TL, DR
Xirmo PyPI ah oo loogu magac daray xakamaynta gcli waxay soo dirtay qalab dhammaystiran oo marin u helidda fog ee Windows ah: qorista furaha furaha, qabashada kamaradda webka iyo makarafoonka, la socodka clipboard-ka, marin u helidda aqoonsiga biraawsarka, xakamaynta shaashadda, adkeysiga, kor u qaadista mudnaanta, iyo "140+ amarro" oo is-xayeysiis ah. Ma aysan qarin waxa ay ahayd: soo koobidda PyPI ee xirmada ayaa ku tilmaantay "qalab marin u helidda fog iyada oo loo marayo npoint.io".
Faahfaahinta mudan in la joojiyo waa weedhaas "iyada oo loo marayo npoint.io." Halkii guriga loogu yeeri lahaa adeege u gaar ah, qalabka la geliyay ayaa la isticmaalay npoint[.]io (adeeg bilaash ah oo sharci ah oo loogu talagalay martigelinta dukumeentiyada yaryar ee JSON) oo ah gudbinta amarka iyo xakamaynta. Hawlwadeenku wuxuu amarrada ku qoraa qashinka JSON; ra'yi-ururinta qalabka lagu shubo ee qashinka ku shuba, fuliya, oo natiijooyinka dib u qora. Ma jiro domain uu leeyahay weeraryahan si loo xannibo, ma jiro IP cusub oo la calaamadeeyo: taraafikada waxay aadaa horumariyayaasha adeegga ay isticmaalaan maalin kasta.
Lix nooc ayaa la daabacay qiyaastii saddex iyo toban iyo badh saacadood gudahood, mid walbana wuu ka awood badan yahay kii hore. Mid walbana waa la qiimeeyay. ml_predictive_safe iyadoo la adeegsanayo kala-sooc otomaatig ah ka hor dib-u-eegista gacanta ayaa dib loogu kala saaray qoyska mid xaasidnimo ah.
Anatomy-ga weerarka
xakamaynta gcli wuxuu rakibaa xirmada soo dejinta gcli, saldhig kood Python ah oo 35-module ah. Ma jiraan waqti rakibid ah hooks - waxba ma socdaan inta lagu jiro pip rakibidAwooddu waxay ku jirtaa modules-yada laftooda, waxaana la adeegsadaa marka qalabku shaqeeyo, qaab-dhismeedka module-kuna wuxuu u eg yahay xaashida tilmaamaha badeecada:
Kanaalka amarku waa qaybta xiisaha leh. Inta badan qalabka marin-u-helka fog wuxuu gaaraa server uu maamulo hawlwadeenku - IP, domain, bixiye martigelin ah oo la soo sheegi karo oo laga qaadi karo offline. xakamaynta gcli beddelkeeda waxay daaweysaa Adeegga JSON-bin oo bilaash ah oo ah mid aan qiimo lahayn. The npoint module-ku wuxuu akhriyaa oo qoraa dukumentiyada JSON yaryar oo ku yaal npoint[.]io ka badan HTTPS-ka caadiga ah; Crypto/qarsoodi Modules-ku waxay duubaan culaysyada la isdhaafsaday si waxyaabaha ku jira qashinka aysan u noqon amarro qoraal cad. Saamayntu waa gudbin dhexdhexaad ah oo sir ah:
- Hawl-wadeenku wuxuu ku ridaa tilmaamo (sir ah) weelka JSON.
- Qalabka lagu tallaalay, oo ku shaqeeya martigeliyaha dhibbanaha, ayaa sameeya baaritaanno qashinka lagu shubo, furfura, fuliya mid ka mid ah maamulayaasha amarka, ka dibna natiijada (la qariyay) dib u qora.
- Kormeeraha shabakadda, dhibbanuhu si fudud ayuu ula hadlayaa npoint[.]io — adeeg leh sabab sharci ah oo uu uga soo muuqdo taraafikada horumariyayaasha.
Ma jiro soo dejin heer labaad ah iyo rare qarsoon halkan: awooddu waxay ku dirtaa gebi ahaanba Python la akhrin karo, "qarsoon" kaliyana waa doorashada gudbinta iyo sirta rarista rarista.
