OceanLotus: ອັບເດດ Malware ສໍາລັບ macOS

ໃນເດືອນມີນາ 2019, ຕົວຢ່າງໃຫມ່ຂອງ macOS malware ຈາກກຸ່ມ cyber OceanLotus ໄດ້ຖືກອັບໂຫລດໄປຍັງ VirusTotal, ບໍລິການສະແກນອອນໄລນ໌ທີ່ນິຍົມ. ໄຟລ໌ປະຕິບັດການ backdoor ມີຄວາມສາມາດດຽວກັນກັບ macOS malware ຮຸ່ນກ່ອນທີ່ພວກເຮົາໄດ້ສຶກສາ, ແຕ່ໂຄງສ້າງຂອງມັນມີການປ່ຽນແປງແລະມັນໄດ້ກາຍເປັນຄວາມຫຍຸ້ງຍາກຫຼາຍທີ່ຈະກວດພົບ. ແຕ່ຫນ້າເສຍດາຍ, ພວກເຮົາບໍ່ສາມາດຊອກຫາ dropper ທີ່ກ່ຽວຂ້ອງກັບຕົວຢ່າງນີ້, ດັ່ງນັ້ນພວກເຮົາຍັງບໍ່ຮູ້ vector ການຕິດເຊື້ອ.

ພວກເຮົາຈັດພີມມາບໍ່ດົນມານີ້ ປະກາດກ່ຽວກັບ OceanLotus ແລະວິທີການທີ່ຜູ້ປະກອບການພະຍາຍາມສະຫນອງຄວາມຄົງທົນ, ເລັ່ງການປະຕິບັດລະຫັດ, ແລະຫຼຸດຜ່ອນຮອຍຕີນໃນລະບົບ Windows. ມັນຍັງເປັນທີ່ຮູ້ຈັກວ່າກຸ່ມ cyber ນີ້ຍັງມີສ່ວນປະກອບສໍາລັບ macOS. ໂພສນີ້ໃຫ້ລາຍລະອຽດກ່ຽວກັບການປ່ຽນແປງຂອງ malware ລຸ້ນໃໝ່ຫຼ້າສຸດສຳລັບ macOS ເມື່ອປຽບທຽບກັບເວີຊັນກ່ອນໜ້ານີ້ (ອະທິບາຍໂດຍ Trend Micro), ແລະຍັງອະທິບາຍວິທີທີ່ທ່ານສາມາດອັດຕະໂນມັດການຖອດລະຫັດສະຕຣິງໃນລະຫວ່າງການວິເຄາະໂດຍໃຊ້ IDA Hex-Rays API.

Анализ

ສາມພາກສ່ວນຕໍ່ໄປອະທິບາຍການວິເຄາະຕົວຢ່າງທີ່ມີ SHA-1 hash E615632C9998E4D3E5ACD8851864ED09B02C77D2. ໄຟລ໌ແມ່ນເອີ້ນວ່າ ໄຟສາຍ, ຜະລິດຕະພັນປ້ອງກັນໄວຣັດ ESET ກວດພົບວ່າເປັນ OSX/OceanLotus.D.

ຕ້ານການດີບັກ ແລະການປ້ອງກັນ sandbox

ເຊັ່ນດຽວກັນກັບ macOS OceanLotus binaries ທັງຫມົດ, ຕົວຢ່າງໄດ້ຖືກຫຸ້ມຫໍ່ດ້ວຍ UPX, ແຕ່ເຄື່ອງມືການກໍານົດຕົວຫຸ້ມຫໍ່ສ່ວນໃຫຍ່ບໍ່ໄດ້ຮັບຮູ້ມັນ. ນີ້ແມ່ນອາດຈະເປັນຍ້ອນວ່າພວກເຂົາສ່ວນໃຫຍ່ມີລາຍເຊັນຂຶ້ນກັບການມີ "UPX" string, ນອກຈາກນັ້ນ, ລາຍເຊັນ Mach-O ແມ່ນຫນ້ອຍກວ່າແລະບໍ່ໄດ້ຖືກປັບປຸງເລື້ອຍໆ. ຄຸນສົມບັດນີ້ເຮັດໃຫ້ການກວດຫາສະຖິດຍາກ. ຫນ້າສົນໃຈ, ຫຼັງຈາກ unpacking, ຈຸດເຂົ້າແມ່ນຢູ່ໃນຕອນຕົ້ນຂອງພາກ __cfstring ຢູ່ໃນພາກສ່ວນ .TEXT. ພາກສ່ວນນີ້ມີຄຸນສົມບັດທຸງດັ່ງທີ່ສະແດງຢູ່ໃນຮູບຂ້າງລຸ່ມນີ້.

