RTM 사이버 그룹은 러시아 기업의 자금을 훔치는 것을 전문으로 합니다.

러시아 기업으로부터 자금을 훔치는 것을 전문으로 하는 사이버 그룹이 여러 개 알려져 있습니다. 우리는 대상 네트워크에 대한 액세스를 허용하는 보안 허점을 이용한 공격을 목격했습니다. 액세스 권한을 얻은 공격자는 조직의 네트워크 구조를 연구하고 자체 도구를 배포하여 자금을 훔칩니다. 이러한 추세의 전형적인 예는 해커 그룹 Buhtrap, Cobalt 및 Corkow입니다.

본 보고서가 중점을 두고 있는 RTM 그룹도 이러한 추세의 일부입니다. 이는 Delphi로 작성된 특별히 설계된 악성 코드를 사용하며, 다음 섹션에서 이에 대해 자세히 살펴보겠습니다. ESET 원격 측정 시스템에서 이러한 도구의 첫 번째 흔적은 2015년 말에 발견되었습니다. 팀은 필요에 따라 감염된 시스템에 다양한 새 모듈을 로드합니다. 이 공격은 러시아와 일부 인접 국가의 원격 뱅킹 시스템 사용자를 대상으로 합니다.

1. 목표

RTM 캠페인은 기업 사용자를 대상으로 합니다. 이는 공격자가 손상된 시스템에서 탐지하려고 하는 프로세스에서 명백히 드러납니다. 원격 뱅킹 시스템 작업을 위한 회계 소프트웨어에 중점을 두고 있습니다.

RTM의 관심 프로세스 목록은 Buhtrap 그룹의 해당 목록과 유사하지만 그룹마다 감염 벡터가 다릅니다. Buhtrap이 가짜 페이지를 더 자주 사용했다면 RTM은 드라이브 바이 다운로드 공격(브라우저 또는 해당 구성 요소에 대한 공격)과 이메일 스팸을 사용했습니다. 원격 측정 데이터에 따르면 위협은 러시아와 인근 국가(우크라이나, 카자흐스탄, 체코, 독일)를 겨냥하고 있습니다. 그러나 대량 배포 메커니즘을 사용하기 때문에 대상 지역 외부에서 악성 코드를 탐지하는 것은 놀라운 일이 아닙니다.

총 악성 코드 탐지 횟수는 상대적으로 적습니다. 반면, RTM 캠페인은 복잡한 프로그램을 사용하므로 공격이 고도로 표적화되어 있음을 나타냅니다.

존재하지 않는 계약서, 송장 또는 세무 회계 문서를 포함하여 RTM에서 사용하는 여러 미끼 문서를 발견했습니다. 미끼의 성격과 공격 대상 소프트웨어 유형을 종합해 보면 공격자가 회계 부서를 통해 러시아 회사의 네트워크에 "들어가고" 있음을 알 수 있습니다. 그룹은 동일한 계획에 따라 행동했습니다. 부트랩 2014-2015에서

연구하는 동안 우리는 여러 C&C 서버와 상호 작용할 수 있었습니다. 다음 섹션에서 명령의 전체 목록을 나열할 것입니다. 그러나 지금은 클라이언트가 키로거에서 공격 서버로 직접 데이터를 전송한 다음 추가 명령을 수신한다고 말할 수 있습니다.

그러나 단순히 명령 및 제어 서버에 연결하여 관심 있는 모든 데이터를 수집할 수 있는 시대는 지났습니다. 서버에서 관련 명령을 가져오기 위해 현실적인 로그 파일을 다시 만들었습니다.

첫 번째는 1C: Enterprise 1 프로그램의 전송 파일인 8c_to_kl.txt 파일을 전송하도록 봇에 요청하는 것입니다. 이 파일의 모양은 RTM에서 적극적으로 모니터링됩니다. 1C는 나가는 지불에 대한 데이터를 텍스트 파일에 업로드하여 원격 뱅킹 시스템과 상호 작용합니다. 다음으로, 지불 주문의 자동화 및 실행을 위해 파일이 원격 뱅킹 시스템으로 전송됩니다.

파일에는 결제 세부정보가 포함되어 있습니다. 공격자가 지급 정보를 변경하는 경우, 이체는 허위 세부 정보를 사용하여 공격자의 계좌로 전송됩니다.

