투표 실패: AgentTesla를 깨끗한 물에 노출시키자. 3부

이 기사로 우리는 악성 소프트웨어 분석에 관한 간행물 시리즈를 완성했습니다. 안에 첫 번째 부분 유럽의 한 기업이 메일로 받은 감염파일을 정밀 분석한 결과, 그곳에서 AgentTesla 스파이웨어가 발견되었습니다. ~ 안에 두 번째 부분 주요 AgentTesla 모듈의 단계별 분석 결과를 설명했습니다.

오늘은 CERT Group-IB의 악성 코드 분석 전문가인 Ilya Pomerantsev가 악성 코드 분석의 첫 번째 단계인 CERT Group-IB 전문가의 사례 세 가지 미니 사례를 사용하여 AgentTesla 샘플의 반자동 압축 풀기에 대해 설명합니다.

일반적으로 맬웨어 분석의 첫 번째 단계는 패커, 암호화 프로그램, 프로텍터 또는 로더 형태의 보호 기능을 제거하는 것입니다. 대부분의 경우 악성코드를 실행하고 덤프를 하면 문제가 해결되지만, 이 방법이 적합하지 않은 경우도 있습니다. 예를 들어, 악성코드가 암호화기인 경우, 메모리 영역이 덤프되지 않도록 보호하는 경우, 코드에 가상 머신 탐지 메커니즘이 포함된 경우, 악성코드가 시작 후 즉시 재부팅되는 경우 등이 있습니다. 이러한 경우 소위 "반자동" 포장 풀기가 사용됩니다. 즉, 연구원은 프로세스를 완전히 제어할 수 있으며 언제든지 개입할 수 있습니다. AgentTesla 제품군의 세 가지 샘플을 예로 들어 이 절차를 고려해 보겠습니다. 네트워크 액세스를 비활성화하면 비교적 무해한 악성 코드입니다.

샘플 번호 1

소스 파일은 CVE-2017-11882 취약점을 악용한 MS Word 문서입니다.

결과적으로 페이로드가 다운로드되고 실행됩니다.

프로세스 트리 및 행동 마커 분석을 통해 프로세스에 대한 주입을 보여줍니다. RegAsm.exe.

AgentTesla의 특징적인 행동 마커가 있습니다.

다운로드한 샘플은 실행 가능한 샘플입니다. . NET-보호자에 의해 보호되는 파일 .NET 반응기.

유틸리티에서 열어보자 dnSpy x86 그리고 진입점으로 이동합니다.

기능으로 이동하여 날짜 시간 오프셋, 우리는 새로운 것에 대한 초기화 코드를 찾을 것입니다 . NET-기준 치수. 넣어보자 중단 점 우리가 관심 있는 라인에서 파일을 실행합니다.

반환된 버퍼 중 하나에서 MZ 서명(0x4D 0x5A). 저장해 봅시다.

덤프된 실행 파일은 로더인 동적 라이브러리입니다. 리소스 섹션에서 페이로드를 추출하고 실행합니다.

동시에 필요한 리소스 자체는 덤프에 존재하지 않습니다. 이는 상위 샘플에 있습니다.

공익 사업 dn스파이 두 가지 관련 파일에서 "프랑켄슈타인"을 매우 빠르게 생성하는 데 도움이 되는 두 가지 매우 유용한 기능이 있습니다.

1. 첫 번째 방법을 사용하면 동적 라이브러리를 상위 샘플에 "붙여넣기"할 수 있습니다.

   

2. 두 번째는 삽입된 동적 라이브러리의 원하는 메소드를 호출하기 위해 진입점에서 함수 코드를 다시 작성하는 것입니다.

   

우리는 "프랑켄슈타인"을 저장하고 설정합니다. 중단 점 해독된 리소스가 포함된 버퍼를 반환하는 라인에서 이전 단계와 유사하게 덤프를 생성합니다.

두 번째 덤프는 다음과 같이 작성되었습니다. VB.NET 우리에게 친숙한 보호자에 의해 보호되는 실행 파일 혼란스러운Ex.

