Tonto Team: попробуй повтори

В 2023 году IT-компании остаются одной из самых привлекательных мишений для кибератак, говорится в свежем аналитическом отчете «Эволюция киберпреступности. Анализ, тренды и прогнозы 2022/2023». Скомпрометированная инфраструктура вендора открывает широкие возможности для атакующих продвинуться дальше по сети и получить доступ к огромному пулу его клиентов и партнеров. Помните, как успешная атака группировки Dark Halo на американского разработчика SolarWind — поставила под удар Microsoft, Cisco, FireEye, Mimecast и еще 18 000 других компаний?

Геополитический кризис втянул в кибервойну не только хакерские группировки и активистов из стран-участниц конфликта. Свою выгоду пытались извлечь даже страны, которые в нем напрямую не участвуют.

Летом 2022 года, система Group-IB Managed XDR обнаружила и заблокировала вредоносную рассылку, нацеленную на специалистов нескольких ведущих ИБ-компаний. Изучая эту сработку, Анастасия Тихонова, руководитель группы исследования сложных угроз Group-IB Threat Intelligence, и Дмитрий Купин, ведущий специалист по анализу вредоносного кода Group-IB Threat Intelligence, обнаружили связи выявленной кампании с китайской группировкой Tonto Team — и итог их исследования достоин отдельного блога. Эти выводы были представлены Анастасией Тихоновой на конференции “GovWare 2022” в Сингапуре.

Традиционно мы приводим индикаторы компрометации, связанные с кампанией Tonto Team, а также подробный анализ инструментов, техник и процедур (TTPs) группировки, описанных на основе матрицы MITRE ATT&CK^® (Adversarial Tactics, Techniques & Common Knowledge). Эти сведения будут полезны организациям, которые борются с киберпреступностью, а также руководителям служб информационной безопасности, SOC-аналитикам, специалистам по реагированиям на инциденты, а также компаниям, чья отраслевая принадлежность потенциально относит их к списку целей Tonto Team.

Наша цель — содействовать сокращению финансовых потерь и простоев инфраструктуры, а также оказывать помощь в принятии превентивных мер по противодействию атакам группы.

Ключевые выводы

• В июне 2022 года зафиксирована масштабная атака прогосударственной китайской группы Tonto Team на несколько десятков ведущих IT-компаний. Система Group-IB Managed XDR задетектировала попытку атаки — неудачную — и на сотрудников компании Group-IB.
• В ходе атаки хакеры использовали фишинговые электронные письма для доставки документов Microsoft Office, которые были созданы в компоновщике вредоносных RTF-эксплойтов Royal Road Weaponizer. Этот инструмент активно используется китайскими прогосударственными группами.
• Сами рассылки были стилизованы под письма и почтовые адреса реальных сотрудников ИБ-компаний.
• В ходе атаки было зафиксировано использование бэкдора Bisonal.DoubleT. Инструмент Bisonal.DoubleT является уникальной разработкой китайской прогосударственной группировки Tonto Team.
• Кроме того, атакующие использовали новый загрузчик, который Group-IB назвали TontoTeam.Downloader (aka QuickMute).

Все началось с письма…

Вечером 20 июня 2022 года система Group-IB Managed XDR выдала оповещение о блокировке вредоносных писем, которые пришли двум сотрудникам компании:

Скриншоты сработки в интерфейсе Group-IB Managed XDR

Злоумышленники выдавали себя за реального сотрудника ИБ-компании и использовали фальшивую почту, зарегистрированную в популярном бесплатном почтовом сервисе GMX Mail (Global Message eXchange).

Целенаправленная рассылка по почте задумывалась атакующими как первый этап заражения. Кроме Group-IB, в получателях значились и другие компании из сферы кибербезопасности. Согласно действующему в Group-IB протоколу, мы уведомили наших коллег о проведенной рассылке.

Анализ вредоносного документа

Файл “17.06.2022_Протокол_МРГ_Подгруппа_ИБ.doc” (MD5:80987dcdb36e7cb52bb03f00261aa2bd) был приложен к электронному письму:

Скриншот вложения в интерфейсе Group-IB Managed XDR

Проанализированный файл “17.06.2022_Протокол_МРГ_Подгруппа_ИБ.doc” представляет собой вредоносный RTF-документ, который был создан в компоновщике Royal Road RTF Weaponizer. Royal Road, который, в основном, используется китайскими прогосударственными атакующими. Он позволяет создавать вредоносные RTF-эксплойты с правдоподобным контентом-приманкой для CVE-2017-11882, CVE-2018-0802 и CVE-2018-0798, которые влияют на Microsoft Equation Editor.

