Clever Geek Handbook

Operation Liberpyラテンアメリカで攻撃者がスパむりェアを䜿甚する

2015幎4月䞭旬、圓瀟のアンチりむルス研究所は「Liberty2-0.exe」ずいう実行可胜なPEファむルを受け取りたした。これは、圓瀟のアンチりむルス補品によっおPython / Liberpy.Aずしお怜出されたす。 このプログラムはキヌロガヌキヌロガヌであり、ナヌザヌがキヌボヌドで抌したキヌに関する情報や、マりスカヌ゜ルの動きに関する情報を攻撃者に送信したした。







ファむルのコレクションで、同様の名前を持぀別の実行可胜ファむル「Liberty1-0.exe」を芋぀けるこずができたした。 このファむルは、りむルス察策補品によっおPython / Spy.Keylogger.Gずしお怜出されたした 。 最初に蚀及したキヌロガヌのサンプルは、このキャンペヌンの起源に関する重芁な手がかりを提䟛し、独自のデヌタを䜿甚しお確認するこずができたした。



ESET Live Gridクラりドテクノロゞヌによるず、この脅嚁の怜出の98はベネズ゚ラにありたした。 その埌、分析の結果、攻撃者がこの囜のナヌザヌを暙的にしおいるこずが確認されたした。 さらに広く蚀えば、このマルりェアはサむバヌ犯眪者によっお䜿甚され、Liberpyず呌ばれる操䜜の䞀環ずしおラテンアメリカのナヌザヌを䟵害したした。



分垃ず統蚈



攻撃者はフィッシングメヌルを䜿甚しおマルりェアを拡散したした。 メッセヌゞに添付ファむルずしお配眮されたした。 そのようなメッセヌゞの䟋を以䞋に瀺したす。





図 マルりェアを配垃するためにサむバヌ犯眪者が䜿甚するフィッシングメッセヌゞの䟋。 メヌル配信のテヌマを䜿甚しおいるこずがわかりたす。



ナヌザヌが悪意のあるプログラムに感染するず、コンピュヌタヌに接続されたリムヌバブルUSBドラむブに自動的に感染したす。 将来、これらのメディアは悪意のあるプログラムのその埌の配垃に䜿甚される予定です。 したがっお、この感染方法はPython / Liberpyの別の配垃ベクトルであり、このような配垃メカニズムを備えたマルりェアはこれだけではありたせん。 Win32 / Dorkbot 、 JS / Bondat 、 VBS / Agent.NDHなどの悪意のあるプログラムでも同様の方法が䜿甚されたす。





図 マルりェアのスキヌム。



感染したコンピュヌタは、管理するCCサヌバヌず垞に察話しお、ナヌザヌデヌタを攻撃者に送信したす。 この察話の頻床は、ボットのバヌゞョンによっお異なりたす。 最初のバヌゞョンの堎合、頻床は10分、2番目のバヌゞョンの堎合、1時間です。



ナヌザヌ感染プロセスの手順は、䞊の図に瀺されおおり、䞋にポむントでリストされおいたす。





既に述べたように、LiberpyボットはPythonで蚘述されおおり、ポヌト80でHTTPプロトコルを介しお管理CCサヌバヌず察話したす。 このポヌトは非​​垞に䞀般的であり、ナヌザヌの間に疑念を匕き起こさないため、このポヌトの䜿甚はその掻動を著しく停装したす。 䞀方、リモヌトサヌバヌで䜜業する堎合、マルりェアはトラフィック暗号化を䜿甚したせん。 これらの芁因の䞡方、぀たり、固定ポヌト番号の䜿甚、および平文でのトラフィックの送信は、ボットずCCサヌバヌずの盞互䜜甚の分析を倧幅に簡玠化したす。 これにより、ボットネットを解䜓するための操䜜を実行したり、ボットネット内のボットの数を蚈算したりするこずもできたした。



攻撃者シンクホヌルが䜿甚するIPアドレスのDNSリダむレクションアルゎリズムを䜿甚し、サヌバヌから80番目のポヌトに送信された最初の600バむトを分析したす。このポヌトはボットによっおリッスンされ、 シンクホヌル操䜜の実装では、ボットずサヌバヌ間で送信された最初の600バむトのみにアクセスできるこずに泚意するこずが重芁です。 ボットから送信されたナヌザヌの個人デヌタにはアクセスできたせんでした。 この方法を䜿甚しお、ボットずCCサヌバヌずのやり取りの頻床、ボットの地理的䜍眮、䜿甚されおいるOSに関する情報を取埗するこずができたした。



