La bombe à retardement lente Tick‑ing : compromis du groupe Tick APT sur un développeur de logiciels DLP en Asie de l'Est

Les chercheurs d'ESET ont découvert une campagne que nous attribuons avec une grande confiance au groupe APT Tick. L'incident s'est produit dans le réseau d'une société d'Asie de l'Est qui développe un logiciel de prévention des pertes de données (DLP).

Les attaquants ont compromis les serveurs de mise à jour internes de la société DLP pour fournir des logiciels malveillants à l'intérieur du réseau du développeur de logiciels, et des installateurs troyens d'outils légitimes utilisés par la société, ce qui a finalement abouti à l'exécution de logiciels malveillants sur les ordinateurs des clients de la société.

Dans cet article de blog, nous fournissons des détails techniques sur les logiciels malveillants détectés dans les réseaux de l'entreprise compromise et de ses clients. Au cours de l'intrusion, les attaquants ont déployé un téléchargeur précédemment non documenté nommé ShadowPy, et ils ont également déployé le Netboy porte dérobée (alias envahisseur) et Fantôme téléchargeur.

Sur la base du profil de Tick et du portefeuille de clients de grande valeur de l'entreprise compromise, l'objectif de l'attaque était très probablement le cyberespionnage. La manière dont la société de prévention des pertes de données a été initialement compromise est inconnue.

Aperçu des tiques

Tick ​​(également connu sous le nom de BRONZE BUTLER ou REDBALDKNIGHT) est un groupe APT, soupçonné d'être actif depuis au moins 2006, ciblant principalement les pays de la région APAC. Ce groupe est intéressant pour ses opérations de cyberespionnage, qui se concentrent sur le vol d'informations classifiées et de propriété intellectuelle.

Tick ​​utilise un ensemble d'outils exclusifs de logiciels malveillants personnalisés conçus pour un accès persistant aux machines compromises, la reconnaissance, l'exfiltration de données et le téléchargement d'outils. Notre dernier rapport sur l'activité de Tick l'a trouvé exploitation de la vulnérabilité ProxyLogon pour compromettre une société informatique sud-coréenne, en tant que l'un des groupes ayant accès à cet exploit d'exécution de code à distance avant que la vulnérabilité ne soit divulguée publiquement. Alors qu'il était encore un jour zéro, le groupe a utilisé l'exploit pour installer un webshell afin de déployer une porte dérobée sur un serveur Web.

Aperçu des attaques

En mars 2021, par des moyens inconnus, des attaquants ont eu accès au réseau d'une société de développement de logiciels d'Asie de l'Est.

Les attaquants ont déployé des logiciels malveillants persistants et remplacé les programmes d'installation d'une application légitime connue sous le nom de Q-répertoire avec des copies trojanisées qui, une fois exécutées, laissaient tomber une porte dérobée VBScript open-source nommée ReVBSshell, ainsi qu'une copie de l'application Q-Dir légitime. Cela a conduit à l'exécution de code malveillant dans les réseaux de deux des clients de l'entreprise compromise lorsque les installateurs infectés par des chevaux de Troie ont été transférés via un logiciel d'assistance à distance - notre hypothèse est que cela s'est produit pendant que l'entreprise DLP fournissait une assistance technique à ses clients.

Les attaquants ont également compromis les serveurs de mise à jour, qui ont fourni à deux reprises des mises à jour malveillantes aux machines à l'intérieur du réseau de la société DLP. Grâce à la télémétrie ESET, nous n'avons détecté aucun autre cas de mises à jour malveillantes en dehors du réseau de la société DLP.

Le portefeuille de clients de la société DLP comprend des entités gouvernementales et militaires, faisant de la société compromise une cible particulièrement attrayante pour un groupe APT tel que Tick.

Timeline

Selon la télémétrie ESET, en mars 2021, les attaquants ont déployé des logiciels malveillants sur plusieurs machines de la société de développement de logiciels. Le logiciel malveillant comprenait des variantes des familles Netboy et Ghostdown, ainsi qu'un téléchargeur précédemment non documenté nommé ShadowPy.

