ओसियनलोटस: macOS के लिए मैलवेयर अपडेट

मार्च 2019 में, साइबर ग्रुप ओसियनलोटस से macOS मैलवेयर का एक नया नमूना एक लोकप्रिय ऑनलाइन स्कैनिंग सेवा, वायरसटोटल पर अपलोड किया गया था। बैकडोर निष्पादन योग्य फ़ाइल में हमारे द्वारा अध्ययन किए गए macOS मैलवेयर के पिछले संस्करण के समान क्षमताएं हैं, लेकिन इसकी संरचना बदल गई है और इसका पता लगाना अधिक कठिन हो गया है। दुर्भाग्य से, हम इस नमूने से जुड़ा ड्रॉपर नहीं ढूंढ पाए, इसलिए हम अभी तक संक्रमण वेक्टर को नहीं जानते हैं।

हमने हाल ही में प्रकाशित किया OceanLotus के बारे में पोस्ट और कैसे ऑपरेटर दृढ़ता प्रदान करने, कोड निष्पादन में तेजी लाने और विंडोज सिस्टम पर पदचिह्न को कम करने की कोशिश कर रहे हैं। यह भी ज्ञात है कि इस साइबर समूह में macOS के लिए एक घटक भी है। यह पोस्ट पिछले संस्करण की तुलना में macOS के लिए मैलवेयर के नवीनतम संस्करण में परिवर्तनों का विवरण देता है (ट्रेंड माइक्रो द्वारा वर्णित), और यह भी वर्णन करता है कि आप आईडीए हेक्स-रे एपीआई का उपयोग करके विश्लेषण के दौरान स्ट्रिंग्स के डिक्रिप्शन को कैसे स्वचालित कर सकते हैं।

के विश्लेषण

अगले तीन भाग SHA-1 हैश के साथ एक नमूने के विश्लेषण का वर्णन करते हैं E615632C9998E4D3E5ACD8851864ED09B02C77D2. फ़ाइल को कॉल किया गया है फ़्लैशलाइट, ESET एंटीवायरस उत्पाद इसे OSX/OceanLotus.D के रूप में पहचानते हैं।

एंटी-डिबगिंग और सैंडबॉक्स सुरक्षा

सभी macOS OceanLotus बायनेरिज़ की तरह, नमूना UPX के साथ पैक किया गया है, लेकिन अधिकांश पैकेजर पहचान उपकरण इसे इस रूप में नहीं पहचानते हैं। ऐसा संभवतः इसलिए है क्योंकि उनमें अधिकतर "यूपीएक्स" स्ट्रिंग की उपस्थिति पर निर्भर हस्ताक्षर होते हैं, इसके अलावा, मैक-ओ हस्ताक्षर कम आम हैं और अक्सर अपडेट नहीं किए जाते हैं। यह सुविधा स्थैतिक पहचान को कठिन बना देती है. दिलचस्प बात यह है कि अनपॅकिंग के बाद, प्रवेश बिंदु अनुभाग की शुरुआत में होता है __cfstring खंड में .TEXT. इस अनुभाग में ध्वज विशेषताएँ हैं जैसा कि नीचे दी गई छवि में दिखाया गया है।

चित्र 1. MACH-O __cfstring अनुभाग विशेषताएँ

जैसा कि चित्र 2 में दिखाया गया है, अनुभाग में कोड स्थान __cfstring आपको कोड को स्ट्रिंग के रूप में प्रदर्शित करके कुछ डिस्सेम्बली टूल को चकमा देने की अनुमति देता है।

चित्र 2. आईडीए द्वारा डेटा के रूप में बैकडोर कोड का पता लगाया गया

एक बार निष्पादित होने के बाद, बाइनरी एक एंटी-डिबगर के रूप में एक थ्रेड बनाता है जिसका एकमात्र उद्देश्य डिबगर की उपस्थिति की लगातार जांच करना है। इस प्रवाह के लिए:

- कॉल करके किसी भी डिबगर को अनहुक करने का प्रयास करता है ptrace с PT_DENY_ATTACH अनुरोध पैरामीटर के रूप में
- किसी फ़ंक्शन को कॉल करके जांचता है कि कुछ विशेष पोर्ट खुले हैं या नहीं task_get_exception_ports
- ध्वज की उपस्थिति की जाँच करके जाँच करता है कि डिबगर कनेक्ट है या नहीं, जैसा कि नीचे दिए गए चित्र में दिखाया गया है P_TRACED वर्तमान प्रक्रिया में

