Напаѓачите користат комплексен малициозен софтвер за да ги нападнат руските бизниси

Од крајот на минатата година, почнавме да следиме нова злонамерна кампања за дистрибуција на банкарски тројанец. Напаѓачите се фокусираа на компромитирање на руски компании, односно корпоративни корисници. Злонамерната кампања била активна најмалку една година и, покрај банкарскиот тројанец, напаѓачите прибегнале и кон користење на разни други софтверски алатки. Тие вклучуваат специјален натоварувач спакуван со користење НСИС, и шпионски софтвер, кој е маскиран како добро познатиот легитимен софтвер Yandex Punto. Откако напаѓачите успеаја да го компромитираат компјутерот на жртвата, тие инсталираат задна врата, а потоа и банкарски тројанец.

За нивниот малициозен софтвер, напаѓачите користеле неколку валидни (тогаш) дигитални сертификати и специјални методи за да ги заобиколат AV-производите. Злонамерната кампања беше насочена кон голем број руски банки и е од особен интерес бидејќи напаѓачите користеа методи кои често се користат во насочени напади, односно напади кои не се мотивирани чисто од финансиска измама. Можеме да забележиме некои сличности помеѓу оваа злонамерна кампања и големиот инцидент кој претходно доби голем публицитет. Станува збор за сајбер-криминална група која користела банкарски тројанец Анунак/Карбанак.

Напаѓачите инсталирале малициозен софтвер само на оние компјутери кои стандардно користеле руски јазик во Windows (локализација). Главниот дистрибутивен вектор на тројанецот беше Word документ со експлоат. CVE-2012-0158, кој беше испратен како прилог на документот. Сликите од екранот подолу покажуваат појава на такви лажни документи. Првиот документ е насловен „Фактура бр. 522375-FLORL-14-115.doc“, а вториот „kontrakt87.doc“, тоа е копија од договорот за давање телекомуникациски услуги од страна на мобилниот оператор Мегафон.

Ориз. 1. Фишинг документ.

Ориз. 2. Друга модификација на документот за фишинг.

Следниве факти покажуваат дека напаѓачите биле насочени кон руски бизниси:

• дистрибуција на малициозен софтвер користејќи лажни документи на наведената тема;
• тактиката на напаѓачите и злонамерните алатки што ги користат;
• линкови до деловни апликации во некои извршни модули;
• имиња на малициозни домени кои беа користени во оваа кампања.

Специјалните софтверски алатки што напаѓачите ги инсталираат на компромитиран систем им овозможуваат да добијат далечинска контрола на системот и да ја следат активноста на корисникот. За извршување на овие функции, тие инсталираат задна врата и исто така се обидуваат да ја добијат лозинката за сметката на Windows или да создадат нова сметка. Напаѓачите исто така прибегнуваат кон услугите на keylogger (keylogger), крадец на таблата со исечоци на Windows и специјален софтвер за работа со паметни картички. Оваа група се обиде да загрози други компјутери кои беа на истата локална мрежа како и компјутерот на жртвата.

Нашиот телеметриски систем ESET LiveGrid, кој ни овозможува брзо следење на статистиката за дистрибуција на малициозен софтвер, ни обезбеди интересна географска статистика за дистрибуцијата на малициозен софтвер што го користат напаѓачите во споменатата кампања.

Ориз. 3. Статистика за географската дистрибуција на малициозен софтвер што се користи во оваа злонамерна кампања.

Инсталирање на малициозен софтвер

Откако корисникот ќе отвори злонамерен документ со експлоатација на ранлив систем, специјален преземач спакуван со помош на NSIS ќе се преземе и ќе се изврши таму. На почетокот на својата работа, програмата ја проверува околината на Windows за присуство на дебагери таму или за работа во контекст на виртуелна машина. Исто така, ја проверува локализацијата на Windows и дали корисникот ги посетил URL-адресите наведени подолу во табелата во прелистувачот. За ова се користат API FindFirst/NextUrlCacheEntry и регистарскиот клуч SoftwareMicrosoftInternet ExplorerTypedURLs.

