Duqu는 악의적인 matryoshka입니다.

소개

1년 2011월 1일 ~DN9.tmp라는 파일이 헝가리에서 VirusTotal 웹사이트로 전송되었습니다. 당시 이 파일은 BitDefender와 AVIRA라는 두 개의 바이러스 백신 엔진에서만 악성으로 탐지되었습니다. Duqu의 이야기는 이렇게 시작되었습니다. 앞으로 Duqu 맬웨어 패밀리는 이 파일의 이름을 따서 명명되었습니다. 그러나 이 파일은 키로거 기능이 있는 완전히 독립적인 스파이 모듈로 악성 드로퍼 다운로더의 도움으로 설치되었을 가능성이 있으며 Duqu 악성코드가 작동하는 동안 다운로드한 "페이로드"로만 간주할 수 있지만 필수 파일은 아닙니다. Duqu의 일부(모듈) . Duqu 구성 요소 중 하나는 XNUMX월 XNUMX일에만 Virustotal 서비스로 전송되었습니다. 그 특징은 C-Media의 디지털 서명으로 서명된 드라이버입니다. 일부 전문가는 서명된 드라이버를 사용하는 또 다른 잘 알려진 맬웨어인 Stuxnet과 즉시 유추하기 시작했습니다. 전 세계 여러 바이러스 백신 회사에서 탐지한 Duqu에 감염된 컴퓨터의 총 수는 수십 대입니다. 많은 기업들이 이란이 다시 주요 목표라고 주장하지만 감염 분포 지역으로 판단할 때 확실하게 말할 수는 없습니다.

이 경우 다른 회사에 대해서만 신조어로 자신 있게 말해야 합니다. APT (고급 지속 위협).

시스템의 구현 절차

헝가리 조직인 CrySyS(부다페스트 기술 경제 대학의 헝가리 암호화 및 시스템 보안 연구소)의 전문가가 수행한 조사에서 시스템을 감염시킨 설치 프로그램(드롭퍼)이 발견되었습니다. TTF 글꼴 렌더링 메커니즘을 담당하는 win32k.sys 드라이버(MS11-087, 13년 2011월 XNUMX일 마이크로소프트에서 설명)의 취약점을 익스플로잇한 마이크로소프트 워드 파일이었다. 익스플로잇의 셸코드는 'Dexter Regular'라는 문서에 포함된 글꼴을 사용하며 Showtime Inc.는 글꼴을 만든 것으로 알려져 있습니다. 보시다시피 Duqu의 제작자는 유머 감각에 외계인이 아닙니다. Dexter는 Showtime에서 촬영 한 같은 이름의 TV 시리즈의 영웅 인 연쇄 살인범입니다. Dexter는 (가능한 경우) 범죄자만 죽입니다. 즉, 법의 이름으로 법을 어깁니다. 아마도 이런 식으로 Duqu의 개발자들은 좋은 목적을 위해 불법적인 활동을 하고 있다는 것이 아이러니합니다. 전자 메일로 편지를 보내는 것은 의도적으로 수행되었습니다. 전송을 위해 손상된(해킹된) 컴퓨터가 추적을 어렵게 만드는 중개자로 사용되었을 가능성이 큽니다.
따라서 Word 문서에는 다음 구성 요소가 포함되어 있습니다.

• 텍스트 내용;
• 임베디드 글꼴;
• 실크코드 악용;
• 운전사;
• 설치 프로그램(DLL).

성공적인 실행의 경우 익스플로잇의 쉘코드는 다음 작업을 수행했습니다(커널 모드에서).

• 재감염에 대한 검사가 수행되었습니다. 이를 위해 'HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionInternet SettingsZones4'의 레지스트리에서 'CF1D' 키의 존재를 확인했습니다. 이것이 참이면 쉘코드가 실행을 완료했습니다.
• 두 개의 파일이 해독되었습니다 - 드라이버(sys) 및 설치 프로그램(dll);
• 드라이버가 services.exe 프로세스에 삽입되고 설치 프로그램이 시작되었습니다.
• 마지막에 쉘코드는 메모리에서 XNUMX으로 자신을 지웠습니다.

루트 사용자 '시스템'으로 win32k.sys를 실행함으로써 Duqu의 개발자는 무단 실행 및 권한 상승(제한된 권한을 가진 사용자 계정으로 실행) 문제를 우아하게 해결했습니다.
설치 프로그램은 제어권을 받은 후 메모리에서 다음을 포함하는 세 개의 데이터 블록을 해독했습니다.

• 서명된 드라이버(sys);
• 메인 모듈(dll);
• 설치 프로그램 구성 데이터(pnf).

