Nesen ar Group IB sazinÄjÄs kÄds Eiropas elektroinstalÄcijas iekÄrtu ražotÄjs - tÄ darbinieks pa pastu saÅÄmis aizdomÄ«gu vÄstuli ar ļaunprÄtÄ«gu pielikumu. Iļja Pomerancevs, ļaunprÄtÄ«gas programmatÅ«ras analÄ«zes speciÄlists no CERT Group-IB, veica detalizÄtu Ŕī faila analÄ«zi, atklÄja tajÄ esoÅ”o AgentTesla spiegprogrammatÅ«ru un pastÄstÄ«ja, ko sagaidÄ«t no Å”Ädas ļaunprÄtÄ«gas programmatÅ«ras un cik tÄ ir bÄ«stama.
Ar Å”o ierakstu mÄs atklÄjam rakstu sÄriju par to, kÄ analizÄt Å”Ädus potenciÄli bÄ«stamus failus, un gaidÄ«sim ziÅkÄrÄ«gÄkos 5. decembrÄ« uz bezmaksas interaktÄ«vu vebinÄru par Å”o tÄmu. āÄ»aunprÄtÄ«gas programmatÅ«ras analÄ«ze: reÄlu gadÄ«jumu analÄ«zeā. Visas detaļas ir zem griezuma.
Sadales mehÄnisms
MÄs zinÄm, ka ļaunprogrammatÅ«ra sasniedza upura maŔīnu, izmantojot pikŔķerÄÅ”anas e-pastus. VÄstules saÅÄmÄjs, iespÄjams, bija BCC.
Virsrakstu analÄ«ze liecina, ka vÄstules sÅ«tÄ«tÄjs ir bijis viltots. PatiesÄ«bÄ vÄstuli atstÄja ar vps56[.]oneworldhosting[.]com.
E-pasta pielikumÄ ir WinRar arhÄ«vs qoute_jpeg56a.r15 ar ļaunprÄtÄ«gu izpildÄmo failu QOUTE_JPEG56A.exe iekÅ”Ä.
Ä»aunprÄtÄ«gas programmatÅ«ras ekosistÄma
Tagad apskatÄ«sim, kÄ izskatÄs pÄtÄmÄs ļaunprogrammatÅ«ras ekosistÄma. ZemÄk redzamÄ diagramma parÄda tÄ struktÅ«ru un komponentu mijiedarbÄ«bas virzienus.
Tagad aplÅ«kosim katru ļaunprÄtÄ«gÄs programmatÅ«ras komponentu sÄ«kÄk.
IekrÄvÄjs
OriÄ£inÄlais fails QOUTE_JPEG56A.exe ir apkopots AutoIt v3 skripts.
Lai aptumÅ”otu sÄkotnÄjo skriptu, obfuscator ar lÄ«dzÄ«gu PELock AutoIT-Obfuscator Ä«paŔības.
DebfuskÄcija tiek veikta trÄ«s posmos:
- Apmulsuma noÅemÅ”ana Par-Ja
Pirmais solis ir atjaunot skripta vadÄ«bas plÅ«smu. Kontroles plÅ«smas izlÄ«dzinÄÅ”ana ir viens no visizplatÄ«tÄkajiem veidiem, kÄ aizsargÄt lietojumprogrammas binÄro kodu no analÄ«zes. MulsinoÅ”as transformÄcijas ievÄrojami palielina algoritmu un datu struktÅ«ru iegÅ«Å”anas un atpazÄ«Å”anas sarežģītÄ«bu.
- Rindu atkopŔana
VirkÅu Å”ifrÄÅ”anai tiek izmantotas divas funkcijas:
- gdorizabegkvfca ā veic Base64 lÄ«dzÄ«gu dekodÄÅ”anu
- xgacyukcyzxz ā pirmÄs virknes vienkÄrÅ”s baits-baits XOR ar otrÄs virknes garumu
- gdorizabegkvfca ā veic Base64 lÄ«dzÄ«gu dekodÄÅ”anu
- Apmulsuma noÅemÅ”ana BinaryToString Šø IzpildÄ«t
GalvenÄ slodze direktorijÄ tiek saglabÄta sadalÄ«tÄ veidÄ Fonti faila resursu sadaļas.
