🥇OceanLotus: macOS को लागि मालवेयर अपडेट

मार्च 2019 मा, साइबर समूह OceanLotus बाट macOS मालवेयरको नयाँ नमूना VirusTotal मा अपलोड गरिएको थियो, एक लोकप्रिय अनलाइन स्क्यानिङ सेवा। ब्याकडोर कार्यान्वयनयोग्य फाइलमा हामीले अध्ययन गरेको macOS मालवेयरको अघिल्लो संस्करणको रूपमा समान क्षमताहरू छन्, तर यसको संरचना परिवर्तन भएको छ र यो पत्ता लगाउन अझ गाह्रो भएको छ। दुर्भाग्यवश, हामीले यो नमूनासँग सम्बन्धित ड्रपर फेला पार्न सकेनौं, त्यसैले हामीलाई अझै संक्रमण भेक्टर थाहा छैन।

हामीले भर्खरै प्रकाशित गरेका छौं OceanLotus को बारेमा पोस्ट र कसरी अपरेटरहरूले दृढता प्रदान गर्न, कोड कार्यान्वयनको गति बढाउने, र विन्डोज प्रणालीहरूमा पदचिह्नलाई न्यूनीकरण गर्ने प्रयास गरिरहेका छन्। यो पनि थाहा छ कि यो साइबर समूह मा macOS को लागी एक घटक पनि छ। यो पोष्टले macOS को लागि पछिल्लो संस्करण (ट्रेन्ड माइक्रो द्वारा वर्णन गरिएको), र IDA Hex-Rays API को प्रयोग गरेर विश्लेषण गर्दा स्ट्रिङको डिक्रिप्शन कसरी स्वचालित गर्न सक्नुहुन्छ भनेर पनि वर्णन गर्दछ।

Анализ

अर्को तीन भागहरूले SHA-1 ह्यासको साथ नमूनाको विश्लेषणको वर्णन गर्दछ E615632C9998E4D3E5ACD8851864ED09B02C77D2। फाइल भनिन्छ फ्ल्यासलाइट, ESET एन्टिभाइरस उत्पादनहरूले यसलाई OSX/OceanLotus.D को रूपमा पत्ता लगाउँछन्।

एन्टी-डिबगिङ र स्यान्डबक्स सुरक्षा

सबै macOS OceanLotus बाइनरीहरू जस्तै, नमूना UPX सँग प्याकेज गरिएको छ, तर धेरै प्याकेजर पहिचान उपकरणहरूले यसलाई पहिचान गर्दैनन्। यो सम्भवतः किनभने तिनीहरू प्रायः "UPX" स्ट्रिङको उपस्थितिमा निर्भर हस्ताक्षर समावेश गर्दछ, साथै, Mach-O हस्ताक्षरहरू कम सामान्य छन् र प्रायः अद्यावधिक हुँदैनन्। यो सुविधाले स्थिर पत्ता लगाउन गाह्रो बनाउँछ। चाखलाग्दो कुरा के छ भने, अनप्याक गरेपछि, प्रवेश बिन्दु खण्डको सुरुमा छ __cfstring खण्डमा .TEXT। यो खण्डमा तलको छविमा देखाइएका झण्डा विशेषताहरू छन्।

चित्र 1. MACH-O __cfstring खण्ड विशेषताहरू

चित्र 2 मा देखाइए अनुसार, खण्डमा कोड स्थानहरू __cfstring तपाईँलाई स्ट्रिङको रूपमा कोड प्रदर्शन गरेर केही विच्छेदन उपकरणहरू चलाउन अनुमति दिन्छ।

चित्र २. ब्याकडोर कोड IDA द्वारा डाटाको रूपमा पत्ता लगाइएको छ

एक पटक निष्पादित भएपछि, बाइनरीले एन्टी-डिबगरको रूपमा थ्रेड सिर्जना गर्दछ जसको एकमात्र उद्देश्य डिबगरको उपस्थितिको लागि निरन्तर जाँच गर्नु हो। यस प्रवाहको लागि:

- कुनै पनि डिबगर अनहुक गर्ने प्रयास गर्दछ, कल गर्दै ptrace с PT_DENY_ATTACH अनुरोध प्यारामिटर रूपमा
- कुनै प्रकार्यलाई कल गरेर केही विशेष पोर्टहरू खुला छन् भने जाँच गर्दछ task_get_exception_ports
- झण्डाको उपस्थिति जाँच गरेर तलको चित्रमा देखाइए अनुसार डिबगर जडान भएको छ कि छैन भनी जाँच गर्दछ P_TRACED वर्तमान प्रक्रियामा

