книги хакеры / журнал хакер / 143_Optimized

ЖЕСТКИЙДИСК

MBR,0x200

AA55

Раздел№1

Раздел№2

Раздел№3

Раздел№4

Таблица 1. Структура MBR

Схема разбиения жесткого диска на разделы с помощью MBR

четырехразделахдискаисигнатуру0xAA55 всамомконце. Исполнениеначинаетсяснулевогосмещениясектора. СтруктуруMBR можно описатьследующимобразом(см. таблицу1). Сигнатураиспользуется загрузчикомдляпроверкикорректностиMBR, вслучаенеудачиработа компьютераприостанавливается. Каждыйразделтакжеописывается отдельнойструктурой(таблица2). Байтпризнакаактивностиможет бытьравенлибо0, либо0x80. Еслионравен0x80, торазделсчитается активным, загрузчиксчитываетегопервые0x200 байтипередаеттуда управление. Поле«типраздела» описываетформатированиеконкретногоразделаиможетприниматьмножествозначений(приведеныне всевозможныезначения) (таблица3). Такимобразом, большечетырех разделовнаодномжесткомдискесуществоватьнеможет. Однакоже Windows позволяетделитьдискхотьнадвадцатьчастей— таквчемже дело? Оказывается, чторасширенныйраздел(кодтипараздела— 7) помимособственносодержимогоразделасодержитещеиуказатель наследующийраздел. Следовательно, образуетсясвязанныйсписок израсширенныхразделов. Ихколичествоограничиваетсятолько свободнымнеразмеченнымпространством. Подытожимвсевышесказанноеспомощьюсхемы(см. картинку«Схемаразбиенияжесткого дисканаразделыспомощьюMBR»). Такимобразом, полныйалгоритм загрузкикомпьютераследующий: кодвMBR проверяетработоспособностьжесткогодиска, затемищетразделсвыставленнымпризнаком активности0x80, просматриваятаблицуразделов, ипередаетуправлениенанулевойбайтпоследнего.

Фрагмент обработчика перехваченного int 13

Таблица 2. Структура раздела

Таблица 3. Значения поля.

Следуетотметить, чтопослевключениякомпьютерапроцессоррабо- таетврежимереальныхадресов(real-address mode). Онзначительно отличаетсяотзащищенногорежима(protected mode), которыйиспользуетсяприфункционированиибольшинствасовременныхоперационныхсистем(Linux, Windows, FreeBSD ит.д.). Вреальномрежиме отсутствуетстраничнаяадресация, такназываемыекольцазащиты, обработкаисключений, арегистрыGDTR, LDTR, CR3 неиспользуются. Таблицавекторовпрерыванийрасположенапонулевомуфизическому адресуизаполненасамимBIOS’ом. Обращениекпамятипроисходит черезпару«сегмент-смещение», котораяпреобразуетсявфизический адрес. Пояснюнапримере:

•Процессор пытается исполнить инструкцию mov eax, [1000:FFFF];

•Значение сегмента сдвигается влево на 4 бит — 0x1000 << 4 = 0x10000;

•Смещение складывается со сдвинутым сегментом и получается конечный физический адрес — 0x10000 + 0xFFFF = 0x1FFFF;

Вернемся к Whistler’у

Послепрочтениястольдолгойинуднойтеорииты, ядумаю, созрел продолжитьизучениенашегосегодняшнегогероя. Итак, онпереписываетMBR насвойсобственный, обращаяськустройству \\.\PhysicalDriveX черезфункциюCreateFile. Потомоннаходитсамый последнийразделипишетсвоиданныевнеразмеченнуюобласть, находящуюсязапоследнимразделом. Аименно— тудазаписываетсяоригинальныйMBR, идентификационныеданныеWhistler’а, по которымможнобудетопределитьфактзаражениясистемы, ичетыре PE’шника. Одинизних— тот, чтосейчасописывается. Другой— драйвер. Двапоследних— exe’шники, отвечающиенепосредственноза функционал. Наэтомфункциональностьфайла, исполняемогоизпамя-

Фрагмент дампа памяти одного из компонентов Whistler’а

Реализация метода RedPill в Trojan-Clicker. Win32.Whistler.a

Отладка MBR при помощи Bochs Enhanced Debugger for Windows

ти, заканчивается. ПришловремярассмотретьсамзараженныйMBR. ДляегоразбораяиспользовалбесплатнуювиртуальнуюмашинуBochs for Windows совстроеннымотладчиком. Онаиспользуетполностью программнуюэмуляцию. Ееинтереснойособенностьюявляетсявозможностьотладкивиртуальноймашиныссамогостартакомпьютера. ТоестьонапозволяетпройтиподотладчикомвесьMBR изагрузочный кодсистемыибезпроблемотладитьстартовыйкодBIOS’а. Разумеется, этоотладканекодареальнойжелезки, авсеголишьBIOS’авиртуальноймашины, нооценитькачественнуюкартинузагрузкикомпьютера помогает.

