Сајбер групацијата RTM е специјализирана за крадење средства од руски компании

Постојат неколку познати сајбер групи кои се специјализирани за кражба на средства од руски компании. Видовме напади користејќи безбедносни дупки кои овозможуваат пристап до мрежата на целта. Откако ќе добијат пристап, напаѓачите ја проучуваат мрежната структура на организацијата и користат свои алатки за кражба на средства. Класичен пример за овој тренд се хакерските групи Buhtrap, Cobalt и Corkow.

Групата RTM на која се фокусира овој извештај е дел од овој тренд. Користи специјално дизајниран малициозен софтвер напишан во Delphi, кој ќе го разгледаме подетално во следните делови. Првите траги од овие алатки во телеметрискиот систем ESET беа откриени на крајот на 2015 година. Тимот вчитува различни нови модули на заразени системи по потреба. Нападите се насочени кон корисници на далечински банкарски системи во Русија и некои соседни земји.

1. Цели

Кампањата RTM е наменета за корпоративни корисници - ова е очигледно од процесите што напаѓачите се обидуваат да ги откријат во компромитиран систем. Фокусот е ставен на сметководствениот софтвер за работа со далечински банкарски системи.

Списокот на процеси од интерес за RTM наликува на соодветната листа на групата Buhtrap, но групите имаат различни вектори на инфекција. Ако Buhtrap почесто користел лажни страници, тогаш RTM користел напади за преземање преку возење (напади на прелистувачот или неговите компоненти) и спамирање преку е-пошта. Според податоците од телеметријата, заканата е насочена кон Русија и неколку блиски земји (Украина, Казахстан, Чешка, Германија). Сепак, поради употребата на механизми за масовна дистрибуција, откривањето на малициозен софтвер надвор од целните региони не е изненадувачки.

Вкупниот број на откривања на малициозен софтвер е релативно мал. Од друга страна, кампањата RTM користи сложени програми, што укажува на тоа дека нападите се високо насочени.

Откривме неколку мамски документи што ги користи РТМ, вклучувајќи непостоечки договори, фактури или даночни сметководствени документи. Природата на мамките, во комбинација со типот на софтвер цел на нападот, укажува дека напаѓачите „влегуваат“ во мрежите на руските компании преку одделот за сметководство. Групата постапи по истата шема Бухтрап во 2014-2015 година

За време на истражувањето, можевме да комуницираме со неколку C&C сервери. Целосната листа на команди ќе ја наведеме во следните делови, но засега можеме да кажеме дека клиентот ги пренесува податоците од keylogger директно до серверот што го напаѓа, од кој потоа се добиваат дополнителни команди.

Меѓутоа, поминаа деновите кога едноставно можевте да се поврзете на сервер за команди и контрола и да ги соберете сите податоци за кои ве интересираа. Повторно создадовме реални датотеки за евиденција за да добиеме некои релевантни команди од серверот.

Првиот од нив е барање до ботот да ја пренесе датотеката 1c_to_kl.txt - транспортна датотека на програмата 1C: Enterprise 8, чиј изглед активно го следи RTM. 1C комуницира со далечински банкарски системи со поставување на податоци за појдовни плаќања во текстуална датотека. Следно, датотеката се испраќа до далечинскиот банкарски систем за автоматизација и извршување на платниот налог.

Датотеката содржи детали за плаќање. Доколку напаѓачите ги променат информациите за појдовните плаќања, трансферот ќе биде испратен со лажни податоци до сметките на напаѓачите.

Околу еден месец откако ги побаравме овие датотеки од серверот за команди и контрола, забележавме нов приклучок, 1c_2_kl.dll, кој се вчитува на компромитиран систем. Модулот (DLL) е дизајниран автоматски да ја анализира датотеката за преземање со навлегување во процесите на сметководствениот софтвер. Ќе го опишеме детално во следните делови.

Интересно, FinCERT на Банката на Русија на крајот на 2016 година издаде билтен предупредување за сајбер-криминалци кои користат датотеки за прикачување 1c_to_kl.txt. Програмерите од 1C исто така знаат за оваа шема, тие веќе дадоа официјална изјава и наведоа мерки на претпазливост.

