תוקפים משתמשים בתוכנה זדונית מורכבת כדי לתקוף עסקים רוסיים

מאז סוף השנה שעברה, התחלנו לעקוב אחר קמפיין זדוני חדש להפצת סוס טרויאני בנקאי. התוקפים התמקדו בפגיעה בחברות רוסיות, כלומר במשתמשים ארגוניים. הקמפיין הזדוני היה פעיל במשך שנה לפחות, ובנוסף לסוס הטרויאני הבנקאי, התוקפים פנו להשתמש בכלי תוכנה שונים אחרים. אלה כוללים מעמיס מיוחד ארוז באמצעות NSIS, ותוכנות ריגול, אשר מחופשות לתוכנת Yandex Punto הלגיטימית הידועה. לאחר שהתוקפים הצליחו לסכן את המחשב של הקורבן, הם מתקינים דלת אחורית ולאחר מכן טרויאני בנקאי.

עבור תוכנות זדוניות שלהם, התוקפים השתמשו במספר אישורים דיגיטליים תקפים (באותה עת) ובשיטות מיוחדות כדי לעקוף מוצרי AV. הקמפיין הזדוני כוון למספר רב של בנקים רוסים ומעניין במיוחד מכיוון שהתוקפים השתמשו בשיטות המשמשות לעתים קרובות בהתקפות ממוקדות, כלומר התקפות שאינן מונעות אך ורק על ידי הונאה פיננסית. אנו יכולים לציין כמה קווי דמיון בין הקמפיין הזדוני הזה לבין אירוע גדול שזכה לפרסום רב קודם לכן. אנחנו מדברים על קבוצת פושעי סייבר שהשתמשה בטרויאני בנקאי אנונק/קרבאנק.

התוקפים התקינו תוכנות זדוניות רק באותם מחשבים שהשתמשו בשפה הרוסית ב-Windows (לוקליזציה) כברירת מחדל. וקטור ההפצה העיקרי של הטרויאני היה מסמך וורד עם ניצול. CVE-2012-0158, שנשלח כקובץ מצורף למסמך. צילומי המסך שלהלן מציגים את המראה של מסמכים מזויפים כאלה. המסמך הראשון נושא את הכותרת "חשבונית מס' 522375-FLORL-14-115.doc", והשני "kontrakt87.doc", הוא העתק של החוזה למתן שירותי טלקומוניקציה על ידי מפעילת הסלולר מגפון.

אורז. 1. מסמך דיוג.

אורז. 2. שינוי נוסף של מסמך ההתחזות.

העובדות הבאות מצביעות על כך שהתוקפים כוונו לעסקים רוסיים:

• הפצת תוכנות זדוניות באמצעות מסמכים מזויפים בנושא שצוין;
• הטקטיקות של התוקפים והכלים הזדוניים שהם משתמשים בהם;
• קישורים ליישומים עסקיים בחלק ממודולי ההפעלה;
• שמות של דומיינים זדוניים שהיו בשימוש במסע פרסום זה.

כלי תוכנה מיוחדים שתוקפים מתקינים על מערכת שנפגעה מאפשרים להם להשיג שליטה מרחוק על המערכת ולנטר את פעילות המשתמש. כדי לבצע את הפונקציות הללו, הם מתקינים דלת אחורית וגם מנסים להשיג את סיסמת חשבון Windows או ליצור חשבון חדש. התוקפים נעזרים גם בשירותים של keylogger (keylogger), גנב לוח של Windows ותוכנה מיוחדת לעבודה עם כרטיסים חכמים. קבוצה זו ניסתה לסכן מחשבים אחרים שהיו באותה רשת מקומית כמו המחשב של הקורבן.

מערכת הטלמטריה ESET LiveGrid שלנו, המאפשרת לנו לעקוב במהירות אחר סטטיסטיקות הפצת תוכנות זדוניות, סיפקה לנו נתונים סטטיסטיים גיאוגרפיים מעניינים על הפצת תוכנות זדוניות בהן השתמשו התוקפים בקמפיין שהוזכר.

אורז. 3. נתונים סטטיסטיים על ההפצה הגיאוגרפית של תוכנות זדוניות בשימוש בקמפיין זדוני זה.

התקנת תוכנות זדוניות

לאחר שמשתמש יפתח מסמך זדוני עם ניצול במערכת פגיעה, הורדה מיוחדת ארוזה באמצעות NSIS תוריד ויופעל שם. בתחילת עבודתה, התוכנית בודקת את סביבת Windows עבור נוכחותם של מאפי באגים שם או פועלת בהקשר של מכונה וירטואלית. זה גם בודק את הלוקליזציה של Windows והאם המשתמש ביקר בכתובות ה-URL המפורטות למטה בטבלה בדפדפן. לשם כך משתמשים בממשקי API FindFirst/NextUrlCacheEntry ומפתח הרישום של SoftwareMicrosoftInternet ExplorerTypedURLs.

