Duqu - בובת קינון זדונית

מבוא

ב-1 בספטמבר 2011, קובץ בשם ~DN1.tmp נשלח לאתר VirusTotal מהונגריה. באותו זמן, הקובץ זוהה כזדוני על ידי שני מנועי אנטי-וירוס בלבד - BitDefender ו-AVIRA. כך התחיל הסיפור של דוקו. במבט קדימה, יש לומר שמשפחת התוכנות הזדוניות Duqu נקראה על שם הקובץ הזה. עם זאת, קובץ זה הוא מודול תוכנת ריגול עצמאי לחלוטין עם פונקציות Keylogger, המותקן, ככל הנראה, באמצעות הורדה זדונית, והוא יכול להיחשב רק כ"עומס" שנטען על ידי תוכנת הזדונית Duqu במהלך פעולתה, ולא כרכיב ( מודול) של Duqu . אחד ממרכיבי Duqu נשלח לשירות Virustotal רק ב-9 בספטמבר. המאפיין הייחודי שלו הוא דרייבר חתום דיגיטלית על ידי C-Media. כמה מומחים החלו מיד לצייר אנלוגיות עם דוגמה מפורסמת נוספת של תוכנות זדוניות - Stuxnet, שגם השתמשה בדרייברים חתומים. המספר הכולל של מחשבים נגועים ב-Duqu שזוהו על ידי חברות אנטי-וירוס שונות ברחבי העולם עומד על עשרות. חברות רבות טוענות שאיראן היא שוב היעד המרכזי, אך אם לשפוט לפי הפיזור הגיאוגרפי של הזיהומים, לא ניתן לומר זאת בוודאות.

במקרה זה, אתה צריך לדבר בביטחון רק על חברה אחרת עם מילה חדשה APT (איום מתמיד מתקדם).

הליך הטמעת המערכת

חקירה שנערכה על ידי מומחים מהארגון ההונגרי CrySyS (מעבדה הונגרית לקריפטוגרפיה ואבטחת מערכת באוניברסיטת בודפשט לטכנולוגיה וכלכלה) הובילה לגילוי המתקין (הטפטפת) שדרכו נדבקה המערכת. זה היה קובץ Microsoft Word עם ניצול של פגיעות מנהל ההתקן win32k.sys (MS11-087, שתואר על ידי Microsoft ב-13 בנובמבר 2011), שאחראי למנגנון עיבוד גופני TTF. קוד המעטפת של הניצול משתמש בגופן בשם 'Dexter Regular' המוטבע במסמך, כאשר Showtime Inc. כפי שאתה יכול לראות, היוצרים של Duqu אינם זרים לחוש הומור: דקסטר הוא רוצח סדרתי, גיבור סדרת הטלוויזיה בעלת אותו השם, בהפקת Showtime. דקסטר הורג רק (אם אפשר) פושעים, כלומר הוא עובר על החוק בשם החוקיות. כנראה, בדרך זו, מפתחי Duqu הם אירוניים שהם עוסקים בפעילויות לא חוקיות למטרות טובות. שליחת מיילים נעשתה בכוונה. סביר להניח שהמשלוח השתמש במחשבים שנפרצו (פרוץ) כמתווך כדי להקשות על המעקב.
מסמך Word הכיל אפוא את הרכיבים הבאים:

• תוכן טקסט;
• גופן מובנה;
• ניצול קוד מעטפת;
• נהג;
• מתקין (ספריית DLL).

אם הצליח, ה-exploit shellcode ביצע את הפעולות הבאות (במצב ליבה):

• בוצעה בדיקה לזיהום מחדש; לשם כך נבדקה נוכחות המפתח 'CF4D' ברישום בכתובת 'HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionInternet SettingsZones1'; אם זה היה נכון, קוד המעטפת השלים את ביצועו;
• שני קבצים פוענחו - מנהל ההתקן (sys) ומתקין ההתקנה (dll);
• מנהל ההתקן הוחדר לתהליך services.exe והפעיל את המתקין;
• לבסוף, קוד המעטפת מחק את עצמו עם אפסים בזיכרון.

בשל העובדה ש-win32k.sys מבוצע תחת המשתמש המועדף 'System', מפתחי Duqu פתרו באלגנטיות את הבעיה של השקה לא מורשית והסלמה של זכויות (ריצה תחת חשבון משתמש עם זכויות מוגבלות).
לאחר קבלת שליטה, המתקין פענח שלושה בלוקים של נתונים הכלולים בו בזיכרון, המכילים:

• נהג חתום (sys);
• מודול ראשי (dll);
• נתוני תצורת המתקין (pnf).

טווח תאריכים צוין בנתוני תצורת המתקין (בצורה של שתי חותמות זמן - התחלה וסיום). המתקין בדק האם התאריך הנוכחי נכלל בו, ואם לא, הוא השלים את ביצועו. כמו כן בנתוני תצורת המתקין היו השמות שתחתיהם נשמרו מנהל ההתקן והמודול הראשי. במקרה זה, המודול הראשי נשמר בדיסק בצורה מוצפנת.

