Бэкдор Travle, он же PYLOT, атакует русскоязычные цели

В конце сентября компания Palo Alto опубликовала отчет о деятельности отдела Unit42, в котором среди прочего шла речь о вредоносной программе PYLOT. Мы фиксируем атаки с использованием этого бэкдора еще с 2015 года и называем его Travle. Так совпало, что «Лаборатория Касперского» недавно участвовала в расследовании успешной атаки с применением Travle, в ходе которого мы тщательно проанализировали этот зловред. Результаты анализа уже готовы, и мы публикуем их здесь, чтобы дополнить исследование Palo Alto.

Технические данные

Образец Travle, обнаруженный во время расследования, представлял собой DLL с одной экспортируемой функцией (MSOProtect). Вредоносная программа получила имя Travle из-за следующей строки в ранних образцах этого семейства: «Travle Path Failed!». Позднее опечатку исправили и в новых версиях уже присутствовала строка «Travel Path Failed!«. Мы считаем, что Travle может быть преемником семейства NetTraveler.

Прежде всего, в составе целевых фишинговых атак мы нашли множество вредоносных документов, имена которых предполагают русскоязычные цели, с зашифрованными исполняемыми файлами внутри:

Этот метод шифрования уже давно и хорошо известен — изначально с его помощью злоумышленники маскировали в документах с эксплойтами бэкдор Enfal. Вскоре в подобных документах после расшифровки мы стали находить не только Enfal, но и Travle, а еще позднее обнаружился и зловред Microcin. Домены C2-серверов Travle часто пересекаются с доменами Enfal. Что касается NetTraveler, в какой-то момент образцы Enfal начали использовать тот же метод шифрования для хранения в своем теле веб-адреса C2, который использовался в NetTraveler:

Образец Enfal с шифрованием строки C2, идентичным шифрованию NetTraveler

Таким образом, очевидно, что все эти бэкдоры — Enfal, NetTraveler, Travle и Microcin — связаны друг с другом и, предположительно, созданы злоумышленниками, говорящими на китайском.

Вредоносная программа запускается путем инициализации следующих переменных:

%TEMP%\KB287640\ — локальная зона выгрузки вредоносной программы;
%TEMP%\KB887209\ — хранилище плагинов;
<место установки зловреда>\~KB178495.DAT — путь к файлу конфигурации.

Удивительно, но эти пути одинаковы во всех образцах этого семейства. При отсутствии файла конфигурации Travle считывает параметры по умолчанию со своего ресурса RAW_DATA. Параметры хранятся в зашифрованной форме. Вот код дешифровки:

Для хранилища блока конфигурации используется следующий формат:

Описанный образец хранит следующие данные конфигурации:

Бэкдор Travle начинает обмен данными с C2-сервером с отправки собранной информации о целевой операционной системе в POST-запросе HTTP на веб-адрес, сформированный из C2-домена и указанного в параметрах пути. Отправляемая информация включает следующие данные:

• идентификатор пользователя (на базе имени и IP-адреса компьютера);
• имя компьютера;
• раскладка клавиатуры;
• версия ОС;
• IP-адрес;
• MAC-адрес.

Как только C2-сервер получает первый пакет, он отправляет в ответ блок данных со следующей информацией:

• URL-путь для получения команд;
• URL-путь для отчетов о результатах выполнения команд;
• URL-путь для скачивания файлов с C2;
• URL-путь для отправки файлов на C2;
• второй серверный ключ RC4;
• первый серверный ключ RC4;
• идентификатор C2.

После получения этого пакета Travle ждет дополнительных команд с сервера.

Шифрование обмена данными

Алгоритм шифрования зависит от типа передаваемого объекта. Существуют три возможных варианта.

