Fantasi – penghapus Agrius baru yang digunakan melalui serangan rantai pasokan

Peneliti ESET menemukan wiper baru dan alat eksekusinya, keduanya dikaitkan dengan grup Agrius APT, saat menganalisis serangan rantai pasokan yang menyalahgunakan pengembang perangkat lunak Israel. Grup ini dikenal karena operasinya yang merusak.

Pada Februari 2022, Agrius mulai menargetkan perusahaan konsultan SDM dan TI Israel, dan pengguna perangkat lunak Israel yang digunakan dalam industri berlian. Kami percaya bahwa operator Agrius melakukan serangan rantai pasokan yang menyalahgunakan pengembang perangkat lunak Israel untuk menyebarkan penghapus baru mereka, Fantasi, dan gerakan lateral baru serta alat eksekusi Fantasi, Sandals.

Penghapus Fantasi dibangun di atas fondasi yang dilaporkan sebelumnya Penghapus rasul tetapi tidak mencoba menyamar sebagai ransomware, seperti yang dilakukan Apostle pada awalnya. Alih-alih, itu langsung bekerja menghapus data. Korban diamati di Afrika Selatan – tempat pengintaian dimulai beberapa minggu sebelum Fantasi dikerahkan – Israel, dan Hong Kong.

Ikhtisar grup

Agrius lebih baru Sejajar dengan Iran kelompok yang menargetkan korban di Israel dan Uni Emirat Arab sejak 2020. Grup tersebut awalnya menggunakan wiper, Apostle, yang disamarkan sebagai ransomware, tetapi kemudian Rasul yang dimodifikasi menjadi ransomware yang lengkap. Agrius mengeksploitasi kerentanan yang diketahui dalam aplikasi yang terhubung ke internet untuk menginstal webshell, lalu melakukan pengintaian internal sebelum bergerak ke samping dan kemudian menyebarkan muatan berbahayanya.

Ikhtisar kampanye

Pada Februari 20^th, 2022 di sebuah organisasi di industri berlian di Afrika Selatan, Agrius menerapkan alat pemanen kredensial, mungkin untuk persiapan kampanye ini. Lalu, pada 12 Maret^th, 2022, Agrius meluncurkan serangan penghapusan dengan menyebarkan Fantasi dan Sandal, pertama ke korban di Afrika Selatan lalu ke korban di Israel dan terakhir ke korban di Hong Kong.

Korban di Israel termasuk perusahaan layanan dukungan TI, grosir berlian, dan perusahaan konsultan SDM. Korban di Afrika Selatan berasal dari satu organisasi dalam industri berlian, dengan korban Hong Kong adalah seorang pembuat perhiasan.

Kampanye berlangsung kurang dari tiga jam dan dalam jangka waktu tersebut, pelanggan ESET sudah terlindungi dengan deteksi yang mengidentifikasi Fantasy sebagai penghapus, dan memblokir eksekusinya. Kami mengamati pengembang perangkat lunak mendorong pembaruan bersih dalam hitungan jam setelah serangan. Kami menghubungi pengembang perangkat lunak untuk memberi tahu mereka tentang kemungkinan penyusupan, tetapi pertanyaan kami tidak dijawab.

Mempersiapkan keberangkatan

Alat pertama yang digunakan oleh operator Agrius ke sistem korban, melalui cara yang tidak diketahui, adalah:

• Minidump, "implementasi C# dari fungsionalitas minidump mimikatz/pypykatz untuk mendapatkan kredensial dari dump LSASS"
• RahasiaDump, skrip Python yang “melakukan berbagai teknik untuk membuang hash dari [a] mesin jarak jauh tanpa mengeksekusi agen apa pun di sana"
• Host2IP, alat C#/.NET khusus yang menyelesaikan nama host ke alamat IP.

Nama pengguna, kata sandi, dan nama host yang dikumpulkan oleh alat ini diperlukan agar Sandal berhasil menyebarkan dan menjalankan penghapus Fantasi. Operator Agrius mengerahkan MiniDump dan SecretsDump ke korban pertama kampanye ini pada 20 Februari^th, 2022, tetapi menunggu hingga 12 Maret^th, 2022 untuk menerapkan Host2IP, Fantasy, dan Sandals (berturut-turut).

Sandal: Memicu Fantasi (wiper)

Sandals adalah executable Windows 32-bit yang ditulis dalam C#/.NET. Kami memilih nama tersebut karena Sandals adalah anagram dari beberapa argumen baris perintah yang diterimanya. Ini digunakan untuk terhubung ke sistem di jaringan yang sama melalui SMB, untuk menulis file batch ke disk yang menjalankan penghapus Fantasi, dan kemudian menjalankan file batch tersebut melalui PsExec dengan string baris perintah ini:

• PsExec.exe /accepteula -d -u “” -p “” -s “C:.bat”

Opsi PsExec memiliki arti sebagai berikut:

• -d – Jangan menunggu proses berhenti (non-interaktif).
• / terima – Menekan tampilan dialog lisensi.
• -s – Jalankan proses jarak jauh di SISTEM rekening.