Наши коллеги из Malwarebytes и SentinelOne ранее уже “подсветили” некоторые индикаторы компрометации, однако мы бы хотели подробнее остановиться на разборе хода самой атаки.

Документ-приманка имеет следующие метаданные:

Вредоносная закодированная полезная нагрузка dcnx18pwh.wmf (MD5:518439fc23cb0b4d21c7fd39484376ff):

Анализ расшифрованной полезной нагрузки

Расшифрованная полезная нагрузка представляет собой вредоносный EXE-файл формата PE32 (MD5:e40c514739768ba04ab17ff0126c1533), который можно классифицировать как бэкдор Bisonal.DoubleT. Это вредоносное ПО обеспечивает удаленный доступ к зараженному компьютеру и позволяет злоумышленнику выполнять на нем различные команды.

Мы провели статическое сравнение нашего образца Bisonal.DoubleT со старой его версией от 2020 года (MD5:c3d25232add0238d04864fc992e7a330), и нашли похожие строки:

Кроме того, мы динамически сравнили сетевые коммуникации проанализированного образца Bisonal.DoubleT с другими образцами этого семейства вредоносных программ:

Красным выделены одинаковые паттерны сетевых запросов, а синим — генерируемый ID.

Образец 2022 г. с MD5: e40c514739768ba04ab17ff0126c1533

Образец 2020 г. с MD5: c3d25232add0238d04864fc992e7a330

Также по C2 offices-update[.]com из образца 2020 г. в публичном отчете IZ:SOC нашли схожий образец семейства Bisonal:

Обращение к C2 образца Bisonal из публичного отчета IZ:SOC

Как видно из таблицы и представленного скриншота, сетевые запросы очень похожи.

Основные функциональные возможности Bisonal.DoubleT:

• сбор информации о скомпрометированном хосте: языковая кодировка системы, адрес прокси-сервера, время с момента загрузки системы, имя хоста, имя учетной записи, под которой запущен файл, локальный IP-адрес;
• получение списка процессов;
• завершение указанного процесса;
• получение удаленного доступа к cmd.exe;
• загрузка файла с управляющего сервера и его запуск;
• создание файла на диске с использованием локальной языковой кодировки.

Собранная информация о скомпрометированном хосте кодируется с помощью алгоритма Base32.

Все важные строки зашифрованы с помощью следующего алгоритма RC4 в нестандартной реализации с S-блоком 128 байт:

После расшифровки строки выглядят следующим образом:

Передаваемые данные в POST-запросе (отправка результата выполнения команды) шифруются тем же алгоритмом, что и строки в теле вредоносного ПО.

Основные шаблоны коммуникаций между C&C и Bisonal.DoubleT:

Атрибуция

Упомянутый выше набор файлов, можно считать связанным с китайской прогосударственной группой Tonto Team. Вредонос Bisonal.DoubleT был ранее атрибутирован к этой группировке и используется хакерами как минимум с 2019 года.

Анализ инфраструктуры показал использование IP-адреса (137[.]220[.]176[.]165), который ранее уже был замечен в атаках. Приманка точно также была создана в Royal Road RTF Weaponizer.

Скриншот графового анализа сетевой инфраструктуры злоумышленников

Таким образом, мы отметили несколько взаимосвязей замеченной активности с китайскими злоумышленниками:

• Документы-приманки часто содержат метаданные, указывающие на то, что операционная система создателя документа использовала упрощенный китайский язык.
• Документы создаются с помощью вредоносного компоновщика документов, активно используемого китайскими APT-группами — Royal Road.
• Вредоносные документы, как правило, применяются для доставки кастомных вредоносных программ. Bisonal, и сама версия DoubleT, могут быть связаны с группировкой Tonto Team (Китай), и существуют более 10 лет с постоянным развитием.
• Tonto Team не раз проявляла интерес к сектору информационных технологий. Например, в марте 2021 группа взломала почтовые серверы закупочной компании и консалтинговой компании, специализирующейся на разработке программного обеспечения и кибербезопасности, базирующихся в Восточной Европе.

С высокой долей вероятности специалисты Group-IB полагают, что за данной атакой стоит группа Tonto Team.

Оказалось, что мы уже видели их раньше

Во время исследования, мы задались вопросом, а что если это не первая попытка Tonto Team атаковать Group-IB? В целях проверки данной гипотезы, мы изучили всю базу обезвреженных вредоносных рассылок в системе Group-IB Managed XDR и буквально через несколько секунд обнаружили то, что искали. Летом 2021 года Tonto Team уже пыталась — и также неудачно — атаковать сотрудников Group-IB.

На скриншоте ниже видно, как 28 июня 2021 года система Group-IB Managed XDR блокирует входящее письмо на почтовые адреса наших сотрудников.

