Если помните, недавно у нас выходила статья про молодой, но уже подающий надежды data stealer Loki. Тогда мы подробно рассмотрели этот экземпляр (версия 1.8), получили представление о работе бота и освоили инструмент, облегчающий реагирование на события, связанные с этим ВПО. Для более полного понимания ситуации, давайте разберем еще одно шпионское ПО и сравним исследованных ботов. Сегодня мы обратим внимание на Pony — более старый, но не менее популярный образец data stealer’а. Никита Карпов, аналитик CERT-GIB, расскажет, как бот проникает на компьютер жертвы и как вычислить похищенные данные, когда заражение уже произошло.

Разбор функциональности бота

Впервые Pony был замечен в 2011 году и все еще продолжает использоваться. Как и в ситуации с Loki, популярность этого ВПО обусловлена тем, что несколько версий бота вместе с панелью администратора можно без проблем найти в сети. Например, здесь.

Экземпляр Pony, который мы будем изучать, защищен тем же самым упаковщиком, что и Loki, рассмотренным в предыдущей статье. По этой причине не будем еще раз останавливаться на процессе получения чистого ВПО и перейдем сразу к более интересным моментам. Единственное, что следует упомянуть перед разбором ВПО, — ссылка на сервер, по которой мы определяем нужный PE-файл, оканчивается на gate.php, и это один из индикаторов Pony.

При исследовании дизассемблированного кода Pony обратим внимание на участок, содержащий главные функции. Интерес представляют две из них — Initialize_Application и CnC_Func (названия функций переименованы в соответствии с их содержанием). 

Ниже представлена функция Initialize_Application. Она отвечает за инициализацию необходимых элементов (библиотеки, привилегии и т.д.) и за похищение данных. В процессе работы ВПО несколько раз использует значение 7227 — пароль к данному экземпляру бота. В Initialize_Application это значение используется для шифрования буфера, содержащего данные приложений, алгоритмом RC4.

Далее перейдем к декомпилированному коду функции CnC_Func и разберем ее алгоритм:

1. Буфер, полученный в результате работы функции Initialize_Application, передается в функцию BuildPacket, где собирается пакет данных для передачи на сервер.

2. По каждому URI из списка бот отправляет данные и ожидает подтверждения со стороны сервера. Если сервер не ответил 3 раза — бот идет дальше.

3. После завершения первого списка CnC бот пытается загрузить и запустить дополнительное ВПО.

В общем доступе находится готовый билдер, который подтверждает функционал, полученный в процессе статического анализа декомпилированного кода. Пользователю предлагается ввести список URI, куда будут выгружаться похищенные данные, и список, откуда будет выгружаться дополнительное ВПО. Также пользователь может изменить пароль бота и имя дополнительного ВПО.

Pony атакует более сотни приложений, и, хотя у него есть функционал загрузчика, в основном Pony используется именно для похищения пользовательских данных. В таблице ниже перечислены все приложения, из которых бот может похитить данные.

Взаимодействие с сервером

Рассмотрим подробнее сетевое взаимодействие Pony. Как мы уже говорили, Pony сначала выгружает похищенные данные приложений на удаленный сервер, и индикатором такой коммуникации служит gate.php. После этого Pony просматривает второй список ссылок, откуда он пытается загрузить дополнительное ВПО на зараженный компьютер.

Для подтверждения того, что сервер получил и прочитал данные, бот должен получить в ответ строку STATUS-IMPORT-OK, иначе бот считает, что сервер не получил данные.

Данные, передаваемые на сервер, надежно защищаются шифрованием и компрессией. Защиту данных определяет заголовок, который идет перед ними. Стандартная защита пакета выглядит так:

1. Данные в чистом виде с заголовком PWDFILE0.

2. Сжатые данные с заголовком PKDFILE0. Для сжатия используется библиотека aPLib, работа которой основана на алгоритме компрессии LZW.

3. Зашифрованные данные с заголовком CRYPTED0 и ключом в виде пароля, например, 7227 или PA$$. Для шифрования используется алгоритм RC4.

4. Зашифрованные алгоритмом RC4 данные, ключ указан в первых 4 байтах.

Парсер сетевых коммуникаций

Как и для Loki, напишем парсер на Python, используя следующие библиотеки:

1. Dpkt для поиска пакетов, принадлежащих Pony, и работы с ними.

2. aPLib для декомпрессии данных.

3. Hexdump для представления данных пакета в хексе.

4. JSON для записи найденной информации в удобном виде.

Рассмотрим основные части алгоритма работы скрипта:

for ts, buf in pcap:
    eth = dpkt.ethernet.Ethernet(buf)
    if not isinstance(eth.data, dpkt.ip.IP):
        ip = dpkt.ip.IP(buf)
    else:
        ip = eth.data
    if isinstance(ip.data, dpkt.tcp.TCP):
        tcp = ip.data
        try:
            if tcp.dport == 80 and len(tcp.data) > 0:  # HTTP REQUEST
                if str(tcp.data).find('POST') != -1:
                    http += 1
                    httpheader = tcp.data
                    continue
                else:
                    if httpheader != "":
                        pkt = httpheader + tcp.data
                        req += 1
                        request = dpkt.http.Request(pkt)
                        parsed_payload['Network'].update({'Request method': request.method})
                        uri = request.headers['host'] + request.uri
                        parsed_payload['Network'].update({'CnC': uri})
                        parsed_payload['Network'].update({'User-agent': request.headers['user-agent']})
                        if uri.find("gate.php") != -1:
                            parsed_payload['Network'].update({'Traffic Purpose': "Exfiltrate Stolen Data"})
                            parse(tcp.data, debug)
                        elif uri.find(".exe") != -1:
                            parsed_payload['Network'].update({'Traffic Purpose': "Download additional malware"})
                        print(json.dumps(parsed_payload, ensure_ascii=False, sort_keys=False, indent=4))
                        parsed_payload['Network'].clear()
                        parsed_payload['Malware Artifacts/IOCs'].clear()
                        parsed_payload['Compromised Host/User Data'].clear()
                        parsed_payload['Applications'].clear()
                        print("----------------------")
            if tcp.sport == 80 and len(tcp.data) > 0:  # HTTP RESPONCE
                resp += 1
                response = dpkt.http.Response(tcp.data)
                if response.body.find(b'STATUS-IMPORT-OK') != -1:
                    AdMalw = True
                    print('Data imported successfully')
                else:
                    print('C2 did not receive data')
                print("----------------------")

