OceanLotus៖ អាប់ដេតមេរោគសម្រាប់ macOS

នៅក្នុងខែមីនា ឆ្នាំ 2019 គំរូថ្មីនៃមេរោគ macOS ពីក្រុមតាមអ៊ីនធឺណិត OceanLotus ត្រូវបានអាប់ឡូតទៅកាន់ VirusTotal ដែលជាសេវាកម្មស្កែនអនឡាញដ៏ពេញនិយមមួយ។ ឯកសារដែលអាចប្រតិបត្តិបាន backdoor មានសមត្ថភាពដូចគ្នាទៅនឹងកំណែមុននៃមេរោគ macOS ដែលយើងសិក្សា ប៉ុន្តែរចនាសម្ព័ន្ធរបស់វាបានផ្លាស់ប្តូរ ហើយវាកាន់តែពិបាកក្នុងការរកឃើញ។ ជាអកុសល យើងមិនអាចរកឃើញដំណក់ទឹកដែលទាក់ទងនឹងគំរូនេះទេ ដូច្នេះហើយយើងមិនទាន់ដឹងពីវ៉ិចទ័រនៃការឆ្លងនោះទេ។

យើង​បាន​ចេញ​ផ្សាយ​ថ្មីៗ​នេះ។ ប្រកាសអំពី OceanLotus និងរបៀបដែលប្រតិបត្តិករកំពុងព្យាយាមផ្តល់នូវការតស៊ូ បង្កើនល្បឿនដំណើរការកូដ និងកាត់បន្ថយការបោះជំហាននៅលើប្រព័ន្ធវីនដូ។ វាត្រូវបានគេស្គាល់ផងដែរថាក្រុមអ៊ីនធឺណិតនេះក៏មានសមាសភាគសម្រាប់ macOS ផងដែរ។ ការបង្ហោះនេះរៀបរាប់លម្អិតអំពីការផ្លាស់ប្តូរនៅក្នុងកំណែថ្មីបំផុតនៃមេរោគសម្រាប់ macOS នៅក្នុងការប្រៀបធៀបជាមួយនឹងកំណែមុន (ពិពណ៌នាដោយ Trend Micro) ហើយ​ក៏​ពិពណ៌នា​អំពី​របៀប​ដែល​អ្នក​អាច​ធ្វើ​ស្វ័យប្រវត្តិកម្ម​ការ​ឌិគ្រីប​នៃ​ខ្សែអក្សរ​អំឡុង​ពេល​វិភាគ​ដោយ​ប្រើ IDA Hex-Rays API។

Анализ

ផ្នែកបីបន្ទាប់ពិពណ៌នាអំពីការវិភាគនៃគំរូដែលមានសញ្ញា SHA-1 E615632C9998E4D3E5ACD8851864ED09B02C77D2. ឯកសារត្រូវបានគេហៅថា ពិលផលិតផលកំចាត់មេរោគ ESET រកឃើញវាជា OSX/OceanLotus.D ។

ការប្រឆាំងនឹងការបំបាត់កំហុស និងការការពារប្រអប់ខ្សាច់

ដូចប្រព័ន្ធគោលពីរ macOS OceanLotus ទាំងអស់ គំរូត្រូវបានខ្ចប់ជាមួយ UPX ប៉ុន្តែឧបករណ៍កំណត់អត្តសញ្ញាណអ្នកវេចខ្ចប់ភាគច្រើនមិនទទួលស្គាល់វាដូចនោះទេ។ នេះប្រហែលជាដោយសារតែពួកវាភាគច្រើនមានហត្ថលេខាអាស្រ័យលើវត្តមាននៃខ្សែអក្សរ "UPX" លើសពីនេះហត្ថលេខា Mach-O គឺមិនសូវមានធម្មតាទេ ហើយមិនត្រូវបានធ្វើបច្ចុប្បន្នភាពញឹកញាប់ទេ។ លក្ខណៈពិសេសនេះធ្វើឱ្យការរកឃើញឋិតិវន្តពិបាក។ គួរឱ្យចាប់អារម្មណ៍បន្ទាប់ពីការពន្លាកញ្ចប់ចំណុចចូលគឺនៅដើមផ្នែក __cfstring នៅក្នុងផ្នែក .TEXT. ផ្នែកនេះមានគុណលក្ខណៈទង់ដូចបង្ហាញក្នុងរូបភាពខាងក្រោម។

រូបភាពទី 1. គុណលក្ខណៈផ្នែក MACH-O __cfstring

ដូចដែលបានបង្ហាញក្នុងរូបភាពទី 2 ទីតាំងកូដនៅក្នុងផ្នែក __cfstring អនុញ្ញាតឱ្យអ្នកបញ្ឆោតឧបករណ៍បំបែកមួយចំនួនដោយបង្ហាញកូដជាខ្សែអក្សរ។

