OceanLotus: macOS-നുള്ള ക്ഷുദ്രവെയർ അപ്‌ഡേറ്റ്

2019 മാർച്ചിൽ, സൈബർ ഗ്രൂപ്പായ OceanLotus-ൽ നിന്നുള്ള MacOS ക്ഷുദ്രവെയറിന്റെ ഒരു പുതിയ സാമ്പിൾ, ജനപ്രിയ ഓൺലൈൻ സ്കാനിംഗ് സേവനമായ VirusTotal-ലേക്ക് അപ്‌ലോഡ് ചെയ്തു. ഞങ്ങൾ പഠിച്ച macOS ക്ഷുദ്രവെയറിന്റെ മുൻ പതിപ്പിന് സമാനമായ കഴിവുകൾ ബാക്ക്‌ഡോർ എക്‌സിക്യൂട്ടബിൾ ഫയലിനുണ്ട്, എന്നാൽ അതിന്റെ ഘടന മാറി, അത് കണ്ടെത്തുന്നത് കൂടുതൽ ബുദ്ധിമുട്ടാണ്. നിർഭാഗ്യവശാൽ, ഈ സാമ്പിളുമായി ബന്ധപ്പെട്ട ഒരു ഡ്രോപ്പർ കണ്ടെത്താൻ ഞങ്ങൾക്ക് കഴിഞ്ഞില്ല, അതിനാൽ അണുബാധ വെക്‌ടറിനെ ഞങ്ങൾക്ക് ഇതുവരെ അറിയില്ല.

ഞങ്ങൾ അടുത്തിടെ പ്രസിദ്ധീകരിച്ചത് ഓഷ്യൻ ലോട്ടസിനെക്കുറിച്ചുള്ള പോസ്റ്റ് വിൻഡോസ് സിസ്റ്റങ്ങളിൽ പെർസിസ്റ്റൻസ് നൽകാനും കോഡ് എക്സിക്യൂഷൻ വേഗത്തിലാക്കാനും ഫൂട്ട്പ്രിന്റ് കുറയ്ക്കാനും ഓപ്പറേറ്റർമാർ ശ്രമിക്കുന്നത് എങ്ങനെയാണെന്നും. ഈ സൈബർ ഗ്രൂപ്പിന് മാകോസിനായി ഒരു ഘടകവും ഉണ്ടെന്നും അറിയാം. മുമ്പത്തെ പതിപ്പുമായി താരതമ്യപ്പെടുത്തുമ്പോൾ, macOS-നുള്ള ക്ഷുദ്രവെയറിന്റെ ഏറ്റവും പുതിയ പതിപ്പിലെ മാറ്റങ്ങളെ ഈ പോസ്റ്റ് വിശദമാക്കുന്നു (ട്രെൻഡ് മൈക്രോ വിവരിച്ചത്), കൂടാതെ IDA Hex-Rays API ഉപയോഗിച്ച് വിശകലന സമയത്ത് നിങ്ങൾക്ക് എങ്ങനെ സ്ട്രിംഗുകളുടെ ഡീക്രിപ്ഷൻ ഓട്ടോമേറ്റ് ചെയ്യാമെന്നും വിവരിക്കുന്നു.

വിശകലനം

അടുത്ത മൂന്ന് ഭാഗങ്ങൾ ഒരു SHA-1 ഹാഷ് ഉപയോഗിച്ച് ഒരു സാമ്പിളിന്റെ വിശകലനം വിവരിക്കുന്നു E615632C9998E4D3E5ACD8851864ED09B02C77D2. ഫയൽ വിളിക്കുന്നു ഫ്ലാഷ്ലൈറ്റ്, ESET ആന്റിവൈറസ് ഉൽപ്പന്നങ്ങൾ ഇത് OSX/OceanLotus.D ആയി കണ്ടെത്തുന്നു.

