🥇ESET: uued OceanLotus kübergrupi tagaukse levitamise skeemid

Postituses räägime, kuidas küberrühm OceanLotus (APT32 ja APT-C-00) kasutas hiljuti ühte avalikult kätte saadavat, CVE-2017-11882, Microsoft Office'i mälu kahjustamise haavatavust, ja kuidas rühma pahavara tagab püsimisvõime kompromiteeritud süsteemides, jättes vähe jälgi. Edasi räägime, kuidas rühm on 2019. aasta algusest alates kasutanud iseeneslikult lahti pakitavaid arhiive koodi käivitamiseks.

OceanLotus spetsialiseerub küberluurele, olles prioriteetsete sihtmärkidena edela-Aasia riigid. Ründajad võltsivad dokumente, mis köidavad potentsiaalsete ohvrite tähelepanu, et veenda neid tagaukse avama, ning töötavad ka tööriistade arendamise kallal. Söötade loomise meetodid varieeruvad erinevates rünnakutes – alates "topeltlaiustega" failidest, iseeneslikult lahti pakitavatest arhiividest, makrodega dokumentidest kuni tuntud ekspluateerimiseni.

Ekspluateerimise kasutamine Microsoft Equation Editoris

2018. aasta keskel viis OceanLotus läbi kampaania, mis kasutas haavatavust CVE-2017-11882. Üks rühma pahavarakandja dokumentidest analüüsiti 360 Threat Intelligence Centeri spetsialistide poolt (uurimus hiina keeles), sealides detailne kirjeldus eksploitist. Allolevas postituses - ülevaade sarnasest pahavarakõvast.

Esimene etapp

Dokument FW Report on demonstration of former CNRP in Republic of Korea.doc (SHA-1: D1357B284C951470066AAA7A8228190B88A5C7C3) on sarnane eespool mainitule uuringus. See on huvitav, kuna see on suunatud kasutajatele, kes on huvitatud Kambodža poliitikast (CNRP - Kambodža Rahvusliku Päästmise Partei, mis lõpetati 2017. aasta lõpus). Kuigi faili laiend on .doc, on dokument RTF vormingus (vt allolevat pilti), sisaldab prükkood ja on moonutatud.

Pilt 1. 'Prügi' RTF-s

Vaatamata moonutatud elementide olemasolule avab Word edukalt selle RTF-faili. Nagu näha pildilt 2, on siin struktuur EQNOLEFILEHDR nihkega 0xC00, millele järgneb MTEF pealkiri ja seejärel MTEF kande (pilt 3) fondi jaoks.

Pilt 2. Kande FONT väärtused

Pilt 3. Kande FONT formaat

Võimalik ületäitumine väljale name, kuna selle suurust ei kontrollita enne kopeerimist. Liiga pikk nimi aktiveerib haavatavuse. Nagu on näha RTF-faili sisust (nihkega 0xC26 pildil 2), täidetakse puhver shell-koodiga, millele järgneb vale käsk (0x90) ja tagastus aadress 0x402114. Aadress on dialoogielemendis EQNEDT32.exe, mis viitab juhisele RET. See viib selleni, et EIP osutab välja algusele name, mis sisaldab shell-koodi.

Joonis 4. Shell-koodi algus eksploitis

Aadress 0x45BD3C hoiab muutujat, mis dereferentseeritakse, kuni jõuab praegu laetud struktuuri pöördumisse MTEFData. Siin asub shell-koodi ülejäänud osa.

Shell-koodi eesmärk on teise shell-koodi fragmendi täitmine, mis on sisseehitatud avatud dokumenti. Algne shell-kood üritab esmalt leida avatud dokumendi failihalduri, sirvides kõiki süsteemi haldurite (NtQuerySystemInformation argumentiga SystemExtendedHandleInformation) ja kontrollides, kas PID haldur ja PID protsessist WinWord ja kas dokument on avatud juurdepääsukoodiga - 0x12019F.

