ESET: OceanLotus സൈബർ ഗ്രൂപ്പിനായുള്ള പുതിയ ബാക്ക്‌ഡോർ ഡെലിവറി സ്കീമുകൾ

സൈബർ ഗ്രൂപ്പായ ഓഷ്യൻ ലോട്ടസ് (APT32, APT-C-00) അടുത്തിടെ പൊതുവായി ലഭ്യമായ ചൂഷണങ്ങളിൽ ഒന്ന് എങ്ങനെ ഉപയോഗിച്ചുവെന്ന് ഈ പോസ്റ്റിൽ ഞങ്ങൾ നിങ്ങളോട് പറയും. CVE-2017-11882, മൈക്രോസോഫ്റ്റ് ഓഫീസിലെ മെമ്മറി കറപ്ഷൻ കേടുപാടുകൾ, ഒരു തുമ്പും അവശേഷിപ്പിക്കാതെ ഗ്രൂപ്പിന്റെ ക്ഷുദ്രവെയർ എങ്ങനെയാണ് വിട്ടുവീഴ്ച ചെയ്യപ്പെട്ട സിസ്റ്റങ്ങളിൽ സ്ഥിരത കൈവരിക്കുന്നത്. അടുത്തതായി, 2019-ന്റെ തുടക്കം മുതൽ, കോഡ് പ്രവർത്തിപ്പിക്കുന്നതിന് ഗ്രൂപ്പ് എങ്ങനെയാണ് സ്വയം-എക്‌സ്‌ട്രാക്റ്റിംഗ് ആർക്കൈവുകൾ ഉപയോഗിക്കുന്നത് എന്ന് ഞങ്ങൾ വിവരിക്കും.

ഓഷ്യൻ ലോട്ടസ് സൈബർ ചാരവൃത്തിയിൽ വൈദഗ്ദ്ധ്യം നേടിയിട്ടുണ്ട്, തെക്കുകിഴക്കൻ ഏഷ്യയിലെ രാജ്യങ്ങൾക്കാണ് മുൻഗണന. ഒരു പിൻവാതിൽ നിർവഹിക്കാൻ അവരെ ബോധ്യപ്പെടുത്തുന്നതിനായി ആക്രമണകാരികൾ ഇരകളുടെ ശ്രദ്ധ ആകർഷിക്കുന്ന വ്യാജ രേഖകൾ ഉണ്ടാക്കുന്നു, കൂടാതെ ഉപകരണങ്ങൾ വികസിപ്പിക്കുന്നതിലും പ്രവർത്തിക്കുന്നു. "ഡബിൾ-എക്‌സ്‌റ്റൻഷൻ" ഫയലുകൾ, സെൽഫ് എക്‌സ്‌ട്രാക്റ്റിംഗ് ആർക്കൈവുകൾ, മാക്രോകളുള്ള ഡോക്യുമെന്റുകൾ, അറിയപ്പെടുന്ന ചൂഷണങ്ങൾ വരെ ഹണിപോട്ടുകൾ സൃഷ്ടിക്കാൻ ഉപയോഗിക്കുന്ന രീതികൾ ആക്രമണങ്ങളിൽ വ്യത്യസ്തമാണ്.

മൈക്രോസോഫ്റ്റ് ഇക്വേഷൻ എഡിറ്ററിൽ ഒരു ചൂഷണം ഉപയോഗിക്കുന്നു

2018-ന്റെ മധ്യത്തിൽ, OceanLotus CVE-2017-11882 അപകടസാധ്യത മുതലെടുത്ത് ഒരു കാമ്പെയ്‌ൻ നടത്തി. സൈബർ ഗ്രൂപ്പിന്റെ ക്ഷുദ്രകരമായ രേഖകളിലൊന്ന് 360 ത്രെറ്റ് ഇന്റലിജൻസ് സെന്ററിൽ നിന്നുള്ള വിദഗ്ധർ വിശകലനം ചെയ്തു (ചൈനീസ് ഭാഷയിൽ ഗവേഷണം), ചൂഷണത്തിന്റെ വിശദമായ വിവരണം ഉൾപ്പെടെ. താഴെയുള്ള പോസ്റ്റിൽ അത്തരം ഒരു ക്ഷുദ്ര രേഖയുടെ ഒരു അവലോകനം അടങ്ങിയിരിക്കുന്നു.

ആദ്യ ഘട്ടം

പ്രമാണം FW Report on demonstration of former CNRP in Republic of Korea.doc (SHA-1: D1357B284C951470066AAA7A8228190B88A5C7C3) മുകളിലെ പഠനത്തിൽ സൂചിപ്പിച്ചതിന് സമാനമാണ്. ഇത് രസകരമാണ്, കാരണം ഇത് കംബോഡിയൻ രാഷ്ട്രീയത്തിൽ താൽപ്പര്യമുള്ള ഉപയോക്താക്കളെ ലക്ഷ്യം വച്ചുള്ളതാണ് (CNRP - കംബോഡിയ നാഷണൽ റെസ്ക്യൂ പാർട്ടി, 2017 അവസാനത്തോടെ പിരിച്ചുവിട്ടത്). .doc എക്സ്റ്റൻഷൻ ഉണ്ടായിരുന്നിട്ടും, ഡോക്യുമെന്റ് RTF ഫോർമാറ്റിലാണ് (ചുവടെയുള്ള ചിത്രം കാണുക), മാലിന്യ കോഡ് അടങ്ങിയിരിക്കുന്നു, കൂടാതെ വികൃതവുമാണ്.

