Задна врата и енкрипторот Buhtrap беа дистрибуирани со помош на Yandex.Direct

За да ги таргетирате сметководителите во сајбер напад, можете да ги користите работните документи што ги бараат на интернет. Ова е приближно она што една сајбер група го правеше во текот на изминатите неколку месеци, дистрибуирајќи познати задни врати. Бухтрап и RTM, како и енкриптори и софтвер за крадење криптовалути. Повеќето цели се наоѓаат во Русија. Нападот е извршен со ставање злонамерно рекламирање на Yandex.Direct. Потенцијалните жртви беа упатени на веб-локација каде од нив беше побарано да преземат злонамерна датотека преправена како шаблон за документ. Yandex го отстрани злонамерното рекламирање по нашето предупредување.

Изворниот код на Buhtrap беше протечен на интернет во минатото, така што секој може да го користи. Немаме информации во врска со достапноста на RTM кодот.

Во овој пост ќе ви кажеме како напаѓачите дистрибуирале малициозен софтвер користејќи Yandex.Direct и го хостирале на GitHub. Објавата ќе заврши со техничка анализа на малициозниот софтвер.

Buhtrap и RTM се вратија во бизнисот

Механизам на ширење и жртви

Различните носивост доставени до жртвите имаат заеднички механизам за размножување. Сите малициозни датотеки создадени од напаѓачите беа сместени во две различни складишта на GitHub.

Вообичаено, складиштето содржеше една злонамерна датотека што може да се преземе, која често се менуваше. Бидејќи GitHub ви овозможува да ја видите историјата на промените во складиштето, можеме да видиме каков малициозен софтвер бил дистрибуиран во одреден период. За да се убеди жртвата да ја преземе злонамерната датотека, користена е веб-страницата blanki-shabloni24[.]ru, прикажана на сликата погоре.

Дизајнот на страницата и сите имиња на малициозните датотеки следат единствен концепт - форми, шаблони, договори, примероци итн. Имајќи предвид дека софтверот Buhtrap и RTM веќе биле користени во нападите врз сметководителите во минатото, претпоставивме дека стратегијата во новата кампања е иста. Единственото прашање е како жртвата стигнала до веб-страницата на напаѓачите.

Инфекција

Најмалку неколку потенцијални жртви кои завршија на оваа страница беа привлечени од злонамерно рекламирање. Подолу е пример URL:

https://blanki-shabloni24.ru/?utm_source=yandex&utm_medium=banner&utm_campaign=cid|{blanki_rsya}|context&utm_content=gid|3590756360|aid|6683792549|15114654950_&utm_term=скачать бланк счета&pm_source=bb.f2.kz&pm_block=none&pm_position=0&yclid=1029648968001296456

Како што можете да видите од врската, банерот е објавен на легитимниот сметководствен форум bb.f2[.]kz. Важно е да се напомене дека банерите се појавија на различни страници, сите имаа ист ID на кампањата (blanki_rsya) и повеќето беа поврзани со сметководствени или услуги за правна помош. URL-то покажува дека потенцијалната жртва го користела барањето „преземи формулар за фактура“, што ја поддржува нашата хипотеза за насочени напади. Подолу се сајтовите каде што се појавија банери и соодветните барања за пребарување.

• преземете формулар за фактура – ​​bb.f2[.]kz
• примерок од договор - Ipopen[.]ru
• Примерок за жалба за апликација - 77metrov[.]ru
• формулар за договор - blank-dogovor-kupli-prodazhi[.]ru
• примерок судска претставка - zen.yandex[.]ru
• примерок жалба - yurday[.]ru
• примерок од формулари за договор – Regforum[.]ru
• форма на договор – асистент[.]ру
• примерок од договор за стан – направах[.]com
• примероци на правни договори - avito[.]ru

Веб-страницата blanki-shabloni24[.]ru можеби е конфигурирана да помине едноставна визуелна проценка. Вообичаено, рекламата што укажува на страница со професионален изглед со линк до GitHub не изгледа како нешто очигледно лошо. Покрај тоа, напаѓачите поставуваа малициозни датотеки во складиштето само за ограничен период, најверојатно за време на кампањата. Поголемиот дел од времето, складиштето на GitHub содржеше празна зип-архива или празна EXE-датотека. Така, напаѓачите можеа да дистрибуираат реклами преку Yandex.Direct на страници кои најверојатно биле посетени од сметководители кои дојдоа како одговор на одредени прашања за пребарување.

Следно, да ги погледнеме различните носивост дистрибуирани на овој начин.

