Varonis는 암호화폐 채굴 바이러스를 발견했습니다: 우리의 조사

우리 사이버 보안 조사팀은 최근 한 중견 기업의 암호화폐 채굴 바이러스에 거의 완전히 감염된 네트워크를 조사했습니다. 분석
수집된 악성코드 샘플에서 새로운 변형이 발견된 것으로 나타났습니다
이러한 바이러스라고 불리는 노먼, 그 존재를 숨기는 다양한 방법을 사용합니다. 게다가 이번에 발견된 대화형 웹 셸, 이는 채굴 운영자와 관련이 있을 수 있습니다.

연구 개요

• Varonis 회사는 크립토마이너로 인한 대규모 감염을 확인했습니다. 회사의 거의 모든 서버와 워크스테이션이 이러한 소프트웨어에 감염되었습니다.
• XNUMX년여 전 최초 감염 이후부터 변종 및 감염 기기 수가 꾸준히 증가
• 탐지를 피하기 위해 보안 소프트웨어의 분석에서 이를 숨기는 다양한 방법을 사용하는 새로운 유형의 모네로 암호화폐 채굴기(Norman)를 발견했습니다.
• 대부분의 악성 코드 변종은 DuckDNS(무료 동적 DNS 서비스)를 사용하여 제어 센터(C&C 서버)에 연결하고 구성 매개변수를 얻거나 새 데이터를 보냅니다.
• Norman은 오픈 소스 채굴기인 XMRig를 기반으로 한 고성능 Monero 암호화폐 채굴기입니다.
• 암호화폐 채굴기와 대화형 PHP 셸을 연결하는 반박할 수 없는 증거는 아직 없습니다. 그러나 이러한 공격이 동일한 공격자에게서 발생한다고 믿을 만한 충분한 이유가 있습니다. 연구자들은 그러한 연관성의 존재 여부에 대한 추가 증거를 수집하고 있습니다.
• 이 기사에서는 원격 웹 셸 및 암호화폐 채굴자에 대한 보호에 관한 Varonis의 권장 사항을 숙지할 수 있습니다.

조사

조사는 다음 파일럿 프로젝트에서 시작되었습니다. 플랫폼
사이버보안 바로니스 (Varonis Data Security Platform)을 사용하면 파일 시스템의 비정상적인 작업과 관련된 인터넷 요청(웹 프록시를 통해) 중에 네트워크 수준에서 여러 가지 의심스러운 비정상적인 이벤트를 신속하게 식별할 수 있습니다.
고객은 즉시 당사 플랫폼에서 식별된 장치가
최근에 애플리케이션 충돌 및 네트워크 속도 저하를 보고한 동일한 사용자에 속했습니다.

우리 팀은 Varonis 플랫폼에서 생성된 경고에 따라 감염된 스테이션에서 다른 스테이션으로 이동하면서 고객의 환경을 수동으로 검사했습니다. 사고대응팀은 특별한 규칙을 개발했습니다. DataAlert 모듈 활발히 채굴 중인 컴퓨터를 탐지하여 위협을 신속하게 제거하는 데 도움이 되었습니다. 수집된 악성코드의 샘플은 포렌식 및 개발팀으로 보내졌고, 이들은 샘플에 대한 추가 조사가 필요하다고 조언했습니다.
감염된 노드는 호출로 인해 발견되었습니다. 덕DNS는 사용자가 자신의 도메인 이름을 만들고 이를 변경하는 IP 주소에 빠르게 매핑할 수 있는 동적 DNS 서비스입니다. 위에서 언급한 바와 같이, 사건에서 발생한 악성 코드의 대부분은 제어 센터(C&C)에 연결하기 위해 DuckDNS에 액세스했으며, 다른 악성 코드는 구성 매개 변수에 액세스하거나 새로운 데이터를 전송했습니다.