En avril, les attaquants ont commencé à introduire des copies trojanisées des installateurs Q-dir dans le réseau de l'entreprise compromise.

En juin et septembre 2021, dans le réseau de l'entreprise compromise, le composant qui effectue les mises à jour du logiciel développé par l'entreprise compromise a téléchargé un package contenant un exécutable malveillant.

En février et juin 2022, les installateurs Q-dir troyens ont été transférés via des outils d'assistance à distance aux clients de l'entreprise compromise.

Figure 1. Chronologie de l'attaque et des incidents connexes.

Serveurs de mise à jour compromis

Le premier incident au cours duquel une mise à jour contenant un logiciel malveillant a été enregistrée s'est produit en juin, puis à nouveau en septembre 2021. Dans les deux cas, la mise à jour a été livrée aux machines à l'intérieur du réseau de la société DLP.

La mise à jour se présentait sous la forme d'une archive ZIP contenant un fichier exécutable malveillant. Il a été déployé et exécuté par un agent de mise à jour légitime à partir d'un logiciel développé par la société compromise. La chaîne de compromis est illustrée à la figure 2.

Figure 2. Illustration de la chaîne de compromis

Le premier cas détecté s'est produit en juin 2021 et la mise à jour a été téléchargée à partir d'un serveur interne et déployée. Le deuxième cas s'est produit en septembre 2021, à partir d'un serveur public.

L'exécutable malveillant émet une requête HTTP GET pour http://103.127.124[.]117/index.html pour obtenir la clé pour déchiffrer la charge utile intégrée, qui est chiffrée avec l'algorithme RC6. La charge utile est abandonnée au % TEMP% répertoire avec un nom aléatoire et un .vbe extension, et est ensuite exécuté.

Bien que nous n'ayons pas obtenu l'échantillon supprimé de la machine compromise, sur la base de la détection (VBS/Agent.DL), nous sommes convaincus que le script détecté était la porte dérobée open source. ReVBSshell.

À l'aide de la télémétrie ESET, nous n'avons identifié aucun client de la société DLP ayant reçu des fichiers malveillants via le logiciel développé par cette société. Notre hypothèse est que les attaquants ont compromis les serveurs de mise à jour pour se déplacer latéralement sur le réseau, et non pour effectuer une attaque de la chaîne d'approvisionnement contre des clients externes.

Installateurs Q-Dir infectés par un cheval de Troie

Q-Dir est une application légitime développée par SoftwareOK qui permet à son utilisateur de naviguer dans quatre dossiers en même temps dans la même fenêtre, comme le montre la figure 3. Nous pensons que l'application légitime fait partie d'une boîte à outils utilisée par les employés du compromis. société, en fonction de l'origine des détections à l'intérieur du réseau.

Figure 3. Capture d'écran de l'application Q-Dir

Selon la télémétrie d'ESET, à partir d'avril 2021, deux mois avant la détection des mises à jour malveillantes, les attaquants ont commencé à introduire des installateurs trojanisés 32 et 64 bits de l'application dans le réseau de l'entreprise compromise.

Nous avons trouvé deux cas, en février et juin 2022, où les installateurs troyens ont été transférés par les outils d'assistance à distance helpU et ANYSUPPORT, aux ordinateurs de deux entreprises situées en Asie de l'Est, l'une dans le secteur de l'ingénierie et l'autre dans l'industrie manufacturière.

Ces ordinateurs étaient équipés d'un logiciel de la société compromise, et le programme d'installation Q-dir contenant un cheval de Troie a été reçu quelques minutes après l'installation du logiciel de support par les utilisateurs.

Notre hypothèse est que les clients de la société DLP compromise recevaient un support technique de cette société, via l'une de ces applications de support à distance et que l'installateur malveillant a été utilisé sans le savoir pour servir les clients de la société DLP ; il est peu probable que les attaquants aient installé des outils de support pour transférer eux-mêmes les programmes d'installation contenant des chevaux de Troie.

