Seit einigen Wochen beobachtet Quick Heal Security Labs eine Reihe interessanter Malware-Angriffe bei unseren Kunden. Die weitere Analyse der Malware „t.exe“ ergab, dass es sich dabei um einen Trojaner-Dropper handeln könnte. Interessanterweise lädt diese Mehrzweck-Malware eine Ransomware-Komponente, eine Krypto-Mining-Malware und vieles mehr herunter. Sie versucht außerdem, verschiedene bösartige Aktivitäten auszuführen, indem sie sich mit einem oder mehreren CNC-Servern verbindet. Es handelt sich offenbar um eine laufende, wilde Kampagne, die Endbenutzer mit der Gandcrab-Ransomware und der Monero Cryptominer-Malware ins Visier nimmt.
Der ursprüngliche Angriffsvektor der Datei „t.exe“ ist uns nicht bekannt, wir vermuten jedoch stark, dass Phishing-Mails zur Verbreitung dieser Schadsoftware verwendet werden. Die meisten Phishing-Mails enthalten Links zu schädlichen URLs oder schädliche Anhänge, die wiederum Schadsoftware auf die Endbenutzersysteme herunterladen.
Werfen wir einen Blick auf die folgende Angriffskette, die die für diese Ransom-Miner-Kampagne beobachtete Ausführungssequenz darstellt.
Obwohl wir den ursprünglichen Angriffsvektor nicht in die Hände bekamen, konnten wir die Angriffskette von der hier verwendeten bösartigen URL aus zurückverfolgen.
URL: 92.63.197.112/t[.]exe
Die Datei „t.exe“ ist eine PE32-ausführbare Datei für MS Windows und wurde in Microsoft Visual C++ kompiliert. Es scheint sich um eine individuell gepackte Datei zu handeln. Sie enthält einen interessanten, großen Ressourcenabschnitt. Dieser scheint verschlüsselt zu sein und enthält Daten mit hoher Entropie. Der Ressourcenname lautet „ransom“, was ungewöhnlich ist.
Nach der Analyse stellten wir fest, dass die Malware eine der Ressourcen liest und anschließend mit einer XOR-Operation entschlüsselt. Der im AL-Register vorhandene Schlüssel wird in der Funktion „call_407B5C“ berechnet, die unmittelbar vor der XOR-Operation vorhanden ist. Der Anfangswert des Schlüssels wird aus der Datei gelesen, und anschließend werden verschiedene Operationen ausgeführt, um den Endwert im AL-Register zu erhalten.
Die Malware entschlüsselt Code und eine komprimierte PE-Datei, wie in Abb. 4 dargestellt. Nach der Entschlüsselung wird der entschlüsselte Code entschlüsselt, der die PE-Datei im Speicher dekomprimiert. Anschließend überschreibt die Malware den Speicher des übergeordneten Prozesses mit der dekomprimierten Datei und führt sie schließlich aus. Diese dekomprimierte Datei ist die Haupt-Malware-Datei, die weitere Aktivitäten ausführt.
Die Malware-Datei enthält fest codierte Prozessnamen. Sie ruft „process32First“ und „process32next“ auf, um verschiedene Prozesse aufzulisten, und vergleicht 16 Prozessnamen, um das Vorhandensein von VMware, VirtualBox und den zugehörigen Komponenten zu identifizieren. Außerdem prüft sie, ob die Sandbox vorhanden ist, indem sie das Vorhandensein der Bibliothek „sbiedll.dll“ prüft. Dies sind die typischen Anti-VM- und Anti-Sandbox-Techniken, die in dieser Malware implementiert sind.
Nachdem die Existenz einer virtuellen Umgebung erkannt wurde, stoppt die Malware ihr bösartiges Verhalten, ruft die Funktion „ExitProcess“ auf und stoppt den aktuell laufenden Prozess.
Es erstellt einen Mutex mit dem Namen „._ _-TLDR-__ .“, sodass immer nur eine Kopie gleichzeitig ausgeführt wird. Außerdem erstellt es eine Kopie im Ordner %appdata% mit einem zufälligen Zahlennamen und eine weitere im Windows-Ordner unter dem Namen < C:\WINDOWS\T-5682806352635035603\winsvc.exe > und löscht die Originalkopie. Zusätzlich werden die Dateiattribute auf 7 gesetzt, was bedeutet, dass die Datei versteckt, schreibgeschützt und mit Systemattributen versehen ist.
Der Trojaner erstellt außerdem einen Eintrag seiner Datei in der folgenden Registrierung, sodass er bei jedem Windows-Start ausgeführt wird:
"HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ Currentversion \ Run\ "
Der nach einer Malware-Infektion vorhandene Eintrag sieht folgendermaßen aus:
Außerdem werden die folgenden Registrierungseinträge erstellt, um die Windows-Firewall zu deaktivieren.
