{"id":4661,"date":"2020-04-27T18:46:51","date_gmt":"2020-04-28T00:46:51","guid":{"rendered":"https:\/\/capitalsoftware.com.ni\/?p=1351"},"modified":"2020-04-27T18:46:51","modified_gmt":"2020-04-28T00:46:51","slug":"el-troyano-asnarok-es-un-ataque-dirigido-a-los-firewalls-sophos","status":"publish","type":"post","link":"https:\/\/capitalsoftware.com.ni\/?p=4661","title":{"rendered":"El troyano \u00abAsnar\u00f6k\u00bb es un ataque dirigido a los Firewalls SOPHOS"},"content":{"rendered":"\n
\"Firewall<\/figure>\n\n\n

Malware personalizado utilizado para comprometer firewalls f\u00edsicos y virtuales<\/em><\/p>\n\n\n

Sophos y sus clientes fueron v\u00edctimas de un ataque coordinado por un adversario desconocido.\u00a0Este ataque revel\u00f3 una vulnerabilidad de inyecci\u00f3n SQL previamente desconocida que condujo a la ejecuci\u00f3n remota de c\u00f3digo en algunos de nuestros productos de firewall.\u00a0Como se describe en el KBA<\/a>, la vulnerabilidad se ha corregido desde entonces.<\/p>\n\n\n

Esta publicaci\u00f3n es el resultado de muchas horas de investigaci\u00f3n e ingenier\u00eda inversa por parte de los equipos de seguridad internos de SophosLabs y Sophos, trabajando en conjunto con la gesti\u00f3n de productos para coordinar una revisi\u00f3n y una respuesta global dentro de los dos d\u00edas posteriores al descubrimiento de este ataque. En aras de la transparencia, queremos describir la naturaleza del ataque y un an\u00e1lisis detallado del malware basado en nuestra investigaci\u00f3n y comprensi\u00f3n actual.<\/p>\n\n\n

Hubo una importante orquestaci\u00f3n involucrada en la ejecuci\u00f3n del ataque, utilizando una cadena de scripts de shell de Linux que eventualmente descargaron malware ejecutable binario ELF compilado para un sistema operativo de firewall. Este ataque apunt\u00f3 a los productos de Sophos y aparentemente estaba destinado a robar informaci\u00f3n confidencial del firewall.<\/p>\n\n\n

C\u00f3mo comenz\u00f3 el ataque<\/h3>\n\n\n

El proceso de infecci\u00f3n comenz\u00f3 cuando un atacante descubri\u00f3 y explot\u00f3 una vulnerabilidad de ejecuci\u00f3n remota de c\u00f3digo de inyecci\u00f3n SQL de d\u00eda cero. La explotaci\u00f3n de esta vulnerabilidad dio como resultado que el atacante pudiera insertar un comando de una l\u00ednea en una tabla de base de datos.<\/p>\n\n\n

\"\"<\/figure>\n\n\n

Este comando inyectado inicial activ\u00f3 un dispositivo afectado para descargar un script de shell de Linux llamado\u00a0Install.sh<\/strong>\u00a0desde un servidor remoto en el dominio malicioso\u00a0sophosfirewallupdate[.]Com<\/strong>\u00a0.\u00a0El comando tambi\u00e9n escribi\u00f3 este script de shell en el directorio\/tmp en el dispositivo, us\u00f3 el programa chmod para designar el archivo como ejecutable y lo ejecut\u00f3.<\/p>\n\n\n

El script (escrito en el dispositivo como\u00a0x.sh<\/strong>) ejecut\u00f3 una serie de comandos SQL y solt\u00f3 archivos adicionales en el sistema de archivos virtual para sentar las bases para el resto del ataque.<\/p>\n\n\n

El script Install.sh, inicialmente, ejecut\u00f3 una serie de comandos SQL de Postgres para modificar o poner a cero los valores de ciertas tablas en la base de datos, una de las cuales normalmente muestra la direcci\u00f3n IP administrativa del dispositivo. Parece que este fue un intento de ocultar el ataque, pero fracas\u00f3: en algunos dispositivos, la actividad del script de shell dio como resultado que la propia l\u00ednea de comando SQL inyectada del atacante se mostrara en la interfaz de usuario del panel administrativo del firewall. En lugar de lo que deber\u00eda haber sido una direcci\u00f3n, mostraba una l\u00ednea de comandos de shell.<\/p>\n\n\n

