Новый дроппер группы APT31. Пункты назначения: Монголия, Россия, США и не только

Введение

Специалисты PT Expert Security Center (PT ESC) регулярно отслеживают активность хакерских группировок и появление новых угроз ИБ (threat intelligence). Во время такого мониторинга в апреле 2021 года была обнаружена отправленная в Монголию рассылка с вредоносным содержимым, неизвестным ранее. Некоторые из обнаруженных во время исследования файлов имели достаточно интересные названия — «хавсралт.scr» (монг. вложение), «Информация_Рб_июнь_2021_года_2021062826109.exe» — и, как показало исследование, содержали троян удаленного доступа (remote access trojan, RAT). Впоследствии аналогичные атаки были выявлены в России, Республике Беларусь, Канаде и США. По данным аналитиков threat intelligence из PT ESC, в общей сложности с января по июль 2021 года было проведено около десятка атак, где использовались найденные образцы ВПО. Детальный анализ вредоносного ПО, данные о путях, по которым располагались рабочие директории и ключи реестра, техники и механизмы, применяемые злоумышленниками (начиная с внедрения вредоносного кода и заканчивая используемыми логическими блоками и структурами), позволили соотнести этот зловред с активностью группы APT31.

Данная группировка, также известная как Judgment Panda (CrowdStrike) и Zirconium (Microsoft), активна по крайней мере с 2016 года. Предположительно, имеет китайское происхождение и предоставляет данные китайскому правительству и государственным предприятиям для достижения политических, экономических и военных преимуществ. Ключевой интерес — кибершпионаж. Среди целей злоумышленников — правительственный сектор, аэрокосмические и оборонные предприятия, а также международные финансовые компании и сектор высоких технологий. Жертвами группировки в разные годы становились правительство Финляндии, а также, предположительно, правительства Норвегии и Германии. Кроме того, группа атаковала организации и лица, близкие к кандидатам в президенты США во время предвыборной кампании 2020-го. Недавние атаки на компании во Франции, связанные со взломом домашних и офисных маршрутизаторов, также связывают с активностью этой группировки. В этой статье мы изучим созданное группировкой ВПО, подробнее остановимся на обнаруженных видах дропперов и уловках, используемых его разработчиками, а также приведем критерии, на основании которых проведена атрибуция атак.

Анализ вредоносного содержимого

Дроппер

Основная задача дроппера, внешний вид основной функции которого представлен на рис. 1, — создание на зараженном компьютере двух файлов: вредоносной библиотеки и уязвимого для DLL Sideloading приложения (позднее это приложение запускается). Оба файла создаются всегда по одному пути: C:\ProgramData\Apacha. При отсутствии данной директории происходит ее создание и перезапуск процесса.

На втором этапе запущенное дроппером приложение подгружает вредоносную библиотеку и вызывает одну из ее функций. Примечательно, что в качестве имени вредоносной библиотеки во всех случаях было выбрано MSVCR100.dll. Библиотека с идентичным именем входит в состав Visual C++ для Microsoft Visual Studio и есть почти на всех ПК, однако в легитимном случае она находится в папке System32 (рис. 2). Кроме того, размер вредоносной библиотеки намного меньше легитимной.

Стоит также отметить хитрость разработчиков ВПО: в качестве экспортов в библиотеке содержатся имена, которые можно найти в легитимной MSVCR100.dll. Без сомнения, это сделано с целью «приблизить» вредоносную библиотеку к оригинальной версии.

Впрочем, число экспортов во вредоносном образце намного меньше, а большинство из них — это вызовы ExitProcess.

Ниже представлен пример вызова вредоносной функции из созданной библиотеки, после чего управление передается вредоносному коду. Заметим, что чаще всего в качестве имени вредоносных функций выбирались те, которые используются при обычной загрузке приложений.

В ходе анализа экземпляров ВПО специалисты PT ESC обнаружили различные версии дропперов, содержащие один и тот же набор функций. Основное различие — имя директории, в которой будут созданы файлы, содержащиеся в дроппере. Однако во всех изученных случаях использовались директории, находящиеся в C:\ProgramData\.

На версию дроппера, загружающую все файлы с контрольного сервера, стоит обратить особое внимание. Рассмотрим его подробнее. На первом этапе также проверяется наличие рабочей директории, после чего происходит соединение с контрольным сервером и загрузка с него необходимых данных.

Коммуникация с сервером ничем не шифруется, также не шифруется и адрес контрольного сервера внутри ВПО. Загруженные файлы записываются в созданной рабочей директории.

