Worok: Gambaran besarnya

Peneliti ESET baru-baru ini menemukan serangan bertarget yang menggunakan alat tidak berdokumen terhadap berbagai perusahaan terkenal dan pemerintah daerah sebagian besar di Asia. Serangan ini dilakukan oleh kelompok spionase yang sebelumnya tidak dikenal yang kami beri nama Worok dan telah aktif setidaknya sejak tahun 2020. Perangkat Worok mencakup pemuat C++ CLRLoad, backdoor PowerShell PowHeartBeat, dan pemuat C# PNGLoad yang menggunakan steganografi untuk mengekstrak malware tersembunyi muatan dari file PNG.

Siapa Worok?

Selama ProxyShell (CVE-2021-34523) pengungkapan kerentanan pada awal 2021, kami mengamati kegiatan dari berbagai kelompok APT. Satu menunjukkan karakteristik yang sama dengan TA428:

• Waktu aktivitas
• Vertikal yang ditargetkan
• Penggunaan ShadowPad

Perangkat lainnya sangat berbeda: misalnya, TA428 mengambil bagian dalam Kompromi Desktop yang Mampu pada tahun 2020. Kami menganggap bahwa tautannya tidak cukup kuat untuk menganggap Worok sebagai grup yang sama dengan TA428, tetapi kedua grup mungkin berbagi alat dan memiliki minat yang sama. Kami memutuskan untuk membuat sebuah cluster dan menamakannya Worok. Nama dipilih setelah mutex di loader yang digunakan oleh grup. Aktivitas lebih lanjut dengan varian alat yang sama kemudian ditautkan ke grup ini. Menurut telemetri ESET, Worok telah aktif sejak akhir 2020 dan terus aktif hingga tulisan ini dibuat.

Kembali pada akhir tahun 2020, Worok menargetkan pemerintah dan perusahaan di beberapa negara, khususnya:

• Sebuah perusahaan telekomunikasi di Asia Timur
• Sebuah bank di Asia Tengah
• Perusahaan industri maritim di Asia Tenggara
• Sebuah entitas pemerintah di Timur Tengah
• Sebuah perusahaan swasta di Afrika selatan

Ada jeda signifikan dalam operasi yang diamati dari 2021-05 hingga 2022-01, tetapi aktivitas Worok kembali pada 2022-02, dengan target:

• Sebuah perusahaan energi di Asia Tengah
• Sebuah entitas sektor publik di Asia Tenggara

Gambar 1 menyajikan peta panas visual dari wilayah dan vertikal yang ditargetkan.

Mempertimbangkan profil target dan alat yang kami lihat digunakan untuk melawan para korban ini, kami pikir tujuan utama Worok adalah mencuri informasi.

Analisis teknis

Meskipun sebagian besar akses awal tidak diketahui, dalam beberapa kasus hingga tahun 2021 dan 2022 kami telah melihat eksploitasi digunakan terhadap kerentanan ProxyShell. Dalam kasus seperti itu, biasanya kulit web telah diunggah setelah mengeksploitasi kerentanan ini, untuk memberikan kegigihan di jaringan korban. Kemudian operator menggunakan berbagai implan untuk mendapatkan kemampuan lebih lanjut.

Setelah akses diperoleh, operator menyebarkan beberapa, alat yang tersedia untuk umum untuk pengintaian, termasuk Mimikatz, Cacing tanah, ReGeorg, dan Pemindaian NBT, dan kemudian menerapkan implan khusus mereka: pemuat tahap pertama, diikuti oleh pemuat .NET tahap kedua (PNGLoad). Sayangnya, kami belum dapat mengambil muatan akhir apa pun. Pada tahun 2021, loader tahap pertama adalah rakitan CLR (CLRLoad), sedangkan pada tahun 2022 telah diganti, dalam banyak kasus, dengan backdoor PowerShell berfitur lengkap (PowHeartBeat) – kedua rantai eksekusi digambarkan pada Gambar 2. Ketiganya alat dijelaskan secara rinci dalam subbagian berikut.

Gambar 2. Rantai kompromi Worok

CLRLoad: Pemuat perakitan CLR

CLRLoad adalah Windows PE generik yang telah kita lihat dalam versi 32-dan 64-bit. Ini adalah pemuat yang ditulis dalam C++ yang memuat tahap berikutnya (PNGLoad), yang harus berupa Majelis Common Language Runtime (CLR) berkas DLL. Kode tersebut dimuat dari file yang terletak di disk dalam direktori yang sah, mungkin untuk menyesatkan korban atau responden insiden agar berpikir bahwa itu adalah perangkat lunak yang sah.

