Die abgerufene Datei „wbw.xml“ enthält einen eingebetteten PowerShell-Befehl, der auf dem Rechner des Opfers ausgeführt wird. Der Befehl lautet:

Es wird versucht, ein PowerShell-Skript mit dem Namen „ 1.ps1“ mithilfe der Methode „ System.Net.WebClient.DownloadString “ auf das Gerät des Opfers zu laden. Darüber hinaus wird das Flag „Set-ExecutionPolicy Bypass“ verwendet, um sicherzustellen, dass nichts blockiert wird und dass während der Ausführung keine Eingabeaufforderungen oder Warnungen generiert werden. 

Das Skript „ 1.ps1 “ lädt dann eine ausführbare Cryptominer-Datei mit dem Namen „xmrig.exe“ sowie die Datei „ config.json “ herunter, die Konfigurationsinformationen enthält, die der Miner verwenden kann, darunter Cryptowallet-Adressen, Cryptopool-Endpunkte und zusätzliche Konfigurationseinstellungen. Darüber hinaus enthält das Skript „1.ps1“ auch die Variable „ $miner_name “, in der der neue Name gespeichert wird, in den die ausführbare Cryptominer-Datei „xmrig.exe“ umbenannt wird. In diesem Fall wird „xmrig.exe“ in „sysupdate“ umbenannt und dann ausgeführt. 

Das Skript „ 1.ps1 “ sorgt für Persistenz auf dem Rechner des Opfers, um die Datei „ config.json “ und den Miner zu aktualisieren. Dies erfolgt durch die Nutzung von „ SchTasks.exe“, mit der geplante Tasks auf einem lokalen oder einem Remote-Computer über PowerShell erstellt, gelöscht und ausgeführt werden können. Weitere Informationen zu „ SchTasks.exe “ finden Sie hier. Die geplante Aufgabe hat den Namen „Update Service for Windows Service“ und nutzt dasFlag „-ExecutionPolicy Bypass“, um zu vermeiden, dass während der Ausführung Warnungen oder Eingabeaufforderungen ausgegeben werden, sowie das Flag „-windowstyle hidden“, um unerkannt zu bleiben.

Infektion von Linux-Systemen

Die Kampagne nutzt mehrere CVEs, um eine RCE zu erreichen und Linux-Systeme zu infizieren. Neben der Kinsing-Malware, die einen Cryptominer enthält, verfügen Linux-Payloads auch über einen Remote-Access-Trojaner (RAT). Zu den Zielservices gehören Oracle WebLogic Server, Redis, Apache Solr, PHPUnit und Supervisor XML-RPC.

Die Schwachstelle CVE-2020-14883 von Oracle WebLogic Server wird von dieser Kampagne auch auf Linux-Systemen genutzt. Im Gegensatz zur Windows-Version dieser Sicherheitslücke, bei der der RCE-Vorgang über die Klasse „ ClassPathXmlApplicationContext “ erfolgt, erfolgt er unter Linux über die Klasse „ FileSystemXmlApplicationContext “. Die schädliche XML-Datei heißt „wb.xml“ und lädt ein Bash-Skript herunter – anstelle der vorherigen Datei „ wbw.xml “ für Windows, die ein PowerShell-Skript herunterlädt.

Auf Linux-Systemen beginnt die Infektion mit dem Erreichen einer RCE unter Verwendung einer der in der nachstehenden Tabelle aufgeführten CVEs, um eine Bash-Skriptdatei auf den Computer des Opfers herunterzuladen.

Der Name der Bash-Skriptdatei variiert zwischen s.sh , p.sh, sup.sh, d.sh, ex.sh, r.sh, spr.sh, tf.sh oder wb.sh  – sie alle tun ungefähr das Gleiche.

Mit dem Bash-Skript werden alle konkurrierenden Miner, die möglicherweise bereits im System vorhanden sind, sowie die Sicherheits- und Protokollierungsfunktionen deaktiviert. Anschließend wird die Kinsing-Malware (in Golang geschrieben) heruntergeladen, es wird Persistenz über Crontab hergestellt und das Cryptomining wird gestartet.

