Откупот е како кралица: Варонис го истражува откупниот софтвер „SaveTheQueen“ кој брзо се шири

Нов вид на откупни софтвери ги шифрира датотеките и им додава наставка „.SaveTheQueen“, која се шири низ мрежната папка SYSVOL на контролерите на доменот на Active Directory.

Нашите клиенти неодамна се сретнаа со овој малициозен софтвер. Подолу ја претставуваме нашата целосна анализа, нејзините резултати и заклучоци.

Откривање

Еден од нашите клиенти нè контактираше откако наиде на нов вид на откупен софтвер кој ја додава екстензијата „.SaveTheQueen“ на новите шифрирани датотеки во нивната околина.

Во текот на нашата истрага, поточно во фазата на пребарување на извори на инфекција, дознавме дека дистрибуцијата и следењето на заразените жртви се вршеше со користење мрежна папка SYSVOL на контролорот на доменот на клиентот.

SYSVOL е клучна папка за секој домен контролер што се користи за доставување на објекти на групна политика (GPO) и скрипти за најавување и одјавување на компјутерите во доменот. Содржината на оваа папка се реплицира помеѓу контролорите на доменот за да се синхронизираат овие податоци низ сајтовите на организацијата. Пишувањето до SYSVOL бара високи привилегии на доменот, меѓутоа, откако ќе биде компромитиран, ова средство станува моќна алатка за напаѓачите кои можат да го користат за брзо и ефикасно ширење на малициозни товари низ доменот.

Синџирот за ревизија на Varonis помогна брзо да се идентификуваат следниве:

• Инфицираната корисничка сметка создаде датотека наречена „часовна“ во SYSVOL
• Многу датотеки за дневници беа креирани во SYSVOL - секоја именувана со име на уред за домен
• Многу различни IP адреси пристапуваа до датотеката „часовна“.

Заклучивме дека датотеките за евиденција се користеле за следење на процесот на инфекција на нови уреди и дека „часовно“ е закажана работа што извршува злонамерен товар на нови уреди користејќи Powershell скрипта - примероци „v3“ и „v4“.

Напаѓачот најверојатно добил и користел администраторски привилегии за домен за да пишува датотеки во SYSVOL. На заразените домаќини, напаѓачот истрча PowerShell код кој создаде распоред за отворање, дешифрирање и стартување на малициозен софтвер.

Дешифрирање на малициозен софтвер

Се обидовме на неколку начини да ги дешифрираме примероците без успех:

Речиси бевме подготвени да се откажеме кога решивме да го испробаме методот „Magic“ на величественото
комунални услуги Сајберготвач од GCHQ. Magic се обидува да ја погоди шифрирањето на датотеката со брутално принудување лозинки за различни типови на шифрирање и мерење на ентропијата.

Белешка на преведувачот ВидиДиференцијална ентропија и Ентропија во теоријата на информации. Оваа статија и коментарите не вклучуваат дискусија од страна на авторите за деталите за методите што се користат во софтверот од трета страна или во комерцијален софтвер


Magic утврди дека е користен GZip шифриран пакет со base64, па можевме да ја декомпресираме датотеката и да го откриеме кодот за инјектирање.

Dropper: „Има епидемија во областа! Општи вакцини. Болест на шап и уста"

Капкачот беше обична .NET-датотека без никаква заштита. Откако ќе го прочитате изворниот код со DNSpy сфативме дека неговата единствена цел е да внесе shellcode во процесот winlogon.exe.

Shellcode или едноставни компликации

Ја користевме алатката за пишување Hexacorn − shellcode2exe со цел да се „компајлира“ shellcode-от во извршна датотека за дебагирање и анализа. Потоа откривме дека работи и на 32 и на 64 битни машини.

Пишувањето дури и едноставни кодови на школка во превод на мајчин асемблерски јазик може да биде тешко, но пишувањето комплетен код на школка што работи на двата типа системи бара елитни вештини, па почнавме да се восхитуваме на софистицираноста на напаѓачот.

Кога го анализиравме компајлираниот код на школка користејќи x64dbg, забележавме дека се вчитува .NET динамични библиотеки , како што се clr.dll и mscoreei.dll. Ова ни се чинеше чудно - обично напаѓачите се обидуваат да го направат кодот на школка што е можно помал со повикување на функциите на оригиналниот ОС наместо да ги вчитуваат. Зошто некој би требало да ја вгради функционалноста на Windows во кодот на школка наместо да ја повикува директно на барање?

