Бастаи Python риштаи флуоресент, ки дар PyPI кашф шудааст, ҳамчун муайян карда шудааст бадкирдор, дорои нармафзори зараровари анъанавии дуздии иттилоот мебошад. Аммо, хусусияти муайянкунандаи он истифодаи усулҳои пешрафтаи масхаракунии код аст, ки бори фоидаовари онро пинҳон мекунанд ва таҳлилро махсусан душвор мегардонад. Ин нармафзори зараровар се қабати масхаракуниро такроран дар тамоми занҷири ҳамлаи худ истифода мебарад ва монеаҳои назаррасро барои деконструксияи дастӣ эҷод мекунад.
Варақаи фиреб: Нармафзори зараровари Infostealer ва гумроҳ кардани код
Нармафзори зараровари Infostealer чист?
Нармафзори зараровари Infostealer дар ҷаҳони рақамии шумо мисли дузди пинҳонкор амал мекунад. Он маълумоти махфиро, ба монанди паролҳо, рақамҳои корти кредитӣ ё маълумоти шахсии шуморо, бе огоҳии шумо, оҳиста-оҳиста мегирад. Ин барномаҳо он чизеро, ки шумо менависед (клавиатураро ворид мекунед), браузери шуморо дуздидаед ё файлҳоро дар дастгоҳи худ скан мекунед, то маълумоти арзишмандро ҷамъ кунед. Қисми даҳшатноктарин? Онҳо дар пинҳон мондан аз радар бартарӣ доранд.
1. Рамзгузории сегона
Раванди нофаҳмоӣ бо як бори пурқуввати рамзгузоришуда дар дохили он оғоз меёбад. fluenty.py файл. Раванди ибтидоии рамзгузорӣ ва рамзкушоӣ метавонад чунин ҷамъбаст карда шавад:
encoded_data = base64_module.b64decode("... BASE-6 with encrypted payload, IV and RSA-encrypted keys…”); # … Sequential decryption: ChaCha20, Blowfish and AES … encrypted_payload = AES_Cipher.new(aes_key, AES_Cipher.MODE_CBC, iv=aes_iv).decrypt(encrypted_payload[16:]) final_payload = unpad_function(encrypted_payload, AES_Cipher.block_size) exec( zlib_module.decompress(bz2_module.decompress(final_payload)) ) Ин раванди нофаҳмоӣ инҳоро дар бар мегирад:
- Мушкилот: Истифодаи gzip ва bzip.
- Рамзгузории симметрӣРамзгузории занҷирӣ бо ChaCha20, Blowfish ва AES.
- Рамзгузории асимметрӣRSA барои рамзгузории калидҳои симметрӣ истифода мешавад.
Натиҷа дар Base64 рамзгузорӣ ва ҳамчун ворид карда мешавад рамзгузорӣ_шудаҲар як такрор бар асоси версияи қаблӣ сохта мешавад ва сохтори рамзгузории дохилиро эҷод мекунад, ки ошкор кардани бори воқеиро бидуни муҳандисии баръакс хеле душвор мегардонад.
2. Декомпрессияи Gzip
Дар бисёр қадамҳои мобайнӣ, нармафзори зараровар усули содда, вале муассири масхаракуниро истифода мебарад: фишурдани Gzip дар якҷоягӣ бо рамзгузории Base64.
import base64, zlib; eval(zlib.decompress(base64.b64decode(<STR>).decode('utf-8')) Ин усул кафолат медиҳад, ки бори парешоншуда дар тамоми марҳилаҳо пинҳон мемонад.
3. Пайвасткунии код ва компилятсияи динамикӣ
Қабати ниҳоӣ тақсим кардани бори парешоншударо дар байни тағирёбандаҳои сершумор дар бар мегирад, ки ҳангоми иҷро ба таври динамикӣ пайваст ва декод карда мешаванд:
import base64, zlib FEQXCBDOZKHVIhT = '...' # ....(111 other variables with base-64 encoded values) ... zZytWuvuEdBXSrO = eval(<FEQXCBDOZKHVIhT' encoded with '\x>) + eval(<next variable, encoded>) + eval( ' zlib.decompress(base64.b64decode(<VAR>)).decode('utf-8') ') + ... eval(compile(base64.b64decode(eval(zZytWuvuEdBXSrO)).decode('utf-8'), ‘<app>', 'exec')) Ин марҳила махсусан барои муҳандисии баръакс дастӣ душвор аст, зеро ҳар як тағирёбанда бояд декод карда шавад ва барои ошкор кардани бори навбатии фоиданок аз нав муттаҳид карда шавад.
Бо якҷоя кардани ин усулҳои масхаракунӣ, нармафзори зараровари инфостилер in риштаи флуоресент аз ошкоркунӣ канорагирӣ мекунад ва нақши муҳими онро нишон медиҳад Камбудии код дар ҳамлаҳои киберии муосир.
