Avez-vous peur du noir? Méfiez-vous de Vyveva, une nouvelle backdoor Lazarus

Les chercheurs d'ESET ont découvert une porte dérobée Lazarus jusqu'alors non documentée, utilisée pour attaquer une entreprise de logistique de fret en Afrique du Sud, qu'ils ont baptisée Vyveva. La porte dérobée est constituée de plusieurs composants et communique avec son serveur C&C via le réseau Tor. Jusqu'à présent, nous avons pu trouver son installateur, son chargeur et sa principale charge utile - une porte dérobée avec une DLL TorSocket. Cette attaque jusqu'alors inconnue a été découverte en juin 2020.

Bien que Vyveva ait été utilisé depuis au moins décembre 2018, son vecteur de compromission initial est encore inconnu. Nos données de télémétrie suggèrent un déploiement ciblé, car nous n'avons trouvé que deux machines victimes, qui sont toutes deux des serveurs appartenant à une entreprise de logistique de fret située en Afrique du Sud. La porte dérobée présente des capacités d'exfiltration de fichiers, de timestomping, de collecte d'informations sur l'ordinateur victime et ses lecteurs, ainsi que d'autres fonctionnalités courantes de porte dérobée telles que l'exécution de code arbitraire spécifié par les opérateurs du logiciel malveillant. Cela indique que l'intention de l'opération est très probablement l'espionnage.

Cet article fournit la première analyse technique publique des composants de Vyveva.

Attribution à Lazarus

Vyveva partage de nombreuses similitudes de code avec des échantillons plus anciens de Lazarus qui sont détectés par les produits ESET comme la famille de logiciels malveillants NukeSped. Cependant, les similitudes ne s'arrêtent pas là : l'utilisation de faux TLS dans la communication réseau, les chaînes d'exécution en ligne de commande et la manière d'utiliser le chiffrement et les services Tor sont autant d'éléments qui pointent vers Lazarus. Nous pouvons donc attribuer Vyveva à ce groupe APT avec une grande confiance.

Un exemple des nombreuses similitudes de code peut être vu dans la figure 1 - résolution des exportations de la bibliothèque Tor portant un nom unique.

• 92F5469DBEFDCEE1343934BE149AFC1241CC8497 msobjs.drx Vyveva backdoor
• BF98EA1326E5F8C351E68C79B5D1E0164C7BE728 taskhosts.exe Win32/NukeSped.HV trojan

Figure 1. Décompilation Hex-Rays montrant la similitude entre Vyveva (à gauche) et l'échantillon NukeSped (à droite)

Analyse technique

Jusqu'à présent, nous avons réussi à trouver trois des multiples composants de Vyveva - son installateur, son chargeur et sa porte dérobée. L'installateur est l'étape chronologique la plus ancienne trouvée et, comme il s'attend à ce que d'autres composants soient déjà présents sur la machine, il suggère l'existence d'une étape antérieure inconnue - un dropper. Le chargeur sert à déchiffrer la porte dérobée à l'aide d'un simple algorithme de déchiffrement XOR.

La figure 2 permet d'examiner de plus près les fonctionnalités de l'installateur, de la porte dérobée et de la bibliothèque Tor.

Figure 2. Aperçu des composants de Vyveva

Programme d'installation

L'installateur a deux objectifs principaux : il crée un service qui assure la persistance du chargeur de porte dérobée et il stocke la configuration par défaut de la porte dérobée dans le registre.

Pour créer un service d'apparence légitime, ses attributs, tels que le nom du service et le nom d'affichage, sont formés à l'aide d'une combinaison de mots provenant des attributs de services existants, qui sont sélectionnés au hasard. Il est également possible de spécifier ces attributs au programme d'installation via les paramètres de ligne de commande -‍dll, -svc, -disp, -desc, et -group. Nous avons observé ce qui suit dans la nature, avec ces paramètres :

<SYSDIR>\powerctl.exe -svc powerctl -dll powerctl.dll

En ce qui concerne cette dernière tâche, le programme d'installation définit d'abord l'ID de configuration de l'infection, qui identifie de manière unique chaque victime, par une valeur générée de manière aléatoire, puis la stocke dans le registre, comme le montre la figure 3.

