WinorDLL64: Μια κερκόπορτα από το τεράστιο οπλοστάσιο του Lazarus;

Οι ερευνητές της ESET ανακάλυψαν ένα από τα ωφέλιμα φορτία του Πρόγραμμα λήψης Wslink που ανακαλύψαμε το 2021. Ονομάσαμε αυτό το ωφέλιμο φορτίο WinorDLL64 με βάση το όνομα του αρχείου του WinorDLL64.dll. Wslink, που είχε το όνομα αρχείου WinorLoaderDLL64.dll, είναι ένα πρόγραμμα φόρτωσης για δυαδικά αρχεία των Windows που, σε αντίθεση με άλλα τέτοια προγράμματα φόρτωσης, εκτελείται ως διακομιστής και εκτελεί λαμβανόμενες μονάδες στη μνήμη. Όπως υποδηλώνει η διατύπωση, ένας φορτωτής χρησιμεύει ως εργαλείο για τη φόρτωση ενός ωφέλιμου φορτίου, ή του πραγματικού κακόβουλου λογισμικού, στο ήδη παραβιασμένο σύστημα. Το αρχικό διάνυσμα συμβιβασμού Wslink δεν έχει εντοπιστεί.

Το αρχικά άγνωστο ωφέλιμο φορτίο Wslink μεταφορτώθηκε στο VirusTotal από τη Νότια Κορέα λίγο μετά τη δημοσίευση της ανάρτησής μας στο ιστολόγιο και χτύπησε έναν από τους κανόνες YARA με βάση το μοναδικό όνομα του Wslink WinorDLL64. Όσον αφορά το Wslink, η τηλεμετρία ESET έχει δει μόνο λίγες ανιχνεύσεις – στην Κεντρική Ευρώπη, τη Βόρεια Αμερική και τη Μέση Ανατολή.

Η WinorDLL64 Το ωφέλιμο φορτίο χρησιμεύει ως backdoor που κυρίως αποκτά εκτενείς πληροφορίες συστήματος, παρέχει μέσα για χειρισμό αρχείων, όπως εξαγωγή, αντικατάσταση και αφαίρεση αρχείων και εκτελεί πρόσθετες εντολές. Είναι ενδιαφέρον ότι επικοινωνεί μέσω μιας σύνδεσης που είχε ήδη δημιουργηθεί από τον φορτωτή Wslink.

Το 2021, δεν βρήκαμε δεδομένα που να υποδηλώνουν ότι το Wslink είναι ένα εργαλείο από έναν γνωστό παράγοντα απειλής. Ωστόσο, μετά από εκτενή ανάλυση του ωφέλιμου φορτίου, έχουμε αποδώσει WinorDLL64 στην ομάδα Lazarus APT με χαμηλή εμπιστοσύνη βάσει της στοχευόμενης περιοχής και επικάλυψη τόσο στη συμπεριφορά όσο και στον κώδικα με γνωστά δείγματα Lazarus.

Ενεργός τουλάχιστον από το 2009, αυτή η διαβόητη ομάδα ευθυγραμμισμένη με τη Βόρεια Κορέα είναι υπεύθυνη για περιστατικά υψηλού προφίλ, όπως Hack της Sony Pictures Entertainment και δεκάδες εκατομμύρια δολάρια cyberheists το 2016, τη WannaCryptor (γνωστός και ως WannaCry) ξέσπασμα το 2017 και μια μακρά ιστορία αποτρεπτικών επιθέσεων εναντίον Δημόσια και ζωτικής σημασίας υποδομές της Νότιας Κορέας τουλάχιστον από το 2011. Η US-CERT και το FBI καλούν αυτήν την ομάδα ΚΡΥΦΗ ΚΟΜΠΡΑ.

