ओशनलोटस: मैकओएस के लिए मालवरी अपडेट

मार्च 2019 में, एक लोकप्रिय ऑनलाइन स्कैनिंग सेवा, वायरसटोटल ने ओशिनलोटस साइबरबर्ग के मैकओएस के लिए एक नया मैलवेयर नमूना अपलोड किया। पिछले दरवाजे निष्पादन योग्य फ़ाइल में मैकओएस के लिए पिछले संस्करण के समान क्षमताएं हैं जो हमने अध्ययन किया था, लेकिन इसकी संरचना बदल गई है और इसका पता लगाना अधिक कठिन हो गया है। दुर्भाग्य से, हम इस नमूने से जुड़े ड्रॉपर को नहीं ढूंढ सके, इसलिए हम अभी तक संक्रमण वेक्टर को नहीं जानते हैं।

हाल ही में, हमने ओशनलोटस के बारे में एक पोस्ट प्रकाशित की और कैसे ऑपरेटर्स दृढ़ता बनाए रखने, कोड निष्पादन में तेजी लाने और विंडोज सिस्टम पर उपस्थिति के निशान को कम करने की कोशिश करते हैं। यह भी ज्ञात है कि इस साइबर समूह में macOS के लिए एक घटक है। यह पोस्ट पिछले संस्करण ( ट्रेंड माइक्रो द्वारा वर्णित ) की तुलना में मैकओएस के लिए मालवेयर के नवीनतम संस्करण में होने वाले बदलावों के बारे में विस्तार से वर्णन करता है , साथ ही साथ आईडीए हेक्स-रेज एपीआई का उपयोग करके स्ट्रिंग डिक्रिप्शन को कैसे स्वचालित कर सकता है।

के विश्लेषण

निम्नलिखित तीन भाग SHA-1 E615632C9998E4D3E5ACD8851864ED09B02C77D2 साथ नमूना विश्लेषण का वर्णन E615632C9998E4D3E5ACD8851864ED09B02C77D2 । फ़ाइल को टॉर्च लाइट कहा जाता है , ESET एंटीवायरस उत्पादों ने इसे OSX / OceanLotus.D के रूप में पहचाना।

एंटी-डिबगिंग और सैंडबॉक्स सुरक्षा

सभी OceanLotus macOS बायनेरिज़ की तरह, नमूना UPX के साथ पैक किया गया है, लेकिन अधिकांश पैकर पहचान उपकरण इसे इस तरह से नहीं पहचानते हैं। संभवतः क्योंकि उनमें मुख्य रूप से एक हस्ताक्षर होता है, जो स्ट्रिंग "यूपीएक्स" की उपस्थिति पर निर्भर करता है, इसके अलावा, माच-ओ हस्ताक्षर कम आम हैं और अक्सर अपडेट नहीं किए जाते हैं। यह सुविधा स्थिर पहचान को मुश्किल बनाती है। दिलचस्प बात यह है कि __cfstring बाद, प्रवेश बिंदु .TEXT सेगमेंट में __cfstring अनुभाग की शुरुआत में है। इस खंड में ध्वज विशेषताएँ हैं, जैसा कि नीचे दी गई छवि में दिखाया गया है।


चित्रा 1. मैक-ओ __cfstring अनुभाग की विशेषताएँ

जैसा कि चित्र 2 में दिखाया गया है, __cfstring सेक्शन में कोड का स्थान __cfstring स्ट्रिंग्स के रूप में कोड प्रदर्शित करके कुछ __cfstring टूल को ट्रिक करने की अनुमति देता है।


चित्रा 2. पिछले दरवाजे कोड आईडीए द्वारा डेटा के रूप में परिभाषित किया गया है

बाइनरी फ़ाइल शुरू करने के बाद डिबगिंग के खिलाफ सुरक्षा के साधन के रूप में एक स्ट्रीम बनाता है, जिसका एकमात्र उद्देश्य डिबगर की उपस्थिति के लिए लगातार जांच करना है। इस धागे के लिए:

• अनुरोध पैरामीटर के रूप में PT_DENY_ATTACH साथ ptrace को कॉल करके किसी भी डिबगर को PT_DENY_ATTACH प्रयास करें
• जाँच करता है कि कुछ अपवाद पोर्ट task_get_exception_ports को कॉल करके खुले हैं
• डिबगर जुड़ा हुआ है, तो जाँच करता है, जैसा कि नीचे की आकृति में दिखाया गया है, वर्तमान प्रक्रिया में P_TRACED ध्वज की उपस्थिति की जाँच करके

