თავდამსხმელები იყენებენ კომპლექსურ მავნე პროგრამას რუსულ ბიზნესებზე თავდასხმისთვის

გასული წლის ბოლოდან დავიწყეთ ახალი მავნე კამპანიის თვალყურის დევნება საბანკო ტროას გასავრცელებლად. თავდამსხმელები ორიენტირებული იყვნენ რუსული კომპანიების, ანუ კორპორატიული მომხმარებლების კომპრომეტირებაზე. მავნე კამპანია აქტიური იყო მინიმუმ ერთი წლის განმავლობაში და, გარდა საბანკო ტროასისა, თავდამსხმელებმა მიმართეს სხვადასხვა პროგრამული ინსტრუმენტების გამოყენებას. ეს მოიცავს სპეციალურ ჩამტვირთველს, რომელიც შეფუთულია გამოყენებით nsis, და spyware, რომელიც შენიღბულია როგორც ცნობილი ლეგიტიმური Yandex Punto პროგრამული უზრუნველყოფა. მას შემდეგ, რაც თავდამსხმელებმა მოახერხეს მსხვერპლის კომპიუტერის კომპრომეტირება, ისინი დააინსტალირებენ უკანა კარს და შემდეგ საბანკო ტროას.

მათი მავნე პროგრამისთვის, თავდამსხმელებმა გამოიყენეს რამდენიმე მოქმედი (იმ დროს) ციფრული სერთიფიკატი და სპეციალური მეთოდი AV პროდუქტების გვერდის ავლით. მავნე კამპანია მიზნად ისახავდა რუსული ბანკების დიდ რაოდენობას და განსაკუთრებით საინტერესოა, რადგან თავდამსხმელებმა გამოიყენეს მეთოდები, რომლებიც ხშირად გამოიყენება მიზანმიმართული თავდასხმების დროს, ანუ თავდასხმები, რომლებიც არ არის მოტივირებული მხოლოდ ფინანსური თაღლითობით. ჩვენ შეგვიძლია აღვნიშნოთ გარკვეული მსგავსება ამ მავნე კამპანიასა და მთავარ ინციდენტს შორის, რომელიც ადრე დიდი პოპულარობით სარგებლობდა. საუბარია კიბერდანაშაულებრივ ჯგუფზე, რომელიც იყენებდა საბანკო ტროას ანუნაკი/კარბანაკი.

თავდამსხმელებმა დააინსტალირეს მავნე პროგრამა მხოლოდ იმ კომპიუტერებზე, რომლებიც სტანდარტულად იყენებდნენ რუსულ ენას Windows-ში (ლოკალიზაცია). ტროას მთავარი განაწილების ვექტორი იყო Word დოკუმენტი ექსპლოიტით. CVE-2012-0158, რომელიც გაიგზავნა დოკუმენტის დანართის სახით. ქვემოთ მოყვანილი სკრინშოტი აჩვენებს ასეთი ყალბი დოკუმენტების გარეგნობას. პირველი დოკუმენტი სახელწოდებით „ინვოისი No. 522375-FLORL-14-115.doc“, ხოლო მეორე „kontrakt87.doc“, ეს არის მობილური ოპერატორი „მეგაფონის“ მიერ სატელეკომუნიკაციო მომსახურების მიწოდების ხელშეკრულების ასლი.

ბრინჯი. 1. ფიშინგის დოკუმენტი.

ბრინჯი. 2. ფიშინგ დოკუმენტის კიდევ ერთი მოდიფიკაცია.

შემდეგი ფაქტები მიუთითებს იმაზე, რომ თავდამსხმელები რუსული ბიზნესის სამიზნე იყვნენ:

• მავნე პროგრამის გავრცელება ყალბი დოკუმენტების გამოყენებით მითითებულ თემაზე;
• თავდამსხმელთა ტაქტიკა და მავნე ინსტრუმენტები, რომლებსაც ისინი იყენებენ;
• ბმულები ბიზნეს აპლიკაციებთან ზოგიერთ შესრულებად მოდულში;
• მავნე დომენების სახელები, რომლებიც გამოყენებული იყო ამ კამპანიაში.

