OceanLotus: macOS এর জন্য ম্যালওয়্যার আপডেট

মার্চ 2019 সালে, সাইবার গ্রুপ ওশান লোটাস থেকে ম্যাকোস ম্যালওয়ারের একটি নতুন নমুনা একটি জনপ্রিয় অনলাইন স্ক্যানিং পরিষেবা VirusTotal-এ আপলোড করা হয়েছিল। ব্যাকডোর এক্সিকিউটেবল ফাইলটিতে ম্যাকওএস ম্যালওয়্যারের পূর্ববর্তী সংস্করণের মতো একই ক্ষমতা রয়েছে যা আমরা অধ্যয়ন করেছি, তবে এর গঠন পরিবর্তিত হয়েছে এবং এটি সনাক্ত করা আরও কঠিন হয়ে উঠেছে। দুর্ভাগ্যবশত, আমরা এই নমুনার সাথে যুক্ত একটি ড্রপার খুঁজে পাইনি, তাই আমরা এখনও সংক্রমণ ভেক্টর জানি না।

আমরা সম্প্রতি প্রকাশ করেছি OceanLotus সম্পর্কে পোস্ট এবং কীভাবে অপারেটররা অধ্যবসায় প্রদান করার চেষ্টা করছে, কোড এক্সিকিউশনের গতি বাড়াচ্ছে এবং উইন্ডোজ সিস্টেমে পদচিহ্ন কমিয়ে দিচ্ছে। এটি আরও জানা যায় যে এই সাইবার গ্রুপের ম্যাকওএসের জন্য একটি উপাদানও রয়েছে। এই পোস্টটি পূর্ববর্তী সংস্করণের তুলনায় macOS-এর জন্য ম্যালওয়্যারের নতুন সংস্করণে পরিবর্তনের বিবরণ দেয় (ট্রেন্ড মাইক্রো দ্বারা বর্ণিত), এবং এছাড়াও বর্ণনা করে কিভাবে আপনি IDA Hex-Rays API ব্যবহার করে বিশ্লেষণের সময় স্ট্রিংগুলির ডিক্রিপশন স্বয়ংক্রিয় করতে পারেন।

Анализ

পরবর্তী তিনটি অংশ SHA-1 হ্যাশ সহ একটি নমুনার বিশ্লেষণ বর্ণনা করে E615632C9998E4D3E5ACD8851864ED09B02C77D2. ফাইল বলা হয় টর্চলাইট, ESET অ্যান্টিভাইরাস পণ্যগুলি এটিকে OSX/OceanLotus.D হিসাবে সনাক্ত করে৷

অ্যান্টি-ডিবাগিং এবং স্যান্ডবক্স সুরক্ষা

সমস্ত macOS OceanLotus বাইনারিগুলির মতো, নমুনাটি UPX দিয়ে প্যাকেজ করা হয়, তবে বেশিরভাগ প্যাকেজার সনাক্তকরণ সরঞ্জাম এটিকে চিনতে পারে না। এটি সম্ভবত কারণ তারা বেশিরভাগই "UPX" স্ট্রিংয়ের উপস্থিতির উপর নির্ভরশীল একটি স্বাক্ষর ধারণ করে, উপরন্তু, Mach-O স্বাক্ষরগুলি কম সাধারণ এবং প্রায়শই আপডেট করা হয় না। এই বৈশিষ্ট্যটি স্ট্যাটিক সনাক্তকরণকে কঠিন করে তোলে। মজার বিষয় হল, আনপ্যাক করার পরে, এন্ট্রি পয়েন্টটি বিভাগের শুরুতে রয়েছে __cfstring সেগমেন্টে .TEXT. নীচের ছবিতে দেখানো হিসাবে এই বিভাগে পতাকা বৈশিষ্ট্য আছে.