Скриншоты обработки в интерфейсе Group-IB Managed XDR 28 июня 2021 года

Внутри этого письма оказался файл, который мы задетектировали как вредоносный. Система детонирования вредоносного ПО Group-IB Malware Detonation Platform проанализировала вредоносное вложение, благодаря чему мы смогли увидеть следующую картину:

Скриншот отчета из системы Group-IB Malware Detonation Platform (MDP)

То есть всё по накатанной?

Итак, злоумышленники использовали почтовые рассылки как начальный вектор компрометации и снова воспользовались фальшивой почтой, зарегистрированной в сервисе GMX Mail.

Анализируемый файл “30 июня в 17.30 – очередное заседание Исполкома АДЭ.doc” (MD5: 7c138c6b6f88643d7c16e741f98e0503) — это вредоносный RTF-документ, который был создан в Royal Road RTF Weaponizer. Приманка содержит информацию о следующей встрече Исполнительного комитета “Ассоциации документальной электросвязи”:

Вид вредоносного документа

Приманка имеет следующие метаданные:

Вредоносная закодированная полезная нагрузка (8.t MD5: d5d0a1a034dcefdb08d9ca51c7694a22):

Анализ расшифрованной полезной нагрузки

Расшифрованная полезная нагрузка представляет собой вредоносный DLL-файл формата PE32, который можно классифицировать как Bisonal.Dropper. Это вредоносное ПО используется для развертывания в системе жертвы бэкдора Bisonal. Дата компиляции: 28.06.2021 01:44:01 UTC (что 9:44 по Пекину, Китай — доброе рабочее утро!).

Bisonal.Dropper создает файл “%AppData%\Roaming\conhost.exe” (Bisonal.DoubleT backdoor). Он записывает случайные данные оверлея в “conhost.exe” чтобы изменить хэш бэкдора.

Дроппер также добавляет “conhost.exe” в автозагрузку системы, создав параметр ключа реестра:

Бэкдор запустится только после перезагрузки системы.

Bisonal.DoubleT может писать в файл журнала “%windows%\temp\log.txt” следующие сообщения об ошибках:

• “[!] get pRegSetValueEx error\n”
• “[!] get pGetProcAddress error\n”
• “[!] get LoadLibraryA error\n”

“conhost.exe” (MD5: f53965ab81f746f5a2bf183d2a704c72) — вредоносный EXE-файл формата PE32, который можно классифицировать как бэкдор Bisonal.DoubleT. Сравнивая этот образец 2021 года с образцом 2022 года мы не отметили разницу в функциональных возможностях и алгоритмах шифрования.

В образце 2021 года также все важные строки зашифрованы с помощью алгоритма RC4 в нестандартной реализации с S-блоком 128 байт:

После расшифровки строки выглядят так:

Кроме того мы сравнили расшифрованные строки образцов 2022 и 2021 годов. Красным выделены отличающиеся строки образца 2022 г., а желтым — образца 2021 г. Ниже представлен результат сравнения строк указанных образцов Bisonal.DoubleT:

Основные шаблоны коммуникаций между C&C и Bisonal.DoubleT:

И совсем ничего нового?

В рамках атак июня 2022 года, Tonto Team взяла на вооружение новый загрузчик, который специалисты Group-IB назвали TontoTeam.Downloader. Он был назван QuickMute в другом публичном источнике.

Как обычно, группировка использовала вредоносный RTF-документ, который был создан в Royal Road – Вниманию.doc (MD5: 8cdd56b2b4e1e901f7e728a984221d10).

Вредоносная закодированная полезная нагрузка:

Анализ TontoTeam.Downloader

Расшифрованная полезная нагрузка представляет собой вредоносный EXE-файл формата PE32 (MD5: 66c46b76bb1a1e7ecdb091619a8f5089), который можно классифицировать как загрузчик. Этот файл используется злоумышленником для загрузки следующей стадии вредоносного ПО, которое представляет собой DLL с указанной экспортируемой функцией “HttpsVictimMain”.

Данные конфигурации анализируемого файла зашифрованы с помощью RC4. Ключ содержится в теле вредоносной программы и имеет длину 256 байт.

Расшифрованные данные конфигурации:

Функциональные возможности TontoTeam.Downloader:

• Многопоточность.
• Важные строки (название экспортируемой функции, User-Agent, URL-путь и т.д.) передаются через стек.
• Использует алгоритмы шифрования: RC4, XOR.
• Создает окно “Notepad” с классом “Wrap”.
• Создает мьютекс “{A931568B-94AF-449D-B7F6-6585EF9E9839}”.
• Создает мьютекс “QuitMutex%d”, где %d – PID текущего запущенного процесса (загрузчик). Он используется для предотвращения повторной загрузки и запуска файла полезной нагрузки.
• Проверяет локальное время и сравнивает его со значением в param_4. Если значение массива из param_4 по индексу произведения часа и дня недели (которые берутся из местного времени на компьютере жертвы) не равно 1, то основная функциональность не выполняется.
• Загружает по сетевому адресу hXXtps://upportteam[.]lingrevelat[.]com/update/v32/default полезную нагрузку, после расшифровки которая представляет собой динамически-подключаемую библиотеку (DLL) с экспортируемой функцией “HttpsVictimMain”. DLL зашифрована алгоритмами RC4 и XOR. Алгоритм XOR расшифровывает данные по смещению 0x104 (260) байт, которые предварительно расшифровываются RC4.

Пример сетевого запроса:

• Может использовать настройки системного прокси-сервера или указанные в конфигурационных данных.
• Расшифровывает загруженные данные с URL-адреса и проверяет являются ли они файлом формата PE32.
• Загружает в память полезную нагрузку следующей стадии (загруженная вредоносная DLL) и вызывает экспортируемую функцию “HttpsVictimMain”, также передает в данной функции следующие параметры: доменное имя, сетевой порт, ключ RC4 (содержится в загруженной DLL), количество часов дней недели, неизвестный параметр со значением “https-note-86”, прокси-сервер, сетевой порт прокси, пользователь и пароль прокси-сервера.

Выводы

Специалисты Group-IB ранее уже предупреждали об угрозах со стороны китайских прогосударственных групп TaskMasters и TA428, атакующих федеральные органы исполнительной власти. На основе проведенного исследования эксперты Threat Intelligence делают вывод, что за атаками 2021-2022 годов на компании из сферы информационной безопасности стоит группа Tonto Team. Следуя своей миссии — бороться с киберпреступностью — Group-IB уведомила о попытках компрометации другие компании, которые нам удалось идентифицировать, из списка рассылки, чтобы они предприняли необходимые меры для защиты своих инфраструктур.

Основной целью китайских злоумышленников является шпионаж и кража интеллектуальной собственности, поэтому нередко жертвами киберпреступников становятся организации государственного, военного, технического и исследовательского секторов. Группа Tonto Team несомненно продолжит попытки атаковать ИТ-организации с помощью хорошо известных методов атак — рассылка вредоносных документов, использующих уязвимости с приманками, специально подготовленными для этих целей.

Компрометация компаний в сфере информационных технологий и информационной безопасности опасна тем, что открывает доступ атакующим к большому количеству клиентов и партнеров. Поэтому ИБ-компаниям необходимо особенно тщательно следить за обновлением инструментов, а также тактик и методов атакующих, используя системы класса Group-IB Managed XDR для продвинутого обнаружения, реагирования и остановки угроз. Именно это решение показало свою эффективность, предотвратив попытки Tonto Team атаковать сотрудников компании, а также — предупредить другие организации о том, что они в списке целей злоумышленников и помочь им отразить эти и подобные им атаки.

Отметим, что в состав Group-IB Managed XDR входит весь комплекс передовых технологических решений, способных в автоматизированном режиме остановить сложные целевые атаки:

• Endpoint Detection & Response (EDR)
• Network Traffic Analysis (NTA)
• Malware Detonation Platform (MDP)
• Business Email Protection (BEP)
• Threat Intelligence (TI)
• Managed Services (MS)

Подробнее о системе можно узнать из нашего блога.

Следуя миссии Group-IB — борьбе с киберпреступностью — мы продолжим изучать методы, инструменты и тактику Tonto Team.

Мы также будем продолжать информировать об этой угрозе организации, на которые нацелились эти атакующие, во всем мире. Мы всегда стремимся к тому, чтобы атакованные организации были уведомлены в самом скорейшем времени после обнаружения вредоносной активности, что помогло бы снизить потенциальный ущерб от действий атакующих. Также мы считаем своей задачей делиться своими находками с коммьюнити по кибербезопасности и призываем исследователей совместно изучать сложные угрозы, обмениваться данными и использовать наши технологии, как инструмент борьбы со злоумышленниками.

Так, наша система система Group-IB Threat Intelligence, данные из которой были использованы при подготовке этого исследования, позволяет сфокусироваться на основных киберугрозах, которые актуальны на данный момент для региона, индустрии или самой организации. Киберразведка предоставляет подписчикам оперативный доступ к аналитике как о самих атакующих — финансово мотивированных хакерах, прогосударственных атакующих (APT), хактивистах, так и их тактиках и инструментах.

IoCs

Техники, тактики и процедуры группы Tonto Team в соответствии с MITRE ATT&CK^®

Техники, тактики и процедуры групы Tonto Team в соответствии с MITRE ATT&CK®

YARA rules