Итак, cначалапарситсятаблицаразделовинаходятсяэлементы, записанныевнеразмеченнуюобласть, тудажеипередаетсяуправление. Тут-тоиначинаетсясамоеинтересное— перехватываетсяпрерывание int 13h, оригинальныйMBR восстанавливаетсяинанегопередается управление. Вперехватчикеint 13h производитсяпоисксигнатурыиз NTLDR впрочитанномфрагменте. Сверкасигнатурывиднанаскриншоте: сначалапроизводитсяпоискбайта0xB8 спомощьюинструкции REPNE SCASB, авслучаеуспехадальнейшеесравнениепроисходит спомощьюCMP. Далее, еслинужныйфрагментNTLDR’анайден, производитсяперехватфункцииBlLoadBootDrivers путемзаменычасти инструкции. Послевыставлениясплайсингауправлениевозвращаетсявсистему.

Буткитполучитуправлениетолькопослевызовавышеупомянутой функции. Затемпроизводитсяпоискбазыядраисплайсингинструкции, вызывающейфункциюIoInitSystem. Перехватустановлен такимобразом, чтобуткитполучитуправлениекаксразупослевызова IoInitSystem, такипослееезавершения. ТакимспособомWhistler определяет, чтосистемауспешнопроинициализироваласьизагружает свойдрайвер, упомянутыйвыше. Этотдрайвермаппитсявпамять

Фрагмент драйвера Trojan-Clicker.Win32.Whistler.a

изапускаетсякаксистемныйпоток. Такимобразомназапущенной инфицированнойсистемеокажетсяработающийдрайвер, образи информациядлякоторогоотсутствуетуОС. Наэтомфункциональность инфицированногоMBR’азаканчивается, ивработувступаетдрайвер. ДрайверпостроеннаосновеStoned Bootkit FrameWork, которыйбес-

платенинаходитсяподлицензией«European Union Public License».

Основноеегоназначение— считыватьизнеразмеченнойобластихардафайлы, которыенесут«полезнуюнагрузку», искрытозапускатьих. Работасдискомведетсяприпомощиобъекта\\.\physicaldrive0, авот запускPE’шниковпроисходитвесьмалюбопытнымспособом— при помощиAPC. APC — Asynchronous Procedure Call — функция, которая нарушаетестественныйходвыполненияпотока. Когдапланировщик Windows переключаетконтекстнапоток, онсмотритнаналичиеAPCфункцийвочередипотока, иеслиониесть, товызываетсначалаих, апотомужеисампоток. Первымделомдрайверинжектитшеллкодв winlogon.exe, используяKeStackAttachProcess дляприсоединенияк

процессу. ПотомспомощьюфункцииKeInitializeApc инициализируется самаAPC-функция, котораязатемдобавляетсявочередьспомощью KeInsertQueueApc, чтообеспечиваетзапускшеллкодавконтексте системногопроцесса. Этоткодзапускаетдваоставшихсяфайла, которыебылисохраненынадискдрайверомпоследующемупути: «\\??\C:\ System Volume Information\Microsoft\».

Так как насчет функционала?

ПройдястольдлинныйпутьпоразборуWhistler’а, яподошелксамому главному— вредоносномуфункционалу, тоестьтому, радичегои делалсязловред. Каквидноизназвания, онкликаетпоразнообразнымссылкам, увеличиваяимрейтинг. Самифайлыпредставляют собойобычныеприложения, написанныевMicrosoft Visual Studio. Все данныехранятсявоверлеезапоследнейсекцией. Сдампивадресное пространствопроцесса, яполучилпростороссыпьурлов, которые указываютнастраницуbanner3.php наразныхсайтах.

Заключение

Вотивсе. Пожалуй, ещестоитотметить, чтоэтотзловреднебудет работатьнапоследнихоперационныхсистемахсемействаWindows,

вчастности, наWindows 7, таккактамнесколькоиначепостроеназагрузкасистемы. АвотнаWindows XP всепрекрасноотработает. Кстати, дляанализаэтоговирусапомимовиртуалкиBochs яещеиспользовал связкуVMWare иPETools дляполучениядампаи, конечноже, Hiew для визуальногопросмотра. ДизассемблерIDA вкомплектесHex-Rays простонезаменимпридетальноманализедрайверовинезащищенныхPE'шников. Кстати, можешьпопробоватьоткрытьсвойжесткий диск, начинаяснулевогосектора, простозапустивHiew ипередавему

вкачествепараметракоманднойстроки\\.\physicaldriveX. z

СЦЕНА

Мария «Mifrill» Нефедова (mifrill@real.xakep.ru)

Операция Trident Breach

Воктябремесяцеизпресс-релизовФБРвесь мирузналомасштабноймеждународной операцииTrident Breach (дословно: «удар трезубцем»), входекоторойвВеликобритании, СШАиУкраинебылизадержаныболее стачеловек, участвовавшиевдеятельности крупногоZeuS-ботнета.