명령 및 제어 서버에서 이러한 파일을 요청한 지 약 한 달 후, 우리는 새로운 플러그인 1c_2_kl.dll이 손상된 시스템에 로드되는 것을 관찰했습니다. 모듈(DLL)은 회계 소프트웨어 프로세스에 침투하여 다운로드 파일을 자동으로 분석하도록 설계되었습니다. 다음 섹션에서 자세히 설명하겠습니다.

흥미롭게도 2016년 말 러시아 은행의 FinCERT는 1c_to_kl.txt 업로드 파일을 사용하는 사이버 범죄자에 대한 경고 게시판을 발행했습니다. 1C의 개발자도 이 계획에 대해 알고 있으며 이미 공식 성명을 발표하고 예방 조치를 나열했습니다.

다른 모듈도 명령 서버, 특히 VNC(32비트 및 64비트 버전)에서 로드되었습니다. 이전에 Dridex 트로이목마 공격에 사용되었던 VNC 모듈과 유사합니다. 이 모듈은 감염된 컴퓨터에 원격으로 연결하고 시스템에 대한 자세한 연구를 수행하는 데 사용되는 것으로 추정됩니다. 다음으로 공격자는 네트워크를 돌아다니며 사용자 비밀번호를 추출하고, 정보를 수집하고, 악성 코드가 지속적으로 존재하도록 합니다.

2. 감염 매개체

다음 그림은 캠페인 연구 기간 동안 탐지된 감염 벡터를 보여줍니다. 이 그룹은 광범위한 벡터를 사용하지만 주로 드라이브 바이 다운로드 공격과 스팸을 사용합니다. 이러한 도구는 표적 공격에 편리합니다. 첫 번째 경우 공격자는 잠재적인 피해자가 방문한 사이트를 선택할 수 있고, 두 번째 경우 첨부 파일이 포함된 이메일을 원하는 회사 직원에게 직접 보낼 수 있기 때문입니다.

악성 코드는 RIG 및 Sundown 익스플로잇 킷이나 스팸 메일을 포함한 여러 채널을 통해 배포되며, 이는 공격자와 이러한 서비스를 제공하는 다른 사이버 공격자 간의 연결을 나타냅니다.

2.1. RTM과 Buhtrap은 어떤 관련이 있나요?

RTM 캠페인은 Buhtrap과 매우 유사합니다. 자연스러운 질문은 다음과 같습니다. 그들은 서로 어떻게 관련되어 있습니까?

2016년 XNUMX월에 우리는 Buhtrap 업로더를 사용하여 RTM 샘플이 배포되는 것을 관찰했습니다. 또한 Buhtrap과 RTM 모두에서 사용되는 두 개의 디지털 인증서를 발견했습니다.

DNISTER-M 회사에서 발행된 것으로 알려진 첫 번째 파일은 두 번째 Delphi 양식(SHA-1: 025C718BA31E43DB1B87DC13F94A61A9338C11CE)과 Buhtrap DLL(SHA-1: 1E2642B454A2C889B6D41116CCDBA83F6F2D4890)에 디지털 서명하는 데 사용되었습니다. .

Bit-Tredj에 발행된 두 번째 버전은 Buhtrap 로더(SHA-1: 7C1B6B1713BD923FC243DFEC80002FE9B93EB292 및 B74F71560E48488D2153AE2FB51207A0AC206E2B)에 서명하고 RTM 구성 요소를 다운로드 및 설치하는 데 사용되었습니다.

RTM 운영자는 다른 맬웨어 계열에 공통된 인증서를 사용하지만 고유한 인증서도 가지고 있습니다. ESET 원격 측정에 따르면 Kit-SD에 발행되었으며 일부 RTM 악성 코드(SHA-1: 42A4B04446A20993DDAE98B2BE6D5A797376D4B6)에 서명하는 데만 사용되었습니다.

RTM은 Buhtrap과 동일한 로더를 사용하고 RTM 구성 요소는 Buhtrap 인프라에서 로드되므로 그룹은 유사한 네트워크 표시기를 갖습니다. 그러나 우리의 추정에 따르면 RTM과 Buhtrap은 서로 다른 그룹입니다. 적어도 RTM이 다른 방식으로 배포되기 때문입니다(단지 "외국" 다운로더를 사용하는 것이 아니라).