Подигнувачот проверува дали има присуство на следните апликации на системот.

Списокот на процеси е навистина импресивен и, како што можете да видите, вклучува не само банкарски апликации. На пример, извршна датотека со име „scardsvr.exe“ се однесува на софтвер за работа со паметни картички (Microsoft SmartCard читач). Самиот банкарски тројанец вклучува можност за работа со паметни картички.

Ориз. 4. Општ дијаграм на процесот на инсталирање на малициозен софтвер.

Ако сите проверки се успешно завршени, подигнувачот презема посебна датотека (архива) од оддалечениот сервер, која ги содржи сите злонамерни извршни модули што ги користат напаѓачите. Интересно е да се забележи дека во зависност од извршувањето на горенаведените проверки, архивите преземени од оддалечениот C&C сервер може да се разликуваат. Архивата може или не мора да биде злонамерна. Ако не е злонамерен, тој ја инсталира лентата со алатки на Windows Live за корисникот. Најверојатно, напаѓачите прибегнаа кон слични трикови за да ги измамат системите за автоматска анализа на датотеки и виртуелните машини на кои се извршуваат сомнителни датотеки.

Датотеката преземена од преземачот на NSIS е архива од 7z која содржи различни модули за малициозен софтвер. Сликата подолу го прикажува целиот процес на инсталација на овој малициозен софтвер и неговите различни модули.

Ориз. 5. Општа шема за тоа како функционира малициозниот софтвер.

Иако вчитаните модули служат за различни цели за напаѓачите, тие се спакувани идентично и многу од нив се потпишани со валидни дигитални сертификати. Најдовме четири такви сертификати кои напаѓачите ги користеа од самиот почеток на кампањата. По нашата жалба, овие сертификати беа одземени. Интересно е да се забележи дека сите сертификати беа издадени на компании регистрирани во Москва.

Ориз. 6. Дигитален сертификат што се користеше за потпишување на малициозен софтвер.

Следната табела ги идентификува дигиталните сертификати што напаѓачите ги користеле во оваа злонамерна кампања.

Речиси сите малициозни модули што ги користат напаѓачите имаат идентична процедура за инсталација. Тие сами извлекуваат 7zip архиви кои се заштитени со лозинка.

Ориз. 7. Фрагмент од сериската датотека install.cmd.

Сериската датотека .cmd е одговорна за инсталирање на малициозен софтвер на системот и лансирање на различни алатки за напаѓачи. Ако извршувањето бара административни права кои недостасуваат, малициозниот код користи неколку методи за да ги добие (заобиколувајќи UAC). За да се имплементира првиот метод, се користат две извршни датотеки наречени l1.exe и cc1.exe, кои се специјализирани за заобиколување на UAC со помош на протекоа Изворниот код на Карберп. Друг метод се заснова на искористување на ранливоста CVE-2013-3660. Секој модул за малициозен софтвер кој бара зголемување на привилегиите содржи и 32-битна и 64-битна верзија на експлоатацијата.

Додека ја следевме оваа кампања, анализиравме неколку архиви поставени од преземачот. Содржината на архивите варираше, што значи дека напаѓачите можеа да ги приспособат малициозните модули за различни цели.

Кориснички компромис

Како што споменавме погоре, напаѓачите користат специјални алатки за да ги компромитираат компјутерите на корисниците. Овие алатки вклучуваат програми со извршни имиња на датотеки mimi.exe и xtm.exe. Тие им помагаат на напаѓачите да ја преземат контролата над компјутерот на жртвата и да се специјализираат за извршување на следните задачи: добивање/обновување лозинки за сметките на Windows, овозможување на услугата RDP, создавање нова сметка во ОС.

