OceanLotus: macOS साठी मालवेअर अपडेट

मार्च 2019 मध्ये, सायबर ग्रुप OceanLotus मधील macOS मालवेअरचा एक नवीन नमुना VirusTotal वर अपलोड करण्यात आला, ही एक लोकप्रिय ऑनलाइन स्कॅनिंग सेवा आहे. बॅकडोअर एक्झिक्युटेबल फाइलमध्ये आम्ही अभ्यास केलेल्या macOS मालवेअरच्या मागील आवृत्तीप्रमाणेच क्षमता आहेत, परंतु त्याची रचना बदलली आहे आणि ती शोधणे अधिक कठीण झाले आहे. दुर्दैवाने, आम्ही या नमुन्याशी संबंधित ड्रॉपर शोधण्यात अक्षम होतो, त्यामुळे आम्हाला अद्याप संसर्ग वेक्टर माहित नाही.

आम्ही नुकतेच प्रकाशित केले OceanLotus बद्दल पोस्ट आणि ऑपरेटर कसे चिकाटी प्रदान करण्याचा प्रयत्न करत आहेत, कोडच्या अंमलबजावणीचा वेग वाढवतात आणि विंडोज सिस्टम्सवर फूटप्रिंट कमी करतात. हे देखील ज्ञात आहे की या सायबर गटामध्ये macOS साठी देखील एक घटक आहे. हे पोस्ट मागील आवृत्तीच्या तुलनेत macOS साठी मालवेअरच्या नवीनतम आवृत्तीमधील बदलांचे तपशील देते (ट्रेंड मायक्रोने वर्णन केले आहे), आणि IDA Hex-Rays API वापरून विश्लेषणादरम्यान तुम्ही स्ट्रिंगचे डिक्रिप्शन स्वयंचलित कसे करू शकता याचे देखील वर्णन करते.

अॅनालिझ

पुढील तीन भाग SHA-1 हॅशसह नमुनाच्या विश्लेषणाचे वर्णन करतात E615632C9998E4D3E5ACD8851864ED09B02C77D2. फाइल म्हणतात फ्लॅशलाइट, ESET अँटीव्हायरस उत्पादने ते OSX/OceanLotus.D म्हणून शोधतात.

अँटी-डीबगिंग आणि सँडबॉक्स संरक्षण

सर्व macOS OceanLotus बायनरी प्रमाणे, नमुना UPX सह पॅक केलेला आहे, परंतु बहुतेक पॅकेजर ओळख साधने ते ओळखत नाहीत. हे बहुधा कारण त्यात "UPX" स्ट्रिंगच्या उपस्थितीवर अवलंबून असलेली स्वाक्षरी असते, त्याव्यतिरिक्त, Mach-O स्वाक्षरी कमी सामान्य असतात आणि वारंवार अद्यतनित केल्या जात नाहीत. हे वैशिष्ट्य स्थिर शोधणे कठीण करते. विशेष म्हणजे, अनपॅक केल्यानंतर, प्रवेश बिंदू विभागाच्या सुरूवातीस आहे __cfstring विभागात .TEXT. खालील चित्रात दाखवल्याप्रमाणे या विभागात ध्वज गुणधर्म आहेत.

आकृती 1. MACH-O __cfstring विभाग विशेषता

आकृती 2 मध्ये दर्शविल्याप्रमाणे, विभागातील कोड स्थाने __cfstring कोड स्ट्रिंग्स म्हणून प्रदर्शित करून तुम्हाला काही डिस्सेम्बली टूल्सची फसवणूक करण्यास अनुमती देते.

आकृती 2. डेटा म्हणून IDA द्वारे बॅकडोअर कोड आढळला

एकदा कार्यान्वित झाल्यानंतर, बायनरी एक अँटी-डीबगर म्हणून एक थ्रेड तयार करते ज्याचा एकमेव उद्देश डीबगरची उपस्थिती सतत तपासणे आहे. या प्रवाहासाठी:

— कॉलिंग, कोणत्याही डीबगरला अनहूक करण्याचा प्रयत्न करते ptrace с PT_DENY_ATTACH विनंती पॅरामीटर म्हणून
- फंक्शन कॉल करून काही खास पोर्ट उघडे आहेत का ते तपासते task_get_exception_ports
- ध्वजाची उपस्थिती तपासून, खालील आकृतीमध्ये दर्शविल्याप्रमाणे, डीबगर कनेक्ट केलेले आहे का ते तपासते P_TRACED सध्याच्या प्रक्रियेत