Programme d'installation 32 bits

La technique utilisée pour trojaniser l'installateur consiste à injecter du shellcode dans une cavité à la fin de la table des en-têtes de section - l'application a été compilée à l'aide de Assistance en Alignement de fichiers et de Alignement de section, laissant dans une cavité de 0xD18 octets - assez grand pour accueillir le shellcode malveillant, indépendant de la position. Le code du point d'entrée de l'application est patché avec une instruction JMP qui pointe vers le shellcode, et se trouve juste après l'appel à Winmain (Figure 4); par conséquent, le code malveillant n'est exécuté qu'après que le code légitime de l'application a terminé son exécution.

Figure 4. Le code d'assemblage montre le JMP instruction qui détourne le flux d'exécution vers le shellcode. Le vidage hexadécimal montre le shellcode à la fin des en-têtes de section du PE.

Le shellcode, illustré à la figure 5, télécharge une charge utile non chiffrée à partir de http://softsrobot[.]com/index.html à %TEMP%ChromeUp.exe par défaut; si le fichier ne peut pas être créé, il reçoit un nouveau nom à l'aide de la GetTempFileNameA API.

Figure 5. Code décompilé de la fonction qui orchestre le téléchargement du fichier binaire et son écriture sur le disque

Programme d'installation 64 bits

Alors qu'un seul programme d'installation 32 bits malveillant a été trouvé, les programmes d'installation 64 bits ont été détectés à plusieurs endroits sur le réseau de la société DLP. Le programme d'installation contient l'application Q-Dir et une porte dérobée ReVBShell codée (VBE) qui a été personnalisée par les attaquants ; les deux ont été compressés avec LZO et cryptés avec RC6. Les fichiers sont déposés dans le % TEMP% répertoire et exécuté.

ReVBSshell

ReVBShell est une porte dérobée open-source avec des fonctionnalités très basiques. Le code de la porte dérobée est écrit en VBScript et le code du contrôleur est écrit en Python. La communication avec le serveur se fait via HTTP avec des requêtes GET et POST.

La porte dérobée prend en charge plusieurs commandes, notamment :

• Obtenir le nom de l'ordinateur, le nom du système d'exploitation, l'architecture et la version linguistique du système d'exploitation
• Obtenir le nom d'utilisateur et le nom de domaine
• Obtenir des informations sur la carte réseau
• Lister les processus en cours d'exécution
• Exécuter des commandes shell et renvoyer la sortie
• Changement de répertoire courant
• Télécharger un fichier à partir d'une URL donnée
• Téléchargement d'un fichier demandé

Nous pensons que les attaquants ont utilisé la version 1.0 de ReVBShell, basée sur l'historique de validation de la branche principale sur GitHub.

En savoir plus sur le compromis d'entreprise DLP

Dans cette section, nous fournissons plus de détails sur les outils et les familles de logiciels malveillants que Tick a déployés sur le réseau de l'éditeur de logiciels compromis.

Pour maintenir un accès persistant, les attaquants ont déployé des DLL de chargeur malveillantes ainsi que des applications signées légitimes vulnérables au piratage d'ordre de recherche de DLL. Le but de ces DLL est de décoder et d'injecter une charge utile dans un processus désigné (dans tous les cas de cet incident, tous les chargeurs ont été configurés pour injecter dans svchost.exe).

La charge utile de chaque chargeur est l'une des trois familles de logiciels malveillants : ShadowPy, Ghostdown ou Netboy. La figure 6 illustre le processus de chargement.

Figure 6. Présentation générale du processus de chargement du logiciel malveillant Tick

Dans ce rapport, nous nous concentrerons sur l'analyse du téléchargeur ShadowPy et de la porte dérobée Netboy.

OmbrePy

ShadowPy est un téléchargeur développé en Python et converti en un exécutable Windows à l'aide d'une version personnalisée de py2exe. Le téléchargeur contacte son C&C pour obtenir les scripts Python à exécuter.

Sur la base de nos conclusions, nous pensons que le logiciel malveillant a été développé au moins deux ans avant la compromission de la société DLP en 2021. Nous n'avons observé aucun autre incident où ShadowPy a été déployé.

