Mikroceen: Шпионский бэкдор, используемый в сетях известных компаний в Центральной Азии

В этом совместном посте с коллегами-исследователями из Avast мы представляем технический анализ постоянно развивающегося RAT, который с конца 2017 года использовался в различных целевых кампаниях против государственных и частных субъектов. Мы наблюдали несколько случаев атак с использованием этого RAT, и все они произошли в Центральной Азии. Среди целей были несколько важных компаний в телекоммуникационной и газовой отраслях, а также государственные учреждения.

Кроме того, мы связываем последнюю кампанию с тремя ранее опубликованными отчетами: Microcin против российских военнослужащих от Kaspersky, BYEBY против правительства Беларуси от Palo Alto Networks и Vicious Panda против государственного сектора Монголии от Checkpoint. Также мы обсуждаем другое вредоносное ПО, которое обычно входило в набор инструментов злоумышленника вместе с RAT. Мы выбрали название Mikroceen для обозначения всех случаев RAT, в честь первоначального отчета Kaspersky о семействе. Опечатка намеренная, чтобы избежать устоявшегося микробиологического понятия, но также чтобы иметь хотя бы фонетическое сходство.

Кластеризация

Сначала давайте обсудим кластеризацию Mikroceen, который является простым RAT, и покажем наши причины полагать, что отчеты от Kaspersky, Palo Alto Networks и Checkpoint описывают одно и то же семейство вредоносного ПО (среди других упомянутых вредоносных инструментов). На рисунке 1 представлено сравнение цикла дешифрования, который используется для конфигурационных данных, состоящих из домена C&C, имени и пароля, связанных с каждым образцом RAT. Цикл практически одинаков и реализован в трех копиях подряд. Checkpoint также обсуждал сходство HTTP-заголовков в секциях данных между BYEBY и Vicious Panda, а также общий лог-сообщение V09SS0lO, которое при декодировании base64 дает WORKIN. Закодированная строка также присутствует в Microcin.

Рисунок 1. Часть кода, используемого для расшифровки внутренних данных; имя экспортированной DLL находится внизу

В разделе Арсенал злоумышленников ниже мы также сравниваем грамматику команд функций RAT и типичные сообщения об ошибках, которые регистрируются во время выполнения с его предыдущими версиями. В качестве подтверждения — предпочтительный поставщик инфраструктуры злоумышленников и наиболее типичное вредоносное ПО, одновременно обнаруженное в скомпрометированных сетях. Все эти улики должны вызвать сильную уверенность в том, что это одно и то же семейство вредоносного ПО.

Временная шкала и виктимология

На рисунке 2 показана эволюция отслеживания угрозы во времени. Как мы уже упоминали, регион Центральной Азии присоединился к России, Беларуси и Монголии как к областям с жертвами вторжений Mikroceen. Этими жертвами были не обычные пользователи, а конечные точки в корпоративных сетях, где ожидается более высокий уровень безопасности.

Рисунок 2. Временная шкала событий, связанных с Mikroceen

Рисунок 3. Недавние кампании в Центральной Азии, окруженные ранее описанными

Арсенал злоумышленников

Опишем инструменты, которые злоумышленники использовали в своей кампании в Центральной Азии. К сожалению, мы не смогли выяснить, как они проникли в скомпрометированные сети.

RAT (бэкдор на стороне клиента)

Как только злоумышленники устанавливают контроль над машиной жертвы, код на рисунке 4 используется для установки RAT в системе. Обратите внимание на параметр start= auto, который обеспечивает постоянство вредоносного ПО после перезагрузки.

@echo off sc stop PCAudit sc delete PCAudit sc create PCAudit binpath= "C:WINDOWSsyswow64svchost.exe -k netsvcs" type= share start= auto displayname= "Windows Upload Manager" sc description PCAudit "Windows Help Service is a microsoft Windows component for System(Important). If this service is stopped, users will be unable to get useful information" sc failure PCAudit reset= 0 actions= restart/0 reg add HKLMSYSTEMCurrentControlSetServicesPCAuditParameters /v ServiceDll /t REG_EXPAND_SZ /d %SystemRoot%Syswow64pcaudit.dll reg add HKLMSYSTEMCurrentControlSetServicesPCAuditParameters /v ServiceMain /t REG_SZ /d NtHelpServiceMain reg add HKLMSYSTEMCurrentControlSetServicesPCAuditParameters /v ServiceDllUnloadOnStop /t REG_DWORD /d 1 sc start PCAudit del %0 

