WinorDLL64: باب خلفي من ترسانة لعازر الضخمة؟

اكتشف باحثو ESET إحدى حمولات Wslink تنزيل التي اكتشفناها في عام 2021. أطلقنا على هذه الحمولة اسم WinorDLL64 بناءً على اسم الملف الخاص بها WinorDLL64.dll. Wslink ، والذي كان له اسم الملف WinorLoaderDLL64.dll، هو أداة تحميل للثنائيات التي تعمل بنظام التشغيل Windows والتي ، بخلاف برامج التحميل الأخرى ، تعمل كخادم وتقوم بتنفيذ الوحدات النمطية المتلقاة في الذاكرة. كما توحي الصياغة ، فإن أداة التحميل تعمل كأداة لتحميل الحمولة ، أو البرنامج الضار الفعلي ، على النظام المخترق بالفعل. لم يتم تحديد متجه تسوية Wslink الأولي.

تم تحميل حمولة Wslink غير المعروفة في البداية إلى VirusTotal من كوريا الجنوبية بعد فترة وجيزة من نشر مدونتنا ، وضربت إحدى قواعد YARA الخاصة بنا استنادًا إلى اسم Wslink الفريد WinorDLL64. فيما يتعلق بـ Wslink ، لم يشهد القياس عن بعد ESET سوى عدد قليل من الاكتشافات - في وسط أوروبا وأمريكا الشمالية والشرق الأوسط.

• WinorDLL64 يعمل payload بمثابة باب خلفي يكتسب بشكل ملحوظ معلومات شاملة عن النظام ، ويوفر وسائل لمعالجة الملفات ، مثل إخراج الملفات واستبدالها وإزالتها ، وتنفيذ أوامر إضافية. ومن المثير للاهتمام ، أنه يتصل عبر اتصال تم إنشاؤه بالفعل بواسطة أداة تحميل Wslink.

في عام 2021 ، لم نعثر على أي بيانات تشير إلى أن Wslink هي أداة من جهة تهديد معروفة. ومع ذلك ، بعد تحليل مكثف للحمولة ، قمنا بإسنادها WinorDLL64 لمجموعة Lazarus APT بثقة منخفضة بناءً على المنطقة المستهدفة وتداخل في السلوك والرمز مع عينات Lazarus المعروفة.

نشط منذ عام 2009 على الأقل ، هذه المجموعة الشائنة المتحالفة مع كوريا الشمالية مسؤولة عن حوادث بارزة مثل كلا من اختراق سوني بيكتشرز انترتينمنت وعشرات الملايين من الدولارات الملحدين السيبرانيين في عام 2016أطلقت حملة WannaCryptor (المعروف أيضًا باسم WannaCry) في عام 2017 ، وتاريخ طويل من الهجمات التخريبية ضد البنية التحتية العامة والحاسمة في كوريا الجنوبية منذ عام 2011 على الأقل. يسمي US-CERT ومكتب التحقيقات الفيدرالي هذه المجموعة خفية كوبرا.

استنادا لدينا معرفة واسعة من أنشطة وعمليات هذه المجموعة ، نعتقد أن Lazarus يتكون من فريق كبير منظم بشكل منهجي ومجهز جيدًا ويتكون من عدة مجموعات فرعية تستخدم مجموعة أدوات كبيرة. في العام الماضي نحن اكتشف أداة Lazarus التي استفادت من CVE ‑ 2021-21551 الضعف لاستهداف موظف في شركة طيران في هولندا ، وصحفي سياسي في بلجيكا. كانت أول إساءة استخدام مسجلة للضعف ؛ معًا ، أدت الأداة والثغرة الأمنية إلى تعمية مراقبة جميع الحلول الأمنية على الأجهزة المخترقة. قدمنا ​​أيضًا وصفًا شاملاً لـ هيكل الآلة الافتراضية المستخدمة في عينات من Wslink.

تشرح هذه المدونة إسناد WinorDLL64 إلى Lazarus وتوفر تحليلاً للحمولة.

روابط لعازر

لقد اكتشفنا تداخلًا في كل من السلوك والتعليمات البرمجية مع عينات Lazarus من عملية GhostSecret و زرع بانكسوت وصفها مكافي. يحتوي وصف الغرسات في كل من مقالات GhostSecret و Bankshot على تداخلات في الوظيفة مع WinorDLL64 ووجدنا بعض التداخل في التعليمات البرمجية في العينات. في هذه المدونة سنستخدم فقط امتداد FE887FCAB66D7D7F79F05E0266C0649F0114BA7C عينة من GhostSecret للمقارنة مع WinorDLL64 (1BA443FDE984CEE85EBD4D4FA7EB1263A6F1257F)، ما لم يتم ذكر خلاف ذلك.

