Loki 1.8: dokumen tentang Pencuri Data muda dan yang akan datang

Pada pertengahan Juni, perang melawan virus korona di Kazakhstan berjalan lancar. Khawatir dengan meningkatnya jumlah kasus (bahkan mantan Presiden Nursultan Nazarbayev terinfeksi), otoritas lokal memutuskan untuk menutup kembali semua pusat perbelanjaan dan hiburan, toko rantai, pasar dan bazar. Pada saat itu, penjahat dunia maya memanfaatkan situasi tersebut dengan mengirimkan surat jahat ke perusahaan Rusia dan internasional.



Surat-surat berbahaya, yang disamarkan sebagai seruan dari Menteri Kesehatan Republik Kazakhstan, dicegat oleh IB Grup Sistem Deteksi Ancaman (TDS). Lampiran berisi dokumen yang, ketika diluncurkan, menginstal program jahat dari keluarga Loki PWS (Pencuri Kata Sandi), yang dirancang untuk mencuri login dan kata sandi dari komputer yang terinfeksi. Di masa mendatang, penyerang dapat menggunakannya untuk mendapatkan akses ke akun email untuk penipuan finansial, spionase, atau menjualnya di forum peretas.



Dalam artikel ini, Nikita Karpov, analis di CERT-GIB , memeriksa salah satu Pencuri Data paling populer saat ini - Loki.



Hari ini kita akan mempertimbangkan salah satu versi bot yang populer - 1.8. Ini secara aktif dijual, dan panel admin bahkan dapat ditemukan di domain publik: di sini .



Contoh panel Admin:







Loki ditulis dalam C ++ dan merupakan salah satu malware paling populer yang digunakan untuk mencuri informasi pengguna dari komputer yang terinfeksi. Sama seperti momok di zaman kita - virus ransomware - Pencuri Data, setelah diserang di komputer korban, melakukan tugas dengan kecepatan sangat tinggi - tidak perlu mendapatkan pijakan dan meningkatkan keistimewaannya dalam sistem, ia hampir tidak menyisakan waktu untuk bertahan dari serangan. Oleh karena itu, dalam acara dengan malware yang mencuri data pengguna, peran utama dimainkan oleh investigasi insiden tersebut.

Membongkar dan mendapatkan dump malware yang bisa diterapkan

Distribusi dalam banyak kasus terjadi melalui lampiran di milis. Pengguna, menyamar sebagai file yang sah, mengunduh dan membuka lampiran, meluncurkan malware.



Penanda injeksi menunjukkan keberadaan Loader.





Dengan bantuan DIE kami mendapatkan informasi bahwa file sumber ditulis dalam VB6.





Grafik entropi menunjukkan sejumlah besar data terenkripsi.





Saat diluncurkan, proses pertama membuat proses anak, menyuntikkannya, dan keluar. Proses kedua bertanggung jawab atas kerja malware. Setelah beberapa saat, kami menghentikan proses dan menyimpan dump memori. Untuk mengonfirmasi bahwa Loki ada di dalam dump, lihat di dalam url pusat perintah, yang biasanya diakhiri dengan fre.php .





Kami membuang fragmen memori yang berisi Loki dan menyesuaikan header PE.



Kami akan memeriksa kinerja dump menggunakan sistem TDS Huntbox.

Fungsi bot

Dalam proses pemeriksaan kode malware yang telah didekompilasi, kami menemukan bagian yang berisi empat fungsi yang segera berjalan setelah inisialisasi pustaka yang diperlukan untuk operasi tersebut. Setelah membongkar masing-masing di dalamnya, kami menentukan tujuan dan fungsinya dari malware kami.





Nama fungsi telah diganti namanya menjadi lebih deskriptif untuk kenyamanan.

Fungsionalitas bot ditentukan oleh dua fungsi utama:

1. Pencuri Data adalah fungsi pertama yang bertanggung jawab untuk mencuri data dari 101 aplikasi dan mengirimkannya ke server.
2. Downloader - permintaan dari perintah CnC (Command & Control) untuk dieksekusi.

Demi kenyamanan, tabel di bawah mencantumkan semua aplikasi tempat instans Loki yang sedang diperiksa mencoba mencuri data.

Pada tahap ini, analisis statis malware selesai, dan di bagian selanjutnya kita akan mempertimbangkan bagaimana Loki berkomunikasi dengan server.

Jaringan

Ada dua masalah yang perlu ditangani untuk merekam interaksi jaringan:

1. Pusat Komando hanya tersedia pada saat penyerangan.
2. Wireshark tidak merekam komunikasi bot di loopback, jadi Anda perlu menggunakan cara lain.

