Worok: Det store billede

ESET-forskere fandt for nylig målrettede angreb, der brugte udokumenterede værktøjer mod forskellige højtprofilerede virksomheder og lokale regeringer, hovedsagelig i Asien. Disse angreb blev udført af en tidligere ukendt spionagegruppe, som vi har navngivet Worok, og som har været aktiv siden mindst 2020. Woroks værktøjssæt inkluderer en C++ loader CLRLoad, en PowerShell bagdør PowHeartBeat og en C# loader PNGLoad, der bruger steganografi til at udtrække skjult ondsindet nyttelast fra PNG-filer.

Hvem er Worok?

Under ProxyShell (CVE-2021-34523) afsløring af sårbarhed i begyndelsen af ​​2021, observerede vi aktivitet fra forskellige APT-grupper. Man udviste karakteristika fælles med TA428:

• Aktivitetstider
• Målrettede vertikaler
• Brug af ShadowPad

Resten af ​​værktøjssættet er meget anderledes: for eksempel deltog TA428 i Kan gå på kompromis med skrivebordet i 2020. Vi vurderer, at forbindelserne ikke er stærke nok til at betragte Worok som den samme gruppe som TA428, men de to grupper deler muligvis værktøjer og har fælles interesser. Vi besluttede at oprette en klynge og kaldte den Worok. Navnet blev valgt efter en mutex i en loader brugt af gruppen. Yderligere aktivitet med varianter af de samme værktøjer blev derefter knyttet til denne gruppe. Ifølge ESETs telemetri har Worok været aktiv siden slutningen af ​​2020 og fortsætter med at være aktiv, når dette skrives.

Tilbage i slutningen af ​​2020 var Worok målrettet mod regeringer og virksomheder i flere lande, specifikt:

• Et teleselskab i Østasien
• En bank i Centralasien
• En maritim industrivirksomhed i Sydøstasien
• En regeringsenhed i Mellemøsten
• En privat virksomhed i det sydlige Afrika

Der var et betydeligt afbræk i observerede operationer fra 2021-05 til 2022-01, men Worok-aktiviteten vendte tilbage i 2022-02, målrettet mod:

• Et energiselskab i Centralasien
• En offentlig sektor i Sydøstasien

Figur 1 viser et visuelt varmekort over de målrettede områder og vertikaler.

I betragtning af målenes profiler og de værktøjer, vi har set indsat mod disse ofre, tror vi, at Woroks hovedformål er at stjæle information.

Teknisk analyse

Mens størstedelen af ​​de indledende adgange er ukendte, har vi i nogle tilfælde gennem 2021 og 2022 set udnyttelser brugt mod ProxyShell-sårbarhederne. I sådanne tilfælde er webshells typisk blevet uploadet efter at have udnyttet disse sårbarheder, for at give persistens i ofrets netværk. Derefter brugte operatørerne forskellige implantater for at få yderligere kapaciteter.

Da der var opnået adgang, indsatte operatørerne flere, offentligt tilgængelige værktøjer til rekognoscering, bl.a. Mimikatz, Jordorm, ReGeorgog NBTscan, og implementerede derefter deres tilpassede implantater: en første-trins-loader, efterfulgt af en anden fase .NET-loader (PNGLoad). Desværre er vi ikke i stand til at hente nogen af ​​de endelige nyttelaster. I 2021 var førstetrinslæsseren en CLR-samling (CLRLoad), mens den i 2022 i de fleste tilfælde er blevet erstattet af en PowerShell-bagdør med alle funktioner (PowHeartBeat) – begge udførelseskæder er afbildet i figur 2. Disse tre værktøjer er beskrevet detaljeret i de følgende underafsnit.

Figur 2. Worok kompromitterende kæder

CLRLoad: CLR montagelæsser

CLRLoad er en generisk Windows PE, som vi har set i både 32- og 64-bit versioner. Det er en loader skrevet i C++, der indlæser det næste trin (PNNGLoad), som skal være en Common Language Runtime (CLR) samling DLL-fil. Denne kode indlæses fra en fil, der er placeret på disken i en lovlig mappe, formodentlig for at vildlede ofre eller hændelser til at tro, at det er legitim software.

