Slučaj jedne phishing poruke

Pripremajući tekst koji je nedavno objavljen na portalu ideje.hr, uočio sam objavu AZOP-a od 11.7.2024. o pokretanju nadzora nad HZZO-om povodom sumnjivog phishing maila o kojem se tog dana pričalo (napominjem da sam ovu objavu AZOP-a primijetio tek prije nekoliko dana, a ne s danom objave na njihovim stranicama):

Sumnjivi mail koji je predmet nadzora, stigao je i do mojeg mailbox-a kao i do mailbox-a nekih mojih klijenata, pa sam već idućeg dana (12.7.2024.) napravio analizu maila.

Ako inkriminiranu poruku niste još vidjeli, prikazujem je u nastavku:

Sama poruka ima nekoliko očitih površno sastavljenih elemenata, prije svega čudan naziv pošiljatelja, bez obzira što, naizgled, dolazi s domene hzzo.hr. Zapravo, sama poruka ne bi ni trebala izazivati poseban interes jer bi i umjereno osviješćen korisnik trebao prepoznati krivotvorinu, no pokazalo sa da je mail poruka uspješno dospjela do brojnih primatelja, tako da smo već isti dan na radiju slušali upozorenje HZZO-a primateljima da ne otvaraju taj mail, a i neki programi elektroničke pošte su prikazali upozorenje o sumnjivom pošiljatelju.

Glavni razlog za provedbu analize je dobra praksa da se u slučaju propuštanja maila sa sumnjivim ili nedvojbeno malicioznim sadržajem do računala korisnika, dakle u situaciji kada takav mail nije zaustavljen na filteru mail servera, provede analiza maila te pokuša utvrditi tko je sve od korisnika dobio taj mail i je li možda netko otvorio sumnjivi privitak (odnosno neoprezno postupio na neki drugi način, ovisno od scenarije phishing maila, npr. je li na računalu pohranjena maliciozna datoteka). Dodatni doprinos takve analize je i pribavljanje dodatnih informacija koje će pomoći unaprijediti sigurnosne mjere ili pak dobiti dodatne informacije o potencijalnim napadačima.

Ukratko ću navesti osnovne zaključke analize, bez detaljnog opisivanja postupka.

Pokazalo se da je mail poruka pristigla sa mail servera Medicinskog  fakulteta u Beogradu, odnosno ishodište maila je bilo jednom računalu (vidi se njegova privatna IP adresa) koje je poruku proslijedilo mail serveru. Naravno, to nipošto ne znači da je fakultet ili netko sa fakulteta namjerno poslao ovaj mail, a ovaj zaključak je dobio još veće uporište nakon što sam napravio i sljedeće korake u analizi. U svakom slučaju, ili je računalo nekog korisnika – nastavnog osoblja ili možda studenta bilo zaraženo i poslužilo za slanje poruke ili je možda sam mail server bio kompromitiran. Zaključak se ne može donijeti bez forenzičke analize samog servera i računala pošiljatelja, no to je naravno izvan obuhvata ove analize. Ja sam jedino još mogao prikupiti javno dostupne dodatne podatke o samom mail serveru i pokazalo se da ima jako puno ranjivosti koje se mogu eksploatirati ali i da već ima povijest sličnih kompromitacija, pa ovaj server ostaje glavni osumnjičeni.

Sama mail poruka koja je došla do primatelja ima izrazito nespretno sastavljeno ime pošiljatelja („Hrvatskog zavoda za zdravstveno osiguranje <podataka.zastita <pri> hzzo [.] hr“). Znamo, naravno, da adresa pošiljatelja u tijelu poruke nije nužno relevantna informacija, ali njegova nespretna konstrukcija u ovom slučaju bi trebala biti dodatni indikator prevare. No, ja sam nastavio analizu i fokusirao se na privitak poruke.