거의 모든 서버와 컴퓨터가 악성코드에 감염되었습니다. 주로 사용됨
크립토마이너의 일반적인 변종. 다른 악성 코드에는 비밀번호 덤프 도구와 PHP 셸이 포함되어 있으며, 여러 도구가 수년 동안 작동해 왔습니다.

우리는 결과를 고객에게 제공하고 고객 환경에서 악성 코드를 제거했으며 추가 감염을 차단했습니다.

발견된 모든 암호화폐 채굴기 샘플 중에서 눈에 띄는 것이 하나 있었습니다. 우리는 그 사람의 이름을 지었습니다. 노먼.

만나다! 노르만 인. 암호화폐 채굴기

Norman은 XMRig 코드를 기반으로 하는 고성능 Monero 암호화폐 채굴기입니다. 발견된 다른 채굴자 샘플과 달리 Norman은 탐지를 피하고 추가 확산을 방지하기 위해 보안 소프트웨어의 분석에서 이를 숨기는 기술을 사용합니다.

언뜻 보기에 이 악성 코드는 svchost.exe라는 이름으로 숨어 있는 일반 채굴자입니다. 그러나 연구에 따르면 탐지를 피하고 계속 실행하기 위해 더 흥미로운 방법을 사용하는 것으로 나타났습니다.

이 악성 코드의 배포 프로세스는 세 단계로 나눌 수 있습니다.

• 성능;
• 구현;
• 채광.

단계별 분석

1단계. 실행

첫 번째 단계는 실행 파일 svchost.exe로 시작됩니다.

해당 악성코드는 NSIS(Nullsoft Scriptable Install System)를 사용해 컴파일되는데, 이는 특이한 현상입니다. NSIS는 Windows 설치 프로그램을 만드는 데 사용되는 오픈 소스 시스템입니다. SFX와 마찬가지로 이 시스템은 설치 프로그램이 실행되는 동안 실행되는 파일 아카이브와 스크립트 파일을 생성합니다. 스크립트 파일은 실행할 파일을 프로그램에 알려주고 아카이브의 다른 파일과 상호 작용할 수 있습니다.

참고 : 실행 파일에서 NSIS 스크립트 파일을 얻으려면 이후 버전에서는 이 기능을 구현하지 않으므로 7zip 버전 9.38을 사용해야 합니다.

NSIS 보관 악성코드에는 다음 파일이 포함되어 있습니다.

• CallAnsiPlugin.dll, CLR.dll - .NET DLL 함수를 호출하기 위한 NSIS 모듈입니다.
• 5zmjbxUIOVQ58qPR.dll - 메인 페이로드 DLL;
• 4jy4sobf.acz, es1qdxg2.5pk, OIM1iVhZ.txt - 페이로드 파일;
• Retreat.mp3, Cropped_controller_config_controller_i_lb.png는 추가 악성 활동과 전혀 관련이 없는 파일일 뿐입니다.

페이로드를 실행하는 NSIS 스크립트 파일의 명령은 아래와 같습니다.

이 악성코드는 다른 파일을 매개변수로 사용하는 5zmjbxUIOVQ58qPR.dll 함수를 호출하여 실행됩니다.

2단계. 구현

위의 NSIS 스크립트에서 볼 수 있듯이 5zmjbxUIOVQ58qPR.dll 파일이 기본 페이로드입니다. 메타데이터를 빠르게 분석한 결과 DLL이 원래 Norman.dll이라는 것이 밝혀졌기 때문에 그렇게 이름을 붙였습니다.

DLL 파일은 .NET에서 개발되었으며 삼중 난독화를 통해 리버스 엔지니어링으로부터 보호됩니다.
잘 알려진 상용 제품인 Agile .NET Obfuscator를 사용합니다.

실행 중에는 자체 주입 작업이 자체 프로세스뿐 아니라 다른 프로세스에도 많이 포함됩니다. OS 비트 심도에 따라 악성코드는
시스템 폴더에 대한 다른 경로를 선택하고 다른 프로세스를 시작하십시오.