تلخص التفاصيل التالية الحقائق الداعمة لإسناد ثقتنا المنخفضة إلى لعازر:

1. علم الضحايا

• أكد زملاء باحثون من AhnLab ضحايا كوريا الجنوبية لـ Wslink في القياس عن بعد ، وهو مؤشر ذو صلة بالنظر إلى أهداف Lazarus التقليدية وأننا لاحظنا عددًا قليلاً فقط من النتائج.

الشكل 1. الضحية الكورية الجنوبية المبلغ عنها ، حيث mstoned7 هو الباحث من Ahnlab

2. البرمجيات الخبيثة

• أحدث نموذج GhostSecret تم الإبلاغ عنه بواسطة McAfee (FE887FCAB66D7D7F79F05E0266C0649F0114BA7C) من فبراير 2018 ؛ اكتشفنا أول عينة من Wslink في أواخر عام 2018 وأبلغ زملاؤنا الباحثون عن نتائج في أغسطس 2018 ، والتي كشفوا عنها بعد نشرنا. ومن ثم ، تم رصد هذه العينات لفترة زمنية قصيرة نسبيًا.
• • الرؤوس الغنية بـ PE تشير إلى أنه تم استخدام نفس بيئة التطوير والمشاريع ذات الحجم المماثل في العديد من عينات Lazarus المعروفة الأخرى (على سبيل المثال ، 70DE783E5D48C6FBB576BC494BAF0634BC304FD6; 8EC9219303953396E1CB7105CDB18ED6C568E962). وجدنا هذا التداخل باستخدام القواعد التالية التي تغطي فقط عينات Wslink و Lazarus ، وهو مؤشر ذو وزن منخفض. اختبرناها على البحث الرجعي لفايروس توتال ومجموعة ملفاتنا الداخلية.

rich_signature.length == 80 و
pe.rich_signature.toolid (175 ، 30319) == 7 و
pe.rich_signature.toolid (155 ، 30319) == 1 و
pe.rich_signature.toolid (158 ، 30319) == 10 و
pe.rich_signature.toolid (170 ، 30319)> = 90 و
pe.rich_signature.toolid (170 ، 30319) <= 108

يمكن ترجمة هذه القاعدة إلى التدوين التالي الذي يسهل قراءته واستخدامه بواسطة VirusTotal ، حيث يمكن للمرء رؤية إصدار المنتج ومعرف الإصدار (VS2010 بناء 30319) ، وعدد ونوع ملفات المصدر / الكائن المستخدمة ([LTCG C ++] حيث يرمز LTCG إلى إنشاء رمز وقت الارتباط ، [ASM], [C])، وعدد الصادرات ([خبرة]) في حكم:

[LTCG C ++] عدد الإصدار 2010 من VS30319 = 7
[EXP] عدد إصدار VS2010 30319 = 1
[ASM] عدد 2010 إصدار VS30319 = 10
[C] VS2010 build 30319 عدد [90 .. 108]

• وصفت مقالة GhostSecret "مكونًا فريدًا لجمع البيانات وتثبيت الغرسة يستمع إلى المنفذ 443 لاتصالات خادم التحكم الداخلي" والذي يعمل أيضًا كخدمة. هذا وصف دقيق لسلوك برنامج تنزيل Wslink ، بصرف النظر عن رقم المنفذ ، والذي يمكن أن يختلف بناءً على التكوين. لتلخيص ذلك ، على الرغم من اختلاف التنفيذ ، كلاهما يخدم نفس الغرض.
• المحمل ظاهريًا بواسطة Code Virtualizer Oreans ، وهو واقي تجاري يتم استخدامه كثيرا بواسطة Lazarus.
• يستخدم المُحمل ملف وحدة الذاكرة مكتبة لتحميل الوحدات مباشرة من الذاكرة. المكتبة ليست شائعة الاستخدام من قبل البرامج الضارة ، لكنها تحظى بشعبية كبيرة بين المجموعات المتحالفة مع كوريا الشمالية مثل Lazarus و Kimsuky.
• تداخل في الكود بين WinorDLL64 و GhostSecret الذي وجدناه أثناء تحليلنا. النتائج والأهمية في الإسناد مذكورة في الجدول 1.

