Un estudio de la nueva puerta trasera del cibergrupo TeleBots detr谩s de la epidemia del codificador NotPetya revel贸 una similitud significativa del c贸digo con la puerta trasera principal de Industroyer, lo que confirma la relaci贸n que se rumoreaba anteriormente.
Entre los mayores incidentes cibern茅ticos de los 煤ltimos a帽os se encuentran los
ataques a
empresas energ茅ticas ucranianas y la
epidemia del codificador NotPetya . En una publicaci贸n examinaremos la relaci贸n entre estos eventos.
El primer corte de energ铆a masivo causado por un ciberataque en la historia ocurri贸 en diciembre de 2015, debido al
paquete de malware
BlackEnergy . Los especialistas de ESET
monitorearon la actividad del grupo ART utilizando BlackEnergy, tanto antes como despu茅s de este evento. Despu茅s del apag贸n de 2015, el grupo aparentemente apag贸 el trabajo activo con BlackEnergy y evolucion贸 a lo que ahora llamamos
TeleBots .
Cabe se帽alar aqu铆 que cuando hablamos del grupo ART, nos referimos a indicadores t茅cnicos comunes: similitud de c贸digo, infraestructura de red com煤n (C&C), cadenas de ejecuci贸n de malware, etc. Por regla general, no participamos directamente en la investigaci贸n e identificaci贸n de desarrolladores o operadores. El t茅rmino "grupo ART" no tiene una definici贸n clara y a menudo se usa para caracterizar par谩metros de malware. Por estas razones, nos abstenemos de especular sobre la fuente de los ataques, la identidad nacional o estatal de los atacantes.
En cualquier caso, encontramos una conexi贸n entre los ataques de BlackEnergy (dirigidos a empresas de energ铆a ucranianas, as铆 como otras industrias e instalaciones de alto rango) y las campa帽as del grupo TeleBots (principalmente contra el sector financiero ucraniano).
En junio de 2017, las empresas de todo el mundo sufrieron de
Diskcoder.C viper (m谩s conocida como Petya / NotPetya): la naturaleza masiva de la infecci贸n, aparentemente, fue un tipo de efecto secundario. Al estudiar el incidente, descubrimos que las empresas infectadas con la
puerta trasera del grupo TeleBots se convirtieron en el "paciente cero" de esta epidemia como resultado del compromiso del software de contabilidad MEDoc, popular en las empresas ucranianas.
La pregunta es, 驴
qu茅 tiene que ver
Industroyer con esta historia? Un complejo complejo malicioso que caus贸 el apag贸n en Kiev en diciembre de 2016. Inmediatamente despu茅s de la publicaci贸n del informe de ESET, algunas compa帽铆as de seguridad de la informaci贸n y los medios sugirieron que Industroyer tambi茅n desarrollara el grupo BlackEnergy / TeleBots (a veces tambi茅n llamado Sandworm). Sin embargo, no se han presentado pruebas hasta la fecha.
En abril de 2018, registramos una nueva actividad del grupo TeleBots: un intento de implementar una nueva
puerta trasera Win32 / Exaramel . Nuestro an谩lisis mostr贸 que esta puerta trasera es una versi贸n mejorada de la puerta trasera principal de Industroyer, que fue la primera prueba.
An谩lisis de puerta trasera Win32 / Exaramel
La puerta trasera Win32 / Exaramel se instala inicialmente con un cuentagotas. Seg煤n los metadatos del cuentagotas, la puerta trasera se compil贸 en Microsoft Visual Studio inmediatamente antes de la implementaci贸n en una computadora comprometida en particular.
Figura 1. Marca de tiempo PE del cuentagotas de puerta trasera Win32 / ExaramelDespu茅s de la ejecuci贸n, el cuentagotas coloca el binario Win32 / Exaramel en el directorio del sistema de Windows e inicia el servicio de Windows con el nombre
wsmproav con la descripci贸n "Windows Check AV". El nombre del archivo y la descripci贸n del servicio de Windows est谩n codificados en el cuentagotas.
Figura 2. Configuraci贸n de registro de servicio de Windows creada por la puerta trasera Win32 / ExaramelAdem谩s, el cuentagotas escribe la configuraci贸n de puerta trasera en el registro de Windows en formato XML.
Figura 3. Configuraci贸n XML de Win32 / ExaramelLa configuraci贸n consta de varios bloques:
-
Intervalo : tiempo en milisegundos utilizado para la funci贸n Sleep
-
Servidores - lista de servidores de comando (C&C)
-
Verificar : un sitio web utilizado para determinar si un host tiene acceso a Internet
-
Proxy - servidor proxy en la red host
-
Almacenamiento : la ruta utilizada para almacenar archivos destinados a la exfiltraci贸n
Como puede ver en la primera l铆nea de la configuraci贸n, los atacantes agrupan objetivos en funci贸n de los productos antivirus utilizados. Se utiliza un enfoque similar en el complejo Industroyer: en particular, algunas puertas traseras de Industroyer tambi茅n se disfrazaron como un servicio antivirus (implementado bajo el nombre
avtask.exe ) y utilizaron el mismo enfoque para la agrupaci贸n.