ചിത്രം 1. RTF ലെ "ഗാർബേജ്"

വികലമായ ഘടകങ്ങൾ ഉണ്ടെങ്കിലും, Word ഈ RTF ഫയൽ വിജയകരമായി തുറക്കുന്നു. നിങ്ങൾക്ക് ചിത്രം 2-ൽ കാണാൻ കഴിയുന്നതുപോലെ, 0xC00 ഓഫ്‌സെറ്റിൽ ഒരു EQNOLEFILEHDR ഘടനയുണ്ട്, തുടർന്ന് ഒരു MTEF തലക്കെട്ടും തുടർന്ന് ഫോണ്ടിനായി ഒരു MTEF എൻട്രിയും (ചിത്രം 3) ഉണ്ട്.

ചിത്രം 2. ഫോണ്ട് എൻട്രി മൂല്യങ്ങൾ

ചിത്രം 3. ഫോണ്ട് റെക്കോർഡിംഗ് ഫോർമാറ്റ്

വയലിൽ കവിഞ്ഞൊഴുകാൻ സാധ്യതയുണ്ട് പേര്, പകർത്തുന്നതിന് മുമ്പ് അതിന്റെ വലിപ്പം പരിശോധിച്ചിട്ടില്ലാത്തതിനാൽ. വളരെ ദൈർഘ്യമേറിയ ഒരു പേര് ഒരു അപകടസാധ്യത ഉണ്ടാക്കുന്നു. RTF ഫയലിന്റെ ഉള്ളടക്കത്തിൽ നിന്ന് നിങ്ങൾക്ക് കാണാനാകുന്നതുപോലെ (ചിത്രം 0-ൽ 26xC2 ഓഫ്‌സെറ്റ് ചെയ്യുക), ബഫർ ഷെൽകോഡ് കൊണ്ട് നിറഞ്ഞിരിക്കുന്നു, തുടർന്ന് ഒരു ഡമ്മി കമാൻഡ് (0x90) കൂടാതെ വിലാസം തിരികെ നൽകുക 0x402114. വിലാസം ഒരു ഡയലോഗ് ഘടകമാണ് EQNEDT32.exe, നിർദ്ദേശങ്ങൾ സൂചിപ്പിക്കുന്നു RET. ഇത് ഫീൽഡിന്റെ ആരംഭത്തിലേക്ക് ഇഐപിയെ ചൂണ്ടിക്കാണിക്കുന്നു പേര്ഷെൽകോഡ് അടങ്ങിയിരിക്കുന്നു.

ചിത്രം 4. എക്സ്പ്ലോയിറ്റ് ഷെൽകോഡിന്റെ തുടക്കം

വിലാസം 0x45BD3C നിലവിൽ ലോഡ് ചെയ്‌തിരിക്കുന്ന ഘടനയിലേക്ക് ഒരു പോയിന്ററിൽ എത്തുന്നതുവരെ dereference ചെയ്ത ഒരു വേരിയബിൾ സംഭരിക്കുന്നു MTEFData. ബാക്കിയുള്ള ഷെൽകോഡ് ഇവിടെയുണ്ട്.

ഓപ്പൺ ഡോക്യുമെന്റിൽ ഉൾച്ചേർത്ത ഷെൽകോഡിന്റെ രണ്ടാമത്തെ ഭാഗം എക്സിക്യൂട്ട് ചെയ്യുക എന്നതാണ് ഷെൽകോഡിന്റെ ലക്ഷ്യം. യഥാർത്ഥ ഷെൽകോഡ് ആദ്യം എല്ലാ സിസ്റ്റം ഡിസ്ക്രിപ്റ്ററുകളിലും ആവർത്തിച്ച് ഓപ്പൺ ഡോക്യുമെന്റിന്റെ ഫയൽ ഡിസ്ക്രിപ്റ്റർ കണ്ടെത്താൻ ശ്രമിക്കുന്നു (NtQuerySystemInformation ഒരു വാദവുമായി SystemExtendedHandleInformation) അവ പൊരുത്തപ്പെടുന്നുണ്ടോയെന്ന് പരിശോധിക്കുന്നു PID ഡിസ്ക്രിപ്റ്റർ ഒപ്പം PID പ്രക്രിയ WinWord ആക്സസ് മാസ്ക് ഉപയോഗിച്ചാണോ ഡോക്യുമെന്റ് തുറന്നത് - 0x12019F.

ശരിയായ ഹാൻഡിൽ കണ്ടെത്തിയെന്ന് സ്ഥിരീകരിക്കുന്നതിന് (മറ്റൊരു ഓപ്പൺ ഡോക്യുമെന്റിലേക്കുള്ള ഹാൻഡിലല്ല), ഫംഗ്ഷൻ ഉപയോഗിച്ച് ഫയലിന്റെ ഉള്ളടക്കങ്ങൾ പ്രദർശിപ്പിക്കും CreateFileMapping, കൂടാതെ ഡോക്യുമെന്റിന്റെ അവസാന നാല് ബൈറ്റുകൾ പൊരുത്തപ്പെടുന്നുണ്ടോ എന്ന് ഷെൽകോഡ് പരിശോധിക്കുന്നു "yyyy"(മുട്ട വേട്ട രീതി). ഒരു പൊരുത്തം കണ്ടെത്തിക്കഴിഞ്ഞാൽ, പ്രമാണം ഒരു താൽക്കാലിക ഫോൾഡറിലേക്ക് പകർത്തുന്നു (GetTempPath) എങ്ങനെ ole.dll. തുടർന്ന് പ്രമാണത്തിന്റെ അവസാന 12 ബൈറ്റുകൾ വായിക്കുന്നു.

