WinorDLL64: бекдор із величезного арсеналу Lazarus?

Дослідники ESET виявили одне з корисних навантажень Завантажувач Wslink який ми виявили ще в 2021 році. Ми назвали це корисне навантаження WinorDLL64 на основі його імені файлу WinorDLL64.dll. Wslink, який мав назву файлу WinorLoaderDLL64.dll, це завантажувач для бінарних файлів Windows, який, на відміну від інших подібних завантажувачів, працює як сервер і виконує отримані модулі в пам’яті. Як випливає з формулювання, завантажувач служить інструментом для завантаження корисного навантаження або фактичного шкідливого програмного забезпечення у вже скомпрометовану систему. Початковий компрометований вектор Wslink не ідентифіковано.

Спочатку невідоме корисне навантаження Wslink було завантажено до VirusTotal із Південної Кореї невдовзі після публікації нашого блогу та відповідало одному з наших правил YARA на основі унікальної назви Wslink WinorDLL64. Що стосується Wslink, телеметрія ESET зафіксувала лише кілька виявлень – у Центральній Європі, Північній Америці та на Близькому Сході.

Команда WinorDLL64 корисне навантаження служить бекдором, який, головним чином, отримує обширну системну інформацію, надає засоби для маніпулювання файлами, наприклад викрадання, перезаписування та видалення файлів, а також виконує додаткові команди. Цікаво, що він спілкується через з’єднання, яке вже було встановлено завантажувачем Wslink.

У 2021 році ми не знайшли жодних даних, які б припускали, що Wslink є інструментом від відомого загрозливого актора. Однак після ретельного аналізу корисного навантаження ми приписали WinorDLL64 до групи Lazarus APT з низькою достовірністю на основі цільового регіону та збігу поведінки та коду з відомими зразками Lazarus.

Активна щонайменше з 2009 року, ця сумнозвісна група, пов’язана з Північною Кореєю, несе відповідальність за резонансні інциденти, такі як Злом Sony Pictures Entertainment і десятки мільйонів доларів кіберграбіжці в 2016 році, WannaCryptor (він же WannaCry) спалах у 2017 році та довга історія підривних атак проти Громадська та критична інфраструктура Південної Кореї принаймні з 2011 року. US-CERT і ФБР називають цю групу ПРИХОВАНА КОБРА.

На основі нашого широкі знання діяльності та операцій цієї групи ми вважаємо, що Lazarus складається з великої команди, яка систематично організована, добре підготовлена ​​та складається з кількох підгруп, які використовують великий набір інструментів. Минулого року ми виявив інструмент Лазаря що скористався CVE-2021-21551 вразливість до співробітника аерокосмічної компанії в Нідерландах і політичного журналіста в Бельгії. Це було перше зафіксоване зловживання уразливістю; у поєднанні цей інструмент і вразливість призвели до засліплення моніторингу всіх рішень безпеки на скомпрометованих машинах. Ми також надали розгорнутий опис структура віртуальної машини використовується у зразках Wslink.

У цьому блозі пояснюється присвоєння WinorDLL64 Lazarus і надається аналіз корисного навантаження.

Посилання на Lazarus

Ми виявили збіги в поведінці та коді із зразками Lazarus із Операція GhostSecret і Імплантат Bankshot описаний McAfee. Опис імплантатів у статтях GhostSecret і Bankshot містить збіги у функціональності з WinorDLL64, і ми виявили деякі збіги коду в зразках. У цьому блозі ми будемо використовувати лише FE887FCAB66D7D7F79F05E0266C0649F0114BA7C зразок із GhostSecret для порівняння з WinorDLL64 (1BA443FDE984CEE85EBD4D4FA7EB1263A6F1257F), якщо не вказано інше.

Наступні деталі підсумовують факти, які підтверджують наше приписування Лазаря з низькою достовірністю:

1. Віктимологія

• Колеги-дослідники з AhnLab підтвердили південнокорейські жертви Wslink у своїй телеметрії, що є релевантним показником з огляду на традиційні цілі Lazarus і те, що ми спостерігали лише кілька влучень.

Рисунок 1. Повідомлена жертва з Південної Кореї, де mstoned7 є дослідником з Ahnlab

2. Зловмисне програмне забезпечення

• Останній зразок GhostSecret, про який повідомляє McAfee (FE887FCAB66D7D7F79F05E0266C0649F0114BA7C) з лютого 2018 року; ми помітили перший зразок Wslink наприкінці 2018 року, а колеги-дослідники повідомили про звернення в серпні 2018 року, про що вони розкрили після нашої публікації. Отже, ці зразки були помічені з відносно коротким проміжком часу.
• Команда PE багаті заголовки вказують на те, що те саме середовище розробки та проекти подібного розміру використовувалися в кількох інших відомих зразках Lazarus (наприклад, 70DE783E5D48C6FBB576BC494BAF0634BC304FD6; 8EC9219303953396E1CB7105CDB18ED6C568E962). Ми виявили це збіг, використовуючи наступні правила, які охоплюють лише ці зразки Wslink і Lazarus, що є показником із низькою вагою. Ми перевірили їх на Ретрополювання VirusTotal і наш внутрішній файловий корпус.