Με βάση το δικό μας εκτεταμένη γνώση Από τις δραστηριότητες και τις λειτουργίες αυτής της ομάδας, πιστεύουμε ότι η Lazarus αποτελείται από μια μεγάλη ομάδα που είναι συστηματικά οργανωμένη, καλά προετοιμασμένη και αποτελείται από πολλές υποομάδες που χρησιμοποιούν ένα μεγάλο σύνολο εργαλείων. Πέρυσι, εμείς ανακάλυψε ένα εργαλείο του Λάζαρου που εκμεταλλεύτηκε το CVE‑2021‑21551 ευπάθεια στη στόχευση υπαλλήλου αεροδιαστημικής εταιρείας στην Ολλανδία και πολιτικού δημοσιογράφου στο Βέλγιο. Ήταν η πρώτη καταγεγραμμένη κατάχρηση της ευπάθειας. Σε συνδυασμό, το εργαλείο και η ευπάθεια οδήγησαν στην τύφλωση της παρακολούθησης όλων των λύσεων ασφαλείας σε μηχανήματα που είχαν υποστεί βλάβη. Δώσαμε επίσης μια εκτενή περιγραφή του δομή της εικονικής μηχανής χρησιμοποιείται σε δείγματα του Wslink.

Αυτή η ανάρτηση ιστολογίου εξηγεί την απόδοση του WinorDLL64 στον Lazarus και παρέχει μια ανάλυση του ωφέλιμου φορτίου.

Σύνδεσμοι με τον Λάζαρο

Ανακαλύψαμε επικαλύψεις τόσο στη συμπεριφορά όσο και στον κώδικα με δείγματα Lazarus από Λειτουργία GhostSecret και την Εμφύτευμα Bankshot περιγράφεται από τον McAfee. Η περιγραφή των εμφυτευμάτων στα άρθρα GhostSecret και Bankshot περιέχει αλληλεπικαλύψεις στη λειτουργικότητα με το WinorDLL64 και βρήκαμε κάποια επικάλυψη κώδικα στα δείγματα. Σε αυτό το blogpost θα χρησιμοποιήσουμε μόνο το FE887FCAB66D7D7F79F05E0266C0649F0114BA7C δείγμα από το GhostSecret για σύγκριση με το WinorDLL64 (1BA443FDE984CEE85EBD4D4FA7EB1263A6F1257F), εκτός εάν ορίζεται διαφορετικά.

Οι ακόλουθες λεπτομέρειες συνοψίζουν τα υποστηρικτικά στοιχεία για την απόδοση χαμηλής εμπιστοσύνης στον Λάζαρο:

1. Θυματολογία

• Συνάδελφοι ερευνητές από το AhnLab επιβεβαίωσαν τα θύματα του Wslink από τη Νότια Κορέα στην τηλεμετρία τους, που είναι ένας σχετικός δείκτης λαμβάνοντας υπόψη τους παραδοσιακούς στόχους Lazarus και ότι έχουμε παρατηρήσει μόνο μερικά χτυπήματα.

Εικόνα 1. Αναφερόμενο θύμα από τη Νότια Κορέα, όπου ο mstoned7 είναι ο ερευνητής από το Ahnlab

2. Κακόβουλο λογισμικό

• Το τελευταίο δείγμα GhostSecret που αναφέρθηκε από το McAfee (FE887FCAB66D7D7F79F05E0266C0649F0114BA7C) είναι από τον Φεβρουάριο του 2018. εντοπίσαμε το πρώτο δείγμα του Wslink στα τέλη του 2018 και συνάδελφοι ερευνητές ανέφεραν επιτυχίες τον Αύγουστο του 2018, τις οποίες αποκάλυψαν μετά τη δημοσίευσή μας. Ως εκ τούτου, αυτά τα δείγματα εντοπίστηκαν με σχετικά σύντομο χρονικό διάστημα μεταξύ τους.
• Η Πλούσιες κεφαλίδες PE δείχνουν ότι το ίδιο περιβάλλον ανάπτυξης και έργα παρόμοιου μεγέθους χρησιμοποιήθηκαν σε πολλά άλλα γνωστά δείγματα Lazarus (π.χ. 70DE783E5D48C6FBB576BC494BAF0634BC304FD6; 8EC9219303953396E1CB7105CDB18ED6C568E962). Βρήκαμε αυτήν την επικάλυψη χρησιμοποιώντας τους ακόλουθους κανόνες που καλύπτουν μόνο αυτά τα δείγματα Wslink και Lazarus, που είναι ένας δείκτης με χαμηλό βάρος. Τα δοκιμάσαμε Αναδρομικό κυνήγι του VirusTotal και το εσωτερικό μας σώμα αρχείου.

