ההצבעה נכשלה: בואו נחשוף את AgentTesla למים נקיים. חלק 2

אנו ממשיכים בסדרת המאמרים שלנו המוקדשים לניתוח תוכנות זדוניות. IN א בחלקו, סיפרנו כיצד איליה פומרנצב, מומחה לניתוח תוכנות זדוניות ב-CERT Group-IB, ביצע ניתוח מפורט של קובץ שהתקבל בדואר מאחת החברות האירופיות וגילה שם תוכנות ריגול הסוכן טסלה. במאמר זה, איליה מספק את התוצאות של ניתוח שלב אחר שלב של המודול הראשי הסוכן טסלה.

הסוכן טסלה היא תוכנת ריגול מודולרית המופצת באמצעות מודל תוכנה זדונית כשירות במסווה של מוצר keylogger לגיטימי. הסוכן טסלה מסוגל לחלץ ולשדר אישורי משתמש מדפדפנים, לקוחות דואר אלקטרוני ומלקוחות FTP לשרת לתוקפים, להקליט נתוני לוח ולתפוס את מסך המכשיר. בזמן הניתוח, האתר הרשמי של המפתחים לא היה זמין.

קובץ תצורה

הטבלה שלהלן מפרטת איזו פונקציונליות חלה על הדוגמה שבה אתה משתמש:

תיאור	ערך
דגל שימוש KeyLogger	נָכוֹן
דגל שימוש ScreenLogger	שקר
מרווח שליחת יומן KeyLogger בדקות	20
מרווח שליחת יומן ScreenLogger בדקות	20
דגל טיפול במקש Backspace. לא נכון - רישום בלבד. נכון - מוחק את המפתח הקודם	שקר
סוג CNC. אפשרויות: smtp, webpanel, ftp	SMTP
דגל הפעלת שרשור לסיום תהליכים מהרשימה "%filter_list%"	שקר
דגל השבתת UAC	שקר
השבת את הדגל של מנהל המשימות	שקר
דגל השבתת CMD	שקר
הפעל דגל השבתת חלון	שקר
Registry Viewer השבת את הדגל	שקר
השבת את דגל נקודות שחזור המערכת	נָכוֹן
דגל השבתת לוח הבקרה	שקר
דגל השבתת MSCONFIG	שקר
סמן כדי להשבית את תפריט ההקשר בסייר	שקר
סיכה דגל	שקר
נתיב להעתקת המודול הראשי בעת הצמדתו למערכת	%startupfolder% %insfolder%%insname%
סמן להגדרת המאפיינים "מערכת" ו"נסתר" עבור המודול הראשי שהוקצה למערכת	שקר
סמן כדי לבצע הפעלה מחדש כאשר מוצמד למערכת	שקר
סמן להעברת המודול הראשי לתיקיה זמנית	שקר
דגל עוקף UAC	שקר
פורמט תאריך ושעה לרישום	yyyy-MM-dd HH:mm:ss
סמן לשימוש במסנן תוכנית עבור KeyLogger	נָכוֹן
סוג סינון התוכנית. 1 - חיפוש שם התוכנית בכותרות החלון 2 - שם התוכנית נחפש בשם תהליך החלון	1
מסנן תוכניות	"פייסבוק" "טוויטר" "gmail" "אינסטגרם" "סרט" "סקייפ" "פורנו" "גַרזֶן" "וואטסאפ" "מַחֲלוֹקֶת"

חיבור המודול הראשי למערכת

אם הוגדר הדגל המתאים, המודול הראשי מועתק לנתיב שצוין בתצורה בתור הנתיב שיוקצו למערכת.

בהתאם לערך מהתצורה, הקובץ מקבל את התכונות "Hidden" ו-"System".
Autorun מסופק על ידי שני סניפי רישום:

• תוכנת HKCUMicrosoftWindowsCurrentVersionRun%insregname%
• HKCUSOFTWAREMicrosoftWindowsCurrentVersionExplorerStartupApprovedRun %insregname%

מאז טוען האתחול מזריק לתהליך RegAsm, הגדרת הדגל המתמשך עבור המודול הראשי מובילה לתוצאות מעניינות למדי. במקום להעתיק את עצמה, התוכנה הזדונית צירפה את הקובץ המקורי למערכת RegAsm.exe, שבמהלכה בוצעה ההזרקה.