rich_signature.length == 80 і
pe.rich_signature.toolid(175, 30319) == 7 і
pe.rich_signature.toolid(155, 30319) == 1 і
pe.rich_signature.toolid(158, 30319) == 10 і
pe.rich_signature.toolid(170, 30319) >= 90 і
pe.rich_signature.toolid(170, 30319) <= 108

Це правило можна перекласти на наступну нотацію, яка є більш зрозумілою та використовується VirusTotal, де можна побачити версію продукту та ідентифікатор збірки (VS2010 збірка 30319), кількість і тип використовуваних вихідних/об'єктних файлів ([LTCG C++] де LTCG означає Generation Time Code Generation, [ASM], [ C ]), і кількість експортів ([EXP]) у правилі:

[LTCG C++] VS2010 build 30319 count=7
[EXP] VS2010 build 30319 count=1
[ASM] VS2010 build 30319 count=10
[ C ] VS2010 build 30319 кількість у [ 90 .. 108 ]

• У статті GhostSecret описано «унікальний компонент для збору даних і встановлення імплантатів, який прослуховує порт 443 для вхідних з’єднань із сервером керування», який додатково запускався як служба. Це точний опис поведінки завантажувача Wslink, окрім номера порту, який може змінюватися залежно від конфігурації. Підсумовуючи, хоча реалізація різна, обидва служать одній меті.
• Завантажувач віртуалізовано за допомогою Oreans Code Virtualizer, який є комерційним захисником, який використовується часто від Лазаря.
• Навантажувач використовує Модуль пам'яті бібліотека для завантаження модулів безпосередньо з пам'яті. Бібліотека зазвичай не використовується шкідливим програмним забезпеченням, але вона досить популярна серед груп, пов’язаних із Північною Кореєю, таких як Lazarus і Kimsuky.
• Збіг у коді між WinorDLL64 і GhostSecret, який ми виявили під час аналізу. Результати та значення в атрибуції наведено в таблиці 1.

Таблиця 1. Подібності між WinorDLL64 і GhostSecret і їхнє значення для віднесення обох до того самого суб’єкта загрози

Перекриття коду у функції надсилання файлів виділено на рисунках 2 і 3.

Рисунок 2. GhostSecret надсилає файл

Рисунок 3. Wslink надсилає файл

Технічний аналіз

WinorDLL64 служить бекдором, який, зокрема, отримує велику інформацію про систему, надає засоби для маніпулювання файлами та виконує додаткові команди. Цікаво, що він спілкується через TCP-з’єднання, яке вже було встановлено його завантажувачем, і використовує деякі функції завантажувача.

Рисунок 4. Візуалізація спілкування Wslink

Бекдор — це DLL з єдиним експортом без назви, який приймає один параметр — структуру для зв’язку, яка вже була описана в нашому попередня публікація в блозі. Структура містить TLS-контекст – сокет, ключ, IV – і зворотні виклики для надсилання та отримання повідомлень, зашифрованих за допомогою 256-бітного AES-CBC, які дозволяють WinorDLL64 безпечно обмінюватися даними з оператором через уже встановлене з’єднання.

Наступні факти змушують нас з високою впевненістю вважати, що бібліотека справді є частиною Wslink:

• Унікальна структура використовується скрізь очікуваним чином, наприклад, TLS-контекст та інші значущі параметри надаються в очікуваному порядку до правильних зворотних викликів.
• Ім'я DLL є WinorDLL64.dll а ім'я Wslink було WinorLoaderDLL64.dll.

WinorDLL64 приймає кілька команд. На малюнку 5 показано цикл, який приймає та обробляє команди. Кожна команда прив’язана до унікального ідентифікатора та приймає конфігурацію, яка містить додаткові параметри.

Рисунок 5. Основна частина циклу отримання команд бекдора

Список команд із нашими мітками наведено на малюнку 6.

Рисунок 6. Список команд

Таблиця 2 містить короткий перелік команд WinorDLL64, де змінено, а старі категорії стосуються зв’язку з раніше задокументованою функціональністю GhostSecret. Ми виділяємо лише значні зміни в модифікованій категорії.

Таблиця 2. Огляд бекдор-команд

Висновок

Корисне навантаження Wslink призначене для забезпечення засобів для маніпулювання файлами, виконання подальшого коду та отримання обширної інформації про базову систему, яка, можливо, може бути використана пізніше для бокового переміщення через особливий інтерес до мережевих сеансів. Завантажувач Wslink слухає порт, указаний у конфігурації, і може обслуговувати додаткових клієнтів, що підключаються, і навіть завантажувати різні корисні дані.

WinorDLL64 містить перекриття середовища розробки, поведінки та коду з кількома зразками Lazarus, що вказує на те, що це може бути інструмент із великого арсеналу цієї групи APT, пов’язаної з Північною Кореєю.

IoCs

Методи MITER ATT & CK

Ця таблиця була побудована за допомогою версія 12 рамки ATT&CK. Ми знову не згадуємо техніки завантажувача, лише корисне навантаження.

• Розповсюдження контенту та PR на основі SEO. Отримайте посилення сьогодні.
• Платоблокчейн. Web3 Metaverse Intelligence. Розширені знання. Доступ тут.
• джерело: https://www.welivesecurity.com/2023/02/23/winordll64-backdoor-vast-lazarus-arsenal/