Eine neue Art von Malware im Ransomware-Virus-Klasse verschlüsselt Dateien und fügt die Erweiterung ".SaveTheQueen" hinzu, indem sie sich über den SYSTEM-Ordner SYSVOL auf Active Directory-Domain-Controllern verbreitet.
Unsere Kunden sind kürzlich auf diese Malware gestoßen. Hier präsentieren wir unsere umfassende Analyse, deren Ergebnisse und Schlussfolgerungen.
Entdeckung
Einer unserer Kunden hat sich an uns gewandt, nachdem er auf einen neuen Typ von Ransomware-Verschlüsselungsvirus gestoßen ist, der die Erweiterung ".SaveTheQueen" zu neuen verschlüsselten Dateien in ihrer Umgebung hinzufügte.
Während unserer Untersuchung, genauer gesagt in der Phase der Quellenfindung für die Infektion, haben wir herausgefunden, dass die Verbreitung und das Nachverfolgen der infizierten Opfer mithilfe von dem Netzwerkordner SYSVOL auf dem Domaincontroller des Kunden.
SYSVOL ist ein Schlüsselordner für jeden Domaincontroller, der zur Bereitstellung von Gruppenrichtlinienobjekten (GPO) und An- und Abmeldeskripten an Domain-Computer verwendet wird. Der Inhalt dieses Ordners wird zwischen den Domaincontrollern zur Synchronisierung dieser Daten an den Standorten der Organisation repliziert. Schreiben in SYSVOL erfordert hohe Domain-Rechte, jedoch, nach einer Kompromittierung wird dieses Asset zu einem mächtigen Werkzeug für Angreifer, die es zur schnellen und effektiven Verbreitung von Malware im gesamten Domänenumfeld nutzen können.
Die Varonis-Auditkette half schnell dabei, Folgendes zu identifizieren:
- Das infizierte Benutzerkonto erstellte eine Datei mit dem Namen „hourly“ in SYSVOL
- Es wurden viele Protokolldateien in SYSVOL erstellt – jede benannt nach dem Namen des Domaingeräts
- Viele verschiedene IP-Adressen greifenden auf die Datei „hourly“ zu
Wir kamen zu dem Schluss, dass die Protokolldateien verwendet wurden, um den Infektionsprozess auf neuen Geräten zu verfolgen, und dass „hourly“ ein geplant ausgeführter Job war, der die Malware auf neuen Geräten mithilfe des Powershell-Skripts – die Muster „v3“ und „v4“ – ausführte.
Wahrscheinlich hat der Angreifer Administratorrechte der Domäne erlangt und verwendet, um Dateien in SYSVOL zu schreiben. Auf den infizierten Knoten führte der Angreifer PowerShell-Code aus, der einen Zeitplanauftrag erstellte, um Malware zu öffnen, zu entschlüsseln und zu starten.
Entschlüsselung der Malware
Wir haben mehrere Entschlüsselungsmethoden ausprobiert, jedoch ohne Erfolg:
Wir waren kurz davor aufzugeben, als wir beschlossen, die „Magic“-Methode des hervorragenden
Werkzeugs von GCHQ zu versuchen. „Magic“ versucht, die Verschlüsselung der Datei zu erraten, indem es Passwörter für verschiedene Verschlüsselungstypen ausprobiert und die Entropie misst.
Hinweis des Übersetzers Siehe und . Dieser Artikel und die Kommentare erfordern keine Diskussion von den Autoren über die Details der Methoden, die sowohl in Dritthersteller- als auch proprietärer Software verwendet wurden.
„Magic“ stellte fest, dass ein GZip-Kompressor mit Base64-Codierung verwendet wurde, wodurch wir die Datei entpacken und den Code für die Injektion – den „Injektor“ – finden konnten.
Dropper: „In der Region grassiert eine Epidemie! Massenimpfungen. Maul- und Klauenseuche“
Der Dropper stellte eine ganz gewöhnliche .NET-Datei ohne jeglichen Schutz dar. Nach dem Lesen des Quellcodes mit wurden wir uns bewusst, dass sein einziges Ziel darin bestand, Shell-Code in den Prozess winlogon.exe einzuschleusen.
Shell-Code oder einfache Komplexitäten
Wir verwendeten ein Tool von Hexacorn — um den Shell-Code in eine ausführbare Datei zum Debuggen und Analysieren zu „kompilieren“. Dann entdeckten wir, dass es sowohl auf 32-Bit- als auch auf 64-Bit-Maschinen funktionierte.
Das Schreiben selbst von einfachem Shell-Code in nativer Übersetzung in Assembler kann schwierig sein, während das Schreiben eines vollständigen Shell-Codes, der auf beiden Systemarten funktioniert, außergewöhnliche Fähigkeiten erfordert, weshalb wir anfingen, die Raffinesse des Angreifers zu bewundern.
Als wir den kompilierten Shell-Code mit analysierten, fiel uns auf, dass er dynamische .NET-Bibliotheken , wie clr.dll und mscoreei.dll, nachlud. Das schien uns seltsam – normalerweise versuchen Angreifer, Shell-Code so klein wie möglich zu halten, indem sie native Funktionen des Betriebssystems aufrufen, anstatt sie zu laden. Warum sollte jemand Funktionalitäten von Windows in den Shell-Code einbetten, anstatt sie direkt on-demand aufzurufen?
