Злоумышленники + AutoIt =❓

👋 Всем привет! На связи снова команда UserGate uFactor.

В нашей третьей статье на Хабре мы рассмотрели, как злоумышленники применяют язык AutoIt для создания ВПО, — а здесь поделимся самым важным.

💻 AutoIt — язык автоматизации для Windows. Он позволяет создавать скрипты, имитирующие действия пользователя (например, текстовый ввод, клики, реакции на события) и подходит для автоматизации рутинных задач, например для установки ПО на множество ПК.

💀 Рассмотрим экземпляр вредоноса

Для анализа PE-файла мы воспользовались Detect It Easy и увидели, что используется библиотека AutoIt. Для декомпиляции применили AutoIt Extractor. Так как файл 32-битный, использовали экстрактор x86.

AutoIt Extractor показал, что в исполняемом файле находятся скрипт и бинарный файл. При сохранении файлы были названы следующим образом:

— 1.txt — для скриптового сценария;
— 2.bin — для бинарного файла.

⚙️ Деобфускация

Скрипт 1.txt содержит обфусцированные строки (рисунки 1 и 2). Если внимательно их изучить, можно увидеть, что обфускация совсем проста (в строках последовательность символов dycw заменяется пустым значением). Для деобфускации понадобится текстовый редактор, например Sublime.

На рисунке 3 по двум последним строкам видно: будет выделена память и в нее запишутся данные из переменной $yzbwapzvk, а далее осуществится переход на данные по адресу, смещенному на 9136 (dec), — то есть запустится шеллкод.

Теперь необходимо деобфусцировать значения в переменной $yzbwapzvk, поэтому сначала данные необходимо преобразовать в одну строку (убрать лишние переносы $yzbwapzvk &=), далее — удалить из получившейся длинной строки dycw.

⚙️ Преобразование бинарного файла

По коду видим, что значения будут интерпретированы как hex — на это указывает 0x в начале. Для преобразования строки в байты и сохранения в бинарный файл можно воспользоваться CyberChef (рисунок 4) или написать скрипт.

Получившийся бинарный файл отладим в OllyDbg с помощью нашей самописной «подсобки». Она открывает скачанный бинарный файл, читает байты в память и переходит на начальный адрес. Также при переходе на начальный адрес необходимо заменить значение в регистре на точку входа в шеллкод (рисунок 5).

В самом начале в память записывается ключ расшифровки (рисунок 6). Алгоритм шеллкода — получение адресов WinAPI. Далее расшифровывается файл Lityerses (рисунок 7), IAT заполняется адресами WinAPI, полученными ранее, запускается легитимный svchost и его адресное пространство перезаписывается кодом Lityerses.

👍 Вывод

Файл Lityerses — тот самый бинарный файл, извлеченный через AutoIt Extractor. Ключ для расшифровки — CAF24LGHR9ZJZAU7IC, для шифрования используется обычный XOR. Значения до расшифровки — на рисунке 8, расшифрованный файл — на рисунке 9.

🕵️‍♀️ Так, вредонос на AutoIt применяет следующие техники уклонения от автоматизированных СЗИ:

— скриптовый сценарий в PE-файле;
— обфускацию строк путем подстановки лишних символов;
— выделение памяти и исполнение шеллкода;
— дешифровку полезной нагрузки с использованием XOR-ключа;
— внедрение в легитимный процесс (svchost) и исполнение файла Lityerses.

➡️ Прочитать полную версию исследования можно в нашей статье на Хабре 💙

💀 Уязвимости — старые, атаки — новые

Продолжаем делиться нашими исследованиями: сегодня поговорим о внедрении шеллкода в Microsoft Office и разберем старую, но до сих пор актуальную уязвимость CVE-2017-11882, связанную с работой компонента Microsoft Equation Editor (EQNEDT32.EXE).

Мы рассмотрим документ Excel — XML-файл, сжатый в ZIP-архив. Документы Excel могут быть бинарными, их формат — Compound Binary File Format. К бинарным форматам относятся Excel 97-2003, Excel 5.0/95.

🔎 Предварительный анализ

На рисунке 1 — фрагмент содержимого вредоноса в hex-редакторе. Сигнатура 50 4B указывает на то, что это формат ZIP. Для первичного анализа воспользуемся утилитой OfficeMalScanner. Команда Inflate показывает содержимое документа и сохраняет файлы в C:\Users\<username>\AppData\Local\Temp\DecompressedMsOfficeDocument.

На рисунке 2 видно, что в нашем образце RFQPC25-1301.xlsx есть подозрительный файл Q5.8ZIBJ. Хотя утилита OfficeMalScanner сохранила содержимое исследуемого файла, для примера извлечем его другим способом.

Сохраним файл RFQPC25-1301.xlsx и изменим его расширение на .zip, чтобы просмотреть вложенное содержимое, а именно файл Q5.8ZIBJ. На рисунке 3 выделена сигнатура D0 CF 11 E0 A1 B1 1A E1 (Compound Binary File Format) — именно этот файл эксплуатирует CVE-2017-11882.

💻 Расшифровка шеллкода

Поскольку CVE-2017-11882 связана с переполнением буфера стека и позволяет выполнить шеллкод, необходимо найти его точку входа и понять, какие команды он будет выполнять. Вернемся к OfficeMalScanner, найдем точку входа и попробуем применить перебор ключей XOR для расшифровки основного тела шеллкода.

Утилита на рисунке 4 указывает на то, что есть две точки входа в шеллкод (выделены красным). Перебор ключей не дал результатов — скорее всего, ключ и шифрование не самые простые.

Для отладки шеллкода используем самописную подсобку, которая открывает файл download.dat, считывает его и переходит посредством call на начальный адрес считанных байт. Переименовав файл Q5.8ZIBJ в download.dat, запускаем в отладчике подсобку. Чтобы попасть на точку входа в шеллкод, необходимо пересчитать адрес (рисунок 5). Прибавим к начальному адресу адрес, полученный при помощи OfficeMalScanner (адреса ee554, ee593; рисунок 6). Отметим, что результат выполнения и данные одинаковы вне зависимости от того, какой адрес мы выберем (рисунок 7).

После анализа кода становится понятно, что к основной части применен XOR, ключ которого рассчитывается через сложение и умножение для 4 байт и сдвигается на 4 байта.

Для быстрой расшифровки поставим точку останова на финальную команду перед исполнением и запустим код в отладчике. На рисунке 8 — следующие строки расшифрованного шеллкода:

LoadLibraryW
GetProcAddress
ExpandEnvironmentStringsW
%APPDATA%\word.exe
UrlMonURLDownloadToFileW
http://combo.s3.eu-north-1[.]amazonaws.com/jekonbary2.1.exe
WideCharToMultiByte
WinExec
ExitProcess

🕵️‍♀️ Подводим итоги. Как работает шеллкод:

➡️ Получает адреса WinAPI-функций GetProcAddress и LoadLibraryW.
➡️ При помощи этих функций получает адреса других необходимых API.
➡️ Выполняет функцию ExpandEnvironmentStringsW. Передав ей аргумент %APPDATA%\word.exe, получает значение %APPDATA%\Roaming\word.exe.
➡️ При помощи UrlMonURLDownloadToFileW скачивает основной модуль, расположенный по адресу http://combo.s3.eu-north-1[.]amazonaws.com/jekonbary2.1.exe, и сохраняет его под именем word.exe.
➡️ Запускает скачанный модуль с помощью WinExec.

Файл word.exe — это скомпилированный скриптовый сценарий AutoIt. После извлечения скрипта мы установили:

🔸 В коде содержится шеллкод, обфусцированный путем добавления в строку 561840652.
🔸 В теле скрипта размещена основная бинарная нагрузка, которая расшифровывается при помощи шеллкода с использованием XOR-ключа 9A6VBEF324RR3VT3Z8.
🔸 Сам бинарный файл копируется в директорию C:\Users\<username>\AppData\Local\Temp с именем Mazatl, после этого шеллкод запускает легитимные процессы и переписывает секцию .code вредоносным расшифрованным кодом.

