Украденное оружие FireEye

8 декабря компания FireEye сообщила, что в результате успешной атаки высококвалифицированной APT-группировке удалось получить доступ к инструментам, которые компания использовала как арсенал Red Team команды.

Невольно новость отсылает к 2017 году, когда в сеть попал инструментарий ЦРУ и АНБ для взлома инфраструктуры. Эти утечки подарили миру большое количество разнообразных утилит: от эксплойтов для домашних роутеров и Smart TV до серверов управления зараженными хостами. Наибольший резонанс произвел эксплоит EternalBlue, использовавшийся в шифровальщиках WannaCry, Petya, NotPetya, которые парализовали деятельность компаний по всему миру.
Возвращаясь к текущему кейсу, компания FireEye уверяет, что в составе утекших данных нет 0-day эксплойтов и инструментов эксплуатации неизвестных ранее техник. Также FireEye опубликовала на GitHub набор правил (YARA, Snort, OpenIOC, ClamAV) для детектирования утекшего инструментария.

На основе информации, предоставленной FireEye попробуем разобраться какой арсенал получили злоумышленники в ходе успешной атаки и удалось ли им расширить инструментарий какими-то принципиально новыми средствами.
Итак,

git clone https://github.com/fireeye/red_team_tool_countermeasures

Далее попробуем воссоздать инструментарий, которым пользуется Red Team команда FireEye на разных стадиях развития атаки. Будем рассматривать техники согласно классификатору MITRE ATT&CK

Предварительная подготовка вредоносной нагрузки (Resource Development)

• Matryoshka – набор утилит для первоначального проникновения. Включает генератор вредоносной нагрузки, дроппер и загрузчик.
• LNKSmasher – утилита для генерации LNK-файлов с вредоносным содержимым. Может применятся для создания эксплойтов для LNK-уязвимостей.
• GadgetToJScript – публичный проект, позволяющий внедрять .NET-сборки в сценарии VBS, VBA, JS, HTA.
• Redflare – фреймворк разработанный командой FireEye для проведения операций RedTeam. Фреймворк позволяет собирать вредоносный код для различных операционных систем
• RESUMEPLEASE – шаблон для создания документов Microsoft Office c вредоносными VBA (Visual Basic for Application) макросами.
• SinfulOffice – утилита для создания вредоносных документов Microsoft Office c внедренными OLE-объектами
• WildChild – утилита для создания вредоносных файлов HTA (HTML Application)
• PrepShellCode – утилита для подготовки шеллкода

Первоначальный доступ в инфраструктуру (Initial Access)

Эксплойты, применяемые во вредоносных рассылках, требующие действий со стороны пользователей:

• Expl-CVE-2017-11774 – эксплоит для уязвимости в Microsoft Outlook

Эксплоиты для уязвимостей в публичных сетевых сервисах:

• Expl-CVE-2019-0708 – эксплоит для уязвимости в Microsoft Remote Desktop Services (RDS), также известной как BlueKeep.
• Expl-CVE-2019-19781 – эксплоит для уязвимости в Citrix Application Delivery Controller (ADC) и Citrix Gateway
• Expl-CVE-2019-8394 – эксплоит для уязвимости в Zoho ManageEngine ServiceDesk Plus (SDP)

Выполнение вредоносного кода (Execution)

• Cobalt Strike – коммерческий фреймворк для постэксплуатации. Имеет модули для запуска различных команд.
• DShell – Windows-троян, написанный на языке D
• DTRIM – Модифицированная версия SharpSploit – фреймворка для выполнения широкого спектра постэксплуатационных действий. Реализованы функции запуска нативных windows-приложений, .Net-сборок, скриптов PowerShell, шеллкода напрямую.
• DueDLLigence – публичный проект FireEye для подготовки DLL с внедренным шеллкодом.
• Impacket-Obfuscation – модифицированная версия популярного фреймворка Impacket для проведения атак в Windows-инфраструктуре. Имеет различные функции выполнения команд (PSExec, выполнение команд через Tack Scheduler и WMI)
• In-MemoryCompilation – утилита для компиляции вредоносного кода в памяти
• TrimBishop – утилита базируется на проекте RuralBishop, предназначена для выполнения шеллкода в контексте другого процесса. Утилита делает маппинг специализированной секции с шеллкодом в целевой процесс и создает suspended поток для выполнения кода.
• C_Sharp_SectionInjection – утилита для внедрения секций в PE-файл