Sandal tidak menulis penghapus Fantasi ke sistem jarak jauh. Kami percaya bahwa penghapus kaca Fantasi disebarkan melalui serangan rantai pasokan menggunakan mekanisme pembaruan perangkat lunak pengembang perangkat lunak. Penilaian ini didasarkan pada beberapa faktor:

• semua korban adalah pelanggan dari pengembang perangkat lunak yang terpengaruh;
• penghapus Fantasi dinamai dengan cara yang mirip dengan versi perangkat lunak yang sah;
• semua korban mengeksekusi penghapus Fantasi dalam jangka waktu 2.5 jam, di mana korban di Afrika Selatan menjadi sasaran pertama, kemudian korban di Israel, dan terakhir korban di Hong Kong (kami menghubungkan penundaan penargetan dengan perbedaan zona waktu dan waktu check-in hardcode dalam perangkat lunak yang sah); dan,
• terakhir, penghapus Fantasi ditulis, dan dieksekusi dari, %SISTEM%WindowsTemp, direktori temp default untuk sistem Windows.

Selain itu, kami yakin para korban sudah menggunakan PsExec, dan operator Agrius memilih untuk menggunakan PsExec untuk berbaur dengan aktivitas administratif biasa di mesin korban, dan untuk kemudahan eksekusi file batch. Tabel 1 mencantumkan argumen baris perintah yang diterima oleh Sandals.

Tabel 1. Argumentasi sandal dan deskripsinya

File batch yang ditulis ke disk oleh Sandals diberi nama Bat., di mana nama file adalah output dari Metode Guid.NewGuid(). Contoh file kumpulan Sandal ditunjukkan pada Gambar 2.

Gambar 2. File kumpulan sandal (atas, berwarna merah) dan parameter baris perintah yang didekodekan (bawah, berwarna biru)

String base64 yang mengikuti fantasi35.exe kemungkinan merupakan peninggalan dari persyaratan eksekusi Rasul (lebih detail di Atribusi untuk Agrius bagian). Namun, penghapus Fantasi hanya mencari argumen 411 dan abaikan semua input runtime lainnya (lihat bagian berikutnya untuk informasi lebih lanjut).

Penghapus fantasi

Penghapus Fantasi juga merupakan Windows 32-bit yang dapat dieksekusi yang ditulis dalam C#/.NET, dinamakan demikian untuk nama filenya: fantasi45.exe dan fantasi35.exe, masing-masing. Gambar 3 menggambarkan aliran eksekusi wiper Fantasy.

Gambar 3. Alur eksekusi wiper fantasi

Awalnya, Fantasy membuat mutex untuk memastikan hanya satu instance yang berjalan. Itu mengumpulkan daftar drive tetap tetapi tidak termasuk drive di mana %JENDELA% direktori ada. Kemudian memasuki for loop iterasi atas daftar drive untuk membangun daftar direktori rekursif, dan menggunakan RNGCryptoServiceProvider.GetBytes metode untuk membuat urutan nilai acak yang kuat secara kriptografis dalam array 4096-byte. Jika argumen runtime dari 411 disuplai ke wiper, the untuk loop menimpa konten setiap file dengan array byte yang disebutkan di atas menggunakan nested sementara lingkaran. Jika tidak, untuk loop hanya menimpa file dengan ekstensi file yang tercantum dalam Lampiran.

Fantasi kemudian menetapkan stempel waktu tertentu (2037-01-01 00:00:00) ke properti stempel waktu file ini:

• Waktu penciptaan
• Waktu Akses Terakhir
• Waktu Tulis Terakhir
• Waktu PenciptaanUtc
• SetelLastAccessTimeUtc
• LastWriteTimeUtc

dan kemudian menghapus file. Ini mungkin dilakukan untuk mempersulit pemulihan dan analisis forensik.

Selama untuk loop, penghapus Fantasi menghitung kesalahan dalam direktori saat ini saat mencoba menimpa file. Jika jumlah kesalahan melebihi 50, itu menulis file batch, %WINDOWS%Temp.bat, yang menghapus direktori dengan file yang menyebabkan kesalahan, dan kemudian menghapus sendiri. Penghapusan file kemudian dilanjutkan di direktori berikutnya dalam daftar target.

Setelah untuk loop selesai, penghapus Fantasi membuat file batch %JENDELA%Suhu bernama registri.bat. File batch menghapus kunci registri berikut:

• HKCR.EXE
• HKCR.dll
• HKCR*

Kemudian ia menjalankan yang berikut untuk mencoba menghapus memori cache sistem file:

• %windir%system32rundll32.exe advapi32.dll,ProcessIdleTasks

Terakhir, registri.bat menghapus dirinya sendiri (dari %0).