Nach der Ausführung auf dem Computer des Opfers erzeugt die Kinsing-Malware einen zweiten Prozess namens „ kdevtmpfsi “ im Verzeichnis /tmp – hierbei handelt es sich um den Cryptominer – und führt ihn aus. Die Kinsing-Malware überwacht ständig den Prozess „ kdevtmpfsi “, um sicherzustellen, dass er ausgeführt wird.

Decodierung von Command-and-Control-IP-Adressen 

Die Malware kommuniziert mit dem C2-Server kommuniziert, indem sie die C2-IP-Adresse zur Laufzeit mithilfe einer Funktion namens „ getActiveC2CUrl“ decodiert. Das Skript „ getActiveC2CUrl Die Funktion verwendet eine RC4-Stream-Chiffre für XOR-Klartext-Hexadezimaldaten mit einem Klartext-Schlüssel, die beide innerhalb der Binärdatei gespeichert sind. 

Aufgrund der Art und Weise, wie Zeichenfolgen in einer Golang-Binärdatei gespeichert werden – in der alle statischen Zeichenfolgen im Grunde miteinander verkettet sind, was zu einer riesigen Zeichenfolge führt –, können der Klartextschlüssel und die Hexadezimaldaten leicht in der unübersichtlichen Zeichenfolge versteckt werden. Nach einer Umkehrung der Funktion „ getActiveC2CUrl “ können sowohl die Position im Speicher als auch die Länge des Schlüssels und der Hexadezimaldaten gefunden werden.

Das Skript „ getActiveC2CUrl “ decodiert die C2 Hex-Daten und wird dann zusammen mit dem Schlüssel in eine zweite Funktion namens „ RC4“ übergeben. Die nutzerdefinierte Funktion „ RC4 “ verwendet intern die Funktion „ func (c *Cipher) XORKeyStream(dst, src []byte) “ aus dem RC4-Golang-Paket, um die C2-IP-Adresse zu generieren.

Nachdem nun sowohl die C2-Hexadezimaldaten als auch der Schlüssel ermittelt wurden, kann die Funktion „ getActiveC2CUrl “ in Golang weiter rückentwickelt (Reverse Engineering) und neu geschrieben werden, um die aktive C2-IP-Adresse zu berechnen.

RAT-Fähigkeiten

Die Kinsing-Malware verfügt über einen Remote-Access-Trojaner (RAT), der in einer Funktion namens „ doTask() “ innerhalb der Binärdatei zu finden ist. Das Skript „ doTask “ enthält einige interessante Funktionsaufrufe, die sie basierend auf der jeweiligen Eingabe aufruft:

• runTaskWithScan()

• updateTask()

• startCmd()

• execTaskOut()

• masscan()

• socks()

• backconnect()

• runTaskWithHttp()

• downloadAndExecute()

Eine dieser interessanten Funktionen ist „ startCmd() “. Mit ihr kann ein beliebiger Befehl auf dem Rechner des Opfers ausgeführt werden.

Die Bash-Skripte, die von der ursprünglichen Verteilungs-IP 194.38.20.199 heruntergeladen werden, wenn der /get -Endpunkt des C2 angefragt wird, heißen „ ph.sh “ und „ spre.sh“. Diese beiden Dateien unterscheiden sich von dem ursprünglichen infizierenden Bash-Skript, das wir uns zuvor angesehen haben. Sie haben jeweils einen anderen Zweck und enthalten zusätzliche Infektionsvektoren.

Zunächst untersuchen wir das Skript „ ph.sh “. Es lädt ein Rootkit namens „ libsystem.so “ vom Endpunkt „ 194.38.20.199/libsystem.so “ auf den Computer des Opfers herunter – zusätzlich zur vorhandenen Kinsing-Malware. Das Skript „ph.sh“ lädt dieses Rootkit dann in: /etc/ld.so.preload

Das Skript „ ph.sh “ erstellt zusätzlich zu den bereits vorhandenen Cron-Jobs, die zuvor vom anfänglichen Skript injiziert wurden, auch einen zweiten Persistenzmechanismus. Dies geschieht durch die Registrierung eines Systemservice, der den Host regelmäßig neu infiziert.

