🥇ESET: uued OceanLotuse tagaukse tarneskeemid

Selles postituses räägime teile, kuidas kübergrupp OceanLotus (APT32 ja APT-C-00) kasutas hiljuti üht avalikult kättesaadavat äpardust CVE-2017-11882, Microsoft Office'i mälurikke haavatavused ja see, kuidas grupi pahavara säilib ohustatud süsteemides jälgi jätmata. Järgmisena kirjeldame, kuidas grupp on alates 2019. aasta algusest kasutanud koodi käitamiseks isepahanduvaid arhiive.

OceanLotus on spetsialiseerunud küberspionaažile, mille prioriteetsed sihtmärgid on Kagu-Aasia riigid. Ründajad võltsivad dokumente, mis tõmbavad potentsiaalsete ohvrite tähelepanu, et veenda neid tagaukse hukkamises, ning töötavad ka tööriistade väljatöötamisega. Meepottide loomiseks kasutatavad meetodid on rünnakute lõikes erinevad, alates "topeltlaiendiga" failidest, isepakkivatest arhiividest, makrodega dokumentidest kuni teadaolevate ärakasutamisteni.

Exploiti kasutamine Microsofti võrrandiredaktoris

2018. aasta keskel viis OceanLotus läbi kampaania, mis kasutas turvaauku CVE-2017-11882. Ühte kübergrupi pahatahtlikku dokumenti analüüsisid 360 Threat Intelligence Centeri spetsialistid (uurimus hiina keeles), sealhulgas ärakasutamise üksikasjalik kirjeldus. Allolev postitus sisaldab ülevaadet sellisest pahatahtlikust dokumendist.

Esimene etapp

Dokument FW Report on demonstration of former CNRP in Republic of Korea.doc (SHA-1: D1357B284C951470066AAA7A8228190B88A5C7C3) on sarnane ülaltoodud uuringus mainituga. See on huvitav, kuna on suunatud kasutajatele, kes on huvitatud Kambodža poliitikast (CNRP – Cambodia National Rescue Party, mis saadeti laiali 2017. aasta lõpus). Vaatamata .doc laiendile on dokument RTF formaadis (vt allolevat pilti), sisaldab prügikoodi ja on ka moonutatud.

Joonis 1. "Prügi" RTF-is

Kuigi seal on moonutatud elemente, avab Word selle RTF-faili edukalt. Nagu näete jooniselt 2, on nihke 0xC00 juures EQNOLEFILEHDR-struktuur, millele järgneb MTEF-i päis ja seejärel fondi MTEF-kirje (joonis 3).

Joonis 2. FONT kirje väärtused

Joonis 3. FONT salvestusvorming

Võimalik ülevool põllul nimi, sest selle suurust enne kopeerimist ei kontrollita. Liiga pikk nimi vallandab haavatavuse. Nagu näete RTF-faili sisust (nihe 0xC26 joonisel 2), täidetakse puhver shellkoodiga, millele järgneb näiv käsk (0x90) ja tagastusaadress 0x402114. Aadress on dialoogielement EQNEDT32.exe, mis näitab juhiseid RET. See paneb EIP osutama välja algusesse nimimis sisaldab shellkoodi.

Joonis 4. Exploit shellcode'i algus

Aadress 0x45BD3C salvestab muutuja, millele viidatakse seni, kuni see jõuab parajasti laetud struktuurile viivani MTEFData. Ülejäänud shellkood on siin.

Shellcode'i eesmärk on käivitada avatud dokumenti manustatud shellkoodi teine osa. Algne shellkood proovib esmalt leida avatud dokumendi failideskriptorit itereerides üle kõigi süsteemikirjelduste (NtQuerySystemInformation argumendiga SystemExtendedHandleInformation) ja kontrollides, kas need sobivad PID deskriptor ja PID protsess WinWord ja kas dokument avati juurdepääsumaskiga - 0x12019F.

Õige käepideme leidmise kinnitamiseks (mitte teise avatud dokumendi pideme leidmise kohta), kuvatakse faili sisu funktsiooniga CreateFileMappingja shellkood kontrollib, kas dokumendi viimased neli baiti ühtivad "yyyy"(Munajahi meetod). Kui vaste on leitud, kopeeritakse dokument ajutisse kausta (GetTempPath) Kuidas ole.dll. Seejärel loetakse dokumendi viimased 12 baiti.

Joonis 5. Dokumendi markerite lõpp

32-bitine väärtus markerite vahel AABBCCDD и yyyy on järgmise shellkoodi nihe. Seda nimetatakse funktsiooni abil CreateThread. Ekstraktis sama shellkoodi, mida kasutas OceanLotuse grupp varem. Pythoni emuleerimisskript, mille avaldasime märtsis 2018, töötab endiselt teise etapi prügikasti jaoks.