보호기를 제거한 후 앞서 작성한 YARA 규칙을 사용하여 압축을 푼 악성 코드가 실제로 AgentTesla인지 확인합니다.

샘플 번호 2

원본 파일은 MS Excel 문서입니다. 내장된 매크로로 인해 악성 코드가 실행됩니다.

결과적으로 PowerShell 스크립트가 시작됩니다.

스크립트는 C# 코드를 해독하고 제어권을 해당 코드로 전송합니다. 샌드박스 보고서에서도 볼 수 있듯이 코드 자체는 부트로더입니다.

페이로드는 실행 파일입니다. . NET-파일.

파일 열기 dnSpy x86, 난독화되어 있음을 알 수 있습니다. 유틸리티를 사용하여 난독화 제거 de4dot 그리고 분석으로 돌아갑니다.

코드를 검토하면 다음 기능을 발견할 수 있습니다.

인코딩된 라인이 눈에 띕니다 진입 지점 и 호출. 우리는 넣어 중단 점 첫 번째 줄까지 실행하고 버퍼 값을 저장합니다. 바이트_0.

덤프는 다시 애플리케이션입니다. . NET 그리고 보호받는다 혼란스러운Ex.

다음을 사용하여 난독화를 제거합니다. de4dot 그리고 업로드 dn스파이. 파일 설명을 통해 우리는 직면한 상황을 이해합니다. CyaX-Sharp 로더.

이 로더에는 광범위한 분석 방지 기능이 있습니다.

이 기능에는 기본 제공 Windows 보호 시스템 우회, Windows Defender 비활성화, 샌드박스 및 가상 머신 감지 메커니즘이 포함됩니다. 네트워크에서 페이로드를 로드하거나 리소스 섹션에 저장할 수 있습니다. 실행은 자체 프로세스, 자체 프로세스의 복제본 또는 프로세스에 주입을 통해 수행됩니다. MSBuild.exe, vbc.exe и RegSvcs.exe 공격자가 선택한 매개변수에 따라 달라집니다.

그러나 우리에게는 그 것보다 덜 중요합니다. 덤프 방지-추가하는 기능 혼란스러운Ex. 소스 코드는 다음에서 찾을 수 있습니다. GitHub의.

보호를 비활성화하기 위해 우리는 기회를 사용할 것입니다 dn스파이, 이를 통해 편집할 수 있습니다. IL-암호.

저장 및 설치 중단 점 페이로드 복호화 함수 호출 라인으로 이동합니다. 이는 메인 클래스의 생성자에 있습니다.

페이로드를 실행하고 덤프합니다. 이전에 작성된 YARA 규칙을 사용하여 이것이 AgentTesla인지 확인합니다.

샘플 번호 3

소스 파일은 실행 파일입니다. VB 네이티브 PE32-파일.

엔트로피 분석은 대량의 암호화된 데이터가 존재함을 보여줍니다.

지원서 양식을 분석할 때 VB 디컴파일러 이상한 픽셀 배경이 보일 수도 있습니다.

엔트로피 그래프 BMP-이미지는 원본 파일의 엔트로피 그래프와 동일하며, 크기는 파일 크기의 85%입니다.

이미지의 일반적인 모습은 스테가노그래피를 사용했음을 나타냅니다.

프로세스 트리의 모양과 주입 마커의 존재에 주목해 봅시다.

이는 포장 풀기가 진행 중임을 나타냅니다. Visual Basic 로더의 경우(일명 VBKrypt 또는 VB인젝터) 일반적인 사용 쉘코드 페이로드를 초기화하고 주입 자체를 수행합니다.

분석 VB 디컴파일러 이벤트의 존재를 보여주었습니다. 하중 양식에 FegatassocAirballoon2.

가자 IDA 프로 지정된 주소로 가서 기능을 연구하십시오. 코드가 매우 난독화되어 있습니다. 우리가 관심을 갖는 부분이 아래에 제시되어 있습니다.