LÄ«mÄÅ”anas secÄ«ba ir Å”Äda: TIEQHCXWFG, EMI, SPDGUHIMPV, KQJMWQQAQTKTFXTUOSW, AOCHKRWWSKWO, JSHMSJPS, NHHWXJBMTTSPXVN, BFUTIFWWXVE, HWJHO, AVZOUMVFRDWFLWU.
Funkcija WinAPI tiek izmantota, lai atÅ”ifrÄtu iegÅ«tos datus CryptDecrypt, un kÄ atslÄga tiek izmantota sesijas atslÄga, kas Ä£enerÄta, pamatojoties uz vÄrtÄ«bu fZgFiZlJDxvuWatFRgRXZqmNCIyQgMYc.
AtÅ”ifrÄtais izpildÄmais fails tiek nosÅ«tÄ«ts uz funkcijas ievadi RunPE, kas veic ProcessInject Š² RegAsm.exe izmantojot iebÅ«vÄto ShellCode (zinÄms arÄ« kÄ RunPE ShellCode). AutorÄ«ba pieder spÄÅu foruma lietotÄjam nosakÄmie[.]tÄ«kls ar segvÄrdu Wardow.
Ir arÄ« vÄrts atzÄ«mÄt, ka vienÄ no Ŕī foruma pavedieniem, obfuscator for Pie jumta ar lÄ«dzÄ«gÄm Ä«paŔībÄm, kas konstatÄtas paraugu analÄ«zes laikÄ.
Pats ShellCode pavisam vienkÄrÅ”s un piesaista uzmanÄ«bu tikai aizgÅ«ts no hakeru grupas AnunakCarbanak. API zvanu jaukÅ”anas funkcija.
MÄs esam informÄti arÄ« par lietoÅ”anas gadÄ«jumiem Frenchy Shellcode dažÄdas versijas.
Papildus aprakstÄ«tajai funkcionalitÄtei mÄs identificÄjÄm arÄ« neaktÄ«vÄs funkcijas:
- ManuÄla procesa pÄrtraukÅ”anas bloÄ·ÄÅ”ana uzdevumu pÄrvaldniekÄ
- BÄrna procesa restartÄÅ”ana, kad tas tiek pÄrtraukts
- Apiet UAC
- Kravas saglabÄÅ”ana failÄ
- ModÄlo logu demonstrÄÅ”ana
- Gaida, līdz mainīsies peles kursora pozīcija
- AntiVM un AntiSandbox
- PaÅ”iznÄ«cinÄÅ”ana
- Kravas atsÅ«knÄÅ”ana no tÄ«kla
MÄs zinÄm, ka Å”Äda funkcionalitÄte ir raksturÄ«ga aizsargam CypherIT, kas acÄ«mredzot ir attiecÄ«gais sÄknÄÅ”anas ielÄdÄtÄjs.
Galvenais programmatūras modulis
TÄlÄk mÄs Ä«si aprakstÄ«sim galveno ļaunprÄtÄ«gÄs programmatÅ«ras moduli un sÄ«kÄk to aplÅ«kosim otrajÄ rakstÄ. Å ajÄ gadÄ«jumÄ tÄ ir lietojumprogramma NET..
AnalÄ«zes laikÄ mÄs atklÄjÄm, ka tika izmantots obfuskators ConfuserEX.
IELibrary.dll
BibliotÄka tiek glabÄta kÄ galvenais moduļa resurss un ir labi zinÄms spraudnis AÄ£ents Tesla, kas nodroÅ”ina funkcionalitÄti dažÄdas informÄcijas iegÅ«Å”anai no pÄrlÅ«kprogrammÄm Internet Explorer un Edge.