시스템 폴더 경로에 따라 악성코드는 실행할 다른 프로세스를 선택합니다.

주입된 페이로드에는 크립토마이너 실행과 탐지 방지라는 두 가지 주요 기능이 있습니다.

OS가 64비트인 경우

원본 svchosts.exe 파일(NSIS 파일)이 실행되면 자체적으로 새로운 프로세스를 생성하고 여기에 페이로드(1)를 주입합니다. 얼마 지나지 않아 notepad.exe 또는 explorer.exe를 실행하고 여기에 크립토마이너를 주입합니다(2).

이후 원래의 svchost.exe 파일은 종료되고, 새로운 svchost.exe 파일은 마이너 프로세스를 모니터링하는 프로그램으로 사용됩니다.

OS가 32비트인 경우

원본 svchosts.exe 파일(NSIS 파일)이 실행되면 64비트 버전과 마찬가지로 자체 프로세스를 복제하고 여기에 페이로드를 주입합니다.

이 경우 악성코드는 사용자의 explorer.exe 프로세스에 페이로드를 주입합니다. 거기에서 악성 코드는 새로운 프로세스(wuapp.exe 또는 vchost.exe)를 시작하고 여기에 채굴기를 주입합니다.

이 악성코드는 이전에 주입된 코드를 wuapp.exe 경로와 빈 값으로 덮어써서 explorer.exe에 자신이 주입되었다는 사실을 숨깁니다.

64비트 환경에서 실행할 때와 마찬가지로 원래 svchost.exe 프로세스가 종료되고, 두 번째 프로세스는 사용자가 프로세스를 종료한 경우 explorer.exe에 악성코드를 재주입하는 데 사용된다.

실행 알고리즘이 끝나면 악성코드는 항상 자신이 시작하는 합법적인 프로세스에 암호화폐 채굴기를 주입합니다.

사용자가 작업 관리자를 실행하면 채굴기를 종료시켜 탐지를 방지하도록 설계되었습니다.

작업 관리자를 시작하면 wuapp.exe 프로세스가 종료됩니다.

작업 관리자를 닫은 후 악성코드는 wuapp.exe 프로세스를 계속해서 시작합니다.
광부가 그것을 주입합니다.

3단계. 채굴자

위에서 언급한 XMRig 마이너를 고려해보세요.

악성코드는 위장된 UPX 버전의 채굴기를 메모장, exe, explorer.exe,
OS 비트 깊이와 실행 알고리즘 단계에 따라 svchost.exe 또는 wuapp.exe.

채굴기의 PE 헤더가 제거되었으며 아래 스크린샷에서 UPX로 마스크되어 있는 것을 볼 수 있습니다.

덤프를 생성하고 실행 파일을 다시 빌드한 후 실행할 수 있었습니다.

대상 XMR 사이트에 대한 액세스가 거부되어 이 마이너가 효과적으로 무력화된다는 점에 유의해야 합니다.

광부 구성:

"url": "pool.minexmr.com:5555","user":
"49WvfokdnuK6ojQePe6x2M3UCD59v3BQiBszkuTGE7wmNJuyAvHM9ojedgxMwNx9tZA33P84EeMLte7t6qZhxNHqHyfq9xA","pass":"x"

C&C에 데이터를 전달하는 신비한 PHP 셸

조사 과정에서 우리 포렌식 팀은 주목을 끄는 XSL 파일을 발견했습니다. 샘플을 심층 분석한 결과 제어 센터(C&C 서버)에 지속적으로 연결되는 새로운 PHP 셸이 발견되었습니다.

sysWOW64 디렉터리의 폴더에 있는 알려진 Windows 실행 파일(mscorsv.exe)에 의해 시작된 고객 환경의 여러 서버에서 XSL 파일이 발견되었습니다.

