ESET descobre backdoor usado por grupo que realiza operações de ciberespionagem | WeLiveSecurity
11 Sep 2019 - 11:06AM
O Stealth Falcon é um grupo de ameaças ativo desde 2012, conhecido por ataques a ativistas políticos e jornalistas no Médio Oriente. O grupo tem sido monitorado pela Citizen Lab, uma organização sem fins lucrativos de segurança e direitos humanos que, em 2016, publicou uma análise de um determinado ciberataque desse grupo. Em janeiro de 2019, a agência de notícias britânica Reuters publicou uma reportagem investigativa sobre o Projeto Raven, uma iniciativa que, de acordo com a agência de notícias, emprega ex-agentes da NSA para realizar ataques de ciberespionagem direcionados aos mesmos alvos que o Stealth Falcon.
Com base nestes dois relatórios que se referem aos mesmos alvos e ataques, o especialista em tecnologia sênior da Amnistia Internacional, Claudio Guarnieri, concluiu que o Stealth Falcon e o Project Raven são na realidade o mesmo grupo.
Figura 1. Claudio Guarnieri ligou o Stealth Falcon ao Projecto Raven.
Algumas informações técnicas sobre o Stealth Falcon já se tornaram públicas, principalmente na análise realizada pela Citizen Lab.
O principal componente do ataque documentado no relatório da Citizen Lab foi um backdoor baseado em PowerShell, enviado através de um documento malicioso que foi incluído em um e-mail.
Desta vez, encontramos um backdoor binário, nunca reportado antes, batizado como Win32/StealthFalcon. Neste post, vamos revelar as semelhanças entre este backdoor binário e o script do PowerShell com capacidades de backdoor atribuídos ao grupo Stealth Falcon. Consideramos que as semelhanças existentes são fortes evidências de que o Win32/StealthFalcon foi criado por este grupo.
O backdoor Win32/StealthFalcon, que parece ter sido criado em 2015, permite que o atacante controle remotamente o computador comprometido. Vimos um pequeno número de alvos nos Emirados Árabes Unidos, na Arábia Saudita, na Tailândia e nos Países Baixos – neste último caso, o alvo foi uma missão diplomática de um país do Médio Oriente. A forma como o backdoor foi distribuído e executado nos sistemas afetados está além do escopo desta pesquisa, já que nossa análise está focada em suas capacidades e sua comunicação com o C&C.
Comunicação com o C&C
Em sua comunicação com o servidor C&C, Win32/StealthFalcon usa o componente padrão do Windows conhecido como Background Intelligent Transfer Service (BITS), que é bastante incomum. O BITS foi projetado para transferir grandes quantidades de dados sem consumir uma grande quantidade de banda larga da rede, o que se consegue regulando o fluxo de dados enviados de forma a não afetar as necessidades de banda larga de outros aplicativos. É comumente usado por atualizadores e outros aplicativos projetados para executar em segundo plano. Isto significa que as tarefas BITS são mais prováveis de serem habilitadas por firewalls baseados em host.
Comparado à comunicação tradicional através de funções API, o mecanismo BITS é exposto através de uma interface COM, tornando mais difícil a detecção de um produto de segurança. Além disso, este projeto é confiável e sigiloso. A transferência é retomada automaticamente após ser interrompida por razões como uma interrupção de rede, logout do usuário ou reinicialização do sistema. Além disso, como o BITS ajusta a taxa de transferência de arquivos com base na banda larga disponível, o usuário não tem motivos para suspeitar.
O Win32/StealthFalcon pode alterar a comunicação entre dois servidores C&C cujos endereços são armazenados em uma chave de registro, juntamente com outros valores de configuração, e pode ser atualizado por um dos comandos do backdoor. Se o backdoor falhar em se comunicar com seus servidores C&C, a ameaça se removerá do sistema comprometido após várias tentativas falhas.
Capacidades do backdoor
O Win32/StealthFalcon é um arquivo DLL que, após ser executado, é programado como uma tarefa que é realizada a cada login de usuário. Embora suporte apenas comandos básicos, ele mostra uma abordagem sistemática para coleta de dados, vazamento de dados, uso de ferramentas maliciosas adicionais e atualização de sua configuração.
Tabela 1. Comandos do backdoor.
Por exemplo, a capacidade fundamental do backdoor, o download e a execução de arquivos, é alcançada através de verificações periódicas de bibliotecas chamadas "win*.dll" ou "std*.dll" no diretório a partir do qual o malware é executado, e carregando essas bibliotecas.
Além disso, o Win32/StealthFalcon coleta arquivos e os prepara para vazamento, armazenando uma cópia criptografada com um prefixo codificado em uma pasta temporária. Ele então verifica regularmente esses arquivos e os vaza automaticamente. Uma vez que os arquivos foram vazados, o malware exclui automaticamente todos os arquivos de registro e arquivos coletados (antes de excluir os arquivos, ele os reescreve com dados aleatórios), para evitar a análise forense e a recuperação dos dados excluídos.
Os valores de configuração são armazenados na chave de registo HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Shell Extensions. Todos os valores são prefixados com o nome do arquivo do malware (sem a extensão).
Tabela 2. Dados de configuração armazenados no registro.
Possível truque para evitar a detecção
Seria interessante uma função que se executa antes que qualquer payload malicioso seja iniciado e que pareça redundante. Fazendo referência a mais de 300 importações, mas não as usa em sua totalidade. Em vez disso, sempre retorna e continua com o payload sem executar uma verificação de condição, sugerindo que este é um truque anti-emulação.
Figura 2: Uma função que se refere a centenas de importações não utilizadas, possivelmente adicionadas para evitar a detecção do malware.
Não sabemos a intenção exata desse recurso, mas suspeitamos que se trata de algum tipo de tentativa de burlar a detecção, ou alguns resquícios de uma estrutura maior usada pelos autores do malware.
Ligação com o Stealth Falcon
Tanto o Win32/StealthFalcon quanto o backdoor baseado no PowerShell descrito na análise do Citizen Lab compartilham o mesmo servidor C&C: o endereço windowsearchcache [.]com foi usado como um "Stage Two C2 Server Domain" no backdoor analisado pelo Citizen Lab, e também em uma das versões do Win32/StealthFalcon.
Ambos backdoors apresentam semelhanças significativas no código – e embora sejam escritos em diferentes idiomas, a lógica subjacente é preservada. Ambos também usam identificadores codificados (provavelmente ID da campanha/ID do alvo). Em ambos os casos, toda a comunicação de rede de host comprometida tem o prefixo desses identificadores e é criptografada com RC4 usando uma chave hardcodeada.
Para sua comunicação com o servidor C&C, ambos usam HTTPS, mas definem sinalizadores específicos para que a conexão ignore o certificado do servidor.
Descobrimos e analisamos um backdoor que usa uma técnica rara de comunicação com o C&C (usa Windows BITS), e algumas técnicas avançadas para evitar detecção e análise, e para garantir a persistência e complicar a análise forense. As semelhanças em código e infraestrutura com um malware previamente conhecido criado pelo Stealth Falcon nos levam à conclusão de que o backdoor Win32/StealthFalcon também é trabalho desse grupo de ameaças.