ZeuS de 64 bits enriquecido con Tor

<div style="text-align: justify;"> El hito inevitable: ZeuS de 64 bits ahora viene enriquecido con Tor Dmitry Tarakanov Kaspersky Lab Expert Posted December 11, 11:22 GMT Tags: Internet Banking, Botnets, Malware Creators, x64, Keyloggers, Passwords, ZeuS 0<br /> <br /> <div class="separator" style="clear: both; text-align: center;"> <a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhKfWqtE7XlcyRi05MPXwSqMAtFW0BpZn68t9Kp9w2YYcTHjhXO6r0cl7TWEn5qrFaqhDijmcaryR8udkK4BrPCiYc6PSZlYp3OxgGOa_rYT4eeenyEe7XBDujkwW_Iybv8QmtGIvbTmfAG/s1600/trojan.jpg" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="286" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhKfWqtE7XlcyRi05MPXwSqMAtFW0BpZn68t9Kp9w2YYcTHjhXO6r0cl7TWEn5qrFaqhDijmcaryR8udkK4BrPCiYc6PSZlYp3OxgGOa_rYT4eeenyEe7XBDujkwW_Iybv8QmtGIvbTmfAG/s400/trojan.jpg" width="400" /></a></div> </div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> Mientras más gente se traslada a plataformas de 64 bits, más malware de 64 bits aparece. Hemos estado siguiendo este proceso por varios años. Y mientras más gente trabaja en plataformas de 64 bits, más aplicaciones de 64 bits se desarrollan. A veces esto incluye aplicaciones muy específicas, como aplicaciones bancarias, por ejemplo. Si alguien quisiera irrumpir en una aplicación como ésta y robar información, la mejor herramienta para hacerlo sería un agente de 64 bits. ¿Cuál es el programa malicioso bancario más famoso? ZeuS, sin duda: el programa que impone las tendencias para la mayoría de los programas bancarios de hoy en día. Sus inyecciones de red se han convertido en una característica fundamental para casi cualquier familia de malware bancario. Sólo era cuestión de tiempo para que apareciera una versión de 64 bits de ZeuS, pero no esperábamos que llegara tan pronto.</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> Y no lo esperábamos porque por ahora los cibercriminales en realidad no necesitan una versión de 64 bits. Una de las principales funciones de Zeus es interceptar los datos que pasan mediante los navegadores y modificarlos para que su operador pueda esconder sus rastros o robar información sobre las cuentas bancarias y transacciones de dinero que realizan los usuarios por Internet. Pero en la actualidad la gente sigue usando navegadores de 32 bits, aún en sistemas operativos de 64 bits. Por lo tanto, las versiones de 32 bits de ZeuS han sido suficientes para mantener a los ladrones satisfechos con sus ganancias.</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> De pronto, sin previo aviso, encontramos un ejemplar de ZeuS de 32 bits con una versión de 64 bits adentro. Y resulta que esta versión de 64 bits ya se había detectado activa en Internet por lo menos desde junio de 2013, y ¡la fecha de compilación del ejemplar es 29 de abril de 2013! Pero hay más: esta versión de ZeuS funciona mediante Tor. El ejemplar inicial de 32 bits inyecta códigos maliciosos en algunos procesos específicos. Si el proceso pertenece a una aplicación de 64 bits, ZeuS inyecta su versión de 64 bits; de otro modo, instala la de 32 bits. Hicimos unas pruebas para ver cómo se comportaba un ejemplar de ZeuS de 64 bits dentro de Internet Explorer de 64 bits, y vimos el comportamiento usual de ZeuS: las inyecciones web funcionaron como de costumbre.</div> <br /> <div style="text-align: justify;"> La dirección de la página web de uno de los bancos acabó en las reglas de inyección web de esta versión de ZeuS. Una regla de inyección web dice:</div> <div style="text-align: justify;"> <i>data_before<br /><b>    <input id="e_finance_login" class="button" type="submit"</b><br />data_end<br />data_inject<br /><b>    onclick="return gotoo();" </b><br />data_end</i></div> <div style="text-align: justify;"> lo que significa que cuando una víctima visita la página web del banco y el código HTML de esa página tiene una cadena de caracteres después de la etiqueta "data_before", ZeuS inserta texto adicional después de la etiqueta “data_inject” justo después de la cadena de caracteres