Bújócska - a célzott támadások a tiszta" alkalmazásokban bújnak meg Szappanos Gábor



Hasonló dokumentumok
The banking Trojan Zeus. Készítette: Nagy Attila

Előnyei. Helyi hálózatok tervezése és üzemeltetése 2

ProFTPD. Molnár Dániel október oldal

Fábián Zoltán Hálózatok elmélet

Operációs rendszerek III.

WebEC kliens számítógép telepítése és szükséges feltételek beállítása, az alábbi ellenőrző lista alapján történik.

Tartalom. Történeti áttekintés. Történeti áttekintés Architektúra DCOM vs CORBA. Szoftvertechnológia

SOPHOS simple + secure. A dobozba rejtett biztonság UTM 9. Kókai Gábor - Sophos Advanced Engineer Balogh Viktor - Sophos Architect SOPHOS

Operációs rendszerek. A Windows NT felépítése

OE-NIK 2010/11 ősz OE-NIK ősz

Windows hálózatok. IP cím. Hálózati kapcsolatok nyomonkövetése. < Windows

CREATE TABLE student ( id int NOT NULL GENERATED ALWAYS AS IDENTITY PRIMARY KEY, name varchar(100) NOT NULL, address varchar(100) NOT NULL )

Windows biztonsági problémák

Valós idejű információk megjelenítése web-alapú SCADA rendszerben Modbus TCP protokollon keresztül

A NÉGY BŰVÖS HÁRMAS WWW FTP SQL PHP. BRKK::Békéscsaba Linux rendszergazda képzés 2008

WCF, Entity Framework, ASP.NET, WPF 1. WCF service-t (adatbázissal Entity Framework) 2. ASP.NET kliens 3. WPF kliens

WINPA POSTÁZÓ SZOFTVERHEZ Utolsó módosítás: Szoftver verzió: v Készült: LibreOffice 4 alkalmazással

Oralce kliens installálása Windows Server 2003-ra

OTRS bevezetése és tapasztalatok a DF-ISZK-n

Excel ODBC-ADO API. Tevékenységpontok: - DBMS telepítés. - ODBC driver telepítése. - DSN létrehozatala. -Excel-ben ADO bevonása

Az internet ökoszisztémája és evolúciója. Gyakorlat 1

Telepítési Kézikönyv

S z á m í t ó g é p e s a l a p i s m e r e t e k

Inventor 2019 újdonságok

Alkalmazások biztonsága

Hálózatbiztonság Androidon. Tamas Balogh Tech AutSoft

A virtuális környezetet menedzselő program. Első lépésként egy új virtuális gépet hozzunk létre a Create a New Virtual Machine menüponttal.

WINPA POSTÁZÓ SZOFTVERHEZ Utolsó módosítás: Szoftver verzió: v Készült: LibreOffice 4 alkalmazással

Hálózati Architektúrák és Protokollok GI BSc. 10. laborgyakorlat

STUXNET ÉS AMI MÖGÖTTE VAN

Pénzügyi algoritmusok

WEBFEJLESZTÉS 2. ADATBÁZIS-KEZELÉS, OSZTÁLYOK

Hozzávalók keresése és csatolása

1. Kapcsolók konfigurálása

RPC Remote Procedure Call Távoli eljárás hívás

PASS SCADA bemutatás PICK energiamonitoring és mérésadatgyűjtő rendszer

Információbiztonsági kihívások. Horváth Tamás & Dellei László

Adatbázis-kezelés ODBC driverrel

Jelszavak helyes megválasztása, szótáras törés. Pánczél Zoltán

Az internet ökoszisztémája és evolúciója. Gyakorlat 1

Kiszolgálók üzemeltetése FTP. Iványi Péter

ELEKTRONIKUS MUNKABÉRJEGYZÉK MODUL

Széchenyi István Egyetem

Fábián Zoltán Hálózatok elmélet

Az operációs rendszer. Az operációs rendszer feladatai, részei, fajtái Az operációs rendszer beállítása

Teszt topológia E1/1 E1/0 SW1 E1/0 E1/0 SW3 SW2. Kuris Ferenc - [HUN] Cisco Blog -

Nyíregyházi Egyetem Matematika és Informatika Intézete. Fájl rendszer

SZOFTVEREK (programok)

Hogyan mérhet és javítható az informatikai szolgáltatások értékteremtése? Polgár Endre