Teine etapp

Komponentide eemaldamine

Failide ja kataloogide nimed valitakse dünaamiliselt. Kood valib juhuslikult käivitatava või DLL-faili nime C:Windowssystem32. Seejärel esitab see oma ressurssidele päringu ja otsib välja FileDescription kasutada kausta nimena. Kui see ei tööta, valib kood juhuslikult kataloogidest kaustanime %ProgramFiles% või C:Windows (alates Get'ist)WindowsKataloog (DirectoryW). See väldib nime kasutamist, mis võib olla vastuolus olemasolevate failidega, ja tagab, et see ei sisalda järgmisi sõnu: windows, Microsoft, desktop, system, system32 või syswow64. Kui kataloog on juba olemas, lisatakse nimele "NLS_{6 tähemärki}".

ressurss 0x102 analüüsitakse ja failid sisestatakse %ProgramFiles% või %AppData%, juhuslikult valitud kausta. Loomisaega muudeti samade väärtustega kui kernel32.dll.

Näiteks siin on käivitatava faili valimisel loodud failide kaust ja loend C:Windowssystem32TCPSVCS.exe andmeallikana.

Joonis 6. Erinevate komponentide eraldamine

Ressursi struktuur 0x102 tilgutis on üsna keeruline. Lühidalt, see sisaldab:
— Failide nimed
— faili suurus ja sisu
— tihendusvorming (COMPRESSION_FORMAT_LZNT1, mida funktsioon kasutab RtlDecompressBuffer)

Esimene fail lähtestatakse kui TCPSVCS.exe, mis on seaduslik AcroTranscoder.exe (vastavalt FileDescription, SHA-1: 2896738693A8F36CC7AD83EF1FA46F82F32BE5A3).

Võib-olla olete märganud, et mõned DLL-failid on suuremad kui 11 MB. Selle põhjuseks on asjaolu, et käivitatavasse faili paigutatakse suur külgnev juhuslike andmete puhver. Võimalik, et see on viis vältida mõne turbetoote tuvastamist.

Püsivuse tagamine

ressurss 0x101 tilguti sisaldab kahte 32-bitist täisarvu, mis määravad püsivuse tagamise. Esimese väärtus määrab, kuidas pahavara ilma administraatoriõigusteta püsib.

Tabel 1. Püsimehhanism ilma administraatoriõigusteta

Teise täisarvu väärtus määrab, kuidas pahavara peaks saavutama püsivuse administraatoriõigustega töötamise ajal.

Tabel 2. Administraatoriõigustega püsivusmehhanism

Teenuse nimi on failinimi ilma laiendita; kuvatav nimi on kausta nimi, kuid kui see on juba olemas, siis string "Revision 1” (arv suureneb seni, kuni leitakse kasutamata nimi). Operaatorid hoolitsesid selle eest, et teenuse püsivus oleks tugev – tõrke korral tuleks teenus 1 sekundi pärast taaskäivitada. Siis väärtus WOW64 Uue teenuse registrivõtmeks on seatud 4, mis näitab, et tegemist on 32-bitise teenusega.

Ajastatud ülesanne luuakse mitme COM-liidese kaudu: ITaskScheduler, ITask, ITaskTrigger, IPersistFile и ITaskScheduler. Põhimõtteliselt loob pahavara peidetud ülesande, määrab kontoteabe koos praeguse kasutaja või administraatori teabega ja seejärel käivitab.

See on igapäevane ülesanne, mille kestus on 24 tundi ja kahe täitmise vaheline intervall on 10 minutit, mis tähendab, et see töötab pidevalt.

Pahatahtlik osa

Meie näites käivitatav fail TCPSVCS.exe (AcroTranscoder.exe) on seaduslik tarkvara, mis laadib koos sellega lähtestatud DLL-e. Sel juhul pakub see huvi Flash Video Extension.dll.

Selle funktsioon DLLMain kutsub lihtsalt välja teise funktsiooni. Esinevad mõned hägused predikaadid:

Joonis 7. Hägusad predikaadid

Pärast neid eksitavaid kontrolle saab kood jaotise .text faili TCPSVCS.exe, muudab oma kaitset PAGE_EXECUTE_READWRITE ja kirjutab selle ümber, lisades näivaid juhiseid:

Joonis 8. Juhiste jada

Funktsiooni aadressi lõpus FLVCore::Uninitialize(void), eksporditud Flash Video Extension.dll, on lisatud juhis CALL. See tähendab, et pärast pahatahtliku DLL-i laadimist, kui käitusaeg kutsub WinMain в TCPSVCS.exe, osutab juhiste osuti NOP-le, põhjustades FLVCore::Uninitialize(void), järgmine etapp.