ആന്റി-ഡീബഗ്ഗിംഗും സാൻഡ്‌ബോക്‌സ് പരിരക്ഷയും

എല്ലാ macOS OceanLotus ബൈനറികളെയും പോലെ, സാമ്പിൾ UPX-നൊപ്പം പാക്കേജുചെയ്‌തിരിക്കുന്നു, എന്നാൽ മിക്ക പാക്കേജർ ഐഡന്റിഫിക്കേഷൻ ടൂളുകളും ഇത് തിരിച്ചറിയുന്നില്ല. "UPX" സ്ട്രിംഗിന്റെ സാന്നിധ്യത്തെ ആശ്രയിച്ചുള്ള ഒരു ഒപ്പ് അവയിൽ കൂടുതലായി അടങ്ങിയിരിക്കുന്നതിനാലാകാം ഇത്, കൂടാതെ, Mach-O സിഗ്നേച്ചറുകൾ വളരെ കുറവാണ്, മാത്രമല്ല അവ പലപ്പോഴും അപ്ഡേറ്റ് ചെയ്യപ്പെടാറില്ല. ഈ സവിശേഷത സ്റ്റാറ്റിക് ഡിറ്റക്ഷൻ ബുദ്ധിമുട്ടാക്കുന്നു. രസകരമെന്നു പറയട്ടെ, അൺപാക്ക് ചെയ്ത ശേഷം, പ്രവേശന പോയിന്റ് വിഭാഗത്തിന്റെ തുടക്കത്തിലാണ് __cfstring വിഭാഗത്തിൽ .TEXT. ചുവടെയുള്ള ചിത്രത്തിൽ കാണിച്ചിരിക്കുന്നതുപോലെ ഈ വിഭാഗത്തിന് ഫ്ലാഗ് ആട്രിബ്യൂട്ടുകൾ ഉണ്ട്.

ചിത്രം 1. MACH-O __cfstring വിഭാഗം ആട്രിബ്യൂട്ടുകൾ

ചിത്രം 2-ൽ കാണിച്ചിരിക്കുന്നതുപോലെ, വിഭാഗത്തിലെ കോഡ് ലൊക്കേഷനുകൾ __cfstring കോഡ് സ്ട്രിംഗുകളായി പ്രദർശിപ്പിക്കുന്നതിലൂടെ ചില ഡിസ്അസംബ്ലിംഗ് ടൂളുകളെ കബളിപ്പിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു.

ചിത്രം 2. ബാക്ക്‌ഡോർ കോഡ് ഡാറ്റയായി IDA കണ്ടെത്തി

ഒരിക്കൽ എക്‌സിക്യൂട്ട് ചെയ്‌താൽ, ബൈനറി ഒരു ആന്റി-ഡീബഗ്ഗറായി ഒരു ത്രെഡ് സൃഷ്‌ടിക്കുന്നു, അതിന്റെ ഏക ഉദ്ദേശ്യം ഒരു ഡീബഗ്ഗറിന്റെ സാന്നിധ്യം തുടർച്ചയായി പരിശോധിക്കുക എന്നതാണ്. ഈ ഒഴുക്കിനായി:

- ഏതെങ്കിലും ഡീബഗ്ഗർ അൺഹുക്ക് ചെയ്യാൻ ശ്രമിക്കുന്നു, വിളിക്കുന്നു ptrace с PT_DENY_ATTACH ഒരു അഭ്യർത്ഥന പരാമീറ്ററായി
- ഒരു ഫംഗ്‌ഷൻ വിളിച്ച് ചില എക്സ്ക്ലൂസീവ് പോർട്ടുകൾ തുറന്നിട്ടുണ്ടോയെന്ന് പരിശോധിക്കുന്നു task_get_exception_ports
- ഫ്ലാഗിന്റെ സാന്നിധ്യം പരിശോധിച്ച് ചുവടെയുള്ള ചിത്രത്തിൽ കാണിച്ചിരിക്കുന്നതുപോലെ, ഡീബഗ്ഗർ ബന്ധിപ്പിച്ചിട്ടുണ്ടോയെന്ന് പരിശോധിക്കുന്നു P_TRACED നിലവിലെ പ്രക്രിയയിൽ

