Ni opin May, a ṣe awari ipolongo kan lati kaakiri Latọna jijin Tirojanu (RAT) malware-awọn eto ti o gba awọn olutaja laaye lati ṣakoso latọna jijin eto ti o ni akoran.
Ẹgbẹ ti a ṣe ayẹwo jẹ iyatọ nipasẹ otitọ pe ko yan idile RAT kan pato fun ikolu. Ọpọlọpọ awọn Trojans ni a ri ni awọn ikọlu gẹgẹbi apakan ti ipolongo (gbogbo eyiti o wa ni ibigbogbo). Pẹlu ẹya yii, ẹgbẹ naa leti wa ti ọba eku - ẹranko itan-akọọlẹ kan ti o ni awọn rodents pẹlu awọn iru isọpọ.
Awọn atilẹba ti a ya lati monograph nipasẹ KN Rossikov "Eku ati eku-bi rodents, julọ ti ọrọ-aje pataki" (1908)
Ni ola ti ẹda yii, a pe orukọ ẹgbẹ ti a gbero RATKing. Ninu ifiweranṣẹ yii, a yoo lọ sinu alaye nipa bii awọn ikọlu naa ṣe ṣe ikọlu naa, kini awọn irinṣẹ ti wọn lo, ati tun pin awọn ero wa lori ikasi fun ipolongo yii.
Ilọsiwaju ti ikọlu
Gbogbo awọn ikọlu ni ipolongo yii waye ni ibamu si algorithm atẹle:
Olumulo naa gba imeeli aṣiri kan pẹlu ọna asopọ kan si Google Drive.
Lilo ọna asopọ naa, olufaragba ṣe igbasilẹ iwe afọwọkọ VBS irira kan ti o ṣalaye ile-ikawe DLL kan lati gbe fifuye isanwo ikẹhin sinu iforukọsilẹ Windows ati ṣe ifilọlẹ PowerShell lati ṣiṣẹ.
Ile-ikawe DLL ṣe itasi fifuye isanwo ikẹhin - ni otitọ, ọkan ninu awọn RAT ti awọn ikọlu lo - sinu ilana eto ati forukọsilẹ iwe afọwọkọ VBS kan ni autorun lati le ni ipasẹ ninu ẹrọ ti o ni akoran.
Ipari isanwo ti o kẹhin ni a ṣe ni ilana eto kan ati fun ikọlu ni agbara lati ṣakoso kọnputa ti o ni akoran.
Sikematiki o le ṣe aṣoju bii eyi:
Nigbamii ti, a yoo dojukọ awọn ipele mẹta akọkọ, nitori a nifẹ si ẹrọ ifijiṣẹ malware. A kii yoo ṣapejuwe ni awọn alaye ọna ṣiṣe ti malware funrararẹ. Wọn wa ni ibigbogbo - boya ta lori awọn apejọ pataki, tabi paapaa pin kaakiri bi awọn iṣẹ akanṣe orisun ṣiṣi - ati nitorinaa kii ṣe alailẹgbẹ si ẹgbẹ RATKing.
Onínọmbà ti awọn ipele ikọlu
Ipele 1. Imeeli ararẹ
Ikọlu naa bẹrẹ pẹlu olufaragba gbigba lẹta irira (awọn olukolu lo awọn awoṣe oriṣiriṣi pẹlu ọrọ; sikirinifoto ti o wa ni isalẹ fihan apẹẹrẹ kan). Ifiranṣẹ naa ni ọna asopọ si ibi ipamọ to tọ ninu drive.google.com, eyiti o jẹ pe o yori si oju-iwe igbasilẹ iwe PDF kan.
Apeere imeeli ararẹ
Sibẹsibẹ, ni otitọ, kii ṣe iwe PDF ti a kojọpọ rara, ṣugbọn iwe afọwọkọ VBS.
Nigbati o ba tẹ ọna asopọ lati imeeli ni sikirinifoto loke, faili ti a npè ni Cargo Flight Details.vbs. Ni ọran yii, awọn ikọlu ko paapaa gbiyanju lati yi faili naa pada bi iwe aṣẹ ti o tọ.
