WinorDLL64: En bagdør fra det enorme Lazarus-arsenal?

ESET-forskere har opdaget en af ​​nyttelasterne af Wslink downloader som vi afslørede tilbage i 2021. Vi navngav denne nyttelast WinorDLL64 baseret på dens filnavn WinorDLL64.dll. Wslink, som havde filnavnet WinorLoaderDLL64.dll, er en indlæser til Windows-binære filer, der i modsætning til andre sådanne indlæsere kører som en server og eksekverer modtagne moduler i hukommelsen. Som ordlyden antyder, tjener en loader som et værktøj til at indlæse en nyttelast eller den faktiske malware på det allerede kompromitterede system. Den indledende Wslink-kompromisvektor er ikke blevet identificeret.

Den oprindeligt ukendte Wslink-nyttelast blev uploadet til VirusTotal fra Sydkorea kort efter offentliggørelsen af ​​vores blogindlæg og ramte en af ​​vores YARA-regler baseret på Wslinks unikke navn WinorDLL64. Med hensyn til Wslink har ESET-telemetri kun set få registreringer – i Centraleuropa, Nordamerika og Mellemøsten.

WinorDLL64 nyttelast fungerer som en bagdør, der især henter omfattende systeminformation, giver midler til filmanipulation, såsom eksfiltrering, overskrivning og fjernelse af filer, og udfører yderligere kommandoer. Interessant nok kommunikerer den over en forbindelse, der allerede var etableret af Wslink-indlæseren.

I 2021 fandt vi ingen data, der tyder på, at Wslink er et værktøj fra en kendt trusselsaktør. Men efter en omfattende analyse af nyttelasten har vi tilskrevet WinorDLL64 til Lazarus APT-gruppen med lav tillid baseret på den målrettede region og et overlap i både adfærd og kode med kendte Lazarus-prøver.

Aktiv siden mindst 2009, denne berygtede nord-korea-tilpassede gruppe er ansvarlig for højt profilerede hændelser som f.eks. Hack til Sony Pictures Entertainment og titusindvis af millioner-dollar cyberheister i 2016, WannaCryptor (aka WannaCry) udbrud i 2017 og en lang historie med forstyrrende angreb mod Sydkoreansk offentlig og kritisk infrastruktur siden mindst 2011. US-CERT og FBI kalder denne gruppe SKJULT COBRA.

Baseret på vores omfattende viden af denne gruppes aktiviteter og drift, mener vi, at Lazarus består af et stort team, der er systematisk organiseret, velforberedt og består af flere undergrupper, der anvender et stort værktøjssæt. Sidste år, vi opdagede et Lazarus-værktøj der udnyttede CVE-2021-21551 sårbarhed over for en ansat i en luftfartsvirksomhed i Holland og en politisk journalist i Belgien. Det var det første registrerede misbrug af sårbarheden; i kombination førte værktøjet og sårbarheden til, at overvågningen af ​​alle sikkerhedsløsninger på kompromitterede maskiner blev blændet. Vi har også givet en omfattende beskrivelse af strukturen af ​​den virtuelle maskine brugt i prøver af Wslink.

Dette blogindlæg forklarer tilskrivningen af ​​WinorDLL64 til Lazarus og giver en analyse af nyttelasten.

Links til Lazarus

Vi har opdaget overlapninger i både adfærd og kode med Lazarus-eksempler fra Operation GhostSecret og Bankshot implantat beskrevet af McAfee. Beskrivelsen af ​​implantaterne i både GhostSecret- og Bankshot-artikler indeholder overlapninger i funktionaliteten med WinorDLL64, og vi fandt en vis kodeoverlapning i prøverne. I dette blogindlæg vil vi kun bruge FE887FCAB66D7D7F79F05E0266C0649F0114BA7C prøve fra GhostSecret til sammenligning med WinorDLL64 (1BA443FDE984CEE85EBD4D4FA7EB1263A6F1257F), medmindre andet er angivet.

Følgende detaljer opsummerer de understøttende fakta for vores ringe tillid til Lazarus:

1. Viktimologi

• Medforskere fra AhnLab bekræftede sydkoreanske ofre for Wslink i deres telemetri, hvilket er en relevant indikator i betragtning af de traditionelle Lazarus-mål, og at vi kun har observeret få hits.

Figur 1. Rapporteret sydkoreansk offer, hvor mstoned7 er forskeren fra Ahnlab

2. Malware

• Den seneste GhostSecret-prøve rapporteret af McAfee (FE887FCAB66D7D7F79F05E0266C0649F0114BA7C) er fra februar 2018; vi så den første prøve af Wslink i slutningen af ​​2018, og andre forskere rapporterede hits i august 2018, som de afslørede efter vores offentliggørelse. Derfor blev disse prøver set med relativt kort tid fra hinanden.
• PE rige overskrifter indikerer, at det samme udviklingsmiljø og projekter af lignende størrelse blev brugt i flere andre kendte Lazarus-prøver (f.eks. 70DE783E5D48C6FBB576BC494BAF0634BC304FD6; 8EC9219303953396E1CB7105CDB18ED6C568E962). Vi fandt dette overlap ved hjælp af følgende regler, der kun dækker disse Wslink- og Lazarus-prøver, hvilket er en indikator med lav vægt. Vi testede dem på VirusTotals retrojagt og vores interne filkorpus.

