Archiv für den Monat: Dezember 2010

Darstellung der Autostart-Technik von TDSS

Hinterlassen Sie eine Antwort

Originalartikel von Ding Plazo (Threats Analyst bei Trend Micro)

Die TDSS-Schädlingsfamilie bleibt eine ernste Gefahr für die Nutzer, vor allem wegen ihrer mächtigen Möglichkeiten der Verschleierung, dank derer die Malware ihre Hauptkomponenten vor den Sicherheitsanwendungen verstecken kann:


Es gibt TDSS-Varianten, die sehr “ertragsreiche” Sicherheitslücken für ihre Verbreitung nutzen. Exemplare einer neuen Variante WORM_TDSS.TX nutzt die berüchtigte LNK-Sicherheitslücke (durch Stuxnet zu zweifelhaftem Ruhm gelangt) für die Verbreitung.

Die Malware nutzt zwei Techniken für ihre Autostart-Routinen:

  • Zufällig gewählte Systemtreiber-Dateien (normalerweise in %Windows%\System32\Drivers) ändern ihren Ressourcen-Abschnitt und nutzen diese Tatsache, um direkt Festplatten-Sektoren zu lesen sowie um die DLL-Dateien für das eigene böswillige Verhalten zusammenzustellen.
  • Ändern des Master Boot Records (MBR) und somit Lesen von Festplatten-Sektoren und Zusammenstellen von DLL-Dateien für das eigene böswillige Verhalten.

Die zweite Technik wurde bereits im Blogeintrag „Mebroot-Variante agiert wie TDSS“ beschrieben. Deshalb konzentriert sich dieser Eintrag auf die erste Technik.

Die gepatchte und kompromittierte Datei hat Trend Micro als BKDR_TIDSERV.DZ identifiziert. TDSS zielt auf BootExecute-Anwendungen ab, die vom Session Manager (smss.exe) gestartet werden, bevor der initiale Befehl ((Winlogon in Windows XP) und verschiedene Subsysteme gestartet werden. Die User-Modus-Anwendungen laufen zu diesem Zeitpunkt noch nicht. BootExecute-Anwendungen müssen nativ sein, weil sie so früh laufen. Nativ heißt in diesem Zusammenhang, dass lediglich das Windows NT Native API verfügbar ist. Das Win32-Subsystem, bestehend aus Kernle-Modus win32k.sys Komponenten und User-Mode Client/Server Runtime CSRSS wurden zu diesem Zeitpunkt von SMSS noch nicht gestartet. Auch die Kernel32-Bibliothek steht BootExecute-Anwendungen noch nicht zur Verfügung:


Diese Anwendungen werden für spezielle Aufgaben genutzt, die auszuführen sind, bevor alles andere auf dem System startet. Nachdem der Session Manager diesen infizierten Treiber geladen hat, führt er den Entry Point des Treibers aus, der von der Malware so gesetzt ist, dass er auf den überschriebenen Code der Ressource-Sektion zeigt. Währenddessen bootet das System noch. Die Abbildung zeigt, wo TDSS in die Startup-Prozedur des Systems eingreift:

Der Malware-Code setzt seinen Buffer, indem er nt!ExAllocatePool aufruft und dann den Code in den allozierten Buffer schreibt. Danach führt er den ursprünglichen Entry Point des Treibers aus, bevor er API nt!IoRegisterPlugPlayNotification aufruft, die eine Callback-Routine ausführt, die auf den allozierten Buffer zeigt. Dies ist ein Teil des Codes, den TDSS nutzt,um obige Routine auszuführen:

.rsrc:FC5470B0 lea ecx, [ebx+364h]
.rsrc:FC5470B6 push ecx
.rsrc:FC5470B7 push ebx
.rsrc:FC5470B8 sub ebx, 8122F44Bh
.rsrc:FC5470BE add ebx, eax
.rsrc:FC5470C0 add ebx, edi
.rsrc:FC5470C2 push ebx
.rsrc:FC5470C3 push [ebp+arg_0]
.rsrc:FC5470C6 lea eax, [ebp+var_20]
.rsrc:FC5470C9 push eax
.rsrc:FC5470CA push 1
.rsrc:FC5470CC push 2
.rsrc:FC5470CE push 48399F96h
.rsrc:FC5470D3 push [ebp+var_4]
.rsrc:FC5470D6 call get_api
.rsrc:FC5470DB call eax ; {nt!IoRegisterPlugPlayNotification (8057f628)}
.rsrc:FC5470DB ; this will execute the callback routine, which is the
.rsrc:FC5470DB ; malware codes copied on allocated memory.
.rsrc:FC5470DB ;
.rsrc:FC5470DB ; this malware’s callback routine was computed in ebx.