चित्रा 3. sysctl फ़ंक्शन का उपयोग करके डिबगर कनेक्शन की जाँच करना

यदि वॉचडॉग डिबगर की उपस्थिति का पता लगाता है, तो exit फ़ंक्शन कहा जाता है। इसके अलावा, नमूना तब दो कमांड निष्पादित करके पर्यावरण की जांच करता है:

ioreg -l | grep -e "Manufacturer" sysctl hw.model

उसके बाद, नमूना ज्ञात वर्चुअलाइजेशन सिस्टम के तारों की हार्ड-कोडित सूची के खिलाफ रिटर्न वैल्यू की जांच करता है: एले , वीएमवेयर , वर्चुअलबॉक्स या समानताएं । अंत में, निम्न कमांड यह जांचता है कि मशीन निम्नलिखित "MBP", "MBA", "MB", "MM", "IM", "MP" और "XS" में से एक है। ये सिस्टम मॉडल कोड हैं, उदाहरण के लिए, "एमबीपी" का अर्थ है मैकबुक प्रो, "एमबीए" का अर्थ है मैकबुक एयर इत्यादि।

system_profiler SPHardwareDataType 2>/dev/null | awk '/Boot ROM Version/ {split($0, line, ":");printf("%s", line[2]);}

प्रमुख जोड़

इस तथ्य के बावजूद कि ट्रेंड माइक्रो अध्ययन के बाद से पिछले टीमें नहीं बदली हैं, हमने कई अन्य संशोधनों पर ध्यान दिया। इस नमूने में उपयोग किए गए C & C सर्वर काफी नए हैं, उनके निर्माण की तिथि 10/22/2018 है।

• daff.faybilodeau [।] ​​कॉम
• sarc.onteagleroad [।] कॉम
• au.charlineopkesston [।] कॉम

संसाधन URL /dp/B074WC4NHW/ref=gbps_img_m-9_62c3_750e6b35 ।
C & C सर्वर को भेजे गए पहले पैकेट में मेजबान मशीन के बारे में अधिक जानकारी होती है, जिसमें नीचे दी गई तालिका से कमांड द्वारा एकत्र किए गए सभी डेटा शामिल होते हैं।



इस कॉन्फ़िगरेशन परिवर्तन के अलावा, नमूना नेटवर्क फ़िल्टरिंग के लिए libcurl लाइब्रेरी का उपयोग नहीं करता है, लेकिन एक बाहरी लाइब्रेरी है। इसे खोजने के लिए, पिछले दरवाजे में gFjMXBgyXWULmVVVzyxy साथ एईएस-256-सीबीसी का उपयोग करके वर्तमान निर्देशिका में प्रत्येक फ़ाइल को डिक्रिप्ट करने की कोशिश की gFjMXBgyXWULmVVVzyxy । प्रत्येक फ़ाइल को डिक्रिप्ट और /tmp/store रूप में सहेजा जाता है, और इसे dlopop फ़ंक्शन का उपयोग करके लाइब्रेरी के रूप में लोड करने का प्रयास किया जाता है। जब डिक्रिप्शन प्रयास सफल dlopen कॉल की ओर जाता है, तो पिछले दरवाजे से निर्यात की गई Boriry और ChadylonV पुनः प्राप्त ChadylonV , जो सर्वर के साथ नेटवर्क संचार के लिए ज़िम्मेदार दिखाई देते हैं। हमारे पास नमूने के स्रोत स्थान से एक ड्रॉपर या अन्य फाइलें नहीं हैं, इसलिए हम इस लाइब्रेरी का विश्लेषण नहीं कर सकते हैं। इसके अलावा, चूंकि घटक एन्क्रिप्ट किया गया है, इन लाइनों पर आधारित YARA नियम डिस्क पर पाई गई फ़ाइल से मेल नहीं खाएगा।

जैसा कि ऊपर के लेख में बताया गया है, cliendID बनाई जाती है। यह पहचानकर्ता निम्न आदेशों में से एक के मूल्य का MD5 हैश है:

- ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformSerialNumber/ { split($0, line, "\""); printf("%s", line[4]); }' ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformSerialNumber/ { split($0, line, "\""); printf("%s", line[4]); }'
- ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformUUID/ { split($0, line, "\""); printf("%s", line[4]); }' ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformUUID/ { split($0, line, "\""); printf("%s", line[4]); }'
- ifconfig en0 | awk \'/ether /{print $2}\' ifconfig en0 | awk \'/ether /{print $2}\' (मैक पता प्राप्त करें)
- अज्ञात कमांड (" \x1e\x72\x0a "), जो पिछले नमूनों में उपयोग किया जाता है

हैशिंग से पहले, "0" या "1" चरित्र को रिटर्न वैल्यू में जोड़ा जाता है, जो रूट विशेषाधिकारों की उपस्थिति को दर्शाता है। यदि यह कोड रूट के रूप में चल रहा है या ~ / लाइब्रेरी / SmartCardsServices / Technology / /Library/Storage/File System/HFS/25cf5d02-e50b-4288-870a-528d56c3cf6e/pivtoken.appex pivtoken.appex में संग्रहीत किया जाता है, तो यह क्लायंटआईडी /Library/Storage/File System/HFS/25cf5d02-e50b-4288-870a-528d56c3cf6e/pivtoken.appex अन्य सभी मामलों में। एक फ़ाइल आमतौर पर _chflags फ़ंक्शन का उपयोग करके छिपाई जाती है; इसकी टाइमस्टैम्प को यादृच्छिक मान के साथ touch –t कमांड का उपयोग करके बदल दिया जाता है।

