🥇OceanLotus: macOS-i pahavara uuendus

2019. aasta märtsis laaditi VirusTotalisse, populaarse veebipõhise skanneri teenusesse, uus macOS pahavara näide, mille on loonud OceanLotus kübergrupp. Tagasiuksena töötava täitefaili omadused on samad, mis eelnevalt uuritud malwaari versioonil macOS-ile, kuid selle struktuur on muutunud ja tuvastamine on keerulisem. Kahjuks ei leidnud me selle näidisega seotud droppijat, seega ei tea me praegu nakatumise vektorit.

Hiljuti avaldasime postituse OceanLotus'ist ja sellest, kuidas operaatorid üritavad tagada püsivust, kiirendada koodi täitmist ja minimeerida oma jälgede jäämist Windowsi süsteemides. On teada, et sellel kübergrupil on ka komponent macOS-ile. Käesolevas postituses käsitletakse uusima macOS pahavara versiooni muudatusi võrreldes eelneva versiooniga (mille kohta on kirjutatud Trend Micro's), samuti kirjeldatakse, kuidas analüüsi käigus saab IDA Hex-Rays API kaudu stringide dekodeerimist automatiseerida.

Analüüs

Järgmistes kolmes osas käsitletakse analüüsi näidise kohta, mille SHA-1 hashes on E615632C9998E4D3E5ACD8851864ED09B02C77D2. Faili nimi on flashlightd, ESETi viirusetõrje tooted tuvastavad selle kui OSX/OceanLotus.D.

Antidebugging ja liivakasti kaitse

Kuna kõik macOS binaarid OceanLotus, on näidis pakitud UPX-iga, kuid enamik identifitseerimise tööriistu ei tunne seda ära. Tõenäoliselt seetõttu, et need sisaldavad peamiselt allkirja, mis sõltub stringi 'UPX' olemasolust; lisaks on Mach-O allkirjad harvemini esinevad ja mitte nii tihti uuendatud. See omadus muudab staatilise tuvastamise keeruliseks. Huvitav on see, et pärast lahtipakkimist asub sisenemispunkt jaotise alguses. __cfstring jaotises .TEXT. Selles jaotises on atribuudid nagu on näidatud alloleval joonisel.

Joonis 1. MACH-O __cfstring jaotise atribuudid

Nagu on näidatud joonisel 2, võimaldab koodi asukoht jaotises teatud desassembleerimise tööriistu petta, kuvades koodi stringidena. __cfstring Joonis 2. Tagaukse kood määratakse IDA-s andmetena

Pärast käivitamist loob binaarfail voolu debugeerimise kaitse vahendina, mille ainus eesmärk on pidev debugeerija olemasolu kontrollimine. Selleks voog:

Pärast käivitamist loob binaarfail voolu, mis toimib kaitsemeetmena silumise eest, mille ainus eesmärk on pidevalt kontrollida silumise olemasolu. Selleks vool:

— Püüab igasuguseid debugeerijaid eemaldada, kutsudes esile ptrace koos PT_DENY_ATTACH päringu parameetrina
— Kontrollib, kas mõned erandid on avatud, kutsudes välja funktsiooni task_get_exception_ports
— Kontrollib, kas debugeerija on ühendatud, nagu on näidatud alloleval joonisel, kontrollides lipu olemasolu P_TRACED praegu käimasolevas protsessis

Joonis 3. Debugeerija ühenduse kontrollimine funktsiooni sysctl kaudu

Kui valvemehhanism tuvastab debugeerija olemasolu, kutsutakse välja funktsioon exit. Lisaks kontrollib see seejärel keskkonda, täites kaks käsku:

ioreg -l | grep -e "Manufacturer" ja sysctl hw.model

Pärast seda kontrollib näidis tagastatavat väärtust rangelt kodeeritud tuntud virtualiseerimissüsteemide nimekirja kaudu: acle, vmware, virtualbox või parallels. Lõpuks kontrollib järgmine käsk, kas masin on üks järgmistest: “MBP”, “MBA”, “MB”, “MM”, “IM”, “MP” ja “XS”. Need on süsteemi mudelikoodid, näiteks “MBP” tähistab MacBook Pro, “MBA” – MacBook Air jne.

system_profiler SPHardwareDataType 2>/dev/null | awk '/Boot ROM Version/ {split($0, line, ":");printf("%s", line[2]);}'

Peamised täiendused

Kuigi tagaukse käsud ei ole muutunud Trend Micro'i uurimise ajast, oleme märganud mitmeid teisi modifikatsioone. C&C serverid, mida selles näidis kasutatakse, on üsna uued, nende loomise kuupäev on 22.10.2018.

— daff.faybilodeau[.]com
— sarc.onteagleroad[.]com
— au.charlineopkesston[.]com

URL-ressurss on muutunud /dp/B074WC4NHW/ref=gbps_img_m-9_62c3_750e6b35.
Esimene pakett, mis saadetakse C&C-serverisse, sisaldab rohkem teavet hostmasina kohta, sealhulgas kõiki andmeid, mida koguvad allpool toodud tabelis olevad käsud.

