفي تي هڪ دستاويز آڻيندو آهي - ٽرئفڪ پيدا ڪري ٿو جيڪو وقتي API پولنگ وانگر نظر اچي ٿو، هڪ انٽرايڪٽو سيشن نه. دستاويز جي مواد کي انڪرپٽ ڪرڻ جو مطلب آهي ته هڪ تجزيه نگار جيڪو بن ڳولي ٿو اهو سائفر ٽيڪسٽ ڏسي ٿو، ڪمانڊ لسٽ نه.
- معمولي گردش. هڪ مختلف بن ڏانهن منتقل ڪرڻ، يا مڪمل طور تي هڪ مختلف نوٽ/پيسٽ سروس، آپريٽر لاءِ هڪ لائن ترتيب جي تبديلي آهي. مخصوص رلي سان ڳنڍيل ڪا به بلاڪ لسٽ ان وقت پراڻي آهي جڏهن اها موڪلي ويندي آهي.
آپريٽر جيڪو واپار قبول ڪري ٿو اهو ٿرو پُٽ ۽ ليٽنسي آهي: هڪ ڊيڊ ڊراپ رلي سڌو ڪنيڪشن جي ڀيٽ ۾ سست ۽ گهٽ بينڊوڊٿ آهي. هڪ نگراني ۽ ڪنٽرول امپلانٽ لاءِ جيڪو گهڻو ڪري مختصر حڪم جاري ڪري ٿو ۽ وقت سان گڏ نتيجا گڏ ڪري ٿو، اهو واپار ڪرڻ آسان آهي.
مقرر وقت
خاندان تيزي سان وڌيو. پرچم ٿيل نسخن لاءِ ٽڪيٽ ٺاهڻ جي ٽائيم اسٽيمپ سڄي مشاهدي واري آرڪ کي تقريباً ساڍا تيرهن ڪلاڪن اندر رکي ٿو، ۽ اسڪينر جي پنهنجي ثبوتن جي ڳڻپ ڪوڊ سان گڏ وڌي وئي - پهرين نسخي ۾ ڪجهه پرچم ٿيل سائيٽن کان تازي ۾ چوڏهن تائين.
نسخن جا انگ سخت ترتيب ۾ شايع نه ڪيا ويا، پر هدايت واضح آهي: هڪ ننڍڙو پهريون ڪٽ، پوءِ مڪمل طور تي نمايان 0.7.1 ڏانهن تيز ورهاڱي. هي هڪ منصوبي جي شڪل آهي جيڪا فعال ترقي هيٺ آهي جيڪا عوامي رجسٽري ڏانهن ڌڪي ويندي آهي جيئن اها وڌندي آهي، هڪ شاٽ ڊراپ نه.
سمجهوتي جا اشارا
هيٺ ڏنل سڀئي اشارا آن-ڊسڪ پيڪيج جي مواد ۽ ورجن 0.7.1 جي تعيناتي اشاري اسڪين جي خلاف تصديق ڪيا ويا آهن؛ ڪو به قياس آرائي نه آهي.
محافظ نوٽ: سڀ کان مضبوط پائيدار سگنل ڊومين نه آهي (هڪ رلي هوسٽ معمولي طور تي گھمندو آهي) پر شڪل: هڪ واحد پيڪيج جيڪو ٽن يا وڌيڪ مختلف هوسٽ-نگراني پرائمريز کي گڏ ڪري ٿو ۽ عوامي مواد جي ميزباني جي خدمت ذريعي ڪمانڊ/جواب لوپ کي روٽ ڪري ٿو. بلاڪ ڪرڻ اين پوائنٽ[.]آئو گھڻن دڪانن لاءِ سڌو سنئون غير عملي آهي؛ هڪ غير متوقع عمل تي خبردار ڪرڻ جيڪو ان پٽ ڊوائيسز کي پڪڙي ٿو ۽ JSON-bin سروس سان ڳالهائي ٿو اهو تمام گهڻو مضبوط آهي.
مشاهدو ڪيل رويي ۽ فريم ورڪ
ٻہ شيون هن نموني کي غير معمولي بڻائين ٿيون، ۽ ٻئي مقصد بابت نتيجا ڪڍڻ بدران مشاهدي لائق حقيقتون آهن.
