Fantasy - מגב חדש של Agrius שנפרס באמצעות מתקפת שרשרת האספקה

חוקרי ESET גילו מגב חדש וכלי הביצוע שלו, שניהם מיוחסים לקבוצת Agrius APT, תוך ניתוח מתקפת שרשרת האספקה ​​המתעללת במפתח תוכנה ישראלי. הקבוצה ידועה בפעולות ההרסניות שלה.

בפברואר 2022 החלה Agrius לכוון לחברות ייעוץ בתחום משאבי אנוש ו-IT ישראליות ולמשתמשים בחבילת תוכנה ישראלית המשמשת בתעשיית היהלומים. אנו מאמינים שמפעילי Agrius ביצעו מתקפת שרשרת אספקה ​​תוך שימוש לרעה במפתח התוכנה הישראלי כדי לפרוס את המגב החדש שלהם, Fantasy, וכלי חדש לתנועה לרוחב ולביצוע Fantasy, Sandals.

מגב הפנטזיה בנוי על היסודות של המאמר שדווח בעבר מגב שליח אך אינו מנסה להתחזות לתוכנת כופר, כפי שעשה אפוסטל במקור. במקום זאת, זה הולך ישר לעבודה למחוק נתונים. הקורבנות נצפו בדרום אפריקה - שם החל הסיור מספר שבועות לפני פריסת פנטסי - ישראל והונג קונג.

סקירה כללית של הקבוצה

אגריוס הוא חדש יותר מיושרת לאיראן קבוצה המכוונת לקורבנות בישראל ובאיחוד האמירויות הערביות מאז 2020. הקבוצה פרסה בתחילה מגב, Apostle, מחופש לתוכנת כופר, אך מאוחר יותר שליח שונה לתוך תוכנת כופר מלאה. Agrius מנצלת נקודות תורפה ידועות ביישומים הפונות לאינטרנט כדי להתקין קונכיות, ולאחר מכן מבצעת סיור פנימי לפני המעבר לרוחב ולאחר מכן פורס את המטענים הזדוניים שלה.

סקירת מסע פרסום

ב- 20 בפברואר^th, 2022 בארגון בתעשיית היהלומים בדרום אפריקה, Agrius פרסה כלי קציר אישורים, כנראה כהכנה לקמפיין הזה. ואז, ב-12 במרץ^th, 2022, פתחה אגריוס במתקפת הניגוב על ידי פריסת פנטזיה וסנדלים, תחילה לקורבן בדרום אפריקה ולאחר מכן לקורבנות בישראל ולבסוף לקורבן בהונג קונג.

הנפגעים בישראל כוללים חברת שירותי תמיכה ב-IT, סיטונאי יהלומים וחברת ייעוץ משאבי אנוש. הקורבנות הדרום אפריקאים הם מארגון יחיד בתעשיית היהלומים, כאשר הקורבן בהונג קונג הוא תכשיטן.

הקמפיין נמשך פחות משלוש שעות ובמסגרת הזמן הזו לקוחות ESET כבר היו מוגנים באמצעות זיהויים המזהים את Fantasy כמגב וחוסמים את ביצועה. ראינו את מפתח התוכנה דוחף עדכונים נקיים תוך מספר שעות מההתקפה. פנינו למפתח התוכנה כדי להודיע ​​להם על פשרה אפשרית, אך פניותינו לא נענו.

מתכונן ליציאה

הכלים הראשונים שנפרסו על ידי מפעילי Agrius למערכות קורבנות, באמצעים לא ידועים, היו:

• Minidump"יישום C# של פונקציונליות mimikatz/pypykatz minidump כדי לקבל אישורים מ- LSASS dumps"
• SecretsDump, סקריפט Python ש"מבצעת טכניקות שונות להשלכת hashes ממכונה מרוחקת מבלי להפעיל שם סוכן כלשהו"
• Host2IP, כלי C#/.NET מותאם אישית הפותר שם מארח לכתובת IP.

