قبل بضعة أشهر، تم توزيع برمجيات خبيثة مبنية على Delphi على أنظمة متعددة عبر ثغرة أمنية في SMB. تتشابه الحمولات التي يستخدمها هذا البرنامج الخبيث إلى حد كبير مع شيفرة Gh0stRAT مفتوحة المصدر. وقد استخدمه جهات تهديد صينية لاستهداف وكالات متعددة في آسيا - Gh0st هو حصان طروادة للوصول عن بُعد يتمتع بإمكانيات متعددة، مثل تسجيل ضغطات المفاتيح، ومراقبة الميكروفون، وتنزيل الحمولات وتنفيذها من خوادم بعيدة، وإعادة تشغيل أجهزة الكمبيوتر، واختراق أنظمة بعيدة، وغيرها.
لقد لاحظنا أن هذا البرنامج الخبيث يستهدف مؤسسات مهمة في الهند مثل -
- البنوك
- السكك الحديدية
- موزعو الحليب
- المستشفيات والأدوية
- الصناعات الزراعية
- صناعات إنتاج الأغذية
بعد التحليل، تبيّن أن هذا البرنامج الخبيث يُنشئ حمولتين مختلفتين: app.exe وmfc.exe. بعد التنفيذ، يستخرج كلا الملفين التنفيذيين ملفات DLL من مجلد ststem32 ضمن مجلد Windows، ويسجلانها كخدمة للاستمرار. يتشابه الكود الرئيسي لجميع الحمولات المُستَخدَمة مع الكود مفتوح المصدر لبرنامج Ghost RAT.
التحليل الفنى
الحمولة 1 – app.exe
يحتوي هذا الملف القابل للتنفيذ على ملف DLL مضمن تم تخزينه بترتيب عكسي كما هو موضح في الشكل أدناه.
تم فك تشفير هذا الملف الثنائي المُضمَّن وكتابته في المجلد %SYSTEMROOT%\System32\. يُظهر الكود أدناه عملية فك التشفير - يُولَّد اسم DLL من قيمة الإرجاع لواجهة برمجة تطبيقات GetTickCount().
يقوم App.exe بعد ذلك بتسجيل ملف DLL هذا كخدمة عن طريق استدعاء دالة التثبيت المُصدَّرة. فيما يلي تفاصيل الخدمة:
اسم الخدمة: csrss
اسم العرض: حسابات مدير الأمان
الوصول المطلوب: SERVICE_ALL_ACCESS
نوع الخدمة: SERVICE_WIN32_OWN_PROCESS|SERVICE_INTERACTIVE_PROCESS
نوع البدء: بدء الخدمة التلقائي
التحكم في الخطأ: تجاهل خطأ الخدمة
مسار الملف الثنائي: %SystemRoot%\System32\svchost.exe -k “csrss”
الوظيفة المصدرة لـ DLL هي كما يلي:
- تحديث Dll
- تثبيت
- الموضوع الرئيسي
- ServiceMain
- إلغاء
وظائف C2
هناك العديد من أوامر C2 المُلاحظة في شيفرة Gh0stRat. بعض دوال C2 المُلاحظة من خلال التحليل الثابت لملف DLL هي كما يلي:
- نظام إيقاف التشغيل
- فتح URL
- تنزيل الملف وتنفيذه
- البحث عن العملية
- تنظيف سجلات الأحداث
نظام إيقاف التشغيل
تأخذ هذه الوظيفة امتيازات تصحيح أخطاء إيقاف التشغيل وتستدعي وظيفة ExitWindowsEx() لإيقاف تشغيل الأنظمة.
تنزيل الملف وتنفيذه
ستقوم هذه الوظيفة بتنزيل ملف معين من الخادم وتنفيذه.
البحث عن العملية
تبحث هذه الوظيفة عن عملية محددة عن طريق استدعاء واجهات برمجة تطبيقات تعداد العمليات.
فتح URL
تقوم هذه الوظيفة بإنشاء عملية iexplore.exe باستخدام عنوان URL محدد.
