Quả bom hẹn giờ tích tắc chậm: Tick thỏa hiệp nhóm APT của một nhà phát triển phần mềm DLP ở Đông Á

Các nhà nghiên cứu của ESET đã phát hiện ra một chiến dịch mà chúng tôi đánh giá cao về nhóm APT. Vụ việc xảy ra trong hệ thống mạng của một công ty Đông Á phát triển phần mềm ngăn chặn mất mát dữ liệu (DLP).

Những kẻ tấn công đã xâm phạm máy chủ cập nhật nội bộ của công ty DLP để phân phối phần mềm độc hại bên trong mạng của nhà phát triển phần mềm và cài đặt trojan các công cụ hợp pháp được công ty sử dụng, điều này cuối cùng dẫn đến việc thực thi phần mềm độc hại trên máy tính của khách hàng của công ty.

Trong bài đăng trên blog này, chúng tôi cung cấp các chi tiết kỹ thuật về phần mềm độc hại được phát hiện trong mạng của công ty và khách hàng của công ty bị xâm nhập. Trong quá trình xâm nhập, những kẻ tấn công đã triển khai một trình tải xuống không có giấy tờ trước đó có tên là ShadowPy và chúng cũng đã triển khai netboy cửa hậu (hay còn gọi là Kẻ xâm lược) Và bóng ma trình tải xuống.

Dựa trên hồ sơ của Tick và danh mục khách hàng có giá trị cao của công ty bị xâm phạm, mục tiêu của cuộc tấn công rất có thể là gián điệp mạng. Làm thế nào công ty ngăn chặn mất dữ liệu ban đầu bị xâm phạm vẫn chưa được biết.

đánh dấu tổng quan

Tick ​​(còn được gọi là BRONZE BUTLER hoặc REDBALDKNIGHT) là một nhóm APT, bị nghi ngờ đã hoạt động ít nhất từ ​​năm 2006, nhắm mục tiêu chủ yếu là các quốc gia trong khu vực APAC. Nhóm này được quan tâm vì các hoạt động gián điệp mạng, tập trung vào việc đánh cắp thông tin mật và tài sản trí tuệ.

Tick ​​sử dụng bộ công cụ phần mềm độc hại tùy chỉnh độc quyền được thiết kế để truy cập liên tục vào các máy bị xâm nhập, do thám, đánh cắp dữ liệu và tải xuống các công cụ. Báo cáo mới nhất của chúng tôi về hoạt động của Tick đã tìm thấy nó khai thác lỗ hổng ProxyLogon để thỏa hiệp một công ty CNTT của Hàn Quốc, với tư cách là một trong những nhóm có quyền truy cập vào khai thác thực thi mã từ xa đó trước khi lỗ hổng được tiết lộ công khai. Khi vẫn còn là zero-day, nhóm đã sử dụng khai thác để cài đặt webshell nhằm triển khai một cửa hậu trên máy chủ web.

Tổng quan về cuộc tấn công

Vào tháng 2021 năm XNUMX, thông qua các phương tiện không xác định, những kẻ tấn công đã giành được quyền truy cập vào mạng của một công ty phát triển phần mềm Đông Á.

Những kẻ tấn công đã triển khai phần mềm độc hại dai dẳng và thay thế trình cài đặt của một ứng dụng hợp pháp được gọi là Q-thư mục với các bản sao bị trojan hóa, khi được thực thi, đã loại bỏ một cửa hậu VBScript mã nguồn mở có tên RevVBShell, cũng như một bản sao của ứng dụng Q-Dir hợp pháp. Điều này dẫn đến việc thực thi mã độc hại trong mạng của hai trong số các khách hàng của công ty bị xâm nhập khi trình cài đặt trojan được chuyển qua phần mềm hỗ trợ từ xa – giả thuyết của chúng tôi là điều này xảy ra trong khi công ty DLP cung cấp hỗ trợ kỹ thuật cho khách hàng của họ.

