मतदान असफल भयो: पानी सफा गर्न AgentTesla को पर्दाफाश गरौं। भाग 3

यस लेखको साथ हामी दुर्भावनापूर्ण सफ्टवेयरको विश्लेषणमा समर्पित प्रकाशनहरूको श्रृंखला पूरा गर्छौं। IN पहिलो भाग हामीले युरोपेली कम्पनीले मेलबाट प्राप्त गरेको संक्रमित फाइलको विस्तृत विश्लेषण गर्यौं र त्यहाँ एजेन्टटेस्ला स्पाइवेयर पत्ता लगायौं। मा दोस्रो भाग मुख्य एजेन्टटेस्ला मोड्युलको चरण-दर-चरण विश्लेषणको नतिजाहरू वर्णन गरे।

आज CERT Group-IB मा मालवेयर विश्लेषण मा एक विशेषज्ञ Ilya Pomerantsev, मालवेयर विश्लेषण को पहिलो चरण को बारे मा कुरा गर्नेछ - AgentTesla नमूनाहरु को अर्ध स्वचालित अनप्याकिंग CERT Group-IB विशेषज्ञहरु को अभ्यास को तीन मिनी केस को उदाहरण को उपयोग गरेर।

सामान्यतया, मालवेयर विश्लेषणको पहिलो चरण प्याकर, क्रिप्टर, संरक्षक वा लोडरको रूपमा सुरक्षा हटाउनु हो। धेरै जसो केसहरूमा, यो समस्या मालवेयर चलाएर र डम्प प्रदर्शन गरेर समाधान गर्न सकिन्छ, तर त्यहाँ परिस्थितिहरू छन् जहाँ यो विधि उपयुक्त छैन। उदाहरणका लागि, यदि मालवेयर एक इन्क्रिप्टर हो, यदि यसले यसको मेमोरी क्षेत्रहरूलाई डम्प हुनबाट जोगाउँछ, यदि कोडमा भर्चुअल मेसिन पत्ता लगाउने संयन्त्रहरू छन्, वा यदि मालवेयर सुरु भएपछि तुरुन्तै रिबुट हुन्छ। त्यस्ता अवस्थाहरूमा, तथाकथित "अर्ध-स्वचालित" अनप्याकिंग प्रयोग गरिन्छ, त्यो हो, अनुसन्धानकर्तासँग प्रक्रियामा पूर्ण नियन्त्रण छ र कुनै पनि समयमा हस्तक्षेप गर्न सक्छ। उदाहरणको रूपमा AgentTesla परिवारका तीन नमूनाहरू प्रयोग गरेर यो प्रक्रियालाई विचार गरौं। यदि तपाईंले यसको नेटवर्क पहुँच असक्षम गर्नुभयो भने यो अपेक्षाकृत हानिकारक मालवेयर हो।

नमूना नम्बर १

स्रोत फाइल एउटा MS Word कागजात हो जसले जोखिम CVE-2017-11882 लाई शोषण गर्छ।

नतिजाको रूपमा, पेलोड डाउनलोड र सुरु हुन्छ।

प्रक्रिया रूख र व्यवहार मार्कर को विश्लेषण प्रक्रिया मा इंजेक्शन देखाउँछ RegAsm.exe.

AgentTesla को व्यवहार मार्कर विशेषताहरु छन्।

डाउनलोड गरिएको नमूना कार्यान्वयन योग्य हो .NET- एक संरक्षक द्वारा सुरक्षित फाइल .NET रिएक्टर.

यसलाई उपयोगितामा खोलौं dnSpy x86 र प्रवेश बिन्दुमा जानुहोस्।

समारोहमा गएर DateTimeOffset, हामीले नयाँको लागि प्रारम्भिक कोड फेला पार्नेछौं .NET- मोड्युल। राखौं ब्रेकपोइन्ट लाइनमा हामी रुचि राख्छौं र फाइल चलाउँछौं।

फर्काइएको बफरहरू मध्ये एकमा तपाईंले MZ हस्ताक्षर देख्न सक्नुहुन्छ (0x4D 0x5A)। बचाऔं।

एक डम्प गरिएको कार्यान्वयनयोग्य फाइल एक गतिशील पुस्तकालय हो जुन लोडर हो, अर्थात्। स्रोत खण्डबाट पेलोड निकाल्छ र यसलाई सुरु गर्छ।