ചിത്രം 3. sysctl ഫംഗ്‌ഷൻ ഉപയോഗിച്ച് ഡീബഗ്ഗർ കണക്ഷൻ പരിശോധിക്കുന്നു

ഒരു ഡീബഗ്ഗറിന്റെ സാന്നിധ്യം വാച്ച്ഡോഗ് കണ്ടെത്തിയാൽ, ഫംഗ്ഷൻ എന്ന് വിളിക്കുന്നു exit. കൂടാതെ, രണ്ട് കമാൻഡുകൾ പ്രവർത്തിപ്പിച്ച് സാമ്പിൾ പരിസ്ഥിതി പരിശോധിക്കുന്നു:

ioreg -l | grep -e "Manufacturer" и sysctl hw.model

അറിയപ്പെടുന്ന വിർച്ച്വലൈസേഷൻ സിസ്റ്റങ്ങളിൽ നിന്നുള്ള സ്ട്രിംഗുകളുടെ ഹാർഡ്-കോഡഡ് ലിസ്റ്റിനെതിരെ സാമ്പിൾ റിട്ടേൺ മൂല്യം പരിശോധിക്കുന്നു: അക്കിൾ, VMware, വിർച്വൽബോക്സ് അഥവാ സമാന്തരങ്ങൾ. അവസാനമായി, മെഷീൻ ഇനിപ്പറയുന്ന "MBP", "MBA", "MB", "MM", "IM", "MP", "XS" എന്നിവയിലൊന്നാണോ എന്ന് അടുത്ത കമാൻഡ് പരിശോധിക്കുന്നു. ഇവ സിസ്റ്റം മോഡൽ കോഡുകളാണ്, ഉദാഹരണത്തിന്, "MBP" എന്നാൽ MacBook Pro, "MBA" എന്നാൽ MacBook Air മുതലായവ.

system_profiler SPHardwareDataType 2>/dev/null | awk '/Boot ROM Version/ {split($0, line, ":");printf("%s", line[2]);}

പ്രധാന കൂട്ടിച്ചേർക്കലുകൾ

ട്രെൻഡ് മൈക്രോയുടെ ഗവേഷണത്തിന് ശേഷം ബാക്ക്‌ഡോർ കമാൻഡുകൾ മാറിയിട്ടില്ലെങ്കിലും, മറ്റ് ചില പരിഷ്‌ക്കരണങ്ങൾ ഞങ്ങൾ ശ്രദ്ധിച്ചു. ഈ സാമ്പിളിൽ ഉപയോഗിച്ചിരിക്കുന്ന C&C സെർവറുകൾ തീർത്തും പുതിയതും 22.10.2018/XNUMX/XNUMX-ന് സൃഷ്ടിച്ചതുമാണ്.

- daff.faybilodeau[.]com
- sarc.onteagleroad[.]com
- au.charlineopkesston[.]com

റിസോഴ്സ് URL എന്നതിലേക്ക് മാറിയിരിക്കുന്നു /dp/B074WC4NHW/ref=gbps_img_m-9_62c3_750e6b35.
C&C സെർവറിലേക്ക് അയച്ച ആദ്യ പാക്കറ്റിൽ താഴെയുള്ള പട്ടികയിലെ കമാൻഡുകൾ ശേഖരിച്ച എല്ലാ ഡാറ്റയും ഉൾപ്പെടെ, ഹോസ്റ്റ് മെഷീനെക്കുറിച്ചുള്ള കൂടുതൽ വിവരങ്ങൾ അടങ്ങിയിരിക്കുന്നു.