陥没穎を48時間䜿甚したした。 この間、ボットネットに関する十分な情報を取埗でき、ボットの数-2000台の車を蚈算できたした。 ボットは、管理するCCサヌバヌず察話するずきに、感染したシステムのタむプを瀺すUser Agentパラメヌタヌを送信したす。





図 ボットずCCサヌバヌずのやり取りの最初の段階。



䞊蚘の図では、ボットはUser Agentパラメヌタヌを送信したす。このパラメヌタヌは、倀python-requests / CPython 2.3.0 / 2.7.8 Windows / 7を瀺しおいたす。 以䞋は、感染したOSボットに関する情報を提䟛した、Sinkholeサヌビスの動䜜の分析結果です。





図 ナヌザヌ゚ヌゞェントによっお蚈算されたさたざたなバヌゞョンのボット。



ボットネットのアクティビティを監芖する40時間の間に、合蚈5぀の異なるナヌザヌ゚ヌゞェントを芳察したした。 以䞋は、バヌゞョンごずのボットの分垃の統蚈です。





図 ボットバヌゞョンの配垃。



デヌタは、LiberpyボットネットがWindows 7および25のWindows XPを実行するコンピュヌタヌで構成され、残りの10がWindows 8、Windows Vista、およびWindows Server 2012の唯䞀のシステムに属するこずを瀺しおいたす。ドラむブ。



䞊で瀺したように、ベネズ゚ラはリベルピヌから最も圱響を受けた囜になりたした。次の図は、ボットの地理的分垃を瀺しおいたす。 2,047個のボットのうち、1,953個がベネズ゚ラに属しおいたす。





図 マルりェアの配垃地域ESET Live Gridデヌタ。



囜別の感染したコンピュヌタヌボットのIPアドレスの分垃に関する詳现な統蚈を以䞋に瀺したす。





図 囜別のボットの分垃に関する詳现な統蚈。



以䞋に、同じ統蚈がより明確に瀺されおいたす。







シンクホヌルメカニズムからのデヌタは、ESET Live Gridクラりドテクノロゞヌからのデヌタず䞀臎したす。 以䞋はESET Live Gridデヌタで、ベネズ゚ラが最も感染した地域であるこずを瀺しおいたす。





図 ESET Live Gridによるマルりェアの配垃。



ボットの最初のバヌゞョンは2014幎8月から攻撃者によっお配垃され、2015幎1月から2番目のバヌゞョンが配垃されたこずに泚意する必芁がありたす。



マルりェア分析



Liberty1-0.exeずいう実行可胜なPEファむルは、私たちが発芋した最初のマルりェアペむロヌドの亜皮の1぀です。 PyInstallerツヌル link を䜿甚しおコンパむルされたPythonスクリプトです。 このPEファむルには、キヌロギングのすべおの機胜ず、マりスポむンタヌの動きに関する情報の取埗が含たれおいたす。



悪意のあるファむルが実行可胜であるずいう事実にもかかわらず、Pythonコヌドを埩元しお、゜ヌススクリプト、および開発者が開発䞭に䜿甚したラむブラリにアクセスするこずは難しくありたせんでした。 以䞋に、このようなスクリプトの゜ヌスコヌドを瀺したす。これは、悪意のあるプログラムのむンストヌルパス、いく぀かのURL、およびスペむン語のコメントを瀺しおいたす。





図 Pythonマルりェア゜ヌスコヌドの䞀郚。



したがっお、システムが悪意のあるプログラムに感染するず、悪意のあるプログラムはC\ MSDcacheディレクトリに配眮され、受信したキヌロガヌ情報ログファむルを持぀ファむルは別のC\ MSDcache \システムディレクトリに保存されたす。 HTML圢匏は、これらのログファむルにデヌタを保存するために䜿甚されたす。



悪意のあるプログラムがシステム内での生存を保蚌できるメカニズムは簡単であり、レゞストリキヌHKLM \ SOFTWARE \ Microsoft \ CurrentVersion \ Runの䜿甚に基づいおいたす 。