👀 Больше деталей — в нашей статье на Хабре 💎

🔥 GuLoader: как злоумышленники используют инсталлятор NSIS

Недавно мы рассказывали, как злоумышленники используют в атаках язык AutoIt, сегодня по следам нашей новой статьи на Хабре поговорим о ВПО GuLoader и разберем атаку с применением другого легитимного инструмента — NSIS.

💀 Nullsoft Scriptable Install System (NSIS) — система создания установочных программ для Microsoft Windows с открытым исходным кодом, разработанная компанией Nullsoft. NSIS была задумана как альтернатива InstallShield, предназначенного для коммерческих продуктов.

⚙️ Изучим вредоносный файл

Определить, что ВПО собрано при помощи NSIS, можно, например, с помощью Detect It Easy. Для извлечения содержимого из установочного файла можно воспользоваться архиватором 7-Zip. Извлечем все файлы в директорию и проанализируем их (рисунок 1).

Стоит обратить внимание на Basted.Non (фрагмент его содержимого в hex-редакторе — на рисунке 2). Откроем файл в Notepad++ и изучим. В коде на рисунке 3 есть переменные Colloque и Hexonic с кажущимися бессмысленными текстовыми сообщениями, а также функция Logjam, которая начиная с седьмого символа формирует строку с шагом восемь символов. В код также добавлены «мусорные инструкции».

Для деобфускации сохраняем основной массив текста (переменную Colloque) в файл и воспроизводим сценарий (рисунок 5). Отдельно отметим, что переменная Hexonic преобразуется в IEX.

👁 Проанализируем код

Деобфусцированный код преобразуем в читаемый вид (рисунок 6) — здесь обратим внимание, что значения некоторых переменных заданы в виде шестнадцатеричных строк. Также есть строка (выделена зеленым), которая преобразуется через функцию Logjam (выделена красным). После ее деобфускации получим: $Anfordring -bxor $danabluen.

XOR-ключом является 189 dec (bd — в hex-формате), он выделен желтым цветом. Функция Counteraggressions, предназначенная для XOR-операций, — синим. Функция Bitterish отвечает за конвертацию строк в виде hex-значений в байты.

Дополним сценарий алгоритмом преобразования и расшифровки строк (рисунок 7). На рисунке 8 — фрагмент кода с расшифрованными строками в читаемом виде.

🔎 Что внутри

На рисунке 9 — основной алгоритм вредоносного сценария. Отметим, что, так как второй регион памяти (переменная Kriminalbetjent) изначально имеет атрибут PAGE_READWRITE, то исполняться будет шеллкод из региона Minerne.

Шеллкод заполнен «мусорными инструкциями» и антиотладочными приемами, и исследовать его проблематично. Дерево процессов, а также сетевая коммуникация при динамическом анализе — на рисунке 10. Нагрузка, которую пытается скачать шеллкод, на данный момент недоступна.

Стоит отметить, что байты, ранее записанные в регион памяти Kriminalbetjent, также присутствуют в одном из регионов памяти процесса msiexec.exe, но страница уже имеет атрибут PAGE_EXECUTE_READWRITE.

🕵️‍♀️ Итоги, или Все по классике

Как и в случае вредоноса, написанного на AutoIt, для доставки ВПО GuLoader на атакуемую систему используется легитимный инсталлятор, позволяющий упаковать файл. Внутри основного вредоносного файла — всe по классике: XOR-шифрование и «мусорный» код, затрудняющий анализ. Мы смогли частично восстановить техники злоумышленников, а также получить дополнительные индикаторы, проведя ручной анализ, и не дали заражению распространиться.

➡️ Читать полную версию статьи на Хабре 💎