រូបភាពទី 2. លេខកូដ Backdoor រកឃើញដោយ IDA ជាទិន្នន័យ

នៅពេលដែលបានប្រតិបត្តិរួចហើយ ប្រព័ន្ធគោលពីរនឹងបង្កើតខ្សែស្រឡាយជាកម្មវិធីប្រឆាំងការបំបាត់កំហុសដែលគោលបំណងតែមួយគត់គឺដើម្បីបន្តពិនិត្យមើលវត្តមានរបស់ឧបករណ៍បំបាត់កំហុស។ សម្រាប់លំហូរនេះ៖

- ព្យាយាមផ្ដាច់កម្មវិធីបំបាត់កំហុសណាមួយ ដោយហៅទូរសព្ទ ptrace с PT_DENY_ATTACH ជាប៉ារ៉ាម៉ែត្រស្នើសុំ
- ពិនិត្យមើលថាតើច្រកផ្តាច់មុខមួយចំនួនត្រូវបានបើកដោយហៅមុខងារមួយ។ task_get_exception_ports
- ពិនិត្យមើលថាតើឧបករណ៍បំបាត់កំហុសត្រូវបានភ្ជាប់ដូចដែលបានបង្ហាញក្នុងរូបភាពខាងក្រោមដោយពិនិត្យមើលវត្តមានរបស់ទង់ជាតិ P_TRACED នៅក្នុងដំណើរការបច្ចុប្បន្ន

រូបភាពទី 3. ពិនិត្យការតភ្ជាប់បំបាត់កំហុសដោយប្រើមុខងារ sysctl

ប្រសិនបើឧបករណ៍ឃ្លាំមើលរកឃើញវត្តមានរបស់ឧបករណ៍បំបាត់កំហុស មុខងារត្រូវបានហៅ exit. លើសពីនេះទៀត គំរូបន្ទាប់មកពិនិត្យមើលបរិស្ថានដោយដំណើរការពាក្យបញ្ជាពីរ៖

ioreg -l | grep -e "Manufacturer" и sysctl hw.model

គំរូបន្ទាប់មកពិនិត្យតម្លៃត្រឡប់ធៀបនឹងបញ្ជីខ្សែអក្សរដែលសរសេរកូដរឹងពីប្រព័ន្ធនិម្មិតដែលគេស្គាល់៖ អេក, vmware, ប្រអប់និម្មិត ឬ ភាពស្របគ្នា. ជាចុងក្រោយ ពាក្យបញ្ជាបន្ទាប់ពិនិត្យមើលថាតើម៉ាស៊ីនមួយក្នុងចំនោម "MBP", "MBA", "MB", "MM", "IM", "MP" និង "XS" ។ ទាំងនេះគឺជាលេខកូដគំរូប្រព័ន្ធ ឧទាហរណ៍ "MBP" មានន័យថា MacBook Pro "MBA" មានន័យថា MacBook Air ។ល។

system_profiler SPHardwareDataType 2>/dev/null | awk '/Boot ROM Version/ {split($0, line, ":");printf("%s", line[2]);}

ការបន្ថែមសំខាន់ៗ

ខណៈពេលដែលពាក្យបញ្ជា backdoor មិនផ្លាស់ប្តូរចាប់តាំងពីការស្រាវជ្រាវរបស់ Trend Micro យើងបានកត់សម្គាល់ការកែប្រែមួយចំនួនផ្សេងទៀត។ ម៉ាស៊ីនមេ C&C ដែលប្រើក្នុងគំរូនេះគឺថ្មីដោយយុត្តិធម៌ ហើយត្រូវបានបង្កើតឡើងនៅថ្ងៃទី 22.10.2018/XNUMX/XNUMX។

- daff.faybilodeau[.]com
- sarc.onteagleroad[.]com
- au.charlineopkesston[.]com

URL ធនធានបានប្តូរទៅ /dp/B074WC4NHW/ref=gbps_img_m-9_62c3_750e6b35.
កញ្ចប់ព័ត៌មានដំបូងដែលផ្ញើទៅម៉ាស៊ីនមេ C&C មានព័ត៌មានបន្ថែមអំពីម៉ាស៊ីនមេ រួមទាំងទិន្នន័យទាំងអស់ដែលប្រមូលបានដោយពាក្យបញ្ជាក្នុងតារាងខាងក្រោម។