Ni akoko kanna, gẹgẹbi apakan ti ipolongo yii, a ṣe awari iwe afọwọkọ kan ti a npè ni Cargo Trip Detail.pdf.vbs. O le tẹlẹ kọja fun PDF ti o tọ nitori Windows tọju awọn amugbooro faili nipasẹ aiyipada. Lootọ, ninu ọran yii, ifura le tun dide nipasẹ aami rẹ, eyiti o baamu si iwe afọwọkọ VBS.
Ni ipele yii, olufaragba naa le ṣe idanimọ ẹtan naa: kan wo awọn faili ti o gbasilẹ fun iṣẹju-aaya kan. Sibẹsibẹ, ninu iru awọn ipolongo aṣiri-ararẹ, awọn ikọlu nigbagbogbo gbẹkẹle olumulo ti ko ni akiyesi tabi ti o yara.
Ipele 2. VBS iwe afọwọkọ isẹ
Iwe afọwọkọ VBS, eyiti olumulo le ṣii lairotẹlẹ, forukọsilẹ ile-ikawe DLL kan ni iforukọsilẹ Windows. Awọn iwe afọwọkọ ti a obfuscated: awọn ila ninu rẹ ti a ti kọ bi awọn baiti niya nipa ohun lainidii ohun kikọ.
Apẹẹrẹ ti iwe afọwọkọ obfuscated
Algorithm deobfuscation jẹ ohun ti o rọrun: gbogbo ohun kikọ kẹta ni a yọkuro lati okun ti a ti pa, lẹhinna abajade ti yipada lati base16 sinu okun atilẹba. Fun apẹẹrẹ, lati iye 57Q53s63t72s69J70r74e2El53v68m65j6CH6Ct (afihan ni sikirinifoto loke) Abajade ila wà WScript.Shell.
Lati yọọda awọn gbolohun ọrọ, a lo iṣẹ Python:
def decode_str(data_enc):
return binascii.unhexlify(''.join([data_enc[i:i+2] for i in range(0, len(data_enc), 3)]))
Ni isalẹ, lori awọn laini 9-10, a ṣe afihan iye ti iwifun rẹ jẹ abajade ni faili DLL kan. O jẹ ẹniti o ṣe ifilọlẹ ni ipele atẹle nipa lilo PowerShell.
Okun pẹlu obfuscated DLL
Iṣẹ kọọkan ti o wa ninu iwe afọwọkọ VBS ni a ṣe bi a ti sọ awọn gbolohun ọrọ naa deobfuscated.
Lẹhin ṣiṣe iwe afọwọkọ naa, a pe iṣẹ naa wscript.sleep - o ti lo lati ṣe ipaniyan idaduro.
Nigbamii ti, iwe afọwọkọ naa ṣiṣẹ pẹlu iforukọsilẹ Windows. O lo imọ-ẹrọ WMI fun eyi. Pẹlu iranlọwọ rẹ, bọtini alailẹgbẹ kan ti ṣẹda, ati pe ara faili ti o le ṣiṣẹ ni a kọ si paramita rẹ. Wọle si iforukọsilẹ nipasẹ WMI nipa lilo aṣẹ atẹle:
gba data iye iforukọsilẹ pẹlu orukọ rnd_value_name - data yii jẹ faili DLL ti a kọ sori pẹpẹ .Net;
kojọpọ Abajade .Net module sinu iranti ilana powershell.exe lilo iṣẹ naa [System.Threading.Thread]::GetDomain().Load()(apejuwe alaye ti iṣẹ fifuye (). wa lori oju opo wẹẹbu Microsoft);
ṣe iṣẹ naa GUyyvmzVhebFCw]::EhwwK() - ipaniyan ti ile-ikawe DLL bẹrẹ pẹlu rẹ - pẹlu awọn paramita vbsScriptPath, xorKey, vbsScriptName... Paramita xorKey ti o ti fipamọ awọn bọtini fun a decrypting ik payload, ati awọn sile vbsScriptPath и vbsScriptName won gbe ni ibere lati forukọsilẹ a VBS akosile ni autorun.
Apejuwe ti DLL ìkàwé
Ni fọọmu ti a kojọpọ, bootloader dabi eyi:
Agberu ni fọọmu ti a kojọpọ (iṣẹ pẹlu eyiti ipaniyan ti ile-ikawe DLL ti bẹrẹ jẹ itọka ni pupa)
Awọn bootloader ni aabo nipasẹ awọn .Net Reactor Olugbeja. IwUlO de4dot n ṣe iṣẹ ti o dara julọ ti yiyọ aabo yii kuro.