ചിത്രം 5. ഡോക്യുമെന്റ് മാർക്കറുകളുടെ അവസാനം

മാർക്കറുകൾക്കിടയിൽ 32-ബിറ്റ് മൂല്യം AABBCCDD и yyyy അടുത്ത ഷെൽകോഡിന്റെ ഓഫ്സെറ്റ് ആണ്. ഫംഗ്ഷൻ ഉപയോഗിച്ച് ഇതിനെ വിളിക്കുന്നു CreateThread. മുമ്പ് ഓഷ്യൻ ലോട്ടസ് ഗ്രൂപ്പ് ഉപയോഗിച്ചിരുന്ന അതേ ഷെൽകോഡ് എക്‌സ്‌ട്രാക്‌റ്റ് ചെയ്‌തു. പൈത്തൺ എമുലേഷൻ സ്ക്രിപ്റ്റ്, 2018 മാർച്ചിൽ ഞങ്ങൾ പുറത്തിറക്കിയ, രണ്ടാം ഘട്ട ഡമ്പിനായി ഇപ്പോഴും പ്രവർത്തിക്കുന്നു.

രണ്ടാം ഘട്ടം

ഘടകങ്ങൾ നീക്കംചെയ്യുന്നു

ഫയലിന്റെയും ഡയറക്ടറിയുടെയും പേരുകൾ ചലനാത്മകമായി തിരഞ്ഞെടുത്തു. കോഡ് ക്രമരഹിതമായി എക്സിക്യൂട്ടബിൾ അല്ലെങ്കിൽ DLL ഫയലിന്റെ പേര് തിരഞ്ഞെടുക്കുന്നു C:Windowssystem32. അത് അതിന്റെ ഉറവിടങ്ങളിലേക്ക് ഒരു അഭ്യർത്ഥന നടത്തുകയും ഫീൽഡ് വീണ്ടെടുക്കുകയും ചെയ്യുന്നു FileDescription ഫോൾഡർ നാമമായി ഉപയോഗിക്കാൻ. ഇത് പ്രവർത്തിക്കുന്നില്ലെങ്കിൽ, ഡയറക്‌ടറികളിൽ നിന്ന് കോഡ് ക്രമരഹിതമായി ഒരു ഫോൾഡറിന്റെ പേര് തിരഞ്ഞെടുക്കുന്നു %ProgramFiles% അഥവാ C:Windows (GetWindowsDirectoryW-ൽ നിന്ന്). നിലവിലുള്ള ഫയലുകളുമായി വൈരുദ്ധ്യമുള്ള ഒരു പേര് ഉപയോഗിക്കുന്നത് ഒഴിവാക്കുകയും അതിൽ ഇനിപ്പറയുന്ന വാക്കുകൾ അടങ്ങിയിട്ടില്ലെന്ന് ഉറപ്പാക്കുകയും ചെയ്യുന്നു: windows, Microsoft, desktop, system, system32 അഥവാ syswow64. ഡയറക്‌ടറി നിലവിലുണ്ടെങ്കിൽ, പേരിനൊപ്പം "NLS_{6 പ്രതീകങ്ങൾ}" ചേർക്കും.

വിഭവം 0x102 വിശകലനം ചെയ്യുകയും ഫയലുകൾ വലിച്ചെറിയുകയും ചെയ്യുന്നു %ProgramFiles% അഥവാ %AppData%, ക്രമരഹിതമായി തിരഞ്ഞെടുത്ത ഒരു ഫോൾഡറിലേക്ക്. അതേ മൂല്യങ്ങളുള്ള സൃഷ്ടി സമയം മാറ്റി kernel32.dll.

ഉദാഹരണത്തിന്, എക്സിക്യൂട്ടബിൾ തിരഞ്ഞെടുത്ത് സൃഷ്ടിച്ച ഫയലുകളുടെ ഫോൾഡറും ലിസ്റ്റും ഇതാ C:Windowssystem32TCPSVCS.exe ഒരു ഡാറ്റ ഉറവിടമായി.

ചിത്രം 6. വിവിധ ഘടകങ്ങൾ വേർതിരിച്ചെടുക്കുന്നു

വിഭവ ഘടന 0x102 ഒരു ഡ്രോപ്പറിൽ വളരെ സങ്കീർണ്ണമാണ്. ചുരുക്കത്തിൽ, അതിൽ അടങ്ങിയിരിക്കുന്നു:
- ഫയൽ നാമങ്ങൾ
- ഫയൽ വലുപ്പവും ഉള്ളടക്കവും
- കംപ്രഷൻ ഫോർമാറ്റ് (COMPRESSION_FORMAT_LZNT1, ഫംഗ്ഷൻ ഉപയോഗിച്ചു RtlDecompressBuffer)

ആദ്യ ഫയൽ ഇതായി പുനഃസജ്ജീകരിച്ചിരിക്കുന്നു TCPSVCS.exe, ഏത് നിയമാനുസൃതമാണ് AcroTranscoder.exe (ഇതനുസരിച്ച് FileDescription, SHA-1: 2896738693A8F36CC7AD83EF1FA46F82F32BE5A3).

ചില DLL ഫയലുകൾ 11 MB-യേക്കാൾ വലുതാണെന്ന് നിങ്ങൾ ശ്രദ്ധിച്ചിരിക്കാം. കാരണം, എക്സിക്യൂട്ടബിൾ ഫയലിനുള്ളിൽ ക്രമരഹിതമായ ഡാറ്റയുടെ ഒരു വലിയ ബഫർ സ്ഥാപിച്ചിരിക്കുന്നു. ചില സുരക്ഷാ ഉൽപ്പന്നങ്ങൾ കണ്ടെത്തുന്നത് ഒഴിവാക്കാനുള്ള ഒരു മാർഗമാണിത്.