სპეციალური პროგრამული ინსტრუმენტები, რომლებსაც თავდამსხმელები აყენებენ კომპრომეტირებულ სისტემაზე, საშუალებას აძლევს მათ მიიღონ დისტანციური კონტროლი სისტემაზე და აკონტროლონ მომხმარებლის აქტივობა. ამ ფუნქციების შესასრულებლად, ისინი დააინსტალირებენ backdoor-ს და ასევე ცდილობენ მიიღონ Windows ანგარიშის პაროლი ან შექმნან ახალი ანგარიში. თავდამსხმელები ასევე მიმართავენ keylogger-ის (keylogger), Windows clipboard stealer-ს და სპეციალურ პროგრამულ უზრუნველყოფას სმარტ ბარათებთან მუშაობისთვის. ეს ჯგუფი ცდილობდა კომპრომეტირებას სხვა კომპიუტერებზე, რომლებიც იმყოფებოდნენ იმავე ლოკალურ ქსელში, როგორც მსხვერპლის კომპიუტერი.

ჩვენმა ESET LiveGrid ტელემეტრიის სისტემამ, რომელიც საშუალებას გვაძლევს სწრაფად ვადევნოთ თვალი მავნე პროგრამების გავრცელების სტატისტიკას, მოგვაწოდა საინტერესო გეოგრაფიული სტატისტიკა თავდამსხმელების მიერ აღნიშნულ კამპანიაში გამოყენებული მავნე პროგრამების გავრცელების შესახებ.

ბრინჯი. 3. ამ მავნე კამპანიაში გამოყენებული მავნე პროგრამების გეოგრაფიული განაწილების სტატისტიკა.

მავნე პროგრამის ინსტალაცია

მას შემდეგ, რაც მომხმარებელი გახსნის მავნე დოკუმენტს ექსპლოიტით დაუცველ სისტემაზე, NSIS-ის გამოყენებით შეფუთული სპეციალური ჩამომტვირთველი ჩამოიტვირთება და შესრულდება იქ. მისი მუშაობის დასაწყისში, პროგრამა ამოწმებს Windows-ის გარემოს იქ გამართვის არსებობისთვის ან ვირტუალური მანქანის კონტექსტში მუშაობისთვის. ის ასევე ამოწმებს Windows-ის ლოკალიზაციას და ეწვია თუ არა მომხმარებელი ბრაუზერში ცხრილში მოცემულ URL-ებს. ამისთვის გამოიყენება API FindFirst/NextUrlCacheEntry და SoftwareMicrosoftInternet ExplorerTypedURLs რეესტრის გასაღები.

ჩამტვირთველი ამოწმებს სისტემაში შემდეგი აპლიკაციების არსებობას.

პროცესების სია მართლაც შთამბეჭდავია და, როგორც ხედავთ, მოიცავს არა მხოლოდ საბანკო აპლიკაციებს. მაგალითად, შესრულებადი ფაილი სახელად „scardsvr.exe“ ეხება სმარტ ბარათებთან მუშაობის პროგრამულ უზრუნველყოფას (Microsoft SmartCard reader). თავად საბანკო ტროას მოიცავს სმარტ ბარათებთან მუშაობის შესაძლებლობას.

ბრინჯი. 4. მავნე პროგრამის ინსტალაციის პროცესის ზოგადი დიაგრამა.

