Fantasia: un nuovo tergicristallo Agrius schierato attraverso un attacco alla catena di approvvigionamento

I ricercatori ESET hanno scoperto un nuovo tergicristallo e il suo strumento di esecuzione, entrambi attribuiti al gruppo Agrius APT, mentre analizzavano un attacco alla catena di approvvigionamento che abusava di uno sviluppatore di software israeliano. Il gruppo è noto per le sue operazioni distruttive.

Nel febbraio 2022, Agrius ha iniziato a prendere di mira le società israeliane di consulenza IT e delle risorse umane e gli utenti di una suite di software israeliana utilizzata nell'industria dei diamanti. Riteniamo che gli operatori Agrius abbiano condotto un attacco alla catena di approvvigionamento abusando dello sviluppatore di software israeliano per distribuire il loro nuovo tergicristallo, Fantasy, e un nuovo movimento laterale e strumento di esecuzione Fantasy, Sandals.

Il tergicristallo Fantasy è costruito sulle basi di quanto riportato in precedenza Tergicristallo dell'apostolo ma non tenta di mascherarsi da ransomware, come inizialmente faceva Apostle. Invece, funziona bene cancellando i dati. Le vittime sono state osservate in Sud Africa - dove la ricognizione è iniziata diverse settimane prima che Fantasy fosse schierato - Israele e Hong Kong.

Panoramica del gruppo

Agrius è un nuovo Allineato all'Iran gruppo che prende di mira le vittime in Israele e negli Emirati Arabi Uniti dal 2020. Il gruppo ha inizialmente schierato un tergicristallo, Apostle, camuffato da ransomware, ma in seguito Apostolo modificato in un ransomware completo. Agrius sfrutta le vulnerabilità note nelle applicazioni rivolte a Internet per installare webshell, quindi conduce una ricognizione interna prima di spostarsi lateralmente e quindi distribuire i suoi payload dannosi.

Panoramica della campagna

Nel febbraio 20^th, 2022 presso un'organizzazione nel settore dei diamanti in Sud Africa, Agrius ha implementato strumenti di raccolta delle credenziali, probabilmente in preparazione per questa campagna. Poi, il 12 marzo^th, 2022, Agrius ha lanciato l'attacco di pulizia schierando Fantasy e Sandals, prima alla vittima in Sud Africa e poi alle vittime in Israele e infine a una vittima a Hong Kong.

Le vittime in Israele includono una società di servizi di supporto IT, un grossista di diamanti e una società di consulenza per le risorse umane. Le vittime sudafricane provengono da un'unica organizzazione nel settore dei diamanti, con la vittima di Hong Kong che è un gioielliere.

La campagna è durata meno di tre ore e in quel lasso di tempo i clienti ESET erano già protetti con rilevamenti che identificavano Fantasy come tergicristallo e ne bloccavano l'esecuzione. Abbiamo osservato lo sviluppatore del software distribuire aggiornamenti puliti nel giro di poche ore dall'attacco. Abbiamo contattato lo sviluppatore del software per informarlo di una potenziale compromissione, ma le nostre richieste sono rimaste senza risposta.

Prepararsi per la partenza

I primi strumenti implementati dagli operatori Agrius sui sistemi vittima, attraverso mezzi sconosciuti, sono stati:

• MiniDump, "un'implementazione C# della funzionalità minidump mimikatz/pypykatz per ottenere le credenziali dai dump LSASS"
• SecretsDump, uno script Python che "esegue varie tecniche per eseguire il dump degli hash da [una] macchina remota senza eseguire alcun agente lì"
• Host2IP, uno strumento C#/.NET personalizzato che risolve un nome host in un indirizzo IP.

Nomi utente, password e nomi host raccolti da questi strumenti sono necessari affinché Sandals diffonda ed esegua con successo il Fantasy wiper. Gli operatori di Agrius hanno distribuito MiniDump e SecretsDump alla prima vittima di questa campagna il 20 febbraio^th, 2022, ma ha aspettato fino al 12 marzo^th, 2022 per implementare Host2IP, Fantasy e Sandals (consecutivamente).

Sandali: Igniting the Fantasy (tergicristallo)

Sandals è un eseguibile Windows a 32 bit scritto in C#/.NET. Abbiamo scelto il nome perché Sandals è un anagramma di alcuni degli argomenti della riga di comando che accetta. Viene utilizzato per connettersi ai sistemi nella stessa rete tramite SMB, per scrivere un file batch su disco che esegue il tergicristallo Fantasy, quindi eseguire quel file batch tramite PsExec con questa stringa della riga di comando:

• PsExec.exe /accepteula -d -u “” -p “” -s “C:.bat”

Le opzioni PsExec hanno i seguenti significati:

• -d – Non attendere il termine del processo (non interattivo).
• /accettaula – Sopprimere la visualizzazione della finestra di dialogo della licenza.
• -s – Eseguire il processo remoto nel file SISTEMA conto.