Рисунок 4. Код установки в пакетном файле

Как мы уже упоминали, каждый бот поставляется с конфигурационными данными: C&C, имя клиента и пароль клиента. Имя бота отображается в интерфейсе сервера. Довольно необычно, что оператору требуется аутентификация путем ввода пароля клиента для управления клиентом. Мы можем только предполагать о цели, но это может служить защитой от захвата ботнета, если конкурирующий злоумышленник или правоохранительные органы захватят их инфраструктуру. Таким образом, мы видим, что определенные усилия были приложены для обеспечения безопасности клиент-серверного соединения. Более того, клиент может подключаться напрямую к серверу C&C или маршрутизировать трафик через прокси, что может быть полезно, особенно в корпоративных сетях. Соединение дополнительно защищено сертификатом, и это функция, которая отличает Mikroceen от легиона бэкдоров, которые мы видели ранее.

Mikroceen использует те же основные функции, что уже описаны Palo Alto Networks о BYEBY. Грамматика команд довольно специфична, потому что каждая команда усекается до 6 букв, а затем кодируется в base64. Это приводит к 8-буквенному непонятному слову в коде. В то время как в предыдущих случаях кодирование было прямолинейным, в кампании в Центральной Азии добавлен дополнительный неизвестный уровень шифрования. Связь 8-буквенных слов с командами в этом случае осуществлялась по соглашению на уровне кода.

Таблица 1. Грамматика команд различных версий RAT

Во время выполнения клиент записывает отладочные сообщения во временный файл. Это варьируется в зависимости от версий Mikroceen. Таблица 2 представляет собой сравнение этих сообщений от случая к случаю и дает дополнительные доказательства, связывающие версии Mikroceen.

Таблица 2. Лог-сообщения во временном файле

Одновременно встречающееся вредоносное ПО

Предыдущие отчеты всегда упоминают широкий арсенал инструментов, используемых в атаках. В нашем случае было то же самое – не только Mikroceen, но и другое вредоносное ПО. Вот три наиболее важных инструмента, которые мы наблюдали в скомпрометированных сетях.

Перемещение по сети через Mimikatz

Злоумышленники использовали свою реализацию Mimikatz, поставляемую через двухэтапный механизм: первый этап — дроппер, обычно называемый installer.exe или Yokel64.exe, который во втором этапе разворачивал основной полезный груз с индикативным внешним именем DLL mktz64.dll. В то время как Mikroceen никогда не поставлялся с отладочной информацией, здесь мы можем видеть строку E:2018_MimHashmimikatzBinmktzx64.pdb

Рисунок 5. Строка PDB в полезной нагрузке Mimikatz

Mimikatz — это проект с открытым исходным кодом французского исследователя безопасности Бенджамина Дельпи, разрабатываемый с 2007 года. Это мощный инструмент, который, помимо прочего, может обходить различные схемы аутентификации Windows, в основном путем извлечения данных учетных данных из базы данных локальных учетных записей Windows. Он в основном используется красными командами в IT-безопасности, но также неправильно используется злоумышленниками APT, например, Lazarus Group, Telebots, Okrum и т. д. После запуска его в тестовой виртуальной среде, его вывод выглядит следующим образом (неправильные пробелы перед запятыми присутствуют в оригинале):

#1 domain = MSEDGEWIN10, user = Administrator , nthash=FC525C9683E8FE067095BA2DDC971889. #2 domain = MSEDGEWIN10, user = IEUser , nthash=FC525C9683E8FE067095BA2DDC971889.

Перемещение по сети через WMI

Злоумышленники используют дополнительный инструмент для распространения в хост-сети. На этот раз они используют Windows Management Instrumentation (WMI). Все необходимые данные нужны как имя файла, так как во время выполнения он ожидает @@<Имя компьютера>,<Имя пользователя>,<Пароль>,.exe. На первом этапе устанавливается консоль к удаленному компьютеру, где соединение идентифицируется по <Имя компьютера> и аутентифицируется с помощью (<Имя пользователя>, <Пароль>). После этого безопасность прокси устанавливается на строгий уровень, что означает, что аргументы каждого удаленного вызова процедуры шифруются, и доступ сервера к локальным ресурсам разрешен. Затем WMI снова используется для получения класса Win32_Process, который, в свою очередь, используется для создания процесса с заданными параметрами. Когда вся работа сделана, инструмент завершает свою работу.