চিত্র 1. MACH-O __cfstring বিভাগের বৈশিষ্ট্য

চিত্র 2 এ দেখানো হয়েছে, বিভাগে কোড অবস্থান __cfstring স্ট্রিং হিসাবে কোড প্রদর্শন করে আপনাকে কিছু বিচ্ছিন্নকরণ সরঞ্জাম কৌশল করতে দেয়।

চিত্র 2. IDA দ্বারা ডেটা হিসাবে ব্যাকডোর কোড সনাক্ত করা হয়েছে৷

একবার কার্যকর করা হলে, বাইনারি একটি অ্যান্টি-ডিবাগার হিসাবে একটি থ্রেড তৈরি করে যার একমাত্র উদ্দেশ্য একটি ডিবাগারের উপস্থিতি ক্রমাগত পরীক্ষা করা। এই প্রবাহের জন্য:

— যেকোনো ডিবাগার, কলিংকে আনহুক করার চেষ্টা করে ptrace с PT_DENY_ATTACH একটি অনুরোধ পরামিতি হিসাবে
- একটি ফাংশন কল করে কিছু এক্সক্লুসিভ পোর্ট খোলা আছে কিনা তা পরীক্ষা করে task_get_exception_ports
- পতাকার উপস্থিতি পরীক্ষা করে নীচের চিত্রে দেখানো হিসাবে ডিবাগার সংযুক্ত কিনা তা পরীক্ষা করে P_TRACED বর্তমান প্রক্রিয়ায়

চিত্র 3. sysctl ফাংশন ব্যবহার করে ডিবাগার সংযোগ পরীক্ষা করা হচ্ছে

যদি ওয়াচডগ একটি ডিবাগার উপস্থিতি সনাক্ত করে, ফাংশন বলা হয় exit. উপরন্তু, নমুনা তারপর দুটি কমান্ড চালানোর মাধ্যমে পরিবেশ পরীক্ষা করে:

ioreg -l | grep -e "Manufacturer" и sysctl hw.model

নমুনা তারপর পরিচিত ভার্চুয়ালাইজেশন সিস্টেম থেকে স্ট্রিংগুলির একটি হার্ড-কোডেড তালিকার বিপরীতে রিটার্ন মান পরীক্ষা করে: acle, VMware, Virtualbox বা সমান্তরাল. অবশেষে, পরবর্তী কমান্ডটি পরীক্ষা করে যে মেশিনটি নিম্নলিখিত “MBP”, “MBA”, “MB”, “MM”, “IM”, “MP” এবং “XS” এর মধ্যে একটি কিনা। এগুলি হল সিস্টেম মডেল কোড, উদাহরণস্বরূপ, "MBP" মানে MacBook Pro, "MBA" মানে MacBook Air ইত্যাদি।

system_profiler SPHardwareDataType 2>/dev/null | awk '/Boot ROM Version/ {split($0, line, ":");printf("%s", line[2]);}

প্রধান সংযোজন

যদিও ট্রেন্ড মাইক্রোর গবেষণার পর থেকে ব্যাকডোর কমান্ডগুলি পরিবর্তিত হয়নি, আমরা আরও কিছু পরিবর্তন লক্ষ্য করেছি। এই নমুনায় ব্যবহৃত C&C সার্ভারগুলি মোটামুটি নতুন এবং 22.10.2018/XNUMX/XNUMX তারিখে তৈরি করা হয়েছে৷

- daff.faybilodeau[.]com
- sarc.onteagleroad[.]com
- au.charlineopkesston[.]com

সম্পদ URL পরিবর্তিত হয়েছে /dp/B074WC4NHW/ref=gbps_img_m-9_62c3_750e6b35.
C&C সার্ভারে পাঠানো প্রথম প্যাকেটে হোস্ট মেশিন সম্পর্কে আরও তথ্য রয়েছে, নীচের সারণীতে কমান্ড দ্বারা সংগৃহীত সমস্ত ডেটা সহ।