Funktsioon loob lihtsalt mutexi, mis algab tähega {181C8480-A975-411C-AB0A-630DB8B0A221}millele järgneb praegune kasutajanimi. Seejärel loeb see välja visatud *.db3 faili, mis sisaldab positsioonist sõltumatut koodi, ja kasutab CreateThread sisu teostamiseks.

Faili *.db3 sisu on shellkood, mida OceanLotuse rühm tavaliselt kasutab. Pakkisime selle kasuliku koormuse uuesti edukalt lahti, kasutades avaldatud emulaatori skripti GitHubis.

Skript ekstraheerib viimase etapi. See komponent on tagauks, mida oleme juba analüüsinud eelmine OceanLotuse uuring. Seda saab määrata GUID-iga {A96B020F-0000-466F-A96D-A91BBF8EAC96} binaarfail. Pahavara konfiguratsioon on endiselt PE-ressursis krüpteeritud. Sellel on ligikaudu sama konfiguratsioon, kuid C&C serverid erinevad eelmistest:

- andreagahuvrauvin[.]com - byronorenstein[.]com - stienollmache[.]xyz

OceanLotuse meeskond demonstreerib taas tuvastamise vältimiseks erinevate tehnikate kombinatsiooni. Nad naasid nakatumisprotsessi "rafineeritud" diagrammiga. Valides juhuslikke nimesid ja täites käivitatavad failid juhuslike andmetega, vähendavad need usaldusväärsete IoC-de arvu (põhinevad räsidel ja failinimedel). Lisaks peavad ründajad tänu kolmanda osapoole DLL-i laadimise kasutamisele eemaldama ainult seadusliku binaarfaili. AcroTranscoder.

Iseparandavad arhiivid

Pärast RTF-faile liikus rühm kasutajat veelgi segadusse ajamiseks tavaliste dokumendiikoonidega iseväljavõtvatele (SFX) arhiividele. Threatbook kirjutas sellest (link hiina keeles). Käivitamisel loobutakse isepakkivatest RAR-failidest ja käivitatakse .ocx laiendiga DLL-id, mille lõplik koormus on eelnevalt dokumenteeritud {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll. Alates 2019. aasta jaanuari keskpaigast on OceanLotus seda tehnikat taaskasutanud, kuid aja jooksul mõnda konfiguratsiooni muutnud. Selles osas räägime tehnikast ja muudatustest.

Lure loomine

Dokument THICH-THONG-LAC-HANH-THAP-THIEN-VIET-NAM (1).EXE (SHA-1: AC10F5B1D5ECAB22B7B418D6E98FA18E32BBDEAB) leiti esmakordselt 2018. aastal. See SFX-fail loodi targalt – kirjelduses (Teave versiooni kohta) ütleb, et see on JPEG-kujutis. SFX-skript näeb välja selline:

Joonis 9. SFX-käsud

Pahavara lähtestub {9ec60ada-a200-4159-b310-8071892ed0c3}.ocx (SHA-1: EFAC23B0E6395B1178BCF7086F72344B24C04DCC), samuti pilt 2018 thich thong lac.jpg.

Peibutuspilt näeb välja selline:

Joonis 10. Peibutuspilt

Võib-olla olete märganud, et SFX-skripti kaks esimest rida kutsuvad OCX-faili kaks korda, kuid see pole viga.

{9ec60ada-a200-4159-b310-8071892ed0c3}.ocx (ShLd.dll)

OCX-faili juhtimisvoog on väga sarnane teiste OceanLotuse komponentidega – palju käsujadasid JZ/JNZ и PUSH/RET, vaheldumisi prügikoodiga.

Joonis 11. Hägustatud kood

Pärast rämpskoodi välja filtreerimist eksportige DllRegisterServer, kutsus regsvr32.exe, järgnevalt:

Joonis 12. Paigaldaja põhikood

Põhimõtteliselt esimesel kõnel DllRegisterServer eksport määrab registriväärtuse HKCUSOFTWAREClassesCLSID{E08A0F4B-1F65-4D4D-9A09-BD4625B9C5A1}Model krüptitud nihke jaoks DLL-is (0x10001DE0).

Kui funktsiooni kutsutakse teist korda, loeb see sama väärtust ja käivitatakse sellel aadressil. Siit loetakse ja käivitatakse ressurss ja paljud RAM-is olevad toimingud.

Shellcode on sama PE-laadur, mida kasutati varasemates OceanLotuse kampaaniates. Seda saab emuleerida kasutades meie stsenaarium. Lõpuks ta lähtestab db293b825dcc419ba7dc2c49fa2757ee.dll, laadib selle mällu ja käivitab DllEntry.

