Новодокументирана задна вратичка (backdoor) за Windows показва колко малко код е необходим на един атакуващ, за да остане скрит.
Имплантът с размер едва 12 KB е открит на една корпоративна работна станция, където се е представял за аудио софтуер на Realtek.
Неговият малък отпечатък се различава от активностите на задни вратички в паметта на Windows, но и двата подхода целят намаляване на видимостта. Най-необичайната характеристика на зловредния софтуер не е криптирането или големият набор от инструменти.
Адресът на неговия команден сървър е бил съхранен като брой на излишните празни пространства (интервали) в края на редовете във фалшив Windows файл desktop.ini, което прави конфигурацията да изглежда почти празна при обикновен преглед.
Анализаторите от Gen Digital идентифицират задната вратичка, докато проучват необичайно осигуряване на постоянство чрез Windows Management Instrumentation (WMI).
Те не откриват връзка с известен киберпрестъпник, а първоначалният достъп остава неизвестен, тъй като заразяването е станало преди внедряването на защитата на крайната точка.
Тази несигурност е от значение. Образецът се е появил на точно една 64-битова система Windows 7 SP1, но неговият персонализиран дизайн и липсата на свързани образци сочат към потенциално селективно проникване.
В доклад, споделен с Cyber Security News (CSN), Gen Digital посочват, че доказателствата подкрепят с умерена увереност тезата за целенасочено внедряване, без да назовават конкретен злонамерен субект или кампания.
12 KB задна вратичка за Windows крие C2 домейн в празни пространства на desktop.ini
Задната вратичка е с размер само 12 288 байта и в нея липсва стандартната C библиотека за време на изпълнение (C runtime library). Вместо да постави desktop.ini като един четим низ в програмата, тя изгражда името на файла от отделни фрагменти и отваря файл в директорията ProgramData.
След като пропуска изглеждащата легитимно заглавна част на Windows, програмата преброява празните пространства на всеки UTF-16 ред. Всеки брой се превръща в ASCII символ, възстановявайки адреса за управление и контрол (C2 адрес).
Това е по-скоро просто укриване, отколкото силна секретност. Анализатор, който проверява само четими низове, кодирани блокове или ентропия на файла, може да го изпусне. В същото време прегледите на зловреден софтуер за Windows, криещ се в USB устройства, показват, че desktop.ini и преди е бил използван за сливане на зловреден код с нормалното поведение на Windows.
Имплантът първо изпраща ICMP ехо заявка (ping), съдържаща осемсимволен идентификатор на жертвата. Ако получи отговор, той изпраща HTTP POST заявка и получава команди за стартиране на командни обвивки (shells) или записване на файлове.
Изследователите също така наблюдават опит за отслабване на файловото сканиране. Преди да запише доставения изпълним файл, зловредният код временно променя първите два байта, които обикновено идентифицират програма за Windows, и след това ги възстановява след преименуването.
Тази кратка промяна може да осуети простите проверки, въпреки че е малко вероятно да преодолее съвременния мониторинг, базиран на поведението.
WMI тригерът оставя следи за откриване
Осигуряването на постоянство разчита на абонамент за WMI събития по време. Той следи системния часовник за 19:50 ч. и стартира фалшивия изпълним файл с име на Realtek.
Абонаментът оцелява след рестартиране, но не е тригер при първоначално зареждане, така че система, рестартирана по-рано през деня, остава тиха до планираното време.
WMI е ценен инструмент за защитниците, тъй като неговите филтри за събития, консуматори и връзки могат да разкрият активност, която не се появява в познатите папки за автоматично стартиране.
Подобно постоянство чрез абонамент за WMI събития се е появявало и в други операции, насочени към Windows, което прави проверката на WMI хранилището важна част от реагирането на инциденти.
Командният сървър не е останал активен дълго. Той е регистриран през юли 2020 г., двоичният файл е компилиран на 2 декември 2020 г., а последният DNS запис датира от март 2021 г.
Регистрацията е изтекла през същия юли, но задната вратичка е продължила да се стартира и многократно да се опитва да разреши домейна след всяко рестартиране.
За защитниците най-силното ранно откриване на крайна точка е структурно. Разследвайте подозрителни конфигурационни файлове, които съдържат нормална Windows заглавна част, последвана само от UTF-16 празни пространства и завършеци на редове.
Също така проверявайте копия с размер нула байта – артефакт от срив на неподготвена конфигурация. Екипите трябва да търсят WMI филтри, свързани с Win32_LocalTime, особено тези, свързани с консуматори на командния ред, които стартират софтуер с подобни имена.
Мрежовият мониторинг също може да сигнализира за необичайната верига от ping, последван от HTTP трафик – поведение, което се различава от много криптирани HTTP C2 модели, използвани от зловреден софтуер за отдалечен достъп.
Ниското разпространение не трябва да намалява бдителността. Тясно внедрен имплант все пак може да осигури на атакуващия дълготраен достъп до ценна машина.
Случаят затвърждава извода защо разследващите трябва да оценяват странната структура на файловете и поведението за постоянство, а не само известни хешове, домейни или сигнали с голям обем.