Grupo Gamaredon crece su juego

El grupo APT activo agrega astutos inyectores de plantillas remotas para documentos de Word y Excel; Macro única de correo masivo de Outlook

Los investigadores de ESET han descubierto varias herramientas post-compromiso previamente indocumentadas utilizadas por el grupo de amenazas Gamaredon altamente activo en varias campañas maliciosas. Una herramienta, una macro VBA dirigida a Microsoft Outlook, utiliza la cuenta de correo electrónico del objetivo para enviar correos electrónicos de spearphishing a los contactos en la libreta de direcciones de Microsoft Office de la víctima. También analizamos otras herramientas Gamaredon que tienen la capacidad de inyectar macros maliciosas y plantillas remotas en documentos existentes de Office.

Las herramientas vinculadas a Gamaredon y discutidas en este blog se detectan como variantes de MSIL / Pterodo, Win32 / Pterodo o Win64 / Pterodo por los productos de ESET.

El grupo Gamaredon ha estado activo desde al menos 2013. Ha sido responsable de varios ataques, principalmente contra instituciones ucranianas, como se evidencia en varios informes desde CERT-UA y de otros organismos oficiales ucranianos a lo largo del tiempo.

En los últimos meses, ha habido un aumento en la actividad de este grupo, con constantes oleadas de correos electrónicos maliciosos que llegan a los buzones de sus objetivos. Los archivos adjuntos a estos correos electrónicos son documentos con macros maliciosas que, cuando se ejecutan, intentan descargar una multitud de diferentes variantes de malware.

Gamaredon ha aprovechado muchos lenguajes de programación diferentes en los últimos meses, que van desde C # a VBScript, archivos por lotes y C / C ++. Las herramientas utilizadas por Gamaredon son muy simples y están diseñadas para recopilar información confidencial de sistemas comprometidos y difundirse aún más.

A diferencia de otros grupos de APT, el grupo Gamaredon parece no hacer ningún esfuerzo para tratar de mantenerse fuera del radar. A pesar de que sus herramientas tienen la capacidad de descargar y ejecutar archivos binarios arbitrarios que podrían ser mucho más sigilosos, parece que el enfoque principal de este grupo es propagarse lo más rápido y rápido posible en la red de su objetivo mientras intentan filtrar datos. ¿Podríamos estar perdiendo algo?

Antecedentes

La Figura 1 ilustra una típica cadena de compromiso en una campaña de Gamaredon.

Figura 1. Cadena de compromiso típica de Gamaredon

Si bien la mayoría de las publicaciones recientes se han centrado en los correos electrónicos de spearphishing junto con los descargadores que contienen, esta publicación de blog se centra en las herramientas posteriores al compromiso implementadas en estos sistemas.

Módulo de VBA de Outlook

El grupo Gamaredon usa un paquete que incluye un proyecto personalizado de Microsoft Outlook Visual Basic para Aplicaciones (VBA). El uso de macros de Outlook para entregar malware es algo que rara vez vemos al investigar campañas maliciosas.

Este paquete de código malicioso comienza con un VBScript que primero mata el proceso de Outlook si se está ejecutando, y luego elimina la seguridad en torno a la ejecución de macros VBA en Outlook al cambiar los valores del registro. También guarda en el disco el archivo OTM malicioso (proyecto Outlook VBA) que contiene una macro, el archivo adjunto de correo electrónico malicioso y, en algunos casos, una lista de destinatarios a los que se deben enviar los correos electrónicos.

A continuación, relanza Outlook con una opción especial, / altvba , que carga el proyecto Gamaredon VBA. El código malicioso se ejecuta una vez que la aplicación. evento Esta recibido. Han estado usando este módulo de tres maneras diferentes para enviar correos electrónicos maliciosos a:

Todos en la libreta de direcciones de la víctima
Todos dentro de la misma organización
Una lista predefinida de objetivos

Si bien abusar de un buzón comprometido para enviar correos electrónicos maliciosos sin el consentimiento de la víctima no es una técnica nueva, creemos que este es el primer caso documentado públicamente de un grupo de ataque que utiliza un archivo OTM y una macro de Outlook para lograrlo.

