BumbleBee loader – nowa droga do przejęcia domeny Active Directory

O podatności CVE-2021-40444 na usługi Microsoft i programach ją wykorzystujących mogliśmy przeczytać na sekuraku w marcu. Wydaje się, że grupy cyberprzestępcze, które wcześniej wykorzystywały takie loadery jak BazaLoader i IcedID w ramach swoich kampanii dotyczących złośliwego oprogramowania, zaadoptowały nowy loader o nazwie BumbleBee. Wygląda na to, że moduł ładujący jest w fazie rozwoju i jest wysoce wyrafinowanym złośliwym oprogramowaniem. Badaczom z Proofpoint udało się prześledzić i odnaleźć co najmniej trzy skupiska aktywności związane z rozmieszczeniem loadera. Kampanie pokrywają się z działaniami opisanymi przez Google Threat Analysis Group w marcu, które miały na celu dystrybucję ransomware Conti i Diavol.

Bumblebee wykonuje testy pod kątem środowiska jego uruchomienia (anty-wirtualizacja) i cechuje się unikalną implementacją typowych funkcji ataku drive-by download. Zaobserwowano, że wykorzystuje m.in. narzędzia Cobalt Strike, shellcode, Sliver i Meterpreter. 

Rys. 1. Schemat ataku BumbleBee

Ataki obserwowane przez ekspertów z Proofpoint wskazują na wykorzystanie wiadomości DocuSign i ich celem jest nakłonienie odbiorców e-mail do pobrania złośliwego pliku *.ISO hostowanego za pomocą Microsoft OneDrive. Na jednej ze ścieżek obserwacji zauważono wysyłanie wiadomości zawierającej link “REVIEW THE DOCUMENT”, podczas gdy druga sieżka wykorzystuje załącznik *.HTML zawierający adres URL wykorzystujący system kierowania ruchem TDS (Traffic Direction System) nazwany “Prometheus” służący do filtrowania pobieranych plików na podstawie strefy czasowej i ciasteczka ofiary. 

Według napastników, działający pod wpływem emocji użytkownik w następnej kolejności musiałby zamontować obraz płyty *.ISO, gdzie w środku znajduje się plik *.LNK zawierający komendę do uruchomienia loadera BumbleBee. 

Inną metodą jaką atakujący również wykorzystują, jest przesłanie wiadomości z formularza kontaktowego ze strony ofiary (jeżeli ten takową posiada) z informacją o naruszeniu praw autorskich do zdjęć na tej stronie. Wiadomość zawiera link do strony ze złośliwym kodem, która uruchamia pobranie pliku ISO zawierającego „DOCUMENT_STOLENIMAGES.LNK” i bibliotekę „neqw.dll”. 

Niezależnie od wybranej drogi infekcji drive-by download, wspominane pliki *.LNK zawierają wbudowane polecenie do uruchomienia biblioteki DLL LOLBin (Living Off the Land Binary) przy użyciu systemowego narzędzia ODBCconf.exe, skąd generowany jest plik odpowiedzi w formacie *.RSP. Plik ten zawiera odniesienie do DLL BumbleBee. Jego nazwa za każdym razem jest unikalna. 

Rys. 2. Droga plikowa fazy ładującej malware

Narzędzie odbcconf.exe ładuje malware z wewnętrzną nazwą LdrAddx64.dll. Firma Proofpoint zauważyła również, że ponowna (druga) kampania w kwietniu 2022 r. obejmowała kampanię przejmowania wątków dostarczających wiadomości e-mail, które wydawały się być odpowiedziami na istniejące konwersacje e-mailowe ze złośliwymi spakowanymi załącznikami ISO („doc_invoice_[numer].zip”) ze znacznikiem “Re:” i wariacją tego zapisu. 

Rys. 3. Proces krokowy przebiegu pierwszej fazy infekcji na platformie CRP

Po fazie początkowej infekcji BumbleBee wstrzykuje kod do wielu procesów w celu zwiększenia prawdopodobieństwa przetrwania. Proces odbcconf.exe tworzy lokalne wywołania WMI (Windows Management Instrumentation) w celu tworzenia nowych procesów. W rezultacie z wmiprivse.exe powstają następujące dwa procesy:

1. wabmig.exe – czyli narzędzie do importowania kontaktów Microsoft z wstrzykniętym kodem agenta Meterpretera.
2. wab.exe – aplikacja książki adresowej Microsoft z wstrzykniętym sygnałem nawigacyjnym dla Cobalt Strike.