그럼에도 불구하고 해커 그룹은 유사한 운영 원칙을 사용합니다. 그들은 회계 소프트웨어를 사용하는 기업을 표적으로 삼고, 유사하게 시스템 정보를 수집하고, 스마트 카드 판독기를 검색하고, 피해자를 감시하기 위해 일련의 악성 도구를 배포합니다.

3. 진화

이 섹션에서는 연구 중에 발견된 다양한 버전의 악성 코드를 살펴보겠습니다.

3.1. 버전 관리

RTM은 구성 데이터를 레지스트리 섹션에 저장하는데, 가장 흥미로운 부분은 botnet-prefix입니다. 우리가 연구한 샘플에서 본 모든 값의 목록은 아래 표에 나와 있습니다.

해당 값은 악성 코드 버전을 기록하는 데 사용될 수 있습니다. 그러나 bit2와 bit3, 0.1.6.4와 0.1.6.6 등 버전 간에는 큰 차이를 느끼지 못했습니다. 더욱이 접두사 중 하나는 처음부터 존재해 왔으며 아래에 표시된 대로 일반적인 C&C 도메인에서 .bit 도메인으로 발전했습니다.

3.2. 일정

원격 측정 데이터를 사용하여 샘플 발생 그래프를 만들었습니다.

4. 기술적 분석

이 섹션에서는 저항 메커니즘, RC4 알고리즘의 자체 버전, 네트워크 프로토콜, 감시 기능 및 기타 기능을 포함하여 RTM 뱅킹 트로이 목마의 주요 기능에 대해 설명합니다. 특히 SHA-1 샘플 AA0FA4584768CE9E16D67D8C529233E99FF1BBF0 및 48BC113EC8BA20B8B80CD5D4DA92051A19D1032B에 중점을 둘 것입니다.

4.1. 설치 및 저장

4.1.1. 시행

RTM 코어는 DLL이며 라이브러리는 .EXE를 사용하여 디스크에 로드됩니다. 실행 파일은 일반적으로 패키지되어 있으며 DLL 코드를 포함합니다. 일단 시작되면 DLL을 추출하고 다음 명령을 사용하여 실행합니다.

rundll32.exe “%PROGRAMDATA%Winlogonwinlogon.lnk”,DllGetClassObject host

4.1.2. DLL

기본 DLL은 항상 %PROGRAMDATA%Winlogon 폴더의 winlogon.lnk로 디스크에 로드됩니다. 이 파일 확장자는 일반적으로 바로가기와 연결되어 있지만 실제로 파일은 아래 이미지에 표시된 것처럼 개발자가 core.dll이라는 이름으로 Delphi로 작성된 DLL입니다.

Пример названия DLL F4C746696B0F5BB565D445EC49DD912993DE6361

일단 실행되면 트로이 목마는 저항 메커니즘을 활성화합니다. 이는 시스템에서 피해자의 권한에 따라 두 가지 방법으로 수행될 수 있습니다. 관리자 권한이 있는 경우 트로이 목마는 HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun 레지스트리에 Windows 업데이트 항목을 추가합니다. Windows 업데이트에 포함된 명령은 사용자 세션이 시작될 때 실행됩니다.

HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunWindows 업데이트 [REG_SZ] = rundll32.exe “%PROGRAMDATA%winlogon.lnk”,DllGetClassObject 호스트

또한 트로이 목마는 Windows 작업 스케줄러에 작업을 추가하려고 시도합니다. 작업은 위와 동일한 매개변수를 사용하여 winlogon.lnk DLL을 시작합니다. 일반 사용자 권한을 통해 트로이 목마는 동일한 데이터가 포함된 Windows 업데이트 항목을 HKCUSoftwareMicrosoftWindowsCurrentVersionRun 레지스트리에 추가할 수 있습니다.

rundll32.exe “%PROGRAMDATA%winlogon.lnk”,DllGetClassObject host

4.2. 수정된 RC4 알고리즘

알려진 단점에도 불구하고 RC4 알고리즘은 맬웨어 작성자가 정기적으로 사용합니다. 그러나 RTM 작성자는 바이러스 분석가의 작업을 더 어렵게 만들기 위해 이를 약간 수정했습니다. RC4의 수정된 버전은 문자열, 네트워크 데이터, 구성 및 모듈을 암호화하기 위해 악성 RTM 도구에서 널리 사용됩니다.