악성 코드 폴더는 AutoRecover라고 불리며 포함되어 있습니다. 여러 파일:

• XSL 파일: xml.XSL
• XNUMX개의 DLL 파일

실행 파일:

• Mscorsv.exe
• Wmiprvse.exe

XSL 파일

XSL 파일은 CSS에서 사용되는 것과 유사한 스타일 시트로, XML 문서를 표시하는 방법을 설명합니다.

메모장을 사용하여 우리는 그것이 실제로 XSL 파일이 아니라 Zend Guard에 의해 난독화된 PHP 코드라는 것을 확인했습니다. 이 흥미로운 사실은 다음과 같다는 것을 암시했습니다.
실행 알고리즘을 기반으로 한 악성코드의 페이로드.

XNUMX개의 DLL

XSL 파일의 초기 분석에서는 그러한 숫자가 존재한다는 결론에 이르렀습니다.
DLL에는 특정한 의미가 있습니다. 기본 폴더에는 php.dll이라는 DLL과 SSL 및 MySQL과 관련된 세 가지 다른 라이브러리가 포함되어 있습니다. 전문가들은 하위 폴더에서 XNUMX개의 PHP 라이브러리와 XNUMX개의 Zend Guard 라이브러리를 발견했습니다. 이들 모두는 합법적이며 PHP 설치 패키지 또는 외부 dll로 얻습니다.

현 단계에서는 해당 악성코드가 PHP를 기반으로 제작되었으며 Zend Guard에 의해 난독화된 것으로 추정되었습니다.

실행 파일

또한 이 폴더에는 Mscorsv.exe 및 Wmiprvse.exe라는 두 개의 실행 파일이 있습니다.

mscorsv.exe 파일을 분석한 결과, 해당 파일의 ProductName 매개 변수가 “Microsoft. 넷 프레임 워크".
처음에는 이상해 보였지만 Wmiprvse.exe를 분석하면 상황을 더 잘 이해할 수 있었습니다.

Wmiprvse.exe 파일도 서명되지 않았지만 PHP 그룹 저작권 기호와 PHP 아이콘이 포함되어 있습니다. 그 줄을 잠깐 살펴보면 PHP 도움말의 명령이 드러났습니다. -version 스위치로 실행했을 때 Zend Guard를 실행하도록 설계된 실행 파일인 것으로 확인되었습니다.

비슷한 방식으로 mscorsv.exe를 실행하면 동일한 데이터가 화면에 표시되었습니다. 이 두 파일의 바이너리 데이터를 비교한 결과 메타데이터를 제외하고는 동일한 것을 확인했습니다.
저작권 및 회사명/제품명.

이를 바탕으로 XSL 파일에는 mscorsv.exe라는 이름 아래 숨겨진 Zend Guard 실행 파일을 사용하여 실행되는 PHP 코드가 포함되어 있다는 결론이 나왔습니다.

XSL 파일 구문 분석

전문가들은 인터넷 검색을 통해 신속하게 Zend Guard 난독화 도구를 확보하고 xml.XSL 파일의 원래 모양을 복원했습니다.

악성코드 자체는 관제센터(C&C 서버)에 상시 접속되는 PHP 셸인 것으로 밝혀졌다.

보내고 받는 명령과 출력은 암호화됩니다. 소스 코드가 있었기 때문에 암호화 키와 명령이 모두 있었습니다.

이 악성코드에는 다음과 같은 내장 기능이 포함되어 있습니다.

• Eval - 일반적으로 코드의 기존 변수를 수정하는 데 사용됩니다.
• 로컬 파일 녹음
• 데이터베이스 작업 가능성
• PSEXEC와 협력할 가능성
• 숨겨진 처형
• 매핑 프로세스 및 서비스

다음 변수는 악성코드에 여러 버전이 있음을 나타냅니다.

샘플을 수집할 때 다음 버전이 발견되었습니다.

• 0.5f
• 0.4p
• 0.4o

시스템에 악성 코드가 지속적으로 존재하도록 보장하는 유일한 기능은 실행될 때 자체적으로 실행되는 서비스와 해당 이름을 생성하는 것입니다.
버전별로 변경됩니다.

