Варонис откри вирус за криптокопаене: нашето разследване

Нашият екип за разследване на киберсигурността наскоро проучи мрежа, която беше почти изцяло заразена с вирус за криптодобив в средно голяма компания. Анализ
събраните проби от зловреден софтуер показаха, че е открита нова модификация
такива вируси, т.нар Нормандски, използвайки различни методи за скриване на присъствието си. Освен това беше открит интерактивна уеб обвивка, което може да е от значение за минните оператори.

Преглед на изследването

• Компанията Varonis идентифицира мащабна инфекция с криптокопачи: почти всички сървъри и работни станции в компанията бяха заразени с такъв софтуер
• От първоначалното заразяване преди повече от година, броят на модификациите и заразените устройства непрекъснато нараства
• Открихме нов тип Monero cryptominer (Norman), който използва различни методи, за да го скрие от анализ от софтуер за сигурност, за да избегне откриването
• Повечето варианти на зловреден софтуер използват DuckDNS (безплатна услуга за динамичен DNS), за да се свържат с контролния център (C&C сървъри) и да получат конфигурационни параметри или да изпратят нови данни
• Norman е високоефективен копач на криптовалута Monero, базиран на копача с отворен код - XMRig
• Все още нямаме неопровержими доказателства, свързващи криптокопачите с интерактивна обвивка на PHP. Въпреки това има основателни причини да се смята, че те идват от един и същ нападател. Изследователите събират допълнителни доказателства за наличието или липсата на такава връзка.
• В тази статия можете да се запознаете с препоръките на Varonis относно защитата срещу отдалечени уеб обвивки и криптокопачи

разследване

Разследването започна по време на следващия пилотен проект Платформи
киберсигурност Varonis (Varonis Data Security Platform), което направи възможно бързото идентифициране на няколко подозрителни аномални събития на ниво мрежа по време на интернет заявки (чрез уеб прокси), свързани с аномални действия във файловата система.
Клиентът веднага посочи, че устройствата, идентифицирани от нашата платформа
принадлежат на същите потребители, които наскоро съобщиха за сривове на приложения и забавяне на мрежата.

Нашият екип ръчно изследва средата на клиента, преминавайки от една заразена станция към друга в съответствие с предупрежденията, генерирани от платформата Varonis. Екипът за реагиране при инциденти е разработил специално правило в DataAlert модул за откриване на компютри, които активно копаят, което помогна за бързото премахване на заплахата. Проби от събрания зловреден софтуер бяха изпратени на криминалистиката и екипите за разработка, които уведомиха, че е необходимо допълнително изследване на пробите.
Заразените възли са открити поради повикванията, към които са направени DuckDNS, динамична DNS услуга, която позволява на своите потребители да създават свои собствени имена на домейни и бързо да ги картографират към променящи се IP адреси. Както беше отбелязано по-горе, повечето от зловреден софтуер в инцидента са имали достъп до DuckDNS, за да се свържат с контролния център (C&C), докато други са имали достъп до конфигурационни параметри или са изпратили нови данни.

Почти всички сървъри и компютри бяха заразени със зловреден софтуер. Основно използвани
често срещани варианти на криптокопачи. Друг зловреден софтуер включва инструменти за изхвърляне на пароли и PHP черупки, докато редица инструменти работят от няколко години.

Предоставихме резултатите на клиента, премахнахме зловреден софтуер от тяхната среда и спряхме по-нататъшни инфекции.

Сред всички открити образци на криптокопачи, един се открои. Нарекохме го Нормандски.

Среща! Норман. Криптомайнер

Norman е високоефективен копач на криптовалута Monero, базиран на XMRig код. За разлика от други открити проби от миньори, Norman използва техники, за да го скрие от анализ от софтуер за сигурност, за да избегне откриването и да предотврати по-нататъшното разпространение.