एकै समयमा, आवश्यक स्रोतहरू आफैं डम्पमा उपस्थित छैनन्। तिनीहरू अभिभावक नमूनामा छन्।

उपयोगिता dnSpy दुई अत्यन्त उपयोगी कार्यक्षमताहरू छन् जसले हामीलाई दुई सम्बन्धित फाइलहरूबाट द्रुत रूपमा "फ्रान्केन्स्टाइन" सिर्जना गर्न मद्दत गर्दछ।

1. पहिलोले तपाईंलाई अभिभावक नमूनामा गतिशील पुस्तकालय "टाँस्न" अनुमति दिन्छ।

   

2. दोस्रो प्रविष्टि बिन्दुमा प्रकार्य कोड पुन: लेख्न को लागी सम्मिलित गतिशील पुस्तकालय को इच्छित विधि कल गर्न को लागी छ।

   

हामी हाम्रो "Frankenstein" बचत गर्छौं, सेट ब्रेकपोइन्ट डिक्रिप्टेड स्रोतहरूसँग बफर फर्काउने लाइनमा, र अघिल्लो चरणसँग समानताद्वारा डम्प उत्पादन गर्नुहोस्।

दोस्रो डम्पमा लेखिएको छ VB.NET एउटा कार्यान्वयन योग्य फाइल जुन हामीलाई परिचित संरक्षक द्वारा सुरक्षित गरिएको छ कन्फ्युजरएक्स.

संरक्षक हटाइसकेपछि, हामी पहिले लेखिएका YARA नियमहरू प्रयोग गर्छौं र अनप्याक गरिएको मालवेयर साँच्चै AgentTesla हो भनेर सुनिश्चित गर्छौं।

नमूना नम्बर १

स्रोत फाइल एमएस एक्सेल कागजात हो। बिल्ट-इन म्याक्रोले खराब कोडको कार्यान्वयनको कारण बनाउँछ।

नतिजाको रूपमा, PowerShell स्क्रिप्ट सुरु भएको छ।

स्क्रिप्टले C# कोडलाई डिक्रिप्ट गर्छ र यसमा नियन्त्रण स्थानान्तरण गर्छ। कोड आफैं एक बुटलोडर हो, जस्तै स्यान्डबक्स रिपोर्टबाट पनि देख्न सकिन्छ।

पेलोड एक कार्यान्वयन योग्य छ .NET-फाइल।

भित्र फाइल खोल्दै dnSpy x86, तपाईं देख्न सक्नुहुन्छ कि यो अस्पष्ट छ। उपयोगिता प्रयोग गरेर अस्पष्टता हटाउँदै de4dot र विश्लेषण मा फर्कनुहोस्।

कोड जाँच गर्दा, तपाईंले निम्न प्रकार्य पत्ता लगाउन सक्नुहुन्छ:

सङ्केतित रेखाहरू हड्ताल गर्दै छन् EntryPoint и बोलाउनुहोस्। राख्यौं ब्रेकपोइन्ट पहिलो लाइनमा, चलाउनुहोस् र बफर मान बचत गर्नुहोस् बाइट_०.

डम्प फेरि एक अनुप्रयोग हो .NET र संरक्षित कन्फ्युजरएक्स.

हामी प्रयोग गरेर अस्पष्टता हटाउँछौं de4dot र मा अपलोड गर्नुहोस् dnSpy। फाइल विवरणबाट हामी बुझ्छौं कि हामी सामना गरिरहेका छौं CyaX-शार्प लोडर.

यो लोडरमा व्यापक विरोधी-विश्लेषण कार्यक्षमता छ।

यो कार्यक्षमतामा निर्मित विन्डोज सुरक्षा प्रणालीहरू बाइपास गर्ने, विन्डोज डिफेन्डर असक्षम गर्ने, साथै स्यान्डबक्स र भर्चुअल मेसिन पत्ता लगाउने संयन्त्रहरू समावेश छन्। यो नेटवर्कबाट पेलोड लोड गर्न वा संसाधन खण्डमा भण्डारण गर्न सम्भव छ। लन्च यसको आफ्नै प्रक्रियामा, यसको आफ्नै प्रक्रियाको नक्कलमा, वा प्रक्रियाहरूमा इंजेक्शन मार्फत गरिन्छ। MSBuild.exe, vbc.exe и RegSvcs.exe आक्रमणकारी द्वारा छनौट गरिएको प्यारामिटरमा निर्भर गर्दछ।

यद्यपि, तिनीहरू हाम्रो लागि कम महत्त्वपूर्ण छन् एन्टिडम्प- प्रकार्य जसले थप्छ कन्फ्युजरएक्स। यसको स्रोत कोड मा फेला पार्न सकिन्छ GitHub.

