ProHoster > Blogs > Administrācija > ProLock atvērÅ”ana: jaunās izspiedējvÄ«rusa operatoru darbÄ«bu analÄ«ze, izmantojot MITER ATT&CK matricu

ProLock atvērÅ”ana: jaunās izspiedējvÄ«rusa operatoru darbÄ«bu analÄ«ze, izmantojot MITER ATT&CK matricu

ProLock atvērÅ”ana: jaunās izspiedējvÄ«rusa operatoru darbÄ«bu analÄ«ze, izmantojot MITER ATT&CK matricu

Izpirkuma programmatÅ«ras uzbrukumu panākumi organizācijām visā pasaulē mudina spēlē iesaistÄ«ties arvien vairāk jaunu uzbrucēju. Viens no Å”iem jaunajiem spēlētājiem ir grupa, kas izmanto ProLock ransomware. Tā parādÄ«jās 2020. gada martā kā PwndLocker programmas pēctece, kas sāka darboties 2019. gada beigās. ProLock izpirkuma programmatÅ«ras uzbrukumi galvenokārt ir vērsti uz finanÅ”u un veselÄ«bas aprÅ«pes organizācijām, valsts aÄ£entÅ«rām un mazumtirdzniecÄ«bas sektoru. Nesen ProLock operatori veiksmÄ«gi uzbruka vienam no lielākajiem bankomātu ražotājiem Diebold Nixdorf.

Å ajā amatā Oļegs Skuļkins, IB grupas Datoru kriminālistikas laboratorijas vadoÅ”ais speciālists, aptver pamata taktiku, paņēmienus un procedÅ«ras (TTP), ko izmanto ProLock operatori. Raksta noslēgumā ir sniegts salÄ«dzinājums ar MITER ATT&CK Matrix ā€“ publisku datu bāzi, kas apkopo dažādu kibernoziedznieku grupu mērÄ·tiecÄ«gu uzbrukumu taktikas.

Sākotnējās piekļuves iegÅ«Å”ana

ProLock operatori izmanto divus galvenos primārā kompromisa vektorus: Trojas zirgu QakBot (Qbot) un neaizsargātus RDP serverus ar vājām parolēm.

Kompromiss, izmantojot ārēji pieejamu RDP serveri, ir ļoti populārs izspiedējvÄ«rusu operatoru vidÅ«. Parasti uzbrucēji pērk piekļuvi apdraudētam serverim no treÅ”ajām pusēm, taču to var iegÅ«t arÄ« grupas dalÄ«bnieki paÅ”i.

Interesantāks primārā kompromisa vektors ir QakBot ļaunprogrammatÅ«ra. IepriekÅ” Å”is Trojas zirgs bija saistÄ«ts ar citu ransomware saimi ā€“ MegaCortex. Tomēr tagad to izmanto ProLock operatori.

Parasti QakBot tiek izplatÄ«ts, izmantojot pikŔķerÄ“Å”anas kampaņas. PikŔķerÄ“Å”anas e-pastā var bÅ«t pievienots Microsoft Office dokuments vai saite uz failu, kas atrodas mākoņkrātuves pakalpojumā, piemēram, Microsoft OneDrive.

Ir arÄ« zināmi gadÄ«jumi, kad QakBot tiek ielādēts ar citu Trojas zirgu Emotet, kas ir plaÅ”i pazÄ«stams ar savu dalÄ«bu kampaņās, kurās tika izplatÄ«ta Ryuk izpirkuma programmatÅ«ra.

Piepildījums

Pēc inficētā dokumenta lejupielādes un atvērÅ”anas lietotājam tiek piedāvāts atļaut makro palaiÅ”anu. Ja tas izdodas, tiek palaists PowerShell, kas ļaus lejupielādēt un palaist QakBot lietderÄ«go slodzi no komandu un vadÄ«bas servera.

Ir svarÄ«gi atzÄ«mēt, ka tas pats attiecas uz ProLock: lietderÄ«gā slodze tiek iegÅ«ta no faila BMP vai JPG un ielādēts atmiņā, izmantojot PowerShell. Dažos gadÄ«jumos PowerShell startÄ“Å”anai tiek izmantots ieplānots uzdevums.

PakeŔu skripts, kurā darbojas ProLock, izmantojot uzdevumu plānotāju:

schtasks.exe /CREATE /XML C:ProgramdataWinMgr.xml /tn WinMgr
schtasks.exe /RUN /tn WinMgr
del C:ProgramdataWinMgr.xml
del C:Programdatarun.bat

Konsolidācija sistēmā

Ja ir iespējams kompromitēt RDP serveri un iegÅ«t piekļuvi, tad, lai piekļūtu tÄ«klam, tiek izmantoti derÄ«gi konti. QakBot raksturo dažādi piestiprināŔanas mehānismi. Visbiežāk Å”is Trojas zirgs izmanto reÄ£istra atslēgu Palaist un plānotājā izveido uzdevumus:

ProLock atvērÅ”ana: jaunās izspiedējvÄ«rusa operatoru darbÄ«bu analÄ«ze, izmantojot MITER ATT&CK matricu
Qakbot piesprauÅ”ana sistēmai, izmantojot Palaist reÄ£istra atslēgu

Dažos gadÄ«jumos tiek izmantotas arÄ« starta mapes: tur tiek ievietota saÄ«sne, kas norāda uz sāknÄ“Å”anas ielādētāju.