Chargeur py2exe personnalisé

Comme décrit précédemment, le chargeur de DLL malveillant est lancé via le chargement latéral de DLL ; dans le cas de ShadowPy nous avons observé vssapi.dll être chargé latéralement par avshadow.exe, un composant logiciel légitime de la suite logicielle de sécurité Avira.

La DLL malveillante contient, chiffrés dans son overlay, trois composants majeurs : le chargeur personnalisé py2exe, le moteur Python et le code PYC. Tout d'abord, le code du chargeur DLL localise le chargeur py2exe personnalisé dans sa superposition et le déchiffre à l'aide d'un XOR préservant NULL en utilisant Assistance comme clé, puis il la charge en mémoire et l'injecte dans un nouveau svchost.exe processus qu'il crée. Ensuite, le point d'entrée du chargeur py2exe personnalisé est exécuté sur le processus distant. La différence entre le code du chargeur py2exe d'origine et la version personnalisée utilisée par Tick est que le chargeur personnalisé lit le contenu du programme malveillant. vssapi.dll à partir du disque et recherche le moteur Python et le code PYC dans la superposition, tandis que l'original localise le moteur et le code PYC dans la section des ressources.

La chaîne de chargement est illustrée à la figure 7.

Figure 7. Présentation générale des étapes suivies pour exécuter la charge utile PYC

Téléchargeur Python

Le code PYC est un simple téléchargeur dont le but est de récupérer un script Python et de l'exécuter dans un nouveau thread. Ce téléchargeur sélectionne au hasard une URL dans une liste (bien que pour les échantillons que nous avons analysés, une seule URL était présente) et crée un identifiant unique pour la machine compromise en créant une chaîne composée des données suivantes :

• Adresse IP locale de la machine
• Adresse MAC
• Nom d'utilisateur (tel que renvoyé par le % Username% variable d'environnement)
• Domaine et nom d'utilisateur (résultats de la whoami commande)
• Nom de l'ordinateur réseau (tel que renvoyé par Python plateforme.node une fonction)
• Informations sur le système d'exploitation (telles que renvoyées par Python plateforme.plateforme une fonction)
• Informations sur l'architecture (telles que renvoyées par Python plate-forme.architecture une fonction)

Enfin, il utilise abs(zlib.crc32( )) pour générer la valeur qui servira d'identifiant. L'ID est inséré au milieu d'une chaîne composée de caractères aléatoires et est ensuite masqué, puis il est ajouté à l'URL, comme illustré à la figure 8.

Figure 8. Code Python décompilé qui prépare l'URL, en ajoutant l'ID utilisateur unique masqué

Il émet une requête HTTP GET pour voyageur[.]com pour recevoir une nouvelle charge utile déchiffrée par XOR avec une clé fixe à un octet, 0xC3, puis décodé en base64 ; le résultat est déchiffré à l'aide de l'algorithme AES en mode CFB avec une clé de 128 bits et un IV fourni avec la charge utile. Enfin, il est décompressé à l'aide de zlib et exécuté dans un nouveau thread.

Netboy

Netboy (alias envahisseur) est une porte dérobée programmée en Delphi ; il prend en charge 34 commandes qui permettent aux attaquants de capturer l'écran, d'effectuer des événements de souris et de clavier sur la machine compromise, de manipuler des fichiers et des services et d'obtenir des informations système et réseau, entre autres capacités.

Protocole réseau

Netboy communique avec son serveur C&C via TCP. Le format de paquet utilisé pour échanger des informations entre la porte dérobée et son C&C est décrit dans la Figure 9.

Figure 9. Illustration du format de paquet C&C implémenté par Netboy

Afin d'identifier ses paquets, il génère deux nombres aléatoires (deux premiers champs de l'en-tête) qui sont XOR ensemble (comme illustré à la Figure 10) pour former une troisième valeur qui est utilisée pour valider le paquet.

Figure 10. Code décompilé qui génère deux nombres aléatoires et les combine pour générer une valeur d'empreinte de paquet

La validation des paquets est illustrée à la Figure 11, lorsque la porte dérobée reçoit une nouvelle commande de son contrôleur.