Beberapa sampel CLRLoad dimulai dengan mendekode path lengkap file yang kontennya akan dimuat sebagai tahap berikutnya. Jalur file ini dikodekan dengan XOR byte tunggal, dengan kunci berbeda di setiap sampel. Didekode atau cleartext, jalur file ini mutlak, dengan yang berikut ini yang kami temui:

• C:Program FilesVMwareVMware ToolsVMware VGAuthxsec_1_5.dll
• C:Program FilesUltraViewermsvbvm80.dll
• C:Program FilesInternet ExplorerJsprofile.dll
• C:Program FilesWinRarRarExtMgt.dll
• C:Program Files (x86)Perangkat Lunak FoxitFoxit Readerlucenelib.dll

Selanjutnya, mutex dibuat dan kami telah melihat nama yang berbeda di setiap sampel. Loader memeriksa mutex ini; jika ditemukan, itu keluar, karena loader sudah berjalan. Dalam salah satu sampel, mutex Wo0r0KGWhYGO ditemui, yang memberi nama kelompok itu Worok.

CLRLoad kemudian memuat rakitan CLR dari jalur file yang mungkin didekodekan. Sebagai kode yang tidak dikelola, CLRLoad mencapai ini melalui CorBindToRuntimeEx Panggilan Windows API dalam varian 32-bit, atau CLRBuat Instance panggilan dalam varian 64-bit.

PowHeartBeat: pintu belakang PowerShell

PowHeartBeat adalah backdoor berfitur lengkap yang ditulis dalam PowerShell, dikaburkan menggunakan berbagai teknik seperti kompresi, encoding, dan enkripsi. Berdasarkan telemetri ESET, kami yakin PowHeartBeat menggantikan CLRLoad dalam kampanye Worok yang lebih baru sebagai alat yang digunakan untuk meluncurkan PNGLoad.

Lapisan pertama kode pintu belakang terdiri dari beberapa potongan kode PowerShell yang disandikan base64. Setelah payload direkonstruksi, itu dijalankan melalui IEX. Setelah didekode, lapisan kode yang dikaburkan lainnya dieksekusi, yang dapat kita lihat pada Gambar 3.

Gambar 3. Kutipan dari fungsi utama yang didekode dari lapisan kedua PowHeartBeat

Lapisan kedua dari backdoor base64 pertama menerjemahkan kode lapisan berikutnya, yang kemudian didekripsi dengan Tiga DES (modus CBC). Setelah dekripsi, kode ini didekompresi menggunakan gzip algoritma, sehingga memberikan lapisan ketiga kode PowerShell, yang merupakan pintu belakang yang sebenarnya. Ini dibagi menjadi dua bagian utama: konfigurasi, dan menangani perintah pintu belakang.

Lapisan utama kode pintu belakang juga ditulis dalam PowerShell dan menggunakan HTTP atau ICMP untuk berkomunikasi dengan server C&C. Ini bekerja seperti yang digambarkan pada Gambar 4.

Gambar 4. Fungsi PowHeartBeat

konfigurasi

Konfigurasi berisi beberapa bidang, termasuk nomor versi, konfigurasi proxy opsional, dan alamat C&C. Tabel 1 menjelaskan arti dari bidang konfigurasi dalam versi berbeda yang telah kami amati.

Tabel 1. Arti bidang konfigurasi

Gambar 5 menunjukkan contoh konfigurasi yang diambil dari sampel PowHeartBeat (SHA-1: 757ABA12D04FD1167528FDD107A441D11CD8C427).

Gambar 5. Contoh konfigurasi

Enkripsi data

PowHeartBeat mengenkripsi log dan konten file konfigurasi tambahan.

Konten file log dienkripsi melalui XOR multi-byte dengan kunci yang ditentukan dalam teks jelas dalam sampel. Menariknya, id klien digunakan sebagai garam untuk indeks ke dalam array kunci. Kuncinya adalah array 256-byte, yang identik di setiap sampel yang kami temui. Konten file konfigurasi tambahan dienkripsi melalui XOR multi-byte dengan nilai dari Kunci rahasia sebagai kuncinya.

Komunikasi K&C

PowHeartBeat menggunakan HTTP untuk komunikasi C&C hingga versi 2.4, dan kemudian beralih ke ICMP. Dalam kedua kasus, komunikasi tidak dienkripsi.

HTTP

Dalam infinite loop, backdoor mengirimkan permintaan GET ke server C&C, meminta perintah untuk dikeluarkan. Jawaban terenkripsi didekripsi oleh pintu belakang, yang memproses perintah, dan menulis output perintah ke file yang isinya kemudian dikirim ke server C&C melalui permintaan POST.

Format permintaan GET adalah sebagai berikut:

Perhatikan bahwa permintaan dibuat menggunakan bidang konfigurasi eponymous.