1. Данные
   • Данные шифруются по стандарту Base64.
   • Получившаяся строка прикрепляется к заголовку размером 0x58 байт.
   • Получившийся буфер шифруется с помощью RC4, при этом используется первый серверный ключ RC4.
   • Получившийся буфер шифруется по стандарту Base64.
2. Список строк
   • Каждая строка шифруется с помощью RC4, при этом используется второй серверный ключ RC4.
   • Получившийся буфер шифруется по стандарту Base64.
   • Все строки, ранее зашифрованные по стандарту Base64, сливаются в одну строку с разделителем «\r\n».
   • Получившаяся строка прикрепляется к заголовку размером 0x54 байта.
   • Получившийся буфер шифруется с помощью RC4, при этом используется первый серверный ключ RC4.
   • Получившийся буфер шифруется по стандарту Base64.
3. Файл
   • Сжимается с помощью LZO.
   • Получившийся архив шифруется со вторым серверным ключом RC4.

Формат сообщения

Для передаваемых данных используется следующий заголовок:

Файл отправляется на C2-сервер в запросе POST в виде составного содержимого (multipart) с разделителем kdncia987231875123nnm. Все обнаруженные нами образцы Travle используют это значение.

Типы сообщений: от бота к C2

Идентификатор команды указан при смещении 0x18 в заголовке.

Используются следующие технические сообщения:

Используются следующие оперативные сообщения:

Типы сообщений: от C2 к боту

Ответ на POST-запросы бота:

В случае, если бот прислал GET-запрос на файл, то сервер возвращает запрошенный файл.

Общий обмен данными между ботом и C2

Взаимодействие с C2-сервером включает два этапа:

Первый этап (автоматический, без вмешательства оператора) включает:

• отправку информации об ОС;
• получение информации о C2;
• отправку запроса первой команды;
• получение команды с порядковым номером 1 и первым аргументом «*»;
• отправку запроса следующей команды.

Второй этап (выполняется оператором) включает:

• отправку команды боту;
• отправку файлов боту;
• отправку результатов выполненных команд C2.

Команды: основные функции бота

Плагины

К сожалению, нам не удалось получить плагины с сервера C2, но, проанализировав код Travle, мы можем вкратце описать способы их обработки.

При обработке плагинов используются команды 32–35. По результатам анализа всех образцов Travle мы выяснили, что не каждая разновидность Travle может работать с плагинами.

Каждая библиотека плагина сохраняется в виде файла и загружается с использованием API-функции LoadLibrary. Библиотека должна экспортировать три функции: GetPluginInfo, Starting и FreeMemory. Эти функции вызываются по одной на этапе загрузки DLL. Когда бэкдор Travle должен выгрузить библиотеку плагина, она вызывает API-функцию FreeLibrary.

Во всех проанализированных образцах Travle плагины хранятся в одном и том же каталоге: %TEMP%\KB887209\.

Заключение

Злоумышленники, ответственные за атаки Travle, действовали на протяжении последних нескольких лет, и, судя по всему, их не волнует, что их могут отследить антивирусные компании. Обычно модификации и новые дополнения к арсеналу этих хакеров обнаруживают и отслеживают очень быстро. Но тот факт, что на протяжении всех этих лет у них не было необходимости менять тактические методы и приемы, говорит о том, что им не обязательно усложнять применяемые инструменты для достижения своих целей. Что еще хуже, эти бэкдоры используются преимущественно в регионе СНГ против правительственных организаций, организаций и компаний так или иначе связанных с вооруженными силами и разработкой вооружений, компаний, занимающихся исследованиями в сфере высоких технологий. Это говорит о том, что даже организациям такого уровня предстоит пройти долгий путь, чтобы внедрить передовые методы информационной безопасности и эффективно противостоять целевым атакам.

Наши решения определяют образцы Travle со следующими вердиктами:

Trojan.Win32.Tpyn.*
Trojan.Win32.TravNet.*
Trojan-Spy.Win32.TravNet.*
HEUR:Trojan.Win32.Generic
HEUR:Trojan.Win32.TravNet.gen
HEUR:Backdoor.Win32.NetTraveler.gen

Более подробные сведения о Travle APT доступны подписчикам аналитических отчетов «Лаборатории Касперского». Контактные данные: intelreports@kaspersky.com