चित्र 3. sysctl प्रकार्य प्रयोग गरेर डिबगर जडान जाँच गर्दै

यदि वाचडगले डिबगरको उपस्थिति पत्ता लगायो भने, प्रकार्य भनिन्छ exit। थप रूपमा, नमूनाले त्यसपछि दुई आदेशहरू चलाएर वातावरण जाँच गर्दछ:

ioreg -l | grep -e "Manufacturer" и sysctl hw.model

नमूनाले त्यसपछि ज्ञात भर्चुअलाइजेशन प्रणालीहरूबाट स्ट्रिङहरूको हार्ड-कोड गरिएको सूची विरुद्ध फिर्ता मूल्य जाँच गर्दछ: acle, vmware, virtualbox वा समानताहरु। अन्तमा, अर्को आदेशले जाँच गर्दछ कि मेसिन निम्न "MBP", "MBA", "MB", "MM", "IM", "MP" र "XS" मध्ये एक हो। यी प्रणाली मोडेल कोडहरू हुन्, उदाहरणका लागि, "MBP" भनेको MacBook Pro, "MBA" भनेको MacBook Air, आदि।

system_profiler SPHardwareDataType 2>/dev/null | awk '/Boot ROM Version/ {split($0, line, ":");printf("%s", line[2]);}

मुख्य थपहरू

जबकि ट्रेन्ड माइक्रोको अनुसन्धान पछि ब्याकडोर आदेशहरू परिवर्तन भएका छैनन्, हामीले केही अन्य परिमार्जनहरू देख्यौं। यस नमूनामा प्रयोग गरिएका C&C सर्भरहरू एकदमै नयाँ छन् र 22.10.2018/XNUMX/XNUMX मा सिर्जना गरिएका थिए।

- daff.faybilodeau[.]com
- sarc.onteagleroad[.]com
- au.charlineopkesston[.]com

स्रोत URL मा परिवर्तन भएको छ /dp/B074WC4NHW/ref=gbps_img_m-9_62c3_750e6b35.
C&C सर्भरमा पठाइएको पहिलो प्याकेटले होस्ट मेसिनको बारेमा थप जानकारी समावेश गर्दछ, तलको तालिकामा आदेशहरूद्वारा सङ्कलन गरिएका सबै डाटाहरू सहित।

यो कन्फिगरेसन परिवर्तनको अतिरिक्त, नमूनाले नेटवर्क फिल्टरिङको लागि पुस्तकालय प्रयोग गर्दैन libcurl, तर एक बाह्य पुस्तकालय। यसलाई फेला पार्नको लागि, ब्याकडोरले कुञ्जीसँग AES-256-CBC प्रयोग गरी हालको डाइरेक्टरीमा प्रत्येक फाइललाई डिक्रिप्ट गर्ने प्रयास गर्दछ। gFjMXBgyXWULmVVVzyxy, शून्यसँग प्याड गरिएको। प्रत्येक फाइल डिक्रिप्टेड र यस रूपमा बचत गरिएको छ /tmp/store, र यसलाई पुस्तकालयको रूपमा लोड गर्ने प्रयास प्रकार्य प्रयोग गरी बनाइएको छ dlopen। जब डिक्रिप्शन प्रयास सफल कलमा परिणाम हुन्छ dlopen, ब्याकडोर एक्स्पोर्ट गरिएका कार्यहरू निकाल्छ Boriry и ChadylonV, जो सर्भरसँग नेटवर्क संचारको लागि स्पष्ट रूपमा जिम्मेवार छन्। हामीसँग नमूनाको मूल स्थानबाट ड्रपर वा अन्य फाइलहरू छैनन्, त्यसैले हामी यो पुस्तकालयलाई पार्स गर्न सक्दैनौं। यसबाहेक, कम्पोनेन्ट इन्क्रिप्ट गरिएको हुनाले, यी स्ट्रिङहरूमा आधारित YARA नियम डिस्कमा पाइने फाइलसँग मेल खाँदैन।

माथिको लेखमा वर्णन गरिए अनुसार, यसले सिर्जना गर्दछ ग्राहक आईडी। यो ID निम्न आदेशहरू मध्ये एउटाको फिर्ता मानको MD5 ह्यास हो:

- ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformSerialNumber/ { split($0, line, """); printf("%s", line[4]); }'
- ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformUUID/ { split($0, line, """); printf("%s", line[4]); }'
- ifconfig en0 | awk '/ether /{print $2}' (म्याक ठेगाना प्राप्त गर्नुहोस्)
- अज्ञात टोली ("x1ex72x0a"), जुन अघिल्लो नमूनाहरूमा प्रयोग गरिन्छ

ह्यास गर्नु अघि, रूट विशेषाधिकारहरू संकेत गर्न फिर्ता मानमा "0" वा "1" थपिएको छ। यो ग्राहक आईडी मा भण्डारण गरिएको /Library/Storage/File System/HFS/25cf5d02-e50b-4288-870a-528d56c3cf6e/pivtoken.appex, यदि कोड रूटको रूपमा चलाइएको छ वा ~/Library/SmartCardsServices/Technology/PlugIns/drivers/snippets.ecgML अन्य सबै अवस्थामा। फाइल सामान्यतया प्रकार्य प्रयोग गरेर लुकेको छ _ch झण्डा, यसको टाइमस्ट्याम्प आदेश प्रयोग गरेर परिवर्तन गरिएको छ touch –t अनियमित मूल्य संग।

