Tak się zdarzyło ostatnio że wróciłem do analizy trojanów. Powrót został uczczony prawie 24-godzinny maratonem z różnymi zagranicznymi bankerami, i widać że gdy ja zajmowałem się innymi rzeczami, to autorzy trojanów nie spali - wymyślali coraz to nowe metody żeby ich malware był...  jeszcze słabiej skonstruowany :p

Na wszelki wypadek zaznaczę że próbka malware'u który trafił na moje ręce na pewno nie jest reprezentatywna w odniesieniu do całego środowiska malware'owego, natomiast jest to (prawie) ten sam malware którym zajmowałem się jakiś rok temu, i o którym mówiłem na SekIT - więc mam pewne porównanie co do tego co było kiedyś, a co jest teraz, ale tylko odnośnie tego specyficznego gatunku malware którymi się zajmowałem :)

Zacznę od tego że wielkie, kilku-kilkunasto "megowe" trojany napisane w Delphi lub Visual Basicu nadal są popularne i nadal zbierają krwawe (a w zasadzie złote) żniwo. Działanie takiego trojana jest proste - poczekać aż user wejdzie na stronę banku, a następnie w oknie przeglądarki wyświetlić okno ze screenshotem strony banku na który są naniesione pola typu edit (input). Jeżeli użytkownik się nie zorientuje (a zorientować można się na parę sposobów - najprostszym z nich jest kliknięcie prawym w okolicy pola edycji i sprawdzenie czy popup na pewno się pojawia i wygląda tak jak zwykle), to wprowadzone hasło powędruje później do "złej" bazy danych, a trojan pokazuje użytkownikowi kolejną planszę - zazwyczaj kolejne pytania o hasła, karty kredytowe (CVV2, piny, daty ważności), etc.
Raz spotkałem się nawet z przypadkiem trojana który udawał że się loguje, i pokazywał fałszywe konto razem z fałszywym stanem konta (dość wysokim), i zachęcał usera do zrobienia przelewu (i wprowadzenia kolejnego hasła z tym związanego oczywiście).

Taka jedna ciekawostka którą znalazłem w pewnej binarce (czyżby chcieli się pochwalić ?;D):



Ta część się nie zmieniła za bardzo - trojany nadal zawierają screeny w BMP (stąd ich wielkość) i JPG, są wielkie, ale przyznać muszę że rzadziej zdarza im się wyświetlić ekran banku w notatniku (jeżeli trojan sprawdza tylko nazwy okien, to można np. utworzyć plik którego nazwa jest równa title okna strony banku, wtedy trojan myśli że weszliśmy na stronę banku, i stara się zasłonić "stronę banku" planszą ze screenshotem, czyli nagle notatnik zyskuje nową funkcjonalność ;D).

Co się zmieniło to sposoby przesyłania ukradzionych danych do autora malware'u - przy czym to co teraz napiszę nie jest regułą, a raczej pojedynczymi przypadkami, nie mniej jednak bardzo ciekawymi.

Zazwyczaj trojany wysyłały skradzione dane na dwa sposoby:
- SMTP: e-mail'em (via różne servery netowe serwery SMTP) na różne konta mejlowe
- HTTP: do skryptów naklepanych w PHP, które odbierały dane i wrzucały do bazy danych, lub przesyłały dalej

Natomiast ktoś poszedł <sarkazm>po rozum do głowy</sarkazm> i stwierdził że po co pisać skrypty PHP, jak można od razu przesłać dane do bazy SQL ? Nie myśląc więcej lib do obsługi MySQL bądź MSSQL został dodany do trojana, wrzucone zostały tam również user, password, nazwa hosta i nazwa bazy danych, oraz kilka zapytań SQL typu INSERT.

Uprzedzając pytania - tak, jest możliwe zalogowanie się do bazy dowolnym (względem rodziny baz danych ofc) klientem SQL, i wykonywanie SELECT, DELETE, UPDATE, etc. Cóż.

Drugim <sarkazm>bardzo dobrym</sarkazm> pomysłem który widziałem była identyczna sytuacja tylko z protokołem FTP - user/password/host w binarce. Oczywiście dowolny klient FTP z uzyskanymi danymi umożliwia operacje typu upload/download/etc. Co ciekawe, zdarzyło się że hasło od FTP pasowało również do SSH na danym serwerze.

Oczywiście, binarki trojanów były "zaszyfrowane", tj autor trojana użył UPX'a (sic!), lub jakiegoś bardziej zaawansowanego packera czy protektora, aby ukryć za równo kod jak i dane (hasła do FTP/SQL!). Natomiast jak każdy RE wie, nie istnieje coś takiego jak skuteczne zaszyfrowanie hasła które potem trzeba użyć plain text (tj odszyfrować), i nie ważne czy mówimy o szyfrowaniu całej binarki, czy tylko hasła - chcesz użyć? musisz odszyfrować! odszyfrowałeś? to hasło jest plain text w pamięci i czeka aż ktoś je sobie odczyta.
Po za tym, FTP ma logowanie plain text, więc hasło i tak w packet snifferze jest ładnie widoczne (nie jest tak w przypadku MySQL, który od wersji 4.1 używa challenge/response).

Odchodząc od pomysłów z SQL, FTP, i masą screenshotów w BMP, było również kilka trojanów które działały w dużo prostszy sposób - po prostu podmieniały plik hosts (C:\windows\system32\drivers\etc\hosts), który, jak czytelnik za pewne wie, zawiera adresy IP i nazwy które mają na ów adresy być tłumaczone (ten pliczek jest "odpytywany" przed odpytaniem servera DNS o IP domeny). Dodam że pliki hosts zyskiwały całkiem niezłą liczbę wpisów - widać autorzy malware nie próżnują, i coraz to nowe banki są "targetowane".

Znalazł się również jeden trojan który po prostu podmieniał adres DNS na jakiś "zły".

Na koniec trochę bolącej prawdy: co zmienia fakt że te trojany są słabo skonstruowane, zajmują po 10 mb, wyświetlają strony banków w notatniku, podają na tacy hasła do swoich serwerów?
Totalnie nic. Użytkownicy i tak je uruchamiają, wpisują swoje hasła, i tracą swoje oszczędności, a autorzy malware tylko zacierają ręce i zaśmiewają się do rozpuku z researcherów cieszących się z ich słabego kodu.

No i tyle :P