OceanLotus: 악성코드 업데이트 macOS

2019년 3월, 새로운 악성코드 샘플이 인기 있는 온라인 검사 서비스인 VirusTotal에 업로드되었습니다. macOS 오션로터스 사이버 그룹. 이 백도어 실행 파일은 이전에 분석했던 악성코드 버전과 동일한 기능을 가지고 있습니다. macOS하지만 구조가 변해서 검출하기가 더 어려워졌습니다. 안타깝게도 이 샘플과 관련된 스포이드를 찾지 못해서 감염 경로를 아직 알 수 없습니다.

우리는 최근에 출판했습니다 OceanLotus에 대한 게시물 그리고 운영자들이 어떻게 지속성을 보장하고, 코드 실행 속도를 높이며, 시스템에 흔적을 남기지 않으려고 노력하는지에 대해서도 살펴보겠습니다. Windows이 사이버 그룹에는 다음과 같은 구성 요소도 있는 것으로 알려져 있습니다. macOS이 게시물에서는 최신 버전의 악성코드 변경 사항에 대해 자세히 설명합니다. macOS 이전 버전과 비교했을 때 (트렌드마이크로에서 설명하는), IDA Hex-Rays API를 사용하여 분석 중에 문자열 해독을 자동화하는 방법도 설명합니다.

분석

다음 세 부분에서는 SHA-1 해시를 사용한 샘플 분석을 설명합니다. E615632C9998E4D3E5ACD8851864ED09B02C77D2. 파일 이름은 다음과 같습니다. 손전등, ESET 바이러스 백신 제품은 이를 OSX/OceanLotus.D로 감지합니다.

디버깅 방지 및 샌드박스 보호

모두가 macOS- OceanLotus 바이너리 샘플은 UPX로 압축되어 있지만, 대부분의 패커 식별 도구는 이를 UPX로 인식하지 못합니다. 이는 해당 도구들이 주로 "UPX" 문자열의 존재 여부에 따라 결정되는 시그니처를 사용하기 때문일 가능성이 높습니다. 또한, Mach-O 시그니처는 사용 빈도가 낮고 업데이트도 자주 이루어지지 않습니다. 이러한 특징 때문에 정적 감지가 어렵습니다. 흥미롭게도 압축 해제 후 진입점은 해당 섹션의 시작 부분에 있습니다. __cfstring 세그먼트에서 .TEXT. 이 섹션에는 아래 이미지에 표시된 대로 플래그 속성이 있습니다.

그림 1. MACH-O __cfstring 섹션 속성

그림 2와 같이 섹션의 코드 위치는 __cfstring 코드를 문자열로 표시하여 일부 디스어셈블리 도구를 속일 수 있습니다.

그림 2. IDA가 데이터로 탐지한 백도어 코드

일단 실행되면 바이너리는 디버거의 존재를 지속적으로 확인하는 것이 유일한 목적인 안티 디버거로 스레드를 생성합니다. 이 흐름의 경우:

— 디버거를 해제하려고 시도합니다. ptrace с PT_DENY_ATTACH 요청 매개변수로
- 함수를 호출하여 일부 전용 포트가 열려 있는지 확인 task_get_exception_ports
- 아래 그림과 같이 플래그 유무를 확인하여 디버거가 연결되어 있는지 확인합니다. P_TRACED 현재 과정에서

그림 3. sysctl 함수를 사용하여 디버거 연결 확인

워치독이 디버거의 존재를 감지하면 함수가 호출됩니다. exit. 또한 샘플은 다음 두 명령을 실행하여 환경을 확인합니다.

ioreg -l | grep -e "Manufacturer" и sysctl hw.model

그런 다음 샘플은 알려진 가상화 시스템의 하드 코딩된 문자열 목록과 비교하여 반환 값을 확인합니다. 에이클, VM웨어, 버추얼 또는 평행선. 마지막으로 다음 명령은 머신이 "MBP", "MBA", "MB", "MM", "IM", "MP" 및 "XS" 중 하나인지 확인합니다. 이는 시스템 모델 코드입니다. 예를 들어 "MBP"는 MacBook Pro를 의미하고 "MBA"는 MacBook Air를 의미합니다.

system_profiler SPHardwareDataType 2>/dev/null | awk '/Boot ROM Version/ {split($0, line, ":");printf("%s", line[2]);}

주요 추가 사항

Trend Micro의 조사 이후 백도어 명령은 변경되지 않았지만 몇 가지 다른 수정 사항도 발견했습니다. 이 샘플에 사용된 C&C 서버는 상당히 새로운 서버이며 22.10.2018년 XNUMX월 XNUMX일에 생성되었습니다.

- daff.faybilodeau[.]com
- sarc.onteagleroad[.]com
- au.charlineopkesston[.]com

리소스 URL이 다음으로 변경되었습니다. /dp/B074WC4NHW/ref=gbps_img_m-9_62c3_750e6b35.
C&C 서버로 전송된 첫 번째 패킷에는 아래 표의 명령으로 수집된 모든 데이터를 포함하여 호스트 시스템에 대한 자세한 정보가 포함되어 있습니다.