rich_signature.length == 80 και
pe.rich_signature.toolid(175, 30319) == 7 και
pe.rich_signature.toolid(155, 30319) == 1 και
pe.rich_signature.toolid(158, 30319) == 10 και
pe.rich_signature.toolid(170, 30319) >= 90 και
pe.rich_signature.toolid(170, 30319) <= 108

Αυτός ο κανόνας μπορεί να μεταφραστεί στην ακόλουθη σημείωση που είναι πιο ευανάγνωστη και χρησιμοποιείται από το VirusTotal, όπου μπορεί κανείς να δει την έκδοση του προϊόντος και το αναγνωριστικό κατασκευής (VS2010 build 30319), αριθμός και τύπος αρχείων πηγής/αντικειμένου που χρησιμοποιούνται ([LTCG C++] όπου το LTCG σημαίνει Δημιουργία κωδικού χρόνου σύνδεσης, [ASM], [ C ])και αριθμός εξαγωγών ([ΛΗΞΗ]) στον κανόνα:

[LTCG C++] VS2010 build 30319 count=7
[EXP] VS2010 build 30319 count=1
[ASM] VS2010 build 30319 count=10
[ C ] VS2010 build 30319 μετρήστε στο [ 90 .. 108 ]

• Το άρθρο του GhostSecret περιέγραψε «ένα μοναδικό στοιχείο συλλογής δεδομένων και εγκατάστασης εμφυτεύματος που ακούει στη θύρα 443 για συνδέσεις διακομιστή ελέγχου εισερχόμενου» που λειτουργούσε επιπλέον ως υπηρεσία. Αυτή είναι μια ακριβής περιγραφή της συμπεριφοράς του προγράμματος λήψης Wslink, εκτός από τον αριθμό θύρας, ο οποίος μπορεί να διαφέρει ανάλογα με τη διαμόρφωση. Συνοψίζοντας, παρόλο που η υλοποίηση είναι διαφορετική, και οι δύο εξυπηρετούν τον ίδιο σκοπό.
• Ο φορτωτής είναι εικονικοποιημένος από το Oreans' Code Virtualizer, το οποίο είναι ένα εμπορικό προστατευτικό που χρησιμοποιείται συχνά από τον Λάζαρο.
• Ο φορτωτής χρησιμοποιεί το MemoryModule βιβλιοθήκη για τη φόρτωση μονάδων απευθείας από τη μνήμη. Η βιβλιοθήκη δεν χρησιμοποιείται συνήθως από κακόβουλο λογισμικό, αλλά είναι αρκετά δημοφιλής μεταξύ ομάδων ευθυγραμμισμένες με τη Βόρεια Κορέα, όπως οι Lazarus και Kimsuky.
• Επικάλυψη στον κώδικα μεταξύ WinorDLL64 και GhostSecret που βρήκαμε κατά την ανάλυσή μας. Τα αποτελέσματα και η σημασία στην απόδοση παρατίθενται στον Πίνακα 1.

Πίνακας 1. Ομοιότητες μεταξύ WinorDLL64 και GhostSecret και η σημασία τους για την απόδοση και των δύο στον ίδιο παράγοντα απειλής

Η επικάλυψη κώδικα στη λειτουργία αποστολής αρχείων επισημαίνεται στην Εικόνα 2 και στην Εικόνα 3.

Εικόνα 2. Το GhostSecret στέλνει ένα αρχείο

Εικόνα 3. Το Wslink στέλνει ένα αρχείο

Τεχνική ανάλυση

Το WinorDLL64 χρησιμεύει ως backdoor που κυρίως αποκτά εκτενείς πληροφορίες συστήματος, παρέχει μέσα για χειρισμό αρχείων και εκτελεί πρόσθετες εντολές. Είναι ενδιαφέρον ότι επικοινωνεί μέσω μιας σύνδεσης TCP που έχει ήδη δημιουργηθεί από τον φορτωτή του και χρησιμοποιεί ορισμένες από τις λειτουργίες του φορτωτή.