Wenn Sie mehr über das Rootkit „libsystem.so“, das das Skript „ph.sh“ installiert, und seine Funktionsweise erfahren möchten, steht Ihnen bei Trend Micro ein fantastischer Blog über dieses spezifische Rootkit zur Verfügung. Sie finden ihn hier

Die zweite interessante Bash-Skriptdatei, die durch eine /get -Antwort vom C2-Endpunkt abgerufen wird, ist „ spre.sh“. Der Zweck besteht darin, die Infektion auf weitere Hosts auszuweiten, indem SSH-Zugangsdaten für alle Hosts gesucht werden, auf die das Opfer Zugriff hat. Hierzu werden ~/.ssh/config , ~/.bash_history und  .ssh/known_hostsuntersucht. Das Skript „ spre.sh “ versucht dann mit den ermittelten Anmeldedaten, per SSH auf die erkannten Hosts zuzugreifen, und infiziert sie ebenfalls.

Ein weiterer interessanter C2-Endpunkt, den das infizierte Gerät um Anweisungen bittet, ist der /mg -Endpunkt. Wenn der infizierte Computer eine GET-Anfrage an den /mg -Endpunkt stellt, antwortet der C2 mit einigen Zeichen. Dann beginnt die infizierte Maschine sofort, mit einer dritten IP-Adresse, 95.181.179.88, zu kommunizieren, die scheinbar dafür verantwortlich ist, Mining-Befehle in Form einer JSON-RPC-Payload über HTTP an die infizierte Maschine zu senden.

Richtige Vorgehensweise

Um diese Bedrohungen abzuwehren, empfiehlt das Akamai SIRT, die Prozesse auf Ihren Systemen auf ungewöhnlich hohe Ressourcennutzung und verdächtige Netzwerkaktivitäten zu überwachen. Eine ungewöhnlich hohe CPU-Auslastung für einen bestimmten Prozess kann ein Indikator für Cryptomining-Aktivität sein.

Das Akamai SIRT empfiehlt Ihnen außerdem, die Cron-Jobs, die unter den Crontabs auf Ihren Systemen registriert sind, regelmäßig zu überprüfen, um sicherzustellen, dass sie nicht mit unbekannten IP-Adressen kommunizieren. Dies ist eine gängige Methode für Linux-Malware, um Persistenz zu schaffen – und die besprochene Kampagne ist keine Ausnahme.

Auf Windows-Systemen sollte dies mit dem PowerShell-Befehl „SchTasks.exe /Query“ durchgeführt werden, um alle geplanten Aufgaben anzuzeigen, die möglicherweise von dieser Kampagne erstellt wurden. Überprüfen Sie auch die laufenden Prozesse auf Ihren Linux-Systemen und stellen Sie sicher, dass Prozesse mit dem Namen „kinsing“ oder „kdevtmpfsi“ nicht ausgeführt werden und dass kein Prozess namens „sysupdate“ auf Ihren Windows-Systemen ausgeführt wird.

Fügen Sie Ihren Systemen nach Möglichkeit eine starke Authentifizierung hinzu – schwache Passwörter können leicht durch Brute Force ermittelt werden. Stellen Sie außerdem sicher, dass Services, auf die die besprochene Kampagne abzielt, wie Oracle WebLogic Server, Redis, Apache Solr, PHPUnit und Supervisor XML-RPC, nicht mit dem Internet verbunden sind, wenn sie nicht benötigt werden, wodurch das Risiko einer Infektion dieser Services stark reduziert wird. Wenn beispielsweise eine Redis-Instanz nur von internen Systemen verwendet wird, muss sie nicht mit dem Internet verbunden sein. 

Das Akamai SIRT empfiehlt außerdem, Ihre Systeme anhand der im nachstehenden Abschnitt „IoCs“ angegebenen Gefährdungsindikatoren (Indications of Compromise, IoC) zu überprüfen, um sicherzustellen, dass Ihre Systeme nicht bereits infiziert sind.  Darüber hinaus sollten Sie regelmäßig Patches für Ihre Systeme erstellen und Best Practices befolgen.

Gefährdungsindikatoren (IoCs)

IPs

Dateien