ESET: Neue Methoden zur Lieferung von Backdoors der Cybergruppe OceanLotus

Im Beitrag erläutern wir, wie die Cybergruppe OceanLotus (APT32 und APT-C-00) kürzlich einen der öffentlich zugänglichen Exploits für CVE-2017-11882, eine Schwachstelle zum Speichermanagement in Microsoft Office, nutzte und wie die Malware der Gruppe in kompromittierten Systemen Persistenz gewährleistet, ohne Spuren zu hinterlassen. Weiterhin beschreiben wir, wie die Gruppe seit Anfang 2019 selbstextrahierende Archive zum Ausführen von Code verwendet hat.

OceanLotus spezialisiert sich auf Cyber-Spionage, wobei die Prioritätsziele Länder in Südostasien sind. Angreifer fälschen Dokumente, die die Aufmerksamkeit potenzieller Opfer auf sich ziehen, um diese zu überzeugen, einen Backdoor zu installieren, und arbeiten auch an der Entwicklung ihrer Werkzeuge. Die Methoden, die zur Erstellung von Ködern verwendet werden, variieren bei unterschiedlichen Angriffen – von Dateien mit "Doppelter Erweiterung", selbstextrahierenden Archiven, Dokumenten mit Makros bis hin zu bekannten Exploits.

Nutzung des Exploits im Microsoft Equation Editor

Mitte 2018 führte OceanLotus eine Kampagne unter Ausnutzung der Schwachstelle CVE-2017-11882 durch. Ein Dokument der Cybergruppe wurde von Spezialisten des 360 Threat Intelligence Centers (eine Untersuchung auf Chinesisch) analysiert, das eine detaillierte Beschreibung des Exploits enthält. Im Folgenden ein Überblick über ein ähnliches bösartiges Dokument.

Erster Schritt

Dokument FW Report on demonstration of former CNRP in Republic of Korea.doc (SHA-1: D1357B284C951470066AAA7A8228190B88A5C7C3) ähnelt dem im obigen Bericht erwähnten. Es ist interessant, weil es auf Benutzer abzielt, die sich für die kambodschanische Politik interessieren (CNRP – Kambodschanische Nationalrettungspartei, die Ende 2017 aufgelöst wurde). Trotz der Erweiterung .doc hat das Dokument das Format RTF (siehe Abbildung unten), enthält Junk-Code und ist verzerrt.

Abbildung 1. „Junk“ im RTF

Trotz der verzerrten Elemente öffnet Word diese RTF-Datei erfolgreich. Wie aus Abbildung 2 ersichtlich ist, gibt es hier die Struktur EQNOLEFILEHDR mit dem Offset 0xC00, gefolgt von einem MTEF-Header und dann einem MTEF-Eintrag (Abbildung 3) für die Schriftart.

Abbildung 2. Werte des FONT-Eintrags

Abbildung 3. Format des FONT-Eintrags

Mögliche Überlauf im Feld name, da seine Größe vor dem Kopieren nicht überprüft wird. Ein zu langer Name löst die Schwachstelle aus. Wie aus dem Inhalt der RTF-Datei ersichtlich ist (Offset 0xC26 in Abbildung 2), wird der Puffer mit Shellcode gefüllt, gefolgt von einem Dummy-Befehl (0x90) und einer Rücksprungadresse 0x402114. Die Adresse ist ein Steuerelement in EQNEDT32.exe, der auf die Anweisung hinweist RET. Dies führt dazu, dass die EIP auf den Anfang des Feldes name, das den Shellcode enthält, zeigt.

Abbildung 4. Beginn des Shellcodes des Exploits

Adresse 0x45BD3C speichert eine Variable, die dereferenziert wird, bis sie auf den Zeiger der aktuell geladenen Struktur trifft MTEFData. Hier befindet sich der verbleibende Teil des Shellcodes.

