عنوان مستند: تحلیل و بررسی بات نت Floki باسمه تعالی

Transcriptie

1 باسمه تعالی عنوان مستند تحلیل و بررسی بات نت Floki

2 1 فهرست مطالب مقدمه پیشرفت 2...Dark Web در اعماق فعال 3 رابط برزیلی...2 flokibot 1-3 همکاری غیرقانونی برزیل روسیه: مورد 3... flokibot 2-3 پی 4 بدافزار :PoS صالحیت فنی... 3 لود روشهای انتشار بدافزار... 4 مشخصات فایل تحلیل شده سطح تهدید فایل تحلیل شده گزارش تحلیل... 7 فرآیند آلودگی Floki Dropper فرایند 3-8 تزریق ابهام سازی نام ماژول ها و توابع پشتیبانی از شبکه Tor جمع 9 تحلیل شبکه...11 تحلیل حافظه...17 بندی...17

3 1 مقدمه بات نت Floki نمونه جدیدی از بدافزارهای بانکداری است که اخیرا در بازارهای Dark Net برای فروش گذاشته شده است. این بات نت از طریق پست الکترونیکی گسترش پیدا می کند و برای سرقت اطالعات کارت های اعتباری قربانیان استفاده می شود. این بدافزار مبتنی بر کد مبنای مشابهی است که توسط بات نت مشهور Zeus Zeus مورد استفاده گرفت کدی که در سال 2111 منتشر شد. به جای کپی ساده خصوصیاتی که در بات نت وجود داشتند کرد. به گفته شرکت که شناسایی بات بات بات Floki Talos قابلیت های جدید اضافه نمود که آن را به ابزار جالبی برای مجرمان تبدیل اصالحاتی در مکانیزم ارسال موجود در کد منبع Zeus Floki Floki را مشکل تر می میسازد. ایجاد شده است به طوری توسط توسعهدهندگان به قیمت 1111 دالر به ارزش بیتکوین به فروش میرسد و مبتنی بر باتنت زئوس است. هرچند محققان اخیرا متوجه شدند که بات است. شرکت بر روی شبکهی Floki Talos محققان شرکت Tor دارای قابلیتهای جدیدی از جمله ضد تشخیص کد نسخهی جدید بدافزار را نیز مورد بررسی قرار داده و متوجه شده که قابلیت عملیات نیز در این بدافزار موجود است ولی هنوز عملکرد فعالی از آن مشاهده نشده است. flashpoint معتقدند نام مورد استفاده توسط این بدافزار یک نام برزیلی است. همچنین محققان مشخص کردند که ارتباطات عوامل این بات در پرتغال است و آدرسهای IP و دامنههای برزیلی را هدف قرار دادهاند و در حالت کلی به دستگاههایی که زبان پیشفرض آنها بر روی پرتغالی تنظیم شده است عالقهمند هستند. شرکت flashpoint عوامل این بات را»اتصالدهنده)رابط(«نامید چرا که در تعداد زیادی از انجمنهای خارج از برزیل از جمله انجمنهای زیرزمینی Dark Web در روسیه و انگلستان حضور دارند. محققان متعتقدند با حضور در وبگاههای خارجی این مهاجمان دانش و ابزارهای مختلفی را وارد انجمنهای برزیل میکنند. عالوه بر قابلیتهایی که این بدافزار از باتنت زئوس گرفته است دارای قابلیت قالب کردن نیز هست که از این طریق میتواند اطالعات کارتهای پرداخت را از حافظه بدست آورد. در یک پویش باتنت Floki flashpoint مشاهده شده بود 225 بات اطالعات نزدیک به 1375 کارت اعتباری را به سرقت بردند. در حوزه جرائم سایبری مالی پیشرفت ادامه دار بدافزار شناخته شده فعالی به نام»flokibot«از سپتامبر 2111 عرضه شده است. که توسط مشاهده می شود که توسط 1

