Fantasy – en ny Agrius-visker implementeret gennem et forsyningskædeangreb

ESET-forskere opdagede en ny visker og dets udførelsesværktøj, begge tilskrevet Agrius APT-gruppen, mens de analyserede et forsyningskædeangreb, der misbrugte en israelsk softwareudvikler. Gruppen er kendt for sine destruktive operationer.

I februar 2022 begyndte Agrius at målrette mod israelske HR- og IT-konsulentfirmaer og brugere af en israelsk softwarepakke, der bruges i diamantindustrien. Vi mener, at Agrius-operatører udførte et forsyningskædeangreb, hvor de misbrugte den israelske softwareudvikler til at implementere deres nye visker, Fantasy, og et nyt sidebevægelses- og Fantasy-udførelsesværktøj, Sandals.

Fantasy-viskeren er bygget på grundlaget af det tidligere rapporterede Apostelvisker men forsøger ikke at udgive sig som ransomware, som Apostle oprindeligt gjorde. I stedet går det lige til at tørre data. Ofre blev observeret i Sydafrika - hvor rekognosceringen begyndte flere uger før Fantasy blev indsat - Israel og Hong Kong.

Gruppeoversigt

Agrius er en nyere Iran-tilpasset gruppe rettet mod ofre i Israel og De Forenede Arabiske Emirater siden 2020. Gruppen indsatte oprindeligt en visker, Apostle, forklædt som ransomware, men senere ændret Apostel ind i fuldt udbygget ransomware. Agrius udnytter kendte sårbarheder i internetvendte applikationer til at installere webshells, udfører derefter intern rekognoscering, før den bevæger sig sideværts og derefter implementerer sine ondsindede nyttelaster.

Kampagneoversigt

På 20 februar^th, 2022 hos en organisation i diamantindustrien i Sydafrika, implementerede Agrius legitimationsindsamlingsværktøjer, sandsynligvis som forberedelse til denne kampagne. Derefter den 12. marts^th, 2022, lancerede Agrius aftørringsangrebet ved at indsætte Fantasy og Sandaler, først til offeret i Sydafrika og derefter til ofrene i Israel og til sidst til et offer i Hong Kong.

Ofrene i Israel omfatter et IT-supportfirma, en diamantgrossist og et HR-konsulentfirma. Sydafrikanske ofre er fra en enkelt organisation i diamantindustrien, hvor ofret i Hong Kong er en guldsmed.

Kampagnen varede mindre end tre timer, og inden for den tidsramme var ESET-kunder allerede beskyttet med detektioner, der identificerede Fantasy som en wiper og blokerede dets eksekvering. Vi observerede softwareudvikleren, der skubbede rene opdateringer ud inden for få timer efter angrebet. Vi kontaktede softwareudvikleren for at underrette dem om et potentielt kompromis, men vores henvendelser blev ubesvaret.

Forberedelse til afgang

De første værktøjer, der blev implementeret af Agrius-operatører til offersystemer, med ukendte midler, var:

• Minidump"en C#-implementering af mimikatz/pypykatz minidump-funktionalitet for at få legitimationsoplysninger fra LSASS-dumps"
• SecretsDump, et Python-script, der "udfører forskellige teknikker til at dumpe hashes fra [en] fjernmaskine uden at udføre nogen agent der"
• Host2IP, et brugerdefineret C#/.NET-værktøj, der løser et værtsnavn til en IP-adresse.

Brugernavne, adgangskoder og værtsnavne, der indsamles af disse værktøjer, er nødvendige for, at sandaler kan sprede og udføre Fantasy-viskeren. Agrius-operatører indsatte MiniDump og SecretsDump til denne kampagnes første offer den 20. februar^th, 2022, men ventede til den 12. marts^th, 2022 for at implementere Host2IP, Fantasy og Sandaler (fortløbende).

Sandaler: Igniting the Fantasy (visker)

Sandaler er en 32-bit Windows-eksekverbar fil skrevet i C#/.NET. Vi valgte navnet, fordi Sandals er et anagram af nogle af de kommandolinjeargumenter, den accepterer. Den bruges til at oprette forbindelse til systemer i samme netværk via SMB, til at skrive en batchfil til disk, der udfører Fantasy wiper, og derefter køre den batchfil via PsExec med denne kommandolinjestreng:

• PsExec.exe /accepteula -d -u "" -p "" -s "C:.bat"

PsExec-indstillingerne har følgende betydninger:

• -d – Vent ikke på, at processen afsluttes (ikke-interaktiv).
• /accepteula – Undertryk visning af licensdialogen.
• -s – Kør fjernprocessen i SYSTEM konto.

