Keylogger עם הפתעה: ניתוח של ה-keylogger והדיקן של המפתח שלו

בשנים האחרונות, סוסים טרויאניים ניידים מחליפים באופן פעיל את הסוסים הטרויאניים למחשבים אישיים, כך שההופעה של תוכנות זדוניות חדשות עבור "המכוניות" הישנות והטובות והשימוש הפעיל בהן על ידי פושעי סייבר, למרות שאינה נעימה, היא עדיין אירוע. לאחרונה, מרכז התגובה לאירועי אבטחת מידע XNUMX/XNUMX של CERT Group-IB זיהה הודעת דיוג חריגה שהסתירה תוכנה זדונית חדשה למחשב המשלבת את הפונקציות של Keylogger ו- PasswordStealer. תשומת לב האנליסטים הופנתה לאופן שבו תוכנת הריגול הגיעה למכשיר של המשתמש - באמצעות שליח קולי פופולרי. איליה פומרנצב, מומחה לניתוח תוכנות זדוניות ב-CERT Group-IB, הסביר כיצד פועלת התוכנה הזדונית, מדוע היא מסוכנת, ואף מצאה את היוצר שלה בעיראק הרחוקה.

אז בוא נלך לפי הסדר. במסווה של קובץ מצורף, מכתב כזה הכיל תמונה, בלחיצה עליה הועבר המשתמש לאתר cdn.discordapp.com, ומשם הורד קובץ זדוני.

השימוש ב-Discord, שליח קול וטקסט חינמי, הוא די לא שגרתי. בדרך כלל משתמשים במסרים מיידיים אחרים או ברשתות חברתיות למטרות אלו.

במהלך ניתוח מפורט יותר, זוהתה משפחה של תוכנות זדוניות. התברר שזה עולה חדש לשוק התוכנה הזדונית - 404 Keylogger.

הפרסומת הראשונה למכירת keylogger פורסמה ב- פורומים של האצה על ידי משתמש תחת הכינוי "404 Coder" ב-8 באוגוסט.

דומיין החנות נרשם ממש לאחרונה - ב-7 בספטמבר 2019.

כפי שאומרים המפתחים באתר 404projects[.]xyz, 404 הוא כלי שנועד לעזור לחברות ללמוד על פעילות הלקוחות שלהן (ברשותם) או למי שרוצה להגן על הבינארי שלהם מהנדסה הפוכה. במבט קדימה, נניח את זה עם המשימה האחרונה 404 בהחלט לא מתמודד.

החלטנו להפוך את אחד הקבצים ולבדוק מה זה "BEST SMART KEYLOGGER".

מערכת אקולוגית של תוכנות זדוניות

מטעין 1 (AtillaCrypter)

קובץ המקור מוגן באמצעות EaxObfuscator ומבצע טעינה דו-שלבית AtProtect מתוך סעיף המשאבים. במהלך ניתוח דגימות אחרות שנמצאו ב-VirusTotal, התברר שהשלב הזה לא סופק על ידי המפתח עצמו, אלא הוסף על ידי הלקוח שלו. מאוחר יותר נקבע שמטען האתחול הזה הוא AtillaCrypter.

Bootloader 2 (AtProtect)

למעשה, מטעין זה הוא חלק בלתי נפרד מהתוכנה הזדונית, ולפי כוונת המפתח, צריך לקחת על עצמו את הפונקציונליות של ניתוח נגד.

עם זאת, בפועל, מנגנוני ההגנה הם פרימיטיביים ביותר, והמערכות שלנו מזהות בהצלחה את התוכנה הזדונית הזו.

המודול הראשי נטען באמצעות Franchy ShellCode גרסאות שונות. עם זאת, איננו שוללים שניתן היה להשתמש באפשרויות אחרות, למשל, RunPE.

קובץ תצורה

קונסולידציה במערכת

קונסולידציה במערכת מובטחת על ידי טוען האתחול AtProtect, אם הוגדר הדגל המתאים.

• הקובץ מועתק לאורך הנתיב %AppData%GFqaakZpzwm.exe.
• הקובץ נוצר %AppData%GFqaakWinDriv.url, שיגור Zpzwm.exe.
• בשרשור HKCUSoftwareMicrosoftWindowsCurrentVersion Run נוצר מפתח הפעלה WinDriv.url.