ຮູບ 1. ຄຸນລັກສະນະຂອງພາກ MACH-O __cfstring

ດັ່ງທີ່ສະແດງຢູ່ໃນຮູບທີ 2, ສະຖານທີ່ລະຫັດຢູ່ໃນພາກ __cfstring ອະນຸຍາດໃຫ້ທ່ານເພື່ອຫລອກລວງບາງເຄື່ອງມື disassembly ໂດຍການສະແດງລະຫັດເປັນສາຍ.

ຮູບ 2. ລະຫັດ Backdoor ກວດພົບໂດຍ IDA ເປັນຂໍ້ມູນ

ເມື່ອຖືກປະຕິບັດແລ້ວ, ໄບນາຣີຈະສ້າງກະທູ້ເປັນຕົວຕ້ານການດີບັກທີ່ມີຈຸດປະສົງອັນດຽວເພື່ອສືບຕໍ່ກວດສອບການມີຕົວດີບັກ. ສໍາລັບການໄຫຼເຂົ້ານີ້:

— ພະ​ຍາ​ຍາມ unhook debugger ໃດ, ໂທ​ຫາ ptrace с PT_DENY_ATTACH ເປັນຕົວກໍານົດການຮ້ອງຂໍ
- ກວດເບິ່ງວ່າບາງພອດສະເພາະເປີດໂດຍການໂທຫາຟັງຊັນ task_get_exception_ports
- ກວດເບິ່ງວ່າມີການເຊື່ອມຕໍ່ debugger, ດັ່ງທີ່ສະແດງຢູ່ໃນຮູບຂ້າງລຸ່ມນີ້, ໂດຍການກວດສອບການປະກົດຕົວຂອງທຸງຊາດ P_TRACED ໃນຂະບວນການປະຈຸບັນ

ຮູບ 3. ການກວດສອບການເຊື່ອມຕໍ່ debugger ໂດຍໃຊ້ຟັງຊັນ sysctl

ຖ້າ watchdog ກວດພົບການປະກົດຕົວຂອງ debugger, ຟັງຊັນຈະຖືກເອີ້ນວ່າ exit. ນອກຈາກນັ້ນ, ຕົວຢ່າງຫຼັງຈາກນັ້ນກວດເບິ່ງສະພາບແວດລ້ອມໂດຍການແລ່ນສອງຄໍາສັ່ງ:

ioreg -l | grep -e "Manufacturer" и sysctl hw.model

ຕົວຢ່າງຫຼັງຈາກນັ້ນກວດເບິ່ງຄ່າກັບຄືນຕໍ່ກັບບັນຊີລາຍຊື່ຂອງສະຕຣິງທີ່ມີລະຫັດແຂງຈາກລະບົບ virtualization ທີ່ຮູ້ຈັກ: acle, vmware, virtualbox ຫຼື ຂະຫນານ. ສຸດທ້າຍ, ຄໍາສັ່ງຕໍ່ໄປຈະກວດເບິ່ງວ່າເຄື່ອງເປັນຫນຶ່ງໃນ "MBP", "MBA", "MB", "MM", "IM", "MP" ແລະ "XS". ເຫຼົ່ານີ້ແມ່ນລະຫັດຕົວແບບຂອງລະບົບ, ສໍາລັບການຍົກຕົວຢ່າງ, "MBP" ຫມາຍຄວາມວ່າ MacBook Pro, "MBA" ຫມາຍຄວາມວ່າ MacBook Air, ແລະອື່ນໆ.

system_profiler SPHardwareDataType 2>/dev/null | awk '/Boot ROM Version/ {split($0, line, ":");printf("%s", line[2]);}

ການເພີ່ມເຕີມຕົ້ນຕໍ

ໃນຂະນະທີ່ຄໍາສັ່ງ backdoor ບໍ່ໄດ້ປ່ຽນແປງນັບຕັ້ງແຕ່ການຄົ້ນຄວ້າຂອງ Trend Micro, ພວກເຮົາສັງເກດເຫັນການດັດແກ້ອື່ນໆຈໍານວນຫນຶ່ງ. ເຊີບເວີ C&C ທີ່ໃຊ້ໃນຕົວຢ່າງນີ້ແມ່ນໃໝ່ພໍສົມຄວນ ແລະຖືກສ້າງຂື້ນໃນວັນທີ 22.10.2018/XNUMX/XNUMX.