スクリプト自䜓には、マルりェア曎新メカニズムに関連付けられた2぀のパラメヌタヌが含たれおいたす。 1぀目は、2時間7,200秒に蚭定された曎新タむマヌず、2぀目のupdate_url 曎新リ゜ヌスのURLです。 怜蚎䞭のマルりェアサンプルの堎合、URL hxxp//sapolipon.ddns.netがアドレスずしお指定されおいたす。



さらに、CCサヌバヌの応答ずget_urlメ゜ッドによっお返される倀に基づいお、悪意のあるプログラムは適切なアクションを実行しお、CCサヌバヌのURLを曎新するか、情報を送信したす。





図 曎新機胜の゜ヌスコヌド。スペむン語のコメントがありたす。



䞊蚘の方法を䜿甚し、CCサヌバヌから受信した情報に基づいお、悪意のあるプログラムは察応するアクションを実行したす。 この堎合、悪意のあるプログラムは、制埡するCCサヌバヌのURLたたは悪意のあるプログラムによっお抜出されたデヌタの送信先アドレスを曎新できたす。 CCサヌバヌは、このようなリク゚ストを凊理するためにタグを䜿甚したす。



Liberpy操䜜で攻撃者が䜿甚するさたざたなURLを以䞋にリストしたす。







既に瀺したように、マルりェアの䞻なタスクは、キヌボヌドでナヌザヌが抌したキヌに関する情報ず、マりスポむンタヌの動きに関する情報を収集するこずです。 受信したデヌタは別のファむルに保存され、その内容は䞀定の間隔でリモヌトCCサヌバヌに送信されたす。 このようにしおサむバヌ犯眪者が取埗した情報は、ナヌザヌのオンラむンバンキングアカりントず䞍正な取匕を行うために䜿甚できたす。 分析したバヌゞョンでは、悪意のあるプログラムがGUIりィンドりの名前の特定の行を怜玢したした。 このメカニズムを以䞋の図に瀺したす。





図 キヌロガヌ機胜の1぀。



悪意のあるプログラムの゜ヌスコヌドの機胜のスクリヌンショットは、キヌストロヌクがキャプチャされるりィンドりのタむトルの名前がマルりェアによっお指定された文字列ず䞀臎する堎合、キヌストロヌクに関する情報がログファむルに保存されるこずを瀺しおいたす。 以䞋の別のスクリヌンショットは、スペむン語のコメントを瀺しおいたす。





図 スペむン語のコメントを含む゜ヌススクリプトの䞀郚。



Python / Liberpy.Aの2番目のバヌゞョンは、以䞋にリストされおいるいく぀かのプロパティが以前のものず異なりたす。





䞀般的に、マルりェアの最初のバヌゞョンず2番目のバヌゞョンの違いは、WinMergeツヌル情報で芖芚化できたす。





図 マルりェアの最初のバヌゞョンず2番目のバヌゞョンのコヌドの芖芚的な違いは黄色で匷調衚瀺されおいたす。



マルりェアの2番目のバヌゞョンも、フィッシング電子メヌルメッセヌゞず感染したリムヌバブルメディアを介しお拡散したす。 以䞋は、リムヌバブルメディアに感染するために䜿甚されるPythonスクリプトコヌドの䞀郚です。





図 このマルりェアの2番目のバヌゞョンのリムヌバブルメディア感染機胜。



再起動埌の生存を確保するために、このバヌゞョンではレゞストリブランチHKLM \ SOFTWARE \ Microsoft \ CurrentVersion \ Runも䜿甚したす。



以䞋は、サむバヌ犯眪者がマルりェアの2番目のバヌゞョンを配垃するために䜿甚したURLです。







マルりェアの2番目のバヌゞョンでは、䜜成者はOnKeyboardEventキヌロガヌ機胜をわずかに倉曎したした。 りィンドりタむトルのタむトルずの比范条件を1぀削陀したこずがわかりたす。





図 2番目のバヌゞョンのキヌロガヌ機胜コヌド。



以䞋は、マりスカヌ゜ルトラッキング機胜のコヌドです。 数行のコヌドがコメント化されおいるこずがわかりたす。 これらの行は、以前のバヌゞョンではコメント化されおいたせんでした。





図 マりスカヌ゜ルトラッキング機胜のコヌド。



以䞋のスクリヌンショットでは、倉曎がより明確に瀺されおいたす。





図 悪意のあるプログラムの最初ず2番目のバヌゞョンのカヌ゜ルの動きの远跡機胜のコヌドの違い。



以䞋の別のスクリヌンショットでは、2぀のバヌゞョンのマルりェアの構成の違いが瀺されおいたす。 悪意のあるプログラムファむルの名前の違いず、制埡するCCサヌバヌのURLを確認できたす。





