Głębsze spojrzenie na moduły Tofsee

Tofsee jest złośliwym oprogramowaniem z wieloma funkcjami – może kopać bitcoiny, wysyłać emaile, kraść dane dostępowe, wykonywać ataki DDoS i wiele więcej.

Pisaliśmy już o Tofsee/Ghegu kilka miesięcy temu – nasza analiza znajduje się pod adresem https://www.cert.pl/news/single/tofsee. Znajomość tamtego posta jest potrzebna żeby w pełni zrozumieć w tej chwili omawiany temat. Ten post ma za zadanie tylko rozszerzyć tamte badania, koncentrując się na funkcjach wtyczek, których wcześniej nie opisaliśmy.

Podsumujemy pokrótce każdy moduł i podkreślimy jego najważniejsze możliwości.

Ten post jest raczej długi – dla niecierpliwych, lista hashy i spis treści w jednym:

1. ddosR.dll

Oryginalna nazwa pliku: p:\cmf5\small2\plugins\plg_ddos\ddos.cpp

Zadaniem tego pluginu jest wykonywanie ataków DDoS na wskazane cele. Zaimplementowane metody nie są zbyt skomplikowane, np. wykonywanie wielu zapytań (tzw. HTTP Flood):

Albo stary dobry SYN flood (używając sterownika PassThru, czyli modułu grabb).

Nie zaobserwowaliśmy jeszcze żadnej aktywności DDoS od Tofsee – prawdopodobnie ten plugin w tej chwili nie jest wykorzystywany przez botmastera.

Konfiguracja otrzymywana z C&C dla tego pluginu jest bardzo prosta:

Moduły zawierają wiele napisów, które znacznie upraszczają analizę:

2. antibot.dll

Oryginalna nazwa pliku: z:\cmf5\small2\plugins\plg_antibot\plugin.cpp

To bardzo interesujący plugin – jego celem jest usunięcie innych rodzajów złośliwego systemu z komputera ofiary.

Jest w stanie:

• sprawdzić wszystkie działające procesy i zabić te, które mogą być potencjalnym zagrożeniem (sprawdzenie oparte o nazwę procesu)
• przeszukać klucz rejestru SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects i usunąć niektóre dodatki do przeglądarki
• przeszukać aktualne mutexy i zabić procesy które je posiadają (sprawdzenie oparte o nazwę)

Lista dodatków usuwanych aktualnie przez moduł (pobranych z C&C):

3. snrpR.dll

Oryginalna nazwa pliku: p:\\cmf5\\small2\\plugins\\plg_sniff\\sniff.cpp

Powiązana sekcja w konfiguracji:

Ruch jest podsłuchiwany i przechwytywany przez sterownik PassThru (dostępny przez named pipe „\\\\.\\PassThru”).

• mail.sniff aktywuje kradzież adresów e-mail przechodzących po sieci. Adresy są kradzione z nagłówków From i To. Dodatkowo szuka w treści encji „%40″,”#64″,”#064” (czyli zakodowanego znaku „@”).

• ftp.sniff i pop.sniff aktywują kradzież danych logowania POP3 i FTP. Plugin szuka komend USER i PASS, a następnie wyciąga zawartość i wysyła do serwera C&C.

• mail.replace Aktywuje transparentne podmienianie zawartości wysyłanych emaili, używając wybranego szablonu (przechowywanego w konfiguracji w polu mailbody)

Przykładowy szablon który otrzymaliśmy (mimo iż ta funkcja jest w tej chwili wyłączona):

Jak widać, szablon zostawia oryginalne nagłówki From, To (%FROM_LINE, %TO_LINE), dodatkowo ma opcję zostawienia oryginalnego tematu (%SUBJ, %_SUBJ) i oryginalnego czasu (%DATE, %P5DATE, %M5DATE)

4. proxyR.dll

Oryginalna nazwa pliku: p:\\cmf5\\small2\\plugins\\plg_proxy\\plugin.cpp

Ten moduł nasłuchuje na połączenia TCP na adresie 0.0.0.0:1080 i dostarcza wielowątkowy serwer SOCKS proxy. Wersja, którą analizowaliśmy, identyfikuje się w nagłówku Proxy-agent jako WinRoute Pro/4.1.

