El grupo ciberdelincuente RTM ha estado robando dinero de clientes bancarios desde 2015. La mayor铆a de sus v铆ctimas son compa帽铆as rusas. El software malicioso utilizado por los ciberdelincuentes tambi茅n se conoce com煤nmente como RTM en la comunidad de seguridad de la informaci贸n.
Se han escrito muchos informes t茅cnicos sobre este programa, que describen en detalle el mecanismo general del malware. En este art铆culo, nos centraremos en los m茅todos para obtener las direcciones de los servidores RTM de gesti贸n (C&C). En cada iteraci贸n del programa, los atacantes abordan de manera inventiva esta tarea: distribuyen la direcci贸n a trav茅s de blogs, usan el sistema de servidores DNS alternativos y la red Tor. El otro d铆a, descubrimos que RTM comenz贸 a ocultar IP en transacciones en una billetera bitcoin.
驴Qu茅 es el RTM?
En esencia, RTM es un troyano bancario. El objetivo principal del programa es permitir a los atacantes manipular las 贸rdenes de pago de la empresa v铆ctima para transferir silenciosamente sus fondos a la cuenta de los ciberdelincuentes.
Por lo general, RTM se entrega a la computadora de la v铆ctima a trav茅s de listas de correo, m谩s raramente a trav茅s de sitios pirateados (como publicaciones de noticias) o recursos falsos para contadores. Los delincuentes adjuntan un archivo ejecutable empaquetado a las cartas. Como un medio de empaquetado, los atacantes usan tanto su propio desarrollo como archivos autoextra铆bles.
Ejemplos de archivos ejecutables .exe distribuidos por el grupo RTM
Los archivos de muestra en la figura est谩n ordenados en orden de distribuci贸n. La mayor铆a de las veces, los ejecutables RTM se empacaron con un empaquetador personalizado y se disfrazaron como un documento PDF. A principios de 2019, comenzaron a aparecer las primeras muestras, que son un archivo RAR autoextra铆ble y se disfrazan como un archivo en formato DOCX. RTM se distribuye actualmente como un archivo CAB autoextra铆ble.
Representaci贸n binaria del archivo "Payment 11.06.exe"
Despu茅s de comenzar, el archivo ejecutable copia el archivo DLL empaquetado en el disco y lo inicia utilizando la utilidad rundll32.exe. Como regla general, el nombre interno de esta biblioteca es core.dll. Su operaci贸n posterior se produce en el espacio de direcciones del proceso rundll32.exe.
Es core.dll el que proporciona la interacci贸n principal con el servidor de control RTM, a trav茅s del cual el programa recibe comandos y m贸dulos adicionales de los atacantes.
Los m贸dulos se entregan en forma cifrada y se pueden iniciar de varias maneras. Estos componentes brindan a los atacantes la capacidad de controlar de forma remota una computadora comprometida, sustituir documentos de pago en el sistema 1C, etc.
Formas de encontrar un servidor de administraci贸n
En las primeras versiones de RTM, se utiliz贸 una fuente RSS para actualizar las direcciones de los servidores de control. Los atacantes crearon un blog en LiveJournal que contiene direcciones de C&C en forma cifrada. Para obtener nuevas direcciones de servidores de control, se envi贸 una solicitud a la direcci贸n hxxps: //.livejournal [.] Com / data / rss / y la respuesta se proces贸 en el siguiente formato (por ejemplo, https://f72bba81c921.livejournal.com/data/rss/ ) :
Contenido del feed RSS. El campo de descripci贸n contiene direcciones cifradas de servidores de control.
L铆neas descifradas con la direcci贸n inicial del servidor de gesti贸n y la direcci贸n de la fuente RSS
.bit
En marzo de 2016, RTM comenz贸 a usar dominios en la zona .bit como las direcciones de los servidores de control. Est谩n respaldados por un registrador DNS Namecoin alternativo basado en la tecnolog铆a blockchain. El sistema est谩 descentralizado, por lo que los dominios .bit son dif铆ciles de bloquear.
Las direcciones IP de los servidores de administraci贸n en .bit RTM se obtuvieron de una de dos maneras:
- a trav茅s de la API de navegador de bloque Namecoin;
- a trav茅s de la resoluci贸n de nombres de dominio utilizando servidores DNS especiales.