4 2 پیشرفت در اعماق Dark Web سازندگان بدافزار دائما فناوری خود را جهت دور زدن شناسایی و کنترل ها تطبیق می دهند. این بدافزارهای جدید قبل از انتشار در اینترنت بدون هشدار قبلی غالبا توسط فعاالنی ساخته می شود که در اعماق Dark Web فعالیت دارند و شرکت ها را مستأصل و واکنشگرا می کنند. شکل 1. الگوی تحلیل حیات برای مکالمات غیرقانونی با ارجاع عالقه همیشگی به نمونه بدافزار را در سرتاسر انجمن های جرائم سایبری آشکار می کند. همانطور که ذکر شد که این بدافزار مبتنی بر کد منبع قابل دسترسی عموم در آن چندین تغییر قابل توجه ایجاد کرده است. به غیر از روش ارسال نسبت به فرار کند. ZeuS است که flokibot Zues از پروتکل متفاوت شبکه نیز استفاده می کند که به آن اجازه می دهد از شناسایی توسط بررسی عمیق بسته ( 1 )DPI فعال رابط برزیلی flokibot 3 فراتر از اطالعات منحصر به فرد کسب شده توسط تحلیلگران Flashpoint و کمپین هدف گیرنده برزیل»flokibot«عضو پرتغالی زبان در انجمن های انگلیسی و روسی زبان به سبب نشانه های زیر برزیلی شناسایی شده است: استفاده از زبان پرتغالی در ارتباطات فعال هدف گیری کامپیوترهای دارای زبان پیش فرض پرتغالی هدف گیری دامنه ها و محدوده های برزیلی IP 1- Deep Packet Inspection 2

5 هدف گیری کامپیوترهای دارای منطقه زمانی Brazil UTC -3:00 دیگر اطالعات منحصر به فرد کسب شده توسط تحلیلگران Flashpoint شکل 2. الگوی تحلیل حیات flokibot که نشان می دهد فعال در منطقه زمانی 3:00- UTC Brazil فعالیت داشته و فعالیت کاهش یافته در اواخر هفته را نشان می دهد که می تواند عنوان کننده شغل تمام وقت یا منبع درآمد سازنده تجاری باشد. 1-3 همکاری غیرقانونی برزیل روسیه: مورد flokibot پدیده رابط ها در انجمن های انگلیسی و روسی زبان که در آن فعاالن پرتغالی زبان نیز به منظور یادگیری و تقویت مهارت های فنی و هدف گیری جنایی خود حضور دارند آشکار شده است. در حالی که مجرمان سایبری برزیلی معموال به اندازه همتاهای روسی خود ماهر نیستند غالبا فرم های جدید بدافزار )برای در نظر گرفتن باج افزار نقطه فروش ]PoS[ و تروجان های بانکداری( را طلب کرده یا خدمات خود را پیشنهاد می دهند. به نظر می رسد که حضور در انجمن های روسی اعماق احتمالی در پیشرفت Dark Web باشد. flokibot می تواند عامل 2-3 بدافزار :PoS صالحیت فنی برای رابط هایی مانند flokibot گذر از موانع زبانی در انجمن های انگلیسی و روسی زبان آنها را قادر می سازد طرح های جنایی خود را از طریق بازارها پیش ببرند: لزوما ساخت بات نت های استفاده کننده از نیست. و شروع حمله به شبکه های سازمانی در کوتاه مدت برای بات نت های جدید سخت یا هزینه بر 3

6 شکل 3. پنل مدیریت نشان می دهد که از 225 بات آلوده شده تشکیل شده 2 و ظاهرا مسئول 1375 روگرفت است. روشی که در آن صالحیت فنی flokibot بتواند اطالعات ردیابی از دستگاه های مشهور حاصل شده PoS پیشرفت کرده استفاده از روش های به دام انداختن فعال است تا را به دست آورد. در حالی که بدافزار از کد منبع ZeuS flokibot این روش به دام انداختن را برای دریافت اطالعات ردیابی از حافظه اضافه کرده در نتیجه فعالیت های بدافزار را فراتر از یک تروجان بانکداری گسترش داده قابلیتی که آن را قدرتمندتر و تطبیق پذیرتر می کند. 4 پی لود - جمع آوری اطالعات کارت های اعتباری 5 روشهای انتشار بدافزار - فایل های word با ماکروهای مخرب و پیوست آنها به پست های الکترونیکی 1- Dump 4