Otro hecho interesante es que la puerta trasera utiliza servidores C&C cuyos nombres de dominio imitan dominios que pertenecen a ESET. Adem谩s de
esetsmart[.]org de la configuraci贸n anterior, encontramos un dominio similar
um10eset[.]net , que fue utilizado por la versi贸n Linux recientemente abierta del malware TeleBots. Es importante tener en cuenta que estos servidores controlados por atacantes no est谩n relacionados con la
infraestructura de red ESET leg铆tima . En la actualidad, no hemos encontrado que Exaramel use dominios que imiten la infraestructura de otras compa帽铆as de seguridad de la informaci贸n.
Despu茅s de comenzar, la puerta trasera establece una conexi贸n con el servidor C&C y recibe comandos para su ejecuci贸n en el sistema. A continuaci贸n se muestra una lista de comandos disponibles:
- Comenzando el proceso
- Iniciar un proceso desde un usuario espec铆fico de Windows
- Escribir datos en un archivo en una ruta determinada
- Copie el archivo al subdirectorio de almacenamiento (Descargar archivo)
- Ejecute un comando de shell
- Ejecute un comando de shell desde un usuario espec铆fico de Windows
- Ejecute el c贸digo VBS usando
MSScriptControl.ScriptControl.1El c贸digo del ciclo de comandos y la implementaci贸n de los primeros seis comandos en Win32 / Exaramel es muy similar a la puerta trasera del paquete de software Industroyer.
Figura 4. Comparaci贸n del c贸digo de puerta trasera Win32 / Exaramel descompilado (izquierda) y Win32 / Industroyer (derecha)Ambas familias de malware utilizan un archivo de informe para almacenar la salida de los comandos de shell ejecutados y los procesos en ejecuci贸n. En el caso de la puerta trasera Win32 / Industroyer, el archivo de informe se almacena en una carpeta temporal con un nombre aleatorio; en Win32 / Exaramel, el archivo de informe se llama
report.txt , y su ruta al repositorio se especifica en el archivo de configuraci贸n de puerta trasera.
Para redirigir la salida est谩ndar (stdout) y el error est谩ndar (stderr) al archivo de informe, ambas puertas traseras configuran los par谩metros
hStdOutput y
hStdError en el descriptor del archivo de informe. Esta es otra similitud entre estas familias de malware.
Figura 5. Comparaci贸n del c贸digo de puerta trasera Win32 / Exaramel y Win32 / Industroyer descompilado, respectivamenteSi los operadores de malware desean extraer archivos de la computadora de la v铆ctima, solo necesitan copiar estos archivos en un subdirectorio de la ruta de almacenamiento de
data especificada en la configuraci贸n. Antes de establecer una nueva conexi贸n con el servidor C&C, la puerta trasera comprimir谩 y cifrar谩 autom谩ticamente estos archivos antes de enviarlos.
La principal diferencia entre la puerta trasera Industroyer y la nueva puerta trasera TeleBots es que esta 煤ltima utiliza el formato XML para la comunicaci贸n y las configuraciones en lugar del formato binario personalizado.
Herramientas de robo de contrase帽as maliciosas
Junto con Exaramel, el grupo TeleBots utiliza algunas de las herramientas antiguas, incluida una herramienta de robo de contrase帽a (el nombre interno es CredRaptor o PAI) y Mimikatz ligeramente modificado.
La herramienta avanzada de robo de contrase帽as CredRaptor, utilizada solo por este grupo desde 2016, se ha finalizado. A diferencia de las versiones anteriores, recopila contrase帽as guardadas no solo de los navegadores, sino tambi茅n de Outlook y varios clientes FTP. A continuaci贸n se muestra una lista de aplicaciones compatibles:
- FTP de BitKinex
- Cliente FTP BulletProof
- FTP cl谩sico
- CoffeeCup
- FTP central
- Cryer WebSitePublisher
- CuteFTP
- Gerente FAR
- filezilla
- FlashFXP
- fragata3
- FTP Commander
- FTP Explorer
- Navegador FTP
- Google Chrome
- Internet Explorer 7 - 11
- Mozilla Firefox
- Opera
- Perspectivas 2010, 2013, 2016
- SmartFTP
- Cliente FTP SoftX
- Comandante total
- TurboFTP
- B贸veda de Windows
- WinSCP
- Cliente WS_FTP
Las mejoras permiten a los atacantes recopilar datos de cuentas de webmaster de sitios web y de servidores en la infraestructura interna. Al tener acceso a dichos servidores, puede instalar puertas traseras adicionales. Muy a menudo, estos servidores tienen un sistema operativo distinto de Windows instalado, por lo que los atacantes tienen que adaptar las puertas traseras.
Durante la respuesta al incidente, descubrimos la puerta trasera Linux de TeleBots:
Linux / Exaramel.A .
