Zscaler ThreatLabz hat eine neue Malware-Familie mit der Bezeichnung „SloppyRAT“ analysiert, die die laterale Bewegung innerhalb kompromittierter Umgebungen vorbereitet. Als Grundlage für Ransomware-Angriffe wird SloppyRAT über eine mehrstufige Clickfix-Infektionskette verbreitet. Die Malware unterstützt eine Vielzahl von Funktionen, darunter eine große Anzahl integrierter Powershell-ähnlicher Befehle, verschlüsselte Codeblöcke, „EtherHiding“ für die Command-and-Control-Auflösung (C2) über das Polygon-JSON-RPC-Protokoll sowie Techniken zur Umgehung der Erkennung. Abgesehen von der umfangreichen Funktionalität ist die Malware auch deshalb bemerkenswert, weil der Quellcode zahlreiche Softwarefehler enthält, die darauf hindeuten, dass sich SloppyRAT in der Entwicklung befindet.
Im Mai dieses Jahres haben die ThreatLabZ-Sicherheitsforscher bereits eine Clickfix-Kampagne entdeckt, die sich als brasilianische Bank ausgibt, um einen Powershell-basierten RAT zu verbreiten. Damals wurde SmartRAT für die verschlüsselte C2-Kommunikation, Fernsteuerung (Bildschirm/Tastatur/Maus), den Diebstahl von Anmeldedaten (Keylogging und Banking-Overlays) sowie die Persistenz durch geplante Aufgaben und einen Windows-Dienst genutzt.
Der nun entdeckte SloppyRAT ist interessant, da der Infektionsweg über einen Köder im Stil von Clickfix stattfindet. Dabei wurde finger.exe verwendet, um ein Batch-Skript von finger.linked4x[.]com herunterzuladen und auszuführen.
Die Malware nutzt verschiedene Verschleierungstechniken, um die Analyse und Erkennung zu erschweren. Sie verwendet beispielsweise drei Methoden zur Verschleierung von Zeichenketten. Die erste entschlüsselt auf dem Stack gebildete Zeichenketten, die zweite entschlüsselt globale Werte und die dritte entschlüsselt Zeichenketten im Zusammenhang mit der Polygon-C2-Kommunikation.
Stack-Strings werden mittels XOR mit einem für jeden String einzigartigen 4-Byte-Schlüssel verschleiert. Globale Werte werden ebenfalls mittels XOR entschlüsselt, jedoch mit einem Ein-Byte-Schlüssel, der sich je nach String ändert. Zu diesen Strings gehören Konfigurationswerte wie der SHA256-Zertifikats-Hash, die C2-URL, der Verschlüsselungsschlüssel, der unter anderem der Netzwerkkommunikation dient und ein zur Authentifizierung verwendeter API-Schlüssel.
Die C2-Zeichenfolgen des Polygon-Resolvers verwenden einen affinen Chiffre-Loop-Algorithmus. Affine Chiffren verwenden typischerweise die Zahl 26 als Modul, um das englische Alphabet darzustellen. SloppyRAT verwendet jedoch Modul 127, was der Größe der ASCII-Tabelle entspricht. Da die Zahl 127 zu allen Zahlen von 1 bis 126 teilerfremd ist, vermeidet der Algorithmus Kollisionen und bleibt umkehrbar.
Fazit
Die Funktionen von SloppyRAT reichen aus, um die Informationsbeschaffung, Aufklärung und laterale Bewegung im Rahmen von Ransomware-Angriffen zu unterstützen. Der Entwickler hinter der Malware hat zudem eine Reihe von Techniken implementiert, um statische Code-Analysen, Endpunkt-Erkennung und Netzwerküberwachungslösungen zu behindern. Unternehmen sollten deshalb Maßnahmen ergreifen, um sicherzustellen, dass sie über geeignete Sicherheitslösungen verfügen, mit denen sie Angriffe vom Typ „Clickfix“ und die damit verbundenen Payloads erkennen und verhindern können. Die Zscaler-Zero-Trust-Exchange-Plattform erkennt SloppyRAT-Indikatoren auf verschiedenen Ebenen inklusive der Cloud-Sandbox.
Info: Die gesamte technische Analyse lässt sich nachfolgend einsehen: https://www.zscaler.com/de/blogs/security-research/sloppyrat-new-tool-ransomware-attacks#conclusion
#Zscaler