Solusi paling sederhana adalah mengarahkan ulang alamat CnC yang akan berkomunikasi dengan Loki ke localhost. Untuk bot, server sekarang tersedia kapan saja, meskipun tidak merespons, tetapi tidak perlu merekam komunikasi bot. Untuk mengatasi masalah kedua, kita akan menggunakan utilitas RawCap, yang memungkinkan kita untuk menulis komunikasi yang kita butuhkan ke pcap. Selanjutnya, kami akan mengurai pcap yang direkam di Wireshark.





Sebelum setiap komunikasi, bot memeriksa ketersediaan CnC dan, jika tersedia, membuka soket. Semua komunikasi jaringan berlangsung di lapisan transport menggunakan protokol TCP, dan HTTP digunakan di lapisan aplikasi.



Tabel di bawah ini menunjukkan header paket yang digunakan Loki sebagai standar.

Mari perhatikan body paketnya:

1. Struktur data yang direkam bergantung pada versi bot, dan di versi sebelumnya tidak ada bidang yang bertanggung jawab untuk opsi enkripsi dan kompresi.
2. Server menentukan bagaimana memproses data yang diterima berdasarkan jenis permintaan. Ada 7 jenis data yang bisa dibaca server:
   
   
   • 0x26 Data dompet curian
   • 0x27 Data Aplikasi yang Dicuri
   • 0x28 Permintaan perintah dari server
   • 0x29 Membongkar file yang dicuri
   • 0x2A POS
   • Data Keylogger 0x2B
   • Tangkapan Layar 0x2C
3. Dalam contoh yang diperiksa, hanya ada 0x27, 0x28 dan 0x2B.
4. Setiap permintaan berisi informasi umum tentang bot dan sistem yang terinfeksi, yang menurutnya server mengidentifikasi semua laporan untuk satu mesin, dan kemudian ada informasi yang bergantung pada jenis permintaan.
5. Dalam versi terbaru bot, hanya kompresi data yang diterapkan, dan bidang terenkripsi disiapkan untuk masa depan dan tidak diproses oleh server.
6. Library APLib open source digunakan untuk mengompres data.

Saat membuat permintaan dengan data yang dicuri, bot mengalokasikan buffer berukuran 0x1388 (5000 byte). Struktur permintaan 0x27 ditunjukkan pada tabel di bawah ini:

Tahap kedua interaksi dengan server dimulai setelah diperbaiki dalam sistem. Bot mengirimkan permintaan dengan tipe 0x28, yang strukturnya ditunjukkan di bawah ini:



Ukuran buffer: 0x2BC (700 byte)

Setelah permintaan, bot mengharapkan untuk menerima respon dari server yang berisi nomor dan perintah itu sendiri. Varian perintah yang mungkin diperoleh menggunakan analisis statis dari kode malware yang didekompilasi dan disajikan di bawah ini.



Ukuran buffer: 0x10 (16 byte) + 0x10 (16 byte) untuk setiap perintah dalam paket.

Pengurai lalu lintas jaringan

Berkat analisis ini, kami memiliki semua informasi yang kami butuhkan untuk mengurai interaksi jaringan Loki.



Pengurai diimplementasikan dengan Python, menerima file pcap sebagai input dan menemukan semua komunikasi milik Loki di dalamnya.



Pertama, mari gunakan pustaka dkpt untuk menemukan semua paket TCP. Untuk hanya menerima paket http, mari kita beri filter pada port yang digunakan. Di antara paket http yang diterima, kami memilih yang berisi header Loki terkenal, dan mendapatkan komunikasi yang perlu diurai untuk mengekstrak informasi darinya dalam bentuk yang dapat dibaca.

for ts, buf in pcap:
    eth = dpkt.ethernet.Ethernet(buf)
    if not isinstance(eth.data, dpkt.ip.IP):
        ip = dpkt.ip.IP(buf)
    else:
        ip = eth.data
 
    if isinstance(ip.data, dpkt.tcp.TCP):
        tcp = ip.data
        try:
            if tcp.dport == 80 and len(tcp.data) > 0:  # HTTP REQUEST
                if str(tcp.data).find('POST') != -1:
                    http += 1
                    httpheader = tcp.data
                    continue
                else:
                    if httpheader != "":
                        print('Request information:')
 
                        pkt = httpheader + tcp.data
                        httpheader = ""
                        if debug:
                            print(pkt)
                        req += 1
                        request = dpkt.http.Request(pkt)
                        uri = request.headers['host'] + request.uri
                        parsed_payload['Network']['Source IP'] = socket.inet_ntoa(ip.src)
                        parsed_payload['Network']['Destination IP'] = socket.inet_ntoa(ip.dst)
                        parsed_payload_same['Network']['CnC'] = uri
                        parsed_payload['Network']['HTTP Method'] = request.method
 