Telepítési útmutató. web:

C2000 Manager 1.02 Verzió Használati Utasítás

SQLServer. Védelmi struktúra

Szerverek, kliensek Akár 60 kamera megjelenítése egyszerre Akár 80 kamera képrögzítése Szerveroldali képelemzés Asztali vagy rackbe szerelhető kivitel

Segédanyag: Java alkalmazások gyakorlat

LOGalyze Telepítési és Frissítési Dokumentáció Verzió 3.0

Summer of LabVIEW The Sunny Side of System Design

IT Essentials v március 14. Reményi Zoltán HTTP Alapítvány

Mobil eszközökön tárolt adatok biztonsága

Telepítési dokumentáció. Naviscon Informatikai Zrt Budapest, Montevideó utca 16/b.

1. A NÉPESSÉGNYILVÁNTARTÓ PROGRAM TELEPÍTÉSI FELTÉTELE. A

SQL*Plus. Felhasználók: SYS: rendszergazda SCOTT: demonstrációs adatbázis, táblái: EMP (dolgozó), DEPT (osztály) "közönséges" felhasználók

Számítógépes Hálózatok. 3. gyakorlat

Megtanuljuk, hogyan lehet egy web-alkalmazással adatbázishoz csatlakozni Pontosan megnézzük a PHP lehetőségeit o MySQL-hez o Oracle-höz

ÜGYFÉL OLDALI BEÁLLÍTÁSOK KÉZIKÖNYVE

(NGB_TA024_1) MÉRÉSI JEGYZŐKÖNYV

.NET alkalmazások telepítése

Számítógépes Hálózatok GY 8.hét

Mobil Informatikai Rendszerek

SQL Server High Availability. Bevezetés az SQL Server magas rendelkezésre állási megoldásaiba

DCWatch fejlesztői HUB: dchub://4242.hu:1411 Elite Hub, ahol megnézheted működés közben a BOT-ot: dchub://elite.4242.hu:4242

JAVA webes alkalmazások

VirtueMart bővítmény letölthető termékek eladásához

Az SQL*Plus használata

munkafüzet open eseményéhez

BaBér. Bérügyviteli rendszer. Telepítési segédlet 2014.

BaBér bérügyviteli rendszer telepítési segédlete év

Windows há lo záti ádminisztrá cio gyákorlát

Magyar Nemzeti Bank - Elektronikus Rendszer Hitelesített Adatok Fogadásához ERA. Elektronikus aláírás - felhasználói dokumentáció

JavaScript bűvésztrükkök, avagy PDF olvasó és böngésző hackelés

Webes alkalmazások fejlesztése 1. előadás. Webes alkalmazások és biztonságuk

CUCM 6.0 è 9.1 migráció a gyakorlatban

Vizuális, eseményvezérelt programozás XI.

Csempesz János, Fülöp Csaba, Kovács László

Grafikus keretrendszer komponensalapú webalkalmazások fejlesztéséhez

Adatbiztonság PPZH május 20.

Adatbázis Rendszerek II. 1. SQL programozási felületek 39/1B IT MAN

IP alapú komunikáció. 2. Előadás - Switchek 2 Kovács Ákos

Tanúsítványkérelem készítése, tanúsítvány telepítése Microsoft Internet Information szerveren

Felhő alapú hálózatok Konténerek orkesztrálása Simon Csaba. Budapesti Műszaki és Gazdaságtudományi Egyetem

Személyügyi nyilvántartás szoftver

Dr. Schuster György október 14.

Mobil Informatikai Rendszerek

TANÚSÍTVÁNY TELEPÍTÉSE THUNDERBIRD LEVELEZŐ KLIENSBEN WINDOWS VISTÁN. Tartalom jegyzék

SZERVER OLDALI JAVASCRIPT. 7. hét Promise, async, error rst callback, grunt

Nagios NSCA Indirect Monitoring, Passive Check

2. lépés: openssh szerver telepítés sudo apt-get install openssh-server

Operációs rendszerek. Az NT folyamatok kezelése

DCOM Áttekintés. Miskolci Egyetem Általános Informatikai Tanszék. Ficsor Lajos DCOM /1

Tartalomjegyzék. Előszó... 10

Átírás:

Bújócska - a célzott támadások a tiszta" alkalmazásokban bújnak meg Szappanos Gábor Principal Malware Researcher 1

