Habang ang kasalukuyang focus sa cyberspace ay sa Ransomware at Cryptominers mayroong iba pang laganap na mga aktor ng pagbabanta na tahimik na pumapasok sa makina ng biktima upang mabuo ito para sa malisyosong layunin. Sa panahon ng pang-araw-araw na gawain sa pangangaso ng pagbabanta, ang mga laboratoryo ng Quick Heal Security ay nakatagpo ng isang naka-block na URL ng tampok na cloud categorization ng URL ng Quick Heal. Ang karagdagang pagsusuri sa URL ay humantong sa amin sa isang bagong variant ng "AZORult" infostealer malware. Ang malware na ito ay nag-aani at nag-exfiltrate ng data mula sa makina ng biktima patungo sa CnC server. Sa post na ito, hihimayin namin ang malware na ito at ibabahagi namin ang mga interesanteng detalye tungkol dito.
Sa ibaba ng attack chain ay inilalarawan ang execution sequence na naobserbahan para sa malware na ito.
Sa oras ng pagsusuri, ang paunang vector ng pag-atake ay hindi alam ngunit ang chain ng pag-atake ay nasubaybayan mula sa malisyosong URL. Hinala ng Quick Heal Security lab ang unang vector ng pag-atake ay Phishing email.
URL: cw57146.tmweb.ru/upload/neut[.]exe
Sa panahon ng static na pagsusuri, ang sample ay tila mayroong maraming Flare sa loob nito. Ang 'neut.exe' na file ay PE32 executable para sa MS Windows at pinagsama-sama bilang P-code file ng Microsoft Visual Basic. Mayroon itong iba't ibang naka-encrypt na mga string at naglalaman ng malaking mapagkukunan ng data ng mataas na entropy.
Ang Decompiled File ay may function upang hindi paganahin ang DEP para sa kasalukuyang proseso, sinusubukan nitong baguhin ang mga setting ng Explorer upang maiwasang maipakita ang mga nakatagong file at naglo-load din ng malaking mapagkukunan sa memorya.
Habang binabagtas ang ilan pang mga function sa decompiled file. May nakitang na-obfuscate na code na ipinapasa sa isang function na nagde-de-obfuscate ng data at bumubuo ng valid na string.
Pagkatapos i-convert ang mga hex value na ito sa ASCII, ang Code ay mukhang base64 na naka-encode. Kaya pagkatapos ng pag-decode nito gamit ang base64 algorithm ay matatagpuan ang mga sumusunod na string.
C:\ProgramData\worm.exe
Hxxp://cw57146.tmweb.ru/upload/neut[.]exe
Ang susunod na function na tinatahak ay mayroong XOR algorithm kasama ang ilang higit pang operasyon na inilalapat sa buong resource data. Ipinapakita ang routine ng pag-decryption sa ibaba ng snippet.
Pagkatapos ipatupad ang logic na ito sa resource code, isang PE file ang natagpuan. Ang decrypted PE file ay Delphi windows file at kami ay pasulong upang pag-aralan ang file na ito.
Ang statically checking file ng iba't ibang base64 encode string ay matatagpuan na ipinapakita sa larawan sa ibaba.
Ang pag-decode sa itaas ng mga string gamit ang base64 algorithm, sa ibaba ay makikita ang resulta. Ang mga string na ito ay ginagamit upang mangolekta ng impormasyon ng system tulad ng "DisplayName" sa "I-uninstall" na registry key ay ginagamit upang tukuyin ang lahat ng naka-install na software sa system. Ang "CreateToolhelp32Snapshot" ay ginagamit upang ilista ang lahat ng mga tumatakbong proseso.
Software\Microsoft\Windows\CurrentVersion\I-uninstall ang DisplayName DisplayVersion HARDWARE\DESCRIPTION\System\CentralProcessor\0 CreateToolhelp32Snapshot
Ang ilang hindi naka-encrypt na mga string ay naroroon din. Nasa ibaba ng snapshot ang ilan sa mga string na iyon:
Ngayon ang karagdagang pagsusuri ay magbibigay ng pag-unawa sa kung saan at paano ginagamit ang mga string na ito. Kaya pagkatapos ng pag-debug ng file sa IDA. Kinokolekta ng malware ang impormasyon ng makina gaya ng “MachineGuid”, “ProductName”, “UserName”, “ComputerName” at XOR ito sa DWORD pagkatapos ay i-concat ito at sa wakas ay gagawa ng mutex ng pangalang ito para sa partikular na system.
Pagkatapos noon ay sinusubukan ng malware na magpadala ng data sa C&C server gamit ang isang POST request. Ito ay kung paano nabuo ang kahilingang iyon:
Tumugon ang server ng CnC gamit ang malaking halaga ng data na tila naka-encrypt.
Pagkatapos ng higit pang pag-debug sa file, binabasa ng malware ang data na ipinadala ng CnC server sa memorya sa pamamagitan ng paggamit ng "InternetReadFile" api at pagkatapos ay i-decrypt ito gamit ang XOR algorithm na may 3 byte key. Ang ilang data sa dulo ng response buffer ay may base64 na naka-encode na mga string.
Base64 na naka-encode na string na naglalarawan sa impormasyong sinusubukang nakawin ng malware mula sa makina ng biktima tulad ng (Username, password, naka-install na software, impormasyon ng browser atbp).
Pagkatapos i-decrypt ang iba pang buffer na naka-encrypt gamit ang Xor operation, nalaman namin na marami itong dll (~48) na itinapon sa direktoryo: %Temp%\2fda” at naglalaman din ito ng ilang string. May kaugnayan ang ilang dll sa browser plugin. Nilo-load ng malware ang mga dll na ito sa memorya at eksaktong browser at iba pang impormasyon.
Nagagawa ng malware na magnakaw ng impormasyon ng mga account, pag-browse at mga detalye ng cookies at kinukuha din ang pampublikong ip address ng nahawaang makina sa pamamagitan ng pagtawag sa “hxxp://ip-api.com/json”.
Nagagawa rin nitong ilista ang lahat ng naka-install na software sa system, ilista ang lahat ng tumatakbong proseso sa pamamagitan ng pagtawag sa CreateToolhelp32Snapshot, Process32first, Process32next function. Nangongolekta din ito ng impormasyon tungkol sa iba't ibang cryptomining wallet mula sa Electrum, MultiBit, monero-project atbp. Nangongolekta din ito ng impormasyon kung aling website ang bina-browse ng user sa anong oras.
Nagpapadala rin ito ng pangalan ng makina, laki ng RAM at iba pang impormasyong nauugnay sa makina.
Ang lahat ng impormasyon sa itaas ay pagkatapos ay naka-encrypt gamit ang XOR operation at ipapadala pabalik sa CnC server. Pagkatapos ay tumugon ang server ng "OK" pagkatapos matanggap ang kumpletong data.
Malawakang magagamit ang ninakaw na data upang makakuha ng hindi awtorisadong pag-access sa mga email account, bank account at iba pang online na impormasyon. Ang ninakaw na personal na impormasyon na ito ay maaaring makapinsala sa gumagamit sa pag-iisip pati na rin sa pananalapi. Ang mga variant ng AZORult ay natukoy ng mga produkto ng Quick Heal bilang "Trojan.IGENERIC".
Konklusyon
Sa gitna ng Ransomware at Cryptominers tulad ng Infostealer malware ay paboritong attack vectors na ginagamit ng mga attacker. Pinapayuhan namin ang aming mga user na iwasang ma-access ang mga kahina-hinalang website/email at panatilihing napapanahon ang kanilang antivirus upang maiwasang mahawa ang kanilang mga system ng naturang kumplikadong malware. Ang Quick Heal kasama ang advanced na mekanismo ng teknolohiya ng pagtuklas nito, ay patuloy na sinusubaybayan at bina-block ang mga kumplikadong malware at nakakahamak na site na ito.
Mga IOC
BF468C06614D844E1A856C02FE7FB698
Paksang Paksang Paksang
Preksha Saxena | Mabilis na Heal Security lab