Der Zweck des Shellcodes besteht darin, das zweite Fragment des Shellcodes auszuführen, das im geöffneten Dokument eingebettet ist. Zuerst versucht der ursprüngliche Shellcode, den Dateihandler des geöffneten Dokuments zu finden, indem er alle Handler des Systems durchläuft (NtQuerySystemInformation mit dem Argument SystemExtendedHandleInformation) und überprüft, ob der PID des Handlers und des PID Prozesses WinWord übereinstimmen und ob das Dokument mit der Zugriffsmaske – 0x12019F.

geöffnet wurde. Um die Erkennung des richtigen Handlers (und nicht des Handlers eines anderen offenen Dokuments) zu bestätigen, wird der Inhalt der Datei mithilfe der Funktion CreateFileMappingabgebildet, und der Shellcode überprüft, ob die letzten vier Bytes des Dokuments „yyyy“ entsprechen (Methode Egg Hunting). Sobald eine Übereinstimmung gefunden wird, wird das Dokument in ein temporäres Verzeichnis kopiert (GetTempPath) als ole.dll. Dann werden die letzten 12 Bytes des Dokuments gelesen.

Abbildung 5. Marker für das Ende des Dokuments

Der 32-Bit-Wert zwischen den Markern AABBCCDD und yyyy ist der Offset des nächsten Shellcodes. Er wird mit der Funktion CreateThreadaufgerufen. Der gleiche Shellcode wurde zuvor von der OceanLotus-Gruppe verwendet. Das Python-Emulationsskript, das wir im März 2018 veröffentlicht haben, funktioniert weiterhin für den Dump der zweiten Phase.

Zweite Phase

Extrahierung von Komponenten

Datei- und Verzeichnisnamen werden dynamisch ausgewählt. Der Code wählt zufällig den Namen einer ausführbaren oder DLL-Datei in C:Windowssystem32. Dann fragt er seine Ressourcen an und extrahiert das Feld FileDescription , um es als Ordnernamen zu verwenden. Falls dies nicht funktioniert, wählt der Code zufällig einen Ordnernamen aus den Verzeichnissen %ProgramFiles% oder C:Windows (aus GetWindowsDirectoryW). Er vermeidet die Verwendung eines Namens, der mit vorhandenen Dateien in Konflikt stehen könnte, und stellt sicher, dass er die folgenden Wörter nicht enthält: windows, von Microsoft, desktop, System, system32 oder syswow64. Wenn das Verzeichnis bereits existiert, wird „NLS_{6 Zeichen}“ zum Namen hinzugefügt.

Ressource 0x102 wird analysiert und die Dateien werden in %ProgramFiles% oder %AppData%, in einen zufällig ausgewählten Ordner entladen. Das Erstellungsdatum wird geändert, um die gleichen Werte wie bei kernel32.dll.

Zum Beispiel, hier ist ein Ordner und eine Liste von Dateien, die durch die Auswahl der ausführbaren Datei erstellt wurden. C:Windowssystem32TCPSVCS.exe als Datenquelle.

Abbildung 6. Extraktion verschiedener Komponenten

Struktur der Ressource 0x102 im Dropper ist ziemlich komplex. Kurz gesagt, er enthält:
— Dateinamen
— Größe und Inhalt der Dateien
— Komprimierungsformat (COMPRESSION_FORMAT_LZNT1, das von der Funktion RtlDecompressBuffer)

Die erste Datei wird als TCPSVCS.exeherausgegeben, die legitim ist. AcroTranscoder.exe (laut FileDescription, SHA-1: 2896738693A8F36CC7AD83EF1FA46F82F32BE5A3).

Vielleicht haben Sie bemerkt, dass die Größe einiger DLL-Dateien 11 MB überschreitet. Das liegt daran, dass ein großer kontinuierlicher Puffer zufälliger Daten innerhalb der ausführbaren Datei platziert wird. Es ist nicht ausgeschlossen, dass dies eine Methode ist, um von bestimmten Sicherheitsprodukten nicht entdeckt zu werden.

Sicherung der Persistenz

Ressource 0x101 im Dropper enthält zwei 32-Bit-Ganzzahlen, die bestimmen, wie die Persistenz gewährleistet werden soll. Der Wert der ersten gibt an, wie die Malware die Persistenz ohne Administratorrechte aufrechterhalten wird.

Tabelle 1. Mechanismus der Persistenz ohne Administratorrechte

Der Wert der zweiten Ganzzahl gibt an, wie die Malware die Persistenz mit Administratorrechten sicherstellen soll.