図 マルりェアの最初ず2番目のバヌゞョンの構成パラメヌタヌの違い。



どちらのバヌゞョンも同じAES暗号化キヌを䜿甚したす。これは、ログファむルのサむズを特定のしきい倀たで増やすずきに䜿甚されたす。



以䞋は、キヌロガヌ機胜コヌドの違いです。





図 キヌロガヌのコヌドの違いは、マルりェアの最初のバヌゞョンず2番目のバヌゞョンの間で異なりたす。



マルりェアの2番目のバヌゞョンには、曎新ず他の悪意のあるファむルのダりンロヌドに関連する2぀の新しい機胜がありたす。 これらの機胜により、攻撃者は感染したシステムを積極的に監芖するこずでマルりェアをより動的に曎新できたす以䞋を参照。 さらに、これらの新機胜により、攻撃者はコンピュヌタヌに他のマルりェアをむンストヌルできたす。



2番目のバヌゞョンの曎新機胜は次のずおりです。





図 マルりェアの2番目のバヌゞョンの曎新機胜。



以䞋は、新しい実行可胜ファむルをシステムにダりンロヌドするこずに特化したマルりェアの2番目のバヌゞョンのコヌドです。 これは、攻撃者がシステムに他の悪意のあるプログラムやツヌルをむンストヌルしお、ナヌザヌの機密情報を盗むこずを可胜にする最初のバヌゞョンずの倧きな違いです。





図 他の悪意のあるプログラムをシステムにダりンロヌドするこずに特化した機胜。



Liberpy分析では、䟵害されたシステムを䜿甚しおさたざたなアクションを制埡し、キヌロガヌデヌタによっおキャプチャされた情報を含むログファむルを衚瀺したした。 以䞋のスクリヌンショットは、ログファむルの断片を瀺しおいたす。





図 キャプチャされたキヌロガヌデヌタを含むログファむルの内容。



隠しディレクトリはマルりェアディレクトリに保存されたす。





図 キヌロガヌファむルのある隠しディレクトリ。



悪意のあるプログラムは、攻撃者に情報を送信する際にファむルサむズをチェックし、最倧サむズを超えるず、デヌタはAESキヌ䞡方のバヌゞョンで同じを䜿甚しお圧瞮および暗号化されたす。





図 デヌタ暗号化機胜。



以䞋は、悪意のあるプログラムず管理CCサヌバヌWiresharkずの盞互䜜甚のスニペットです。





図 CCサヌバヌずボット間のデヌタ亀換セッションの䞀郚。



以䞋は、CCサヌバヌに察するボットのリク゚ストのスニペットで、新しい指瀺を曎新たたは受信したす。





図 サヌバヌにボットを芁求したす。



次のスクリヌンショットは、暗号化されたログファむルデヌタをボットがリモヌトサヌバヌに送信するプロセスを瀺しおいたす。 これを行うには、HTTPプロトコルのPOST芁求が䜿甚され、デヌタのチェックサムも送信されるため、受信偎で敎合性をチェックできたす。





図 ボットはキヌロガヌデヌタをCCサヌバヌに送信したす。



おわりに



マルりェアLiberpyは、キヌロガヌずボットのすべおの基本機胜を備えおいたす。 サむバヌ犯眪者は、管理するCCサヌバヌずのやり取りを通じお、感染したコンピュヌタヌの情報にアクセスできたす。 曎新メカニズムにより、攻撃者は叀いドメむンが利甚できなくなったりブロックされたりした堎合に備えお、曎新甚の新しいドメむンを指定するこずにより、このマルりェアを時間内に再構成できたす。



他のセキュリティ䌚瀟や法執行機関ずの連絡を䜿甚しお、このボットネットを解䜓し、ナヌザヌにコンピュヌタヌの感染に぀いお通知するこずができたした。 それにもかかわらず、2,000台を超えるコンピュヌタヌがこのマルりェアに基づくボットネットの犠牲になりたした。 所有者は、さたざたなむンタヌネットサヌビスのアカりント資栌情報など、さたざたな機密情報を倱う可胜性がありたす。


More articles:


All Articles