Fantazija – novi brisalec Agrius, uveden z napadom na dobavno verigo

Raziskovalci družbe ESET so med analizo napada na dobavno verigo, ki je zlorabil izraelskega razvijalca programske opreme, odkrili nov brisalec in njegovo orodje za izvajanje, oba pripisana skupini Agrius APT. Skupina je znana po svojih destruktivnih operacijah.

Februarja 2022 je Agrius začel ciljati na izraelska kadrovska in IT svetovalna podjetja ter uporabnike izraelskega programskega paketa, ki se uporablja v industriji diamantov. Verjamemo, da so operaterji Agriusa izvedli napad v dobavni verigi, pri čemer so izraelskega razvijalca programske opreme zlorabili za uvedbo njihovega novega brisalca Fantasy ter novega orodja za bočno gibanje in izvedbo Fantasy Sandals.

Brisalec Fantasy je zgrajen na temeljih prej omenjenega Apostolski brisalec vendar se ne poskuša pretvarjati v izsiljevalsko programsko opremo, kot je prvotno storil Apostle. Namesto tega gre takoj za delo z brisanjem podatkov. Žrtve so opazili v Južni Afriki – kjer se je izvidovanje začelo nekaj tednov pred uporabo Fantasyja – Izraelu in Hong Kongu.

Pregled skupine

Agrius je novejši naklonjen Iranu skupina, ki cilja na žrtve v Izraelu in Združenih arabskih emiratih saj 2020. Skupina je sprva uporabila brisalec, Apostle, zamaskiran kot izsiljevalska programska oprema, kasneje pa spremenjen apostol v popolnoma razvito izsiljevalsko programsko opremo. Agrius izkorišča znane ranljivosti v aplikacijah, usmerjenih v internet, za namestitev spletnih lupin, nato izvede notranje izvidovanje, preden se premakne stransko in nato uvede svoje zlonamerne koristne obremenitve.

Pregled akcije

Na 20 februarja^th2022 v organizaciji v industriji diamantov v Južni Afriki je Agrius uporabil orodja za zbiranje poverilnic, verjetno med pripravami na to akcijo. Nato pa 12. marca^th2022 je Agrius sprožil napad brisanja z namestitvijo Fantasy in Sandals, najprej na žrtev v Južni Afriki, nato na žrtve v Izraelu in nazadnje na žrtev v Hong Kongu.

Žrtve v Izraelu vključujejo podjetje za IT podporo, veletrgovca z diamanti in kadrovsko svetovalno podjetje. Žrtve iz Južne Afrike so iz ene same organizacije v industriji diamantov, žrtev iz Hongkonga pa je draguljar.

Kampanja je trajala manj kot tri ure in v tem času so bile stranke ESET že zaščitene z zaznavami, ki so prepoznale Fantasy kot brisalec in blokirale njegovo izvajanje. Opazili smo, da je razvijalec programske opreme izrinil čiste posodobitve v nekaj urah po napadu. Obrnili smo se na razvijalca programske opreme, da bi ga obvestili o morebitnem kompromisu, vendar naša vprašanja niso odgovorila.

Priprava na odhod

Prva orodja, ki so jih operaterji Agrius uporabili v sistemih žrtev na neznan način, so bila:

• Minidump"implementacija C# funkcije mimikatz/pypykatz minidump za pridobivanje poverilnic iz izpisov LSASS"
• SecretsDump, skript Python, ki "izvaja različne tehnike za izpis zgoščenj z [a] oddaljenega stroja, ne da bi tam izvajal katerega koli agenta"
• Host2IP, prilagojeno orodje C#/.NET, ki razreši ime gostitelja v naslov IP.

Uporabniška imena, gesla in imena gostiteljev, ki jih zbirajo ta orodja, so potrebna za Sandale za uspešno širjenje in izvajanje Fantasy wiperja. Operaterji Agriusa so MiniDump in SecretsDump namestili na prvo žrtev te kampanje 20. februarja^th, 2022, vendar je čakal do 12. marca^th, 2022 za uvedbo Host2IP, Fantasy in Sandals (zaporedoma).

Sandali: Vžiganje fantazije (brisalec)

Sandals je 32-bitna izvršljiva datoteka za Windows, napisana v C#/.NET. Ime smo izbrali, ker je Sandals anagram nekaterih argumentov ukazne vrstice, ki jih sprejema. Uporablja se za povezovanje s sistemi v istem omrežju prek SMB, za pisanje paketne datoteke na disk, ki izvaja brisalec Fantasy, in nato zagon te paketne datoteke prek Psexec s tem nizom ukazne vrstice:

• PsExec.exe /accepteula -d -u “” -p “” -s “C:.bat”

Možnosti PsExec imajo naslednje pomene:

• -d – Ne čakajte, da se proces zaključi (neinteraktivno).
• /accepteula – Onemogoči prikaz pogovornega okna za licenco.
• -s – Zaženite oddaljeni proces v SISTEM račun.

