باسمه تعالي تحلیل و بررسی. باج افزار CrossRAT

Transcrição

1 باسمه تعالي عنوان مستند تحلیل و بررسی باج افزار CrossRAT

2 بلاطم تسرهف همدقم 2 يپ دول يلصا دب 1...رازفا 3 تاصخشم لیاف هدش لیلحت حطس دیدهت لیاف هدش لیلحت هصالخ هوحن درکلمع يیاسانش و رازفادب يسررب دوجو يگدولآ شرازگ 7...لیلحت 1-7 دتم یلصا 8...رازفادب 2-7 یاهدتم متسیس صیخشت لماع تسدب ندروآ متسیس مان 11...لماع تسدب ندروآ متسیس یرامعم لماع یراگدنام رازفادب یراگدنام رد کم یراگدنام رد سکونیل یراگدنام رد زودنیو دنیآرف طابترا 11...رورس اب 1-7 یاهدتم طوبرم هب ت یلمع ا رب وی ر لیاف اه دتم یپک ندرک 11...لیاف دتم یپک ندرک یاوتحم کی یروتکریاد نورد یروتکریاد رگید فذح دتم کی 21...یروتکریاد فذح دتم کی لیاف دتم لاقتنا لیاف یپک( فذح سپس و لیاف زا ریسم 21...)هیلوا 1-7 دتم نتفرگ scereenshot دتم یارجا کی لیاف ییارجا Keylogger 23...رازفادب 8 هجیتن یریگ 24...

3 1 مقدمه در سال 2118 محقیق امنیتی و Lookout Electronic Frontier Foundation(EFF) Dark Caracal گزارشی از کمپین منتشر کردند که در آن راجع به گروه کمپین و همچنین ابزارها و روشهای آن ها صحبت شده است. یکی از ابزارهای قوی که در این کمپین دیده شد تروجان جدیدی به نام CrossRAT است که یکی از جالب ترین ویژگی های آن قابلیت اجرای بر روی سیستم عامل های مختلف است. این بدافزار به زبان جاوا نوشته شده است و از این رو هر سیستم عاملی که ماشین مجازی جاوا بر روی آن نصب باشد قابلیت اجرای آن را خواهد داشت. از این رو حتی کاربران سیستم عامل های مک و لینوکس نیز از این تروجان در امان نخواهند بود. ویژگی های کلیدی این بدافزار شامل موارد زیر است: این تروجان سیستم عامل های ویندوز مک و لینوکس را هدف قرار می دهد. قابلیت ارتباط با سرور C&C برای دریافت دستور و اجرای آن. اجرای فایل های اجرایی جانبی. عملیات بر روی فایل ها. گرفتن اسکرین شات از صفحه کاربر. پایدارسازی خود در سیستم عامل برای ماندگاری و اجرا در هر بار راه اندازی سیستم عامل پی لود اصلی بد افزار این بدافزار پس از اجرا سعی می کند خود را درون سیستم عامل کاربر پایدار سازد تا در هر بار راه اندازی سیستم عامل بتواند اجرا شود. بدین منظور پس از ایجاد یک کپی از خود از روش های پایدار سازی مختص هر سیستم عامل استفاده می کند. سپس یک ارتباط دو طرفه با یک سوکت TCP همیشه باز با سرور C&C خود ایجاد کرده و اطلاعات پایه ای از سیستم عامل کاربر و نام کاربری کاربر به سرور ارسال می کند. سپس منتظر دریافت دستور از جانب سرور می ماند. با دریافت دستور از سرور عملیات مربوط به آن را انجام داده و در صورتی که سرور اطلاعاتی از بدافزار نیاز داشته باشد بدافزار اطلاعات را به سرور ارسال می کند. دستوراتی که توسط بدافزار پشتیبانی می شود به شرح زیر است: ایجاد یک فایل خالی پیمایش فایل های درون یک دایرکتوری.1.2 1

4 عنوان مستند: تحلیل و بررسي باج افزار CrossRAT تغییر محتوای یک فایل کپی فایل کپی یک دایرکتوری انتقال فایل حذف فایل گرفتن اسکرین شات از صفحه کاربر اجرای فایل همان طور که مشاهده می شود بدافزار دستورات پایه برای انجام بسیاری از کارها مخرب را دارد و از این رو مهاجم قابلیت انجام اکثرا کارها از جمله انتقال بدافزاری جدید )از جمله باج افزار( و اجرای آن بر روی سیستم قربانی را دارد. از این رو این بدافزار می تواند بسیار خطرناک ظاهر شود. 3 مشخصات فایل تحلیل شده مشخصات فایل های تحلیل شده بدین شرح است: مشخصات فایل Filename: hamr6.jar Type: Java Executable (.JAR) MD5: 85b794e080d83a91e904b97769e1e770 SHA-1: b23e070dadc d5ee92c7753b84968f50 SHA256: 15af5bbf3c8d5e5db41fd7c3d722e8b247b40f2da747d5c334f7fd80b715a649 2

5 4 سطح تهدید فایل تحلیل شده نتیجه بررسی فایل اجرایی تحلیل شده بدافزار CrossRAT با استفاده از تارنمای Virustotal.com در جدول ذیل ارایه شده است. همانطور که مشاهده میشود از بین 11 موتور تشخیص بدافزار 11 عدد این فایل را به عنوان بدافزار تشخیص دادهاند. Antivirus Result Update Ad-Aware Trojan.Java.Agent.ALD AegisLab Backdoor.Java.Crossrat!c AhnLab-V3 JAVA/Trupto ALYac Backdoor.Java.CrossRAT Antiy-AVL Trojan/Win32.TGeneric Arcabit Trojan.Java.Agent.ALD Avast Java:Malware-gen [Trj] AVG Java:Malware-gen [Trj] Avira JAVA/Agent.eipee BitDefender Trojan.Java.Agent.ALD Bkav W32.JavaNVA.Worm CAT-QuickHeal Trojan.JAVA.Agent Cyren Java/Agent.BGG DrWeb Java.CrossRat Emsisoft Trojan.Java.Agent.ALD (B) escan Trojan.Java.Agent.ALD ESET-NOD32 Java/Trupto.A F-Prot Java/Agent.BGG F-Secure Trojan.Java.Agent.ALD Fortinet Java/Trupto.A!tr GData Trojan.Java.Agent.ALD (2x) Ikarus Backdoor.Java.CrossRat Jiangmin Backdoor.Java.gl Kaspersky Backdoor.Java.CrossRAT.b MAX malware (ai score=97) McAfee RDN/Generic.dx

6 عنوان مستند: تحلیل و بررسي باج افزار CrossRAT McAfee-GW-Edition Java/CrossRat Microsoft Trojan:Java/Trupto.A NANO-Antivirus Trojan.Java.CrossRAT.exmvuo Qihoo-360 virus.java.crossrat Rising Trojan.CrossRAT!1.B001 (CLASSIC) Sophos AV Java/Agent-AYAW Symantec Trojan.Maljava Tencent Java.Backdoor.Crossrat.Ebqt TrendMicro JAVA_CRAT.A ViRobot JAVA.S.Agent Zillya Backdoor.CrossRAT.JS ZoneAlarm Backdoor.Java.CrossRAT.b

7 راهکارهای پیشگیری راهکارهای پاکسازی راهکارهای تشخیص شناسنامه بدافزار 5 خلاصه نحوه عملکرد و شناسایی بدافزار در جدول زیر مشخصات بدافزار مذکور به همراه رویکرد تشخیص و پاکسازی به صورت خلاصه مشاهده میشود. نام سال کشف روش انتشار تأثیرات سطح شبکه سطح میزبان CrossRAT 2118 لینک های مخرب موجود در پیام ها از طریق شبکه های اجتماعی و نرم افزارهای پیام رسانی فوری پست های الکترونیکی مخرب دانلود از وب سایت ها فلش دیسک ها ایجاد تغییر حذف و جا به جایی فایل ها و دایرکتوری ها گرفتن اسکرین شات از صفحه کاربر اجرای فایل های اجرایی جانبی ارتباط به سرور C&C به منظور دریافت دستور و ارسال و دریافت اطلاعات دیگر از جمله فایل های اجرایی و تصاویر وجود فایل های ذکر شده در گزارش استفاده از آنتی ویروس های بروز مسدود سازی اجرای برنامه های جاوا به طور پیش فرض با ابزار استفاده از نبود فایل های مشکوک در سیستم عامل استفاده از ضد ویروس های تحت شبکه و بروز نگه داشتن آنها به روز بودن نرم افزار ضدبدافزار نصب شده برروی سیستم اجتناب از دانلود و باز کردن فایل های ضمیمه ایمیل های ناشناس و نامعتبر محدودسازی سطح دسترسی کاربر محدودسازی اجرای فایل های جاوا تغییر گذرواژه های حساب های کاربری بررسی پاک بودن سیستم سطح شبکه سطح میزبان 1

8 عنوان مستند: تحلیل و بررسي باج افزار CrossRAT 6 بررسی وجود آلودگی وجود فایل اصلی بدافزار در مسیر های زیر: برای سیستم عامل ویندوز: o o وجود کلید رجیستری برای اجرای فایل بدافزار در مسیر زیر: وجود فایل برای سیستم عامل لینوکس: HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ mediamgrs.jar o o وجود فایل وجود فایل برای سیستم عامل مک: mediamgrs.jar در فولدر %temp% ویندوز. در مسیر /usr/var به نام autostart mediamgrs.desktop در مسیر ~/.config/autostart o o وجود فایل وجود یک فایل mediamgrs.jar در مسیر ~/Library به نام plist mediamgrs.plist در مسیر /Library/LaunchAgents یا ~/Library/LaunchAgents 1

9 7 گزارش تحلیل همان طور که گفته شد این بدافزار به زبان جاوا نوشته شده است و فایل اجرایی آن به صورت یک بسته منتشر شده است. فایل ه یا ه یا Jar Jar فایل ه یا zip هستند که درون آن ها شامل تعدادی فایل.class.class کدهای است. فایل کامپایل شده ماشین مجازی جاوا هستند که به راحتی قابل بازگردانی به کدهای اولیه جاوا هستند. از این رو می توان فایل بدافزار را توسط ابزارهای موجود برای جاوا پس از decompile decompile کردن بدافزار توسط JD-GUI کرد. مشاهده می شود که بدافزار دارای چندین است package که هر کدام نیز درون تعدادی کلاس جاوا قرار داده شده است. کدها به صورت غیر مبهم و قابل خواندن توسط تحلیل گر هستند. ولی نام پکیج و کلاس ها به صورت حروف انگلیسی درآمده است تا تحلیل گر نتواند تنها با مشاهده نام کلاس ها به عملیات درون آن پی ببرد و تحلیل انسانی کد کمی گیج کننده باشد. نکته: از آنجایی که در جاوا با توجه به ساختار زبانی آن به توابع متد گفته می شود ما نیز در گزارش به توابع موجود در بدافزار متد می گوییم. 7

10 عنوان مستند: تحلیل و بررسي باج افزار CrossRAT 1-7 متد اصلی بدافزار main متد مدیریت می کند. موجود در کلاس client واقع در پکیج crossrat متد اصلی بدافزار است که تمامی اصلی را عملیات نخست بدافزار سعی می کند تا خود را درون سیستم عامل قربانی ماندگار سازد و در هر بار اجرای سیستم عامل بتواند اجرا شود. بدین منظور در مرحله اول خود را با نام به نوع سیستم عامل مکان دایرکتوری فرق می کند( کپی می کند. این دایرکتوری در ویندوز فولدر temp در لینوکس فولدر mediamgrs.jar /usr/var و در مک فولدر درون یک دایرکتوری )بسته ~/Library است. 8

11 سپس با توجه به نوع سیستم داده خواهد شد(: عامل عملیات ماندگاری را انجام می دهد )این عملیات در ادامه مفصلا توضیح 1

12 عنوان مستند: تحلیل و بررسي باج افزار CrossRAT 2-7 متدهای تشخیص سیستم عامل به دلیل اینکه بسیاری از عملیات بدافزار دستورات مختلفی بر روی سیستم عامل های مختلف دارد بدافزار نخست باید نوع سیستم عامل قربانی را تشخیص دهد. بدین منظور کلاس هایی درون پکیج که کار آنها تشخیص نوع سیستم عامل و نسخه دقیق آن است. قرار داده شده a بدست آوردن نام سیستم عامل 11

13 2-2-7 بدست آوردن معماری سیستم عامل CrossRAT کند: با اجرای دستور uname a اطلاعات دقیق تری از نسخه سیستم عامل )غیر از ویندوز( کسب می همچنین قطعه کد زیر برای تشخیص نسخه دقیق سیستم عامل مک استفاده می شود که با اجرای فایل /usr/bin/sw_vers اطلاعات را کسب می کند. 11

14 عنوان مستند: تحلیل و بررسي باج افزار CrossRAT 12

15 3-7 ماندگاری بدافزار این بدافزار برای ماندگاری خود در سیستم قربانی و همچنین اجرای خود در هر بار راه اندازی سیستم عامل از روش های پایدارسازی مرسوم استفاده می کند. از آنجایی که برای ماندگاری در هر سیستم عامل نیازمند انجام عملیاتی مختص به سیستم عامل داریم این بدافزار نیز برای هر سیستم عامل عملیات مختلفی را انجام خواهد داد ماندگاری در مک این بدافزار برای اینکه در هر بار بارگذاری سیستم عامل مک بتواند اجرا شود نخست فایل مسیر/ Users/user/Library/mediamgrs.jar ک یپ کرده و سپس یک فایل به نام jar mediamgrs.plist Library/LaunchAgents/~ ایجاد کرده و درون فایل محتوای زیر را می نویسد: خود را در در مسیر فایل ه یا plist ساختاری به شکل فایل ه یا xml دارند که شامل تعدادی کلید )تگ ها( و مقادیر کلید که درون تگ ها جا دارند می باشند. این فایل ها در مسیر ذکر شده توسط سیستم عامل در زمان بارگذاری خوانده شده و دستورات درون آن ها اجرا می شود. همان طور که مشاهده می شود کلید RunAtLoad در فایل قرار گرفته که به سیستم عامل می فهماند که این دستورات باید در موقع بارگذاری سیستم عامل اجرا شوند. همچنین مقادیر موجود در کلید ProgramArguments مشخص می کند که سیستم عامل باید دستور زیر را برای این فایل اجرا کند: plist java jar /Users/user/Library/mediamgrs.jar 13

16 عنوان مستند: تحلیل و بررسي باج افزار CrossRAT ماندگاری در لینوکس CrossRAT برای سیستم عامل لینوکس از یک فایل autostart برای ماندگاری و اجرا در هر بار بارگذاری سیستم عامل استفاده می کند. فایل ه یا autostart ساختار استانداری در لینوکس دارند که سیستم عامل در هر بار راه اندازی آن ها را خوانده و دستورات گفته شده در آن ها را اجرا می کند. این فایل ها در مسیر /config/autostart./~ قرار دارند. این بدافزار فایل سپس خود را در مسیر شود فایل mediamgrs.desktop usr/var/mediamgrs.jar/ jar بدافزار در هر بار راه اندازی سیستم عامل اجرا شود: را در مسیر ذکر شده می نویسد و ک یپ می کند و در نهایت با قرار دادن دستور زیر باعث می Exex=java jar /usr/var/mediamgrs.jar 11

17 3-3-7 ماندگاری در ویندوز CrossRAT برای ماندگاری خود در سیستم عامل ویندوز از روش های مرسوم نرم افزارهای ویندوزی برای اجرای برنامه در هر بار راه اندازی سیستم عامل استفاده می کند. برای این منظور بدافزار کلیدی در مسیر HKCU\Software\Microsoft\Windows\CurrentVersion\Run ایجاد کرده که دستور javaw.exe jar mediamgrs.jar را در هر بار اجرای سیستم عامل اجرا می کند. 11

18 عنوان مستند: تحلیل و بررسي باج افزار CrossRAT 4-7 فرآیند ارتباط با سرور پس از انجام عملیات ماندگاری خود ارسال می شوند گوش می CrossRAT یک سوکت باز کرده و به فرمان هایی که از سمت سرور C&C دهد و سپس با توجه به نوع فرمان عملیات خاصی را انجام می دهد. بدافزار بعد از اتصال به سرور مشخصات زیر را به سرور ارسال می کند: نام سیستم عامل نسخه سیستم عامل نام کاربری Host نام پس از باز شدن سوکت و برقراری ارتباط با سرور بدافزار دستورات آمده از سرور را توسط شرط هایی پی در پی چک کرده و با توجه به نوع دستور متد خاصی را فراخوانی می کند )همان طور که واضح است دستورات به صورت رشته هایی درون کلاس k ج یا دارند(: 11

19 مخشصات سرور ارتباطی و همچنین دستوراتی که سرور می تواند به بدافزار ارسال کند در کلاس k پکیج واقع در crossrat قرار دارد: همان طور که مشاهده می شود آدرس سرور flexberry.com و پورت سرور 2223 می باشد. 17 پس از بررسی کامل کد لیست جدول زیر آمده است: دستورات قابل ارسال توسط سرور به بدافزار و همچنین عملکرد هر کدام در