الجدول 1. أوجه التشابه بين WinorDLL64 و GhostSecret وأهميتها في إسناد كلاهما إلى نفس الفاعل المهدد

تم تمييز تداخل الكود في وظيفة إرسال الملف في الشكل 2 والشكل 3.

الشكل 2. GhostSecret إرسال ملف

الشكل 3. Wslink إرسال ملف

التحليل الفني

يُعد WinorDLL64 بمثابة باب خلفي يكتسب بشكل ملحوظ معلومات شاملة عن النظام ، ويوفر وسائل لمعالجة الملفات ، وينفذ أوامر إضافية. ومن المثير للاهتمام ، أنه يتصل عبر اتصال TCP تم إنشاؤه بالفعل بواسطة محمله ويستخدم بعض وظائف المحمل.

الشكل 4. تصور اتصال Wslink

الباب الخلفي هو ملف DLL مع تصدير واحد غير مسمى يقبل معلمة واحدة - بنية للاتصال تم وصفها بالفعل في المدونة السابقة. يحتوي الهيكل على سياق TLS - المقبس ، والمفتاح ، والرابع - وعمليات رد الاتصال لإرسال واستقبال الرسائل المشفرة باستخدام 256 بت AES-CBC التي تمكن WinorDLL64 من تبادل البيانات بأمان مع المشغل عبر اتصال قائم بالفعل.

تقودنا الحقائق التالية إلى الاعتقاد بثقة عالية أن المكتبة هي بالفعل جزء من Wslink:

• يتم استخدام البنية الفريدة في كل مكان بالطريقة المتوقعة ، على سبيل المثال ، يتم توفير سياق TLS ومعلمات أخرى ذات مغزى بالترتيب المتوقع لعمليات الاسترجاعات الصحيحة.
• اسم DLL هو WinorDLL64.dll وكان اسم Wslink WinorLoaderDLL64.dll.

يقبل WinorDLL64 عدة أوامر. يعرض الشكل 5 الحلقة التي تستقبل الأوامر وتعالجها. يرتبط كل أمر بمعرف فريد ويقبل تكوينًا يحتوي على معلمات إضافية.

الشكل 5. الجزء الرئيسي من حلقة استقبال الأوامر في الباب الخلفي

قائمة الأوامر ، مع تسمياتنا ، موجودة في الشكل 6.

الشكل 6. قائمة الأوامر

يحتوي الجدول 2 على ملخص لأوامر WinorDLL64 ، حيث تم تعديلها ، وتشير الفئات القديمة إلى العلاقة بوظيفة GhostSecret الموثقة مسبقًا. نحن نسلط الضوء فقط على التغييرات المهمة في الفئة المعدلة.

الجدول 2. نظرة عامة على أوامر الباب الخلفي

وفي الختام

تم تخصيص حمولة Wslink لتوفير وسائل لمعالجة الملفات ، وتنفيذ المزيد من التعليمات البرمجية ، والحصول على معلومات شاملة حول النظام الأساسي الذي يمكن الاستفادة منه لاحقًا للحركة الجانبية ، بسبب الاهتمام المحدد بجلسات الشبكة. يستمع مُحمل Wslink إلى المنفذ المحدد في التكوين ويمكنه خدمة عملاء توصيل إضافيين ، وحتى تحميل حمولات متنوعة.

يحتوي WinorDLL64 على تداخل في بيئة التطوير والسلوك والرمز مع العديد من عينات Lazarus ، مما يشير إلى أنه قد يكون أداة من الترسانة الواسعة لمجموعة APT المحاذية لكوريا الشمالية.

شركات النفط العالمية

تقنيات MITER ATT & CK

تم بناء هذا الجدول باستخدام إصدار 12 من إطار ATT & CK. لا نذكر التقنيات من اللودر مرة أخرى ، فقط الحمولة الصافية.

• محتوى مدعوم من تحسين محركات البحث وتوزيع العلاقات العامة. تضخيم اليوم.
• بلاتوبلوكشين. Web3 Metaverse Intelligence. تضخيم المعرفة. الوصول هنا.
• المصدر https://www.welivesecurity.com/2023/02/23/winordll64-backdoor-vast-lazarus-arsenal/