Кибергрупата RTM е специализирана в кражба на средства от руски компании

Има няколко известни кибергрупи, които са специализирани в кражба на средства от руски компании. Виждали сме атаки, използващи вратички в сигурността, които позволяват достъп до мрежата на целта. След като получат достъп, нападателите изучават мрежовата структура на организацията и разполагат свои собствени инструменти за кражба на средства. Класически пример за тази тенденция са хакерските групи Buhtrap, Cobalt и Corkow.

RTM групата, върху която се фокусира този доклад, е част от тази тенденция. Той използва специално проектиран зловреден софтуер, написан на Delphi, който ще разгледаме по-подробно в следващите раздели. Първите следи от тези инструменти в телеметричната система на ESET бяха открити в края на 2015 г. Екипът зарежда различни нови модули на заразени системи, ако е необходимо. Атаките са насочени към потребители на системи за дистанционно банкиране в Русия и някои съседни страни.

1. Голове

RTM кампанията е насочена към корпоративни потребители - това е очевидно от процесите, които атакуващите се опитват да открият в компрометирана система. Фокусът е върху счетоводен софтуер за работа със системи за дистанционно банкиране.

Списъкът с процеси, представляващи интерес за RTM, прилича на съответния списък на групата Buhtrap, но групите имат различни вектори на инфекция. Ако Buhtrap е използвал фалшиви страници по-често, тогава RTM е използвал атаки за изтегляне от драйв-бай (атаки срещу браузъра или неговите компоненти) и спам по имейл. Според телеметрични данни заплахата е насочена към Русия и няколко близки страни (Украйна, Казахстан, Чехия, Германия). Въпреки това, поради използването на механизми за масово разпространение, откриването на зловреден софтуер извън целевите региони не е изненадващо.

Общият брой откривания на зловреден софтуер е относително малък. От друга страна, RTM кампанията използва сложни програми, което показва, че атаките са силно насочени.

Открихме няколко документа-примамки, използвани от RTM, включително несъществуващи договори, фактури или данъчни счетоводни документи. Естеството на примамките, съчетано с вида на софтуера, към който е насочена атаката, показва, че нападателите „влизат“ в мрежите на руски компании през счетоводния отдел. Групата е действала по същата схема Бухтрап през 2014-2015г

По време на проучването успяхме да взаимодействаме с няколко C&C сървъра. Ще изброим пълния списък с команди в следващите раздели, но засега можем да кажем, че клиентът прехвърля данни от кийлогъра директно към атакуващия сървър, от който след това се получават допълнителни команди.

Въпреки това, дните, когато можете просто да се свържете със сървър за управление и управление и да съберете всички данни, които ви интересуват, отминаха. Пресъздадохме реалистични регистрационни файлове, за да получим някои подходящи команди от сървъра.

Първият от тях е искане към бота да прехвърли файла 1c_to_kl.txt - транспортен файл на програмата 1C: Enterprise 8, чийто външен вид се следи активно от RTM. 1C взаимодейства със системите за дистанционно банкиране чрез качване на данни за изходящи плащания в текстов файл. След това файлът се изпраща към системата за дистанционно банкиране за автоматизация и изпълнение на платежното нареждане.

Файлът съдържа данни за плащане. Ако нападателите променят информацията за изходящите плащания, преводът ще бъде изпратен с фалшиви данни към акаунтите на нападателите.

Около месец след като поискахме тези файлове от командния и контролен сървър, наблюдавахме нов плъгин, 1c_2_kl.dll, който се зарежда в компрометираната система. Модулът (DLL) е проектиран да анализира автоматично файла за изтегляне чрез проникване в процесите на счетоводния софтуер. Ще го опишем подробно в следващите раздели.

Интересното е, че FinCERT на Банката на Русия в края на 2016 г. издаде бюлетин с предупреждение за киберпрестъпници, използващи 1c_to_kl.txt файлове за качване. Разработчиците от 1C също знаят за тази схема, те вече направиха официално изявление и изброиха предпазни мерки.

