ऑपरेशन TA505, भाग दो: लर्निंग हेल्पहर्पर पिछले दरवाजे NetSupport RAT के साथ

जुलाई 2019 के अंत में, हमने TA505 मैलवेयर का एक दिलचस्प नमूना खोजा । 22 जुलाई, 2019 को इसे डायनेमिक विश्लेषण के लिए Any.RUN में अपलोड किया गया था। हमारा ध्यान इस तथ्य पर आकर्षित किया गया था कि उजागर किए गए टैगों में से, TA505 सर्वेलपर के लिए सामान्य रूप से, नेटस्केप टॉपर टैग भी दिखाई दिया, और नेटवर्क हस्ताक्षर की आग के बीच, उसी नाम नेटसुपोर्ट आरएटी की पहचान की गई।



अंजीर। 1. किसी भी ऑनलाइन विश्लेषक में मैलवेयर और टैग सेट के लिए डाउनलोड तिथि



अंजीर। 2. नेटवर्क हस्ताक्षर किसी भी। सैंडबॉक्स में NetSupport RAT पर ट्रिगर

पहली नज़र में, यह अजीब लग सकता है: आखिरकार, सर्वरहेल्पर समूह के पिछले दरवाजे में पीड़ित के पीसी को नियंत्रित करने के लिए प्रभावशाली कार्यक्षमता है। यह मैलवेयर के काम पर विस्तार से विचार करने का समय है।

NSIS और पॉवरशेल ड्रॉपर

निष्पादन योग्य PE फ़ाइल जिसमें से हमारा विश्लेषण शुरू होता है, Nullsoft Scriptable Install System (NSIS) प्लेटफॉर्म पर आधारित एक इंस्टॉलर है। NSIS स्क्रिप्ट जो इंस्टॉलेशन प्रक्रिया को अर्क करती है और एम्बेडेड PowerShell स्क्रिप्ट को चलाती है:



अंजीर। 3. NSIS स्क्रिप्ट निर्देश

लॉन्च की गई PowerShell स्क्रिप्ट में Base64- एन्कोडेड बफर (स्पष्टता के लिए नीचे की आकृति में छोटा) है, जिसे CBC मोड में ट्रिपल डेस (3DES) द्वारा डिकोड किए जाने के बाद:



अंजीर। 4. PowerShell स्क्रिप्ट में डेटा का डिक्रिप्शन

स्क्रिप्ट का पहला भाग बोलने वाले नाम हेलर के साथ एक फ़ंक्शन है और सिस्टम में विशेषाधिकारों को बढ़ाने और यूएसी संरक्षण को दरकिनार करने के लिए जिम्मेदार है। इसके लिए दो तकनीकों का उपयोग किया जाता है:

तकनीक नंबर 1: कार्य अनुसूचक में साइलेंटक्लेनअप कार्य का उपयोग करना:

• कार्य उपयोगकर्ता द्वारा लॉन्च किया जा सकता है, लेकिन उन्नत विशेषाधिकारों के साथ काम करता है। कार्य गुणों में% windir% पर्यावरण चर का उपयोग करके निष्पादन योग्य फ़ाइल का पथ है। आप पर्यावरण चर के मान को बदल सकते हैं (उदाहरण के लिए, PowerShell स्क्रिप्ट के लॉन्च को निर्दिष्ट करें), फिर कार्य शुरू करने से UAC को चेतावनी दिए बिना व्यवस्थापक अधिकारों के साथ PowerShell स्क्रिप्ट का निष्पादन हो जाएगा।
• हमलावर इस तकनीक का उपयोग विंडोज 8 और विंडोज 10 सिस्टम पर करते हैं।
• इस तकनीक को निष्पादित करने वाला कोड मेटास्प्लोइट ढांचे के लिए मॉड्यूल के कार्यान्वयन के समान है।

अंजीर। 5. साइलेंटक्लीनअप कार्य को दरकिनार करने की तकनीक के साथ स्क्रिप्ट का हिस्सा

