Волна кибератак на уйгуров — пользователей MacOSX

В сотрудничестве с исследователями AlienVault Labs мы проанализировали серию целевых атак, которые были предприняты в последние несколько месяцев и нацелены на уйгуров –пользователей Mac OS X. Результаты исследования AlienVault Labs доступны здесь. Наш анализ представлен в данном блог посте.

Ранее мы писали о целевых атаках, направленных на тибетских активистов, в которых использовалось вредоносное ПО для Mac OS X. Кроме того, в июле прошлого года мы рассказывали об атаках с использованием зловредов под Mac OS X, направленных против уйгурских активистов. Во время этих последних атак с помощью социальной инженерии ничего не подозревающих пользователей заражали зловредом Backdoor.OSX.MaControl.b.

За последние месяцы мы зафиксировали серию целевых атак, направленных на уйгурских активистов, в первую очередь на Всемирный уйгурский конгресс.

В этих атаках использовалось несколько имён файлов, включая следующие:

Хотя некоторые из этих атак имели место в 2012 году, мы заметили значительное увеличение количества атак в январе-феврале 2013 г., что указывает на выросшую активность хакеров в этот период.

Все эти атаки используют эксплойты к уязвимостиCVE-2009-0563 в Microsoft Office. Данный эксплойт легко распознать благодаря обозначенному в свойствах автору следующего документа – это широко известный «captain», о котором мы уже писали:

Все эти документы содержат второй, фальшивый документ, который демонстрируется пользователю, когда эксплойт успешно выполнен. Вот несколько примеров:

Загружаемое вредоносное ПО

В случае успешного выполнения эксплойт загружает бэкдор в виде универсального исполняемого Mach-O файла размером 101/104 KB. Похоже, этот маленький бэкдор имеет очень небольшие функциональные возможности, уникальные для этого вредоносного кода. Он устанавливает минимальный работающий бэкдор и программу для кражи личных данных.

Tiny Shell – UNIX-бэкдор с открытым исходным кодом, впервые выпущенный в 2003 году. Этот бэкдор, скомпилированный под OS X, устанавливается в качестве сервиса «systm» в OS X-системе компьютера-жертвы. Данный код включает встроенное шифрование стандартов AES и SHA1; в него также зашиты секретные ключи исходного кода и сценарии поведения в некоторых случаях. По всей видимости, для сокращения объёма из оригинального TSH-кода выкинули довольно большие фрагменты. В качестве AES-ключа была использована последовательность «12345678» – ещё один показатель того, что программа была сделала «на коленке». В бэкдор также зашит функционал, позволяющий загружать произвольный исполняемый файл из командного центра.

Путь, встроенный в код зловреда и видимый в 104 КБ версии бэкдора

Информацию о платформе, на которой был скомпилирован исполняемый файл, можно добыть из более объемной версии исполняемого двоичного файла. Виден следующий путь: /Users/cbn/Documents/WorkSpace/design/server/build/server.build/Release/. cbn – это, вероятно, пользовательское имя создателя бэкдора.

В дополнение к коду»tshd» создатель зловреда включил в него также функционал для выполнения действий со списками контактов пользователя. Что интересно, атакующий любит оставлять в зараженной системе метку «me» («я»).

Это вполне объяснимо. Если бэкдор на зараженном компьютере будет быстро обнаружен, атакующая сторона может воспользоваться списком доверенных контактов жертвы, чтобы восстановить контроль над зараженной системой. Одновременно через списки контактов киберпреступник получает возможность находить новые жертвы, представляющие для него больший интерес.

Информация о командных серверах

Вредоносная программа устанавливает соединения со следующими командными серверами:

Эти домены хорошо известны: они не первый год используются при проведении APT-атак с применением набора Windows-утилит, предназначенных для спуфинга в сетях мгновенного обмена сообщениями MSN и Yahoo!.

Второй домен (apple12.crabdance.com) в данный момент не доступен, но раньше в системе DNS ему соответствовали IP-адреса 207.204.245.192 и 207.204.231.196. Оба сервера размещены на абузоустойчивом хостинге известного провайдера Black Oak Computers Inc., который игнорирует практически все требования закрыть вредоносные серверы.

На компьютере под управлением Mac OS X бэкдор устанавливает соединение с сервером. В соответствии с настройками Функции tshd_put_file бэкдора украденные данные загружаются в папку/downloads/ на сервере.

Спомощью пассивного сбора DNS-данных (passiveDNSfingerprinting)мы обнаружили другие домены, соответствующие тем же IP-адресам или связанные с описываемыми здесь атаками:

Рекомендации по защите от угрозы

Прежде всего, еще раз кратко сформулируем суть проблемы: в январе-феврале 2013 года мы обнаружили существенное увеличение числа целевых атак против уйгуров – пользователей Mac OS X. Все эти атаки используют уязвимость CVE-2009-0563, которая закрыта компанией Microsoft в июне 2009 года.

Ниже мы предлагаем рекомендации по защите от подобных атак:

Описываемые здесь атаки показывают, что возможности проведения APT-атак на пользователей Mac OS X продолжают расширяться. В целом пользователи компьютеров Mac зачастую подвержены ложному чувству защищенности, вызванному давнишней мантрой «Макам вирусы не страшны». Как убедительно продемонстрировали эпидемии, вызванные такими вредоносными программами, как Flashback, пользователи «Маков» совершенно не застрахованы от заражения вредоносным ПО. А теперь, когда растет число целевых атак против таких пользователей, можно ожидать появления нового вредоносного ПО и эксплойтов, предназначенных для заражения компьютеров на базе Mac OS X.

* Хочу поблагодарить своих коллег Курта Баумгартнера (Kurt Baumgartner)и Николя Брюле (Nicolas Brulez) за помощь в проведении анализа.