En ny typ av skadlig programvara av ransomware-typ krypterar filer och lÀgger till Àndelsen ".SaveTheQueen", och sprider sig genom den systemiska nÀtverksmappen SYSVOL pÄ Active Directory-domÀnkontrollanter.
VÄra kunder har stött pÄ denna skadliga programvara nyligen. HÀr Àr vÄr fullstÀndiga analys, resultaten och slutsatserna.
UpptÀckte
En av vÄra kunder kontaktade oss efter att de stött pÄ en ny typ av ransomware som lade till Àndelsen ".SaveTheQueen" till nya krypterade filer i deras miljö.
Under vÄr utredning, specifikt i sökandet efter infektionskÀllor, upptÀckte vi att spridningen och spÄrningen av infekterade offer skedde genom anvÀndning av nÀtverksmappen SYSVOL pÄ kundens domÀnkontroller.
SYSVOL Àr en nyckelmapp för varje domÀnkontroller, som anvÀnds för att leverera GPO-objekt (gruppolicydokument) och inloggnings- och utloggningsskript till domÀnens datorer. InnehÄllet i denna mapp replikeras mellan domÀnkontroller för att synkronisera dessa data pÄ organisationens platser. Att skriva till SYSVOL krÀver hög domÀnprivilegier, men efter kompromiss kan denna resurs bli ett kraftfullt verktyg för angripare som kan anvÀnda den för att snabbt och effektivt sprida skadlig kod inom domÀnen.
Varonis revisionskedja hjÀlpte snabbt att identifiera följande:
- Den infekterade anvÀndarkontot skapade en fil med namnet "hourly" i SYSVOL
- MĂ„nga loggfiler skapades i SYSVOL â varje benĂ€mnd efter domĂ€nens enhet
- MĂ„nga olika IP-adresser hade Ă„tkomst till filen "hourly"
Vi drog slutsatsen att loggfilerna anvĂ€ndes för att spĂ„ra infekteringsprocessen pĂ„ nya enheter, och att "hourly" Ă€r ett schemalagt jobb som körde den skadliga koden pĂ„ nya enheter med hjĂ€lp av Powershell-skript â prover "v3" och "v4".
Det verkar som att angriparen fÄtt och anvÀnt domÀnadministratörens privilegier för att skriva filer i SYSVOL. PÄ infekterade enheter körde angriparen PowerShell-kod som skapade ett schemalagt jobb för att öppna, avkoda och köra skadlig programvara.
Avkodning av skadlig programvara
Vi har utan resultat provat flera metoder för att avkoda prover:
Vi var nÀstan redo att ge upp nÀr vi bestÀmde oss för att prova den "Magiska" metoden frÄn den fantastiska
verktyget frÄn GCHQ. "Magiska" försöker att gissa filens kryptering genom att göra ett orÀkneligt antal gissningar för olika typer av kryptering och mÀta entropin.
ĂversĂ€ttarens kommentar Se. och . Denna artikel och kommentarerna syftar inte till att diskutera detaljer om metoderna som anvĂ€nds i varken extern eller proprietĂ€r programvara.
"Magiska" identifierade att en GZip-packer med base64-kodning anvĂ€nts, vilket gjorde att vi kunde packa upp filen och upptĂ€ckte koden för injektionen â "injektorn".
Dropper: "Det Àr en epidemi i omrÄdet! Massvaccineringar. Mundialsjuka"
Droppern var en vanlig .NET-fil utan nÄgot skydd. NÀr vi lÀste kÀllkoden med hjÀlp av , insÄg vi att dess enda syfte var att injicera shell-koden i processen winlogon.exe.
Shell-kod eller enkla svÄrigheter
Vi anvĂ€nde ett verktyg frĂ„n Hexacorn â för att "kompilera" shellkoden till en körbar fil för felsökning och analys. Sedan upptĂ€ckte vi att den fungerade pĂ„ bĂ„de 32- och 64-bitars maskiner.
Att skriva Àven enklare shell-kod i ren översÀttning frÄn assembler kan vara utmanande, medan det att skriva fullstÀndig shell-kod som fungerar pÄ bÄda typer av system krÀver elitkunskaper, sÄ vi började hÀpna över angriparens förfining.
NĂ€r vi analyserade den kompilerade shell-koden med hjĂ€lp av , mĂ€rkte vi att den laddade dynamiska .NET-bibliotek , som clr.dll och mscoreei.dll. Det verkade konstigt för oss â vanligtvis försöker angripare att göra shell-koden sĂ„ liten som möjligt genom att anropa inbyggda funktioner i OS istĂ€llet för att ladda dem. Varför skulle nĂ„gon behöva integrera Windows-funktionalitet i shell-koden istĂ€llet för att anropa den direkt vid behov?