ان پاڻ کي مشهور ڪيو. PyPI تي ورهايل پيڪيج خلاصو سادي ٻولي ۾ صلاحيتن کي ڳڻيو ويو - ريموٽ رسائي، ڊيسڪ ٽاپ ڪنٽرول، يوزر مئنيجمينٽ، ويب ڪيم، آڊيو، ڪيلاگر، پرسسٽنس، برائوزر ڊيٽا، وائي فائي، رجسٽري، "140+ ڪمانڊ." ڪوڊ کي بلڊ هيلپر، CLI ريپر، يا AI-ايجنٽ يوٽيلٽي جي طور تي پاس ڪرڻ جي ڪا به ڪوشش نه ڪئي وئي، جيڪو وڌيڪ عام لڪير آهي جيڪو اسان عوامي رجسٽرين تي ڏسون ٿا. ڇا اهو کليل پن رسائي ڪنٽرول کان سواءِ شايع ٿيل ريڊ ٽيم ٽول کي ظاهر ڪري ٿو يا ٻيو ڪجهه اهو سوال آهي ته پيڪيج جو مواد اڪيلو حل نه ڪندو آهي؛ جيڪو يقيني آهي اهو آهي ته هڪ ڪم ڪندڙ، عام مقصد واري ريموٽ رسائي ۽ نگراني ٽول ڪٽ ڪنهن به شخص طرفان انسٽال ڪرڻ جي قابل هئي جنهن وٽ pip.
اهو هڪ نرم خدمت تي ڀروسو تي ڀروسو ڪيو. استعمال اين پوائنٽ[.]آئو جيئن ته رلي وضاحت ڪندڙ ٽيڪنڪ آهي. اهو هڪ وسيع نموني جو هڪ مثال آهي - هڪ جائز SaaS ذريعي C2 کي روٽ ڪرڻ (پيسٽ سائيٽون، JSON بِن، چيٽ ويب)hooks، ڪلائوڊ دستاويز) ته جيئن خراب ٽرئفڪ عام ڊولپر سرگرمي ۾ ملائي وڃي ۽ ڪو به آپريٽر جي ملڪيت وارو آخري نقطو ضبط نه ٿئي. رلي تي پيل لوڊ انڪرپٽ ٿيل هئا، تنهن ڪري بن مواد هڪ آرامده مبصر کي حڪمن جي طور تي نه پڙهي سگهندو.
پبلشر جا سگنل پتلا ۽ عام آهن. پيڪيج جو اعلان ڪيو ويو ليکڪ "gcli contributors" ۽ هڪ MIT لائسنس، ۽ ان جي هوم پيج ۽ ريپوزٽري فيلڊز کي اشارو ڪيو github[.]com/gcli-control/gcli. ان مان ڪو به تصديق نه آهي: هڪ ليکڪ اسٽرنگ مفت متن آهي، هڪ MIT لائسنس هيڊر جي ڪا به قيمت ناهي، ۽ پيڪيج ميٽا ڊيٽا ۾ هڪ ريپوزٽري URL هڪ دعويٰ آهي، اصل جو ثبوت ناهي. نمونو - هڪ بلڪل نئون نالو، هڪ عام اجتماعي ليکڪ، ۽ پيڪيج جي چوڌاري ٺاهيل هڪ خود-حوالو تنظيم/ريپو - اهو آهي جيڪو هڪ منصوبو نظر اچي ٿو جڏهن اهو خاص طور تي ڪوڊ کڻڻ لاءِ بيٺو آهي، هڪ قائم ٿيل اوزار جي بدران جيڪو ريموٽ ڪنٽرول خاصيت کي وڌايو آهي. اسان انهن کي مشاهدن جي طور تي نوٽ ڪريون ٿا؛ اهي هڪ مقصد سان ٺهيل تقسيم سان مطابقت رکن ٿا، پر پاڻ ۾ قائم نه ڪندا آهن.
اسان صلاحيت ۽ ترسيل جي بنياد تي ڊسپوزيشن کي بدسلوڪي طور بيان ڪريون ٿا: هڪ مڪمل، هلائڻ لائق ريموٽ رسائي ۽ نگراني امپلانٽ، هڪ عوامي پيڪيج انڊيڪس تي هڪ ڳجهي رلي سان ورهايو ويو آهي. اسان ڪنهن به مقصد يا مقصد کي منسوب نٿا ڪريون.
اثر، رجحانات ۽ محافظ ڇا ڪري سگهن ٿا
لڪيل ٽرائيج لاءِ هڪ انڌي جاءِ. گھڻيون خودڪار پيڪيج ٽرائيج ڪيز تي وجھندو آهي جا سگنل عام رجسٽري مالويئر — مبهم بلاب، انسٽاليشن جو وقت hooks، سند جي فصل جي هڪ لائنر. هڪ پيڪيج جيڪو سادو آهي کليل طور تي هڪ RAT، صاف پڙهڻ لائق ڪوڊ ۽ انسٽال ٿيل ٿلهو نه هجڻ سان، انهن مان ڪو به بيان پيش نٿو ڪري ۽ ماضي جي هيورسٽڪس کي ڇڏي سگهي ٿو جيڪي لڪائڻ جي اميد رکن ٿا. سگنل جيڪي قابل اعتماد طور تي هن ڪلاس کي پڪڙين ٿا اهي لڪيل بنيادن جي بدران ساختي آهن: هڪ صلاحيت جي مردم شماري (هڪ پيڪيج ۾ ڪيترا مختلف ميزبان-نگراني پرائمري گڏ موجود آهن) ۽ C2-شڪل تجزيو (هڪ حڪم/جواب لوپ هڪ عام مقصد جي مواد-هوسٽنگ سروس ذريعي روٽ ڪيو ويو). اهي چيڪ فائر ڪن ٿا قطع نظر ته ڪيترو به ايماندار يا ڇنڊڇاڻ پيڪنگ آهي.