Korrektse halduri leidmise kinnitamiseks (mitte mõne muu avatud dokumendi halduri), faili sisu kuvatakse funktsiooni abil CreateFileMapping, ja shell-kood kontrollib, kas dokumendi viimased neli baiti on "yyyy" (Egg Hunting meetod). Kui vaste on leitud, kopeeritakse dokument ajutisse kausta (GetTempPath) kui ole.dll. See räägib dokumendi viimased 12 baitide lugemisest.

Joonis 5. Dokumendi lõppmärgid

32-bitine väärtus märkide vahel AABBCCDD ja yyyy – see on järgmise shell-koodi offset. Seda kutsutakse välja funktsiooni CreateThread. Samuti on raske leidnud sama shell-koodi, mida OceanLotus varem kasutas. Python-emulatsiooniskript, mille me välja andsime 2018. aasta märtsis, töötab endiselt teise etapi dumpimiseks.

Teine etapp

Komponentide ekstraktsioon

Faili- ja kaustanimed valitakse dünaamiliselt. Kood valib juhuslikult täidetava faili või DLL-faili nime C:Windowssystem32. Seejärel kutsub ta välja oma ressursid ja ekstraktib välja FileDescription kasutamiseks kaustana. Kui see ei toimi, valib kood juhuslikult kausta nime kaustadest %ProgramFiles% või C:Windows (GetWindowsDirectoryW kaudu). Ta väldib nime kasutamist, mis võib konfliktida olemasolevate failidega, ning jälgib, et see ei sisaldaks järgmisi sõnu: windows, Microsoft, desktop, süsteem, system32 või syswow64. Kui kaust juba eksisteerib, lisatakse nimele „NLS_{6 tähemärki}”.

Ressurss 0x102 analüüsitakse ja failid kirjutatakse %ProgramFiles% või %AppData%, valitud kausta. Loomise aeg on muudetud, et see vastaks samadele väärtustele nagu kernel32.dll.

Näiteks, siin on kaust ja failide loetelu, mis on loodud käivitatava faili kaudu C:Windowssystem32TCPSVCS.exe andmeallikana.

Joonis 6. Erinevate komponentide väljavõtmine

Ressursi struktuur 0x102 dropeperis on piisavalt keeruline. Ütlemiseks, see sisaldab:
— Failide nimed
— Failide suurus ja sisu
— Kompressiooniformaat (COMPRESSION_FORMAT_LZNT1, mida kasutatakse funktsioonis RtlDecompressBuffer)

Esimene fail on eemaldatud kui TCPSVCS.exe, mis on legitiimne AcroTranscoder.exe (vastavalt FileDescription, SHA-1: 2896738693A8F36CC7AD83EF1FA46F82F32BE5A3).

Võib-olla olete märganud, et mõned DLL-failid ületavad 11 MB. See tuleneb asjaolust, et suur pidev juhuslike andmete puhver asub käivitatavas failis. Pole välistatud, et see on viis, kuidas vältida tuvastamist mõnede turvatu products.

Püsivuse tagamine

Ressurss 0x101 dropperi sisaldab kahte 32-bitist täisarvu, mis määravad, kuidas tagada püsivus. Esimese väärtus näitab, kuidas pahavara saab püsivust säilitada ilma administraatori õigusteta.

Tabel 1. Püsivuse mehhanism ilma administraatori õigusteta

Teise täisarvu väärtus näitab, kuidas pahavara peaks püsivust tagama, töötades administraatori õigustega.