डिकोडिङ स्ट्रिङहरू

अघिल्लो विकल्पहरू जस्तै, स्ट्रिङहरू AES-256-CBC (हेक्साडेसिमल कुञ्जी: 9D7274AD7BCEF0DED29BDBB428C251DF8B350B92 शून्यसँग प्याड गरिएको, र IV शून्यले भरिएको) प्रकार्य मार्फत CCCrypt। कुञ्जी अघिल्लो संस्करणहरूबाट परिवर्तन भएको छ, तर समूहले अझै पनि एउटै स्ट्रिङ इन्क्रिप्शन एल्गोरिथ्म प्रयोग गरेकोले, डिक्रिप्शन स्वचालित हुन सक्छ। यस पोष्टको अतिरिक्त, हामी बाइनरी फाइलमा उपस्थित स्ट्रिङहरू डिक्रिप्ट गर्न Hex-Rays API प्रयोग गर्ने IDA स्क्रिप्ट जारी गर्दैछौं। यो स्क्रिप्टले OceanLotus को भविष्यको विश्लेषण र अवस्थित नमूनाहरूको विश्लेषणमा मद्दत गर्न सक्छ जुन हामीले अहिलेसम्म प्राप्त गर्न सकेनौं। स्क्रिप्ट प्रकार्यमा पास गरिएका तर्कहरू प्राप्त गर्नको लागि विश्वव्यापी विधिमा आधारित छ। थप रूपमा, यसले प्यारामिटर असाइनमेन्टहरू हेर्छ। विधिलाई प्रकार्य तर्कहरूको सूची प्राप्त गर्न पुन: प्रयोग गर्न सकिन्छ र त्यसपछि यसलाई कलब्याकमा पास गर्नुहोस्।

प्रकार्य प्रोटोटाइप थाहा छ डिक्रिप्ट गर्नुहोस्, स्क्रिप्टले यस प्रकार्यमा सबै क्रस-सन्दर्भहरू फेला पार्छ, सबै तर्कहरू, त्यसपछि डेटा डिक्रिप्ट गर्दछ र क्रस-सन्दर्भ ठेगानामा टिप्पणी भित्र सादा पाठ राख्छ। स्क्रिप्ट सही तरिकाले काम गर्न को लागी, यो base64 डिकोडिङ प्रकार्य द्वारा प्रयोग गरिएको अनुकूलन वर्णमाला मा सेट गरिनु पर्छ, र कुञ्जी को लम्बाइ समावेश गरी एक वैश्विक चर परिभाषित हुनुपर्छ (यस अवस्थामा एक DWORD, चित्र 4 हेर्नुहोस्)।

चित्र 4. विश्वव्यापी चल key_len को परिभाषा

प्रकार्य विन्डोमा, तपाइँ डिक्रिप्शन प्रकार्यमा दायाँ क्लिक गर्न सक्नुहुन्छ र "निकाल्नुहोस् र तर्कहरू डिक्रिप्ट गर्नुहोस्" मा क्लिक गर्नुहोस्। स्क्रिप्टले डिक्रिप्ट गरिएका रेखाहरूलाई टिप्पणीहरूमा राख्नु पर्छ, चित्र 5 मा देखाइएको छ।

चित्र 5. डिक्रिप्ट गरिएको पाठ टिप्पणीहरूमा राखिएको छ

यसरी डिक्रिप्टेड स्ट्रिङहरू सजिलैसँग IDA विन्डोमा सँगै राखिन्छन् xrefs यस प्रकार्यको लागि चित्र 6 मा देखाइएको छ।

चित्र 6. f_decrypt प्रकार्यमा Xrefs

अन्तिम स्क्रिप्ट मा फेला पार्न सकिन्छ गितब भण्डार.

निष्कर्षमा

पहिले नै उल्लेख गरिएझैं, OceanLotus ले आफ्नो टूलकिटलाई निरन्तर सुधार र अद्यावधिक गर्दैछ। यस पटक, साइबर समूहले म्याक प्रयोगकर्ताहरूसँग काम गर्न मालवेयर सुधार गरेको छ। कोड धेरै परिवर्तन भएको छैन, तर धेरै म्याक प्रयोगकर्ताहरूले सुरक्षा उत्पादनहरूलाई बेवास्ता गर्ने भएकोले, पत्ता लगाउनबाट मालवेयरलाई सुरक्षित राख्ने माध्यमिक महत्त्व हो।

ESET उत्पादनहरूले अनुसन्धानको समयमा पहिले नै यो फाइल पत्ता लगाएका थिए। किनभने C&C संचारको लागि प्रयोग गरिएको नेटवर्क लाइब्रेरी अब डिस्कमा इन्क्रिप्ट गरिएको छ, आक्रमणकारीहरूले प्रयोग गरेको सही नेटवर्क प्रोटोकल अझै थाहा छैन।

समझौता को संकेतक

सम्झौताका सूचकहरू साथै MITER ATT&CK विशेषताहरू पनि उपलब्ध छन् GitHub.

स्रोत: www.habr.com

OceanLotus: macOS को लागि मालवेयर अपडेट