Dalam respons dari server C&C, byte ketiga konten adalah pengidentifikasi perintah yang menunjukkan perintah yang akan diproses oleh pintu belakang. Kami akan menyebutnya id_perintah. Konten respons yang tersisa akan diteruskan sebagai argumen ke perintah yang diproses. Konten ini dienkripsi dengan algoritma yang ditunjukkan pada Gambar 6, ID tugas menjadi nilai cookie yang dinamai CookieTugasIdnilai dari konfigurasi.

Gambar 6. Permintaan algoritma enkripsi data konten

Tanggapan dari server C&C juga berisi cookie lain, yang namanya ditentukan oleh pintu belakang IdTerminal Cookie variabel konfigurasi. Nilai cookie ini diulang dalam permintaan POST dari pintu belakang, dan tidak boleh kosong. Setelah menjalankan perintah backdoor, PowHeartBeat mengirimkan hasilnya sebagai permintaan POST ke server C&C. Hasilnya dikirim sebagai file yang namanya .png.

ICMP

Mulai dari versi 2.4 dari PowHeartBeat, HTTP digantikan oleh ICMP, paket yang dikirim memiliki batas waktu enam detik dan sedang tidak terfragmentasi. Komunikasi melalui ICMP kemungkinan besar merupakan cara untuk menghindari deteksi.

Tidak ada perubahan besar dalam versi 2.4 dan yang lebih baru, tetapi kami melihat beberapa modifikasi dalam kode:

• PowHeartBeat mengirimkan paket detak jantung di setiap loop yang berisi string ABCDEFGHIJKLMNOPQRSTU VWXYZ, sebelum meminta perintah. Ini memberi tahu server C&C bahwa pintu belakang siap menerima perintah.
• Permintaan untuk mendapatkan perintah yang dilakukan oleh pintu belakang berisi string abcdefghijklmnop.

Paket detak jantung memiliki format yang dijelaskan pada Gambar 7.

Gambar 7. Tata letak paket detak jantung

Perbedaan antara ID klien dan bendera klien adalah bahwa ID klien berbeda di setiap sampel sedangkan bendera klien sama pada setiap sampel yang menggunakan ICMP. bendera detak jantung menunjukkan bahwa pintu belakang mengirimkan detak jantung. Respons dari server C&C memiliki format yang dijelaskan pada Gambar 8.

Gambar 8. Tata letak respons server C&C

bendera di sini menunjukkan apakah ada perintah untuk dikeluarkan ke pintu belakang. Permintaan untuk mendapatkan perintah memiliki format yang dijelaskan pada Gambar 9.

Gambar 9. Tata letak permintaan untuk mendapatkan perintah

Perhatikan bahwa mode ICMP pintu belakang memungkinkan menerima data dalam jumlah tak terbatas, dibagi menjadi beberapa bagian, dan variabel panjang data, posisi saat ini dan panjang total digunakan untuk melacak data yang dikirimkan. Respons terhadap permintaan ini memiliki format yang dijelaskan pada Gambar 10.

Gambar 10. Tata letak tanggapan terhadap permintaan untuk mendapatkan perintah

Seperti dalam tanggapan HTTP, pengidentifikasi perintah adalah byte ketiga dari data.

Setelah tujuh balasan ICMP berturut-turut dengan konten kosong atau diformat tidak konsisten, transfer antara pintu belakang dan server C&C dianggap selesai.

Mengenai permintaan untuk mengirim hasil dari perintah yang dikeluarkan ke server C&C, mode server diubah untuk mode posting, dan string terakhir (abcdefghijklmnop) diubah untuk data hasil.

Perintah pintu belakang

PowHeartBeat memiliki berbagai kemampuan, termasuk eksekusi perintah/proses dan manipulasi file. Tabel 2 mencantumkan semua perintah yang didukung oleh berbagai sampel yang dianalisis.

Tabel 2. Deskripsi perintah PowHeartBeat

Jika terjadi kesalahan di sisi pintu belakang, pintu belakang menggunakan pengenal perintah khusus 0x00 dalam permintaan POST ke server C&C, sehingga menunjukkan kesalahan terjadi.

Perhatikan bahwa sebelum mengirim informasi kembali ke server C&C, data dikompresi dengan gzip.