Sababta JSON-bin dead-drop uu u yahay mid soo jiidasho leh oo shaqeynaya waa mid mudan in la qeexo, sababtoo ah waxay sharraxaysaa sababta aan u rajeyneyno inaan mar kale aragno qaabka:
- Ma jiro meel dhammaad oo ay shirkaddu leedahay. Ma jiro domain C2 ah oo la iska diiwaan gelin karo, ma jiro VPS oo la kireysan karo, mana jiro wax difaac ama diiwaan-haye uu qaban karo. xirmo ma taabto kanaalka; ka saarista channel macnaheedu waa in la weydiisto SaaS ujeedo guud ah si loo ilaaliyo hal dukumenti oo ka mid ah malaayiin.
- Dharka lagu dhaqo sumcadda. Bixinta HTTPS ee adeeg horumariye oo caan ah ma laha ciqaab sumcadeed oo domain cusub ama IP cayriin ah. Dejinta shaandhaynta bixitaanka badan ayaa si dadban u oggolaanaysa.
- Isku-mid la'aan iyo diidmo. Qaabka codbixinta - qalabka lagu tallaalay wuxuu soo qaataa dukumeenti muddo ah halkii uu ka haysan lahaa god furan - wuxuu soo saaraa taraafig u eg codaynta API ee xilliyeedka, ee aan ahayn kalfadhi is-dhexgal ah. Qarinta waxa ku jira dukumeentiga waxay la macno tahay xitaa falanqeeye hela qashinka inuu arko qoraal qarsoon, ee aan ahayn liis amar ah.
- Wareeg yarU guurista qashin kale, ama adeeg qoraal/dhajis oo kale oo gebi ahaanba ka duwan, waa isbeddel hal-sadar ah oo loogu talagalay hawlwadeenka. Liis kasta oo xannibaad ah oo lagu xidhay gudbinta gaarka ah waa mid duugoobay isla marka uu soo diro.
Kala-beddelka uu hawlwadeenku aqbalo waa wax-soo-saarka iyo dib-u-dhaca: dib-u-gudbiyaha aan la saadaalin karin waa mid gaabis ah oo ka hooseeya bandwidth marka loo eego xiriir toos ah. Qalab lagu dhejiyo kormeerka iyo xakamaynta oo inta badan soo saara amarro gaagaaban oo ururiya natiijooyinka waqti ka dib, ganacsigaas waa mid fudud in la sameeyo.
Jadwalka
Qoyska ayaa si xawli ah u koray. Waqtiga sameynta tikidhada ee noocyada la calaamadeeyay waxay dhigayaan qaansada oo dhan ee la arkay qiyaastii saddex iyo toban saacadood iyo badh, tirada caddaynta iskaanka ayaa sidoo kale korodhay iyadoo la socota koodhka - laga bilaabo dhowr goobood oo la calaamadeeyay noocii ugu horreeyay ilaa afar iyo tobankii ugu dambeeyay.
Tirooyinka nooca laguma daabicin si adag, laakiin jihada waa cad: jaritaan yar oo hore, ka dibna ku celcelin degdeg ah oo loo marayo 0.7.1 oo si buuxda loo soo bandhigay. Kani waa qaabka mashruuc horumarin firfircoon lagu riixayo diiwaan dadweyne marka uu korayo, ee ma aha hoos u dhac hal-tallaabo ah.
Tilmaamayaasha Tanaasulka
Dhammaan tilmaamayaasha hoose waxaa lagu xaqiijiyay waxyaabaha ku jira xirmada diskka iyo sawir tilmaame go'an oo nooca 0.7.1 ah; midkoodna ma aha wax la saadaalin karo.
Qoraalka difaaca: Calaamadda ugu xooggan ee waarta maaha domainka (host relay si fudud ayuu u wareegaa) laakiin qaab: hal xirmo oo isku xidha saddex ama in ka badan oo kala duwan oo ah aasaaska kormeerka martida-ilaalinta iyo Waxay marinaysaa wareeg amar/jawaab ah iyada oo loo marayo adeeg dadweyne oo martigelinaya macluumaadka. npoint[.]io Si toos ah uma habboona dukaamada badankood; digniinta ku saabsan hab aan la filayn oo ah in la qabto aaladaha wax lagu geliyo iyo la hadalka adeegga JSON-bin ayaa aad uga xoog badan.