თუ ყველა შემოწმება წარმატებით დასრულდა, დამტვირთავი ჩამოტვირთავს სპეციალურ ფაილს (არქივს) დისტანციური სერვერიდან, რომელიც შეიცავს ყველა მავნე შესრულებად მოდულს, რომელსაც იყენებენ თავდამსხმელები. საინტერესოა აღინიშნოს, რომ ზემოაღნიშნული შემოწმებების შესრულების მიხედვით, დისტანციური C&C სერვერიდან გადმოწერილი არქივები შეიძლება განსხვავდებოდეს. არქივი შეიძლება იყოს ან არ იყოს მავნე. თუ არა მავნე, ის დააინსტალირებს Windows Live Toolbar-ს მომხმარებლისთვის. სავარაუდოდ, თავდამსხმელებმა მიმართეს მსგავს ხრიკებს, რათა მოეტყუებინათ ფაილების ანალიზის ავტომატური სისტემები და ვირტუალური მანქანები, რომლებზეც შესრულებულია საეჭვო ფაილები.

NSIS ჩამომტვირთველის მიერ გადმოწერილი ფაილი არის 7z არქივი, რომელიც შეიცავს სხვადასხვა მავნე მოდულებს. ქვემოთ მოყვანილი სურათი გვიჩვენებს ამ მავნე პროგრამისა და მისი სხვადასხვა მოდულის ინსტალაციის მთელ პროცესს.

ბრინჯი. 5. ზოგადი სქემა, თუ როგორ მუშაობს მავნე პროგრამა.

მიუხედავად იმისა, რომ დატვირთული მოდულები თავდამსხმელებისთვის განსხვავებულ მიზნებს ემსახურება, ისინი შეფუთულია იდენტურად და ბევრი მათგანი ხელმოწერილია მოქმედი ციფრული სერთიფიკატებით. ჩვენ აღმოვაჩინეთ ოთხი ასეთი სერთიფიკატი, რომლებსაც თავდამსხმელები იყენებდნენ კამპანიის თავიდანვე. ჩვენი საჩივრის შემდეგ ეს სერთიფიკატები გაუქმდა. საინტერესოა აღინიშნოს, რომ ყველა სერთიფიკატი გაიცა მოსკოვში რეგისტრირებულ კომპანიებზე.

ბრინჯი. 6. ციფრული სერთიფიკატი, რომელიც გამოიყენებოდა მავნე პროგრამის ხელმოწერისთვის.

შემდეგი ცხრილი განსაზღვრავს ციფრულ სერთიფიკატებს, რომლებიც თავდამსხმელებმა გამოიყენეს ამ მავნე კამპანიაში.

თავდამსხმელების მიერ გამოყენებული თითქმის ყველა მავნე მოდული აქვს ინსტალაციის იდენტური პროცედურა. ისინი თვითმმართველობის ამოღება 7zip არქივები, რომლებიც დაცულია პაროლით.

ბრინჯი. 7. install.cmd სერიული ფაილის ფრაგმენტი.

Batch .cmd ფაილი პასუხისმგებელია სისტემაში მავნე პროგრამების დაყენებაზე და თავდამსხმელთა სხვადასხვა ინსტრუმენტების გაშვებაზე. თუ შესრულება მოითხოვს ადმინისტრაციულ უფლებებს დაკარგული, მავნე კოდი იყენებს რამდენიმე მეთოდს მათ მოსაპოვებლად (UAC-ის გვერდის ავლით). პირველი მეთოდის განსახორციელებლად გამოიყენება ორი შესრულებადი ფაილი სახელწოდებით l1.exe და cc1.exe, რომლებიც სპეციალიზირებულია UAC-ის გვერდის ავლით. გაჟონა კარბერპის საწყისი კოდები. კიდევ ერთი მეთოდი ეფუძნება CVE-2013-3660 დაუცველობის გამოყენებას. ყოველი მავნე პროგრამის მოდული, რომელიც მოითხოვს პრივილეგიების გაზრდას, შეიცავს ექსპლოიტის როგორც 32-ბიტიან, ასევე 64-ბიტიან ვერსიას.

