OceanLotus: עדכון תוכנה זדונית עבור macOS

במרץ 2019, דגימה חדשה של תוכנות זדוניות ב-macOS מקבוצת הסייבר OceanLotus הועלתה ל-VirusTotal, שירות סריקה מקוון פופולרי. לקובץ ההפעלה של הדלת האחורית יש אותן יכולות כמו הגרסה הקודמת של תוכנת הזדונית של macOS שחקרנו, אך המבנה שלו השתנה והוא הפך קשה יותר לזיהוי. למרבה הצער, לא הצלחנו למצוא טפטפת הקשורה לדגימה זו, ולכן איננו יודעים עדיין את וקטור הזיהום.

לאחרונה פרסמנו פוסט על OceanLotus וכיצד מפעילים מנסים לספק התמדה, להאיץ את ביצוע הקוד ולמזער את טביעת הרגל במערכות Windows. כמו כן, ידוע שלקבוצת סייבר זו יש גם רכיב עבור macOS. פוסט זה מפרט את השינויים בגרסה החדשה ביותר של התוכנה הזדונית עבור macOS בהשוואה לגרסה הקודמת (מתואר על ידי Trend Micro), וכן מתאר כיצד ניתן להפוך את פענוח המחרוזות לאוטומטי במהלך הניתוח באמצעות IDA Hex-Rays API.

ניתוח של

שלושת החלקים הבאים מתארים את הניתוח של דגימה עם Hash SHA-1 E615632C9998E4D3E5ACD8851864ED09B02C77D2. הקובץ נקרא מואר בפנס, מוצרי אנטי-וירוס של ESET מזהים אותו כ-OSX/OceanLotus.D.

נגד איתור באגים והגנה על ארגז חול

כמו כל הקבצים הבינאריים של macOS OceanLotus, הדוגמה ארוזה עם UPX, אך רוב כלי הזיהוי של החבילה לא מזהים אותה ככזו. זה כנראה בגלל שהם מכילים בעיקר חתימה התלויה בנוכחות מחרוזת "UPX", בנוסף, חתימות Mach-O פחות נפוצות ואינן מתעדכנות באותה תדירות. תכונה זו מקשה על זיהוי סטטי. מעניין שאחרי הפריקה, נקודת הכניסה נמצאת בתחילת הקטע __cfstring בקטע .TEXT. לקטע זה יש תכונות דגל כפי שמוצג בתמונה למטה.

איור 1. תכונות מקטע MACH-O __cfstring

כפי שמוצג באיור 2, מיקומי הקוד בסעיף __cfstring מאפשר לך להערים על כמה כלי פירוק על ידי הצגת קוד כמחרוזות.

איור 2. קוד דלת אחורית שזוהה על ידי IDA כנתונים

לאחר הביצוע, הבינארי יוצר שרשור כאנטי באגים שמטרתו היחידה היא לבדוק ללא הרף את נוכחותו של מאתר באגים. עבור זרימה זו:

- מנסה לשחרר כל ניפוי באגים, מתקשר ptrace с PT_DENY_ATTACH כפרמטר בקשה
- בודק אם כמה יציאות בלעדיות פתוחות על ידי קריאה לפונקציה task_get_exception_ports
- בודק אם מאתר הבאגים מחובר, כפי שמוצג באיור למטה, על ידי בדיקת נוכחות הדגל P_TRACED בתהליך הנוכחי

איור 3. בדיקת חיבור באגים באמצעות הפונקציה sysctl

אם כלב השמירה מזהה נוכחות של מאתר באגים, הפונקציה נקראת exit. בנוסף, הדוגמה בודקת את הסביבה על ידי הפעלת שתי פקודות:

ioreg -l | grep -e "Manufacturer" и sysctl hw.model

לאחר מכן, המדגם בודק את ערך ההחזרה מול רשימה מקודדת של מחרוזות ממערכות וירטואליזציה ידועות: אקל, VMware, VirtualBox או מקבילות. לבסוף, הפקודה הבאה בודקת אם המכשיר הוא אחד מה-"MBP", "MBA", "MB", "MM", "IM", "MP" ו-"XS" הבאים. אלו הם קודי דגמי מערכת, לדוגמה, "MBP" פירושו MacBook Pro, "MBA" פירושו MacBook Air וכו'.

system_profiler SPHardwareDataType 2>/dev/null | awk '/Boot ROM Version/ {split($0, line, ":");printf("%s", line[2]);}

תוספות עיקריות

אמנם פקודות הדלת האחורית לא השתנו מאז המחקר של Trend Micro, אבל הבחנו בכמה שינויים אחרים. שרתי ה-C&C המשמשים בדוגמה זו הם חדשים למדי והם נוצרו ב-22.10.2018/XNUMX/XNUMX.

- daff.faybilodeau[.]com
- sarc.onteagleroad[.]com
- au.charlineopkesston[.]com

כתובת האתר של המשאב השתנתה ל /dp/B074WC4NHW/ref=gbps_img_m-9_62c3_750e6b35.
החבילה הראשונה שנשלחה לשרת C&C מכילה מידע נוסף על המחשב המארח, כולל כל הנתונים שנאספו על ידי הפקודות בטבלה למטה.

