Lazarus APT IOCs

Некоторые действия, предпринятые на этапе первоначального доступа к атаке, приписываемой Lazarus, а также анализ вредоносного ПО, которое использовалось на этом этапе.

Lazarus APT

Методы, используемые для получения доступа к сети жертвы, широко известны, однако нюансы, возникающие после эксплуатации, предоставляют богатую информацию о путях атаки и материалы по поиску угроз, которые тесно связаны с TTP группы Lazarus.

• Lazarus использовал профили LinkedIn для выдачи себя за сотрудников других легальных компаний.
• Lazarus общался с целевыми сотрудниками через такие каналы связи, как WhatsApp.
• Lazarus заманивал жертв скачать объявления о вакансиях (zip-файлы), содержащие вредоносные документы, которые приводили к выполнению вредоносного ПО
• Идентифицированный вредоносный загрузчик является вариантом LCPDOT.
• Запланированные задачи используются в качестве формы сохранения (выполнение rundll32 из запланированной задачи)

Первоначальный вход в систему в значительной степени связан с социальной инженерией, а недавние попытки включали выдачу себя за сотрудников компании Lockheed Martin с профилями LinkedIn, чтобы убедить жертв откликнуться на предложение о работе, что привело к доставке вредоносного документа.

В данном случае доменом, на котором размещался документ, был global-job.org, вероятно, пытавшийся выдать себя за globaljobs.org, американский сайт по подбору персонала для правительственных/оборонных организаций. Для того чтобы обойти средства контроля безопасности, предусмотренные недавними изменениями, внесенными Microsoft в макросы Office, на сайте размещался ZIP-файл, содержащий вредоносный документ.

Документ имел ряд характеристик, сопоставимых с другими образцами Lazarus, однако по неизвестным обстоятельствам "формы", содержащие полезную нагрузку, были недоступны и не могли быть проанализированы.

После выполнения макродокумента вызывается rundll32.exe для выполнения DLL C:\programdata\packages.mdb, что приводило к первоначальному вызову сервера команд и управления. К сожалению, сам двоичный файл уже недоступен для анализа, однако считается, что именно этот компонент привел к размещению вредоносной программы LCPDot на хосте жертвы.

Вредоносный загрузчик, который выполнялся как запланированная задача. Обнаруженный образец является вариантом LCPDot и приписывается APT Larazus.

Рассматриваемый файл попытался слиться с окружающей средой, используя каталог ProgramData, в очередной раз C:\ProgramData\Oracle\Java\JavaPackage.dll. Однако файл имел характеристики, которые выделялись при поиске угроз:

• Большой размер файла (60мб+) - вероятно, обойдет антивирусное сканирование
• Копирование времени - временные метки копировались из CMD.exe
• DLL принадлежит пользователю в каталоге ProgramData (не SYSTEM или Administrator).

Для выполнения LCPDot была создана запланированная задача с именем "Windows Java Vpn Interface", пытающаяся слиться с системой с помощью темы Java. Задание по расписанию выполняло двоичный файл.

Задача по расписанию была настроена на ежедневный запуск со следующим параметром, переданным для выполнения:

Вредоносное ядро загрузчика запускается в отдельном потоке, а поток выполнения определяется на основе идентификаторов сообщений Windows (отправляемых функцией Windows API SendMessage).

Фаза инициализации происходит в новом потоке, при этом выполняются следующие задачи:

• Инициализация класса MoscowTownList. Этот класс обладает функциональностью для чтения/записи конфигурации.
• Создание файла конфигурации на диске. Файл конфигурации хранится под именем VirtualStore.cab в папке %APPDATA%\Local. Конфигурация включает в себя различные метаданные, а также URL-адреса командных и управляющих серверов.

Конфигурация шифруется путем хэширования (SHA-1) случайного массива байтов (16 байтов), а затем используется выход хэша для получения (CryptDeriveKey) ключа RC4 (16 байтов). Наконец, в файл конфигурации записывается массив случайных байтов, а затем зашифрованные данные конфигурации.

Перечисление логических дисков и активных сеансов входа в систему происходит только в том случае, если это указано в конфигурации. По умолчанию эта опция выключена. Более того, даже если она включена, она не оказывает никакого эффекта (например, отправляет их на командно-контрольный сервер).

После завершения этой фазы загрузчик начинает сетевое взаимодействие со своими серверами команд и управления.

На этом этапе загрузчик регистрирует скомпрометированный узел на командно-контрольном сервере, а затем запрашивает полезную нагрузку для выполнения. В целом, выполняются следующие шаги:

Инициализация классов Taxiroad и WashingtonRoad.

Создается массив байтов (16 байт), который затем кодируется (base64), и идентификатор сессии. Оба идентификатора отправляются на сервер. Закодированный массив байтов используется позже для расшифровки полученной полезной нагрузки и добавляется к содержимому тела запроса:
redirect=Yes&idx=%d&num=%s, где idx содержит значение времени загрузки скомпрометированного хоста, а num - закодированный (BASE64) массив байтов.
Кроме того, идентификатор сессии кодируется (BASE64) и добавляется к следующей строке:
SESSIONID-%d-202110, где 202110 - идентификатор сетевой команды.

Вышеуказанная строка снова кодируется (BASE64) и затем добавляется к заголовку SESSIONID POST-запроса.

После регистрации скомпрометированного узла сервер отвечает одним из следующих сообщений:

Validation Success - Бот зарегистрирован без проблем.
Validation Error - Произошла ошибка.

После завершения процесса регистрации загрузчик отправляет GET-запрос для загрузки полезной нагрузки второго этапа. Полученная полезная нагрузка расшифровывается путем хэширования (SHA-1) ранее созданного массива байтов, а затем полученный хэш используется для получения (CryptDeriveKey) ключа RC4.

Наконец, расшифрованная полезная нагрузка загружается непосредственно в память и выполняется в новом потоке.

Одним из интересных наблюдений является наличие функций и сетевых команд, которые загрузчик, похоже, не использует. Скорее всего следующие сетевые команды не используются загрузчиком (по крайней мере, в этом варианте), но операторы могут использовать их на стороне сервера (например, в PHP-скриптах, которым загрузчик отправляет данные) или загруженная полезная нагрузка использует их (Примечание: Команды 789020, 789021 и 789022 по умолчанию отключены):

• 202112 - Отправляет зашифрованные данные в POST-запросе. Контекст данных неизвестен.
• 202114 - Отправляет POST-запрос с содержимым тела 'Cookie=Enable'.
• 789020 - Та же функциональность, что и у команды ID 202111.
• 789021 - Та же функциональность, что и у команды с идентификатором 202112.
• 789022 - Отправляет POST-запрос с содержимым тела 'Cookie=Enable'.

Indicators of Compromise

IPv4

• 13.88.245.250

Domains

• ats.apvit.com
• bugs-hpsm.mobitechnologies.com
• global-job.org
• shoppingbagsdirect.com
• thefrostery.co.uk

MD5

• 49c2821a940846bdacb8a3457be4663c
• afbcb626b770b1f87ff9b5721d2f3235

SHA1

• 0a6f762a47557e369db8655a0d14ab088926e05b
• d25a4f20c0b9d982d63fc0135798384c17226b55

SHA256

• f4e314e8007104974681d92267673ac22721f756d8e1925142d9c26dc8a0ffb4
• fd02e0f5fcf97022ac266a3e54888080f66760d731903fc32df2e17e6e1e4c64