Những kẻ tấn công cũng đã xâm phạm các máy chủ cập nhật, vốn đã hai lần cung cấp các bản cập nhật độc hại cho các máy bên trong mạng của công ty DLP. Sử dụng phép đo từ xa ESET, chúng tôi không phát hiện bất kỳ trường hợp cập nhật độc hại nào khác bên ngoài mạng của công ty DLP.

Danh mục khách hàng của công ty DLP bao gồm các tổ chức chính phủ và quân đội, khiến công ty bị xâm phạm trở thành mục tiêu đặc biệt hấp dẫn đối với nhóm APT như Tick.

Lịch Trình Sự Kiện

Theo đo lường từ xa của ESET, vào tháng 2021 năm XNUMX, những kẻ tấn công đã triển khai phần mềm độc hại tới một số máy của công ty phát triển phần mềm. Phần mềm độc hại này bao gồm các biến thể của dòng Netboy và Ghostdown, và một trình tải xuống không có giấy tờ trước đây có tên là ShadowPy.

Vào tháng XNUMX, những kẻ tấn công bắt đầu giới thiệu các bản sao trojan của trình cài đặt Q-dir trong mạng của công ty bị xâm nhập.

Vào tháng 2021 và tháng XNUMX năm XNUMX, trong mạng của công ty bị xâm nhập, thành phần thực hiện các bản cập nhật cho phần mềm do công ty bị xâm nhập phát triển đã tải xuống một gói chứa tệp thực thi độc hại.

Vào tháng 2022 và tháng XNUMX năm XNUMX, các trình cài đặt Q-dir bị trojan hóa đã được chuyển qua các công cụ hỗ trợ từ xa cho khách hàng của công ty bị xâm nhập.

Hình 1. Dòng thời gian của cuộc tấn công và các sự cố liên quan.

Máy chủ cập nhật bị xâm nhập

Sự cố đầu tiên mà một bản cập nhật chứa phần mềm độc hại được đăng ký là vào tháng 2021 và sau đó là một lần nữa vào tháng XNUMX năm XNUMX. Trong cả hai trường hợp, bản cập nhật đã được gửi đến các máy trong mạng của công ty DLP.

Bản cập nhật có dạng tệp lưu trữ ZIP chứa tệp thực thi độc hại. Nó được triển khai và thực thi bởi một tác nhân cập nhật hợp pháp từ phần mềm do công ty bị xâm nhập phát triển. Chuỗi thỏa hiệp được minh họa trong Hình 2.

Hình 2. Minh họa về chuỗi thỏa hiệp

Trường hợp được phát hiện đầu tiên xảy ra vào tháng 2021 năm 2021 và bản cập nhật đã được tải xuống từ một máy chủ nội bộ và được triển khai. Trường hợp thứ hai xảy ra vào tháng XNUMX năm XNUMX, từ một máy chủ công khai.

Tệp thực thi độc hại đưa ra yêu cầu HTTP GET tới http://103.127.124[.]117/index.html để lấy khóa giải mã tải trọng được nhúng, được mã hóa bằng thuật toán RC6. Tải trọng được thả xuống % TEMP% thư mục với một tên ngẫu nhiên và một .vbe phần mở rộng, và sau đó được thực thi.

Mặc dù chúng tôi chưa lấy được mẫu bị mất từ ​​máy bị xâm nhập, nhưng dựa trên phát hiện (VBS/Agent.DL), chúng tôi tin chắc rằng tập lệnh được phát hiện là cửa hậu mã nguồn mở RevVBShell.

Khi sử dụng phép đo từ xa ESET, chúng tôi không xác định được bất kỳ khách hàng nào của công ty DLP đã nhận được bất kỳ tệp độc hại nào thông qua phần mềm do công ty đó phát triển. Giả thuyết của chúng tôi là những kẻ tấn công đã xâm phạm các máy chủ cập nhật để di chuyển theo chiều ngang trên mạng chứ không phải để thực hiện một cuộc tấn công chuỗi cung ứng đối với các khách hàng bên ngoài.