טוען האתחול בודק את נוכחותם של היישומים הבאים במערכת.

רשימת התהליכים באמת מרשימה, וכפי שאתה יכול לראות, היא כוללת לא רק יישומים בנקאיים. לדוגמה, קובץ הפעלה בשם "scardsvr.exe" מתייחס לתוכנה לעבודה עם כרטיסים חכמים (קורא כרטיסים חכמים של Microsoft). הטרויאני הבנקאי עצמו כולל את היכולת לעבוד עם כרטיסים חכמים.

אורז. 4. תרשים כללי של תהליך התקנת תוכנות זדוניות.

אם כל הבדיקות הושלמו בהצלחה, הטוען מוריד קובץ מיוחד (ארכיון) מהשרת המרוחק, המכיל את כל מודולי ההפעלה הזדוניים שבהם משתמשים התוקפים. מעניין לציין כי בהתאם לביצוע הבדיקות לעיל, הארכיונים שהורדו משרת C&C המרוחק עשויים להיות שונים. הארכיון עשוי להיות זדוני או לא. אם אינו זדוני, הוא מתקין את סרגל הכלים של Windows Live עבור המשתמש. ככל הנראה, התוקפים נקטו בתחבולות דומות כדי להונות מערכות ניתוח קבצים אוטומטיות ומכונות וירטואליות בהן מבוצעים קבצים חשודים.

הקובץ שהורד על ידי הורדת NSIS הוא ארכיון 7z המכיל מודולים שונים של תוכנות זדוניות. התמונה למטה מציגה את כל תהליך ההתקנה של תוכנה זדונית זו והמודולים השונים שלה.

אורז. 5. סכמה כללית של אופן הפעולה של תוכנות זדוניות.

למרות שהמודולים הטעונים משרתים מטרות שונות עבור התוקפים, הם ארוזים בצורה זהה ורבים מהם נחתמו עם אישורים דיגיטליים תקפים. מצאנו ארבע תעודות כאלה שהתוקפים השתמשו בהן כבר מתחילת המערכה. בעקבות תלונתנו בוטלו האישורים הללו. מעניין לציין שכל התעודות הונפקו לחברות הרשומות במוסקבה.

אורז. 6. אישור דיגיטלי ששימש לחתימה על התוכנה הזדונית.

הטבלה הבאה מזהה את האישורים הדיגיטליים שבהם השתמשו התוקפים במסע פרסום זדוני זה.

כמעט לכל המודולים הזדוניים שבהם משתמשים תוקפים יש הליך התקנה זהה. הם ארכיוני 7zip לחילוץ עצמי המוגנים באמצעות סיסמה.

אורז. 7. קטע של קובץ האצווה install.cmd.

קובץ ה-.cmd האצווה אחראי להתקנת תוכנות זדוניות במערכת והשקת כלי תוקפים שונים. אם הביצוע דורש זכויות ניהול חסרות, הקוד הזדוני משתמש במספר שיטות כדי להשיג אותן (עקיפת UAC). כדי ליישם את השיטה הראשונה, נעשה שימוש בשני קבצי הפעלה הנקראים l1.exe ו-cc1.exe, המתמחים בעקיפת UAC באמצעות דלף קודי מקור של Carberp. שיטה נוספת מבוססת על ניצול הפגיעות של CVE-2013-3660. כל מודול תוכנה זדונית הדורש הסלמה של הרשאות מכיל גם גרסת 32 סיביות וגם גרסת 64 סיביות של הניצול.

תוך כדי מעקב אחר מסע פרסום זה, ניתחנו מספר ארכיונים שהועלו על ידי הורדת ההורדה. התוכן של הארכיונים היה מגוון, כלומר התוקפים יכולים להתאים מודולים זדוניים למטרות שונות.

פשרה של המשתמש

כפי שהזכרנו לעיל, תוקפים משתמשים בכלים מיוחדים כדי לסכן את מחשבי המשתמשים. כלים אלה כוללים תוכניות עם שמות קבצים ברי הפעלה mimi.exe ו-xtm.exe. הם עוזרים לתוקפים להשתלט על המחשב של הקורבן ומתמחים בביצוע המשימות הבאות: השגת/שחזור סיסמאות לחשבונות Windows, הפעלת שירות RDP, יצירת חשבון חדש במערכת ההפעלה.