objetivo inicial. Al visitar esta página durante una infección activa de ZeuS en Internet Explorer de 64 bits, observamos la siguiente inserción maliciosa en el código HTML del navegador:</div> <br /> <div class="c"> <img alt="" border="1" src="http://www.viruslist.com/sp/images/vlweblog/208214172.jpg" title="" /><br /> </div> <div class="c"> <b>Código inyectado en una página bancaria de Internet en Internet Explorer de 64 bits</b></div> <div class="c"> <b> </b> </div> <div style="text-align: justify;"> La función maliciosa <i>gotoo()</i> se especifica en otra regla de inyección web para este sitio, y se agrega al código HTML de la página bancaria junto con otros códigos maliciosos. Esta función recolecta información valiosa de la página (datos de inicio de sesión, contraseña, cookies y otros valores especiales especificados en la página) y los envía a un dominio controlado por el operador de ZeuS.</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> Entonces, la versión de ZeuS de 64 bits sí funciona. Pero, ¿de verdad existen tantos usuarios que hayan migrado a navegadores de 64 bits como para justificar el esfuerzo de crear una versión de 64 bits de ZeuS? No, no los hay. La proporción de usuarios que ejecutan navegadores de 64 bits sigue siendo insignificante. Según nuestras estadísticas, por ejemplo, el porcentaje de usuarios que navegan con 64 bits en Internet Explorer es menor al 0,01%. Entonces, ¿por qué compilaron una versión funcional de 64 bits? Admito que a nosotros no nos parece muy complicado: el código fuente está disponible, sólo se necesitan un par de arreglos para hacer que funcione en procesos de 64 bits y poder compilarlo como una aplicación de 64 bits. Pero tal vez nos equivocamos y se necesita mucho más esfuerzo para crear una versión funcional de ZeuS de 64 bits.</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> Además, encontramos un error en la versión actual: cuando ZeuS inyecta una contraparte de 64 bits en el proceso de 64 bits de la aplicación EMET Notifier, hace que este proceso colapse. Esto se debe a un error en los cálculos de algunas de las direcciones de funciones API: por ejemplo en ZeuS, el proceso de EMET Notifier trata de llamar a la función WSAStartup, pero la variable que debería tener la dirección de esta función no dirige a ella. En vez de eso, dirige a una memoria no asignada que hace que todo el proceso EMET Notifier genere la excepción “Violación de acceso” y concluya el proceso.</div> <div style="text-align: justify;"> <br /></div> <div class="c"> <img alt="" border="1" src="http://www.viruslist.com/sp/images/vlweblog/208214173.png" title="" /><br /> </div> <div class="c"> <b>Colapso de EMET Notifier debido a errores en el código deZeuS x64</b></div> <div class="c"> <br /></div> <div style="text-align: justify;"> Si no es tan simple crear una versión estable de 64 bits de Zeus y la gran mayoría de los usuarios siguen empleando navegadores de 32 bits, entonces uno se pregunta: ¿por qué se molestan? Tal vez es sólo una estrategia de mercadeo – una nueva característica, aunque inútil, que atrae a los compradores. Ofrecer compatibilidad con navegadores de 64 bits es una buena forma de promover el producto y atraer compradores (operadores de redes zombi).</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> También es interesante que el archivo de configuración de esta versión de ZeuS incluya una larga lista de programas con los que funciona el malware si los encuentra en el sistema infectado. Hay programas diversos, pero todos ellos tienen información privada valiosa que a los cibercriminales les encantaría robar: datos de inicio de sesión, certificados, etcétera. Recuerda que ZeuS puede interceptar las teclas que pulsas y los datos que se envían y reciben en una red antes y después de que se decodifiquen, usando típicas funciones API del sistema. Entonces, cuando opera dentro de estos programas, ZeuS puede interceptar y reenviar mucha información valiosa al operador de la red zombi. Esta es la lista completa de programas:</div> <br /> <div> <table border="0" class="fullbrd" style="width: 80%px;"> <tbody> <tr> <td>bitcoin-qt.exe<br /> tiny.exe<br /> ibank2.exe<br /> putty.exe<br /> winscp.exe<br /> filezilla.exe<br /> openvpn-gui.exe<br /> openvpn.exe<br /> mstsc.exe<br /> java.exe<br /> javaw.exe<br /> Zvit1DF.exe<br /> iFOBSClient.exe<br /> KLBS.exe<br /> vegaClient.exe<br /> Pionner.exe<br /> cb193w.exe<br /> BK_KW32.exe<br /> KlientBnk.exe<br /> ibconsole.exe<br /> CliBank.exe<br /> CliBankOnlineUa.exe<br /> CliBankOnlineRu.exe<br /> CliBankOnlineEn.exe<br /> SftMailW.exe<br /> SRCLBClient.exe<br /> EximClient.exe</td> <td>client.exe<br /> CbShell.exe<br /> CB.exe<br /> ARMSH95.exe<br /> arm.exe<br /> arm_mt.exe<br /> asbank_lite.exe<br /> bank.exe<br /> bank32.exe<br /> bbclient.exe<br /> bbms.exe<br /> bk.exe<br /> bnk.exe<br /> budget.exe<br /> cbank.exe<br /> cbmain.exe<br /> clb.exe<br /> client6.exe<br /> clientbk.exe<br /> clntstr.exe<br /> clntw32.exe<br /> cncclient.exe<br /> contactng.exe<br /> core.exe<br /> cshell.exe<br /> cyberterm.exe<br /> dealer.exe</td> <td>dsstart.exe<br /> dtpaydesk.exe<br /> edealer.exe<br /> eelclnt.exe<br /> elbank.exe<br /> etprops.exe<br /> etsrv.exe<br /> fcclient.exe<br /> ip-client.exe<br /> iwallet.exe<br /> jscashmain.exe<br /> kb_cli.exe<br /> lfcpaymentais.exe<br /> loadmain.exe<br /> lpbos.exe<br /> mmbank.exe<br /> mstsc.exe<br /> mwclient32.exe<br /> payments.exe<br /> paymmaster.exe<br /> pinpayr.exe<br /> pkimonitor.exe<br /> pmodule.exe<br /> pn.exe<br /> postmove.exe<br /> prclient.exe<br /> productprototype.exe</td> <td>qiwicashier.exe<br /> qiwiguard.exe<br /> quickpay.exe<br /> rclaunch.exe<br /> rclient.exe<br /> retail.exe<br /> retail32.exe<br /> rtadmin.exe<br /> rtcert.exe<br /> saadm.exe<br /> saclient.exe<br /> sxdoc.exe<br /> termw.exe<br /> translink.exe<br /> twawebclient.exe<br /> uarm.exe<br /> ubs_net.exe<br /> unistream.exe<br /> upofcards.exe<br /> uralprom.exe<br /> w32mkde.exe<br /> wclnt.exe<br /> webmoney.exe<br /> wfinist.exe<br /> winpost.exe<br /> wupostagent.exe<br /> xplat_client.exe</td></tr> </tbody></table> </div> <h2> Instalación</h2> <div style="text-align: justify;"> Dejando de lado el hecho de que incluye la versión de 64 bits de sus comunicaciones CnC mediante Tor, esta versión de ZeuS se comporta como cualquier otro malware basado en ZeuS. Deposita sus archivos en carpetas con nombres generados de forma automática en el directorio %APPDATA% con nombres aleatorios:</div> <br /> <div class="c"> <img alt="" border="1" src="http://www.viruslist.com/sp/images/vlweblog/208214174.png" title="" /><br /> </div> <div class="c"> <b>Carpetas de instalación</b></div> <div class="c"> <b> </b> </div> <div class="c"> <img alt="" border="1" src="http://www.viruslist.com/sp/images/vlweblog/208214175.png" title="" /><br /> </div> <div class="c"> <b>Troyano instalado</b></div> <div class="c"> <b> </b> </div> <div class="c"> <img alt="" border="1" src="http://www.viruslist.com/sp/images/vlweblog/208214176.png" title="" /><br /> </div> <div class="c"> <b>Zona de descarga local de ZeuS</b> </div> <br /> La persistencia se logra como Zeus suele hacerlo, creando un valor en la llave Run de autostart del sistema en el registro:<br /> <br /> <div class="c"> <img alt="" border="1" src="http://www.viruslist.com/sp/images/vlweblog/208214177.png" title="" /><br /> </div> <div class="c"> <b>ZeuS está programado para ejecutarse durante el inicio del sistema.</b></div> <div class="c"> <b> </b> </div> <div style="text-align: justify;"> La versión interna del malware que se indica en el cuerpo del bot es 3.0.0.0, lo que en realidad no significa nada. Sin duda no es una tercera generación de ZeuS como el autor del programa trata de hacernos creer. El proceso de descarga del archivo de configuración sugiere que esta versión está más cerca al código fuente inicial filtrado de ZeuS 2.0.8.9 que, por ejemplo, a la rama Citadel. La versión Citadel se deshizo del acceso simple a los archivos de configuración y su CnC sólo permite que se lo descargue usando una solicitud HTTP POST precisa, mientras que el CnC de esta versión de ZeuS no evita que se descargue un archivo de configuración mediante una simple solicitud URL a la ruta de archivo. Por lo tanto, cualquier persona que conozca la URL correcta puede descargarlo usando navegadores, wget, curl, etc.