קבוצת הסייבר RTM מתמחה בגניבת כספים מחברות רוסיות

ישנן מספר קבוצות סייבר ידועות המתמחות בגניבת כספים מחברות רוסיות. ראינו התקפות באמצעות פרצות אבטחה המאפשרות גישה לרשת של היעד. ברגע שהם מקבלים גישה, התוקפים לומדים את מבנה הרשת של הארגון ופורסים כלים משלהם כדי לגנוב כספים. דוגמה קלאסית למגמה זו היא קבוצות ההאקרים Buhtrap, Cobalt ו-Corkow.

קבוצת RTM שבה מתמקד דו"ח זה היא חלק מהמגמה הזו. הוא משתמש בתוכנה זדונית שתוכננה במיוחד שנכתבה בדלפי, עליה נבחן ביתר פירוט בסעיפים הבאים. העקבות הראשונים של הכלים הללו במערכת הטלמטריה של ESET התגלו בסוף 2015. הצוות טוען מודולים חדשים שונים על מערכות נגועות לפי הצורך. ההתקפות מכוונות למשתמשים במערכות בנקאות מרוחקות ברוסיה ובכמה מדינות שכנות.

1. מטרות

קמפיין ה-RTM מכוון למשתמשים ארגוניים – הדבר ניכר מהתהליכים שתוקפים מנסים לזהות במערכת שנפרצה. ההתמקדות היא בתוכנת הנהלת חשבונות לעבודה עם מערכות בנקאיות מרוחקות.

רשימת התהליכים המעניינים RTM דומה לרשימה המקבילה של קבוצת Buhtrap, אך לקבוצות יש וקטורי זיהום שונים. אם Buhtrap השתמשה בדפים מזויפים לעתים קרובות יותר, אז RTM השתמשה בהתקפות של הורדה מונעת (התקפות על הדפדפן או על רכיביו) ושליחת דואר זבל בדוא"ל. על פי נתוני טלמטריה, האיום מכוון לרוסיה ולמספר מדינות סמוכות (אוקראינה, קזחסטן, צ'כיה, גרמניה). עם זאת, בשל השימוש במנגנוני הפצה המונית, זיהוי של תוכנות זדוניות מחוץ לאזורי היעד אינו מפתיע.

המספר הכולל של איתור תוכנות זדוניות קטן יחסית. מצד שני, קמפיין RTM משתמש בתוכנות מורכבות, מה שמעיד על כך שההתקפות ממוקדות מאוד.

גילינו מספר מסמכי פיתוי ששימשו את RTM, כולל חוזים לא קיימים, חשבוניות או מסמכי חשבונאות מס. אופי הפתיונות, בשילוב עם סוג התוכנה שמטרתה המתקפה, מצביע על כך שהתוקפים "נכנסים" לרשתות של חברות רוסיות דרך מחלקת הנהלת החשבונות. הקבוצה פעלה לפי אותה תכנית בושטראפ בשנים 2014-2015

במהלך המחקר, הצלחנו ליצור אינטראקציה עם מספר שרתי C&C. נפרט את רשימת הפקודות המלאה בסעיפים הבאים, אך לעת עתה נוכל לומר שהלקוח מעביר נתונים מה-keylogger ישירות לשרת התוקף, ממנו מתקבלות פקודות נוספות.

עם זאת, הימים שבהם יכולת פשוט להתחבר לשרת פיקוד ובקרה ולאסוף את כל הנתונים שהתעניינת בהם נעלמו. יצרנו מחדש קובצי יומן מציאותיים כדי לקבל כמה פקודות רלוונטיות מהשרת.

הראשון שבהם הוא בקשה לבוט להעביר את הקובץ 1c_to_kl.txt - קובץ תחבורה של תוכנית 1C: Enterprise 8, שהמראה שלו מפוקח באופן פעיל על ידי RTM. 1C מקיימת אינטראקציה עם מערכות בנקאות מרוחקות על ידי העלאת נתונים על תשלומים יוצאים לקובץ טקסט. לאחר מכן, הקובץ נשלח למערכת הבנקאות המרוחקת לצורך אוטומציה וביצוע הוראת התשלום.

הקובץ מכיל פרטי תשלום. אם תוקפים ישנו את המידע על תשלומים יוצאים, ההעברה תישלח באמצעות פרטים כוזבים לחשבונות התוקפים.