Ruch jest przekierowywany do adresów wpisanych w sekcji proxy_cfg, osobno dla wszystkich regionu:

Adresy są albo wpisane jako referencje do listy work_srv, albo bezpośrednio:

W proxy_cfg mamy też listę skonfigurowanych dla socketów timeoutów:

Kiedy brakuje jakiejś wartości w konfiguracji, program ma kilka domyślnych wartości zapewniających działanie.

Moduł dodatkowo dodaje mapowanie portu używając UPnP, przedstawiając się jako Skype:

Napisy z programu dają trochę wglądu w cel i wewnętrzne działanie tego pluginu:

6. protect.dll

Oryginalna nazwa pliku: z:\cmf5\small2\plugins\plg_protect\plugin.cpp

Ten moduł pobiera i instaluje złośliwą usługę w systemie:

Złośliwa usługa jest obfuskowana „nowoczesnym algorytmem szyfrowania” – czyli każdy bajt jest negowany:

Md5 zdeszyfrowanego backdoora = 49642f1d1b1673a40f5fa6263a66d056. Ten backdoor jest chroniony przez packer i to jedyne zaobserwowane przez nas jego użycie podczas całego procesu analizy Tofsee – może to sugerować, iż był stworzony przez innego aktora i później wykorzystany przez twórców Tofsee.

7. locsR.dll

Oryginalna nazwa pliku: z:\cmf5\cmf5\small2\plugins\plg_locs\plg.cpp

Ten plugin kradnie dane dostępowe do programu Microsoft Outlook:

Po wyciągnięciu ich z rejestru, są odszyfrowywane i wykorzystywane do wysłania większej liczby emaili. Dodatkowo, generuje adres email w postaci [nazwa komputera]@mail.run i próbuje wysłać emaile korzystając z niej (czystym protokołem SMTP).

Ciekawsze napisy z pliku:

10. hostR.dll

Plugin, który potrafi działać jako serwer HTTP. Przedstawia się Apache/2.2.15 (Win32). Może serwować pliki, prawdopodobnie dla innych botów (w połączeniu z pluginem p2p.dll).

Jest w stanie wykluczać niektóre IP – prawdopodobnie analityków bezpieczeństwa (np. całe zakresy adresowe Forcepoint i Google są zbanowane).

Pobrana z C&C konfiguracja dla tego modułu:

11. text.dll

Oryginalna nazwa pliku: p:\cmf5\small2\plugins\plg_text\plg_text.cpp.

Bardzo prosty plugin, jest w stanie tylko przetwarzać szablony emaili pobranych z serwera C&C.

12. smtp.dll

Bardzo istotny moduł – generuje i wysyła emaile. Jest prawdopodobnie największym pluginem, a jego kod jest często skomplikowany.

Najciekawszą rzeczą w nim jest fakt, iż do generowania wiadomości używa własnego dedykowanego języka skryptowego. Przykładowy skrypt otrzymany od C&C:

Jeśli ktoś jest w stanie rozpoznać ten język skryptowy, bardzo chętnie dowiedzielibyśmy się co jeszcze z niego korzysta. Jako iż nie widzieliśmy wcześniej czegoś takiego, spróbowaliśmy przeanalizować interpreter tego języka.

Składnia jest raczej prosta, ale bardzo podobna do asemblera i prymitywna. Mamy nadzieję iż autorzy malware generują ten skrypt z jakiegoś bardziej wysokopoziomowego języka, bo pisanie w takim czymś musi bardzo ranić zdrowie psychiczne programisty ;].

Wspieranych jest bardzo wiele opcodów – polecamy spojrzeć na tę uproszczoną funkcję parsującą jako przykład:

Nie przeanalizowaliśmy ich wszystkich, ale kilka najważniejszych to:

• C ip:port – Połącz do ip:port (Connect)
• L lbl – Stwórz etykietę (Label) o nazwie lbl.
• J lbl – Skocz (Jump) do etykiety lbl.
• v name value – Stwórz zmienną (variable) o nazwie name i przypisz wartość value.
• W text – Wypisz (Write) coś na wyjście – czyli w tym przypadku do emaila.
• I lbl condition – jeżeli (If) condition jest spełniony, skocz do etykiety lbl

Dodatkowo, otoczenie tekstu w „”” pozwala na znaki nowej linii i escape sequences, a __v(XX)__ to interpolacja zmiennych.