                        if uri.find("fre.php"):
                            print("Loki detected!")
                        pt = parseLokicontent(tcp.data, debug)
                        parsed_payload_same['Malware Artifacts/IOCs']['User-Agent String'] = request.headers['user-agent']
 
                        print(json.dumps(parsed_payload, ensure_ascii=False, sort_keys=False, indent=4))
                        parsed_payload['Network'].clear()
                        parsed_payload['Compromised Host/User Data'].clear()
                        parsed_payload['Malware Artifacts/IOCs'].clear()
                        print("----------------------")
            if tcp.sport == 80 and len(tcp.data) > 0:  # HTTP RESPONCE
                resp += 1
                if pt == 40:
                    print('Responce information:')
                    parseC2commands(tcp.data, debug)
                    print("----------------------")
                    pt = 0
        except(dpkt.dpkt.NeedData, dpkt.dpkt.UnpackError):
            continue

Di semua permintaan Loki, 4 byte pertama bertanggung jawab atas versi bot dan jenis permintaan. Dengan menggunakan dua parameter ini, kami menentukan bagaimana kami akan memproses data.

def parseLokicontent(data, debug):
    index = 0
 
    botV = int.from_bytes(data[0:2], byteorder=sys.byteorder)
    parsed_payload_same['Malware Artifacts/IOCs']['Loki-Bot Version'] =  botV
 
    payloadtype = int.from_bytes(data[2:4], byteorder=sys.byteorder)
    index = 4
    print("Payload type: : %s" % payloadtype)
    if payloadtype == 39:
        parsed_payload['Network']['Traffic Purpose'] =  "Exfiltrate Application/Credential Data"
        parse_type27(data, debug)
    elif payloadtype == 40:
        parsed_payload['Network']['Traffic Purpose'] = "Get C2 Commands"
        parse_type28(data, debug)
    elif payloadtype == 43:
        parsed_payload['Network']['Traffic Purpose'] = "Exfiltrate Keylogger Data"
        parse_type2b(lb_payload)
    elif payloadtype == 38:
        parsed_payload['Network']['Traffic Purpose'] = "Exfiltrate Cryptocurrency Wallet"
    elif payloadtype == 41:
        parsed_payload['Network']['Traffic Purpose'] = "Exfiltrate Files"
    elif payloadtype == 42:
        parsed_payload['Network'].['Traffic Purpose'] = "Exfiltrate POS Data"
    elif payloadtype == 44:
        parsed_payload['Network']['Traffic Purpose'] = "Exfiltrate Screenshots"
 
    return payloadtype

Baris berikutnya adalah mengurai respons dari server. Untuk membaca hanya informasi yang berguna, cari urutan \ r \ n \ r \ n , yang menentukan akhir dari header paket dan awal perintah dari server.

def parseC2commands(data, debug):
    word = 2
    dword = 4
    end = data.find(b'\r\n\r\n')
    if end != -1:
        index = end + 4
        if (str(data).find('<html>')) == -1:
            if debug:
                print(data)
            fullsize = getDWord(data, index)
            print("Body size: : %s" % fullsize)
            index += dword
            count = getDWord(data, index)
            print("Commands: : %s" % count)
            if count == 0:
                print('No commands received')
            else:
                index += dword
                for i in range(count):
                    print("Command: %s" % (i + 1))
 
                    id = getDWord(data, index)
                    print("Command ID: %s" % id)
                    index += dword
 
                    type = getDWord(data, index)
                    print("Command type: %s" % type)
                    index += dword
 
                    timelimit = getDWord(data, index)
                    print("Command timelimit: %s" % timelimit)
                    index += dword
 
                    datalen = getDWord(data, index)
                    index += dword
 
                    command_data = getString(data, index, datalen)
                    print("Command data: %s" % command_data)
                    index += datalen
        else:
            print('No commands received')
    return None

Ini menyimpulkan analisis dari bagian utama algoritma parser dan beralih ke hasil yang kita dapatkan pada keluaran. Semua informasi ditampilkan dalam format json.



Di bawah ini adalah gambar hasil kerja parser, diperoleh dari komunikasi berbagai bot, dengan CnC berbeda dan direkam di lingkungan berbeda.