Nogle CLRLoad-eksempler starter med at afkode den fulde sti til filen, hvis indhold de vil indlæse som næste trin. Disse filstier er kodet med en enkelt-byte XOR, med en anden nøgle i hver prøve. Afkodet eller klartekst er disse filstier absolutte, hvor følgende er dem, vi har stødt på:

• C:Program FilesVMwareVMware ToolsVMware VGAuthxsec_1_5.dll
• C:Program FilesUltraViewermsvbvm80.dll
• C:Program FilesInternet ExplorerJsprofile.dll
• C:Program FilesWinRarRarExtMgt.dll
• C:Program Files (x86)Foxit SoftwareFoxit Readerlucenelib.dll

Derefter oprettes en mutex, og vi har set et andet navn i hver prøve. Indlæseren kontrollerer for denne mutex; hvis den findes, afsluttes den, fordi loaderen allerede kører. I en af ​​prøverne er mutexen Wo0r0KGWhYGO blev stødt på, hvilket gav gruppen navnet Worok.

CLRLoad indlæser derefter en CLR-samling fra den muligvis afkodede filsti. Som uadministreret kode opnår CLLRoad dette via CorBindToRuntimeEx Windows API kalder i 32-bit varianter, eller CLRCreateInstance opkald i 64-bit varianter.

PowHeartBeat: PowerShell bagdør

PowHeartBeat er en fuldt udstyret bagdør skrevet i PowerShell, sløret ved hjælp af forskellige teknikker såsom komprimering, kodning og kryptering. Baseret på ESET-telemetri tror vi, at PowHeartBeat erstattede CLLRoad i nyere Worok-kampagner som det værktøj, der blev brugt til at lancere PNGLoad.

Det første lag af bagdørskoden består af flere bidder af base64-kodet PowerShell-kode. Når nyttelasten er rekonstrueret, udføres den via IEX. Når den først er afkodet, udføres endnu et lag af obfuskeret kode, som vi kan se i figur 3.

Figur 3. Uddrag af den afkodede hovedfunktion af det andet lag af PowHeartBeat

Det andet lag af bagdøren first base64 afkoder det næste lag af sin kode, som derefter dekrypteres med Triple DES (CBC-tilstand). Efter dekryptering dekomprimeres denne kode ved hjælp af gzip algoritme, hvilket giver det tredje lag af PowerShell-kode, som er selve bagdøren. Den er opdelt i to hoveddele: konfiguration og håndtering af bagdørskommandoer.

Hovedlaget af bagdørskode er også skrevet i PowerShell og bruger HTTP eller ICMP til at kommunikere med C&C-serveren. Det fungerer som vist i figur 4.

Figur 4. PowHeartBeats funktion

Konfiguration

Konfigurationen indeholder flere felter, inklusive versionsnummer, valgfri proxy-konfiguration og C&C-adresse. Tabel 1 beskriver betydningen af ​​konfigurationsfelterne i de forskellige versioner, vi har observeret.

Tabel 1. Betydning af konfigurationsfelter

Figur 5 viser et eksempel på konfigurationen ekstraheret fra en PowHeartBeat-prøve (SHA-1: 757ABA12D04FD1167528FDD107A441D11CD8C427).

Figur 5. Konfigurationseksempel

Datakryptering

PowHeartBeat krypterer logfiler og yderligere konfigurationsfilindhold.

Logfilindhold er krypteret gennem multiple-byte XOR med en nøgle angivet i klartekst i eksemplet. Interessant nok, klient-id bruges som et salt til indekset i nøglearrayet. Nøglen er et 256-byte array, som var identisk i hver prøve, vi stødte på. Yderligere konfigurationsfilindhold krypteres gennem multiple-byte XOR med værdien fra SecretKey som dens nøgle.

C&C kommunikation

PowHeartBeat brugte HTTP til C&C-kommunikation indtil version 2.4 og skiftede derefter til ICMP. I begge tilfælde er kommunikationen ikke krypteret.

HTTP

I en uendelig løkke sender bagdøren en GET-anmodning til C&C-serveren og beder om en kommando, der skal udstedes. Det krypterede svar dekrypteres af bagdøren, som behandler kommandoen og skriver kommandooutputtet til en fil, hvis indhold derefter sendes til C&C-serveren via en POST-anmodning.