Закрепление в инфраструктуре (Persistence)

• Cobalt Strike – коммерческий фреймворк для постэксплуатации, при использовании совместно с расширением StayKit обретает набор методов закрепления (реестр, задачи планировщика, LNK, системный сервис, WMI)
• Mofcomp — Вредоносные файлы MOF (Managed Object Format) для регистрации записей в WMI. Используются как механизм закрепления.
• SharPersist – публично доступных проект FireEye для закрепления на Windows-хостах. В утилите реализованы различные методы закрепления: бэкдор в конфигурации KeePass, задача планировщика, дополнительное задание к существующей задаче планировщика, ярлык в папке автозапуска, SVN hook, сервис,
• SharPivot – консольная .Net утилита для выполнения команд на удаленном хосте. Реализует различные техники и протоколы: WMI, RPC, Создание нового задания планировщика, Модификацию задания планировщика, WinRM, COM, регистрацию нового сервиса, регистрацию нового протокольного обработчика
• SharpSchtask – утилита для закрепления на хосте при помощи заданий планировщика
• Justtask – утилита для создания заданий планировщика заданий
• Keepersist – утилита для закрепления на хосте

Получение повышенных привилегий (Privilege Escalation)

• Cobalt Strike – коммерческий фреймворк для постэксплуатации. Для фреймворка доступен ElevateKit, содержащий ряд эксплоитов для повышения привилегий (CVE 2020-0796, CVE-2014-4113, CVE 2015-1701, CVE 2016-0051, CVE-2016-099)
• Sharpzerologon – публично доступный эксплойт для уязвимости в сервисе Netlogon (CVE-2020-1472), получившей название Zerologon. Успешная эксплуатация приводит к компрометации учетной записи доменного администратора. Код эксплойта адаптирован для использования из Cobalt Strike
• Expl-CVE-2014-1812 – эксплоит для уязвимости Group Policy на Windows
• Expl-CVE-2016-0167 – эксплоит для уязвимости Windows kernel-mode driver
• Expl-CVE-2020-1472 – эксплоит для уязвимости в службе Netlogon
• Expl-CVE-2018-8581 – эксплоит для уязвимости в Microsoft Exchange

Обход средств обнаружения (Defense Evasion)

• Cobalt Strike – коммерческий фреймворк для постэксплуатации, В составе есть инструменты позволяющие гибко настроить протокол общения с зараженными хостами для усложнения сетевого обнаружения.
• DTRIM – Модифицированная версия SharpSploit – фреймворка для выполнения широкого спектра постэксплуатационных действий. Реализованы функции обхода AMSI а также патчинг ETWEventWrite для отключения ETW для текущего процесса
• Matryoshka – набор утилит для первоначального проникновения. Включает генератор вредоносной нагрузки, дроппер и загрузчик. Загрузчик использует технику Process Hollowing для скрытия своей работы
• NoAmci – утилита для патчинга AMSI.dll c целью обхода AMSI (Antimalware Scan Interface) при вызове метода Assembly.Load(). Используется для внедрения .NET-сборки в сторонний процесс.
• PGF – утилита для создания бэкдора. Состоит из генератора вредоносной нагрузки и ряда загрузчиков. Может обходить механизмы Application Whitelistening путем внедрения DLL в легитимные процессы
• SharpStomp – утилита для модификации файловых атрибутов: даты создания, даты модификации, даты последнего обращения
• NET-Assembly-Inject – утилита для внедрения кода написанного для .Net в легитимные приложения
• NetshShellCodeRunner – утилита использует легитимную утилиту NetSh.exe для запуска кода из вредоносной DLL

Получение учетных записей (Credential Access)