चित्र 3. sysctl फ़ंक्शन का उपयोग करके डिबगर कनेक्शन की जाँच करना

यदि वॉचडॉग डिबगर की उपस्थिति का पता लगाता है, तो फ़ंक्शन को कॉल किया जाता है exit. इसके अतिरिक्त, नमूना दो कमांड चलाकर पर्यावरण की जाँच करता है:

ioreg -l | grep -e "Manufacturer" и sysctl hw.model

नमूना तब ज्ञात वर्चुअलाइजेशन सिस्टम से स्ट्रिंग्स की हार्ड-कोडित सूची के विरुद्ध रिटर्न मान की जांच करता है: ऐकल, vmware, VirtualBox या समानताएं. अंत में, अगला कमांड जाँचता है कि क्या मशीन निम्नलिखित "एमबीपी", "एमबीए", "एमबी", "एमएम", "आईएम", "एमपी" और "एक्सएस" में से एक है। ये सिस्टम मॉडल कोड हैं, उदाहरण के लिए, "एमबीपी" का अर्थ मैकबुक प्रो, "एमबीए" का अर्थ मैकबुक एयर आदि है।

system_profiler SPHardwareDataType 2>/dev/null | awk '/Boot ROM Version/ {split($0, line, ":");printf("%s", line[2]);}

मुख्य जोड़

जबकि ट्रेंड माइक्रो के शोध के बाद से पिछले दरवाजे के आदेश नहीं बदले हैं, हमने कुछ अन्य संशोधनों पर ध्यान दिया है। इस नमूने में उपयोग किए गए C&C सर्वर काफी नए हैं और 22.10.2018/XNUMX/XNUMX को बनाए गए थे।

- daff.faybilodeau[.]com
- sarc.onteagleroad[.]com
- au.charlineopkesston[.]com

संसाधन URL बदल गया है /dp/B074WC4NHW/ref=gbps_img_m-9_62c3_750e6b35.
C&C सर्वर को भेजे गए पहले पैकेट में होस्ट मशीन के बारे में अधिक जानकारी शामिल है, जिसमें नीचे दी गई तालिका में कमांड द्वारा एकत्र किया गया सभी डेटा शामिल है।

इस कॉन्फ़िगरेशन परिवर्तन के अतिरिक्त, नमूना नेटवर्क फ़िल्टरिंग के लिए लाइब्रेरी का उपयोग नहीं करता है कामचोर, लेकिन एक बाहरी पुस्तकालय। इसे ढूंढने के लिए, बैकडोर कुंजी के साथ AES-256-CBC का उपयोग करके वर्तमान निर्देशिका में प्रत्येक फ़ाइल को डिक्रिप्ट करने का प्रयास करता है gFjMXBgyXWULmVVVzyxy, शून्य से गद्देदार। प्रत्येक फ़ाइल को डिक्रिप्ट किया जाता है और इस रूप में सहेजा जाता है /tmp/store, और फ़ंक्शन का उपयोग करके इसे लाइब्रेरी के रूप में लोड करने का प्रयास किया जाता है डलोपेन. जब डिक्रिप्शन प्रयास के परिणामस्वरूप कॉल सफल होती है dlopen, पिछले दरवाजे से निर्यात किए गए फ़ंक्शन निकाले जाते हैं Boriry и ChadylonV, जो स्पष्ट रूप से सर्वर के साथ नेटवर्क संचार के लिए जिम्मेदार हैं। हमारे पास नमूने के मूल स्थान से ड्रॉपर या अन्य फ़ाइलें नहीं हैं, इसलिए हम इस लाइब्रेरी को पार्स नहीं कर सकते। इसके अलावा, चूंकि घटक एन्क्रिप्टेड है, इन स्ट्रिंग्स पर आधारित YARA नियम डिस्क पर पाई गई फ़ाइल से मेल नहीं खाएगा।

जैसा कि उपरोक्त लेख में बताया गया है, यह बनाता है ग्राहक ID. यह आईडी निम्नलिखित कमांड में से एक के रिटर्न वैल्यू का एमडी5 हैश है:

- ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformSerialNumber/ { split($0, line, """); printf("%s", line[4]); }'
- ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformUUID/ { split($0, line, """); printf("%s", line[4]); }'
- ifconfig en0 | awk '/ether /{print $2}' (मैक पता प्राप्त करें)
- अज्ञात टीम ("x1ex72x0a"), जिसका उपयोग पिछले नमूनों में किया गया है

हैशिंग से पहले, रूट विशेषाधिकारों को इंगित करने के लिए रिटर्न वैल्यू में "0" या "1" जोड़ा जाता है। यह ग्राहक ID संग्रहित किया है /Library/Storage/File System/HFS/25cf5d02-e50b-4288-870a-528d56c3cf6e/pivtoken.appex, यदि कोड रूट के रूप में या अन्य सभी मामलों में ~/Library/SmartCardsServices/Technology/PlugIns/drivers/snippets.ecgML में चलाया जाता है। फ़ाइल को आमतौर पर फ़ंक्शन का उपयोग करके छिपाया जाता है _chflags, इसका टाइमस्टैम्प कमांड का उपयोग करके बदला जाता है touch –t एक यादृच्छिक मान के साथ.