На пръв поглед този зловреден софтуер е обикновен копач, който се крие под името svchost.exe. Проучването обаче установи, че използва по-интересни методи, за да се скрие от откриване и да поддържа нещата работещи.

Процесът на внедряване на този зловреден софтуер може да бъде разделен на три етапа:

• производителност;
• изпълнение;
• минен.

Анализ стъпка по стъпка

Етап 1. Изпълнение

Първият етап започва с изпълнимия файл svchost.exe.

Зловреден софтуер се компилира с помощта на NSIS (Nullsoft Scriptable Install System), което е необичайно. NSIS е система с отворен код, използвана за създаване на инсталатори на Windows. Подобно на SFX, тази система създава архив от файлове и файл със скрипт, който се изпълнява, докато инсталаторът работи. Файлът на скрипта казва на програмата какви файлове да стартира и може да взаимодейства с други файлове в архива.

Забележка: За да получите NSIS скрипт файл от изпълним файл, трябва да използвате 7zip версия 9.38, тъй като по-късните версии не прилагат тази функция.

Архивираният зловреден софтуер на NSIS съдържа следните файлове:

• CallAnsiPlugin.dll, CLR.dll - NSIS модули за извикване на .NET DLL функции;
• 5zmjbxUIOVQ58qPR.dll - основен полезен DLL;
• 4jy4sobf.acz, es1qdxg2.5pk, OIM1iVhZ.txt - полезни файлове;
• Retreat.mp3, Cropped_controller_config_controller_i_lb.png са просто файлове, които по никакъв начин не са свързани с по-нататъшна злонамерена дейност.

Командата от файла на NSIS скрипта, която изпълнява полезния товар, е дадена по-долу.

Зловреден софтуер се изпълнява чрез извикване на функцията 5zmjbxUIOVQ58qPR.dll, която приема други файлове като параметри.

Етап 2. Внедряване

Файлът 5zmjbxUIOVQ58qPR.dll е основният полезен товар, както може да се види от NSIS скрипта по-горе. Бърз анализ на метаданните разкри, че DLL първоначално се е казвал Norman.dll, затова го нарекохме така.

DLL файлът е разработен в .NET и е защитен от обратно инженерство чрез тройна обфускация
с помощта на добре познатия търговски продукт Agile .NET Obfuscator.

По време на изпълнение много операции на самоинжектиране са включени в неговия собствен процес, както и в други процеси. В зависимост от битовата дълбочина на операционната система, зловредният софтуер ще
изберете различни пътища към системните папки и стартирайте различни процеси.

Въз основа на пътя на системната папка зловредният софтуер ще избере различни процеси, които да стартира.

Инжектираният полезен товар има две основни функции: изпълнение на криптомайнер и предотвратяване на откриване.

Ако операционната система е 64-битова

Когато оригиналният файл svchosts.exe (NSIS файл) се изпълни, той създава нов собствен процес и инжектира полезния товар (1) в него. Скоро след това стартира notepad.exe или explorer.exe и инжектира криптомайнера в него (2).

След това оригиналният файл svchost.exe излиза и новият файл svchost.exe се използва като програма, която следи процеса на копаене.

Ако операционната система е 32-битова

Когато стартира оригиналният файл svchosts.exe (файлът NSIS), той дублира собствения си процес и инжектира полезния товар в него, точно както 64-битовата версия.

В този случай злонамереният софтуер инжектира полезен товар в процеса explorer.exe на потребителя. Оттам злонамереният код стартира нов процес (wuapp.exe или vchost.exe) и инжектира копач в него.

Зловреден софтуер скрива факта, че се е инжектирал в explorer.exe, като презаписва инжектирания преди това код с пътя към wuapp.exe и празни стойности.

Както е в случая при работа в 64-битова среда, оригиналният процес svchost.exe излиза, а вторият се използва за повторно инжектиране на зловреден код в explorer.exe, ако процесът бъде прекратен от потребителя.

