Ataki grupy Darkhotel w 2015 r.
Ataki APT przeprowadzane przez ugrupowanie Darkhotel w 2014 roku i wcze艣niej charakteryzuj膮 si臋 wykorzystaniem skradzionych certyfikat贸w, umieszczaniem plik贸w .hta przy u偶yciu r贸偶nych technik oraz stosowaniem nietypowym metod, takich jak infiltracja hotelowej sieci Wi-Fi w celu umieszczenia backdoor贸w w atakowanym systemach. Wiele z tych technik i dzia艂a艅 by艂o nadal wykorzystywanych w 2015 r. Jednocze艣nie, opr贸cz nowych wariant贸w szkodliwych plik贸w .hta, dosz艂y nowe ofiary, za艂膮czniki .rar ze spear phishingiem RTLO oraz lokowanie exploit贸w 0-day grupy Hacking Team.
Grupa Darkhotel nadal atakuje cele na ca艂ym 艣wiecie przy u偶yciu spear phishingu, jednak zwi臋kszy艂a sw贸j zasi臋g geograficzny w stosunku do wcze艣niejszych atak贸w na hotelowe sieci Wi-Fi oraz atak贸w maj膮cych na celu rozbudow臋 botnetu. Niekt贸re z jej cel贸w dotycz膮 kr臋g贸w dyplomatycznych lub strategicznych interes贸w handlowych.
Lokalizacja cel贸w i ofiar grupy Darkhotel w 2015 r.:
- Korea P贸艂nocna
- Rosja
- Korea Po艂udniowa
- Japonia
- Bangladesz
- Tajlandia
- Indie
- Mozambik
- Niemcy
Strony zwi膮zane z plikami .hta, backdoorami, exploitami i C2 wykorzystywane przez Darkhotel w 2015 r.:
- storyonboard[.]net
- tisone360[.]org
- openofficev[.]info
- saytargetworld[.]net
- error-page[.]net
- eonlineworld[.]net
- enewsbank[.]net
- thewordusrapid[.]com
Podzbi贸r nazw za艂膮cznik贸w w incydentach spear phishingu w 2015 r.:
- schedule(6.1~6).rar -> schedule(6.1~6)_?gpj.scr
- schedule(2.11~16).rar -> schedule(2.11~16)_?gpj.scr
- congratulation.rar -> congratulation_?gpj.scr
- letter.rar -> letter_?gpj.scr
Konsekwentne wykorzystywanie zaciemnionych downloader贸w .hta
Niezale偶nie od tego, czy do infekcji dochodzi przy u偶yciu atak贸w typu spear phishing, uzyskania fizycznego dost臋pu do systemu czy exploita zero-day grupy Hacking Team dla Flasha, cz臋sto mo偶na wyr贸偶ni膰 t臋 sam膮 metod臋 komunikacji nowo zainfekowanego systemu z centrum kontroli Darkhotel:
Lekko zaciemniony skrypt znajduj膮cy si臋 w pliku .hta zapisuje plik wykonywalny na dysku i wykonuje go.
Ciekawe jest to, 偶e grupa ta od wielu lat umieszcza kod backdoor贸w i downloader贸w w postaci plik贸w .hta. W 2010 r. wykorzysta艂a artyku艂y dotycz膮ce Korei P贸艂nocnej stworzone przez ameryka艅ski Brookings Institute, aby zaatakowa膰 cele zwi膮zane z Kore膮 P贸艂nocn膮 przy pomocy szkodliwego kodu ukrytego w plikach .hta. Ponadto, odsy艂acze prowadz膮ce do szkodliwych plik贸w .hta wysy艂a艂a za po艣rednictwem poczty e-mail grupom turystycznym z Korei P贸艂nocnej, ekonomistom zainteresowanym Kore膮 P贸艂nocn膮 i innym. Wykorzystywanie w tak du偶ym stopniu starszej technologii specyficznej dla Windowsa, takiej jak aplikacje HTML wprowadzone przez Microsoft w 1999 r., wydaje si臋 nieco dziwne.
Z sendspace.servermsys.com/downloader.hta:
Po wykonaniu i modyfikacji kilku zmiennych .hta wykorzystuje stare komponenty Adodb.stream, aby zapisa膰 ci膮g przepuszczony przez funkcj臋 XOR 0x3d jako plik wykonywalny, i uruchamia go. 