സ്ഥിരോത്സാഹം ഉറപ്പാക്കുന്നു

വിഭവം 0x101 ഡ്രോപ്പറിൽ രണ്ട് 32-ബിറ്റ് പൂർണ്ണസംഖ്യകൾ അടങ്ങിയിരിക്കുന്നു, അത് എങ്ങനെ പെർസിസ്റ്റൻസ് നൽകണമെന്ന് വ്യക്തമാക്കുന്നു. അഡ്മിനിസ്ട്രേറ്റർ അവകാശങ്ങളില്ലാതെ ക്ഷുദ്രവെയർ എങ്ങനെ നിലനിൽക്കുമെന്ന് ആദ്യത്തേതിന്റെ മൂല്യം വ്യക്തമാക്കുന്നു.

പട്ടിക 1. അഡ്മിനിസ്ട്രേറ്റർ അവകാശങ്ങളില്ലാതെ പെർസിസ്റ്റൻസ് മെക്കാനിസം

അഡ്മിനിസ്ട്രേറ്റർ അവകാശങ്ങൾക്കൊപ്പം പ്രവർത്തിക്കുമ്പോൾ ക്ഷുദ്രവെയർ എങ്ങനെ സ്ഥിരത കൈവരിക്കണമെന്ന് രണ്ടാമത്തെ പൂർണ്ണസംഖ്യയുടെ മൂല്യം വ്യക്തമാക്കുന്നു.

പട്ടിക 2. അഡ്മിനിസ്ട്രേറ്റർ അവകാശങ്ങളുള്ള പെർസിസ്റ്റൻസ് മെക്കാനിസം

വിപുലീകരണമില്ലാത്ത ഫയലിന്റെ പേരാണ് സേവന നാമം; ഡിസ്പ്ലേ നാമം ഫോൾഡറിന്റെ പേരാണ്, പക്ഷേ അത് ഇതിനകം നിലവിലുണ്ടെങ്കിൽ, "" എന്ന സ്ട്രിംഗ് അതിൽ ചേർത്തിരിക്കുന്നു.Revision 1” (ഉപയോഗിക്കാത്ത പേര് കണ്ടെത്തുന്നതുവരെ എണ്ണം വർദ്ധിക്കും). സേവനത്തിലൂടെയുള്ള സ്ഥിരോത്സാഹം ശക്തമാണെന്ന് ഓപ്പറേറ്റർമാർ ഉറപ്പുവരുത്തി - പരാജയപ്പെടുകയാണെങ്കിൽ, 1 സെക്കൻഡിന് ശേഷം സേവനം പുനരാരംഭിക്കണം. അപ്പോൾ മൂല്യം WOW64 പുതിയ സേവനത്തിന്റെ രജിസ്ട്രി കീ 4 ആയി സജ്ജീകരിച്ചിരിക്കുന്നു, ഇത് ഒരു 32-ബിറ്റ് സേവനമാണെന്ന് സൂചിപ്പിക്കുന്നു.

നിരവധി COM ഇന്റർഫേസുകളിലൂടെ ഒരു ഷെഡ്യൂൾ ചെയ്ത ടാസ്‌ക് സൃഷ്‌ടിക്കുന്നു: ITaskScheduler, ITask, ITaskTrigger, IPersistFile и ITaskScheduler. അടിസ്ഥാനപരമായി, ക്ഷുദ്രവെയർ ഒരു മറഞ്ഞിരിക്കുന്ന ടാസ്‌ക് സൃഷ്‌ടിക്കുന്നു, നിലവിലെ ഉപയോക്താവിന്റെയോ അഡ്മിനിസ്ട്രേറ്ററുടെയോ വിവരങ്ങളോടൊപ്പം അക്കൗണ്ട് വിവരങ്ങളും സജ്ജീകരിക്കുകയും തുടർന്ന് ട്രിഗർ സജ്ജമാക്കുകയും ചെയ്യുന്നു.

24 മണിക്കൂർ ദൈർഘ്യവും 10 മിനിറ്റ് ദൈർഘ്യമുള്ള രണ്ട് നിർവ്വഹണങ്ങൾക്കിടയിലുള്ള ഇടവേളകളുമുള്ള ദൈനംദിന ജോലിയാണിത്, അതായത് ഇത് തുടർച്ചയായി പ്രവർത്തിക്കും.

ക്ഷുദ്രകരമായ ബിറ്റ്

ഞങ്ങളുടെ ഉദാഹരണത്തിൽ, എക്സിക്യൂട്ടബിൾ ഫയൽ TCPSVCS.exe (AcroTranscoder.exe) അതോടൊപ്പം റീസെറ്റ് ചെയ്ത DLL-കൾ ലോഡ് ചെയ്യുന്ന നിയമാനുസൃത സോഫ്‌റ്റ്‌വെയറാണ്. ഈ സാഹചര്യത്തിൽ, അത് താൽപ്പര്യമുള്ളതാണ് Flash Video Extension.dll.

അതിന്റെ പ്രവർത്തനം DLLMain മറ്റൊരു ഫംഗ്‌ഷൻ വിളിക്കുന്നു. ചില അവ്യക്തമായ പ്രവചനങ്ങൾ നിലവിലുണ്ട്:

ചിത്രം 7. ഫസി പ്രവചനങ്ങൾ

തെറ്റിദ്ധരിപ്പിക്കുന്ന ഈ പരിശോധനകൾക്ക് ശേഷം, കോഡിന് ഒരു വിഭാഗം ലഭിക്കുന്നു .text ഫയൽ TCPSVCS.exe, അതിന്റെ പ്രതിരോധം മാറ്റുന്നു PAGE_EXECUTE_READWRITE ഡമ്മി നിർദ്ദേശങ്ങൾ ചേർത്ത് അത് വീണ്ടും എഴുതുന്നു:

ചിത്രം 8. നിർദ്ദേശങ്ങളുടെ ക്രമം

ഫംഗ്ഷൻ വിലാസത്തിലേക്ക് അവസാനം FLVCore::Uninitialize(void), കയറ്റുമതി ചെയ്തു Flash Video Extension.dll, നിർദ്ദേശം ചേർത്തു CALL. ക്ഷുദ്രകരമായ DLL ലോഡുചെയ്‌തതിനുശേഷം, റൺടൈം വിളിക്കുമ്പോൾ എന്നാണ് ഇതിനർത്ഥം WinMain в TCPSVCS.exe, ഇൻസ്ട്രക്ഷൻ പോയിന്റർ NOP ലേക്ക് ചൂണ്ടിക്കാണിക്കുന്നു, കാരണമാകും FLVCore::Uninitialize(void), അടുത്ത ഘട്ടം.

