Угроза распространения ВПО через систему обновления ViPNet

Описание угрозы:

Требования к атакующему: Удаленный аутентифицированный в смежной сети ViPNet c узла с ролью ЦУС (Центр управления сетью)

Максимальный результат атаки: Компрометация системы, эксфильтрация данных, исполнение произвольных команд.

Сценарий атаки: Специалистами АО "ПМ" зафиксированы множественные попытки распространения ВПО. Для обеспечения первоначального доступа злоумышленники отправляли специально сформированный .ctl-конверт, содержащий вредоносную полезную нагрузку:

Бэкдор HelloBackdoor "Rngsdkcfg.Exe".

Данный бэкдор представлял собой 32-битный Windows PE, написанный на языке Rust и упакованный модифицированной версией UPX. После распаковки образец, представляющий собой server-side бэкдор, прослушивал входящие TLS/WebSocket соединения на локальном узле, на портах 443 и 5003, и принимал подключения оператора C2 для выполнения команд.

Функциональные возможности ВПО позволяли управлять им с помощью команд !check, !upload, !down, !addlife, !stop. При этом оператором могли быть исполнены произвольные команды ОС, файловые операции сохранения и удаления.

Кроме того, бэкдор воздействовал на компонент ViPNet через сервис iplircontrol путем выполнения следующих действий: создание временного файла "*.batcmd.exe"; исполнение команд "sc stop iplircontrol", timeout 5, sc start iplircontrol и удаление BAT-файла.

Компоненты стилера: Setup.exe/SetupChk.exe/SetupCheck.exe, содержащиеся в update.lzh.

Нарушитель в дополнение к легитимному подписанному пакету обновления update.lzh «рядом» добавил несколько дополнительных файлов с вирусной нагрузкой (Setup.exe.config, SetupCheck.dll и SetupChk.exe). Далее, дополнительные пакеты при обработке обновления, используя недостаток обработки относительных путей, извлекались сразу во временную папку обновления.

После успешного сбора информации вредоносным ПО создавался zip-архив в директории %TEMP%, с наименованием вида: "u***.0", куда помещался файл с расширением .lock, в котором содержалась информация о конфигурации узла, ОС и сети. Шифрование архива было реализовано с помощью ZipCrypto.

Эксфильтрация сформированного архива происходила путем создания .ctl-конверта и его отправки с помощью службы ViPNet MFTP.

Стоит отметить, что в стилере заложены механизмы усечения и удаления журналов ViPNet для сокрытия своих следов.

На что направлены: 

Меры противодействия:

Провести аудит файловой системы на наличие подозрительных образцов:

• "Rngsdkcfg.exe"
• "Rngpkcsmgr.exe"
• "server_updown.exe"
• "server_updown.pdb"
• "*.batcmd.exe"

Провести аудит каталогов на наличие подозрительных файлов:

• "C:\Windows\Temp"
• "C:\ProgramData"
• "C:\Users\*\AppData\Local\Temp"
• "C:\Program Files"
• "C:\Program Files (x86)"
• "C:\Program Files\Common Files\InfoTeCS"
• "C:\ProgramData\InfoTeCS"

Осуществить проверку ветви реестра:

• "HKLM\SYSTEM\CurrentControlSet\Services\ScNetSvc"
• "HKLM\SYSTEM\CurrentControlSet\Services\ScNetSvc\Parameters"
• "HKLM\SOFTWARE\Microsoft\Windows NT\ CurrentVersion\Svchost\netsvcs"
• "HKCU/HKLM\Software\Microsoft\Windows\CurrentVersion\Run"
• "HKCU/HKLM\Software\Microsoft\Windows\CurrentVersion\ RunOnce"
• "HKCU\Software\Classes\CLSID\{d9144dcd‐e998‐4eca‐ab6a‐dcd83ccba16d}\InprocServer32"

Провести антивирусную проверку на узлах. Убедиться, что установлены актуальные базы сигнатур

Ограничить доступ к следующим файлам, имеющим отношение к распространению ВПО (см. Приложение 1)

Ограничить доступ к следующим сетевым ресурсам, имеющим отношение к С2-серверам злоумышленников:

• 5.39.253[.]206
• 5.39.253[.]210
• 31.57.35[.]21
• 104.238.24[.]156
• 123.58.203[.]41
• 154.89.152[.]59

Использовать правила ViPNet IDS NS:

• sid 3436417 "AM CURRENT_EVENTS HTTP request to malicious IP endpoint in header 5.39.253.206 (possible Chinese APT (HelloNet))"
• sid 3436421 "AM CURRENT_EVENTS HTTP request to malicious IP endpoint in header 5.39.253.210 (possible Chinese APT (HelloNet))"
• sid 3436416 "AM CURRENT_EVENTS HTTP request to malicious IP endpoint in header 31.57.35.21 (possible Chinese APT (HelloNet))"
• sid 3436420 "AM CURRENT_EVENTS HTTP request to malicious IP endpoint in header 104.238.24.156 (possible Chinese APT (HelloNet))"
• sid 3436414 "AM CURRENT_EVENTS HTTP request to malicious IP endpoint in header 123.58.203.41 (possible Chinese APT (HelloNet))"
• sid 3436415 "AM CURRENT_EVENTS HTTP request to malicious IP endpoint in header 154.89.152.59 (possible Chinese APT (HelloNet))

• sid 907542 "Windows_Backdoor_RustUSTCMirror_V1"
• sid 907539 "Windows_Backdoor_RustUPXPacked_V1"
• sid 907540 "Windows_Backdoor_RustWSSUnpacked_V1"
• sid 907541 "Windows_Backdoor_RustSelfDestruct_V1"
• sid 907536 "Windows_Loader_AppDomainManager_V1"
• sid 907538 "Windows_Trojan_ITCSProtocol_V1"
• sid 907537 "Windows_Trojan_ITCSCredStealer_V1"

Ссылки на источники:

https://infotecs.ru/press-center/publications/razyasneniya-kompanii-infotecs-po-intsidentu-svyazannomu-s-rasprostraneniem-vredonosnogo-po/

Над бюллетенем работали: Галкин Николай, Рудзик Александр, Стрельцова Кристина

Приложение 1

Файловые индикаторы компрометации

Индикаторы компрометации, зафиксированные во вредоносной активности: