Fantasy – egy új Agrius ablaktörlő, amelyet az ellátási lánc elleni támadás során telepítettek

Az ESET kutatói új ablaktörlőt és annak végrehajtó eszközét fedezték fel, mindkettőt az Agrius APT csoportnak tulajdonították, miközben egy izraeli szoftverfejlesztőt visszaélő ellátási lánc támadást elemeztek. A csoport pusztító műveleteiről ismert.

2022 februárjában az Agrius izraeli HR és IT tanácsadó cégeket, valamint a gyémántiparban használt izraeli szoftvercsomag felhasználóit kezdte megcélozni. Úgy gondoljuk, hogy az Agrius üzemeltetői beszállítói lánc támadást hajtottak végre, visszaélve az izraeli szoftverfejlesztővel, hogy telepítsék új ablaktörlőjüket, a Fantasy-t és egy új oldalirányú mozgást és Fantasy végrehajtó eszközt, a Sandals-t.

A Fantasy ablaktörlő a korábban közölt alapokra épül Apostol törlő de nem próbálja meg ransomware-nek álcázni magát, ahogy az Apostle eredetileg tette. Ehelyett megy az adatok törlése. Az áldozatokat Dél-Afrikában figyelték meg – ahol a felderítés több héttel a Fantasy bevetése előtt kezdődött – Izraelben és Hongkongban.

Csoport áttekintése

Az Agrius egy újabb Iránhoz kötődő áldozatokat célzó csoport Izraelben és az Egyesült Arab Emírségekben óta 2020. A csoport kezdetben bevetett egy törlőt, az Apostle-t, amelyet ransomware-nek álcáztak, de később módosított Apostol teljes értékű ransomware-be. Az Agrius az internetes alkalmazások ismert sérülékenységeit használja ki webshellek telepítésére, majd belső felderítést hajt végre, mielőtt oldalirányba mozogna, majd telepíti a rosszindulatú rakományait.

Kampány áttekintése

Február 20^th, 2022-ben egy dél-afrikai gyémántipari szervezetnél az Agrius hitelesítő betakarítási eszközöket vetett be, valószínűleg a kampány előkészítéseként. Aztán március 12-én^th, 2022, Agrius Fantasy és Sandals bevetésével indította a törlőtámadást, először a dél-afrikai áldozatok, majd az izraeli áldozatok, végül pedig egy hongkongi áldozat ellen.

Izraelben az áldozatok között van egy IT-támogatási szolgáltató cég, egy gyémánt-nagykereskedő és egy HR tanácsadó cég. A dél-afrikai áldozatok a gyémántipar egyetlen szervezetétől származnak, a hongkongi áldozat pedig egy ékszerész.

A kampány kevesebb, mint három órán át tartott, és ezen az időn belül az ESET ügyfelei már védettek voltak a Fantasy-t ablaktörlőként azonosító és annak végrehajtását blokkoló észlelésekkel. Megfigyeltük, hogy a szoftverfejlesztő a támadást követő néhány órán belül tiszta frissítéseket adott ki. Megkerestük a szoftverfejlesztőt, hogy értesítsük őket egy esetleges kompromisszumról, de kérdéseinkre válasz nem érkezett.

Felkészülés az indulásra

Az első eszközök, amelyeket az Agrius kezelői az áldozati rendszerekben ismeretlen módon telepítettek, a következők voltak:

• MiniDump, "a mimikatz/pypykatz minidump funkció C# implementációja az LSASS kiíratások hitelesítő adatainak lekéréséhez"
• SecretsDump, egy Python szkript, amely "különféle technikákat hajt végre, hogy kivonatokat ürítsen [egy] távoli gépről anélkül, hogy ott bármilyen ügynököt végrehajtana"
• Host2IP, egy egyéni C#/.NET-eszköz, amely a gazdagépnevet IP-címmé oldja fel.

Az ezen eszközök által gyűjtött felhasználónevekre, jelszavakra és gazdagépnevekre van szükség ahhoz, hogy a Sandals sikeresen terjeszthesse és végrehajthassa a Fantasy wipert. Az Agrius üzemeltetői február 20-án telepítették a MiniDump és SecretsDump szoftvereket a kampány első áldozatára.^th, 2022, de március 12-ig várt^th, 2022 a Host2IP, a Fantasy és a Sandals telepítéséhez (egymás után).

Szandál: Igniting the Fantasy (törlő)

A Sandals egy 32 bites Windows futtatható fájl, amely C#/.NET nyelven íródott. Azért választottuk ezt a nevet, mert a Sandals néhány általa elfogadott parancssori argumentum anagrammája. Arra használják, hogy SMB-n keresztül csatlakozzanak ugyanazon a hálózaton lévő rendszerekhez, egy kötegfájlt írjon a lemezre, amely végrehajtja a Fantasy wipert, majd futtassa a kötegfájlt Psexec ezzel a parancssori karakterlánccal:

• PsExec.exe /accepteula -d -u "" -p "" -s "C:.bat"

A PsExec opciók jelentése a következő:

• -d – Ne várja meg a folyamat befejezését (nem interaktív).
• /accepteula – A licenc párbeszédpanel megjelenítésének letiltása.
• -s – Futtassa a távoli folyamatot a RENDSZER fiók.