7 6 مشخصات فایل تحلیل شده مشخصات فایل تحلیل شده بدین شرح است: File name: dropper.exe Type: DOS EXE MD5: 5649e7a200df2fb85ad1fb5a723bef22 SHA-1: b057d afeca671fd31dbcdd1c76 7 سطح تهدید فایل تحلیل شده نتیجه بررسی فایل تحلیل شده با استفاده از تارنمای Virustotal.com در جدول ذیل ارایه شده است. همانطور که مشاهده میشود از بین 51 موتور تشخیص بدافزار 43 عدد این فایل را به عنوان بدافزار تشخیص دادهاند. Antivirus Result Update ALYac Gen:Variant.Agiala AVG Zbot.AQIK AVware Trojan.Win32.Generic!BT Ad-Aware Gen:Variant.Agiala AegisLab Troj.Dropper.W32.Injector!c AhnLab-V3 Dropper/Win32.Injector.C Arcabit Trojan.Agiala Avast Win32:Trojan-gen Avira (no cloud) TR/Dropper.Gen Baidu Win32.Trojan.WisdomEyes BitDefender Gen:Variant.Agiala Bkav W32.Clod8fb.Trojan.d CAT-QuickHeal Trojan.Dynamer ClamAV Win.Trojan.Flokibot CrowdStrike Falcon (ML) malicious_confidence_100% (W) Cyren W32/Trojan.IFMJ ESET-NOD32 a variant of Win32/Spy.Zbot.ACS Emsisoft Gen:Variant.Agiala.16 (B) F-Secure Gen:Variant.Agiala Fortinet W32/Generic.AC.3920D9!tr GData Gen:Variant.Agiala Ikarus Trojan-Spy.Zbot

8 Invincea generic.a Jiangmin TrojanDropper.Injector.bkkj K7AntiVirus Riskware ( 0040eff71 ) K7GW Riskware ( 0040eff71 ) Kaspersky Trojan-Dropper.Win32.Injector.pqsx McAfee RDN/Generic Dropper McAfee-GW- Edition BehavesLike.Win32.Multiplug.dc escan Gen:Variant.Agiala Microsoft Trojan:Win32/Dynamer!ac NANO-Antivirus Trojan.Win32.Injector.egzjta Panda Trj/CI.A Qihoo-360 Win32/Trojan.d2d Rising Dropper.Injector!8.DC-ZhpeOsO72mR (cloud) Sophos Troj/Floki-A Symantec Trojan.Flokibot Tencent Win32.Trojan-dropper.Injector.Sunx TrendMicro- HouseCall TSPY_FLOKI.A VIPRE Trojan.Win32.Generic!BT ViRobot Dropper.Agent G[h] Yandex Trojan.DR.Injector!KGhg+XZ3sdU Zillya Dropper.Injector.Win

9 گزارش تحلیل فرآیند آلودگی فرآیند آلودگی که توسط به صورت نمودار زیر تشریح می گردد: استفاده شده از چندین مرحله تشکیل می شود. در سطح باال این فرآیند شکل 1. زنجیره تزریق کد بدافزار زمانی که بدافزار اجرا می شود سعی می کند کد مخرب را در تزریق کند. اگر قادر نباشد تزریق»explorer.exeexplorer.exe«را باز کند کد مخرب را در»svchost.exe«Trampoline دهد. فراخوانی اول تابع ساده است )مرحله اول در شکل 1(. این Trampoline»Sleep()«)برنامه مدیریت فایل ویندوز( تزریق می کند. اولین دو فراخوانی متفاوت انجام می برای 111 میلی ثانیه است. فراخوانی دوم کنترل را به تابع دیگر بار مفید منتقل می کند. منطق آن تابع ساختاری با ID فرآیند نمونه اولیه کلید رمزگشایی برای بارهای مفید باینری بعدی و اشاره گر به اندازه منبع بار مفید در فضای آدرس نمونه اولیه است. 7