Други модули също бяха заредени от командния сървър, по-специално VNC (неговите 32 и 64-битови версии). Той прилича на модула VNC, който преди е бил използван при атаки на Dridex Trojan. Предполага се, че този модул се използва за отдалечено свързване към заразен компютър и провеждане на подробно проучване на системата. След това нападателите се опитват да се движат из мрежата, извличайки потребителски пароли, събирайки информация и осигурявайки постоянно присъствие на зловреден софтуер.

2. Преносители на инфекция

Следващата фигура показва векторите на инфекцията, открити по време на периода на изследване на кампанията. Групата използва широк спектър от вектори, но главно атаки за изтегляне от драйв-бай и спам. Тези инструменти са удобни за целеви атаки, тъй като в първия случай нападателите могат да избират сайтове, посещавани от потенциални жертви, а във втория могат да изпращат имейл с прикачени файлове директно до желаните служители на компанията.

Злонамереният софтуер се разпространява чрез множество канали, включително комплекти за експлоатация на RIG и Sundown или спам съобщения, показващи връзки между нападателите и други кибератаки, предлагащи тези услуги.

2.1. Как са свързани RTM и Buhtrap?

RTM кампанията е много подобна на Buhtrap. Естественият въпрос е: как са свързани помежду си?

През септември 2016 г. наблюдавахме разпространение на RTM извадка с помощта на програмата за качване Buhtrap. Освен това открихме два цифрови сертификата, използвани както в Buhtrap, така и в RTM.

Първият, за който се твърди, че е издаден на компанията DNISTER-M, е използван за цифрово подписване на втория формуляр на Delphi (SHA-1: 025C718BA31E43DB1B87DC13F94A61A9338C11CE) и Buhtrap DLL (SHA-1: 1E2642B454A2C889B6D41116CCDBA83F6F2D4890 XNUMX).

Вторият, издаден на Bit-Tredj, беше използван за подписване на зареждащи устройства на Buhtrap (SHA-1: 7C1B6B1713BD923FC243DFEC80002FE9B93EB292 и B74F71560E48488D2153AE2FB51207A0AC206E2B), както и за изтегляне и инсталиране на RTM компоненти.

RTM операторите използват сертификати, които са общи за други фамилии зловреден софтуер, но те също имат уникален сертификат. Според телеметрията на ESET той е бил издаден на Kit-SD и е бил използван само за подписване на някои RTM зловреден софтуер (SHA-1: 42A4B04446A20993DDAE98B2BE6D5A797376D4B6).

RTM използва същия товарач като Buhtrap, RTM компонентите се зареждат от инфраструктурата на Buhtrap, така че групите имат подобни мрежови индикатори. Въпреки това, според нашите оценки, RTM и Buhtrap са различни групи, поне защото RTM се разпространява по различни начини (не само с помощта на „чужд“ инструмент за изтегляне).

Въпреки това хакерските групи използват подобни принципи на работа. Те са насочени към фирми, използващи счетоводен софтуер, събирайки по подобен начин системна информация, търсейки четци на смарт карти и внедрявайки набор от злонамерени инструменти за шпиониране на жертвите.

3. Еволюция

В този раздел ще разгледаме различните версии на зловреден софтуер, открити по време на проучването.

3.1. Версиониране

RTM съхранява конфигурационни данни в раздел на регистъра, като най-интересната част е префиксът на ботнет. Списък на всички стойности, които видяхме в изследваните проби, е представен в таблицата по-долу.

Възможно е стойностите да се използват за записване на версии на зловреден софтуер. Въпреки това не забелязахме голяма разлика между версии като bit2 и bit3, 0.1.6.4 и 0.1.6.6. Освен това, един от префиксите съществува от самото начало и се е развил от типичен C&C домейн до .bit домейн, както ще бъде показано по-долу.

3.2. График

Използвайки телеметрични данни, създадохме графика на появата на проби.

4. Технически анализ

В този раздел ще опишем основните функции на RTM банковия троян, включително механизми за устойчивост, собствена версия на алгоритъма RC4, мрежов протокол, шпионска функционалност и някои други функции. По-специално ще се съсредоточим върху SHA-1 проби AA0FA4584768CE9E16D67D8C529233E99FF1BBF0 и 48BC113EC8BA20B8B80CD5D4DA92051A19D1032B.

4.1. Инсталиране и запазване

4.1.1. Внедряване

RTM ядрото е DLL, библиотеката се зарежда на диск с помощта на .EXE. Изпълнимият файл обикновено е пакетиран и съдържа DLL код. Веднъж стартиран, той извлича DLL и го изпълнява със следната команда:

rundll32.exe “%PROGRAMDATA%Winlogonwinlogon.lnk”,DllGetClassObject host

4.1.2. DLL

Основният DLL винаги се зарежда на диска като winlogon.lnk в папката %PROGRAMDATA%Winlogon. Това файлово разширение обикновено се свързва с пряк път, но файлът всъщност е DLL, написан на Delphi, наречен core.dll от разработчика, както е показано на изображението по-долу.

Пример названия DLL F4C746696B0F5BB565D445EC49DD912993DE6361

Веднъж стартиран, троянският кон активира своя механизъм за устойчивост. Това може да стане по два различни начина, в зависимост от привилегиите на жертвата в системата. Ако имате администраторски права, троянският кон добавя запис за Windows Update към регистъра HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun. Командите, съдържащи се в Windows Update, ще се изпълняват в началото на сесията на потребителя.

HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunWindows Update [REG_SZ] = rundll32.exe “%PROGRAMDATA%winlogon.lnk”,DllGetClassObject хост

Троянският кон също се опитва да добави задача към Windows Task Scheduler. Задачата ще стартира winlogon.lnk DLL със същите параметри като по-горе. Редовните потребителски права позволяват на троянския кон да добави запис за Windows Update със същите данни към регистъра HKCUSoftwareMicrosoftWindowsCurrentVersionRun:

rundll32.exe “%PROGRAMDATA%winlogon.lnk”,DllGetClassObject host

4.2. Модифициран RC4 алгоритъм

Въпреки известните си недостатъци, алгоритъмът RC4 се използва редовно от авторите на зловреден софтуер. Създателите на RTM обаче го модифицираха леко, вероятно за да направят задачата на вирусните анализатори по-трудна. Модифицирана версия на RC4 се използва широко в злонамерени RTM инструменти за криптиране на низове, мрежови данни, конфигурация и модули.

4.2.1. Разлики

Оригиналният алгоритъм RC4 включва два етапа: инициализация на s-блок (известен още като KSA - Key-Scheduling Algorithm) и генериране на псевдослучайна последователност (PRGA - Pseudo-Random Generation Algorithm). Първият етап включва инициализиране на s-box с помощта на ключа, а във втория етап изходният текст се обработва с помощта на s-box за криптиране.

Авторите на RTM добавиха междинна стъпка между инициализацията на s-box и криптирането. Допълнителният ключ е променлив и се задава едновременно с данните за криптиране и декриптиране. Функцията, която изпълнява тази допълнителна стъпка, е показана на фигурата по-долу.

4.2.2. Шифроване на низове

На пръв поглед има няколко четливи реда в основния DLL. Останалите се криптират с помощта на описания по-горе алгоритъм, чиято структура е показана на следващата фигура. Открихме повече от 25 различни RC4 ключа за криптиране на низове в анализираните проби. Ключът XOR е различен за всеки ред. Стойността на числовото поле, разделящо редовете, винаги е 0xFFFFFFFF.

В началото на изпълнението RTM дешифрира низовете в глобална променлива. Когато е необходимо за достъп до низ, троянският кон динамично изчислява адреса на дешифрираните низове въз основа на основния адрес и отместването.

Низовете съдържат интересна информация за функциите на зловреден софтуер. Някои примерни низове са дадени в раздел 6.8.

4.3. Мрежа

Начинът, по който RTM злонамереният софтуер се свързва с C&C сървъра, варира от версия до версия. Първите модификации (октомври 2015 г. – април 2016 г.) използваха традиционни имена на домейни заедно с RSS емисия на livejournal.com за актуализиране на списъка с команди.

