WinorDLL64: En bakdør fra det enorme Lazarus-arsenalet?

ESET-forskere har oppdaget en av nyttelastene til Wslink-nedlaster som vi avdekket tilbake i 2021. Vi kalte denne nyttelasten WinorDLL64 basert på filnavnet WinorDLL64.dll. Wslink, som hadde filnavnet WinorLoaderDLL64.dll, er en laster for Windows-binærfiler som, i motsetning til andre slike lastere, kjører som en server og kjører mottatte moduler i minnet. Som ordlyden antyder, fungerer en laster som et verktøy for å laste en nyttelast, eller den faktiske skadelige programvaren, på det allerede kompromitterte systemet. Den første Wslink-kompromissvektoren er ikke identifisert.

Den opprinnelig ukjente Wslink-nyttelasten ble lastet opp til VirusTotal fra Sør-Korea kort tid etter publiseringen av blogginnlegget vårt, og traff en av YARA-reglene våre basert på Wslinks unike navn WinorDLL64. Når det gjelder Wslink, har ESET-telemetri bare sett noen få deteksjoner – i Sentral-Europa, Nord-Amerika og Midtøsten.

De WinorDLL64 nyttelast fungerer som en bakdør som spesielt henter inn omfattende systeminformasjon, gir midler for filmanipulering, som eksfiltrering, overskriving og fjerning av filer, og utfører ytterligere kommandoer. Interessant nok kommuniserer den over en forbindelse som allerede var etablert av Wslink-lasteren.

I 2021 fant vi ingen data som tyder på at Wslink er et verktøy fra en kjent trusselaktør. Etter en omfattende analyse av nyttelasten har vi imidlertid tilskrevet WinorDLL64 til Lazarus APT-gruppen med lav selvtillit basert på målregionen og en overlapping i både atferd og kode med kjente Lazarus-prøver.

Denne beryktede Nord-Korea-tilpassede gruppen har vært aktiv siden minst 2009 og er ansvarlig for høyprofilerte hendelser som både Sony Pictures Entertainment hack og titalls millioner dollar cyberheister i 2016den WannaCryptor (aka WannaCry) utbrudd i 2017, og en lang historie med forstyrrende angrep mot Sørkoreansk offentlig og kritisk infrastruktur siden minst 2011. US-CERT og FBI kaller denne gruppen SKJULT KOBRA.

Basert på vår mye kunnskap av aktivitetene og driften til denne gruppen, mener vi at Lazarus består av et stort team som er systematisk organisert, godt forberedt og består av flere undergrupper som bruker et stort verktøysett. I fjor, vi oppdaget et Lasarus-verktøy som utnyttet CVE-2021-21551 sårbarhet for å målrette en ansatt i et luftfartsselskap i Nederland, og en politisk journalist i Belgia. Det var det første registrerte misbruket av sårbarheten; i kombinasjon førte verktøyet og sårbarheten til at overvåkingen av alle sikkerhetsløsninger på kompromitterte maskiner ble blendet. Vi ga også en omfattende beskrivelse av strukturen til den virtuelle maskinen brukt i prøver av Wslink.

Dette blogginnlegget forklarer tilskrivningen av WinorDLL64 til Lazarus og gir en analyse av nyttelasten.

Lenker til Lasarus

Vi har oppdaget overlapp i både atferd og kode med Lazarus-eksempler fra Operasjon GhostSecret og Bankshot implantat beskrevet av McAfee. Beskrivelsen av implantatene i både GhostSecret- og Bankshot-artikler inneholder overlapp i funksjonaliteten med WinorDLL64 og vi fant noe kodeoverlapping i prøvene. I dette blogginnlegget vil vi kun bruke FE887FCAB66D7D7F79F05E0266C0649F0114BA7C prøve fra GhostSecret for sammenligning mot WinorDLL64 (1BA443FDE984CEE85EBD4D4FA7EB1263A6F1257F), med mindre annet er spesifisert.

Følgende detaljer oppsummerer støttefakta for vår lave tillit til Lasarus:

1. Viktimologi

• Medforskere fra AhnLab bekreftet sørkoreanske ofre for Wslink i deres telemetri, som er en relevant indikator med tanke på de tradisjonelle Lazarus-målene og at vi kun har observert noen få treff.

Figur 1. Rapportert sørkoreansk offer, der mstoned7 er forskeren fra Ahnlab

2. malware

• Den siste GhostSecret-prøven rapportert av McAfee (FE887FCAB66D7D7F79F05E0266C0649F0114BA7C) er fra februar 2018; vi så den første prøven av Wslink i slutten av 2018, og andre forskere rapporterte treff i august 2018, som de avslørte etter publiseringen vår. Derfor ble disse prøvene oppdaget med relativt kort tid fra hverandre.
• De PE rike overskrifter indikerer at det samme utviklingsmiljøet og prosjekter av lignende størrelse ble brukt i flere andre kjente Lazarus-prøver (f.eks. 70DE783E5D48C6FBB576BC494BAF0634BC304FD6; 8EC9219303953396E1CB7105CDB18ED6C568E962). Vi fant denne overlappingen ved å bruke følgende regler som kun dekker disse Wslink- og Lazarus-prøvene, som er en indikator med lav vekt. Vi testet dem på VirusTotals retrojakt og vårt interne filkorpus.

