BusySnake – stealer atakujący cele o znaczeniu krytycznym w Rosji. Za kampanię odpowiada grupa APT Armored Likho

Badacze bezpieczeństwa za pośrednictwem portalu Securelist poinformowali o wykryciu nowej kampanii phishingowej powiązanej z nieznaną dotąd grupą APT (nazwaną przez analityków Armored Likho). Wszelkie poszlaki wskazują, że grupa ta jest również znana pod nazwą Eagle Werewolf. Jej celem są przede wszystkim instytucje rządowe oraz przedsiębiorstwa z sektora krytycznego w Rosji, Brazylii oraz Kazachstanie. Działania cyberprzestępców są głównie motywowane finansowo, chociaż patrząc na kierunek zainteresowań można dostrzec znamiona cyberszpiegostwa.

TLDR:

• Na portalu Securelist pojawiła się analiza nowej kampanii phishingowej prowadzonej przez grupę Armored Likho.
• Na celowniku cyberprzestępców znalazły się instytucje rządowe oraz przedsiębiorstwa z sektora krytycznego w Rosji, Brazylii oraz Kazachstanie.
• Oprócz motywacji finansowej, realizowane działania mają charakter cyberszpiegostwa.
• Atak rozpoczyna się od precyzyjnie targetowanej kampanii phishingowej. Nie jest do końca powiedziane, w jaki sposób atakujący ustalają listę celów.
• Cyberprzestępcy używają zaawansowanego stealera – BusySnake do wykradania danych z przeglądarek, wykonywania zrzutów ekranu oraz nawiązywania odwrotnego tunelu SSH.

Podczas ataków używają przede wszystkim modułowych trojanów typu RAT (Remote Access Trojan) oraz infostealerów. Ponadto wykorzystują proste narzędzia takie jak Go2Tunnel do utrzymania zdalnego dostępu do infrastruktury celu oraz tunelowanie ruchu sieciowego. 

W analizowanej kampanii po raz pierwszy zaobserwowano użycie nieudokumentowanego wcześniej stealera – BusySnake. Malware został napisany w Pythonie oraz zaciemniony z wykorzystaniem narzędzia PyArmor.

Schemat ataku to w zasadzie klasyka gatunku. Rozpoczyna się od wiadomości spear-phishingowych wysyłanych do starannie dobranych adresatów. Cyberprzestępcy działają precyzyjnie, treść maila nawiązuje do bieżących spraw administracyjnych i do złudzenia przypomina oficjalną korespondencję, przez co użytkownik może być nieświadomy zagrożenia.

Często jako załącznik dołączane jest złośliwe archiwum, którego nazwa zawiera unikalny identyfikator GUID oraz zarys tematyczny zgodny z treścią wiadomości np. [GUID]_psihologicheskiy_test.zip (test psychologiczny), zayavka_gumanitarnayapomosch.rar (wniosek o pomoc humanitarną). Po rozpakowaniu paczki i uruchomieniu pliku, na ekranie wyświetla się obiecany dokument lub aplikacja przypominająca  test psychologiczny. Ich zadaniem jest uśpienie czujności użytkownika i uwiarygodnienie atakujących. W tle natomiast startuje złośliwy loader, który wstrzykuje się do legalnego procesu (pnx.exe), a następnie pobiera właściwy ładunek.

I tu ciekawostka, złośliwy kod jest pobierany bezpośrednio z kontrolowanych przez napastników repozytoriów GitHub. Wpisuje się to w coraz częściej obserwowany trend nadużywania legalnych serwisów do dystrybucji malware. Z uwagi na szybką rotację ładunku, bardzo trudno jest przeciwdziałać takim praktykom. Gdy tylko wykryte konto zostanie zablokowane, w jego miejsce natychmiast pojawiają się nowe repozytoria hostujące złośliwe oprogramowanie.

Kolejny etap infekcji obejmował instalację środowiska uruchomieniowego Python 3.12, pobranie niezbędnych zależności (pip) oraz komponentów narzędzia PyArmor. Na samym końcu pobierany był właściwy ładunek BusySnake, który trafiał bezpośrednio do %AppData%\WindowsHelper.