Sandals non scrive il tergicristallo Fantasy sui sistemi remoti. Riteniamo che il tergicristallo Fantasy venga distribuito tramite un attacco alla catena di approvvigionamento utilizzando il meccanismo di aggiornamento del software dello sviluppatore del software. Questa valutazione si basa su diversi fattori:

• tutte le vittime erano clienti dello sviluppatore software interessato;
• il Fantasy wiper è stato chiamato in modo simile alle versioni legittime del software;
• tutte le vi all'interno del software legittimo); e,
• infine, il tergicristallo Fantasy è stato scritto e eseguito da, %SISTEMA%WindowsTemp, la directory temporanea predefinita per i sistemi Windows.

Inoltre, riteniamo che le vittime stessero già utilizzando PsExec e gli operatori di Agrius hanno scelto di utilizzare PsExec per integrarsi nella tipica attività amministrativa sui computer delle vittime e per facilitare l'esecuzione dei file batch. La tabella 1 elenca gli argomenti della riga di comando accettati da Sandals.

Tabella 1. Argomenti Sandals e loro descrizioni

Il file batch scritto su disco da Sandals è denominato bat, dove il nome del file è l'output del file Metodo Guid.NewGuid(). Un esempio di un file batch Sandals è illustrato nella Figura 2.

Figura 2. File batch Sandals (in alto, in rosso) e il parametro della riga di comando decodificato (in basso, in blu)

La stringa base64 che segue fantasia35.exe è probabilmente una reliquia dei requisiti di esecuzione dell'Apostolo (maggiori dettagli nel Attribuzione ad Agrio sezione). Tuttavia, il tergicristallo Fantasy cerca solo un argomento di 411 e ignora tutti gli altri input di runtime (vedere la sezione successiva per ulteriori informazioni).

Tergicristallo fantasia

Il tergicristallo Fantasy è anche un eseguibile Windows a 32 bit scritto in C#/.NET, così chiamato per i suoi nomi di file: fantasia45.exe ed fantasia35.exe, rispettivamente. La figura 3 illustra il flusso di esecuzione del tergicristallo Fantasy.

Figura 3. Flusso di esecuzione del tergicristallo fantasy

Inizialmente, Fantasy crea un mutex per garantire che sia in esecuzione solo un'istanza. Raccoglie un elenco di unità fisse ma esclude l'unità in cui si trova il file %FINESTRE% la directory esiste. Quindi entra in un ciclo for iterando sull'elenco delle unità per creare un elenco di directory ricorsivo e utilizza il file RNGCryptoServiceProvider.GetBytes metodo per creare una sequenza crittograficamente forte di valori casuali in un array di 4096 byte. Se un argomento di runtime di 411 viene fornito al tergicristallo, il per loop sovrascrive il contenuto di ogni file con l'array di byte di cui sopra utilizzando un file nested while ciclo continuo. In caso contrario, il per loop sovrascrive solo i file con un'estensione di file elencata nell'Appendice.

Fantasy quindi assegna un timestamp specifico (2037-01-01 00:00:00) a queste proprietà del timestamp del file:

• Tempo di creazione
• UltimoAccessTime
• LastWriteTime
• TempoCreazioneUtc
• ImpostaOraUltimoAccessoUtc
• LastWriteTimeUtc

e poi cancella il file. Questo è presumibilmente fatto per rendere più difficile il recupero e l'analisi forense.

Durante l' per loop, il Fantasy wiper conta gli errori all'interno della directory corrente quando tenta di sovrascrivere i file. Se il numero di errori supera i 50, scrive un file batch, %WINDOWS%Temp.bat, che elimina la directory con i file che causano gli errori, quindi si autoelimina. La cancellazione dei file riprende quindi nella directory successiva nell'elenco di destinazione.

Una volta che il per ciclo completo, il tergicristallo Fantasy crea un file batch in %WINDOWS% Temp detto registro.bat. Il file batch elimina le seguenti chiavi di registro:

• HKCR.EXE
• HKCR.dll
• Hong Kong*

Quindi esegue quanto segue per tentare di cancellare la memoria cache del file system:

• %windir%system32rundll32.exe advapi32.dll,ProcessIdleTasks

Infine, registro.bat si cancella (del% 0).

