놀라운 키로거: 키로거 분석 및 개발자 부장

최근 몇 년 동안 모바일 트로이 목마는 개인용 컴퓨터의 트로이 목마를 적극적으로 대체해 왔습니다. 따라서 오래된 "자동차"에 대한 새로운 악성 코드의 출현과 사이버 범죄자의 적극적인 사용은 불쾌하지만 여전히 사건입니다. 최근 CERT Group-IB의 XNUMX시간 정보보안사고대응센터에서는 Keylogger와 PasswordStealer의 기능을 결합한 새로운 PC 악성코드를 숨기고 있는 특이한 피싱 이메일을 발견했습니다. 분석가들은 인기 있는 음성 메신저를 사용하여 스파이웨어가 사용자 컴퓨터에 어떻게 침투했는지에 주목했습니다. 일리아 포메란체프CERT Group-IB의 악성 코드 분석 전문가인 는 악성 코드가 어떻게 작동하는지, 왜 위험한지 설명하고 먼 이라크에서 제작자를 발견하기도 했습니다.

자, 순서대로 가자. 첨부 파일로 가장한 편지에는 사용자가 클릭하면 해당 사이트로 이동하는 사진이 포함되어 있습니다. cdn.discordapp.com, 거기에서 악성 파일이 다운로드되었습니다.

무료 음성 및 문자 메신저인 Discord를 사용하는 것은 매우 파격적입니다. 일반적으로 이러한 목적으로 다른 인스턴트 메신저나 소셜 네트워크가 사용됩니다.

보다 자세한 분석을 통해 악성 코드 계열이 식별되었습니다. 악성코드 시장에 새로 진출한 것으로 밝혀졌습니다. 404 키로거.

키로거 판매에 대한 첫 번째 광고가 게시되었습니다. 해킹 포럼 404월 8일 'XNUMX Coder'라는 닉네임으로 사용자가 작성.

스토어 도메인은 아주 최근(7년 2019월 XNUMX일)에 등록되었습니다.

개발자가 웹 사이트에서 말했듯이 404프로젝트[.]xyz, 404 회사가 고객의 활동(허가를 받은 경우)에 대해 알 수 있도록 돕기 위해 또는 리버스 엔지니어링으로부터 바이너리를 보호하려는 사람들을 위해 설계된 도구입니다. 앞을 내다보며 마지막 작업으로 이렇게 가정해 보겠습니다. 404 확실히 대처하지 못합니다.

우리는 파일 중 하나를 뒤집어 "BEST SMART KEYLOGGER"가 무엇인지 확인하기로 결정했습니다.

악성코드 생태계

로더 1(AtillaCrypter)

소스 파일은 다음을 사용하여 보호됩니다. Eax 난독화기 XNUMX단계 로딩을 수행합니다. AtProtect 리소스 섹션에서. VirusTotal에서 발견된 다른 샘플을 분석하는 동안 이 단계는 개발자가 직접 제공한 것이 아니라 클라이언트가 추가한 것이 분명해졌습니다. 나중에 이 부트로더가 AtillaCrypter인 것으로 확인되었습니다.

부트로더 2(AtProtect)

실제로 이 로더는 악성 코드의 필수적인 부분이며 개발자의 의도에 따라 대응 분석 기능을 수행해야 합니다.

그러나 실제로는 보호 메커니즘이 매우 원시적이므로 당사 시스템은 이 악성 코드를 성공적으로 탐지합니다.

메인 모듈은 다음을 사용하여 로드됩니다. Franchy 쉘코드 다른 버전. 그러나 다음과 같은 다른 옵션이 사용될 수도 있다는 점을 배제하지는 않습니다. RunPE.

구성 파일

시스템 통합

시스템 통합은 부트로더에 의해 보장됩니다. AtProtect, 해당 플래그가 설정된 경우.

• 파일은 경로를 따라 복사됩니다. %AppData%GFqaakZpzwm.exe.
• 파일이 생성됩니다. %AppData%GFqaakWinDriv.url, 실행 중 Zpzwm.exe.
• 스레드에서 HKCU소프트웨어MicrosoftWindowsCurrentVersionRun 시작 키가 생성되었습니다 WinDriv.url.