Занҷири ҳамлаи бисёрмарҳилавии ThreadFluent
Дар риштаи флуоресент нармафзори зараровари инфостилер аз чор марҳилаи алоҳида иборат аст, ки ҳар кадоми онҳо қабатҳои иловагиро муаррифӣ мекунанд Камбудии кодИн марҳилаҳо на танҳо барои интиқоли бори муфид, балки барои ҳифзи он аз ошкоркунӣ ва таҳлил низ хизмат мекунанд.
Марҳилаи 0: Иҷрои ибтидоии код
Нуқтаи вуруд ин аст __init__.py файле, ки иҷрои боркунии парешоншударо дар оғоз мекунад fluenty.pyИн файл барои истеҳсоли дроппери марҳилаи 1 аз обфускасияи бисёрқабата (чунон ки дар қадамҳои 1-3 тавсиф шудааст) истифода мебарад:
import os,threading def main(): if os.name == 'nt': from . import fluent fluent.main() thread = threading.Thread(target=main , daemon=True) thread.start() Марҳилаи 1: Қатраи ибтидоӣ
Пас аз тоза кардани дроппери аввал, рамзи иловагии зарароварро зеркашӣ ва ҷойгир мекунад. puts.py, аз анбори GitHub Пойҳои мӯйсурх-1337/repuests (огоҳӣ: рамзи эҳтимолии зараровар дар ин ҷо).
Қатра ҷойгир мекунад puts.py ба насби маҳаллии маъмул дархостҳо китобхона, тағйир додани он __init__.py файлро барои иҷро кардани deobfuscation ва иҷрои марҳилаи оянда истифода баред. Ин deobfuscation аз баръакс кардани бисёр барномаҳои қабатҳои obfuscation 1 … 3 иборат аст.
Марҳилаи 2: Қатраи дуюм
Дроппери дуюм, ки пас аз он ки пас аз ҳамон раванд деобфускатсия карда шуд, бори дигарро зеркашӣ мекунад, ssl.py аз анбори GitHub, онро ҳамчун номгузорӣ мекунад udp.py, ва файли қулфкунандаро тавлид мекунад, то боварӣ ҳосил кунад, ки нармафзори зараровар такроран аз нав насб намешавад. Сипас, он барои аз байн бурдани он иҷро мешавад, ки дар натиҷа боркунии ниҳоии инфодуздиҳиро иҷро мекунад.
Марҳилаи 3: Маълумотдузди ниҳоӣ
Марҳилаи ниҳоӣ як дузди иттилоотии пурра функсионалӣ аст, ки усулҳои пешрафтаи канорагирӣ аз амалиётро истифода мебарад:
- Хусусиятҳои зидди таҳлил:
- Воситаҳои зидди нармафзорро муайян мекунад ва агар ягон равандҳои рӯйхати сиёҳ, IP-ҳо, номҳои мизбон ё муҳитҳои виртуалӣ ошкор карда шаванд, онҳоро қатъ мекунад.
- Эксфилтратсияи маълумот:
- Маълумоти мукаммалро дар бар мегирад. Аз ҷумла, суроғаи IP, суроғаи Mac, маълумоти VPN, кукиҳо/таърихи браузер, маълумоти корти кредитӣ ва эътимодномаҳои ҳамёни криптовалюта ва ғайра, аз ҷумла акси скриншот.
- Маълумоти дуздидашударо (рамзгузорӣшуда) тавассути канали Telegram, бо истифода аз шаблони дар ин ҷо нишондодашуда мефиристад:
Стратегияи деобфускасия
Барои таҳлили бастаҳои монанд, муҳаққиқон бояд қабатҳои нофаҳмои онро ба таври систематикӣ баргардонанд:
- Қадамҳои нофаҳмиро тақлид кунед: Навиштани скриптҳо барои тақлид кардани табдилот (масалан, рамзкушоӣ, декомпрессия) бе иҷрои бори муфид.
- Қабатҳои рамзгузории баръакс: Бо истифода аз калидҳо ва алгоритмҳои дарунсохт, файлро истихроҷ ва рамзкушоӣ кунед.
- Таҳлили такрорӣ: Ҳар як марҳилаи миёнаро ба таври такрорӣ коркард кунед, то бори ниҳоиро барқарор кунед.
Барои содда кардани ин таҳлил абзорҳои автоматӣ ва муҳитҳои қуттии регдор муҳиманд.
Мехоҳед дар бораи пешсаф будан аз таҳдидҳо дар вақти воқеӣ маълумоти бештар гиред?