В края на алгоритъма за изпълнение злонамереният софтуер винаги инжектира криптомайнер в легитимния процес, който стартира.

Той е проектиран да предотвратява откриването чрез прекратяване на копача, когато потребителят стартира диспечера на задачите.

Моля, обърнете внимание, че след стартиране на диспечера на задачите процесът wuapp.exe приключва.

След като затвори диспечера на задачите, зловредният софтуер стартира процеса wuapp.exe отново и отново
миньорът го инжектира в него.

Етап 3. Миньор

Помислете за копача XMRig, споменат по-горе.

Зловреден софтуер инжектира прикрита UPX версия на копача в notepad, exe, explorer.exe,
svchost.exe или wuapp.exe, в зависимост от битовата дълбочина на операционната система и етапа на алгоритъма за изпълнение.

PE заглавката в миньора е премахната и на екранната снимка по-долу можем да видим, че е маскирана с UPX.

След като създадохме дъмп и възстановихме изпълнимия файл, успяхме да го стартираме:

Трябва да се отбележи, че достъпът до целевия XMR сайт е отказан, което ефективно неутрализира този копач.

Конфигурация на миньор:

"url": "pool.minexmr.com:5555","user":
"49WvfokdnuK6ojQePe6x2M3UCD59v3BQiBszkuTGE7wmNJuyAvHM9ojedgxMwNx9tZA33P84EeMLte7t6qZhxNHqHyfq9xA","pass":"x"

Мистериозна PHP обвивка, предаваща данни на C&C

По време на това разследване нашият криминалистичен екип откри XSL файл, който привлече вниманието им. След задълбочен анализ на извадката беше открит нов PHP shell, който постоянно се свързва с контролния център (C&C сървър).

Намерен е XSL файл на няколко сървъра в средата на клиента, който е стартиран от известен изпълним файл на Windows (mscorsv.exe) от папка в директорията sysWOW64.

Папката със злонамерен софтуер се нарича AutoRecover и съдържа няколко файла:

• XSL файл: xml.XSL
• девет DLL файла

Изпълними файлове:

• Mscorsv.exe
• Wmiprvse.exe

XSL файл

XSL файловете са таблици със стилове, подобни на тези, използвани в CSS, които описват как да се покаже XML документ.

Използвайки Notepad, ние установихме, че това всъщност не е XSL файл, а по-скоро PHP код, обфускиран от Zend Guard. Този любопитен факт подсказваше, че е така
полезен товар от зловреден софтуер въз основа на неговия алгоритъм за изпълнение.

Девет DLL файлове

Първоначалният анализ на XSL файла доведе до извода, че наличието на такъв номер
DLL файловете имат определено значение. Основната папка съдържа DLL, наречен php.dll, и три други библиотеки, свързани със SSL и MySQL. В подпапките експертите откриха четири PHP библиотеки и една библиотека Zend Guard. Всички те са легитимни и се получават от инсталационния пакет на PHP или като външни dll.

На този етап се предполагаше, че зловредният софтуер е създаден на базата на PHP и е скрит от Zend Guard.

Изпълними файлове

Също така в тази папка имаше два изпълними файла: Mscorsv.exe и Wmiprvse.exe.

След като анализирахме файла mscorsv.exe, установихме, че той не е подписан от Microsoft, въпреки че неговият параметър ProductName е зададен на „Microsoft. Net Framework".
Първоначално просто изглеждаше странно, но анализирането на Wmiprvse.exe ни позволи да разберем по-добре ситуацията.

Файлът Wmiprvse.exe също беше неподписан, но съдържаше символ за авторско право на група PHP и икона на PHP. Бърз преглед на неговите редове разкри команди от помощта за PHP. Когато се изпълни с ключа -version, беше открито, че това е изпълним файл, предназначен да стартира Zend Guard.

Когато mscorsv.exe беше стартиран по подобен начин, на екрана се показваха същите данни. Сравнихме двоичните данни на тези два файла и видяхме, че са идентични, с изключение на метаданните
Авторски права и Име на компанията/Име на продукта.