• Cobalt Strike – коммерческий фреймворк для постэксплуатации. В состав входят средства для дампа учетных записей.
• Adpasshunt — утилита для дампа паролей из Group Policy Preferences и атрибутов msSFU30Password и UserPassword Active Directory
• DTRIM – Модифицированная версия SharpSploit – фреймворка для выполнения широкого спектра постэксплуатационных действий. Реализован функции дампа учетных записей и проведения атак на протокол Kerberos
• Excavator – утилита для дампа памяти процессов. Может использоваться для кражи учетных записей
• Rubeus — фреймворк для различных манипуляций с тикетами Kerberos, в том числе для проведения атак перебора паролей и Kerberoasting
• Fluffy – внутренний форк проекта Rubeus.
• Impacket-Obfuscation — модифицированная версия популярного фреймворка Impacket для проведения атак в Windows-инфраструктуре. Имеет функции дампа секретов (SAM, LSA, NTDS.dit), проведения атак на Kerberos (Манипуляции с Kerberos-тикетами, Golden Ticket), проведения MiTM-атак на протокол NTLM.
• InveighZero – утилита для проведения MiTM-атак на протоколы LLMNR, NBNS, mDNS, DNS, DHCPv6
• KeeFarce – утилита для получения паролей из KeePass 2.x. Данные получаются путем внедрения DLL в работающий процесс KeePass
• PXELoot (PAL) – утилита для исследования и эксплуатации уязвимостей в конфигурации WDS (Windows Deployment Services)
• SafetyKatz – публичный проект для дампа учетных записей из процесса LSASS. Сочетает в себе модифицированную версию Mimikatz и загрузчик PE написанный на C#
• TitoSpecial – утилита разработанная на базе проекта AndrewSpecial для дампа паролей из процесса LSASS. В утилите используются техники обхода EDR
• CredSnatcher – утилита для кражи учетных данных
• WCMDump – утилита для кражи учетных данных из Windows Credential Manager
• Expl-CVE-2018-13379 – эксплоит для уязвимости FortiOS SSL VPN, позволяющий получить учетные данные пользователей
• Expl-CVE-2019-11510 – эксплоит для уязвимости Pulse Secure SSL VPN, позволяющий получить учетные данные пользователей

Исследование инфраструктуры (Discovery)

• Cobalt Strike – коммерческий фреймворк для постэксплуатации. В состав входят модули для сбора различной информации на хосте и по сети.
• Seatbelt – публично доступная утилита для сбора различной информации с ОС Windows
• CoreHound — .Net утилита, предположительно fork SharpHound утилиты для изучения структуры домена Active Directory и сбора всевозможных данных о настройках безопасности.
• PuppyHound – модифицированная версия фреймворка SharpHound для исследования Active Directory
• DTRIM – Модифицированная версия SharpSploit – фреймворка для выполнения широкого спектра постэксплуатационных действий. Реализованы функции получения различных данных на уровне хоста и по сети.
• EWSRT – Проект базирующийся на утилите RT-EWS для получения различных данных с серверов Exchange, в том числе с Office 365
• Getdomainpasswordpolicy – утилита для получения данных парольной политике в домене Active Directory
• gpohunt – утилита для получения данных групповых политик в домене Active Directory
• SharpUtils – набор утилит, написанных на C# для запуска через метод execute assembly фреймворка Cobalt Strike
• WMISharp – утилита для работы с WMI
• WMIspy – утилита для сбора данных через WMI
• modifiedsharpview — модифицированная версия SharpView, утилита для поиска информации в Active Directory

Перемещение по инфраструктуре (Lateral Movement)

• Cobalt Strike – коммерческий фреймворк для постэксплуатации. Фреймворк укомплектован модулями горизонтального перемещения (PsExec, WinRM, Windows Admin Shares)
• DTRIM – Модифицированная версия SharpSploit – фреймворка для выполнения широкого спектра постэксплуатационных действий. Для горизонтального перемещения использует WMI, DCOM, Создание сервиса на удаленном хосте, PowerShell Remoting.
• Impacket-Obfuscation – модифицированная версия популярного фреймворка Impacket для проведения атак в Windows-инфраструктуре. Имеет различные функции выполнения команд (PSExec, выполнение команд через Tack Scheduler и WMI) а также эксплоиты для уязвимостей Samba (CVE-2017-7494), Kerberos (CVE-2016-0049), Netlogon (CVE-2015-0005)
• WMIRunner – утилита для запуска команд через WMI
• SharPivot – консольная .Net утилита для выполнения команд на удаленном хосте. Реализует различные техники и протоколы: WMI, RPC, Создание нового задания планировщика, Модификацию задания планировщика, WinRM, COM, регистрацию нового сервиса, регистрацию нового протокольного обработчика
• Expl-CVE-2018-15961 – эксплоит для уязвимости в Adobe ColdFusion
• Expl-CVE-2019-0604 – эксплоит для уязвимости в Microsoft Sharepoint
• Expl-CVE-2019-0708 – эксплоит для уязвимости в Microsoft Remote Desktop Services (RDS), также известной как BlueKeep
• Expl-CVE-2019-11580 – эксплоит для уязвимости в Atlassian Crowd
• Expl-CVE-2019-3398 – эксплоит для уязвимости в Atlassian Confluence Server
• Expl-CVE-2020-0688 – эксплоит для уязвимости в Microsoft Exchange
• Expl-CVE-2020-10189 – эксплоит для уязвимости в ZoHo ManageEngine Desktop Central