\"\"<\/a><\/figure>\n\n\n

Esta secuencia de comandos tambi\u00e9n dej\u00f3 caer al menos otras dos secuencias de comandos de shell en el directorio \/ tmp, y modific\u00f3 al menos una secuencia de comandos de shell que forma parte del sistema operativo del firewall para agregar un conjunto de comandos al final de la secuencia de comandos. Este \u00faltimo script, en particular, es relevante porque el malware modific\u00f3 los servicios para garantizar que se ejecutara cada vez que se iniciaba el firewall; sirvi\u00f3 como un mecanismo indirecto de persistencia para el malware.<\/p>\n\n\n

\"\"<\/a><\/figure>\n\n\n

El juego de tres conchas ELF<\/h3>\n\n\n

La secuencia de comandos del instalador, x.sh, elimin\u00f3 dos secuencias de comandos de shell completamente nuevas y modific\u00f3 una secuencia de comandos existente que forma parte del sistema operativo.<\/p>\n\n\n

Uno de los scripts de shell eliminados se llamaba .lp.sh<\/strong> y su funci\u00f3n principal era conectarse al sitio malicioso sophosfirewallupdate<\/em> y descargar un archivo ejecutable ELF de Linux compilado para ejecutarse en el sistema operativo de firewall llamado lp<\/strong> . El script escribi\u00f3 ese archivo descargado en \/ tmp con un nombre de archivo de solo b<\/strong> .<\/p>\n\n\n

\"\"<\/figure>\n\n\n

El programa b<\/em> , cuando se ejecuta, se elimina del sistema de archivos del dispositivo, por lo que solo estaba presente en la memoria. Apareci\u00f3 en la lista de procesos como un programa cuyo nombre, cssconf.bin<\/strong> , est\u00e1 a un car\u00e1cter de un proceso leg\u00edtimo que normalmente se ejecuta en un firewall, cscconf.bin<\/em> . La lista de procesos resaltada a continuaci\u00f3n muestra el programa malicioso tal como habr\u00eda aparecido ejecut\u00e1ndose en un firewall infectado. Tambi\u00e9n es notable que enumer\u00f3 su ID de proceso principal como 1, lo que el cscconf.bin<\/em> leg\u00edtimo nunca hubiera hecho.<\/p>\n\n\n

\"\"<\/a><\/figure>\n\n\n

Mientras b<\/em> estaba en la memoria, repiti\u00f3 una serie de tareas cada 3 a 6 horas, un intervalo de retraso elegido al azar la primera vez que se ejecut\u00f3, y se reutiliz\u00f3 posteriormente.<\/p>\n\n\n

Primero, b<\/em> verific\u00f3 si pod\u00eda hacer una conexi\u00f3n a una m\u00e1quina con la direcci\u00f3n IP de 43.229.55.44<\/strong> . Si el ELF no pudo establecer una conexi\u00f3n con esa direcci\u00f3n IP, intent\u00f3 resolver la direcci\u00f3n IP para el dominio malicioso sophosproductupdate [.] Com<\/strong> .<\/p>\n\n\n

\"\"<\/a><\/figure>\n\n\n

Si resolvi\u00f3 la IP para ese dominio y DNS no<\/em> devolvi\u00f3 un valor de 127.0.0.1 como resultado, entonces descarg\u00f3 otro ejecutable ELF de Linux llamado Sophos.dat<\/em> , que discutiremos en la siguiente secci\u00f3n.<\/p>\n\n\n

El script de shell n\u00famero dos que dej\u00f3 caer el\u00a0script\u00a0Install.sh\/x.sh<\/em>\u00a0se escribi\u00f3 en el directorio \/tmp con un nombre de archivo de\u00a0.pg.sh.\u00a0<\/strong>Su objetivo principal era descargar un segundo ejecutable ELF diferente, que se llamaba\u00a0bk<\/strong>\u00a0en el servidor web y se escrib\u00eda en el sistema de archivos con el nombre\u00a0.post_MI.<\/strong><\/p>\n\n\n

Anteriormente mencionamos que Install.sh, el dropper de la primera etapa, ejecut\u00f3 varios comandos SQL de Postgres. Uno de estos comandos modific\u00f3 una entrada de valor de servicio espec\u00edfico para que .post_MI se ejecute siempre que se ejecute ese servicio; Esto proporcion\u00f3 persistencia al iniciar el malware en cada reinicio.<\/p>\n\n\n

Este ejecutable ten\u00eda una funcionalidad limitada: verific\u00f3 si un archivo llamado\u00a0.a.PGSQL<\/strong>\u00a0(m\u00e1s sobre esto en un minuto) se hab\u00eda escrito en el directorio \/tmp, y si no lo encontr\u00f3, intent\u00f3 descargar un shell script del servidor web alojado en\u00a0ragnarokfromasgard.com<\/strong>\u00a0, llamado\u00a0patch.sh<\/em>\u00a0. En el momento en que realizamos el an\u00e1lisis del ataque, este servidor no respond\u00eda.<\/p>\n\n\n