Digitális aláírások elleni támadások: 2010: Stuxnet digitálisan aláírt driverek (lopott cert) 2012. Június: Flame/Wiper: MD5 collision attack + MS cert 2012. Október: Adobe által aláírt malware: feltört szerver 2013. Január: TURKTRUST certificate abuse 2013. Március: Bit9 által aláírt malware: feltört szerver, lopott cert Malware írók által vásárolt cert (Digital River, ) 2

Mi a víruskeresés? Hipotézisteszt, ahol a nullhipotézis: tiszta állomány, az alternatív hipotézis: malware Aszimmetrikus hipotézisteszt, ahol a nullhipotézis: tiszta állomány, az alternatív hipotézis: malware Ha a nullhipotézist elvetjük, pedig igaz, akkor elsőfajú hibát (fals pozitív, alfa (α) hiba) követünk el; ha ellenben elfogadjuk, pedig nem igaz, akkor másodfajú hibát (fals negatív, béta (β) hiba) követünk el. 3

Célzott támadások általában 4

Célzott támadások rendszerezése: Shellcode technikák Beágyazott EXE kódolása Ideiglenes és végleges komponensek generikus felismerései C&C URL Runtime tevékenységek Létrehozott fájlok Létrehozott registry kulcsok 5

Exploitok és kártevő családok 6

Globális aktivitás 7

8

Plugx 9

Álca dokumentum 10

RAR SFX dropper (v. 3.0, 4.0) Clean signed application Malware loader Encrypted payload 11

Egyszerű komponensek (v. 6.0) dw20.dll Stage 1 dropper Embedded EXE in overlay (0xa00) 2.tmp Stage 2 dropper Embedded: Sidebar.dll.doc Sidebar.dll Gadget.exe Gadget.exe Sidebar.dll Sidebar.dll.doc Dll search order hijacking: tiszta alkalmazás tölti be a malware DLL-t Gadget.exe (trusted process) Sidebar.dll (loader) Sidebar.dll.doc (final payload) 12

Digitálisan aláírt tiszta loaderek 13

Backdoor szolgáltatások Eljárás belső neve Disk KeyLog Nethood Netstat Option PortMap Process RegEdit Screen Service Shell SQL Telnet Szolgáltatás Drive információ (típus, szabad hely) Fájlok listázása Könyvtár létrehozása Fájl létrehozása, módosítása, törlése, átnevezése Program futtatása Billentyűleütések rögzítése: %ALLUSERSPROFILE%\SxS\NvSmart.hlp Megosztott hálózati erőforrások listázása TCP kapcsolat állapotának módosítása UDP és TCP kapcsolatok listázása Workstation lezárása Logoff/Reboot/Shutdown workstation Üzenet megjelenítése Port map Processz leállítása Processzek és modulok listázása Process és modul információ összegyűjtése Registry bejegyézek listázása, létrehozása, törlése Screenshot készítése Szervíz információ gyűjtése Szervíz konfiguráció módosítása Szervíz indítása, törlése, szabályozása Remote shell nyitása SQL driverer listázása SQL adat források listázása SQL parancs végrehajtása Telnet kapcsolat létrehozása 14

DLL search order hijacking másfelé Tusmed (Plugx spinoff project) otelepítési hely: %WINDOWS%\ntshrui.dll, explorer.exe tölti be otelepítési hely: %WINDOWS%\wdmaud.drv, explorer.exe tölti be Indiqui otelepítési hely: %WINDOWS%\ntshrui.dll, explorer.exe tölti be Icefog otelepítési hely: %WINDOWS%\wdmaud.drv, explorer.exe tölti be Yaludle otelepítési hely: %WINDOWS%\msacm32.drv, explorer.exe tölti be Docker otelepítési hely: %WINDOWS%\msacm32.drv, explorer.exe tölti be Etchfro otelepítési hely: %WINDOWS%\fxsst.drv, sfcfiles.dll tölti be Plugx copycat 15

BLame (a.k.a. Mgbot, Mgmbot) 16

Álca dokumentum 17

CVE-2012-0158 Felbukkanásai: China, Myanmar, Korea Jelszóvédett Excel workbook hardcoded default jelszó: o http://nakedsecurity.sophos.com/2013/04/11/password-excel-velvet-sweatshop/ VelvetSweatshop 18