        except(dpkt.dpkt.NeedData, dpkt.dpkt.UnpackError):
            continue
print("Requests: " + str(req))
print("Responces: " + str(resp))

Поиск пакетов, связанных с Pony, аналогичен поиску пакетов Loki. Ищем все HTTP-пакеты. Парсим запросы, в которых находится информация бота. Остальные запросы фиксируются, но данные в них не обрабатываются. Если в ответ на запрос получена строка STATUS-IMPORY-OK — отмечаем успешную выгрузку данных. Во всех других случаях считаем, что сервер не получил данные. Если после выгрузки данных найдены HTTP-запросы с URI, оканчивающимся на .exe — отмечаем загрузку дополнительного ВПО.

Рассмотрим функцию, отвечающую за снятие всей защиты с данных и импорт модулей:

def process_report_data(data, debug):
    index = 0
    if len(str(data)) == 0:
        return False
    elif len(str(data)) < 12:
        return False
    elif len(str(data)) > REPORT_LEN_LIMIT:
        return False
    elif len(str(data)) == 12:
        return True

    if verify_new_file_header(data):
        rand_decrypt(data)

    report_id = read_strlen(data, index, 8)
    index += 8

    if report_id == REPORT_CRYPTED_HEADER:
        parsed_payload['Malware Artifacts/IOCs'].update({'Crypted': report_id.decode('utf-8')})
        decrypted_data = rc4DecryptText(report_password, data[index:len(str(data))])
        data = decrypted_data
        index = 0
        report_id = read_strlen(data, index, 8)
        index += 8

    if report_id == REPORT_PACKED_HEADER:
        parsed_payload['Malware Artifacts/IOCs'].update({'Packed': report_id.decode('utf-8')})
        unpacked_len = read_dword(data, index)
        index += 4
        leng = read_dword(data, index)
        index += 4
        if leng < 0:
            return False
        if not leng:
            return ""
        if index + leng > len(str(data)):
            return False
        packed_data = data[index:index + leng]
        index += leng
        if unpacked_len > REPORT_LEN_LIMIT or len(str(packed_data)) > REPORT_LEN_LIMIT:
            return False
        if not len(str(packed_data)):
            return False
        if len(str(packed_data)):
            data = unpack_stream(packed_data, unpacked_len)
        if not len(str(data)):
            return False
        if len(str(data)) > REPORT_LEN_LIMIT:
            return False
        index = 0
        report_id = read_strlen(data, index, 8)
        index += 8
    if report_id != REPORT_HEADER:
        print("No header")
        return False
    version_id = read_strlen(data, index, 3)
    index += 8
    if version_id != REPORT_VERSION:
        return False
    parsed_payload['Malware Artifacts/IOCs'].update({'Data version': version_id.decode('utf-8')})
    hexdump.hexdump(data)
    report_version_id = version_id
    parsed_payload['Applications'].update({'Quantity': 0})
    while index < len(data):
        index = import_module(data, index, debug)

    return data

После снятия обязательного шифрования, определяем метод снятия следующего уровня защиты — в зависимости от заголовка. Если присутствует дополнительное шифрование с заголовком CRYPTED0 — скрипт пытается подставить стандартный ключ, и при несоответствия ключа запрашивает файл ВПО, в котором находит используемый в этом боте пароль. Если заголовок данных PWDFILE0 — начинаем импорт модулей приложений.

Для расшифровки мы использовали алгоритм RC4:

def rc4DecryptHex(key, pt):
    if key == '':
        return pt

    s = list(range(256))
    j = 0
    for i in range(256):
        j = (j + s[i] + key[i % len(key)]) % 256
        s[i], s[j] = s[j], s[i]

    i = j = 0
    ct = []
    for char in pt:
        i = (i + 1) % 256
        j = (j + s[i]) % 256
        s[i], s[j] = s[j], s[i]
        ct.append(chr(char ^ s[(s[i] + s[j]) % 256]))
    decrypted_text = ''.join(ct)
    data = decrypted_text.encode('raw_unicode_escape')
    return data

Результат работы парсера представлен ниже. Парсер успешно снял шифрование, произвел декомпрессию и нашел похищенные данные. Следует отметить, что у каждого модуля есть несколько типов представления данных, в зависимости от найденной ботом информации. В нашем примере бот похитил данные Outlook и записал их с типом 7. На первый запрос сервер ответил боту, а остальные коммуникации не несли полезной информации.

В заключение давайте сравним исследованные data stealer'ы Pony и Loki и подведем итог. Список атакуемых приложений и у Pony, и у Loki примерно одинаков, но функционал Loki, особенно в новых версиях, шире, чем у Pony. Pony защищает все передаваемые данные в несколько уровней, что не дает определить без специального инструмента, какие именно данные похитил бот. Loki, в свою очередь, передает все данные в открытом виде, но без знания структуры запросов разобрать эти данные тоже довольно сложно. 

Надеемся, эти две статьи помогли разобраться, какую опасность несут данные data stealer’ы и как можно упростить реагирование на инциденты с помощью реализованных нами инструментов.