אינטראקציה עם C&C

ללא קשר לשיטה שבה נעשה שימוש, תקשורת רשת מתחילה בהשגת ה-IP החיצוני של הקורבן באמצעות המשאב צ'ק[.]amazonaws[.]com/.
להלן מתארים את שיטות האינטראקציה ברשת המוצגות בתוכנה.

לוח אינטרנט

האינטראקציה מתבצעת באמצעות פרוטוקול HTTP. התוכנה הזדונית מבצעת בקשת POST עם הכותרות הבאות:

• User-Agent: Mozilla/5.0 (Windows U Windows NT 6.1 ru rv:1.9.2.3) Gecko/20100401 Firefox/4.0 (.NET CLR 3.5.30729)
• חיבור: שמור על חיים
• סוג תוכן: application / x-www-form-urlencoded

כתובת השרת מצוינת לפי הערך %PostURL%. ההודעה המוצפנת נשלחת בפרמטר «P». מנגנון ההצפנה מתואר בסעיף "אלגוריתמי הצפנה" (שיטה 2).

ההודעה המועברת נראית כך:

type={0}nhwid={1}ntime={2}npcname={3}nlogdata={4}nscreen={5}nipadd={6}nwebcam_link={7}nclient={8}nlink={9}nusername={10}npassword={11}nscreen_link={12}

פרמטר סוג מציין את סוג ההודעה:

hwid - Hash MD5 נרשם מהערכים של המספר הסידורי של לוח האם ומזהה המעבד. ככל הנראה משמש כ-User ID.
זמן - משמש להעברת השעה והתאריך הנוכחיים.
pcname - מוגדר כ <שם משתמש>/<שם מחשב>.
נתוני יומן - נתוני יומן.

בעת שידור סיסמאות, ההודעה נראית כך:

type={0}nhwid={1}ntime={2}npcname={3}nlogdata={4}nscreen={5}nipadd={6}nwebcam_link={7}nscreen_link={8}n[passwords]

להלן תיאורים של הנתונים הגנובים בפורמט nclient[]={0}nlink[]={1}שם משתמש[]={2}npassword[]={3}.

SMTP

האינטראקציה מתבצעת באמצעות פרוטוקול SMTP. האות המשודרת היא בפורמט HTML. פָּרָמֶטֶר גוף יש את הצורה:

לכותרת המכתב יש את הצורה הכללית הבאה: <שם משתמש>/<שם מחשב> <סוג תוכן>. תוכן המכתב, כמו גם המצורפים שלו, אינם מוצפנים.

האינטראקציה מתבצעת באמצעות פרוטוקול FTP. קובץ עם השם מועבר לשרת שצוין <סוג תוכן>_<שם משתמש>-<שם מחשב>_<תאריך ושעה>.html. תוכן הקובץ אינו מוצפן.

אלגוריתמי הצפנה

מקרה זה משתמש בשיטות ההצפנה הבאות:

שיטת 1

שיטה זו משמשת להצפנת מחרוזות במודול הראשי. האלגוריתם המשמש להצפנה הוא AES.

הקלט הוא מספר עשרוני בן שש ספרות. השינוי הבא מתבצע עליו:

f(x) = (((x >> 2 - 31059) ^ 6380) - 1363) >> 3

הערך המתקבל הוא האינדקס עבור מערך הנתונים המוטבעים.

כל רכיב מערך הוא רצף DWORD. בעת מיזוג DWORD מתקבל מערך של בתים: 32 בתים הראשונים הם מפתח ההצפנה, ואחריהם 16 בתים של וקטור האתחול, והבתים הנותרים הם הנתונים המוצפנים.