Telepítési menetrend Shellcode in exploited document Embedded EXE in OLE2 overlay Winword.exe: temporary dropper Embedded: final payload backup installer rundll32 copy wscript copy AppMgmt.dll vbstdcomm.nls Odbc.txt Létező szervízt irányít át: HKLM\SYSTEM\CurrentControlSet\Services\AppMgmt\Parameters --> ServiceDll 19

Backdoor A LAME MP3 encoder forrásából készítették (http://sourceforge.net/projects/lame) Hozzáadott malware export(ok) Néhol a kommunikációhoz a UDT könyvtárat használják (http://udt.sourceforge.net ) ASCII és Unicode string konstansok DES ECB kódoltak C&C szerver nevek egyszerű XOR kódolásúak(0x58) Szokásos backdoor funkciók: o Screenshot készítése o Drive típus (FAT, FAT32, NTFS, CDFS) és szabad terület o Fájl és könyvtár lista készítése, feltöltése o Fájlok átnevezése o Könyvtár létrehozása o Fájl törlése 20

Simbot 21

CVE-2012-0158 Jelszóvédett Excel workbook hardcoded default jelszó: o http://nakedsecurity.sophos.com/2013/04/11/password-excel-velvet-sweatshop/ VelvetSweatshop 22

Fertőzés menete Shellcode in exploited document First stage dropper Intermediate dropped Installer Embedded EXE in OLE2 overlay Embedded plain EXE Embedded encrypted EXE Embedded encrypted components Science.exe (trusted process) Startup kulcs: HKLM\SYSTEM\CurrentControlSet\Services\NetWork Service\ImagePath DEP kizárási listához hozzáadva: sysdm.cpl -> NoExecuteAddFileOptOutList DDVCtrlLib.dll DDVEC.dll (clean libraries) Config.dat (final payload) 23