Figura 2. Script VBA de Outlook que crea el correo electrónico malicioso

Basado en el comportamiento de "enviar a todos en la lista de contactos" de este código malicioso de VBA, creemos que este módulo podría haber llevado a algunas organizaciones a pensar que fueron atacados por Gamaredon cuando eran simplemente daños colaterales. Por ejemplo, las muestras recientes cargadas en VirusTotal provienen de regiones que tradicionalmente no son objetivo de Gamaredon, como Japón, podría explicarse por las acciones de este módulo.

Como se ve en la Figura 2, el código VBA construye el cuerpo del correo electrónico y adjunta el documento malicioso al correo electrónico. Los hemos visto a ambos .docx y .lnk archivos utilizados como archivos adjuntos. Estos son muy similares al contenido de los archivos adjuntos maliciosos utilizados en las campañas iniciales de spearphishing de Gamaredon. La Figura 3 muestra un correo electrónico generado por este componente malicioso.

Figura 3. Correo electrónico generado por el módulo Outlook VBA con un documento adjunto de Word que contiene una plantilla remota

El correo electrónico contiene texto en inglés y ruso. Sin embargo, como se ilustra en la Figura 3, hay un problema con la codificación rusa. Esto se solucionó en una versión posterior de este módulo, otro ejemplo del rápido ritmo de desarrollo del grupo Gamaredon y la aparente falta de atención a los detalles.

Módulo de inyección de macro de Office – CodeBuilder

Analizamos diferentes variantes de módulos maliciosos utilizados por el grupo Gamaredon para inyectar macros maliciosas o plantillas remotas en documentos ya presentes en el sistema comprometido. Esta es una forma muy eficiente de moverse lateralmente dentro de la red de una organización, ya que los documentos se comparten habitualmente entre colegas. Además, dado que estas macros se ejecutan al abrir los documentos, es una buena forma de persistir en un sistema, ya que es probable que algunos de estos documentos se abran varias veces y en diferentes momentos.

Estos módulos de inyección de macros también tienen la funcionalidad de alterar la configuración de seguridad de macros de Microsoft Office. Por lo tanto, los usuarios afectados no tienen idea de que están comprometiendo nuevamente sus estaciones de trabajo cada vez que abren los documentos. Hemos visto este módulo implementado en dos lenguajes diferentes: C # y VBScript.

C#

Este módulo se entregó, como muchas otras herramientas, en un archivo autoextraíble de 7z. En el interior, había un archivo RAR protegido por contraseña que contenía algunos archivos. En particular, había dos archivos de texto, uno para Word y otro para Excel, que contenían el código fuente VBA de la macro maliciosa para insertar en los documentos de destino, y el ensamblado .NET responsable de encontrar y comprometer los documentos existentes. Como se ilustra en la Figura 4, el nombre del ensamblado es CodeBuilder.

Figura 4. CodeBuilder funciona en una versión que no está ofuscada

Este módulo .NET primero reduce la configuración de seguridad de macros de Office para varios tipos de documentos al modificar los siguientes valores de registro:

HKCU Software Microsoft Office Seguridad VBAWarnings
HKCU Software Microsoft Office Seguridad AccessVBOM

Se itera sobre todas las oficinas posibles valores para ambos Palabra y Sobresalir valores. Luego busca documentos con extensiones válidas de archivos de Word o Excel en todas las unidades conectadas al sistema. Para la unidad que contiene la instalación de Windows, escanea solo ubicaciones específicas, es decir, el Escritorio y Descargas carpetas Para los demás, escanea todo el disco. El malware mueve cada documento localizado al Datos de aplicación carpeta, inserta macros maliciosas de Word o Excel utilizando un Microsoft.Office.Interop objeto, y luego mueve el documento nuevamente a su carpeta original. En las muestras que analizamos, las macros inyectadas eran simples descargadores.

Archivo por lotes / VBScript

La versión VBScript de este módulo es similar en comportamiento al .NET. La principal diferencia es que, en lugar de insertar una macro maliciosa en documentos existentes, inserta referencias a una plantilla remota en ellos.

Figura 5. VBScript usando la propiedad Document.AttachedTemplate para inyectar una referencia a una plantilla remota en documentos existentes

Este módulo VBScript también viene empaquetado en un archivo autoextraíble, que contiene un archivo por lotes y dos archivos VBS responsables de iterar a través de documentos y agregarles las referencias de plantillas remotas.