A Sandals nem írja ki a Fantasy ablaktörlőt a távoli rendszerekre. Úgy gondoljuk, hogy a Fantasy ablaktörlő egy ellátási lánc támadáson keresztül kerül telepítésre a szoftverfejlesztő szoftverfrissítési mechanizmusával. Ez az értékelés több tényezőn alapul:

• minden áldozat az érintett szoftverfejlesztő ügyfele volt;
• a Fantasy ablaktörlőt a szoftver legális verzióihoz hasonló módon nevezték el;
• minden áldozat 2.5 órán belül kivégezte a Fantasy ablaktörlőt, ahol először a dél-afrikai áldozatok, majd az izraeli áldozatok, végül a hongkongi áldozatok voltak a célpontok (a célzás késését az időzóna-különbségeknek és a kódolt bejelentkezési időnek tulajdonítjuk) a legális szoftveren belül); és,
• végül a Fantasy ablaktörlőt erre írták, és onnan hajtották végre, %SYSTEM%WindowsTemp, az alapértelmezett ideiglenes könyvtár a Windows rendszerekhez.

Ezenkívül úgy gondoljuk, hogy az áldozatok már használták a PsExec-et, és az Agrius operátorai a PsExec használatát választották, hogy beleolvadjanak az áldozatok gépein végzett tipikus adminisztrációs tevékenységekbe, és megkönnyítsék a kötegfájlok végrehajtását. Az 1. táblázat felsorolja a Sandals által elfogadott parancssori argumentumokat.

1. táblázat A szandálok érvei és leírásaik

A Sandals által lemezre írt kötegfájl neve . Bat, ahol a fájlnév a kimenete Guid.NewGuid() metódus. A 2. ábrán látható egy példa egy Sandals kötegfájlra.

2. ábra: Sandals kötegfájl (felső, pirossal) és a dekódolt parancssori paraméter (alul, kék színnel)

Az ezt követő base64 karakterlánc fantasy35.exe valószínűleg az Apostol végrehajtási követelményeinek maradványa (további részletek a Agrius tulajdonítása szakasz). A Fantasy ablaktörlő azonban csak az érvet keresi 411 és figyelmen kívül hagy minden más futásidejű bemenetet (további információért lásd a következő részt).

Fantasy ablaktörlő

A Fantasy wiper szintén egy 32 bites Windows futtatható fájl, amely C#/.NET-ben íródott, így a fájlneveiről kapta a nevét: fantasy45.exe és a fantasy35.exe, ill. A 3. ábra a Fantasy ablaktörlő végrehajtási folyamatát mutatja.

3. ábra: Fantáziatörlő végrehajtási folyamata

Kezdetben a Fantasy mutexet hoz létre annak biztosítására, hogy csak egy példány fusson. Összegyűjti a rögzített meghajtók listáját, de kizárja azt a meghajtót, ahol a %ABLAKOK% könyvtár létezik. Ezután beír egy for ciklust, amely ismétlődik a meghajtólistán, hogy létrehozzon egy rekurzív könyvtárlistát, és a RNGCryptoServiceProvider.GetBytes létrehozásának módszere véletlenszerű értékek titkosításilag erős sorozata 4096 bájtos tömbben. Ha egy futásidejű argumentum 411 az ablaktörlőhöz kerül, a mert ciklus felülírja minden fájl tartalmát a fent említett bájttömbbel egy beágyazott míg hurok. Ellenkező esetben a mert ciklus csak a Függelékben felsorolt ​​kiterjesztésű fájlokat írja felül.

Ezután a Fantasy hozzárendel egy adott időbélyeget (2037-01-01 00:00:00) a következő fájl időbélyeg tulajdonságaihoz:

• Teremtés ideje
• LastAccessTime
• LastWriteTime
• CreationTimeUtc
• SetLastAccessTimeUtc
• LastWriteTimeUtc

majd törli a fájlt. Ezt feltehetően azért teszik, hogy megnehezítsék a helyreállítást és a törvényszéki elemzést.

A mert hurok, a Fantasy wiper megszámolja a hibákat az aktuális könyvtárban, amikor megpróbálja felülírni a fájlokat. Ha a hibák száma meghaladja az 50-et, akkor kötegfájlt ír, %WINDOWS%Temp.bat, amely törli a hibákat okozó fájlokat tartalmazó könyvtárat, majd öntörli. A fájltörlés ezután a céllista következő könyvtárában folytatódik.

Miután a mert A ciklus befejeződik, a Fantasy ablaktörlő létrehoz egy kötegfájlt %WINDOWS%Temp hívott registry.bat. A kötegfájl törli a következő rendszerleíró kulcsokat:

• HKCR.EXE
• HKCR.dll
• HKCR*

Ezután a következőt futtatja a fájlrendszer gyorsítótárának törléséhez:

• %windir%system32rundll32.exe advapi32.dll,ProcessIdleTasks

Végül, registry.bat törli magát (del% 0).

