Le fichier wbw.xml extrait contient une commande PowerShell intégrée, qui s'exécute sur la machine de la victime. La commande est :

Il tente de télécharger un script PowerShell appelé «  1.ps1 » sur la machine de la victime à l'aide de la méthode System.Net.WebClient.DownloadString . Il utilise également l'indicateur de contournement Set-ExecutionPolicy pour s'assurer que rien ne soit bloqué et qu'aucun message ou avertissement ne soit généré pendant l'exécution. 

Le script 1.ps1 télécharge ensuite un exécutable de cryptomonnaie appelé xmrig.exe, ainsi qu'un fichier config.json qui contient les informations de configuration que le mineur peut utiliser,  comme les adresses de portefeuille de cryptomonnaies, les points de terminaison de la liste de cryptomonnaies et des paramètres de configuration supplémentaires. En plus de cela, le script 1.ps1 contient également une variable $miner_name qui stocke le nouveau nom avec lequel l'exécutable de cryptomonnaie xmrig.exe, sera renommé. Dans ce cas, xmrig.exe est  renommé en « sysupdate » puis exécuté. 

Le script 1.ps1 le script établit la persistance sur la machine de la victime afin de mettre à jour le fichier config.json et le mineur. Il le fait en tirant parti de SchTasks.exe, ce qui permet la création, la suppression et l'exécution de tâches planifiées sur une machine locale ou distante à partir de PowerShell. Plus d'informations sur SchTasks.exe sont disponibles ici. La tâche planifiée est nommée « Service de mise à jour pour le service Windows » et il tire à nouveau parti del'indicateur de contournement ExecutionPolicy pour éviter d'afficher des avertissements ou des invites pendant l'exécution, ainsi que l'indicateur caché -windowstyle pour rester masqué.

Infection des systèmes Linux

La campagne tire parti de plusieurs CVE pour atteindre l'exécution de code à distance (RCE) afin d'infecter les systèmes Linux. En plus du logiciel malveillant Kinsing, qui contient un mineur de cryptomonnaie, les charges utiles Linux ont également  un cheval de Troie d'accès à distance (RAT). Les services ciblés incluent Oracle WebLogic Server, Redis, Apache Solr, PHPUnit et Supervisor XML-RPC.

Oracle WebLogic Server CVE-2020-14883 est également utilisé par cette campagne sur les systèmes Linux. Cependant, contrairement à la version Windows de cette vulnérabilité, où le RCE se produit via la classe  ClassPathXmlApplicationContext , sur Linux, cela se produit via la classe FileSystemXmlApplicationContext . Le fichier XML malveillant est appelé wb.xml et télécharge un script bash au lieu du précédent wbw.xml pour Windows qui télécharge un script PowerShell.

Sur les systèmes Linux, l'infection commence par l'obtention d'une RCE à l'aide de l'un des CVE indiqués dans le tableau ci-dessous pour télécharger un fichier script bash sur la machine de la victime.

Même si le nom du fichier de script bash varie entre s.sh , p.sh, sup.sh, d.sh, ex.sh, r.sh, spr.sh, tf.sh ou wb.sh , ils font tous à peu près la même chose.

Le script bash élimine tous les mineurs concurrents qui pourraient déjà exister sur le système et désactive les fonctions de sécurité et de journalisation. Il télécharge ensuite le logiciel malveillant Kinsing (écrit en langage Go), établit la persistance à l'aide de crontab, puis commence à miner des cryptomonnaies.

Une fois exécuté sur la machine de la victime, le logiciel malveillant Kinsing crée un deuxième processus appelé kdevtmpfsi dans le répertoire /tmp, qui est le mineur de cryptomonnaie xmrig, et l'exécute. Le logiciel malveillant Kinsing surveille en permanence le processus kdevtmpfsi pour s'assurer qu'il fonctionne.

Décodage adresse IP Contrôle & Commande 

La façon dont le logiciel malveillant communique avec le serveur C2 est de décoder l'adresse IP C2 au moment de l'exécution à l'aide d'une fonction appelée getActiveC2CUrl. La fonction getActiveC2CUrl utilise un chiffrement de flux RC4 vers des données hexadécimales de texte brut XOR avec une clé de texte brut qui sont tous deux stockés dans le binaire. 

En raison de la façon dont les chaînes sont stockées dans un binaire de langage Go,  où toutes les chaînes statiques sont généralement concaténées les unes avec les autres, entraînant une grande série de chaînes, la clé de texte clair et les données hexadécimales peuvent être facilement masquées dans la chaîne volumineuse. Après une certaine inversion de la fonction getActiveC2CUrl , l'emplacement en mémoire et la longueur de la clé et des données hexadécimales peuvent être trouvés.

La fonction hexadécimale getActiveC2CUrl décode les données hexadécimales C2, puis, avec la clé, elles sont toutes deux transmises à une deuxième fonction appelée RC4. La fonction personnalisée RC4 utilise la fonction func (c *Cipher) XORKeyStream(dst, src []byte) en interne à partir du paquet rc4 en Go pour générer l'adresse IP C2.