Actualizaciones del módulo

Curiosamente, algunas de las herramientas personalizadas descritas en Palo Alto Networks " Blogpost 2017 en Gamaredon todavía se están actualizando y en uso hoy. Algunos muestran similitudes significativas, mientras que otros se reescriben en diferentes lenguajes de codificación. Las herramientas más frecuentes descargadas e instaladas en máquinas comprometidas se pueden agrupar en dos categorías diferentes: descargadores y puertas traseras.

Descargadores

Hay muchas variaciones de sus descargadores, la mayoría de ellos escritos en C # o VBScript. Esta sección cubrirá solo dos de sus variantes más originales; los otros no han evolucionado tanto y son muy simples.

Módulo compilador C #

Este ejecutable .NET, similar a muchas otras herramientas utilizadas por el grupo Gamaredon, utiliza técnicas de ofuscación como la inserción de código basura y la ofuscación de cadenas. Contiene en su cuerpo el código fuente codificado en base64 de un descargador. Decodifica ese código fuente y lo compila directamente en el sistema utilizando el incorporado Microsoft.CSharp.CSharpCodeProvider clase. Coloca el ejecutable resultante en un directorio existente y crea una tarea programada que lo iniciará cada 10 minutos. Como se puede ver en la Figura 6, el código fuente decodificado todavía tiene comentarios, lo que ilustra la aparente descuido de los operadores de Gamaredon.

Figura 6. Parte del código fuente del descargador C # incluido en el módulo compilador C #

Módulo de proyecto GitHub

Como se ve en la Figura 7, este ejecutable .NET usa un repositorio de GitHub para obtener y ejecutar un descargador. Este repositorio ya no existe, pero pudimos descargar una copia mientras todavía estaba disponible.

Figura 7. Módulo .NET responsable de descargar y ejecutar una carga útil almacenada en github.com

El repositorio contenía un solo archivo: readme.txt – ese era un ejecutable de descarga de .NET codificado en base64. La función del módulo del proyecto GitHub es descargar este archivo, decodificarlo y ejecutarlo.

Puertas traseras – ladrones de archivos

Si bien existen algunas variaciones en las funcionalidades, el propósito principal de estos módulos es enumerar todos los documentos en un sistema comprometido y subirlos al servidor de C&C. Estos ladrones de archivos también pueden descargar y ejecutar código arbitrario desde el servidor de C&C. Al igual que con muchas otras herramientas utilizadas por el grupo Gamaredon, vienen en cuatro lenguajes de codificación diferentes: C / C ++, C #, archivo por lotes y VBScript.

C / C ++

Esta variante es la sucesora del módulo USBStealer descrito aquí. Aunque las últimas versiones ahora son bastante diferentes, el examen de muestras de este módulo a lo largo de su desarrollo muestra claramente que se origina en el mismo código fuente.

Una muestra que ilustra bien este cambio es una DLL de 64 bits con nombre interno Harvesterx64.dll, compilado en junio de 2019. Todavía tiene la mayoría de las cadenas utilizadas en las variantes anteriores, pero también exhibe dos mejoras que todavía están en las más nuevas. Primero, ahora resuelve las API de Windows a través del hashing de nombres y segundo, usa un archivo de texto básico en lugar de una base de datos SQLite para rastrear qué archivos ya se cargaron en el servidor de C&C.

El comportamiento de este módulo es bastante sencillo: escanea el sistema en busca de nuevos documentos de Microsoft Office, tanto en unidades locales como extraíbles, y los carga en el servidor de C&C. Para saber si el documento es nuevo, el módulo mantiene, en un archivo de texto, un hash MD5 por archivo cargado en el servidor. Estos hash MD5 no se basan en el contenido del archivo, sino en una cadena compuesta por el nombre del archivo, su tamaño y su última hora de modificación. Las cadenas del módulo se almacenan en su sección .data, encriptadas con una simple clave XOR. También tiene la capacidad de descargar y ejecutar código arbitrario desde su servidor C&C.

C#

Esta es una reimplementación en C # de la versión C / C ++. La principal diferencia es que también toma capturas de pantalla de la computadora comprometida cada minuto. Como se ve en la Figura 8, la versión que analizamos tiene cinco hilos diferentes con nombres evocadores.

Figura 8. C # rutina de creación de subprocesos de puerta trasera