10 Floki Dropper 2-8 ارسال کننده bot 64 دارای 3 منبع به همراه نام های توصیفی است bot32 Floki :key و کد معکوس شده مسئول نگاشت منابع»bot64bot32key«و در زیر آورده شده است: شکل 2. نگاشت منابع»bot32bot64«و»key«8

11 زمانی که سیستم قربانی آلوده شد بدافزار فایل اجرایی خود را با نام تصادفی در مسیر کپی و سپس برای جمع آوری اطالعات از سیستم مورد هدف به %Userprofile%\Local Settings\Application Data\»explorer.exe«تزریق میکند.»explorer.exe«DLL بات Floki از ویژگی های جدید مانند تزریق به از تشخیص جلوگیری برای توسط برنامه های آنتی ویروس استفاده می کند. 9

12 3-8 فرایند تزریق زمانی که فعالیت این بات آغاز می شود تزریق به Explorer قابل مشاهده است: در واقع زمانی که به فرآیند جدید Explorer عیب یاب متصل می شود کد خارجی جاسازی شده قابل مشاهده است روی سه مکان دیگر حافظه نیز به همراه مجوزهای کامل نوشته شده است :)RWE( کد زیر مسئول آماده سازی است. shellcode برای تزریق را نشان می دهد. این عملیات در باینری اولیه انجام شده آماده سازی Shellcode بر کد زیر نیز نتیجه تزریق در فرآیند»explorer.exe«را نشان می دهد. کامال مشخص است که جداسازی مبتنی shellcode قبلی بوده و حاوی دو فراخوانی ذکر شده در باال است. مخصوصا فراخوانی در مفید را فراخوانی می کند که مرحله دوم در شکل 1 است. 0xA001F بار 11

13 جداسازی Shellcode تزریق شده گام منطقی بعدی تزریق دیگری است که درون فضای آدرس مفید )بار مفیدی که پس از مقرر کرده و سپس بخش منبع این منبع با»explorer.exe«Trampoline»bot32«CR4 رخ می دهد. این مرتبه بار اجرا شده( APIهای مورد نیاز را از طریق استفاده از جستجوی CRC را از باینری اولیه نگاشت می کند. رمزگذاری شده ولی با داده های کلید 11 بایتی حاصل از منبع که به عنوان منطق به کد تزریق شده منتقل شده است. به عالوه منبع با الگوریتم فراخوانی»key«LZNT1»RtlDecompressBuffer«استخراج شده است. در ابتدا ارسال کننده به طور پویا برخی ورودی های مورد نیاز را بارگذاری می کند: قابل رمزگشایی است فشرده شده و با روش استفاده شده نشان می دهد که سازنده سعی داشته اجازه شناسایی آسان اینکه کدام ماژول ها و توابع مورد استفاده قرار خواهند گرفت را ندهد. بجای بارگذاری DLLها توسط نام های آنها در زمان شمارش تمام DLLها در مسیر system32 آنها را بارگذاری می کند: 11

14 به سبب ابهام موجود از مقایسه رشته استفاده نمی کند. درعوض checksum هر نام یافت شده را محاسبه می کند. Checksum توسط CRC32 ثابت می باشد ایجاد شده است )در نمونه توصیف شده از نام XOR شده با برخی مقادیر سخت رمزی که برای نمونه خاص مقدار 0X58E5 است(: Checksumهای حاصل با مقدار مورد انتظار مقایسه شده تا زمانی که ماژول مناسب یافت و بارگذاری شود. به طور مشابه جدول خروجی ماژول خاص شمارش شده و توابع مورد نیاز مقرر می شوند. پس از بارگذاری اولیه ورودی ها دقیقا همان روش برای جستجوی NTDLL.DLL NTDLL.DLL شماره syscall» Wrapperها» 3 مثال پیاده سازی استفاده می شود. رابطی برای اجرای فراخوانی های اصلی سیستم ارائه می کند. ممکن است هر نسخه ویندوز از متفاوتی برای انجام همان کار استفاده کند. به همین دلیل است که استفاده از آنها از طریق که در میان توابع خروجی توسط NTDLL NtAllocateVirtualMemory قابل مشاهده هستند پیشنهاد می شود. برای در ویندوز 7 به صورت زیر است: 1 برنامه کامپیوتری است که برنامه های دلخواه را پنهان می کند بدین ترتیب آنها را قادر می سازد به عنوان سرویس های ویندوز نصب و اجرا شوند. 12