Други модули беа исто така вчитани од командниот сервер, особено VNC (неговите 32 и 64-битни верзии). Наликува на VNC модулот кој претходно се користеше во нападите на Dridex Trojan. Овој модул наводно се користи за далечинско поврзување со заразен компјутер и спроведување детално проучување на системот. Следно, напаѓачите се обидуваат да се движат низ мрежата, извлекувајќи кориснички лозинки, собирајќи информации и обезбедувајќи постојано присуство на малициозен софтвер.

2. Вектори на инфекција

Следната слика ги прикажува векторите на инфекција откриени за време на студискиот период на кампањата. Групата користи широк опсег на вектори, но главно напади за преземање и спам по пат на возење. Овие алатки се погодни за насочени напади, бидејќи во првиот случај, напаѓачите можат да избираат страници што ги посетуваат потенцијалните жртви, а во вториот, тие можат да испраќаат е-пошта со прилози директно до саканите вработени во компанијата.

Злонамерниот софтвер се дистрибуира преку повеќе канали, вклучувајќи комплети за експлоатација на RIG и Sundown или спам пораки, што укажува на врски помеѓу напаѓачите и другите сајбер-напаѓачи кои ги нудат овие услуги.

2.1. Како се поврзани RTM и Buhtrap?

RTM кампањата е многу слична на Buhtrap. Природното прашање е: како тие се поврзани едни со други?

Во септември 2016 година, забележавме примерок RTM кој се дистрибуира со помош на поставувачот Buhtrap. Дополнително, најдовме два дигитални сертификати користени и во Buhtrap и RTM.

Првиот, наводно издаден на компанијата Dnister-M, беше искористен за дигитално потпишување на втората форма на Delphi (SHA-1: 025C718BA31E43DB1B87DC13F94A61A9338C11CE) и BUHTRAP DLL (SHA-1: 1E2642B454F2CD889 6).

Вториот, издаден на Bit-Tredj, беше искористен за потпишување на натоварувачи Buhtrap (SHA-1: 7C1B6B1713BD923FC243DFEC80002FE9B93EB292 и B74F71560E48488D2153AE2FB51207, како и инсталирање R0AE206FB2

Операторите на RTM користат сертификати кои се вообичаени за другите семејства на малициозен софтвер, но тие исто така имаат единствен сертификат. Според телеметријата на ESET, тој бил издаден на Kit-SD и се користел само за потпишување на некој RTM малициозен софтвер (SHA-1: 42A4B04446A20993DDAE98B2BE6D5A797376D4B6).

RTM го користи истиот натоварувач како Buhtrap, RTM компонентите се вчитуваат од инфраструктурата Buhtrap, така што групите имаат слични мрежни индикатори. Сепак, според нашите проценки, RTM и Buhtrap се различни групи, барем затоа што RTM се дистрибуира на различни начини (не само со користење на „странски“ преземач).

И покрај ова, хакерските групи користат слични оперативни принципи. Тие ги таргетираат бизнисите кои користат сметководствен софтвер, на сличен начин собираат информации за системот, бараат читачи на паметни картички и користат низа малициозни алатки за шпионирање на жртвите.

3. Еволуција

Во овој дел, ќе ги разгледаме различните верзии на малициозен софтвер пронајдени за време на студијата.

3.1. Верзија

RTM ги складира податоците за конфигурација во делот за регистар, а најинтересниот дел е префиксот на ботнет. Списокот на сите вредности што ги видовме во примероците што ги проучувавме е претставен во табелата подолу.

Можно е вредностите да се користат за снимање на верзии на малициозен софтвер. Сепак, не забележавме голема разлика помеѓу верзиите како bit2 и bit3, 0.1.6.4 и 0.1.6.6. Покрај тоа, еден од префиксите постои од самиот почеток и еволуирал од типичен C&C домен во .bit домен, како што ќе биде прикажано подолу.

3.2. Распоред

Користејќи податоци од телеметрија, создадовме график за појава на примероци.

4. Техничка анализа

Во овој дел, ќе ги опишеме главните функции на банкарскиот тројанец RTM, вклучувајќи механизми за отпор, сопствена верзија на алгоритмот RC4, мрежен протокол, функционалност за шпионирање и некои други карактеристики. Особено, ќе се фокусираме на примероците SHA-1 AA0FA4584768CE9E16D67D8C529233E99FF1BBF0 и 48BC113EC8BA20B8B80CD5D4DA92051A19D1032B.

