Введение
XWorm — это искусное и гибкое вредоносное ПО, известное своей модульной структурой. Для избежания обнаружения он использует методы обфускации. Он взаимодействует с командным сервером и выполняет вредоносные действия. После запуска вредоносное ПО расшифровывает свои параметры конфигурации и устанавливает скрытое присутствие, создавая мьютекс, предотвращающий одновременный запуск нескольких экземпляров. Связь XWorm с командным сервером зашифрована с помощью алгоритма AES, что позволяет злоумышленникам контролировать зараженные системы и удалённо отдавать команды. Кроме того, он может собирать и отправлять ценную системную информацию, изменять настройки DNS и обновляться, стирая следы своего присутствия в системе.
Технический анализ
Сначала вредоносная программа засыпает на три секунды, прежде чем приступить к расшифровке своих настроек конфигурации. Эти настройки, зашифрованные с помощью Base64 и AES, включают такие данные, как хост, порт, ключ, версия и т. д.
После расшифровки параметров конфигурации вредоносная программа создаёт мьютекс с именем «2gdQBDwS8QGIOTWD». Если мьютекс уже существует, она автоматически завершает работу. Такое поведение обычно используется для предотвращения конфликтов и снижения риска обнаружения средствами безопасности.
Вредоносная программа использует TCP-сокет для подключения к серверу управления и контроля (C2). Это соединение использует IP-адрес, полученный из домена C2. Сокет настроен на отправку и получение данных. Для поддержания активного соединения она отправляет ping-запрос на сервер C2 каждые несколько секунд и ожидает ответ Pong. Это гарантирует бесперебойное выполнение и передачу команд и данных через сервер C2.
После установления первоначального соединения вредоносная программа собирает исчерпывающую информацию о системе компьютера жертвы и отправляет её злоумышленнику. Собранные данные включают имя хоста, имя пользователя, сведения о драйверах и технические характеристики оборудования, такие как информация о процессоре и графическом процессоре. Эта информация помогает злоумышленнику анализировать систему и планировать дальнейшие вредоносные действия.
Функция ClientSocket.Send() шифрует собранные данные с помощью алгоритма AES перед отправкой на сервер управления. Это шифрование обеспечивает безопасность данных во время передачи, затрудняя системам безопасности обнаружение и анализ отправляемой информации.
После отправки собранных данных вредоносная программа вызывает функцию ClientSocket.BeginReceive() и ожидает ответа от сервера командного управления (C2). Получив ответ, функция messages.read() расшифровывает данные, используя шифрование AES. Расшифрованная информация затем сравнивается с жёстко заданными значениями для определения соответствующего действия. Рис.: Функция чтения с расшифровкой AES и сравнение с жёстко заданными строками.
Вредоносная программа XWorm может читать и изменять файл hosts жертвы, что позволяет проводить атаки с манипуляцией DNS. Команда Hosts позволяет XWorm отправить копию файла hosts злоумышленнику, который в свою очередь может перезаписать его изменённой версией. После внесения изменений XWorm отправляет злоумышленнику подтверждение, подтверждающее успешность операции.
Xworm способен обновляться и удалять следы из системы. Если IsUpdate имеет значение true, вредоносная программа записывает файл во временный каталог. Затем она создаёт пакетный файл, который удаляет исходный исполняемый файл и сам пакетный файл после выполнения. Это помогает вредоносной программе оставаться скрытой, обновляться и удалять любые следы своего присутствия. Используя временный каталог и удаляя себя, вредоносная программа избегает обнаружения и продолжает работу в заражённой системе.
Он обеспечивает гибкость, позволяя добавлять новые функции в виде плагинов или удалять существующие. Модульная структура позволяет злоумышленникам настраивать вредоносное ПО, делая его адаптируемым к различным средам.
Команда «Plugin» извлекает и загружает содержимое ответа C2, включая имена методов, которые сравниваются с различными значениями, такими как «ngork», «ENC» и «DEC». Эти значения, вероятно, соответствуют процессам установки ngork, шифрования и дешифрования вируса-вымогателя.
Вывод:
Вариант вредоносной программы XWorm использует методы обхода защиты для обеспечения постоянного присутствия и контроля. Он шифрует свои конфигурационные параметры, создает мьютекс для обеспечения работы только одного экземпляра и гарантирует непрерывную связь со своим сервером управления и контроля. Собирая и безопасно передавая системную информацию, XWorm предоставляет злоумышленникам ценные сведения для разработки дальнейших атак. Эти особенности подчеркивают адаптивность и устойчивость вредоносной программы, акцентируя внимание на важности надежных мер безопасности, непрерывного мониторинга и проактивного обнаружения угроз для защиты от таких сложных угроз.
МНК:
MD5
3EEACBE10835A79077EF83C93DCF636B
0B796B2F6383FE2916F678E78666F713
Степень защиты:
Trojan.Xworm.S34251703
Trojan.GenericFC.S29960909
MITRE ATT&CK:
| тактика | Идентификатор техники | Имя |
| затемнение | T1027 | Замаскированные файлы или информация |
| Типы | T1059.005 | Интерпретатор команд и сценариев: Visual Basic |
| Захват экрана | T1113 | Захват экрана |
| Соберите информацию о жертве и хозяине | T1592 | Собирает системную информацию |
| Захват ввода | T1056 | Keylogging |
| Уклонение от защиты | T1055.002 | Внедрение процесса: внедрение переносимого исполняемого файла |
| Введение контента | T1659 | Внедрение вредоносного кода в системы |
| Управление и контроль | T1071.001 | Протокол прикладного уровня: веб-протоколы |
Автор:
Вайбхав Крушна Билладе
Румана Сиддики