Agberu yii:
itasi fifuye isanwo sinu ilana eto (ni apẹẹrẹ yii o svchost.exe);
Mo fi iwe afọwọkọ VBS kun si autorun.
Payload abẹrẹ
Jẹ ki a wo iṣẹ ti iwe afọwọkọ PowerShell pe.
Iṣẹ ti a pe nipasẹ iwe afọwọkọ PowerShell
Iṣẹ yii ṣe awọn iṣe wọnyi:
decrypted meji data ṣeto (array и array2 ninu sikirinifoto). Wọn ni akọkọ fisinuirindigbindigbin ni lilo gzip ati ti paroko pẹlu XOR algorithm pẹlu bọtini xorKey;
daakọ data si soto iranti agbegbe. Data lati array - si agbegbe iranti tọka si intPtr (payload pointer ni sikirinifoto); data lati array2 - si agbegbe iranti tọka si intPtr2 (shellcode pointer ni sikirinifoto);
ti a npe ni iṣẹ CallWindowProcA(apejuwe Iṣẹ yii wa lori oju opo wẹẹbu Microsoft) pẹlu awọn paramita atẹle (awọn orukọ ti awọn paramita ti wa ni akojọ si isalẹ, ninu sikirinifoto wọn wa ni aṣẹ kanna, ṣugbọn pẹlu awọn iye iṣẹ):
lpPrevWndFunc - ijuboluwole si data lati array2;
hWnd - ijuboluwole si okun ti o ni ọna ti o lọ si faili ti o le ṣiṣẹ svchost.exe;
Msg - ijuboluwole si data lati array;
wParam, lParam - awọn paramita ifiranṣẹ (ninu ọran yii, awọn paramita wọnyi ko lo ati pe wọn ni awọn iye ti 0);
ṣẹda faili %AppData%MicrosoftWindowsStart MenuProgramsStartup<name>.urlnibo <name> - iwọnyi ni awọn ohun kikọ 4 akọkọ ti paramita naa vbsScriptName (ninu sikirinifoto, ajẹkù koodu pẹlu iṣe yii bẹrẹ pẹlu aṣẹ naa File.Copy). Ni ọna yii, malware ṣafikun faili URL kan si atokọ ti awọn faili autorun nigbati olumulo wọle ati nitorinaa di asopọ si kọnputa ti o ni arun. Faili URL ni ọna asopọ kan si iwe afọwọkọ naa ninu:
Nitorina nigbati o ba ṣiṣẹ iṣẹ naa CallWindowProcA pẹlu paramita hWnd, Msg, wParam, lParam shellcode lati orun ti wa ni ṣiṣẹ array2 pẹlu awọn ariyanjiyan hWnd и Msg. hWnd jẹ itọka si okun ti o ni ọna si faili ti o le ṣiṣẹ svchost.exe, ati Msg - ijuboluwole si ik payload.
Awọn shellcode gba awọn adirẹsi iṣẹ lati kernel32.dll и ntdll32.dll da lori awọn iye hash lati awọn orukọ wọn ati itasi fifuye isanwo ikẹhin sinu iranti ilana svchost.exelilo ilana Hollowing ilana (o le ka diẹ ẹ sii nipa rẹ ni yi article). Nigbati o ba nfi koodu shell sii:
ṣẹda ilana svchost.exe ni ipo ti o daduro nipa lilo iṣẹ naa CreateProcessW;
lẹhinna tọju ifihan apakan ni aaye adirẹsi ilana naa svchost.exe lilo iṣẹ naa NtUnmapViewOfSection. Bayi, eto naa ni ominira iranti ti ilana atilẹba svchost.exelati lẹhinna pin iranti fun fifuye isanwo ni adirẹsi yii;
soto iranti fun sisanwo ni aaye adirẹsi ilana svchost.exe lilo iṣẹ naa VirtualAllocEx;
Bẹrẹ ilana abẹrẹ
kowe awọn akoonu ti sisanwo sinu aaye adirẹsi ilana svchost.exe lilo iṣẹ naa WriteProcessMemory (bi ninu sikirinifoto ni isalẹ);
tun bẹrẹ ilana naa svchost.exe lilo iṣẹ naa ResumeThread.
