Tourmaline ClickFix Python RAT के लिए रिवर्स इंजीनियरिंग नोट्स, डीऑबफस्केटेड सोर्स, IOC, और YARA नियम, जो इसके DNS टनल और ब्लॉकचेन डेड-ड्रॉप C2 को कवर करते हैं।
मैंने हाल ही में एक चतुराई से डिज़ाइन किए गए मैलवेयर पर ठोकर खाई जो खुद को "Tourmaline" कहता है।
यह README बहुत कृपापूर्वक Claude द्वारा लिखा गया है क्योंकि इस रिपॉज़िटरी की शुरुआत के समय मैं परीक्षाओं में बहुत व्यस्त था।
इस मैलवेयर का शोषण और डिक्रिप्शन करने में मेरे गणित की तैयारी का एक बड़ा हिस्सा चला गया!
केवल शैक्षिक और अनुसंधान उद्देश्यों के लिए
सभी नमूने मैलवेयर विश्लेषण और रक्षात्मक अनुसंधान के लिए प्रदान किए गए हैं। सैंडबॉक्स किए गए, एयर-गैप्ड वातावरण के बाहर निष्पादित न करें।
Tourmaline (Tourmaline.exe) एक परिष्कृत, बहु-चरणीय Windows इन्फोस्टीलर/बैकडोर है जो एक ClickFix अभियान के माध्यम से वितरित किया जाता है - एक नकली Cloudflare "Verify you are human" ब्राउज़र पॉपअप जो उपयोगकर्ताओं को धोखा देकर मैन्युअल रूप से एक दुर्भावनापूर्ण कमांड या इंस्टॉलर चलाने के लिए प्रेरित करता है।
यह बाइनरी एक कस्टम-निर्मित Inno Setup 6.7.0 (Revision 2, 64-bit offsets) इंस्टॉलर है जो एक पूर्ण Python 3.11 रनटाइम और दो चरणों वाले ऑब्फस्केटेड Python पेलोड को बंडल करता है। यह एक स्थायी बैकडोर स्थापित करता है जिसमें शामिल हैं:
microsoft.com क्वेरीज़ का रूप धारण करते हुए)tourmaline/
├── README.md # This file
├── LICENSE # Research use license
├── .gitignore
│
├── src/ # Extracted & deobfuscated source code
│ ├── stage1_loader.py # Stage 1: Original obfuscated XOR time-lock loader (main.py)
│ ├── stage2_backdoor.py # Stage 2: Deobfuscated core backdoor (from QGBdu.dxf)
│ └── decrypt_payload.py # Utility: O(1) payload key recovery & decryption
│
├── iocs/ # Indicators of Compromise
│ ├── indicators.json # Structured IOC data (IPs, hashes, domains, registry)
│ ├── indicators.csv # Flat CSV for SIEM import
│ └── rules.yar # YARA detection rules
│
└── samples/ # Malware samples (password-protected)
├── README.md # Sample archive instructions
├── Tourmaline_sample.zip # Password: infected - contains Tourmaline.exe
└── QGBdu.dxf # Raw encrypted Stage 2 payload blob
यह मैलवेयर ClickFix के माध्यम से वितरित किया जाता है - एक सोशल इंजीनियरिंग तकनीक जिसमें एक समझौता किया गया या हमलावर-नियंत्रित वेबसाइट एक नकली Cloudflare CAPTCHA या ब्राउज़र सत्यापन पृष्ठ को ओवरले करती है। यह ओवरले पीड़ित को निर्देश देता है:
Win+R दबाएँपेस्ट किया गया कमांड Tourmaline.exe को डाउनलोड करता है और चुपचाप निष्पादित करता है। इंस्टॉलर /VERYSILENT /SUPPRESSMSGBOXES /NORESTART चलाता है।
| गुण | मान |
|---|---|
| फ़ाइल नाम | Tourmaline.exe |
| आकार | 11,341,339 बाइट्स (~10.8 MB) |
| MD5 | b74ac808dea2de31caf024310694ef0c |
| SHA256 | c9b390b3b7148f549df86503858d52e030b2b5e78fed0bc525ded5927f9265d6 |
| प्रारूप | Inno Setup 6.7.0 Unicode (Revision 2, 64-bit offsets) |
| PE प्रकार | 32-bit PE, 11 सेक्शन |
| ओवरले आकार | 10,447,387 बाइट्स |
| Inno मैजिक ऑफ़सेट | 0xD9864 (890,148 बाइट्स) |
| ऐप नाम | Tourmaline |
| ऐप संस्करण | 2.63.519 |
| ऐप GUID | {2C25872D-85FC-44C7-9B16-844E39E50A44} |
| इंस्टॉल पथ | {commonappdata}\Tourmaline |
| बंडल किया गया रनटाइम | Python 3.11 (पूर्ण एम्बेड) |
| पेलोड फ़ाइलें | सॉलिड LZMA2 स्ट्रीम में 36 फ़ाइलें |
नोट: स्टॉक
innoextract 1.9इस बाइनरी को निकाल नहीं सकता — यह केवल Revision 1 का समर्थन करता है। Revision 2 64-बिट ऑफ़सेट का उपयोग करता है और इसके लिए कस्टम पार्सिंग की आवश्यकता होती है (देखेंsrc/decrypt_payload.py)।
Tourmaline.exe
│
├─ Inno Setup installer runs silently
│ ├─ Extracts Python 3.11 runtime to %APPDATA%\Tourmaline\
│ ├─ Extracts main.py (Stage 1 loader)
│ ├─ Extracts QGBdu.dxf (encrypted Stage 2 blob)
│ ├─ Kills any existing pythonw.exe instances
│ └─ Registers persistence (Task Scheduler / registry)
│ └─ Name: "TourmalineUpdate" / "Hardware monitoring service"
│
├─ Stage 1: main.py (XOR Time-Lock Loader)
│ ├─ Counts _n from 99,999,999 → 0 (anti-sandbox delay ~hours on slow VMs)
│ ├─ At each _n, constructs 33-byte XOR key: struct.pack('>I', _n) + hardcoded_suffix
│ ├─ Tests key against known plaintext header of QGBdu.dxf
│ └─ On match: decrypts QGBdu.dxf entirely and exec()s the result
│ └─ O(1) bypass: known-plaintext attack on first 4 bytes (see below)
│
└─ Stage 2: QGBdu.dxf → Python backdoor
├─ Reads MachineGuid from HKLM\SOFTWARE\Microsoft\Cryptography
├─ Derives mutex Global\Tourmaline_<hash>
├─ Resolves C2 IP via Ethereum dead-drop (Sepolia testnet)
├─ Establishes DNS tunnel to C2
└─ Poll-execute loop: fetches tasks, exec()s Python, returns output
लोडर (main.py) XOR डिक्रिप्शन कुंजी खोजने के लिए 99,999,999 से एक काउंटडाउन का उपयोग करता है। वास्तविक मशीन पर यह सेकंडों में पूरा हो जाता है (क्योंकि _n उच्च से शुरू होता है और वास्तविक मान 14,511,188 के निकट होता है)। कम समय-सीमा वाले सैंडबॉक्स में, लूप कभी पूरा नहीं होता।
कुंजी संरचना:
full_key = struct.pack('>I', _n) + bytes.fromhex('2b0cffe07b06ac25793b3f00cfaa2dd5881c2d6378165247539dbbdaeb')
चूँकि हम plaintext के पहले 16 बाइट्स (g1 = lambda l6, ) जानते हैं, हम known-plaintext XOR हमले के माध्यम से _n को तुरंत पुनर्प्राप्त कर सकते हैं:
key_prefix = bytes(ciphertext[i] ^ known_plaintext[i] for i in range(4))
# Result: key_prefix = 00dd6c54 → _n = 14,511,188
इसे पुनरुत्पादित करने के लिए src/decrypt_payload.py का उपयोग करें।
| पैरामीटर | मान |
|---|---|
| C2 IP | 158.94.211.185 |
| C2 पोर्ट | 53 (UDP) |
| प्रोटोकॉल | कस्टम DNS-over-UDP टनल |
| स्पूफ़ किया गया डोमेन | microsoft.com |
| ChaCha20 कुंजी | 36f555c87f71581f57d83576c88193fdc00a0173f741a3e198e2d7abdc9cda59 |
| ब्लॉकचेन कॉन्ट्रैक्ट | 0x2d7a04cca0c34005f58393f30ac725e25f19e5f5 (Sepolia) |
| ECDSA पब्लिक की | MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEt17l3rGHHR9sYdHEvV8S+JRRCUHQQveSadlGk04xM/8WClDf/67Tyritt2+T18SY8n0xv1TKKl0AgnNFuboEEQ== |
| सेवा नाम | SystemService / TourmalineUpdate |
| म्यूटेक्स | Global\Tourmaline_<MachineGuid-hash> |
मैलवेयर सक्रिय C2 IP पता प्राप्त करने के लिए Sepolia टेस्टनेट पर एक Ethereum स्मार्ट कॉन्ट्रैक्ट को कॉल करता है। इसका अर्थ है कि हमलावर कॉन्ट्रैक्ट को अपडेट करके किसी भी समय C2 IP बदल सकता है — पारंपरिक IP ब्लॉकलिस्ट-आधारित C2 व्यवधान अप्रभावी है।
Contract : 0x2d7a04cca0c34005f58393f30ac725e25f19e5f5
Selector : 0xeb9fd6fe
Network : Ethereum Sepolia (chainId 11155111)
RPC : https://ethereum-sepolia-rpc.publicnode.com
Result : ChaCha20-encrypted blob containing current C2 IP
लौटाया गया डेटा हार्डकोडेड ChaCha20 कुंजी के साथ डिक्रिप्ट किया जाता है ताकि लाइव C2 पता प्रकट हो सके। विश्लेषण के समय, यह 158.94.211.185 पर रिज़ॉल्व हुआ (लाइव RPC कॉल के माध्यम से सत्यापित)।
सभी C2 ट्रैफ़िक सीधे पोर्ट 53 पर C2 IP को raw UDP DNS क्वेरीज़ के रूप में भेजा जाता है। क्वेरीज़ को <encoded_data>.microsoft.com के रूप में संरचित किया जाता है, जो DNS-आधारित फ़िल्टरिंग को बायपास करता है और वैध Windows टेलीमेट्री के रूप में प्रतीत होता है।