ഫംഗ്ഷൻ ലളിതമായി ആരംഭിക്കുന്ന ഒരു മ്യൂട്ടക്സ് സൃഷ്ടിക്കുന്നു {181C8480-A975-411C-AB0A-630DB8B0A221}തുടർന്ന് നിലവിലെ ഉപയോക്തൃനാമം. അത് പിന്നീട് പൊസിഷൻ-ഇൻഡിപെൻഡന്റ് കോഡ് അടങ്ങുന്ന ഡംപ് ചെയ്ത *.db3 ഫയൽ വായിക്കുകയും ഉപയോഗിക്കുകയും ചെയ്യുന്നു CreateThread ഉള്ളടക്കം നടപ്പിലാക്കാൻ.

*.db3 ഫയലിലെ ഉള്ളടക്കങ്ങൾ OceanLotus ഗ്രൂപ്പ് സാധാരണയായി ഉപയോഗിക്കുന്ന ഷെൽകോഡാണ്. ഞങ്ങൾ പ്രസിദ്ധീകരിച്ച എമുലേറ്റർ സ്ക്രിപ്റ്റ് ഉപയോഗിച്ച് അതിന്റെ പേലോഡ് ഞങ്ങൾ വീണ്ടും വിജയകരമായി അൺപാക്ക് ചെയ്തു GitHub-ൽ.

സ്ക്രിപ്റ്റ് അവസാന ഘട്ടം എക്സ്ട്രാക്റ്റ് ചെയ്യുന്നു. ഈ ഘടകം ഞങ്ങൾ ഇതിനകം വിശകലനം ചെയ്ത ഒരു പിൻവാതിലാണ് മുമ്പത്തെ ഓഷ്യൻ ലോട്ടസ് പഠനം. ഇത് GUID വഴി നിർണ്ണയിക്കാനാകും {A96B020F-0000-466F-A96D-A91BBF8EAC96} ബൈനറി ഫയൽ. ക്ഷുദ്രവെയർ കോൺഫിഗറേഷൻ ഇപ്പോഴും PE റിസോഴ്സിൽ എൻക്രിപ്റ്റ് ചെയ്തിരിക്കുന്നു. ഇതിന് ഏകദേശം ഒരേ കോൺഫിഗറേഷൻ ഉണ്ട്, എന്നാൽ C&C സെർവറുകൾ മുമ്പത്തേതിൽ നിന്ന് വ്യത്യസ്തമാണ്:

- andreagahuvrauvin[.]com
- byronorenstein[.]com
- stienollmache[.]xyz

കണ്ടെത്തൽ ഒഴിവാക്കാൻ OceanLotus ടീം വീണ്ടും വ്യത്യസ്ത സാങ്കേതിക വിദ്യകളുടെ സംയോജനം കാണിക്കുന്നു. അണുബാധ പ്രക്രിയയുടെ ഒരു "ശുദ്ധീകരിച്ച" ഡയഗ്രം ഉപയോഗിച്ച് അവർ മടങ്ങി. ക്രമരഹിതമായ പേരുകൾ തിരഞ്ഞെടുക്കുന്നതിലൂടെയും എക്സിക്യൂട്ടബിളുകൾ റാൻഡം ഡാറ്റ ഉപയോഗിച്ച് പൂരിപ്പിക്കുന്നതിലൂടെയും, അവ വിശ്വസനീയമായ IoC-കളുടെ എണ്ണം കുറയ്ക്കുന്നു (ഹാഷുകളുടെയും ഫയൽ നാമങ്ങളുടെയും അടിസ്ഥാനത്തിൽ). മാത്രമല്ല, മൂന്നാം കക്ഷി DLL ലോഡിംഗ് ഉപയോഗത്തിന് നന്ദി, ആക്രമണകാരികൾക്ക് നിയമാനുസൃതമായ ബൈനറി നീക്കം ചെയ്യേണ്ടതുണ്ട്. AcroTranscoder.

