मतदान विफल रहा: हम AgentTesla को साफ पानी में लाते हैं। भाग 3

इस लेख के साथ, हम मैलवेयर विश्लेषण के लिए समर्पित प्रकाशनों की एक श्रृंखला को पूरा कर रहे हैं। पहले भाग में, हमने एक यूरोपीय कंपनी द्वारा मेल द्वारा प्राप्त संक्रमित फ़ाइल का विस्तृत विश्लेषण किया और वहां AgentTesla स्पायवेयर पाया। दूसरे भाग ने मुख्य AgentTesla मॉड्यूल के चरणबद्ध विश्लेषण के परिणामों का वर्णन किया।

आज Ilya Pomerantsev, CERT Group-IB मालवेयर विश्लेषण विशेषज्ञ, CERT Group-IB विशेषज्ञों के अभ्यास से तीन मिनी-मामलों का उपयोग करते हुए AgentTesla नमूनों के अर्ध-स्वचालित अनपैकिंग - मैलवेयर विश्लेषण के पहले चरण के बारे में बात करेंगे।

आमतौर पर मैलवेयर के विश्लेषण में पहला चरण पैकर, क्रिप्टोकर, चलने या बूट करने वाले के रूप में सुरक्षा को हटाने का होता है। ज्यादातर मामलों में, इस समस्या को मैलवेयर और डंपिंग शुरू करके हल किया जाता है, लेकिन ऐसी स्थितियां हैं जब यह विधि उपयुक्त नहीं है। उदाहरण के लिए, यदि मैलवेयर एक एनक्रिप्टर है, अगर यह अपने मेमोरी क्षेत्रों को डंप से बचाता है, यदि कोड में वर्चुअल मशीन का पता लगाने के लिए तंत्र है, या यदि, शुरू करने के तुरंत बाद, मैलवेयर रिबूट करता है। ऐसे मामलों में, तथाकथित "अर्ध-स्वचालित" अनपैकिंग का उपयोग किया जाता है, अर्थात, शोधकर्ता पूरी तरह से प्रक्रिया को नियंत्रित करता है और किसी भी समय हस्तक्षेप कर सकता है। एक उदाहरण के रूप में AgentTesla परिवार के तीन नमूनों का उपयोग करके इस प्रक्रिया पर विचार करें। यदि आप इसकी नेटवर्क एक्सेस को अक्षम करते हैं तो यह अपेक्षाकृत हानिरहित मैलवेयर है।

नमूना संख्या 1

स्रोत फ़ाइल एक MS Word दस्तावेज़ है जो भेद्यता CVE-2017-11882 का शोषण करता है।


नतीजतन, पेलोड को लोड और लॉन्च किया जाता है।

प्रक्रिया ट्री और व्यवहार मार्करों का विश्लेषण RegAsm.exe प्रक्रिया में एक इंजेक्शन दिखाता है।



AgentTesla- विशिष्ट व्यवहार मार्कर उपलब्ध हैं।


डाउनलोड किया गया नमूना .NET रिएक्टर रक्षक द्वारा संरक्षित एक निष्पादन योग्य .NET फ़ाइल है।


इसे dnSpy x86 उपयोगिता में खोलें और प्रवेश बिंदु पर आगे बढ़ें।


DateTimeOffset फ़ंक्शन में जाने पर, हम नए .NET मॉड्यूल के लिए आरंभीकरण कोड ढूंढते हैं। हमारे लिए ब्याज की लाइन पर एक ब्रेकपॉइंट डालें और फ़ाइल को चलाएं।


लौटे बफ़र्स में से एक में, आप MZ हस्ताक्षर ( 0x4D 0x5A ) देख सकते हैं। इसे बचाओ।


डंप की गई निष्पादन योग्य फ़ाइल एक डायनेमिक लाइब्रेरी है, जो लोडर है, अर्थात संसाधन अनुभाग से पेलोड निकालता है और इसे लॉन्च करता है।