שיטת 2

נעשה שימוש באלגוריתם 3DES במצב בנק המרכזי של אירופה עם ריפוד בתים שלמים (PKCS7).

המפתח מצוין על ידי הפרמטר %urlkey%עם זאת, ההצפנה משתמשת ב-hash MD5 שלה.

פונקציונליות זדונית

המדגם הנבדק משתמש בתוכניות הבאות כדי ליישם את הפונקציה הזדונית שלו:

KeyLogger

אם יש דגל תוכנה זדונית תואמת באמצעות פונקציית WinAPI SetWindowsHookEx מקצה מטפל משלו לאירועי לחיצת מקשים במקלדת. פונקציית המטפל מתחילה בקבלת הכותרת של החלון הפעיל.

אם הוגדר דגל סינון האפליקציה, הסינון מתבצע בהתאם לסוג שצוין:

1. שם התוכנית נחפש בכותרות החלון
2. שם התוכנית נחפש בשם תהליך החלון

לאחר מכן, רשומה מתווספת ליומן עם מידע על החלון הפעיל בפורמט:

לאחר מכן, מידע על המקש שנלחץ נרשם:

מפתח	שיא
Backspace	בהתאם לדגל עיבוד מפתח Backspace: False – {BACK} נכון - מוחק את המפתח הקודם
נעילה אותיות גדולות	{נעילה אותיות גדולות}
ESC	{יציאה}
PageUp	{גלול למעלה}
למטה	↓
למחוק	{DEL}
"	"
F5	{F5}
&	&
F10	{F10}
TAB	{TAB}
<	<
>	>
מֶרחָב
F8	{F8}
F12	{F12}
F9	{F9}
ALT + TAB	{ALT+TAB}
הסוף	{סוֹף}
F4	{F4}
F2	{F2}
CTRL	{CTRL}
F6	{F6}
ימין	→
Up	↑
F1	{F1}
שמאל	←
PageDown	{PageDown}
הַבלָעָה	{לְהַכנִיס}
Win	{לנצח}
NumLock	{NumLock}
F11	{F11}
F3	{F3}
עמוד הבית	{בית}
ENTER	{להיכנס}
ALT + F4	{ALT+F4}
F7	{F7}
מפתח אחר	התו הוא באותיות גדולות או קטנות בהתאם למיקום של מקשי CapsLock ו-Shift

בתדירות מוגדרת, היומן שנאסף נשלח לשרת. אם ההעברה לא הצליחה, היומן נשמר בקובץ %TEMP%log.tmp בפורמט:

כאשר הטיימר פועל, הקובץ יועבר לשרת.

ScreenLogger

בתדירות מוגדרת, התוכנה הזדונית יוצרת צילום מסך בפורמט Jpeg עם משמעות איכות שווה ל-50 ושומר אותו בקובץ %APPDATA %<רצף אקראי של 10 תווים>.jpg. לאחר ההעברה, הקובץ נמחק.

ClipboardLogger

אם הוגדר הדגל המתאים, יבוצעו החלפות בטקסט המיירט בהתאם לטבלה למטה.

לאחר מכן, הטקסט מוכנס ליומן:

PasswordStealer

התוכנה הזדונית יכולה להוריד סיסמאות מהיישומים הבאים:

דפדפנים	לקוחות דואר	לקוחות FTP
Chrome	Outlook	FileZilla
Firefox	Thunderbird	WS_FTP
IE/Edge	פוקס דואר	WinSCP
ספארי	אופרה מייל	CoreFTP
דפדפן האופרה	אינקרדימייל	ניווט FTP
Yandex	פוקומייל	FlashFXP
Comodo	Eudora	SmartFTP
ChromePlus	העטלף	FTPCommander
כרום	תיבת דואר
לפיד	ClawsMail
7Star
Amigo
BraveSoftware	לקוחות ג'אבר	לקוחות VPN
CentBrowser	Psi/Psi+	פתח VPN
Chedot
קוקוק
דפדפן אלמנטים	מנהלי הורדות
דפדפן הפרטיות של Epic	מנהל הורדות באינטרנט
קומטה	JDownloader
אורביטום
לוין
uCozMedia
ויואלדי
מוצרי Mozilla
דפדפן פלוק
דפדפן UC
נץ שחור
סייבר פוקס
K-מלאון
חתול קרח
דרקון קרח
ירח חיוור
waterfox
דפדפן פלקון