שמות משתמש, סיסמאות ושמות מארחים שנאספו על ידי הכלים הללו נדרשים כדי שהסנדלים יוכלו להפיץ ולהפעיל בהצלחה את מגב הפנטזיה. מפעילי Agrius פרסו את MiniDump ו- SecretsDump לקורבן הראשון של הקמפיין הזה ב-20 בפברואר^th, 2022, אך המתינו עד 12 במרץ^th, 2022 לפריסת Host2IP, Fantasy וסנדלים (ברצף).

סנדלים: להצית את הפנטזיה (מגב)

סנדלים הוא קובץ הפעלה של Windows 32 סיביות שנכתב ב-C#/.NET. בחרנו את השם כי סנדלים היא אנגרמה של כמה מהטיעונים של שורת הפקודה שהיא מקבלת. הוא משמש לחיבור למערכות באותה רשת באמצעות SMB, לכתוב קובץ אצווה לדיסק שמפעיל את מגב הפנטזיה, ולאחר מכן להפעיל את קובץ האצווה באמצעות PsExec עם מחרוזת שורת הפקודה הזו:

• PsExec.exe /accepteula -d -u "" -p "" -s "C:.bat"

לאפשרויות PsExec יש את המשמעויות הבאות:

• -d – אל תחכה לסיום התהליך (לא אינטראקטיבי).
• /accepteula – דחק תצוגה של תיבת הדו-שיח של הרישיון.
• -s – הפעל את התהליך המרוחק ב- מערכת חֶשְׁבּוֹן.

סנדלים לא כותבים את מגב הפנטזיה למערכות מרוחקות. אנו מאמינים שמגב הפנטזיה נפרס באמצעות מתקפת שרשרת האספקה ​​באמצעות מנגנון עדכון התוכנה של מפתח התוכנה. הערכה זו מבוססת על מספר גורמים:

• כל הקורבנות היו לקוחות של מפתח התוכנה המושפע;
• מגב הפנטזיה נקרא באופן דומה לגרסאות לגיטימיות של התוכנה;
• כל הקורבנות הוציאו להורג את מגב הפנטזיה בתוך מסגרת זמן של 2.5 שעות, כאשר קורבנות בדרום אפריקה היו ממוקדים תחילה, אחר כך קורבנות בישראל, ולבסוף קורבנות בהונג קונג (אנו מייחסים את העיכוב במיקוד להבדלים באזורי זמן וזמן צ'ק-אין מקודד. בתוך התוכנה הלגיטימית); ו,
• לבסוף, מגב הפנטזיה נכתב והוצא להורג מ, %SYSTEM%WindowsTemp, ספריית ברירת המחדל הזמנית עבור מערכות Windows.

בנוסף, אנו מאמינים שהקורבנות כבר השתמשו ב-PsExec, ומפעילי Agrius בחרו להשתמש ב-PsExec כדי להשתלב בפעילות ניהולית טיפוסית במכונות של הקורבנות, ולמען קלות ביצוע קבצי אצווה. טבלה 1 מפרטת את הטיעונים של שורת הפקודה המקובלים על ידי סנדלים.

טבלה 1. טיעוני סנדלים ותיאוריהם

שם קובץ האצווה שנכתב לדיסק על ידי סנדלים . בת, כאשר שם הקובץ הוא הפלט של ה- שיטת Guid.NewGuid().. דוגמה לקובץ אצווה של סנדלים מוצגת באיור 2.

איור 2. קובץ אצווה של סנדלים (למעלה, באדום) ופרמטר שורת הפקודה המפוענחת (למטה, בכחול)

המחרוזת base64 שאחריה fantasy35.exe הוא כנראה שריד לדרישות הביצוע של Apostle (פרטים נוספים ב- ייחוס לאגריוס סָעִיף). עם זאת, מגב הפנטזיה מחפש רק טיעון של 411 ומתעלם מכל קלט זמן ריצה אחר (ראה הסעיף הבא למידע נוסף).