- daff.faybilodeau[.]com
- sarc.onteagleroad[.]com
- au.charlineopkesston[.]com

URL ຊັບພະຍາກອນໄດ້ປ່ຽນເປັນ /dp/B074WC4NHW/ref=gbps_img_m-9_62c3_750e6b35.
ແພັກເກັດທໍາອິດທີ່ຖືກສົ່ງໄປຫາເຊີບເວີ C&C ມີຂໍ້ມູນເພີ່ມເຕີມກ່ຽວກັບເຄື່ອງໂຮດ, ລວມທັງຂໍ້ມູນທັງຫມົດທີ່ເກັບກໍາໂດຍຄໍາສັ່ງໃນຕາຕະລາງຂ້າງລຸ່ມນີ້.

ນອກເຫນືອຈາກການປ່ຽນແປງການຕັ້ງຄ່ານີ້, ຕົວຢ່າງບໍ່ໄດ້ໃຊ້ຫ້ອງສະຫມຸດສໍາລັບການກັ່ນຕອງເຄືອຂ່າຍ libcurl, ແຕ່ຫ້ອງສະຫມຸດພາຍນອກ. ເພື່ອຊອກຫາມັນ, backdoor ພະຍາຍາມຖອດລະຫັດທຸກໄຟລ໌ໃນໄດເລກະທໍລີປະຈຸບັນໂດຍໃຊ້ AES-256-CBC ດ້ວຍກະແຈ. gFjMXBgyXWULmVVVzyxy, padded ກັບສູນ. ແຕ່ລະໄຟລ໌ຖືກຖອດລະຫັດ ແລະບັນທຶກເປັນ /tmp/store, ແລະ​ຄວາມ​ພະ​ຍາ​ຍາມ​ທີ່​ຈະ​ໂຫຼດ​ມັນ​ເປັນ​ຫ້ອງ​ສະ​ຫມຸດ​ແມ່ນ​ເຮັດ​ໄດ້​ໂດຍ​ການ​ນໍາ​ໃຊ້​ຫນ້າ​ທີ່​ dlopen. ເມື່ອຄວາມພະຍາຍາມທີ່ຈະຖອດລະຫັດເຮັດໃຫ້ການໂທສົບຜົນສໍາເລັດ dlopen, backdoor ສານສະກັດຈາກຫນ້າທີ່ສົ່ງອອກ Boriry и ChadylonV, ເຊິ່ງເບິ່ງຄືວ່າມີຄວາມຮັບຜິດຊອບຕໍ່ການສື່ສານເຄືອຂ່າຍກັບເຄື່ອງແມ່ຂ່າຍ. ພວກເຮົາບໍ່ມີ dropper ຫຼືໄຟລ໌ອື່ນໆຈາກສະຖານທີ່ຕົ້ນສະບັບຂອງຕົວຢ່າງ, ດັ່ງນັ້ນພວກເຮົາບໍ່ສາມາດວິເຄາະຫ້ອງສະຫມຸດນີ້ໄດ້. ຍິ່ງໄປກວ່ານັ້ນ, ເນື່ອງຈາກອົງປະກອບຖືກເຂົ້າລະຫັດ, ກົດລະບຽບ YARA ໂດຍອີງໃສ່ສະຕຣິງເຫຼົ່ານີ້ຈະບໍ່ກົງກັບໄຟລ໌ທີ່ພົບເຫັນຢູ່ໃນແຜ່ນ.

