WinorDLL64: ประตูหลังจากคลังแสง Lazarus อันกว้างใหญ่?

นักวิจัยของ ESET ได้ค้นพบหนึ่งในเพย์โหลดของ โปรแกรมดาวน์โหลด Wslink ที่เราค้นพบในปี 2021 เราตั้งชื่อเพย์โหลด WinorDLL64 ตามชื่อไฟล์ WinorDLL64.dll. Wslink ซึ่งมีชื่อไฟล์ WinorLoaderDLL64.dllเป็นตัวโหลดสำหรับ Windows ไบนารี ซึ่งแตกต่างจากตัวโหลดอื่น ๆ ที่ทำงานเป็นเซิร์ฟเวอร์และเรียกใช้โมดูลที่ได้รับในหน่วยความจำ ตามคำแนะนำ โหลดเดอร์ทำหน้าที่เป็นเครื่องมือในการโหลดเพย์โหลดหรือมัลแวร์จริงเข้าสู่ระบบที่ถูกบุกรุกแล้ว ยังไม่ได้ระบุเวกเตอร์การประนีประนอม Wslink เริ่มต้น

เพย์โหลด Wslink ที่ไม่รู้จักในตอนแรกถูกอัปโหลดไปยัง VirusTotal จากเกาหลีใต้ไม่นานหลังจากเผยแพร่บล็อกโพสต์ของเรา และเป็นไปตามกฎ YARA ของเราตามชื่อเฉพาะของ Wslink WinorDLL64. สำหรับ Wslink ระบบการวัดและส่งข้อมูลทางไกลของ ESET ตรวจพบเพียงไม่กี่รายการเท่านั้น ในยุโรปกลาง อเมริกาเหนือ และตะวันออกกลาง

พื้นที่ WinorDLL64 เพย์โหลดทำหน้าที่เป็นแบ็คดอร์ที่รับข้อมูลระบบจำนวนมากโดยเฉพาะอย่างยิ่ง จัดหาวิธีในการจัดการไฟล์ เช่น การกรอง การเขียนทับ และการลบไฟล์ และดำเนินการคำสั่งเพิ่มเติม ที่น่าสนใจคือมันสื่อสารผ่านการเชื่อมต่อที่สร้างไว้แล้วโดยตัวโหลด Wslink

ในปี 2021 เราไม่พบข้อมูลใด ๆ ที่บ่งชี้ว่า Wslink เป็นเครื่องมือจากผู้คุกคามที่เป็นที่รู้จัก อย่างไรก็ตาม หลังจากวิเคราะห์น้ำหนักบรรทุกอย่างถี่ถ้วนแล้ว เราได้ระบุแหล่งที่มาแล้ว WinorDLL64 ไปยังกลุ่ม Lazarus APT ที่มีความเชื่อมั่นต่ำตามภูมิภาคเป้าหมาย และพฤติกรรมและรหัสที่ทับซ้อนกันกับตัวอย่าง Lazarus ที่รู้จัก

เปิดใช้งานอย่างน้อยตั้งแต่ปี 2009 กลุ่มแนวร่วมเกาหลีเหนือที่น่าอับอายนี้มีหน้าที่รับผิดชอบต่อเหตุการณ์สำคัญเช่นทั้ง แฮ็ค Sony Pictures Entertainment และหลายสิบล้านดอลลาร์ cyberheists ใน 2016ที่ WannaCryptor (aka WannaCry) ระบาดในปี 2017 และประวัติการโจมตีที่ก่อกวนมาอย่างยาวนาน โครงสร้างพื้นฐานสาธารณะและที่สำคัญของเกาหลีใต้ ตั้งแต่อย่างน้อยปี 2011 US-CERT และ FBI เรียกกลุ่มนี้ว่า งูเห่าที่ซ่อนอยู่.