आकृती 3. sysctl फंक्शन वापरून डीबगर कनेक्शन तपासत आहे

वॉचडॉगला डीबगरची उपस्थिती आढळल्यास, फंक्शन म्हणतात exit. याव्यतिरिक्त, नमुना नंतर दोन आज्ञा चालवून वातावरण तपासते:

ioreg -l | grep -e "Manufacturer" и sysctl hw.model

नमुना नंतर ज्ञात वर्च्युअलायझेशन सिस्टममधील स्ट्रिंगच्या हार्ड-कोडेड सूचीच्या विरूद्ध रिटर्न मूल्य तपासतो: acle, VMware, वर्च्युअलबॉक्स किंवा समांतर. शेवटी, पुढील कमांड मशीन खालीलपैकी एक आहे का ते तपासते “MBP”, “MBA”, “MB”, “MM”, “IM”, “MP” आणि “XS”. हे सिस्टम मॉडेल कोड आहेत, उदाहरणार्थ, “MBP” म्हणजे MacBook Pro, “MBA” म्हणजे MacBook Air, इ.

system_profiler SPHardwareDataType 2>/dev/null | awk '/Boot ROM Version/ {split($0, line, ":");printf("%s", line[2]);}

मुख्य जोड

ट्रेंड मायक्रोच्या संशोधनानंतर बॅकडोअर कमांड्स बदलल्या नसल्या तरी, आम्हाला काही इतर बदल लक्षात आले. या नमुन्यात वापरलेले C&C सर्व्हर अगदी नवीन आहेत आणि 22.10.2018/XNUMX/XNUMX रोजी तयार केले गेले.

- daff.faybilodeau[.]com
- sarc.onteagleroad[.]com
- au.charlineopkesston[.]com

संसाधन URL मध्ये बदलली आहे /dp/B074WC4NHW/ref=gbps_img_m-9_62c3_750e6b35.
C&C सर्व्हरला पाठवलेल्या पहिल्या पॅकेटमध्ये होस्ट मशीनबद्दल अधिक माहिती असते, ज्यामध्ये खालील सारणीमधील कमांडद्वारे गोळा केलेल्या सर्व डेटाचा समावेश असतो.

या कॉन्फिगरेशन बदलाव्यतिरिक्त, नमुना नेटवर्क फिल्टरिंगसाठी लायब्ररी वापरत नाही libcurl, परंतु बाह्य लायब्ररी. ते शोधण्यासाठी, बॅकडोअर वर्तमान निर्देशिकेतील प्रत्येक फाईल AES-256-CBC चा वापर करून डिक्रिप्ट करण्याचा प्रयत्न करते. gFjMXBgyXWULmVVVzyxy, शून्यांसह पॅड केलेले. प्रत्येक फाईल डिक्रिप्ट केली जाते आणि म्हणून जतन केली जाते /tmp/store, आणि फंक्शन वापरून लायब्ररी म्हणून लोड करण्याचा प्रयत्न केला जातो dlopen. जेव्हा डिक्रिप्शनच्या प्रयत्नाचा परिणाम यशस्वी कॉलमध्ये होतो dlopen, मागील दरवाजा एक्सपोर्ट फंक्शन्स अर्क Boriry и ChadylonV, जे वरवर पाहता सर्व्हरसह नेटवर्क संप्रेषणासाठी जबाबदार आहेत. आमच्याकडे नमुन्याच्या मूळ स्थानावरील ड्रॉपर किंवा इतर फाइल्स नाहीत, त्यामुळे आम्ही या लायब्ररीचे विश्लेषण करू शकत नाही. शिवाय, घटक एनक्रिप्ट केलेला असल्याने, या स्ट्रिंगवर आधारित YARA नियम डिस्कवर आढळलेल्या फाइलशी जुळणार नाही.

वरील लेखात सांगितल्याप्रमाणे ते निर्माण करते ग्राहक आयडी. हा आयडी खालीलपैकी एका कमांडच्या रिटर्न व्हॅल्यूचा MD5 हॅश आहे:

- ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformSerialNumber/ { split($0, line, """); printf("%s", line[4]); }'
- ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformUUID/ { split($0, line, """); printf("%s", line[4]); }'
- ifconfig en0 | awk '/ether /{print $2}' (MAC पत्ता मिळवा)
- अज्ञात संघ ("x1ex72x0a"), जे मागील नमुन्यांमध्ये वापरले जाते

हॅशिंग करण्यापूर्वी, रूट विशेषाधिकार दर्शविण्यासाठी रिटर्न व्हॅल्यूमध्ये "0" किंवा "1" जोडले जाते. या ग्राहक आयडी मध्ये साठवले /Library/Storage/File System/HFS/25cf5d02-e50b-4288-870a-528d56c3cf6e/pivtoken.appex, जर कोड रूट म्हणून किंवा ~/Library/SmartCardsServices/Technology/PlugIns/drivers/snippets.ecgML मध्ये चालवला असेल तर इतर सर्व प्रकरणांमध्ये. फंक्शन वापरून फाइल सहसा लपविली जाते _ध्वज, कमांड वापरून त्याचा टाइमस्टॅम्प बदलला आहे touch –t यादृच्छिक मूल्यासह.