ОтроянцепоимениZeuS тынавернякауже слышал; мыпосвятилиэтомузловредуне однустатьюизаметку. Навсякийслучай напомню, чтоZeuS, такжеизвестныйнапро-

сторахсетикакZbot, PRG, Wsnpoem, Gorhax

иKneber — этосвоегородапоследнийписк модыипопулярнейшийтрендвкиберкриминальнойсреде. Данныйинструментарий пользуетсяначерномрынкеогромным спросом, регулярнообновляется, защищен отнелегальногоиспользованияпочище лицензионногософтаиявляетсянастоящей головойбольюдлявсехIT-безопасников планеты. Авторовэтойсофтиныбезуспешно ищутужедовольнодолгоевремя. Акогдане получаетсянайтиавторовивырвать«корень зла», приходитсяборотьсянеспричиной, а соследствиями. Особеннокогдаследствия приобретаютугрожающийразмах. Расследование, предвосхищавшеемассовые аресты, началосьоколополуторалетназад, в мае2009 года. Тогдавходеработынадделом окражесредствс46 разныхбанковских счетовагентыФБРизгородаОмаха, штатНебраска, нащупали«связующеезвено» — они обнаружилиотчетливыеследыдеятельности ZeuS-ботнета. Федеральноебюрорасследованийбыстросопоставилоимеющиесяна рукахфактыипришлоквыводу, чтомасштаб бедствиявелик. «Федералы» незамедли-

тельносвязалисьсместнойполицией, своим аналогомОтдела«К» (тоестьспарнями, которыезанимаютсяименнорасследованиемкиберпреступлений), другимиамериканскимиспецслужбами, азатемналадили контактисосвоимизарубежнымиколлегами изУкраины, ВеликобританиииНидерландов. Сразускажем, чтоголландскаяполициябыла привлеченакделуисключительноиз-затого, чтозлоумышленникииспользовалинекие компьютерныересурсыНидерландов. Вскореситуацияначалапроясняться. Схема, которуюиспользовалисетевыемошенники, оказаласьпроста, кактрикопейки. Основной мишеньюэтихчуваковявлялисьотнюдьне крупныебанкиикорпорации— ониметили

внебольшиеорганизации, муниципальные предприятия, церкви, больницы, атакже

вредкихчастныхлицвосновномнатерриторииСША. Заражениекомпьютеров жертвпроисходилопрактическидедовским методом: мошенникииспользовалицелевые вредоносныеe-mail-рассылки(письманесли «наборту» ссылкинаZeuS). Кактольконичего неподозревающиегражданеоткрывали такоеписьмоипроходилиполинку, вирьвламывалсявсистемуиделалтамсвоечерное дело— собиралномерасчетов, логины, паролиипрочиеконфиденциальныеданные, связанныесбанковскимиаккаунтами. Хозяева ботнета, заполучивэтуинформациюнаруки, сумелидобратьсядоогромногоколичества счетов. ФБРсообщает, чтотакимобразом былиосуществленыпопыткикражиоколо $220 млн., нотаккакневсеонибылиуспешными, реальнопреступники(попредварительнойоценке) сумелизаполучитьоколо$70 млн. Учти, чтоделалосьвсевесьмааккуратно: ФБРутверждает, чтопреступникистарались несниматьболеенесколькихтысячдолларов

зараз.

Размахужевпечатляет, правда? Дальше— больше. Какужебылосказановыше, корни этойпреступнойгруппировкивеливУкраину идругиестраныВосточнойЕвропы, асетьтак называемых«мулов» (отанглийскогоmoney mule — «денежныймул») — людей, которые переправляликраденыеденьгивладельцам ботнета(вкардерскойтерминологии — дропов) — каквыяснилосьпозже, насчитывала несколькосотенчеловек.

Как это работает

Большинствуграждан, арестованныхвходе операцииTrident Breach, от20 до25 лет, и

всеони, посути, являютсянизшимзвеномв структуреработыботнета.

Когда(иесли) кражасредствсочередного счетапроходитуспешно, деньгиутекаютотнюдьнепрямикомвзагребущиерукихозяев зомби-сети. Этобылобыслишкомпросто, рискованноипримитивно. Здесьвигруи вступают«мулы», ониже«дропы». Вслучае, о котороммыговоримсегодня, вэтойроливосновномвыступали... студентыизМолдавии, Украины, России, БелоруссиииКазахстана, находящиесявСШАповизеJ-1, тоестьпо программеWork&Travel. Длятех, ктонезнает: W&T позволяетмолодежикакое-товремяс пользойжитьнатерриторииСША, работая, общаясьсносителямиязыкаитакдалее. Однимсловом, учебныйикультурныйобмен. Арестованным«студентам» такаяпрограмма поездкиявноказаласьскучноватой, разони решилипредложитьсебякибермошенникам вкачестведропов.

Какэтореализовано? Опятьже, довольно просто. Вербуюттаких«красавцев» обычно поСети, например, черезсоциальныесети

Деньгиделятсямежду организаторомдроп-сети икардером, совершившим перевод

СЦЕНА