Tabelle 2. Mechanismus der Persistenz mit Administratorrechten

Der Dienstname ist der Dateiname ohne Erweiterung; der angezeigte Name ist der Ordnername, aber wenn dieser bereits existiert, wird eine Zeichenkette "Revision 1" hinzugefügt (die Zahl wird erhöht, bis ein ungenutzter Name gefunden wird). Die Betreiber haben dafür gesorgt, dass die Persistenz über den Dienst stabil ist – im Falle eines Fehlers sollte der Dienst nach 1 Sekunde neu gestartet werden. Dann wird dem Wert WOW64 des neuen Dienstregistrierungsschlüssels der Wert 4 zugewiesen, was angibt, dass es sich um einen 32-Bit-Dienst handelt.

Aufgabe wird über mehrere COM-Schnittstellen erstellt: ITaskScheduler, ITask, ITaskTrigger, IPersistFile und ITaskScheduler. Im Wesentlichen erstellt die Malware eine versteckte Aufgabe, legt die Kontoinformationen zusammen mit den Informationen des aktuellen Benutzers oder Administrators fest und setzt dann einen Trigger.

Es handelt sich um eine tägliche Aufgabe mit einer Dauer von 24 Stunden und Intervallen von 10 Minuten zwischen zwei Ausführungen, was bedeutet, dass sie kontinuierlich ausgeführt wird.

Schadhafter Bit

In unserem Beispiel ist die ausführbare Datei TCPSVCS.exe (AcroTranscoder.exe) ein legitimes Softwareprogramm, das DLLs lädt, die zusammen mit ihm entpackt werden. In diesem Fall ist von Interesse Flash Video Extension.dll.

Seine Funktion DLLMain ruft einfach eine andere Funktion auf. Es gibt einige schwammige Prädikate:

Abbildung 7. Schwammige Prädikate

Nach diesen irreführenden Überprüfungen erhält der Code den Abschnitt .text der Datei TCPSVCS.exe, ändert seinen Schutz auf PAGE_EXECUTE_READWRITE und überschreibt ihn, wobei er fiktive Anweisungen hinzufügt:

Abbildung 8. Folge von Anweisungen

Am Ende wird an die Adresse der Funktion FLVCore::Uninitialize(void), die exportiert wird Flash Video Extension.dll, eine Anweisung CALL. Das bedeutet, dass nach dem Laden der schadhaften DLL, wenn die Laufzeit WinMain in TCPSVCS.exeaufruft, der Anweisungszeiger auf NOP zeigt, was zu FLVCore::Uninitialize(void)führt, dem nächsten Schritt.

Die Funktion erstellt einfach ein Mutex, beginnend mit {181C8480-A975-411C-AB0A-630DB8B0A221}, gefolgt von dem aktuellen Benutzernamen. Dann liest sie die entpackte Datei mit der Erweiterung *.db3, die positionsunabhängigen Code enthält, und verwendet CreateThread zum Ausführen des Inhalts.

Der Inhalt der Datei *.db3 stellt Shellcode dar, der typischerweise von der OceanLotus-Gruppe verwendet wird. Wir haben erneut erfolgreich die Payload entpackt, indem wir ein Emulator-Skript verwendet haben, das wir veröffentlicht haben. auf GitHub.

Das Skript extrahiert die letzte Phase. Dieses Komponente ist ein Backdoor, den wir bereits analysiert haben in der vorherigen Untersuchung von OceanLotus.Das lässt sich an der GUID {A96B020F-0000-466F-A96D-A91BBF8EAC96} der Binärdatei erkennen. Die Konfiguration der Malware ist immer noch im PE-Ressource verschlüsselt. Sie hat eine ähnliche Konfiguration, aber die C&C-Server unterscheiden sich von früher:

- andreagahuvrauvin[.]com
- byronorenstein[.]com
- stienollmache[.]xyz

Die OceanLotus-Gruppe zeigt erneut eine Kombination verschiedener Techniken, um Erkennung zu vermeiden. Sie sind mit einem „verbesserten“ Infektionsprozess zurückgekehrt. Durch die Wahl zufälliger Namen und das Auffüllen ausführbarer Dateien mit zufälligen Daten reduzieren sie die Anzahl der vertrauenswürdigen IoCs (basierend auf Hashes und Dateinamen). Außerdem müssen die Angreifer durch die Verwendung von Drittanbieter-DLL-Downloads nur die legitime Binärdatei AcroTranscoder.

