LazyStealer: сложно не значит лучше

Введение

В первом квартале 2024 года специалисты экспертного центра безопасности Positive Technologies (PT Expert Security Center, PT ESC) обнаружили серию атак, направленных на государственные структуры России, Беларуси, Казахстана, Узбекистана, Кыргызстана, Таджикистана, Армении. Связей с уже известными группировками, использующими такие же техники, нам установить не удалось. Основной целью атаки была кража учетных записей от различных сервисов с компьютеров работников государственных структур. Эту группировку мы назвали Lazy Koala из-за простых техник и имени пользователя, который управлял телеграм-ботами с украденными данными. ВПО, которое использовала группа для своих атак, мы назвали LazyStealer из-за простоты реализации, но в тоже время атаки с его использованием оказались продуктивными. Точный вектор заражения нам установить не удалось, однако по всем признакам это был фишинг. Все жертвы были напрямую уведомлены нами о компрометации.

Анализ LazyStealer

Все встреченные нами образцы в качестве упаковщика используют PyInstaller, после снятия которого в главном скрипте весь код накрыт протектором Pyarmor.

Для снятия протектора нам понадобится скрипт bypass.py, установленный модуль Pyarmor, а также файл pytransform.py из этого модуля. Этот файл нужно разместить в той же папке, что и целевой файл с расширением .ру. После снятия протектора в одном из вариантов образцов мы встретили скрипт, все, что он делает, — это занимается подключением Python-модулей.

Выделенные на рисунке модули, которые в файловой системе имеют названия hello.cp39-win_amd64.pyd и pdfbyte.cp39-win_amd64.pyd, являются библиотеками DLL, собранными с помощью Cython. Они будут запущены при их импорте. При компиляции через Cython от первоначального скрипта сохраняются только строковые и числовые константы, а вся логика (например, циклы, операции присвоения, передача аргументов) будет реализована нативно, поэтому получить исходный скрипт не представляется возможным (как в случае с PyInstaller или Pyarmor), но его можно воссоздать близким к оригиналу.

Для начала возьмем pdfbyte.cp39-win_amd64.pyd. Вся логика будет происходить в единственной экспортируемой функции PyInit_pdfbyte. В этом случае постфикс pdfbyte обозначает имя модуля, скомпилированного из pdfbyte.pyx. В зависимости от названия модуля меняться будет и постфикс имени экспортируемой функции.

В PyInit_pdfbyte происходит вызов функции PyModuleDef_Init с аргументом pyx_moduledef, который является структурой определения модуля, содержащего всю информацию, необходимую для создания объекта модуля. Обычно для каждого модуля существует только одна статически инициализированная переменная этого типа.

Аргумент pyx_moduledef будет иметь структуру, представленную ниже, где нас интересует поле -m_slots. Для того чтобы найти функцию, которая отвечает за инициализацию и исполнение кода скрипта, нужно перейти по адресу этого поля.

    

struct PyModuleDef {
    PyModuleDef_Base m_base;
    const char* m_name;
    const char* m_doc;
    __int64 m_size;
    PyMethodDef* m_methods;
    PyModuleDef_Slot* m_slots;
    int(__cdecl* m_traverse)(_object*, int(__cdecl*)(_object*, void*), void*);
    int(__cdecl* m_clear)(_object*);
    void(__cdecl* m_free)(void*);
};
    

После перехода мы обнаружим массив структуры с PyModuleDef_Slot с двумя функциями.

Структура PyModuleDef_Slot представлена ниже, нас интересует поле value.

    

struct PyModuleDef_Slot {
    __int64 slot;
    void* value;
};
    

Под нулевым индексом массива __pyx_moduledef_slots поле value — функция _pyx_py_mode_create, которая является конструктором модуля. А уже под первым индексом —_pyx_pymod_exec_pdf, которая и является искомой нами функцией. В ней с самого начала происходит инициализация служебных полей _pyx_mstate_global.

Глобальная переменная _pyx_mstate_global является менеджером всех объектов и имеет структуру, представленную ниже, где интересующие нас поля будут начинаться с индекса 6, обозначенными в структуре виде массива n полей _pyx_object.

    

struct __pyx_mstate
{
    _object* __pyx_d;
    _object* __pyx_b;
    _object* __pyx_cython_runtime;
    _object* __pyx_empty_tuple;
    _object* __pyx_empty_bytes;
    _object* __pyx_empty_unicode;
    _object* __pyx_object[n];
};
    

Дело в том, что только первые шесть объектов являются постоянными, так как несут служебную информацию для всего модуля, а начиная с седьмого поля варьируются по количеству. Число этих объектов зависит, например, от количества строк, значений, наличия вызываемых функций.

