El 27 de agosto de 2018, un especialista en seguridad de la informaci贸n con el sobrenombre SandboxEscaper public贸 en Twitter informaci贸n sobre la vulnerabilidad de d铆a cero. La vulnerabilidad afecta a las versiones de Microsoft Windows del 7 al 10, m谩s precisamente, la interfaz de Llamada a procedimiento local avanzado (ALPC) en el Programador de tareas de Windows. Proporciona escalada de privilegios locales, lo que permite a un atacante aumentar los derechos de c贸digo malicioso desde el nivel de usuario a SYSTEM. No estamos hablando de la divulgaci贸n coordinada de la vulnerabilidad: la cuenta de SandboxEscaper se elimin贸 pronto, no hubo parches de cierre.
El enlace del tweet condujo al
repositorio de GitHub con el c贸digo de explotaci贸n de Prueba de concepto, no solo la versi贸n compilada, sino tambi茅n el c贸digo fuente. Por lo tanto, cualquiera podr铆a modificar y recompilar el exploit para mejorarlo, evitar la detecci贸n o incluirlo en su propio c贸digo.
En general, no es sorprendente que solo dos d铆as despu茅s, la haza帽a apareciera en estado salvaje en la campa帽a del cibergrupo PowerPool. Seg煤n la telemetr铆a de ESET, los pa铆ses objetivo de los atacantes son Rusia, Ucrania, Polonia, Alemania, Reino Unido, Estados Unidos, India, Filipinas, Chile. Hay relativamente pocas v铆ctimas, lo que puede indicar una campa帽a altamente dirigida.
Kit de herramientas de PowerPool
ESET registr贸 un nuevo grupo relativamente recientemente, sin embargo, a disposici贸n de los hackers de PowerPool, una gama bastante amplia de herramientas. A continuaci贸n, consideramos brevemente algunos de ellos.
Explotaci贸n de escalada de privilegios locales en ALPC
Los desarrolladores de PowerPool no utilizaron el archivo binario publicado por SandboxEscaper; modificaron ligeramente el c贸digo fuente y lo volvieron a compilar. El exploit tambi茅n ha sido observado
por investigadores de seguridad y equipos de
CERT .
Figura 1. Descripci贸n del exploit de derechos de autorLa violaci贸n est谩 en la
SchRpcSetSecurity API
SchRpcSetSecurity , que no valida los derechos del usuario correctamente. Por lo tanto, el usuario puede escribir cualquier archivo en
C:\Windows\Task , independientemente de los permisos reales; si hay un permiso de lectura, es posible reemplazar el contenido de un archivo protegido contra escritura.
Cualquier usuario puede escribir archivos en
C:\Windows\Task , por lo que en esta carpeta puede crear un archivo que sea un enlace r铆gido a cualquier archivo de
destino . Luego, llamando a la funci贸n
SchRpcSetSecurity , puede acceder al acceso de escritura a este archivo de destino. Para proporcionar una escalada de privilegios local, el atacante debe seleccionar el archivo de destino que se sobrescribir谩; es importante que este archivo se ejecute autom谩ticamente con derechos de administrador. Alternativamente, puede ser un archivo del sistema o una utilidad para actualizar el software instalado previamente, que se ejecuta regularmente. El 煤ltimo paso es reemplazar el contenido del archivo de destino con c贸digo malicioso. Por lo tanto, en la pr贸xima ejecuci贸n autom谩tica, el malware tendr谩 derechos de administrador, independientemente de los derechos originales.
Los desarrolladores de PowerPool decidieron cambiar el contenido del archivo
C:\Program Files (x86)\Google\Update\GoogleUpdate.exe . Este es un actualizador leg铆timo para aplicaciones de Google, se ejecuta regularmente con derechos de administrador a trav茅s de la tarea de Microsoft Windows.
Figura 2. Crear un enlace duro a Google Updater
Figura 3. Uso de SchRpcCreateFolder para cambiar los permisos del ejecutable de Google UpdaterLa secuencia de operaciones en la figura anterior permite a los operadores de PowerPool obtener permisos de escritura para el archivo ejecutable
GoogleUpdate.exe . Luego lo sobrescriben, reemplaz谩ndolos con una copia de su malware de segunda etapa (lo describiremos a continuaci贸n) para obtener derechos de administrador la pr贸xima vez que se llame al actualizador.
Compromiso inicial
El equipo de PowerPool utiliza diferentes m茅todos para primero comprometer a la v铆ctima. Uno de ellos es el env铆o de correo no deseado con malware de la primera etapa del archivo adjunto. Es temprano para sacar conclusiones, pero hasta ahora hemos observado muy pocas muestras en los datos de telemetr铆a, por lo que suponemos que los destinatarios se seleccionan cuidadosamente y no estamos hablando de correos masivos.