4.1. Инсталација и заштеда

4.1.1. Имплементација

Јадрото RTM е DLL, библиотеката се вчитува на дискот користејќи .EXE. Извршната датотека обично е спакувана и содржи DLL код. Откако ќе се стартува, го извлекува DLL и го извршува користејќи ја следнава команда:

rundll32.exe “%PROGRAMDATA%Winlogonwinlogon.lnk”,DllGetClassObject host

4.1.2. DLL

Главниот DLL е секогаш вчитан на дискот како winlogon.lnk во папката %PROGRAMDATA%Winlogon. Оваа екстензија на датотека обично се поврзува со кратенка, но датотеката е всушност DLL напишана во Delphi, наречена core.dll од развивачот, како што е прикажано на сликата подолу.

Пример названия DLL F4C746696B0F5BB565D445EC49DD912993DE6361

Откако ќе биде лансиран, тројанецот го активира својот механизам за отпор. Ова може да се направи на два различни начини, во зависност од привилегиите на жртвата во системот. Ако имате администраторски права, тројанецот додава запис на Windows Update во регистарот HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun. Командите содржани во Windows Update ќе работат на почетокот на сесијата на корисникот.

HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunWindows Update [REG_SZ] = rundll32.exe „%PROGRAMDATA%winlogon.lnk“,DllGetClassObject домаќин

Тројанецот исто така се обидува да додаде задача во Распоредувачот на задачи на Windows. Задачата ќе го стартува winlogon.lnk DLL со истите параметри како погоре. Редовните кориснички права му дозволуваат на тројанецот да додаде запис на Windows Update со истите податоци во регистарот HKCUSoftwareMicrosoftWindowsCurrentVersionRun:

rundll32.exe “%PROGRAMDATA%winlogon.lnk”,DllGetClassObject host

4.2. Изменет алгоритам RC4

И покрај познатите недостатоци, алгоритмот RC4 редовно се користи од авторите на малициозен софтвер. Сепак, креаторите на RTM малку го изменија, веројатно за да им ја отежнат задачата на аналитичарите на вируси. Изменетата верзија на RC4 е широко користена во малициозните RTM алатки за шифрирање на низи, мрежни податоци, конфигурации и модули.

4.2.1. Разлики

Оригиналниот алгоритам RC4 вклучува две фази: иницијализација на s-блок (познато како KSA - Алгоритам за распоред на клучеви) и генерирање на псевдо-случајна секвенца (PRGA - Алгоритам за псевдо-случајно генерирање). Првата фаза вклучува иницијализирање на s-box со помош на клучот, а во втората фаза изворниот текст се обработува со помош на s-box за шифрирање.

Авторите на RTM додадоа среден чекор помеѓу иницијализацијата на s-box и шифрирањето. Дополнителниот клуч е променлив и се поставува истовремено со податоците што треба да се шифрираат и дешифрираат. Функцијата што го извршува овој дополнителен чекор е прикажана на сликата подолу.

4.2.2. Шифрирање на низа

На прв поглед, има неколку читливи линии во главниот DLL. Останатите се шифрирани со помош на алгоритмот опишан погоре, чија структура е прикажана на следната слика. Најдовме повеќе од 25 различни клучеви RC4 за шифрирање на низи во анализираните примероци. Копчето XOR е различно за секој ред. Вредноста на нумеричкото поле што ги одвојува линиите е секогаш 0xFFFFFFFF.

На почетокот на извршувањето, RTM ги дешифрира низите во глобална променлива. Кога е потребно за пристап до низа, тројанецот динамички ја пресметува адресата на дешифрираните низи врз основа на основната адреса и офсет.

Низите содржат интересни информации за функциите на малициозниот софтвер. Некои примери на низи се дадени во Дел 6.8.

4.3. Мрежа

Начинот на кој RTM малициозниот софтвер контактира со серверот C&C варира од верзија до верзија. Првите модификации (октомври 2015 – април 2016 година) користеа традиционални имиња на домени заедно со RSS извор на livejournal.com за ажурирање на списокот со команди.

Од април 2016 година, видовме промена на .bit домени во телеметриските податоци. Ова е потврдено со датумот на регистрација на доменот - првиот RTM домен fde05d0573da.bit е регистриран на 13 март 2016 година.

