Pisloader: Neue Malware-Familie entdeckt

Laut Palo Alto Networks DNS-Anfragen als Command- and Control-Mechanismus genutzt

[datensicherheit.de, 28.05.2016] Die Malware-Analysten der „Unit 42“ von Palo Alto Networks haben nach eigenen Angaben einen gezielten Angriff der APT-Gruppe (Advanced Persistent Threats) „Wekby“ auf ein US-amerikanisches Unternehmen analysiert. „Wekby“ sei eine APT-Gruppe, die seit einigen Jahren verschiedene Branchen wie Gesundheitswesen, Telekommunikation, Luft- und Raumfahrt, Verteidigung und High-Tech ins Visier nehme.

Mit ausgefeilter Malware hochkarätige Unternehmen ins Visier genommen

Diese Gruppe sei dafür bekannt, Exploits zu nutzen, sobald diese verfügbar sind, wie im Fall des „Flash-Zero-Day-Exploits“ von „HackingTeam“. Die „Wekby“-Gruppe ziele mit ausgefeilter Malware auf verschiedene hochkarätige Unternehmen. Die neue, aktuell eingesetzte Malware-Familie „pisloader“ verwende verschiedene neue Techniken, wie zum Beispiel DNS als C2-Protokoll sowie „return-oriented Programming“ und andere Anti-Analyse-Taktiken.

Über HTTP mittels verschiedener URLs von globalprint-us.com ausgeliefert

Diese Malware habe Beziehungen zur „HTTPBrowser“-Malware und verwende DNS-Anfragen (Domain Name Server) als Command-and-Controll-Mechanismus. Darüber hinaus kämen verschiedene Verschleierungstechniken zum Einsatz, um eine Analyse zu vereiteln.
Basierend auf Metadaten in den untersuchten Samples, hat Palo Alto Networks diese Malware-Familie demnach „pisloader“ genannt. Diese werde über HTTP mittels verschiedener URLs der Domain „globalprint-us.com“ ausgeliefert. Die dabei entdeckte Datei sei eine Instanz der gängigen RAT-Familie „Poison Ivy“ (Remote Administration Tool). Die verwendeten Domains seien allesamt erst sehr kurz vor dem Angriff registriert worden.

Begrenzt komplexe Verschleierung gefunden

Der in der Initialphase eingesetzte Dropper enthalte einen sehr einfachen Code, um sich über den Run-Registrierungsschlüssel im System einzunisten und eine eingebettete ausführbare „Windows“-Datei zu aktivieren.
„Unit 42“ habe eine begrenzt komplexe Verschleierung gefunden. So hätten die Autoren Zeichenketten in kleinere Teilketten aufgespalten, die sie vor dem Gebrauch wieder zusammensetzten. Sie verwendeten diese Technik auch, um „Müll-Zeichenketten“ erzeugen, die nie verwendet würden. Dies solle wahrscheinlich dazu dienen, die einfache Erkennung und Analyse des Samples zu verhindern.
Der nachgelagerte Dropper sei mit einer „return-oriented“ Programmierungstechnik (ROP) stark verschleiert sowie mit einer Reihe von „Müll-Instruktionen“ versehen worden. Der entsprechende Code diene im Wesentlichen keinem anderen Zweck, als das Reverse-Engineering am Sample zu erschweren und könne daher ignoriert werden. Während der gesamten Laufzeit des Payloads würden Techniken angewendet, um eine statische Analyse zu erschweren.

„pisloader“ umgeht Sicherheitsprodukte

Die Verwendung des DNS-Protokolls als C2 ermögliche es „pisloader“, Sicherheitsprodukte zu umgehen, die diesen Datenverkehr nicht richtig oder gar nicht untersuchten. Die Malware erwarte verschiedene DNS-Antworten, die in einer bestimmten Art und Weise erfüllt sein müssten („Response“, „Recursion Desired“ und „Recursion Available“), anderenfalls würde „pisloader“ die DNS-Antwort ignorieren.
Das „Questions“-Feld und „Answer Resource Records“-Feld müssten auf einen Wert von „0x1“ gesetzt werden. Darüber hinaus müsse die Antwort-Abfrage-Subdomain der ursprünglichen DNS-Anfrage entsprechen. Der Remote-C2-Server sei innerhalb der Malware statisch eingebettet. Der C2-Server reagiere mit einem TXT-Datensatz, der ähnlich wie die ursprüngliche Anfrage codiert werde.

Folgende Befehle werden von der Malware lat Palo Alto Networks verwendet:

• „sifo“ – Informationen auf dem Opfersystem sammeln,
• „drive“ – Laufwerke auf dem Opfercomputer auflisten,
• „list“ – Dateiinformationen für das angegebene Verzeichnis auflisten,
• „upload“ – eine Datei auf den infizierten Computer hochladen,
• „open“ – eine „Command Shell“ aufrufen.