15 نمونه ویندوز 8 اندکی متفاوت است: قسمت مشترک این است که شماره syscall که بایستی اجرا شود به رجیستر EAX منتقل شده است. ارسال کننده NTDLL را در حافظه بارگذاری کرده و syscallها را از توابع انتخاب شده استخراج می کند: ابتدای کد هر تابع را از طریق مقایسه آن با است: oxb8 بررسی می کند که یک بایت کد برای انتقال مقدار به EAX اگر بررسی موفقیت آمیز بود مقدار که به منتقل شده استخراج شده و در یک بافر ذخیره EAX syscall می شود: 13

16 سپس ارسال کننده سعی می کند برخی از توابع را فراخوانی کرده و از آن مقادیر استخراج شده استفاده کند. شماره syscall از آرایه ای که در آن ذخیره شده دریافت شده و در EAX کپی می شود. پارامترهای تابع به پشته کپی می شوند. اشاره گر به پارامترها در راه اندازی می شود ox2e( :)INT بارگذاری شده و EAX syscall با کمک یک وقفه شیوه فراخوانی توابع NtMapViewOfSection NtCreateSection آنها معیارهای حذف شده از ردیابی فراخوانی های و NtResumeThread بودند. API مثال 1: ارسال کننده یک فراخوانی انجام می دهد که با فراخوانی تابع NtCreateSection به این صورت بود. یکسان است: مثال 2: ارسال کننده یک قسمت را با استفاده از یک syscall نگاشت کرده است با فراخوانی تابع NtMapViewOfSecion یکسان می باشد: 14

17 زمانی که حافظه آماده شد shellcode به آنجا کپی می شود: پس از آماده سازی ها آن قسمت ها به چارچوب فرآیند Explorer نگاشت می شوند که به طور غیرفعال ایجاد شده است. با استفاده از SetThreadContext نقطه ورود آن به صفحه حافظه تزریق شده هدایت می شود. زمانی که فرآیند می کند. Explorer مجددا راه اندازی می شود کد جدید اجرا شده و هسته مخرب را استخراج در این زمان از تزریق هسته مخرب آن هنوز آشکار نشده فرآیند توضیحات آن در shellcode جاسازی شده در Explorer رخ می دهد. این مورد نیز یک اقدام متقابل است که ارسال کننده در مقابل ابزارهای شناسایی استفاده می کند. 15

18 4-8 ابهام سازی نام ماژول ها و توابع در هر مرحله بدافزار از ترکیب برای ابهام سازی نام ماژول ها و توابع استفاده شده در تفکیک پویای کتابخانه ای استفاده می کند. فایل اجرایی نمونه اولیه و بات )bot32( از پیاده سازی مشابه CRC32 استفاده کرده و نتیجه را با کلید ایستا XOR می کند )در این مورد نتیجه 0x3086 حاصل شد( در حالی که بار مفید از پیاده سازی مشابه CRC32 و کلید متفاوت XOR استفاده می کند )در این مورد 0x3086(. نام های ماژول ها قبل از محاسبه به حروف کوچک تبدیل شده اند )نام فایل های ویندوز اساسا حساس به بزرگ یا کوچک بودن حروف نیستند(. 5-8 پشتیبانی از شبکه Tor در نگاه اول این نمونه شبیه فعال گردد زمانی که دامنه دامنه های مرتبط با Zeus Bot به نظر می رسد. تفاوت اصلی پشتیبانی از شبکه Tor C2 تعیین شده در پیکربندی بدافزار با».onion«Tor است. زمانی که این مسئله پیش می آید سرور پراکسی استاندارد است که بایستی خاتمه یابد که شبه TLD برای Tor»localhost:9050«پیکربندی می گردد همانگونه که در تصویر نشان داده شده است: برای شنود به شکل.5 قابلیت Tor در به نظر می رسد این خصوصیت تحت توسعه است و در نمونه های تحلیل شده قابل فعال سازی نیست. 6-8 تحلیل شبکه از طریق اتصال HTTPS با سرور C2 ارتباط برقرار می کند. سازندگان بدافزار خصوصیت»ضد بررسی عمیق بسته«را منتشر کرده اند. به منظور دستیابی به این مسئله بایت های موجود در بسته های شبکه به صورت ساختارهای ساختار BInStorage BinStorage منبع افشا شده با بایت قبلی XOR بسته بندی شده که از طریق HTTPS ارسال می شوند. هر بایت در شده و سپس با RC4 Zeus رمزگذاری گردیده است. این قابلیت در کد نیز وجود داشت و برای جدید نیست. با قطع اتصال HTTPS و رمزگشایی بار مفید بسته ها مشخص شدکه بدافزار اطالعات مربوط به ماشین آلوده شده مانند نام کامپیوتر و وضوح تصویر را ارسال می کند. نیست«ولی تغییر اصلی در کد منبع پشتیبانی از استفاده نشده بود. مدعی شده که»برخالف Zeus از طریق بررسی عمیق بسته قابل شناسایی Tor است که در گذشته در هیچ نمونه موجودی در اینترنت 11