Trình cài đặt Q-Dir bị Trojan hóa

Q-Dir là một ứng dụng hợp pháp do SoftwareOK phát triển, cho phép người dùng điều hướng bốn thư mục cùng một lúc trong cùng một cửa sổ, như thể hiện trong Hình 3. Chúng tôi tin rằng ứng dụng hợp pháp là một phần của bộ công cụ được sử dụng bởi các nhân viên của bên bị xâm nhập công ty, dựa trên nơi phát hiện bắt nguồn từ mạng.

Hình 3. Ảnh chụp màn hình của ứng dụng Q-Dir

Theo phép đo từ xa của ESET, bắt đầu từ tháng 2021 năm 32, hai tháng trước khi phát hiện ra các bản cập nhật độc hại, những kẻ tấn công bắt đầu đưa các trình cài đặt ứng dụng bị trojan hóa 64 và XNUMX bit vào mạng của công ty bị xâm nhập.

Chúng tôi đã phát hiện hai trường hợp, vào tháng 2022 và tháng XNUMX năm XNUMX, trong đó các trình cài đặt bị nhiễm trojan đã được chuyển bằng các công cụ hỗ trợ từ xa helpU và ANYSUPPORT, tới máy tính của hai công ty ở Đông Á, một công ty hoạt động trong ngành kỹ thuật và công ty kia thuộc ngành sản xuất.

Những máy tính này đã cài đặt phần mềm từ công ty bị xâm nhập và trình cài đặt Q-dir bị trojan hóa đã được nhận vài phút sau khi người dùng cài đặt phần mềm hỗ trợ.

Giả thuyết của chúng tôi là khách hàng của công ty DLP bị xâm nhập đã nhận được hỗ trợ kỹ thuật từ công ty đó, thông qua một trong những ứng dụng hỗ trợ từ xa đó và trình cài đặt độc hại đã vô tình được sử dụng để phục vụ khách hàng của công ty DLP; ít có khả năng những kẻ tấn công đã cài đặt các công cụ hỗ trợ để tự chuyển các trình cài đặt trojan.

Trình cài đặt 32-bit

Kỹ thuật được sử dụng để trojan hóa trình cài đặt liên quan đến việc tiêm shellcode vào một khoang ở cuối bảng Tiêu đề Phần – ứng dụng được biên dịch bằng cách sử dụng 0x1000 cho Căn chỉnh tệp và PhầnCăn chỉnh, để lại trong một khoang của 0xD18 byte – đủ lớn để chứa shellcode độc ​​hại, không phụ thuộc vào vị trí. Mã điểm vào của ứng dụng được vá bằng lệnh JMP trỏ tới shellcode và được đặt ngay sau lệnh gọi tới WinChính (Hinh 4); do đó mã độc chỉ được thực thi sau khi mã hợp pháp của ứng dụng kết thúc quá trình thực thi.

Hình 4. Mã lắp ráp hiển thị JMP hướng dẫn chuyển luồng thực thi sang shellcode. Kết xuất thập lục phân hiển thị shellcode ở cuối tiêu đề phần của PE.

Shellcode, như trong Hình 5, tải xuống một payload không được mã hóa từ http://softsrobot[.]com/index.html đến %TEMP%ChromeUp.exe theo mặc định; nếu tệp không thể được tạo, nó sẽ nhận được một tên mới bằng cách sử dụng GetTempFileNameA API.

Hình 5. Mã dịch ngược của chức năng điều phối việc tải xuống tệp nhị phân và ghi nó vào đĩa

Trình cài đặt 64-bit

Mặc dù chỉ tìm thấy một trình cài đặt 32-bit độc hại, nhưng các trình cài đặt 64-bit đã được phát hiện ở một số nơi trong mạng của công ty DLP. Trình cài đặt chứa ứng dụng Q-Dir và một cửa hậu ReVBShell được mã hóa (VBE) đã được những kẻ tấn công tùy chỉnh; cả hai đều được nén bằng LZO và được mã hóa bằng RC6. Các tập tin được thả trong % TEMP% thư mục và thực thi.