डीकोडिंग स्ट्रिंग

मागील पर्यायांप्रमाणे, स्ट्रिंग्स AES-256-CBC (हेक्साडेसिमल की: 9D7274AD7BCEF0DED29BDBB428C251DF8B350B92 फंक्शनद्वारे शून्यांसह पॅड केलेले, आणि शून्याने भरलेले IV). CCCrypt. मागील आवृत्त्यांमधून की बदलली आहे, परंतु गट अद्याप समान स्ट्रिंग एन्क्रिप्शन अल्गोरिदम वापरत असल्याने, डिक्रिप्शन स्वयंचलित केले जाऊ शकते. या पोस्ट व्यतिरिक्त, आम्ही एक IDA स्क्रिप्ट जारी करत आहोत जी बायनरी फाईलमध्ये उपस्थित असलेल्या स्ट्रिंग्स डिक्रिप्ट करण्यासाठी Hex-Rays API वापरते. ही स्क्रिप्ट OceanLotus चे भविष्यातील विश्लेषण आणि विद्यमान नमुन्यांच्या विश्लेषणास मदत करू शकते जे आम्हाला अद्याप प्राप्त झाले नाही. स्क्रिप्ट फंक्शनला पास केलेले वितर्क प्राप्त करण्यासाठी सार्वत्रिक पद्धतीवर आधारित आहे. याव्यतिरिक्त, ते पॅरामीटर असाइनमेंट शोधते. फंक्शन वितर्कांची सूची मिळविण्यासाठी आणि नंतर कॉलबॅकमध्ये पास करण्यासाठी पद्धत पुन्हा वापरली जाऊ शकते.

फंक्शन प्रोटोटाइप जाणून घेणे डिक्रिप्ट, स्क्रिप्ट या फंक्शनचे सर्व क्रॉस-संदर्भ शोधते, सर्व वितर्क, नंतर डेटा डिक्रिप्ट करते आणि क्रॉस-रेफरन्स पत्त्यावर टिप्पणीमध्ये साधा मजकूर ठेवते. स्क्रिप्ट योग्यरितीने कार्य करण्यासाठी, ते बेस64 डीकोडिंग फंक्शनद्वारे वापरल्या जाणार्‍या सानुकूल वर्णमालावर सेट केले जाणे आवश्यक आहे आणि कीच्या लांबीसह एक ग्लोबल व्हेरिएबल परिभाषित करणे आवश्यक आहे (या प्रकरणात DWORD, आकृती 4 पहा).

आकृती 4. ग्लोबल व्हेरिएबल key_len ची व्याख्या

फंक्शन विंडोमध्ये, तुम्ही डिक्रिप्शन फंक्शनवर उजवे-क्लिक करू शकता आणि "अर्ज्युमेंट्स आणि डिक्रिप्ट करा" क्लिक करू शकता. आकृती 5 मध्ये दर्शविल्याप्रमाणे, स्क्रिप्टने टिप्पण्यांमध्ये डिक्रिप्ट केलेल्या ओळी ठेवल्या पाहिजेत.

आकृती 5. डिक्रिप्ट केलेला मजकूर टिप्पण्यांमध्ये ठेवला आहे

अशा प्रकारे डीक्रिप्टेड स्ट्रिंग IDA विंडोमध्ये सोयीस्करपणे एकत्र ठेवल्या जातात xrefs आकृती 6 मध्ये दर्शविल्याप्रमाणे या कार्यासाठी.

आकृती 6. xrefs to f_decrypt फंक्शन

अंतिम स्क्रिप्ट येथे आढळू शकते गीथब भांडार.

निष्कर्ष

आधीच नमूद केल्याप्रमाणे, OceanLotus सतत त्याचे टूलकिट सुधारत आणि अपडेट करत आहे. यावेळी, सायबर ग्रुपने मॅक वापरकर्त्यांसोबत काम करण्यासाठी मालवेअरमध्ये सुधारणा केली आहे. कोडमध्ये फारसा बदल झालेला नाही, परंतु बरेच Mac वापरकर्ते सुरक्षा उत्पादनांकडे दुर्लक्ष करत असल्याने, मालवेअरला शोधण्यापासून संरक्षण करणे हे दुय्यम महत्त्व आहे.

संशोधनाच्या वेळी ESET उत्पादने आधीच ही फाइल शोधत होती. कारण C&C संप्रेषणासाठी वापरलेली नेटवर्क लायब्ररी आता डिस्कवर एनक्रिप्ट केली आहे, आक्रमणकर्त्यांनी नेमका नेटवर्क प्रोटोकॉल वापरला आहे हे अद्याप ज्ञात नाही.

तडजोडीचे संकेतक

तडजोडीचे संकेतक तसेच MITER ATT&CK विशेषता देखील उपलब्ध आहेत GitHub.

स्त्रोत: www.habr.com