19 7-8 تحلیل حافظه حین تحلیل پس از آلوده سازی یک ماشین مجازی با تحلیل استداللی مبتنی بر حافظه نیز انجام شد. بدین ترتیب از یک راهکار معکوس استفاده گردید که تحلیل از انتها شروع شده و سپس سعی می شود مراحل مختلف فرآیند آلودگی بازسازی شود. ابتدا»روگرفت حافظه فیزیکی«با شده و با win32dd Volatility )چارچوب متن باز بررسی حافظه( تحلیل گردید. در ابتدا از پالگین دریافت Volatiliy»pslist«استفاده شد. این پالگین تمام فرآیندها را با پیمایش لیست متصل شده و دوگانه لیست کرده و تمام اشیای»_EPROCESS«استفاده شد و فعالیت شبکه از فرآیند را متصل می کند. هیچ مورد مشکوکی از خروجی آن یافت نشد. سپس از پالگین»netscanexplorer.exe«را نشان داد که مسئله ای است که نیازمند تحقیقات بیشتر می باشد به دلیل اینکه داشتن ترافیک شبکه از برنامه مدیریت فایل به هیچ وجه عادی نیست. با توجه به این یافته ها»malfind«روی فرآیند explorer.exe اجرا شد و اثرات قابل توجه و فایل PE تزریق شده در فرآیند شناسایی گردید. این اشیاء آزاد شده و با بخشی از نتایج فرآیند معکوس مطابقت داشتند. می توان Trampoline بار مفید و فایل PE را مشاهده کرد. در رابطه با مکانیزم های ماندگاری که توسط بکار گرفته شده چندین اشیای استفاده کننده از»filescan«شناسایی شده و مشاهده گردید که باینری )دارای نام تصادفی( در پوشه Startup نیز کپی شده است. 9 جمع بندی این بات یک تروجان بانکی مبتنی بر باتنت زئوس است که از شهریور ماه در بازارهای زیرزمینی وب تاریک به فروش میرسد. نمونه دیگری از اتفاقی است که در زمان افشای آنالین کد منبع کیت های بدافزاری موفق رخ می دهد. همانطور که چندین مرتبه از زمان افشای کد منبع مبتنی بر این کد پایه همچنان در حال ظهور هستند. این بدافزار تالش کرده اند قابلیتی را توسعه دهند که در کرده اند که با وجود اینکه Zeus Zeus را برای مجرمان جذاب کرده است. مشاهده شده نمونه های جدید بدافزار از این بابت منحصر به فرد است که سازندگان وجود داشته و قابلیت جدیدی را پیاده سازی هم اکنون فعاالنه در چندین بازار Darknet خرید و فروش می شود به احتمال زیاد همچنان در اینترنت مشاهده خواهد شد به دلیل اینکه مجرمان سایبری همچنان تالش می کنند از آن برای حمله به سیستم ها و کسب درآمد استفاده کنند. 17