공격자들은 복잡한 악성 코드를 사용하여 러시아 기업을 공격합니다.

작년 말부터 우리는 뱅킹 트로이 목마를 배포하기 위한 새로운 악성 캠페인을 추적하기 시작했습니다. 공격자들은 러시아 기업, 즉 기업 사용자를 침해하는 데 중점을 두었습니다. 악성 캠페인은 최소 1년 동안 활동했으며 공격자는 뱅킹 트로이 목마 외에도 다양한 다른 소프트웨어 도구를 사용했습니다. 여기에는 다음을 사용하여 패키지된 특수 로더가 포함됩니다. NSIS, 잘 알려진 합법적인 Yandex Punto 소프트웨어로 위장한 스파이웨어 등이 있습니다. 공격자가 피해자의 컴퓨터를 손상시킨 후에는 백도어를 설치한 다음 뱅킹 트로이 목마를 설치합니다.

악성 코드의 경우 공격자는 여러 가지 유효한(당시) 디지털 인증서와 특수한 방법을 사용하여 AV 제품을 우회했습니다. 이 악성 캠페인은 다수의 러시아 은행을 표적으로 삼았으며, 공격자가 표적 공격(예: 순전히 금융 사기를 목적으로 하지 않는 공격)에 자주 사용되는 방법을 사용했기 때문에 특히 관심이 쏠렸습니다. 우리는 이 악의적인 캠페인과 이전에 큰 주목을 받았던 대형 사건 사이에 몇 가지 유사점을 지적할 수 있습니다. 우리는 뱅킹 트로이 목마를 사용한 사이버 범죄 그룹에 대해 이야기하고 있습니다. 아누낙/카르바나크.

공격자는 기본적으로 Windows(현지화)에서 러시아어를 사용하는 컴퓨터에만 악성코드를 설치했습니다. 트로이 목마의 주요 배포 경로는 익스플로잇이 포함된 Word 문서였습니다. CVE-2012-0158, 문서에 첨부 파일로 전송되었습니다. 아래 스크린샷은 이러한 가짜 문서의 모습을 보여줍니다. 첫 번째 문서의 제목은 "Invoice No. 522375-FLORL-14-115.doc"이고 두 번째 문서의 제목은 "kontrakt87.doc"이며 이동 통신사 Megafon의 통신 서비스 제공 계약 사본입니다.

쌀. 1. 피싱 문서.

쌀. 2. 피싱 문서의 또 다른 변형.

다음 사실은 공격자가 러시아 기업을 표적으로 삼았음을 나타냅니다.

• 특정 주제에 대한 가짜 문서를 사용하여 악성 코드를 배포합니다.
• 공격자의 전술과 그들이 사용하는 악의적인 도구;
• 일부 실행 가능 모듈의 비즈니스 애플리케이션에 대한 링크;
• 이 캠페인에 사용된 악성 도메인의 이름입니다.

공격자가 손상된 시스템에 설치하는 특수 소프트웨어 도구를 사용하면 시스템을 원격으로 제어하고 사용자 활동을 모니터링할 수 있습니다. 이러한 기능을 수행하기 위해 백도어를 설치하고 Windows 계정 비밀번호를 얻거나 새 계정을 만들려고 시도합니다. 공격자는 또한 키로거(keylogger), Windows 클립보드 스틸러 및 스마트 카드 작업을 위한 특수 소프트웨어 서비스를 이용합니다. 이 그룹은 피해자의 컴퓨터와 동일한 로컬 네트워크에 있는 다른 컴퓨터를 손상시키려고 했습니다.

맬웨어 배포 통계를 빠르게 추적할 수 있는 ESET LiveGrid 원격 측정 시스템은 언급된 캠페인에서 공격자가 사용한 맬웨어 배포에 대한 흥미로운 지리적 통계를 제공했습니다.

쌀. 3. 이 악성 캠페인에 사용된 악성 코드의 지리적 분포에 대한 통계입니다.

악성코드 설치

사용자가 취약한 시스템을 악용하여 악성 문서를 열면 NSIS를 사용하여 패키지된 특수 다운로더가 다운로드되어 실행됩니다. 작업 시작 시 프로그램은 Windows 환경에 디버거가 있는지 또는 가상 머신의 컨텍스트에서 실행되는지 확인합니다. 또한 Windows의 현지화 여부와 사용자가 브라우저의 표에 나열된 URL을 방문했는지 여부를 확인합니다. 이를 위해 API가 사용됩니다. 먼저 찾기/다음UrlCacheEntry 및 SoftwareMicrosoftInternet ExplorerTypedURLs 레지스트리 키.

