הרפתקאות התוכנה הזדונית החמקמקה, חלק א'

עם מאמר זה אנו מתחילים סדרה של פרסומים על תוכנות זדוניות חמקמקות. תוכנות פריצה חסרות קבצים, הידועות גם בתור תוכנות פריצה חסרות קבצים, משתמשות בדרך כלל ב-PowerShell במערכות Windows כדי להפעיל פקודות בשקט כדי לחפש ולחלץ תוכן בעל ערך. זיהוי פעילות האקרים ללא קבצים זדוניים הוא משימה קשה, מכיוון... אנטי וירוסים ומערכות זיהוי רבות אחרות פועלות על בסיס ניתוח חתימות. אבל החדשות הטובות הן שתוכנה כזו אכן קיימת. לדוגמה, מערכות UBA, המסוגל לזהות פעילות זדונית במערכות קבצים.

כשהתחלתי לחקור את הנושא של האקרים רעים, לא משתמש בשיטות מסורתיות של זיהום, אלא רק את הכלים והתוכנות הזמינים במחשב של הקורבן, לא היה לי מושג שזו תהפוך בקרוב לשיטת התקפה פופולרית. אנשי אבטחה הם אומריםשזה הופך לטרנד, ו כותרות כתבות מפחידות - אישור לכך. לכן, החלטתי לעשות סדרה של פרסומים בנושא זה.

PowerShell הגדול והעוצמתי

כתבתי על כמה מהרעיונות האלה בעבר סדרת הערפול של PowerShell, אבל יותר מבוסס על מושג תיאורטי. מאוחר יותר נתקלתי אתר לניתוח היברידי, שבו אתה יכול למצוא דוגמאות של תוכנות זדוניות "שנתפסו" בטבע. החלטתי לנסות להשתמש באתר זה כדי למצוא דוגמאות של תוכנות זדוניות ללא קבצים. והצלחתי. אגב, אם אתה רוצה לצאת למסע ציד תוכנות זדוניות משלך, תצטרך לעבור אימות על ידי אתר זה כדי שידעו שאתה עושה את העבודה כמומחה כובע לבן. כבלוגר אבטחה עברתי אותו ללא עוררין. אני בטוח שגם אתה יכול.

בנוסף לדוגמאות עצמן, באתר תוכלו לראות מה עושות התוכנות הללו. ניתוח היברידי מריץ תוכנות זדוניות בארגז החול שלו ומנטר שיחות מערכת, תהליכים הפעלה ופעילות רשת, ומחלץ מחרוזות טקסט חשודות. עבור קבצים בינאריים וקבצי הפעלה אחרים, כלומר. איפה שאתה אפילו לא יכול להסתכל על הקוד הממשי ברמה גבוהה, ניתוח היברידי מחליט אם התוכנה זדונית או סתם חשודה בהתבסס על פעילות זמן הריצה שלה. ואחרי זה המדגם כבר מוערך.

במקרה של PowerShell וסקריפטים לדוגמה אחרים (Visual Basic, JavaScript וכו'), הצלחתי לראות את הקוד עצמו. לדוגמה, נתקלתי במופע PowerShell הזה:

אתה יכול גם להפעיל את PowerShell בקידוד base64 כדי למנוע זיהוי. שים לב לשימוש בפרמטרים לא אינטראקטיביים ונסתרים.

אם קראת את הפוסטים שלי בנושא ערפול, אז אתה יודע שהאפשרות -e מציינת שהתוכן מקודד base64. אגב, גם ניתוח היברידי עוזר בזה על ידי פענוח הכל בחזרה. אם אתה רוצה לנסות לפענח את base64 PowerShell (להלן PS) בעצמך, עליך להפעיל את הפקודה הזו:

 [System.Text.Encoding]::Unicode.GetString([System.Convert]::FromBase64String($EncodedText))

לך עמוק יותר

פיענחתי את סקריפט ה-PS שלנו בשיטה זו, להלן הטקסט של התוכנית, אם כי שונה מעט על ידי:

שימו לב שהסקריפט נקשר לתאריך 4 בספטמבר 2017 ושידר קובצי Cookie של הפעלה.