בנוסף לשינוי תצורה זה, המדגם אינו משתמש בספריה לסינון רשת libcurl, אלא ספרייה חיצונית. כדי למצוא אותו, הדלת האחורית מנסה לפענח כל קובץ בספרייה הנוכחית באמצעות AES-256-CBC עם המפתח gFjMXBgyXWULmVVVzyxy, מרופד באפסים. כל קובץ מפוענח ונשמר בשם /tmp/store, וניסיון לטעון אותו כספרייה נעשה באמצעות הפונקציה דלופן. כאשר ניסיון פענוח מביא לשיחה מוצלחת dlopen, הדלת האחורית מחלצת פונקציות מיוצאות Boriry и ChadylonV, אשר ככל הנראה אחראים לתקשורת הרשת עם השרת. אין לנו את הטפטפת או קבצים אחרים מהמיקום המקורי של הדוגמה, אז אנחנו לא יכולים לנתח את הספרייה הזו. יתרה מכך, מכיוון שהרכיב מוצפן, כלל YARA המבוסס על מחרוזות אלו לא יתאים לקובץ שנמצא בדיסק.

כפי שתואר במאמר לעיל, זה יוצר מזהה לקוח. מזהה זה הוא ה-hash MD5 של ערך ההחזרה של אחת מהפקודות הבאות:

- ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformSerialNumber/ { split($0, line, """); printf("%s", line[4]); }'
- ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformUUID/ { split($0, line, """); printf("%s", line[4]); }'
- ifconfig en0 | awk '/ether /{print $2}' (קבל כתובת MAC)
- צוות לא ידוע ("x1ex72x0a"), שבו נעשה שימוש בדוגמאות קודמות

לפני הגיבוב, "0" או "1" מתווסף לערך ההחזרה כדי לציין הרשאות שורש. זֶה לקוח אוחסן ב /Library/Storage/File System/HFS/25cf5d02-e50b-4288-870a-528d56c3cf6e/pivtoken.appex, אם הקוד מופעל כ-root או ב-~/Library/SmartCardsServices/Technology/PlugIns/drivers/snippets.ecgML בכל שאר המקרים. הקובץ מוסתר בדרך כלל באמצעות הפונקציה _chflags, חותמת הזמן שלו משתנה באמצעות הפקודה touch –t עם ערך אקראי.

פענוח מחרוזות

כמו באפשרויות קודמות, המחרוזות מוצפנות באמצעות AES-256-CBC (מפתח הקסדצימלי: 9D7274AD7BCEF0DED29BDBB428C251DF8B350B92 מרופד באפסים, ו-IV ממולא באפסים) דרך הפונקציה CCCcrypt. המפתח השתנה מגרסאות קודמות, אך מכיוון שהקבוצה עדיין משתמשת באותו אלגוריתם הצפנת מחרוזת, ניתן לבצע פענוח אוטומטי. בנוסף לפוסט הזה, אנו משחררים סקריפט IDA שמשתמש ב-Hex-Rays API כדי לפענח את המחרוזות הקיימות בקובץ הבינארי. סקריפט זה עשוי לסייע בניתוח עתידי של OceanLotus וניתוח דגימות קיימות שטרם הצלחנו להשיג. הסקריפט מבוסס על שיטה אוניברסלית לקבלת ארגומנטים המועברים לפונקציה. בנוסף, הוא מחפש הקצאות פרמטרים. ניתן לעשות שימוש חוזר בשיטה כדי לקבל רשימה של ארגומנטים של פונקציה ולאחר מכן להעביר אותה ל-callback.

הכרת אב הטיפוס של הפונקציה לפענח, הסקריפט מוצא את כל ההפניות לפונקציה זו, את כל הארגומנטים, ואז מפענח את הנתונים ומציב טקסט רגיל בתוך הערה בכתובת ההפניה. כדי שהסקריפט יעבוד נכון, יש להגדיר אותו לאלפבית המותאם אישית המשמש את פונקציית הפענוח base64, ויש להגדיר משתנה גלובלי המכיל את אורך המפתח (במקרה זה DWORD, ראה איור 4).

איור 4. הגדרת המשתנה הגלובלי key_len

בחלון הפונקציה, אתה יכול ללחוץ לחיצה ימנית על פונקציית הפענוח וללחוץ על "חלץ ופענח ארגומנטים". הסקריפט צריך למקם את השורות המפוענחות בהערות, כפי שמוצג באיור 5.

איור 5. הטקסט המפוענח ממוקם בהערות

כך המחרוזות המפוענחות ממוקמות בנוחות יחד בחלון IDA xrefs עבור פונקציה זו כפי שמוצג באיור 6.

איור 6. Xrefs לפונקציה f_decrypt

את התסריט הסופי ניתן למצוא ב מאגר Github.

פלט

כפי שכבר הוזכר, OceanLotus משפר ומעדכן כל הזמן את ערכת הכלים שלה. הפעם, קבוצת הסייבר שיפרה את התוכנה הזדונית כך שתעבוד עם משתמשי מק. הקוד לא השתנה הרבה, אבל מכיוון שמשתמשי Mac רבים מתעלמים ממוצרי אבטחה, הגנה על תוכנות זדוניות מפני זיהוי היא בעלת חשיבות משנית.

מוצרי ESET כבר זיהו את הקובץ הזה בזמן המחקר. מכיוון שספריית הרשת המשמשת לתקשורת C&C מוצפנת כעת בדיסק, פרוטוקול הרשת המדויק בו השתמש התוקפים אינו ידוע עדיין.

אינדיקטורים של פשרה

אינדיקטורים של פשרה כמו גם תכונות MITER ATT&CK זמינים גם ב GitHub.

מקור: www.habr.com