Figure 11. Code décompilé qui effectue la validation d'un paquet nouvellement reçu

L'en-tête du paquet contient également la taille des données compressées chiffrées et la taille des données non compressées plus la taille (DWORD) d'un autre champ contenant un nombre aléatoire (non utilisé pour la validation) qui est ajouté aux données avant qu'elles ne soient compressées, comme le montre la figure 12.

Figure 12. Code décompilé qui crée un nouveau paquet à envoyer au contrôleur

Pour la compression, Netboy utilise une variante de la famille d'algorithmes de compression LZRW et pour le chiffrement, il utilise l'algorithme RC4 avec une clé de 256 bits composée de caractères ASCII.

Commandes de porte dérobée

Netboy prend en charge 34 commandes ; cependant, dans le tableau 1, nous décrivons seulement 25 des plus importants, donnant aux attaquants certaines capacités sur les systèmes compromis.

Tableau 1. Commandes de porte dérobée Netboy les plus intéressantes

attribution

Nous attribuons cette attaque à Tick avec une grande confiance sur la base du malware trouvé qui a été précédemment attribué à Tick, et à notre connaissance n'a pas été partagé avec d'autres groupes APT, et les similitudes de code entre ShadowPy et le chargeur utilisé par Netboy .

De plus, les domaines utilisés par les attaquants pour contacter leurs serveurs C&C étaient auparavant attribués à Tick dans des cas passés : colle à l'eau[.]org in 2015et une softsrobot[.]avec in 2020.

Activité éventuellement connexe

En mai 2022, Les chercheurs d'AhnLab ont publié un rapport à propos d'un acteur menaçant non identifié ciblant des entités et des individus de Corée du Sud avec des fichiers CHM qui déploient un exécutable légitime et une DLL malveillante pour le chargement latéral. Le but de la DLL est de décompresser, déchiffrer, supprimer et exécuter un script VBE dans le % TEMP% dossier. Le script décodé révèle à nouveau une porte dérobée ReVBShell.

Nous pensons que la campagne est susceptible d'être liée à l'attaque décrite dans ce rapport, car la porte dérobée ReVBShell personnalisée des deux attaques est la même et il existe plusieurs similitudes de code entre le programme d'installation 64 bits malveillant (SHA-1 : B9675D0EFBC4AE92E02B3BFC8CA04B01F8877DB6) et l'exemple quartz.dll (SHA-1 : ECC352A7AB3F97B942A6BDC4877D9AFCE19DFE55) décrit par AhnLab.

Conclusion

Les chercheurs d'ESET ont découvert un compromis d'une société de prévention des pertes de données d'Asie de l'Est. Au cours de l'intrusion, les attaquants ont déployé au moins trois familles de logiciels malveillants et compromis les serveurs de mise à jour et les outils utilisés par l'entreprise compromise. En conséquence, deux clients de l'entreprise ont ensuite été compromis.

Notre analyse des outils malveillants utilisés lors de l'attaque a révélé des logiciels malveillants auparavant non documentés, que nous avons nommés ShadowPy. Sur la base des similitudes dans les logiciels malveillants découverts au cours de l'enquête, nous avons attribué l'attaque avec une grande confiance au groupe Tick APT, connu pour ses opérations de cyberespionnage ciblant la région APAC.

Nous tenons à remercier Cha Minseok d'AhnLab pour avoir partagé des informations et des échantillons au cours de nos recherches.

IoCs

Fichiers

Réseau

Techniques d'ATT&CK D'ONGLET

Ce tableau a été construit avec Version 12 du cadre MITRE ATT&CK.

• Contenu propulsé par le référencement et distribution de relations publiques. Soyez amplifié aujourd'hui.
• Platoblockchain. Intelligence métaverse Web3. Connaissance Amplifiée. Accéder ici.
• La source: https://www.welivesecurity.com/2023/03/14/slow-ticking-time-bomb-tick-apt-group-dlp-software-developer-east-asia/