ההצבעה נכשלה: בואו נחשוף את AgentTesla למים נקיים. חלק 3

במאמר זה אנו משלימים את סדרת הפרסומים המוקדשים לניתוח תוכנות זדוניות. IN החלק הראשון ביצענו ניתוח מפורט של קובץ נגוע שחברה אירופאית קיבלה בדואר וגילינו שם תוכנת ריגול של AgentTesla. ב חלק שני תיאר את התוצאות של ניתוח שלב אחר שלב של מודול AgentTesla הראשי.

היום Ilya Pomerantsev, מומחה לניתוח תוכנות זדוניות ב-CERT Group-IB, ידבר על השלב הראשון של ניתוח תוכנות זדוניות - פריקה חצי אוטומטית של דגימות AgentTesla תוך שימוש בדוגמה של שלושה מיני מקרים מהפרקטיקה של מומחי CERT Group-IB.

בדרך כלל, השלב הראשון בניתוח תוכנות זדוניות הוא הסרת ההגנה בצורה של אורז, קריפטור, מגן או טוען. ברוב המקרים ניתן לפתור בעיה זו על ידי הפעלת התוכנה הזדונית וביצוע dump, אך ישנם מצבים בהם שיטה זו אינה מתאימה. לדוגמה, אם התוכנה הזדונית היא מוצפנת, אם היא מגינה על אזורי הזיכרון שלה מהשלכה, אם הקוד מכיל מנגנוני זיהוי של מכונות וירטואליות, או אם התוכנה הזדונית מאתחלת מיד לאחר ההפעלה. במקרים כאלה, נעשה שימוש בפירוק כביכול "חצי אוטומטי", כלומר, לחוקר יש שליטה מלאה על התהליך והוא יכול להתערב בכל עת. הבה נשקול הליך זה באמצעות שלוש דוגמאות ממשפחת AgentTesla כדוגמה. זוהי תוכנה זדונית לא מזיקה יחסית אם אתה משבית את הגישה לרשת שלה.

מדגם מס' 1

קובץ המקור הוא מסמך MS Word המנצל את הפגיעות CVE-2017-11882.

כתוצאה מכך, המטען מוריד ומופעל.

ניתוח של עץ התהליך וסמני התנהגות מראה הזרקה לתוך התהליך RegAsm.exe.

ישנם סמנים התנהגותיים האופייניים ל-AgentTesla.

הדוגמה שהורדת היא הדוגמה הניתנת להפעלה NET.-קובץ מוגן על ידי מגן כור .NET.

בואו נפתח את זה בכלי השירות dnSpy x86 ותעבור לנקודת הכניסה.

על ידי מעבר לפונקציה Offset DateTime, נמצא את קוד האתחול עבור החדש NET.-מודול. בוא נשים נקודת עצירה על הקו שאנו מעוניינים בו והריצו את הקובץ.

באחד מהמאגרים המוחזרים ניתן לראות את חתימת MZ (0x4D 0x5A). בואו נשמור את זה.

קובץ הפעלה שנזרק הוא ספרייה דינמית שהיא מטעין, כלומר. מחלץ את המטען מקטע המשאבים ומשיק אותו.

יחד עם זאת, המשאבים הדרושים עצמם אינם נמצאים במזבלה. הם נמצאים במדגם ההורה.

שירות dnSpy יש שתי פונקציות שימושיות במיוחד שיעזרו לנו די מהר ליצור "פרנקנשטיין" משני קבצים קשורים.

1. הראשון מאפשר לך "להדביק" ספרייה דינמית לתוך מדגם האב.

   

2. השני הוא לכתוב מחדש את קוד הפונקציה בנקודת הכניסה כדי לקרוא לשיטה הרצויה של הספרייה הדינמית שהוכנסה.

   

אנחנו שומרים את הסט "פרנקנשטיין" שלנו נקודת עצירה על הקו להחזיר מאגר עם משאבים מפוענחים, וליצור dump באנלוגיה לשלב הקודם.