এই কনফিগারেশন পরিবর্তন ছাড়াও, নমুনা নেটওয়ার্ক ফিল্টারিংয়ের জন্য একটি লাইব্রেরি ব্যবহার করে না libcurl, কিন্তু একটি বহিরাগত লাইব্রেরি। এটি খুঁজে পেতে, ব্যাকডোর কী দিয়ে AES-256-CBC ব্যবহার করে বর্তমান ডিরেক্টরির প্রতিটি ফাইল ডিক্রিপ্ট করার চেষ্টা করে gFjMXBgyXWULmVVVzyxy, শূন্য দিয়ে প্যাড করা। প্রতিটি ফাইল ডিক্রিপ্ট করা হয় এবং হিসাবে সংরক্ষণ করা হয় /tmp/store, এবং একটি লাইব্রেরি হিসাবে এটি লোড করার একটি প্রচেষ্টা ফাংশন ব্যবহার করে করা হয় dlopen. যখন একটি ডিক্রিপশন প্রচেষ্টা সফল কলে পরিণত হয় dlopen, পিছনের দরজা রপ্তানি ফাংশন নির্যাস Boriry и ChadylonV, যা সার্ভারের সাথে নেটওয়ার্ক যোগাযোগের জন্য দৃশ্যত দায়ী। আমাদের কাছে নমুনার আসল অবস্থান থেকে ড্রপার বা অন্যান্য ফাইল নেই, তাই আমরা এই লাইব্রেরিটি পার্স করতে পারি না। অধিকন্তু, যেহেতু উপাদানটি এনক্রিপ্ট করা হয়েছে, তাই এই স্ট্রিংগুলির উপর ভিত্তি করে একটি YARA নিয়ম ডিস্কে পাওয়া ফাইলের সাথে মিলবে না।

উপরের নিবন্ধে বর্ণিত হিসাবে, এটি তৈরি করে ক্লায়েন্ট আইডি. এই আইডি হল নিম্নলিখিত কমান্ডগুলির একটির রিটার্ন মানের MD5 হ্যাশ:

- ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformSerialNumber/ { split($0, line, """); printf("%s", line[4]); }'
- ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformUUID/ { split($0, line, """); printf("%s", line[4]); }'
- ifconfig en0 | awk '/ether /{print $2}' (MAC ঠিকানা পান)
- অজানা দল ("x1ex72x0a"), যা পূর্ববর্তী নমুনায় ব্যবহৃত হয়

হ্যাশ করার আগে, রুট সুবিধাগুলি নির্দেশ করার জন্য রিটার্ন মানের সাথে একটি "0" বা "1" যোগ করা হয়। এই ক্লায়েন্ট আইডি সঞ্চিত /Library/Storage/File System/HFS/25cf5d02-e50b-4288-870a-528d56c3cf6e/pivtoken.appex, যদি কোডটি রুট হিসাবে বা অন্য সব ক্ষেত্রে ~/Library/SmartCardsServices/Technology/PlugIns/drivers/snippets.ecgML-এ চালানো হয়। ফাইলটি সাধারণত ফাংশন ব্যবহার করে লুকানো হয় _পতাকা, কমান্ড ব্যবহার করে এর টাইমস্ট্যাম্প পরিবর্তন করা হয় touch –t একটি র্যান্ডম মান সঙ্গে.

ডিকোডিং স্ট্রিং

পূর্ববর্তী বিকল্পগুলির মতো, স্ট্রিংগুলি AES-256-CBC ব্যবহার করে এনক্রিপ্ট করা হয়েছে (হেক্সাডেসিমাল কী: 9D7274AD7BCEF0DED29BDBB428C251DF8B350B92 শূন্য দিয়ে প্যাড করা, এবং IV শূন্য দিয়ে ভরা) ফাংশনের মাধ্যমে CCCrypt. পূর্ববর্তী সংস্করণগুলি থেকে কীটি পরিবর্তিত হয়েছে, কিন্তু যেহেতু গ্রুপটি এখনও একই স্ট্রিং এনক্রিপশন অ্যালগরিদম ব্যবহার করে, তাই ডিক্রিপশন স্বয়ংক্রিয় হতে পারে। এই পোস্টটি ছাড়াও, আমরা একটি IDA স্ক্রিপ্ট প্রকাশ করছি যা বাইনারি ফাইলে উপস্থিত স্ট্রিংগুলিকে ডিক্রিপ্ট করতে Hex-Rays API ব্যবহার করে। এই স্ক্রিপ্টটি OceanLotus এর ভবিষ্যতের বিশ্লেষণ এবং বিদ্যমান নমুনাগুলির বিশ্লেষণে সহায়তা করতে পারে যা আমরা এখনও প্রাপ্ত করতে পারিনি। স্ক্রিপ্টটি একটি ফাংশনে পাস করা আর্গুমেন্ট গ্রহণের জন্য একটি সর্বজনীন পদ্ধতির উপর ভিত্তি করে। অতিরিক্তভাবে, এটি পরামিতি অ্যাসাইনমেন্টগুলি দেখায়। পদ্ধতিটি ফাংশন আর্গুমেন্টের একটি তালিকা পেতে এবং তারপর কলব্যাকে পাস করার জন্য পুনরায় ব্যবহার করা যেতে পারে।