От април 2016 г. наблюдаваме преминаване към .bit домейни в телеметричните данни. Това се потвърждава от датата на регистрация на домейна - първият RTM домейн fde05d0573da.bit е регистриран на 13 март 2016 г.

Всички URL адреси, които видяхме, докато наблюдавахме кампанията, имаха общ път: /r/z.php. Това е доста необичайно и ще помогне за идентифициране на RTM заявки в мрежовите потоци.

4.3.1. Канал за команди и управление

Наследените примери използваха този канал, за да актуализират своя списък със сървъри за управление и управление. Хостингът се намира на livejournal.com, към момента на писане на доклада той остава на URL hxxp://f72bba81c921(.)livejournal(.)com/data/rss.

Livejournal е руско-американска компания, която предоставя платформа за блогове. RTM операторите създават LJ блог, в който публикуват статия с кодирани команди - вижте екранната снимка.

Командните и контролните низове се кодират с помощта на модифициран RC4 алгоритъм (раздел 4.2). Текущата версия (ноември 2016 г.) на канала съдържа следните адреси на команден и контролен сървър:

• hxxp://cainmoon(.)net/r/z.php
• hxxp://rtm(.)dev/0-3/z.php
• hxxp://vpntap(.)top/r/z.php

4.3.2. .bit домейни

В най-новите образци на RTM авторите се свързват с C&C домейни, използвайки домейна от първо ниво .bit TLD. Не е в списъка на домейни от първо ниво на ICANN (Domain Name and Internet Corporation). Вместо това, той използва системата Namecoin, която е изградена върху биткойн технологията. Авторите на злонамерен софтуер не използват често .bit TLD за своите домейни, въпреки че пример за такова използване е наблюдаван преди във версия на ботнета Necurs.

За разлика от Bitcoin, потребителите на разпределената база данни Namecoin имат възможността да запазват данни. Основното приложение на тази функция е домейнът от първо ниво .bit. Можете да регистрирате домейни, които ще се съхраняват в разпределена база данни. Съответните записи в базата данни съдържат IP адреси, разрешени от домейна. Този TLD е „устойчив на цензура“, тъй като само регистрантът може да промени разделителната способност на домейна .bit. Това означава, че е много по-трудно да спрете злонамерен домейн, използвайки този тип TLD.

Троянският кон RTM не вгражда софтуера, необходим за четене на разпределената база данни Namecoin. Той използва централни DNS сървъри като dns.dot-bit.org или OpenNic сървъри за разрешаване на .bit домейни. Следователно той има същата издръжливост като DNS сървърите. Забелязахме, че някои екипни домейни вече не бяха открити, след като бяха споменати в публикация в блог.

Друго предимство на .bit TLD за хакери е цената. За да регистрират домейн, операторите трябва да платят само 0,01 NK, което съответства на $0,00185 (към 5 декември 2016 г.). За сравнение, domain.com струва поне $10.

4.3.3. протокол

За да комуникира със сървъра за управление и управление, RTM използва HTTP POST заявки с данни, форматирани с помощта на персонализиран протокол. Стойността на пътя винаги е /r/z.php; Mozilla/5.0 потребителски агент (съвместим; MSIE 9.0; Windows NT 6.1; Trident/5.0). В заявките към сървъра данните се форматират, както следва, където стойностите на отместването са изразени в байтове:

Байтовете от 0 до 6 не са кодирани; байтове, започващи от 6, се кодират с помощта на модифициран RC4 алгоритъм. Структурата на C&C пакета с отговори е по-проста. Байтовете са кодирани от 4 до размера на пакета.

Списъкът с възможни стойности на байтовете за действие е представен в таблицата по-долу:

Зловреден софтуер винаги изчислява CRC32 на дешифрираните данни и го сравнява с това, което присъства в пакета. Ако се различават, троянският кон изхвърля пакета.
Допълнителните данни могат да съдържат различни обекти, включително PE файл, файл за търсене във файловата система или URL адреси на нови команди.