Tabel 2. Püsivuse mehhanism administraatori õigustega

Teenuse nimi on faili nimi ilma laienduseta; kuvatav nimi on kausta nimi, kuid kui see juba eksisteerib, lisatakse sellele tekst "Revision 1" (number suurendab, kuni leitakse kasutamata nimi). Operaatorid on taganud, et püsivus teenuse kaudu on usaldusväärne – juhul, kui teenus ebaõnnestub, tuleb see taaskäivitada 1 sekundi pärast. Siis määratakse uue teenuse registri võtme väärtuseks 4, mis näitab, et tegemist on 32-bitise teenusega. WOW64 Planeeritud ülesanne luuakse läbi mitmete COM-liideste:

ITaskScheduler ITask, ITaskTrigger, IPersistFile, IPersistFile ja ITask. Praktiliselt loob pahavara varjatud ülesande, seadistab konto teabe koos käesoleva kasutaja või administraatori teabega ning seejärel määrab aktiveerimise.

See on igapäevane ülesanne, mille kestus on 24 tundi ja kahe täitmise vahel 10-minutilised intervallid, mis tähendab, et see täidetakse pidevalt.

Pahavara tüüp

Meie näites on käivitatav fail TCPSVCS.exe (AcroTranscoder.exe) seaduspärane tarkvara, mis laadib DLL-e, mis lähtestatakse koos sellega. Sel juhul on huvipakkuv Flash Video Extension.dll.

Selle funktsioon DLLMain lihtsalt kutsub esile teise funktsiooni. On olemas mõned ebamugavad eeldused:

Joonis 7. Ebamugavad eeldused

Pärast neid eksitavaid kontrolle saab kood osa .text faile TCPSVCS.exe, muudab selle kaitse PAGE_EXECUTE_READWRITE ja kirjutab selle üle, lisades valeinstruktsioone:

Joonis 8. Instruktsioonide jada

Lõpus on funktsiooni aadressile FLVCore::Uninitialize(void), eksporditud Flash Video Extension.dll, lisatud käsk CALL. See tähendab, et pärast pahavara DLL-i laadimist, kui käituskeskkond kutsub esile WinMain ühes TCPSVCS.exe, osutab käsu näitaja NOP-ile, põhjustades seega FLVCore::Uninitialize(void), järgmine etapp.

Funktsioon loob lihtsalt lukku, mis algab {181C8480-A975-411C-AB0A-630DB8B0A221}, millele järgneb praegune kasutajanimi. Siis loeb ta lähtestate faili laiendiga *.db3, mis sisaldab positsioonist sõltumatut koodi, ja kasutab CreateThread sisu täitmiseks.

*.db3 faili sisu on shell-kood, mida kasutab tavaliselt OceanLotus rühm. Oleme taas edukalt välja pakkunud selle kasulikku koormust, kasutades emulaatori skripti, mille oleme avaldanud GitHub'is.

Skript ekstraktib lõppfaasi. See komponent on backdoor, mida oleme juba analüüsinud eelnevas OceanLotus uuringus.Seda saab määrata GUID järgi {A96B020F-0000-466F-A96D-A91BBF8EAC96} binaarfaili. Pahavara konfiguratsioon on endiselt PE ressursis krüpteeritud. Sellel on ligikaudu sama konfiguratsioon, kuid C&C-serverid on erinevad kui varem:

- andreagahuvrauvin[.]com - byronorenstein[.]com - stienollmache[.]xyz

OceanLotus'i grupp jätkab erinevate tehnikate kombineerimist, et vältida avastamist. Nad on tagasi 'parendatud' nakkusprotsessi skeemiga. Juhuslike nimede valimise ja täitmisega täitmisefailides juhuslike andmetega vähendavad nad usaldusväärsete IoC-de (hashide ja failinimede põhjal) arvu. Veelgi enam, kolmandate osapoolte DLL-de laadimise kasutamine tähendab, et ründajad peavad lihtsalt kustutama legaalse binaarfaili. AcroTranscoder.