La funci贸n de obtener direcciones IP de servidores de administraci贸n
En la funci贸n de obtener direcciones IP de servidores de control a trav茅s de la API del navegador de bloques Namecoin, el contenido se procesa en la direcci贸n hxxps: //namecoin.cyphrs [.] Com / api / name_show / d / stat-counter-7 (utilizando el dominio stat-counter como ejemplo -7 [.] Bit):
La funci贸n de obtener direcciones IP de servidores de control a trav茅s de la API del navegador de bloques Namecoin
Las direcciones IP del servidor de administraci贸n se obtienen del cuerpo de respuesta. Adem谩s de las solicitudes a hxxps: //namecoin.cyphrs [.] Com / api / name_show / d /, los atacantes tambi茅n utilizaron solicitudes para hxxps: // namecha [.] En / name / d /, procesando el campo "Valor actual":
Contenido de la p谩gina web en URL hxxps: // namecha [.] En / name / d / stat-counter-7
Si no fue posible obtener una direcci贸n IP de esta manera, los atacantes resuelven el nombre de dominio del servidor de control con la funci贸n DnsQuery_A utilizando servidores DNS especiales (tomados, por ejemplo, de aqu铆 ).
El uso de la funci贸n DnsQuery_A en el c贸digo de la biblioteca core.dll se ve as铆:
La funci贸n de obtener direcciones IP de servidores de administraci贸n a trav茅s de la resoluci贸n de nombres de dominio utilizando servidores DNS especiales
La funci贸n DnsQuery_A tiene el siguiente prototipo:
El prototipo de la funci贸n DnsQuery_A declarada en el archivo de encabezado WinDNS.h
El cuarto argumento para la funci贸n DnsQuery_A es la direcci贸n de la estructura _IP4_ARRAY en la pila. Contiene una matriz de direcciones IP de servidores DNS especiales:
_IP4_ARRAY estructura en la pila
Si la funci贸n DnsQuery_A se ejecuta con 茅xito, la direcci贸n IP del servidor de gesti贸n se puede obtener leyendo el siguiente valor: pDnsRecord -> Data.A.IpAddress.
Del c贸digo descompilado de una de las instancias se puede ver que se utiliza un servidor DNS especial 188.165 [.] 200.156 para resolver el nombre de dominio de C&C. Y en caso de falla, se utiliza una lista de tres servidores DNS: 91.217 [.] 137.37, 188.165 [.] 200.156, 217.12 [.] 210.54.
Tor
El 15 de febrero de 2019, descubrimos por primera vez muestras RTM cuyo servidor de administraci贸n se encuentra en la red Tor (hxxp: // 5aaw3unbkm5jqx7d [.] Onion / index [.] Php).
Direcci贸n del servidor de gesti贸n Tor entre cadenas descifradas
La secci贸n del c贸digo desmontado donde se analiza la URL del servidor de control
Dichas muestras se enviaron hasta el 9 de abril de 2019, despu茅s de lo cual RTM volvi贸 a usar la zona de dominio .bit.
Bitcoin
El 10 de junio de 2019, descubrimos una muestra RTM que recibe las direcciones IP de los servidores C&C de las transacciones en una billetera criptogr谩fica espec铆fica. Cada direcci贸n IP est谩 oculta en el n煤mero de bitcoins enumerados en dos transacciones.
Para obtener direcciones IP, C&C VPO realiza una solicitud en hxxps: // chain [.] So / api / v2 / get_tx_received / BTC /. La respuesta contiene un conjunto de transacciones a la cuenta de billetera criptogr谩fica. Un ejemplo se muestra en la captura de pantalla:
Considere la secci贸n de c贸digo en la que se obtienen las direcciones IP del servidor de administraci贸n:
La funci贸n FindValue busca la parte fraccionaria del monto de la transferencia. La b煤squeda se lleva a cabo desde el final del b煤fer, y con cada llamada de funci贸n posterior, se procesan los datos, comenzando desde el 铆ndice actual. Es decir, con llamadas sucesivas a la funci贸n FindValue, se obtendr谩n los valores 8483, 40030, 14728, etc. El programa genera dos direcciones IP: cada direcci贸n est谩 oculta en dos traducciones consecutivas.
C贸digo desmontado para obtener una direcci贸n IP de transferencias a una billetera criptogr谩fica
Este c贸digo hace lo siguiente:
ip_address = str(value_1 & 0xff) + "." + str(value_1 >> 0x8) + "." + str(value_0 & 0xff) + "." + str(value_0 >> 0x8)
Es decir, al enumerar 0.00008483 BTC y luego 0.00040030 BTC, los atacantes ocultaron la direcci贸n IP 94.156 [.] 35.33 para su programa. Del mismo modo, de las dos transacciones anteriores, RTM obtiene la segunda direcci贸n IP del servidor de administraci贸n.
Como tal, el malware RTM se est谩 enviando hasta el d铆a de hoy.
Conclusi贸n
Puede notar que al organizar la transferencia de la direcci贸n del servidor de C&C, a RTM le gusta usar enfoques que le permiten cambiar din谩micamente la IP sin modificar el c贸digo fuente del malware.
Por un lado, esto facilita la vida de los atacantes y puede llevar a los analistas por mal camino. Por otro lado, permite a los especialistas predecir las direcciones de los servidores de control antes de que se realicen env铆os maliciosos.