4.2.1. 차이점

원래 RC4 알고리즘에는 s-블록 초기화(일명 KSA - 키 스케줄링 알고리즘) 및 의사 무작위 시퀀스 생성(PRGA - 의사 무작위 생성 알고리즘)의 두 단계가 포함됩니다. 첫 번째 단계에서는 키를 사용하여 s-box를 초기화하고, 두 번째 단계에서는 암호화를 위해 s-box를 사용하여 소스 텍스트를 처리합니다.

RTM 작성자는 s-box 초기화와 암호화 사이에 중간 단계를 추가했습니다. 추가 키는 가변적이며 암호화 및 복호화할 데이터와 동시에 설정됩니다. 이 추가 단계를 수행하는 기능은 아래 그림에 나와 있습니다.

4.2.2. 문자열 암호화

언뜻 보기에 기본 DLL에는 읽을 수 있는 여러 줄이 있습니다. 나머지는 위에서 설명한 알고리즘을 사용하여 암호화되며 그 구조는 다음 그림과 같습니다. 분석된 샘플에서 문자열 암호화를 위한 25개 이상의 서로 다른 RC4 키를 발견했습니다. XOR 키는 행마다 다릅니다. 줄을 구분하는 숫자 필드의 값은 항상 0xFFFFFFFF입니다.

실행 시작 시 RTM은 문자열을 전역 변수로 해독합니다. 문자열에 액세스해야 하는 경우 트로이 목마는 기본 주소와 오프셋을 기반으로 해독된 문자열의 주소를 동적으로 계산합니다.

문자열에는 맬웨어 기능에 대한 흥미로운 정보가 포함되어 있습니다. 몇 가지 예제 문자열이 섹션 6.8에 제공되어 있습니다.

4.3. 네트워크

RTM 악성코드가 C&C 서버에 접속하는 방식은 버전마다 다릅니다. 첫 번째 수정(2015년 2016월~XNUMX년 XNUMX월)에서는 livejournal.com의 RSS 피드와 함께 기존 도메인 이름을 사용하여 명령 목록을 업데이트했습니다.

2016년 05월부터 원격 분석 데이터가 .bit 도메인으로 전환되었습니다. 이는 도메인 등록 날짜로 확인됩니다. 첫 번째 RTM 도메인인 fde0573d13da.bit는 2016년 XNUMX월 XNUMX일에 등록되었습니다.

캠페인을 모니터링하는 동안 우리가 본 모든 URL은 /r/z.php라는 공통 경로를 가졌습니다. 이는 매우 드문 일이며 네트워크 흐름에서 RTM 요청을 식별하는 데 도움이 됩니다.

4.3.1. 명령 및 제어 채널

레거시 사례에서는 이 채널을 사용하여 명령 및 제어 서버 목록을 업데이트했습니다. 호스팅은 livejournal.com에 있으며, 보고서 작성 당시 URL hxxp://f72bba81c921(.)livejournal(.)com/data/rss에 남아 있었습니다.

Livejournal은 블로그 플랫폼을 제공하는 러시아계 미국 회사입니다. RTM 운영자는 코딩된 명령이 포함된 기사를 게시하는 LJ 블로그를 만듭니다. 스크린샷을 참조하세요.

명령 및 제어 라인은 수정된 RC4 알고리즘(섹션 4.2)을 사용하여 인코딩됩니다. 채널의 현재 버전(2016년 XNUMX월)에는 다음 명령 및 제어 서버 주소가 포함되어 있습니다.

• hxxp://cainmoon(.)net/r/z.php
• hxxp://rtm(.)dev/0-3/z.php
• hxxp://vpntap(.)top/r/z.php

4.3.2. .bit 도메인

최신 RTM 샘플에서 작성자는 .bit TLD 최상위 도메인을 사용하여 C&C 도메인에 연결합니다. 최상위 도메인의 ICANN(도메인 이름 및 인터넷 회사) 목록에 없습니다. 대신 비트코인 ​​기술을 기반으로 구축된 Namecoin 시스템을 사용합니다. 맬웨어 작성자는 자신의 도메인에 .bit TLD를 자주 사용하지 않지만 이러한 사용 사례는 이전에 Necurs 봇넷 버전에서 관찰되었습니다.