Maintenant que les données hexadécimales C2 et la clé sont récupérées, la fonction getActiveC2CUrl peut être remaniée et réécrite dans Go afin de calculer l'adresse IP C2 active.

Fonctions RAT

Le logiciel malveillant Kinsing possède des fonctionnalités de cheval de Troie d'accès à distance (RAT) que l'on trouve dans une fonction appelée doTask() dans le binaire. La fonction doTask contient quelques appels de fonction intéressants qu'elle exécute en fonction d'une entrée donnée

• runTaskWithScan()

• updateTask()

• startCmd()

• execTaskOut()

• masscan()

• socks()

• backconnect()

• runTaskWithHttp()

• downloadAndExecute()

L'une de ces fonctions intéressantes est startCmd() cela permet d'exécuter une commande arbitraire sur la machine de la victime.

Les scripts bash qui sont ensuite téléchargés à partir de l'IP de distribution 194.38.20.199 d'origine suite à l'atteinte du point de terminaison /get du C2 sont appelés ph.sh et spre.sh. Ces deux fichiers sont différents du script bash initial à l'origine de l'infection que nous avons examiné précédemment. Ils ont chacun un but différent et contiennent des vecteurs d'infection supplémentaires.

Nous allons d'abord examiner le script ph.sh , il télécharge un rootkit appelé libsystem.so à partir du point de terminaison 194.38.20.199/libsystem.so en plus du logiciel malveillant Kinsing existant sur la machine de la victime. Le script ph.sh précharge ensuite ce rootkit dans /etc/ld.so.preload

Le script ph.sh établit également un second mécanisme de persistance, en plus des tâches cron déjà existantes qui ont été précédemment injectées par le script initial. Pour ce faire, il enregistre un service système qui réinfectera périodiquement l'hôte.

Si vous souhaitez en savoir plus sur le rootkit libsystem.so que le script ph.sh installe et son fonctionnement interne, Trend Micro a rédigé un blog formidable sur ce rootkit spécifique, disponible ici

Le deuxième fichier de script bash intéressant qui est extrait en raison d'une réponse /get du point de terminaison C2 est spre.sh. Son but est de propager l'infection à des hôtes supplémentaires en trouvant des informations d'identification ssh pour tous les hôtes auxquels la victime a accès en examinant  ~/.ssh/config , ~/.bash_history,  et  .ssh/known_hosts. Le script spre.sh tente alors d'insérer ssh dans les hôtes découverts en utilisant les identifiants récupérés qu'il a trouvés et de les infecter aussi.

Un autre point de terminaison C2 intéressant auquel la machine infectée demande des instructions est le point de terminaison /mg . Lorsque la machine infectée fait une demande GET au point de terminaison /mg , le C2 répond par quelques caractères, puis immédiatement la machine infectée commence à communiquer avec une adresse IP tierce, 95.181.179.88, qui semble être responsable de la transmission des commandes d'exploration à la machine infectée sous la forme d'une charge utile JSON-RPC sur HTTP.

Que faire ?

Pour atténuer ces menaces, le SIRT d'Akamai vous conseille de surveiller les processus de vos systèmes, afin de détecter une consommation de ressources anormalement élevée et une activité réseau suspecte. Une utilisation anormalement élevée du processeur pour un processus donné peut être un indicateur d'activité de minage de cryptomonnaies.

Le SIRT d'Akamai vous recommande également de vérifier fréquemment les tâches cron enregistrées sous les crontabs de vos systèmes pour vous assurer que les tâches cron ne communiquent pas avec des adresses IP inconnues, ce qui est une technique courante pour les logiciels malveillants Linux afin d'établir la persistance, et la campagne que nous évoquons ne fait pas exception.

Pour les systèmes Windows, il faut procéder de même avec PowerShell à l'aide de SchTasks.exe /Query afin d'afficher toutes les tâches planifiées qui auraient pu être créées par cette campagne. Vérifiez également les processus en cours d'exécution sur vos systèmes Linux et assurez-vous que les processus portant le nom de kinsing ou kdevtmpfsi ne sont pas en cours d'exécution et qu'un processus appelé sysupdate n'est pas en cours d'exécution sur vos systèmes Windows.

Ajoutez une authentification forte à vos systèmes lorsque cela est possible, les mots de passe faibles peuvent être facilement forcés. Assurez-vous également que les services ciblés par la campagne dont il est question, notamment Oracle WebLogic Server, Redis, Apache Solr, PHPUnit et Supervisor XML-RPC, ne sont pas exposés à Internet si ce n'est pas nécessaire, ce qui réduit fortement le risque d'infection de ces services. Par exemple, si une instance Redis est utilisée uniquement par des systèmes internes, elle n'a pas besoin d'être exposée à Internet. 

Le SIRT d'Akamai vous recommande également de comparer vos systèmes par rapport aux indications de compromis (IOC) fournies dans la section IoCs ci-dessous pour vous assurer que vos systèmes ne sont pas déjà infectés.  De plus, effectuez régulièrement des correctifs sur vos systèmes et suivez les meilleures pratiques.

Indications de compromis (IOC)

Adresses IP

Fichiers