На рис. 7 показаны участки кода, отвечающие за загрузку всех файлов с сервера (последний рассмотренный случай), а на рис. 8 — код загрузки основной библиотеки (первый случай).

Исследование открытых директорий контрольных серверов позволило обнаружить библиотеки в незашифрованном виде (рис. 9).

Также стоит отметить, что в ряде случаев, в частности при атаках на Монголию, дроппер был подписан валидной цифровой подписью (рис. 10). По мнению экспертов PT ESC, данная подпись, скорее всего, была украдена.

Вредоносная библиотека

Исполнение начинается с получения списка запущенных процессов, что, однако, ни на что не влияет и нигде не используется. Далее библиотека проверяет наличие файла C:\\ProgramData\\Apacha\\ssvagent.dll — это загруженная с сервера зашифрованная основная нагрузка. Если этого файла нет, то расшифровывается адрес контрольного сервера, с которого будет произведено скачивание.

По факту, это 5-байтный XOR со встроенным внутрь библиотеки ключом. Внутри бинарного файла ключ хранится в виде xmmword константой 9000000090000000900000009h (пятый байт добавляется по прямому адресу в память самой вредоносной программой), на самом деле шифрование производится с байтом 0x9. После расшифрования адреса C2 происходит соединение с контрольным сервером и загрузка с него зашифрованной полезной нагрузки. Затем полученные данные сохраняются в файле C:\\ProgramData\\Apacha\\ssvagent.dll, и легитимное приложение ssvagent.exe перезапускается. Основная часть описанных функций представлена на рис. 11.

В случае если полезная нагрузка загружена ранее, происходит проверка на уже запущенное приложение. Для этого создается мьютекс с именем ssvagent — если и он был создан, приложение завершается.

Далее библиотека записывает легитимный ssvagent.exe в автозагрузку через реестр, как показано на рис. 12.

После этого загруженный с сервера файл расшифровывается операцией XOR с 5-байтным ключом. (Алгоритм и ключ, показанные на рис. 10, отличаются от используемых при расшифровании адреса контрольного сервера.) Ключ, так же как и в случае с расшифрованием адреса контрольного сервера, хранится в виде xmmword и представляет собой константу 1100000033000000060000000Eh. Пятый байт во всех случаях идентичен — его значение 0x12.

После этого расшифрованные данные размещаются в памяти приложения, и на них передается управление.

Полезная нагрузка

Основная библиотека начинает свое исполнение с создания пакета, который будет отправлен на сервер. Формально пакет создается из трех частей:

1. основной заголовок,
2. хеш,
3. зашифрованные данные.

Основной заголовок представляет собой следующую структуру:

    

typedef struct _MAIN_HEADER
{
DWORD sizeOfPacket; //без учета самого поля
DWORD const_1;
DWORD const_2;
} MAIN_HEADER, *PMAIN_HEADER;

    

Значения const_1 и const_2 одинаковы и не меняются от пакета к пакету (выравненное до 4 байтов значение единицы).

Для формирования хеша, которого предваряет основной заголовок, вредоносное ПО получает MAC-адрес и имя ПК (результат исполнения GetComputerNameExW). Данные значения конкатенируются (не используя при этом никакие разделители), после чего от полученного значения берется MD5-хеш, который потом конвертируется в строку. Пример формирования хеша представлен на рис. 14.

Далее формируется третья часть пакета — описывающая его структура, представлена ниже:

    

typedef struct  _FIRST_PACKET
{
char pcName[]; //результат GetComputerNameExW
BYTE splitByte_0x09;
char userName[]; // результат GetUserNameW
BYTE splitByte_0x09;
char hostIp[];
BYTE splitByte_0x09;
char decrStr_1[2];
BYTE splitByte_0x2E;
char decrStr_2[1];
BYTE splitByte_0x2E;
char decrStr_3[5];
BYTE splitByte_0x2E;
char decrStr_4[2];
BYTE splitByte_0x2E;
char osVersion_inverted[2];
BYTE splitByte_0x09;
char version[3];
BYTE splitByte_0x09;
char macAddr[];
BYTE splitByte_0x09;
} _FIRST_PACKET, *_FIRST_PACKET;
    

Каждое поле отделяется от другого значением 0x09, некоторые поля разделены значением 0x2E.