Анализа на носивост

Хронологија на дистрибуција

Злонамерната кампања започна на крајот на октомври 2018 година и е активна во моментот на пишување. Бидејќи целото складиште беше јавно достапно на GitHub, составивме точна временска рамка за дистрибуцијата на шест различни семејства на малициозен софтвер (види слика подолу). Додадовме линија што покажува кога е откриена врската со банерот, мерено со телеметријата на ESET, за споредба со историјата на git. Како што можете да видите, ова добро корелира со достапноста на товарот на GitHub. Несовпаѓањето на крајот на февруари може да се објасни со фактот дека немавме дел од историјата на промени бидејќи складиштето беше отстрането од GitHub пред да можеме да го добиеме целосно.

Слика 1. Хронологија на дистрибуција на малициозен софтвер.

Сертификати за потпишување код

Кампањата користеше повеќе сертификати. Некои беа потпишани од повеќе од едно семејство на малициозен софтвер, што дополнително покажува дека различни примероци припаѓале на иста кампања. И покрај достапноста на приватниот клуч, операторите не ги потпишуваа систематски бинарните датотеки и не го користеа клучот за сите примероци. Кон крајот на февруари 2019 година, напаѓачите почнаа да создаваат неважечки потписи користејќи сертификат во сопственост на Google за кој го немаа приватниот клуч.

Сите сертификати вклучени во кампањата и семејствата на малициозен софтвер што ги потпишуваат се наведени во табелата подолу.

Ги користевме и овие сертификати за потпишување код за да воспоставиме врски со други семејства на малициозен софтвер. За повеќето сертификати, не најдовме примероци што не беа дистрибуирани преку складиштето на GitHub. Сепак, сертификатот TOV „MARIYA“ беше искористен за потпишување на малициозен софтвер кој припаѓа на ботнетот Ваучос, adware и рудари. Малку е веројатно дека овој малициозен софтвер е поврзан со оваа кампања. Најверојатно, сертификатот е купен на darknet.

Win32/Filecoder.Buhtrap

Првата компонента што ни го привлече вниманието беше новооткриениот Win32/Filecoder.Buhtrap. Ова е бинарна датотека на Delphi која понекогаш е спакувана. Главно беше дистрибуиран во февруари-март 2019 година. Се однесува како што доликува на програма за откуп - ги пребарува локалните дискови и мрежни папки и ги шифрира откриените датотеки. Не му е потребна интернет-врска за да биде компромитирана бидејќи не контактира со серверот за да испрати клучеви за шифрирање. Наместо тоа, додава „токен“ на крајот од пораката за откуп и предлага користење е-пошта или Bitmessage за контакт со операторите.

За да шифрира што е можно повеќе чувствителни ресурси, Filecoder.Buhtrap води нишка дизајнирана да го исклучува клучниот софтвер кој може да има отворени ракувачи со датотеки кои содржат вредни информации што би можеле да го попречат шифрирањето. Целните процеси се главно системи за управување со бази на податоци (DBMS). Дополнително, Filecoder.Buhtrap ги брише датотеките од дневници и резервните копии за да го отежне обновувањето на податоците. За да го направите ова, извршете ја сериската скрипта подолу.

bcdedit /set {default} bootstatuspolicy ignoreallfailures
bcdedit /set {default} recoveryenabled no
wbadmin delete catalog -quiet
wbadmin delete systemstatebackup
wbadmin delete systemstatebackup -keepversions:0
wbadmin delete backup
wmic shadowcopy delete
vssadmin delete shadows /all /quiet
reg delete "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientDefault" /va /f
reg delete "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientServers" /f
reg add "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientServers"
attrib "%userprofile%documentsDefault.rdp" -s -h
del "%userprofile%documentsDefault.rdp"
wevtutil.exe clear-log Application
wevtutil.exe clear-log Security
wevtutil.exe clear-log System
sc config eventlog start=disabled

Filecoder.Buhtrap користи легитимна онлајн услуга IP Logger дизајнирана да собира информации за посетителите на веб-локациите. Ова е наменето за следење на жртвите на ransomware, што е одговорност на командната линија:

mshta.exe "javascript:document.write('');"

Датотеките за шифрирање се избираат ако не се совпаѓаат со три листи со исклучување. Прво, датотеките со следните екстензии не се шифрираат: .com, .cmd, .cpl, .dll, .exe, .hta, .lnk, .msc, .msi, .msp, .pif, .scr, .sys и .лилјак. Второ, сите датотеки за кои целосната патека содржи низи на директориуми од списокот подолу се исклучени.