전문가들은 인터넷에서 유사한 샘플을 찾으려고 노력했으며 악성 코드를 발견했습니다.
그들의 의견으로는 기존 샘플의 이전 버전이었습니다. 폴더의 내용은 비슷했지만 XSL 파일은 다르고 버전 번호도 달랐습니다.

Parle-Vu 악성코드?

이 악성코드는 프랑스나 다른 프랑스어권 국가에서 시작되었을 수 있습니다. SFX 파일에는 프랑스어로 된 설명이 있어 작성자가 프랑스어 버전의 WinRAR을 사용하여 악성코드를 생성했음을 나타냅니다.

게다가 코드의 일부 변수와 함수 이름도 프랑스어로 지정되었습니다.

실행 모니터링 및 새 명령 대기

전문가들은 악성 코드를 수정해 이미 수정된 악성 코드를 안전하게 실행했다.
받은 명령에 대한 정보를 수집하는 버전입니다.

첫 번째 통신 세션이 끝날 때 전문가들은 악성코드가 EVAL64 실행 키에 대한 인수로 Base64를 사용하여 인코딩된 명령을 수신한 것을 확인했습니다.
이 명령은 디코딩되어 실행됩니다. 여러 내부 변수(읽기 및 쓰기 버퍼 크기)를 변경한 후 악성코드는 명령을 기다리는 작업 주기에 들어갑니다.

현재로서는 새로운 명령이 수신되지 않았습니다.

대화형 PHP 셸과 암호화폐 채굴기: 서로 연관되어 있나요?

Varonis 전문가들은 Norman이 PHP 셸과 연관되어 있는지 여부를 확신하지 못합니다. 왜냐하면 이 가정에 대한 강력한 주장이 있기 때문입니다.

왜 관련이 있을까요?

• 악성 암호화폐 채굴 소프트웨어 샘플은 다양한 네트워크 세그먼트의 다양한 장치에서 발견되었지만 독립적으로 다른 시스템으로 확산되는 기능은 없었습니다. 공격자가 각 노드를 개별적으로 감염시켰을 가능성도 있지만(아마도 Patient Zero를 감염시킬 때와 동일한 공격 벡터를 사용했을 것입니다), PHP 셸을 사용하여 공격 대상이 된 네트워크 전체에 확산시키는 것이 더 효과적일 것입니다.
• 특정 조직을 대상으로 한 대규모 표적 자동화 캠페인은 기술적인 아티팩트나 인식 가능한 사이버 보안 위협의 흔적을 남기는 경우가 많습니다. 이 경우에는 그러한 것이 발견되지 않았습니다.
• Norman과 PHP 쉘은 모두 DuckDNS 서비스를 사용했습니다.

왜 관련이 없을 수 있습니까?

• 암호화폐 채굴 악성코드 변종과 PHP 셸 사이에는 기술적인 유사점이 없습니다. 악성 크립토마이너는 C++로 생성되었으며 셸은 PHP로 되어 있습니다. 또한 코드 구조에 유사점이 없으며 네트워크 기능이 다르게 구현됩니다.
• 데이터를 교환하기 위해 악성코드 변종과 PHP 셸 간에 직접적인 통신이 이루어지지 않습니다.
• 개발자 의견, 파일, 메타데이터 또는 디지털 지문을 공유하지 않습니다.

원격 셸로부터 보호하기 위한 세 가지 권장 사항

제어센터(C&C 서버)의 명령이 필요한 악성코드는 일반 바이러스와는 다르다. 그의 행동은 그다지 예측 가능하지 않으며 자동화된 도구나 스크립트 없이 수행되는 해커나 침투 테스터의 행동과 더 유사합니다. 따라서 맬웨어 서명 없이 이러한 공격을 탐지하는 것은 일반적인 바이러스 백신 검사보다 더 어렵습니다.

다음은 원격 셸로부터 회사를 보호하기 위한 세 가지 권장 사항입니다.