Autostart kulcs HKLM\SYSTEM\CurrentControlSet\Services\NetWork Service\ImagePath = C:\Documents and Settings\All Users\NetWork\science.exe LLLLYIIII7QZAkA0D2A00A0kA0D2A12B10B1ABjAX8A1uIN2uNkXlMQJLePvbUPePJgW59t7kwOKDSPJgg5hh2ZezxFVXJg75xlrebuXbtKyWqUXp5FKfZvYPKwpEzTm7xosdLUO7w5zXLnN0dVNKO72eKLYKJs 3ROEucKypdnkgEVP5PgpUPLKRVtLLKT6ELLKw6WxlKQnwPLKp6u6vYPOr8RUzRnkyHlKRs7LNkpTvzt8wsxSlIqEYLlK1bQ0wsZSNkSzFxVSjrk9aEkhcfrqLKsen8NmQmXdlMulNwwCJrkLnM5SO3rrpVvSZrNkxpVSiPKLnLlDKpptEWKqYR334rN0XkHtLKy RQNBzgK370t7t72xbklJlNkw5klLK3xuteSxKQvNkTTRqnkG8wlESjkNks4J1wsISk9VgKN75JxOpsMxX7vpYaNqnlkPj60lK9MnazKGpUQUPGpbsQzEPKOpUKTOuO0tOk4nQWpePUPlKzUmQJNePeQgpwpGsl0KMNLrFUmQL303DURzK8wKLiWSvfbQs born1vhg2fuvayswfnctkwpf4j3qptupwpbjc0phmpwpwp7pazusszupszs1phwpup7pmppsiosekxnczxkosdpllkjxsz7ppsko65jtmyquxlszw0sx30vps0s02p1zgpyosel8nekpoy0expptpmpj7pnmf5idf2iosexlv0qckov5xlle9pt4ekbsko se8plkcezpnkpmxlmqytupurepuplkm5qmp3iksyrqmzujp0wl7zxbkkbytskkcsk0kkkoruut5ckkzkzvvp5lvjxbjqnmk2tstl7pepf0crkokbysan2unkzlk1jlgpdbwpwpo73uktwkwoidu0iww5kx0z5zjftxo7rexlsu2um2tkxgbejp5fn6hvyp XG1Ul4M7XoRtZ5yW2ezXNNxP4VlkO73uilYKhSSR856SHIsTnkgE6PGpUPUPLKPvtLNkafWllKrfGxLKsNa0NkwFQvVYPODXPuXrLKkhlKPSgLlK646zT84ChSmYceKlNkqbepwshsLKPJ6xFSkbmYQEzxpVv1Nk2uN8LMcMHdLM5lLWp39BKLlmTCXCf2SfP 38RLKzPecyPKLllLDiP2TEWiQO2USvRzphk8tLKKrCnBzwKVg3DwtaRM2KlzlnkG5KlNksxUtfcxKPfnkwdPQNkRhWleSJklKVdNqC3hCNi4GkNpEjxMPqmZx7vSiSnSNnKbJV0lKyMmQjK7p7q5PgpPS2J7pioF5ytMUYPFoLDoRGpwp5PLKL5k1zNuPFa7p Wp7sxpymLl56wMQLePRTWrxkKGYl9WPFWr2CBORNE6HGQVVf1ybGTnPdO7qVfjaqT4UPS0azgpSXk0WpgpUPSZuSqzWppj31qxuPePuPmPPSioseKXMSKHKOPtaMLKKhrJ5PqCKOpUjTMYCuhLsZ3pQx7p4PWp7prprJUPioceHxK5KpmYW5ZpQd WNsZUPLM3ekdPRkOBUzlpP63kORuxlneIPbT4lpSKOv58pLKPUN0Nk2m8LnaYTuPs2WpGpNkkUsmecKkQYSamZuJP0wl4JkRkKCidsIKNmMRuC4L30s02pW2kOhRYSD2A00A0kA0D2A12B10B1ABjAX8A1uIN2unkZLk1jLGpdBWpwpo73uKTWkwOI du0iww5kx0z5zjftxo7rexlsu2um2tkxgbejp5fn6hvypxg1ul4m7xortz5yw2ezxnnxp4vlko73uilykhssr856shistnkge6pgpupuplkpvtlnkafwllkrfgxlksna0nkwfqvvypodxpuxrlkkhlkpsgllk646zt84chsmyceklnkqbepwshslkpj6xfskbmy QEzxpVv1Nk2uN8LMcMHdLM5lLWp39BKLlmTCXCf2SfP38RLKzPecyPKLllLDiP2TEWiQO2USvRzphk8tLKKrCnBzwKVg3DwtaRM2KlzlnkG5KlNksxUtfcxKPfnkwdPQNkRhWleSJklKVdNqC3hCNi4GkNpEjxMPqmZx7vSiSnSNnKbJV0lKyMmQjK7p7q5Pg pps2j7piof5ytmuypfoldorgpwp5plkl5k1znupfa7pwp7sxpymll56wmqleprtwrxkkgyl9wpfwr2cborne6hgqvvf1ybgtnpdo7qvfjaqt4ups0azgpsxk0wpgpupszusqzwppj31qxupepupmppsiosekxmskhkoptamlkkhrj5pqckopujtmy CuhLsZ3pQx7p4PWp7prprJUPioceHxK5KpmYW5ZpQdWNsZUPLM3ekdPRkOBUzlpP63kORuxlneIPbT4lpSKOv58pLKPUN0Nk2m8LnaYTuPs2WpGpNkkUsmecKkQYSamZuJP0wl4JkRkKCidsIKNmMRuC4L30s02pW2kOhRYSD2A00A0kA0D2A12B10 B1ABjAX8A1uIN2unkZLk1jLGpdBWpwpo73uKTWkwOIdU0iWW5kX0z5zjfTxO7rexlsu2uM2TKxGbejP5Fn6HVyPXG1Ul4M7XoRtZ5yW2ezXNNxP4VlkO73uilYKhSSR856SHIsTnkgE6PGpUPUPLKPvtLNkafWllKrfGxLKsNa0NkwFQvVYPODXPuXrLKkhlK