ขึ้นอยู่กับ ความรู้รอบตัว จากกิจกรรมและการดำเนินงานของกลุ่มนี้ เราเชื่อว่าลาซารัสประกอบด้วยทีมขนาดใหญ่ที่มีการจัดการอย่างเป็นระบบ มีการเตรียมพร้อมอย่างดี และประกอบด้วยกลุ่มย่อยหลายกลุ่มที่ใช้ชุดเครื่องมือขนาดใหญ่ ปีที่แล้ว เรา ค้นพบเครื่องมือของลาซารัส ที่ใช้ประโยชน์จาก CVE-2021-21551 ช่องโหว่ที่จะกำหนดเป้าหมายเป็นพนักงานของบริษัทการบินและอวกาศในเนเธอร์แลนด์ และนักข่าวการเมืองในเบลเยียม นี่เป็นการละเมิดช่องโหว่ครั้งแรกที่มีการบันทึกไว้ เมื่อรวมกันแล้ว เครื่องมือและช่องโหว่ดังกล่าวนำไปสู่การตรวจสอบโซลูชันความปลอดภัยทั้งหมดบนเครื่องที่ถูกบุกรุก เรายังให้คำอธิบายที่ครอบคลุมของ โครงสร้างของเครื่องเสมือน ใช้ในตัวอย่างของ Wslink

บล็อกโพสต์นี้อธิบายที่มาของ WinorDLL64 เป็น Lazarus และให้การวิเคราะห์เพย์โหลด

ลิงค์ไปยังลาซารัส

เราได้ค้นพบการทับซ้อนกันทั้งพฤติกรรมและรหัสด้วยตัวอย่าง Lazarus จาก ปฏิบัติการ GhostSecret และ สอดใส่ Bankshot อธิบายโดย McAfee คำอธิบายของการปลูกฝังในบทความทั้ง GhostSecret และ Bankshot มีการทับซ้อนกันในการทำงานกับ WinorDLL64 และเราพบการทับซ้อนของโค้ดในตัวอย่าง ในบล็อกนี้เราจะใช้เฉพาะ FE887FCAB66D7D7F79F05E0266C0649F0114BA7C ตัวอย่างจาก GhostSecret เพื่อเปรียบเทียบกับ WinorDLL64 (1BA443FDE984CEE85EBD4D4FA7EB1263A6F1257F) เว้นแต่จะระบุไว้เป็นอย่างอื่น

รายละเอียดต่อไปนี้สรุปข้อเท็จจริงสนับสนุนสำหรับการระบุแหล่งที่มาที่มีความมั่นใจต่ำของเราต่อลาซารัส:

1. เหยื่อวิทยา

• เพื่อนนักวิจัยจาก AhnLab ยืนยันเหยื่อชาวเกาหลีใต้ของ Wslink ในการวัดระยะไกล ซึ่งเป็นตัวบ่งชี้ที่เกี่ยวข้องเมื่อพิจารณาจากเป้าหมายดั้งเดิมของ Lazarus และเราสังเกตเห็นการโจมตีเพียงไม่กี่ครั้ง

รูปที่ 1 รายงานเหยื่อชาวเกาหลีใต้ โดย mstoned7 เป็นนักวิจัยจาก Ahnlab

2 มัลแวร์

• ตัวอย่าง GhostSecret ล่าสุดที่รายงานโดย McAfee (FE887FCAB66D7D7F79F05E0266C0649F0114BA7C) คือตั้งแต่เดือนกุมภาพันธ์ 2018; เราพบตัวอย่างแรกของ Wslink ในช่วงปลายปี 2018 และเพื่อนนักวิจัยรายงานการเข้าชมในเดือนสิงหาคม 2018 ซึ่งพวกเขาเปิดเผยหลังจากการเผยแพร่ของเรา ดังนั้นตัวอย่างเหล่านี้จึงถูกพบในช่วงเวลาที่ค่อนข้างสั้น
• พื้นที่ ส่วนหัวที่อุดมด้วย PE ระบุว่าสภาพแวดล้อมการพัฒนาเดียวกันและโครงการที่มีขนาดใกล้เคียงกันถูกใช้ในตัวอย่าง Lazarus อื่น ๆ ที่รู้จัก (เช่น 70DE783E5D48C6FBB576BC494BAF0634BC304FD6; 8EC9219303953396E1CB7105CDB18ED6C568E962). เราพบการทับซ้อนนี้โดยใช้กฎต่อไปนี้ที่ครอบคลุมเฉพาะตัวอย่าง Wslink และ Lazarus ซึ่งเป็นตัวบ่งชี้ที่มีน้ำหนักน้อย เราได้ทดสอบกับ การล่าย้อนหลังของ VirusTotal และคลังไฟล์ภายในของเรา

rich_signature.length == 80 และ
pe.rich_signature.toolid(175, 30319) == 7 และ
pe.rich_signature.toolid(155, 30319) == 1 และ
pe.rich_signature.toolid(158, 30319) == 10 และ
pe.rich_signature.toolid(170, 30319) >= 90 และ
pe.rich_signature.toolid(170, 30319) <= 108