설치 프로그램 구성 데이터에서 날짜 범위가 지정되었습니다(두 개의 타임스탬프 - 시작 및 종료 형식). 설치 프로그램은 현재 날짜가 해당 날짜인지 확인하고 그렇지 않은 경우 실행을 완료했습니다. 또한 설치 프로그램 구성 데이터에는 드라이버와 메인 모듈이 저장된 이름이 표시되었습니다. 이 경우 기본 모듈은 암호화된 형태로 디스크에 저장되었습니다.

Duqu를 자동 시작하기 위해 레지스트리에 저장된 키를 사용하여 즉시 기본 모듈을 해독하는 드라이버 파일을 사용하는 서비스가 생성되었습니다. 기본 모듈에는 자체 구성 데이터 블록이 포함되어 있습니다. 처음 시작할 때 암호가 해독되고 설치 날짜가 입력 된 후 다시 암호화되어 기본 모듈에 저장되었습니다. 따라서 영향을 받는 시스템에서 성공적으로 설치하는 동안 세 개의 파일(드라이버, 기본 모듈 및 해당 구성 데이터 파일)이 저장되었으며 마지막 두 파일은 암호화된 형식으로 디스크에 저장되었습니다. 모든 암호 해독 절차는 메모리에서만 수행되었습니다. 이 복잡한 설치 절차는 바이러스 백신 소프트웨어에 의한 탐지 가능성을 최소화하기 위해 사용되었습니다.

메인 모듈

기본 모듈(리소스 302), 작성자 정보 Kaspersky Lab에서 순수 C로 MSVC 2008을 사용하여 작성했지만 개체 지향 접근 방식을 사용합니다. 이 접근 방식은 악성 코드를 개발할 때 일반적이지 않습니다. 일반적으로 이러한 코드는 크기를 줄이고 C++ 고유의 암시적 호출을 제거하기 위해 C로 작성됩니다. 여기에도 공생이 있습니다. 또한 이벤트 지향 아키텍처가 사용되었습니다. Kaspersky Lab 직원들은 객체 스타일로 C로 코드를 작성할 수 있는 전처리기 애드온을 사용하여 기본 모듈이 작성되었다는 이론에 동의합니다.
메인 모듈은 운영자로부터 명령을 받는 절차를 담당합니다. Duqu는 HTTP 및 HTTPS 프로토콜을 사용하거나 명명된 파이프(파이프)를 사용하는 등 여러 가지 상호 작용 방법을 제공합니다. HTTP(S)의 경우 명령 센터의 도메인 이름이 지정되고 프록시 서버를 통해 작업이 가능했으며 사용자 이름과 암호가 제공되었습니다. 채널에는 IP 주소와 채널 이름이 지정됩니다. 지정된 데이터는 메인 모듈의 구성 데이터 블록에 저장됩니다(암호화됨).
명명된 파이프를 사용하기 위해 RPC 서버의 사용자 지정 구현이 시작되었습니다. 다음 XNUMX가지 기능을 지원했습니다.

• 설치된 버전을 반환합니다.
• 지정된 프로세스에 dll을 주입하고 지정된 함수를 호출합니다.
• 로드 dll;
• CreateProcess()를 호출하여 프로세스를 시작합니다.
• 주어진 파일의 내용을 읽습니다.
• 지정된 파일에 데이터 쓰기;
• 주어진 파일을 삭제하십시오.

로컬 네트워크 내에서 명명된 파이프를 사용하여 Duqu에 감염된 컴퓨터 간에 업데이트된 모듈 및 구성 데이터를 배포할 수 있습니다. 또한 Duqu는 다른 감염된 컴퓨터(게이트웨이의 방화벽 설정으로 인해 인터넷에 액세스할 수 없음)의 프록시 서버 역할을 할 수 있습니다. Duqu의 일부 버전에는 RPC 기능이 없습니다.

알려진 "페이로드"

시만텍은 Duqu 제어 센터에서 명령으로 로드된 최소 XNUMX개의 "페이로드"를 식별했습니다.
그러나 그 중 하나만 상주하여 실행 파일(exe)로 컴파일되어 디스크에 저장되었습니다. 나머지 세 개는 dll 라이브러리로 구현되었습니다. 그들은 동적으로 로드되었고 디스크에 저장되지 않고 메모리에서 실행되었습니다.

상주하는 "페이로드"는 스파이 모듈(Infostealer) 키로거 기능이 있습니다. Duqu 연구 작업이 시작된 것은 그것을 VirusTotal에 보내면서였습니다. 주요 스파이 기능은 리소스에 있었는데, 처음 8KB는 은하 NGC 6745(마스킹용) 사진의 일부를 포함했습니다. 2012년 1297506월 일부 언론에서 이란이 일종의 Stars 악성코드에 노출되었다는 정보(http://www.mehrnews.com/en/newsdetail.aspx?NewsID=XNUMX)를 발표한 사실을 상기해야 합니다. 사건은 공개되지 않았습니다. Duqu "페이로드"의 그러한 샘플이 당시이란에서 발견되었으므로 "별"(별)이라는 이름이 붙었을 가능성이 있습니다.
스파이 모듈은 다음 정보를 수집했습니다.