RevVBShell

ReVBShell là một backdoor mã nguồn mở với các khả năng rất cơ bản. Mã backdoor được viết bằng VBScript và mã điều khiển được viết bằng Python. Giao tiếp với máy chủ qua HTTP với các yêu cầu GET và POST.

Cửa hậu hỗ trợ một số lệnh, bao gồm:

• Lấy tên máy tính, tên hệ điều hành, cấu trúc và phiên bản ngôn ngữ của hệ điều hành
• Lấy tên người dùng và tên miền
• Nhận thông tin bộ điều hợp mạng
• Liệt kê các quy trình đang chạy
• Thực thi các lệnh shell và gửi lại đầu ra
• Thay đổi thư mục hiện tại
• Tải xuống một tệp từ một URL nhất định
• Tải lên một tập tin được yêu cầu

Chúng tôi tin rằng những kẻ tấn công đã sử dụng phiên bản ReVBShell 1.0, dựa trên lịch sử cam kết nhánh chính trên GitHub.

Thông tin thêm về sự thỏa hiệp của công ty DLP

Trong phần này, chúng tôi cung cấp thêm chi tiết về các công cụ và dòng phần mềm độc hại mà Tick đã triển khai trong mạng của công ty phần mềm bị xâm nhập.

Để duy trì quyền truy cập liên tục, những kẻ tấn công đã triển khai DLL trình tải độc hại cùng với các ứng dụng đã ký hợp pháp dễ bị tấn công theo thứ tự tìm kiếm DLL. Mục đích của các tệp DLL này là để giải mã và đưa tải trọng vào một quy trình được chỉ định (trong mọi trường hợp xảy ra sự cố này, tất cả các trình tải đã được định cấu hình để đưa vào svchost.exe).

Tải trọng trong mỗi trình tải là một trong ba họ phần mềm độc hại: ShadowPy, Ghostdown hoặc Netboy. Hình 6 minh họa quá trình tải.

Hình 6. Tổng quan cấp cao về quy trình tải phần mềm độc hại Tick

Trong báo cáo này, chúng tôi sẽ tập trung phân tích trình tải xuống ShadowPy và backdoor Netboy.

ShadowPy

ShadowPy là một trình tải xuống được phát triển bằng Python và được chuyển đổi thành tệp thực thi Windows bằng phiên bản tùy chỉnh của py2exe. Trình tải xuống liên hệ với C&C của nó để nhận các tập lệnh Python để thực thi.

Dựa trên những phát hiện của chúng tôi, chúng tôi tin rằng phần mềm độc hại đã được phát triển ít nhất hai năm trước khi công ty DLP bị xâm phạm vào năm 2021. Chúng tôi chưa quan sát thấy bất kỳ sự cố nào khác mà ShadowPy được triển khai.

Trình tải py2exe tùy chỉnh

Như đã mô tả trước đây, trình tải DLL độc hại được khởi chạy thông qua tải bên DLL; trong trường hợp của ShadowPy, chúng tôi đã quan sát thấy vsapi.dll được phụ tải bởi avshadow.exe, một thành phần phần mềm hợp pháp từ bộ phần mềm bảo mật Avira.

DLL độc hại chứa, được mã hóa trong lớp phủ của nó, ba thành phần chính: trình tải tùy chỉnh py2exe, công cụ Python và mã PYC. Đầu tiên, mã trình tải DLL định vị trình tải py2exe tùy chỉnh trong lớp phủ của nó và giải mã nó bằng XOR bảo toàn NULL bằng cách sử dụng 0x56 làm khóa, sau đó nó tải nó vào bộ nhớ và đưa nó vào một khóa mới svchost.exe quá trình mà nó tạo ra. Sau đó, điểm vào của trình tải py2exe tùy chỉnh được thực thi trên quy trình từ xa. Sự khác biệt giữa mã trình tải py2exe ban đầu và phiên bản tùy chỉnh được Tick sử dụng là trình tải tùy chỉnh đọc nội dung của mã độc. vsapi.dll từ đĩa và tìm kiếm công cụ Python và mã PYC trong lớp phủ, trong khi bản gốc định vị công cụ và mã PYC trong phần tài nguyên.