Successivamente, il tergicristallo Fantasy cancella tutti i registri eventi di Windows e crea un altro file batch, sistema.batin %WINDOWS% Temp, che elimina in modo ricorsivo tutti i file su %DRIVER DI SISTEMA%, tenta di cancellare la memoria cache del file system e si autoelimina. Quindi Fantasy dorme per due minuti prima di sovrascrivere quelli del sistema Master Boot Record.

Fantasy quindi scrive un altro file batch, %WINDOWS%Tempremover.bat, che cancella il Fantasy wiper dal disco e poi cancella se stesso. Quindi il tergicristallo Fantasy dorme per 30 secondi prima di riavviare il sistema con il codice motivo SHTDN_REASON_MAJOR_OTHER (0x00000000) — Altro problema.

È probabile che %DRIVER DI SISTEMA% il recupero è possibile. È stato osservato che le vittime sono tornate operative nel giro di poche ore.

Attribuzione ad Agrio

Gran parte del codice di base di Apostle, inizialmente un tergicristallo mascherato da ransomware poi aggiornato in ransomware vero e proprio, è stato copiato direttamente in Fantasy e molte altre funzioni in Fantasy sono state solo leggermente modificate da Apostle, un noto strumento di Agrius. Tuttavia, la funzionalità complessiva di Fantasy è quella di un tergicristallo senza alcun tentativo di mascherarsi da ransomware. La Figura 4 mostra le funzioni di eliminazione dei file rispettivamente in Fantasy e Apostle. Ci sono solo alcune piccole modifiche tra la funzione originale in Apostle e l'implementazione Fantasy.

Figura 4. Funzioni di eliminazione dei file da Fantasy wiper (in alto, in rosso) e Apostle ransomware (in basso, in verde)

Figura 4. Funzioni di eliminazione dei file da Fantasy wiper (in alto, in rosso) e Apostle ransomware (in basso, in verde)

La Figura 5 mostra che la funzione di elenco delle directory è quasi una copia diretta, con solo le variabili della funzione che ottengono una leggera modifica tra Apostle e Fantasy.

Figura 5. Funzioni dell'elenco delle directory di Fantasy wiper (in alto, in rosso) e Apostle ransomware (in basso, in verde)

Infine, il GetSubDirectoryFileListRicorsivo Anche la funzione in Figura 6 è quasi una copia esatta.

Figura 6. Funzioni ricorsive dell'elenco delle directory da Fantasy wiper (in alto, in rosso) e Apostle ransomware (in basso, in verde)

Oltre al riutilizzo del codice, in Fantasy possiamo vedere i resti dell'esecuzione dell'Apostolo. Nell'analisi originale dell'Apostolo, Sentinella Uno osserva che "La corretta esecuzione della versione del ransomware richiede la fornitura di un argomento con codifica base64 contenente un XML di un oggetto "RSAParameters". Questo argomento viene trasmesso e salvato come chiave pubblica utilizzata per il processo di crittografia ed è molto probabilmente generato su una macchina di proprietà dell'autore della minaccia.” Possiamo vedere nel file batch in Figura 7, che Sandals crea su sistemi remoti per lanciare Fantasy, che lo stesso argomento con codifica base64 contenente un XML di un RSAparametri l'oggetto viene passato a Fantasy in fase di esecuzione. Fantasy, tuttavia, non utilizza questo argomento di runtime.

Figura 7. Sandals passa a Fantasy lo stesso oggetto RSAParameters utilizzato dal ransomware Apostle

Conclusione

Dalla sua scoperta nel 2021, Agrius si è concentrato esclusivamente su operazioni distruttive. A tal fine, gli operatori di Agrius hanno probabilmente eseguito un attacco alla catena di approvvigionamento prendendo di mira i meccanismi di aggiornamento del software di una società di software israeliana per distribuire Fantasy, il suo ultimo tergicristallo, alle vittime in Israele, Hong Kong e Sud Africa. La fantasia è simile per molti aspetti al precedente tergicristallo di Agrius, Apostle, che inizialmente si spacciava per ransomware prima di essere riscritto per essere vero e proprio ransomware. La fantasia non fa alcuno sforzo per camuffarsi da ransomware. Gli operatori di Agrius hanno utilizzato un nuovo strumento, Sandals, per connettersi in remoto ai sistemi ed eseguire Fantasy.

IOCS

Tecniche MITRE ATT&CK

Questa tabella è stata creata utilizzando Versione 12 del framework MITRE ATT&CK.

Appendice

Estensioni di file (682) prese di mira da Fantasy wiper quando non ha come target tutte le estensioni di file. Estensioni di file evidenziate in giallo (68) sono estensioni di file comuni in Windows. Particolarmente assenti sono le estensioni dei file dll ed sys.