WinorDLL64: דלת אחורית מארסנל לזרוס העצום?

חוקרי ESET גילו את אחד המטענים של הורדת Wslink שגילינו עוד בשנת 2021. קראנו למטען הזה WinorDLL64 על סמך שם הקובץ שלו WinorDLL64.dll. Wslink, בעל שם הקובץ WinorLoaderDLL64.dll, הוא טוען לקבצים בינאריים של Windows, שבניגוד למעמיסים אחרים, פועל כשרת ומפעיל מודולים שהתקבלו בזיכרון. כפי שהניסוח מרמז, מטעין משמש ככלי לטעינת מטען, או את התוכנה הזדונית בפועל, על המערכת שכבר נפגעה. וקטור הפשרה הראשוני של Wslink לא זוהה.

מטען Wslink הלא ידוע בתחילה הועלה ל-VirusTotal מדרום קוריאה זמן קצר לאחר פרסום הפוסט בבלוג שלנו, ופגע באחד מכללי ה-YARA שלנו המבוססים על השם הייחודי של Wslink WinorDLL64. לגבי Wslink, הטלמטריה של ESET ראתה רק מספר זיהויים - במרכז אירופה, צפון אמריקה והמזרח התיכון.

אל האני WinorDLL64 מטען משמש כדלת אחורית אשר רוכשת בעיקר מידע מערכת נרחב, מספקת אמצעים למניפולציה של קבצים, כגון חילוץ, החלפה והסרה של קבצים, ומבצעת פקודות נוספות. מעניין לציין שהוא מתקשר דרך חיבור שכבר נוצר על ידי מטעין Wslink.

בשנת 2021, לא מצאנו שום נתונים המצביעים על כך ש-Wslink הוא כלי של שחקן איום ידוע. עם זאת, לאחר ניתוח מקיף של המטען, ייחסנו WinorDLL64 לקבוצת Lazarus APT עם ביטחון נמוך בהתבסס על אזור היעד וחפיפה הן בהתנהגות והן בקוד עם דגימות לזרוס ידועות.

פעילה לפחות משנת 2009, הקבוצה הידועה לשמצה זו, המתושרת לצפון קוריאה, אחראית לתקריות בעלות פרופיל גבוה כגון פריצת Sony Pictures Entertainment ועשרות מיליוני דולרים שודדי סייבר ב-2016, ה WannaCryptor התפרצות (המכונה גם WannaCry) בשנת 2017, והיסטוריה ארוכה של התקפות משבשות נגד תשתית ציבורית וקריטית בדרום קוריאה מאז 2011 לפחות. US-CERT וה-FBI קוראים לקבוצה הזו קברה הסתרה.

מבוסס על שלנו ידע נרחב מתוך הפעילויות והפעולות של קבוצה זו, אנו מאמינים כי לזרוס מורכב מצוות גדול המאורגן בצורה שיטתית, ערוך היטב ומורכב ממספר תת-קבוצות המשתמשות בערכת כלים גדולה. בשנה שעברה, אנחנו גילה כלי לזרוס שניצלו את CVE-2021-21551 פגיעות להתמקד בעובד של חברת תעופה וחלל בהולנד, ועיתונאי פוליטי בבלגיה. זה היה ההתעללות המתועדת הראשונה בפגיעות; בשילוב, הכלי והפגיעות הובילו לסנוור הניטור של כל פתרונות האבטחה במכונות שנפגעו. סיפקנו גם תיאור נרחב של מבנה המכונה הוירטואלית משמש בדוגמאות של Wslink.

פוסט זה בבלוג מסביר את הייחוס של WinorDLL64 ללזרוס ומספק ניתוח של המטען.

קישורים ללזרוס

גילינו חפיפות הן בהתנהגות והן בקוד עם דוגמאות של לזרוס מבצע סוד רפאים ו שתל Bankshot מתואר על ידי מקאפי. התיאור של השתלים במאמרי GhostSecret וגם ב-Bankshot מכיל חפיפות בפונקציונליות עם WinorDLL64 ומצאנו חפיפת קוד מסוימת בדגימות. בפוסט זה בבלוג נשתמש רק ב- FE887FCAB66D7D7F79F05E0266C0649F0114BA7C דוגמה מ-GhostSecret להשוואה מול WinorDLL64 (1BA443FDE984CEE85EBD4D4FA7EB1263A6F1257F), אלא אם צוין אחרת.