ດັ່ງທີ່ໄດ້ອະທິບາຍໄວ້ໃນບົດຄວາມຂ້າງເທິງ, ມັນສ້າງ clientID. ID ນີ້ແມ່ນ MD5 hash ຂອງຄ່າກັບຄືນຂອງຫນຶ່ງໃນຄໍາສັ່ງຕໍ່ໄປນີ້:

- ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformSerialNumber/ { split($0, line, """); printf("%s", line[4]); }'
- ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformUUID/ { split($0, line, """); printf("%s", line[4]); }'
- ifconfig en0 | awk '/ether /{print $2}' (ໄດ້​ຮັບ​ທີ່​ຢູ່ MAC​)
- ທີມ​ງານ​ທີ່​ບໍ່​ຮູ້​ຈັກ ("x1ex72x0a"), ເຊິ່ງຖືກນໍາໃຊ້ໃນຕົວຢ່າງທີ່ຜ່ານມາ

ກ່ອນທີ່ຈະ hashing, "0" ຫຼື "1" ຈະຖືກເພີ່ມໃສ່ຄ່າກັບຄືນເພື່ອຊີ້ໃຫ້ເຫັນສິດທິຂອງຮາກ. ນີ້ clientID ເກັບໄວ້ໃນ /Library/Storage/File System/HFS/25cf5d02-e50b-4288-870a-528d56c3cf6e/pivtoken.appex, ຖ້າລະຫັດຖືກດໍາເນີນການເປັນຮາກຫຼືຢູ່ໃນ ~/Library/SmartCardsServices/Technology/PlugIns/drivers/snippets.ecgML ໃນທຸກກໍລະນີອື່ນໆ. ປົກກະຕິແລ້ວໄຟລ໌ຖືກເຊື່ອງໄວ້ໂດຍໃຊ້ຟັງຊັນ _chflags, ເວລາຂອງມັນຖືກປ່ຽນແປງໂດຍໃຊ້ຄໍາສັ່ງ touch –t ດ້ວຍຄ່າສຸ່ມ.

ການຖອດລະຫັດສະຕຣິງ

ເຊັ່ນດຽວກັນກັບທາງເລືອກທີ່ຜ່ານມາ, ສະຕຣິງຖືກເຂົ້າລະຫັດໂດຍໃຊ້ AES-256-CBC (ລະຫັດເລກຖານສິບຫົກ: 9D7274AD7BCEF0DED29BDBB428C251DF8B350B92 padded ກັບສູນ, ແລະ IV ເຕັມໄປດ້ວຍສູນ) ໂດຍຜ່ານການທໍາງານ CCCrypt. ລະຫັດມີການປ່ຽນແປງຈາກລຸ້ນກ່ອນ, ແຕ່ເນື່ອງຈາກກຸ່ມຍັງໃຊ້ລະບົບການເຂົ້າລະຫັດສະຕຣິງແບບດຽວກັນ, ການຖອດລະຫັດສາມາດອັດຕະໂນມັດໄດ້. ນອກເໜືອໄປຈາກໂພສນີ້, ພວກເຮົາກໍາລັງປ່ອຍຕົວສະຄຣິບ IDA ທີ່ໃຊ້ Hex-Rays API ເພື່ອຖອດລະຫັດສະຕຣິງທີ່ມີຢູ່ໃນໄຟລ໌ໄບນາຣີ. script ນີ້ອາດຈະຊ່ວຍໃນການວິເຄາະໃນອະນາຄົດຂອງ OceanLotus ແລະການວິເຄາະຕົວຢ່າງທີ່ມີຢູ່ແລ້ວທີ່ພວກເຮົາຍັງບໍ່ທັນສາມາດໄດ້ຮັບ. script ແມ່ນອີງໃສ່ວິທີການທົ່ວໄປສໍາລັບການຮັບ arguments ຜ່ານໄປຫາຟັງຊັນ. ນອກຈາກນັ້ນ, ມັນຊອກຫາການມອບຫມາຍພາລາມິເຕີ. ວິທີການສາມາດຖືກນໍາມາໃຊ້ຄືນໃຫມ່ເພື່ອເອົາລາຍຊື່ຂອງອາກິວເມັນຟັງຊັນແລະຫຼັງຈາກນັ້ນສົ່ງມັນໄປຫາການໂທກັບຄືນ.