Die Callback-Routine liest mehr Malware-Code direkt von der Festplatte, entschlüsselt ihn und führt die gelesenen Daten aus. TDSS stellt sicher, dass die korrekten Daten gelesen werden. Dann bereitet die Malware einige Zeichenketten vor, die sie mithilfe des DBGPrint API darstellen kann. Sie werden nur im Debug-Modus angezeigt. Dazu gehören:

  • “Everybody’s a jerk. You, me, this jerk. That’s just my philosophy“
  • “Dude, meet me in Montana XX00, Jesus (H. Christ)” oder auch
  • “I felt like putting a bullet between the eyes of every panda that wouldn’t screw to save it’s species.”

Dann erzeugt der Schädling zwei zufällige 8 Zeichen wie etwa \pccjapft\eyrkiuhi und stellt die folgenden Dateien in den Ordner:

  • Config.ini – Hauptkonfigurationsdatei der Malware,
  • Tdlcmd.dll – DLL Hauptdatei, die as Verhalten des Schädlings einschließlich der API-Hooks enthält,
  • Rsrc.dat – Originalressource der gepatchten SYS-Datei sowie
  • TMP file – Kopie von tdlcmd.dll

Dies ist ein Beispiel des Inhalts von Config.ini:

[main]
version=3.273
quote=Tempers are wearing thin. Let’s hope some robot doesn’t kill everybody
botid=72607dae-9d01-4c33-9a85-bc9ed0c92cf6
affid=20409
subid=0
installdate=3.9.2010 7:20:44
builddate=2.7.2010 5:13:9
rnd=73586283
[injector]
*=tdlcmd.dll
[tdlcmd]
version=3.82

Der Inhalt dieser Malware-Dateien wurde direkt von der Festplatte gelesen. Zuerst wird der gemeinsame Buffer alloziert mithilfe von “nt!IoAllocateMdl”, dann wird “atapi!IdePortDispatch” verwendet, um direkt von der Festplatte zu lesen und das Ergebnis in den Buffer zu stellen. Hier ein Beispiel:

seg000:810EF079 lea ecx, [ebp+var_6C]
seg000:810EF07C mov [eax+4], ecx
seg000:810EF07F mov eax, [esi+60h]
seg000:810EF082 dec byte ptr [esi+23h]
seg000:810EF085 sub eax, 24h ; ‘$’
seg000:810EF088 push esi
seg000:810EF089 mov [esi+60h], eax
seg000:810EF08C push edi
seg000:810EF08D mov [eax+14h], edi
seg000:810EF090 call [ebp+arg_4] ; ss:0010:fc942814={atapi!IdePortDispatch (fc304852)}

Danach werden diese Daten entschlüsselt und nach der Zeichenkette TDLD gesucht – TDLF für Dateien oder TDLN für freie Blöcke.

Eine sorgfältige Analyse erlaubt es, die DLL-Hauptdatei zusammenzustellen, indem die Nutzung des APIs atapi!IdePortDispatch überwacht wird. Auf diese Weise erhält man ein perfektes Abbild der DLL-Datei. Diese kann mithilfe üblicher UPX—Software entpackt werden und in Debugger wie Ollydbg und IDAPro geladen werden.

Gefahr für Gottes Sohn durch soziale Netzwerke

Hinterlassen Sie eine Antwort

Originalartikel von Rik Ferguson (Senior Security Advisor bei Trend Micro)

Die mit einem Augenzwinkern nachgestellte Weihnachtsgeschichte in dem Video “The Digital Story of Nativity (or Christmas 2.0)” lässt unwillkürlich die Frage aufkommen, ob Weihnachten in unserer heutigen digitalen Welt der sozialen Netzwerke zustande gekommen wäre.

Plötzlich sehen die drei Weisen gar nicht mehr so weise aus, und auch wenn Joseph nur ein bescheidener Zimmermann war, so hätte er beim Posten von Online-Informationen ein paar Grundregeln beachten müssen. Die Nutzung von sozialen Medien hätte die Entwicklung einer Weltreligion in ihrem Verlauf behindern können, und Weihnachten hätte es nie gegeben.

Es ist nie eine gute Idee ein ungeschütztes soziales Netzwerkprofil zu nutzen, um Informationen zum eigenen Aufenthaltsort zu veröffentlichen. Vor allem, wenn dadurch bekannt wird, dass man nicht zu Hause ist. „Mit Maria unterwegs zur Volkszählung“ reicht aus, um jeden wissen zu lassen, dass es in Nazareth unbewachte Zimmermannsausrüstung gibt, und dies umso mehr, da sich das Paar bei Foursquare angemeldet und seine Facebook-Profile hier veröffentlicht hat.