സ്വയം വേർതിരിച്ചെടുക്കുന്ന ആർക്കൈവുകൾ

RTF ഫയലുകൾക്ക് ശേഷം, ഉപയോക്താവിനെ കൂടുതൽ ആശയക്കുഴപ്പത്തിലാക്കാൻ സാധാരണ ഡോക്യുമെന്റ് ഐക്കണുകളുള്ള സ്വയം-എക്‌സ്‌ട്രാക്റ്റിംഗ് (SFX) ആർക്കൈവുകളിലേക്ക് ഗ്രൂപ്പ് നീങ്ങി. ഭീഷണി പുസ്തകം ഇതിനെക്കുറിച്ച് എഴുതി (ചൈനീസ് ഭാഷയിൽ ലിങ്ക്). സമാരംഭിക്കുമ്പോൾ, സ്വയം-എക്‌സ്‌ട്രാക്റ്റുചെയ്യുന്ന RAR ഫയലുകൾ ഉപേക്ഷിക്കപ്പെടുകയും .ocx വിപുലീകരണമുള്ള DLL-കൾ എക്‌സിക്യൂട്ട് ചെയ്യുകയും ചെയ്യുന്നു, ഇതിന്റെ അവസാന പേലോഡ് മുമ്പ് രേഖപ്പെടുത്തിയിട്ടുണ്ട്. {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll. 2019 ജനുവരി പകുതി മുതൽ, OceanLotus ഈ സാങ്കേതികവിദ്യ വീണ്ടും ഉപയോഗിക്കുന്നുണ്ട്, എന്നാൽ കാലക്രമേണ ചില കോൺഫിഗറേഷനുകൾ മാറ്റുന്നു. ഈ വിഭാഗത്തിൽ നമ്മൾ സാങ്കേതികതയെക്കുറിച്ചും മാറ്റങ്ങളെക്കുറിച്ചും സംസാരിക്കും.

ഒരു മോഹം സൃഷ്ടിക്കുന്നു

പ്രമാണം THICH-THONG-LAC-HANH-THAP-THIEN-VIET-NAM (1).EXE (SHA-1: AC10F5B1D5ECAB22B7B418D6E98FA18E32BBDEAB2018 ലാണ് ആദ്യമായി കണ്ടെത്തിയത്. ഈ SFX ഫയൽ ബുദ്ധിപൂർവ്വം സൃഷ്ടിച്ചതാണ് - വിവരണത്തിൽ (പതിപ്പ് വിവരം) ഇതൊരു JPEG ചിത്രമാണെന്ന് പറയുന്നു. SFX സ്ക്രിപ്റ്റ് ഇതുപോലെ കാണപ്പെടുന്നു:

ചിത്രം 9. SFX കമാൻഡുകൾ

ക്ഷുദ്രവെയർ റീസെറ്റ് ചെയ്യുന്നു {9ec60ada-a200-4159-b310-8071892ed0c3}.ocx (SHA-1: EFAC23B0E6395B1178BCF7086F72344B24C04DCC), അതുപോലെ ഒരു ചിത്രം 2018 thich thong lac.jpg.

വഞ്ചന ചിത്രം ഇതുപോലെ കാണപ്പെടുന്നു:

ചിത്രം 10. ഡെക്കോയ് ഇമേജ്

SFX സ്ക്രിപ്റ്റിലെ ആദ്യ രണ്ട് വരികൾ OCX ഫയലിനെ രണ്ടുതവണ വിളിക്കുന്നത് നിങ്ങൾ ശ്രദ്ധിച്ചിരിക്കാം, പക്ഷേ ഇത് ഒരു പിശകല്ല.

{9ec60ada-a200-4159-b310-8071892ed0c3}.ocx (ShLd.dll)

ഒരു OCX ഫയലിന്റെ നിയന്ത്രണ പ്രവാഹം മറ്റ് OceanLotus ഘടകങ്ങളുമായി വളരെ സാമ്യമുള്ളതാണ് - നിരവധി കമാൻഡ് സീക്വൻസുകൾ JZ/JNZ и PUSH/RET, ഗാർബേജ് കോഡ് ഉപയോഗിച്ച് മാറിമാറി.

ചിത്രം 11. അവ്യക്തമായ കോഡ്

ജങ്ക് കോഡ് ഫിൽട്ടർ ചെയ്ത ശേഷം, കയറ്റുമതി ചെയ്യുക DllRegisterServer, വിളിച്ചു regsvr32.exe, ഇനിപ്പറയുന്ന രീതിയിൽ:

ചിത്രം 12. അടിസ്ഥാന ഇൻസ്റ്റാളർ കോഡ്

അടിസ്ഥാനപരമായി, ആദ്യ കോളിൽ DllRegisterServer കയറ്റുമതി സെറ്റ് രജിസ്ട്രി മൂല്യം HKCUSOFTWAREClassesCLSID{E08A0F4B-1F65-4D4D-9A09-BD4625B9C5A1}Model DLL-ൽ എൻക്രിപ്റ്റ് ചെയ്ത ഓഫ്സെറ്റിനായി (0x10001DE0).

ഫംഗ്‌ഷനെ രണ്ടാം തവണ വിളിക്കുമ്പോൾ, അത് അതേ മൂല്യം വായിക്കുകയും ആ വിലാസത്തിൽ എക്‌സിക്യൂട്ട് ചെയ്യുകയും ചെയ്യുന്നു. ഇവിടെ നിന്ന് റിസോഴ്‌സും റാമിലെ നിരവധി പ്രവർത്തനങ്ങളും വായിക്കുകയും നടപ്പിലാക്കുകയും ചെയ്യുന്നു.

മുൻ ഓഷ്യൻ ലോട്ടസ് കാമ്പെയ്‌നുകളിൽ ഉപയോഗിച്ച അതേ PE ലോഡറാണ് ഷെൽകോഡ്. ഇത് ഉപയോഗിച്ച് അനുകരിക്കാവുന്നതാണ് ഞങ്ങളുടെ സ്ക്രിപ്റ്റ്. അവസാനം അവൻ റീസെറ്റ് ചെയ്യുന്നു db293b825dcc419ba7dc2c49fa2757ee.dll, അത് മെമ്മറിയിലേക്ക് ലോഡ് ചെയ്യുകയും എക്സിക്യൂട്ട് ചെയ്യുകയും ചെയ്യുന്നു DllEntry.