Сите URL-адреси што ги видовме додека ја следевме кампањата имаа заедничка патека: /r/z.php. Тоа е сосема невообичаено и ќе помогне да се идентификуваат барањата за RTM во мрежните текови.

4.3.1. Канал за команди и контрола

Наследените примери го користеа овој канал за ажурирање на нивната листа на сервери за команди и контрола. Хостингот се наоѓа на livejournal.com, во моментот на пишување на извештајот остана на URL-то hxxp://f72bba81c921(.)livejournal(.)com/ data/rss.

Livejournal е руско-американска компанија која обезбедува платформа за блогирање. Операторите на RTM создаваат блог на LJ во кој објавуваат статија со кодирани команди - видете ја сликата од екранот.

Наредбите и контролните линии се кодирани со помош на модифициран алгоритам RC4 (Дел 4.2). Тековната верзија (ноември 2016) на каналот ги содржи следните адреси на серверот за команди и контрола:

• hxxp://cainmoon(.)net/r/z.php
• hxxp://rtm(.)dev/0-3/z.php
• hxxp://vpntap(.)top/r/z.php

4.3.2. .битни домени

Во најновите RTM примероци, авторите се поврзуваат со C&C домени користејќи го доменот од највисоко ниво .bit TLD. Не е на списокот на домени од највисоко ниво на ICANN (Име на домен и Интернет корпорација). Наместо тоа, го користи системот Namecoin, кој е изграден на врвот на технологијата Bitcoin. Авторите на малициозен софтвер не често го користат .bit TLD за нивните домени, иако пример за таква употреба претходно беше забележан во верзија на ботнетот Necurs.

За разлика од Bitcoin, корисниците на дистрибуираната база на податоци Namecoin имаат можност да зачувуваат податоци. Главната примена на оваа функција е доменот од највисоко ниво .bit. Можете да регистрирате домени кои ќе бидат зачувани во дистрибуирана база на податоци. Соодветните записи во базата на податоци содржат IP адреси решени од доменот. Овој TLD е „отпорен на цензура“ бидејќи само регистрантот може да ја промени резолуцијата на доменот .bit. Ова значи дека е многу потешко да се запре злонамерен домен користејќи овој тип на TLD.

Тројанецот RTM не го вградува софтверот неопходен за читање на дистрибуираната база на податоци Namecoin. Користи централни DNS сервери како што се dns.dot-bit.org или OpenNic сервери за решавање на .bit домени. Затоа, ја има истата издржливост како и DNS серверите. Забележавме дека некои тимски домени веќе не беа откриени откако беа споменати во објава на блог.

Друга предност на .bit TLD за хакери е цената. За да регистрираат домен, операторите треба да платат само 0,01 NK, што одговара на 0,00185 долари (од 5 декември 2016 година). За споредба, domain.com чини најмалку 10 долари.

4.3.3. Протокол

За да комуницира со серверот за команди и контрола, RTM користи HTTP POST барања со податоци форматирани со прилагоден протокол. Вредноста на патеката е секогаш /r/z.php; Кориснички агент Mozilla/5.0 (компатибилен; MSIE 9.0; Windows NT 6.1; Trident/5.0). Во барањата до серверот, податоците се форматираат на следниов начин, каде што вредностите на поместување се изразени во бајти:

Бајтите од 0 до 6 не се кодирани; бајтите почнувајќи од 6 се кодирани со помош на модифициран RC4 алгоритам. Структурата на пакетот одговор C&C е поедноставна. Бајтите се кодирани од 4 до големината на пакетот.

Списокот на можни вредности на акциониот бајт е претставен во табелата подолу:

Злонамерниот софтвер секогаш го пресметува CRC32 на дешифрираните податоци и ги споредува со она што е присутно во пакетот. Ако се разликуваат, тројанецот го испушта пакетот.
Дополнителните податоци може да содржат различни објекти, вклучувајќи PE-датотека, датотека што треба да се пребарува во датотечниот систем или нови командни URL-адреси.