Damit gefährdet Joseph nicht nur seine eigene Existenzgrundlage, sondern auch die Sicherheit und die Privatsphäre seiner Familie – wahrscheinlich war er von der Aufregung über das kommende Wunder überwältigt. Als er sein Facebook-Event „Meet the baby“ erzeugt, nutzt er keine der Optionen, um dies privat zu gestalten oder den Zugang dazu einzuschränken. Darüber hinaus scheint sein Facebook-Profil weit offen zu stehen, wenn man bedenkt, wie viele „Likes“ seine Ankündigung der Geburt erhalten hat.

Dennoch hatte Joseph Glück, denn lediglich drei Fremde kamen zur Geburt, und die besaßen auch noch das Feingefühl, Geschenke mitzubringen. Leider gefährdeten sie die Sicherheit und die Intimsphäre der neuen stolzen Familie noch weiter, indem sie auch ihre Reisepläne auf Twitter und Foursquare mitteilten.

Dieses Video behandelt mit Humor ein sehr ernstes Thema: Nutzer sollten nämlich sehr sorgfältig überlegen, wie viele Informationen sie öffentlich preisgeben und außerdem die vorhandenen Vertraulichkeitsoptionen einsetzen. Während der Feiertage ist dies besonders wichtig!

Schließlich war Herodes auch ein schlauer sozialer Netzwerker …

Rückblick 2010: Neue und effizientere Wege für den Informationsdiebstahl

Hinterlassen Sie eine Antwort

Originalartikel von Kevin Stevens und Loucif Kharouni (Senior Threat Researchers bei Trend Micro)

Drei Hauptentwicklungen hat es 2010 bei den “Informationsdieben” gegeben. Die ZeuS/ZBOT-Familie der Software für den Informationsdiebstahl veröffentlichte im ersten Halbjahr eine neue Version. ZeuS 2.0 umfasste wichtige Änderungen an der bereits sehr erfolgreichen Malware-Familie, wenngleich diese für den tatsächlichen Informationsdiebstahl nur geringfügig waren. In der Vergangenheit war die Unterstützung für neuere Versionen von Windows wie etwa Windows Vista oder Windows 7 und für Browser wie Mozilla Firefox nicht in die Grundfunktionalität der Toolkits integriert. Mit ZeuS 2.0 ist dies Standard.

Die großen Änderungen in ZeuS 2.0 sind darauf ausgerichtet, die Schadsoftware besser zu verbergen. Während die ZeuS 1.x-Versionen feste Dateinamen nutzten (die sich gelegentlich von Version zu Version änderten), verwendet ZeuS 2.0 Zufallsnamen. In ähnlicher Weise nutzten Mutexe pseudo-zufällig generierte GUID-Namen. Als Nebeneffekt erlaubt dies auch mehrfache ZeuS-Infektionen auf einer Maschine. Auch ist die Verschlüsselung in der neuen Version verstärkt worden.

Damit hat es die Bedrohungsintelligenz der Sicherheitsanbieter schwerer, auch wenn sie natürlich seither gelernt hat, mit der höheren Raffinesse von ZeuS umzugehen.

Der Erfolg von ZeuS bereitete wahrscheinlich den Boden für seine Wettbewerber. Der Preis für ein ZeuS Toolkit stieg bis auf 8.000 Dollar für das Basispaket, ausschließlich der Zusatzfunktionen. Weitere Module und Funktionen können den Preis bis auf 20.000 Dollar hochtreiben. Kein Wunder, dass weitere Informationsdiebstahl-Tools auftauchten, allen voran SpyEye.

Der Ursprung von SpyEye geht bis 2009 zurück. Die Trend Micro-Analysten wurden auf diese Schadsoftware erst aufmerksam, als sie eine SpyEye-Variante entdeckten. Das Bemerkenswerte daran war, dass sie bekannte ZeuS-Prozesse beendete, und damit sozusagen die Konkurrenz eliminierte. Dabei ist SpyEye billiger als ZeuS: Das Basispaket kostet lediglich 1.000 Dollar und mit Zusatzfunktionen kann der Preis bis auf 2.500 Dollar steigen. Einzelheiten zu SpyEye finden Sie auch in “Die SpyEye Schnittstelle CN 1″.

Schließlich ging SpyEye als „Sieger“ hervor. Am 1. Oktober nämlich führten die Bemühungen der internationalen Operation Trident Breach zur Zerschlagung einer ZeuS-Bande und die Festnahme von mehr als hundert Mitgliedern, darunter auch einiger ihrer Anführer. Wenige Wochen danach kündigte der ZeuS-Autor, als Slavik oder Monstr bekannt, seinen „Rücktritt“ an und übergab ZeuS an den SpyEye-Autor Gribodemon oder Harderman. Zwar wurde ein offizieller Zusammenschluss angekündigt, doch ist dieser noch nicht erfolgt. Auch gibt es Gerüchte darüber, dass Slavik weiter Malware für Elite-Kunden schreibt.

Im Oktober entdeckte Trend Micro Exemplare einer neuen ZeuS-Variante TSPY_ZBOT.BYZ, die ungewöhnliche Routinen besaß. Zusätzlich zu den eigenen üblichen Routinen für den Informationsdiebstahl konnte die Variante auch ausführbare Dateien auf den Systemen infizieren, ein Verhalten, das in bisherigen Versionen von ZeuS nicht vorhanden war. Diese Dateien wiederum nutzten einen dynamischen Algorithmus zur Domänengenerierung, um bösartige Dateien von verschiedenen Websites herunter zu laden.

Dies war eine gefährliche Entwicklung, denn die letzte Malware, die diesen Algorithmus für Download-Routinen nutzte war DOWNAD/Conficker. Eine Analyse zeigte eine sehr wohlkonstruierte Bedrohung, deren Ergebnis in dem Whitepaper “File-Patching ZBOT Variants: ZeuS 2.0 Levels Up” dokumentiert ist. Es werden immer neue ZeuS-Varianten veröffentlicht, die diese Technik nutzen – ein Hinweis darauf, dass die Taktik zum Standard wird.

Eine RTF-Datei nutzt eine Schwachstelle in Microsoft Office

Hinterlassen Sie eine Antwort

Originalartikel von Karl Dominguez (Threat Response Engineer bei Trend Micro)

Kürzlich ist eine Stack-basierte Buffer Overflow Schwachstelle in Microsoft Office missbraucht worden. Nun hat Trend Micro die RTF-Datei des Exploits als TROJ_ARTIEF.SM identifiziert.

Die bösartigen Dateien umfassen Shell-code, der darauf ausgerichtet ist, den Stack zum Überlaufen zu bringen und einen Crash von Microsoft Word zu verursachen. Als Folge könnten böswillige Nutzer Zufallscode auf den betroffenen Systemen ausführen.

Auch hinterlässt die Schadsoftware eine weitere bösartige Datei, die Trend Micro als TROJ_INJECT.ART identifiziert hat. Eine der ernsten Gefahren dabei ist, dass ein Nutzer mit bösen Absichten eine RTF-Mail an andere schicken kann. Aufgrund der Tatsache, dass Microsoft Outlook das Programm Word verwendet, um E-Mails zu handlen, genügt das Öffnen oder Ansehen von speziell erzeugten Nachrichten im Lesefenster, um den Exploit auszuführen.

Microsoft hat bereits ein Update für obige Schwachstelle veröffentlicht. Die Nutzer sollten dieses MS10-087 unbedingt herunter laden und installieren.

Spam nutzt die Popularität von WikiLeaks aus

1 Antwort

Originalartikel von Ardin Maglalang (Anti-Spam Research Engineer bei Trend Micro)

Die Veröffentlichung von verschiedenen vertraulichen US-Dokumenten durch WikiLeaks hat weltweit für großen Wirbel gesorgt. Das Thema hat die öffentliche Aufmerksamkeit und sowohl die der Sicherheitsindustrie als auch die der Cyberkriminellen gleichermaßen erregt. Und wie immer nutzen die Kriminellen diese Gelegenheit für ihre Angriffe aus.

Trend Micro hat einige Spam-Durchläufe entdeckt, die WikiLeaks ausnützen. Der erste hat “IRAN Nuclear BOMB!” als Betreff und enthält die URL http://wikileaks1.{BLOCKED}a.com. Dieser Link ist eine Verbindung zu http://ugo.{BLOCKED}e.com/226.exe, um eine bösartige Datei herunterzuladen, die Trend Micro als WORM_AUTORUN.FJK identifiziert hat.



Die anderen Spam-Nachrichten kamen in Form einer E-Mail, die vorgibt von Twitter zu kommen. Ihr Betreff lautet “WikiLeaks on Twitter!”, und sie enthält einen Link, der zu dem WikiLeaks Twitter-Profil unter http://twitter.com/WIKILEAKS/4QHW-SRUS83 zu führen vorgibt. Tatsächlich aber verbindet er mit http://{BLOCKED}sbargainworld.net/, einer Website für den Verkauf von Pharmaprodukten.



Trend Micro geht davon aus, dass es noch mehr Angriffe geben wird, die WikiLeaks als Köder nutzen werden.