ফাংশন প্রোটোটাইপ জানা ডিক্রিপ্ট, স্ক্রিপ্ট এই ফাংশনের সমস্ত ক্রস-রেফারেন্স খুঁজে পায়, সমস্ত আর্গুমেন্ট, তারপর ডেটা ডিক্রিপ্ট করে এবং ক্রস-রেফারেন্স ঠিকানায় একটি মন্তব্যের ভিতরে প্লেইন টেক্সট রাখে। স্ক্রিপ্টটি সঠিকভাবে কাজ করার জন্য, এটি অবশ্যই base64 ডিকোডিং ফাংশন দ্বারা ব্যবহৃত কাস্টম বর্ণমালায় সেট করা আবশ্যক, এবং একটি গ্লোবাল ভেরিয়েবলকে অবশ্যই কীটির দৈর্ঘ্য সহ সংজ্ঞায়িত করতে হবে (এই ক্ষেত্রে একটি DWORD, চিত্র 4 দেখুন)।

চিত্র 4. গ্লোবাল ভেরিয়েবল key_len এর সংজ্ঞা

ফাংশন উইন্ডোতে, আপনি ডিক্রিপশন ফাংশনে ডান-ক্লিক করতে পারেন এবং "আর্গুমেন্টগুলি নিষ্কাশন এবং ডিক্রিপ্ট করুন" এ ক্লিক করতে পারেন। চিত্র 5-এ দেখানো হিসাবে স্ক্রিপ্টের মন্তব্যে ডিক্রিপ্ট করা লাইনগুলি রাখা উচিত।

চিত্র 5. ডিক্রিপ্ট করা পাঠ্যটি মন্তব্যগুলিতে স্থাপন করা হয়েছে৷

এইভাবে ডিক্রিপ্ট করা স্ট্রিংগুলিকে IDA উইন্ডোতে একসাথে রাখা হয় xrefs এই ফাংশনের জন্য যেমন চিত্র 6 এ দেখানো হয়েছে।

চিত্র 6. xrefs to f_decrypt ফাংশন

চূড়ান্ত স্ক্রিপ্ট পাওয়া যাবে Github সংগ্রহস্থল.

উপসংহার

ইতিমধ্যে উল্লিখিত হিসাবে, OceanLotus ক্রমাগত উন্নতি করছে এবং তার টুলকিট আপডেট করছে। এবার, সাইবার গ্রুপ ম্যাক ব্যবহারকারীদের সাথে কাজ করার জন্য ম্যালওয়্যার উন্নত করেছে। কোডটি খুব বেশি পরিবর্তিত হয়নি, কিন্তু যেহেতু অনেক ম্যাক ব্যবহারকারী নিরাপত্তা পণ্যগুলিকে উপেক্ষা করে, তাই সনাক্তকরণ থেকে ম্যালওয়্যার রক্ষা করা গৌণ গুরুত্বপূর্ণ।

ESET পণ্যগুলি ইতিমধ্যে গবেষণার সময় এই ফাইলটি সনাক্ত করছে৷ যেহেতু C&C যোগাযোগের জন্য ব্যবহৃত নেটওয়ার্ক লাইব্রেরিটি এখন ডিস্কে এনক্রিপ্ট করা হয়েছে, আক্রমণকারীদের দ্বারা ব্যবহৃত সঠিক নেটওয়ার্ক প্রোটোকল এখনও জানা যায়নি।

সমঝোতার নির্দেশক

সমঝোতার সূচকের পাশাপাশি MITER ATT&CK বৈশিষ্ট্যগুলিও পাওয়া যায় GitHub.

উত্স: www.habr.com