ഈ കോൺഫിഗറേഷൻ മാറ്റത്തിന് പുറമേ, നെറ്റ്‌വർക്ക് ഫിൽട്ടറിംഗിനായി സാമ്പിൾ ഒരു ലൈബ്രറി ഉപയോഗിക്കുന്നില്ല libcurl, എന്നാൽ ഒരു ബാഹ്യ ലൈബ്രറി. അത് കണ്ടെത്തുന്നതിന്, നിലവിലെ ഡയറക്‌ടറിയിലെ എല്ലാ ഫയലുകളും AES-256-CBC ഉപയോഗിച്ച് കീ ഉപയോഗിച്ച് ഡീക്രിപ്റ്റ് ചെയ്യാൻ ബാക്ക്‌ഡോർ ശ്രമിക്കുന്നു. gFjMXBgyXWULmVVVzyxy, പൂജ്യങ്ങൾ കൊണ്ട് പാഡ്. ഓരോ ഫയലും ഡീക്രിപ്റ്റ് ചെയ്ത് സേവ് ചെയ്യുന്നു /tmp/store, കൂടാതെ ഇത് ഒരു ലൈബ്രറിയായി ലോഡ് ചെയ്യാനുള്ള ശ്രമം ഫംഗ്ഷൻ ഉപയോഗിച്ച് നടത്തുന്നു dlopen. ഒരു ഡീക്രിപ്ഷൻ ശ്രമം വിജയകരമായ കോളിൽ കലാശിക്കുമ്പോൾ dlopen, പിൻവാതിൽ എക്‌സ്‌പോർട്ട് ചെയ്‌ത ഫംഗ്‌ഷനുകൾ എക്‌സ്‌ട്രാക്റ്റ് ചെയ്യുന്നു Boriry и ChadylonV, അവ സെർവറുമായുള്ള നെറ്റ്‌വർക്ക് ആശയവിനിമയത്തിന് പ്രത്യക്ഷമായും ഉത്തരവാദികളാണ്. സാമ്പിളിന്റെ യഥാർത്ഥ ലൊക്കേഷനിൽ നിന്നുള്ള ഡ്രോപ്പറോ മറ്റ് ഫയലുകളോ ഞങ്ങളുടെ പക്കലില്ല, അതിനാൽ ഞങ്ങൾക്ക് ഈ ലൈബ്രറി പാഴ്‌സ് ചെയ്യാൻ കഴിയില്ല. മാത്രമല്ല, ഘടകം എൻക്രിപ്റ്റ് ചെയ്തിരിക്കുന്നതിനാൽ, ഈ സ്ട്രിംഗുകളെ അടിസ്ഥാനമാക്കിയുള്ള ഒരു YARA റൂൾ ഡിസ്കിൽ കാണുന്ന ഫയലുമായി പൊരുത്തപ്പെടുന്നില്ല.

മുകളിലെ ലേഖനത്തിൽ വിവരിച്ചതുപോലെ, അത് സൃഷ്ടിക്കുന്നു ക്ലയന്റ് ഐഡി. ഇനിപ്പറയുന്ന കമാൻഡുകളിലൊന്നിന്റെ റിട്ടേൺ മൂല്യത്തിന്റെ MD5 ഹാഷാണ് ഈ ഐഡി:

- ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformSerialNumber/ { split($0, line, """); printf("%s", line[4]); }'
- ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformUUID/ { split($0, line, """); printf("%s", line[4]); }'
- ifconfig en0 | awk '/ether /{print $2}' (MAC വിലാസം നേടുക)
- അജ്ഞാത ടീം ("x1ex72x0a"), ഇത് മുമ്പത്തെ സാമ്പിളുകളിൽ ഉപയോഗിച്ചു

ഹാഷിംഗിന് മുമ്പ്, റൂട്ട് പ്രത്യേകാവകാശങ്ങൾ സൂചിപ്പിക്കാൻ റിട്ടേൺ മൂല്യത്തിലേക്ക് ഒരു "0" അല്ലെങ്കിൽ "1" ചേർക്കുന്നു. ഈ ക്ലയന്റ് ഐഡി സംഭരിച്ചിരിക്കുന്നു /Library/Storage/File System/HFS/25cf5d02-e50b-4288-870a-528d56c3cf6e/pivtoken.appex, കോഡ് റൂട്ട് ആയി അല്ലെങ്കിൽ ~/Library/SmartCardsServices/Technology/PlugIns/drivers/snippets.ecgML എന്നതിൽ മറ്റെല്ലാ സാഹചര്യങ്ങളിലും പ്രവർത്തിപ്പിക്കുകയാണെങ്കിൽ. ഫംഗ്ഷൻ ഉപയോഗിച്ച് ഫയൽ സാധാരണയായി മറയ്ക്കുന്നു _chflags, കമാൻഡ് ഉപയോഗിച്ച് അതിന്റെ ടൈംസ്റ്റാമ്പ് മാറ്റുന്നു touch –t ഒരു ക്രമരഹിതമായ മൂല്യം.