Sandaler skriver ikke Fantasy-viskeren til fjernsystemer. Vi mener, at Fantasy wiper er implementeret via et forsyningskædeangreb ved hjælp af softwareudviklerens softwareopdateringsmekanisme. Denne vurdering er baseret på flere faktorer:

• alle ofre var kunder hos den berørte softwareudvikler;
• Fantasy wiper blev navngivet på samme måde som legitime versioner af softwaren;
• alle ofre henrettede Fantasy-viskeren inden for en tidsramme på 2.5 timer, hvor ofre i Sydafrika først blev målrettet, derefter ofre i Israel og til sidst ofre i Hong Kong (vi tilskriver forsinkelsen i målretning til tidszoneforskelle og en hårdkodet check-in tid inden for den legitime software); og,
• til sidst blev Fantasy-viskeren skrevet til og udført fra, %SYSTEM%WindowsTemp, det midlertidige standardbibliotek for Windows-systemer.

Derudover mener vi, at ofrene allerede brugte PsExec, og Agrius-operatører valgte at bruge PsExec til at blande sig ind i typisk administrativ aktivitet på ofrenes maskiner og for at lette udførelse af batchfiler. Tabel 1 viser de kommandolinjeargumenter, der accepteres af Sandals.

Tabel 1. Sandalargumenter og deres beskrivelser

Batchfilen skrevet til disk af Sandals er navngivet bat, hvor filnavnet er outputtet af Guid.NewGuid() metode. Et eksempel på en Sandals batchfil er vist i figur 2.

Figur 2. Sandalers batchfil (øverst, i rødt) og den afkodede kommandolinjeparameter (nederst, i blåt)

Base64-strengen, der følger fantasy35.exe er sandsynligvis et levn fra Apostles udførelseskrav (flere detaljer i Tilskrivning til Agrius afsnit). Fantasy-viskeren leder dog kun efter et argument for 411 og ignorerer alle andre runtime-input (se næste afsnit for mere information).

Fantasy visker

Fantasy wiper er også en 32-bit Windows-eksekverbar fil skrevet i C#/.NET, så opkaldt efter sine filnavne: fantasy45.exe , fantasy35.exe, henholdsvis. Figur 3 viser udførelsen af ​​Fantasy-viskeren.

Figur 3. Fantasy wiper udførelse flow

Til at begynde med opretter Fantasy en mutex for at sikre, at kun én instans kører. Den indsamler en liste over faste drev, men udelukker det drev, hvor %WINDOWS% bibliotek findes. Derefter går den ind i en for-løkke, der itererer over drevlisten for at bygge en rekursiv mappeliste, og bruger RNGCryptoServiceProvider.GetBytes metode til at skabe en kryptografisk stærk sekvens af tilfældige værdier i et 4096-byte array. Hvis et runtime-argument på 411 leveres til viskeren, den forum loop overskriver indholdet af hver fil med det førnævnte byte-array ved hjælp af en indlejret mens sløjfe. Ellers er forum loop overskriver kun filer med en filtypenavn angivet i appendiks.

Fantasy tildeler derefter et bestemt tidsstempel (2037-01-01 00:00:00) til disse filtidsstempelegenskaber:

• Oprettelsestid
• Sidste adgangstid
• LastWriteTime
• CreationTimeUtc
• SetLastAccessTimeUtc
• LastWriteTimeUtc

og sletter derefter filen. Dette er formentlig gjort for at gøre inddrivelse og retsmedicinske analyser vanskeligere.

Under forum loop, tæller Fantasy wiper fejl i den aktuelle mappe, når du forsøger at overskrive filer. Hvis antallet af fejl overstiger 50, skriver den en batchfil, %WINDOWS%Temp.bat, der sletter mappen med filerne, der forårsager fejlene, og derefter selvsletter. Filsletning genoptages derefter i den næste mappe på mållisten.

Når forum sløjfen er fuldført, opretter Fantasy wiper en batchfil i %WINDOWS%Temp kaldet registry.bat. Batchfilen sletter følgende registreringsdatabasenøgler:

• HKCR.EXE
• HKCR.dll
• HKCR*

Derefter kører den følgende for at forsøge at rydde filsystemets cachehukommelse:

• %windir%system32rundll32.exe advapi32.dll,ProcessIdleTasks

Endelig registry.bat sletter sig selv (del %0).