AÄ£ents Tesla ir modulÄra spiegoÅ”anas programmatÅ«ra, kas tiek izplatÄ«ta, izmantojot ļaunprogrammatÅ«ras kÄ pakalpojuma modeli likumÄ«ga taustiÅu bloÄ·ÄtÄja produkta aizsegÄ. AÄ£ents Tesla spÄj iegÅ«t un pÄrsÅ«tÄ«t lietotÄju akreditÄcijas datus no pÄrlÅ«kprogrammÄm, e-pasta klientiem un FTP klientiem uz serveri uzbrucÄjiem, ierakstÄ«t starpliktuves datus un tvert ierÄ«ces ekrÄnu. AnalÄ«zes laikÄ izstrÄdÄtÄju oficiÄlÄ vietne nebija pieejama.
Ieejas punkts ir funkcija GetSavedPasswords klases InternetExplorer.
KopumÄ koda izpilde ir lineÄra un nesatur nekÄdu aizsardzÄ«bu pret analÄ«zi. Tikai nerealizÄtÄ funkcija ir pelnÄ«jusi uzmanÄ«bu GetSavedCookies. AcÄ«mredzot bija paredzÄts paplaÅ”inÄt spraudÅa funkcionalitÄti, taÄu tas nekad netika izdarÄ«ts.
SÄknÄÅ”anas ielÄdÄja pievienoÅ”ana sistÄmai
IzpÄtÄ«sim, kÄ sÄknÄÅ”anas ielÄdÄtÄjs ir pievienots sistÄmai. PÄtÄ«tais paraugs nenoenkurojas, bet lÄ«dzÄ«gos gadÄ«jumos tas notiek saskaÅÄ ar Å”Ädu shÄmu:
- MapÄ C:UsersPublic tiek izveidots skripts Visual Basic
Skripta piemÄrs:
- IelÄdÄtÄja faila saturs tiek polsterÄts ar nulles rakstzÄ«mi un saglabÄts mapÄ %Temp%<PielÄgotÄs mapes nosaukums><Faila nosaukums>
- Skripta faila reÄ£istrÄ tiek izveidota automÄtiskÄs palaiÅ”anas atslÄga HKCUSoftwareMicrosoftWindowsCurrentVersionRun<Skripta nosaukums>
TÄtad, pamatojoties uz analÄ«zes pirmÄs daļas rezultÄtiem, mÄs varÄjÄm noteikt visu pÄtÄmÄs ļaunprÄtÄ«gÄs programmatÅ«ras komponentu Ä£imeÅu nosaukumus, analizÄt infekcijas modeli un arÄ« iegÅ«t objektus parakstu rakstÄ«Å”anai. MÄs turpinÄsim Ŕī objekta analÄ«zi nÄkamajÄ rakstÄ, kur sÄ«kÄk aplÅ«kosim galveno moduli AÄ£ents Tesla. Nepalaid garÄm!
Starp citu, 5. decembrÄ« aicinÄm visus lasÄ«tÄjus uz bezmaksas interaktÄ«vu vebinÄru par tÄmu āÄ»aunprÄtÄ«gas programmatÅ«ras analÄ«ze: reÄlu gadÄ«jumu analÄ«zeā, kurÄ Å”Ä« raksta autors, CERT-GIB speciÄlists tieÅ”saistÄ rÄdÄ«s pirmo posmu ļaunprÄtÄ«gas programmatÅ«ras analÄ«ze - pusautomÄtiska paraugu izpakoÅ”ana, izmantojot trÄ«s reÄlus mini gadÄ«jumus no prakses, un jÅ«s varat piedalÄ«ties analÄ«zÄ. VebinÄrs ir piemÄrots speciÄlistiem, kuriem jau ir pieredze ļaunprÄtÄ«gu failu analÄ«zÄ. ReÄ£istrÄcija notiek tikai no korporatÄ«vÄ e-pasta: . Gaidot tevi!