כחודש לאחר שביקשנו את הקבצים הללו משרת הפיקוד והבקרה, ראינו תוסף חדש, 1c_2_kl.dll, שהוטען על המערכת שנפרצה. המודול (DLL) נועד לנתח אוטומטית את קובץ ההורדה על ידי חדירת תהליכי תוכנת הנהלת החשבונות. נתאר זאת בפירוט בסעיפים הבאים.

מעניין לציין כי FinCERT מבנק רוסיה בסוף 2016 פרסמה עלון אזהרה לגבי פושעי סייבר המשתמשים בקבצי העלאה של 1c_to_kl.txt. מפתחים מ-1C יודעים גם על תוכנית זו; הם כבר הצהירו רשמית ורשמו אמצעי זהירות.

מודולים אחרים נטענו גם משרת הפקודות, במיוחד VNC (גרסאות 32 ו-64 סיביות שלו). זה דומה למודול VNC ששימש בעבר בהתקפות טרויאניות של Dridex. מודול זה משמש כביכול לחיבור מרחוק למחשב נגוע ולערוך מחקר מפורט של המערכת. בשלב הבא, התוקפים מנסים לנוע ברשת, לחלץ סיסמאות משתמש, לאסוף מידע ולהבטיח נוכחות מתמדת של תוכנות זדוניות.

2. וקטורים של זיהום

האיור הבא מציג את וקטורי ההדבקה שזוהו במהלך תקופת המחקר של הקמפיין. הקבוצה משתמשת במגוון רחב של וקטורים, אך בעיקר התקפות הורדות מונעות ודואר זבל. כלים אלו נוחים להתקפות ממוקדות, שכן במקרה הראשון, התוקפים יכולים לבחור אתרים אליהם מגיעים קורבנות פוטנציאליים, ובשני, הם יכולים לשלוח מייל עם קבצים מצורפים ישירות לעובדי החברה הרצויים.

התוכנה הזדונית מופצת בערוצים רבים, כולל ערכות ניצול RIG ו-Sundown או דיוור דואר זבל, המצביע על קשרים בין התוקפים לבין תוקפי סייבר אחרים המציעים שירותים אלה.

2.1. איך RTM ו- Buhtrap קשורים?

קמפיין RTM דומה מאוד ל-Buhtrap. השאלה הטבעית היא: איך הם קשורים זה לזה?

בספטמבר 2016, ראינו דגימת RTM מופצת באמצעות מעלה Buhtrap. בנוסף, מצאנו שני תעודות דיגיטליות בשימוש הן ב-Buhtrap והן ב-RTM.

הראשון, שלכאורה הונפק לחברת DNISTER-M, שימש לחתימה דיגיטלית על הטופס השני של דלפי (SHA-1: 025C718BA31E43DB1B87DC13F94A61A9338C11CE) ועל ה-DLL של Buhtrap (SHA-1: 1E2642B454FBA2D889E6B41116C83C6C2C4890CXNUMXCXNUMXCXNUMXCXNUMXCXNUMXCXNUMXD XNUMX).

השני, שהונפק ל-Bit-Tredj, שימש לחתימה על מעמיסי Buhtrap (SHA-1: 7C1B6B1713BD923FC243DFEC80002FE9B93EB292 ו-B74F71560E48488D2153AE2FB51207A0), כמו גם הורדה ורכיבים של RTM.

מפעילי RTM משתמשים באישורים המשותפים למשפחות תוכנות זדוניות אחרות, אך יש להם גם אישור ייחודי. לפי הטלמטריה של ESET, הוא הונפק ל-Kit-SD ושימשה רק כדי לחתום על כמה תוכנות זדוניות מסוג RTM (SHA-1: 42A4B04446A20993DDAE98B2BE6D5A797376D4B6).

RTM משתמש באותו מטעין כמו Buhtrap, רכיבי RTM נטענים מתשתית Buhtrap, כך שלקבוצות יש מחווני רשת דומים. עם זאת, על פי ההערכות שלנו, RTM ו-Buhtrap הן קבוצות שונות, לפחות מכיוון ש-RTM מופץ בדרכים שונות (לא רק באמצעות הורדה "זר").

למרות זאת, קבוצות האקרים משתמשות בעקרונות פעולה דומים. הם מכוונים לעסקים המשתמשים בתוכנת הנהלת חשבונות, באופן דומה אוספים מידע מערכתי, מחפשים קוראי כרטיסים חכמים ופורסים מערך של כלים זדוניים כדי לרגל אחר קורבנות.