इसी समय, आवश्यक संसाधन स्वयं डंप में उपलब्ध नहीं हैं। वे मूल नमूने में हैं।

DnSpy उपयोगिता में दो बेहद उपयोगी विशेषताएं हैं जो हमें दो लिंक की गई फ़ाइलों से एक फ्रेंकस्टीन बनाने में तेज़ी से मदद करेंगी।

1. पहला आपको मूल नमूने में एक गतिशील पुस्तकालय को "पेस्ट" करने की अनुमति देता है।
   
   
2. दूसरा प्रवेश बिंदु पर फ़ंक्शन कोड को फिर से सम्मिलित करने के लिए डाला गया डायनामिक लाइब्रेरी का वांछित तरीका है।
   
   
   

हम अपने "फ्रेंकस्टीन" को बचाते हैं, उस रेखा पर एक ब्रेकपॉइंट लगाते हैं जो विघटित संसाधनों के साथ बफर को लौटाता है, और पिछले चरण के साथ सादृश्य द्वारा डंप करता है।

दूसरी डंप VB.NET में लिखी गई एग्जीक्यूटेबल फाइल है, जिसे कन्फ्यूसरएक्स प्रोटेक्टर द्वारा संरक्षित किया जाता है, जिसे हम जानते हैं ।



चलने को दूर करने के बाद, हम पहले लिखे गए YARA नियमों का उपयोग करते हैं और सुनिश्चित करते हैं कि अनपैक्ड मैलवेयर वास्तव में AgentTesla है।

नमूना संख्या 2

स्रोत फ़ाइल एक MS Excel दस्तावेज़ है। अंतर्निहित मैक्रो दुर्भावनापूर्ण कोड के निष्पादन की ओर जाता है।


परिणामस्वरूप, PowerShell स्क्रिप्ट लॉन्च की गई है।



स्क्रिप्ट C # में कोड को डिक्रिप्ट करती है और उस पर नियंत्रण स्थानांतरित करती है। कोड स्वयं एक लोडर है, जिसे सैंडबॉक्स रिपोर्ट में भी देखा जाता है।



पेलोड एक निष्पादन योग्य .NET फ़ाइल है।


फ़ाइल को dnSpy x86 में खोलकर , आप देख सकते हैं कि यह बाधित है। De4dot उपयोगिता के साथ obfuscation निकालें और विश्लेषण पर लौटें।

कोड अनुसंधान के दौरान, आप निम्नलिखित कार्य की खोज कर सकते हैं:


एंट्रीपॉइंट और इनवोक इनकोडेड स्ट्राइकिंग स्ट्राइक हैं । हम पहली पंक्ति में ब्रेकपॉइंट डालते हैं , शुरू करते हैं और बाइट_0 बफर के मूल्य को बचाते हैं ।

डंप फिर से एक .NET अनुप्रयोग है और ConfuserEx द्वारा संरक्षित है।



De4dot के साथ obfuscation निकालें और dnSpy में लोड करें। हम फ़ाइल विवरण से समझते हैं कि हमने CyaX-Sharp लोडर का सामना किया था।


इस बूटलोडर में व्यापक एंटी-पार्सिंग कार्यक्षमता है।


इस कार्यक्षमता में अंतर्निहित विंडोज सुरक्षा प्रणालियों को दरकिनार करना, विंडोज डिफेंडर को अक्षम करना, साथ ही सैंडबॉक्स और वर्चुअल मशीनों का पता लगाने के लिए तंत्र शामिल हैं। नेटवर्क से पेलोड को लोड करना या संसाधन अनुभाग में संग्रहीत करना संभव है। लॉन्च एक इंजेक्शन के माध्यम से स्वयं की प्रक्रिया के डुप्लिकेट में, या प्रक्रियाओं में MSBuild.exe , vbc.exe और RegSvcs.exe , हमलावर द्वारा चुने गए पैरामीटर के आधार पर किया जाता है।