התנגדות לניתוח דינמי

• שימוש בפונקציה שינה. מאפשר לך לעקוף כמה ארגזי חול לפי פסק זמן
• הורס חוט אזור.מזהה. מאפשר לך להסתיר את העובדה של הורדת קובץ מהאינטרנט
• בפרמטר %filter_list% מציין רשימה של תהליכים שהתוכנה הזדונית תסתיים במרווחים של שנייה אחת
• ניתוק UAC
• השבתת מנהל המשימות
• ניתוק CMD
• השבתת חלון "לָרוּץ"
• השבתת לוח הבקרה
• השבתת כלי RegEdit
• השבתת נקודות שחזור מערכת
• השבת את תפריט ההקשר בסייר
• ניתוק מסקונפיג
• לַעֲקוֹף UAC:

תכונות לא פעילות של המודול הראשי

במהלך הניתוח של המודול הראשי זוהו פונקציות שהיו אחראיות להתפשטות ברחבי הרשת ולמעקב אחר מיקום העכבר.

תולעת

אירועים לחיבור מדיה נשלפת מנוטרים בשרשור נפרד. כאשר מחובר, התוכנה הזדונית עם השם מועתקת לשורש מערכת הקבצים scr.exe, ולאחר מכן הוא מחפש קבצים עם הסיומת LNK. הצוות של כולם LNK משתנה ל cmd.exe /c התחל את scr.exe והתחל את <פקודה מקורית> וצא.

לכל ספרייה בשורש המדיה ניתנת תכונה "מוּסתָר" ונוצר קובץ עם הסיומת LNK עם שם הספרייה הנסתרת והפקודה cmd.exe /c התחל את scr.exe&explorer /root,"%CD%<שם ספרייה>" וצא.

מעקב עכברים

השיטה לביצוע היירוט דומה לזו המשמשת עבור המקלדת. פונקציונליות זו עדיין בפיתוח.

פעילות קבצים

נתיב	תיאור
%Temp%temp.tmp	מכיל מונה לניסיונות עקיפת UAC
%startupfolder%%insfolder%%insname%	נתיב שיוקץ למערכת HPE
%Temp%tmpG{זמן נוכחי באלפיות שניות}.tmp	נתיב לגיבוי של המודול הראשי
%Temp%log.tmp	קובץ לוג
%AppData%{רצף שרירותי של 10 תווים}.jpeg	מסך
C:UsersPublic{רצף שרירותי של 10 תווים}.vbs	נתיב לקובץ vbs שבו טוען האתחול יכול להשתמש כדי לצרף למערכת
%Temp%{שם תיקיה מותאמת אישית}{שם קובץ}	נתיב המשמש את טוען האתחול כדי לצרף את עצמו למערכת

פרופיל התוקף

הודות לנתוני אימות מקודדים, הצלחנו לקבל גישה למרכז הפיקוד.

זה איפשר לנו לזהות את האימייל הסופי של התוקפים:

junaid[.]in***@gmail[.]com.

שם הדומיין של מרכז הפיקוד רשום בדואר sg***@gmail[.]com.

מסקנה

במהלך ניתוח מפורט של התוכנה הזדונית ששימשה בהתקפה, הצלחנו לבסס את הפונקציונליות שלה ולהשיג את הרשימה המלאה ביותר של אינדיקטורים לפשרה הרלוונטיים למקרה זה. הבנת מנגנוני האינטראקציה ברשת בין תוכנות זדוניות אפשרה לתת המלצות להתאמת פעולת כלי אבטחת המידע, וכן לכתוב חוקי IDS יציבים.