3. אבולוציה

בחלק זה, נבחן את הגרסאות השונות של תוכנות זדוניות שנמצאו במהלך המחקר.

3.1. גירסאות

RTM מאחסן נתוני תצורה במקטע רישום, החלק המעניין ביותר הוא הקידומת של botnet. רשימה של כל הערכים שראינו בדגימות שלמדנו מוצגת בטבלה למטה.

ייתכן שניתן להשתמש בערכים כדי להקליט גרסאות תוכנות זדוניות. עם זאת, לא שמנו לב להבדל רב בין גרסאות כמו bit2 ו-bit3, 0.1.6.4 ו-0.1.6.6. יתרה מכך, אחת הקידומות קיימת מאז ההתחלה והתפתחה מתחום C&C טיפוסי לדומיין .bit, כפי שיוצג להלן.

3.2. לוח זמנים

באמצעות נתוני טלמטריה, יצרנו גרף של התרחשות דגימות.

4. ניתוח טכני

בסעיף זה, נתאר את הפונקציות העיקריות של הטרויאני הבנקאי RTM, כולל מנגנוני התנגדות, גרסה משלו של אלגוריתם RC4, פרוטוקול רשת, פונקציונליות ריגול ועוד כמה תכונות. בפרט, נתמקד בדגימות SHA-1 AA0FA4584768CE9E16D67D8C529233E99FF1BBF0 ו-48BC113EC8BA20B8B80CD5D4DA92051A19D1032B.

4.1. התקנה ושמירה

4.1.1. יישום

ליבת ה-RTM היא DLL, הספרייה נטענת לדיסק באמצעות EXE. קובץ ההפעלה בדרך כלל ארוז ומכיל קוד DLL. לאחר ההשקה, הוא מחלץ את ה-DLL ומפעיל אותו באמצעות הפקודה הבאה:

rundll32.exe “%PROGRAMDATA%Winlogonwinlogon.lnk”,DllGetClassObject host

4.1.2. DLL

ה-DLL הראשי תמיד נטען לדיסק בתור winlogon.lnk בתיקייה %PROGRAMDATA%Winlogon. סיומת קובץ זו משויכת בדרך כלל לקיצור דרך, אך הקובץ הוא למעשה DLL שנכתב ב- Delphi, בשם core.dll על ידי המפתח, כפי שמוצג בתמונה למטה.

Пример названия DLL F4C746696B0F5BB565D445EC49DD912993DE6361

לאחר ההשקה, הטרויאני מפעיל את מנגנון ההתנגדות שלו. ניתן לעשות זאת בשתי דרכים שונות, בהתאם להרשאות הקורבן במערכת. אם יש לך זכויות מנהל, הטרויאני מוסיף ערך Windows Update לרישום HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun. הפקודות הכלולות ב-Windows Update יפעלו בתחילת ההפעלה של המשתמש.

HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunWindows Update [REG_SZ] = rundll32.exe "%PROGRAMDATA%winlogon.lnk", מארח DllGetClassObject

הטרויאני גם מנסה להוסיף משימה למתזמן המשימות של Windows. המשימה תפעיל את ה-DLL winlogon.lnk עם אותם פרמטרים כמו לעיל. זכויות משתמש רגילות מאפשרות לסוס הטרויאני להוסיף ערך Windows Update עם אותם נתונים לרישום HKCUSoftwareMicrosoftWindowsCurrentVersionRun:

rundll32.exe “%PROGRAMDATA%winlogon.lnk”,DllGetClassObject host

4.2. אלגוריתם RC4 שונה

למרות החסרונות הידועים שלו, אלגוריתם RC4 נמצא בשימוש קבוע על ידי מחברי תוכנות זדוניות. עם זאת, יוצרי RTM שינו אותו מעט, כנראה כדי להקשות על המשימה של מנתחי וירוסים. גרסה שונה של RC4 נמצאת בשימוש נרחב בכלי RTM זדוניים להצפנת מחרוזות, נתוני רשת, תצורה ומודולים.

4.2.1. הבדלים

האלגוריתם המקורי של RC4 כולל שני שלבים: אתחול s-block (aka KSA - Key-Scheduling Algorithm) ויצירת רצף פסאודו אקראי (PRGA - Pseudo-Random Generation Algorithm). השלב הראשון כולל אתחול ה-s-box באמצעות המפתח, ובשלב השני עיבוד טקסט המקור באמצעות ה-s-box להצפנה.