Sandali ne pišejo brisalcev Fantasy v oddaljene sisteme. Verjamemo, da je brisalec Fantasy uveden prek napada v dobavni verigi z uporabo mehanizma za posodobitev programske opreme razvijalca programske opreme. Ta ocena temelji na več dejavnikih:

• vse žrtve so bile stranke prizadetega razvijalca programske opreme;
• brisalec Fantasy je bil poimenovan na podoben način kot zakonite različice programske opreme;
• vse žrtve so izvedle Fantasy wiper v časovnem okviru 2.5 ure, pri čemer so bile najprej ciljane žrtve v Južni Afriki, nato žrtve v Izraelu in nazadnje žrtve v Hongkongu (zakasnitev pri ciljanju pripisujemo razlikam v časovnem pasu in trdo kodiranemu času prijave). znotraj zakonite programske opreme); in,
• nazadnje je bil fantazijski brisalec napisan in izveden iz, %SISTEM%WindowsTemp, privzeti začasni imenik za sisteme Windows.

Poleg tega menimo, da so žrtve že uporabljale PsExec, operaterji Agriusa pa so se odločili za uporabo PsExec za mešanje s tipično administrativno dejavnostjo na strojih žrtev in za enostavno izvajanje paketne datoteke. Tabela 1 navaja argumente ukazne vrstice, ki jih sprejema Sandals.

Tabela 1. Argumenti za sandale in njihovi opisi

Paketna datoteka, ki jo Sandals zapiše na disk, je poimenovana . Bat, kjer je ime datoteke rezultat datoteke Metoda Guid.NewGuid().. Primer paketne datoteke Sandals je prikazan na sliki 2.

Slika 2. Paketna datoteka Sandals (zgoraj, rdeče) in dekodiran parameter ukazne vrstice (spodaj, modro)

Niz base64, ki sledi fantasy35.exe je verjetno relikt usmrtitvenih zahtev Apostla (več podrobnosti v Pripis Agriju razdelek). Vendar Fantasy wiper išče samo argument 411 in prezre vse ostale vnose med izvajanjem (za več informacij glejte naslednji razdelek).

Fantazijski brisalec

Brisalec Fantasy je tudi 32-bitna izvršljiva datoteka sistema Windows, napisana v C#/.NET, tako imenovana po svojih imenih datotek: fantasy45.exe in fantasy35.exe, oz. Slika 3 prikazuje potek izvajanja brisalca Fantasy.

Slika 3. Potek izvedbe fantazijskega brisalca

Na začetku Fantasy ustvari mutex, da zagotovi, da se izvaja samo en primerek. Zbere seznam fiksnih pogonov, vendar izključi pogon, kjer je %WINDOWS% imenik obstaja. Nato vstopi v zanko for, ki ponavlja čez seznam pogonov, da ustvari rekurziven seznam imenikov, in uporabi RNGCryptoServiceProvider.GetBytes metoda za ustvarjanje kriptografsko močno zaporedje naključnih vrednosti v 4096-bajtnem polju. Če je argument izvajalnega časa 411 je dobavljen brisalcu, za zanka prepiše vsebino vsake datoteke z zgoraj omenjenim nizom bajtov z uporabo ugnezdenega medtem zanka. V nasprotnem primeru, za loop samo prepiše datoteke s končnico datoteke, navedeno v Dodatku.

Fantasy nato dodeli določen časovni žig (2037-01-01 00:00:00) na te lastnosti časovnega žiga datoteke:

• CreationTime
• LastAccessTime
• LastWriteTime
• CreationTimeUtc
• SetLastAccessTimeUtc
• LastWriteTimeUtc

in nato izbriše datoteko. To se domnevno naredi zato, da bi otežili izterjavo in forenzično analizo.

Med za zanke Fantasy wiper šteje napake v trenutnem imeniku, ko poskuša prepisati datoteke. Če število napak preseže 50, zapiše paketno datoteko, %WINDOWS%Temp.bat, ki izbriše imenik z datotekami, ki povzročajo napake, in se nato samodejno izbriše. Brisanje datotek se nato nadaljuje v naslednjem imeniku na ciljnem seznamu.

Ko za se zanka zaključi, brisalec Fantasy ustvari paketno datoteko %WINDOWS%temp se imenuje register.bat. Paketna datoteka izbriše naslednje registrske ključe:

• HKCR.EXE
• HKCR.dll
• HKCR*

Nato zažene naslednje, da poskusi počistiti predpomnilnik datotečnega sistema:

• %windir%system32rundll32.exe advapi32.dll, ProcessIdleTasks

Končno, register.bat izbriše se (del %0).