Formatet på GET-anmodningerne er følgende:

Bemærk, at anmodningen er konstrueret ved hjælp af de eponyme konfigurationsfelter.

I svaret fra C&C-serveren er den tredje byte af indholdet kommando-id'en, der angiver kommandoen, der skal behandles af bagdøren. Vi kalder det kommando_id. Det resterende indhold af svaret vil blive videregivet som et argument til den kommando, der behandles. Dette indhold er krypteret med algoritmen vist i figur 6, opgave-id er værdien af ​​den cookie, der er opkaldt efter CookieTaskId's værdi fra konfigurationen.

Figur 6. Anmoder om krypteringsalgoritme for indholdsdata

Svaret fra C&C-serveren indeholder også en anden cookie, hvis navn er angivet af bagdørens CookieTerminalId konfigurationsvariabel. Værdien af ​​denne cookie gentages i POST-anmodningen fra bagdøren, og den må ikke være tom. Efter at have udført backdoor-kommandoen, sender PowHeartBeat resultatet som en POST-anmodning til C&C-serveren. Resultatet sendes som en fil, hvis navn er .png.

ICMP

Fra version 2.4 af PowHeartBeat blev HTTP erstattet af ICMP, sendte pakker med en timeout på seks sekunder og blev ufragmenteret. Kommunikation gennem ICMP er højst sandsynligt en måde at undgå opdagelse på.

Der er ingen større ændring i version 2.4 og senere, men vi har bemærket nogle ændringer i koden:

• PowHeartBeat sender en hjerteslagspakke ved hver løkke, der indeholder strengen ABCDEFGHIJKLMNOPQRSTU VWXYZ, før du anmoder om en kommando. Dette informerer C&C-serveren om, at bagdøren er klar til at modtage kommandoer.
• Anmodninger om at få kommandoer udført af bagdøren indeholder strengen abcdefghijklmnop.

Hjerteslagspakker har formatet beskrevet i figur 7.

Figur 7. Heartbeat-pakkelayout

Forskellen på klient-id , klientflag er, at klient-id adskiller sig i hver prøve, hvorimod klientflag er den samme i hver prøve, der bruger ICMP. hjerteslag flag angiver, at bagdøren sender et hjerteslag. Svaret fra C&C-serveren har formatet beskrevet i figur 8.

Figur 8. C&C-serversvarlayout

flag her angiver, om der er en kommando, der skal sendes til bagdøren. Anmodninger om at få kommandoer har formatet beskrevet i figur 9.

Figur 9. Layout for anmodninger om at få kommandoer

Bemærk, at bagdørens ICMP-tilstand tillader modtagelse af en ubegrænset mængde data, opdelt i bidder og variablerne data længde, aktuelle position , total længde bruges til at holde styr på de overførte data. Svar på disse anmodninger har formatet beskrevet i figur 10.

Figur 10. Layout af svar på anmodninger om at få kommandoer

Som i HTTP-svar er kommando-id'en den tredje byte af data.

Efter syv på hinanden følgende ICMP-svar med tomt eller inkonsekvent formateret indhold, anses overførsler mellem bagdøren og C&C-serveren for at være afsluttet.

Med hensyn til anmodninger om at sende resultatet af den udstedte kommando til C&C-serveren, ændres servertilstanden til posttilstand, og den sidste streng (abcdefghijklmnop) ændres for resultatdataene.

Bagdørs kommandoer

PowHeartBeat har forskellige muligheder, herunder kommando-/procesudførelse og filmanipulation. Tabel 2 viser alle kommandoer, der understøttes af de forskellige analyserede prøver.

Tabel 2. PowHeartBeat-kommandobeskrivelser

I tilfælde af fejl på bagdørssiden bruger bagdøren en specifik kommandoidentifikator 0x00 i POST-anmodningen til C&C-serveren, hvilket indikerer, at der er opstået en fejl.

Bemærk, at før du sender informationen tilbage til C&C-serveren, er dataene gzip-komprimerede.