ამ კამპანიის თვალყურის დევნებისას ჩვენ გავაანალიზეთ ჩამომტვირთველის მიერ ატვირთული რამდენიმე არქივი. არქივების შიგთავსი იცვლებოდა, რაც იმას ნიშნავს, რომ თავდამსხმელებს შეეძლოთ მავნე მოდულების ადაპტირება სხვადასხვა მიზნებისთვის.

მომხმარებლის კომპრომისი

როგორც ზემოთ აღვნიშნეთ, თავდამსხმელები იყენებენ სპეციალურ ინსტრუმენტებს მომხმარებლის კომპიუტერების კომპრომისისთვის. ეს ხელსაწყოები მოიცავს პროგრამებს შესრულებადი ფაილის სახელებით mimi.exe და xtm.exe. ისინი ეხმარებიან თავდამსხმელებს გააკონტროლონ მსხვერპლის კომპიუტერი და სპეციალიზირდნენ შემდეგი ამოცანების შესრულებაში: Windows ანგარიშების პაროლების მიღება/აღდგენა, RDP სერვისის ჩართვა, ახალი ანგარიშის შექმნა OS-ში.

mimi.exe შესრულებადი მოიცავს ცნობილი ღია წყაროს ხელსაწყოს შეცვლილ ვერსიას მიმიკატ. ეს ინსტრუმენტი საშუალებას გაძლევთ მიიღოთ Windows მომხმარებლის ანგარიშის პაროლები. თავდამსხმელებმა ამოიღეს Mimikatz-ის ნაწილი, რომელიც პასუხისმგებელია მომხმარებლის ინტერაქციაზე. შესრულებადი კოდი ასევე შეიცვალა ისე, რომ გაშვებისას Mimikatz მუშაობს პრივილეგიით::debug და sekurlsa:logonPasswords ბრძანებებით.

კიდევ ერთი შესრულებადი ფაილი, xtm.exe, უშვებს სპეციალურ სკრიპტებს, რომლებიც ააქტიურებენ RDP სერვისს სისტემაში, ცდილობენ შექმნან ახალი ანგარიში OS-ში და ასევე შეცვალონ სისტემის პარამეტრები, რათა რამდენიმე მომხმარებელს ერთდროულად დაუკავშირდნენ კომპრომეტირებულ კომპიუტერს RDP-ის საშუალებით. ცხადია, ეს ნაბიჯები აუცილებელია კომპრომეტირებული სისტემის სრული კონტროლის მოსაპოვებლად.

ბრინჯი. 8. სისტემაზე xtm.exe-ის მიერ შესრულებული ბრძანებები.

თავდამსხმელები იყენებენ სხვა შესრულებად ფაილს, სახელად impack.exe, რომელიც გამოიყენება სისტემაში სპეციალური პროგრამული უზრუნველყოფის დასაყენებლად. ამ პროგრამულ უზრუნველყოფას ჰქვია LiteManager და გამოიყენება თავდამსხმელების მიერ, როგორც უკანა კარი.

ბრინჯი. 9. LiteManager ინტერფეისი.

მომხმარებლის სისტემაზე დაინსტალირების შემდეგ, LiteManager საშუალებას აძლევს თავდამსხმელებს უშუალოდ დაუკავშირდნენ ამ სისტემას და დისტანციურად გააკონტროლონ იგი. ამ პროგრამას აქვს სპეციალური ბრძანების სტრიქონის პარამეტრები მისი ფარული ინსტალაციისთვის, სპეციალური firewall წესების შესაქმნელად და მისი მოდულის გასაშვებად. ყველა პარამეტრს იყენებენ თავდამსხმელები.

