OceanLotus: ажурирање на малициозен софтвер за macOS

Во март 2019 година, нов примерок од малициозен софтвер macOS од сајбер групата OceanLotus беше поставен на VirusTotal, популарна онлајн услуга за скенирање. Извршната датотека со задна врата ги има истите можности како и претходната верзија на малициозен софтвер macOS што ја проучувавме, но неговата структура се промени и стана потешко да се открие. За жал, не можевме да најдеме капалка поврзана со овој примерок, па сè уште не го знаеме векторот на инфекцијата.

Неодамна објавивме пост за OceanLotus и како операторите се обидуваат да обезбедат упорност, да го забрзаат извршувањето на кодот и да го минимизираат отпечатокот на Windows системите. Исто така, познато е дека оваа сајбер група има и компонента за macOS. Оваа објава ги детализира промените во најновата верзија на малициозен софтвер за macOS во споредба со претходната верзија (опишан од Trend Micro), а исто така опишува како можете да го автоматизирате дешифрирањето на низите за време на анализата користејќи го IDA Hex-Rays API.

Анализа

Следните три дела ја опишуваат анализата на примерок со хаш SHA-1 E615632C9998E4D3E5ACD8851864ED09B02C77D2. Датотеката се нарекува фенерче, ESET антивирусните производи го детектираат како OSX/OceanLotus.D.

Анти-дебагирање и заштита на песокот

Како и сите бинарни датотеки на macOS OceanLotus, примерокот е спакуван со UPX, но повеќето алатки за идентификација на пакувачите не го препознаваат како таков. Ова е веројатно затоа што тие главно содржат потпис кој зависи од присуството на низата „UPX“, покрај тоа, потписите Mach-O се поретки и не се ажурираат толку често. Оваа карактеристика го отежнува статичкото откривање. Интересно, по распакувањето, влезната точка е на почетокот на делот __cfstring во сегментот .TEXT. Овој дел има атрибути на знаме како што е прикажано на сликата подолу.

Слика 1. Атрибути на делот MACH-O __cfstring

Како што е прикажано на слика 2, локациите на кодот во делот __cfstring ви овозможува да измамите некои алатки за расклопување со прикажување на кодот како низи.

Слика 2. Код на задна врата откриен од IDA како податок

Откако ќе се изврши, бинарното создава нишка како анти-дебагер чија единствена цел е постојано да проверува за присуство на дебагер. За овој тек:

— Се обидува да откачи кој било дебагер, повикувајќи ptrace с PT_DENY_ATTACH како параметар за барање
- Проверува дали некои ексклузивни порти се отворени со повикување на функција task_get_exception_ports
- Проверува дали дебагерот е поврзан, како што е прикажано на сликата подолу, со проверка на присуството на знамето P_TRACED во тековниот процес

Слика 3. Проверка на врската со дебагерот со помош на функцијата sysctl

Ако чуварот детектира присуство на дебагер, функцијата се повикува exit. Дополнително, примерокот потоа ја проверува околината со извршување на две команди:

ioreg -l | grep -e "Manufacturer" и sysctl hw.model

Примерокот потоа ја проверува повратната вредност во однос на хард-кодираната листа на низи од познати системи за виртуелизација: акле, vmware, virtualbox или паралели. Конечно, следната команда проверува дали машината е една од следните „MBP“, „MBA“, „MB“, „MM“, „IM“, „MP“ и „XS“. Ова се кодови на системски модели, на пример, „MBP“ значи MacBook Pro, „MBA“ значи MacBook Air итн.

system_profiler SPHardwareDataType 2>/dev/null | awk '/Boot ROM Version/ {split($0, line, ":");printf("%s", line[2]);}

Главни додатоци

Иако командите на задна врата не се променети од истражувањето на Trend Micro, забележавме неколку други модификации. Серверите C&C што се користат во овој примерок се прилично нови и се создадени на 22.10.2018 година.

- daff.faybilodeau[.]com
- sarc.onteagleroad[.]com
- au.charlineopkesston[.]com

URL-адресата на ресурсот е променета во /dp/B074WC4NHW/ref=gbps_img_m-9_62c3_750e6b35.
Првиот пакет испратен до серверот C&C содржи повеќе информации за машината домаќин, вклучувајќи ги сите податоци собрани со командите во табелата подолу.