Chuỗi tải được minh họa trong Hình 7.

Hình 7. Tổng quan cấp cao về các bước thực hiện để thực thi tải trọng PYC

Trình tải xuống Python

Mã PYC là một trình tải xuống đơn giản với mục đích truy xuất tập lệnh Python và thực thi tập lệnh đó trong một luồng mới. Trình tải xuống này chọn ngẫu nhiên một URL từ danh sách (mặc dù đối với các mẫu chúng tôi đã phân tích chỉ có một URL) và tạo một ID duy nhất cho máy bị xâm nhập bằng cách tạo một chuỗi bao gồm dữ liệu sau:

• Địa chỉ IP cục bộ của máy
• Địa chỉ MAC
• Tên người dùng (được trả về bởi % Người dùng% biến môi trường)
• Tên miền và tên người dùng (kết quả của whoami chỉ huy)
• Tên máy tính mạng (được trả về bởi Python's nền tảng.node chức năng)
• Thông tin hệ điều hành (được trả về bởi Python's nền tảng.platform chức năng)
• Thông tin kiến ​​trúc (được trả về bởi Python's nền tảng.architecture chức năng)

Cuối cùng, nó sử dụng abs(zlib.crc32( )) để tạo giá trị sẽ đóng vai trò là ID. ID được chèn vào giữa một chuỗi bao gồm các ký tự ngẫu nhiên và được làm xáo trộn thêm, sau đó nó được thêm vào URL như trong Hình 8.

Hình 8. Mã Python đã giải mã để chuẩn bị URL, nối thêm ID người dùng duy nhất đã bị xáo trộn

Nó đưa ra một yêu cầu HTTP GET tới du lịch[.]com để nhận một tải trọng mới được giải mã XOR bằng khóa một byte cố định, 0xC3, sau đó giải mã base64; kết quả được giải mã bằng thuật toán AES ở chế độ CFB với khóa 128 bit và IV được cung cấp cùng với tải trọng. Cuối cùng, nó được giải nén bằng cách sử dụng zlib và thực hiện trong một chủ đề mới.

netboy

netboy (aka Kẻ xâm lược) là một backdoor được lập trình trong Delphi; nó hỗ trợ 34 lệnh cho phép kẻ tấn công chụp màn hình, thực hiện các sự kiện chuột và bàn phím trên máy bị xâm nhập, thao tác tệp và dịch vụ, đồng thời lấy thông tin mạng và hệ thống, cùng các khả năng khác.

Giao thức mạng

Netboy giao tiếp với máy chủ C&C của nó qua TCP. Định dạng gói được sử dụng để trao đổi thông tin giữa cửa hậu và C&C của nó được mô tả trong Hình 9.

Hình 9. Minh họa định dạng gói C&C do Netboy triển khai

Để lấy dấu vân tay các gói của nó, nó tạo ra hai số ngẫu nhiên (hai trường đầu tiên trong tiêu đề) được XOR với nhau (như trong Hình 10) để tạo thành một giá trị thứ ba được sử dụng để xác thực gói.

Hình 10. Mã dịch ngược tạo ra hai số ngẫu nhiên và kết hợp chúng để tạo ra giá trị dấu vân tay gói

Quá trình xác nhận gói tin được thể hiện trong Hình 11, khi cửa sau nhận được một lệnh mới từ bộ điều khiển của nó.

Hình 11. Mã dịch ngược thực hiện xác thực gói tin mới nhận được

Tiêu đề gói cũng chứa kích thước của dữ liệu nén được mã hóa và kích thước của dữ liệu không nén cộng với kích thước (DWORD) của một trường khác chứa một số ngẫu nhiên (không được sử dụng để xác thực) được thêm vào trước dữ liệu trước khi được nén, như trong Hình 12.

Hình 12. Mã dịch ngược tạo một gói tin mới để gửi đến bộ điều khiển

Để nén, Netboy sử dụng một biến thể của họ thuật toán nén LZRW và để mã hóa, nó sử dụng thuật toán RC4 với khóa 256 bit được tạo thành từ các ký tự ASCII.