მავნე პროგრამის პაკეტის ბოლო მოდული, რომელსაც თავდამსხმელები იყენებენ, არის საბანკო მავნე პროგრამა (ბანკერი) შესრულებადი ფაილის სახელით pn_pack.exe. ის სპეციალიზირებულია მომხმარებლის ჯაშუშობაში და პასუხისმგებელია C&C სერვერთან ურთიერთობაზე. ბანკირი გაშვებულია ლეგიტიმური Yandex Punto პროგრამული უზრუნველყოფის გამოყენებით. Punto გამოიყენება თავდამსხმელების მიერ მავნე DLL ბიბლიოთეკების გასაშვებად (DLL Side-Loading მეთოდი). თავად მავნე პროგრამას შეუძლია შეასრულოს შემდეგი ფუნქციები:

• თვალყური ადევნეთ კლავიატურის კლავიშებს და ბუფერში შიგთავსს მათი შემდგომი გადაცემისთვის დისტანციურ სერვერზე;
• ჩამოთვალეთ სისტემაში არსებული ყველა ჭკვიანი ბარათი;
• ურთიერთქმედება დისტანციურ C&C სერვერთან.

მავნე პროგრამის მოდული, რომელიც პასუხისმგებელია ყველა ამ ამოცანის შესრულებაზე, არის დაშიფრული DLL ბიბლიოთეკა. ის გაშიფრულია და იტვირთება მეხსიერებაში Punto-ს შესრულების დროს. ზემოაღნიშნული ამოცანების შესასრულებლად, DLL შესრულებადი კოდი იწყებს სამ თემას.

ის ფაქტი, რომ თავდამსხმელებმა თავიანთი მიზნებისთვის Punto პროგრამული უზრუნველყოფა აირჩიეს, გასაკვირი არ არის: ზოგიერთი რუსული ფორუმი ღიად გვაწვდის დეტალურ ინფორმაციას ისეთ თემებზე, როგორიცაა ლეგიტიმური პროგრამული უზრუნველყოფის ხარვეზების გამოყენება მომხმარებლების კომპრომისისთვის.

მავნე ბიბლიოთეკა იყენებს RC4 ალგორითმს მისი სტრიქონების დაშიფვრად, ასევე C&C სერვერთან ქსელური ურთიერთქმედების დროს. ის დაუკავშირდება სერვერს ყოველ ორ წუთში და იქ გადასცემს ყველა მონაცემს, რომელიც შეგროვდა კომპრომეტირებულ სისტემაზე დროის ამ პერიოდში.

ბრინჯი. 10. ქსელური ურთიერთქმედების ფრაგმენტი ბოტსა და სერვერს შორის.

ქვემოთ მოცემულია C&C სერვერის ინსტრუქციები, რომელთა მიღებაც ბიბლიოთეკას შეუძლია.

C&C სერვერისგან ინსტრუქციების მიღების საპასუხოდ, მავნე პროგრამა პასუხობს სტატუსის კოდით. საინტერესოა აღინიშნოს, რომ ყველა ბანკირის მოდული, რომელიც ჩვენ გავაანალიზეთ (უახლესი, შედგენის თარიღით 18 იანვარი) შეიცავს სტრიქონს „TEST_BOTNET“, რომელიც თითოეულ შეტყობინებაში იგზავნება C&C სერვერზე.

დასკვნა

კორპორატიული მომხმარებლების კომპრომისისთვის, თავდამსხმელები პირველ ეტაპზე კომპრომისზე აყენებენ კომპანიის ერთ თანამშრომელს ექსპლოიტის გამოყენებით ფიშინგ შეტყობინების გაგზავნით. შემდეგ, როგორც კი მავნე პროგრამა დაინსტალირდება სისტემაში, ისინი გამოიყენებენ პროგრამულ ინსტრუმენტებს, რომლებიც დაეხმარება მათ მნიშვნელოვნად გააფართოვონ თავიანთი ავტორიტეტი სისტემაზე და შეასრულონ მასზე დამატებითი ამოცანები: დათრგუნონ სხვა კომპიუტერები კორპორატიულ ქსელში და დააკვირდნენ მომხმარებელს, ასევე საბანკო ოპერაციები, რომლებსაც ის ახორციელებს.

წყარო: www.habr.com