DLL അതിന്റെ റിസോഴ്സിന്റെ ഉള്ളടക്കങ്ങൾ എക്‌സ്‌ട്രാക്‌റ്റ് ചെയ്യുകയും ഡീക്രിപ്റ്റ് ചെയ്യുകയും (AES-256-CBC) ഡീകംപ്രസ് ചെയ്യുകയും (LZMA) ചെയ്യുകയും ചെയ്യുന്നു. റിസോഴ്സിന് ഡീകംപൈൽ ചെയ്യാൻ എളുപ്പമുള്ള ഒരു പ്രത്യേക ഫോർമാറ്റ് ഉണ്ട്.

ചിത്രം 13. ഇൻസ്റ്റാളർ കോൺഫിഗറേഷൻ ഘടന (KaitaiStruct Visualizer)

കോൺഫിഗറേഷൻ വ്യക്തമായി വ്യക്തമാക്കിയിട്ടുണ്ട് - പ്രിവിലേജ് ലെവൽ അനുസരിച്ച്, ബൈനറി ഡാറ്റ എഴുതപ്പെടും %appdata%IntellogsBackgroundUploadTask.cpl അഥവാ %windir%System32BackgroundUploadTask.cpl (അല്ലെങ്കിൽ SysWOW64 64-ബിറ്റ് സിസ്റ്റങ്ങൾക്ക്).

പേര് ഉപയോഗിച്ച് ഒരു ടാസ്‌ക് സൃഷ്‌ടിക്കുന്നതിലൂടെ കൂടുതൽ സ്ഥിരത ഉറപ്പാക്കുന്നു BackgroundUploadTask[junk].jobഎവിടെ [junk] ഒരു കൂട്ടം ബൈറ്റുകളെ പ്രതിനിധീകരിക്കുന്നു 0x9D и 0xA0.

ടാസ്ക് അപേക്ഷയുടെ പേര് %windir%System32control.exe, കൂടാതെ ഡൗൺലോഡ് ചെയ്ത ബൈനറി ഫയലിലേക്കുള്ള പാതയാണ് പാരാമീറ്റർ മൂല്യം. മറഞ്ഞിരിക്കുന്ന ചുമതല എല്ലാ ദിവസവും പ്രവർത്തിക്കുന്നു.

ഘടനാപരമായി, ഒരു ആന്തരിക നാമമുള്ള ഒരു DLL ആണ് CPL ഫയൽ ac8e06de0a6c4483af9837d96504127e.dll, ഒരു ഫംഗ്ഷൻ കയറ്റുമതി ചെയ്യുന്നു CPlApplet. ഈ ഫയൽ അതിന്റെ ഏക ഉറവിടം ഡീക്രിപ്റ്റ് ചെയ്യുന്നു {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll, തുടർന്ന് ഈ DLL ലോഡ് ചെയ്യുകയും അതിന്റെ ഏക കയറ്റുമതി എന്ന് വിളിക്കുകയും ചെയ്യുന്നു DllEntry.

ബാക്ക്ഡോർ കോൺഫിഗറേഷൻ ഫയൽ

ബാക്ക്‌ഡോർ കോൺഫിഗറേഷൻ എൻക്രിപ്റ്റ് ചെയ്യുകയും അതിന്റെ ഉറവിടങ്ങളിൽ ഉൾച്ചേർക്കുകയും ചെയ്യുന്നു. കോൺഫിഗറേഷൻ ഫയലിന്റെ ഘടന മുമ്പത്തേതിന് സമാനമാണ്.

ചിത്രം 14. ബാക്ക്‌ഡോർ കോൺഫിഗറേഷൻ ഘടന (KaitaiStruct Visualizer)

ഘടന സമാനമാണെങ്കിലും, കാണിച്ചിരിക്കുന്നതിൽ നിന്ന് പല ഫീൽഡ് മൂല്യങ്ങളും അപ്‌ഡേറ്റ് ചെയ്തിട്ടുണ്ട് ഞങ്ങളുടെ പഴയ റിപ്പോർട്ട്.

ബൈനറി അറേയുടെ ആദ്യ മൂലകത്തിൽ ഒരു DLL (HttpProv.dll MD5: 2559738D1BD4A999126F900C7357B759), ടെൻസെന്റ് തിരിച്ചറിഞ്ഞു. എന്നാൽ ബൈനറിയിൽ നിന്ന് കയറ്റുമതി നാമം നീക്കം ചെയ്തതിനാൽ, ഹാഷുകൾ പൊരുത്തപ്പെടുന്നില്ല.

അധിക ഗവേഷണം

സാമ്പിളുകൾ ശേഖരിക്കുമ്പോൾ ചില പ്രത്യേകതകൾ ഞങ്ങൾ ശ്രദ്ധിച്ചു. ഇപ്പോൾ വിവരിച്ച മാതൃക 2018 ജൂലൈയിൽ പ്രത്യക്ഷപ്പെട്ടു, അതുപോലെയുള്ളവ 2019 ജനുവരി പകുതി മുതൽ ഫെബ്രുവരി ആദ്യം വരെ പ്രത്യക്ഷപ്പെട്ടു. SFX ആർക്കൈവ് ഒരു അണുബാധ വെക്‌ടറായി ഉപയോഗിച്ചു, നിയമാനുസൃതമായ ഒരു ഡീകോയ് ഡോക്യുമെന്റും ക്ഷുദ്രകരമായ OSX ഫയലും ഉപേക്ഷിച്ചു.

OceanLotus വ്യാജ ടൈംസ്റ്റാമ്പുകൾ ഉപയോഗിക്കുന്നുണ്ടെങ്കിലും, SFX, OCX ഫയലുകളുടെ ടൈംസ്റ്റാമ്പുകൾ എല്ലായ്പ്പോഴും ഒരുപോലെയാണെന്ന് ഞങ്ങൾ ശ്രദ്ധിച്ചു (0x57B0C36A (08/14/2016 @ 7:15pm UTC) കൂടാതെ 0x498BE80F (02/06/2009 @ 7:34am UTC) യഥാക്രമം). രചയിതാക്കൾക്ക് ഒരേ ടെംപ്ലേറ്റുകൾ ഉപയോഗിക്കുകയും ചില സവിശേഷതകൾ മാറ്റുകയും ചെയ്യുന്ന ഏതെങ്കിലും തരത്തിലുള്ള "ഡിസൈനർ" ഉണ്ടെന്ന് ഇത് സൂചിപ്പിക്കുന്നു.