Извршната датотека mimi.exe вклучува изменета верзија на добро позната алатка со отворен код Mimikatz. Оваа алатка ви овозможува да добиете лозинки за корисничка сметка на Windows. Напаѓачите го отстранија делот од Мимикац кој е одговорен за интеракцијата на корисниците. Извршниот код исто така е изменет така што кога ќе се стартува, Mimikatz работи со командите привилегии::debug и sekurlsa:logonPasswords.

Друга извршна датотека, xtm.exe, стартува специјални скрипти кои ја овозможуваат услугата RDP во системот, се обидуваат да креираат нова сметка во ОС, а исто така ги менуваат системските поставки за да им овозможат на неколку корисници истовремено да се поврзат со компромитиран компјутер преку RDP. Очигледно, овие чекори се неопходни за да се добие целосна контрола врз компромитираниот систем.

Ориз. 8. Наредби извршени од xtm.exe на системот.

Напаѓачите користат друга извршна датотека наречена impack.exe, која се користи за инсталирање специјален софтвер на системот. Овој софтвер се нарекува LiteManager и го користат напаѓачите како задна врата.

Ориз. 9. Интерфејс LiteManager.

Откако ќе се инсталира на системот на корисникот, LiteManager им овозможува на напаѓачите директно да се поврзат со тој систем и да го контролираат од далечина. Овој софтвер има посебни параметри на командната линија за неговата скриена инсталација, создавање на специјални правила за заштитен ѕид и лансирање на неговиот модул. Сите параметри ги користат напаѓачите.

Последниот модул од пакетот малициозен софтвер што го користат напаѓачите е програма за банкарски малициозен софтвер (банкар) со име на извршна датотека pn_pack.exe. Таа е специјализирана за шпионирање на корисникот и е одговорна за интеракција со серверот C&C. Банкарот е лансиран со користење на легитимен софтвер Yandex Punto. Punto се користи од напаѓачите за лансирање на малициозни DLL библиотеки (метод на странично вчитување на DLL). Самиот малициозен софтвер може да ги извршува следниве функции:

• следење на притискањата на тастатурата и содржината на таблата со исечоци за нивно последователно пренесување на оддалечен сервер;
• наведете ги сите паметни картички што се присутни во системот;
• интеракција со оддалечен C&C сервер.

Модулот за малициозен софтвер, кој е одговорен за извршување на сите овие задачи, е шифрирана DLL библиотека. Тој е дешифриран и вчитан во меморија за време на извршувањето на Punto. За извршување на горенаведените задачи, извршниот код DLL започнува со три нишки.

Фактот што напаѓачите го избраа софтверот Punto за нивните цели не е изненадување: некои руски форуми отворено обезбедуваат детални информации за теми како што е употребата на недостатоци во легитимниот софтвер за компромитирање на корисниците.

Злонамерната библиотека го користи алгоритмот RC4 за шифрирање на нејзините низи, како и за време на мрежните интеракции со серверот C&C. Тој го контактира серверот на секои две минути и таму ги пренесува сите податоци што биле собрани на компромитираниот систем во овој временски период.

Ориз. 10. Фрагмент од мрежната интеракција помеѓу ботот и серверот.

Подолу се дадени некои од инструкциите за C&C серверот што библиотеката може да ги прими.

Како одговор на добивањето инструкции од серверот C&C, малициозниот софтвер одговара со статусен код. Интересно е да се забележи дека сите банкарски модули што ги анализиравме (последниот со датум на компилација на 18 јануари) ја содржат низата „TEST_BOTNET“, која се испраќа во секоја порака до серверот за C&C.

Заклучок

За да ги компромитираат корпоративните корисници, напаѓачите во првата фаза компромитираат еден вработен во компанијата со испраќање порака за фишинг со експлоатација. Следно, штом ќе се инсталира малициозниот софтвер на системот, тие ќе користат софтверски алатки кои ќе им помогнат значително да го прошират својот авторитет врз системот и да извршуваат дополнителни задачи на него: компромитирање други компјутери на корпоративната мрежа и шпионирање на корисникот, како и банкарските трансакции што ги врши.

Извор: www.habr.com