C&C와의 상호작용

로더 AtProtect

적절한 플래그가 있으면 악성코드는 숨겨진 프로세스를 시작할 수 있습니다. iexplorer 지정된 링크를 따라 서버에 성공적인 감염을 알립니다.

데이터스틸러

어떤 방법을 사용하든 네트워크 통신은 해당 리소스를 이용하여 피해자의 외부 IP를 획득하는 것부터 시작됩니다. [http]://checkip[.]dyndns[.]org/.

사용자 에이전트: Mozilla/4.0(호환 가능, MSIE 6.0, Windows NT 5.2, .NET CLR1.0.3705;)

메시지의 일반적인 구조는 동일합니다. 헤더 존재
|——- 404 키로거 — {유형} ——-|어디에서 {유형} 전송되는 정보 유형에 해당합니다.
다음은 시스템에 관한 정보입니다.

_______ + 피해자 정보 + _______

IP: {외부 IP}
소유자 이름: {컴퓨터 이름}
OS 이름: {OS 이름}
OS 버전: {OS 버전}
OS 플랫폼: {플랫폼}
RAM 크기: {RAM 크기}
______________________________

그리고 마지막으로 전송된 데이터입니다.

SMTP

편지의 주제는 다음과 같습니다. 404K | {메시지 유형} | 클라이언트 이름: {사용자 이름}.

흥미롭게도 고객에게 편지를 전달하기 위해 404 키로거 개발자의 SMTP 서버가 사용됩니다.

이를 통해 일부 클라이언트와 개발자 중 한 명의 이메일을 식별할 수 있었습니다.

FTP

이 방법을 사용하면 수집된 정보가 파일에 저장되고 파일에서 즉시 읽혀집니다.

이 작업의 논리는 완전히 명확하지 않지만 동작 규칙을 작성하기 위한 추가 아티팩트를 생성합니다.

%HOMEDRIVE%%HOMEPATH%DocumentsA{임의의 숫자}.txt

페이스트 빈

분석 당시에는 도난당한 비밀번호를 전송하는 경우에만 이 방법을 사용하고 있습니다. 또한 처음 두 가지에 대한 대안이 아니라 병렬로 사용됩니다. 조건은 "Vavaa"와 동일한 상수 값입니다. 아마도 이것은 클라이언트의 이름일 것입니다.

상호 작용은 API를 통해 https 프로토콜을 통해 발생합니다. pastebin... 값 api_paste_private 같음 PASTE_UNLISTED, 이는 다음에서 해당 페이지를 검색하는 것을 금지합니다. pastebin.

암호화 알고리즘

리소스에서 파일 검색

페이로드는 부트로더 리소스에 저장됩니다. AtProtect 비트맵 이미지 형태로 제공됩니다. 추출은 여러 단계로 수행됩니다.

• 이미지에서 바이트 배열이 추출됩니다. 각 픽셀은 BGR 순서의 3바이트 시퀀스로 처리됩니다. 추출 후 배열의 처음 4바이트는 메시지 길이를 저장하고, 다음 바이트는 메시지 자체를 저장합니다.

  

• 키가 계산됩니다. 이를 위해 MD5는 비밀번호로 지정된 "ZpzwmjMJyfTNiRalKVrcSkxCN" 값에서 계산됩니다. 결과 해시는 두 번 기록됩니다.

  

• 복호화는 ECB 모드에서 AES 알고리즘을 사용하여 수행됩니다.

악성 기능

다운

부트로더에서 구현됨 AtProtect.

• 연락하여 [액티브링크 교체] 파일을 제공할 준비가 되었는지 확인하기 위해 서버의 상태가 요청됩니다. 서버가 반환되어야 합니다. "의 위에".
• 링크 [다운로드링크-교체] 페이로드가 다운로드되었습니다.
• 과 Franchy쉘코드 페이로드가 프로세스에 주입됩니다. [inj-교체].

도메인 분석 중 404프로젝트[.]xyz VirusTotal에서 추가 사례가 확인되었습니다. 404 키로거, 여러 유형의 로더.

일반적으로 두 가지 유형으로 나뉩니다.

1. 다운로드는 리소스에서 수행됩니다. 404프로젝트[.]xyz.