PNGLoad: Pemuat steganografi

PNGLoad adalah payload tahap kedua yang digunakan oleh Worok pada sistem yang disusupi dan, menurut telemetri ESET, dimuat baik oleh CLRLoad atau PowHeartBeat. Meskipun kami tidak melihat kode apa pun di PowHeartBeat yang secara langsung memuat PNGLoad, pintu belakang memiliki kemampuan untuk mengunduh dan mengeksekusi muatan tambahan dari server C&C, yang kemungkinan merupakan cara penyerang menyebarkan PNGLoad pada sistem yang dikompromikan dengan PowHeartBeat. PNGLoad adalah loader yang menggunakan byte dari file PNG untuk membuat payload untuk dieksekusi. Ini adalah .NET 64-bit yang dapat dieksekusi – dikaburkan dengan .NET Reaktor – yang menyamar sebagai perangkat lunak yang sah. Misalnya, Gambar 11 menunjukkan header CLR dari sampel yang menyamar sebagai DLL WinRAR.

Gambar 11. Contoh WinRAR DLL palsu

Setelah di-deobfuscate, hanya satu kelas yang hadir. Di kelas ini, ada Jalan Utama atribut yang berisi jalur direktori pencarian pintu belakang, termasuk subdirektorinya, untuk file dengan a . Png ekstensi, seperti yang ditunjukkan pada Gambar 12.

Gambar 12. . Png daftar file

Masing-masing . Png file terletak dengan pencarian ini dari Jalan Utama kemudian diperiksa untuk konten yang disematkan secara steganografi. Pertama, bit paling tidak signifikan dari setiap nilai R (merah), G (hijau), B (biru), dan A (alfa) diambil dan dirakit menjadi buffer. Jika delapan byte pertama dari buffer itu cocok dengan angka ajaib yang terlihat pada Gambar 13 dan nilai delapan byte berikutnya, kontrol, bukan nol, file tersebut melewati pemeriksaan konten steganografi PNGLoad. Untuk file seperti itu, pemrosesan berlanjut dengan sisa buffer yang didekripsi dengan XOR multi-byte, menggunakan kunci yang disimpan di PNGLoad RahasiaKeyBytes atribut, dan kemudian buffer yang didekripsi didekompresi dengan gzip. Hasilnya diharapkan menjadi skrip PowerShell, yang segera dijalankan.

Gambar 13. Format buffer yang dibuat PNGLoad dari pemrosesan . Png arsip

Menariknya, operasi yang dilakukan oleh PNGLoad dicatat dalam file yang jalurnya disimpan dalam variabel Jalur File Log. Operasi hanya dicatat jika ada file yang jalurnya ditentukan oleh variabel internal JikaLogFilePath.

Kami belum bisa mendapatkan sampel . Png file yang digunakan bersama dengan PNGLoad, tetapi cara PNGLoad beroperasi menunjukkan bahwa itu harus bekerja dengan file PNG yang valid. Untuk menyembunyikan muatan berbahaya, Worok menggunakan objek Bitmap di C#, yang hanya mengambil informasi piksel dari file, bukan metadata file. Ini berarti bahwa Worok dapat menyembunyikan muatan berbahayanya dalam gambar PNG yang valid dan tampak tidak berbahaya, dan dengan demikian bersembunyi di depan mata.

Kesimpulan

Worok adalah kelompok spionase siber yang mengembangkan alatnya sendiri, serta memanfaatkan alat yang ada, untuk mengkompromikan targetnya. Mencuri informasi dari korban mereka adalah apa yang kami yakini oleh para operator karena mereka fokus pada entitas terkenal di Asia dan Afrika, menargetkan berbagai sektor, baik swasta maupun publik, tetapi dengan penekanan khusus pada entitas pemerintah. Waktu aktivitas dan perangkat menunjukkan kemungkinan hubungan dengan TA428, tetapi kami membuat penilaian ini dengan keyakinan rendah. Toolset kustom mereka mencakup dua loader – satu di C++ dan satu di C# .NET – dan satu backdoor PowerShell. Meskipun visibilitas kami terbatas, kami berharap penjelasan tentang grup ini akan mendorong peneliti lain untuk berbagi informasi tentang grup ini.

IOC

File

Jalur File

Beberapa Jalan Utama, Jalur File Log dan JikaLogFilePath nilai yang kami temui dalam sampel PNGLoad:

jaringan

Mutex

Dalam sampel CLRLoad, nama mutex yang kami temui adalah:

aB82UduGX0EX
ad8TbUIZl5Ga
Mr2PJVxbIBD4
oERiQtKLgPgK
U37uxsCsA4Xm
Wo0r0KGWhYGO
xBUjQR2vxYTz
zYCLBWekRX3t
3c3401ad-e77d-4142-8db5-8eb5483d7e41
9xvzMsaWqxSaya

Daftar lengkap Indikator Kompromi (IoC) dan sampel dapat ditemukan di repositori GitHub kami.

Teknik ATT&CK MITER

Tabel ini dibuat menggunakan versi 11 dari kerangka MITRE ATT&CK.