PSgLlK646zT84ChSmYceKlNkqbepwshsLKPJ6xFSkbmYQEzxpVv1Nk2uN8LMcMHdLM5lLWp39BKLlmTCXCf2SfP38RLKzPecyPKLllLDiP2TEWiQO2USvRzphk8tLKKrCnBzwKVg3DwtaRM2KlzlnkG5KlNksxUtfcxKPfnkwdPQNkRhWleSJklKVdNqC3hCNi 4GkNpEjxMPqmZx7vSiSnSNnKbJV0lKyMmQjK7p7q5PgpPS2J7pioF5ytMUYPFoLDoRGpwp5PLKL5k1zNuPFa7pWp7sxpymLl56wMQLePRTWrxkKGYl9WPFWr2CBORNE6HGQVVf1ybGTnPdO7qVfjaqT4UPS0azgpSXk0WpgpUPSZuSqzWppj31qxuPe PuPmPPSioseKXMSKHKOPtaMLKKhrJ5PqCKOpUjTMYCuhLsZ3pQx7p4PWp7prprJUPioceHxK5KpmYW5ZpQdWNsZUPLM3ekdPRkOBUzlpP63kORuxlneIPbT4lpSKOv58pLKPUN0Nk2m8LnaYTuPs2WpGpNkkUsmecKkQYSamZuJP0wl4JkRkKCidsIK NmMRuC4L30s02pW2kOhRYSD2A00A0kA0D2A12B10B1ABjAX8A1uIN2unkZLk1jLGpdBWpwpo73uKTWkwOIdU0iWW5kX0z5zjfTxO7rexlsu2uM2TKxGbejP5Fn6HVyPXG1Ul4M7XoRtZ5yW2ezXNNxP4VlkO73uilYKhSSR856SHIsTnkgE6PGpUPUPL KPvtLNkafWllKrfGxLKsNa0NkwFQvVYPODXPuXrLKkhlKPSgLlK646zT84ChSmYceKlNkqbepwshsLKPJ6xFSkbmYQEzxpVv1Nk2uN8LMcMHdLM5lLWp39BKLlmTCXCf2SfP38RLKzPecyPKLllLDiP2TEWiQO2USvRzphk8tLKKrCnBzwKVg3DwtaRM2Klzlnk G5KlNksxUtfcxKPfnkwdPQNkRhWleSJklKVdNqC3hCNi4GkNpEjxMPqmZx7vSiSnSNnKbJV0lKyMmQjK7p7q5PgpPS2J7pioF5ytMUYPFoLDoRGpwp5PLKL5k1zNuPFa7pWp7sxpymLl56wMQLePRTWrxkKGYl9WPFWr2CBORNE6HGQVVf1ybGTnPdO 7qVfjaqT4UPS0azgpSXk0WpgpUPSZuSqzWppj31qxuPePuPmPPSioseKXMSKHKOPtaMLKKhrJ5PqCKOpUjTMYCuhLsZ3pQx7p4PWp7prprJUPioceHxK5KpmYW5ZpQdWNsZUPLM3ekdPRkOBUzlpP63kORuxlneIPbT4lpSKOv58pLKPUN0Nk2m8LnaY TuPs2WpGpNkkUsmecKkQYSamZuJP0wlD2A00A0kA0D2A12B10B1ABjAX8A1uIN2unkZLk1jLGpdBWpwpo73uKTWkwOIdU0iWW5kX0z5zjfTxO7rexlsu2uM2TKxGbejP5Fn6HVyPXG1Ul4M7XoRtZ5yW2ezXNNxP4VlkO73uilYKhSSR856SHIsTnkgE6P GpUPUPLKPvtLNkafWllKrfGxLKsNa0NkwFQvVYPODXPuXrLKkhlKPSgLlK646zT84ChSmYceKlNkqbepwshsLKPJ6xFSkbmYQEzxpVv1Nk2uN8LMcMHdLM5lLWp39BKLlmTCXCf2SfP38RLKzPecyPKLllLDiP2TEWiQO2USvRzphk8tLKKrCnBzwKVg3Dwta RM2KlzlnkG5KlNksxUtfcxKPfnkwdPQNkRhWleSJklKVdNqC3hCNi4GkNpEjxMPqmZx7vSiSnSNnKbJV0lKyMmQjK7p7q5PgpPS2J7pioF5ytMUYPFoLDoRGpwp5PLKL5k1zNuPFa7pWp7sxpymLl56wMQLePRTWrxkKGYl9WPFWr2CBORNE6HGQVVf1y bgtnpdo7qvfjaqt4ups0azgpsxk0wpgpupszusqzwppj31qxupepupmppsiosekxmskhkoptamlkkhrj5pqckopujtmycuhlsz3pqx7p4pwp7prprjupiocehxk5kpmyw5zpqdwnszuplm3ekdprkobuzlpp63koruxlneipbt4lpskov58plkpun0n k2m8lnaytups2wpgpnkkusmeckkqysamzujp0wl4jkrkkcidsiknmmruc4l30s02pw2kohrysd2a00a0ka0d2a12b10b1abjax8a1uin2unkzlk1jlgpdbwpwpo73uktwkwoidu0iww5kx0z5zjftxo7rexlsu2um2tkxgbejp5fn6hvypxg1ul4m7x ortz5yw2ezxnnxp4vlko73uilykhssr856shistnkge6pgpupuplkpvtlnkafwllkrfgxlksna0nkwfqvvypodxpuxrlkkhlkpsgllk646zt84chsmyceklnkqbepwshslkpj6xfskbmyqezxpvv1nk2un8lmcmhdlm5llwp39bkllmtcxcf2sfp38rlkzpecy PKLllLDiP2TEWiQO2USvRzphk8tLKKrCnBzwKVg3DwtaRM2KlzlnkG5KlNksxUtfcxKPfnkwdPQNkRhWleSJklKVdNqC3hCNi4GkNpEjxMPqmZx7vSiSnSNnKbJV0lKyMmQjK7p7q5PgpPS2J7pioF5ytMUYPFoLDoRGpwp5PLKL5k1zNuPFa7pWp7sxpymLl 56wMQLePRTWrxkKGYl9WPFWr2CBORNE6HGQVVf1ybGTnPdO7qVfjaqT4UPS0azgpSXk0WpgpUPSZuSqzWppj31qxuPePuPmPPSioseKXMSKHKOPtaMLKKhrJ5PqCKOpUjTMYCuhLsZ3pQx7p4PWp7prprJUPioceHxK5KpmYW5ZpQdWNsZUPLM3 