Како што се испостави, авторот на малициозниот софтвер воопшто не го напишал овој комплексен код на школка - софтверот специфичен за оваа задача се користел за преведување на извршни датотеки и скрипти во код на школка.

Најдовме алатка Крофна, за кој мислевме дека може да состави сличен код на школка. Еве го неговиот опис од GitHub:

Donut генерира x86 или x64 shellcode од VBScript, JScript, EXE, DLL (вклучувајќи склопови .NET). Овој код на школка може да се инјектира во кој било процес на Windows што треба да се изврши
меморија за случаен пристап.

За да ја потврдиме нашата теорија, го составивме нашиот сопствен код користејќи Donut и го споредивме со примерокот - и... да, откривме уште една компонента од користениот пакет со алатки. По ова, веќе можевме да ја извлечеме и анализираме оригиналната извршна датотека .NET.

Заштита на код

Оваа датотека е замаглена со користење ConfuserEx:

ConfuserEx е .NET проект со отворен код за заштита на кодот на други случувања. Оваа класа на софтвер им овозможува на програмерите да го заштитат својот код од обратно инженерство користејќи методи како што се замена на знаци, маскирање на контролниот тек на командите и криење на референтен метод. Авторите на малициозен софтвер користат замаглувачи за да избегнат откривање и да го отежнат обратното инженерство.

Преку ElektroKill Unpacker го отпакувавме кодот:

Резултат - носивост

Резултирачкиот товар е многу едноставен вирус за откуп. Нема механизам за обезбедување присуство во системот, нема врски со командниот центар - само стара добра асиметрична шифрирање за да ги направи податоците на жртвата нечитливи.

Главната функција ги избира следните линии како параметри:

• Екстензија на датотека за употреба по шифрирањето (SaveTheQueen)
• Е-пошта на авторот да се стави во датотеката со белешка за откуп
• Јавен клуч што се користи за шифрирање датотеки

Самиот процес изгледа вака:

1. Злонамерниот софтвер ги испитува локалните и поврзаните дискови на уредот на жртвата

   

2. Пребарува датотеки за шифрирање

   

3. Се обидува да го прекине процесот што користи датотека што треба да ја шифрира
4. Ја преименува датотеката во „OriginalFileName.SaveTheQueenING“ користејќи ја функцијата MoveFile и ја шифрира
5. Откако датотеката е шифрирана со јавниот клуч на авторот, малициозниот софтвер повторно ја преименува, сега во „Original FileName.SaveTheQueen“
6. Датотека со барање за откуп е запишана во истата папка

   

Врз основа на употребата на основната функција „CreateDecryptor“, се чини дека една од функциите на малициозниот софтвер содржи како параметар механизам за дешифрирање кој бара приватен клуч.

ransomware вирус НЕ шифрира датотеки, складирани во директориуми:

В: прозорци
В: Датотеки со програмата
C: Програмски датотеки (x86)
C: Users\AppData
C: inetpub

Тој исто така НЕ ГИ шифрира следниве типови датотеки:EXE, DLL, MSI, ISO, SYS, CAB.

Резиме и заклучоци

Иако самиот софтвер за откуп не содржи никакви необични карактеристики, напаѓачот креативно го искористи Active Directory за да го дистрибуира dropper, а самиот малициозен софтвер ни претстави интересни, ако на крајот и некомплицирани, пречки за време на анализата.

Мислиме дека авторот на малициозниот софтвер е:

1. Напиша вирус за откуп со вградено вбризгување во процесот winlogon.exe, како и
   функционалност за шифрирање и дешифрирање на датотеки
2. Го прикриваше малициозниот код користејќи ConfuserEx, го конвертира резултатот со помош на Donut и дополнително го сокри басното 64 Gzip dropper
3. Добиле зголемени привилегии во доменот на жртвата и ги користеле за копирање
   шифриран малициозен софтвер и закажани задачи во мрежната папка SYSVOL на контролери на домени
4. Извршете скрипта PowerShell на уредите со домен за да се шири малициозен софтвер и да се евидентира напредокот на нападот во дневници во SYSVOL

Ако имате прашања во врска со оваа варијанта на вирусот ransomware, или кои било други истраги за инциденти од форензика и сајбер-безбедност извршени од нашите тимови, Контактирајте не или барање жива демонстрација на одговор на нападите, каде што секогаш одговараме на прашања во сесија за прашања и одговори.

Извор: www.habr.com