Kod ten powoduje wykonanie "internet_explorer_Smart_recovery.exe" 054471f7e168e016c565412227acfe7f, nast臋pnie ukryte okno przegl膮darki kontaktuje si臋 ze swoim centrum kontroli (C2). W tym przypadku, wygl膮da na to, 偶e operatorzy Darkhotel sprawdzaj膮, czy Internet Explorer jest domy艣ln膮 przegl膮dark膮 ofiary, poniewa偶 wszystkie wersje IE zwracaj膮 warto艣膰 "0", a dla pozosta艂ych przegl膮darek "appMinorVersion" pozostaje niezdefiniowany. Ten zbi贸r danych wydaje si臋 nieco dziwny, poniewa偶 pliki .hta s膮 obs艂ugiwane i uruchamiane przez mshta.exe tylko w systemach Windows. By膰 mo偶e jest to artefakt z wcze艣niejszych etap贸w rozwoju kodu. Ostatnia wersja to:
"hxxp://sendspace.servermsys.com/readme.php?type=execution&result=created_and_executed&info=" + navigator.appMinorVersion + "
Plik "internet_explorer_Smart_recovery.exe" jest prostym zaciemnionym downloaderem. Seria p臋tli XOR 0x28 deszyfruje zawarto艣膰 samo kasuj膮cego si臋 pliku wsadowego, kt贸ry jest nast臋pnie zapisywany na dysku i wykonywany. P贸藕niej bardziej z艂o偶ona p臋tla RC4 deszyfruje URL downloadera oraz inne ci膮gi. 
Kiedy proces ten zostanie zako艅czony, ci膮g URL ma posta膰 http://sendspace.servermsys.com/wnctprx. Pik jest pobierany (b1f56a54309147b07dda54623fecbb89) do pliku .tmp w folderze %temp%, wykonywany, a nast臋pnie downloader ko艅czy dzia艂anie. Ten wi臋kszy plik to backdoor/downloader, kt贸ry zawiera funkcjonalno艣膰 SSH i wrzuca swoje klucze na dysk w celu umo偶liwienia komunikacji SSH. Znale藕li艣my starsze programy Darkhotel s艂u偶膮ce do kradzie偶y informacji, kt贸re zosta艂y wrzucone i uruchomione w systemie przez te downloadery.
Spearphishing oraz za艂膮czniki .rar z RTLO
Ugrupowanie APT o nazwie Darkhotel przeprowadza nieustaj膮ce ataki typu spear phishing na swoje cele w celu w艂amania si臋 do system贸w. Niekt贸re cele s膮 atakowane wielokrotnie przy u偶yciu niemal偶e tej samej metody socjotechniki. Na przyk艂ad, za艂膮cznik "schedule(2.11~16).rar" m贸g艂 zosta膰 wys艂any 10 lutego, a nast臋pnie Darkhotel zaatakowa艂 te same cele w drugim podej艣ciu pod koniec maja, stosuj膮c za艂膮cznik "schedule(6.1~6).rar".
Konsekwentnie archiwizuje pliki wykonywalne RTLO .scr przy pomocy archiw贸w .rar, tak aby cel atak贸w my艣la艂, 偶e ma do czynienia z nieszkodliwymi plikami .jpg. Te pliki wykonywalne to lekkie droppery, zawieraj膮ce s艂u偶膮ce za przyn臋t臋 pliki jpeg oraz kod w celu stworzenia downloadera Ink.
Gdy cel ataku pr贸buje otworzy膰 rzekomy plik jpg, zostaje uruchomiony kod wykonywalny i wrzuca obraz jpg na dysk, nast臋pnie otwiera go przy u偶yciu mspaint.exe w tle. Ten dokument "z gratulacjami" jest w j臋zyku korea艅skim, co ujawnia prawdopodobn膮 cech臋 profilu ofiary.
W czasie, gdy wy艣wietlany jest obraz, kod zrzuca na dysk i uruchamia nietypowy skr贸t mspaint.lnk. Skr贸t ten zawiera wielowierszowy skrypt pow艂oki. Technika ta jest r贸wnie偶 wykorzystywana przez inne grupy APT jako mechanizm przetrwania. Plik Ink o rozmiarze 64kb jest kodem downloadera:
Gdy plik Ink zostanie wykonywany, zaczyna oparty na technologii AJAX proces pobierania dla pliku "unzip.js" (a07124b65a76ee7d721d746fd8047066) na openofficev.info. Jest to kolejny plik wscript implementuj膮cy technologi臋 AJAX w celu pobrania i wykonania stosunkowo du偶ego skompilowanego pliku wykonywalnego:
Ten kod wykonywalny jest zapisywany i wykonywany w %temp%\csrtsrm.exe. Jest to stosunkowo du偶y plik wykonywalny (~1.2 MB), kt贸ry wstrzykuje szkodliwy kod i umieszcza zdalne w膮tki w legalnych procesach.