സ്ട്രിംഗുകൾ ഡീകോഡിംഗ്

മുമ്പത്തെ ഓപ്ഷനുകൾ പോലെ, സ്ട്രിംഗുകൾ AES-256-CBC (ഹെക്സാഡെസിമൽ കീ: 9D7274AD7BCEF0DED29BDBB428C251DF8B350B92 പൂജ്യങ്ങൾ കൊണ്ട് പാഡ് ചെയ്തു, കൂടാതെ IV പൂജ്യങ്ങൾ കൊണ്ട് നിറച്ചത്) ഫംഗ്ഷനിലൂടെ CCCrypt. മുൻ പതിപ്പുകളിൽ നിന്ന് കീ മാറിയിട്ടുണ്ട്, പക്ഷേ ഗ്രൂപ്പ് ഇപ്പോഴും അതേ സ്ട്രിംഗ് എൻക്രിപ്ഷൻ അൽഗോരിതം ഉപയോഗിക്കുന്നതിനാൽ, ഡീക്രിപ്ഷൻ ഓട്ടോമേറ്റ് ചെയ്യാൻ കഴിയും. ഈ പോസ്റ്റിന് പുറമേ, ബൈനറി ഫയലിൽ നിലവിലുള്ള സ്ട്രിംഗുകൾ ഡീക്രിപ്റ്റ് ചെയ്യാൻ Hex-Rays API ഉപയോഗിക്കുന്ന ഒരു IDA സ്ക്രിപ്റ്റ് ഞങ്ങൾ പുറത്തിറക്കുന്നു. OceanLotus-ന്റെ ഭാവി വിശകലനത്തിനും ഞങ്ങൾക്ക് ഇതുവരെ നേടാനാകാത്ത നിലവിലുള്ള സാമ്പിളുകളുടെ വിശകലനത്തിനും ഈ സ്ക്രിപ്റ്റ് സഹായിച്ചേക്കാം. ഒരു ഫംഗ്‌ഷനിലേക്ക് കൈമാറിയ ആർഗ്യുമെന്റുകൾ സ്വീകരിക്കുന്നതിനുള്ള ഒരു സാർവത്രിക രീതിയെ അടിസ്ഥാനമാക്കിയുള്ളതാണ് സ്‌ക്രിപ്റ്റ്. കൂടാതെ, ഇത് പാരാമീറ്റർ അസൈൻമെന്റുകൾ നോക്കുന്നു. ഫംഗ്‌ഷൻ ആർഗ്യുമെന്റുകളുടെ ഒരു ലിസ്റ്റ് ലഭിക്കുന്നതിന് ഈ രീതി വീണ്ടും ഉപയോഗിക്കാവുന്നതാണ്, തുടർന്ന് അത് കോൾബാക്കിലേക്ക് കൈമാറുക.

ഫംഗ്ഷൻ പ്രോട്ടോടൈപ്പ് അറിയുന്നു ഡീക്രിപ്റ്റ്, ഈ ഫംഗ്‌ഷനിലേക്കുള്ള എല്ലാ ക്രോസ്-റഫറൻസുകളും എല്ലാ ആർഗ്യുമെന്റുകളും സ്‌ക്രിപ്റ്റ് കണ്ടെത്തുന്നു, തുടർന്ന് ഡാറ്റ ഡീക്രിപ്റ്റ് ചെയ്യുകയും ക്രോസ്-റഫറൻസ് വിലാസത്തിൽ ഒരു കമന്റിനുള്ളിൽ പ്ലെയിൻ ടെക്‌സ്‌റ്റ് സ്ഥാപിക്കുകയും ചെയ്യുന്നു. സ്ക്രിപ്റ്റ് ശരിയായി പ്രവർത്തിക്കുന്നതിന്, അത് base64 ഡീകോഡിംഗ് ഫംഗ്ഷൻ ഉപയോഗിക്കുന്ന ഇഷ്‌ടാനുസൃത അക്ഷരമാലയിലേക്ക് സജ്ജീകരിച്ചിരിക്കണം, കൂടാതെ കീയുടെ ദൈർഘ്യം ഉൾക്കൊള്ളുന്ന ഒരു ആഗോള വേരിയബിൾ നിർവചിക്കേണ്ടതുണ്ട് (ഈ സാഹചര്യത്തിൽ ഒരു DWORD, ചിത്രം 4 കാണുക).