אינטראקציה עם C&C

מטעין AtProtect

אם הדגל המתאים קיים, התוכנה הזדונית יכולה להפעיל תהליך נסתר iexplorer ועקוב אחר הקישור שצוין כדי להודיע ​​לשרת על הדבקה מוצלחת.

DataStealer

ללא קשר לשיטה שבה נעשה שימוש, תקשורת רשת מתחילה בהשגת ה-IP החיצוני של הקורבן באמצעות המשאב [http]://checkip[.]dyndns[.]org/.

User-Agent: Mozilla/4.0 (תואם; MSIE 6.0; Windows NT 5.2; .NET CLR1.0.3705;)

המבנה הכללי של ההודעה זהה. כותרת קיימת
|——- 404 Keylogger — {סוג} ——-|איפה {סוּג} מתאים לסוג המידע המועבר.
להלן מידע על המערכת:

_______ + מידע על הקורבן + _______

IP: {External IP}
שם הבעלים: {שם המחשב}
שם מערכת הפעלה: {שם מערכת הפעלה}
גרסת מערכת הפעלה: {גירסת מערכת הפעלה}
פלטפורמת מערכת הפעלה: {פלטפורמה}
גודל זיכרון RAM: {גודל זיכרון RAM}
______________________________

ולבסוף, הנתונים המועברים.

SMTP

נושא המכתב הוא כדלקמן: 404 K | {סוג הודעה} | שם לקוח: {Username}.

מעניין, להעביר מכתבים ללקוח 404 Keylogger נעשה שימוש בשרת ה-SMTP של המפתחים.

זה איפשר לזהות כמה לקוחות, כמו גם את המייל של אחד המפתחים.

fTP

בעת שימוש בשיטה זו, המידע שנאסף נשמר בקובץ ומיד נקרא משם.

ההיגיון מאחורי הפעולה הזו לא לגמרי ברור, אבל היא יוצרת חפץ נוסף לכתיבת חוקי התנהגות.

%HOMEDRIVE%%HOMEPATH%DocumentsA{מספר שרירותי}.txt

פסטבין

בזמן הניתוח, שיטה זו משמשת רק להעברת סיסמאות גנובות. יתר על כן, הוא משמש לא כחלופה לשני הראשונים, אלא במקביל. התנאי הוא הערך של הקבוע השווה ל-"Vavaa". ככל הנראה זהו שם הלקוח.

האינטראקציה מתרחשת באמצעות פרוטוקול https דרך ה-API אודם. מַשְׁמָעוּת api_paste_private שווה PASTE_UNLISTED, האוסר על חיפוש אחר דפים כאלה ב אודם.

אלגוריתמי הצפנה

אחזור קובץ ממשאבים

המטען מאוחסן במשאבי טוען האתחול AtProtect בצורה של תמונות Bitmap. החילוץ מתבצע במספר שלבים:

• מערך של בתים מופק מהתמונה. כל פיקסל מטופל כרצף של 3 בתים לפי סדר BGR. לאחר החילוץ, 4 הבתים הראשונים של המערך מאחסנים את אורך ההודעה, הבאים מאחסנים את ההודעה עצמה.

  

• המפתח מחושב. לשם כך, MD5 מחושב מהערך "ZpzwmjMJyfTNiRalKVrcSkxCN" שצוין כסיסמה. ה-hash המתקבל נכתב פעמיים.

  

• הפענוח מתבצע באמצעות אלגוריתם AES במצב ECB.

פונקציונליות זדונית

מוריד

מיושם ב-bootloader AtProtect.

• על ידי פנייה [activelink-repalce] הסטטוס של השרת מתבקש כדי לאשר שהוא מוכן להגיש את הקובץ. השרת אמור לחזור "ON".
• הקישור [הורד קישור-החלף] המטען מוריד.
• עם FranchyShellcode המטען מוזרק לתהליך [inj-replace].

במהלך ניתוח תחום 404projects[.]xyz מופעים נוספים זוהו ב-VirusTotal 404 Keylogger, כמו גם כמה סוגים של מעמיסים.

באופן קונבנציונלי, הם מחולקים לשני סוגים:

1. ההורדה מתבצעת מהמשאב 404projects[.]xyz.

   
   הנתונים מקודדים Base64 ומוצפנים AES.

