Ransom은 여왕과 같습니다. Varonis는 빠르게 확산되는 "SaveTheQueen" 랜섬웨어를 조사합니다.

새로운 변종의 랜섬웨어는 파일을 암호화하고 파일에 ".SaveTheQueen" 확장자를 추가하여 Active Directory 도메인 컨트롤러의 SYSVOL 네트워크 폴더를 통해 확산됩니다.

우리 고객은 최근에 이 악성 코드를 발견했습니다. 우리는 아래에 전체 분석, 결과 및 결론을 제시합니다.

탐지

우리 고객 중 한 명이 자신의 환경에서 암호화된 새 파일에 ".SaveTheQueen" 확장자를 추가하는 새로운 종류의 랜섬웨어를 발견한 후 우리에게 연락했습니다.

저희는 조사 과정, 아니 오히려 감염원을 찾는 단계에서 감염 피해자에 대한 유포 및 추적이 이루어지는 것을 확인했습니다. 네트워크 폴더 SYSVOL 고객의 도메인 컨트롤러에서.

SYSVOL은 GPO(그룹 정책 개체)와 로그온 및 로그오프 스크립트를 도메인의 컴퓨터에 전달하는 데 사용되는 각 도메인 컨트롤러의 키 폴더입니다. 이 폴더의 내용은 도메인 컨트롤러 간에 복제되어 조직 사이트 전체에서 이 데이터를 동기화합니다. SYSVOL에 쓰려면 높은 도메인 권한이 필요하지만 일단 손상되면 이 자산은 공격자가 이를 사용하여 도메인 전체에 악성 페이로드를 빠르고 효율적으로 확산시킬 수 있는 강력한 도구가 됩니다.

Varonis 감사 체인은 다음 사항을 신속하게 식별하는 데 도움이 되었습니다.

• 감염된 사용자 계정은 SYSVOL에 "hourly"라는 파일을 생성했습니다.
• SYSVOL에 많은 로그 파일이 생성되었습니다. 각각의 이름은 도메인 장치 이름으로 지정되었습니다.
• 다양한 IP 주소가 "시간별" 파일에 액세스하고 있었습니다.

우리는 로그 파일이 새 장치의 감염 프로세스를 추적하는 데 사용되었으며 "매시간"은 Powershell 스크립트("v3" 및 "v4" 샘플)를 사용하여 새 장치에서 악성 페이로드를 실행하는 예약된 작업이라는 결론을 내렸습니다.

공격자는 SYSVOL에 파일을 쓰기 위해 도메인 관리자 권한을 획득하고 사용했을 가능성이 높습니다. 감염된 호스트에서 공격자는 맬웨어를 열고, 암호를 해독하고 실행하는 일정 작업을 생성하는 PowerShell 코드를 실행했습니다.

악성코드 복호화

우리는 샘플을 해독하기 위해 여러 가지 방법을 시도했지만 소용이 없었습니다.

우리는 웅장한 "마법" 방법을 시도하기로 결정했을 때 거의 포기할 준비가 되었습니다.
유용 사이버셰프 GCHQ에 의해. Magic은 다양한 암호화 유형에 대한 무차별 암호 대입 및 엔트로피 측정을 통해 파일의 암호화를 추측하려고 합니다.

번역가의 쪽지 참조미분 엔트로피 и 정보 이론의 엔트로피. 이 기사와 의견에는 타사 또는 독점 소프트웨어에서 사용되는 방법의 세부 사항에 대한 작성자의 논의가 포함되어 있지 않습니다.


Magic은 base64로 인코딩된 GZip 패커가 사용되었음을 확인하여 파일의 압축을 풀고 주입 코드를 발견할 수 있었습니다.

드로퍼: “이 지역에 전염병이 돌았습니다! 일반 예방접종. 구제역'

드로퍼는 보호 기능이 없는 일반 .NET 파일이었습니다. 소스코드를 읽어본 후 DNSpy 우리는 그 유일한 목적이 winlogon.exe 프로세스에 쉘코드를 삽입하는 것임을 깨달았습니다.

쉘코드 또는 간단한 합병증

우리는 Hexacorn 저작 도구를 사용했습니다. 쉘코드2exe 디버깅과 분석을 위해 쉘코드를 실행 파일로 "컴파일"하기 위해. 그런 다음 우리는 그것이 32비트와 64비트 시스템 모두에서 작동한다는 것을 발견했습니다.

네이티브 어셈블리 언어 번역으로 간단한 쉘코드를 작성하는 것도 어려울 수 있지만 두 가지 유형의 시스템 모두에서 작동하는 완전한 쉘코드를 작성하려면 엘리트 기술이 필요하므로 우리는 공격자의 정교함에 경탄하기 시작했습니다.

다음을 사용하여 컴파일된 쉘코드를 분석했을 때 x64dbg, 우리는 그가 로드 중이라는 것을 알았습니다. .NET 동적 라이브러리 , clr.dll 및 mscoreei.dll 등. 이것은 우리에게 이상하게 보였습니다. 일반적으로 공격자는 쉘코드를 로드하는 대신 기본 OS 함수를 호출하여 가능한 한 작게 만들려고 합니다. 요구에 따라 직접 호출하는 대신 Windows 기능을 쉘코드에 포함시켜야 하는 이유는 무엇입니까?