מחברי ה-RTM הוסיפו שלב ביניים בין אתחול s-box להצפנה. המפתח הנוסף הוא משתנה ומוגדר במקביל לנתונים להצפנה ולפענוח. הפונקציה שמבצעת את השלב הנוסף הזה מוצגת באיור שלהלן.

4.2.2. הצפנת מחרוזת

במבט ראשון, ישנן מספר שורות קריאות ב-DLL הראשי. השאר מוצפנים באמצעות האלגוריתם שתואר לעיל, שמבנהו מוצג באיור הבא. מצאנו יותר מ-25 מפתחות RC4 שונים להצפנת מחרוזת בדגימות המנותחות. מקש XOR שונה עבור כל שורה. הערך של השדות המספריים המפרידים בין השורות הוא תמיד 0xFFFFFFFF.

בתחילת הביצוע, RTM מפענח את המחרוזות למשתנה גלובלי. כאשר יש צורך לגשת למחרוזת, הטרויאני מחשב באופן דינמי את הכתובת של המחרוזות המפוענחות בהתבסס על כתובת הבסיס והקיזוז.

המחרוזות מכילות מידע מעניין על פונקציות התוכנה הזדונית. כמה מחרוזות לדוגמה מסופקות בסעיף 6.8.

4.3. רשת

האופן שבו תוכנות זדוניות של RTM מתקשרות עם שרת C&C משתנה מגרסה לגרסה. השינויים הראשונים (אוקטובר 2015 - אפריל 2016) השתמשו בשמות דומיין מסורתיים יחד עם הזנת RSS באתר livejournal.com כדי לעדכן את רשימת הפקודות.

מאז אפריל 2016, ראינו מעבר לדומיינים .bit בנתוני טלמטריה. זה מאושר לפי תאריך רישום הדומיין - דומיין ה-RTM הראשון fde05d0573da.bit נרשם ב-13 במרץ 2016.

לכל כתובות האתרים שראינו בזמן ניטור הקמפיין היה נתיב משותף: /r/z.php. זה די יוצא דופן וזה יעזור לזהות בקשות RTM בזרימות רשת.

4.3.1. ערוץ לפקודות ובקרה

דוגמאות מדור קודם השתמשו בערוץ זה כדי לעדכן את רשימת שרתי הפיקוד והבקרה שלהם. האירוח נמצא בכתובת livejournal.com, בזמן כתיבת הדוח הוא נשאר בכתובת ה-URL hxxp://f72bba81c921(.)livejournal(.)com/data/rss.

Livejournal היא חברה רוסית-אמריקאית המספקת פלטפורמת בלוגים. מפעילי RTM יוצרים בלוג LJ בו הם מפרסמים מאמר עם פקודות מקודדות - ראה צילום מסך.

קווי פקודה ובקרה מקודדים באמצעות אלגוריתם RC4 שונה (סעיף 4.2). הגרסה הנוכחית (נובמבר 2016) של הערוץ מכילה את הכתובות הבאות של שרת פקודות ובקרה:

• hxxp://cainmoon(.)net/r/z.php
• hxxp://rtm(.)dev/0-3/z.php
• hxxp://vpntap(.)top/r/z.php

4.3.2. דומיינים .bit

בדגימות ה-RTM האחרונות, מחברים מתחברים לדומיינים של C&C באמצעות הדומיין ברמה העליונה של ‎.bit TLD. זה לא ברשימת ICANN (שם דומיין ואינטרנט Corporation) של דומיינים ברמה העליונה. במקום זאת, היא משתמשת במערכת Namecoin, הבנויה על גבי טכנולוגיית הביטקוין. מחברי תוכנות זדוניות לא מרבים להשתמש ב-.bit TLD עבור הדומיינים שלהם, אם כי דוגמה לשימוש כזה נצפתה בעבר בגרסה של Necurs botnet.

בניגוד לביטקוין, למשתמשים במסד הנתונים המבוזר Namecoin יש את היכולת לשמור נתונים. היישום העיקרי של תכונה זו הוא דומיין .bit ברמה העליונה. ניתן לרשום דומיינים שיישמרו במסד נתונים מבוזר. הערכים המתאימים במסד הנתונים מכילים כתובות IP שנפתרו על ידי הדומיין. TLD זה "עמיד לצנזורה" מכיוון שרק הרושם יכול לשנות את הרזולוציה של דומיין .bit. המשמעות היא שהרבה יותר קשה לעצור דומיין זדוני באמצעות TLD מסוג זה.