Isesalvestavad arhiivid

Pärast RTF-faile kolis grupp isesalvestavatele (SFX) arhiividele tavaliste dokumentide ikoonidega, et veelgi rohkem kasutajat segadusse ajada. Selle kohta on kirjutanud Threatbook (link hiina keeles). Käivitamisel kustutatakse isesalvestavad RAR-failid ja käivitatakse DLL-id, millel on .ocx laiend, mille lõppkasutaja laadimine oli varem dokumenteeritud. {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll. Alates 2019. aasta jaanuarist on OceanLotus seda tehnikat uuesti kasutanud, kuid aja jooksul muudavad nad mõned konfiguratsioonid. Selles jaotises räägime tehnikast ja muudatustest.

Köitev sisu loomine

Dokument THICH-THONG-LAC-HANH-THAP-THIEN-VIET-NAM (1).EXE (SHA-1: AC10F5B1D5ECAB22B7B418D6E98FA18E32BBDEAB) leiti esmakordselt 2018. aastal. See SFX-fail on loodud teadlikult – kirjelduses on öeldud, etVersiooni info) on mainitud, et see on JPEG-pilt. SFX-skript näeb välja järgmine:

Joonis 9. SFX-käsklused

Kahjulik programm kustutab {9ec60ada-a200-4159-b310-8071892ed0c3}.ocx (SHA-1: EFAC23B0E6395B1178BCF7086F72344B24C04DCC), samuti pildi 2018 thich thong lac.jpg.

Päris-pilt näeb välja järgmiselt:

Joonis 10. Päris-pilt

Võib-olla olete märganud, et SFX-skripti esimesed kaks rida kutsuvad OCX-faili välja kaks korda, kuid see ei ole viga.

{9ec60ada-a200-4159-b310-8071892ed0c3}.ocx (ShLd.dll)

OCX-faili juhtimisvoog on väga sarnane teiste OceanLotuse komponentidega – palju käsu järjestusi JZ/JNZ ja PUSH/RET, mis vahelduvad prahi koodiga.

Joonis 11. Obfutseeritud kood

Pärast prahikoodi filtreerimist eksport DllRegisterServer, mida kutsub regsvr32.exe, näeb välja järgmiselt:

Joonis 12. Peamine installeri kood

Põhimõtteliselt kutsub esimene väljavõte DllRegisterServer väljavõte seadistab registri väärtuse HKCUSOFTWAREClassesCLSID{E08A0F4B-1F65-4D4D-9A09-BD4625B9C5A1}Model kriptitud offseti jaoks DLL-s (0x10001DE0).

Kui funktsiooni kutsub välja teist korda, loeb see sama väärtuse ja täidetakse selle aadressi juures. Sealt loetakse ja täidetakse ressurss ja hulgaliselt toiminguid mälu sees.

Shell-kood on sama PE-laadija, mida kasutati OceanLotuse varasemates kampaaniates. Seda saab emuleerida meie skripti abil meie skripti. Selle tulemusena laaditakse db293b825dcc419ba7dc2c49fa2757ee.dll, hakatakse seda mälu laadima ja täitma DllEntry.

DLL ekstraheerib oma ressursi sisu, dešifreerib (AES-256-CBC) ja pakib selle välja (LZMA). Ressurss omab spetsiifilist formaati, mille dekompileerimine on lihtne.

Joonis 13. Installija konfiguratsiooni struktuur (KaitaiStruct Visualizer)

Konfiguratsioon on määratud selgelt – sõltuvalt privileegide tasemest kirjutatakse binaarandmed %appdata%IntellogsBackgroundUploadTask.cpl või %windir%System32BackgroundUploadTask.cpl (või SysWOW64 64-bitiste süsteemide jaoks).

Edasi hoitavus tagatakse ülesande loomisega nimega BackgroundUploadTask[junk].job, kus [junk] on baitide kogum 0x9D ja 0xA0.

Ülesande rakenduse nimi %windir%System32control.exe, ning parameetri väärtus on teed laaditud binaarfaili. Varjatud ülesanne käivitub iga päev.