4.3.4. Панел

Забелязахме, че RTM използва панел на C&C сървъри. Екранна снимка по-долу:

4.4. Характерен признак

RTM е типичен банков троянски кон. Не е изненада, че операторите искат информация за системата на жертвата. От една страна, ботът събира обща информация за ОС. От друга страна, той установява дали компрометираната система съдържа атрибути, свързани с руски системи за дистанционно банкиране.

4.4.1. Обща информация

Когато зловреден софтуер е инсталиран или стартиран след рестартиране, се изпраща отчет до командния и контролен сървър, съдържащ обща информация, включително:

• Часова зона;
• системен език по подразбиране;
• идентификационни данни за оторизиран потребител;
• ниво на интегритет на процеса;
• потребителско име;
• име на компютър;
• версия на ОС;
• допълнителни инсталирани модули;
• инсталирана антивирусна програма;
• списък на четците на смарт карти.

4.4.2 Система за дистанционно банкиране

Типична троянска цел е система за дистанционно банкиране и RTM не прави изключение. Един от модулите на програмата се нарича TBdo, който изпълнява различни задачи, включително сканиране на дискове и история на сърфиране.

Сканирайки диска, троянският кон проверява дали на машината е инсталиран банков софтуер. Пълният списък на целевите програми е в таблицата по-долу. След като открие интересен файл, програмата изпраща информация до командния сървър. Следващите действия зависят от логиката, определена от алгоритмите на командния център (C&C).

RTM също така търси URL модели в хронологията на браузъра и отворените раздели. Освен това програмата проверява използването на функциите FindNextUrlCacheEntryA и FindFirstUrlCacheEntryA и също така проверява всеки запис, за да съответства на URL адреса на един от следните шаблони:

След като открие отворени раздели, троянският кон се свързва с Internet Explorer или Firefox чрез механизма за динамичен обмен на данни (DDE), за да провери дали разделът отговаря на шаблона.

Проверката на хронологията ви на сърфиране и отворените раздели се извършва в цикъл WHILE (цикъл с предварително условие) с 1 секунда пауза между проверките. Други данни, които се наблюдават в реално време, ще бъдат разгледани в раздел 4.5.

Ако бъде намерен шаблон, програмата съобщава това на командния сървър, използвайки списък от низове от следната таблица:

4.5 Мониторинг

Докато троянският кон работи, информация за характеристиките на заразената система (включително информация за наличието на банков софтуер) се изпраща на командния и контролен сървър. Снемането на пръстови отпечатъци възниква, когато RTM за първи път стартира системата за наблюдение веднага след първоначалното сканиране на ОС.

4.5.1. Дистанционно банкиране

Модулът TBdo е отговорен и за наблюдение на процесите, свързани с банкирането. Той използва динамичен обмен на данни за проверка на раздели във Firefox и Internet Explorer по време на първоначалното сканиране. Друг модул TShell се използва за наблюдение на командни прозорци (Internet Explorer или File Explorer).

Модулът използва COM интерфейсите IShellWindows, iWebBrowser, DWebBrowserEvents2 и IConnectionPointContainer за наблюдение на прозорци. Когато потребител навигира до нова уеб страница, зловредният софтуер отбелязва това. След това сравнява URL адреса на страницата с горните модели. След като открие съвпадение, троянският кон прави шест последователни екранни снимки с интервал от 5 секунди и ги изпраща на командния сървър на C&S. Програмата също така проверява някои имена на прозорци, свързани с банков софтуер - пълният списък е по-долу:

4.5.2. Смарт карта

RTM ви позволява да наблюдавате четци на смарт карти, свързани към заразени компютри. Тези устройства се използват в някои страни за съгласуване на платежни нареждания. Ако този тип устройство е свързано към компютър, това може да покаже на троянски кон, че машината се използва за банкови транзакции.

За разлика от други банкови троянски коне, RTM не може да взаимодейства с такива смарт карти. Може би тази функционалност е включена в допълнителен модул, който все още не сме виждали.

4.5.3. Keylogger

Важна част от наблюдението на заразен компютър е улавянето на натискания на клавиши. Изглежда, че разработчиците на RTM не пропускат никаква информация, тъй като те наблюдават не само обикновените клавиши, но и виртуалната клавиатура и клипборда.