Gh0st RAT

Этот печально известный старый RAT был создан примерно в 2008 году. В данном случае он был обнаружен как rastls.dll в скомпрометированных системах, в то время как экспортированное имя DLL обычно svchost.dll. Он пытается подключиться к https://yuemt.zzux[.]com:443, который разрешается в IP-адрес в Китае. Это исключение без объяснения, потому что сервер не принадлежит ни одному из поставщиков C&C, используемых Mikroceen. С нашей точки зрения, кажется избыточным использовать этот дополнительный бэкдор, возможности которого полностью обеспечивает сам Mikroceen.

Чтобы распознать этот бэкдор, нужно увидеть строку Gh0st внутри бинарного файла. Строковый символ uwqixgze} используется в качестве заполнителя для домена C&C.

Рисунок 6. Вредоносное ПО Gh0st RAT (фрагмент)

Панель C&C (интерфейс сервера)

Предыдущие отчеты уже упоминают низкий уровень операционной безопасности злоумышленников (их открытые каталоги были замечены Kaspersky и Checkpoint), и злоумышленники продолжают сливать инструменты, не обязательно используемые на стороне жертв. Нам удалось заполучить старую версию панели управления RAT. В нижней части рисунка 7 находится графический интерфейс, через который отдаются команды всем ботам. Он очень минималистичен, что может быть связано со старой версией 2017 года, но все же, просто сравните его с более чем 10-летней панелью Gh0st RAT. С тех пор мало что улучшилось, ни визуально, ни функционально, поэтому внедрение SSL-соединений кажется основным сдвигом между проектами (текстовое поле для «CN Name» на рисунке). Похоже, что операторы ботнета являются довольными клиентами сервисов Vultr, дочерней компании Choopa LLC, поскольку их операционная инфраструктура в основном размещена там, и это также было отмечено в кампании Vicious Panda исследователями Checkpoint. Это надежный поставщик, задокументированный исследователями из Cisco еще в 2015 году.

Рисунок 7. Интерфейсы для управления ботами: Gh0st RAT (2008) против интерфейса Mikroceen (2017)

Заключение

Мы представили анализ пользовательской реализации клиент-серверной модели, разработанной для целей шпионажа. Разработчики вредоносного ПО приложили большие усилия для обеспечения безопасности и надежности соединения со своими жертвами, и операторам удалось проникнуть в сети известных компаний. Более того, в их распоряжении более широкий набор инструментов для атак, и их проекты постоянно развиваются, что в основном проявляется в вариациях обфускации.

Индикаторы компрометации (IoCs)

Вот хэши образцов, описанных в статье. Дополнительные IoC, собранные в ходе атак, можно найти на GitHub ESET или GitHub Avast.

Ссылки

• Vasily Berdnikov, Dmitry Karasovsky, Alexey Shulmin: “Вредоносное ПО Microcin”, Kaspersky Labs 2017-9-25
• Josh Grunzweig, Robert Falcone: “Злоумышленники нацеливаются на правительство Беларуси с использованием трояна CMSTAR”, сентябрь 2017 г.
• Checkpoint Research: “Vicious Panda: Кампания COVID”, 2020-03-12
• SecDev Group & Citizenlab, “Отслеживание GhostNet: расследование сети кибершпионажа”, март 2009 г.
• Dhia Mahjoub, Jeremiah O’Connor, Thibault Reuille, Thomas Mathew: “Фишинг, спайкинг и плохой хостинг”, блог Cisco Umbrella, 2015-09-14
• “Mimikatz: Маленький инструмент для игры с безопасностью Windows”
• Peter Kálnai, Anton Cherepanov. “Lazarus KillDisks атакует казино в Центральной Америке”, WeLiveSecurity.com, апрель 2018 г.
• Anton Cherepanov, Robert Lipovský: “Новый бэкдор TeleBots: первые доказательства связи Industroyer с NotPetya”, WeLiveSecurity.com, октябрь 2018 г.
• Zuzana Hromcová: “Okrum: группа Ke3chang атакует дипломатические миссии”, WeLiveSecurity.com, июль 2019 г.
• Avast Threat Intelligence, репозиторий GitHub
• ESET Threat Intelligence, репозиторий GitHub

Техники MITRE ATT&CK

Читать полный анализ на WeLiveSecurity →