2. אפשרות זו מורכבת ממספר שלבים וככל הנראה משמשת בשילוב עם טוען אתחול AtProtect.

• בשלב הראשון, הנתונים נטענים מ אודם ופוענח באמצעות הפונקציה HexToByte.

  

• בשלב השני, מקור הטעינה הוא 404projects[.]xyz. עם זאת, פונקציות הדקומפרסיה והפענוח דומות לאלו שנמצאות ב-DataStealer. ככל הנראה תוכנן במקור ליישם את פונקציונליות טוען האתחול במודול הראשי.

  

• בשלב זה, המטען כבר נמצא במניפסט המשאב בצורה דחוסה. פונקציות חילוץ דומות נמצאו גם במודול הראשי.

בין הקבצים המנותחים נמצאו הורדות njRat, SpyGate ו-RATs אחרים.

Keylogger

תקופת שליחת יומן: 30 דקות.

כל הדמויות נתמכות. תווים מיוחדים נמלטים. יש עיבוד למפתחות BackSpace ו-Delete. רגיש לאותיות גדולות.

ClipboardLogger

תקופת שליחת יומן: 30 דקות.

תקופת סקר מאגר: 0,1 שניות.

מימוש קישור בריחה.

ScreenLogger

תקופת שליחת יומן: 60 דקות.

צילומי מסך נשמרים ב %HOMEDRIVE%%HOMEPATH%Documents404k404pic.png.

לאחר שליחת התיקיה 404k מחוק.

PasswordStealer

דפדפנים	לקוחות דואר	לקוחות FTP
Chrome	Outlook	FileZilla
Firefox	Thunderbird
מוצרי Mozilla	פוקס דואר
דרקון קרח
ירח חיוור
Cyberfox
Chrome
BraveBrowser
QQBrowser
IridiumBrowser
XvastBrowser
Chedot
360 דפדפן
ComodoDragon
360Chrome
סופרבירד
CentBrowser
GhostBrowser
IronBrowser
כרום
ויואלדי
SlimjetBrowser
אורביטום
קוקוק
לפיד
דפדפן UC
EpicBrowser
BliskBrowser
Opera

התנגדות לניתוח דינמי

• בדיקה האם תהליך נמצא בניתוח

  מתבצע באמצעות חיפוש תהליכים taskmgr, ProcessHacker, procexp64, procexp, procmon. אם לפחות אחד נמצא, התוכנה הזדונית יוצאת.

• בודק אם אתה נמצא בסביבה וירטואלית

  מתבצע באמצעות חיפוש תהליכים vmtoolsd, VGAuthService, vmacthlp, VBoxService, VBoxTray. אם לפחות אחד נמצא, התוכנה הזדונית יוצאת.

• נרדם ל-5 שניות
• הדגמה של סוגים שונים של תיבות דו-שיח

  ניתן להשתמש כדי לעקוף כמה ארגזי חול.

• עוקף את UAC

  מבוצע על ידי עריכת מפתח הרישום EnableLUA בהגדרות המדיניות הקבוצתית.

• מחיל את התכונה "נסתר" על הקובץ הנוכחי.
• אפשרות למחוק את הקובץ הנוכחי.

תכונות לא פעילות

במהלך הניתוח של טוען האתחול והמודול הראשי, נמצאו פונקציות שהיו אחראיות לפונקציונליות נוספת, אך לא נעשה בהן שימוש בשום מקום. זה כנראה נובע מהעובדה שהתוכנה הזדונית עדיין בפיתוח והפונקציונליות תורחב בקרוב.

מטעין AtProtect

נמצאה פונקציה שאחראית לטעינה והזרקה לתהליך msiexec.exe מודול שרירותי.

DataStealer

• קונסולידציה במערכת

  

• פונקציות פירוק ופענוח

  
  
  סביר להניח שהצפנת נתונים במהלך תקשורת רשת תיושם בקרוב.

