Malware que destruyo a SONY

Alerta (TA14-353A)

Malware destructivo

Original fecha de lanzamiento: 19 de diciembre de 2014 | Última revisado : 20 de diciembre 2014

Sistemas afectados

Microsoft Windows

Visión de conjunto

US-CERT fue notificada recientemente por un tercero de confianza de los agentes de amenaza cibernética utilizando un servidor de mensajes Herramienta Block (SMB) Gusano para llevar a cabo las actividades de explotación cibernéticos recientemente dirigidas a una importante compañía de entretenimiento. Esta herramienta Gusano SMB está equipado con un Implante Escuchar, ligero Backdoor, herramienta de proxy, destructiva herramienta de disco duro y destructivo herramienta de limpieza de destino.

Gusano SMB Herramienta: Este gusano utiliza un ataque de autenticación de la fuerza bruta para propagarse a través de acciones de Windows SMB. Se conecta a casa cada cinco minutos para enviar los datos de registro de nuevo a comando y control (C2) infraestructura si se ha extendido con éxito a otros hosts de Windows a través del puerto SMB 445. La herramienta también acepta nuevas tareas de exploración cuando se conecta al C2. Hay dos hilos principales: la primera rosca llama a casa y devuelve los registros (una lista de explotaciones pequeñas y medianas empresas de éxito), y el segundo hilo intenta adivinar contraseñas para conexiones SMB. Si la contraseña se adivina correctamente, se establece un recurso compartido de archivos y el archivo se copia y se ejecuta en el host recién infectada.

Escuchar Implante: Durante la instalación de esta herramienta, una parte de los binarios se descifra utilizando AES, con una clave derivada de la frase "la Liga Nacional de Fútbol Americano." Además, este implante recibe las conexiones en el puerto TCP 195 (para "sensvc.exe" y "msensvc.exe") y el puerto TCP 444 (para "netcfg.dll"). Cada mensaje enviado a y desde este implante está precedida con su longitud, a continuación, XOR codificado con el byte de 0x1F. Tras la conexión inicial, la víctima envía la cadena, "HTTP / 1.1 GET / dns? X00". Entonces el controlador responde con la cadena "200 www.yahoo.com! X00" (de "sensvc.exe" y "msensvc.exe") o con la cadena "RESPUESTA 200 OK !!" (Para "netcfg.dll"). El controlador envía el byte "!" (0x21) para finalizar la conexión de red. Este mensaje especial no está precedida con una longitud o XOR codificado.

Backdoor Ligero: Este es un oyente de puerta trasera que está diseñado como un DLL servicio. Incluye funciones como la transferencia de archivos, sistema de encuesta, la manipulación de proceso, tiempo de identificación de archivos y capacidad de proxy. El oyente también puede realizar la ejecución de código arbitrario y ejecutar comandos en la línea de comandos. Esta herramienta incluye la funcionalidad para abrir puertos en el firewall de un host víctima y tomar ventaja de Plug and Play universal (UPnP) mecanismos para descubrir routers y dispositivos de puerta de enlace, y agregar las asignaciones de puerto, lo que permite conexiones de entrada a los ejércitos de víctimas en direcciones de red Traducido (NAT) privado redes. No hay dominios de devolución de llamada asociados a este malware ya que las conexiones son de entrada sólo en un número de puerto especificado.

Herramienta Proxy: Implantes en esta familia de malware son típicamente carga a través de un gotero instalado como un servicio, entonces configurado para escuchar en el puerto TCP 443. El implante puede tener un archivo de configuración asociada que puede contener un puerto configurable. Esta herramienta proxy tiene funcionalidad de puerta trasera básica, incluyendo la capacidad de las huellas digitales de la máquina de la víctima, ejecutar comandos remotos, realice los listados de directorios, realice los listados de procesos, y transferir archivos.

Herramienta destructiva Disco Duro: Esta herramienta es una herramienta de disco duro limpiando a medida que se pretende destruir los datos más allá del punto de recuperación y para complicar la recuperación de la máquina de la víctima. Si el operador CNE tiene privilegios de administrador en el host, el programa sobre-escribir partes de arriba-a las cuatro primeras unidades físicas adjunto, y sobre-escribir el registro de inicio maestro (MBR) con un programa diseñado para causar daño adicional si el disco duro se vuelve a arrancar. Esto resulta aún más en el equipo de la víctima no siendo operativa con datos irrecuperables (No es una advertencia para las máquinas instaladas con las ventanas del sistema operativo: Windows 7 7 máquinas continuarán funcionando en un estado degradado con los archivos específicos destruidos hasta después de reiniciar el sistema, en que el MBR infectado y luego limpia el coche.) Si el actor tiene acceso a nivel de usuario, el resultado incluye los archivos específicos que se eliminan y prácticamente irrecuperables, pero el equipo de la víctima permanecería utilizable.