알고 보니 악성 코드 작성자는 이 복잡한 쉘코드를 전혀 작성하지 않았습니다. 이 작업과 관련된 소프트웨어는 실행 파일과 스크립트를 쉘코드로 변환하는 데 사용되었습니다.

우리는 도구를 찾았습니다 도넛, 우리는 유사한 쉘코드를 컴파일할 수 있다고 생각했습니다. GitHub의 설명은 다음과 같습니다.

Donut은 VBScript, JScript, EXE, DLL(.NET 어셈블리 포함)에서 x86 또는 x64 쉘코드를 생성합니다. 이 쉘코드는 실행될 모든 Windows 프로세스에 삽입될 수 있습니다.
랜덤 액세스 메모리.

우리의 이론을 확인하기 위해 Donut을 사용하여 자체 코드를 컴파일하고 이를 샘플과 비교했습니다. 그리고... 그렇습니다. 사용된 툴킷의 또 다른 구성 요소를 발견했습니다. 그 후 우리는 이미 원본 .NET 실행 파일을 추출하고 분석할 수 있었습니다.

코드 보호

이 파일은 다음을 사용하여 난독화되었습니다. 혼란스러운Ex:

ConfuserEx는 다른 개발 코드를 보호하기 위한 오픈 소스 .NET 프로젝트입니다. 이 소프트웨어 클래스를 사용하면 개발자는 문자 대체, 제어 명령 흐름 마스킹 및 참조 방법 숨기기와 같은 방법을 사용하여 리버스 엔지니어링으로부터 코드를 보호할 수 있습니다. 악성 코드 작성자는 감지를 회피하고 리버스 엔지니어링을 더욱 어렵게 만들기 위해 난독 처리기를 사용합니다.

감사 ElektroKill 언패커 우리는 코드를 풀었습니다:

결과 - 페이로드

결과 페이로드는 매우 단순한 랜섬웨어 바이러스입니다. 시스템 내 존재를 보장하는 메커니즘도 없고 명령 센터에 대한 연결도 없습니다. 피해자의 데이터를 읽을 수 없게 만드는 오래된 비대칭 암호화만 있을 뿐입니다.

주요 기능은 다음 라인을 매개변수로 선택합니다:

• 암호화 후 사용할 파일 확장자 (SaveTheQueen)
• 랜섬노트 파일에 넣을 작성자의 이메일
• 파일을 암호화하는 데 사용되는 공개 키

프로세스 자체는 다음과 같습니다.

1. 악성 코드는 피해자 장치의 로컬 및 연결된 드라이브를 검사합니다.

   

2. 암호화할 파일 검색

   

3. 암호화하려는 파일을 사용하고 있는 프로세스를 종료하려고 합니다.
4. MoveFile 기능을 사용하여 파일 이름을 "OriginalFileName.SaveTheQueenING"으로 변경하고 암호화합니다.
5. 파일이 작성자의 공개 키로 암호화된 후 악성코드는 파일 이름을 다시 "Original FileName.SaveTheQueen"으로 바꿉니다.
6. 몸값을 요구하는 파일이 같은 폴더에 기록됩니다

   

기본 "CreateDecryptor" 기능의 사용을 기반으로 볼 때, 악성코드의 기능 중 하나에는 개인 키가 필요한 암호 해독 메커니즘이 매개변수로 포함되어 있는 것으로 보입니다.

랜섬웨어 바이러스 파일을 암호화하지 않습니다, 다음 디렉토리에 저장됩니다.

C:창
C : 프로그램 파일
C : 프로그램 파일 (x86)
C:사용자\앱데이터
C:inetpub

또한 그는 다음 파일 형식은 암호화하지 않습니다.EXE, DLL, MSI, ISO, SYS, CAB.

결과 및 결론

랜섬웨어 자체에는 특이한 기능이 포함되어 있지 않았지만 공격자는 창의적으로 Active Directory를 사용하여 드로퍼를 배포했으며 악성 코드 자체는 분석 중에 궁극적으로 복잡하지는 않더라도 흥미로운 장애물을 제시했습니다.

악성 코드 작성자는 다음과 같습니다.

1. winlogon.exe 프로세스에 내장된 주입 기능을 갖춘 랜섬웨어 바이러스를 작성했습니다.
   파일 암호화 및 암호 해독 기능
2. ConfuserEx를 사용하여 악성코드를 위장하고, Donut을 사용하여 결과를 변환하고, base64 Gzip 드로퍼를 추가로 숨겼습니다.
3. 피해자의 도메인에서 높은 권한을 획득하여 이를 복사하는 데 사용했습니다.
   도메인 컨트롤러의 SYSVOL 네트워크 폴더에 대한 암호화된 맬웨어 및 예약된 작업
4. 도메인 장치에서 PowerShell 스크립트를 실행하여 맬웨어를 확산시키고 SYSVOL의 로그에 공격 진행 상황을 기록합니다.

이 랜섬웨어 바이러스 변종이나 당사 팀에서 수행한 기타 법의학 및 사이버 보안 사고 조사에 대해 질문이 있는 경우, 문의하기 또는 요청 공격에 대한 대응을 실시간으로 시연, Q&A 세션에서 항상 질문에 답변합니다.

출처 : habr.com