הטרויאני RTM אינו מטמיע את התוכנה הדרושה לקריאת מסד הנתונים המבוזר של Namecoin. הוא משתמש בשרתי DNS מרכזיים כגון dns.dot-bit.org או שרתי OpenNic כדי לפתור דומיינים של .bit. לכן, יש לו אותה עמידות כמו שרתי DNS. ראינו שחלק מהדומיינים של הצוות לא זוהו עוד לאחר שהוזכרו בפוסט בבלוג.

יתרון נוסף של ה-.bit TLD עבור האקרים הוא העלות. כדי לרשום דומיין, המפעילים צריכים לשלם רק 0,01 NK, המתאים ל-$0,00185 (נכון ל-5 בדצמבר 2016). לשם השוואה, domain.com עולה לפחות $10.

4.3.3. נוהל

כדי לתקשר עם שרת הפקודה והבקרה, RTM משתמש בבקשות HTTP POST עם נתונים המעוצבים באמצעות פרוטוקול מותאם אישית. ערך הנתיב הוא תמיד /r/z.php; סוכן משתמש Mozilla/5.0 (תואם; MSIE 9.0; Windows NT 6.1; Trident/5.0). בבקשות לשרת, הנתונים מעוצבים באופן הבא, כאשר ערכי ההיסט מתבטאים בבייטים:

בתים 0 עד 6 אינם מקודדים; בתים החל מ-6 מקודדים באמצעות אלגוריתם RC4 שונה. המבנה של חבילת התגובה של C&C פשוט יותר. בתים מקודדים מ-4 עד גודל מנות.

רשימת ערכי בייט פעולה אפשריים מוצגת בטבלה שלהלן:

התוכנה הזדונית תמיד מחשבת את ה-CRC32 של הנתונים המפוענחים ומשווה אותו למה שקיים בחבילה. אם הם שונים, הטרויאני מפיל את החבילה.
הנתונים הנוספים עשויים להכיל אובייקטים שונים, כולל קובץ PE, קובץ לחיפוש במערכת הקבצים, או כתובות URL חדשות של פקודות.

4.3.4. לוּחַ

שמנו לב ש-RTM משתמש בפאנל בשרתי C&C. צילום מסך למטה:

4.4. סימן אופייני

RTM הוא טרויאני בנקאי טיפוסי. אין זה מפתיע שמפעילים רוצים מידע על המערכת של הקורבן. מצד אחד, הבוט אוסף מידע כללי על מערכת ההפעלה. מצד שני, הוא מגלה האם המערכת שנפגעה מכילה תכונות הקשורות למערכות בנקאות מרוחקות ברוסיה.

4.4.1. מידע כללי

כאשר תוכנה זדונית מותקנת או מופעלת לאחר אתחול מחדש, נשלח דוח לשרת הפיקוד והבקרה המכיל מידע כללי כולל:

• אזור זמן;
• שפת מערכת ברירת מחדל;
• אישורי משתמש מורשים;
• רמת שלמות התהליך;
• שם משתמש;
• שם המחשב;
• גרסת מערכת ההפעלה;
• מודולים מותקנים נוספים;
• תוכנת אנטי וירוס מותקנת;
• רשימה של קוראי כרטיסים חכמים.

4.4.2 מערכת בנקאות מרוחקת

יעד טרויאני טיפוסי הוא מערכת בנקאות מרוחקת, ו-RTM אינו יוצא דופן. אחד מהמודולים של התוכנית נקרא TBdo, המבצע משימות שונות, כולל סריקת דיסקים והיסטוריית גלישה.

על ידי סריקת הדיסק, הטרויאני בודק אם תוכנת בנקאות מותקנת במחשב. הרשימה המלאה של תוכניות היעד נמצאת בטבלה שלהלן. לאחר שזיהתה קובץ עניין, התוכנית שולחת מידע לשרת הפקודות. הפעולות הבאות תלויות בלוגיקה שצוינה על ידי אלגוריתמי מרכז הפיקוד (C&C).