Privitak je sadržavao komprimiranu datoteku potvrda.tar (dakle u komprimiranom tar formatu). Datoteku sam raspakirao u izoliranoj i kontroliranoj okolini i pokazalo se da u sebi sadrži izvršnu datoteku potvrda.cmd. Napadač je, pretpostavljam, ciljao na korisnike koji imaju instaliran program WinRAR i to njegovu raniju verziju iz 2023. uz koju je registrirana ranjivost CVE-2023-38831. Ovo je bila veoma opaka ranjivost koja je omogućila da se, nakon što korisnik klikne na poruku, benigno izgledajućoj datoteci iz arhive doda sufiks exe, nakon čega se datoteka izvodi. Ponavljam, ovo je moja pretpostavka zato što nisam testirao izvedbu na ranjivoj verziji WinRAR, ali svi indikatori ukazuju na ovu tehniku.

Nakon izvođenja, datoteka otvara komunikaciju prema Command&Control serveru koji se nalazi na Amazon Cloudu. Analiza je izdvojila IP adresu i ime servera kojem izvedeni program pristupa – www[.]sukhiclothing[.]com. Sama domena je kreirana na GoDaddy pružatelju registracijskih usluga i to putem proxy registranta tako da podaci o stvarnom vlasniku nisu vidljivi bez sudskog naloga ili posebnog „prijateljskog“ uvjeravanja za koje konzultant koji nije i consigliere nema osobite argumente.

Analiza raspakiranog programa na Virustotal i analiza mrežnog prometa koji se izvodio iz malicioznog programa prema kontrolnom serveru je pokazala da se radi o malwareu iz porodice FORMBOOK čija je osnovna namjena krađa podataka, no ovdje sam zastao s daljnjom analizom koja bi detaljnije opisala način rada ovog malicioznog programa. Zaključaka već sada imamo dovoljno.

Što se tiče samog malware, vidjeli smo iskorištavanje ranjivosti u paketu WinRAR. Ova je ranjivost zakrpana u kolovozu 2023. a postoje podaci da je aktivno iskorištavana kao zero-day ranjivost od travnja do kolovoza 2023. Uvjeren sam da i danas ima veliki broj nezakrpanih WinRAR instalacija.

Vjerujem da nije puno ljudi nasjelo na ovu izvedbu s HZZO predmetom, no uz pažljivije kreiranje phishing poruke, ova ranjivost ima veoma zgodan mehanizam za automatsko izvođenje (automatsko kreiranje i izvođenje exe datototeke).

Kada se sagleda cijela slika, još više smo uvjereni da je Medicinski fakultet u Beogradu imao ulogu korisne žrtve. Vrlo moguće da je netko iz Initial Access Broker djelatnosti prodao account za pristup ovom serveru najboljem ponuđaču ili najboljim ponuđačima.

Vraćam se sad na AZOP, s početa teksta, a ovo je i jedan od zaključaka teksta s portala ideje.hr. Umjesto prvoloptaške reakcije i upiranja prsta u krivu stranu, a i pojačanja panike koja je tada još vladala, bilo bi dobro da smo dobili analizu s ovakvim ili još dubljim detaljima. Možda AZOP i nije najpozvaniji ili najspremniji za ovakvu analizu, ali očekujem da netko ipak postoji. Minimalno što se moglo postići bila bi uputa prema kojoj bi tvrtke s manjom tolerancijom na rizike stavile kompromitirani mail server na crnu listu, a dobro bi došla i obavijest o opasnosti nezakrpanog programa WinRAR.

Za kraj, još djelić Only Murders in the Building / True Crime podcast zanosa. Imati ustanovu profila spomenutog fakulteta kao legitimnog pošiljatelja malicioznog maila, napadaču daje velike prilike za kreiranje dobrog preteksta tj. izgovora za scenarije socijalnog inženjeringa. Npr. upravo s ove adrese može doći dobro skrojeni i uvjerljiv mail s malicioznim sadržajem na neki drugi fakultet ili možda u bolnicu, čak i u Hrvatskoj. Recimo, dva tjedna ranije…

Teorije o WannaCrypt napadu

Nakon nepunih mjesec dana od pojave malicioznog programa WannaCrypt došlo je vrijeme za rezimiranje viđenoga.