2018 ന്റെ തുടക്കം മുതൽ ഞങ്ങൾ പഠിച്ച രേഖകളിൽ, ആക്രമണകാരികൾക്ക് താൽപ്പര്യമുള്ള രാജ്യങ്ങളെ സൂചിപ്പിക്കുന്ന വിവിധ പേരുകൾ ഉണ്ട്:

— കംബോഡിയ മീഡിയയുടെ പുതിയ കോൺടാക്റ്റ് വിവരങ്ങൾ (New).xls.exe
— 李建香 (个人简历).exe (ഒരു സിവിയുടെ വ്യാജ പിഡിഎഫ് രേഖ)
— ഫീഡ്‌ബാക്ക്, 28 ജൂലൈ 29-2018 മുതൽ യുഎസ്എയിൽ റാലി.exe

പിൻവാതിൽ കണ്ടെത്തിയതിനാൽ {A96B020F-0000-466F-A96D-A91BBF8EAC96}.dll കൂടാതെ നിരവധി ഗവേഷകർ അതിന്റെ വിശകലനത്തിന്റെ പ്രസിദ്ധീകരണം, ക്ഷുദ്രവെയർ കോൺഫിഗറേഷൻ ഡാറ്റയിൽ ചില മാറ്റങ്ങൾ ഞങ്ങൾ നിരീക്ഷിച്ചു.

ആദ്യം, സഹായി DLL-കളിൽ നിന്ന് രചയിതാക്കൾ പേരുകൾ നീക്കം ചെയ്യാൻ തുടങ്ങി (DNSprov.dll കൂടാതെ രണ്ട് പതിപ്പുകളും HttpProv.dll). ഓപ്പറേറ്റർമാർ മൂന്നാം ഡിഎൽഎൽ (രണ്ടാമത്തെ പതിപ്പ്) പാക്കേജിംഗ് നിർത്തി HttpProv.dll), ഒരെണ്ണം മാത്രം ഉൾപ്പെടുത്താൻ തിരഞ്ഞെടുക്കുന്നു.

രണ്ടാമതായി, നിരവധി ബാക്ക്‌ഡോർ കോൺഫിഗറേഷൻ ഫീൽഡുകൾ മാറ്റി, നിരവധി ഐഒസികൾ ലഭ്യമായതിനാൽ കണ്ടെത്തലിൽ നിന്ന് രക്ഷപ്പെടാൻ സാധ്യതയുണ്ട്. രചയിതാക്കൾ പരിഷ്കരിച്ച പ്രധാന ഫീൽഡുകളിൽ ഇവ ഉൾപ്പെടുന്നു:

• AppX രജിസ്ട്രി കീ മാറ്റി (IoCs കാണുക)
• മ്യൂട്ടക്സ് എൻകോഡിംഗ് സ്ട്രിംഗ് ("def", "abc", "ghi")
• പോർട്ട് നമ്പർ

അവസാനമായി, വിശകലനം ചെയ്ത എല്ലാ പുതിയ പതിപ്പുകളിലും IoCs വിഭാഗത്തിൽ പുതിയ C&C-കൾ ലിസ്റ്റ് ചെയ്തിട്ടുണ്ട്.

കണ്ടെത്തലുകൾ

OceanLotus വികസിക്കുന്നത് തുടരുന്നു. ഉപകരണങ്ങളും വഞ്ചനകളും ശുദ്ധീകരിക്കുന്നതിലും വികസിപ്പിക്കുന്നതിലും സൈബർ ഗ്രൂപ്പ് ശ്രദ്ധ കേന്ദ്രീകരിക്കുന്നു. ഉദ്ദേശിച്ച ഇരകൾക്ക് പ്രസക്തമായ വിഷയം ശ്രദ്ധ പിടിച്ചുപറ്റുന്ന രേഖകൾ ഉപയോഗിച്ച് രചയിതാക്കൾ ക്ഷുദ്രകരമായ പേലോഡുകൾ മറയ്ക്കുന്നു. അവർ പുതിയ സ്കീമുകൾ വികസിപ്പിക്കുകയും ഇക്വേഷൻ എഡിറ്റർ ചൂഷണം പോലുള്ള പൊതുവായി ലഭ്യമായ ടൂളുകളും ഉപയോഗിക്കുകയും ചെയ്യുന്നു. മാത്രമല്ല, ഇരകളുടെ മെഷീനുകളിൽ അവശേഷിക്കുന്ന പുരാവസ്തുക്കളുടെ എണ്ണം കുറയ്ക്കുന്നതിനുള്ള ഉപകരണങ്ങൾ അവർ മെച്ചപ്പെടുത്തുന്നു, അതുവഴി ആന്റിവൈറസ് സോഫ്‌റ്റ്‌വെയർ കണ്ടെത്താനുള്ള സാധ്യത കുറയ്ക്കുന്നു.

വിട്ടുവീഴ്ചയുടെ സൂചകങ്ങൾ

വിട്ടുവീഴ്ചയുടെ സൂചകങ്ങളും MITER ATT&CK ആട്രിബ്യൂട്ടുകളും ലഭ്യമാണ് വെലിവ് സെക്യൂരിറ്റിയിൽ и GitHub-ൽ.

അവലംബം: www.habr.com