[HKLM\SOFTWARE\Microsoft\DirectX]
    UsageMask = <CONFIG_DATA>

Figure 3. Valeur de registre de la configuration

L'une des entrées de la configuration est une liste de serveurs C&C chiffrés. Par exemple, l'échantillon de programme d'installation que nous avons analysé est configuré avec les C&C suivants :

• 4bjt2rceijktwedi[.]onion:80
• cwwpxpxuswo7b6tr[.]onion:80

Fonctionnalités de la porte dérobée

Le backdoor, principale composante de Vyveva, se connecte aux serveurs C&C et exécute les commandes émises par les acteurs de la menace. Il comporte 23 commandes, dont certaines sont asynchrones et exécutées dans leurs propres threads. La plupart d'entre elles sont des commandes ordinaires permettant d'effectuer des opérations sur des fichiers et des processus ou de collecter des informations, mais il existe également une commande moins courante pour le timestomping de fichiers. Elle peut copier les métadonnées d'heure de création/écriture/accès d'un fichier « donneur » vers un fichier de destination ou utiliser une date aléatoire dans les années 2000-2004.

Les autres commandes dignes d'intérêt sont la commande de téléchargement de fichiers de Vyveva et la commande 0x26. La commande de téléchargement de fichiers est capable d'exfiltrer des répertoires de manière récursive et prend en charge le filtrage des extensions de fichiers - par exemple, uniquement les documents Office. Quant à la commande 0x26, elle indique l'existence d'un autre composant inconnu que nous n'avons pas encore observé au moment de la rédaction de cet article.

Le Tableau 1 présente la liste complète des commandes.

Tableau 1. Commandes de la porte dérobée Vyveva

Les gardiens de la porte dérobée, qui peuvent être activés ou désactivés de manière facultative, sont particulièrement intéressants. Il existe un chien de garde du lecteur utilisé pour surveiller les lecteurs nouvellement connectés et déconnectés, et un chien de garde de la session qui surveille le nombre de sessions actives (c'est-à-dire les utilisateurs connectés). Ces composants peuvent déclencher une connexion au serveur C&C en dehors de l'intervalle régulier et préconfiguré de trois minutes, ainsi que lors de nouveaux événements liés aux lecteurs et aux sessions.

Configuration

La configuration de la porte dérobée, qui est initialement définie par le programme d'installation, est lue à partir de la valeur de registre (illustrée à la Figure 3). Lorsque la configuration est modifiée par une commande C&C, la valeur stockée dans le registre est mise à jour. Un exemple de configuration et sa structure sont illustrés à la Figure 4.

Figure 4. Structure de la configuration et exemple annoté

Le champ wait_minutes indique le temps d'attente avant la prochaine connexion au C&C après l'échec d'une tentative de connexion. Si l'exécution de la porte dérobée doit être retardée jusqu'à une date et une heure particulières, elle peut être spécifiée dans le champ delay_until_time. Le champ encrypted_cncs est une chaîne chiffrée, qui contient des C&C séparés par des points-virgules.

Librairie Tor

Vyveva utilise la librairie Tor, qui est basée sur le code source officiel de Tor, pour communiquer avec un serveur C&C choisi au hasard dans la configuration.  Il contacte le C&C à intervalles de trois minutes, envoyant des informations sur l'ordinateur victime et ses lecteurs avant de recevoir des commandes. Le répertoire d'exportation de la backdoor contient le fichier TorSocket.dll avec des exportations auto-explicatives close_ch, connect_ch, open_ch, read_ch, write_ch.

Conclusion

Vyveva constitue une nouvelle addition à l'arsenal étendu de logiciels malveillants de Lazarus. L'attaque d'une entreprise en Afrique du Sud illustre également le vaste ciblage géographique de ce groupe APT.

Pour toute demande de renseignements ou d'échantillons liés à ce sujet, contactez-nous à l'adresse threatintel@eset.com.

Indicateurs de compromission (IoCs)

Échantillons

Noms de fichier

%WINDIR%\System32\powerctl.exe
%WINDIR%\SysWOW64\powerctl.exe
%WINDIR%\System32\power.dat
%WINDIR%\SysWOW64\power.dat

%WINDIR%\System32\wwanauth.dll
%WINDIR%\SysWOW64\wwanauth.dll
%WINDIR%\System32\wwansec.dll
%WINDIR%\SysWOW64\wwansec.dll
%WINDIR%\System32\powerctl.dll
%WINDIR%\SysWOW64\powerctl.dll

%WINDIR%\System32\JET76C5.tmp
%WINDIR%\SysWOW64\JET76C5.tmp
%WINDIR%\System32\msobjs.drx
%WINDIR%\SysWOW64\msobjs.drx

Techniques MITRE ATT&CK

Ce tableau a été conçu en utilisant la version 8 de MITRE ATT&CK.