An谩lisis de puerta trasera de Linux / Exaramel
La puerta trasera est谩 escrita en el lenguaje de programaci贸n Go y compilada como un binario ELF de 64 bits. Los atacantes pueden desplegar una puerta trasera en el directorio seleccionado con cualquier nombre.
Si la puerta trasera es ejecutada por atacantes con la cadena 'none' como argumento de l铆nea de comando, intenta usar mecanismos de persistencia para iniciarse autom谩ticamente despu茅s de un reinicio. Si la puerta trasera no se ejecuta bajo la cuenta ra铆z, usa el archivo
crontab . Sin embargo, si se ejecuta como root, es compatible con varios sistemas de
init Linux. Determina qu茅 sistema de
init est谩 actualmente en uso ejecutando el comando:
strings /sbin/init | awk 'match($0, /(upstart|systemd|sysvinit)/){ print substr($0, RSTART, RLENGTH);exit; }'Seg煤n el resultado, la puerta trasera utiliza las siguientes ubicaciones codificadas para garantizar la persistencia (en lo sucesivo, el sistema Init y su ubicaci贸n):
sysvinit - /etc/init.d/syslogd
upstart - /etc/init/syslogd.conf
systemd - /etc/systemd/system/syslogd.service
Durante el inicio, la puerta trasera intenta abrir el archivo de configuraci贸n, que se almacena en el mismo directorio que la puerta trasera, bajo el nombre
config.json . Si el archivo de configuraci贸n no existe, se crea un nuevo archivo. La configuraci贸n se cifra utilizando la clave
s0m3t3rr0r y el algoritmo RC4.
Figura 6. Configuraci贸n descifrada de JSON de puerta trasera Linux / ExaramelLa puerta trasera se conecta a C&C codificados (por defecto, 176.31.225 [.] 204 en la muestra que vimos) o al servidor C&C especificado en el archivo de configuraci贸n como
Hosts . Las comunicaciones son a trav茅s de HTTPS. La puerta trasera admite los siguientes comandos:
App.Update - actualiza a la nueva versi贸n
App.Delete -
autoextracci贸n del sistema
App.SetProxy : establece la configuraci贸n del servidor proxy en la configuraci贸n
App.SetServer : actualizaci贸n del servidor C&C en la configuraci贸n
App.SetTimeout : configuraci贸n del valor de tiempo de espera (intervalos entre conexiones al servidor C y C)
IO.WriteFile : descarga de un archivo desde un servidor remoto
IO.ReadFile :
carga de un archivo desde un disco local a un servidor C&C
OS.ShellExecute : ejecuta un comando de shell
Conclusi贸n
La apertura de Exaramel muestra que el grupo TeleBots permanece activo en 2018, y los atacantes contin煤an mejorando t谩cticas y herramientas.
Las similitudes significativas entre el c贸digo Win32 / Exaramel y la puerta trasera principal de Industroyer son la primera evidencia presentada p煤blicamente que vincula a Industroyer con el grupo TeleBots y, por lo tanto, con las cibercampa帽as NotPetya y BlackEnergy. Al establecer un v铆nculo entre las fuentes de los ciberataques, vale la pena considerar la posibilidad de error o enga帽o deliberado, pero en este caso consideramos que esto es poco probable.
Vale la pena se帽alar que las versiones Win32 y Linux de la puerta trasera Exaramel fueron descubiertas en una organizaci贸n que no est谩 relacionada con la industria. Los expertos de ESET informaron el descubrimiento a las autoridades investigadoras de Ucrania, por lo que el ataque se localiz贸 oportunamente y se evit贸.
ESET contin煤a monitoreando la actividad de este cybergroup.
Indicadores de compromiso (IoC)
Detecci贸n de ESET
Win32/Exaramel trojan
Win32/Agent.TCD trojan
Linux/Agent.EJ trojan
Linux/Exaramel.A trojan
Win32/PSW.Agent.OEP trojan
Win32/RiskWare.Mimikatz.Z application
Win64/Riskware.Mimikatz.AI applicationSHA-1 hashes
Backdoor Win32 / Exaramel Cybergroup TeleBots65BC0FF4D4F2E20507874F59127A899C26294BC7
3120C94285D3F86A953685C189BADE7CB575091DHerramienta de robo de contrase帽aF4C4123849FDA08D1268D45974C42DEB2AAE3377
970E8ACC97CE5A8140EE5F6304A1E7CB56FA3FB8
DDDF96F25B12143C7292899F9D5F42BB1D27CB20
64319D93B69145398F9866DA6DF55C00ED2F593E
1CF8277EE8BF255BB097D53B338FC18EF0CD0B42
488111E3EB62AF237C68479730B62DD3F52F8614Mimikatz458A6917300526CC73E510389770CFF6F51D53FC
CB8912227505EF8B8ECCF870656ED7B8CA1EB475Linux / ExaramelF74EA45AD360C8EF8DB13F8E975A5E0D42E58732Servidores C y C
um10eset[.]net (IP: 176.31.225.204)
esetsmart[.]org (IP: 5.133.8.46)