تنظيف سجلات الأحداث
تعمل هذه الوظيفة على مسح جميع سجلات الأحداث للتطبيق والأمان والنظام
الحمولة 2 – mfc.exe
الملف القابل للتنفيذ الثاني الذي تم إسقاطه بواسطة الحمولة الرئيسية هو mfc.exe الذي يحتوي على ملف قابل للتنفيذ مضمن في المورد تحت اسم "BIN".
عند تشغيل هذه الحمولة ، تقوم بإسقاط ملف DLL (اسم عشوائي) من المصدر المذكور أعلاه إلى مجلد system32 وتثبيته كخدمة باسم "NetworkServices" على النظام المصاب. بعد إنشاء ملف DLL في مجلد system32، يستدعي mfc.exe الدالة Install() الخاصة به.
يحتوي ملف DLL هذا على أربع وظائف مُصدَّرة على النحو التالي:
- تثبيت
- إطلاق
- ServiceMain
- إلغاء التثبيت
فيما يلي أوامر C2 التي تمت ملاحظتها في هذه العينة:
- تثبيت خطاف لوحة المفاتيح
- تعداد العمليات
- شل البعيد
- التقاط الصوت
- تنزيل الملف وتنفيذه
تثبيت خطاف لوحة المفاتيح
يوضح الشكل XX أدناه إنشاء سلسلة لتثبيت خطاف لوحة المفاتيح. تُكتب جميع بيانات تسجيل المفاتيح في ملف باسم "syslog.dat".
يوضح الشكل XX كود تسجيل مفاتيح مشابه لبرنامج Gh0st RAT.
تعداد العمليات
يتضمن تعداد العمليات الحصول على قائمة العمليات الجارية لتعداد الوحدات النمطية.
شل البعيد
ستقوم هذه الوظيفة بإنشاء غلاف بعيد لقبول أي أمر وتنفيذه.
التقاط الصوت
تسجل هذه الوظيفة الصوت بمساعدة وظائف مثل waveInOpen() و waveInStart() و waveInStop() وما إلى ذلك.
تنزيل الملف وتنفيذه
وظيفة تنزيل الملف القابل للتنفيذ من خادم بعيد وتنفيذه.
شركات النفط العالمية
- FF6511DE176A434FA2F7C939795A13CC
- A6CC92A1993F040E87090F8B89836332
- 550C055339A9FEC141997CDA3F32FD0A
- A2B75BD7254997BEC6A19D752E26FA50
- 4B8C6D70A186FEC7C79D5B52B2FF0E76
- E22E5A85ED5294B179EBD416EEB5BEBB
- 5CE36CBD7D4A58A1B1A8C5B7BE194F23
- E94F9AF9EA11301831AAA1BDE34D3DEB
- 23D4EC869960CE02865C98F64581136A
- 367150E5DA2ED1BFAAE9210105BCEEA1
- BFB095C595FAA47CBFD4AB6199A7E297
- CA07E26D95D927953197840EA93EDD03
- 6B8A19DF9827CFB95F6461FEF9929F83
- 7DC43FCA774E612BF611ACD882400308
- 1127149CB5378FCA7181F81EB8149FC9
- F1E921F5730919E946D9A64019867E13
- B80A559CD7D48C9D3115A013EA662263
- 9403464BB99D87A02667E3E5DBA4A57C
التنبيهات
خاتمة
هذه العينات هي نسخ معدلة من Gh0st RAT، ويقوم المهاجمون بتحديثها باستمرار لتجنب اكتشاف برامج مكافحة الفيروسات. العينات والتكتيكات والأساليب الهجومية التي شوهدت في المنظمات المستهدفة مرتبطة في الغالب بمجموعات التهديدات المتقدمة المستمرة (APT) في الصين. لقد تابعنا هذه العينات على مدار الشهر الماضي، لكننا لم نتمكن من تحديد ناقل الهجوم الأولي. ونظرًا لاستهدافها قطاعات محددة، نتوقع العثور على المزيد من البرامج الضارة المرتبطة بسلاسل الهجمات هذه. ومن المثير للاهتمام أن عددًا قليلًا من الضحايا أصيبوا أيضًا بأجهزة تعدين مونرو خلال الفترة نفسها. سنراقب الحملة عن كثب لتعقب سلسلة الإصابات بأكملها.
خبراء الموضوع
بافانكومار تشودري
كالبش مانتري