rich_signature.length == 80 og
pe.rich_signature.toolid(175, 30319) == 7 og
pe.rich_signature.toolid(155, 30319) == 1 og
pe.rich_signature.toolid(158, 30319) == 10 og
pe.rich_signature.toolid(170, 30319) >= 90 og
pe.rich_signature.toolid(170, 30319) <= 108

Denne regel kan oversættes til følgende notation, der er mere læsbar og brugt af VirusTotal, hvor man kan se produktversionen og build-id'et (VS2010 build 30319), antal og type af anvendte kilde-/objektfiler ([LTCG C++] hvor LTCG står for Link Time Code Generation, [ASM], [C]), og antal eksporter ([EXP]) i reglen:

[LTCG C++] VS2010 build 30319 count=7
[EXP] VS2010 build 30319 count=1
[ASM] VS2010 build 30319 count=10
[ C ] VS2010 build 30319 tæller i [ 90 .. 108 ]

• GhostSecret-artiklen beskrev "en unik dataindsamlings- og implantatinstallationskomponent, der lytter på port 443 for indgående kontrolserverforbindelser", der desuden kørte som en tjeneste. Dette er en nøjagtig beskrivelse af Wslink-downloaderens adfærd, bortset fra portnummeret, som kan variere baseret på konfigurationen. For at opsummere, selvom implementeringen er forskellig, tjener begge det samme formål.
• Indlæseren er virtualiseret af Oreans' Code Virtualizer, som er en kommerciel beskytter, der bruges hyppigt af Lazarus.
• Læsseren bruger Hukommelsesmodul bibliotek til at indlæse moduler direkte fra hukommelsen. Biblioteket er ikke almindeligt brugt af malware, men det er ret populært blandt nordkoreanske grupper som Lazarus og Kimsuky.
• Overlap i koden mellem WinorDLL64 og GhostSecret, som vi fandt under vores analyse. Resultaterne og betydningen af ​​tilskrivning er angivet i tabel 1.

Tabel 1. Ligheder mellem WinorDLL64 og GhostSecret og deres betydning ved at tilskrive begge den samme trusselsaktør

Kodeoverlapning i filafsendelsesfunktionen er fremhævet i figur 2 og figur 3.

Figur 2. GhostSecret sender en fil

Figur 3. Wslink sender en fil

Teknisk analyse

WinorDLL64 fungerer som en bagdør, der især indhenter omfattende systeminformation, giver midler til filmanipulation og udfører yderligere kommandoer. Interessant nok kommunikerer den over en TCP-forbindelse, der allerede var etableret af dens loader og bruger nogle af loaderens funktioner.

Figur 4. Visualisering af Wslinks kommunikation

Bagdøren er en DLL med en enkelt unavngiven eksport, der accepterer én parameter – en kommunikationsstruktur, der allerede var beskrevet i vores tidligere blogindlæg. Strukturen indeholder en TLS-kontekst – socket, nøgle, IV – og tilbagekald til afsendelse og modtagelse af beskeder krypteret med 256-bit AES-CBC, der gør WinorDLL64 i stand til at udveksle data sikkert med operatøren over en allerede etableret forbindelse.

Følgende fakta får os til at tro med stor tillid til, at biblioteket faktisk er en del af Wslink:

• Den unikke struktur bruges overalt på den forventede måde, f.eks. leveres TLS-konteksten og andre meningsfulde parametre i den forventede rækkefølge til de korrekte tilbagekald.
• Navnet på DLL'en er WinorDLL64.dll og Wslinks navn var WinorLoaderDLL64.dll.

WinorDLL64 accepterer flere kommandoer. Figur 5 viser løkken, der modtager og håndterer kommandoer. Hver kommando er bundet til et unikt ID og accepterer en konfiguration, der indeholder yderligere parametre.

Figur 5. Hoveddelen af ​​bagdørens kommando-modtagesløjfe

Kommandolisten med vores etiketter er i figur 6.

Figur 6. Kommandolisten

Tabel 2 indeholder en oversigt over WinorDLL64-kommandoerne, hvor modificerede og gamle kategorier refererer til forholdet til den tidligere dokumenterede GhostSecret-funktionalitet. Vi fremhæver kun væsentlige ændringer i den ændrede kategori.

Tabel 2. Oversigt over bagdørskommandoer

Konklusion

Wslinks nyttelast er dedikeret til at give midler til filmanipulation, eksekvering af yderligere kode og indhentning af omfattende information om det underliggende system, som muligvis kan udnyttes senere til lateral bevægelse på grund af specifik interesse for netværkssessioner. Wslink-indlæseren lytter på en port specificeret i konfigurationen og kan betjene yderligere tilslutningsklienter og endda indlæse forskellige nyttelaster.

WinorDLL64 indeholder et overlap i udviklingsmiljøet, adfærden og koden med adskillige Lazarus-eksempler, hvilket indikerer, at det kan være et værktøj fra det store arsenal af denne nordkoreanske APT-gruppe.

IoC'er

MITRE ATT&CK teknikker

Dette bord er bygget vha udgave 12 af ATT&CK-rammerne. Vi nævner ikke teknikker fra læsseren igen, kun nyttelasten.

• SEO Powered Content & PR Distribution. Bliv forstærket i dag.
• Platoblokkæde. Web3 Metaverse Intelligence. Viden forstærket. Adgang her.
• Kilde: https://www.welivesecurity.com/2023/02/23/winordll64-backdoor-vast-lazarus-arsenal/