डिकोडिंग स्ट्रिंग्स

पिछले विकल्पों की तरह, स्ट्रिंग्स को AES-256-CBC (हेक्साडेसिमल कुंजी) का उपयोग करके एन्क्रिप्ट किया गया है: 9D7274AD7BCEF0DED29BDBB428C251DF8B350B92 फ़ंक्शन के माध्यम से शून्य से भरा हुआ, और IV शून्य से भरा हुआ)। सीसीसीक्रिप्ट. कुंजी पिछले संस्करणों से बदल गई है, लेकिन चूंकि समूह अभी भी उसी स्ट्रिंग एन्क्रिप्शन एल्गोरिदम का उपयोग करता है, इसलिए डिक्रिप्शन को स्वचालित किया जा सकता है। इस पोस्ट के अलावा, हम एक आईडीए स्क्रिप्ट जारी कर रहे हैं जो बाइनरी फ़ाइल में मौजूद स्ट्रिंग्स को डिक्रिप्ट करने के लिए हेक्स-रेज़ एपीआई का उपयोग करती है। यह स्क्रिप्ट ओशनलोटस के भविष्य के विश्लेषण और मौजूदा नमूनों के विश्लेषण में मदद कर सकती है जिन्हें हम अभी तक प्राप्त नहीं कर पाए हैं। स्क्रिप्ट किसी फ़ंक्शन में पारित तर्क प्राप्त करने के लिए एक सार्वभौमिक विधि पर आधारित है। इसके अतिरिक्त, यह पैरामीटर असाइनमेंट को देखता है। फ़ंक्शन तर्कों की सूची प्राप्त करने और फिर उसे कॉलबैक में भेजने के लिए विधि का पुन: उपयोग किया जा सकता है।

फ़ंक्शन प्रोटोटाइप को जानना डिक्रिप्ट, स्क्रिप्ट इस फ़ंक्शन के सभी क्रॉस-रेफरेंस, सभी तर्क ढूंढती है, फिर डेटा को डिक्रिप्ट करती है और क्रॉस-रेफरेंस पते पर एक टिप्पणी के अंदर सादा पाठ रखती है। स्क्रिप्ट के सही ढंग से काम करने के लिए, इसे बेस64 डिकोडिंग फ़ंक्शन द्वारा उपयोग किए जाने वाले कस्टम वर्णमाला पर सेट किया जाना चाहिए, और कुंजी की लंबाई वाले एक वैश्विक चर को परिभाषित किया जाना चाहिए (इस मामले में एक DWORD, चित्र 4 देखें)।

चित्र 4. वैश्विक चर key_len की परिभाषा

फ़ंक्शन विंडो में, आप डिक्रिप्शन फ़ंक्शन पर राइट-क्लिक कर सकते हैं और "आर्ग्युमेंट्स निकालें और डिक्रिप्ट करें" पर क्लिक कर सकते हैं। स्क्रिप्ट को डिक्रिप्ट की गई पंक्तियों को टिप्पणियों में रखना चाहिए, जैसा चित्र 5 में दिखाया गया है।

चित्र 5. डिक्रिप्टेड पाठ को टिप्पणियों में रखा गया है

इस तरह डिक्रिप्टेड स्ट्रिंग्स को आसानी से आईडीए विंडो में एक साथ रखा जाता है xrefs इस फ़ंक्शन के लिए जैसा कि चित्र 6 में दिखाया गया है।

चित्र 6. Xrefs से f_decrypt फ़ंक्शन

अंतिम स्क्रिप्ट यहां पाई जा सकती है गिथब भंडार.

उत्पादन

जैसा कि पहले ही उल्लेख किया गया है, ओशनलोटस अपने टूलकिट में लगातार सुधार और अद्यतन कर रहा है। इस बार साइबर ग्रुप ने मैक यूजर्स के साथ काम करने के लिए मैलवेयर में सुधार किया है। कोड में बहुत अधिक बदलाव नहीं हुआ है, लेकिन चूंकि कई मैक उपयोगकर्ता सुरक्षा उत्पादों को अनदेखा करते हैं, इसलिए मैलवेयर को पहचान से बचाना द्वितीयक महत्व का है।

ईएसईटी उत्पाद शोध के समय पहले से ही इस फ़ाइल का पता लगा रहे थे। क्योंकि C&C संचार के लिए उपयोग की जाने वाली नेटवर्क लाइब्रेरी अब डिस्क पर एन्क्रिप्टेड है, हमलावरों द्वारा उपयोग किया जाने वाला सटीक नेटवर्क प्रोटोकॉल अभी तक ज्ञात नहीं है।

समझौता के संकेतक

समझौते के संकेतक और साथ ही MITER ATT&CK विशेषताएँ भी यहाँ उपलब्ध हैं GitHub.

स्रोत: www.habr.com