กฎนี้สามารถแปลเป็นสัญกรณ์ต่อไปนี้ซึ่ง VirusTotal สามารถอ่านและใช้งานได้มากขึ้น ซึ่งสามารถดูเวอร์ชันผลิตภัณฑ์และ ID บิลด์ (VS2010 สร้าง 30319) จำนวนและประเภทของไฟล์ต้นฉบับ/ออบเจกต์ที่ใช้ ([LTCG C++] โดยที่ LTCG ย่อมาจาก Link Time Code Generation [ASM], [ ค ]), และจำนวนการส่งออก ([ประสบการณ์]) ในกฎ:

[LTCG C++] VS2010 สร้าง 30319 จำนวน=7
[EXP] VS2010 สร้าง 30319 จำนวน=1
[ASM] VS2010 สร้าง 30319 จำนวน=10
[ C ] VS2010 สร้าง 30319 จำนวนใน [ 90 .. 108 ]

• บทความ GhostSecret อธิบายถึง “ส่วนประกอบการรวบรวมข้อมูลและการติดตั้งรากเทียมที่ไม่ซ้ำใครซึ่งรับฟังพอร์ต 443 สำหรับการเชื่อมต่อเซิร์ฟเวอร์ควบคุมขาเข้า” ซึ่งทำงานเพิ่มเติมในลักษณะของบริการ นี่เป็นคำอธิบายที่ถูกต้องเกี่ยวกับพฤติกรรมของตัวดาวน์โหลด Wslink นอกเหนือจากหมายเลขพอร์ต ซึ่งอาจแตกต่างกันไปตามการกำหนดค่า สรุปแล้ว แม้ว่าการใช้งานจะต่างกัน แต่ทั้งคู่ก็มีจุดประสงค์เดียวกัน
• ตัวโหลดถูกจำลองเสมือนโดย Oreans' Code Virtualizer ซึ่งเป็นตัวป้องกันเชิงพาณิชย์ที่ใช้ มัก โดยลาซารัส
• ตัวโหลดใช้ โมดูลหน่วยความจำ ไลบรารีเพื่อโหลดโมดูลโดยตรงจากหน่วยความจำ ไลบรารีนี้ไม่ได้ถูกใช้โดยมัลแวร์ทั่วไป แต่ค่อนข้างเป็นที่นิยมในหมู่กลุ่มที่มีแนวร่วมในเกาหลีเหนือ เช่น ลาซารัสและคิมซูกี
• รหัสที่ทับซ้อนกันระหว่าง WinorDLL64 และ GhostSecret ที่เราพบระหว่างการวิเคราะห์ ผลลัพธ์และความสำคัญในการระบุแหล่งที่มาแสดงอยู่ในตารางที่ 1

ตารางที่ 1. ความคล้ายคลึงกันระหว่าง WinorDLL64 และ GhostSecret และความสำคัญในการกำหนดแหล่งที่มาของทั้งคู่ว่าเป็นภัยคุกคามเดียวกัน

การทับซ้อนของโค้ดในฟังก์ชันการส่งไฟล์ถูกเน้นไว้ในรูปที่ 2 และรูปที่ 3

รูปที่ 2 GhostSecret กำลังส่งไฟล์

รูปที่ 3 Wslink กำลังส่งไฟล์

การวิเคราะห์ทางเทคนิค

WinorDLL64 ทำหน้าที่เป็นแบ็คดอร์ที่รับข้อมูลระบบจำนวนมาก มีวิธีการจัดการไฟล์ และดำเนินการคำสั่งเพิ่มเติม ที่น่าสนใจคือมันสื่อสารผ่านการเชื่อมต่อ TCP ที่สร้างไว้แล้วโดยตัวโหลดและใช้ฟังก์ชันบางอย่างของตัวโหลด