Ezután a Fantasy ablaktörlő törli az összes Windows eseménynaplót, és létrehoz egy újabb kötegfájlt, rendszer.bat-ban %WINDOWS%Temp, amely rekurzív módon törli az összes fájlt %SYSTEMDRIVE%, megkísérli a fájlrendszer gyorsítótárának ürítését és öntörlést. Ezután a Fantasy két percig alszik, mielőtt felülírja a rendszert Master Boot Record.

A Fantasy ezután újabb kötegfájlt ír, %WINDOWS%Tempremover.bat, amely törli a Fantasy ablaktörlőt a lemezről, majd törli magát. Ezután a Fantasy wiper 30 másodpercig alszik, mielőtt újraindítja a rendszert okkóddal SHTDN_REASON_MAJOR_OTHER (0x00000000) – Egyéb probléma.

Valószínű, hogy %SYSTEMDRIVE% helyreállítás lehetséges. Megfigyelték, hogy az áldozatok néhány órán belül újra életre keltek.

Agrius tulajdonítása

Az Apostle kódbázisának nagy része, kezdetben egy ransomware-nek álcázott törlő, majd a tényleges ransomware-re frissítve, közvetlenül a Fantasy-ba másolták át, és a Fantasy számos más funkciója csak kis mértékben módosult az Apostle-ról, a ismert Agrius szerszám. A Fantasy általános funkcionalitása azonban az ablaktörlő funkcionalitása, anélkül, hogy megpróbálná ransomware-nek álcázni magát. A 4. ábra a Fantasy és az Apostle fájltörlési funkcióit mutatja. Csak néhány apró módosítás van az Apostle eredeti funkciója és a Fantasy megvalósítás között.

4. ábra: Fájltörlési funkciók a Fantasy wiper-ből (fent, pirossal) és az Apostle ransomware-ből (alul, zöld színnel)

4. ábra: Fájltörlési funkciók a Fantasy wiper-ből (fent, pirossal) és az Apostle ransomware-ből (alul, zöld színnel)

Az 5. ábra azt mutatja, hogy a címtárlista funkció szinte közvetlen másolat, csak a függvényváltozók kapnak némi változást az Apostle és a Fantasy között.

5. ábra: A Fantasy wiper (felül, piros) és az Apostle ransomware (lent, zöld) címtárlista funkciói

Végül a GetSubDirectoryFileListRecursive függvény a 6. ábrán is szinte pontos másolata.

6. ábra: Rekurzív könyvtárlista funkciói a Fantasy wiper-ből (fent, pirossal) és az Apostle ransomware-ből (alul, zöld színnel)

A kód újrafelhasználása mellett az apostoli kivégzés maradványait is láthatjuk a Fantasy-ban. Apostol eredeti elemzésében Sentinel One megjegyzi, hogy "A ransomware verzió megfelelő végrehajtásához meg kell adni egy base64 kódolású argumentumot, amely egy „RSAPaparameters” objektum XML-jét tartalmazza. Ezt az argumentumot a rendszer a titkosítási folyamathoz használt nyilvános kulcsként adja tovább és menti, és nagy valószínűséggel a fenyegetés szereplőjének tulajdonában lévő gépen generálja.A 7. ábrán látható kötegfájlban, amelyet a Sandals távoli rendszereken hoz létre a Fantasy elindításához, láthatjuk, hogy ugyanaz a base64 kódolású argumentum, amely egy XML-t tartalmaz. RSAParaméterek Az objektum futás közben kerül átadásra a Fantasy-nek. A Fantasy azonban nem használja ezt a futásidejű argumentumot.

7. ábra: A szandálok ugyanazt az RSAParameters objektumot adják át a Fantasy-nek, mint amit az Apostle ransomware használt

Következtetés

2021-es felfedezése óta az Agrius kizárólag a pusztító műveletekre összpontosít. Ebből a célból az Agrius üzemeltetői valószínűleg egy ellátási lánc elleni támadást hajtottak végre egy izraeli szoftvercég szoftverfrissítési mechanizmusaival, hogy a Fantasy-t, a legújabb ablaktörlőjét telepítsék az áldozatokra Izraelben, Hongkongban és Dél-Afrikában. A Fantasy sok tekintetben hasonlít az előző Agrius ablaktörlőhöz, az Apostle-hoz, amely kezdetben ransomware-nek álcázta magát, mielőtt átírták volna valódi ransomware-re. A Fantasy nem tesz erőfeszítéseket, hogy ransomware-nek álcázza magát. Az Agrius operátorai egy új eszközt, a Sandals-t használták a rendszerekhez való távoli csatlakozáshoz és a Fantasy végrehajtásához.

IoCs

MITER ATT&CK technikák

Ez a táblázat felhasználásával készült 12 verzió a MITER ATT&CK keretrendszer.

Függelék

A Fantasy wiper által megcélzott fájlkiterjesztések (682), ha nem céloz minden fájlkiterjesztést. A fájlkiterjesztések kiemelve sárga (68) vannak gyakori fájlnévkiterjesztések a Windows rendszerben. Különösen hiányoznak a fájlkiterjesztések dll és a sys.