.{ED7BA470-8E54-465E-825C-99712043E01C}
tor browser
opera
opera software
mozilla
mozilla firefox
internet explorer
googlechrome
google
boot
application data
apple computersafari
appdata
all users
:windows
:system volume information
:nvidia
:intel

Трето, одредени имиња на датотеки се исто така исклучени од шифрирањето, меѓу нив и името на датотеката на пораката за откуп. Списокот е претставен подолу. Очигледно, сите овие исклучоци се наменети за одржување на работата на машината, но со минимална исправност.

boot.ini
bootfont.bin
bootsect.bak
desktop.ini
iconcache.db
ntdetect.com
ntldr
ntuser.dat
ntuser.dat.log
ntuser.ini
thumbs.db
winupas.exe
your files are now encrypted.txt
windows update assistant.lnk
master.exe
unlock.exe
unlocker.exe

Шема за шифрирање на датотеки

Откако ќе се изврши, малициозниот софтвер генерира 512-битен RSA пар клучеви. Приватниот експонент (d) и модулот (n) потоа се шифрираат со тврдо кодиран 2048-битен јавен клуч (јавен експонент и модул), спакуван во zlib и кодиран со база64. Кодот одговорен за ова е прикажан на Слика 2.

Слика 2. Резултат од декомпилација со хексадецимален зраци на 512-битен процес на генерирање на пар клучеви RSA.

Подолу е пример за обичен текст со генериран приватен клуч, кој е токен прикачен на пораката за откуп.

DF9228F4F3CA93314B7EE4BEFC440030665D5A2318111CC3FE91A43D781E3F91BD2F6383E4A0B4F503916D75C9C576D5C2F2F073ADD4B237F7A2B3BF129AE2F399197ECC0DD002D5E60C20CE3780AB9D1FE61A47D9735036907E3F0CF8BE09E3E7646F8388AAC75FF6A4F60E7F4C2F697BF6E47B2DBCDEC156EAD854CADE53A239

Јавниот клуч на напаѓачите е даден подолу.

e = 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
n = 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

Датотеките се шифрирани со помош на AES-128-CBC со 256-битен клуч. За секоја шифрирана датотека се генерира нов клуч и нов вектор за иницијализација. Клучните информации се додаваат на крајот од шифрираната датотека. Ајде да го разгледаме форматот на шифрираната датотека.
Шифрираните датотеки го имаат следново заглавие:

Податоците од изворната датотека со додавање на магичната вредност на VEGA се шифрираат на првите 0x5000 бајти. Сите информации за дешифрирање се прикачени на датотека со следнава структура:

- Обележувачот за големина на датотека содржи ознака што покажува дали датотеката е поголема од 0x5000 бајти во големина
— АЕС тапкач од клучеви = ZlibCompress (RSAEncrypt (клуч AES + IV, јавен клуч на генерираниот пар клучеви RSA))
- RSA клуч за тапкање = ZlibCompress (RSAEncrypt (генериран приватен клуч RSA, јавен клуч со тврд код RSA))

Win32/ClipBanker

Win32/ClipBanker е компонента што се дистрибуираше наизменично од крајот на октомври до почетокот на декември 2018 година. Неговата улога е да ја следи содржината на таблата со исечоци, бара адреси на паричници за криптовалути. Откако ја одреди целната адреса на паричникот, ClipBanker ја заменува со адреса за која се верува дека им припаѓа на операторите. Примероците што ги испитувавме не беа ниту кутии, ниту заматени. Единствениот механизам што се користи за маскирање на однесувањето е шифрирањето на низата. Адресите на паричникот на операторот се шифрираат со помош на RC4. Целни криптовалути се Bitcoin, Bitcoin cash, Dogecoin, Ethereum и Ripple.

За време на периодот кога малициозниот софтвер се ширеше на Bitcoin-паричниците на напаѓачите, мала количина беше испратена до VTS, што фрла сомнеж за успехот на кампањата. Дополнително, нема докази што сугерираат дека овие трансакции воопшто биле поврзани со ClipBanker.

Win32/RTM

Компонентата Win32/RTM беше дистрибуирана неколку дена на почетокот на март 2019 година. RTM е тројански банкар напишан во Делфи, наменет за далечински банкарски системи. Во 2017 година, истражувачите на ESET објавија детална анализа на оваа програма, описот е сè уште релевантен. Во јануари 2019 година, Palo Alto Networks исто така објави блог пост за RTM.