Der Trojaner bleibt persistent im Speicher und versucht, Anfragen an mehrere CNC-Server zu senden. Er verfügt über viele zufällige Domänennamen, wie in Abb. 9 dargestellt. Durch die Verbindung mit diesen CNC-Domänen versucht er, weitere schädliche Komponenten herunterzuladen.
Es stellt über das HTTP-Protokoll eine Verbindung zu verfügbaren CNC-Servern her, um mehrere Dateien herunterzuladen. Es lädt JavaScript, PE-Dateien und einige Textdateien herunter.
Bei der Analyse der heruntergeladenen Dateien stellten wir fest, dass eine der heruntergeladenen Dateien die JavaScript-Datei „go.js“ ist. Diese ist verschleiert, und ihr Inhalt ist in Abb. 11 dargestellt. Beim Ausführen der .js-Datei wird die Schadsoftware „new.exe“ heruntergeladen und ausgeführt.
Der Deobfuskierungscode von JavaScript verfügt über einen Powershell-Einzeilercode zum Herunterladen und Ausführen einer Datei new.exe im temporären Ordner.
Liste der von der Malware heruntergeladenen Dateien:
- exe : 001bc79a0cc7a86c81f5fd3dc55d1f1e (Ransomware file)
- exe : 43cf277a897b299a8d0c27bbed98fa85 (Trojan)
- exe : 83df5b076f23e0bf2e68fbda29b245e2 (Trojan)
- exe: a3e5dabdfc394091e06e265f0c96c98d (Kryptomining-Malware)
- exe : b74ad6183e0cc5471a219b4925c7e339 (Trojan)
New.exe ist die Gandcrab-Ransomware. Sie wird über ein JavaScript ausgeführt und ermittelt die IP-Adresse des Rechners, indem sie eine Anfrage an den Host ipv4bot.whatismyipaddress.com sendet . Die öffentliche IP-Adresse wird als Antwort empfangen. Der Vorgang wiederholt sich in einer Endlosschleife. Erhält die Ransomware keine öffentliche IP-Adresse, werden keine Dateien verschlüsselt.
Die Datei „new.exe“ verwendet ebenfalls nslookup zur Auflösung der IP-Adressen. Die fest codierten C&C-Server, auf denen die Malware nslookup ausführt, sind:
nslookup ransomware.bit wowservers[.]ru
nslookup carder.bit ns1.wowservers[.]ru
Der ursprüngliche Trojaner „t.exe“ lädt außerdem eine Textdatei mit einer Mailingliste der Empfänger herunter und kann Nachrichten zur Verbreitung der Infektion versenden. Nachfolgend finden Sie einige Beispiele für die in der Textdatei gefundenen E-Mail-IDs.
leiladonovan@verizon.net
aromero2086@sbcglobal.net
gbhaiiknpd@flamail.com
genesplace4ever@yahoo.com
sunflower_file@yahoo.com
jsanders300@yahoo.com
mft@btinternet.com
binoykphilip@yahoo.com
nicholascpa@yahoo.com
jpica@graco.com
barath_safety@yahoo.com
tjedrzej@yahoo.com
lisamsimms43@yahoo.com
kat@artcloth.com
bish4533@bellsouth.net
daisygirl0224@yahoo.com
markfasano@email.com
whitethickgurl2@myspace.com (usw.)
Darüber hinaus verbindet sich eine weitere heruntergeladene Datei „m.exe“, deren laufende Kopie mit dem Namen „wuapp.exe“ über den TCP-Port 3333 (einen nicht standardmäßigen Port) mit monerohash.com (Monero-Coin-Miner – XMRig), um Mining-Aktivitäten durchzuführen. Im Allgemeinen wird die Verwendung nicht standardmäßiger Ports beobachtet, um Netzwerksicherheitssoftware wie IDS/IPS zu umgehen.
Fazit
Ransom-Miner-Malware stellt eine neue Bedrohung dar, die verschiedene Schadsoftware wie Ransomware, Miner und andere Trojaner gleichzeitig herunterladen und neue Infektionselemente hinzufügen kann. Wir raten unseren Nutzern, den Zugriff auf verdächtige Websites/E-Mails zu vermeiden und ihre Antivirenprogramme stets auf dem neuesten Stand zu halten, um eine Infektion ihrer Systeme mit solch komplexer Malware zu verhindern. Quick Heal überwacht und blockiert diese komplexe Malware und bösartigen Websites dank seiner fortschrittlichen Erkennungstechnologie kontinuierlich.
IOC:
01c4ce531727fe6e447e217c9404c0c1
Fachexperten
Preksha Saxena | Quick Heal Security Labs