Por otro lado, sabemos que en el pasado PowerPool ya practicaba correos no deseados. Seg煤n
una publicaci贸n de blog de SANS publicada en mayo de 2018, utilizaron un esquema con archivos de Enlace simb贸lico (.slk) para propagar malware. Microsoft Excel puede cargar estos archivos que actualizan la celda y hacen que Excel ejecute el c贸digo de PowerShell. Parece que estos archivos .slk tambi茅n se distribuyen en mensajes de spam. Seg煤n el primer archivo mencionado en la publicaci贸n SANS (SHA-1: b2dc703d3af1d015f4d53b6dbbeb624f5ade5553), puede encontrar la muestra de spam correspondiente en VirusTotal (SHA-1: e0882e234cba94b5cf3df2c05949e2e228beddb)
Figura 4. Spam de PowerPoolPuertas traseras de Windows
El grupo PowerPool generalmente funciona con dos puertas traseras: la puerta trasera de la primera etapa se usa despu茅s del compromiso inicial, la puerta trasera de la segunda etapa se implementa solo en las m谩quinas de inter茅s.
Puerta trasera de la primera etapa
Este es el malware b谩sico utilizado para la inteligencia. Consta de dos ejecutables de Windows.
El primero de ellos es la puerta trasera principal, que proporciona persistencia a trav茅s del servicio. Tambi茅n crea un mutex llamado
MyDemonMutex%d , donde
%d est谩 en el rango de 0 a 10. La puerta trasera recopila informaci贸n del proxy, la direcci贸n del servidor C&C est谩 codificada en un archivo binario. El malware puede ejecutar comandos y realizar inteligencia b谩sica en el sistema, transfiriendo datos al servidor de C&C.
Figura 5. Recopilaci贸n de informaci贸n del proxyEl segundo de los archivos ejecutables tiene un prop贸sito. Toma una captura de pantalla y la escribe en el archivo
MyScreen.jpg , que luego se puede filtrar por la puerta trasera principal.
Segunda puerta trasera
Malvar se carga durante la primera etapa, presumiblemente si la m谩quina parece interesante para los operadores. Sin embargo, el programa no es como una puerta trasera ART moderna.
La direcci贸n del servidor C&C est谩 codificada en formato binario, no existe un mecanismo para actualizar este importante elemento de configuraci贸n. La puerta trasera busca comandos desde
http://[C&C domain]/cmdpool y descarga archivos adicionales desde
http://[C&C domain]/upload . Los archivos adicionales son principalmente herramientas para el movimiento horizontal, mencionados a continuaci贸n.
Comandos soportados:
- ejecuta el comando
- completa el proceso
- enviar archivo
- descargar archivo
- ver el contenido de la carpeta
Los comandos se env铆an en formato JSON. Los siguientes ejemplos son solicitudes para ejecutar comandos y enumerar carpetas:
Figura 6. Ejemplos de comandos de puerta traseraHerramientas para movimiento horizontal.
Al proporcionar acceso constante al sistema utilizando la puerta trasera de la segunda etapa, los operadores de PowerPool utilizan varias herramientas de c贸digo abierto, escritas principalmente en PowerShell, para el movimiento horizontal en la red.
-
PowerDump : m贸dulo Metasploit que puede recuperar nombres de usuario y hashes del Administrador de cuentas de seguridad.
-
PowerSploit : una colecci贸n de m贸dulos de PowerShell, a la Metasploit.
-
SMBExec : una herramienta de PowerShell para ejecutar ataques pass-the-hash utilizando el protocolo SMB.
-
Quarks PwDump : un ejecutable de Windows que puede extraer credenciales.
-
FireMaster : ejecutable de Windows que puede extraer contrase帽as guardadas de Outlook, navegadores web, etc.
Conclusi贸n
La divulgaci贸n de vulnerabilidades antes del lanzamiento de actualizaciones pone a los usuarios en riesgo. En este caso, incluso la 煤ltima versi贸n de Windows puede verse comprometida.
CERT-CC ofrece una soluci贸n para el problema, que, sin embargo, no ha sido oficialmente acordado por Microsoft.
El ataque de PowerPool apunta a un n煤mero limitado de usuarios. Sin embargo, el incidente muestra que los atacantes siempre est谩n actualizados e implementan r谩pidamente nuevos exploits.
Los especialistas de ESET contin煤an monitoreando la explotaci贸n de la nueva vulnerabilidad. Los indicadores de compromiso tambi茅n est谩n disponibles
en GitHub .
Indicadores de compromiso
Hashes
Stage One Backdoor (Win32 / Agent.SZS) 038f75dcf1e5277565c68d57fa1f4f7b3005f3f3
Stage One Backdoor (Win32 / Agent.TCH) 247b542af23ad9c63697428c7b77348681aadc9a
Puerta trasera de segunda etapa (Win32 / Agent.TIA) 0423672fe9201c325e33f296595fb70dcd81bcd9
Puerta trasera de segunda etapa (Win32 / Agent.TIA) b4ec4837d07ff64e34947296e73732171d1c1586
LPPC explotar ALPC (Win64 / Exploit.Agent.H) 9dc173d4d4f74765b5fc1e1c9a2d188d5387beea
Detecci贸n de ESET
- Win32 / Agent.SZS
- Win32 / Agent.TCH
- Win32 / Agent.TEL
- Win32 / Agent.THT
- Win32 / Agent.TDK
- Win32 / Agent.TIA
- Win32 / Agent.TID
Servidores C&C
- newsrental [.] Net
- rosbusiness [.] Eu
- afishaonline [.] Eu
- coleccionistas deportivos [.] Com
- 27.102.106 [.] 149