מגב פנטזיה

מגב הפנטזיה הוא גם קובץ הפעלה של Windows 32 סיביות שנכתב ב-C#/.NET, הנקרא כך על שם שמות הקבצים שלו: fantasy45.exe ו fantasy35.exe, בהתאמה. איור 3 מתאר את זרימת הביצוע של מגב הפנטזיה.

איור 3. זרימת ביצוע מגב פנטזיה

בתחילה, Fantasy יוצר mutex כדי להבטיח שרק מופע אחד פועל. הוא אוסף רשימה של כוננים קבועים אך אינו כולל את הכונן שבו %WINDOWS% ספרייה קיימת. ואז הוא נכנס ללולאת for חוזרת על רשימת הכוננים כדי לבנות רישום ספריות רקורסיבי, ומשתמש ב- RNGCryptoServiceProvider.GetBytes שיטה ליצור רצף חזק מבחינה קריפטוגרפית של ערכים אקראיים במערך של 4096 בתים. אם ארגומנט זמן ריצה של 411 מסופק למגב, ה ל לולאה מחליפה את התוכן של כל קובץ עם מערך הבתים שהוזכר לעיל באמצעות מקנן בזמן לוּלָאָה. אחרת ה ל לולאה מחליפה רק קבצים עם סיומת קובץ הרשומה בנספח.

לאחר מכן פנטזיה מקצה חותמת זמן ספציפית (2037-01-01 00:00:00) למאפייני חותמת הזמן של הקובץ:

• זמן יצירה
• LastAccessTime
• LastWriteTime
• CreationTimeUtc
• SetLastAccessTimeUtc
• LastWriteTimeUtc

ולאחר מכן מוחק את הקובץ. זה נעשה ככל הנראה כדי להקשות על התאוששות וניתוח משפטי.

במהלך ל לולאה, מגב הפנטזיה סופר שגיאות בתוך הספרייה הנוכחית בעת ניסיון לדרוס קבצים. אם מספר השגיאות עולה על 50, הוא כותב קובץ אצווה, %WINDOWS%Temp.bat, שמוחק את הספרייה עם הקבצים שגורמים לשגיאות, ולאחר מכן מוחק את עצמו. מחיקת הקבצים תתחדש בספרייה הבאה ברשימת היעד.

פעם אחת ל הלולאה הושלמה, מגב הפנטזיה יוצר קובץ אצווה %WINDOWS%טמפ נקרא registry.bat. קובץ האצווה מוחק את מפתחות הרישום הבאים:

• HKCR.EXE
• HKCR.dll
• HKCR*

לאחר מכן הוא מריץ את הפעולות הבאות כדי לנסות לנקות את זיכרון המטמון של מערכת הקבצים:

• %windir%system32rundll32.exe advapi32.dll,ProcessIdleTasks

לבסוף, registry.bat מוחק את עצמו (דל %0).

לאחר מכן, מגב הפנטזיה מנקה את כל יומני האירועים של Windows ויוצר קובץ אצווה נוסף, system.batב %WINDOWS%טמפ, שמוחק באופן רקורסיבי את כל הקבצים שעליהם %SYSTEMDRIVE%, מנסה לנקות את זיכרון המטמון של מערכת הקבצים ומחיקה עצמית. ואז Fantasy ישן שתי דקות לפני שהוא מחליף את של המערכת רשומת האתחול.

ואז פנטזיה כותבת עוד קובץ אצווה, %WINDOWS%Tempremover.bat, שמוחק את מגב הפנטזיה מהדיסק ואז מוחק את עצמו. ואז Fantasy wiper ישן למשך 30 שניות לפני הפעלה מחדש של המערכת עם קוד סיבה SHTDN_REASON_MAJOR_OTHER (0x00000000) - בעיה אחרת.

סביר להניח שכך %SYSTEMDRIVE% החלמה אפשרית. נצפה שהקורבנות חוזרים לפעול תוך מספר שעות.