Dernæst rydder Fantasy wiper alle Windows hændelseslogfiler og opretter endnu en batchfil, system.bati %WINDOWS%Temp, der rekursivt sletter alle filer på %SYSTEMDRIVE%, forsøger at rydde filsystemets cachehukommelse og selvsletter. Så sover Fantasy i to minutter, inden det overskriver systemets Master Boot Record.

Fantasy skriver derefter en anden batch-fil, %WINDOWS%Tempremover.bat, der sletter Fantasy wiper fra disken og derefter sletter sig selv. Derefter sover Fantasy wiper i 30 sekunder, inden systemet genstartes med årsagskode SHTDN_REASON_MAJOR_OTHER (0x00000000) — Andet problem.

Det er sandsynligvis det %SYSTEMDRIVE% genopretning er mulig. Det blev observeret, at ofrene var oppe at køre igen inden for få timer.

Tilskrivning til Agrius

Meget af kodebasen fra Apostle, oprindeligt en vinduesvisker, der udgav sig for at være ransomware og derefter opdateret til faktisk ransomware, blev direkte kopieret til Fantasy, og mange andre funktioner i Fantasy blev kun lidt ændret fra Apostle, en kendt Agrius værktøj. Den overordnede funktionalitet af Fantasy er dog en visker uden forsøg på at udgive sig for at være ransomware. Figur 4 viser filsletningsfunktionerne i henholdsvis Fantasy og Apostle. Der er kun et par små justeringer mellem den originale funktion i Apostle og Fantasy-implementeringen.

Figur 4. Filsletningsfunktioner fra Fantasy wiper (øverst, i rødt) og Apostle ransomware (nederst, i grønt)

Figur 4. Filsletningsfunktioner fra Fantasy wiper (øverst, i rødt) og Apostle ransomware (nederst, i grønt)

Figur 5 viser, at kataloglistefunktionen næsten er en direkte kopi, hvor kun funktionsvariablerne får en lille justering mellem Apostle og Fantasy.

Figur 5. Kataloglistefunktioner fra Fantasy wiper (øverst, i rødt) og Apostle ransomware (nederst, i grønt)

Endelig GetSubDirectoryFileListRecursive funktionen i figur 6 er også næsten en nøjagtig kopi.

Figur 6. Rekursiv mappelistefunktioner fra Fantasy wiper (øverst, i rødt) og Apostle ransomware (nederst, i grønt)

Ud over genbrug af koden kan vi se rester af Apostlens henrettelsesflow i Fantasy. I den oprindelige analyse af Apostle, SentinelOne bemærker, at "Korrekt udførelse af ransomware-versionen kræver, at den forsynes med et base64-kodet argument, der indeholder en XML af et 'RSAParameters'-objekt. Dette argument videregives og gemmes som den offentlige nøgle, der bruges til krypteringsprocessen og er højst sandsynligt genereret på en maskine, der ejes af trusselsaktøren.” Vi kan se i batchfilen i figur 7, som Sandals opretter på fjernsystemer for at starte Fantasy, at det samme base64-kodede argument indeholder en XML af en RSA-parametre objekt sendes til Fantasy under kørsel. Fantasy bruger dog ikke dette runtime-argument.

Figur 7. Sandaler, der går videre til Fantasy, det samme RSAParameters-objekt, som blev brugt af Apostle ransomware

Konklusion

Siden opdagelsen i 2021 har Agrius udelukkende været fokuseret på destruktive operationer. Til det formål udførte Agrius-operatører sandsynligvis et forsyningskædeangreb ved at målrette et israelsk softwarefirmas softwareopdateringsmekanismer for at implementere Fantasy, dets nyeste visker, til ofre i Israel, Hong Kong og Sydafrika. Fantasy ligner i mange henseender den tidligere Agrius-visker, Apostle, der oprindeligt udgav sig som ransomware, før den blev omskrevet til at være faktisk ransomware. Fantasy gør ingen indsats for at forklæde sig selv som ransomware. Agrius-operatører brugte et nyt værktøj, Sandaler, til at forbinde eksternt til systemer og udføre Fantasy.

IoC'er

MITRE ATT&CK teknikker

Dette bord er bygget vha udgave 12 af MITER ATT&CK-rammerne.

Tillæg

Filudvidelser (682) målrettet af Fantasy wiper, når de ikke målretter mod alle filtypenavne. Filudvidelser fremhævet i gul (68) er almindelige filnavne i Windows. Navnlig fraværende er filtypenavne dll , sys.