Det visade sig att författaren till skadlig kod egentligen inte hade skrivit denna komplexa shell-kod â det program som anvĂ€ndes var typiskt för denna uppgift och konverterade exekverbara filer och skript till shell-kod.
Vi hittade verktyget , som vi trodde kunde kompilera en liknande shell-kod. HÀr Àr dess beskrivning frÄn GitHub:
Donut genererar shell-kod x86 eller x64 frÄn VBScript, JScript, EXE, DLL (inklusive .NET-assemblies). Denna shell-kod kan injiceras i alla Windows-processer för att köras i
arbetsminnet.
För att bekrĂ€fta vĂ„r teori kompilerade vi vĂ„r egen kod med hjĂ€lp av Donut och jĂ€mförde den med exemplet â och⊠ja, vi upptĂ€ckte en ytterligare komponent av det anvĂ€nda verktyget. Efter detta kunde vi extrahera och analysera den ursprungliga exekverbara filen pĂ„ .NET.
Kodskydd
Den hÀr filen hade obfuskerats med hjÀlp av :
ConfuserEx Àr ett .NET-projekt med öppen kÀllkod för att skydda koden för andra utvecklare. Programvara av denna typ gör att utvecklare kan skydda sin kod mot reverse engineering med metoder som: symbolbyte, maskering av kontrollflöden och dölja referensmetoder. Författare till skadlig programvara anvÀnder obfuskatorer för att undvika upptÀckter och för att göra reverse engineering mer utmanande.
Tack vare kunde vi packa upp koden:
Resultatet â nyttolasten
Nyttolasten som framkom frĂ„n omvandlingarna Ă€r ett mycket enkelt ransom-virus. Ingen mekanism för att sĂ€kerstĂ€lla nĂ€rvaro i systemet, inga kopplingar till kommandocentralen â bara gammaldags asymmetrisk kryptering för att göra offrets data olĂ€sliga.
Huvudfunktionen vÀljer följande strÀngar som parametrar:
- FilÀndelse att anvÀnda efter kryptering (SaveTheQueen)
- Författarens e-postadress, för att placera i anteckningsfilen med lösenordsbegÀran
- Ăppen nyckel som anvĂ€nds för att kryptera filer
SjÀlva processen ser ut pÄ följande sÀtt:
- Den skadliga programvaran undersöker lokala och anslutna enheter pÄ offrets enhet
- Söker filer för kryptering
- Försöker avsluta processen som anvÀnder filen som den ska kryptera
- Byter namn pÄ filen till "Ursprungligt_filnamn.SaveTheQueenING", med hjÀlp av funktionen MoveFile, och krypterar den
- Efter att filen har krypterats med författarens offentliga nyckel, byter den skadliga programvaran Äter namn pÄ den till " Ursprungligt_filenamn.SaveTheQueen"
- Filinspelningen med löseordskrav sker i samma mapp
Baserat pÄ anvÀndningen av den inbyggda funktionen 'CreateDecryptor' verkar en av funktionerna i den skadliga programvaran ha en avkrypteringsmekanism som krÀver den privata nyckeln som parameter.
Krypteringsvirus KRYPTERAR INTE filer, som lagras i katalogerna:
C:windows
C:Program Files
C:Program Files (x86)
C:Users\AppData
C:inetpub
Den KRYPTERAR INTE följande filtyper:EXE, DLL, MSI, ISO, SYS, CAB.
Sammanfattning och slutsatser
Trots att sjÀlva löseprogrammet inte innehöll nÄgra ovanliga funktioner, anvÀnde angriparen kreativt Active Directory för att sprida droppen, och den skadliga programvaran gav oss intressanta, om Àn inte sÀrskilt komplexa, hinder under analysen.
Vi tror att författaren av den skadliga programvaran:
- Skrev löseprogrammet med inbyggd injektion i processen winlogon.exe, samt
funktionalitet för kryptering och avkryptering av filer - Maskerade den skadliga koden med hjÀlp av ConfuserEx, konverterade resultatet med Donut och döljer ytterligare droppen med base64 Gzip
- Fick förhöjda privilegier i offrets domÀn och anvÀnde dem för att kopiera
den krypterade skadliga programvaran och schemalagda uppgifter till den nÀtverkskatalogen SYSVOL pÄ domÀnkontrollanterna - Körde PowerShell-skript pÄ domÀnens enheter för att sprida den skadliga programvaran och registrerade attackens framsteg i loggarna i SYSVOL
Om du har frÄgor om denna version av löseprogrammet, eller nÄgot annat arbete som vÄra team har genomfört inom forensics och utredning av informationssÀkerhetsincidenter, eller begÀr , dÀr vi alltid svarar pÄ frÄgor under en Q&A-session.
KĂ€lla: habr.com