Buhtrap Loader

Извесно време, на GitHub беше достапен преземач кој не беше сличен на претходните алатки Buhtrap. Тој се свртува кон https://94.100.18[.]67/RSS.php?<some_id> за да ја добиете следната фаза и да ја вчитате директно во меморијата. Можеме да разликуваме две однесувања на кодот од втората фаза. Во првата URL-адреса, RSS.php директно ја помина задната врата на Buhtrap - оваа задна врата е многу слична на онаа достапна откако изворниот код беше протечен.

Интересно, гледаме неколку кампањи со задна врата на Buhtrap, а тие наводно се водени од различни оператори. Во овој случај, главната разлика е во тоа што задна врата е вчитана директно во меморијата и не ја користи вообичаената шема со процесот на распоредување на DLL за кој зборувавме порано. Покрај тоа, операторите го сменија клучот RC4 што се користи за шифрирање на мрежниот сообраќај на серверот C&C. Во повеќето кампањи што ги видовме, операторите не се мачеа да го променат овој клуч.

Второто, покомплексно однесување беше тоа што URL-то на RSS.php беше предадено на друг подигнувач. Спроведе некои замаглувања, како што е обновата на табелата за динамички увоз. Целта на подигнувачот е да контактира со серверот C&C msiofficeupd[.]com/api/F27F84EDA4D13B15/2, испратете ги дневниците и почекајте одговор. Тој го обработува одговорот како дупка, го вчитува во меморијата и го извршува. Товарот што го видовме при извршувањето на овој натоварувач беше истата задна врата на Buhtrap, но може да има и други компоненти.

Android/Spy.Banker

Интересно, компонента за Android беше пронајдена и во складиштето на GitHub. Во главната експозитура беше само еден ден - 1 година. Освен што е објавено на GitHub, телеметријата на ESET не наоѓа докази за дистрибуција на овој малициозен софтвер.

Компонентата беше хостирана како пакет со апликации за Android (APK). Силно е заматен. Злонамерното однесување е скриено во шифрирана JAR лоцирана во АПК. Тој е шифриран со RC4 користејќи го овој клуч:

key = [
0x87, 0xd6, 0x2e, 0x66, 0xc5, 0x8a, 0x26, 0x00, 0x72, 0x86, 0x72, 0x6f,
0x0c, 0xc1, 0xdb, 0xcb, 0x14, 0xd2, 0xa8, 0x19, 0xeb, 0x85, 0x68, 0xe1,
0x2f, 0xad, 0xbe, 0xe3, 0xb9, 0x60, 0x9b, 0xb9, 0xf4, 0xa0, 0xa2, 0x8b, 0x96
]

Истиот клуч и алгоритам се користат за шифрирање низи. JAR се наоѓа во APK_ROOT + image/files. Првите 4 бајти од датотеката ја содржат должината на шифрираниот JAR, кој започнува веднаш по полето за должина.

Откако ја дешифриравме датотеката, откривме дека тоа е Анубис - претходно документирани банкар за Андроид. Малициозен софтвер ги има следните карактеристики:

• снимање со микрофон
• правење слики од екранот
• добивање на GPS координати
• keylogger
• шифрирање на податоците на уредот и барање за откуп
• испраќање спам

Интересно е тоа што банкарот го користел Twitter како резервен комуникациски канал за да добие друг сервер за C&C. Примерокот што го анализиравме ја користеше сметката @JonesTrader, но во моментот на анализата таа веќе беше блокирана.

Банкарот содржи список на целни апликации на уредот со Android. Таа е подолга од листата добиена во студијата на Sophos. Листата вклучува многу банкарски апликации, програми за онлајн шопинг како Amazon и eBay и услуги за криптовалути.

MSIL/ClipBanker.IH

Последната компонента дистрибуирана како дел од оваа кампања беше извршната датотека .NET Windows, која се појави во март 2019 година. Повеќето од проучуваните верзии беа спакувани со ConfuserEx v1.0.0. Како и ClipBanker, оваа компонента ја користи таблата со исечоци. Неговата цел е широк спектар на криптовалути, како и понуди на Steam. Дополнително, тој ја користи услугата IP Logger за да го украде приватниот WIF клуч Bitcoin.

Заштитни механизми
Покрај придобивките што ги обезбедува ConfuserEx во спречувањето на дебагирање, фрлање и манипулации, компонентата вклучува можност за откривање антивирусни производи и виртуелни машини.

За да потврди дека работи во виртуелна машина, малициозниот софтвер ја користи вградената командна линија на Windows WMI (WMIC) за да побара информации за BIOS-от, имено:

wmic bios

Потоа програмата го анализира излезот на командата и бара клучни зборови: VBOX, VirtualBox, XEN, qemu, bochs, VM.