</div> <h2> Тоr</h2> <div style="text-align: justify;"> Además del componente de 64 bits de ZeuS, esta versión mantiene en su cuerpo una función de tor.exe de la versión 0.2.3.25. Tor.exe se ejecuta de forma indirecta – ZeuS inicia la aplicación del sistema svchost.exe en modo suspendido, después inyecta el código tor.exe en este proceso svchost.exe suspendido, ajusta el código para que funcione sin problemas y procede con la reanudación del svchost suspendido. Como resultado, en vez de ejecutar el svchost.exe del sistema, el proceso comienza a ejecutar tor.exe.</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> La herramienta Tor que se hace pasar por el proceso svchost.exe crea un servidor proxy HTTP que atiende al puerto TCP 9050.</div> <div style="text-align: justify;"> <br /></div> <div class="c"> <img alt="" border="1" src="http://www.viruslist.com/sp/images/vlweblog/208214178.png" title="" /><br /> </div> <div class="c"> <b>Proxy de tor ejecutándose como un proceso svchost.exe</b> </div> <br /> <div style="text-align: justify;"> Entonces, por ejemplo, si ajustas el navegador en un equipo infectado para que funcione mediante proxy 127.0.0.1:9050, todo el tráfico del navegador pasará por la red Tor. El servidor CnC de esta versión de ZeuS se ubica en el dominio onion: egzh3ktnywjwabxb.onion. Por lo tanto, cuando el malware se comunica con su CnC, envía solicitudes mediante el proxy mencionado para alcanzar la red Tor y su CnC.</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> Es más, ZeuS crea un servicio escondido de Tor en el equipo infectado que ejecuta los siguientes parámetros cuando inicia <i>tor.exe</i>:</div> <div style="text-align: justify;"> <br /></div> <i>-HiddenServiceDir "%APPDATA%\tor\hidden_service"<br /> -HiddenServicePort "1080 127.0.0.1:<случайный</i> <i>порт 1>"<br /> -HiddenServicePort "5900 127.0.0.1:<случайный</i> <i>порт</i> <i>2>"</i><br /> <br /> <div style="text-align: justify;"> En esencia, estos parámetros tienen la función de dar indicaciones específicas sobre cómo ejecutar el servicio oculto (servidor web onion) en equipos específicos. HiddenServiceDir define dónde se ubica la configuración del servicio en forma local, y HiddenServicePort define cómo redirigir a los usuarios que se conectan a tu dominio onion a tu servidor web que se ejecuta de forma local. Los usuarios suelen conectarse a dominios web en el puerto 80, que está asignado al protocolo HTTP, pero tu servidor web podría aceptar conexiones entrantes a otro puerto, por ejemplo el 1080. En tal caso, tor.exe debe iniciarse con el siguiente parámetro:</div> <div style="text-align: justify;"> <br /></div> <i>-HiddenServicePort "80 127.0.0.1:1080"</i><br /> <br /> <div style="text-align: justify;"> esto significa que, cuando los usuarios se conectan de un modo común mediante el navegador a .onion, alcanzan tu equipo donde tor.exe acepta una conexión en el puerto 80 y lo redirige al puerto 1080 del equipo local que está en la lista del servidor web. Por ende, los usuarios se conectan a tu servidor web.</div> <div style="text-align: justify;"> Pero en el caso de ZeuS es más probable que no haya ni un solo servidor web ejecutándose en un equipo infectado. Entonces, ¿por qué quiere el malware abrir un servicio oculto además del mapeo de este puerto a puertos aleatorios? La respuesta está en el mismo ZeuS. Crea una carpeta de configuración de tor para cada alojamiento infectado, generando una llave única privada para el servicio oculto y, por consiguiente, un nombre de dominio exclusivo. Por su parte, tor.exe posibilita el funcionamiento del servicio oculto con un nombre de dominio onion único.