המזבלה השנייה כתובה VB.NET קובץ הפעלה שמוגן על ידי מגן המוכר לנו ConfuserEx.

לאחר הסרת המגן, אנו משתמשים בכללי YARA שנכתבו קודם לכן ומוודאים שהתוכנה הזדונית שנפרקה היא באמת AgentTesla.

מדגם מס' 2

קובץ המקור הוא מסמך MS Excel. מאקרו מובנה גורם לביצוע של קוד זדוני.

כתוצאה מכך, סקריפט PowerShell מופעל.

הסקריפט מפענח את קוד C# ומעביר אליו את השליטה. הקוד עצמו הוא טוען אתחול, כפי שניתן לראות גם מדוח ארגז החול.

המטען הוא קובץ הפעלה NET.-קוֹבֶץ.

פותחים את הקובץ ב dnSpy x86, אתה יכול לראות שהוא מעורפל. הסרת ערפול באמצעות כלי השירות de4dot ולחזור לניתוח.

בעת בחינת הקוד, ייתכן שתגלה את הפונקציה הבאה:

השורות המקודדות בולטות נקודת כניסה и להפעיל. אנחנו שמים נקודת עצירה לשורה הראשונה, הפעל ושמור את ערך המאגר byte_0.

המזבלה היא שוב אפליקציה NET. ומוגן ConfuserEx.

אנו מסירים ערפול באמצעות de4dot ולהעלות ל dnSpy. מתיאור הקובץ אנו מבינים שעומדים בפנינו מעמיס CyaX-Sharp.

מטעין זה כולל פונקציונליות נרחבת של אנטי-אנליזה.

פונקציונליות זו כוללת עקיפת מערכות הגנה מובנות של Windows, השבתת Windows Defender, כמו גם מנגנוני זיהוי ארגז חול ומכונות וירטואליות. אפשר לטעון את המטען מהרשת או לאחסן אותו בסעיף המשאבים. ההשקה מתבצעת באמצעות הזרקה לתהליך משלו, לשכפול של התהליך שלו או לתהליכים MSBuild.exe, vbc.exe и RegSvcs.exe בהתאם לפרמטר שנבחר על ידי התוקף.

עם זאת, עבורנו הם פחות משמעותיים מאשר Antidump-פונקציה שמוסיפה ConfuserEx. ניתן למצוא את קוד המקור שלו בכתובת GitHub.

כדי להשבית את ההגנה, נשתמש בהזדמנות dnSpy, המאפשר לך לערוך IL-קוד.

שמור והתקן נקודת עצירה לשורת הקריאה לפונקציית פענוח המטען. הוא ממוקם בקונסטרוקטור של המחלקה הראשית.

אנחנו משיקים ומשליכים את המטען. באמצעות חוקי YARA שנכתבו בעבר, אנו מוודאים שזהו AgentTesla.

מדגם מס' 3

קובץ המקור הוא קובץ ההפעלה VB Native PE32-קוֹבֶץ.

ניתוח אנטרופיה מראה נוכחות של פיסת נתונים מוצפנת גדולה.

בעת ניתוח טופס הבקשה ב Decompiler של VB אתה עשוי להבחין ברקע מפוקסל מוזר.

גרף אנטרופיה bmp-image זהה לגרף האנטרופיה של הקובץ המקורי, והגודל הוא 85% מגודל הקובץ.

המראה הכללי של התמונה מעיד על שימוש בסטגנוגרפיה.

בואו נשים לב למראה עץ התהליך, כמו גם לנוכחות של סמן הזרקה.

זה מציין שהפריקה מתבצעת. עבור מעמיסים של Visual Basic (aka VBKrypt או VBIInjector) שימוש טיפוסי קוד מעטפת לאתחל את המטען, כמו גם לבצע את ההזרקה עצמה.

ניתוח ב Decompiler של VB הראה נוכחות של אירוע לִטעוֹן בטופס FegatassocAirballoon2.

בוא נלך ל IDA פרו לכתובת שצוינה ולמד את הפונקציה. הקוד מעורפל מאוד. הפרגמנט שמעניין אותנו מובא להלן.