Въз основа на това беше заключено, че XSL файлът съдържа PHP код, който се изпълнява с помощта на изпълнимия файл на Zend Guard, скрит под името mscorsv.exe.

Разбор на XSL файла

Използвайки търсене в Интернет, специалистите бързо се сдобиха с инструмента за деобфускация Zend Guard и възстановиха оригиналния вид на файла xml.XSL:

Оказа се, че самият зловреден софтуер е PHP shell, който е постоянно свързан с контролния център (C&C сървър).

Командите и изходните данни, които изпраща и получава, са криптирани. Тъй като имахме изходния код, имахме и ключа за криптиране, и командите.

Този зловреден софтуер съдържа следната вградена функционалност:

• Eval - Обикновено се използва за модифициране на съществуващи променливи в кода
• Локален запис на файл
• Възможности за работа с база данни
• Възможности за работа с PSEXEC
• Скрито изпълнение
• Картографиране на процеси и услуги

Следната променлива предполага, че злонамереният софтуер има няколко версии.

При събиране на проби са открити следните версии:

• 0.5f
• 0.4p
• 0.4o

Единствената функция за осигуряване на постоянно присъствие на злонамерен софтуер в системата е, че когато се изпълнява, той създава услуга, която се изпълнява сама, и нейното име
промени от версия на версия.

Експертите се опитаха да намерят подобни проби в интернет и откриха зловреден софтуер
което според тях е предишна версия на съществуващата извадка. Съдържанието на папката беше подобно, но XSL файлът беше различен и имаше различен номер на версия.

Parle-Vu Malware?

Зловреден софтуер може да е с произход от Франция или друга френскоговоряща страна: SFX файлът имаше коментари на френски, което показва, че авторът е използвал френска версия на WinRAR, за да го създаде.

Освен това някои променливи и функции в кода също бяха именувани на френски.

Наблюдение на изпълнението и изчакване на нови команди

Експертите промениха кода на зловреден софтуер и безопасно стартираха вече модифицирания
версия за събиране на информация за получените команди.

В края на първата комуникационна сесия експертите видяха, че зловредният софтуер получава команда, кодирана с помощта на Base64 като аргумент за стартовия ключ EVAL64.
Тази команда се декодира и изпълнява. Той променя няколко вътрешни променливи (размер на буфера за четене и запис), след което зловредният софтуер влиза в работен цикъл в очакване на команди.

Към момента няма постъпили нови команди.

Интерактивна обвивка на PHP и криптомайнер: свързани ли са?

Специалистите на Varonis не са сигурни дали Norman е свързан с обвивка на PHP, тъй като има силни аргументи както за, така и против това предположение:

Защо може да са свързани?

• Нито една от пробите на злонамерен софтуер за криптодобиване нямаше способността да се разпространи независимо в други системи, въпреки че бяха открити на различни устройства в различни мрежови сегменти. Възможно е атакуващият да е заразил всеки възел поотделно (може би използвайки същия вектор на атака, както при заразяването на Patient Zero), въпреки че би било по-ефективно да се използва PHP обвивка за разпространение в цялата мрежа, която е била целта на атаката.
• Мащабните, целенасочени автоматизирани кампании, насочени срещу конкретна организация, често оставят технически артефакти или разпознаваеми следи от заплахи за киберсигурността. В този случай нищо подобно не е открито.
• Както Norman, така и обвивката на PHP използваха услугата DuckDNS.

Защо може да не са свързани?

• Няма технически прилики между вариантите на зловреден софтуер за криптодобив и обвивката на PHP. Злонамереният криптомайнер е създаден на C++, а обвивката е на PHP. Освен това няма прилики в структурата на кода и мрежовите функции се изпълняват по различен начин.
• Няма директна комуникация между вариантите на зловреден софтуер и обвивката на PHP за обмен на данни.
• Те не споделят коментари на разработчици, файлове, метаданни или цифрови отпечатъци.