Dhaqanka la arkay iyo qaabaynta
Laba shay ayaa muunaddan ka dhigaya mid aan caadi ahayn, labaduba waa xaqiiqooyin la arki karo halkii laga soo qaadan lahaa ujeeddada.
Waxay is xayeysiisey. Soo koobidda xirmada ee lagu qaybiyay PyPI waxay ku qortay awoodaha luqad fudud - marin u helidda fog, xakamaynta desktop-ka, maaraynta isticmaalaha, kamaradda webka, maqalka, keylogger, adkeysiga, xogta biraawsarka, WiFi, diiwaanka, "140+ amarro." Ma jirin isku day lagu gudbinayo koodhka sidii kaaliye dhisme, duubis CLI ah, ama adeeg AI-wakiil ah, kaas oo ah qarinta ugu badan ee aan ku aragno diiwaannada dadweynaha. Hadday furfurnaantaasi ka tarjumayso qalab koox casaan ah oo la daabacay iyada oo aan lahayn kontaroolada gelitaanka ama wax kale waa su'aal ku jirta xirmada keligeed aysan xallin; waxa hubaal ah in qalab shaqo oo guud ahaan loogu talagalay gelitaanka fog iyo la socodka uu qof kasta oo leh howlfiican.
Waxay ku tiirsanayd kalsoonida adeeg wanaagsan. Isticmaalka npoint[.]io maadaama gudbinta ay tahay farsamada qeexidda. Waa tusaale qaab ballaaran - habaynta C2 iyada oo loo marayo SaaS sharci ah (goobaha lagu dhejiyo, qashinka JSON, shabakadda sheekaysigahooks, dukumeentiyada daruuraha) si taraafikada xaasidnimada leh ay ugu dhex milmaan dhaqdhaqaaqa horumariyaha caadiga ah oo aysan jirin meel kama dambays ah oo ay leedahay shirkaddu oo la qabto. Culaysyada ku jira gudbinta ayaa la qariyay, si waxyaabaha ku jira qashinka aysan u noqon kuwo amarro u ah kormeere aan caadi ahayn.
Calaamadaha daabacaha waa kuwo khafiif ah oo guud ahaan la yaqaan. Xirmada ayaa ku dhawaaqday a author ee "ku-biirinta gcli" iyo shatiga MIT, waxayna tilmaantay boggeeda hore iyo meelaha kaydka ah github[.]com/gcli-control/gcli. Midna kama aha xaqiijin: xarafka qoraagu waa qoraal bilaash ah, cinwaanka shatiga MIT waxba kama kharash gareeyo, URL-ka kaydka ee ku jira metadata-ka baakadda waa sheegasho, maaha caddayn asal ah. Qaabka - magac cusub, qoraa guud oo wadajir ah, iyo org/repo is-tixraac ah oo laga sameeyay xirmada - waa sida mashruucu u eg yahay marka si gaar ah loogu istaago inuu qaado koodhka, halkii laga isticmaali lahaa qalab la aasaasay oo ku dhacay inuu yeesho astaamo kontorool fog. Waxaan u aragnaa kuwan inay yihiin indho-indheyn; waxay la jaan qaadayaan, laakiin iyagu ma dhisaan, qaybin ujeedo leh.
Waxaan ku tilmaameynaa dabeecad xumeyn ah iyadoo lagu saleynayo awoodda iyo gaarsiinta: qalab dhammaystiran oo la marin karo oo fog iyo qalab la socon karo, oo lagu qaybiyay tusmada xirmada dadweynaha oo leh qalab sir ah. Kuma nihin bartilmaameed ama ujeedo.
Saamaynta, isbeddellada iyo waxa ay difaacayaashu sameyn karaan
Meel indho la'aan ah oo loogu talagalay kala-soocidda ku saleysan qarinta. Furaha kala soocidda xirmooyinka oo aad u otomaatig ah oo ku yaal isku dhejin calaamadaha malware-ka diiwaanka caadiga ah - burooyin qarsoon, waqtiga rakibidda hooks, hal-liner oo aqoonsi-goosanaya. Xirmo si fudud loo sameeyay si furan RAT, oo leh kood nadiif ah oo la akhrin karo oo aan lahayn jillaab rakibid, ma soo bandhigayo mid ka mid ah sheekooyinkaas waxayna ka gudbi karaan macluumaadka la filayo in la qariyo. Calaamadaha si kalsooni leh u qabta fasalkan waa qaab-dhismeed halkii ay ka ahaan lahaayeen kuwo qarsoon: tirakoob awoodeed (inta nooc ee kala duwan ee asaasiga ah ee kormeerka martida loo yahay ee isku wada jira hal xirmo) iyo falanqaynta qaabka C2 (wareegga taliska/jawaabta ee loo maro adeegga martigelinta macluumaadka ujeeddada guud). Kuwaas waxay hubiyaan dabka iyadoon loo eegin sida daacadnimada ama daacadnimada leh. cufiyay baakadu waa.