סכנה עיקרית הסוכן טסלה כמו DataStealer בכך שהוא לא צריך להתחייב למערכת או לחכות לפקודת בקרה כדי לבצע את המשימות שלו. ברגע שהוא עולה על המחשב, הוא מתחיל מיד לאסוף מידע פרטי ומעביר אותו ל-CnC. התנהגות אגרסיבית זו דומה במובנים מסוימים להתנהגות של תוכנות כופר, כשההבדל היחיד הוא שהאחרונות אפילו לא דורשות חיבור לרשת. אם אתה נתקל במשפחה זו, לאחר ניקוי המערכת הנגועה מהתוכנה הזדונית עצמה, עליך בהחלט לשנות את כל הסיסמאות שניתן, לפחות תיאורטית, להישמר באחת מהאפליקציות המפורטות לעיל.

במבט קדימה, נניח שתוקפים שולחים הסוכן טסלה, טוען האתחול הראשוני משתנה לעתים קרובות מאוד. זה מאפשר לך להישאר בלי לשים לב על ידי סורקים סטטיים ומנתחים היוריסטים בזמן ההתקפה. והנטייה של המשפחה הזו להתחיל מיד בפעילות שלהם הופכת את צגי המערכת לחסרי תועלת. הדרך הטובה ביותר להילחם ב- AgentTesla היא ניתוח ראשוני בארגז חול.

במאמר השלישי של סדרה זו נסתכל על מטעני אתחול אחרים בשימוש הסוכן טסלה, וגם ללמוד את תהליך הפריקה החצי אוטומטית שלהם. אל תפספסו!

בליל

SHA1

A8C2765B3D655BA23886D663D22BDD8EF6E8E894

8010CC2AF398F9F951555F7D481CE13DF60BBECF

79B445DE923C92BF378B19D12A309C0E9C5851BF

15839B7AB0417FA35F2858722F0BD47BDF840D62

1C981EF3EEA8548A30E8D7BF8D0D61F9224288DD

C&C

כתובת האתר

sina-c0m[.]icu

smtp[.]sina-c0m[.]icu

RegKey

רישום

HKCUSoftwareMicrosoftWindowsCurrentVersionRun{שם סקריפט}

HKCUSoftwareMicrosoftWindowsCurrentVersionRun%insregname%

HKCUSOFTWAREMicrosoftWindowsCurrentVersionExplorerStartupApprovedRun%insregname%

מוטקס

אין אינדיקטורים.

קבצים

פעילות קבצים

%Temp%temp.tmp

%startupfolder%%insfolder%%insname%

%Temp%tmpG{זמן נוכחי באלפיות שניות}.tmp

%Temp%log.tmp

%AppData%{רצף שרירותי של 10 תווים}.jpeg

C:UsersPublic{רצף שרירותי של 10 תווים}.vbs

%Temp%{שם תיקיה מותאמת אישית}{שם קובץ}

מידע על דוגמאות

שם	לא ידוע
MD5	F7722DD8660B261EA13B710062B59C43
SHA1	15839B7AB0417FA35F2858722F0BD47BDF840D62
SHA256	41DC0D5459F25E2FDCF8797948A7B315D3CB0753 98D808D1772CACCC726AF6E9
סוּג	PE (.NET)
מידה	327680
שם מקורי	AZZRIDKGGSLTYFUUBCCRRCUMRKTOXFVPDKGAGPUZI_20190701133545943.exe
חותמת תאריך	01.07.2019
מהדר	VB.NET

שם	IELibrary.dll
MD5	BFB160A89F4A607A60464631ED3ED9FD
SHA1	1C981EF3EEA8548A30E8D7BF8D0D61F9224288DD
SHA256	D55800A825792F55999ABDAD199DFA54F3184417 215A298910F2C12CD9CC31EE
סוּג	PE (.NET DLL)
מידה	16896
שם מקורי	IELibrary.dll
חותמת תאריך	11.10.2016
מהדר	Microsoft Linker (48.0*)

מקור: www.habr.com