Selanjutnya, penghapus Fantasi menghapus semua log peristiwa Windows dan membuat file batch lain, sistem.batdi %JENDELA%Suhu, yang secara rekursif menghapus semua file di %DRIVE SISTEM%, berupaya menghapus memori cache sistem file, dan menghapus sendiri. Kemudian Fantasi tidur selama dua menit sebelum menimpa sistem Master Boot Record.

Fantasi kemudian menulis file batch lain, %WINDOWS%Tempremover.bat, yang menghapus penghapus Fantasi dari disk dan kemudian menghapusnya sendiri. Kemudian penghapus Fantasi tidur selama 30 detik sebelum mem-boot ulang sistem dengan kode alasan SHTDN_REASON_MAJOR_OTHER (0x00000000) — Masalah lainnya.

Sangat mungkin itu %DRIVE SISTEM% pemulihan adalah mungkin. Korban diamati untuk kembali dan berjalan dalam hitungan jam.

Atribusi untuk Agrius

Sebagian besar basis kode dari Apostle, awalnya sebuah wiper yang menyamar sebagai ransomware kemudian diperbarui menjadi ransomware yang sebenarnya, langsung disalin ke Fantasy dan banyak fungsi lain di Fantasy hanya sedikit dimodifikasi dari Apostle, sebuah alat Agrius yang dikenal. Namun, keseluruhan fungsionalitas Fantasy adalah sebagai wiper tanpa ada upaya untuk menyamar sebagai ransomware. Gambar 4 menunjukkan fungsi penghapusan file masing-masing di Fantasy dan Apostle. Hanya ada beberapa penyesuaian kecil antara fungsi asli di Apostle dan implementasi Fantasi.

Gambar 4. Fungsi penghapusan file dari penghapus Fantasi (atas, berwarna merah) dan ransomware Apostle (bawah, berwarna hijau)

Gambar 4. Fungsi penghapusan file dari penghapus Fantasi (atas, berwarna merah) dan ransomware Apostle (bawah, berwarna hijau)

Gambar 5 menunjukkan bahwa fungsi daftar direktori hampir merupakan salinan langsung, dengan hanya variabel fungsi yang mendapatkan sedikit perubahan antara Apostle dan Fantasy.

Gambar 5. Fungsi daftar direktori dari penghapus Fantasi (atas, berwarna merah) dan ransomware Apostle (bawah, berwarna hijau)

Akhirnya, DapatkanSubDirectoryFileListRekursif fungsi pada Gambar 6 juga hampir sama persis.

Gambar 6. Fungsi daftar direktori rekursif dari penghapus Fantasi (atas, berwarna merah) dan ransomware Apostle (bawah, berwarna hijau)

Selain penggunaan kembali kode, kita dapat melihat sisa-sisa aliran eksekusi Apostle di Fantasy. Dalam analisis asli Rasul, SentinelSatu mencatat bahwa “Eksekusi yang tepat dari versi ransomware memerlukan penyediaan argumen yang disandikan base64 yang berisi XML dari objek 'RSAParameters'. Argumen ini diteruskan dan disimpan sebagai Kunci Publik yang digunakan untuk proses enkripsi dan kemungkinan besar dihasilkan pada mesin yang dimiliki oleh pelaku ancaman.” Kita dapat melihat dalam file batch pada Gambar 7, yang dibuat oleh Sandals pada sistem jarak jauh untuk meluncurkan Fantasi, bahwa argumen yang disandikan base64 yang sama berisi XML dari suatu Parameter RSA objek diteruskan ke Fantasi saat runtime. Fantasi, bagaimanapun, tidak menggunakan argumen runtime ini.

Gambar 7. Sandal yang diteruskan ke Fantasy objek RSAParameters yang sama seperti yang digunakan oleh ransomware Apostle

Kesimpulan

Sejak ditemukan pada tahun 2021, Agrius hanya berfokus pada operasi destruktif. Untuk itu, operator Agrius mungkin melakukan serangan rantai pasokan dengan menargetkan mekanisme pembaruan perangkat lunak perusahaan perangkat lunak Israel untuk menyebarkan Fantasy, penghapus terbarunya, kepada para korban di Israel, Hong Kong, dan Afrika Selatan. Fantasi serupa dalam banyak hal dengan wiper Agrius sebelumnya, Apostle, yang awalnya menyamar sebagai ransomware sebelum ditulis ulang menjadi ransomware yang sebenarnya. Fantasi tidak berusaha menyamar sebagai ransomware. Operator Agrius menggunakan alat baru, Sandal, untuk terhubung dari jarak jauh ke sistem dan menjalankan Fantasi.

IoC

Teknik ATT&CK MITER

Tabel ini dibuat menggunakan versi 12 dari kerangka MITRE ATT&CK.

Lampiran

Ekstensi file (682) ditargetkan oleh penghapus Fantasi saat tidak menargetkan semua ekstensi file. Ekstensi file disorot di kuning (68) adalah ekstensi nama file umum di Windows. Yang tidak ada adalah ekstensi file dll dan sys.