Isbeddelka SaaS-as-C2. Ku xadgudubka adeegga martigelinta ee sharciga ah sidii mid aan la saadaalin karin ma aha wax cusub, laakiin wuu sii shaqeynayaa sababtoo ah kharashka difaaca ee lagu joojinayo adeegga ayaa sarreeya kharashka weerarka ee beddelka adeegyadana wuxuu ku dhow yahay eber. Filo wax badan oo ka mid ah. Difaaca shabakadda ee lagu xoojiyay domain-yada xun ee gaarka ah ayaa isla markiiba da'aya; xeerarka dhaqanka ("habkani wuxuu akhriyaa sawirka gacanta iyo kamaradda webka ka dibna wuxuu la hadlaa API-ga martigelinta qoraalka") ma sameeyaan.
Sawir-gacmeed la taaban karo. Xeerka waara ma magacaabayo npoint[.]io gabi ahaanba. Waxay isku daraysaa laba indho-indhayn oo si gaar ah caadi u ah laakiin si wada jir ah dhif ugu ah horumariyaha caadiga ah ama martigeliyaha CI:
digniin marka hal hab, hal kalfadhi gudaheed, labadaba:
(A) wuxuu galaa qalab ilaalin oo heer sare ah — qalab gelinta (kiiboodhka/jillaabka jiirka), kamarad, makarafoon, qabashada shaashadda, loop-ka akhrinta, ama dukaan aqoonsi oo biraawsarka ah (""Login Xogta" / "Gobolka Deegaanka" / DPAPI); IYO
(B) waxay codsiyo dibadda ah u dirtaa adeegga dadweynaha ee martigelinta macluumaadka / dhejinta / JSON-bin / chat-webhook ka dibna u soo gudbisaa dib u eegis, iyadoon loo eegin adeegga gaarka ah ee ku jira (B).
Midkoodna badh kaligiis shaki kuma jiro: shaashado badan oo qalab sharci ah, iyo qoraal badan oo JSON ah oo ku jira API martigelin ah. Isku-xirka gudaha hal hab oo muddo gaaban ah waa calaamadda, waxayna ka badbaaday wareeg kasta oo gudbinta ah.
Tallaabooyin wax ku ool ah oo loogu talagalay kooxaha:
- Ku rakibaadda xirmooyinka dadweynaha ee horumariyaha iyo martigeliyeyaasha CI u dhaqan sidii xuduud fulineed, ee maaha mid ku habboon - RAT-ka ku jira wakiilka dhismaha waa RAT oo leh sirtaada.
- Waxaan doorbidaa muraayadaha gudaha ee liiska ku jira; xirmo si dhab ah loogu magac daray xakamaynta fog iyo sharraxaadda keylogger-ka waa inaysan waligood ku xallin tusmada shirkadda.
- Digniin ku saabsan isku darka — qalabka gelinta ama qabashada shaashadda iyo taraafikada dibadda u socota adeegga macluumaadka/ku dhejinta/JSON-bin — halkii laga isticmaali lahaa mid kasta oo asal ah, kaas oo leh isticmaal aan dhib lahayn oo gooni ah.
- Ha ku tiirsanaan dhibco "ammaan ah" oo otomaatig ah oo ah go'aan kama dambays ah oo loogu talagalay xirmooyinka leh awood ballaaran oo marin-u-helka martida; u wareeji dib u eegista aadanaha.
Qoyska baakadka waxaa loo kala saaray mid xaasidnimo ah waxaana loo gudbiyay ka saarista diiwaanka. Maadaama C2 ku salaysan gudbinta uusan ka tagin martigeliyaha uu leeyahay hawlwadeenka godka, qiimaha difaaca ee waara wuxuu ku jiraa faraha dhaqanka ee kor ku xusan, ee kuma jiro hal liis oo xannibaad ah.