Bitcoin과 달리 분산 Namecoin 데이터베이스 사용자는 데이터를 저장할 수 있습니다. 이 기능의 주요 응용 프로그램은 .bit 최상위 도메인입니다. 분산 데이터베이스에 저장될 도메인을 등록할 수 있습니다. 데이터베이스의 해당 항목에는 도메인에서 확인된 IP 주소가 포함되어 있습니다. 이 TLD는 등록자만이 .bit 도메인의 해상도를 변경할 수 있으므로 "검열 ​​저항성"이 있습니다. 이는 이러한 유형의 TLD를 사용하여 악성 도메인을 중지하는 것이 훨씬 더 어렵다는 것을 의미합니다.

RTM 트로이 목마에는 분산 Namecoin 데이터베이스를 읽는 데 필요한 소프트웨어가 포함되어 있지 않습니다. dns.dot-bit.org 또는 OpenNic 서버와 같은 중앙 DNS 서버를 사용하여 .bit 도메인을 확인합니다. 따라서 DNS 서버와 동일한 내구성을 갖습니다. 블로그 게시물에서 언급된 후 일부 팀 도메인이 더 이상 감지되지 않는 것을 확인했습니다.

해커를 위한 .bit TLD의 또 다른 장점은 비용입니다. 도메인을 등록하려면 운영자는 $0,01(0,00185년 5월 2016일 기준)에 해당하는 10NK만 지불하면 됩니다. 비교를 위해 domain.com의 비용은 최소 XNUMX달러입니다.

4.3.3. 규약

명령 및 제어 서버와 통신하기 위해 RTM은 사용자 정의 프로토콜을 사용하여 형식화된 데이터와 함께 HTTP POST 요청을 사용합니다. 경로 값은 항상 /r/z.php입니다. Mozilla/5.0 사용자 에이전트(호환 가능, MSIE 9.0, Windows NT 6.1, Trident/5.0). 서버에 대한 요청에서 데이터 형식은 다음과 같습니다. 여기서 오프셋 값은 바이트 단위로 표시됩니다.

바이트 0~6은 인코딩되지 않습니다. 6부터 시작하는 바이트는 수정된 RC4 알고리즘을 사용하여 인코딩됩니다. C&C 응답 패킷의 구조는 더 간단하다. 바이트는 4에서 패킷 크기로 인코딩됩니다.

가능한 작업 바이트 값 목록은 아래 표에 나와 있습니다.

악성코드는 항상 해독된 데이터의 CRC32를 계산하고 이를 패킷에 있는 것과 비교합니다. 서로 다를 경우 트로이 목마는 패킷을 삭제합니다.
추가 데이터에는 PE 파일, 파일 시스템에서 검색할 파일, 새 명령 URL 등 다양한 개체가 포함될 수 있습니다.

4.3.4. 패널

우리는 RTM이 C&C 서버의 패널을 사용한다는 것을 알아냈습니다. 아래 스크린샷:

4.4. 특징적인 기호

RTM은 전형적인 뱅킹 트로이목마입니다. 운영자가 피해자 시스템에 대한 정보를 원하는 것은 놀라운 일이 아닙니다. 한편으로 봇은 OS에 대한 일반 정보를 수집합니다. 반면에 손상된 시스템에 러시아 원격 뱅킹 시스템과 관련된 속성이 포함되어 있는지 확인합니다.

4.4.1. 일반 정보

재부팅 후 맬웨어가 설치되거나 실행되면 다음을 포함한 일반 정보가 포함된 보고서가 명령 및 제어 서버로 전송됩니다.

• 시간대;
• 기본 시스템 언어;
• 승인된 사용자 자격 증명
• 프로세스 무결성 수준;
• 사용자 이름;
• 컴퓨터 이름;
• OS 버전;
• 추가 설치된 모듈;
• 설치된 바이러스 백신 프로그램;
• 스마트 카드 리더 목록.

4.4.2 원격뱅킹 시스템

일반적인 트로이 목마 대상은 원격 뱅킹 시스템이며 RTM도 예외는 아닙니다. 프로그램 모듈 중 하나는 TBdo라고 하며, 디스크 검색 및 검색 기록을 포함한 다양한 작업을 수행합니다.

디스크를 검사하여 트로이 목마는 뱅킹 소프트웨어가 시스템에 설치되어 있는지 확인합니다. 대상 프로그램의 전체 목록은 아래 표에 나와 있습니다. 관심 있는 파일을 감지하면 프로그램은 명령 서버에 정보를 보냅니다. 다음 작업은 명령 센터(C&C) 알고리즘에 지정된 논리에 따라 달라집니다.