Konstruktiivselt on CPL-fail DLL, millel on sisemine nimi ac8e06de0a6c4483af9837d96504127e.dll, mis ekspordib funktsiooni CPlApplet. See fail dešifreerib oma ainulaadse ressursi {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll, see laadib selle DLL ja kutsub välja selle ainus eksport DllEntry.

Tagasiukse konfiguratsioonifail

Tagasiukse konfiguratsioon on krüpteeritud ja sisseehitatud tema ressurstest. Konfiguratsioonifaili struktuur on väga sarnane varasemaga.

Joonis 14. Tagasiukse konfiguratsiooni struktuur (KaitaiStruct Visualizer)

Vaatamata sarnasele struktuurile on paljude väljade väärtused võrreldes andmetega, mis on esitatud meie vanas aruandes.

Esimene binaarmassivi element sisaldab DLL-i (HttpProv.dll MD5: 2559738D1BD4A999126F900C7357B759), tuvastatud Tencent. Kuid kuna eksportimisnimi on binaarfailist eemaldatud, ei ühildu hash'id.

Lisauurimised

Proovide kogumise käigus täheldasime teatud omadusi. Just kirjeldatud proov ilmus umbes 2018. aasta juulis ning teised sarnased sellele – hiljuti, 2019. aasta jaanuari keskpaiku - veebruari alguses. Nakkumise vektorina kasutati SFX-arhiivi, mis vabastab legitiimse meeldimise dokumendi ja pahavara OCX.

Vaatamata sellele, et OceanLotus kasutab vale ajatempleid, märkisime, et SFX ja OCX-failide ajatempleid on alati samad (0x57B0C36A (08/14/2016 @ 7:15pm UTC) ja 0x498BE80F (02/06/2009 @ 7:34am UTC) vastavalt. See näitab tõenäoliselt, et autoritel on mingi „konstructor”, mis kasutab samu malle ja muudetakse lihtsalt mõningaid omadusi.

Meie alates 2018. aastast uuritud dokumentide seas on mitmeid nimesid, mis viitavad rünnaku all olevatele riikidele:

— The New Contact Information Of Cambodia Media(New).xls.exe
— 李建香 (个人简历).exe (vale PDF-dokument CV-st)
— feedback, Rally in USA from July 28-29, 2018.exe

Alates tagumise ukse avastamisest {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll ja selle analüüsi avaldamisest mitmete teadlaste poolt oleme jälginud teatud muudatusi pahavara konfigureerimises.

Esiteks hakkasid autorid eemaldama nimesid abifailidest DLL-dest (DNSprov.dll ja kaks versiooni HttpProv.dll). Siis lõpetasid operaatorid kolmanda DLL pakkimise (teine versioon HttpProv.dll), valides ainult ühe integreerimise.

Teiseks, paljusid tagumise ukse konfigureerimise välju muudeti, tõenäoliselt avastamise vältimiseks, kuna paljud IoCs on kergesti kätte saada. Oluliste muudetud väljade seas on järgmised:

muudetud AppX registriosa (vt IoCs)
muteksi kodeerimisrida („def”, „abc”, „ghi”)
port number

Lõpuks on kõigis uutest analüüsitud versioonidest ilmunud uued C&C, mis on loetletud IoC-de jaotises.

Järeldused

OceanLotus jätkab arengut. Kübergrupp keskendub oma tööriistade ja püüniste täiustamisele ja laiendamisele. Autorid varjavad kahjulikke kasulikke koormusi, kasutades tähelepanu juhtivaid dokumente, mille teema on asjakohane eeldatavate ohvrite jaoks. Nad arendavad uusi skeeme ja kasutavad avalikult kättesaadavaid tööriistu, näiteks Equation Editor'i eksploidimist. Veelgi enam, nad täiustavad tööriistu, et vähendada ohvrite masinatel jääavaid artefakte, vähendades seeläbi viiruste avastamise tõenäosust.