כאן נסרק מרחב הכתובות של התהליך לאיתור חתימה. גישה זו מפוקפקת ביותר.

ראשית, כתובת ההתחלה של הסריקה 0x400100. ערך זה הוא סטטי ואינו מותאם כאשר הבסיס מוזז. בתנאי חממה אידיאליים זה יצביע על הסוף PE-הכותרת של קובץ ההפעלה. עם זאת, בסיס הנתונים אינו סטטי, ערכו יכול להשתנות, וחיפוש אחר הכתובת האמיתית של החתימה הנדרשת, למרות שלא יגרום לגלישה משתנה, יכול להימשך זמן רב מאוד.

שנית, משמעות החתימה iWGK. אני חושב שזה ברור ש-4 בתים זה קטן מדי כדי להבטיח ייחודיות. ואם לוקחים בחשבון את הנקודה הראשונה, ההסתברות לטעות היא די גבוהה.

למעשה, השבר הדרוש מחובר לקצה הנתון שנמצא קודם לכן bmp-תמונות לפי אופסט 0xA1D0D.

הגשמה קוד מעטפת מבוצע בשני שלבים. הראשון מפענח את הגוף העיקרי. במקרה זה, המפתח נקבע על ידי כוח גס.

זרוק את המפוענח קוד מעטפת ותסתכל על הקווים.

ראשית, אנו מכירים כעת את הפונקציה ליצירת תהליך צאצא: CreateProcessInternalW.

שנית, התוודענו למנגנון הקיבוע במערכת.

נחזור לתהליך המקורי. בוא נשים נקודת עצירה על CreateProcessInternalW ולהמשיך בביצוע. לאחר מכן אנו רואים את הקשר NtGetContextThread/NtSetContextThread, אשר משנה את כתובת תחילת הביצוע לכתובת ShellCode.

אנו מתחברים לתהליך שנוצר באמצעות באגים ומפעילים את האירוע השעה בזמן טעינה/פריקה של ספריות, המשך את התהליך והמתן לטעינה NET.-ספריות.

שימוש נוסף ProcessHacker אזורי מזבלה המכילים לא ארוז NET.-יישום.

אנו עוצרים את כל התהליכים ומוחקים את העותק של התוכנה הזדונית שהוטבעה במערכת.

הקובץ שנזרק מוגן על ידי מגן כור .NET, שניתן להסיר בקלות באמצעות כלי שירות de4dot.

באמצעות כללי YARA שנכתבו קודם לכן, אנו מוודאים שזהו AgentTesla.

בואו נסכם

אז, הדגמנו בפירוט את התהליך של פירוק דגימה חצי אוטומטית באמצעות שלושה מיני-מארזים כדוגמה, וגם ניתחנו תוכנות זדוניות בהתבסס על מקרה מלא, וגילינו שהדוגמה הנחקרת היא AgentTesla, תוך ביסוס הפונקציונליות שלה ו- רשימה מלאה של אינדיקטורים לפשרה.

ניתוח האובייקט הזדוני שביצענו דורש זמן ומאמץ רב, ועבודה זו צריכה להתבצע על ידי עובד מיוחד בחברה, אך לא כל החברות מוכנות להעסיק אנליסט.

אחד השירותים שמספקת מעבדת Group-IB לזיהוי פלילי מחשבים וניתוח קוד זדוני הוא תגובה לאירועי סייבר. וכדי שלקוחות לא יבזבזו זמן לאשר מסמכים ולדון בהם בעיצומה של מתקפת סייבר, השיקה Group-IB שומר תגובה לאירועים, שירות תגובת אירועי טרום מנוי הכולל גם שלב ניתוח תוכנות זדוניות. מידע נוסף על כך ניתן למצוא כאן.

אם אתה רוצה ללמוד שוב כיצד מפרקים את דגימות AgentTesla ולראות כיצד מומחה CERT Group-IB עושה זאת, תוכל להוריד את ההקלטה של ​​הסמינר המקוון בנושא זה כאן.

מקור: www.habr.com