   
   데이터는 Base64로 인코딩되고 AES로 암호화됩니다.

2. 이 옵션은 여러 단계로 구성되며 부트로더와 함께 사용되는 경우가 가장 많습니다. AtProtect.

• 첫 번째 단계에서는 데이터가 다음에서 로드됩니다. pastebin 함수를 사용하여 디코딩 HexToByte.

  

• 두 번째 단계에서 로딩 소스는 다음과 같습니다. 404프로젝트[.]xyz. 그러나 압축 해제 및 디코딩 기능은 DataStealer의 기능과 유사합니다. 아마도 원래는 메인 모듈에 부트로더 기능을 구현하려고 계획되었을 것입니다.

  

• 이 단계에서 페이로드는 이미 압축된 형식으로 리소스 매니페스트에 있습니다. 유사한 추출 기능이 메인 모듈에서도 발견되었습니다.

분석된 파일 중에서 다운로더가 발견되었습니다 nj쥐, 스파이게이트 및 기타 RAT.

키로거

로그 전송 기간: 30분.

모든 문자가 지원됩니다. 특수 문자는 이스케이프됩니다. BackSpace 및 Delete 키에 대한 처리가 있습니다. 대소문자를 구분합니다.

클립보드로거

로그 전송 기간: 30분.

버퍼 폴링 기간: 0,1초.

링크 이스케이프를 구현했습니다.

스크린로거

로그 전송 기간: 60분.

스크린샷은 다음에 저장됩니다. %HOMEDRIVE%%HOMEPATH%Documents404k404pic.png.

폴더를 보낸 후 404k 삭제됩니다.

비밀번호 도둑

Браузеры	메일 클라이언트	FTP 클라이언트
크롬	Outlook	FileZilla의
파이어 폭스	천둥새
이유로	Foxmail
Icedragon
페일문
사이버 폭스
크롬
브레이브 브라우저
QQ브라우저
이리듐브라우저
Xvast브라우저
체도
360브라우저
코모도드래곤
360크롬
슈퍼버드
센트브라우저
고스트브라우저
아이언브라우저
Chromium
비발디
Slimjet브라우저
궤도
콕콕
토치
UC브라우저
에픽브라우저
Blisk브라우저
Opera

동적 해석에 대한 대응

• 프로세스가 분석 중인지 확인

  프로세스 검색을 사용하여 수행됨 taskmgr을, 프로세스해커, procexp64, 절차, 프로 몬. 하나라도 발견되면 악성코드가 종료됩니다.

• 가상 환경에 있는지 확인하기

  프로세스 검색을 사용하여 수행됨 vmtoolsd, VGAuth서비스, vmacthlp, VBox서비스, VBox트레이. 하나라도 발견되면 악성코드가 종료됩니다.

• 5초 동안 잠들기
• 다양한 유형의 대화 상자 데모

  일부 샌드박스를 우회하는 데 사용할 수 있습니다.

• UAC 우회

  레지스트리 키를 편집하여 수행됨 EnableLUA 그룹 정책 설정에서.

• 현재 파일에 "숨김" 특성을 적용합니다.
• 현재 파일을 삭제하는 기능.

비활성 기능

부트로더와 메인 모듈을 분석하는 동안 추가 기능을 담당하는 기능이 발견되었지만 어디에도 사용되지 않습니다. 이는 아마도 악성코드가 아직 개발 중이고 기능이 곧 확장될 것이기 때문일 것입니다.

로더 AtProtect

프로세스 로드 및 주입을 담당하는 함수가 발견되었습니다. msiexec.exe를 임의의 모듈.

데이터스틸러

• 시스템 통합

  

• 압축해제 및 복호화 기능

  
  
  네트워크 통신 중 데이터 암호화가 곧 구현될 가능성이 높습니다.