За откривање на антивирусни производи, малициозен софтвер испраќа барање за Windows Management Instrumentation (WMI) до Центарот за безбедност на Windows користејќи ManagementObjectSearcher API како што е прикажано подолу. По декодирањето од base64 повикот изгледа вака:

ManagementObjectSearcher('rootSecurityCenter2', 'SELECT * FROM AntivirusProduct')

Слика 3. Процес за идентификација на антивирусни производи.

Покрај тоа, малициозниот софтвер проверува дали CryptoClipWatcher, алатка за заштита од напади на таблата со исечоци и, доколку работи, ги суспендира сите нишки во тој процес, со што се оневозможува заштитата.

Упорност

Верзијата на малициозен софтвер што ја проучувавме се копира %APPDATA%googleupdater.exe и го поставува атрибутот „скриен“ за директориумот на Google. Потоа таа ја менува вредноста SoftwareMicrosoftWindows NTCurrentVersionWinlogonshell во регистарот на Windows и ја додава патеката updater.exe. На овој начин, малициозниот софтвер ќе се извршува секогаш кога корисникот ќе се најави.

Злонамерно однесување

Како и ClipBanker, малициозниот софтвер ја следи содржината на таблата со исечоци и бара адреси на паричникот за криптовалути, а кога ќе се најде, го заменува со една од адресите на операторот. Подолу е листа на целни адреси врз основа на она што се наоѓа во кодот.

BTC_P2PKH, BTC_P2SH, BTC_BECH32, BCH_P2PKH_CashAddr, BTC_GOLD, LTC_P2PKH, LTC_BECH32, LTC_P2SH_M, ETH_ERC20, XMR, DCR, XRP, DOGE, DASH, ZEC_T_ADDR, ZEC_Z_ADDR, STELLAR, NEO, ADA, IOTA, NANO_1, NANO_3, BANANO_1, BANANO_3, STRATIS, NIOBIO, LISK, QTUM, WMZ, WMX, WME, VERTCOIN, TRON, TEZOS, QIWI_ID, YANDEX_ID, NAMECOIN, B58_PRIVATEKEY, STEAM_URL

За секој тип на адреса има соодветен регуларен израз. Вредноста STEAM_URL се користи за напад на системот Steam, како што може да се види од регуларниот израз што се користи за дефинирање во баферот:

b(https://|http://|)steamcommunity.com/tradeoffer/new/?partner=[0-9]+&token=[a-zA-Z0-9]+b

Ексфилтрационен канал

Покрај замената на адресите во баферот, малициозниот софтвер ги таргетира приватните WIF клучеви на паричниците Bitcoin, Bitcoin Core и Electrum Bitcoin. Програмата користи plogger.org како канал за ексфилтрација за да го добие приватниот клуч WIF. За да го направите ова, операторите додаваат податоци од приватниот клуч во заглавието на кориснички агент HTTP, како што е прикажано подолу.

Слика 4. Конзола IP Logger со излезни податоци.

Операторите не користеа iplogger.org за ексфилтрирање на паричници. Веројатно прибегнаа кон друг метод поради ограничувањето од 255 знаци на теренот User-Agentприкажан во веб-интерфејсот на IP Logger. Во примероците што ги проучувавме, другиот излезен сервер беше зачуван во променливата на околината DiscordWebHook. Изненадувачки, оваа променлива на околината не е доделена никаде во кодот. Ова сугерира дека малициозниот софтвер сè уште е во развој и дека променливата е доделена на машината за тестирање на операторот.

Има уште еден знак дека програмата е во развој. Бинарната датотека вклучува две URL-адреса на iplogger.org, и двете се барани кога податоците се ексфилтрирани. Во барањето до една од овие URL-адреси, на вредноста во полето Referer и претходи „DEV /“. Најдовме и верзија која не беше спакувана со ConfuserEx, примачот за оваа URL-адреса се вика DevFeedbackUrl. Врз основа на името на променливата на животната средина, веруваме дека операторите планираат да ја користат легитимната услуга Discord и нејзиниот систем за веб-пресретнување за да украдат паричници со криптовалути.

Заклучок

Оваа кампања е пример за употреба на легитимни рекламни услуги во сајбер напади. Шемата е насочена кон руските организации, но не би биле изненадени да видиме таков напад користејќи неруски услуги. За да се избегне компромис, корисниците мора да бидат сигурни во репутацијата на изворот на софтверот што го преземаат.

Комплетна листа на индикатори за компромис и атрибути MITER ATT&CK е достапна на линк.

Извор: www.habr.com