За да направите това, използвайте функцията SetWindowsHookExA. Нападателите регистрират натиснатите клавиши или клавишите, съответстващи на виртуалната клавиатура, заедно с името и датата на програмата. След това буферът се изпраща до C&C командния сървър.

Функцията SetClipboardViewer се използва за прихващане на клипборда. Хакерите регистрират съдържанието на клипборда, когато данните са текст. Името и датата също се записват, преди буферът да бъде изпратен на сървъра.

4.5.4. Екранни снимки

Друга RTM функция е прихващане на екранни снимки. Функцията се прилага, когато модулът за наблюдение на прозорците открие интересен сайт или банков софтуер. Екранните снимки се правят с помощта на библиотека от графични изображения и се прехвърлят към командния сървър.

4.6. Деинсталиране

C&C сървърът може да спре стартирането на зловреден софтуер и да почисти компютъра ви. Командата ви позволява да изчистите файлове и записи в системния регистър, създадени, докато RTM работи. След това DLL се използва за премахване на злонамерения софтуер и файла winlogon, след което командата изключва компютъра. Както е показано на изображението по-долу, DLL се премахва от разработчиците с помощта на erase.dll.

Сървърът може да изпрати на троянския кон разрушителна команда за деинсталиране и заключване. В този случай, ако имате администраторски права, RTM ще изтрие MBR сектора за зареждане на твърдия диск. Ако това не успее, троянският кон ще се опита да премести сектора за зареждане на MBR в произволен сектор - тогава компютърът няма да може да зареди операционната система след изключване. Това може да доведе до пълно преинсталиране на операционната система, което означава унищожаване на доказателства.

Без администраторски привилегии злонамереният софтуер записва .EXE, кодиран в основния RTM DLL. Изпълнимият файл изпълнява кода, необходим за изключване на компютъра и регистрира модула в ключа на системния регистър HKCUCurrentVersionRun. Всеки път, когато потребителят стартира сесия, компютърът незабавно се изключва.

4.7. Конфигурационният файл

По подразбиране RTM почти няма конфигурационен файл, но командният и контролен сървър могат да изпращат конфигурационни стойности, които ще бъдат съхранени в системния регистър и използвани от програмата. Списъкът с конфигурационни ключове е представен в таблицата по-долу:

Конфигурацията се съхранява в ключа на системния регистър [псевдослучаен низ] на софтуера. Всяка стойност съответства на един от редовете, представени в предходната таблица. Стойностите и данните се кодират с помощта на алгоритъма RC4 в RTM.

Данните имат същата структура като мрежа или низове. В началото на кодираните данни се добавя четирибайтов ключ XOR. За стойностите на конфигурацията ключът XOR е различен и зависи от размера на стойността. Може да се изчисли, както следва:

xor_key = (len(config_value) << 24) | (len(config_value) << 16)
| len(config_value)| (len(config_value) << 8)

4.8. Други характеристики

След това нека разгледаме други функции, които RTM поддържа.

4.8.1. Допълнителни модули

Троянският кон включва допълнителни модули, които са DLL файлове. Модулите, изпратени от C&C командния сървър, могат да бъдат изпълнени като външни програми, отразени в RAM и стартирани в нови нишки. За съхранение модулите се записват в .dtt файлове и се кодират с помощта на алгоритъма RC4 със същия ключ, използван за мрежови комуникации.

Досега наблюдавахме инсталирането на модула VNC (8966319882494077C21F66A8354E2CBCA0370464), модула за извличане на данни от браузъра (03DE8622BE6B2F75A364A275995C3411626C4D9F) и модула 1c_2_kl (B1EE562E1 F69EFC6FBA58 B88753BE7D0B3E4CFAB).

За да зареди VNC модула, C&C сървърът издава команда, изискваща връзки към VNC сървъра на конкретен IP адрес на порт 44443. Плъгинът за извличане на данни на браузъра изпълнява TBrowserDataCollector, който може да чете хронологията на сърфирането в IE. След това изпраща пълния списък на посетените URL адреси до C&C командния сървър.