Три препоръки за защита срещу отдалечени черупки

Зловреден софтуер, който изисква команди от контролния център (C&C сървъри), за да работи, не е като обикновените вируси. Действията му не са толкова предсказуеми и ще приличат повече на действията на хакер или пентестер, извършени без автоматизирани инструменти или скриптове. Следователно откриването на тези атаки без сигнатури на зловреден софтуер е по-голямо предизвикателство от обикновеното антивирусно сканиране.

По-долу са дадени три препоръки за защита на компаниите от отдалечени черупки:

1. Поддържайте целия софтуер актуален
   Нападателите често използват уязвимости в софтуера и операционните системи, за да се разпространяват в мрежата на организацията и да търсят интересни данни, за да
   кражба. Навременното коригиране значително намалява риска от подобни заплахи.
2. Наблюдавайте необичайни събития за достъп до данни
   Най-вероятно нападателите ще се опитат да изнесат поверителните данни на организацията извън периметъра. Мониторингът на необичайни събития за достъп до тези данни ще позволи
   откриват компрометирани потребители и целия набор от папки и файлове, които действително могат да попаднат в ръцете на нападателите, а не просто да считат за такива всички данни, достъпни за тези потребители.
3. Наблюдавайте мрежовия трафик
   Използването на защитна стена и/или прокси сървър може да открие и блокира злонамерени връзки към центрове за контрол на зловреден софтуер (C&C сървъри), предотвратявайки изпълнението на команди от нападателите и затруднявайки
   периметърни данни.

Загрижени ли сте за проблема със сивото копаене? Шест препоръки за защита:

1. Поддържайте всички операционни системи актуални
   Управлението на корекциите е много важно за предотвратяване на злоупотреба с ресурси и заразяване със зловреден софтуер.
2. Контролирайте мрежовия трафик и уеб прокситата
   Направете това, за да откриете някои атаки и за да предотвратите някои от тях, можете да блокирате трафик въз основа на информация за злонамерени домейни или да ограничите ненужните канали за предаване на данни.
3. Използвайте и поддържайте антивирусни решения и системи за сигурност на крайни точки (Но в никакъв случай не се ограничавайте до използването само на този слой защита).
   Продуктите за крайни точки могат да открият добре познати криптомайнери и да предотвратят инфекции, преди да причинят щети на производителността на системата и използването на енергия. Моля, имайте предвид, че новите модификации или новите методи за предотвратяване на откриването може да накарат защитата на крайната точка да не успее да открие нови версии на същия зловреден софтуер.
4. Наблюдавайте активността на процесора на компютъра
   Обикновено крипто копачите използват централния процесор на компютъра за копаене. Необходимо е да се анализират всички съобщения за намаляване на производителността („Компютърът ми започна да се забавя.“).
5. Наблюдавайте DNS за необичайно използване на динамични DNS услуги (като DuckDNS)

   Въпреки че DuckDNS и други динамични DNS услуги не са вредни по своята същност за системата, използването на DuckDNS от зловреден софтуер улесни нашите разследващи екипи при откриването на заразени хостове.

6. Разработете план за реакция при инцидент
   Уверете се, че разполагате с необходимите процедури за такива инциденти за автоматично откриване, ограничаване и смекчаване на заплахата от сиво копаене на крипто.

Забележка към клиентите на Varonis.
Varonis DataAlert включва модели на заплахи, които позволяват откриването на зловреден софтуер за криптодобив. Клиентите могат също да създават персонализирани правила за насочване на откриването на софтуер въз основа на домейни, които са кандидати за черен списък. За да сте сигурни, че използвате най-новата версия на DatAlert и използвате правилните модели на заплахи, свържете се с вашия търговски представител или поддръжката на Varonis.

Източник: www.habr.com