WinorDLL64: Lazarus کے وسیع ہتھیاروں سے ایک بیک ڈور؟

ESET محققین نے پے لوڈز میں سے ایک دریافت کیا ہے۔ ڈبلیو ایس لنک ڈاؤنلوڈر جسے ہم نے 2021 میں دوبارہ دریافت کیا تھا۔ ہم نے اس پے لوڈ کا نام اس کے فائل نام کی بنیاد پر WinorDLL64 رکھا ہے۔ WinorDLL64.dll. Wslink، جس کا فائل نام تھا۔ WinorLoaderDLL64.dll, ونڈوز بائنریز کے لیے ایک لوڈر ہے جو اس طرح کے دیگر لوڈرز کے برعکس، سرور کے طور پر چلتا ہے اور میموری میں موصول ہونے والے ماڈیولز کو چلاتا ہے۔ جیسا کہ الفاظ سے پتہ چلتا ہے، لوڈر پہلے سے سمجھوتہ کیے ہوئے سسٹم پر پے لوڈ، یا اصل مالویئر کو لوڈ کرنے کے لیے ایک ٹول کے طور پر کام کرتا ہے۔ ابتدائی Wslink سمجھوتہ ویکٹر کی شناخت نہیں کی گئی ہے۔

ابتدائی طور پر نامعلوم Wslink پے لوڈ ہمارے بلاگ پوسٹ کی اشاعت کے فوراً بعد جنوبی کوریا سے VirusTotal پر اپ لوڈ کیا گیا تھا، اور Wslink کے منفرد نام کی بنیاد پر ہمارے YARA کے قوانین میں سے ایک کو نشانہ بنایا گیا تھا۔ WinorDLL64. Wslink کے بارے میں، ESET ٹیلی میٹری نے صرف چند ہی کھوج دیکھے ہیں – وسطی یورپ، شمالی امریکہ، اور مشرق وسطیٰ میں۔

۔ WinorDLL64 پے لوڈ ایک بیک ڈور کے طور پر کام کرتا ہے جو خاص طور پر سسٹم کی وسیع معلومات حاصل کرتا ہے، فائلوں میں ہیرا پھیری کے ذرائع فراہم کرتا ہے، جیسے کہ فائلوں کو نکالنا، اوور رائٹنگ کرنا، اور ہٹانا، اور اضافی کمانڈز پر عمل درآمد کرتا ہے۔ دلچسپ بات یہ ہے کہ یہ ایک ایسے کنکشن پر بات چیت کرتا ہے جو Wslink لوڈر کے ذریعہ پہلے ہی قائم کیا گیا تھا۔

2021 میں، ہمیں کوئی ایسا ڈیٹا نہیں ملا جس سے یہ معلوم ہو کہ Wslink ایک معروف دھمکی آمیز اداکار کا آلہ ہے۔ تاہم، پے لوڈ کے ایک وسیع تجزیہ کے بعد، ہم نے منسوب کیا ہے WinorDLL64 Lazarus APT گروپ کو کم اعتماد کے ساتھ ہدف شدہ علاقے کی بنیاد پر اور معلوم Lazarus نمونوں کے ساتھ رویے اور کوڈ دونوں میں ایک اوورلیپ۔

کم از کم 2009 سے سرگرم، یہ بدنام زمانہ شمالی کوریا سے منسلک گروپ ہائی پروفائل واقعات کا ذمہ دار ہے جیسے کہ دونوں سونی پکچرز انٹرٹینمنٹ ہیک اور دسیوں کروڑوں ڈالر 2016 میں سائبر ہیسٹ، WannaCryptor (عرف WannaCry) 2017 میں پھیلنا، اور اس کے خلاف تباہ کن حملوں کی ایک طویل تاریخ جنوبی کوریا کا عوامی اور اہم بنیادی ڈھانچہ کم از کم 2011 سے۔ US-CERT اور FBI اس گروپ کو کہتے ہیں۔ چھپا ہوا کوبرا.