Útiles de limpieza destructiva Objetivo: Esta herramienta hace que las máquinas víctimas inoperables al sobrescribir el Master Boot Record. La herramienta se cae e instalado por otro ejecutable y consta de tres partes: un ejecutable y un archivo DLL que contiene los componentes destructivos, y un archivo de comandos codificado que contiene comandos de la destrucción real de ser ejecutado.

Red Propagación Wiper: El malware tiene la capacidad de propagarse a través de la red de destino a través de una función de recursos compartidos de Windows. Basado en el nombre de usuario / contraseña proporcionada en el archivo de configuración y el nombre de host / dirección IP de los sistemas de destino, el malware accederá a recursos compartidos de red a distancia para subir una copia del limpiaparabrisas y comenzar el proceso de limpieza en estos sistemas remotos. El malware utiliza varios métodos para acceder a recursos compartidos en los sistemas remotos para comenzar limpiando archivos. Comprobación de acciones existentes a través de " nombre de host admin $ system32 "y" nombre de host shared $ system32 "o crear un nuevo recurso compartido" cmd.exe / q / c net share compartido $ =% SystemRoot% / GRANT: todos, FULL ". Una vez conseguido, el malware carga una copia del archivo de limpiaparabrisas "taskhostXX.exe", cambia el tiempo de archivo para que coincida con el archivo "calc.exe" incorporado, e inicia el proceso a distancia. El proceso remoto se inicia a través del comando "cmd.exe / c wmic.exe / nodo: el nombre de host / usuario: nombre de usuario / contraseña: pase PROCESO DE LLAMADA CREAR". Nombre de host, nombre de usuario y contraseña se obtendrán a partir del archivo de configuración. Posteriormente, el recurso compartido de red remoto se elimina a través de "cmd.exe / q / c net share $ compartida / delete". Una vez que el limpiaparabrisas se ha subido, el malware informa sobre su estado de nuevo a una de las cuatro direcciones IP C2.

Recomendaciones de mitigación técnicas y estratégicas se incluyen en la sección Solución de abajo.

US-CERT recomienda revisar el Consejo de Seguridad de manipulación destructiva Malware # ST13-003 .

Descripción

Actores amenaza cibernética están utilizando un gusano de SMB para llevar a cabo las actividades de explotación cibernéticos. Esta herramienta contiene cinco componentes - un implante de escucha, de puerta trasera ligero, herramienta proxy, destructiva de la herramienta del disco duro y de la herramienta de limpieza objetivo destructivo.

El gusano se propaga a través de SMB una red infectada a través de ataques de autenticación de fuerza bruta, y se conecta a una infraestructura de C2.

Impacto

Debido a la funcionalidad altamente destructivo de este malware, una organización infectados podrían experimentar impactos operacionales, incluyendo la pérdida de la propiedad intelectual y la alteración de los sistemas críticos.

Solución

Los usuarios y administradores se les recomienda tomar las siguientes medidas preventivas para proteger sus redes de computadoras:

Utilizar y mantener el software anti-virus - El software anti-virus reconoce y protege el ordenador contra los virus más conocidos. Es importante mantener su software anti-virus actualizados (consulte Descripción de Software Anti-Virus para más información).
Mantenga su sistema operativo y software de aplicación hasta al fecha - Instale los parches de software para que los atacantes no puedan tomar ventaja de problemas conocidos o vulnerabilidades. Muchos sistemas operativos ofrecen actualizaciones automáticas. Si esta opción está disponible, usted debe habilitarlo (consulte Descripción de parches para obtener más información).
Revisión Consejo de Seguridad de manipulación destructiva Malware # ST13-003 y evaluar sus capacidades que abarcan la planificación, preparación, detección y respuesta para tal evento.
Revisar las prácticas recomendadas para los sistemas de control y Mejora Industrial Sistemas de Control de Seguridad Cibernética con estrategias de defensa en profundidad (pdf).

La siguiente es una lista de los indicadores de Compromiso (IOC) que se pueden agregar a la red de soluciones de seguridad para determinar si están presentes en una red.

MD5s:

SMB herramienta gusano:

MD5: f6f48551d7723d87daeef2e840ae008f