부트로더는 시스템에 다음 응용 프로그램이 있는지 확인합니다.

프로세스 목록은 정말 인상적이며 보시다시피 뱅킹 애플리케이션뿐만 아니라 포함됩니다. 예를 들어, "scardsvr.exe"라는 실행 파일은 스마트 카드 작업용 소프트웨어(Microsoft SmartCard 리더)를 나타냅니다. 뱅킹 트로이 목마 자체에는 스마트 카드를 사용하는 기능이 포함되어 있습니다.

쌀. 4. 악성코드 설치 과정의 일반적인 다이어그램.

모든 검사가 성공적으로 완료되면 로더는 공격자가 사용하는 모든 악성 실행 모듈이 포함된 특수 파일(아카이브)을 원격 서버에서 다운로드합니다. 흥미로운 점은 위의 검사 실행 여부에 따라 원격 C&C 서버에서 다운로드한 아카이브가 다를 수 있다는 점이다. 아카이브는 악성일 수도 있고 아닐 수도 있습니다. 악의적이지 않은 경우 사용자를 위해 Windows Live Toolbar를 설치합니다. 아마도 공격자는 자동 파일 분석 시스템과 의심스러운 파일이 실행되는 가상 머신을 속이기 위해 유사한 트릭을 사용했을 가능성이 높습니다.

NSIS 다운로더로 다운로드한 파일은 다양한 악성코드 모듈이 포함된 7z 아카이브입니다. 아래 이미지는 이 악성코드와 다양한 모듈의 전체 설치 과정을 보여줍니다.

쌀. 5. 맬웨어 작동 방식에 대한 일반적인 계획.

로드된 모듈은 공격자에게 다양한 목적을 제공하지만 동일하게 패키지되어 있으며 그 중 다수가 유효한 디지털 인증서로 서명되었습니다. 우리는 공격자가 캠페인 초기부터 사용한 인증서 4개를 발견했습니다. 불만 사항이 접수된 후 해당 인증서는 취소되었습니다. 흥미로운 점은 모든 인증서가 모스크바에 등록된 회사에 발급되었다는 점입니다.

쌀. 6. 악성코드 서명에 사용된 디지털 인증서.

다음 표에는 공격자가 이 악성 캠페인에 사용한 디지털 인증서가 나와 있습니다.

공격자가 사용하는 거의 모든 악성 모듈은 설치 절차가 동일합니다. 비밀번호로 보호되는 자동 추출 7zip 아카이브입니다.

쌀. 7. install.cmd 배치 파일의 일부입니다.

배치 .cmd 파일은 시스템에 맬웨어를 설치하고 다양한 공격 도구를 실행하는 역할을 합니다. 실행 시 누락된 관리 권한이 필요한 경우 악성 코드는 여러 가지 방법을 사용하여 이를 획득합니다(UAC 우회). 첫 번째 방법을 구현하려면 l1.exe 및 cc1.exe라는 두 개의 실행 파일이 사용됩니다. 유출 Carberp 소스 코드. 또 다른 방법은 CVE-2013-3660 취약점을 악용하는 것입니다. 권한 상승이 필요한 각 악성코드 모듈에는 32비트 버전과 64비트 버전의 익스플로잇이 모두 포함되어 있습니다.

이 캠페인을 추적하는 동안 우리는 다운로더가 업로드한 여러 아카이브를 분석했습니다. 아카이브의 내용은 다양했습니다. 이는 공격자가 악성 모듈을 다양한 목적에 맞게 조정할 수 있다는 것을 의미합니다.

사용자 타협

위에서 언급했듯이 공격자는 특별한 도구를 사용하여 사용자의 컴퓨터를 손상시킵니다. 이러한 도구에는 실행 파일 이름이 mimi.exe 및 xtm.exe인 프로그램이 포함됩니다. 이는 공격자가 피해자의 컴퓨터를 제어하고 다음 작업을 전문적으로 수행하는 데 도움이 됩니다. Windows 계정 암호 획득/복구, RDP 서비스 활성화, OS에서 새 계정 생성.

mimi.exe 실행 파일에는 잘 알려진 오픈 소스 도구의 수정된 버전이 포함되어 있습니다. 미미 카츠. 이 도구를 사용하면 Windows 사용자 계정 암호를 얻을 수 있습니다. 공격자는 Mimikatz에서 사용자 상호작용을 담당하는 부분을 제거했습니다. 실행 코드도 수정되어 Mimikatz가 실행될 때 특권::debug 및 sekurlsa:logonPasswords 명령을 사용하여 실행됩니다.