כדי להפעיל אוטומטית את Duqu, נוצר שירות באמצעות קובץ דרייבר שפענח את המודול הראשי תוך כדי שימוש במפתחות המאוחסנים ברישום. המודול הראשי מכיל בלוק נתוני תצורה משלו. כשהושק לראשונה, הוא פוענח, הוזן בו תאריך ההתקנה, ולאחר מכן הוא הוצפן שוב ונשמר על ידי המודול הראשי. לפיכך, במערכת המושפעת, לאחר ההתקנה המוצלחת, נשמרו שלושה קבצים - מנהל ההתקן, המודול הראשי וקובץ נתוני התצורה שלו, בעוד ששני הקבצים האחרונים נשמרו בדיסק בצורה מוצפנת. כל הליכי הפענוח בוצעו רק בזיכרון. הליך התקנה מורכב זה שימש כדי למזער את האפשרות של זיהוי על ידי תוכנת אנטי וירוס.

המודול הראשי

מודול ראשי (משאב 302), לפי מידע חברת Kaspersky Lab, שנכתבה באמצעות MSVC 2008 ב-C טהור, אך תוך שימוש בגישה מונחה עצמים. גישה זו אינה אופיינית בעת פיתוח קוד זדוני. ככלל, קוד כזה נכתב ב-C כדי להקטין את הגודל ולהיפטר מהקריאות המרומזות הגלומות ב-C++. יש כאן סימביוזה מסוימת. בנוסף, נעשה שימוש בארכיטקטורה מונעת אירועים. עובדי מעבדת קספרסקי נוטים לתיאוריה שהמודול הראשי נכתב באמצעות תוסף טרום-מעבד המאפשר לכתוב קוד C בסגנון אובייקט.
המודול הראשי אחראי על הליך קבלת פקודות ממפעילים. Duqu מספקת מספר שיטות אינטראקציה: שימוש בפרוטוקולי HTTP ו-HTTPS, כמו גם שימוש בצינורות בעלי שם. עבור HTTP(S), צוינו שמות מתחם של מרכזי פיקוד, וסופקה יכולת עבודה דרך שרת פרוקסי - צוינו עבורם שם משתמש וסיסמה. כתובת ה-IP ושמה מצוינים עבור הערוץ. הנתונים שצוינו מאוחסנים בבלוק הנתונים של תצורת המודול הראשי (בצורה מוצפנת).
כדי להשתמש בצינורות בעלי שם, השקנו יישום שרת RPC משלנו. הוא תמך בשבע הפונקציות הבאות:

• להחזיר את הגרסה המותקנת;
• הזרקת dll לתהליך שצוין וקרא לפונקציה שצוינה;
• טען dll;
• התחל תהליך על ידי קריאת CreateProcess();
• לקרוא את התוכן של קובץ נתון;
• לכתוב נתונים לקובץ שצוין;
• למחוק את הקובץ שצוין.

ניתן להשתמש בצינורות בעלי שם בתוך רשת מקומית כדי להפיץ מודולים מעודכנים ונתוני תצורה בין מחשבים הנגועים ב-Duqu. בנוסף, Duqu יכול לשמש כשרת פרוקסי עבור מחשבים נגועים אחרים (שלא הייתה להם גישה לאינטרנט עקב הגדרות חומת האש בשער). לחלק מהגרסאות של Duqu לא הייתה פונקציונליות RPC.

"עומסים" ידועים

סימנטק גילתה לפחות ארבעה סוגים של מטענים שהורדו בפיקוד ממרכז הבקרה של Duqu.
יתרה מכך, רק אחד מהם היה תושב והודר כקובץ הפעלה (exe), שנשמר בדיסק. שלושת הנותרים יושמו כספריות dll. הם נטענו בצורה דינמית ובוצעו בזיכרון מבלי להישמר בדיסק.

ה"מטען" של התושבים היה מודול ריגול (מזין) עם פונקציות Keylogger. על ידי שליחתו ל-VirusTotal החלה העבודה על מחקר Duqu. פונקציונליות הריגול העיקרית הייתה במשאב, ש-8 קילובייטים הראשונים שלו הכילו חלק מתצלום של הגלקסיה NGC 6745 (להסוואה). יש לזכור כאן כי באפריל 2012, חלק מהתקשורת פרסמה מידע (http://www.mehrnews.com/en/newsdetail.aspx?NewsID=1297506) לפיו איראן נחשפה לכמה תוכנות זדוניות "כוכבים", בעוד פרטים של האירוע לא נחשף. אולי זה היה בדיוק מדגם כזה של "מטען" Duqu שהתגלה אז באיראן, ומכאן השם "כוכבים".
מודול הריגול אסף את המידע הבא:

• רשימה של תהליכים פועלים, מידע על המשתמש והדומיין הנוכחי;
• רשימה של כוננים לוגיים, כולל כונני רשת;
• צילומי מסך;
• כתובות ממשק רשת, טבלאות ניתוב;
• קובץ יומן של הקשות במקלדת;
• שמות של חלונות יישומים פתוחים;
• רשימה של משאבי רשת זמינים (שיתוף משאבים);
• רשימה מלאה של קבצים בכל הדיסקים, כולל נשלפים;
• רשימה של מחשבים ב"סביבת הרשת".