4.3.4. Панел

Забележавме дека RTM користи панел на C&C серверите. Слика од екранот подолу:

4.4. Карактеристичен знак

RTM е типичен банкарски тројанец. Не е изненадување што операторите сакаат информации за системот на жртвата. Од една страна, ботот собира општи информации за ОС. Од друга страна, дознава дали компромитираниот систем содржи атрибути поврзани со руските далечински банкарски системи.

4.4.1. Општи информации

Кога малициозен софтвер е инсталиран или стартуван по рестартирање, се испраќа извештај до серверот за команди и контрола кој содржи општи информации, вклучувајќи:

• Временска зона;
• стандарден системски јазик;
• овластени кориснички ингеренции;
• ниво на интегритет на процесот;
• Корисничко име;
• име на компјутер;
• верзија на ОС;
• дополнителни инсталирани модули;
• инсталирана антивирусна програма;
• листа на читачи на паметни картички.

4.4.2 Далечински банкарски систем

Типична тројанска цел е далечински банкарски систем, а RTM не е исклучок. Еден од модулите на програмата се нарекува TBdo, кој извршува различни задачи, вклучувајќи скенирање дискови и историја на прелистување.

Со скенирање на дискот, тројанецот проверува дали е инсталиран банкарски софтвер на машината. Целосната листа на целни програми е во табелата подолу. Откако откри датотека од интерес, програмата испраќа информации до командниот сервер. Следните дејства зависат од логиката одредена од алгоритмите на командниот центар (C&C).

RTM исто така бара шеми на URL во историјата на прелистувачот и отворените јазичиња. Дополнително, програмата ја испитува употребата на функциите FindNextUrlCacheEntryA и FindFirstUrlCacheEntryA, а исто така го проверува секој запис за да одговара на URL-то на една од следните шеми:

Откако откри отворени јазичиња, тројанецот контактира со Internet Explorer или Firefox преку механизмот Динамичка размена на податоци (DDE) за да провери дали јазичето се совпаѓа со шемата.

Проверката на историјата на прелистување и отворените картички се врши во циклус WHILE (јамка со предуслов) со пауза од 1 секунда помеѓу проверките. Другите податоци што се следат во реално време ќе бидат разгледани во делот 4.5.

Ако се најде шема, програмата го известува ова до командниот сервер користејќи листа на низи од следната табела:

4.5 Мониторинг

Додека работи тројанецот, информациите за карактеристичните карактеристики на заразениот систем (вклучувајќи информации за присуството на банкарски софтвер) се испраќаат до серверот за команда и контрола. Отпечатокот од прст се случува кога RTM првпат ќе го активира системот за следење веднаш по првичното скенирање на ОС.

4.5.1. Далечинско банкарство

Модулот TBdo е одговорен и за следење на процесите поврзани со банкарството. Користи динамична размена на податоци за проверка на јазичињата во Firefox и Internet Explorer за време на првичното скенирање. Друг модул TShell се користи за следење на командните прозорци (Internet Explorer или File Explorer).

Модулот ги користи COM интерфејсите ISShellWindows, iWebBrowser, DWebBrowserEvents2 и IConnectionPointContainer за следење на прозорците. Кога корисникот се движи до нова веб-страница, малициозниот софтвер го забележува ова. Потоа го споредува URL-то на страницата со горенаведените обрасци. Откако откри совпаѓање, тројанецот прави шест последователни слики од екранот со интервал од 5 секунди и ги испраќа до командниот сервер C&S. Програмата, исто така, проверува некои имиња на прозорци поврзани со банкарски софтвер - целосната листа е подолу:

4.5.2. Паметна картичка

RTM ви овозможува да ги следите читателите на паметни картички поврзани со заразени компјутери. Овие уреди се користат во некои земји за усогласување на налозите за плаќање. Ако овој тип на уред е прикачен на компјутер, тоа може да му укаже на тројанецот дека машината се користи за банкарски трансакции.

За разлика од другите банкарски тројанци, RTM не може да комуницира со такви паметни картички. Можеби оваа функционалност е вклучена во дополнителен модул што сè уште не сме го виделе.

4.5.3. Keylogger

Важен дел од следењето на заразениот компјутер е снимањето притискање на копчињата. Се чини дека на програмерите на RTM не им недостасуваат никакви информации, бидејќи ги следат не само обичните копчиња, туку и виртуелната тастатура и таблата со исечоци.