이 구성 변경 외에도 샘플에서는 네트워크 필터링을 위한 라이브러리를 사용하지 않습니다. 라이브러리컬, 그러나 외부 라이브러리입니다. 이를 찾기 위해 백도어는 키와 함께 AES-256-CBC를 사용하여 현재 디렉터리의 모든 파일을 해독하려고 시도합니다. gFjMXBgyXWULmVVVzyxy, XNUMX으로 채워집니다. 각 파일은 암호가 해독되어 다음과 같이 저장됩니다. /tmp/store, 그리고 이를 라이브러리로 로드하려는 시도는 다음 함수를 사용하여 이루어집니다. 드로펜. 암호 해독 시도로 인해 통화가 성공한 경우 dlopen, 백도어는 내보낸 기능을 추출합니다. Boriry и ChadylonV, 서버와의 네트워크 통신을 담당하는 것으로 보입니다. 샘플의 원래 위치에 있는 드로퍼나 기타 파일이 없으므로 이 라이브러리를 구문 분석할 수 없습니다. 또한 구성 요소가 암호화되어 있으므로 이러한 문자열을 기반으로 하는 YARA 규칙은 디스크에 있는 파일과 일치하지 않습니다.

위 글에 설명된 대로 생성됩니다. 클라이언트ID. 이 ID는 다음 명령 중 하나의 반환 값에 대한 MD5 해시입니다.

- ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformSerialNumber/ { split($0, line, """); printf("%s", line[4]); }'
- ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformUUID/ { split($0, line, """); printf("%s", line[4]); }'
- ifconfig en0 | awk '/ether /{print $2}' (MAC 주소 얻기)
- 알 수 없는 팀("x1ex72x0a")(이전 샘플에서 사용됨)

해싱하기 전에 루트 권한을 나타내기 위해 "0" 또는 "1"이 반환 값에 추가됩니다. 이것 clientID 에 저장됨 /Library/Storage/File System/HFS/25cf5d02-e50b-4288-870a-528d56c3cf6e/pivtoken.appex, 코드가 루트로 실행되거나 다른 모든 경우에는 ~/Library/SmartCardsServices/Technology/PlugIns/drivers/snippets.ecgML에서 실행되는 경우. 파일은 일반적으로 다음 기능을 사용하여 숨겨집니다. _chflags, 해당 타임스탬프는 다음 명령을 사용하여 변경됩니다. touch –t 임의의 값으로.

문자열 디코딩

이전 옵션과 마찬가지로 문자열은 AES-256-CBC(XNUMX진수 키: 9D7274AD7BCEF0DED29BDBB428C251DF8B350B92 XNUMX으로 채워지고 IV는 XNUMX으로 채워짐) 함수를 통해 CCC크립트. 이전 버전과 키가 변경되었으나 그룹에서는 여전히 동일한 문자열 암호화 알고리즘을 사용하므로 복호화를 자동화할 수 있습니다. 이 게시물 외에도 Hex-Rays API를 사용하여 바이너리 파일에 있는 문자열을 해독하는 IDA 스크립트를 출시합니다. 이 스크립트는 OceanLotus의 향후 분석과 아직 얻을 수 없는 기존 샘플의 분석에 도움이 될 수 있습니다. 스크립트는 함수에 전달된 인수를 수신하기 위한 보편적인 방법을 기반으로 합니다. 또한 매개변수 할당을 조회합니다. 이 메서드를 재사용하여 함수 인수 목록을 가져온 다음 이를 콜백에 전달할 수 있습니다.

함수 프로토타입 알기 해독, 스크립트는 이 함수에 대한 모든 상호 참조, 모든 인수를 찾은 다음 데이터를 해독하고 상호 참조 주소의 주석 안에 일반 텍스트를 배치합니다. 스크립트가 올바르게 작동하려면 base64 디코딩 기능에서 사용하는 사용자 정의 알파벳으로 설정해야 하며 키 길이를 포함하는 전역 변수를 정의해야 합니다(이 경우 DWORD, 그림 4 참조).

그림 4. 전역 변수 key_len의 정의

함수 창에서 암호 해독 함수를 마우스 오른쪽 버튼으로 클릭하고 “인수 추출 및 암호 해독”을 클릭할 수 있습니다. 그림 5와 같이 스크립트는 주석에 해독된 줄을 배치해야 합니다.

그림 5. 해독된 텍스트가 주석에 배치됩니다.

이렇게 하면 해독된 문자열이 IDA 창에 편리하게 함께 배치됩니다. 외부 참조 이 기능에 대해서는 그림 6과 같습니다.

그림 6. f_decrypt 함수에 대한 외부 참조

최종 스크립트는 다음에서 찾을 수 있습니다. Github 저장소.

출력

이미 언급했듯이 OceanLotus는 툴킷을 지속적으로 개선하고 업데이트하고 있습니다. 이번에 사이버 그룹은 Mac 사용자와 작동하도록 악성 코드를 개선했습니다. 코드는 크게 변경되지 않았지만 많은 Mac 사용자가 보안 제품을 무시하므로 맬웨어가 탐지되지 않도록 보호하는 것은 부차적인 중요성입니다.

ESET 제품은 연구 당시 이미 이 파일을 탐지하고 있었습니다. C&C 통신에 사용되는 네트워크 라이브러리는 이제 디스크에서 암호화되기 때문에 공격자가 사용하는 정확한 네트워크 프로토콜은 아직 알려지지 않았습니다.

타협의 지표

침해 지표 및 MITRE ATT&CK 속성도 다음에서 사용할 수 있습니다. GitHub의.

출처 : habr.com