קובץ ההפעלה mimi.exe כולל גרסה שונה של כלי קוד פתוח ידוע מימיקץ. כלי זה מאפשר לך להשיג סיסמאות לחשבון משתמש של Windows. התוקפים הסירו את החלק ממימיקץ שאחראי לאינטראקציה עם המשתמש. קוד ההפעלה שונה גם כך שבעת ההשקה, Mimikatz פועל עם הפקודות privilege::debug ו-sekurlsa:logonPasswords.

קובץ הפעלה נוסף, xtm.exe, משיק סקריפטים מיוחדים המאפשרים את שירות RDP במערכת, מנסים ליצור חשבון חדש במערכת ההפעלה וגם לשנות את הגדרות המערכת כדי לאפשר למספר משתמשים להתחבר במקביל למחשב שנפגע באמצעות RDP. ברור שצעדים אלה נחוצים כדי להשיג שליטה מלאה במערכת שנפגעה.

אורז. 8. פקודות המבוצעות על ידי xtm.exe במערכת.

תוקפים משתמשים בקובץ הפעלה אחר בשם impack.exe, המשמש להתקנת תוכנות מיוחדות על המערכת. תוכנה זו נקראת LiteManager ומשמשת את התוקפים כדלת אחורית.

אורז. 9. ממשק LiteManager.

לאחר ההתקנה על מערכת של משתמש, LiteManager מאפשר לתוקפים להתחבר ישירות למערכת זו ולשלוט בה מרחוק. לתוכנה זו יש פרמטרים מיוחדים של שורת פקודה עבור ההתקנה הנסתרת שלה, יצירת חוקי חומת אש מיוחדים והשקת המודול שלה. כל הפרמטרים משמשים תוקפים.

המודול האחרון של חבילת התוקפים המשמשת את התוקפים הוא תוכנת תוכנה זדונית בנקאית (בנקאי) עם שם קובץ ההפעלה pn_pack.exe. היא מתמחה בריגול אחר המשתמש ואחראית על האינטראקציה עם שרת ה-C&C. הבנקאי מושק באמצעות תוכנת Yandex Punto לגיטימית. Punto משמש תוקפים כדי להפעיל ספריות DLL זדוניות (שיטת DLL Side-Loading). התוכנה הזדונית עצמה יכולה לבצע את הפונקציות הבאות:

• לעקוב אחר הקשות המקלדת ותוכן הלוח לשידורן לאחר מכן לשרת מרוחק;
• רשום את כל הכרטיסים החכמים הקיימים במערכת;
• אינטראקציה עם שרת C&C מרוחק.

מודול התוכנה הזדונית, שאחראי על ביצוע כל המשימות הללו, היא ספריית DLL מוצפנת. הוא מפוענח ונטען לזיכרון במהלך ביצוע פונטו. כדי לבצע את המשימות לעיל, קוד ההפעלה של DLL מתחיל שלושה שרשורים.

העובדה שהתוקפים בחרו בתוכנת פונטו למטרותיהם אינה מפתיעה: חלק מהפורומים הרוסיים מספקים בגלוי מידע מפורט על נושאים כמו שימוש בפגמים בתוכנה לגיטימית כדי לסכן משתמשים.

הספרייה הזדונית משתמשת באלגוריתם RC4 כדי להצפין את המחרוזות שלה, כמו גם במהלך אינטראקציות רשת עם שרת C&C. הוא יוצר קשר עם השרת כל שתי דקות ומשדר לשם את כל הנתונים שנאספו על המערכת שנפרצה בפרק זמן זה.

אורז. 10. שבר של אינטראקציה ברשת בין הבוט לשרת.

להלן כמה מהוראות שרת C&C שהספרייה יכולה לקבל.

בתגובה לקבלת הוראות משרת C&C, התוכנה הזדונית מגיבה עם קוד סטטוס. מעניין לציין שכל מודולי הבנקאים שניתחנו (האחרון ביותר עם תאריך קומפילציה של 18 בינואר) מכילים את המחרוזת "TEST_BOTNET", הנשלחת בכל הודעה לשרת C&C.

מסקנה

כדי לסכן משתמשים ארגוניים, תוקפים בשלב הראשון מתפשרים על עובד אחד של החברה על ידי שליחת הודעת פישינג עם ניצול. לאחר מכן, לאחר התקנת התוכנה הזדונית על המערכת, הם ישתמשו בכלי תוכנה שיעזרו להם להרחיב משמעותית את סמכותם על המערכת ולבצע עליה משימות נוספות: להתפשר על מחשבים אחרים ברשת הארגונית ולרגל אחרי המשתמש, וכן העסקאות הבנקאיות שהוא מבצע.

מקור: www.habr.com