rich_signature.length == 80 og
pe.rich_signature.toolid(175, 30319) == 7 og
pe.rich_signature.toolid(155, 30319) == 1 og
pe.rich_signature.toolid(158, 30319) == 10 og
pe.rich_signature.toolid(170, 30319) >= 90 og
pe.rich_signature.toolid(170, 30319) <= 108

Denne regelen kan oversettes til følgende notasjon som er mer lesbar og brukt av VirusTotal, hvor man kan se produktversjonen og bygge-IDen (VS2010 bygg 30319), antall og type kilde/objektfiler som er brukt ([LTCG C++] der LTCG står for Link Time Code Generation, [ASM], [C]), og antall eksporter ([EXP]) i regelen:

[LTCG C++] VS2010 build 30319 count=7
[EXP] VS2010 build 30319 count=1
[ASM] VS2010 build 30319 count=10
[ C ] VS2010 bygge 30319 teller i [ 90 .. 108 ]

• GhostSecret-artikkelen beskrev "en unik datainnsamlings- og implantasjonsinstallasjonskomponent som lytter på port 443 for innkommende kontrollserverforbindelser" som i tillegg kjørte som en tjeneste. Dette er en nøyaktig beskrivelse av Wslink-nedlasterens atferd, bortsett fra portnummeret, som kan variere basert på konfigurasjonen. For å oppsummere, selv om implementeringen er forskjellig, tjener begge samme formål.
• Lasteren er virtualisert av Oreans' Code Virtualizer, som er en kommersiell beskytter som brukes ofte av Lasarus.
• Lasteren bruker Minnemodul bibliotek for å laste moduler direkte fra minnet. Biblioteket brukes ikke ofte av skadelig programvare, men det er ganske populært blant Nord-Korea-justerte grupper som Lazarus og Kimsuky.
• Overlapp i koden mellom WinorDLL64 og GhostSecret som vi fant under vår analyse. Resultatene og betydningen i attribusjon er oppført i tabell 1.

Tabell 1. Likheter mellom WinorDLL64 og GhostSecret og deres betydning for å tilskrive begge til samme trusselaktør

Kodeoverlapping i filsendingsfunksjonaliteten er uthevet i figur 2 og figur 3.

Figur 2. GhostSecret sender en fil

Figur 3. Wslink sender en fil

Teknisk analyse

WinorDLL64 fungerer som en bakdør som mest bemerkelsesverdig innhenter omfattende systeminformasjon, gir midler for filmanipulering og utfører tilleggskommandoer. Interessant nok kommuniserer den over en TCP-forbindelse som allerede var etablert av lasteren og bruker noen av lasterens funksjoner.

Figur 4. Visualisering av Wslinks kommunikasjon

Bakdøren er en DLL med en enkelt navngitt eksport som godtar én parameter – en struktur for kommunikasjon som allerede var beskrevet i vår forrige blogginnlegg. Strukturen inneholder en TLS-kontekst – socket, nøkkel, IV – og tilbakeringinger for å sende og motta meldinger kryptert med 256-bit AES-CBC som gjør at WinorDLL64 kan utveksle data sikkert med operatøren over en allerede etablert tilkobling.

Følgende fakta får oss til å tro med stor tillit at biblioteket faktisk er en del av Wslink:

• Den unike strukturen brukes overalt på den forventede måten, f.eks. leveres TLS-konteksten og andre meningsfulle parametere i forventet rekkefølge til riktig tilbakeringing.
• Navnet på DLL-en er WinorDLL64.dll og Wslinks navn var WinorLoaderDLL64.dll.

WinorDLL64 godtar flere kommandoer. Figur 5 viser løkken som mottar og håndterer kommandoer. Hver kommando er bundet til en unik ID og godtar en konfigurasjon som inneholder flere parametere.

Figur 5. Hoveddelen av bakdørens kommando-mottaksløkke

Kommandolisten, med våre etiketter, er i figur 6.

Figur 6. Kommandolisten

Tabell 2 inneholder et sammendrag av WinorDLL64-kommandoene, der modifiserte og gamle kategorier refererer til forholdet til den tidligere dokumenterte GhostSecret-funksjonaliteten. Vi fremhever kun vesentlige endringer i den modifiserte kategorien.

Tabell 2. Oversikt over bakdørskommandoer

konklusjonen

Wslinks nyttelast er dedikert til å gi midler for filmanipulering, utførelse av ytterligere kode og innhenting av omfattende informasjon om det underliggende systemet som muligens kan utnyttes senere for sideveis bevegelse, på grunn av spesifikk interesse for nettverksøkter. Wslink-lasteren lytter på en port spesifisert i konfigurasjonen og kan betjene flere tilkoblingsklienter, og til og med laste ulike nyttelaster.

WinorDLL64 inneholder en overlapping i utviklingsmiljøet, atferden og koden med flere Lazarus-eksempler, noe som indikerer at det kan være et verktøy fra det enorme arsenalet til denne Nord-Korea-justerte APT-gruppen.

IoCs

MITRE ATT&CK-teknikker

Dette bordet ble bygget vha versjon 12 av ATT&CK-rammeverket. Vi nevner ikke teknikker fra lasteren igjen, kun nyttelasten.

• SEO-drevet innhold og PR-distribusjon. Bli forsterket i dag.
• Platoblokkkjede. Web3 Metaverse Intelligence. Kunnskap forsterket. Tilgang her.
• kilde: https://www.welivesecurity.com/2023/02/23/winordll64-backdoor-vast-lazarus-arsenal/