Skradzione certyfikaty i unikanie wykrycia
Wygl膮da na to, 偶e grupa gromadzi skradzione certyfikaty i rozmieszcza podpisane nimi downloadery i backdoory. Niekt贸re z odwo艂anych niedawno certyfikat贸w nale偶膮 do Xuchang Hongguang Technology Co. Ltd.
Obecnie Darkhotel zwykle ukrywa sw贸j kod pod warstwami szyfrowania. Mo偶liwe, 偶e powoli przystosowa艂 si臋 do atakowania lepiej chronionych 艣rodowisk i woli nie pali膰 tych skradzionych certyfikat贸w cyfrowych. We wcze艣niejszych atakach wykorzysta艂by po prostu d艂ug膮 list臋 s艂abo zaimplementowanych, z艂amanych certyfikat贸w.
Nie tylko stosuje mocniejsze techniki zaciemniania, ale r贸wnie偶 rozszerza swoj膮 list臋 stosowanych technologii ochrony przed wykryciem. Na przyk艂ad ten podpisany downloader (d896ebfc819741e0a97c651de1d15fec) odszyfrowuje zestaw ci膮g贸w antywirusowych etapami w celu zidentyfikowania technologii ochrony w nowo zainfekowanym systemie, a nast臋pnie otwiera ka偶dy proces, szukaj膮c pasuj膮cej nazwy obrazu:
c:\avast! sandbox\WINDOWS\system32\kernel32.dll - Avast!
avp.exe - Kaspersky Lab
mcagent.exe;mcuicnt.exe - Intel/Mcafee
bdagent.exe - BitDefender
ravmon.exe,ravmond.exe - Beijing Rising
360tray.exe,360sd.exe,360rp.exe,exeMgr.exe - Qihoo 360
ayagent.aye,avguard.;avgntsd.exe - Avira Antivirus
ccsvchst.exe,nis.exe - Symantec Norton
avgui.exe,avgidsagent.exe,avastui.exe,avastsvc.exe - Avast!
msseces.exe;msmpeng.exe - Microsoft Security Essentials and Microsoft Anti-Malware Service
AVK.exe;AVKTray.exe - G-Data
avas.exe - TrustPort AV
tptray.exe - Toshiba utility
fsma32.exe;fsorsp.exe - F-Secure
econser.exe;escanmon.exe - Microworld Technologies eScan
SrvLoad.exe;PSHost.exe - Panda Software
egui.exe;ekrn.exe - ESET Smart Security
pctsSvc.exe;pctsGui.exe - PC Tools Spyware Doctor
casc.exe;UmxEngine.exe - CA Security Center
cmdagent.exe;cfp.exe - Comodo
KVSrvXP.exe;KVMonXP.exe - Jiangmin Antivirus
nsesvc.exe;CClaw.exe - Norman
V3Svc.exe - Ahnlab
guardxup. - IKARUSF
ProtTray. - F-Prot
op_mon - Agnitum Outpost
vba332ldr.;dwengine. - DrWeb
Nawet informacje identyfikacyjne, kt贸rych backdoor szuka w systemie, nie zostaj膮 odszyfrowane do czasu uruchomienia. Podobnie jak program kradn膮cy informacje, o kt贸rym pisali艣my w naszym poprzednim raporcie technicznym dotycz膮cym Darkhotel, komponent ten pr贸buje ukra艣膰 zestaw danych, za pomoc膮 kt贸rych mo偶na zidentyfikowa膰 zainfekowany system. Spora cz臋艣膰 informacji jest zbierana przy u偶yciu tego samego zestawu wywo艂a艅, tj. kernel32.GetDefaultSystemLangID, kernel32.GetVersion oraz kernel32.GetSystemInfo:
- Domy艣lna strona kodowa systemu
- Informacje dotycz膮ce karty sieciowej
- Architektura procesora
- Nazwa hosta i adres IP
- Wersje systemu Windows i Service Pack
Zasadniczo, du偶a cz臋艣膰 kodu tego programu s艂u偶膮cego do kradzie偶y informacji jest taka sama jak w przypadku wcze艣niejszych atak贸w.
Tisone360.com, odwiedziny i exploit 0-day Hacking Team
Szczeg贸lnie interesuj膮ca by艂a dla nas strona tisone360.com. W kwietniu 2015 r. Darkhotel wysy艂a艂 wiadomo艣ci phishingowe zawieraj膮ce odsy艂acze do wcze艣niejszych exploit贸w dla Flasha, a nast臋pnie, na pocz膮tku lipca, zacz膮艂 rozprzestrzenia膰 exploita 0-day, kt贸ry wyciek艂 grupie Hacking Team.