Покрај оваа промена на конфигурацијата, примерокот не користи библиотека за мрежно филтрирање libcurl, туку надворешна библиотека. За да ја пронајде, задна врата се обидува да ја дешифрира секоја датотека во тековниот директориум користејќи AES-256-CBC со клучот gFjMXBgyXWULmVVVzyxy, полнета со нули. Секоја датотека е дешифрирана и зачувана како /tmp/store, а со помош на функцијата се прави обид да се вчита како библиотека падне. Кога обидот за дешифрирање резултира со успешен повик dlopen, задна врата ги извлекува извезените функции Boriry и ChadylonV, кои очигледно се одговорни за мрежната комуникација со серверот. Немаме капалка или други датотеки од оригиналната локација на примерокот, така што не можеме да ја анализираме оваа библиотека. Покрај тоа, бидејќи компонентата е шифрирана, правилото YARA засновано на овие стрингови нема да одговара на датотеката пронајдена на дискот.

Како што е опишано во горната статија, тоа создава клиент ID. Овој ID е хаш MD5 на повратната вредност на една од следните команди:

- ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformSerialNumber/ { split($0, line, """); printf("%s", line[4]); }'
- ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformUUID/ { split($0, line, """); printf("%s", line[4]); }'
- ifconfig en0 | awk '/ether /{print $2}' (добијте MAC адреса)
- непознат тим ("x1ex72x0a"), што се користи во претходните примероци

Пред хаширање, на повратната вредност се додава „0“ или „1“ за да се означат правата на root. Ова клиент складирани во /Library/Storage/File System/HFS/25cf5d02-e50b-4288-870a-528d56c3cf6e/pivtoken.appex, ако кодот се извршува како root или во ~/Library/SmartCardsServices/Technology/PlugIns/drivers/snippets.ecgML во сите други случаи. Датотеката обично се крие со помош на функцијата _chflags, неговиот временски печат се менува со помош на командата touch –t со случајна вредност.

Низи за декодирање

Како и со претходните опции, низите се шифрираат со помош на AES-256-CBC (хексадецимален клуч: 9D7274AD7BCEF0DED29BDBB428C251DF8B350B92 пополнето со нули и IV исполнето со нули) преку функцијата CCCкрипта. Клучот е променет од претходните верзии, но бидејќи групата сè уште го користи истиот алгоритам за шифрирање низи, дешифрирањето може да се автоматизира. Покрај оваа објава, објавуваме скрипта IDA која користи Hex-Rays API за дешифрирање на низите присутни во бинарната датотека. Оваа скрипта може да помогне во идна анализа на OceanLotus и анализа на постоечки примероци што сè уште не сме можеле да ги добиеме. Скриптата се заснова на универзален метод за примање аргументи предадени на функција. Дополнително, ги бара доделите на параметрите. Методот може повторно да се употреби за да се добие список со аргументи за функции и потоа да се пренесе на повратниот повик.

Познавање на прототипот на функцијата дешифрира, скриптата ги наоѓа сите вкрстени референци на оваа функција, сите аргументи, потоа ги дешифрира податоците и става обичен текст во коментар на адресата за вкрстување. За скриптата да работи правилно, таа мора да биде поставена на приспособената азбука што ја користи функцијата за декодирање base64 и мора да се дефинира глобална променлива што ја содржи должината на клучот (во овој случај DWORD, видете Слика 4).

Слика 4. Дефиниција на глобалната променлива key_len

Во прозорецот Функција, можете да кликнете со десното копче на функцијата за дешифрирање и да кликнете „Извади и дешифрирај аргументи“. Скриптата треба да ги стави дешифрираните линии во коментари, како што е прикажано на Слика 5.

Слика 5. Дешифрираниот текст е ставен во коментарите

На овој начин дешифрираните низи се погодно поставени заедно во прозорецот IDA xrefs за оваа функција како што е прикажано на слика 6.

Слика 6. Xrefs to f_decrypt функција

Конечното сценарио може да се најде на Github складиштето.

Излез

Како што веќе споменавме, OceanLotus постојано го подобрува и ажурира својот пакет со алатки. Овој пат, сајбер групата го подобри малициозниот софтвер за да работи со корисниците на Mac. Кодот не е многу променет, но бидејќи многу корисници на Mac ги игнорираат безбедносните производи, заштитата на малициозниот софтвер од откривање е од второстепена важност.

Производите на ESET веќе ја откриваа оваа датотека во времето на истражувањето. Бидејќи мрежната библиотека што се користи за C&C комуникација сега е шифрирана на дискот, сè уште не е познат точниот мрежен протокол што го користеле напаѓачите.

Индикатори за компромис

Индикаторите за компромис, како и атрибутите MITER ATT&CK се исто така достапни на GitHub.

Извор: www.habr.com