הפרטים הבאים מסכמים את העובדות התומכות בייחוס הביטחון הנמוך שלנו לזרוס:

1. ויקטימולוגיה

• חוקרים עמיתים מ- AhnLab אישרו קורבנות דרום קוריאנים של Wslink בטלמטריה שלהם, שהיא אינדיקטור רלוונטי בהתחשב במטרות לזרוס המסורתיות ושצפינו רק בכמה פגיעות.

איור 1. דווח על קורבן דרום קוריאני, כאשר mstoned7 הוא החוקר מ- Ahnlab

2. תוכנות זדוניות

• המדגם האחרון של GhostSecret שדווח על ידי McAfee (FE887FCAB66D7D7F79F05E0266C0649F0114BA7C) הוא מפברואר 2018; ראינו את המדגם הראשון של Wslink בסוף 2018 וחוקרים עמיתים דיווחו על להיטים באוגוסט 2018, אותם חשפו לאחר הפרסום שלנו. לפיכך, דגימות אלו נצפו בפרק זמן קצר יחסית בנפרד.
• אל האני כותרות עשירות ב-PE מצביעים על כך שאותה סביבת פיתוח ופרויקטים בגודל דומה שימשו בכמה דגימות ידועות אחרות של לזרוס (למשל, 70DE783E5D48C6FBB576BC494BAF0634BC304FD6; 8EC9219303953396E1CB7105CDB18ED6C568E962). מצאנו חפיפה זו באמצעות הכללים הבאים המכסים רק את הדגימות הללו של Wslink ו-Lazarus, שהוא אינדיקטור עם משקל נמוך. בדקנו אותם הציד הרטרו של VirusTotal וקורפוס הקבצים הפנימי שלנו.

rich_signature.length == 80 ו
pe.rich_signature.toolid(175, 30319) == 7 ו
pe.rich_signature.toolid(155, 30319) == 1 ו
pe.rich_signature.toolid(158, 30319) == 10 ו
pe.rich_signature.toolid(170, 30319) >= 90 ו
pe.rich_signature.toolid(170, 30319) <= 108

ניתן לתרגם את הכלל הזה לסימון הבא שהוא קריא יותר ומשמש את VirusTotal, שבו אפשר לראות את גרסת המוצר ומזהה ה-build (VS2010 build 30319), מספר וסוג קובצי המקור/אובייקט בשימוש ([LTCG C++] כאשר LTCG מייצג יצירת קוד זמן קישור, [ASM], [ג]), ומספר היצוא ([EXP]) בכלל:

[LTCG C++] VS2010 build 30319 count=7
[EXP] VS2010 build 30319 count=1
[ASM] VS2010 build 30319 count=10
[ C ] VS2010 build 30319 ספירה ב [ 90 .. 108 ]

• המאמר של GhostSecret תיאר "רכיב ייחודי לאיסוף נתונים והתקנת שתלים שמאזין ביציאה 443 לחיבורי שרת בקרה נכנסים" שפעל בנוסף כשירות. זהו תיאור מדויק של התנהגות הורדת Wslink, מלבד מספר היציאה, שיכול להשתנות בהתאם לתצורה. לסיכום, למרות שהיישום שונה, שניהם משרתים את אותה מטרה.
• הטוען מוירטטאלי על ידי קוד וירטואליזר של Oreans, שהוא מגן מסחרי שנמצא בשימוש בתדירות גבוהה על ידי לזרוס.
• המעמיס משתמש ב- MemoryModule ספריה לטעינת מודולים ישירות מהזיכרון. הספרייה אינה נמצאת בשימוש נפוץ על ידי תוכנות זדוניות, אך היא פופולרית למדי בקרב קבוצות המתואמות לצפון קוריאה כגון לזרוס וקימסוקי.
• חפיפה בקוד בין WinorDLL64 ל-GhostSecret שמצאנו במהלך הניתוח שלנו. התוצאות והמשמעות בייחוס מופיעות בטבלה 1.