WannaCrypt nije bio pucanj iz praznog pištolja, mnoge tvrtke su ga osjetile na vlastitoj koži. Uzmimo u obzir i da su informatičari u brojnim tvrtkama potrošili najmanje vikend za krpanje Windows zakrpi na svojim računalima, tako da su troškovi savjesnim organizacijama ipak bili podnošljivi. U prošlom zapisu sam najavio da je onaj udarni vikend bio tek prvo poluvrijeme a većina nas se pribojavala ponedjeljka i onog što slijedi nakon tog ponedjeljka.

Ipak, događaji koji su uslijedili su, srećom, demantirali pesimiste među nama. Ključnu ulogu je odigralo ne toliko hitno krpanje sustava koliko misteriozno ugrađen “kill switch” u programskom kodu WannaCrypt-a koji je spriječio njegovo širenje. Strah i iščekivanje su nakon toga zamijenile teorije o porijeklu WannaCrypt-a i stvarnim motivima njegovih autora.

Je li se zaista radilo o amaterski i brzopleto napisanom programu koji je propustio predvidjeti vlastiti bug? Je li moguće da tako kataklizmičan program zarađuje tek 130.000 USD u nepunih mjesec dana (iznos na dan pisanja ovog teksta).

Vjerujem da ste čuli teorije o sjeverno-korejskom porijeklu, no meni je zanimljiva i teorija koju je iznio Joseph Carson, stručnjak iz tvrtke Thycotic. On smatra da je WannaCrypt zapravo manipulacija vrijednošću valute Bitcoin koja rezultira nečime što najbliže možemo usporediti s insiderskom trgovinom. Naime, prema postojećim ekonomskim teorijama, vrijednost Bitcoina se povećava proporcionalno s kvadratom broja korisnika, slijedeći zakonitosti koje općenito vrijede za telekomunikacijske mreže.

Što se dogodilo? Pojavom WannaCrypt-a, porastao je  broj osoba koje se otvorili vlastiti digitalni novčanik, što je rezultiralo i porastom vrijednosti Bitcoin-a (tečaj Bitcoina je 1.5.2017. iznosio 1.379 USD,  a nakon manjih fluktuacija oko 12.5.2017. (dana pojave WannyCrypt-a), na dan 20.5.2017. tečaj je iznosio 2.158 USD).  Prema iznesenom scenariju, kriminalci su se prethodno opskrbili dovoljnom količinom Bitcoina koju su prodavali u tjednu nakon njegove pojave, kreirajući tipičnu “pump and dump” shemu.

No, ovo nije jedina veza između ranjivosti EthernalBlue i kripto valuta. Desetak dana prije WannaCrypt-a pojavio se malware koji iskorištava iste NSA ranjivosti (EthernalBlue/DoublePulsar) da bi instalirao softver Adylkuzz koji na računalu korisnika prikriveno rudari kriptovalutu Monero. Dakle, ovaj malware nije destruktivan kao WannaCrypt, a za napadače ostvaruje jednako značajnu dobit. Dapače, tamo gdje se pojavio napravio je promjene na sustavu i spriječio prodor WannaCrypta. Gledajući sa strane korisnika to je bio možda i dobar deal: dajete nešto performansi i procesorskog vremena napadačima a zauzvrat ste zaštićeni od WannyCrypta.

Očigledno, ovi događaji reflektiraju promjene u razmišljanju cyber-kriminalaca i ponovo nas uče da treba očekivati neočekivano, a pravo pitanje zapravo ostaje zbog čega je EthernalBlue ranjivost ostala prikrivena nekoliko godina?

WanaCrypt: je li ovo tek prvo poluvrijeme?