• הפסקת תהליכי אנטי וירוס

zlclient	Dvp95_0	פאבשד	avgserv9
egui	אקנג'ין	פאוו	avgserv9schedapp
bdagent	בטוח	PCCIOMON	avgemc
npfmsg	Espwatch	PCCMAIN	ashwebsv
olydbg	F-Agnt95	Pccwin98	אשדיספ
אנוביס	Findvir	Pcfwallicon	ashmaisv
Wireshark	Fprot	Persfw	ashserv
avastui	F-Prot	POP3TRAP	aswUpdSv
_Avp32	F-Prot95	PVIEW95	symwsc
vsmon	Fp-Win	רבקס	נורטון
אמבאם	פרוו	Rav7win	Norton Auto-Protect
מפתח מפתחות	F-Stopw	להציל	norton_av
_Avpcc	Iamapp	Safeweb	nortonav
_Avpm	Iamserv	סריקה 32	ccsetmgr
אקווין32	איבמאסן	סריקה 95	ccevtmgr
מאחז	Ibmavsp	Scanpm	avadmin
אנטי טרויאני	Icload95	Scrscan	avcenter
AntiVir	Icloadnt	Serv95	ממוצע
Apvxdwin	איקמון	Smc	avguard
מסלול	Icsupp95	SMCSERVICE	avnotify
ירידה אוטומטית	Icsuppnt	נְחִירָה	avscan
אבקונסול	Iface	ספינקס	guardgui
Ave32	Iomon98	לטאטא95	nod32krn
Avgctrl	הג	SYMPROXYSVC	nod32kui
אבקסרב	נעילה 2000	Tbscan	clamscan
Avn	תזהר	Tca	clamTray
אב	לואל	Tds2-98	clamWin
Avp32	מקפי	Tds2-Nt	קלאם טרי
Avpcc	מוליב	TermiNET	אולדין
Avpdos32	MPftray	וטרינר95	sigtool
Avpm	N32scanw	Vettray	w9xpopen
Avptc32	NAVAPSVC	Vscan40	סגור
Avpupd	NAVAPW32	Vsecomr	cmgrdian
אבשד32	NAVLU32	Vshwin32	alogserv
AVSYNMGR	Navnt	Vsstat	mcshield
Avwin95	NAVRUNR	Webscanx	vshwin32
Avwupd32	Navw32	מלכודת רשת	avconsol
בלאקד	Navwnt	Wfindv32	vsstat
קרח שחור	NeoWatch	אזעקה אזורית	avsynmgr
Cfiadmin	NISSERV	LOCKDOWN2000	avcmd
Cfiaudit	ניסום	RESCUE32	avconfig
Cfinet	Nmain	LUCOMSERVER	licmgr
Cfinet32	נורמיסט	avgcc	לוח זמנים
טופר95	NORTON	avgcc	preupd
Claw95cf	שדרוג	avgamsvr	MsMpEng
מנקה	Nvc95	avgupsvc	MSASCui
מנקה 3	מאחז	avgw	Avira.Systray
Defwatch	פדמין	avgcc32
Dvp95	Pavcl	avgserv

• הרס עצמי
• טוען נתונים ממניפסט המשאב שצוין

  

• העתקת קובץ לאורך נתיב %Temp%tmpG[תאריך ושעה נוכחיים באלפיות השנייה].tmp

  
  מעניין לציין שפונקציה זהה קיימת בתוכנה זדונית של AgentTesla.

• פונקציונליות של תולעים

  התוכנה הזדונית מקבלת רשימה של מדיה נשלפת. עותק של התוכנה הזדונית נוצר בשורש מערכת קבצי המדיה עם השם Sys.exe. הפעלה אוטומטית מיושמת באמצעות קובץ Autorun.inf.

  

פרופיל התוקף

במהלך הניתוח של מרכז הפיקוד, ניתן היה לקבוע את המייל והכינוי של היזם - Razer, aka Brwa, Brwa65, HiDDen PerSOn, 404 Coder. לאחר מכן, מצאנו סרטון מעניין ביוטיוב שמדגים עבודה עם הבנאי.

זה איפשר למצוא את ערוץ המפתחים המקורי.

התברר שיש לו ניסיון בכתיבת קריפטוגרפים. יש גם קישורים לדפים ברשתות החברתיות, כמו גם את השם האמיתי של המחבר. התברר שהוא תושב עיראק.

כך נראה כביכול מפתח 404 Keylogger. תמונה מפרופיל הפייסבוק האישי שלו.

CERT Group-IB הכריזה על איום חדש - 404 Keylogger - מרכז ניטור ותגובה XNUMX שעות ביממה לאיומי סייבר (SOC) בבחריין.

מקור: www.habr.com