ہماری بنیاد پر وسیع علم اس گروپ کی سرگرمیوں اور کارروائیوں کے بارے میں، ہم سمجھتے ہیں کہ Lazarus ایک بڑی ٹیم پر مشتمل ہے جو منظم طریقے سے، اچھی طرح سے تیار، اور کئی ذیلی گروپوں پر مشتمل ہے جو ایک بڑے ٹول سیٹ کو استعمال کرتے ہیں۔ گزشتہ سال، ہم لعزر کے آلے کو دریافت کیا۔ جس کا فائدہ اٹھایا CVE‑2021‑21551 نیدرلینڈز میں ایرو اسپیس کمپنی کے ملازم اور بیلجیم میں سیاسی صحافی کو نشانہ بنانے کا خطرہ۔ یہ کمزوری کا پہلا ریکارڈ شدہ غلط استعمال تھا۔ مجموعہ میں، ٹول اور کمزوری سمجھوتہ شدہ مشینوں پر تمام حفاظتی حلوں کی نگرانی کو اندھا کرنے کا باعث بنی۔ ہم نے اس کی ایک وسیع تفصیل بھی فراہم کی۔ ورچوئل مشین کی ساخت Wslink کے نمونوں میں استعمال کیا جاتا ہے۔

یہ بلاگ پوسٹ WinorDLL64 کے Lazarus سے انتساب کی وضاحت کرتا ہے اور پے لوڈ کا تجزیہ فراہم کرتا ہے۔

لعزر کے لنکس

ہم نے لازارس کے نمونوں کے ساتھ رویے اور کوڈ دونوں میں اوورلیپس دریافت کیے ہیں۔ آپریشن گھوسٹ سیکرٹ اور بینک شاٹ امپلانٹ McAfee کی طرف سے بیان کیا گیا ہے. GhostSecret اور Bankshot دونوں مضامین میں امپلانٹس کی تفصیل WinorDLL64 کے ساتھ فعالیت میں اوورلیپ پر مشتمل ہے اور ہمیں نمونوں میں کچھ کوڈ اوورلیپ ملا۔ اس بلاگ پوسٹ میں ہم صرف استعمال کریں گے۔ FE887FCAB66D7D7F79F05E0266C0649F0114BA7C WinorDLL64 کے مقابلے کے لیے GhostSecret سے نمونہ (1BA443FDE984CEE85EBD4D4FA7EB1263A6F1257F)، جب تک کہ دوسری صورت میں بیان نہ کیا جائے۔

مندرجہ ذیل تفصیلات لازارس سے ہماری کم اعتمادی کے انتساب کے لیے معاون حقائق کا خلاصہ کرتی ہیں:

1. شکاریات

• AhnLab کے ساتھی محققین نے اپنی ٹیلی میٹری میں Wslink کے جنوبی کوریائی متاثرین کی تصدیق کی، جو کہ لازارس کے روایتی اہداف پر غور کرتے ہوئے ایک متعلقہ اشارے ہے اور یہ کہ ہم نے صرف چند ہٹ کا مشاہدہ کیا ہے۔

تصویر 1. جنوبی کوریا کے شکار کی اطلاع دی گئی، جہاں mstoned7 Ahnlab کا محقق ہے۔

2. میلویئر

• تازہ ترین GhostSecret نمونہ McAfee (FE887FCAB66D7D7F79F05E0266C0649F0114BA7Cفروری 2018 سے ہے؛ ہم نے Wslink کا پہلا نمونہ 2018 کے آخر میں دیکھا اور ساتھی محققین نے اگست 2018 میں کامیابیوں کی اطلاع دی، جس کا انکشاف انہوں نے ہماری اشاعت کے بعد کیا۔ لہذا، ان نمونوں کو نسبتاً کم وقت کے علاوہ دیکھا گیا تھا۔
• ۔ PE امیر ہیڈر اس بات کی نشاندہی کرتے ہیں کہ ایک ہی ترقیاتی ماحول اور اسی سائز کے منصوبوں کو لازارس کے کئی دوسرے معلوم نمونوں میں استعمال کیا گیا تھا (مثال کے طور پر، 70DE783E5D48C6FBB576BC494BAF0634BC304FD6; 8EC9219303953396E1CB7105CDB18ED6C568E962)۔ ہمیں مندرجہ ذیل اصولوں کا استعمال کرتے ہوئے یہ اوورلیپ ملا جو صرف ان Wslink اور Lazarus کے نمونوں کا احاطہ کرتا ہے، جو کہ کم وزن کے ساتھ ایک اشارے ہے۔ ہم نے ان کا تجربہ کیا۔ وائرس ٹوٹل کا ریٹروہنٹ اور ہماری اندرونی فائل کارپس۔

rich_signature.length == 80 اور
pe.rich_signature.toolid(175, 30319) == 7 اور
pe.rich_signature.toolid(155, 30319) == 1 اور
pe.rich_signature.toolid(158, 30319) == 10 اور
pe.rich_signature.toolid(170, 30319) >= 90 اور
pe.rich_signature.toolid(170, 30319) <= 108