ekdprkobuzlpp63koruxlneipbt4lpskov58plkpun0nk2m8lnaytups2wpgpnkkusmeckkqysamzujp0wl4jkrkkcidsiknmmruc4l30s02pw2kohrysd2a00a0ka0d2a12b10b1abjax8a1uin2unkzlk1jlgpdbwpwpo73uktwkwoidu0iww5kx0 z5zjftxo7rexlsu2um2tkxgbejp5fn6hvypxg1ul4m7xortz5yw2ezxnnxp4vlko73uilykhssr856shistnkge6pgpupuplkpvtlnkafwllkrfgxlksna0nkwfqvvypodxpuxrlkkhlkpsgllk646zt84chsmyceklnkqbepwshslkpj6xfskbmyqezxpvv1nk2 un8lmcmhdlm5llwp39bkllmtcxcf2sfp38rlkzpecypklllldip2tewiqo2usvrzphk8tlkkrcnbzwkvg3dwtarm2klzlnkg5klnksxutfcxkpfnkwdpqnkrhwlesjklkvdnqc3hcni4gknpejxmpqmzx7vsisnsnnkbjv0lkymmqjk7p7q5pgpps2j7piof5y tmuypfoldorgpwp5plkl5k1znupfa7pwp7sxpymll56wmqleprtwrxkkgyl9wpfwr2cborne6hgqvvf1ybgtnpdo7qvfjaqt4ups0azgpsxk0wpgpupszusqzwppj31qxupepupmppsiosekxmskhkoptamlkkhrj5pqckopujtmycuhlsz3pqx7 p4pwp7prprjupiocehxk5kpmyw5zpqdwnszuplm3ekdprkobuzlpp63koruxlneipbt4lpskov58plkpun0nk2m8lnaytups2wpgpnkkusmeckkqysamzujp0wl4jkrkkcidsiknmmruc4l30s02pw2kohrysaaa4jkrkkcidsikd2a00a0ka0d2a12 B10B1ABjAX8A1uIN2unkZLk1jLGpdBWpwpo73uKTWkwOIdU0iWW5kX0z5zjfTxO7rexlsu2uM2TKxGbejP5Fn6HVyPXG1Ul4M7XoRtZ5yW2ezXNNxP4VlkO73uilYKhSSR856SHIsTnkgE6PGpUPUPLKPvtLNkafWllKrfGxLKsNa0NkwFQvVYPODXPuXrLK khlkpsgllk646zt84chsmyceklnkqbepwshslkpj6xfskbmyqezxpvv1nk2un8lmcmhdlm5llwp39bkllmtcxcf2sfp38rlkzpecypklllldip2tewiqo2usvrzphk8tlkkrcnbzwkvg3dwtarm2klzlnkg5klnksxutfcxkpfnkwdpqnkrhwlesjklkvdnqc3h CNi4GkNpEjxMPqmZx7vSiSnSNnKbJV0lKyMmQjK7p7q5PgpPS2J7pioF5ytMUYPFoLDoRGpwp5PLKL5k1zNuPFa7pWp7sxpymLl56wMQLePRTWrxkKGYl9WPFWr2CBORNE6HGQVVf1ybGTnPdO7qVfjaqT4UPS0azgpSXk0WpgpUPSZuSqzWppj31qx upepupmppsiosekxmskhkoptamlkkhrj5pqckopujtmycuhlsz3pqx7p4pwp7prprjupiocehxk5kpmyw5zpqdwnszuplm3ekdprkobuzlpp63koruxlneipbt4lpskov58plkpun0nk2m8lnaytups2wpgpnkkusmeckkqysamzujp0wl4jkrkkcid siknmmrd2a00a0ka0d2a12b10b1abjax8a1uin2unkzlk1jlgpdbwpwpo73uktwkwoidu0iww5kx0z5zjftxo7rexlsu2um2tkxgbejp5fn6hvypxg1ul4m7xortz5yw2ezxnnxp4vlko73uilykhssr856shistnkge6pgpupuplkpvtlnkafwllkrfgxl KsNa0NkwFQvVYPODXPuXrLKkhlKPSgLlK646zT84ChSmYceKlNkqbepwshsLKPJ6xFSkbmYQEzxpVv1Nk2uN8LMcMHdLM5lLWp39BKLlmTCXCf2SfP38RLKzPecyPKLllLDiP2TEWiQO2USvRzphk8tLKKrCnBzwKVg3DwtaRM2KlzlnkG5KlNksxUtfcxKPfn kwdpqnkrhwlesjklkvdnqc3hcni4gknpejxmpqmzx7vsisnsnnkbjv0lkymmqjk7p7q5pgpps2j7piof5ytmuypfoldorgpwp5plkl5k1znupfa7pwp7sxpymll56wmqleprtwrxkkgyl9wpfwr2cborne6hgqvvf1ybgtnpdo7qvfjaqt4ups0azgp SXk0WpgpUPSZuSqzWppj31qxuPePuPmPPSioseKXMSKHKOPtaMLKKhrJ5PqCKOpUjTMYCuhLsZ3pQx7p4PWp7prprJUPioceHxK5KpmYW5ZpQdWNsZUPLM3ekdPRkOBUzlpP63kORuxlneIPbT4lpSKOv58pLKPUN0Nk2m8LnaYTuPs2WpGpNkkUs meckkqysamzujp0wl4jkrkkcidsiknmmruc4l30s02pw2kohrysauc4l30s02pw2kohrd2a00a0ka0d2a12b10b1abjax8a1uin2unkzlk1jlgpdbwpwpo73uktwkwoidu0iww5kx0z5zjftxo7rexlsu2um2tkxgbejp5fn6hvypxg1ul4m7xortz5y W2ezXNNxP4VlkO73uilYKhSSR856SHIsTnkgE6PGpUPUPLKPvtLNkafWllKr 100 PC@ 24