सुरक्षा असक्षम गर्न, हामी अवसर प्रयोग गर्नेछौं dnSpy, जसले तपाईंलाई सम्पादन गर्न अनुमति दिन्छ IL-कोड।

बचत गर्नुहोस् र स्थापना गर्नुहोस् ब्रेकपोइन्ट पेलोड डिक्रिप्शन प्रकार्य कल गर्ने लाइनमा। यो मुख्य वर्ग को निर्माणकर्ता मा स्थित छ।

हामी पेलोड सुरु र डम्प गर्छौं। पहिले लिखित YARA नियमहरू प्रयोग गरेर, हामी यो AgentTesla हो भनेर सुनिश्चित गर्छौं।

नमूना नम्बर १

स्रोत फाइल कार्यान्वयन योग्य छ VB मूल निवासी PE32-फाइल।

एन्ट्रोपी विश्लेषणले एन्क्रिप्टेड डाटाको ठूलो टुक्राको उपस्थिति देखाउँछ।

मा आवेदन फारम विश्लेषण गर्दा VB डिकम्पाइलर तपाईंले एक अजीब पिक्सेल पृष्ठभूमि देख्न सक्नुहुन्छ।

एन्ट्रोपी ग्राफ bmp-इमेज मूल फाइलको एन्ट्रोपी ग्राफसँग मिल्दोजुल्दो छ, र साइज फाइल साइजको 85% हो।

छविको सामान्य उपस्थितिले स्टेग्नोग्राफीको प्रयोगलाई संकेत गर्दछ।

प्रक्रिया रूख को उपस्थिति, साथ साथै एक इंजेक्शन मार्कर को उपस्थिति मा ध्यान दिनुहोस्।

यसले सङ्केत गर्छ कि अनप्याकिङ प्रगतिमा छ। भिजुअल बेसिक लोडरहरूका लागि (उर्फ VBKrypt वा VBI इन्जेक्टर) सामान्य प्रयोग shellcode पेलोड प्रारम्भ गर्न, साथै इंजेक्शन आफैं गर्न।

मा विश्लेषण VB डिकम्पाइलर एक कार्यक्रमको उपस्थिति देखायो लोड फारम मा FegatassocAirballoon2.

जाऔं IDA प्रो निर्दिष्ट ठेगानामा र प्रकार्य अध्ययन गर्नुहोस्। कोड भारी अस्पष्ट छ। हामीलाई चासोको टुक्रा तल प्रस्तुत गरिएको छ।

यहाँ प्रक्रियाको ठेगाना स्पेस हस्ताक्षरको लागि स्क्यान गरिएको छ। यो दृष्टिकोण अत्यन्त संदिग्ध छ।

पहिले, स्क्यानिङ सुरु ठेगाना 0x400100। यो मान स्थिर छ र आधार स्थानान्तरण हुँदा समायोजन हुँदैन। आदर्श ग्रीनहाउस अवस्थाहरूमा यसले अन्त्यलाई संकेत गर्दछ PE- कार्यान्वयनयोग्य फाइलको हेडर। यद्यपि, डाटाबेस स्थिर छैन, यसको मान परिवर्तन हुन सक्छ, र आवश्यक हस्ताक्षरको वास्तविक ठेगाना खोजी गर्दा, यद्यपि यसले चर ओभरफ्लोको कारण बनाउँदैन, धेरै लामो समय लिन सक्छ।

दोस्रो, हस्ताक्षर को अर्थ iWGK। मलाई लाग्छ कि यो स्पष्ट छ कि विशिष्टता ग्यारेन्टी गर्न 4 बाइट्स धेरै सानो छ। र यदि तपाइँ पहिलो बिन्दुलाई ध्यानमा राख्नुहुन्छ भने, गल्ती गर्ने सम्भावना धेरै उच्च छ।

वास्तवमा, आवश्यक टुक्रा पहिले फेला परेको अन्त्यमा जोडिएको छ bmp- अफसेट द्वारा चित्रहरू 0xA1D0D.