Мақолаи сафеди моро бо номи "Огоҳкунии барвақт: Муайян ва афзалият додан ба таҳдидҳо дар вақти воқеӣ" зеркашӣ кунед ва бифаҳмед, ки чӣ гуна занҷираи таъминоти нармафзори худро ҳифз кардан мумкин аст.
Ҳунарпешаи "Таҳдид"
Аён аст, ки баста аз ду ҳисоби PyPI нашр шудааст, АБИРҲУСАЙН10 ва anomilano785, айни замон хориҷ карда шудааст.
Ҳисоби (айни замон фаъол) GitHub бо номи ... вуҷуд дорад. АБИРҲУСАЙН10, ки метавонад бо маърака алоқаманд бошад. Пойҳои мӯйсурх-1337 Корбари GitHub, ки соҳиби анбори истифодашуда барои зеркашии марҳилаҳои 2 ва 3 мебошад, низ таҳти таҳлил қарор дорад.
Гарчанде ки мансубият ҳамеша мураккаб аст ва узвият ба дастаи сурх имконпазир аст, намуд ва ҳаҷми маълумоти ифлосшуда ба як амали бадхоҳ ишора мекунад.
Хулоса: Нақши нофаҳмии код дар эволютсияи нармафзори зараровар
Дар риштаи флуоресент Ин баста намунаи нофаҳмиҳои нармафзори зараровари муосирро дар интиқоли бисёрмарҳилавии худ нишон медиҳад. Дар якҷоягӣ бо усулҳои канорагирӣ аз ошкоркунӣ, ин баста кӯшиши возеҳро барои канорагирӣ аз ошкоркунӣ ва муқовимат ба таҳлил нишон медиҳад.
Ин таҳлил аҳамияти талошҳои муштарак ва абзорҳои автоматикунонидашударо дар мубориза бо чунин таҳдидҳо таъкид мекунад. Бо таҳлил ва дарки ин усулҳо, мутахассисони амниятӣ метавонанд дар оянда воситаҳои беҳтари дифоъро аз нармафзори зараровари шабеҳ таҳия кунанд.
Чӣ гуна системаи MEW-и Xygeni аз расидани бастаи зараровари риштаи флешфлют ба истеҳсолот пешгирӣ кард
Xygeni's Огоҳии барвақти нармафзори зараровар (MEW) низом дар боздоштани риштаи флуоресент Бастаи Python, вобастагии зараровар, ки дорои пешрафта аст нофаҳмии код ва бисёрмарҳилаӣ нармафзори зараровари инфостилер, пеш аз он ки он муҳити истеҳсолӣро зери хатар гузорад. Ин аст тарзи кор:
- Ошкоркунӣ тавассути таҳлили статикӣ
MEW мушоҳида шуд риштаи флуоресентрамзи пинҳонии 's, ёфтани аломатҳои шубҳанок ба монанди рамзгузории қабатӣ ва фаъолияти ғайриоддии вобастагӣ. - Арзёбии дастрасии вақти иҷро
Система муайян кард, ки рамзи баста метавонад ҳангоми истифода кор кунад ва онро ҳамчун таҳдиди ҷиддӣ бидуни иҷро кардани он қайд кунад. - CI/CD Pipeline ҳимоя
MEW масдуд шудааст риштаи флуоресент дар вақти воқеӣ, аз дохил шудан ба сохторҳо ва аз расидан ба истеҳсолот пешгирӣ кард. Он ба таҳиягарон огоҳиҳои амалӣ мефиристод ва вақти қиматбаҳоро сарфа мекард. - Мубодилаи иттилооти таҳдидӣ
Xygeni зуд дар бораи баста ба PyPI хабар дод ва бозёфтҳои худро бо шабакаи амниятии ҷаҳонии худ мубодила кард, ки ин аз паҳншавии минбаъдаи он пешгирӣ кард.
Муҳофизат кунед CI/CD Pipelineс барои ройгон
Пешгирӣ кардани таҳдидҳо ба монанди риштаи флуоресент бо системаи огоҳкунии барвақти нармафзори зараровари Xygeni. Оғози худро озмоиши озмоишӣ имрӯз ва занҷираи таъминоти нармафзори худро бехатар созед.
Луис Родригес
Луис Родригес физик астcist + математик ва CISSP. Айни замон ҳаммуассис ва директори техникии Xygeni Security мебошад. Ӯ зиёда аз 20 сол таҷриба дар соҳаи амнияти нармафзор дорад ва дар лоиҳаҳое ба монанди SAST ва SCAӮ айни замон ба он диққат медиҳад software supply chain security.
Даниел Мартин
Даниел Мартин коршиноси амнияти киберӣ ва узви гурӯҳи таҳқиқоти амниятии Xygeni мебошад, ки дар ... тахассус дорад. SDLC кам кардани осебпазирии амният ва барномаҳо.