បន្ថែមពីលើការផ្លាស់ប្តូរការកំណត់រចនាសម្ព័ន្ធនេះ គំរូមិនប្រើបណ្ណាល័យសម្រាប់ការត្រងបណ្តាញទេ។ libcurlប៉ុន្តែបណ្ណាល័យខាងក្រៅ។ ដើម្បីស្វែងរកវា backdoor ព្យាយាមឌិគ្រីបរាល់ឯកសារនៅក្នុងថតបច្ចុប្បន្នដោយប្រើ AES-256-CBC ដោយប្រើសោ gFjMXBgyXWULmVVVzyxy, padded ជាមួយសូន្យ។ ឯកសារនីមួយៗត្រូវបានឌិគ្រីប និងរក្សាទុកជា /tmp/storeហើយការប៉ុនប៉ងដើម្បីផ្ទុកវាជាបណ្ណាល័យត្រូវបានធ្វើឡើងដោយប្រើមុខងារ ភ្លៅ. នៅពេលការប៉ុនប៉ងឌិគ្រីបនាំឱ្យមានការហៅទូរសព្ទជោគជ័យ dlopenbackdoor ទាញយកមុខងារដែលបាននាំចេញ Boriry и ChadylonVដែលជាក់ស្តែងទទួលខុសត្រូវចំពោះការទំនាក់ទំនងបណ្តាញជាមួយម៉ាស៊ីនមេ។ យើងមិនមាន dropper ឬឯកសារផ្សេងទៀតពីទីតាំងដើមរបស់គំរូ ដូច្នេះយើងមិនអាចញែកបណ្ណាល័យនេះបានទេ។ លើសពីនេះទៅទៀត ដោយសារសមាសធាតុត្រូវបានអ៊ិនគ្រីប ច្បាប់ YARA ផ្អែកលើខ្សែអក្សរទាំងនេះនឹងមិនផ្គូផ្គងឯកសារដែលរកឃើញនៅលើថាសនោះទេ។

ដូចដែលបានពិពណ៌នានៅក្នុងអត្ថបទខាងលើវាបង្កើត លេខសម្គាល់អតិថិជន. លេខសម្គាល់នេះគឺជាសញ្ញា MD5 នៃតម្លៃត្រឡប់នៃពាក្យបញ្ជាមួយក្នុងចំណោមពាក្យបញ្ជាខាងក្រោម៖

- ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformSerialNumber/ { split($0, line, """); printf("%s", line[4]); }'
- ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformUUID/ { split($0, line, """); printf("%s", line[4]); }'
- ifconfig en0 | awk '/ether /{print $2}' (ទទួលបានអាសយដ្ឋាន MAC)
- ក្រុមមិនស្គាល់ ("x1ex72x0a") ដែលត្រូវបានប្រើនៅក្នុងគំរូមុន។

មុនពេល hashing "0" ឬ "1" ត្រូវបានបន្ថែមទៅតម្លៃត្រឡប់មកវិញដើម្បីបង្ហាញពីសិទ្ធិជា root ។ នេះ។ លេខសម្គាល់អតិថិជន រក្សាទុកក្នុង /Library/Storage/File System/HFS/25cf5d02-e50b-4288-870a-528d56c3cf6e/pivtoken.appexប្រសិនបើកូដត្រូវបានដំណើរការជា root ឬក្នុង ~/Library/SmartCardsServices/Technology/PlugIns/drivers/snippets.ecgML ក្នុងគ្រប់ករណីផ្សេងទៀតទាំងអស់។ ឯកសារជាធម្មតាត្រូវបានលាក់ដោយប្រើមុខងារ _chflagsត្រាពេលវេលារបស់វាត្រូវបានផ្លាស់ប្តូរដោយប្រើពាក្យបញ្ជា touch –t ជាមួយនឹងតម្លៃចៃដន្យ។

ការឌិកូដខ្សែអក្សរ

ដូចជម្រើសពីមុន ខ្សែអក្សរត្រូវបានអ៊ិនគ្រីបដោយប្រើ AES-256-CBC (សោគោលដប់ប្រាំមួយ៖ 9D7274AD7BCEF0DED29BDBB428C251DF8B350B92 padded ជាមួយសូន្យ, និង IV ពោរពេញទៅដោយសូន្យ) តាមរយៈមុខងារ CCCrypt. សោបានផ្លាស់ប្តូរពីកំណែមុន ប៉ុន្តែដោយសារក្រុមនៅតែប្រើក្បួនដោះស្រាយការអ៊ិនគ្រីបខ្សែអក្សរដដែល ការឌិគ្រីបអាចដំណើរការដោយស្វ័យប្រវត្តិ។ បន្ថែមពីលើការបង្ហោះនេះ យើងកំពុងបញ្ចេញស្គ្រីប IDA ដែលប្រើ Hex-Rays API ដើម្បីឌិគ្រីបខ្សែអក្សរដែលមាននៅក្នុងឯកសារគោលពីរ។ ស្គ្រីបនេះអាចជួយជាមួយនឹងការវិភាគនាពេលអនាគតនៃ OceanLotus និងការវិភាគនៃគំរូដែលមានស្រាប់ដែលយើងមិនទាន់អាចទទួលបាន។ ស្គ្រីបគឺផ្អែកលើវិធីសាស្ត្រសកលសម្រាប់ការទទួលអាគុយម៉ង់ដែលបានបញ្ជូនទៅមុខងារមួយ។ លើសពីនេះទៀតវារកមើលការកំណត់ប៉ារ៉ាម៉ែត្រ។ វិធីសាស្រ្តអាចត្រូវបានប្រើឡើងវិញដើម្បីទទួលបានបញ្ជីនៃអាគុយម៉ង់មុខងារហើយបន្ទាប់មកបញ្ជូនវាទៅការហៅត្រឡប់មកវិញ។