प्रदर्शन शेलकोड दुई चरणमा सम्पन्न। पहिलोले मुख्य भागलाई बुझाउँछ। यस अवस्थामा, कुञ्जी क्रूर बल द्वारा निर्धारण गरिन्छ।

डिक्रिप्टेड डम्प गर्नुहोस् शेलकोड र रेखाहरू हेर्नुहोस्।

पहिले, हामी अब बच्चा प्रक्रिया सिर्जना गर्न प्रकार्य जान्दछौं: CreateProcessInternalW.

दोस्रो, हामी प्रणालीमा फिक्सेसनको संयन्त्रको बारेमा सचेत भयौं।

मूल प्रक्रियामा फर्कौं। राखौं ब्रेकपोइन्ट मा CreateProcessInternalW र कार्यान्वयन जारी राख्नुहोस्। अर्को हामी जडान देख्छौं NtGetContextThread/NtSetContextThread, जसले ठेगानामा कार्यान्वयन सुरु ठेगाना परिवर्तन गर्दछ शेलकोड.

हामी डिबगरको साथ सिर्जना गरिएको प्रक्रियामा जडान गर्छौं र घटना सक्रिय गर्छौं पुस्तकालय लोड/अनलोडमा निलम्बन, प्रक्रिया पुन: सुरु गर्नुहोस् र लोड गर्न पर्खनुहोस् .NET- पुस्तकालयहरू।

थप प्रयोग गर्दै प्रोसेस ह्याकर प्याक नगरिएको क्षेत्रहरू डम्प गर्नुहोस् .NET- आवेदन।

हामी सबै प्रक्रियाहरू रोक्छौं र प्रणालीमा इम्बेड गरिएको मालवेयरको प्रतिलिपि मेटाउँछौं।

डम्प गरिएको फाइल एक संरक्षक द्वारा सुरक्षित छ .NET रिएक्टर, जुन सजिलै एक उपयोगिता प्रयोग गरेर हटाउन सकिन्छ de4dot.

पहिले लेखिएका YARA नियमहरू प्रयोग गरेर, हामी यो एजेन्टटेस्ला हो भनी सुनिश्चित गर्छौं।

संक्षेप गरौं

त्यसोभए, हामीले उदाहरणको रूपमा तीनवटा मिनी-केसहरू प्रयोग गरेर अर्ध-स्वचालित नमूना अनप्याक गर्ने प्रक्रियालाई विस्तृत रूपमा प्रदर्शन गर्‍यौं, र पूर्ण केसहरूमा आधारित मालवेयरको विश्लेषण पनि गर्‍यौं, अध्ययन अन्तर्गत नमूना एजेन्टटेस्ला हो भनेर पत्ता लगाउँदै, यसको कार्यक्षमता स्थापना गर्दै। सम्झौताको सूचकहरूको पूर्ण सूची।

हामीले गरेको दुर्भावनापूर्ण वस्तुको विश्लेषण धेरै समय र प्रयास चाहिन्छ, र यो काम कम्पनीमा एक विशेष कर्मचारी द्वारा प्रदर्शन गर्नुपर्छ, तर सबै कम्पनीहरु एक विश्लेषक काम गर्न तयार छैनन्।

कम्प्युटर फोरेन्सिक्स र मालिसियस कोड विश्लेषणको समूह-आईबी प्रयोगशालाले प्रदान गरेको सेवाहरू मध्ये एक साइबर घटनाहरूको प्रतिक्रिया हो। र ताकि ग्राहकहरूले कागजातहरू अनुमोदन गर्न र साइबर आक्रमणको बीचमा छलफल गर्न समय खेर नफाल्नुहोस्, समूह-आईबी सुरु भयो। घटना प्रतिक्रिया रिटेनर, एक पूर्व-सदस्यता घटना प्रतिक्रिया सेवा जसमा मालवेयर विश्लेषण चरण पनि समावेश छ। यस बारे थप जानकारी पाउन सकिन्छ यहाँ.

यदि तपाइँ एजेन्टटेस्ला नमूनाहरू कसरी अनप्याक गरिएको छ भनेर फेरि अध्ययन गर्न चाहनुहुन्छ र CERT Group-IB विशेषज्ञले कसरी गर्छ भनेर हेर्न चाहनुहुन्छ भने, तपाइँ यस विषयमा वेबिनार रेकर्डिङ डाउनलोड गर्न सक्नुहुन्छ। यहाँ.

स्रोत: www.habr.com