WinorDLL64: Geniş Lazarus cephaneliğinden bir arka kapı mı?

ESET araştırmacıları, ESET'in yüklerinden birini keşfetti. Wslink indirici 2021'de ortaya çıkardık. Bu yükü dosya adına göre WinorDLL64 olarak adlandırdık. WinorDLL64.dll. Dosya adına sahip olan Wslink WinorLoaderDLL64.dll, bu tür diğer yükleyicilerin aksine, bir sunucu olarak çalışan ve alınan modülleri bellekte yürüten Windows ikili dosyaları için bir yükleyicidir. İfadeden de anlaşılacağı gibi, bir yükleyici, bir yükü veya gerçek kötü amaçlı yazılımı zaten güvenliği ihlal edilmiş sisteme yüklemek için bir araç görevi görür. İlk Wslink uzlaşma vektörü tanımlanmadı.

Başlangıçta bilinmeyen Wslink yükü, blog gönderimizin yayınlanmasından kısa bir süre sonra Güney Kore'den VirusTotal'a yüklendi ve Wslink'in benzersiz adını temel alan YARA kurallarımızdan birine çarptı. WinorDLL64. Wslink ile ilgili olarak ESET telemetrisi, Orta Avrupa, Kuzey Amerika ve Orta Doğu'da yalnızca birkaç algılama gördü.

The WinorDLL64 payload, özellikle kapsamlı sistem bilgilerini toplayan, dosya çıkarma, dosyaların üzerine yazma ve kaldırma gibi dosya işleme araçları sağlayan ve ek komutları yürüten bir arka kapı görevi görür. İlginç bir şekilde, zaten Wslink yükleyici tarafından kurulmuş bir bağlantı üzerinden iletişim kurar.

2021'de, Wslink'in bilinen bir tehdit aktörünün aracı olduğunu düşündürecek herhangi bir veri bulamadık. Bununla birlikte, faydalı yükün kapsamlı bir analizinden sonra, WinorDLL64 Lazarus APT grubuna, hedeflenen bölgeye dayalı olarak düşük güven ve bilinen Lazarus örnekleriyle hem davranış hem de kodda örtüşme.

En az 2009'dan beri aktif olan bu kötü şöhretli Kuzey Kore bağlantılı grup, her ikisi de gibi yüksek profilli olaylardan sorumludur. Sony Pictures Entertainment hilesi ve on milyonlarca dolarlık 2016'da siber soyguncular, WannaCryptor (aka WannaCry) 2017'de patlak verdi ve uzun bir geçmişe yönelik yıkıcı saldırılar Güney Kore kamu ve kritik altyapı en az 2011'den beri. US-CERT ve FBI bu grubu çağırıyor GİZLİ COBRA.

Bizim temelimiz üzerine kapsamlı bilgi Bu grubun faaliyet ve operasyonlarından yola çıkarak, Lazarus'un sistematik olarak organize edilmiş, iyi hazırlanmış ve geniş bir araç seti kullanan birkaç alt gruptan oluşan büyük bir ekipten oluştuğuna inanıyoruz. Geçen yıl biz bir Lazarus aracı keşfetti bundan faydalanan CVE-2021-21551 Hollanda'daki bir havacılık şirketinin çalışanını ve Belçika'daki bir siyasi gazeteciyi hedef alma güvenlik açığı. Güvenlik açığının kaydedilen ilk kötüye kullanımıydı; araç ve güvenlik açığı birlikte ele alındığında, güvenliği ihlal edilmiş makinelerdeki tüm güvenlik çözümlerinin izlenmesinin körelmesine yol açtı. hakkında geniş bir açıklama da yaptık. sanal makinenin yapısı Wslink örneklerinde kullanılır.

Bu blog gönderisi, WinorDLL64'ün Lazarus'a atfedilmesini açıklar ve yükün bir analizini sağlar.

Lazarus'a bağlantılar

Lazarus örnekleriyle hem davranışta hem de kodda örtüşmeler keşfettik. GhostSecret Operasyonu ve Bankshot implantı McAfee tarafından açıklanmıştır. Hem GhostSecret hem de Bankshot makalelerindeki implantların açıklaması, WinorDLL64 ile işlevsellikte çakışmalar içeriyor ve örneklerde bazı kod çakışmaları bulduk. Bu blog gönderisinde yalnızca FE887FCAB66D7D7F79F05E0266C0649F0114BA7C WinorDLL64 ile karşılaştırma için GhostSecret'ten örnek (1BA443FDE984CEE85EBD4D4FA7EB1263A6F1257F), aksi belirtilmedikçe.