Ovaj tekst pišem u nedjelju poslijepodne, dva dana nakon globalne pojave jednog od najagresivnijih malicioznih programa u posljednih godinu/dvije. Premijera je bila u petak, pa epidemija malicioznog programa WanaCrypt nije još stigla zahvatiti većinu naših tvrtki i organizacija. Erupcija bi se mogla očekivati sutra, kada se u jutarnjim satima budu uključila računala. Ipak, vikend je, izgleda, imao spasonosno djelovanje, zahvaljujući zagonetnoj funkciji koja je pronađena u kodu malicioznog programa WanaCrypt.

Naime, timovi koji su analizirali tijek instrukcija ovog programa utvrdili su da ovaj program iz nekog, za sada nepotvrđenog, razloga pokušava dohvatiti URL fabriciranog sadržaja iza kojeg ne stoji realni poslužitelj. Postoji nekoliko objašnjenja za ovakvo ponašanje - o njima pišem u nastavku, no za slijed događaja je važno reći da je ovo svojstvo iskorišteno za obuzdavanje djelovanja programa WanaCrypt. Naime, ukoliko se pokaže da program ne može dohvatiti fabriciranu domenu onda nastavlja posao do kraja i preuzima zaraženo računalo. Ukoliko bi, kojim slučajem, pokušaj dohvata fabricirane domene bio uspješan onda program prekida akciju. Znači, ako bi dakle fabricirana domena zaista postojala - što inače nije intencija autora, onda bi to obustavilo djelovanje programa WanaCrypt. To je i napravljeno - tvrtka MalwareTech je registrirala domenu prilično kriptičnog naziva i invazija je obustavljena. Barem za sada.

Ostaje pitanje kako to da program WanaCrypt koristi ovu naizgled naivnu funkciju koja značajno ograničava njegovo djelovanje? Zasigurno se ne radi se o propustu no motivi su, izgleda, dvojaki. Prema jednoj teoriji, napadači se poigravaju s nama te su nam ostavili dostupan "kill switch" koji će nas zaštiti ali kojima će nam dati do znanja da oni drže stvar pod kontrolom. Prema drugoj teoriji, ovakva reakcija je rezultat kontrole u programskom kodu koja ima funkciju prepoznavanja okruženja forenzičke analiza malicioznih programa. Ova kontrola nije nova, pojavljivala se i u nekim drugim slučajevima.

No bilo kako bilo, za očekivati je pojavu podvarijanti malicioznog programa WanaCrypt koje će isključiti ovakvu kontrolu ili koji će URL ime generirati primjenom generatora slučajnih vrijednosti. U svakom slučaju, nemojte se zavarati trenutnim zatišjem. Primijenite popravke koji su opisani u MS17-010 (https://technet.microsoft.com/en-us/library/security/ms17-010.aspx), ali i inače održite ažurnu razinu patcheva operativnog sustava. Razmotrite i ukidanje protokola SMBv1, uglavnom nije neophodan (pogledajte https://support.microsoft.com/en-us/help/2696547).

Korisnici sustava QualysGuard mogu provjeriti zdravlje sustava modulom ThreatPROTECT ili provjerom prisutnosti ranjivosti QID 91345, QID 1029, QID 91360 i QID 70077. Napominjemo da se provjere ranjivosti QID 91345, 1029 i 91360 mogu provesti samo autenticiranim skenom ili korištenjem QualysGuard agenata. QID 70077 omogućuje detekciju "backdoor" programa DOUBLEPULSAR koja se koristi u scenariju WanaCrypt a koji nam takođe dolazi u istoj pošiljci iz NSA.

Kada se stvari oko ovog napada budu slegle onda će biti vremena za neke konačne zaključke, no dobro su mi je poznata raširena percepcija da nije nužno pre-ažurno primjenjivati programske popravke jer naše tvrtke "nisu zanimljive napadačima", naročito ne onima koji koriste napade iz NSA aresenala. Ovaj slučaj je možda trenutak otrežnjenja. Naročito ako ponedjeljak bude jače "stormy" nego obično.