</div> <div style="text-align: justify;"> <br /></div> <div class="c"> <img alt="" border="1" src="http://www.viruslist.com/sp/images/vlweblog/208214179.png" title="" /><br /> </div> <div class="c"> <b>Creado por la carpeta de configuración tor de ZeuS</b></div> <div class="c"> <b> </b> </div> <div class="c"> <img alt="" border="1" src="http://www.viruslist.com/sp/images/vlweblog/208214180.png" title="" /><br /> </div> <div class="c"> <b>Creado por la carpeta de configuración tor de ZeuS</b></div> <div class="c"> <b> </b> </div> <div class="c"> <img alt="" border="1" src="http://www.viruslist.com/sp/images/vlweblog/208214181.png" title="" /><br /> </div> <div class="c"> <b>Ejemplo de un dominio generado relacionado con un host infectado</b></div> <div class="c"> <b> </b> </div> <div style="text-align: justify;"> Cuando se ejecuta en un sistema infectado, ZeuS atiende a los puertos que se generaron de forma aleatoria y que se recordaron durante la primera ejecución del malware. El operador de la red zombi conocerá el dominio onion que se genera en relación con todos los equipos infectados mientras que el malware informa al CnC sobre su nombre de dominio tor. Entonces, cuando un equipo infectado está conectado a Internet, el operador de la red zombi puede alcanzarlo conectándose a su dominio onion único mediante la red Tor. Uno de los propósitos de esta medida es tener control remoto del equipo infectado. Por ejemplo, uno de estos puertos atiende específicamente a la función VNC de ZeuS, lo que sin duda significa que ZeuS ofrece control remoto del equipo al operador mediante este puerto.</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> Pero el funcionamiento de ZeuS mediante Tor no es nuevo. Hemos rastreado ejemplares de ZeuS con signos de comunicaciones Tor que datan de 2012 en las que, junto con infecciones de ZeuS, el proxy Tor y el servicio oculto Tor se desplegaron en equipos infectados. En Internet hay hasta instrucciones que indican todos los pasos a seguir para aprender a usar tor.exe de modo que el tráfico de ZeuS o Spyeye pase mediante la red Tor, así como guías para crear un dominio onion para alojar CnCs para estos troyanos bancarios. Pero la mayoría de estos ejemplares más antiguos tenían dominios CnC especificados en sus cuerpos como localhost o 127.0.0.1, lo que implica que los ejemplares de ZeuS o Spyeye en sí mismos no tenían una relación muy estrecha con las comunicaciones Tor, mientras que la versión de ZeuS descrita en esta entrada tiene un dominio onion de comando y control egzh3ktnywjwabxb.onion, definido en su bloque interno de parámetros. Y tor.exe se incluye directo en su cuerpo y el mismo ZeuS lo ejecuta. Por lo tanto, las comunicaciones Tor y la versión de 64 bits son partes inseparables de este ejemplar de ZeuS, con la funcionalidad incluida en la etapa de desarrollo más temprana.</div> <h2> Conclusión</h2> Cualesquiera que hayan sido las intenciones del autor del malware que creó este ejemplar de ZeuS – ya sea por una estrategia de mercadeo o para cubrir las bases de una necesidad futura – el hecho es que ya existe un ZeuS de 64 bits, y podemos concluir que se ha alcanzado un nuevo hito en la evolución de ZeuS. Además, este ejemplar reveló otra característica distintiva que se ha agregado a la funcionalidad de ZeuS: el malware ZeuS tiene la capacidad de trabajar por sí mismo mediante la red Tor con dominios CnC onion, lo que significa que ahora se ha unido a un selecto grupo de familias de malware con esta capacidad.<br /> <br /> <b>Ejemplares</b><br /> <br /> Detectamos los ejemplares de ZeuS de 32 bits en cuestión como: <b>Trojan.Win32.Scarsi.uhm </b>- 52d3b26a03495d02414e621ee4d0c04e <b>HEUR:Trojan.Win32.Generic </b> - b33d3509ce930bcc796a9e2904f426d7 Detectamos los ejemplares de ZeuS de 64 bits extraídos de los ejemplares de 32 bits ya mencionados como: <b>Trojan-Spy.Win64.Zbot.a</b> - cc793e5b0df621b8d572cf4e7f26e053<br /> <br /> <a href="http://www.viruslist.com/sp/weblog?weblogid=208188904" target="_blank">Fuente </a>

El hito inevitable: ZeuS de 64 bits ahora viene enriquecido con Tor Dmitry Tarakanov Kaspersky Lab Expert Posted December 11, 11:22 GMT ...

Leer más »