RTM מחפש גם דפוסי כתובות אתרים בהיסטוריית הדפדפן שלך וכרטיסיות פתוחות. בנוסף, התוכנית בוחנת את השימוש בפונקציות FindNextUrlCacheEntryA ו- FindFirstUrlCacheEntryA, וכן בודקת כל ערך כדי להתאים את כתובת האתר לאחת מהתבניות הבאות:

לאחר שזיהה כרטיסיות פתוחות, הטרויאני יוצר קשר עם Internet Explorer או Firefox באמצעות מנגנון חילופי הנתונים הדינמיים (DDE) כדי לבדוק אם הכרטיסייה תואמת את הדפוס.

בדיקת היסטוריית הגלישה והכרטיסיות הפתוחות שלך מתבצעת בלולאת WHILE (לולאה עם תנאי מוקדם) עם הפסקה של שנייה אחת בין הבדיקות. נתונים נוספים המנוטרים בזמן אמת יידונו בסעיף 1.

אם נמצא דפוס, התוכנית מדווחת על כך לשרת הפקודות באמצעות רשימה של מחרוזות מהטבלה הבאה:

4.5 ניטור

בזמן שהטרויאני פועל, נשלח מידע על המאפיינים האופייניים של המערכת הנגועה (כולל מידע על נוכחות תוכנות בנקאות) לשרת הפיקוד והבקרה. טביעת אצבע מתרחשת כאשר RTM מפעיל לראשונה את מערכת הניטור מיד לאחר סריקת מערכת ההפעלה הראשונית.

4.5.1. בנקאות מרחוק

מודול TBdo אחראי גם על ניטור תהליכים הקשורים לבנקאות. הוא משתמש בחילופי נתונים דינמיים כדי לבדוק כרטיסיות ב-Firefox וב-Internet Explorer במהלך הסריקה הראשונית. מודול TShell נוסף משמש לניטור חלונות פקודות (Internet Explorer או סייר הקבצים).

המודול משתמש בממשקי ה-COM IShellWindows, iWebBrowser, DWebBrowserEvents2 ו-IConnectionPointContainer כדי לנטר חלונות. כאשר משתמש מנווט לדף אינטרנט חדש, התוכנה הזדונית מציינת זאת. לאחר מכן, הוא משווה את כתובת האתר של הדף עם הדפוסים שלמעלה. לאחר שזיהה התאמה, הטרויאני לוקח שישה צילומי מסך רצופים במרווח של 5 שניות ושולח אותם לשרת הפקודות C&S. התוכנית גם בודקת כמה שמות חלונות הקשורים לתוכנת בנקאות - הרשימה המלאה להלן:

4.5.2. כרטיס חכם

RTM מאפשר לך לנטר קוראי כרטיסים חכמים המחוברים למחשבים נגועים. מכשירים אלה משמשים במדינות מסוימות כדי ליישב הוראות תשלום. אם סוג זה של מכשיר מחובר למחשב, זה יכול להעיד לסוס טרויאני שהמכשיר משמש לעסקאות בנקאיות.

שלא כמו סוסים טרויאניים בנקאיים אחרים, RTM לא יכול לקיים אינטראקציה עם כרטיסים חכמים כאלה. אולי הפונקציונליות הזו כלולה במודול נוסף שעדיין לא ראינו.

4.5.3. Keylogger

חלק חשוב בניטור מחשב נגוע הוא לכידת הקשות. נראה שלמפתחי ה-RTM לא חסר מידע, מכיוון שהם מפקחים לא רק על מקשים רגילים, אלא גם על המקלדת הווירטואלית והלוח.

לשם כך, השתמש בפונקציה SetWindowsHookExA. התוקפים רושמים את המקשים שנלחצו או את המקשים המתאימים למקלדת הווירטואלית, יחד עם השם והתאריך של התוכנית. לאחר מכן, המאגר נשלח לשרת הפקודות C&C.

הפונקציה SetClipboardViewer משמשת ליירט את הלוח. האקרים רושמים את התוכן של הלוח כאשר הנתונים הם טקסט. השם והתאריך נרשמים גם לפני שהמאגר נשלח לשרת.

4.5.4. צילומי מסך

פונקציית RTM נוספת היא יירוט צילום מסך. התכונה מיושמת כאשר מודול ניטור החלונות מזהה אתר או תוכנה בנקאית לעניין. צילומי מסך נלקחים באמצעות ספריית תמונות גרפיות ומועברים לשרת הפקודות.