SaaS-as-C2 رجحان. هڪ جائز هوسٽنگ سروس کي ڊيڊ ڊراپ طور استعمال ڪرڻ نئون ناهي، پر اهو ڪم ڪندو رهي ٿو ڇاڪاڻ ته سروس کي بلاڪ ڪرڻ جي دفاعي قيمت وڌيڪ آهي ۽ سروسز کي سوئچ ڪرڻ جي جارحاڻي قيمت صفر جي ويجهو آهي. ان کان وڌيڪ توقع ڪريو. مخصوص خراب ڊومينز سان ڳنڍيل نيٽ ورڪ دفاع فوري طور تي ختم ٿي ويندا آهن؛ رويي جا ضابطا ("هي عمل ڪلپ بورڊ ۽ ويب ڪيم کي پڙهي ٿو ۽ پوءِ هڪ نوٽ-هوسٽنگ API سان ڳالهائي ٿو") ائين نه ڪندا آهن.
هڪ ڪنڪريٽ ڳولڻ جو خاڪو. پائيدار قاعدو نالو نٿو وٺي اين پوائنٽ[.]آئو بلڪل به. اهو ٻن مشاهدن کي گڏ ڪري ٿو جيڪي انفرادي طور تي عام آهن پر هڪ عام ڊولپر يا CI هوسٽ تي گڏيل طور تي نادر آهن:
جڏهن هڪ عمل، هڪ سيشن اندر، ٻئي:
(الف) هڪ هوسٽ-نگراني پرائمري تائين رسائي حاصل ڪري ٿو - ان پٽ ڊوائيس (ڪي بورڊ/ماؤس ٿلهو)، ڪئميرا، مائڪروفون، اسڪرين ڪيپچر، ڪلپ بورڊ ريڊ لوپ، يا هڪ برائوزر سند اسٽور ("Login ڊيٽا" / "مقامي رياست" / DPAPI)؛ ۽
(ب) عوامي مواد جي هوسٽنگ / پيسٽ / JSON-bin / چيٽ-ويب هوڪ سروس ڏانهن ٻاهر نڪرڻ جون درخواستون ڪري ٿو ۽ پوءِ جائزو لاءِ اٿاري ٿو، قطع نظر (ب) ۾ مخصوص سروس جي.
ڪو به اڌ اڪيلو شڪي ناهي: ڪافي جائز اوزار اسڪرين شاٽ، ۽ JSON کان پوءِ هوسٽنگ API تائين ڪافي. هڪ مختصر مدت جي عمل اندر ڪنيڪشن سگنل آهي، ۽ اهو ڪنهن به رلي گردش کان بچي ٿو.
ٽيمن لاءِ عملي قدم:
- ڊولپر ۽ سي آءِ هوسٽ تي پبلڪ پيڪيج انسٽال کي هڪ ايگزيڪيوشن بائونڊري طور سمجهو، سهولت جي طور تي نه - بلڊ ايجنٽ تي هڪ RAT توهان جي رازن سان هڪ RAT آهي.
- اجازت ڏنل اندروني آئينن کي ترجيح ڏيو؛ هڪ پيڪيج جنهن جو لفظي نالو ريموٽ ڪنٽرول لاءِ رکيو ويو آهي ۽ هڪ ڪي لاگر کي بيان ڪري ٿو، ڪڏهن به ڪارپوريٽ انڊيڪس تي حل نه ٿيڻ گهرجي.
- تي خبردار ڪريو ميلاپ — ان پٽ-ڊيوائس يا اسڪرين ڪيپچر ۽ مواد/پيسٽ/JSON-بن سروس ڏانهن آئوٽ بائونڊ ٽرئفڪ — ڪنهن به هڪ پرائميٽو جي بدران، جنهن جا اڪيلائي ۾ سٺا استعمال آهن.
- وسيع ميزبان رسائي جي صلاحيت سان پيڪيجز لاءِ ٽرمينل فيصلي جي طور تي خودڪار "محفوظ" اسڪور تي ڀروسو نه ڪريو؛ انهن کي انساني جائزي ڏانهن موڪليو.
پيڪيج فيملي کي خراب قرار ڏنو ويو آهي ۽ رجسٽري هٽائڻ لاءِ حوالو ڏنو ويو آهي. ڇاڪاڻ ته هڪ رلي تي ٻڌل C2 ڪنهن به آپريٽر جي ملڪيت واري هوسٽ کي سنڪ هول ۾ نه ڇڏيندو آهي، پائيدار دفاعي قدر مٿي ڏنل رويي جي فنگر پرنٽ ۾ آهي، ڪنهن به هڪ بلاڪ لسٽ داخلا ۾ نه.