Пример инициализации строковых констант в функции Pyx_CreateStringTabAndInitStrings представлен ниже.

В структуре Pyx_CreateStringTabAndInitStrings, которая представлена ниже, нас интересует поле s — имя строковой константы, которая может быть названием переменной, модуля, метода из модуля, значения строки.

    

struct __Pyx_StringTabEntry
{
    _object** p;
    const char* s;
    const __int64 n;
    const char* encoding;
    const char is_unicode;
    const char is_str;
    const char intern;
};
    

Пример подключения модулей.

Пример присвоения значения переменной.

Пример вызова метода из подключенного модуля с аргументом.

Зная все это, мы можем воспроизвести скрипт.

Выполнения этого кода приведет к открытию документа в браузере. Набор из четырех разных документов продемонстрирован ниже.

Далее мы рассмотрим нативные конструкции в hello.cp39-win_amd64.pyd, которых не было в pdfbyte.cp39-win_amd64.pyd ввиду простоты и краткости исходного скрипта.

В случае если в исходном скрипте были функции, то инициализация констант для них будет происходить в _Pyx_InitCachedConstants, часть кода которой продемонстрирована ниже.

Другая часть информации о функциях будет находиться последовательно в секции данных.

Структура функции представлена ниже, нас интересуют поля:

• ml_name — имя функции;
• ml_meth — нативная реализация функции.

    

struct PyMethodDef {
    const char* ml_name;
    _object* (__cdecl* ml_meth)(_object*, _object*);
    int ml_flags;
    const char* ml_doc;
};
    

Перед вызовом любой функции ее нужно инициализировать, используя информацию, описанную выше.

Имея все это, мы можем воспроизвести скрипт.

Функция этого скрипта заключается в краже логинов и паролей из Google Chrome и в дальнейшей пересылке их телеграм-боту.

Кроме того, был образец, в котором только логика показа документа была написана на Cython, а логика кражи паролей — на чистом Python. Различия заключаются в том, что переменные и функции называются по-разному, а также есть незначительные изменения в структуре программы.

Нам не удалось обнаружить механизм закрепления этого стилера. Это может говорить о том, что он является частью цепочки атаки или что он создан, чтобы не оставлять следов, однако это делает атаку одноразовой.

Атрибуция

Все найденные боты связаны с одним пользователем, который управляет этими ботами и, вероятнее всего, является их создателем. Граф связей между пользователем и ботами представлен ниже.

Зная географическое расположение жертв, а также используемый группировкой Lazy Koala арсенал, можно предположить, что она связана с группировкой YoroTrooper, которая использовала схожие техники и инструменты. Однако прямых пересечений нам обнаружить не удалось.

Жертвы

Жертвами группировки Lazy Koala стали государственные, финансовые, медицинские, образовательные отрасли России, Беларуси, Казахстана, Таджикистана, Кыргызстана, Армении и Узбекистана. Общее количество скомпрометированных учетных записей на момент обнаружения составило 867, из них уникальных — 321. Все жертвы были напрямую уведомлены нами о компрометации.

Вывод

Группировка Lazy Koala демонстрирует, что для успешных атак необязательно использовать сложные инструменты, тактики и техники. Сложно не значит лучше. Достаточно лишь убедить жертву в том, чтобы она запустила нужный файл. Основной их инструмент — примитивный стилер, защита которого позволяет избежать обнаружения, замедлить анализ, получить и отправить все украденные данные во все также набирающий год за годом популярность среди злоумышленников Телеграм. Судьба украденных данных — перепродажа или использование их для дальнейших атак уже на внутренние структуры компаний.

Автор: Владислав Лунин

Индикаторы компрометации

Тактики и техники по матрице MITRE ATT&CK

Вердикты продуктов Positive Technologies

PT Sandbox

Suspicious:

• Read.Window.Handle.Enumeration
• Create.Process.Taskkill.TerminateProcess
• Read.Thread.Info.AntiDebug, Write.Thread.Info.AntiDebug
• Read.File.Browser.Credentials

Malware:

• Trojan-Spy.Win32.LazyStealer.a
• Trojan_PSW.Win32.Generic.a
• Trojan.Win32.Generic.a

MaxPatrol SIEM

Run_Masquerading_Executable_File

Suspicious_Connection

Credential_Access_to_Passwords_Storage

PT NAD

tls.server_name == "api.telegram.org"