1. 모든 소프트웨어를 최신 상태로 유지
   공격자는 종종 소프트웨어 및 운영 체제의 취약점을 사용하여 조직의 네트워크 전체에 확산되고 관심 있는 데이터를 검색합니다.
   훔침. 적시에 패치를 적용하면 이러한 위협의 위험이 크게 줄어듭니다.
2. 비정상적인 데이터 액세스 이벤트 모니터링
   공격자는 조직의 기밀 데이터를 경계 너머로 가져가려고 시도할 가능성이 높습니다. 이 데이터에 대한 비정상적인 액세스 이벤트를 모니터링하면 다음이 가능해집니다.
   손상된 사용자와 실제로 공격자의 손에 들어갈 수 있는 전체 폴더 및 파일 세트를 탐지하고 이러한 사용자가 사용할 수 있는 모든 데이터를 고려하지 않습니다.
3. 네트워크 트래픽 모니터링
   방화벽 및/또는 프록시 서버를 사용하면 맬웨어 제어 센터(C&C 서버)에 대한 악의적인 연결을 탐지 및 차단하여 공격자가 명령을 실행하는 것을 방지하고 더 어렵게 만들 수 있습니다.
   경계 데이터.

회색 채굴 문제가 걱정되시나요? 보호를 위한 XNUMX가지 권장사항:

1. 모든 운영 체제를 최신 상태로 유지
   리소스 오용과 악성코드 감염을 예방하기 위해서는 패치 관리가 매우 중요합니다.
2. 네트워크 트래픽 및 웹 프록시 제어
   이를 통해 일부 공격을 탐지하고, 일부 공격을 방지하기 위해 악성 도메인에 대한 정보를 기반으로 트래픽을 차단하거나 불필요한 데이터 전송 채널을 제한할 수 있습니다.
3. 바이러스 백신 솔루션 및 엔드포인트 보안 시스템 사용 및 유지 관리 (그러나 결코 이 보호 계층만 사용하도록 제한하지 마십시오.)
   엔드포인트 제품은 잘 알려진 크립토마이너를 탐지하고 감염이 시스템 성능과 에너지 사용에 손상을 입히기 전에 예방할 수 있습니다. 탐지를 방지하는 새로운 수정 방법이나 새로운 방법으로 인해 엔드포인트 보안이 동일한 악성 코드의 새 버전을 탐지하지 못할 수도 있다는 점에 유의하십시오.
4. 컴퓨터 CPU 활동 모니터링
   일반적으로 암호화폐 채굴자는 채굴을 위해 컴퓨터의 중앙 프로세서를 사용합니다. 성능 저하에 대한 메시지(“컴퓨터 속도가 느려지기 시작했습니다.”)를 분석해야 합니다.
5. DuckDNS와 같은 동적 DNS 서비스의 비정상적인 사용에 대해 DNS를 모니터링합니다.

   DuckDNS 및 기타 동적 DNS 서비스는 본질적으로 시스템에 유해하지 않지만 악성 코드가 DuckDNS를 사용하면 조사 팀이 감염된 호스트를 더 쉽게 감지할 수 있습니다.

6. 사고 대응 계획 개발
   그레이 암호화폐 채굴의 위협을 자동으로 감지, 억제 및 완화하기 위해 해당 사고에 필요한 절차가 마련되어 있는지 확인하십시오.

Varonis 고객을 위한 참고 사항입니다.
바로니스 DataAlert 암호화폐 채굴 악성코드를 탐지할 수 있는 위협 모델이 포함되어 있습니다. 고객은 블랙리스트 후보인 도메인을 기반으로 소프트웨어 탐지를 대상으로 하는 사용자 지정 규칙을 만들 수도 있습니다. 최신 버전의 DatAlert를 실행하고 올바른 위협 모델을 사용하고 있는지 확인하려면 영업 담당자나 Varonis 지원팀에 문의하세요.

출처 : habr.com