ייחוס לאגריוס

חלק גדול מבסיס הקוד מאפוסטל, בתחילה מגב שהתחזה לתוכנת כופר ולאחר מכן עודכן לתוכנת כופר בפועל, הועתק ישירות לפנטסי ופונקציות רבות אחרות בפנטזיה שונו רק מעט מאפוסטל, כלי אגריוס ידוע. עם זאת, הפונקציונליות הכוללת של Fantasy היא של מגב ללא כל ניסיון להתחזות לתוכנת כופר. איור 4 מציג את פונקציות מחיקת הקבצים ב- Fantasy ו- Apostle, בהתאמה. יש רק כמה שינויים קטנים בין הפונקציה המקורית ב-Apostle לבין היישום של Fantasy.

איור 4. פונקציות מחיקת קבצים ממגב הפנטזיה (למעלה, באדום) ומתוכנת הכופר של השליח (למטה, בירוק)

איור 4. פונקציות מחיקת קבצים ממגב הפנטזיה (למעלה, באדום) ומתוכנת הכופר של השליח (למטה, בירוק)

איור 5 מראה שפונקציית רישום הספריות היא כמעט העתקה ישירה, כאשר רק משתני הפונקציה מקבלים תיקון קל בין Apostle ל-Fantasi.

איור 5. פונקציות רשימות ספריות ממגב הפנטזיה (למעלה, באדום) ותוכנת הכופר של השליח (למטה, בירוק)

לבסוף, GetSubDirectoryFileListRecursive הפונקציה באיור 6 היא גם כמעט העתקה מדויקת.

איור 6. פונקציות ריקורס ספריות רקורסיביות ממגב הפנטזיה (למעלה, באדום) ותוכנת הכופר של השליח (למטה, בירוק)

בנוסף לשימוש החוזר בקוד, אנו יכולים לראות שרידים של זרימת הביצוע של השליח בפנטזיה. בניתוח המקורי של השליח, SentinelOne מציין כי "ביצוע נכון של גרסת הכופר מחייב לספק לה ארגומנט מקודד base64 המכיל XML של אובייקט 'RSAParameters'. טיעון זה מועבר ונשמר כמפתח הציבורי המשמש לתהליך ההצפנה וככל הנראה נוצר במכונה שבבעלות שחקן האיום." אנו יכולים לראות בקובץ האצווה באיור 7, ש-Sandals יוצר במערכות מרוחקות כדי להפעיל את Fantasy, שאותו ארגומנט מקודד base64 המכיל XML של RSAparameters האובייקט מועבר לפנטזיה בזמן ריצה. פנטזיה, לעומת זאת, לא משתמשת בארגומנט זמן ריצה זה.

איור 7. סנדלים מעבירים אל Fantasy את אותו אובייקט RSAParameters שבו השתמשו בתוכנת הכופר של Apostle

סיכום

מאז גילויו ב-2021, Agrius התמקדה אך ורק בפעולות הרסניות. לשם כך, מפעילי Agrius ככל הנראה ביצעו מתקפת שרשרת האספקה ​​על ידי מיקוד מנגנוני עדכון תוכנה של חברת תוכנה ישראלית כדי לפרוס את Fantasy, המגב החדש ביותר שלה, לקורבנות בישראל, הונג קונג ודרום אפריקה. פנטזיה דומה במובנים רבים למגב הקודם של Agrius, Apostle, שהתחזה בתחילה לתוכנת כופר לפני שנכתב מחדש להיות תוכנת כופר בפועל. Fantasy לא עושה מאמץ להתחפש לתוכנת כופר. מפעילי Agrius השתמשו בכלי חדש, Sandals, כדי להתחבר מרחוק למערכות ולהפעיל Fantasy.

IoCs

טכניקות MITER ATT & CK

שולחן זה נבנה באמצעות גרסה 12 של מסגרת MITER ATT & CK.

נספח

סיומות קבצים (682) ממוקדות על ידי Fantasy wiper כאשר אינן ממקדות לכל סיומות הקבצים. סיומות קבצים מודגשות ב צהוב (68) הם סיומות שמות קבצים נפוצות ב-Windows. במיוחד נעדרות סיומות קבצים dll ו sys.