Wygl膮da na to, 偶e grupa APT o nazwie Darkhotel mog艂a wykorzystywa膰 tego exploita w celu atakowania okre艣lonych system贸w. "tisone360.com" mo偶e pom贸c zidentyfikowa膰 niekt贸re z jej dzia艂a艅. Strona ta dzia艂a艂a jeszcze 22 lipca 2015 r. Wygl膮da jednak na to, 偶e jest to niewielka cz臋艣膰 jej aktywno艣ci. Opr贸cz 0-day icon.swf HT (214709aa7c5e4e8b60759a175737bb2b) w kwietniu strona "tisone360.com" dostarcza艂a prawdopodobnie r贸wnie偶 exploita CVE-2014-0497 dla Flasha. W styczniu 2014 r. poinformowali艣my o luce zwi膮zanej z tym exploitem firm臋 Adobe, gdy by艂a wykorzystywana przez grup臋 APT o nazwie Darkhotel.
Niedawno grupa Darkhotel utrzymywa艂a na tej stronie wiele dzia艂aj膮cych katalog贸w.
Najaktywniejszy jest katalog ims2. Zawiera zestaw backdoor贸w oraz exploit贸w. Najciekawszym z nich jest exploit 0-day dla Flasha, kt贸ry wyciek艂 grupie Hacking Team, icon.swf. Po tym, jak o serwerze tym poinformowano publicznie, grupa Darkhotel powoli uszczelni艂a otwarty dost臋p do /ims2/. Mimo to jego zawarto艣膰 nadal by艂a aktywnie wykorzystywana.
icon.swf (214709aa7c5e4e8b60759a175737bb2b) -> icon.jpg
(42a837c4433ae6bd7490baec8aeb5091)
-> %temp%\RealTemp.exe (61cc019c3141281073181c4ef1f4e524)
Gdy icon.jpg zostanie pobrany przez exploita dla Flasha, zostaje odszyfrowany przy u偶yciu wielobajtowego klucza XOR 0xb369195a02. Nast臋pnie pobiera kolejne komponenty.
Warto zauwa偶y膰, 偶e grupa ta prawdopodobnie zmienia kompilacj臋 i znaczniki czasowe konsolidatora swojego kodu wykonywalnego na daty z 2013 r. Mo偶na zauwa偶y膰 to w licznych pr贸bkach, kt贸re zosta艂y zaobserwowane po raz pierwszy w po艂owie 2015 r., 艂膮cznie z downloaderem icon.jpg. 
Z dziennika odwiedzin katalogu tej strony wynika, 偶e katalog zosta艂 stworzony 8 lipca. 8 i 9 lipca odnotowano kilka odwiedzin konkretnego adresu URL na serwerze z pi臋ciu system贸w zlokalizowanych w wyszczeg贸lnionych ni偶ej miejscach. Kilka z nich stanowi prawdopodobnie cel Darkhotel:
- Niemcy
- Korea Po艂udniowa
- Chiny
- US
- Japonia
Jednak jeden z tych system贸w odwiedzi艂 t臋 stron臋 9 lipca prawie 12 000 razy w ci膮gu 30 minut. Tak du偶y ruch stanowi prawdopodobnie pr贸b臋 zbadania tego zasobu, nie za艣 atak DoS: 
Zarejestrowane odwiedziny na stronie po 9 lipca nie s膮 wiarygodne i mog膮 odpowiada膰 za nie kolejni badacze, kt贸rzy zainteresowali si臋 tym zasobem po publikacji raport贸w 9 lipca. Wiele spo艣r贸d tych oko艂o 50 odwiedzin pochodzi艂o z podzbioru wskazanych wy偶ej system贸w i zosta艂o wielokrotnie powt贸rzonych. Odwiedziny dokonane z poni偶szych lokalizacji odnotowano 10 lub p贸藕niej:
- Niemcy (prawdopodobnie badanie)
- Ukraina (prawdopodobnie badanie)
- Amazon Web Services, wiele lokalizacji (prawdopodobnie badanie)
- Googlebot, wiele lokalizacji
- US
- Irlandia (prawdopodobnie badanie)
- Rosja
- Brazylia
- Chiny
- Finlandia
- Kanada
- Tajwan
- Francja (prawdopodobnie badanie)
- Republika Czeska
Konsekwentny strumie艅 atak贸w
Grupa Darhotel zwykle trzyma si臋 tego, co dzia艂a. Na przyk艂ad przez lata wielokrotnie stosowa艂a ataki typu spear phishing z wykorzystaniem plik贸w .hta. W 2015 r. zaobserwowali艣my wielokrotne wykorzystanie kreatywnego 艂a艅cucha dostarczania komponent贸w, jak mia艂o to miejsce w przypadku strony tisone360.com.