ຮູ້ຈັກຕົ້ນແບບການທໍາງານ ຖອດລະຫັດ, script ຊອກຫາການອ້າງອິງຂ້າມທັງຫມົດກັບຟັງຊັນນີ້, ການໂຕ້ຖຽງທັງຫມົດ, ຫຼັງຈາກນັ້ນຖອດລະຫັດຂໍ້ມູນແລະວາງຂໍ້ຄວາມທໍາມະດາພາຍໃນຄໍາເຫັນຢູ່ທີ່ທີ່ຢູ່ອ້າງອີງຂ້າມ. ເພື່ອໃຫ້ສະຄຣິບເຮັດວຽກຢ່າງຖືກຕ້ອງ, ມັນຕ້ອງຖືກຕັ້ງເປັນຕົວອັກສອນທີ່ກໍາຫນົດເອງທີ່ໃຊ້ໂດຍຟັງຊັນການຖອດລະຫັດ base64, ແລະຕົວແປທົ່ວໂລກຕ້ອງຖືກກໍານົດທີ່ມີຄວາມຍາວຂອງຄີ (ໃນກໍລະນີນີ້ DWORD, ເບິ່ງຮູບ 4).

ຮູບທີ 4. ນິຍາມຂອງຕົວແປທົ່ວໂລກ key_len

ໃນຫນ້າຕ່າງ Function, ທ່ານສາມາດຄລິກຂວາໃສ່ຫນ້າທີ່ຖອດລະຫັດແລະຄລິກ "Extract and decrypt arguments." ສະຄຣິບຄວນວາງສາຍທີ່ຖອດລະຫັດໄວ້ໃນຄໍາເຫັນ, ດັ່ງທີ່ສະແດງໃນຮູບ 5.

ຮູບ 5. ຂໍ້ຄວາມທີ່ຖອດລະຫັດຖືກວາງໄວ້ໃນຄໍາເຫັນ

ດ້ວຍວິທີນີ້, ສະຕຣິງທີ່ຖອດລະຫັດຖືກຈັດໃສ່ເຂົ້າກັນຢ່າງສະດວກຢູ່ໃນປ່ອງຢ້ຽມ IDA xrefs ສໍາລັບຟັງຊັນນີ້ຕາມທີ່ສະແດງຢູ່ໃນຮູບ 6.

ຮູບ 6. Xrefs ກັບ f_decrypt function

script ສຸດທ້າຍສາມາດພົບໄດ້ທີ່ ຄັງເກັບຂໍ້ມູນ Github.

ສະຫລຸບ

ດັ່ງທີ່ໄດ້ກ່າວມາແລ້ວ, OceanLotus ກໍາລັງປັບປຸງແລະປັບປຸງຊຸດເຄື່ອງມືຂອງຕົນຢ່າງຕໍ່ເນື່ອງ. ເວລານີ້, ກຸ່ມ cyber ໄດ້ປັບປຸງ malware ເພື່ອເຮັດວຽກກັບຜູ້ໃຊ້ Mac. ລະຫັດບໍ່ໄດ້ປ່ຽນແປງຫຼາຍ, ແຕ່ເນື່ອງຈາກຜູ້ໃຊ້ Mac ຫຼາຍຄົນບໍ່ສົນໃຈຜະລິດຕະພັນຄວາມປອດໄພ, ການປົກປ້ອງ malware ຈາກການກວດສອບແມ່ນມີຄວາມສໍາຄັນອັນດັບສອງ.

ຜະລິດຕະພັນ ESET ໄດ້ກວດພົບໄຟລ໌ນີ້ແລ້ວໃນເວລາຄົ້ນຄ້ວາ. ເນື່ອງຈາກວ່າຫ້ອງສະຫມຸດເຄືອຂ່າຍທີ່ໃຊ້ສໍາລັບການສື່ສານ C&C ຕອນນີ້ຖືກເຂົ້າລະຫັດຢູ່ໃນແຜ່ນ, ໂປໂຕຄອນເຄືອຂ່າຍທີ່ແນ່ນອນທີ່ໃຊ້ໂດຍຜູ້ໂຈມຕີແມ່ນຍັງບໍ່ທັນຮູ້ເທື່ອ.

ຕົວຊີ້ວັດຂອງການປະນີປະນອມ

ຕົວຊີ້ວັດຂອງການປະນີປະນອມເຊັ່ນດຽວກັນກັບຄຸນລັກສະນະ MITER ATT&CK ແມ່ນມີຢູ່ໃນ GitHub.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com