За да го направите ова, користете ја функцијата SetWindowsHookExA. Напаѓачите ги регистрираат притиснатите копчиња или копчињата што одговараат на виртуелната тастатура, заедно со името и датумот на програмата. Баферот потоа се испраќа до командниот сервер C&C.

Функцијата SetClipboardViewer се користи за пресретнување на таблата со исечоци. Хакерите ја логираат содржината на таблата со исечоци кога податоците се текст. Името и датумот исто така се евидентирани пред баферот да се испрати до серверот.

4.5.4. Слики од екранот

Друга функција на RTM е пресретнување на слики од екранот. Функцијата се применува кога модулот за следење на прозорецот открива локација или банкарски софтвер од интерес. Сликите од екранот се направени со помош на библиотека со графички слики и се пренесуваат на командниот сервер.

4.6. Деинсталирање

Серверот C&C може да го спречи да работи малициозниот софтвер и да го исчисти вашиот компјутер. Командата ви овозможува да ги избришете датотеките и записите во регистарот создадени додека работи RTM. DLL потоа се користи за отстранување на малициозниот софтвер и датотеката winlogon, по што командата го исклучува компјутерот. Како што е прикажано на сликата подолу, DLL го отстрануваат програмерите користејќи erase.dll.

Серверот може да му испрати на тројанецот деструктивна команда за деинсталирање-заклучување. Во овој случај, ако имате администраторски права, RTM ќе го избрише секторот за подигање MBR на тврдиот диск. Ако ова не успее, тројанецот ќе се обиде да го префрли секторот за подигање MBR во случаен сектор - тогаш компјутерот нема да може да го подигне ОС по исклучувањето. Ова може да доведе до целосно повторно инсталирање на ОС, што значи уништување на доказите.

Без администраторски привилегии, малициозниот софтвер запишува .EXE кодиран во основниот RTM DLL. Извршната датотека го извршува кодот потребен за исклучување на компјутерот и го регистрира модулот во регистарскиот клуч HKCUCurrentVersionRun. Секој пат кога корисникот започнува сесија, компјутерот веднаш се исклучува.

4.7. Конфигурациската датотека

Стандардно, RTM нема речиси никаква конфигурациска датотека, но серверот за команди и контрола може да испрати конфигурациски вредности што ќе се зачуваат во регистарот и ќе се користат од програмата. Списокот на конфигурациски клучеви е претставен во табелата подолу:

Конфигурацијата е зачувана во клучот за регистар софтвер[Псевдо-случајна низа]. Секоја вредност одговара на еден од редовите претставени во претходната табела. Вредностите и податоците се кодирани со помош на алгоритмот RC4 во RTM.

Податоците ја имаат истата структура како мрежа или низи. На почетокот на кодираните податоци се додава клуч од четири бајти XOR. За конфигурациските вредности, копчето XOR е различно и зависи од големината на вредноста. Може да се пресмета на следниов начин:

xor_key = (len(config_value) << 24) | (len(config_value) << 16)
| len(config_value)| (len(config_value) << 8)

4.8. Други функции

Следно, да ги погледнеме другите функции што ги поддржува RTM.

4.8.1. Дополнителни модули

Тројанецот вклучува дополнителни модули, кои се DLL-датотеки. Модулите испратени од командниот сервер C&C може да се извршат како надворешни програми, да се рефлектираат во RAM и да се лансираат во нови нишки. За складирање, модулите се зачувуваат во датотеки .dtt и се кодираат со користење на алгоритам RC4 со истиот клуч што се користи за мрежни комуникации.

Досега ја набљудувавме инсталацијата на VNC модулот (8966319882494077C21F66A8354E2CBCA0370464), модулот за екстракција на податоци од прелистувачот (03DE8622BE6B2F75A364A275995C3411626C4 и 9E1E2E1). FC562FBA1B 69BE6D58B88753E7CFAB).

За да се вчита VNC модулот, серверот C&C издава команда со која бара поврзување со VNC серверот на одредена IP адреса на портата 44443. Приклучокот за пребарување податоци на прелистувачот извршува TBrowserDataCollector, кој може да ја чита историјата на прелистување IE. Потоа ја испраќа целосната листа на посетени URL до командниот сервер C&C.