तकनीक नंबर 2: sysprep.exe सिस्टम उपयोगिता और साइड-लोडिंग DLL तकनीक का उपयोग करना

• सबसे पहले, C: \ Windows \ Temp निर्देशिका में PowerShell स्क्रिप्ट को पुनरारंभ करने के लिए एक सहायक स्क्रिप्ट बनाई जाती है। फिर एक कैब-आर्काइव का निर्माण किया जाता है , जिसमें सहायक डीएलएल-लाइब्रेरी CRYPTBASE.dll (पॉवरशेल-स्क्रिप्ट में x86- और x64- लाइब्रेरी के दोनों संस्करण शामिल हैं)। Wusa.exe सिस्टम उपयोगिता का उपयोग करते हुए, यह संग्रह C: \ Windows \ System32 \ Sysprep निर्देशिका में अनपैक किया गया है। फिर, सिस्टम उपयोगिता sysprep.exe लॉन्च की गई है, जो पहले से बंद DLL- लाइब्रेरी को लोड करेगा, और यह बदले में, सहायक स्क्रिप्ट को निष्पादित करेगा। परिणामस्वरूप, PowerShell स्क्रिप्ट को UAC को चेतावनी दिए बिना व्यवस्थापक अधिकारों के साथ पुनः आरंभ किया जाएगा।
• हमलावर इस तकनीक का उपयोग विंडोज 7 सिस्टम पर करते हैं।
• एक विस्तृत विवरण इस लेख में पाया जा सकता है, और कार्यान्वयन उदाहरण, उदाहरण के लिए, गितुब पर इस परियोजना में।

अंजीर। 6. sysprep.exe उपयोगिता को दरकिनार करने की तकनीक के साथ स्क्रिप्ट का हिस्सा

स्क्रिप्ट में बहुत सारी टिप्पणियां हैं, अप्रयुक्त परीक्षण-प्रशासक फ़ंक्शन, कुछ चर का उपयोग बिना आरंभीकरण के किया जाता है: ये सभी संक्षिप्तता की सावधानीपूर्वक जांच के बिना उधार कोड के संकेत हैं।

आवश्यक विशेषाधिकारों के साथ स्क्रिप्ट को चलाने के बाद, स्क्रिप्ट के दूसरे भाग को निष्पादित किया जाता है। इस स्तर पर, लक्ष्य पेलोड को डिकोड किया गया है:

• Base64 द्वारा स्ट्रिंग को डिकोड किया गया है,
• Deflate का उपयोग करके बफर का विस्तार किया जाता है,
• Base64 द्वारा स्ट्रिंग को फिर से डिकोड किया गया है।

अंजीर। 7. पेलोड डिकोडिंग एल्गोरिथ्म

• परिणामस्वरूप, सिस्टम में निम्नलिखित फाइलें बनाई जाएंगी:
• % Systemroot% \ help \ hlp11.dat - RDP रैपर लाइब्रेरी का x86 / x64 संस्करण। इसका उपयोग आरडीपी सेवा की कार्यक्षमता का विस्तार करने के लिए किया जाता है, जिसमें कई एक साथ कनेक्शन की संभावना भी शामिल है। यह नोट करना महत्वपूर्ण है कि लाइब्रेरी संशोधित है: निष्पादन की शुरुआत में, लाइन c: \ windows \ help \ hlp12.dat को रैखिक XOR से डिकोड किया जाता है , फिर DLL को प्राप्त पथ पर लोड किया जाता है:

अंजीर। 8. डीएलएल-लाइब्रेरी और इसके लोडिंग के लिए मार्ग का डिक्रिप्शन

• % systemroot% \ help \ hlp12.dat ServHelper पिछले दरवाजे का x86 / x64 संस्करण है, जिसकी चर्चा अगले भाग में की जाएगी;
• % systemroot% \ help \ hlp13.dat - RDP रैपर लाइब्रेरी के लिए कॉन्फ़िगरेशन फ़ाइल,
• % systemroot% \ system32 \ rdpclip.exe - क्लिपबोर्ड डेटा का आदान-प्रदान करने की क्षमता के लिए RDP सेवा का एक घटक;
• % systemroot% \ system32 \ rfxvmt.dll RemoteFX प्रौद्योगिकियों का उपयोग करके डेटा संचारित करने के लिए एक RDP सेवा घटक है।

पेलोड को निकालने और रिकॉर्ड करने के बाद, स्क्रिप्ट अपने घटकों के सही संचालन को सेट करती है:

• rfxvmt.dll घटक के स्वामी को NT SERVICE \ TrustedInstaller में परिवर्तित करता है और आवश्यक अधिकार देता है;
• RDP कनेक्शन के लिए पोर्ट मूल्य को मानक 3389 से 7201 तक बदलता है;
• एक नेटवर्क सेवा खाता स्थानीय व्यवस्थापक समूह में जोड़ता है
• रजिस्टर RDP सेवा के रूप में hlp11.dat और सेवा को पुनरारंभ करता है;
• बनाई गई अस्थायी फ़ाइलों को हटाता है।

सर्वहेलर आरएटी → ड्रॉपर

ड्रॉपर के परिणामों में से एक hlp12.dat DLL है, जो एक सर्वर हेलवेयर है। OS के बिट आकार के आधार पर लाइब्रेरी के x86- और x64- दोनों संस्करणों को बनाया जा सकता है (उनके बीच कोई मूलभूत अंतर नहीं हैं)। दोनों संस्करण डेल्फी में लिखे गए हैं, जो UPX 3.95 (x64) और PeCompact 2.20 (x86) के साथ पैक किए गए हैं। प्रूफपॉइंट और ट्रेंड माइक्रो के हमारे सहयोगियों ने पहले इस पिछले दरवाजे के वितरण और संचालन का विश्लेषण प्रस्तुत किया था। कई मामलों में हमारे नमूने की क्षमताओं का शस्त्रागार पहले से ही ज्ञात के साथ परिवर्तित हो जाता है: विशेष रूप से, उपयोग किए गए तारों ( विगेनियर सिफर ) को डिक्रिप्ट करने के लिए एल्गोरिथ्म नहीं बदला गया है:



अंजीर। 9. विगेनियर सिफर का उपयोग करके स्ट्रिंग्स को डिक्रिप्ट करने के लिए स्यूडोकोड

दिलचस्प है, एन्क्रिप्शन सभी स्ट्रिंग्स के लिए लागू नहीं किया जाता है: उदाहरण के लिए, अतिरिक्त घटकों के साथ नियंत्रण डोमेन और वेब लिंक के पते खुले रहते हैं:



अंजीर। 10. अनएन्क्रिप्टेड डोमेन और वेब लिंक

इनमें से किसी एक लिंक (hxxp: //letitbe.icu/2.txt) को एक्सेस करते समय, एक एन्क्रिप्टेड फ़ाइल डाउनलोड की जाती है (MD5: 0528104f496dd13438dd764e747d0778)। जब एक हेक्स संपादक में एक फ़ाइल के अंत का विश्लेषण करते हैं, तो आप बाइट 0x09 के मूल्य के लगातार दोहराव को नोटिस कर सकते हैं:



अंजीर। 11. डाउनलोड की गई फ़ाइल में 0x09 बाइट को दोहराएं

डुप्लिकेट बाइट मान एन्क्रिप्शन के रूप में एकल-बाइट XOR का उपयोग करने का एक सामान्य संकेत है। इस मामले में, इस सिद्धांत की पुष्टि कोड द्वारा की जाती है:



अंजीर। 12. एकल-बाइट XOR एन्क्रिप्शन फ़ंक्शन



अंजीर। 13. XOR फ़ंक्शन को एक तर्क के रूप में एकल-बाइट मान पास करना

डिक्रिप्शन के परिणामस्वरूप, हमें निम्नलिखित सामग्रियों के साथ एक ज़िप संग्रह प्राप्त होगा:



अंजीर। 14. डिक्रिप्ट किए गए ज़िप संग्रह की सामग्री

सभी फाइलें नेटसपॉर्ट प्रबंधक पीसी के रिमोट कंट्रोल के लिए वैध सॉफ्टवेयर हैं, जो विभिन्न समूहों के हमलावरों द्वारा बार-बार उपयोग किया गया है।



अंजीर। 15. नेटसुपोर्ट प्रबंधक सॉफ्टवेयर विवरण

फ़ाइलों में से एक (client32.ini) एक कॉन्फ़िगरेशन फ़ाइल है, जिसमें मध्यवर्ती गेटवे का पता होता है, जिसके माध्यम से पीड़ित का पीसी हमलावरों से जुड़ जाएगा:



अंजीर। 16. हमलावर नेटसेपॉर्ट प्रबंधक गेटवे के रूप में संबोधित करते हैं

यह विकल्प समझ में आता है कि पीड़ित फ़ायरवॉल के पीछे है, और इंटरनेट एक्सेस पोर्ट द्वारा सीमित है। इंटरनेट पर सही ढंग से काम करने के लिए, आपको कम से कम दो बंदरगाहों, 80 (HTTP) और 443 (HTTPS) तक पहुंच खोलनी होगी, इसलिए एक सफल कनेक्शन की संभावना बढ़ जाती है।

सितंबर 2019 में, हमने विकल्पों की एक सीमित सीमा के साथ कई समान ServHelper नमूनों की खोज की। उदाहरण के रूप में उनमें से एक का उपयोग करना (MD5: 5b79a0c06aec6126364ce1d5cbfedf66): निष्पादन योग्य PE फ़ाइल के संसाधनों के बीच एक दोहराए गए बाइट के रूप में एक समान विशेषता के साथ एन्क्रिप्टेड डेटा हैं:



अंजीर। 17. ServHelper संसाधनों में एन्क्रिप्टेड डेटा
यह एक बाइट के साथ फिर से "क्लॉग्ड" एक ज़िप संग्रह है, जिसमें नेटसपॉर्ट प्रबंधक के समान घटक शामिल हैं, हालांकि इस बार एक अलग मध्यवर्ती गेटवे के साथ: 179 [।] 43.146.90: 443।

निष्कर्ष

इस लेख में, हमने TA505 पिछले दरवाजे की सर्विस और उपयोग के लिए विकल्पों में से एक की जाँच की - ServHelper। मुख्य घटक (उदाहरण के लिए, यूएसी और विशेषाधिकार वृद्धि को दरकिनार) के संचालन से पहले की उत्सुक विशेषताओं के अलावा, हमने मुख्य बैकडोर के दिलचस्प रूपांकनों पर ध्यान दिया: बुनियादी कार्यक्षमता (डेटा चोरी, जासूसी और कमांड निष्पादन) दूरस्थ पीसी प्रबंधन के लिए एक अन्य टूल - नेटसपॉर्ट आरएटी को एम्बेड करके पूरक किया गया था। इसके अलावा, ServHelper के नए संस्करणों में अब प्रमुख विशेषताएं नहीं थीं, जो इसे पूर्ण-बैकडोर के रूप में बनाती हैं: अब यह केवल NetSupport RAT को स्थापित करने के लिए एक मध्यवर्ती ड्रॉपर के रूप में कार्य करता है। संभवतः, हमलावरों ने इस दृष्टिकोण को विकास के संदर्भ में और पहचान क्षमताओं के संदर्भ में अधिक प्रभावी पाया। हालांकि, हमारे लिए ब्याज के समूह उपकरणों की सूची समाप्त नहीं होती है।

एलेक्सी विष्णकोव, सकारात्मक टेक्नोलॉजीज द्वारा पोस्ट किया गया