Ponownie, kilka ciekawszych napisów, które można znaleźć w tym pliku:

Przez chwilę myśleliśmy, iż IfYouAreReadingThisYouHaveTooMuchFreeTime to easter-egg dla nas, analityków malware – ale okazuje się iż to tylko dziwny specjalny przypadek związany z logowaniem do hotmaila.

Konfiguracja, którą pobraliśmy dla tego modułu z C&C:

13. blist.dll

Ten plugin sprawdza czy bot znajduje się na listach spambotów. W konfiguracji, którą zaobserwowaliśmy, następujące DNSBL (DNS-based Blackhole List) były używane:

DNSBL to usługa bazująca na DNS, używana do publikowania adresów IP nadających spam. jeżeli serwer mailowy używa DNSBL, wykona żądanie DNS do domeny DNSBL z każdym nadchodzącym połączeniem SMTP. Techniczne detale tego rozwiązania są poza zakresem naszego posta, ale jeżeli ktoś jest interesujący może spojrzeć na http://www.us.sorbs.net/using.shtml albo https://en.wikipedia.org/wiki/DNSBL.

Sprawdzenie DNSBL w malware jest wykonywana dzięki gethostbyname.

Konfiguracja modułu pobrana z C&C:

14. miner.dll

Jak sama nazwa wskazuje, jest to koparka kryptowalut. Ten plugin służy tylko do koordynacji pracy, ale ma kilka powiązanych programów, które wykonują całą „ciężką pracę”.

Jeden z programów, nazywany grabb, jest dystrybuowany prosto z C&C. Inne są pobierane z URLi zapisanych w konfiguracji – w teorii. W praktyce serwery dystrybuujące programy kopiące wyglądają na martwe, więc nie byliśmy w stanie ich pobrać.

Miner.dll weryfikuje iż na pewno pobrał poprawny program, ale być może hashowanie było za trudne do zaimplementowania dla twórców, więc użyli prostszej metody – porównanie długości – na przykład, upewniają się iż pobrany program cores_gt_1 ma dokładnie 223744 bajtów.

Nie analizowaliśmy tego pluginu bardzo dokładnie, bo koparki bitcoinów nie leżą w naszym obszarze zainteresowań, a napisy dały wystarczająco wiele informacji o tym co dzieje się w środku i tak:

A resztę można znaleźc w konfiguracji pobranej z C&C:

15. img.dll

Ten krótki plugin służy do przetwarzania złośliwych załączników – koduje je dzięki algorytmu base64 i załącza do emaili.

Nie ma tu nic interesującego, jak widać w napisach zapisanych w kodzie:

Konfiguracja dla tego modułu pobrana z C&C.

16. spread.dll

Ten plugin jest wykorzystywany żeby rozprzestrzeniać Tofsee przez media społecznościowe: Facebooka, Twittera oraz komunikator Skype.

Najpierw wyciąga ciastka xs, datr, c_user (i więcej).

Dokładna metoda zależy od przeglądarki, ale generalnie wtyczka czyta ciastka zapisane na dysku przez przeglądarkę. Na przykład cookies.sqlite z \Mozilla\Firefox\Profiles dla Firefoxa. Wspierane przeglądarki to Chrome, IE, Firefox, Safari i Opera.

Następnie plugin używa tych ciastek np. żeby podszyć się pod użytkownika przed API Facebooka:

Lista przyjaciół jest pobierana przez API i wiadomość jest wysyłana do każdego z nich. Format wiadomości jest przechowywany w konfiguracji, na przykład:

‚fb.message1’: ‚%SPRD_TEXT1|%LANG_ID| %SPRD_URL1’

Twitter jest obsługiwany bardzo podobnie – ciastka są kradzione, followersi są pobierani przez API pod adresem https://twitter.com/followers, a następnie wysyłane są wiadomości.

Dodatkowo wspierane jest rosyjskie VKontakte, ale ta funkcja jest opcjonalna i trzymana w osobnym pluginie. Opisywany tu moduł sprawdza tylko czy VK jest włączony w konfiguracji i wywołuje odpowiedni handler (który musi być inicjalizowany z innego pluginu), jeżeli jest zdefiniowany. Twórcy złośliwego systemu zwykle nie obierają na cel Rosji, więc ta funkcja jest wyłączona i moduł do Vkontakte nie jest rozpowszechniany.