Request information:
Loki detected!
Payload type: 39
Decompressed data: 
{'Module': {'Mozilla Firefox'}, 'Version': {0}, 'Data': {'domain': {'https://accounts.google.com'}, 'username': {'none@gmail.com'}, 'password': {'test'}}}
{'Module': {'NppFTP'}, 'Version': {0}, 'Data': {b'<?xml version="1.0" encoding="UTF-8" ?>\r\n<NppFTP defaultCache="%CONFIGDIR%\\Cache\\%USERNAME%@%HOSTNAME%" outputShown="0" windowRatio="0.5" clearCache="0" clearCachePermanent="0">\r\n    <Profiles />\r\n</NppFTP>\r\n'}}
{
    "Network": {
        "Source IP": "-",
        "Destination IP": "185.141.27.187",
        "HTTP Method": "POST",
        "Traffic Purpose": "Exfiltrate Application/Credential Data",
        "First Transmission": true
    },
    "Compromised Host/User Data": {},
    "Malware Artifacts/IOCs": {}
}

Di atas adalah contoh request ke server 0x27 (mengupload data aplikasi). Untuk pengujian, akun dibuat dalam tiga aplikasi: Mozilla Firefox, NppFTP dan FileZilla. Loki memiliki tiga pilihan untuk merekam data aplikasi:

1. Dalam bentuk database SQL (parser menyimpan database dan menampilkan semua baris yang tersedia di dalamnya).
2. Dalam bentuk terbuka, seperti di Firefox pada contoh.
3. Sebagai file xml, seperti NppFTP dan FileZilla.

Request information:
Loki detected!
Payload type: 39
No data stolen
{
    "Network": {
        "Source IP": "-",
        "Destination IP": "185.141.27.187",
        "HTTP Method": "POST",
        "Traffic Purpose": "Exfiltrate Application/Credential Data",
        "First Transmission": false
    },
    "Compromised Host/User Data": {},
    "Malware Artifacts/IOCs": {}
}

Permintaan kedua adalah tipe 0x28 dan meminta perintah dari server.

Responce information:
Body size: 26
Commands: 1
Command: 1
Command ID: 0
Command type: 9
Command timelimit: 0
Command data: 35

Contoh respons dari CnC, yang mengirimkan satu perintah sebagai respons untuk memulai keylogger. Dan pembongkaran selanjutnya dari data keylogger.

Request information:
Loki detected!
Payload type: : 43
{
    "Network": {
        "Source IP": "-",
        "Destination IP": "185.141.27.187",
        "HTTP Method": "POST",
        "Traffic Purpose": "Exfiltrate Keylogger Data"
    },
    "Compromised Host/User Data": {},
    "Malware Artifacts/IOCs": {}
}

Di akhir pekerjaan, parser mengeluarkan informasi yang terkandung dalam setiap permintaan dari bot (informasi tentang bot dan sistem), dan jumlah permintaan dan tanggapan yang terkait dengan Loki di file pcap.

General information:
{
    "Network": {
        "CnC": "nganyin-my.com/chief6/five/fre.php"
    },
    "Compromised Host/User Description": {
        "User Name": "-",
        "Hostname": "-",
        "Domain Hostname": "-",
        "Screen Resolution": "1024x768",
        "Local Admin": true,
        "Built-In Admin": true,
        "64bit OS": false,
        "Operating System": "Windows 7 Workstation"
    },
    "Malware Artifacts/IOCs": {
        "Loki-Bot Version": 18,
        "Binary ID": "ckav.ru",
        "MD5 from GUID": "-",
        "User-Agent String": "Mozilla/4.08 (Charon; Inferno)"
    }
}
Requests: 3
Responces: 3 

Kode parser lengkap tersedia di: github.com/Group-IB/LokiParser

Kesimpulan

Dalam artikel ini, kami melihat lebih dekat malware Loki, membongkar fungsinya, dan menerapkan pengurai lalu lintas jaringan yang akan sangat menyederhanakan proses analisis insiden dan membantu kami memahami apa yang sebenarnya dicuri dari komputer yang terinfeksi. Sementara pengembangan Loki masih berlangsung, hanya versi 1.8 (dan sebelumnya) yang telah digabungkan, yang merupakan versi yang ditemui oleh para profesional keamanan setiap hari.



Di artikel berikutnya, kami akan menganalisis Pencuri Data populer lainnya, Pony, dan membandingkan malware ini.

Indikator Kompromi (IOC):

Url:

• nganyin-my.com/chief6/five/fre.php
• wardia.com.pe/wp-includes/texts/five/fre.php
• broken2.cf/Work2/fre.php
• 185.141.27.187/danielsden/ver.php
• Hash MD5: B0C33B1EF30110C424BABD66126017E5
• User-Agent String: «Mozilla/4.08 (Charon; Inferno)»
• Binary ID: «ckav.ru»