🥇OceanLotus: pahavara värskendus macOS jaoks

Märtsis 2019 laaditi VirusTotalisse, populaarse veebipõhise skaneerimisteenuse, üles uus kahjurprogrammi näidis macOS-i küberrühmituselt OceanLotus. Tagamdokumendil on samad võimalused nagu eelnevalt uuringu käigus uuritud macOS-i pahavaraversioonil, kuid selle struktuur on muutunud ja seda on keerulisem tuvastada. Kahjuks ei suutnud me leida seda näidist seostavat droppijat, seega ei tea me siiani ründevuru.

Hiljuti avaldasime posti OceanLotusest ja sellest, kuidas operaatorid üritavad tagada püsivust, kiirendada koodi käivitamist ja vähendada kohaloleku jälgi Windowsi süsteemides. Teada on ka, et sellel küberrühmitusel on olemas osakond macOS-i jaoks. Selles postituses käsitletakse uusima macOS-i pahavara versiooni muudatusi võrreldes eelneva versiooniga (mida on kirjeldanud Trend Micro), ning räägitakse ka sellest, kuidas analüüsi käigus saab automaatida stringide dekrüpteerimist IDA Hex-Rays API abil.

Analüüs

Järgmises kolmes osas käsitletakse näidise analüüsi SHA-1 hash'i E615632C9998E4D3E5ACD8851864ED09B02C77D2. Faili nimetatakse flashlightd, ESET-i viirusetõrje tooted tuvastavad selle kui OSX/OceanLotus.D.

Antidebugging ja liivakastide kaitse

Nagu kõik OceanLotus macOS-i binaarfailid, on näidis UPX-iga pakitud, kuid enamus pakendite tuvastamise tööriistu ei tunnista seda sellisena. Tõenäoliselt seetõttu, et nad peamiselt sisaldavad sõltuva stringi “UPX” allkirja, lisaks esinevad Mach-O allkirjad harvemini ja neid ei uuendata nii tihti. See omadus raskendab staatilist tuvastamist. Huvi tõttu, pärast lahtipakkimist, asub sisenemise punkt sektsiooni alguses __cfstring sektoris .TEXT. Selles osas on atribuudid flag, nagu on näidatud alloleval joonisel.

Joonis 1. MACH-O __cfstring sektsiooni atribuudid

Nagu näidatud joonisel 2, võimaldab koodi asukoht sektsioonis __cfstring teatud tööriistu disassmbleerimist petta, kuvades koodi stringidena.

Joonis 2. Tagamdokumi koodi IDA poolt tuvastatakse andmetena

Pärast käivitamist loob binaarfail lõime debugeerimise kaitsemeetmena, mille ainus eesmärk on pidevalt jälgida debugeerija olemasolu. Selle saavutamiseks lõim:

— Püüab ära tõmmata igasuguse debugeerija, kutsudes esile ptrace jot PT_DENY_ATTACH nõuete parameetrina
— Kontrollib, kas mõned eralaud on avatud, kutsudes funktsiooni task_get_exception_ports
— Kontrollib, kas debugger on ühendatud, nagu on näidatud alloleval pildil, kontrollides flagi olemasolu P_TRACED praeguses protsessis

Joonis 3. Debuggeri ühenduse kontrollimine sysctl funktsiooni kaudu

Kui valveskeem tuvastab debuggeri olemasolu, kutsutakse välja funktsioon exit. Lisaks sellele kontrollib näidis seejärel keskkonda, täites kaks käsku:

ioreg -l | grep -e "Manufacturer" ja sysctl hw.model

Seejärel kontrollib näidis tagastatud väärtust kindlaks määratud stringide nimekirja järgi tuntud virtualiseerimissüsteemide jaoks: acle, vmware, virtualbox või parallels. Lõpuks kontrollib järgmine käsk, kas masin on üks järgmistest “MBP”, “MBA”, “MB”, “MM”, “IM”, “MP” ja “XS”. Need on süsteemi mudelikoodid, näiteks “MBP” tähistab MacBook Pro, “MBA” – MacBook Air jne.

system_profiler SPHardwareDataType 2>/dev/null | awk '/Boot ROM Version/ {split($0, line, ":");printf("%s", line[2]);}'

Peamised lisandused

Kuigi tagasiulatuvad käsud pole muutunud alates Trend Micro uurimisest, oleme märganud mõned muud muudatused. C&C serverid, mida selles näidises kasutatakse, on üsna uued, nende loomise kuupäev on 22.10.2018.

— daff.faybilodeau[.]com
— sarc.onteagleroad[.]com
— au.charlineopkesston[.]com

Ressursi URL on muutunud /dp/B074WC4NHW/ref=gbps_img_m-9_62c3_750e6b35.
Esimene pakett, mis saadetakse C&C serverile, sisaldab rohkem teavet hostmasina kohta, sealhulgas kõik andmed, mida koguvad allpool toodud tabeli käsud.