Ipari ilana abẹrẹ
Igbasilẹ malware
Bi abajade awọn iṣe ti a ṣalaye, ọkan ninu ọpọlọpọ awọn malware-kilasi RAT ti fi sori ẹrọ lori eto ti o ni akoran. Tabili ti o wa ni isalẹ ṣe atokọ awọn malware ti a lo ninu ikọlu, eyiti a le fi igboya sọ si ẹgbẹ kan ti awọn ikọlu, nitori awọn apẹẹrẹ ti wọle si aṣẹ kanna ati olupin iṣakoso.
Awọn apẹẹrẹ ti malware pinpin pẹlu olupin iṣakoso kanna
Awọn nkan meji jẹ akiyesi nibi.
Ni akọkọ, otitọ pupọ pe awọn ikọlu lo ọpọlọpọ awọn idile RAT oriṣiriṣi ni ẹẹkan. Ihuwasi yii kii ṣe aṣoju fun awọn ẹgbẹ cyber ti a mọ daradara, eyiti o nigbagbogbo lo isunmọ eto awọn irinṣẹ kanna ti o faramọ wọn.
Ni ẹẹkeji, RATKing lo malware ti o jẹ boya ta lori awọn apejọ pataki fun idiyele kekere, tabi paapaa jẹ iṣẹ akanṣe orisun ṣiṣi.
Atokọ pipe diẹ sii ti malware ti a lo ninu ipolongo — pẹlu akiyesi pataki kan — ni a fun ni ipari nkan naa.
Nipa ẹgbẹ
A ko le sọ ipolongo irira ti a ṣalaye si eyikeyi awọn ikọlu ti a mọ. Ni bayi, a gbagbọ pe awọn ikọlu wọnyi jẹ nipasẹ ẹgbẹ tuntun ti ipilẹṣẹ. Gẹgẹbi a ti kọ ni ibẹrẹ, a pe ni RATKing.
Lati ṣẹda iwe afọwọkọ VBS, o ṣee ṣe ki ẹgbẹ naa lo ọpa kan ti o jọra si ohun elo naa VBS-Crypter lati Olùgbéejáde NYAN-x-nran. Eyi jẹ itọkasi nipasẹ ibajọra ti iwe afọwọkọ ti eto yii ṣẹda pẹlu iwe afọwọkọ awọn ikọlu. Ni pato, awọn mejeeji:
ṣe idaduro ipaniyan nipa lilo iṣẹ naa Sleep;
lo WMI;
forukọsilẹ awọn ara ti awọn executable faili bi a bọtini iforukọsilẹ paramita;
ṣiṣẹ faili yii ni lilo PowerShell ni aaye adirẹsi tirẹ.
Fun mimọ, ṣe afiwe aṣẹ PowerShell lati ṣiṣe faili kan lati iforukọsilẹ, eyiti o lo nipasẹ iwe afọwọkọ ti o ṣẹda nipa lilo VBS-Crypter:
Ṣe akiyesi pe awọn ikọlu naa lo ohun elo miiran lati NYAN-x-CAT bi ọkan ninu awọn ẹru isanwo - LimeRAT.
Awọn adirẹsi ti awọn olupin C&C tọkasi ẹya iyasọtọ miiran ti RATKing: ẹgbẹ fẹran awọn iṣẹ DNS ti o ni agbara (wo atokọ ti awọn C&C ni tabili IoC).
IoC
Tabili ti o wa ni isalẹ n pese atokọ pipe ti awọn iwe afọwọkọ VBS ti o ṣee ṣe julọ jẹ ikasi si ipolongo ti a ṣalaye. Gbogbo awọn iwe afọwọkọ wọnyi jọra wọn si ṣe isunmọ awọn iṣe ti ọna kanna. Gbogbo wọn abẹrẹ kilasi RAT malware sinu ilana Windows ti o ni igbẹkẹle. Gbogbo wọn ni awọn adirẹsi C&C ti a forukọsilẹ nipa lilo awọn iṣẹ DNS Yiyi.
Bibẹẹkọ, a ko le sọ pe gbogbo awọn iwe afọwọkọ wọnyi ni a pin nipasẹ awọn ikọlu kanna, ayafi awọn apẹẹrẹ pẹlu awọn adirẹsi C&C kanna (fun apẹẹrẹ, kimjoy007.dyndns.org).