כתבתי על סגנון ההתקפה הזה ב סדרת ערפול נ.ב, שבו הסקריפט המקודד base64 עצמו נטען חָסֵר תוכנות זדוניות מאתר אחר, תוך שימוש באובייקט WebClient של ספריית .Net Framework כדי לבצע את המשימות הכבדות.

מה זה עושה?

עבור תוכנת אבטחה הסורקת יומני אירועים או חומות אש של Windows, קידוד base64 מונע את זיהוי המחרוזת "WebClient" על ידי דפוס טקסט רגיל כדי להגן מפני ביצוע בקשת אינטרנט כזו. ומכיוון שכל ה"רוע" של התוכנה הזדונית יורדת ומועברת ל-PowerShell שלנו, גישה זו מאפשרת לנו להתחמק לחלוטין מגילוי. או יותר נכון, זה מה שחשבתי בהתחלה.

מסתבר שעם Windows PowerShell Advanced Logging מופעל (ראה מאמר שלי), תוכל לראות את השורה הטעונה ביומן האירועים. אני אוהב ואחרים ) אני חושב שמיקרוסופט צריכה לאפשר רמת רישום זו כברירת מחדל. לכן, כאשר רישום מורחב מופעל, נראה ביומן האירועים של Windows בקשת הורדה שהושלמה מסקריפט PS לפי הדוגמה שדיברנו עליה למעלה. לכן, הגיוני להפעיל אותו, אתה לא מסכים?

בואו נוסיף תרחישים נוספים

האקרים מסתירים בחוכמה את התקפות PowerShell בפקודות מאקרו של Microsoft Office שנכתבו ב-Visual Basic ושפות סקריפטים אחרות. הרעיון הוא שהנפגע מקבל הודעה, למשל משירות משלוחים, עם דוח מצורף בפורמט doc. אתה פותח את המסמך הזה שמכיל את המאקרו, והוא בסופו של דבר משיק את PowerShell הזדוני עצמו.

לעתים קרובות הסקריפט של Visual Basic עצמו מעורפל כך שהוא מתחמק בחופשיות מסורקי אנטי-וירוס ותוכנות זדוניות אחרות. ברוח האמור לעיל, החלטתי לקודד את ה-PowerShell הנ"ל ב-JavaScript כתרגיל. להלן תוצאות עבודתי:

JavaScript מעורפל מסתיר את PowerShell שלנו. האקרים אמיתיים עושים זאת פעם או פעמיים.

זוהי טכניקה נוספת שראיתי מרחפת ברחבי האינטרנט: שימוש ב-Wscript.Shell כדי להפעיל PowerShell מקודד. אגב, JavaScript עצמו כן אומר מסירה של תוכנות זדוניות. גרסאות רבות של Windows כוללות מובנה מארח סקריפט Windows, שבעצמו יכול להריץ את JS.
במקרה שלנו, סקריפט JS הזדוני מוטבע כקובץ עם סיומת .doc.js. Windows בדרך כלל יציג רק את הסיומת הראשונה, כך שהיא תראה לקורבן כמסמך Word.

סמל JS מופיע רק בסמל הגלילה. זה לא מפתיע שאנשים רבים יפתחו את הקובץ המצורף הזה במחשבה שזה מסמך וורד.

בדוגמה שלי, שיניתי את PowerShell למעלה כדי להוריד את הסקריפט מהאתר שלי. הסקריפט המרוחק של PS פשוט מדפיס "Evil Malware". כפי שאתה יכול לראות, הוא לא רשע בכלל. כמובן שהאקרים אמיתיים מעוניינים לקבל גישה למחשב נייד או לשרת, למשל, דרך מעטפת פקודה. במאמר הבא, אני אראה לך כיצד לעשות זאת באמצעות PowerShell Empire.

אני מקווה שלמאמר המבוא הראשון לא צללנו יותר מדי לעומק הנושא. עכשיו אתן לכם לקחת נשימה, ובפעם הבאה נתחיל להסתכל על דוגמאות אמיתיות של התקפות באמצעות תוכנות זדוניות ללא קבצים ללא כל מילות היכרות או הכנה מיותרות.

מקור: www.habr.com