Nato brisalec Fantasy počisti vse dnevnike dogodkov sistema Windows in ustvari drugo paketno datoteko, sistem.batv %WINDOWS%temp, ki rekurzivno izbriše vse datoteke na %SYSTEMDRIVE%, poskuša počistiti predpomnilnik datotečnega sistema in se samoizbriše. Nato Fantasy za dve minuti spi, preden prepiše sistemske Master Boot Record.

Fantasy nato zapiše drugo paketno datoteko, %WINDOWS%Tempremover.bat, ki brisalec Fantasy izbriše z diska in se nato izbriše. Nato Fantasy wiper 30 sekund spi, preden znova zažene sistem s kodo vzroka SHTDN_REASON_MAJOR_OTHER (0x00000000) — Druga težava.

Verjetno je to %SYSTEMDRIVE% možno je okrevanje. Opazili so, da so žrtve spet delovale v nekaj urah.

Pripis Agriju

Velik del baze kode iz Apostla, sprva brisalec, ki se je predstavljal kot izsiljevalska programska oprema, nato posodobljen v dejansko izsiljevalsko programsko opremo, je bil neposredno kopiran v Fantasy in številne druge funkcije v Fantasyju so bile le rahlo spremenjene iz Apostla, znano orodje Agrius. Vendar pa je splošna funkcionalnost Fantasyja funkcija brisalca brez kakršnih koli poskusov, da bi se pretvarjal v izsiljevalsko programsko opremo. Slika 4 prikazuje funkcije brisanja datotek v programih Fantasy in Apostle. Med izvirno funkcijo v Apostlu in implementacijo Fantasy je le nekaj majhnih popravkov.

Slika 4. Funkcije brisanja datotek iz brisalca Fantasy (zgoraj, rdeče) in izsiljevalske programske opreme Apostle (spodaj, zeleno)

Slika 4. Funkcije brisanja datotek iz brisalca Fantasy (zgoraj, rdeče) in izsiljevalske programske opreme Apostle (spodaj, zeleno)

Slika 5 prikazuje, da je funkcija seznama imenikov skoraj neposredna kopija, pri čemer so le spremenljivke funkcije dobile rahlo spremembo med Apostle in Fantasy.

Slika 5. Funkcije seznama imenikov iz programa Fantasy wiper (zgoraj, rdeče) in izsiljevalske programske opreme Apostle (spodaj, zeleno)

Na koncu GetSubDirectoryFileListRecursive funkcija na sliki 6 je tudi skoraj natančna kopija.

Slika 6. Rekurzivne funkcije seznama imenikov iz programa Fantasy wiper (zgoraj, rdeče) in izsiljevalske programske opreme Apostle (spodaj, zeleno)

Poleg ponovne uporabe kode lahko v Fantasyju vidimo ostanke toka usmrtitve Apostla. V prvotni analizi Apostla, SentinelOne ugotavlja, da „Pravilno izvajanje različice izsiljevalske programske opreme zahteva, da ji zagotovite argument, kodiran base64, ki vsebuje XML predmeta 'RSAParameters'. Ta argument se posreduje in shrani kot javni ključ, ki se uporablja za postopek šifriranja, in je najverjetneje ustvarjen na računalniku, ki je v lasti akterja grožnje.” V paketni datoteki na sliki 7, ki jo Sandals ustvari v oddaljenih sistemih za zagon Fantasyja, lahko vidimo, da isti argument, kodiran z base64, vsebuje XML RSAParametri predmet se posreduje Fantasyju med izvajanjem. Fantasy pa tega argumenta izvajalnega časa ne uporablja.

Slika 7. Sandali, ki Fantasyju posredujejo isti predmet RSAParameters, kot ga je uporabila izsiljevalska programska oprema Apostle

zaključek

Od svojega odkritja leta 2021 je bil Agrius osredotočen izključno na destruktivne operacije. V ta namen so operaterji Agriusa verjetno izvedli napad na dobavno verigo tako, da so ciljali na mehanizme za posodabljanje programske opreme izraelskega podjetja za programsko opremo, da bi uvedli Fantasy, njegov najnovejši brisalec, žrtvam v Izraelu, Hong Kongu in Južni Afriki. Fantasy je v mnogih pogledih podoben prejšnjemu brisalcu Agrius, Apostle, ki se je sprva maskiral kot izsiljevalska programska oprema, preden je bil prepisan v dejansko izsiljevalsko programsko opremo. Fantasy se ne trudi prikriti kot izsiljevalska programska oprema. Operaterji Agriusa so uporabili novo orodje Sandals za oddaljeno povezavo s sistemi in izvajanje Fantasyja.

IoC

Tehnike MITER ATT&CK

Ta tabela je bila izdelana z uporabo različica 12 okvira MITER ATT&CK.

Dodatek

Datotečne pripone (682), na katere cilja Fantasy wiper, ko ne cilja na vse datotečne pripone. Pripone datotek, označene v rumene (68) so pogoste pripone imen datotek v sistemu Windows. Predvsem odsotne so datotečne pripone dll in sys.