여기서는 프로세스의 주소 공간에서 서명을 검색합니다. 이 접근 방식은 매우 모호합니다.

먼저, 스캐닝 시작 주소 0 X 400100. 이 값은 정적이며 베이스가 이동될 때 조정되지 않습니다. 이상적인 온실 조건에서는 끝을 나타냅니다. PE- 실행 파일의 헤더. 그러나 데이터베이스는 정적이지 않고 해당 값이 변경될 수 있으며 필요한 서명의 실제 주소를 검색하는 데 변수 오버플로가 발생하지는 않지만 매우 오랜 시간이 걸릴 수 있습니다.

둘째, 서명의 의미 iWGK. 4바이트는 고유성을 보장하기에는 너무 작다는 것이 분명하다고 생각합니다. 그리고 첫 번째 점을 고려하면 실수할 확률이 상당히 높습니다.

실제로 필요한 조각은 이전에 찾은 조각의 끝에 첨부됩니다. BMP-오프셋으로 찍은 사진 0xA1D0D.

실행 쉘코드 두 단계로 수행됩니다. 첫 번째는 본체를 해독합니다. 이 경우 키는 무차별 대입에 의해 결정됩니다.

해독된 것을 덤프하세요. 쉘코드 그리고 줄을 보세요.

첫째, 이제 우리는 자식 프로세스를 생성하는 기능을 알고 있습니다. CreateProcessInternalW.

둘째, 우리는 시스템의 고착 메커니즘을 알게 되었습니다.

원래 프로세스로 돌아가 보겠습니다. 넣어보자 중단 점 에 CreateProcessInternalW 실행을 계속합니다. 다음으로 연결을 살펴보겠습니다. NtGetContextThread/NtSetContextThread, 실행 시작 주소를 주소로 변경합니다. 쉘코드.

디버거를 사용하여 생성된 프로세스에 연결하고 이벤트를 활성화합니다. 라이브러리 로드/언로드 시 일시중단, 프로세스를 재개하고 로드를 기다립니다. . NET-도서관.

추가 사용 프로세스해커 압축이 풀린 덤프 영역 . NET-애플리케이션.

우리는 모든 프로세스를 중단하고 시스템에 내장된 악성 코드의 복사본을 삭제합니다.

덤프된 파일은 보호 장치로 보호됩니다 .NET 반응기, 유틸리티를 사용하여 쉽게 제거할 수 있음 de4dot.

앞서 작성한 YARA 규칙을 사용하여 이것이 AgentTesla인지 확인합니다.

요약하면

그래서 우리는 세 가지 미니 케이스를 예로 들어 반자동 샘플 언패킹 과정을 자세히 시연했고, 본격적인 케이스를 기반으로 악성코드를 분석한 결과, 연구 중인 샘플이 AgentTesla임을 알아내며 그 기능과 손상 지표의 전체 목록.

우리가 수행한 악성 개체에 대한 분석에는 많은 시간과 노력이 필요하며, 이 작업은 회사 내 전문 직원이 수행해야 하지만 모든 회사가 분석가를 고용할 준비가 되어 있는 것은 아닙니다.

Group-IB 컴퓨터 포렌식 및 악성코드 분석 연구실에서 제공하는 서비스 중 하나는 사이버 사고 대응입니다. 그리고 고객들이 사이버 공격 속에서 문서를 승인하고 논의하는 데 시간을 낭비하지 않도록 Group-IB를 출시했습니다. 사고 대응 보유자, 악성 코드 분석 단계도 포함하는 사전 구독 사고 대응 서비스입니다. 이에 대한 자세한 내용을 확인할 수 있습니다. 여기에.

AgentTesla 샘플이 어떻게 압축 해제되는지 다시 한 번 연구하고 CERT Group-IB 전문가가 이를 수행하는 방법을 확인하려면 이 주제에 대한 웹 세미나 녹화를 다운로드할 수 있습니다. 여기에.

출처 : habr.com