हालाँकि, हमारे लिए वे कन्फ्यूसरएक्स द्वारा जोड़े गए एंटीपम्प फंक्शन से कम महत्वपूर्ण नहीं हैं। इसका सोर्स कोड GitHub पर पाया जा सकता है ।

सुरक्षा को अक्षम करने के लिए, dnSpy सुविधा का उपयोग करें, जो आपको IL कोड को संपादित करने की अनुमति देता है।



हम पेलोड डिक्रिप्शन फ़ंक्शन की कॉल लाइन पर एक ब्रेकपॉइंट को सहेजते हैं और डालते हैं। यह मुख्य वर्ग के निर्माता में है।


पेलोड को लॉन्च और डंप करें। पहले लिखे गए YARA नियमों का उपयोग करके, हम सुनिश्चित करते हैं कि हमारे पास AgentTesla है।

नमूना संख्या 3

स्रोत फ़ाइल एक निष्पादन योग्य VB देशी PE32 फ़ाइल है।


एन्ट्रॉपी का विश्लेषण एन्क्रिप्टेड डेटा के एक बड़े टुकड़े की उपस्थिति को दर्शाता है।


VB Decompiler में एप्लिकेशन फॉर्म का विश्लेषण करते समय , आप एक अजीब पिक्सेल पृष्ठभूमि देख सकते हैं।



Bmp चित्र का एन्ट्रापी प्लॉट स्रोत फ़ाइल के एन्ट्रापी प्लॉट के समान है, और आकार फ़ाइल आकार का 85% है।


छवि का सामान्य दृश्य स्टेग्नोग्राफ़ी के उपयोग को इंगित करता है।

आइए हम प्रक्रिया पेड़ की उपस्थिति, साथ ही एक इंजेक्शन मार्कर की उपस्थिति पर ध्यान दें।



यह अनपैकिंग को इंगित करता है। विजुअल बेसिक (उर्फ VBKrypt या VBInjector ) पर लोडरों के लिए पेलोड को इनिशियलाइज़ करने के लिए शेलकोड का उपयोग करना और साथ ही साथ इंजेक्शन को निष्पादित करना विशिष्ट है।

VB Decompiler में विश्लेषण से FegatassocAirballoon2 फॉर्म पर लोड इवेंट की उपस्थिति का पता चला।


आइए निर्दिष्ट पते पर आईडीए समर्थक पर जाएं और फ़ंक्शन का अध्ययन करें। कोड बहुत अधिक बाधित है। वह अंश जो हमें रुचता है, नीचे प्रस्तुत किया गया है।


यह वह जगह है जहां हस्ताक्षर के लिए प्रक्रिया का पता स्थान स्कैन किया जाता है। यह दृष्टिकोण बेहद संदिग्ध है।

सबसे पहले, स्कैन प्रारंभ पता 0x400100 है । यह मान स्थिर है और जब आधार स्थानांतरित नहीं किया जाता है तो इसे समायोजित नहीं किया जाता है। आदर्श ग्रीनहाउस स्थितियों में, यह निष्पादन योग्य फ़ाइल के पीई हेडर के अंत में इंगित करेगा। हालांकि, डेटाबेस स्थिर नहीं है, इसका मान बदल सकता है, और वांछित हस्ताक्षर के वास्तविक पते की खोज, हालांकि यह चर अतिप्रवाह का कारण नहीं बनता है, बहुत लंबा समय लग सकता है।

दूसरे, iWGK हस्ताक्षर का मूल्य। मुझे लगता है कि यह स्पष्ट है कि 4 बाइट्स विशिष्टता की गारंटी देने के लिए बहुत छोटा है। और यदि आप पहले बिंदु को ध्यान में रखते हैं, तो गलती करने की संभावना काफी अधिक है।

वास्तव में, वांछित टुकड़ा ऑफसेट 0xA1D0D पर पहले से पाए गए bmp चित्र के अंत से जुड़ा हुआ है।


शेलकोड दो चरणों में चलता है। पहला मुख्य शरीर को डिक्रिप्ट करता है। इस मामले में, कुंजी संपूर्ण खोज द्वारा निर्धारित की जाती है।