Lệnh backdoor

Netboy hỗ trợ 34 lệnh; tuy nhiên, trong Bảng 1, chúng tôi chỉ mô tả 25 lỗi nổi bật nhất mang lại cho kẻ tấn công những khả năng nhất định trên hệ thống bị xâm nhập.

Bảng 1. Các lệnh backdoor Netboy thú vị nhất

Ghi công

Chúng tôi cho rằng cuộc tấn công này do Tick thực hiện với độ tin cậy cao dựa trên phần mềm độc hại được tìm thấy trước đây đã được quy cho Tick và theo hiểu biết tốt nhất của chúng tôi thì chưa được chia sẻ với các nhóm APT khác và sự tương đồng về mã giữa ShadowPy và trình tải được sử dụng bởi Netboy .

Ngoài ra, các miền được kẻ tấn công sử dụng để liên hệ với máy chủ C&C của chúng trước đây được quy cho Tick trong các trường hợp trước đây: keo nước[.]org in 2015và softrobot[.]com in 2020.

Hoạt động có thể liên quan

Trong tháng năm 2022, Các nhà nghiên cứu của AhnLab đã công bố một báo cáo về một tác nhân đe dọa không xác định nhắm mục tiêu các thực thể và cá nhân từ Hàn Quốc bằng các tệp CHM triển khai một tệp thực thi hợp pháp và một tệp DLL độc hại để tải bên. Mục đích của DLL là giải nén, giải mã, thả và thực thi tập lệnh VBE trong % TEMP% thư mục. Tập lệnh được giải mã một lần nữa tiết lộ cửa hậu ReVBShell.

Chúng tôi tin rằng chiến dịch đó có khả năng liên quan đến cuộc tấn công được mô tả trong báo cáo này, vì cửa hậu ReVBShell tùy chỉnh của cả hai cuộc tấn công đều giống nhau và có nhiều điểm tương đồng về mã giữa trình cài đặt 64-bit độc hại (SHA-1: B9675D0EFBC4AE92E02B3BFC8CA04B01F8877DB6) và mẫu quartz.dll (SHA-1: ECC352A7AB3F97B942A6BDC4877D9AFCE19DFE55) được mô tả bởi AhnLab.

Kết luận

Các nhà nghiên cứu của ESET đã phát hiện ra sự thỏa hiệp của một công ty ngăn chặn mất dữ liệu ở Đông Á. Trong quá trình xâm nhập, những kẻ tấn công đã triển khai ít nhất ba họ phần mềm độc hại và các máy chủ cập nhật bị xâm phạm cũng như các công cụ được sử dụng bởi công ty bị xâm nhập. Kết quả là, hai khách hàng của công ty sau đó đã bị xâm phạm.

Phân tích của chúng tôi về các công cụ độc hại được sử dụng trong cuộc tấn công đã tiết lộ phần mềm độc hại không có giấy tờ trước đây mà chúng tôi đặt tên là ShadowPy. Dựa trên những điểm tương đồng trong phần mềm độc hại được tìm thấy trong quá trình điều tra, chúng tôi đã quy kết cuộc tấn công với độ tin cậy cao cho nhóm Tick APT, được biết đến với các hoạt động gián điệp mạng nhắm vào khu vực APAC.

Chúng tôi xin cảm ơn Cha Minseok từ AhnLab đã chia sẻ thông tin và mẫu trong quá trình nghiên cứu của chúng tôi.

IoC

Các tập tin

mạng

Kỹ thuật MITER ATT & CK

Bảng này được tạo bằng cách sử dụng phiên bản 12 của khuôn khổ MITER ATT & CK.

• Phân phối nội dung và PR được hỗ trợ bởi SEO. Được khuếch đại ngay hôm nay.
• Platoblockchain. Web3 Metaverse Intelligence. Khuếch đại kiến ​​thức. Truy cập Tại đây.
• nguồn: https://www.welivesecurity.com/2023/03/14/slow-ticking-time-bomb-tick-apt-group-dlp-software-developer-east-asia/