W tym miejscu należy wspomnieć, że w ocenie analityków kod loadera został wygenerowany przy użyciu narzędzi sztucznej inteligencji. Rozwiązanie to pozwala cyberprzestępcom na sprawne modyfikowanie go podczas kolejnych ataków, utrudniając w ten sposób detekcję przez systemy EDR. Na wykorzystanie AI wskazują między innymi rozbudowane komentarze pozostawione w skrypcie.

Utrzymanie dostępu (persystencję) zapewniono poprzez nadużycie Harmonogramu zadań w systemie Windows. Atakujący zdefiniowali cykliczne zadanie, które co 5 minut uruchamia skrypt VBScript inicjujący działanie stealera.

Kod źródłowy BusySnake został zaciemniony z wykorzystaniem narzędzia PyArmor Pro w wersji 9.2.0. Analiza wykazała, że malware dynamicznie deszyfruje swój kod bajtowy wyłącznie w momencie wywołania konkretnej funkcji, a następnie ponownie go szyfruje. 

Klucz szyfrujący znajduje się najprawdopodobniej w pliku _pyarmor.pyd. Co ciekawe, nie jest to stały ciąg znaków ładowany do pamięci w całości, od razu po uruchomieniu. Procedura jego odtwarzania oraz wczytywania do pamięci jest realizowana bezpośrednio przez mechanizm uruchomieniowy (runtime) PyArmora. Badania pokazały, że klucz jest dostępny w pamięci RAM tylko przez ułamek sekundy, akurat na potrzeby odszyfrowania kodu bajtowego funkcji, która będzie wykonywana w danej chwili. Natychmiast po odszyfrowaniu obszaru pamięci klucz jest zerowany. Procedura jest analogiczna dla kolejnych funkcji.

Badaczom w toku analizy udało się przechwycić klucz szyfrujący oraz pomyślnie odszyfrować złośliwy kod. W efekcie otrzymali szczegółową konfigurację stealera w tym między innymi:

• adres serwera dowodzenia (Command & Control), 
• parametr User-Agent na potrzeby komunikacji sieciowej,
• ścieżki do katalogów,
• wyrażenia regularne,
• interwały czasowe związane z wykonywaniem zrzutów ekrany.

Przykład odczytanej konfiguracji został przedstawiony poniżej.

Biorąc pod uwagę funkcje realizowane przez malware, wykryto wiele modułów umożliwiających:

• wykonywanie zrzutów ekranu w określonych interwałach czasowych,
• wykradanie zawartości schowka systemowego,
• wyszukiwanie 64 znakowych kluczy zapisanych w systemie szesnastkowym (hex) najprawdopodobniej szukał prywatnych kluczy do portfeli kryptowalutowych,
• eksfiltracja plików z domyślnych folderów użytkownika (Desktop, Downloads, Documents),
• przechwytywanie wrażliwych danych z przeglądarki, w tym zapisanych haseł, zaszyfrowanych lokalnych baz danych oraz plików cookie,
• zestawienie odwrotnego tunelu SSH (reverse SSH tunnel) po otrzymaniu z serwera C2 odpowiednie polecenie oraz klucz prywatny (w postaci zamaskowanej).

Zaprezentowana kampania doskonale obrazuje kierunek rozwoju współczesnego złośliwego oprogramowania. Korzystanie z narzędzi bazujących na sztucznej inteligencji, modułowość oraz bezpośrednie zintegrowanie funkcji tunelowania ruchu (reverse SSH) znacząco ułatwia cyberprzestępcom omijanie tradycyjnych zabezpieczeń sieciowych i utrzymanie stałego dostępu do zainfekowanych systemów.

Atak rozpoczyna się od precyzyjnie przygotowanej wiadomości phishingowej, z tego powodu świadomość użytkownika oraz ograniczone zaufanie to jedne z najskuteczniejszych metod obrony przed tego typu zagrożeniami.

Źródło: securelist.com 

~_secmike