Buffer túlírás logolásnál char *write_log(int a1, char *Format,...) Using vsprintf, here is no way to limit the number of characters written, which { means that code using this function is susceptible to buffer overruns. va_list va; // [sp+200ch] [bp+ch]@1 char *result; // eax@1 char Dest; // [sp+0h] [bp-2000h]@2 Use _vsnprintf instead, or call _vscprintf to determine how large a buffer is needed. va_start(va, Format); result = Format; if ( Format ) { result = (char *)vsprintf(&dest, Format, va); if ( (unsigned int)result < 0x2000 ) result = (char *)CLog ADD_Log(g_Log, &Dest, result, a1); } return result; } 25

Backdoor Vékony kliens Lemezmentes memóriába betöltés Kapcsolatot nyit: 59.188.23.121 (8001 vagy 8433 porton) zlib tömörített letöltés (update) Konfiguráció registry-ban vagy fájlból) o HKLM\SOFTWARE\Microsoft\Windows\Help -> Config o file %ALLUSERSPROFILE%\NetWork\t1.dat 26

Konklúzió Attól, hogy valami úgy néz ki, vagy úgy működik, mint egy tiszta alkalmazás, vagy esetleg még az is, nem jelenti, hogy nem aktív szereplője egy célzott támadásnak. 27

gabor.szappanos@sophos.com Sophos Ltd. All rights reserved. 28