Stąd odbywa się faza eskalacji uprawnień wykorzystująca podatność #Zerologon (CVE-2020-1472) na procesie rundll32.exe. Pomimo, że podatność istnieje już jakiś czas to sama aktualizacja nie rozwiązuje problemu zagrożenia. Sam Microsoft pisze, o konieczności podjęcia dodatkowych kroków:

“Active Directory machine accounts for domain joined third-party devices are NOT protected until enforcement mode is deployed. Machine accounts are also NOT protected if they are added to the „Domain controller: Allow vulnerable Netlogon secure channel connections” group policy. See How to manage the changes in Netlogon secure channel connections associated with CVE-2020-1472 for more details.”

Musi nastąpić obejście kontroli UAC do wdrożenia narzędzi posteksploitacyjnych z wyższymi uprawnieniami (stąd biblioteka LOLBin). Do tego celu włączony do sceny zostaje plik fodhelper.exe (Features On-Demand Helper), który jest zaufanym plikiem binarnym Microsoft od momentu utworzenia w 2015 r. Oznacza to, że system Windows nie wyświetli okna UAC po uruchomieniu w celu wykonania konkretnych instrukcji. Wywołanie fodhelper.exe wygląda następująco:

“cmd.exe” /c rundll32.exe “C:\ProgramData\Cisco\[Cobalt strike].dll”,MainProc

Rys. 4. Eskalacja uprawnień przedstawiona na platformie CRP

Po eskalacji uprawnień następuje próba kradzieży poświadczeń według dwóch metod (obu ale nie jednocześnie). Za pomocą zrzutu pamięci (procdump64.exe) procesu LSASS (Local Security Authority Subsystem Service), czyli miejsca gdzie przechowywane są nazwy użytkowników i hasła domeny. Druga metoda uwzględnia użycie reg.exe jako ekstraktora typowych wartości rejestru do których zalicza się: HKLM SAM (baza SAM z kontami użytkowników), HKLM System (klucze szyfrujące LSA i SAM) i LSA (loginy i sekretne hasła). W tym miejscu następuje ponowna faza rekonesansu i rozsiewania infekcji. Warto zwrócić uwagę na aktywność czasową malware:

Tabela 1. Korelacja faz ataku w czasie

Po odczytaniu danych logowania ze skradzionych kont następuje późna faza eksfiltracji danych domeny za pośrednictwem klonowania pliku NTDS.dit (z hashami haseł) za pośrednictwem windowsowego narzędzia shadow copy – vssadmin. Utrzymanie dostępu na porcie 3389 z różnych miejsc w sieci wykorzystując legalne narzędzie AnyDesk i ostatecznie masowe klonowanie za pomocą rclone spakowanych, zaszyfrowanych plików 7-Zip.

Rys. 5. Faza uzyskania uprawnień wraz z eksfiltracją danych przedstawiona na platformie CRP

Jak przedstawiono powyżej, BumbleBee stanowi książkowe zobrazowanie faz ataku od rekonesansu po eksfiltrację i stanowi obecnie duże zagrożenie. Eksperci uważają, że cyberprzestępcy korzystający z BumbleBee mogą być wyłącznie brokerami początkowego dostępu, którzy otrzymali program ładujący od innych cyberprzestępców lub na zlecenie nielegalnych organizacji / rządów. 

Czy można się przed malware zabezpieczyć? Oczywiście. Przede wszystkim (jak zawsze) należy przestrzegać użytkowników przed e-mail phishingiem i regularnie tworzyć kopie zapasowe w lokalizacji zdalnej. Nie wolno także zapominać o wykonywaniu aktualizacji do najnowszych wersji. Używanie bezpiecznych haseł (15+ znaków) wraz z uwierzytelnianiem 2FA to zawsze dobry pomysł. Warto również zapoznać się z dobrymi praktykami zabezpieczania Active Directory od Microsoftu.

Źródło: 

1. https://www.techrepublic.com/article/new-bumblebee-malware-loader-increasingly-adopted-by-cyber-threat-groups/ 
2. https://www.cybereason.com/blog/threat-analysis-report-bumblebee-loader-the-high-road-to-enterprise-domain-control 
3. https://docs.microsoft.com/en-us/windows-server/identity/ad-ds/plan/security-best-practices/best-practices-for-securing-active-directory 

~tt