또 다른 실행 파일인 xtm.exe는 시스템에서 RDP 서비스를 활성화하고, OS에서 새 계정을 생성하고, 여러 사용자가 RDP를 통해 손상된 컴퓨터에 동시에 연결할 수 있도록 시스템 설정을 변경하는 특수 스크립트를 시작합니다. 분명히 이러한 단계는 손상된 시스템을 완전히 제어하기 위해 필요합니다.

쌀. 8. 시스템에서 xtm.exe에 의해 실행되는 명령.

공격자는 시스템에 특수 소프트웨어를 설치하는 데 사용되는 impack.exe라는 또 다른 실행 파일을 사용합니다. 이 소프트웨어는 LiteManager라고 하며 공격자가 백도어로 사용합니다.

쌀. 9. LiteManager 인터페이스.

LiteManager를 사용자 시스템에 설치하면 공격자가 해당 시스템에 직접 연결하여 원격으로 제어할 수 있습니다. 이 소프트웨어에는 숨겨진 설치, 특수 방화벽 규칙 생성 및 모듈 실행을 위한 특수 명령줄 매개변수가 있습니다. 모든 매개변수는 공격자가 사용합니다.

공격자가 사용하는 악성코드 패키지의 마지막 모듈은 실행파일 이름이 pn_pack.exe인 뱅킹 악성코드 프로그램(banker)이다. 그녀는 사용자 감시를 전문으로 하며 C&C 서버와의 상호 작용을 담당합니다. 은행가는 합법적인 Yandex Punto 소프트웨어를 사용하여 시작됩니다. Punto는 공격자가 악성 DLL 라이브러리(DLL 사이드 로딩 방법)를 실행하는 데 사용됩니다. 악성코드 자체는 다음과 같은 기능을 수행할 수 있습니다.

• 원격 서버로의 후속 전송을 위해 키보드 키 입력 및 클립보드 내용을 추적합니다.
• 시스템에 있는 모든 스마트 카드를 나열합니다.
• 원격 C&C 서버와 상호 작용합니다.

이러한 모든 작업을 수행하는 악성 코드 모듈은 암호화된 DLL 라이브러리입니다. Punto 실행 중에 암호가 해독되어 메모리에 로드됩니다. 위 작업을 수행하기 위해 DLL 실행 코드는 세 개의 스레드를 시작합니다.

공격자가 자신의 목적을 위해 Punto 소프트웨어를 선택했다는 사실은 놀라운 일이 아닙니다. 일부 러시아 포럼에서는 합법적인 소프트웨어의 결함을 사용하여 사용자를 손상시키는 것과 같은 주제에 대한 자세한 정보를 공개적으로 제공합니다.

악성 라이브러리는 RC4 알고리즘을 사용하여 문자열을 암호화할 뿐만 아니라 C&C 서버와의 네트워크 상호 작용 중에도 암호화합니다. XNUMX분마다 서버에 접속하여 이 기간 동안 손상된 시스템에서 수집된 모든 데이터를 서버로 전송합니다.

쌀. 10. 봇과 서버 간의 네트워크 상호 작용의 일부입니다.

다음은 라이브러리가 수신할 수 있는 C&C 서버 명령어 중 일부입니다.

C&C 서버로부터 명령을 받으면 악성코드는 상태 코드로 응답합니다. 우리가 분석한 모든 뱅커 모듈(컴파일 날짜가 18월 XNUMX일인 가장 최근 모듈)에는 각 메시지에서 C&C 서버로 전송되는 "TEST_BOTNET" 문자열이 포함되어 있다는 점이 흥미롭습니다.

결론

기업 사용자를 손상시키기 위해 첫 번째 단계에서 공격자는 익스플로잇이 포함된 피싱 메시지를 보내 회사의 직원 한 명을 손상시킵니다. 다음으로, 악성 코드가 시스템에 설치되면 시스템에 대한 권한을 크게 확장하고 추가 작업을 수행하는 데 도움이 되는 소프트웨어 도구를 사용합니다. 즉, 기업 네트워크의 다른 컴퓨터를 손상시키고 사용자를 감시합니다. 그가 수행하는 은행 거래.

출처 : habr.com