Wie sich herausstellte, hat der Autor der Malware diesen komplexen Shell-Code überhaupt nicht geschrieben – es wurde spezielle Software verwendet, um ausführbare Dateien und Skripte in Shell-Code zu übersetzen.
Wir fanden ein Tool , das, wie es uns schien, einen ähnlichen Shell-Code kompilieren konnte. Hier ist seine Beschreibung von GitHub:
Donut generiert x86- oder x64-Shell-Code aus VBScript, JScript, EXE, DLL (einschließlich .NET-Assemblies). Dieser Shell-Code kann in jeden Windows-Prozess eingefügt werden, um in
dem Arbeitsspeicher ausgeführt zu werden.
Um unsere Theorie zu bestätigen, haben wir unseren eigenen Code mit Donut kompiliert und ihn mit dem Muster verglichen – und… ja, wir haben ein weiteres Element des verwendeten Werkzeugs gefunden. Danach konnten wir die ursprüngliche ausführbare Datei auf .NET extrahieren und analysieren.
Code-Schutz
Diese Datei wurde mit Hilfe von :
ConfuserEx ist ein Open-Source-.NET-Projekt zum Schutz des Codes anderer Entwicklungen. Software dieser Art ermöglicht Entwicklern, ihren Code durch Techniken wie die Ersetzung von Symbolen, das Maskieren der Steuerflussanweisungen und das Verbergen von Verweismethoden vor Reverse Engineering zu schützen. Schadsoftware-Autoren verwenden Obfuscatoren, um der Entdeckung zu entgehen und die Reverse-Engineering-Aufgabe zu erschweren.
Dank konnten wir den Code entpacken:
Ergebnis – die Nutzlast
Die aus den Umwandlungen resultierende Nutzlast ist ein sehr einfacher Ransomware-Virus. Kein Mechanismus zur Aufrechterhaltung der Anwesenheit im System, keine Verbindungen zum Command Center – nur die altbekannte asymmetrische Verschlüsselung, um die Daten des Opfers unlesbar zu machen.
Die Hauptfunktion wählt folgende Parameter aus:
- Dateierweiterung, die nach der Verschlüsselung verwendet wird (SaveTheQueen)
- E-Mail des Autors, um sie in die Zahlungsaufforderung zu schreiben
- Öffentlicher Schlüssel, der zur Verschlüsselung von Dateien verwendet wird
Der Prozess sieht folgendermaßen aus:
- Die Malware durchsucht lokale und angeschlossene Laufwerke auf dem Gerät des Opfers
- Sucht nach Dateien zum Verschlüsseln
- Versucht, den Prozess zu beenden, der die Datei verwendet, die er verschlüsseln möchte
- Benennt die Datei in „Original_Dateiname.SaveTheQueenING“ um, indem er die Funktion MoveFile verwendet, und verschlüsselt sie
- Nachdem die Datei mit dem öffentlichen Schlüssel des Autors verschlüsselt wurde, benennt die Malware sie erneut um, jetzt in " Ausgangsname_Datei.SaveTheQueen"
- Die Datei wird mit dem Lösegeldauftrag im selben Ordner gespeichert
Basierend auf der Verwendung der nativen Funktion «CreateDecryptor» scheint eine der Funktionen der Malware einen Entschlüsselungsmechanismus als Parameter zu enthalten, der einen privaten Schlüssel erfordert.
Verschlüsselungsvirus verschlüsselt keine Dateien, die sich in Verzeichnissen befinden:
C:windows
C:Program Files
C:Program Files (x86)
C:Users\AppData
C:inetpub
Außerdem verschlüsselt es folgende Dateitypen NICHT:EXE, DLL, MSI, ISO, SYS, CAB.
Ergebnisse und Schlussfolgerungen
Obwohl die Ransomware selbst keine ungewöhnlichen Funktionen enthielt, nutzte der Angreifer kreativ Active Directory zur Verbreitung des Droppers, und die Malware stellte interessante, wenn auch letztendlich nicht komplexe, Hindernisse während der Analyse dar.
Wir glauben, dass der Autor der Malware:
- einen Ransomware-Virus mit einer eingebetteten Injektion in den Prozess winlogon.exe sowie
Verschlüsselungs- und Entschlüsselungsfunktionen programmiert hat. - den Schadcode mit Hilfe von ConfuserEx maskiert, das Ergebnis mit Donut umgewandelt und zusätzlich den Dropper base64 Gzip versteckt hat.
- erhöhte Berechtigungen im Netzwerk der Zielumgebung erlangt und diese zum Kopieren
der verschlüsselten Malware und geplanter Aufgaben in den Netzwerkordner SYSVOL der Domaincontroller verwendet hat. - hat ein PowerShell-Skript auf den Geräten der Domain ausgeführt, um die Malware zu verbreiten und den Fortschritt des Angriffs in den SYSVOL-Protokollen aufzuzeichnen.
Wenn Sie Fragen zu dieser Variante der Ransomware oder zu anderen von unseren Teams durchgeführten forensischen Untersuchungen und Cyber-Sicherheitsvorfällen haben, oder fordern Sie , bei der wir immer Fragen in einer Fragerunde beantworten.
Quelle: habr.com