Lisaks sellele, konfigureerimise muudatused, näidis kasutab võrgufiltreerimiseks mitte teeki libcurl, vaid välist teeki. Selle leidmiseks üritab tagaukse kood dešifreerida iga faili praeguses kataloogis, kasutades AES-256-CBC võtit gFjMXBgyXWULmVVVzyxy, millele on lisatud nullid. Iga fail dešifreeritakse ja salvestatakse kui /tmp/store, ja katse seda teeki laadida tehakse funktsiooni dlopen. Kui dešifreerimise katse viib eduka kutsumiseni dlopen, siis tagaukse kood ekstraheerib eksporditud funktsioonid Boriry ja ChadylonV, mis näib vastutavat serveriga suhtlemise eest. Meil ei ole dropperit ega teisi faile, mis pärinevad näidise algasukoha, seega ei saa me seda teeki analüüsida. Veel enam, kuna komponent on krüpteeritud, ei vasta YARA reegel nende ridade põhjal failile, mis on leitud kettalt.

Nagu on kirjeldatud ülaltoodud artiklis, luuakse cliendIDSee identifikaator on MD5 räsitulemus järgmistest käskudest:

— ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformSerialNumber/ { split($0, line, ""); printf("%s", line[4]); }'
— ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformUUID/ { split($0, line, ""); printf("%s", line[4]); }'
— ifconfig en0 | awk '/ether /{print $2}' (saada MAC-aadress)
— tundmatu käsk ("x1ex72x0a") , mis on kasutatud varasemates näidetes

Enne räsimist lisatakse räsitulemusnäidule sümbol "0" või "1", mis näitab, kas on olemas root õigused. See clientID hoitakse /Library/Storage/File System/HFS/25cf5d02-e50b-4288-870a-528d56c3cf6e/pivtoken.appex, kui kood käivitatakse rootina, või ~ /Library/SmartCardsServices/Technology/PlugIns/drivers/snippets.ecgML kõikides muudes juhtudel. Fail on tavaliselt varjatud funktsiooni _chflags, selle ajatempleid muudetakse käsuga touch –t juhusliku väärtusega.

Sõnumite dekodeerimine

Nagu eelmistel variantidel, on sõnumid krüptitud AES-256-CBC (heksadekaanne võti: 9D7274AD7BCEF0DED29BDBB428C251DF8B350B92 täiendatud nullidega ja IV täidetakse nullidega) funktsiooni kaudu CCCrypt. Võti on võrreldes varasemate versioonidega muudetud, kuid kuna rühm kasutab endiselt sama sõnumite krüpteerimise algoritmi, saab dekodeerimise automatiseerida. Lisaks sellele postitusele vabastame IDA skripti, mis kasutab Hex-Rays API-d sõnumite dekodeerimiseks, mis esinevad binaarfailis. See skript võib aidata tulevases OceanLotus analüüsis ja olemasolevate näidiste analüüsis, mida me siiani ei saanud. Skripti alus on universaalne meetod argumentide saamiseks, mis on saadetud funktsioonile. Samuti otsitakse parameetrite määramisi. Meetodit saab uuesti kasutada, et saada funktsiooni argumentide loend ja edastada see seejärel tagasikutsumisele (callback).

Teades funktsiooni prototüüpi decrypt, skript leiab kõik ristviidatud viidatud funktsioonist, kõik argumendid, seejärel dekodeerib andmed ja asetab selge teksti kommentaari sees ristviidatud aadressil. Selleks, et skript õigesti töötaks, peab olema kehtestatud kohandatud tähestik, mida base64 dekodeerimise funktsioon kasutab, ja peab olema määratud globaalne muutuja, mis sisaldab võtme pikkust (antud juhul DWORD, vt joonis 4).

Joonis 4. Globaalsete muutuja key_len määramine

Funktsiooni aknas saad parema hiirtöötluse abil käivitada dekrüpteerimisfunktsiooni ja klõpsata „Ekstrakt ja dekrüpteeri argumendid“. Skript peaks dekrüpteeritud stringid paigutama kommentaaridesse, nagu on näidatud joonisel 5.

Joonis 5. Dekrüpteeritud tekst on paigutatud kommentaaridesse

Nii on dekrüpteeritud stringid mugavalt koondatud IDA aknas xrefs selle funktsiooni jaoks, nagu on näidatud joonisel 6.

Joonis 6. Xrefs funktsiooni f_decrypt jaoks

Lõplik skripti versioon on saadaval Github repository.

Kokkuvõte

Kuidas juba mainitud, täiustavad OceanLotus pidevalt oma tööriistade komplekti. Seekord on kübergäng täiustanud pahavara töötamiseks Maci kasutajatega. Kood ei ole palju muutunud, kuid kuna paljud Maci kasutajad ignoreerivad turvatooteid, on pahavara avastamise eest kaitsmine teisejärguline.

ESETi tooted olid selle faili juba uuringu ajal tuvastanud. Kuna kasutatav võrgu teek C&C kommunikatsiooniks on nüüd kettale salvestatud krüpteerituna, ei ole ründajate kasutatav täpne võrgu protokoll veel teada.