מודול ריגול נוסף (מזין) היה וריאציה של מה שכבר תואר, אבל הידור כספריית dll; הפונקציות של keylogger, הידור של רשימת קבצים ורישום מחשבים הכלולים בדומיין הוסרו ממנו.
המודול הבא (סיור) מידע מערכת שנאסף:

• האם המחשב הוא חלק מתחום;
• נתיבים לספריות מערכת של Windows;
• גרסת מערכת ההפעלה;
• שם משתמש נוכחי;
• רשימה של מתאמי רשת;
• מערכת וזמן מקומי, כמו גם אזור זמן.

מודול אחרון (מאריך תוחלת חיים) הטמיעו פונקציה להגדלת הערך (המאוחסן בקובץ נתוני התצורה של המודול הראשי) של מספר הימים שנותרו עד להשלמת העבודה. כברירת מחדל, ערך זה הוגדר ל-30 או 36 ימים בהתאם לשינוי Duqu, וירד באחד בכל יום.

מרכזי פיקוד

ב-20 באוקטובר 2011 (שלושה ימים לאחר הפצת המידע על התגלית), ביצעו מפעילי דוקו נוהל להשמדת עקבות תפקודם של מרכזי הפיקוד. מרכזי פיקוד היו ממוקמים על שרתים פרוצים ברחבי העולם - בוייטנאם, הודו, גרמניה, סינגפור, שוויץ, בריטניה, הולנד ודרום קוריאה. מעניין לציין שכל השרתים שזוהו הפעילו את גרסאות CentOS 5.2, 5.4 או 5.5. מערכת ההפעלה היו גם 32 סיביות וגם 64 סיביות. למרות העובדה שכל הקבצים הקשורים לתפעול מרכזי הפיקוד נמחקו, מומחי מעבדת קספרסקי הצליחו לשחזר חלק מהמידע מקובצי LOG משטח רפוי. העובדה המעניינת ביותר היא שתוקפים בשרתים תמיד החליפו את חבילת ברירת המחדל של OpenSSH 4.3 בגרסה 5.8. זה עשוי להצביע על פגיעות לא ידועה ב-OpenSSH 4.3 שימשה לפריצת שרתים. לא כל המערכות שימשו כמרכזי פיקוד. חלקם, אם לשפוט לפי השגיאות ביומני ה-sshd בעת ניסיון להפנות תעבורה עבור יציאות 80 ו-443, שימשו כשרת פרוקסי לחיבור למרכזי הפיקוד הקצה.

תאריכים ומודולים

מסמך Word שהופץ באפריל 2011, אשר נבדק על ידי מעבדת קספרסקי, הכיל מנהל התקן להורדה של מתקין עם תאריך הידור של 31 באוגוסט 2007. מנהל התקן דומה (גודל - 20608 בתים, MD5 - EEDCA45BD613E0D9A9E5C69122007F17) במסמך שנמצא במעבדות CrySys היה בעל תאריך אוסף של 21 בפברואר 2008. בנוסף, מומחי מעבדת קספרסקי מצאו את מנהל ההתקן האוטומטי rndismpc.sys (גודל - 19968 בתים, MD5 - 9AEC6E10C5EE9C05BED93221544C783E) עם התאריך 20 בינואר 2008. לא נמצאו רכיבים שסומנו 2009. בהתבסס על חותמות הזמן של הידור של חלקים בודדים של Duqu, הפיתוח שלו עשוי להיות בתחילת 2007. הביטוי המוקדם ביותר שלו קשור לאיתור קבצים זמניים מהסוג ~DO (ככל הנראה נוצר על ידי אחד ממודולי תוכנות הריגול), שתאריך היצירה שלהם הוא 28 בנובמבר 2008 (מאמר "Duqu & Stuxnet: ציר זמן של אירועים מעניינים"). התאריך האחרון הקשור ל-Duqu היה 23 בפברואר 2012, הכלול במנהל התקן הורדה של מתקין שהתגלה על ידי Symantec במרץ 2012.

מקורות מידע משומשים:

סדרת מאמרים על Duqu ממעבדת קספרסקי;
דו"ח אנליטי של סימנטק "W32.Duqu המבשר ל-Stuxnet הבא", גרסה 1.4, נובמבר 2011 (pdf).

מקור: www.habr.com