טבלה 1. קווי דמיון בין WinorDLL64 ל-GhostSecret ומשמעותם בייחוס שניהם לאותו שחקן איום

חפיפת קוד בפונקציונליות שליחת הקבצים מודגשת באיור 2 ובאיור 3.

איור 2. GhostSecret שולח קובץ

איור 3. Wslink שולח קובץ

ניתוח טכני

WinorDLL64 משמש כדלת אחורית שרוכשת בעיקר מידע מערכת נרחב, מספקת אמצעים למניפולציה של קבצים ומבצעת פקודות נוספות. מעניין שהוא מתקשר דרך חיבור TCP שכבר הוקם על ידי המטען שלו ומשתמש בחלק מהפונקציות של המטען.

איור 4. הדמיה של התקשורת של Wslink

הדלת האחורית היא DLL עם ייצוא בודד ללא שם שמקבל פרמטר אחד - מבנה לתקשורת שכבר תואר ב עמוד הבלוג הקודם. המבנה מכיל TLS-context - שקע, מפתח, IV - והתקשרויות לשליחה וקבלה של הודעות מוצפנות עם 256 סיביות AES-CBC המאפשרות ל-WinorDLL64 להחליף נתונים בצורה מאובטחת עם המפעיל דרך חיבור שכבר נוצר.

העובדות הבאות מובילות אותנו להאמין בביטחון רב שהספרייה היא אכן חלק מ-Wslink:

• המבנה הייחודי משמש בכל מקום באופן המצופה, למשל, הקשר TLS ופרמטרים משמעותיים אחרים מסופקים בסדר הצפוי להתקשרות הנכונות.
• השם של ה-DLL הוא WinorDLL64.dll ושמו של וסלינק היה WinorLoaderDLL64.dll.

WinorDLL64 מקבל מספר פקודות. איור 5 מציג את הלולאה שמקבלת ומטפלת בפקודות. כל פקודה קשורה למזהה ייחודי ומקבלת תצורה המכילה פרמטרים נוספים.

איור 5. החלק העיקרי של לולאת קבלת הפקודה של הדלת האחורית

רשימת הפקודות, עם התוויות שלנו, נמצאת באיור 6.

איור 6. רשימת הפקודות

טבלה 2 מכילה סיכום של פקודות WinorDLL64, כאשר קטגוריות ששונות וקטגוריות ישנות מתייחסות לקשר לפונקציונליות GhostSecret שתועדה בעבר. אנו מדגישים רק שינויים משמעותיים בקטגוריה ששונתה.

טבלה 2. סקירה כללית של פקודות דלת אחורית

סיכום

המטען של Wslink מוקדש לספק אמצעים למניפולציה של קבצים, ביצוע קוד נוסף וקבלת מידע נרחב על המערכת הבסיסית שאולי ניתן למנף מאוחר יותר לתנועה לרוחב, עקב עניין ספציפי בהפעלות רשת. מטעין Wslink מאזין לפורט שצוין בתצורה ויכול לשרת לקוחות מתחברים נוספים, ואף לטעון מטענים שונים.

WinorDLL64 מכיל חפיפה בסביבת הפיתוח, ההתנהגות והקוד עם מספר דוגמאות של Lazarus, מה שמצביע על כך שהוא עשוי להיות כלי מהארסנל העצום של קבוצת APT המיושרת לצפון קוריאה.

IoCs

טכניקות MITER ATT & CK

שולחן זה נבנה באמצעות גרסה 12 של מסגרת ATT&CK. אנחנו לא מזכירים שוב טכניקות מהמעמיס, רק את המטען.

• הפצת תוכן ויחסי ציבור מופעל על ידי SEO. קבל הגברה היום.
• Platoblockchain. Web3 Metaverse Intelligence. ידע מוגבר. גישה כאן.
• מקור: https://www.welivesecurity.com/2023/02/23/winordll64-backdoor-vast-lazarus-arsenal/