• 실행 중인 프로세스 목록, 현재 사용자 및 도메인에 대한 정보
• 네트워크 드라이브를 포함한 논리 드라이브 목록;
• 스크린샷;
• 네트워크 인터페이스 주소, 라우팅 테이블;
• 키보드 키 입력의 로그 파일;
• 열린 응용 프로그램 창의 이름;
• 사용 가능한 네트워크 리소스 목록(공유 리소스)
• 이동식 드라이브를 포함하여 모든 드라이브의 전체 파일 목록
• "네트워크 환경"에 있는 컴퓨터 목록.

다른 스파이 모듈(Infostealer)는 이미 설명한 것의 변형이지만 dll 라이브러리로 컴파일되어 키로거의 기능, 파일 목록 컴파일 및 도메인에 포함된 컴퓨터 열거가 제거되었습니다.
다음 모듈(정찰) 수집된 시스템 정보:

• 컴퓨터가 도메인의 일부인지 여부
• Windows 시스템 디렉토리 경로;
• 운영 체제 버전;
• 현재 사용자의 이름
• 네트워크 어댑터 목록;
• 시스템 및 현지 시간과 표준 시간대.

마지막 모듈(수명 연장제) 작업 종료까지 남은 일수 값(메인 모듈의 구성 데이터 파일에 저장됨)을 증가시키는 기능을 구현했습니다. 기본적으로 이 값은 Duqu 수정에 따라 30일 또는 36일로 설정되었으며 매일 하나씩 감소했습니다.

명령 센터

20년 2011월 5.2일(발견 사실이 공개된 지 5.4일 후) Duqu 운영자는 지휘소 운영 흔적을 파괴하는 절차를 진행했습니다. 지휘 센터는 베트남, 인도, 독일, 싱가포르, 스위스, 영국, 네덜란드, 한국 등 전 세계의 해킹된 서버에서 호스팅되었습니다. 흥미롭게도 식별된 모든 서버는 CentOS 버전 5.5, 32 또는 64를 실행하고 있었습니다. OS는 4.3비트와 5.8비트 모두였습니다. 명령 센터 운영과 관련된 모든 파일이 삭제되었음에도 불구하고 카스퍼스키 랩 전문가들은 여유 공간에서 LOG 파일의 일부 정보를 복구했습니다. 가장 흥미로운 사실은 서버의 공격자가 항상 기본 OpenSSH 4.3 패키지를 버전 80로 교체했다는 것입니다. 이는 OpenSSH 443의 알려지지 않은 취약점이 서버를 해킹하는 데 사용되었음을 나타낼 수 있습니다. 모든 시스템이 명령 센터로 사용된 것은 아닙니다. 포트 XNUMX 및 XNUMX에 대한 트래픽 리디렉션을 시도할 때 sshd 로그의 오류로 판단되는 일부는 최종 명령 센터에 연결하기 위한 프록시 서버로 사용되었습니다.

날짜 및 모듈

카스퍼스키 랩이 조사한 2011년 31월 배포된 Word 문서에는 컴파일 날짜가 2007년 20608월 5일인 설치 프로그램 다운로드 드라이버가 포함되어 있습니다. CrySys 실험실에 제출된 문서의 유사한 드라이버(크기 - 45바이트, MD613 - EEDCA0BD9E9D5A69122007E17C21F2008)의 편집 날짜는 19968년 5월 9일이었습니다. 또한 카스퍼스키 랩 전문가들은 6년 10월 5일자 자동 실행 드라이버 rndismpc.sys(크기 - 9바이트, MD05 - 93221544AEC783E20C2008EE2009C2007BED28C2008E)를 발견했습니다. XNUMX로 표시된 구성 요소를 찾을 수 없습니다. Duqu의 개별 부분에 대한 편집 타임스탬프를 기반으로 개발 시기는 XNUMX년 초로 거슬러 올라갑니다. 가장 초기에 나타난 것은 ~DO 형식의 임시 파일(아마도 스파이웨어 중 하나에 의해 생성됨)의 탐지와 관련이 있으며 생성 날짜는 XNUMX년 XNUMX월 XNUMX일입니다.기사 "Duqu & Stuxnet: 흥미로운 이벤트의 타임라인"). Duqu와 관련된 최신 날짜는 23년 2012월 2012일이며 XNUMX년 XNUMX월 Symantec에서 발견한 설치 프로그램 다운로드 드라이버에 포함되어 있습니다.

사용 된 정보 소스 :

일련의 기사 Kaspersky Lab의 Duqu에 대해;
시만텍 분석 보고서 "W32.Duqu 차세대 Stuxnet의 선구자", 버전 1.4, 2011년 XNUMX월(pdf).

출처 : habr.com