Aşağıdaki ayrıntılar, Lazarus'a olan düşük güven atfımızı destekleyen gerçekleri özetlemektedir:

1. Kurban Bilimi

• AhnLab'dan diğer araştırmacılar telemetrilerinde Güney Koreli Wslink kurbanlarını doğruladılar; bu, geleneksel Lazarus hedefleri dikkate alındığında ilgili bir göstergedir ve bizim yalnızca birkaç isabet gözlemledik.

Şekil 1. Mstoned7'nin Ahnlab'dan araştırmacı olduğu bildirilen Güney Koreli kurban

2. Malware

• McAfee tarafından bildirilen en son GhostSecret örneği (FE887FCAB66D7D7F79F05E0266C0649F0114BA7C) Şubat 2018'den; Wslink'in ilk örneğini 2018'in sonlarında tespit ettik ve diğer araştırmacılar Ağustos 2018'de, bizim yayınımızdan sonra ifşa ettikleri hitleri bildirdiler. Bu nedenle, bu numuneler nispeten kısa bir süre ayrı olarak tespit edildi.
• The PE açısından zengin başlıklar aynı geliştirme ortamının ve benzer büyüklükteki projelerin bilinen birkaç diğer Lazarus örneğinde kullanıldığını gösterir (örn. 70DE783E5D48C6FBB576BC494BAF0634BC304FD6; 8EC9219303953396E1CB7105CDB18ED6C568E962). Bu örtüşmeyi, düşük ağırlıklı bir gösterge olan yalnızca bu Wslink ve Lazarus örneklerini kapsayan aşağıdaki kuralları kullanarak bulduk. onları test ettik VirusTotal'ın geriye dönük avı ve dahili dosya topluluğumuz.

rich_signature.uzunluk == 80 ve
pe.rich_signature.toolid(175, 30319) == 7 ve
pe.rich_signature.toolid(155, 30319) == 1 ve
pe.rich_signature.toolid(158, 30319) == 10 ve
pe.rich_signature.toolid(170, 30319) >= 90 ve
pe.rich_signature.toolid(170, 30319) <= 108

Bu kural, daha okunaklı olan ve VirusTotal tarafından kullanılan, ürün sürümünün ve yapı kimliğinin görülebildiği aşağıdaki notasyona çevrilebilir (VS2010 yapı 30319), kullanılan kaynak/nesne dosyalarının sayısı ve türü ([LTCG C++] LTCG'nin Bağlantı Zaman Kodu Oluşturma anlamına geldiği yerde, [ASM], [ C ])ve ihracat sayısı ([TECRÜBE]) kuralda:

[LTCG C++] VS2010 yapı 30319 sayısı=7
[EXP] VS2010 yapı 30319 sayısı=1
[ASM] VS2010 yapı 30319 sayısı=10
[ C ] VS2010 derlemesi 30319 [ 90 .. 108 ]

• GhostSecret makalesinde, ayrıca bir hizmet olarak çalışan "gelen kontrol sunucusu bağlantıları için 443 numaralı bağlantı noktasını dinleyen benzersiz bir veri toplama ve yerleştirme kurulumu bileşeni" anlatılmıştır. Bu, yapılandırmaya göre değişebilen bağlantı noktası numarası dışında, Wslink indirici davranışının doğru bir açıklamasıdır. Özetle, uygulama farklı olsa da ikisi de aynı amaca hizmet ediyor.
• Yükleyici, kullanılan ticari bir koruyucu olan Oreans Code Virtualizer tarafından sanallaştırılır. sık sık Lazarus tarafından.
• yükleyici kullanır Hafıza modülü modülleri doğrudan bellekten yüklemek için kitaplık. Kitaplık, kötü amaçlı yazılımlar tarafından yaygın olarak kullanılmaz, ancak Lazarus ve Kimsuky gibi Kuzey Kore bağlantılı gruplar arasında oldukça popülerdir.
• Analizimiz sırasında bulduğumuz WinorDLL64 ve GhostSecret arasındaki kodda çakışma. Sonuçlar ve atıftaki önem Tablo 1'de listelenmiştir.