Apvedceļa aizsardzība

Sazinoties ar komandu un vadÄ«bas serveri, QakBot periodiski mēģina sevi atjaunināt, tāpēc, lai izvairÄ«tos no atklāŔanas, ļaunprogrammatÅ«ra var aizstāt savu paÅ”reizējo versiju ar jaunu. Izpildāmie faili ir parakstÄ«ti ar apdraudētu vai viltotu parakstu. Sākotnējā PowerShell ielādētā krava tiek glabāta C&C serverÄ« ar paplaÅ”inājumu PNG. Turklāt pēc izpildes tas tiek aizstāts ar likumÄ«gu failu calc.exe.

Tāpat, lai slēptu ļaunprātÄ«gu darbÄ«bu, QakBot izmanto koda ievadÄ«Å”anas paņēmienu procesos, izmantojot explorer.exe.

Kā minēts, ProLock lietderÄ«gā slodze ir paslēpta failā BMP vai JPG. To var uzskatÄ«t arÄ« par aizsardzÄ«bas apieÅ”anas metodi.

Akreditācijas datu iegūŔana

QakBot ir keylogger funkcionalitāte. Turklāt tā var lejupielādēt un palaist papildu skriptus, piemēram, Invoke-Mimikatz, slavenās Mimikatz utilīta PowerShell versiju. Šādus skriptus uzbrucēji var izmantot, lai izmestu akreditācijas datus.

Tīkla izlūkoŔana

Pēc piekļuves priviliģētiem kontiem ProLock operatori veic tÄ«kla izpēti, kas var ietvert portu skenÄ“Å”anu un Active Directory vides analÄ«zi. Papildus dažādiem skriptiem uzbrucēji informācijas vākÅ”anai par Active Directory izmanto vēl vienu rÄ«ku AdFind, kas ir populārs izspiedējvÄ«rusu grupu vidÅ«.

Tīkla veicināŔana

Tradicionāli viena no populārākajām tÄ«kla veicināŔanas metodēm ir attālās darbvirsmas protokols. ProLock nebija izņēmums. Uzbrucēju arsenālā pat ir skripti, lai iegÅ«tu attālo piekļuvi, izmantojot RDP, lai mērķētu uz saimniekiem.

BAT skripts piekļuves iegūŔanai, izmantojot LAP protokolu:

reg add "HKLMSystemCurrentControlSetControlTerminal Server" /v "fDenyTSConnections" /t REG_DWORD /d 0 /f
netsh advfirewall firewall set rule group="Remote Desktop" new enable=yes
reg add "HKLMSystemCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp" /v "UserAuthentication" /t REG_DWORD /d 0 /f

Lai attālināti izpildītu skriptus, ProLock operatori izmanto citu populāru rīku, utilītu PsExec no Sysinternals Suite.

ProLock darbojas resursdatoros, izmantojot WMIC, kas ir komandrindas saskarne darbam ar Windows Management Instrumentation apakÅ”sistēmu. Å is rÄ«ks kļūst arvien populārāks arÄ« ransomware operatoru vidÅ«.

Datu vākŔana

Tāpat kā daudzi citi izpirkuma programmatūras operatori, grupa, kas izmanto ProLock, apkopo datus no apdraudēta tīkla, lai palielinātu iespējas saņemt izpirkuma maksu. Pirms eksfiltrācijas savāktie dati tiek arhivēti, izmantojot utilītu 7Zip.

Eksfiltrācija

Lai augÅ”upielādētu datus, ProLock operatori izmanto Rclone ā€” komandrindas rÄ«ku, kas paredzēts failu sinhronizÄ“Å”anai ar dažādiem mākoņa krātuves pakalpojumiem, piemēram, OneDrive, Google Drive, Mega u.c. Uzbrucēji vienmēr pārdēvē izpildāmo failu, lai tas izskatÄ«tos kā likumÄ«gi sistēmas faili.

AtŔķirÄ«bā no saviem vienaudžiem, ProLock operatoriem joprojām nav savas tÄ«mekļa vietnes, kur publicēt nozagtus datus, kas pieder uzņēmumiem, kuri atteicās maksāt izpirkuma maksu.

GalÄ«gā mērÄ·a sasniegÅ”ana

Kad dati ir izfiltrēti, komanda izvieto ProLock visā uzņēmuma tÄ«klā. Binārais fails tiek izvilkts no faila ar paplaÅ”inājumu PNG vai JPG izmantojot PowerShell un ievadÄ«ts atmiņā:

ProLock atvērÅ”ana: jaunās izspiedējvÄ«rusa operatoru darbÄ«bu analÄ«ze, izmantojot MITER ATT&CK matricu
Pirmkārt, ProLock pārtrauc iebÅ«vētajā sarakstā norādÄ«tos procesus (interesanti, ka izmanto tikai procesa nosaukuma seÅ”us burtus, piemēram, "winwor") un pārtrauc pakalpojumus, tostarp tos, kas saistÄ«ti ar droŔību, piemēram, CSFalconService ( CrowdStrike Falcon). izmantojot komandu neto pietura.