• 바이러스 백신 프로세스 종료

zlclient	Dvp95_0	파브셰드	avgserv9
에구이	에코엔진	파브	avgserv9schedapp
bdagent	안전한	PC시오몬	평균
npfmsg	에스워치	PCCMAIN	ashwebsv
olydbg	F-Agnt95	Pccwin98	애쉬디스프
아누비스	핀드비르	Pcfwallicon	아쉬마이스브
와이어 샤크	Fprot	Persfw	애쉬서브
아바스투이	F-보호 해주는	팝3트랩	aswUpdSv
_Avp32	F-Prot95	PVIEW95	Symwsc
대몬	Fp-승리	Rav7	노턴
밤	앞으로	Rav7win	노턴 자동 보호
키스크램블러	F-정지	구출	norton_av
_Avpcc	아이앱	세이프웹	노르토나브
_평균	아이엠서브	스캔32	ccsetmgr
Ackwin32	입마스	스캔95	ccevtmgr
전초	Ibmavsp	스캔피엠	avadmin
안티 트로이 목마	아이로드95	스크스캔	avcenter
안티 바이러스	아이로드런트	서브95	평균
Apvxdwin	아이몬	SMC	평균
트랙	Icsupp95	SMC서비스	avnotify
자동다운	Icsuppnt	흡입	avscan
Avconsol	아이페이스	스핑크스	가드 구이
새32	이오몬98	스위프95	nod32krn
평균 Ctrl	제다이	SYMPROXYSVC	nod32kui
Avkserv	잠금2000	Tbscan	조가비
Avnt	임무	TCA	조개 트레이
앱	루알	Tds2-98	조개승리
Avp32	맥카페	Tds2-Nt	생크림
Avpcc	물라이브	TermiNET	올라딘
Avpdos32	MP트레이	수의사95	시그툴
평균시간	N32스캔	베트레이	w9xpopen
Avptc32	NAVAPSVC	Vscan40	닫기
Avpupd	NAVAPW32	Vsecomr	cmgrdian
Avsched32	NAVLU32	Vshwin32	alogserv
AVSYNMGR	나븐트	Vsstat	맥실드
Avwin95	NAVRUNR	웹스캔x	vshwin32
Avwupd32	Navw32	웹트랩	avconsol
블랙드	Navwnt	Wfindv32	vsstat
블랙아이스	네오워치	ZoneAlarm을	avsyngr
Cfiadmin	니세르프	잠금2000	avcmd
Cfiaudit	니숨	구조32	avconfig
Cfinet	엔메인	루컴서버	licmgr
Cfinet32	규범주의자	avgcc	예정 :
Claw95	NORTON	avgcc	미리 준비하다
Claw95cf	누그레이드	avgamsvr	MsMpEng
청소기	Nvc95	avgupsvc	MSASCui
클리너3	전초	평균	Avira.Systray
데프워치	파드민	평균cc32
Dvp95	Pavcl	평균 서비스

• 자기 파괴
• 지정된 리소스 매니페스트에서 데이터 로드

  

• 경로를 따라 파일 복사 %Temp%tmpG[밀리초 단위의 현재 날짜 및 시간].tmp

  
  흥미롭게도 AgentTesla 악성코드에도 동일한 기능이 존재합니다.

• 웜 기능

  악성코드는 이동식 미디어 목록을 수신합니다. 악성코드의 복사본은 미디어 파일 시스템의 루트에 다음과 같은 이름으로 생성됩니다. Sys.exe. 자동 실행은 파일을 사용하여 구현됩니다. 이 Autorun.inf.

  

공격자 프로필

명령 센터를 분석하는 동안 개발자의 이메일과 별명인 Razer, 일명 Brwa, Brwa65, HiDDen PerSOn, 404 Coder를 설정할 수 있었습니다. 다음으로 YouTube에서 건축업자와 함께 작업하는 모습을 보여주는 흥미로운 동영상을 찾았습니다.

이를 통해 원래 개발자 채널을 찾을 수 있게 되었습니다.

그가 암호 작성자를 작성한 경험이 있다는 것이 분명해졌습니다. 저자의 실제 이름뿐만 아니라 소셜 네트워크 페이지에 대한 링크도 있습니다. 그는 이라크 거주자로 밝혀졌습니다.

이것이 404 Keylogger 개발자의 모습입니다. 개인 페이스북 프로필 사진.

CERT Group-IB는 바레인의 사이버 위협(SOC)에 대한 404시간 모니터링 및 대응 센터인 XNUMX Keylogger라는 새로운 위협을 발표했습니다.

출처 : habr.com