RTM은 또한 브라우저 기록과 열린 탭에서 URL 패턴을 찾습니다. 또한 프로그램은 FindNextUrlCacheEntryA 및 FindFirstUrlCacheEntryA 함수의 사용을 검사하고 각 항목이 URL이 다음 패턴 중 하나와 일치하는지 확인합니다.

열린 탭을 감지하면 트로이 목마는 DDE(Dynamic Data Exchange) 메커니즘을 통해 Internet Explorer 또는 Firefox에 접속하여 탭이 패턴과 일치하는지 확인합니다.

검색 기록 및 열린 탭 확인은 확인 사이에 1초의 휴식 시간을 갖는 WHILE 루프(전제 조건이 있는 루프)에서 수행됩니다. 실시간으로 모니터링되는 기타 데이터는 섹션 4.5에서 논의됩니다.

패턴이 발견되면 프로그램은 다음 표의 문자열 목록을 사용하여 이를 명령 서버에 보고합니다.

4.5 모니터링

트로이 목마가 실행되는 동안 감염된 시스템의 특징에 대한 정보(뱅킹 소프트웨어 존재에 대한 정보 포함)가 명령 및 제어 서버로 전송됩니다. 핑거프린팅은 RTM이 초기 OS 스캔 직후 모니터링 시스템을 처음 실행할 때 발생합니다.

4.5.1. 원격뱅킹

TBdo 모듈은 은행 관련 프로세스를 모니터링하는 역할도 담당합니다. 초기 검색 중에 동적 데이터 교환을 사용하여 Firefox 및 Internet Explorer의 탭을 확인합니다. 또 다른 TShell 모듈은 명령 창(Internet Explorer 또는 파일 탐색기)을 모니터링하는 데 사용됩니다.

이 모듈은 COM 인터페이스 IShellWindows, iWebBrowser, DWebBrowserEvents2 및 IConnectionPointContainer를 사용하여 창을 모니터링합니다. 사용자가 새로운 웹페이지로 이동하면 악성코드는 이를 기록합니다. 그런 다음 페이지 URL을 위 패턴과 비교합니다. 일치하는 항목을 감지하면 트로이 목마는 5초 간격으로 XNUMX개의 연속 스크린샷을 찍어 C&S 명령 서버로 보냅니다. 이 프로그램은 또한 뱅킹 소프트웨어와 관련된 일부 창 이름을 확인합니다. 전체 목록은 다음과 같습니다.

4.5.2. 스마트 카드

RTM을 사용하면 감염된 컴퓨터에 연결된 스마트 카드 리더를 모니터링할 수 있습니다. 이러한 장치는 일부 국가에서 지불 주문을 조정하는 데 사용됩니다. 이러한 유형의 장치가 컴퓨터에 연결되면 해당 컴퓨터가 은행 거래에 사용되고 있음을 트로이 목마에게 알릴 수 있습니다.

다른 뱅킹 트로이 목마와 달리 RTM은 이러한 스마트 카드와 상호 작용할 수 없습니다. 아마도 이 기능은 아직 보지 못한 추가 모듈에 포함되어 있을 것입니다.

4.5.3. 키로거

감염된 PC를 모니터링할 때 중요한 부분은 키 입력을 캡처하는 것입니다. RTM 개발자들은 일반 키뿐만 아니라 가상 키보드, 클립보드까지 모니터링하기 때문에 어떤 정보도 놓치지 않은 것 같습니다.

이렇게 하려면 SetWindowsHookExA 함수를 사용하세요. 공격자는 누른 키나 가상 키보드에 해당하는 키를 프로그램 이름 및 날짜와 함께 기록합니다. 그런 다음 버퍼는 C&C 명령 서버로 전송됩니다.

SetClipboardViewer 함수는 클립보드를 가로채는 데 사용됩니다. 해커는 데이터가 텍스트일 때 클립보드의 내용을 기록합니다. 버퍼가 서버로 전송되기 전에 이름과 날짜도 기록됩니다.

4.5.4. 스크린샷

또 다른 RTM 기능은 스크린샷 가로채기입니다. 해당 기능은 창구 감시 모듈에서 관심 있는 사이트나 뱅킹 소프트웨어를 감지했을 때 적용됩니다. 스크린샷은 그래픽 이미지 라이브러리를 사용하여 촬영되어 명령 서버로 전송됩니다.