Поля заголовка, начиная с decrStr_1 и по decrStr_4, не генерируются вредоносной программой и не собираются на зараженном компьютере. Все значения находятся внутри вредоносной программы в зашифрованном виде. Каждое значение отдельно расшифровывается и добавляется в заголовок. Поле decrStr_4 зависит от разрядности операционной системы, что в конечном счете приводит к разным смещениям зашифрованных данных, передаваемых в функцию расшифрования (рис. 17) в качестве аргумента.

Ниже представлен формат полного сформированного пакета. Зеленым отмечен основной заголовок, красным — хеш, желтым — зашифрованные данные.

Сформированный пакет шифруется RC-4 с ключом 0x16CCA81F, который вшит в зашифрованные данные, и отправляется на сервер, после чего вредоносная программа ожидает команд от сервера.

Рассмотрим список команд, выполняемых ВПО:

• 0x3 — получить информацию о подключенных дисках;
• 0x4 — выполнить поиск файла;
• 0x5 — создать процесс, коммуникация через пайп;
• 0xA — создать процесс через ShellExecute;
• 0xC — создать новый поток с загрузкой файла с сервера;
• 0x6, 0x7, 0x8, 0x9 (идентичны) — выполнить поиск файла или выполнить нужную операцию через SHFileOperationW (копирование файла, перемещение файла, переименование файла, удаление файла);
• 0xB — создать директорию;
• 0xD — создать новый поток с отправкой файла на сервер;
• 0x11 — выполнить самоудаление.

Стоит отметить, что часть из них дублируют функции друг друга, а некоторые идентичны в плане кодовой имплементации. Скорее всего, это связано с тем, что потенциальная версия ВПО — 1.0. Предположение основано на значении, вшитом в код и содержащемся в сетевых пакетах.

Весьма любопытен код обработки последней команды: при помощи bat-файла удаляются все созданные файлы и ключи реестра.

Атрибуция

В ходе расследования специалистами PT ESC был найден отчет компании Secureworks, в котором описан троян DropboxAES RAT группы APT31. Анализ обнаруженных экземпляров ВПО позволяет утверждать, что за изученной нами атакой тоже стоит эта группировка: были найдены многочисленные пересечения по функционалу, используемым техникам и механизмам — начиная с внедрения вредоносного кода (вплоть до имен используемых библиотек) и заканчивая используемыми внутри программного кода логическими блоками и структурами. Идентичными также являются пути, по которым располагаются рабочие директории ВПО, и ключи реестра, через которые обеспечивается механизм персистентности и их идентичность рабочим директориям. Помимо этого, в высокой степени схожими оказались обработчики команд, исполняемые ВПО, а механизм самоудаления идентичен.

Главное отличие данной версии вредоносного ПО от рассмотренного Secureworks заключается в коммуникации основной нагрузки с управляющим сервером. В изучаемых образцах ВПО в качестве контрольного сервера не использовался Dropbox.

Сетевая инфраструктура

Обнаруженные образцы ВПО, в том числе и зашифрованные, не позволили выявить каких-либо пересечений между ними по сетевой инфраструктуре. Тем не менее в ряде случаев полезная нагрузка обращалась на узлы, отличные от тех, с которых загружалась.

В одном из последних образцов вредоносного ПО был выявлен интересный домен inst.rsnet-devel[.]com, имитирующий домен федеральных органов государственной власти и органов государственной власти субъектов РФ для сегмента сети Интернет, что может говорить об атаке на правительственные организации в России.

Заключение

В ходе исследования специалисты PT ESC проанализировали новые версии ВПО, используемого группировкой APT31 в атаках с января по июль текущего года. Обнаруженные сходства с более ранними версиями вредоносных образцов, описанными исследователями, например, в 2020 году, позволяют предположить, что группа расширяет географию интересов на страны, где ее растущая активность может быть обнаружена, в частности на Россию. Мы полагаем, что в ближайшее время будет выявлено применение этой группой в атаках, в том числе на Россию, и другого инструментария, который можно будет идентифицировать по кодовому соответствию либо сетевой инфраструктуре.

IOCs

Сетевые индикаторы

gitcloudcache[.]com

edgecloudc[.]com

api[.]hostupoeui[.]com

api[.]flushcdn[.]com

const[.]be-government[.]com

drmtake[.]tk

inst[.]rsnet-devel[.]com

20[.]11[.]11[.]67

Сетевые сигнатуры

В результате исследования формата полного сформированного пакета экспертам Positive Technologies удалось разработать правила для детектирования данной угрозы в сетевом трафике. Скачать свободно распространяемые правила можно из нашего репозитория по адресу - https://github.com/ptresearch/AttackDetection/tree/master/APT31

MITRE