लिनक्स मालवेयर C2 'RedXOR' - एक उदाहरण जाँच

यह पैकेज इस बात का प्रदर्शन है कि किस प्रकार Zeek का उपयोग करके लिनक्स बैकडोर "redXOR" की अवस्था-आधारित विधियों (state based methods) से जाँच की जा सकती है।

संदर्भ:

• Corelight ब्लॉग
• https://www.intezer.com/blog/malware-analysis/new-linux-backdoor-redxor-likely-operated-by-chinese-nation-state-actor/

पारंपरिक IOC (जैसे C2 IP, डोमेन और URI) से निचले स्तर पर खतरों का पता लगाना अधिक मजबूत जाँच सुनिश्चित करता है। यह महत्वपूर्ण है, क्योंकि इन पारंपरिक कारकों (डोमेन/IP/URI आदि) में किसी भी बदलाव को खतरा पैदा करने वाला अभिनेता अक्सर और आसानी से संशोधित कर सकता है, जिसके परिणामस्वरूप सरल IOC-आधारित जाँच विफल हो जाती हैं। इस पैकेज में दिए गए निचले-स्तरीय व्यवहारिक जाँच तर्क का उपयोग करने का एक और लाभ यह है कि इनमें झूठी सकारात्मक (False Positive) जाँच की संभावना काफी कम होती है।

इस प्रदर्शन में हम जिस जाँच तर्क का उपयोग करते हैं, उसमें Cookie लेनदेन के क्रमिक पैटर्न को खोजना शामिल है। इसके लिए एक अवस्थापूर्ण (stateful) दृष्टिकोण आवश्यक है — जो Zeek के घटना-संचालित जाँच इंजन के लिए बिल्कुल उपयुक्त है।

इस मालवेयर का पता लगाने के लिए Zeek के साथ कई अन्य तरीके भी हैं। यह स्क्रिप्ट ऐसी ही एक तकनीक के ट्यूटोरियल-शैली प्रदर्शन के रूप में तैयार की गई है, और इसे इसलिए चुना गया है क्योंकि यह दर्शाती है कि आधुनिक C2 मालवेयर का पता लगाने के लिए Zeek की अवस्था-धारण (state keeping) क्षमता को काफी सहज और व्यावहारिक तरीके से कैसे उपयोग किया जा सकता है।
RedXOR पर उनके शोध के लिए Intezer को श्रेय; मालवेयर के निम्न-स्तरीय विवरण के लिए इस राइटअप को देखें। https://www.intezer.com/blog/malware-analysis/new-linux-backdoor-redxor-likely-operated-by-chinese-nation-state-actor/

यह स्क्रिप्ट वास्तविक pcap के एक अमूर्तन (abstraction) से तैयार की गई थी, जिसे उसमें निहित संवेदनशील जानकारी के कारण उसके मूल प्रारूप में साझा नहीं किया जा सका। यह अमूर्तन Intezer Research टीम द्वारा तैयार किया गया था और इस प्रदर्शन को लिखने के उद्देश्य से Corelight Labs के साथ साझा किया गया था।

निम्नलिखित आरेख पर लाल निशान उच्च स्तर पर स्क्रिप्ट द्वारा नियोजित अवस्था-आधारित जाँच तर्क को दर्शाते हैं। इसके अलावा, स्क्रिप्ट में काफी टिप्पणियाँ हैं, ताकि कुछ अधिक तकनीकी पहलुओं के पीछे के कारणों और सोच को समझाया जा सके।

(मूल wireshark स्क्रीनकैप का श्रेय: Intezer)