4.6. 제거

C&C 서버는 맬웨어 실행을 중지하고 컴퓨터를 정리할 수 있습니다. 이 명령을 사용하면 RTM이 실행되는 동안 생성된 파일과 레지스트리 항목을 지울 수 있습니다. 그런 다음 DLL을 사용하여 맬웨어와 winlogon 파일을 제거한 후 명령이 컴퓨터를 종료합니다. 아래 이미지에 표시된 것처럼 개발자는 erasure.dll을 사용하여 DLL을 제거합니다.

서버는 파괴적인 uninstall-lock 명령을 트로이 목마에게 보낼 수 있습니다. 이 경우 관리자 권한이 있으면 RTM은 하드 드라이브의 MBR 부팅 섹터를 삭제합니다. 이것이 실패하면 트로이 목마는 MBR 부팅 섹터를 임의의 섹터로 이동하려고 시도합니다. 그러면 컴퓨터는 종료 후 OS를 부팅할 수 없습니다. 이로 인해 OS가 완전히 재설치될 수 있으며 이는 증거가 파괴됨을 의미합니다.

관리자 권한이 없으면 악성코드는 기본 RTM DLL에 인코딩된 .EXE를 작성합니다. 실행 파일은 컴퓨터를 종료하는 데 필요한 코드를 실행하고 HKCUCurrentVersionRun 레지스트리 키에 모듈을 등록합니다. 사용자가 세션을 시작할 때마다 컴퓨터가 즉시 종료됩니다.

4.7. 구성 파일

기본적으로 RTM에는 구성 파일이 거의 없지만 명령 및 제어 서버는 레지스트리에 저장되고 프로그램에서 사용되는 구성 값을 보낼 수 있습니다. 구성 키 목록은 아래 표에 나와 있습니다.

구성은 Software[Pseudo-random string] 레지스트리 키에 저장됩니다. 각 값은 이전 표에 표시된 행 중 하나에 해당합니다. 값과 데이터는 RTM의 RC4 알고리즘을 사용하여 인코딩됩니다.

데이터는 네트워크나 문자열과 동일한 구조를 갖습니다. XNUMX바이트 XOR 키는 인코딩된 데이터의 시작 부분에 추가됩니다. 구성 값의 경우 XOR 키가 다르며 값의 크기에 따라 다릅니다. 다음과 같이 계산할 수 있습니다.

xor_key = (len(config_value) << 24) | (len(config_value) << 16)
| len(config_value)| (len(config_value) << 8)

4.8. 기타 기능

다음으로 RTM이 지원하는 다른 기능을 살펴보겠습니다.

4.8.1. 추가 모듈

트로이 목마에는 DLL 파일인 추가 모듈이 포함되어 있습니다. C&C 명령 서버에서 전송된 모듈은 외부 프로그램으로 실행될 수 있으며 RAM에 반영되고 새 스레드에서 시작될 수 있습니다. 저장을 위해 모듈은 .dtt 파일에 저장되고 네트워크 통신에 사용되는 것과 동일한 키를 사용하여 RC4 알고리즘을 사용하여 인코딩됩니다.

지금까지 우리는 VNC 모듈(8966319882494077C21F66A8354E2CBCA0370464), 브라우저 데이터 추출 모듈(03DE8622BE6B2F75A364A275995C3411626C4D9F) 및 1c_2_kl 모듈(B1EE562E1F69EF)의 설치를 관찰했습니다. C6FBA58 B88753BE7D0B3E4CFAB).

VNC 모듈을 로드하기 위해 C&C 서버는 포트 44443의 특정 IP 주소에서 VNC 서버에 대한 연결을 요청하는 명령을 실행합니다. 브라우저 데이터 검색 플러그인은 IE 검색 기록을 읽을 수 있는 TBrowserDataCollector를 실행합니다. 그런 다음 방문한 URL의 전체 목록을 C&C 명령 서버로 보냅니다.

발견된 마지막 모듈은 1c_2_kl입니다. 1C Enterprise 소프트웨어 패키지와 상호 작용할 수 있습니다. 모듈에는 주요 부분인 DLL과 각 프로세스에 주입되어 WH_CBT에 대한 바인딩을 등록하는 두 개의 에이전트(32비트 및 64비트)라는 두 부분이 포함됩니다. 1C 프로세스에 도입된 이 모듈은 CreateFile 및 WriteFile 기능을 바인딩합니다. CreateFile 바운드 함수가 호출될 때마다 모듈은 파일 경로 1c_to_kl.txt를 메모리에 저장합니다. WriteFile 호출을 가로챈 후 WriteFile 함수를 호출하고 파일 경로 1c_to_kl.txt를 기본 DLL 모듈에 전송하여 조작된 Windows WM_COPYDATA 메시지를 전달합니다.

