RDPPatcher продает доступ к Вашему компьютеру - Новости и Обзоры
интернет-защита
все антивирусы в одном приложении

RDPPatcher продает доступ к Вашему компьютеру

В последние месяцы антивирусная лаборатория PandaLabs компании Panda Security наблюдает значительный рост вредоносных программ, которые устанавливаются с использованием Remote Desktop Protocol (RDP).

Каждый день мы видим тысячи попыток заражения с использованием вымогателей (ransomware), взламывающих системы для майнинга биткоинов и других целей. В целом все такие угрозы имеют общий подход: доступ к компьютеру через удаленный рабочий стол (RDP) после подбора регистрационных данных с помощью метода brute force.

Удаленный рабочий стол полезен во многих смыслах, но, к сожалению, при попадании регистрационных данных в руки злоумышленников доступ через RDP становится для кибер-преступников грозным оружием. Мы уже говорили об RDP и шифровальщиках, особенно в корпоративных средах.

Новая обнаруженная атака использует такую же технику входа, но ее цель полностью отличается от тех атак, что мы анализировали ранее. В этот раз, после проникновения в систему, угроза фокусируется на поиске POS-терминалов и ATM. Причина для этого кроется в том, что эти терминалы достаточно просты для анонимной атаки из Интернета, а финансовая выгода от продажи украденной информации очень высока.

RDPPatcher: Продажа доступа к системе на черном рынке

В данном случае атака типа brute force длилась более двух месяцев до тех пор, пока в январе 2017 года хакеры не подобрали корректные регистрационные данные и не получили доступ к системе. После того как система была скомпрометирована, кибер-преступники попытались заразить ее вредоносной программой. Они обнаружили, что их попытки были заблокированы продуктом Adaptive Defense.

После этого они модифицировали вредоносную программу и попробовали снова, но также безуспешно. Поскольку решение расширенной информационной безопасности Panda не основано на сигнатурах и не опирается на имеющиеся знания о вредоносной программе для ее блокировки, модификация вредоносной программы не меняет результат.

Из анализа вредоносной программы становится понятна цель атаки. Хэши двух файлов следующие:

MD5  d78be752e991ccbec16f11e4fc6b2115
SHA1  4cc9d2c98f22aefab50ee217c1a0d872e93ce541
MD5  950e8614db5c567f66d0900ad09e45ac
SHA1  9355a60dd51cfd02a921444e92e012e25d0a6be

Оба файла были созданы в Delphi и упакованы с помощью Aspack. После их распаковки мы обнаружили, что они очень похожи между собой. Мы проанализировали самые последние из них: (950e8614db5c567f66d0900ad09e45ac).

Этот троян, обнаруживаемый как Trj/RDPPatcher. A изменяет записи в реестре Windows для того, чтобы изменить тип RDP-валидации. Вот записи, которые меняет система:

HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp /v UserAuthentication /t REG_DWORD /d 1
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp” /v UserAuthentication /t REG_DWORD /d 1

Кроме того, он удаляет следующие записи, если они присутствуют в системе:

“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System” /v legalnoticecaption /f
“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System” /v legalnoticetext /f

Впоследствии, он оставляет другой файл (MD5: 78D4E9BA8F641970162260273722C887) в папке %TEMP%. Этот файл представляет собой вариант приложения rdpwrap и он запускается через команду runas с параметрами “-i –s”, чтобы активировать одновременные RDP-сессии в системе.
Затем он переходит к профилю машины и получает следующую информацию о ней:

  • Имя пользователя
  • Название устройства
  • Период времени, когда устройство было включено
  • Версия операционной системы
  • Язык
  • Виртуальная машина
  • Память
  • Название процессора
  • Количество ядер процессора
  • Скорость процессора
  • Антивирус

Затем он соединяется с сервером управления (C&C server) для доступа к списку служб, которые измеряют скорость подключения к Интернету, а затем сохраняет  данные, связанные со скоростью входящего и исходящего соединения. Далее он проверяет, какой антивирус установлен на компьютере. Вопреки тому, что мы привыкли видеть в большинстве вредоносных атак, он не удаляет установленный антивирус и не меняет его работу. Он просто собирает данные.
Мы смогли извлечь из кода список тех процессов, поиск которых он осуществляет:

После этого он начинает искать различные типы программ, чтобы продолжить профилирование компьютера. В основном он ищет программы, связанные с POS, ATM и азартными онлайн-играми. Ниже приводим небольшую часть программ, которые он ищет (всего их несколько сотен):

Он также «проходит» по истории посещений, проверяя соответствия с другим списком, представленным по категориям в зависимости от сферы интересов:

Все эти действия необходимы для того, чтобы «пометить» компьютер в соответствии с используемым на нем ПО и посещенными веб-страницами.

После завершения процедуры сбора данных с системы, он делает запрос на сервер управления C&C. Чтобы скрыть отправку информации через веб-трафик от систем безопасности, он сперва шифрует данные с помощью AES128 с паролем “8c@mj}||v*{hGqvYUG”, который был встроен в анализируемый образец. Затем он кодирует его в base64.

Пример зашифрованного запроса.

Сервер управления C&C, используемый для данного образца вредоносной программы, расположен в Гибралтаре:

Заключение

Как мы видели, первое, что стремится сделать злоумышленник, - это провести инвентаризацию компьютера, собрав широкий спектр информации (аппаратное обеспечение, программное обеспечение, посещенные веб-страницы, скорость Интернет-соединения), и установить приложение, которое позволяет запустить несколько RDP-сессий одновременно.

Здесь нет кражи данных, паролей или чего-то еще, как в других случаях.

Объяснение всему этому вполне простое: кибер-преступники, стоящие за этими атаками, продают доступ к этим взломанным компьютерам по очень низкой цене.  Имея на руках столько данных с каждой системы, они могут продавать доступ к ним другим группам злоумышленников, которые специализируются в различных сферах.

Например, группам, которые специализируются на краже данных банковских карт, они могут продавать доступ к компьютерам, на которых установлено ПО для POS-терминалов, и т.д. Кибер-преступность действительно стала профессиональной деятельностью и очень выгодным рэкетом.

Сообщество Вконткте
обзоры антивирусов и программ безопасности
Комментарии и отзывы
Добавляя комментарий, ознакомьтесь с Правилами сообщества
Система Orphus