Selbstentpackende Archive

Nach den RTF-Dateien hat die Gruppe auf selbstentpackende (SFX) Archive mit verbreiteten Dokumentensymbolen umgestellt, um den Benutzer noch mehr zu verwirren. Darüber berichtete Threatbook (Link auf Chinesisch). Nach dem Start werden selbstentpackende RAR-Dateien zurückgesetzt und DLLs mit der Erweiterung .ocx ausgeführt, deren endgültige Nutzlast zuvor dokumentiert wurde. {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll. Seit Mitte Januar 2019 verwendet OceanLotus diese Technik erneut, ändert jedoch im Laufe der Zeit einige Konfigurationen. In diesem Abschnitt werden wir über die Technik und Änderungen berichten.

Erstellung des Lockvogel.

Dokument THICH-THONG-LAC-HANH-THAP-THIEN-VIET-NAM (1).EXE (SHA-1: AC10F5B1D5ECAB22B7B418D6E98FA18E32BBDEAB) wurde 2018 zum ersten Mal gefunden. Diese SFX-Datei wurde clever erstellt – in der Beschreibung (Version Info) steht, dass dies ein JPEG-Bild ist. Das SFX-Skript sieht folgendermaßen aus:

Abbildung 9. SFX-Befehle

Die Malware setzt zurück {9ec60ada-a200-4159-b310-8071892ed0c3}.ocx (SHA-1: EFAC23B0E6395B1178BCF7086F72344B24C04DCC), sowie ein Bild 2018 thich thong lac.jpg.

Das Lockvogelbild sieht folgendermaßen aus:

Abbildung 10. Lockvogelbild

Möglicherweise ist Ihnen aufgefallen, dass die ersten beiden Zeilen im SFX-Skript die OCX-Datei zweimal aufrufen, aber das ist kein Fehler.

{9ec60ada-a200-4159-b310-8071892ed0c3}.ocx (ShLd.dll)

Der Kontrollfluss der OCX-Datei ähnelt stark anderen Komponenten von OceanLotus – viele Anweisungsfolgen JZ/JNZ und PUSH/RET, wechseln sich mit Junk-Code ab.

Abbildung 11. Obfuskierter Code

Nach der Filterung des Junk-Codes exportiert DllRegisterServer, aufgerufen mit regsvr32.exe, sieht folgendermaßen aus:

Abbildung 12. Hauptcode des Installationsprogramms

Im Wesentlichen setzt der erste Aufruf DllRegisterServer den Registrierungseintrag HKCUSOFTWAREClassesCLSID{E08A0F4B-1F65-4D4D-9A09-BD4625B9C5A1}Model auf den verschlüsselten Offset in DLL (0x10001DE0).

Wenn die Funktion ein zweites Mal aufgerufen wird, liest sie denselben Wert und führt ihn an dieser Adresse aus. Von hier wird der Ressourceninhalt gelesen und viele Aktionen im Arbeitsspeicher ausgeführt.

Der Shellcode ist derselbe PE-Lader, der in früheren Kampagnen von OceanLotus verwendet wurde. Er kann mit unserem Skript. Am Ende setzt er db293b825dcc419ba7dc2c49fa2757ee.dll, lädt ihn in den Speicher und führt ihn aus. DllEntry.

DLL extrahiert den Inhalt ihrer Ressource, entschlüsselt (AES-256-CBC) und entpackt (LZMA) ihn. Die Ressource hat ein spezifisches Format, das leicht dekompiliert werden kann.

Abbildung 13. Struktur der Installationskonfiguration (KaitaiStruct Visualizer)

Die Konfiguration ist explizit festgelegt – je nach Berechtigungsstufe werden die Binärdaten in %appdata%IntellogsBackgroundUploadTask.cpl oder %windir%System32BackgroundUploadTask.cpl (oder SysWOW64 für 64-Bit-Systeme.)

Die Persistenz wird durch die Erstellung einer Aufgabe mit dem Namen BackgroundUploadTask[junk].job