รูปที่ 4 การแสดงภาพการสื่อสารของ Wslink

แบ็คดอร์คือ DLL ที่มีการส่งออกที่ไม่มีชื่อเดียวซึ่งยอมรับพารามิเตอร์หนึ่งตัว ซึ่งเป็นโครงสร้างสำหรับการสื่อสารที่อธิบายไว้แล้วใน โพสต์บล็อกก่อนหน้า. โครงสร้างประกอบด้วยบริบท TLS – ซ็อกเก็ต คีย์ IV – และการโทรกลับสำหรับการส่งและรับข้อความที่เข้ารหัสด้วย AES-CBC 256 บิต ซึ่งเปิดใช้งาน WinorDLL64 เพื่อแลกเปลี่ยนข้อมูลอย่างปลอดภัยกับผู้ให้บริการผ่านการเชื่อมต่อที่สร้างไว้แล้ว

ข้อเท็จจริงต่อไปนี้ทำให้เราเชื่ออย่างมั่นใจว่าห้องสมุดเป็นส่วนหนึ่งของ Wslink:

• โครงสร้างเฉพาะถูกนำมาใช้ทุกที่ในลักษณะที่คาดไว้ เช่น บริบท TLS และพารามิเตอร์ที่มีความหมายอื่นๆ จะถูกจัดเตรียมตามลำดับที่คาดการณ์ไว้เพื่อการเรียกกลับที่ถูกต้อง
• ชื่อของ DLL คือ WinorDLL64.dll และชื่อของ Wslink คือ WinorLoaderDLL64.dll.

WinorDLL64 ยอมรับหลายคำสั่ง รูปที่ 5 แสดงลูปที่รับและจัดการคำสั่ง แต่ละคำสั่งเชื่อมโยงกับ ID เฉพาะและยอมรับการกำหนดค่าที่มีพารามิเตอร์เพิ่มเติม

รูปที่ 5 ส่วนหลักของลูปรับคำสั่งของแบ็คดอร์

รายการคำสั่งพร้อมป้ายกำกับของเราอยู่ในรูปที่ 6

รูปที่ 6 รายการคำสั่ง

ตารางที่ 2 ประกอบด้วยข้อมูลสรุปของคำสั่ง WinorDLL64 ซึ่งแก้ไขแล้ว และหมวดหมู่เก่าอ้างถึงความสัมพันธ์กับฟังก์ชัน GhostSecret ที่บันทึกไว้ก่อนหน้านี้ เราเน้นเฉพาะการเปลี่ยนแปลงที่สำคัญในหมวดหมู่ที่แก้ไข

ตารางที่ 2. ภาพรวมของคำสั่งแบ็คดอร์

สรุป

เพย์โหลดของ Wslink มีไว้เพื่อให้วิธีการจัดการไฟล์ ดำเนินการโค้ดเพิ่มเติม และรับข้อมูลที่ครอบคลุมเกี่ยวกับระบบพื้นฐานที่อาจนำไปใช้ประโยชน์ในภายหลังสำหรับการเคลื่อนไหวด้านข้าง เนื่องจากความสนใจเฉพาะในเซสชันเครือข่าย ตัวโหลด Wslink รับฟังพอร์ตที่ระบุในการกำหนดค่าและสามารถให้บริการไคลเอนต์ที่เชื่อมต่อเพิ่มเติม และแม้แต่โหลดเพย์โหลดต่างๆ

WinorDLL64 มีการซ้อนทับกันในสภาพแวดล้อมการพัฒนา พฤติกรรม และโค้ดที่มีตัวอย่าง Lazarus หลายตัวอย่าง ซึ่งบ่งชี้ว่าอาจเป็นเครื่องมือจากคลังแสงขนาดใหญ่ของกลุ่ม APT ที่มีแนวร่วมในเกาหลีเหนือ

ไอโอซี

เทคนิค MITER ATT&CK

ตารางนี้ถูกสร้างขึ้นโดยใช้ 12 รุ่น ของกรอบ ATT&CK เราจะไม่กล่าวถึงเทคนิคจากตัวโหลดอีกครั้ง เฉพาะส่วนของข้อมูล

• เนื้อหาที่ขับเคลื่อนด้วย SEO และการเผยแพร่ประชาสัมพันธ์ รับการขยายวันนี้
• เพลโตบล็อคเชน Web3 Metaverse ข่าวกรอง ขยายความรู้. เข้าถึงได้ที่นี่.
• ที่มา: https://www.welivesecurity.com/2023/02/23/winordll64-backdoor-vast-lazarus-arsenal/