Yara
rule AgentTesla_clean{
meta:
author = "Group-IB"
file = "78566E3FC49C291CB117C3D955FA34B9A9F3EEFEFAE3DE3D0212432EB18D2EAD"
scoring = 5
family = "AgentTesla"
strings:
$string_format_AT = {74 00 79 00 70 00 65 00 3D 00 7B 00 30 00 7D 00 0D 00 0A 00 68 00 77 00 69 00 64 00 3D 00 7B 00 31 00 7D 00 0D 00 0A 00 74 00 69 00 6D 00 65 00 3D 00 7B 00 32 00 7D 00 0D 00 0A 00 70 00 63 00 6E 00 61 00 6D 00 65 00 3D 00 7B 00 33 00 7D 00 0D 00 0A 00 6C 00 6F 00 67 00 64 00 61 00 74 00 61 00 3D 00 7B 00 34 00 7D 00 0D 00 0A 00 73 00 63 00 72 00 65 00 65 00 6E 00 3D 00 7B 00 35 00 7D 00 0D 00 0A 00 69 00 70 00 61 00 64 00 64 00 3D 00 7B 00 36 00 7D 00 0D 00 0A 00 77 00 65 00 62 00 63 00 61 00 6D 00 5F 00 6C 00 69 00 6E 00 6B 00 3D 00 7B 00 37 00 7D 00 0D 00 0A 00 73 00 63 00 72 00 65 00 65 00 6E 00 5F 00 6C 00 69 00 6E 00 6B 00 3D 00 7B 00 38 00 7D 00 0D 00 0A 00 5B 00 70 00 61 00 73 00 73 00 77 00 6F 00 72 00 64 00 73 00 5D 00}
$web_panel_format_string = {63 00 6C 00 69 00 65 00 6E 00 74 00 5B 00 5D 00 3D 00 7B 00 30 00 7D 00 0D 00 0A 00 6C 00 69 00 6E 00 6B 00 5B 00 5D 00 3D 00 7B 00 31 00 7D 00 0D 00 0A 00 75 00 73 00 65 00 72 00 6E 00 61 00 6D 00 65 00 5B 00 5D 00 3D 00 7B 00 32 00 7D 00 0D 00 0A 00 70 00 61 00 73 00 73 00 77 00 6F 00 72 00 64 00 5B 00 5D 00 3D 00 7B 00 33 00 7D 00 00 15 55 00 52 00 4C 00 3A 00 20 00 20 00 20 00 20 00 20 00 20 00 00 15 55 00 73 00 65 00 72 00 6E 00 61 00 6D 00 65 00 3A 00 20 00 00 15 50 00 61 00 73 00 73 00 77 00 6F 00 72 00 64 00 3A 00}
condition:
all of them
}
rule AgentTesla_obfuscated {
meta:
author = "Group-IB"
file = "41DC0D5459F25E2FDCF8797948A7B315D3CB075398D808D1772CACCC726AF6E9"
scoring = 5
family = "AgentTesla"
strings:
$first_names = {61 66 6B 00 61 66 6D 00 61 66 6F 00 61 66 76 00 61 66 79 00 61 66 78 00 61 66 77 00 61 67 6A 00 61 67 6B 00 61 67 6C 00 61 67 70 00 61 67 72 00 61 67 73 00 61 67 75 00}
$second_names = "IELibrary.resources"
condition:
all of them
}
rule AgentTesla_module_for_IE{
meta:
author = "Group-IB"
file = "D55800A825792F55999ABDAD199DFA54F3184417215A298910F2C12CD9CC31EE"
scoring = 5
family = "AgentTesla_module_for_IE"
strings:
$s0 = "ByteArrayToStructure"
$s1 = "CryptAcquireContext"
$s2 = "CryptCreateHash"
$s3 = "CryptDestroyHash"
$s4 = "CryptGetHashParam"
$s5 = "CryptHashData"
$s6 = "CryptReleaseContext"
$s7 = "DecryptIePassword"
$s8 = "DoesURLMatchWithHash"
$s9 = "GetSavedCookies"
$s10 = "GetSavedPasswords"