20 عنوان مستند: تحلیل و بررسي باج افزار CrossRAT کد دستور عملیات مربوطه بدست آوردن لیست دایرکتوری های موجود در مسیر ریشه بدست آوردن لیست فایل ها ایجاد یک فایل خالی کپی کردن فایل انتقال فایل نوشتن محتوا درون یک فایل خواندن محتوای یک فایل گرفتن اسکرین شات از صفحه کاربر اجرای یک @0009 متدهای مربوط به عملیات بر روی فایل ها 5-7 org/a.a.a در پکیج کلاس b شامل متدهایی است که برای )کپی عملیات انتقال حذف( بر روی ه یا فایل سیستم قربانی استفاده می شود. 18

21 متد ک یپ کردن فایل متد کپی کردن محتوای یک دایرکتوری درون دایرکتوری دیگر 11

22 عنوان مستند: تحلیل و بررسي باج افزار CrossRAT متد حذف یک دایرکتوری متد حذف یک فایل 21

23 5-5-7 متد انتقال فایل )کپی و سپس حذف فایل از مسیر اولیه( 6-7 متد گرفتن scereenshot همان طور که از متد main بدافزار مشخص است دستور 0008 باعث ایجاد یک شی از کلاس j crossrat می شود. این کلاس با استفاده از کتابخانه java.awt واقع در پکیج واقع در جاوا از صفحه کاربر عکس گرفته و سپس آن را درون یک فایل ذخیره می کند. سپس این فایل به سمت سرور آپلود می شود: 21

24 عنوان مستند: تحلیل و بررسي باج افزار CrossRAT 7-7 متد اجرای یک فایل اجرایی متدی با شماره کد 0009 درون بدافزارCrossRAT باعث شده تا این بدافزار به یک بدافزار بسیار خطرناک تبدیل شود. این تابع قادر به اجرای هر فایل اجرایی بر روی سیستم عامل کاربر است. از این رو سرور می تواند هر نوع بدافزاری از جمله یک باج افزار را بر روی سیستم قربانی ارسال کند و سپس دستور اجرای آن را صادر کند. کلاس دستور واقع در پکیج i crossrat rundll32 dll مسئول اجرای فایل بر روی سیستم قربانی را بر عهده دارد. برای این کار بدافزار را اجرا می کند. این دستور یک دستور ویندوزی است که توسط آن می تواند یک تابع از یک را فرخوانی کرد. این بدافزار تابع FileProtocolHandler از کتابخانه url.dll ویندوز را صدا می زند. این تابع برای اجرای یک فایل اجرایی به کار می رود که مسیر فایل اجرایی مورد نظر به صورت یک پارامتر به تابع ارسال می شود: توضیحات بالا زمانی کاربرد دارد که سیستم عامل کاربر ویندوز باشد. بدافزار در صورتی که سیستم عامل کاربر غیر ویندوز باشد از تابع Desktop.getDesktop().open() برای اجرای فایل استفاده می کند. 22

25 Keylogger بدافزار 8-7 پکیج jnativehook واقع در پکیج org دارای تعدادی کلاس است که با بررسی مشاهده می شود یک کتابخانه آماده برای ثبت وقایع ماوس و کیبورد کاربر است. این کتابخانه از توابع سطح پایین سیستم عامل برای این منظور استفاده می کند و از سیستم عامل مک لینوکس و ویندوز پشتیبانی می کند. پس از بررسی در کد بدافزار مشخص شد که هیچگونه فرخوانی از کلاس ها و متدهای این کتابخانه در نسخه فعلی بدافزار صورت نگرفته است و احتمالا از آن در نسخه های آتی بدافزار استفاده خواهد شد. 23

26 عنوان مستند: تحلیل و بررسي باج افزار CrossRAT 8 نتیجه گیری CrossRAT تروجانی بسیار قوی است. نخست آنکه قابلیت اجرا بر روی سیستم عامل های مختلف از جمله رایانه های شخصی ویندوز مک و سرورهای لینوکس را دارد. از طرفی به زبان جاوا نوشته شده و توسط بسیاری از آنتی ویروس ها به صورت سنتی قابل تشخیص نیست. همچنین قابلیت دریافت دستور از سرور و انجام عملیات پایه مختلف بر روی فایل ها و اجرای فایل های اجرایی را دارد که باعث می شود قابلیت انعطاف مهاجم برای انجام انواع حملات بالا رود. 21