Последният открит модул се нарича 1c_2_kl. Може да взаимодейства със софтуерния пакет 1C Enterprise. Модулът включва две части: основната част - DLL и два агента (32 и 64 бита), които ще бъдат инжектирани във всеки процес, регистрирайки обвързване към WH_CBT. След като е въведен в процеса 1C, модулът обвързва функциите CreateFile и WriteFile. Всеки път, когато се извика обвързаната функция CreateFile, модулът съхранява пътя на файла 1c_to_kl.txt в паметта. След прихващане на извикването WriteFile, той извиква функцията WriteFile и изпраща пътя на файла 1c_to_kl.txt към главния DLL модул, предавайки му създаденото Windows WM_COPYDATA съобщение.

Основният DLL модул отваря и анализира файла, за да определи платежни нареждания. Той разпознава сумата и номера на транзакцията, съдържащи се във файла. Тази информация се изпраща на командния сървър. Вярваме, че този модул в момента е в процес на разработка, тъй като съдържа съобщение за отстраняване на грешки и не може автоматично да променя 1c_to_kl.txt.

4.8.2. Ескалация на привилегии

RTM може да се опита да повиши привилегиите чрез показване на фалшиви съобщения за грешка. Зловреден софтуер симулира проверка на системния регистър (вижте снимката по-долу) или използва истинска икона на редактор на системния регистър. Моля, обърнете внимание на грешното изписване, чакайте – whait. След няколко секунди сканиране програмата показва фалшиво съобщение за грешка.

Фалшивото съобщение лесно ще измами средния потребител, въпреки граматическите грешки. Ако потребителят щракне върху една от двете връзки, RTM ще се опита да повиши своите привилегии в системата.

След като избере една от двете опции за възстановяване, троянският кон стартира DLL с помощта на опцията runas във функцията ShellExecute с администраторски права. Потребителят ще види истинска подкана на Windows (вижте изображението по-долу) за повишаване. Ако потребителят даде необходимите разрешения, троянският кон ще работи с администраторски права.

В зависимост от езика по подразбиране, инсталиран в системата, троянският кон показва съобщения за грешка на руски или английски.

4.8.3. Сертификат

RTM може да добавя сертификати към магазина на Windows и да потвърждава надеждността на добавянето чрез автоматично щракване върху бутона „да“ в диалоговия прозорец csrss.exe. Това поведение не е ново; например банковият троянски кон Retefe също потвърждава независимо инсталирането на нов сертификат.

4.8.4. Обратна връзка

Авторите на RTM също създадоха Backconnect TCP тунела. Все още не сме виждали функцията да се използва, но тя е предназначена за дистанционно наблюдение на заразени компютри.

4.8.5. Управление на хост файлове

C&C сървърът може да изпрати команда до троянския кон за промяна на хост файла на Windows. Хост файлът се използва за създаване на персонализирани DNS резолюции.

4.8.6. Намерете и изпратете файл

Сървърът може да поиска търсене и изтегляне на файл в заразената система. Например по време на проучването получихме заявка за файла 1c_to_kl.txt. Както беше описано по-горе, този файл се генерира от счетоводната система 1C: Enterprise 8.

4.8.7. Актуализация

И накрая, авторите на RTM могат да актуализират софтуера, като изпратят нов DLL, който да замени текущата версия.

5. заключение

Изследването на RTM показва, че руската банкова система все още привлича кибератаки. Групи като Buhtrap, Corkow и Carbanak успешно крадат пари от финансови институции и техните клиенти в Русия. RTM е нов играч в тази индустрия.

Злонамерените RTM инструменти се използват поне от края на 2015 г., според телеметрията на ESET. Програмата има пълен набор от възможности за шпиониране, включително четене на смарт карти, прихващане на натискания на клавиши и наблюдение на банкови транзакции, както и търсене на транспортни файлове 1C: Enterprise 8.

Използването на децентрализиран, нецензуриран .bit домейн от първо ниво гарантира изключително устойчива инфраструктура.

Източник: www.habr.com