डिक्रिप्ट किए गए शेलकोड को डंप करें और लाइनों को देखें।

सबसे पहले, हम अब एक बच्चे की प्रक्रिया बनाने के लिए फ़ंक्शन को जानते हैं: CreateProcessInternalW ।


दूसरे, हम सिस्टम में समेकन के तंत्र से अवगत हुए।


मूल प्रक्रिया पर वापस जाएं। ब्रेकपॉइंट को CreateProcessInternalW पर सेट करें और निष्पादन जारी रखें। अगला, हम बंडल NtGetContextThread / NtSetContextThread का निरीक्षण करते हैं, जो शेलकोड के पते पर निष्पादन की शुरुआत के पते को बदल देता है।


हम डिबगर द्वारा बनाई गई प्रक्रिया से जुड़ते हैं, लाइब्रेरीयू लोड / अनलोड इवेंट पर सस्पेंड को सक्रिय करते हैं, प्रक्रिया को फिर से शुरू करते हैं और .NET लाइब्रेरी के लोड होने की प्रतीक्षा करते हैं।

इसके बाद, ProcessHucker का उपयोग करते हुए, हम अनपैक्ड .NET एप्लिकेशन वाले क्षेत्रों को डंप करते हैं।

हम सभी प्रक्रियाओं को रोकते हैं और सिस्टम में तय किए गए मैलवेयर की कॉपी को हटा देते हैं।



डंप फ़ाइल को .NET रिएक्टर प्रोटेक्टर द्वारा संरक्षित किया जाता है, जिसे de4dot उपयोगिता का उपयोग करके आसानी से हटाया जा सकता है।


पहले लिखे गए YAA नियमों का उपयोग करते हुए, हम यह सुनिश्चित करते हैं कि हमारे सामने AgentTesla है।

संक्षेप में देना

इसलिए, हमने तीन मिनी-मामलों के उदाहरण का उपयोग करके नमूनों के अर्ध-स्वचालित अनपैकिंग की प्रक्रिया का विस्तार से प्रदर्शन किया, और एक पूर्ण मामले के आधार पर मैलवेयर का विश्लेषण भी किया, यह पता लगा कि जांच के तहत नमूना AgentTesla है, इसकी कार्यक्षमता और समझौता संकेतकों की एक पूरी सूची निर्धारित करता है।

हमारे द्वारा संचालित दुर्भावनापूर्ण वस्तु के विश्लेषण के लिए बहुत समय और प्रयास की आवश्यकता होती है, और यह काम कंपनी में एक विशेष कर्मचारी द्वारा किया जाना चाहिए, लेकिन सभी कंपनियां कर्मचारियों पर एक विश्लेषक रखने के लिए तैयार नहीं हैं।

कंप्यूटर फोरेंसिक और दुर्भावनापूर्ण कोड विश्लेषण के समूह-आईबी प्रयोगशाला द्वारा प्रदान की गई सेवाओं में से एक साइबर घटनाओं की प्रतिक्रिया है। और ताकि ग्राहक दस्तावेजों के समन्वय में समय बर्बाद न करें और एक साइबर हमले के बीच में चर्चा करते हुए, ग्रुप-आईबी ने एक पूर्व-सदस्यता घटना प्रतिक्रिया सेवा, जिसमें एक दुर्भावनापूर्ण कोड विश्लेषण कदम भी शामिल है, ने इंसिडेंट रिस्पांस रिटेनर लॉन्च किया। इस बारे में अधिक जानकारी यहां पाई जा सकती है ।

यदि आप एक बार फिर से अध्ययन करना चाहते हैं कि कैसे AgentTesla नमूने अनपैक किए गए हैं और देखें कि CERT Group-IB विशेषज्ञ इसे कैसे करता है, तो आप इस विषय पर वेबिनार रिकॉर्डिंग यहाँ डाउनलोड कर सकते हैं ।