ដឹងពីគំរូមុខងារ ឌិគ្រីបស្គ្រីបរកឃើញសេចក្តីយោងឆ្លងទាំងអស់ចំពោះមុខងារនេះ អាគុយម៉ង់ទាំងអស់ បន្ទាប់មកឌិគ្រីបទិន្នន័យ និងដាក់អត្ថបទធម្មតានៅក្នុងមតិយោបល់នៅអាសយដ្ឋានយោងឆ្លង។ ដើម្បីឱ្យស្គ្រីបដំណើរការបានត្រឹមត្រូវ វាត្រូវតែកំណត់ទៅអក្ខរក្រមផ្ទាល់ខ្លួនដែលប្រើដោយមុខងារឌិកូដ base64 ហើយអថេរសកលត្រូវតែកំណត់ដែលមានប្រវែងនៃសោ (ក្នុងករណីនេះ DWORD សូមមើលរូបភាពទី 4)។

រូបភាពទី 4. និយមន័យនៃ key_len អថេរសកល

នៅក្នុងបង្អួចមុខងារ អ្នកអាចចុចកណ្ដុរស្ដាំលើមុខងារឌិគ្រីប ហើយចុច "ស្រង់ចេញ និងឌិគ្រីបអាគុយម៉ង់"។ ស្គ្រីបគួរតែដាក់បន្ទាត់ដែលបានឌិគ្រីបនៅក្នុងមតិយោបល់ ដូចបង្ហាញក្នុងរូបភាពទី 5 ។

រូបភាពទី 5. អត្ថបទដែលបានឌិគ្រីបត្រូវបានដាក់ក្នុងមតិយោបល់

វិធីនេះខ្សែអក្សរដែលបានឌិគ្រីបត្រូវបានដាក់បញ្ចូលគ្នាយ៉ាងងាយស្រួលនៅក្នុងបង្អួច IDA xrefs សម្រាប់មុខងារនេះដូចបង្ហាញក្នុងរូបភាពទី 6 ។

រូបភាពទី 6. មុខងារ Xrefs ទៅ f_decrypt

ស្គ្រីបចុងក្រោយអាចរកបាននៅ ឃ្លាំង Github.

សេចក្តីសន្និដ្ឋាន

ដូចដែលបានបញ្ជាក់រួចមកហើយ OceanLotus កំពុងកែលម្អ និងធ្វើបច្ចុប្បន្នភាពកញ្ចប់ឧបករណ៍របស់ខ្លួន។ លើកនេះ ក្រុមអ៊ិនធឺណិតបានកែលម្អមេរោគឱ្យដំណើរការជាមួយអ្នកប្រើប្រាស់ Mac ។ កូដមិនបានផ្លាស់ប្តូរច្រើនទេ ប៉ុន្តែដោយសារអ្នកប្រើប្រាស់ Mac ជាច្រើនមិនអើពើនឹងផលិតផលសុវត្ថិភាព ការការពារមេរោគពីការរកឃើញគឺមានសារៈសំខាន់បន្ទាប់បន្សំ។

ផលិតផល ESET បានរកឃើញឯកសារនេះរួចហើយនៅពេលស្រាវជ្រាវ។ ដោយសារតែបណ្ណាល័យបណ្តាញដែលប្រើសម្រាប់ការទំនាក់ទំនង C&C ឥឡូវនេះត្រូវបានអ៊ិនគ្រីបនៅលើថាស ពិធីការបណ្តាញពិតប្រាកដដែលប្រើដោយអ្នកវាយប្រហារមិនទាន់ដឹងនៅឡើយទេ។

សូចនាករនៃការសម្របសម្រួល

សូចនាករនៃការសម្របសម្រួល ក៏ដូចជាគុណលក្ខណៈ MITER ATT&CK ក៏មាននៅលើផងដែរ។ GitHub.

ប្រភព: www.habr.com