Moduł może również rozprzestrzeniać się dzięki Skype, ale analiza wsteczna protokołu Skype była widocznie za trudna, więc twórcy poszli na łatwiznę i wtyczka czeka, aż Skype zostanie uruchomiony, po czym wysyła wiadomości windowsowe do okna Skype:

Ten plugin ma dziesiątki zapisanych napisów, więc analiza w deasemblerze jest bardzo prosta. Kilka ciekawszych grup:

Referencje do pluginu OCR – żeby rozwiązywać Captchę:

Ciastka Facebooka:

Napisy związane z rozpowszechnianiem się przez Facebooka:

Napisy związane z kradzieżą ciasteczek:

Napisy związane z przechwytywaniem Skype:

Ciastka Twittera:

I rozpowszechnianie się przez Twittera:

Na koniec napisy związane z wysyłaniem ciasteczek:

Dużo funkcji oznacza dużo konfiguracji od C&C:

17. spread2.dll

Plugin stosujący metody sprzed ponad 15 lat – przenosić Tofsee przez… zainfekowane nośniki USB! Nie brzmi to jak dobra strategia w roku 2017, ale mimo to, jest on ciągle aktywny.

Najpierw złośliwy program jest kopiowany jako RECYCLER\<random_gibberish>.exe na nośnik USB, następnie są na nim ustawiane atrybuty READONLY i SYSTEM, a finalnie zapisywany jest złośliwy autorun.inf:

Złośliwy program, który będzie dystrybuowany, jest pobierany z Internetu (patrz również sys.dll i zmienna %FIREURL).

W napisach nie ma wiele ciekawego, poza logami:

A konfiguracja dla modułu jest dość uboga:

18. sys.dll

Ten plugin wygląda na downloader, albo raczej program aktualizujący. Wysyła on żądanie zależne od zawartości zmiennej %FIREURL w konfiguracji:

Przykładowe wartości %FIREURL (jeden na linię):

Zmienne są podmieniane rekursywnie, a %SYS_RN oznacza \r\n, więc pierwsza możliwa wartość powinna być traktowana jako:

Jeśli wyślemy to żądanie do odpowiedniego IP na porcie 80, otrzymamy kolejny złośliwy program. Różne żądania zwracają inne programy.

Jeśli żądanie jest niepoprawne, albo nie wspierane, zwracany jest następujący obraz:

Doceniamy poczucie humoru.

Nic zaskakującego w napisach:

Konfiguracja od C&C:

Dodatkowo używana jest zmienna %FIREURL z głównego modułu.

19. webb.dll

Ta wtyczka szuka procesu iexplore.exe. jeżeli znajdzie go, wstrzykuje do niego DLL IEStub.dll.

IEStub.dll przechwytuje bardzo dużo funkcji – lista:

Hooki przechwytują wołane funkcje i mogą choćby zmienić im parametry. Nie analizowaliśmy ich dokładnie, ale większość z nich to bardziej loggery, które tylko przechwytują interesujące dane z parametrów. Nie zaobserwowaliśmy żeby Tofsee serwowało jakiekolwiek web injecty.

Dla kompletności, interesujące napisy:

Konfiguracja dla tego modułu pobrana z C&C:

20. P2P.dll

Oryginalna nazwa pliku: p:\cmf5\small2\plugins\plg_p2p\plg_p2p.cpp

Ten plugin jest raczej krótki. Mimo iż ma obiecującą nazwę, nie ma w nim wiele interesującego – otwiera port na routerze i nasłuchuje połączeń. Nie implementuje żadnych poleceń, wszystko jest zostawione dla głównego modułu (albo pluginów, jak np. serwer HTTP).

Jak prawie każdy moduł, zapisuje logi do pliku %TMP%\log_%s.txt, a jeżeli to się nie uda, to do C:\log.txt.

Dodaje również mapowanie portu używając UPnP, w taki sam sposób jak plugin 4 (proxyR.dll).

Konfiguracja otrzymana z C&C:

Interesujące napisy: