Спонсор с батарейными усами: бэкдор Ballistic Bobcat для сканирования и атаки

Сообщение отправляется для запроса команды на выполнение и имеет формат (до base64-кодирования), показанный на Рисунке 6.

Поле encrypted_none на рисунке является результатом шифрования захардкоженной строки None с помощью RC4. Ключом для шифрования является MD5-хеш node_id.

URL, используемый для связи с C&C-сервером, строится следующим образом: http://<IP_or_domain>:80. Это может указывать на то, что 37.120.222[.]168:80 является единственным C&C-сервером, используемым на протяжении всей кампании Sponsoring Access, поскольку это был единственный IP-адрес, к которому обращались машины жертв на порту 80.

Команды оператора

Команды оператора приведены в Таблице 5 и представлены в том порядке, в котором они встречаются в коде. Связь с C&C-сервером осуществляется через порт 80.

Таблица 5. Команды оператора и их описания

Обновления Sponsor

Разработчики Ballistic Bobcat внесли изменения в код между версиями Sponsor v1 и v2. Два наиболее значительных изменения во второй версии:

• Оптимизация кода, где несколько длинных функций были сведены к функциям и подфункциям, и
• Маскировка Sponsor под программу обновления путем включения следующего сообщения в конфигурацию службы:

Обновления приложений полезны как для пользователей, так и для самих приложений — обновления означают, что разработчики постоянно работают над улучшением приложения, думая о лучшем пользовательском опыте с каждым обновлением.

Сетевая инфраструктура

В дополнение к использованию инфраструктуры C&C, задействованной в кампании PowerLess, Ballistic Bobcat также представил новый C&C-сервер. Группа также использовала несколько IP-адресов для хранения и доставки вспомогательных инструментов во время кампании Sponsoring Access. Мы подтвердили, что ни один из этих IP-адресов в настоящее время не активен.

Заключение

Ballistic Bobcat продолжает работать по модели «сканирование и эксплуатация», выискивая возможности с неустраненными уязвимостями в доступных из Интернета серверах Microsoft Exchange. Группа продолжает использовать разнообразный набор инструментов с открытым исходным кодом, дополненный несколькими пользовательскими приложениями, включая бэкдор Sponsor. Защитникам рекомендуется установить исправления для всех устройств, доступных из Интернета, и оставаться бдительными в отношении появления новых приложений в их организациях.

По всем вопросам, касающимся наших исследований, опубликованных на WeLiveSecurity, пожалуйста, свяжитесь с нами по адресу threatintel@eset.com.
ESET Research предлагает частные отчеты по разведке угроз APT и потоки данных. По всем вопросам, касающимся этой услуги, посетите страницу ESET Threat Intelligence.

IoCs

Файлы

Пути к файлам

Ниже приведен список путей, по которым бэкдор Sponsor был развернут на машинах жертв.

%SYSTEMDRIVE%inetpubwwwrootaspnet_client

%USERPROFILE%AppDataLocalTempfile

%USERPROFILE%AppDataLocalTemp2low

%USERPROFILE%Desktop

%USERPROFILE%Downloadsa

%WINDIR%

%WINDIR%INFMSExchange Delivery DSN

%WINDIR%Tasks

%WINDIR%Temp%WINDIR%Tempcrashpad1Files

Техники MITRE ATT&CK

Эта таблица составлена с использованием версии 13 фреймворка MITRE ATT&CK.

Мы считаем, что пакетные файлы и конфигурационные файлы являются частью процесса модульной разработки, который Ballistic Bobcat предпочитает в последние несколько лет.

Бэкдор Sponsor

Бэкдоры Sponsor написаны на C++ с временными метками компиляции и путями к базам данных программ (PDB), как показано в Таблице 3. Примечание о номерах версий: столбец Версия представляет собой версию, которую мы отслеживаем внутренне на основе линейной прогрессии бэкдоров Sponsor, где изменения вносятся от одной версии к следующей. Столбец Внутренняя версия содержит номера версий, наблюдаемые в каждом бэкдоре Sponsor, и включены для удобства сравнения при анализе этих и других потенциальных образцов Sponsor.

Таблица 3. Временные метки компиляции и PDB Sponsor

Начальное выполнение Sponsor требует аргумента командной строки install, без которого Sponsor корректно завершается, вероятно, это простая техника защиты от эмуляции/песочницы. Если этот аргумент передан, Sponsor создает службу под названием SystemNetwork (в v1) и Update (во всех остальных версиях). Он устанавливает для службы тип запуска Автоматический, настраивает ее на запуск собственного процесса Sponsor и предоставляет ей полный доступ. Затем он запускает службу.

Sponsor, теперь запущенный как служба, пытается открыть упомянутые выше конфигурационные файлы, ранее размещенные на диске. Он ищет config.txt и node.txt, оба в текущем рабочем каталоге. Если первый отсутствует, Sponsor устанавливает службу в состояние Остановлена и корректно завершается.

Конфигурация бэкдора

Конфигурация Sponsor, хранящаяся в config.txt, содержит два поля:

• Интервал обновления в секундах для периодического обращения к серверу C&C за командами.
• Список серверов C&C, называемых relays в бинарных файлах Sponsor.

Серверы C&C хранятся в зашифрованном виде (RC4), а ключ дешифрования находится в первой строке config.txt. Каждое из полей, включая ключ дешифрования, имеет формат, показанный на Рисунке 3.