기본 DLL 모듈은 파일을 열고 구문 분석하여 지불 주문을 결정합니다. 파일에 포함된 금액과 거래번호를 인식합니다. 이 정보는 명령 서버로 전송됩니다. 이 모듈에는 디버그 메시지가 포함되어 있고 1c_to_kl.txt를 자동으로 수정할 수 없기 때문에 현재 개발 중인 것으로 생각됩니다.

4.8.2. 권한 승격

RTM은 잘못된 오류 메시지를 표시하여 권한 상승을 시도할 수 있습니다. 악성코드는 레지스트리 검사(아래 그림 참조)를 시뮬레이션하거나 실제 레지스트리 편집기 아이콘을 사용합니다. 철자가 틀렸음을 주의하세요. 잠깐만요. 몇 초 동안 스캔한 후 프로그램은 잘못된 오류 메시지를 표시합니다.

잘못된 메시지는 문법 오류에도 불구하고 일반 사용자를 쉽게 속일 수 있습니다. 사용자가 두 링크 중 하나를 클릭하면 RTM은 시스템에서 해당 권한을 에스컬레이션하려고 시도합니다.

두 가지 복구 옵션 중 하나를 선택한 후 트로이 목마는 관리자 권한으로 ShellExecute 기능의 runas 옵션을 사용하여 DLL을 시작합니다. 사용자에게는 권한 상승에 대한 실제 Windows 프롬프트(아래 이미지 참조)가 표시됩니다. 사용자가 필요한 권한을 부여하면 트로이 목마는 관리자 권한으로 실행됩니다.

시스템에 설치된 기본 언어에 따라 트로이 목마는 러시아어 또는 영어로 오류 메시지를 표시합니다.

4.8.3. 자격증

RTM은 Windows Store에 인증서를 추가하고 csrss.exe 대화 상자에서 "예" 버튼을 자동으로 클릭하여 추가의 신뢰성을 확인할 수 있습니다. 이 동작은 새로운 것이 아닙니다. 예를 들어 뱅킹 트로이 목마 Retefe도 독립적으로 새 인증서 설치를 확인합니다.

4.8.4. 역방향 연결

RTM 작성자는 Backconnect TCP 터널도 만들었습니다. 아직 이 기능이 사용되는 것을 본 적은 없지만 감염된 PC를 원격으로 모니터링하도록 설계되었습니다.

4.8.5. 호스트 파일 관리

C&C 서버는 Windows 호스트 파일을 수정하기 위해 트로이 목마에 명령을 보낼 수 있습니다. 호스트 파일은 사용자 지정 DNS 확인을 만드는 데 사용됩니다.

4.8.6. 파일 찾기 및 보내기

서버는 감염된 시스템에서 파일 검색 및 다운로드를 요청할 수 있습니다. 예를 들어, 조사 중에 1c_to_kl.txt 파일에 대한 요청을 받았습니다. 앞에서 설명한 것처럼 이 파일은 1C: Enterprise 8 회계 시스템에 의해 생성됩니다.

4.8.7. 업데이트

마지막으로 RTM 작성자는 현재 버전을 대체하기 위해 새 DLL을 제출하여 소프트웨어를 업데이트할 수 있습니다.

5. 결론

RTM의 연구에 따르면 러시아 은행 시스템은 여전히 ​​사이버 공격자를 유인하고 있는 것으로 나타났습니다. Buhtrap, Corkow 및 Carbanak과 같은 그룹은 러시아의 금융 기관과 고객으로부터 돈을 훔치는 데 성공했습니다. RTM은 이 업계의 새로운 플레이어입니다.

ESET 원격 측정에 따르면 악성 RTM 도구는 적어도 2015년 후반부터 사용되어 왔습니다. 이 프로그램에는 스마트 카드 읽기, 키 입력 가로채기, 은행 거래 모니터링, 1C: Enterprise 8 전송 파일 검색 등 다양한 감시 기능이 있습니다.

분산되고 검열되지 않은 .bit 최상위 도메인을 사용하면 탄력성이 뛰어난 인프라가 보장됩니다.

출처 : habr.com