4.6. הסרת התקנה

שרת C&C יכול למנוע מהתוכנה הזדונית לפעול ולנקות את המחשב שלך. הפקודה מאפשרת לך לנקות קבצים וערכי רישום שנוצרו בזמן ש-RTM פועל. לאחר מכן נעשה שימוש ב-DLL כדי להסיר את התוכנה הזדונית ואת קובץ winlogon, ולאחר מכן הפקודה מכבה את המחשב. כפי שמוצג בתמונה למטה, ה-DLL מוסר על ידי מפתחים המשתמשים ב-erase.dll.

השרת יכול לשלוח לטרויאני פקודה הרסנית של הסרת התקנה-נעילת. במקרה זה, אם יש לך זכויות מנהל, RTM תמחק את סקטור האתחול של MBR בכונן הקשיח. אם זה נכשל, הטרויאני ינסה להעביר את סקטור האתחול של MBR למגזר אקראי - ואז המחשב לא יוכל לאתחל את מערכת ההפעלה לאחר הכיבוי. זה יכול להוביל להתקנה מחדש מלאה של מערכת ההפעלה, כלומר השמדת ראיות.

ללא הרשאות מנהל, התוכנה הזדונית כותבת .EXE מקודד ב-RTM DLL הבסיסי. קובץ ההפעלה מפעיל את הקוד הדרוש כדי לכבות את המחשב ורושם את המודול במפתח הרישום HKCUCurrentVersionRun. בכל פעם שהמשתמש מתחיל הפעלה, המחשב נכבה מיד.

4.7. קובץ התצורה

כברירת מחדל, ל-RTM אין כמעט קובץ תצורה, אך שרת הפקודה והבקרה יכול לשלוח ערכי תצורה שיישמרו ברישום וישמשו את התוכנית. רשימת מפתחות התצורה מוצגת בטבלה שלהלן:

התצורה מאוחסנת במפתח הרישום של Software[מחרוזת פסאודו אקראית]. כל ערך מתאים לאחת מהשורות המוצגות בטבלה הקודמת. ערכים ונתונים מקודדים באמצעות אלגוריתם RC4 ב-RTM.

לנתונים יש מבנה זהה לרשת או מחרוזות. מפתח XOR של ארבעה בתים מתווסף בתחילת הנתונים המקודדים. עבור ערכי תצורה, מפתח XOR שונה ותלוי בגודל הערך. ניתן לחשב זאת באופן הבא:

xor_key = (len(config_value) << 24) | (len(config_value) << 16)
| len(config_value)| (len(config_value) << 8)

4.8. תכונות אחרות

לאחר מכן, בואו נסתכל על פונקציות אחרות בהן RTM תומך.

4.8.1. מודולים נוספים

הטרויאני כולל מודולים נוספים, שהם קבצי DLL. ניתן להפעיל מודולים שנשלחים משרת הפקודות C&C כתוכנות חיצוניות, להשתקף ב-RAM ולהשיק בשרשורים חדשים. לאחסון, מודולים נשמרים בקבצי .dtt ומקודדים באמצעות אלגוריתם RC4 עם אותו מפתח המשמש לתקשורת רשת.

עד כה צפינו בהתקנה של מודול ה-VNC (8966319882494077C21F66A8354E2CBCA0370464), מודול חילוץ הנתונים של הדפדפן (03DE8622BE6B2F75A364A275995C3411626C4K9C1D) ו-2EF1C562c1c69 C6FBA58 B88753BE7D0B3E4CFAB).

כדי לטעון את מודול VNC, שרת C&C מוציא פקודה המבקשת חיבורים לשרת VNC בכתובת IP ספציפית ביציאה 44443. תוסף אחזור הנתונים של הדפדפן מפעיל את TBrowserDataCollector, שיכול לקרוא היסטוריית גלישה ב-IE. לאחר מכן הוא שולח את הרשימה המלאה של כתובות האתרים בהן ביקרו אל שרת הפקודות C&C.

המודול האחרון שהתגלה נקרא 1c_2_kl. זה יכול ליצור אינטראקציה עם חבילת התוכנה 1C Enterprise. המודול כולל שני חלקים: החלק העיקרי - DLL ושני סוכנים (32 ו-64 ביט), אשר יוזרקו לכל תהליך, תוך רישום כריכה ל-WH_CBT. לאחר שהוצג לתהליך 1C, המודול קושר את הפונקציות CreateFile ו-WriteFile. בכל פעם שנקראת הפונקציה CreateFile bound, המודול מאחסן את נתיב הקובץ 1c_to_kl.txt בזיכרון. לאחר יירוט הקריאה WriteFile, הוא קורא לפונקציה WriteFile ושולח את נתיב הקובץ 1c_to_kl.txt למודול ה-DLL הראשי, ומעביר לו את הודעת Windows WM_COPYDATA המעוצבת.