Эти подполя:

• config_start: указывает длину config_name, если он присутствует, или ноль, если отсутствует. Используется бэкдором, чтобы знать, где начинаются config_data.
• config_len: длина config_data.
• config_name: необязательное поле, содержит имя, данное конфигурационному полю.
• config_data: сама конфигурация, зашифрованная (в случае серверов C&C) или нет (все остальные поля).

На Рисунке 4 показан пример с цветовой кодировкой содержимого возможного файла config.txt. Обратите внимание, что это не реальный файл, который мы наблюдали, а сфабрикованный пример.

Последние два поля в config.txt зашифрованы с помощью RC4, используя строковое представление хеша SHA-256 указанного ключа дешифрования в качестве ключа для шифрования данных. Мы видим, что зашифрованные байты хранятся в шестнадцатеричном формате как текстовые ASCII-символы.

Сбор информации о хосте

Sponsor собирает информацию о хосте, на котором он запущен, передает всю собранную информацию на сервер C&C и получает идентификатор узла, который записывается в node.txt. Таблица 4
перечисляет ключи и значения в реестре Windows, которые Sponsor использует для получения информации, и предоставляет пример собранных данных.

Таблица 4. Информация, собранная Sponsor

Sponsor также собирает домен Windows хоста, используя следующую команду WMIC:

wmic computersystem get domain

Наконец, Sponsor использует API Windows для сбора текущего имени пользователя (GetUserNameW), определения, запущен ли текущий процесс Sponsor как 32- или 64-битное приложение (GetCurrentProcess, затем IsWow64Process(CurrentProcess)) и определения, работает ли система от батареи или подключена к сети переменного или постоянного тока (GetSystemPowerStatus).

Одной из странностей проверки 32- или 64-битного приложения является то, что все наблюдаемые образцы Sponsor были 32-битными. Это может означать, что некоторые инструменты следующего этапа требуют этой информации.

Собранная информация отправляется в сообщении, закодированном в base64, которое перед кодированием начинается с
r и имеет формат, показанный на Рисунке 5.

Информация шифруется с помощью RC4, а ключ шифрования — случайное число, генерируемое на месте. Ключ хешируется с помощью алгоритма MD5, а не SHA-256, как упоминалось ранее. Это относится ко всем коммуникациям, где Sponsor должен отправлять зашифрованные данные.

Сервер C&C отвечает числом, используемым для идентификации компьютера жертвы в последующих коммуникациях, которое записывается в node.txt. Обратите внимание, что сервер C&C выбирается случайным образом из списка при отправке сообщения r, и тот же сервер используется во всех последующих коммуникациях.

Цикл обработки команд

Sponsor запрашивает команды в цикле, засыпая в соответствии с интервалом, указанным в config.txt. Шаги следующие:

1. Send a chk=Test message repeatedly, until the C&C server replies Ok.
2. Send a c (IS_CMD_AVAIL) message to the C&C server, and receive an operator command.
3. Process the command.
   • If there is output to be sent to the C&C server, send an a (ACK) message, including the output (encrypted), or
   • If execution failed, send an f (FAILED) message. The error message is not sent.
4. Sleep.

The c message is sent to request a command to execute, and has the format (before base64 encoding) shown in Figure 6.

The encrypted_none field in the figure is the result of encrypting the hardcoded string None with RC4. The key for encryption is the MD5 hash of node_id.

The URL used to contact the C&C server is built as: http://<IP_or_domain>:80. This may indicate that 37.120.222[.]168:80 is the only C&C server used throughout the Sponsoring Access campaign, as it was the only IP address we observed victim machines reaching out to on port 80.

Operator commands

Operator commands are delineated in Table 5 and appear in the order in which they are found in the code. Communication with the C&C server occurs over port 80.

Table 5. Operator commands and descriptions

Updates to Sponsor

Ballistic Bobcat coders made code revisions between Sponsor v1 and v2. The two most significant changes in the latter are:

• Optimization of code where several longer functions were minimized into functions and subfunctions, and
• Disguising Sponsor as an updater program by including the following message in the service configuration:

App updates are great for both app users and apps – updates mean that developers are always working on improving the app, keeping in mind a better customer experience with each update.

Network infrastructure

In addition to piggybacking on the C&C infrastructure used in the PowerLess campaign, Ballistic Bobcat also introduced a new C&C server. The group also utilized multiple IPs to store and deliver support tools during the Sponsoring Access campaign. We have confirmed that none of these IPs are in operation at this time.

Conclusion

Ballistic Bobcat continues to operate on a scan-and-exploit model, looking for targets of opportunity with unpatched vulnerabilities in internet-exposed Microsoft Exchange servers. The group continues to use a diverse open-source toolset supplemented with several custom applications, including its Sponsor backdoor. Defenders would be well advised to patch any internet-exposed devices and remain vigilant for new applications popping up within their organizations.

For any inquiries about our research published on WeLiveSecurity, please contact us at threatintel@eset.com.
ESET Research offers private APT intelligence reports and data feeds. For any inquiries about this service, visit the ESET Threat Intelligence page.

IoCs

Files

File paths

The following is a list of paths where the Sponsor backdoor was deployed on victimized machines.

%SYSTEMDRIVE%inetpubwwwrootaspnet_client

%USERPROFILE%AppDataLocalTempfile

%USERPROFILE%AppDataLocalTemp2low

%USERPROFILE%Desktop

%USERPROFILE%Downloadsa

%WINDIR%

%WINDIR%INFMSExchange Delivery DSN

%WINDIR%Tasks

%WINDIR%Temp%WINDIR%Tempcrashpad1Files

Network

MITRE ATT&CK techniques

This table was built using version 13 of the MITRE ATT&CK framework.

Читать полный анализ на WeLiveSecurity →