डिकोडिंग स्ट्रिंग्स

पिछले संस्करणों की तरह, तार AES-256-CBC (हेक्साडेसिमल की: 9D7274AD7BCEF0DED29BDBB428C251DF8B350B92 : 9D7274AD7BCEF0DED29BDBB428C251DF8B350B92 साथ 9D7274AD7BCEF0DED29BDBB428C251DF8B350B92 , और IV को CCCrypt फ़ंक्शन का उपयोग करके भरा गया है) का उपयोग कर एन्क्रिप्ट किया गया है। पिछले संस्करणों से कुंजी को बदल दिया गया है, लेकिन चूंकि समूह अभी भी उसी स्ट्रिंग एन्क्रिप्शन एल्गोरिथ्म का उपयोग करता है, डिक्रिप्शन को स्वचालित किया जा सकता है। इस पोस्ट के अलावा, हम एक आईडीए स्क्रिप्ट जारी कर रहे हैं जो बाइनरी फ़ाइल में मौजूद स्ट्रिंग्स को डिक्रिप्ट करने के लिए हेक्स-रेज एपीआई का उपयोग करता है। यह स्क्रिप्ट ओशनोटस के भविष्य के विश्लेषण और मौजूदा नमूनों के विश्लेषण में मदद कर सकती है जिसे हम अभी तक प्राप्त नहीं कर पाए हैं। स्क्रिप्ट एक समारोह में पारित तर्कों को प्राप्त करने के लिए एक सार्वभौमिक विधि पर आधारित है। वह डेस्टिनेशन सेटिंग्स की भी तलाश कर रहा है। फ़ंक्शन तर्कों की सूची प्राप्त करने के लिए विधि का पुन: उपयोग किया जा सकता है और फिर इसे कॉलबैक में पास किया जा सकता है।

डिक्रिप्ट फ़ंक्शन के प्रोटोटाइप को जानने के बाद, स्क्रिप्ट इस फ़ंक्शन के सभी क्रॉस-रेफरेंस, सभी तर्कों का पता लगाती है, फिर डेटा को डिक्रिप्ट करती है और क्रॉस-रेफरेंस के पते पर टिप्पणी के अंदर सादे टेक्स्ट को रखती है। स्क्रिप्ट को सही तरीके से काम करने के लिए, इसके पास बेस -64 डिकोडिंग फ़ंक्शन द्वारा उपयोग किया जाने वाला उपयोगकर्ता-परिभाषित वर्णमाला होना चाहिए और एक वैश्विक चर जिसमें मुख्य लंबाई निर्धारित की जानी चाहिए (इस मामले में DWORD, चित्र 4 देखें)।


चित्रा 4. की_लेन ग्लोबल वैरिएबल की परिभाषा

फ़ंक्शन विंडो में, आप डिक्रिप्शन फ़ंक्शन पर राइट-क्लिक कर सकते हैं और "एक्सट्रैक्ट और डिक्रिप्ट तर्कों" पर क्लिक कर सकते हैं। स्क्रिप्ट को टिप्पणियों में डिक्रिप्टेड लाइनें डालनी चाहिए, जैसा कि चित्र 5 में दिखाया गया है।


चित्र 5. डिक्रिप्ट किए गए पाठ को टिप्पणी में रखा गया है

इस प्रकार, डिक्रिप्टेड लाइनें आसानी से आईडीए xrefs विंडो में इस फ़ंक्शन के लिए एक साथ रखी जाती हैं, जैसा कि चित्र 6 में दिखाया गया है।


चित्रा 6. f_decrypt फ़ंक्शन के लिए Xrefs

अंतिम स्क्रिप्ट गितुब भंडार पर पाई जा सकती है ।

निष्कर्ष

जैसा कि पहले ही उल्लेख किया गया है, OceanLotus लगातार अपने उपकरणों के सेट में सुधार और अद्यतन कर रहा है। इस बार, मैक उपयोगकर्ताओं के साथ काम करने के लिए साइबर समूह ने मैलवेयर में सुधार किया। कोड बहुत अधिक नहीं बदला है, लेकिन चूंकि कई मैक उपयोगकर्ता सुरक्षा उत्पादों की उपेक्षा करते हैं, मालवेयर का पता लगाने से बचाना माध्यमिक महत्व का है।

ईएसईटी उत्पादों ने अध्ययन के समय इस फाइल का पहले ही पता लगा लिया है। चूंकि C & C संचार के लिए उपयोग की जाने वाली नेटवर्क लाइब्रेरी अब डिस्क पर एन्क्रिप्ट की गई है, हमलावरों द्वारा उपयोग किए जाने वाले सटीक नेटवर्क प्रोटोकॉल का अभी तक पता नहीं है।

संकेतक से समझौता करें

GitHub पर Compromise संकेतक और MITER ATT & CK विशेषताएँ भी उपलब्ध हैं।