PNGLoad: Steganografisk loader

PNGLoad er det andet trins nyttelast, der implementeres af Worok på kompromitterede systemer og ifølge ESET telemetri indlæses enten af ​​CLLRoad eller PowHeartBeat. Selvom vi ikke ser nogen kode i PowHeartBeat, der direkte indlæser PNGLoad, har bagdøren kapacitet til at downloade og udføre yderligere nyttelast fra C&C-serveren, hvilket sandsynligvis er, hvordan angriberne har implementeret PNGLoad på systemer, der er kompromitteret med PowHeartBeat. PNGLoad er en loader, der bruger bytes fra PNG-filer til at skabe en nyttelast til at udføre. Det er en 64-bit .NET eksekverbar fil – sløret med .NET-reaktor – der udgiver sig som legitim software. For eksempel viser figur 11 CLR-headerne af en prøve, der er maskeret som en WinRAR DLL.

Figur 11. Eksempel på en falsk WinRAR DLL

Når den er deobfusceret, er der kun én klasse til stede. I denne klasse er der en Hovedsti attribut, der indeholder biblioteksstien, som bagdøren søger, inklusive dens undermapper, efter filer med en . Png forlængelse, som vist i figur 12.

Figur 12. . Png filliste

Hver . Png fil fundet ved denne søgning af Hovedsti kontrolleres derefter for steganografisk indlejret indhold. Først hentes den mindst signifikante bit af hver pixels R (rød), G (grøn), B (blå) og A (alfa) værdier og samles i en buffer. Hvis de første otte bytes af bufferen matcher det magiske tal, der ses i figur 13, og den næste otte-byte værdi, kontrol, ikke er nul, passerer filen PNGLoads steganografiske indholdskontrol. For sådanne filer fortsætter behandlingen med resten af ​​bufferen dekrypteret med en multiple-byte XOR ved hjælp af nøglen, der er gemt i PNGLoad's SecretKeyBytes attribut, og derefter gzip-dekomprimeres den dekrypterede buffer. Resultatet forventes at blive et PowerShell-script, som køres med det samme.

Figur 13. Format for buffer PNGLoad opretter fra behandling . Png filer

Interessant nok logges operationer udført af PNGLoad i en fil, hvis sti er gemt i variablen LogFilePath. Operationer logges kun, hvis der er en fil, hvis sti er angivet af den interne variabel IfLogFilePath.

Vi har ikke været i stand til at få en prøve . Png fil, der bruges sammen med PNGLoad, men den måde, PNGLoad fungerer på, antyder, at den skal fungere med gyldige PNG-filer. For at skjule den ondsindede nyttelast bruger Worok Bitmap-objekter i C#, som kun tager pixelinformation fra filer, ikke filens metadata. Dette betyder, at Worok kan skjule sine ondsindede nyttelaster i gyldige, uskadelige PNG-billeder og dermed gemme sig i almindeligt syn.

Konklusion

Worok er en cyberspionagegruppe, der udvikler sine egne værktøjer, såvel som at udnytte eksisterende værktøjer til at kompromittere sine mål. At stjæle information fra deres ofre er, hvad vi mener, at operatørerne er ude efter, fordi de fokuserer på højprofilerede enheder i Asien og Afrika, rettet mod forskellige sektorer, både private og offentlige, men med en specifik vægt på statslige enheder. Aktivitetstider og værktøjssæt indikerer mulige bånd til TA428, men vi foretager denne vurdering med lav selvtillid. Deres brugerdefinerede værktøjssæt inkluderer to indlæsere – en i C++ og en i C# .NET – og en PowerShell-bagdør. Selvom vores synlighed er begrænset, håber vi, at belysning af denne gruppe vil tilskynde andre forskere til at dele information om denne gruppe.

IOCs

Filer

Filstier

Nogle af de Hovedsti, LogFilePath , IfLogFilePath værdier, som vi stødte på i PNGLoad-eksempler:

Netværk

Mutexes

I CLLRoad-prøver er mutex-navnene, som vi stødte på:

aB82UduGX0EX
ad8TbUIZl5Ga
Mr2PJVxbIBD4
oERiQtKLgPgK
U37uxsCsA4Xm
Wo0r0KGWhYGO
xBUjQR2vxYTz
zYCLBWekRX3t
3c3401ad-e77d-4142-8db5-8eb5483d7e41
9xvzMsaWqxMy

En omfattende liste over kompromisindikatorer (IoC'er) og prøver kan findes i vores GitHub repository.

MITRE ATT&CK teknikker

Dette bord er bygget vha udgave 11 af MITER ATT&CK-rammerne.