$s11 = "GetURLHashString"
condition:
all of them
}
rule RunPE_shellcode {
meta:
author = "Group-IB"
file = "37A1961361073BEA6C6EACE6A8601F646C5B6ECD9D625E049AD02075BA996918"
scoring = 5
family = "RunPE_shellcode"
strings:
$malcode = {
C7 [2-5] EE 38 83 0C // mov dword ptr [ebp-0A0h], 0C8338EEh
C7 [2-5] 57 64 E1 01 // mov dword ptr [ebp-9Ch], 1E16457h
C7 [2-5] 18 E4 CA 08 // mov dword ptr [ebp-98h], 8CAE418h
C7 [2-5] E3 CA D8 03 // mov dword ptr [ebp-94h], 3D8CAE3h
C7 [2-5] 99 B0 48 06 // mov dword ptr [ebp-90h], 648B099h
C7 [2-5] 93 BA 94 03 // mov dword ptr [ebp-8Ch], 394BA93h
C7 [2-5] E4 C7 B9 04 // mov dword ptr [ebp-88h], 4B9C7E4h
C7 [2-5] E4 87 B8 04 // mov dword ptr [ebp-84h], 4B887E4h
C7 [2-5] A9 2D D7 01 // mov dword ptr [ebp-80h], 1D72DA9h
C7 [2-5] 05 D1 3D 0B // mov dword ptr [ebp-7Ch], 0B3DD105h
C7 [2-5] 44 27 23 0F // mov dword ptr [ebp-78h], 0F232744h
C7 [2-5] E8 6F 18 0D // mov dword ptr [ebp-74h], 0D186FE8h
}
condition:
$malcode
}
rule AgentTesla_AutoIT_module{
meta:
author = "Group-IB"
file = "49F94293F2EBD8CEFF180EDDD58FA50B30DC0F08C05B5E3BD36FD52668D196AF"
scoring = 5
family = "AgentTesla"
strings:
$packedexeau = {55 ED F5 9F 92 03 04 44 7E 16 6D 1F 8C D7 38 E6 29 E4 C8 CF DA 2C C4 E1 F3 65 48 25 B8 93 9D 66 A4 AD 3C 39 50 00 B9 60 66 19 8D FC 20 0A A0 56 52 8B 9F 15 D7 62 30 0D 5C C3 24 FE F8 FC 39 08 DF 87 2A B2 1C E9 F7 06 A8 53 B2 69 C3 3C D4 5E D4 74 91 6E 9D 9A A0 96 FD DB 1F 5E 09 D7 0F 25 FB 46 4E 74 15 BB AB DB 17 EE E7 64 33 D6 79 02 E4 85 79 14 6B 59 F9 43 3C 81 68 A8 B5 32 BC E6}
condition:
all of them
}
HaŔiŔi
| VÄrds | qoute_jpeg56a.r15 |
| MD5 | 53BE8F9B978062D4411F71010F49209E |
| SHA1 | A8C2765B3D655BA23886D663D22BDD8EF6E8E894 |
| SHA256 | 2641DAFB452562A0A92631C2849B8B9CE880F0F8F
890E643316E9276156EDC8A |
| tips | ArhivÄt WinRAR |
| IzmÄri | 823014 |
| VÄrds | QOUTE_JPEG56A.exe |
| MD5 | 329F6769CF21B660D5C3F5048CE30F17 |
| SHA1 | 8010CC2AF398F9F951555F7D481CE13DF60BBECF |
| SHA256 | 49F94293F2EBD8CEFF180EDDD58FA50B30DC0F08
C05B5E3BD36FD52668D196AF |
| tips | PE (kompilÄtais AutoIt skripts) |
| IzmÄri | 1327616 |
| OriginalName | nezinÄms |
| Datuma zīmogs | 15.07.2019 |
| Saites | Microsoft Linker (12.0)[EXE32] |
| MD5 | C2743AEDDADACC012EF4A632598C00C0 |
| SHA1 | 79B445DE923C92BF378B19D12A309C0E9C5851BF |
| SHA256 | 37A1961361073BEA6C6EACE6A8601F646C5B6ECD
9D625E049AD02075BA996918 |
| tips | ShellCode |
| IzmÄri | 1474 |
Avots: www.habr.com