اس اصول کا ترجمہ درج ذیل اشارے میں کیا جا سکتا ہے جو زیادہ پڑھنے کے قابل ہے اور وائرس ٹوٹل کے ذریعے استعمال کیا جا سکتا ہے، جہاں کوئی پروڈکٹ کا ورژن دیکھ سکتا ہے اور ID بنا سکتا ہے (VS2010 بلڈ 30319استعمال شدہ ماخذ/آبجیکٹ فائلوں کی تعداد اور قسم ([LTCG C++] جہاں LTCG کا مطلب ہے لنک ٹائم کوڈ جنریشن، [ASM], [سی])اور برآمدات کی تعداد ([EXP]) اصول میں:

[LTCG C++] VS2010 تعمیر 30319 شمار = 7
[EXP] VS2010 بلڈ 30319 count=1
[ASM] VS2010 بلڈ 30319 count=10
[ C ] VS2010 کی تعمیر 30319 کی گنتی [ 90 .. 108 ] میں

• گوسٹ سیکرٹ آرٹیکل نے "ایک منفرد ڈیٹا اکٹھا کرنے اور امپلانٹ انسٹالیشن کا جزو جو ان باؤنڈ کنٹرول سرور کنیکشن کے لیے پورٹ 443 پر سنتا ہے" بیان کیا ہے جو اضافی طور پر ایک سروس کے طور پر چلایا جاتا ہے۔ یہ پورٹ نمبر کے علاوہ Wslink ڈاؤنلوڈر کے رویے کی درست وضاحت ہے، جو کنفیگریشن کی بنیاد پر مختلف ہو سکتی ہے۔ اس کا خلاصہ یہ ہے کہ اگرچہ عمل درآمد مختلف ہے، دونوں ایک ہی مقصد کی تکمیل کرتے ہیں۔
• لوڈر کو اورینز کوڈ ورچوئلائزر کے ذریعے ورچوئلائز کیا جاتا ہے، جو ایک تجارتی محافظ ہے جو استعمال کیا جاتا ہے۔ اکثر لعزر کی طرف سے.
• لوڈر استعمال کرتا ہے۔ میموری ماڈیول میموری سے براہ راست ماڈیول لوڈ کرنے کے لیے لائبریری۔ لائبریری کو عام طور پر میلویئر کے ذریعے استعمال نہیں کیا جاتا ہے، لیکن یہ شمالی کوریا سے منسلک گروپوں جیسے کہ Lazarus اور Kimsuky میں کافی مقبول ہے۔
• WinorDLL64 اور GhostSecret کے درمیان کوڈ کو اوورلیپ کریں جو ہمیں اپنے تجزیہ کے دوران ملا۔ انتساب میں نتائج اور اہمیت جدول 1 میں درج ہیں۔

ٹیبل 1. WinorDLL64 اور GhostSecret کے درمیان مماثلت اور دونوں کو ایک ہی خطرے والے اداکار سے منسوب کرنے میں ان کی اہمیت

فائل بھیجنے کی فعالیت میں کوڈ اوورلیپ کو شکل 2 اور شکل 3 میں نمایاں کیا گیا ہے۔

شکل 2. GhostSecret فائل بھیج رہا ہے۔

شکل 3. Wslink فائل بھیج رہا ہے۔

تکنیکی تجزیہ

WinorDLL64 بیک ڈور کے طور پر کام کرتا ہے جو خاص طور پر سسٹم کی وسیع معلومات حاصل کرتا ہے، فائل میں ہیرا پھیری کے ذرائع فراہم کرتا ہے، اور اضافی کمانڈز پر عمل درآمد کرتا ہے۔ دلچسپ بات یہ ہے کہ یہ ایک TCP کنکشن پر بات چیت کرتا ہے جو پہلے ہی اس کے لوڈر کے ذریعے قائم کیا گیا تھا اور لوڈر کے کچھ افعال استعمال کرتا ہے۔