ചിത്രം 4. ആഗോള വേരിയബിളിന്റെ നിർവചനം key_len

ഫംഗ്‌ഷൻ വിൻഡോയിൽ, നിങ്ങൾക്ക് ഡീക്രിപ്ഷൻ ഫംഗ്‌ഷനിൽ വലത്-ക്ലിക്കുചെയ്ത് “ആർഗ്യുമെന്റുകൾ എക്‌സ്‌ട്രാക്റ്റുചെയ്‌ത് ഡീക്രിപ്റ്റ് ചെയ്യുക” ക്ലിക്കുചെയ്യുക. ചിത്രം 5-ൽ കാണിച്ചിരിക്കുന്നതുപോലെ സ്ക്രിപ്റ്റ് ഡീക്രിപ്റ്റ് ചെയ്ത വരികൾ കമന്റുകളിൽ സ്ഥാപിക്കണം.

ചിത്രം 5. ഡീക്രിപ്റ്റ് ചെയ്ത വാചകം അഭിപ്രായങ്ങളിൽ സ്ഥാപിച്ചിരിക്കുന്നു

ഈ രീതിയിൽ, ഡീക്രിപ്റ്റ് ചെയ്ത സ്ട്രിംഗുകൾ IDA വിൻഡോയിൽ സൗകര്യപ്രദമായി ഒരുമിച്ച് സ്ഥാപിക്കുന്നു xrefs ചിത്രം 6-ൽ കാണിച്ചിരിക്കുന്നതുപോലെ ഈ പ്രവർത്തനത്തിനായി.

ചിത്രം 6. f_decrypt ഫംഗ്‌ഷനിലേക്കുള്ള Xrefs

അവസാന സ്ക്രിപ്റ്റ് ഇവിടെ കാണാം ജിത്തുബ് റിപോസിറ്ററി.

തീരുമാനം

ഇതിനകം സൂചിപ്പിച്ചതുപോലെ, OceanLotus അതിന്റെ ടൂൾകിറ്റ് നിരന്തരം മെച്ചപ്പെടുത്തുകയും അപ്ഡേറ്റ് ചെയ്യുകയും ചെയ്യുന്നു. ഇത്തവണ, മാക് ഉപയോക്താക്കൾക്കൊപ്പം പ്രവർത്തിക്കാൻ സൈബർ ഗ്രൂപ്പ് മാൽവെയർ മെച്ചപ്പെടുത്തി. കോഡിന് വലിയ മാറ്റമൊന്നും സംഭവിച്ചിട്ടില്ല, എന്നാൽ പല Mac ഉപയോക്താക്കളും സുരക്ഷാ ഉൽപ്പന്നങ്ങളെ അവഗണിക്കുന്നതിനാൽ, മാൽവെയറിനെ കണ്ടെത്തുന്നതിൽ നിന്ന് സംരക്ഷിക്കുന്നത് ദ്വിതീയ പ്രാധാന്യമുള്ളതാണ്.

ഗവേഷണ സമയത്ത് ESET ഉൽപ്പന്നങ്ങൾ ഇതിനകം തന്നെ ഈ ഫയൽ കണ്ടുപിടിച്ചിരുന്നു. C&C ആശയവിനിമയത്തിന് ഉപയോഗിക്കുന്ന നെറ്റ്‌വർക്ക് ലൈബ്രറി ഇപ്പോൾ ഡിസ്കിൽ എൻക്രിപ്റ്റ് ചെയ്തിരിക്കുന്നതിനാൽ, ആക്രമണകാരികൾ ഉപയോഗിക്കുന്ന കൃത്യമായ നെറ്റ്‌വർക്ക് പ്രോട്ടോക്കോൾ ഇതുവരെ അറിവായിട്ടില്ല.

വിട്ടുവീഴ്ചയുടെ സൂചകങ്ങൾ

വിട്ടുവീഴ്ചയുടെ സൂചകങ്ങളും MITER ATT&CK ആട്രിബ്യൂട്ടുകളും ഇതിൽ ലഭ്യമാണ് സാമൂഹികം.

അവലംബം: www.habr.com