Lisaks sellele kasutab konfiguratsiooni muutmise näidis võrgu filtreerimiseks mitte teeki libcurl, vaid välist teeki. Selle leidmiseks proovib tagumine uks dešifreerida iga faili käesolevas kataloogis, kasutades AES-256-CBC koos võtmega gFjMXBgyXWULmVVVzyxy, täiendades nullidega. Iga fail dešifreeritakse ja salvestatakse kui /tmp/store, ja proov teha seda teegina laadida toimub funktsiooni dlopen. Kui dešifreerimise proov viib eduka kutsumiseni dlopen, tagumine uks ekstraktsioonib eksporditud funktsioone Boriry ja ChadylonV, mis ilmselt vastutavad serveriga suhtlemise eest. Meil pole droppijat ega muid faile näidise algusest, seega ei saa me seda teeki analüüsida. Veelgi enam, kuna komponent on dešifreeritud, ei vasta YARA-reegel, mis põhineb neil ridadel, kettale, mis leiti kettalt.

Nagu on kirjeldatud eespool mainitud artiklis, luuakse cliendID. See identifikaator on MD5 räsimine ühe järgmise käsu tagastusväärtusest:

— ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformSerialNumber/ { split($0, line, """); printf("%s", line[4]); }'
— ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformUUID/ { split($0, line, """); printf("%s", line[4]); }'
— ifconfig en0 | awk '/ether/{print $2}' (saada MAC aadress)
— tundmatu käsk („x1ex72x0a“), mida kasutatakse eelnevalt toodud näidetes

Enne räsimist lisatakse tagastusväärtusele märk „0” või „1”, mis näitab, kas juurõigused on olemas. See clientID salvestatakse /Library/Storage/File System/HFS/25cf5d02-e50b-4288-870a-528d56c3cf6e/pivtoken.appex, kui kood käivitatakse juurena või ~/Library/SmartCardsServices/Technology/PlugIns/drivers/snippets.ecgML kõikides muudes juhtudel. Fail on tavaliselt varjatud funktsiooni _chflags, selle ajatemplit muudetakse käsuga touch –t juhusliku väärtusega.

Stringide dekodeerimine

Nagu eelnevates variantides, on stringid krüpteeritud AES-256-CBC abil (kuusnurkne võti: 9D7274AD7BCEF0DED29BDBB428C251DF8B350B92 täiendatud nullidega ning IV on täidetud nullidega) funktsiooni CCCrypt kaudu. Lükat on võrreldes varasemate versioonidega muutunud, kuid kuna grupp kasutab endiselt sama stringide krüpteerimise algoritmi, on dekrüpteerimine automatiseeritav. Lisaks sellele postitusele avaldame IDA skripti, mis kasutab Hex-Rays API-d stringide dekrüpteerimiseks, mis on olemas binaarfailis. See skript võib aidata tulevikus OceanLotuse analüüsimisel ja olemasolevate proovide analüüsimisel, mida me hetkel veel saada ei ole suutnud. Skripti alusena on universaalne meetod funktsioonile edastatud argumentide saamiseks. Lisaks otsib see parameetrite määramisi. Meetodit saab taaskasutada funktsiooni argumentide loendi saamiseks ja seejärel edastamiseks tagasiside (callback) korral.

Teades funktsiooni prototüüpi decrypt, leiab skript kõik ristviidatud funktsioonide, kõik argumendid, seejärel dekrüpteerib andmed ja paneb puhta teksti kommentaarina ristviidatud aadressile. Skripti korrektseks toimimiseks peab see olema seadistatud kasutajate alfabett, mida kasutab base64 dekodeerimise funktsioon, ja globaalne muutujat, mis sisaldab võtme pikkust (antud juhul DWORD, vt joonis 4).

Kujund 4. Globaalmuutuja key_len määramine

Funktsiooni aknas saab paremklõpsuga kutsuda dešifreerimisfunktsiooni ja klõpsata "Tõsta ja dešifreeri argumente". Skript peaks dešifreeritud read paigutama kommentaaridesse, nagu on näidatud kujundil 5.

Kujund 5. Dešifreeritud tekst on paigutatud kommentaaridesse

Nii on dešifreeritud read mugavalt paigutatud koos IDA aknas. xrefs selle funktsiooni jaoks, nagu on näidatud kujundil 6.

Kujund 6. Xrefs funktsioonile f_decrypt

Skripti lõplik versioon on saadaval Github repository.

Kokkuvõte

Kuidas juba mainitud, OceanLotus täiustab pidevalt ja uuendab oma tööriistade komplekti. Seekord on küberrühm parandanud pahavara, et töötada Mac-kasutajatega. Kood ei ole palju muutunud, kuid kuna paljud Mac-kasutajad ignoreerivad turvatooteid, on pahavara tuvastamise kaitse teisejärguline.

ESETi tooted olid selle faili juba uuringu hetkel tuvastanud. Kuna võrgukogu, mida kasutatakse C&C suhtluseks, on nüüd ketas salvestatud, on rünnakute täpne võrguprotocol teadmata.