Последниот откриен модул се вика 1c_2_kl. Може да комуницира со софтверскиот пакет 1C Enterprise. Модулот вклучува два дела: главниот дел - DLL и два агенти (32 и 64 битни), кои ќе бидат инјектирани во секој процес, регистрирајќи врзување за WH_CBT. Откако е воведен во процесот 1C, модулот ги врзува функциите CreateFile и WriteFile. Секогаш кога се повикува функцијата CreateFile bound, модулот ја складира патеката на датотеката 1c_to_kl.txt во меморијата. Откако ќе го пресретне повикот WriteFile, тој ја повикува функцијата WriteFile и ја испраќа патеката на датотеката 1c_to_kl.txt до главниот DLL модул, пренесувајќи му ја креираната порака на Windows WM_COPYDATA.

Главниот DLL модул ја отвора и ја анализира датотеката за да ги одреди налозите за плаќање. Го препознава износот и бројот на трансакцијата содржани во датотеката. Оваа информација се испраќа до командниот сервер. Веруваме дека овој модул моментално е во развој бидејќи содржи порака за отстранување грешки и не може автоматски да го менува 1c_to_kl.txt.

4.8.2. Зголемување на привилегиите

RTM може да се обиде да ги зголеми привилегиите со прикажување на лажни пораки за грешка. Злонамерниот софтвер симулира проверка на регистарот (видете ја сликата подолу) или користи вистинска икона за уредувач на регистар. Забележете ја грешката во правописот, чекајте – вака. По неколку секунди скенирање, програмата прикажува порака за лажна грешка.

Лажна порака лесно ќе го измами просечниот корисник, и покрај граматичките грешки. Ако корисникот кликне на една од двете врски, RTM ќе се обиде да ги зголеми своите привилегии во системот.

Откако ќе изберете една од двете опции за обновување, тројанецот го стартува DLL користејќи ја опцијата runas во функцијата ShellExecute со администраторски привилегии. Корисникот ќе види вистинско известување за Windows (видете ја сликата подолу) за издигнување. Ако корисникот ги даде потребните дозволи, тројанецот ќе работи со администраторски привилегии.

Во зависност од стандардниот јазик инсталиран на системот, тројанецот прикажува пораки за грешка на руски или англиски јазик.

4.8.3. Сертификат

RTM може да додава сертификати во Windows Store и да ја потврди веродостојноста на додавањето со автоматско кликнување на копчето „да“ во полето за дијалог csrss.exe. Ова однесување не е ново, на пример, банкарскиот Тројанец Ретефе, исто така, независно ја потврдува инсталацијата на нов сертификат.

4.8.4. Обратна врска

Авторите на RTM го создадоа и Backconnect TCP тунелот. Сè уште не сме ја виделе функцијата во употреба, но таа е дизајнирана да ги следи заразените компјутери од далечина.

4.8.5. Управување со датотеки на домаќинот

Серверот C&C може да испрати команда до тројанецот за да ја измени датотеката домаќин на Windows. Датотеката домаќин се користи за креирање прилагодени резолуции за DNS.

4.8.6. Најдете и испратете датотека

Серверот може да побара да пребарува и да преземе датотека на заразениот систем. На пример, за време на истражувањето добивме барање за датотеката 1c_to_kl.txt. Како што беше претходно опишано, оваа датотека е генерирана од сметководствениот систем 1C: Enterprise 8.

4.8.7. Ажурирање

Конечно, авторите на RTM можат да го ажурираат софтверот со поднесување на нов DLL за да ја замени тековната верзија.

5. Заклучок

Истражувањето на RTM покажува дека рускиот банкарски систем сè уште привлекува сајбер напаѓачи. Групите како што се Buhtrap, Corkow и Carbanak успешно крадат пари од финансиски институции и нивните клиенти во Русија. RTM е нов играч во оваа индустрија.

Злонамерните алатки RTM се користат барем од крајот на 2015 година, според телеметријата на ESET. Програмата има целосен опсег на можности за шпионирање, вклучувајќи читање паметни картички, пресретнување на тастатурата и следење на банкарските трансакции, како и пребарување на транспортни датотеки 1C: Enterprise 8.

Употребата на децентрализиран, нецензуриран .bit домен на највисоко ниво обезбедува високо еластична инфраструктура.

Извор: www.habr.com