Tablo 1. WinorDLL64 ve GhostSecret arasındaki benzerlikler ve her ikisini de aynı tehdit aktörüne atfetmedeki önemi

Dosya gönderme işlevindeki kod çakışması Şekil 2 ve Şekil 3'te vurgulanmıştır.

Şekil 2. GhostSecret'in dosya göndermesi

Şekil 3. Wslink dosya gönderiyor

Teknik analiz

WinorDLL64, özellikle kapsamlı sistem bilgilerini toplayan, dosya işleme için araçlar sağlayan ve ek komutları yürüten bir arka kapı görevi görür. İlginç bir şekilde, yükleyicisi tarafından önceden oluşturulmuş bir TCP bağlantısı üzerinden iletişim kurar ve yükleyicinin bazı işlevlerini kullanır.

Şekil 4. Wslink'in iletişiminin görselleştirilmesi

Arka kapı, bir parametreyi kabul eden tek bir adsız dışa aktarmaya sahip bir DLL'dir - bu, daha önce burada açıklanan iletişim için bir yapıdır. önceki blog gönderisi. Yapı, WinorDLL256'ün önceden kurulmuş bir bağlantı üzerinden operatörle güvenli bir şekilde veri alışverişi yapmasını sağlayan 64-bit AES-CBC ile şifrelenmiş mesajları göndermek ve almak için bir TLS bağlamı – soket, anahtar, IV – ve geri aramalar içerir.

Aşağıdaki gerçekler, kütüphanenin gerçekten de Wslink'in bir parçası olduğuna büyük bir güvenle inanmamızı sağlıyor:

• Benzersiz yapı, her yerde beklenen şekilde kullanılır; örneğin, TLS bağlamı ve diğer anlamlı parametreler, doğru geri aramalara beklenen sırayla sağlanır.
• DLL'nin adı WinorDLL64.dll ve Wslink'in adı şuydu: WinorLoaderDLL64.dll.

WinorDLL64 birkaç komutu kabul eder. Şekil 5, komutları alan ve yöneten döngüyü göstermektedir. Her komut benzersiz bir kimliğe bağlıdır ve ek parametreler içeren bir yapılandırmayı kabul eder.

Şekil 5. Arka kapının komut alma döngüsünün ana kısmı

Etiketlerimizle birlikte komut listesi Şekil 6'dadır.

Şekil 6. Komut listesi

Tablo 2, değiştirilen WinorDLL64 komutlarının bir özetini içerir ve eski kategoriler, önceden belgelenmiş GhostSecret işleviyle olan ilişkiyi ifade eder. Yalnızca değiştirilen kategorideki önemli değişiklikleri vurgularız.

Tablo 2. Arka kapı komutlarına genel bakış

Sonuç

Wslink'in yükü, dosya manipülasyonu, daha fazla kodun yürütülmesi ve ağ oturumlarına özel ilgi nedeniyle daha sonra yanal hareket için muhtemelen yararlanılabilecek temel sistem hakkında kapsamlı bilgi elde etmek için araçlar sağlamaya adanmıştır. Wslink yükleyici, yapılandırmada belirtilen bir bağlantı noktasını dinler ve ek bağlantı istemcilerine hizmet verebilir ve hatta çeşitli yükleri yükleyebilir.

WinorDLL64, geliştirme ortamında, davranışta ve birkaç Lazarus örneğiyle kodda bir örtüşme içeriyor; bu, onun Kuzey Kore ile uyumlu bu APT grubunun geniş cephaneliğinden bir araç olabileceğini gösteriyor.

IOCs

MITRE ATT&CK teknikleri

Bu tablo kullanılarak yapılmıştır sürümü 12 ATT&CK çerçevesinin. Yine yükleyiciden tekniklerden bahsetmiyoruz, sadece faydalı yükten bahsediyoruz.

• SEO Destekli İçerik ve Halkla İlişkiler Dağıtımı. Bugün Gücünüzü Artırın.
• Plato blok zinciri. Web3 Metaverse Zekası. Bilgi Güçlendirildi. Buradan Erişin.
• Kaynak: https://www.welivesecurity.com/2023/02/23/winordll64-backdoor-vast-lazarus-arsenal/