تصویر 4. Wslink کے مواصلات کا تصور

بیک ڈور ایک DLL ہے جس میں ایک واحد بے نام برآمد ہوتا ہے جو ایک پیرامیٹر کو قبول کرتا ہے – مواصلات کے لیے ایک ڈھانچہ جو پہلے ہی ہمارے میں بیان کیا گیا ہے۔ گزشتہ بلاگ پوسٹ. اس ڈھانچے میں TLS-سیاق و سباق پر مشتمل ہے - ساکٹ، کلید، IV - اور 256-bit AES-CBC کے ساتھ خفیہ کردہ پیغامات بھیجنے اور وصول کرنے کے لیے کال بیکس جو WinorDLL64 کو پہلے سے قائم کردہ کنکشن پر آپریٹر کے ساتھ محفوظ طریقے سے ڈیٹا کا تبادلہ کرنے کے قابل بناتا ہے۔

درج ذیل حقائق ہمیں بڑے اعتماد کے ساتھ یہ یقین دلاتے ہیں کہ لائبریری واقعتا Wslink کا حصہ ہے:

• منفرد ڈھانچہ ہر جگہ متوقع طریقے سے استعمال کیا جاتا ہے، مثلاً، TLS سیاق و سباق اور دیگر معنی خیز پیرامیٹرز متوقع ترتیب میں درست کال بیکس کو فراہم کیے جاتے ہیں۔
• ڈی ایل ایل کا نام ہے۔ WinorDLL64.dll اور Wslink کا نام تھا۔ WinorLoaderDLL64.dll.

WinorDLL64 کئی کمانڈز کو قبول کرتا ہے۔ شکل 5 وہ لوپ دکھاتا ہے جو کمانڈز وصول کرتا اور ہینڈل کرتا ہے۔ ہر کمانڈ ایک منفرد ID کا پابند ہے اور ایک ایسی ترتیب کو قبول کرتا ہے جس میں اضافی پیرامیٹرز ہوتے ہیں۔

تصویر 5. بیک ڈور کے کمانڈ وصول کرنے والے لوپ کا مرکزی حصہ

کمانڈ لسٹ، ہمارے لیبلز کے ساتھ، شکل 6 میں ہے۔

تصویر 6۔ کمانڈ لسٹ

جدول 2 میں WinorDLL64 کمانڈز کا خلاصہ شامل ہے، جہاں ترمیم کی گئی ہے، اور پرانے زمرے پہلے سے دستاویزی GhostSecret فعالیت سے تعلق کا حوالہ دیتے ہیں۔ ہم ترمیم شدہ زمرہ میں صرف اہم تبدیلیوں کو نمایاں کرتے ہیں۔

ٹیبل 2۔ بیک ڈور کمانڈز کا جائزہ

نتیجہ

Wslink کا پے لوڈ فائل میں ہیرا پھیری، مزید کوڈ پر عمل درآمد، اور بنیادی نظام کے بارے میں وسیع معلومات حاصل کرنے کے لیے وسائل فراہم کرنے کے لیے وقف ہے جسے ممکنہ طور پر بعد میں نیٹ ورک سیشنز میں مخصوص دلچسپی کی وجہ سے پس منظر کی نقل و حرکت کے لیے فائدہ اٹھایا جا سکتا ہے۔ Wslink لوڈر کنفیگریشن میں بیان کردہ پورٹ پر سنتا ہے اور اضافی کنیکٹنگ کلائنٹس کی خدمت کر سکتا ہے، اور یہاں تک کہ مختلف پے لوڈز بھی لوڈ کر سکتا ہے۔

WinorDLL64 میں ترقی کے ماحول، رویے، اور کوڈ میں لازارس کے متعدد نمونوں کے ساتھ ایک اوورلیپ ہوتا ہے، جو اس بات کی نشاندہی کرتا ہے کہ یہ شمالی کوریا کے منسلک APT گروپ کے وسیع ہتھیاروں کا ایک آلہ ہو سکتا ہے۔

آئی او سیز

MITER ATT&CK تکنیک

یہ میز استعمال کرتے ہوئے بنایا گیا تھا۔ ورژن 12 اے ٹی ٹی اینڈ سی کے فریم ورک کا۔ ہم دوبارہ لوڈر کی تکنیکوں کا ذکر نہیں کرتے، صرف پے لوڈ کا۔

• SEO سے چلنے والا مواد اور PR کی تقسیم۔ آج ہی بڑھا دیں۔
• پلیٹو بلاک چین۔ Web3 Metaverse Intelligence. علم میں اضافہ۔ یہاں تک رسائی حاصل کریں۔
• ماخذ: https://www.welivesecurity.com/2023/02/23/winordll64-backdoor-vast-lazarus-arsenal/