DLL ekstraktib oma ressursi sisu, dekrüpteerib (AES-256-CBC) ja pakkib lahti (LZMA). Ressursil on konkreetne vorming, mida on lihtne dekompileerida.

Joonis 13. Installeri konfiguratsiooni struktuur (KaitaiStruct Visualizer)

Konfiguratsioon on selgesõnaliselt määratud – sõltuvalt privileegide tasemest kirjutatakse binaarandmed %appdata%IntellogsBackgroundUploadTask.cpl või %windir%System32BackgroundUploadTask.cpl (Või SysWOW64 64-bitiste süsteemide jaoks).

Edasise püsivuse tagab nimega ülesande loomine BackgroundUploadTask[junk].jobKus [junk] tähistab baitide kogumit 0x9D и 0xA0.

Ülesande rakenduse nimi %windir%System32control.exe, ja parameetri väärtus on allalaaditud binaarfaili tee. Peidetud ülesanne töötab iga päev.

Struktuuriliselt on CPL-fail sisemise nimega DLL ac8e06de0a6c4483af9837d96504127e.dll, mis ekspordib funktsiooni CPlApplet. See fail dekrüpteerib oma ainsa ressursi {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll, laadib seejärel selle DLL-i ja kutsub selle ainsaks ekspordiks DllEntry.

Tagaukse konfiguratsioonifail

Tagaukse konfiguratsioon on krüptitud ja manustatud selle ressurssidesse. Konfiguratsioonifaili struktuur on eelmisega väga sarnane.

Joonis 14. Tagaukse konfiguratsiooni struktuur (KaitaiStruct Visualizer)

Kuigi struktuur on sarnane, on paljusid väljade väärtusi värskendatud nendest, mis on näidatud meie vana aruanne.

Binaarmassiivi esimene element sisaldab DLL-i (HttpProv.dll MD5: 2559738D1BD4A999126F900C7357B759), tuvastanud Tencent. Aga kuna ekspordinimi eemaldati kahendkoodist, siis räsid ei ühti.

Täiendavad uuringud

Proovide kogumisel märkasime mõningaid omadusi. Äsja kirjeldatud isend ilmus 2018. aasta juuli paiku ja teised samasugused ilmusid alles 2019. aasta jaanuari keskpaigast kuni veebruari alguseni. SFX-arhiivi kasutati nakkusvektorina, jättes maha seadusliku peibutusdokumendi ja pahatahtliku OSX-faili.

Kuigi OceanLotus kasutab võltsitud ajatempleid, märkasime, et SFX- ja OCX-failide ajatemplid on alati samad (0x57B0C36A (08 kell 14:2016 UTC) ja 0x498BE80F (02/06/2009 kell 7:34 UTC)). See viitab ilmselt sellele, et autoritel on mingi “kujundaja”, kes kasutab samu malle ja muudab lihtsalt mingeid omadusi.

Alates 2018. aasta algusest uuritud dokumentide hulgas on erinevaid nimesid, mis näitavad ründajaid huvitavaid riike:

— Cambodia Media(New).xls.exe uus kontaktteave
— 李建香 (个人简历).exe (CV võlts pdf-dokument)
— tagasiside, ralli USAs 28.-29.exe

Kuna tagauks avastati {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll ja selle analüüsi avaldamisel mitmete teadlaste poolt, täheldasime mõningaid muutusi pahavara konfiguratsiooniandmetes.

Esiteks hakkasid autorid nimesid eemaldama abistaja-DLL-idest (DNSprov.dll ja kaks versiooni HttpProv.dll). Seejärel lõpetasid operaatorid kolmanda DLL-i (teine versioon HttpProv.dll), valides ainult ühe manustamise.

Teiseks muudeti paljusid tagaukse konfiguratsioonivälju, mis tõenäoliselt väldisid tuvastamist, kuna paljud IoCd muutusid kättesaadavaks. Olulised väljad, mida autorid on muutnud, on järgmised:

AppX-i registrivõti muudetud (vt IoC-sid)
mutexi kodeerimisstring ("def", "abc", "ghi")
pordi number

Lõpuks on kõikidel uutel analüüsitud versioonidel IoC-de jaotises loetletud uued C&C-d.

Järeldused

OceanLotus areneb edasi. Kübergrupp on keskendunud tööriistade ja söötade täiustamisele ja laiendamisele. Autorid varjavad pahatahtlikke koormusi, kasutades tähelepanu köitvaid dokumente, mille teema on mõeldud ohvritele. Nad töötavad välja uusi skeeme ja kasutavad ka avalikult kättesaadavaid tööriistu, näiteks võrrandiredaktorit. Lisaks täiustavad nad tööriistu, et vähendada ohvrite masinatesse jäävate esemete arvu, vähendades seeläbi viirusetõrjetarkvara tuvastamise võimalust.