Εικόνα 4. Οπτικοποίηση της επικοινωνίας του Wslink

Το backdoor είναι ένα DLL με μια μοναδική εξαγωγή χωρίς όνομα που δέχεται μία παράμετρο – μια δομή επικοινωνίας που έχει ήδη περιγραφεί στο προηγούμενο ιστολόγιο. Η δομή περιέχει ένα πλαίσιο TLS – υποδοχή, κλειδί, IV – και επανακλήσεις για αποστολή και λήψη μηνυμάτων κρυπτογραφημένα με 256-bit AES-CBC που επιτρέπουν στο WinorDLL64 να ανταλλάσσει δεδομένα με ασφάλεια με τον χειριστή μέσω μιας ήδη εγκατεστημένης σύνδεσης.

Τα ακόλουθα γεγονότα μας κάνουν να πιστεύουμε με μεγάλη σιγουριά ότι η βιβλιοθήκη είναι πράγματι μέρος του Wslink:

• Η μοναδική δομή χρησιμοποιείται παντού με τον αναμενόμενο τρόπο, π.χ. το πλαίσιο TLS και άλλες σημαντικές παράμετροι παρέχονται με την αναμενόμενη σειρά στις σωστές επανακλήσεις.
• Το όνομα του DLL είναι WinorDLL64.dll και το όνομα του Wslink ήταν WinorLoaderDLL64.dll.

Το WinorDLL64 δέχεται πολλές εντολές. Το σχήμα 5 εμφανίζει τον βρόχο που λαμβάνει και χειρίζεται εντολές. Κάθε εντολή είναι δεσμευμένη σε ένα μοναδικό αναγνωριστικό και δέχεται μια διαμόρφωση που περιέχει πρόσθετες παραμέτρους.

Εικόνα 5. Το κύριο μέρος του βρόχου λήψης εντολών της κερκόπορτας

Η λίστα εντολών, με τις ετικέτες μας, βρίσκεται στην Εικόνα 6.

Εικόνα 6. Η λίστα εντολών

Ο Πίνακας 2 περιέχει μια περίληψη των εντολών WinorDLL64, όπου τροποποιήθηκαν, και οι παλιές κατηγορίες αναφέρονται στη σχέση με την προηγουμένως τεκμηριωμένη λειτουργικότητα GhostSecret. Επισημαίνουμε μόνο σημαντικές αλλαγές στην τροποποιημένη κατηγορία.

Πίνακας 2. Επισκόπηση εντολών backdoor

Συμπέρασμα

Το ωφέλιμο φορτίο του Wslink είναι αφιερωμένο στην παροχή μέσων για χειρισμό αρχείων, εκτέλεση περαιτέρω κώδικα και λήψη εκτενών πληροφοριών σχετικά με το υποκείμενο σύστημα που πιθανόν να μπορούν να αξιοποιηθούν αργότερα για πλευρική κίνηση, λόγω ειδικού ενδιαφέροντος για συνεδρίες δικτύου. Ο φορτωτής Wslink ακούει σε μια θύρα που καθορίζεται στη διαμόρφωση και μπορεί να εξυπηρετήσει πρόσθετους πελάτες σύνδεσης, ακόμη και να φορτώσει διάφορα ωφέλιμα φορτία.

Το WinorDLL64 περιέχει μια επικάλυψη στο περιβάλλον ανάπτυξης, τη συμπεριφορά και τον κώδικα με πολλά δείγματα Lazarus, γεγονός που υποδηλώνει ότι μπορεί να είναι ένα εργαλείο από το τεράστιο οπλοστάσιο αυτής της ομάδας APT ευθυγραμμισμένη με τη Βόρεια Κορέα.

IoC

Τεχνικές MITER ATT & CK

Αυτός ο πίνακας κατασκευάστηκε χρησιμοποιώντας έκδοση 12 του πλαισίου ATT&CK. Δεν αναφέρουμε ξανά τεχνικές από τον φορτωτή, μόνο το ωφέλιμο φορτίο.

• SEO Powered Content & PR Distribution. Ενισχύστε σήμερα.
• Platoblockchain. Web3 Metaverse Intelligence. Ενισχύθηκε η γνώση. Πρόσβαση εδώ.
• πηγή: https://www.welivesecurity.com/2023/02/23/winordll64-backdoor-vast-lazarus-arsenal/