Pēc tam, tāpat kā daudzās citās izspiedējvīrusu ģimenēs, uzbrucēji izmanto vssadmin lai dzēstu Windows ēnu kopijas un ierobežotu to lielumu, lai netiktu izveidotas jaunas kopijas:

vssadmin.exe delete shadows /all /quiet
vssadmin.exe resize shadowstorage /for=C: /on=C: /maxsize=401MB
vssadmin.exe resize shadowstorage /for=C: /on=C: /maxsize=unbounded

ProLock pievieno paplaÅ”inājumu .proLock, .pr0Lock vai .proL0ck katram Å”ifrētajam failam un ievieto failu [KĀ ATGÅŖT FAILU].TXT uz katru mapi. Å ajā failā ir norādÄ«jumi par failu atÅ”ifrÄ“Å”anu, tostarp saite uz vietni, kurā cietuÅ”ajam jāievada unikāls ID un jāsaņem maksājuma informācija:

ProLock atvērÅ”ana: jaunās izspiedējvÄ«rusa operatoru darbÄ«bu analÄ«ze, izmantojot MITER ATT&CK matricu
Katrs ProLock gadījums satur informāciju par izpirkuma summu - Ŕajā gadījumā 35 bitkoinus, kas ir aptuveni 312 000 USD.

Secinājums

Daudzi ransomware operatori izmanto lÄ«dzÄ«gas metodes, lai sasniegtu savus mērÄ·us. Tajā paŔā laikā dažas metodes katrai grupai ir unikālas. PaÅ”laik pieaug kibernoziedznieku grupu skaits, kas savās kampaņās izmanto izpirkuma programmatÅ«ru. Dažos gadÄ«jumos vieni un tie paÅ”i operatori var bÅ«t iesaistÄ«ti uzbrukumos, izmantojot dažādas izspiedējvÄ«rusu grupas, tāpēc mēs arvien biežāk redzēsim izmantoto taktiku, paņēmienu un procedÅ«ru pārklāŔanos.

KartēŔana ar MITER ATT&CK kartēŔanu

Taktika
Tehnika

Sākotnējā piekļuve (TA0001)
Ārējie attālie pakalpojumi (T1133), ŔļūteņpikŔķerÄ“Å”anas pielikums (T1193), ŔļūteņpikŔķerÄ“Å”anas saite (T1192)

Izpilde (TA0002)
Powershell (T1086), skriptÄ“Å”ana (T1064), lietotāja izpilde (T1204), Windows pārvaldÄ«bas instrumenti (T1047)

Noturība (TA0003)
ReÄ£istra palaiÅ”anas atslēgas / startÄ“Å”anas mape (T1060), ieplānotais uzdevums (T1053), derÄ«gi konti (T1078)

IzvairīŔanās no aizsardzības (TA0005)
Koda parakstÄ«Å”ana (T1116), failu vai informācijas atÅ”ifrÄ“Å”ana/dekodÄ“Å”ana (T1140), droŔības rÄ«ku atspējoÅ”ana (T1089), failu dzÄ“Å”ana (T1107), maskÄ“Å”ana (T1036), procesa ievadÄ«Å”ana (T1055)

Piekļuve akreditācijas datiem (TA0006)
Akreditācijas datu izvadīŔana (T1003), Brute Force (T1110), ievades tverŔana (T1056)

Discovery (TA0007)
Konta noteikÅ”ana (T1087), domēna uzticamÄ«bas noteikÅ”ana (T1482), failu un direktoriju noteikÅ”ana (T1083), tÄ«kla pakalpojumu skenÄ“Å”ana (T1046), tÄ«kla koplietoÅ”anas noteikÅ”ana (T1135), attālās sistēmas noteikÅ”ana (T1018)

Sānu kustība (TA0008)
Attālās darbvirsmas protokols (T1076), attālā faila kopÄ“Å”ana (T1105), Windows administratora kopÄ«goÅ”ana (T1077)

Kolekcija (TA0009)
Dati no vietējās sistēmas (T1005), dati no tīkla koplietojamā diska (T1039), dati pakāpeniski (T1074)

KomandēŔana un kontrole (TA0011)
Bieži izmantotais ports (T1043), tīmekļa pakalpojums (T1102)

Eksfiltrācija (TA0010)
Dati saspiesti (T1002), pārsūtīt datus uz mākoņa kontu (T1537)

Ietekme (TA0040)
Dati Å”ifrēti ietekmei (T1486), kavē sistēmas atkopÅ”anu (T1490)

Avots: www.habr.com

Pievieno komentāru