מודול ה-DLL הראשי נפתח ומנתח את הקובץ כדי לקבוע צווי תשלום. הוא מזהה את הסכום ומספר העסקה הכלולים בקובץ. מידע זה נשלח לשרת הפקודות. אנו מאמינים שמודול זה נמצא בשלבי פיתוח מכיוון שהוא מכיל הודעת ניפוי באגים ואינו יכול לשנות באופן אוטומטי את 1c_to_kl.txt.

4.8.2. הסלמה של הרשאות

RTM עשוי לנסות להסלים את ההרשאות על ידי הצגת הודעות שגיאה כוזבות. התוכנה הזדונית מדמה בדיקת רישום (ראה תמונה למטה) או משתמשת בסמל עורך רישום אמיתי. שימו לב לשגיאת כתיב המתנה - מה. לאחר מספר שניות של סריקה, התוכנית מציגה הודעת שגיאה שקרית.

הודעה שקרית תטעה בקלות את המשתמש הממוצע, למרות שגיאות דקדוקיות. אם המשתמש ילחץ על אחד משני הקישורים, RTM ינסה להסלים את ההרשאות שלו במערכת.

לאחר בחירת אחת משתי אפשרויות שחזור, הטרויאני מפעיל את ה-DLL באמצעות אפשרות runas בפונקציה ShellExecute עם הרשאות מנהל. המשתמש יראה הנחיה אמיתית של Windows (ראה תמונה למטה) לגובה. אם המשתמש נותן את ההרשאות הדרושות, הטרויאני יפעל עם הרשאות מנהל.

בהתאם לשפת ברירת המחדל המותקנת במערכת, הטרויאני מציג הודעות שגיאה ברוסית או באנגלית.

4.8.3. תְעוּדָה

RTM יכול להוסיף אישורים לחנות Windows ולאשר את מהימנות התוספת על ידי לחיצה אוטומטית על כפתור "כן" בתיבת הדו-שיח csrss.exe. התנהגות זו אינה חדשה; לדוגמה, הבנק הטרויאני Retefe גם מאשר באופן עצמאי התקנת תעודה חדשה.

4.8.4. חיבור הפוך

מחברי RTM יצרו גם את מנהרת Backconnect TCP. עדיין לא ראינו את התכונה בשימוש, אבל היא נועדה לנטר מרחוק מחשבים נגועים.

4.8.5. ניהול קבצי מארח

שרת C&C יכול לשלוח פקודה לסוס הטרויאני כדי לשנות את קובץ המארח של Windows. קובץ המארח משמש ליצירת רזולוציות DNS מותאמות אישית.

4.8.6. מצא ושלח קובץ

השרת עשוי לבקש לחפש ולהוריד קובץ במערכת הנגועה. לדוגמה, במהלך המחקר קיבלנו בקשה לקובץ 1c_to_kl.txt. כפי שתואר קודם לכן, קובץ זה נוצר על ידי מערכת החשבונות 1C: Enterprise 8.

4.8.7. עדכון

לבסוף, מחברי RTM יכולים לעדכן את התוכנה על ידי שליחת DLL חדש שיחליף את הגרסה הנוכחית.

5. מסקנה

המחקר של RTM מראה שמערכת הבנקאות הרוסית עדיין מושכת תוקפי סייבר. קבוצות כמו Buhtrap, Corkow ו-Carbanak מצליחות לגנוב כסף ממוסדות פיננסיים ומלקוחותיהם ברוסיה. RTM הוא שחקן חדש בענף זה.

כלי RTM זדוניים נמצאים בשימוש לפחות מסוף 2015, על פי הטלמטריה של ESET. לתוכנית מגוון שלם של יכולות ריגול, כולל קריאת כרטיסים חכמים, יירוט הקשות וניטור עסקאות בנקאיות, כמו גם חיפוש קבצי תעבורה 1C: Enterprise 8.

השימוש בדומיין ברמה העליונה של .bit מבוזר ולא מצונזר מבטיח תשתית עמידה ביותר.

מקור: www.habr.com