downloader -> zaewidencjonowanie hta -> program wykradaj膮cy informacje -> wi臋cej
skompilowanych komponent贸w.
dropper -> skrypt wsh -> skrypt wsh -> program wykradaj膮cy informacje -> wi臋cej
skompilowanych komponent贸w
spearphish -> dropper -> zaewidencjonowanie hta -> downloader -> program
wykradaj膮cy informacje
O ile 艂a艅cuch dostarczania, kt贸ry obejmuje zaciemnione skrypty wewn膮trz plik贸w .hta, zauwa偶yli艣my ju偶 w 2011 r., nasilenie nast膮pi艂o w 2014 r. i teraz w 2015 r.
openofficev[.]info (2015)
office-revision[.]com (2014)
online.newssupply[.]net (2011)
W艂amania do infrastruktury na widoku
Omawiana grupa sta艂a si臋 czujniejsza je艣li chodzi o prowadzenie swoich stron, uszczelniaj膮c konfiguracj臋 i zawarto艣膰 odpowiedzi. Obecnie jej centrum kontroli (C2) odpowiada przy u偶yciu obraz贸w "Drinky Crow" z kresk贸wki opartej na komiksie Maakies:
Inne centra kontroli Darkhotel zwykle nie r贸偶ni膮 si臋 od losowych stron w Internecie w przypadku odwiedzenia niepoprawnych lub nieistniej膮cych stron. S膮 to obrazy z serwisu FOTOLIA lub artyku艂y dotycz膮ce tw贸rc贸w lod贸w: 
md5 HTA:
021685613fb739dec7303247212c3b09
1ee3dfce97ab318b416c1ba7463ee405
2899f4099c76232d6362fd62ab730741
2dee887b20a06b8e556e878c62e46e13
6b9e9b2dc97ff0b26a8a61ba95ca8ff6
852a9411a949add69386a72805c8cb05
be59994b5008a0be48934a9c5771dfa5
e29693ce15acd552f1a0435e2d31d6df
fa67142728e40a2a4e97ccc6db919f2b
fef8fda27deb3e950ba1a71968ec7466
md5 za艂膮cznik贸w spearphish:
5c74db6f755555ea99b51e1c68e796f9
c3ae70b3012cc9b5c9ceb060a251715a
560d68c31980c26d2adab7406b61c651
da0717899e3ccc1ba0e8d32774566219
d965a5b3548047da27b503029440e77f
dc0de14d9d36d13a6c8a34b2c583e70a
39562e410bc3fb5a30aca8162b20bdd0 (po raz pierwszy zauwa偶ony pod koniec 2014 r.,
wykorzystywany w 2015 r.)
e85e0365b6f77cc2e9862f987b152a89 (po raz pierwszy zauwa偶ony pod koniec 2014 r.,
wykorzystywany w 2015 r.)
md5 du偶ego downloadera 2015:
5e01b8bc78afc6ecb3376c06cbceb680
61cc019c3141281073181c4ef1f4e524
3d2e941ac48ae9d79380ca0f133f4a49
fc78b15507e920b3ee405f843f48a7b3
da360e94e60267dce08e6d47fc1fcecc
33e278c5ba6bf1a545d45e17f7582512
b1f56a54309147b07dda54623fecbb89
009d85773d519a9a97129102d8116305
Program wykradaj膮cy informacje wrzucony w 2015 r.
61637a0637fb25c53f396c305efa5dc5
a7e78fd4bf305509c2fc1b3706567acd
Sub-hosty i adresy url:
tisone360.com/img_h/ims2/icon.swf
tisone360.com/img_h/ims2/1.php
tisone360.com/img_h/ims2/icon.jpg
tisone360.com/noname/img/movie.swf
tisone360.com/noname/minky/face.php
tisone360.com/htdoc/ImageView.hta
tisone360.com/htdoc/page1/page.html
daily.enewsbank.net/wmpsrx64
daily.enewsbank.net/newsviewer.hta
saytargetworld.net/season/nextpage.php
sendspace.servermsys.com/wnctprx
error-page.net/update/load.php
photo.storyonboard.net/wmpsrx64
photo.storyonboard.net/photoviewer.hta
photo.storyonboard.net/readme.php
unionnewsreport.net/aeroflot_bonus/ticket.php
www.openofficev.info/xopen88/office2www.openofficev.info/dec98/unzip.js
www.openofficev.info/open99/office32
www.openofficev.info/decod9/unzip.js
殴ród艂o: Kaspersky Lab