Удаленное управление (Command and Control)

• Cobalt Strike – коммерческий фреймворк для постэксплуатации. Включает в себя Team Server для централизации управления скомпрометированными хостами в инфраструктуре.
• DShell – Windows-троян, написанный на языке D
• Redflare – фреймворк разработанный командой FireEye для проведения операций RedTeam. Включает в себя командный сервер
• GoRAT – модульный бэкдор для различных систем (Windows, MacOS), является частью фреймворка Redflare. Написан на языке Go
• DoHC2 – расширение фреймворка Cobalt Strike для организации канала управления через протокол DNS over HTTPS (DoH)
• prat – remote access trojan

Вспомогательные утилиты

• SharpGrep – утилита поиска по контенту файлов
• sharpdacl – утилита для работы с ACL
• sharpdns – утилита для работы с протоколом DNS
• sharpgopher – утилита для работы с протоколом Gopher
• sharpnativezipper – утилита для использования штатный средств ОС для компрессии данных
• sharpnfs – утилита для работы с протоколом NFS
• sharppatchcheck – утилита для проверки установленных обновлений
• sharpsqlclient – SQL-клиент
• sharpwebcrawler – Crawler веб страниц
• sharpziplibzipper – утилита для компрессии, использующая libzip

Утилиты неизвестного назначения

По предоставленной информации назначение данных утилит понять не удалось.

• Allthethings
• SharpGenerator
• Lualoader
• MSBuildMe
• Revolver
• Sharpsack
• Sharpy
• red_team_materials
• sharptemplate

Итоги проведенного анализа

• Большая часть инструментария предназначена для проведения атак в инфраструктуре Microsoft Windows
• Для развития атаки применяется коммерческий фреймворк Cobalt Strike а также модифицированные версии известных open source проектов (SharpView, SharpSploit, Impacket, SharpHound, SafetyKatz)
• Модификация open source во многом связана с дополнительными техниками обхода средств обнаружения
• В компании есть большое количество собственных разработок, преимущественно на C#
• FireEye применяет многоступенчатое вредоносное ПО для атаки.
• В арсенале присутствует ряд эксплойтов для опасных уязвимостей, но все эксплойты можно найти на просторах интернета

Факты, которые меня удивили:

• Отсутствие инструментов для работы с Linux и другими Unix-подобными операционными системами
• Отсутствие утилит для атаки на сетевые устройства
• Отсутствие арсенала для работы с Web-приложениями
• Достаточно скромная подборка эксплойтов для первичного проникновения в инфраструктуру

Выводы

Успешная атака на гиганта рынка информационной безопасности несомненно войдет в перечень значимых событий нашей отрасли, но также нужно понимать, что инструментарий Red Team точно не являлся целью атакующих. Компания FireEye выполняла работы для крупных компаний по всему миру а также являлась подрядчиком государственных структур США, таких как Department of Defense, Health and Human Services, Treasury, Homeland Security и др. Данные этих организаций более лакомый кусок для про государственных хакеров чем подборка эксплоитов и утилит.

Как показал анализ, даже публикация утилит в открытом доступе существенно не повлияет на картину рисков для организаций т.к. большая часть арсенала и так доступна злоумышленникам в виде open source проектов.

Сергей Рублев. Директор по развитию Пангео Радар, CISSP