\"\"<\/a><\/figure>\n\n\n

El tercer script de shell es una modificaci\u00f3n de un script de shell que ya forma parte del sistema operativo interno del firewall, denominado\u00a0generate_curl_ca_bundle.sh<\/em>\u00a0. El\u00a0script\u00a0Install.sh\/x.sh<\/em>\u00a0realiz\u00f3 una copia de respaldo del original (anteponiendo un punto al nombre del archivo,\u00a0.generate_curl_ca_bundle.sh<\/strong>\u00a0) antes de modificar el script original para agregar c\u00f3digo al archivo. Ese c\u00f3digo escribi\u00f3 y dej\u00f3 caer otro script de shell,\u00a0\/tmp\/I<\/strong>\u00a0(solo una letra may\u00fascula\u00a0i<\/em>\u00a0).<\/p>\n\n\n

El\u00a0script\u00a0I<\/em>\u00a0ten\u00eda dos funciones principales. Primero, realiz\u00f3 un \u00abtoque\u00bb del\u00a0archivo\u00a0\/tmp\/.a.PGSQL<\/strong>\u00a0(un acto que, si el archivo\u00a0no<\/em>\u00a0exist\u00eda, lo cre\u00f3 en el directorio \/tmp). Lo mencionado anteriormente\u00a0.<\/strong>\u00a0El<\/em>\u00a0ejecutable\u00a0post_MI<\/em>\u00a0ELF se verific\u00f3 para ver si exist\u00eda .a.PGSQL como parte de su ejecuci\u00f3n.<\/p>\n\n\n

El script I<\/em> luego recuper\u00f3 un archivo de script de shell llamado lc<\/em> del dominio sophosfirewallupdate<\/em> , y lo escribi\u00f3 en el directorio \/ tmp como .n.sh<\/strong> y lo ejecut\u00f3 . Este script replic\u00f3 el mismo comportamiento que el script .lp.sh (mencionado anteriormente) e intent\u00f3 descargar y ejecutar el ejecutable b <\/em>ELF del sitio web malicioso sophosfirewallupdate<\/em> . Esta descarga de b <\/em>fue el mecanismo de persistencia, dado que el proceso b <\/em>se elimin\u00f3 del disco como una de sus primeras acciones.<\/p>\n\n\n

Proceso de exfiltraci\u00f3n de datos<\/h3>\n\n\n

Nota: Esta secci\u00f3n describe nuestra comprensi\u00f3n de las capacidades de exfiltraci\u00f3n de datos del malware al momento de la publicaci\u00f3n de este art\u00edculo, pero no hemos descubierto ninguna evidencia de que los datos recopilados se hayan extra\u00eddo con \u00e9xito.<\/p>\n\n\n

Los pasos que involucran los scripts de shell y los ejecutables binarios ELF aparentemente se realizaron para llevar el ataque al punto donde el malware descarg\u00f3 y ejecut\u00f3 un archivo que hab\u00eda sido llamado Sophos.dat<\/em> en el servidor remoto, guardado en el sistema de archivos como 2own<\/strong> .<\/p>\n\n\n

\"\"<\/a><\/figure>\n\n\n

La tarea principal de este malware parec\u00eda ser el robo de datos, que podr\u00eda realizar recuperando el contenido de varias tablas de bases de datos almacenadas en el firewall, as\u00ed como ejecutando algunos comandos del sistema operativo. En cada paso, el malware recopil\u00f3 informaci\u00f3n y luego la concaten\u00f3 en un archivo que almacen\u00f3 temporalmente en el firewall con el nombre Info. <\/strong>xg.<\/strong><\/p>\n\n\n

Primero, el binario intent\u00f3 recuperar la direcci\u00f3n IP p\u00fablica donde se instal\u00f3 el firewall. Primero hizo esto al consultar el sitio web ifconfig.me<\/strong> , y si ese sitio no fue accesible por alguna raz\u00f3n, trat\u00f3 de hacer lo mismo contactando checkip.dyndns.org<\/strong> .<\/p>\n\n\n

A continuaci\u00f3n, consult\u00f3 varias \u00e1reas de almacenamiento de datos en el firewall para recuperar informaci\u00f3n sobre el firewall y sus usuarios.<\/p>\n\n\n

El siguiente diagrama muestra la capacidad del malware para filtrar datos. A la fecha de publicaci\u00f3n, no hemos descubierto ninguna evidencia de que los datos recopilados se hayan extra\u00eddo con \u00e9xito.<\/p>\n\n\n

\"\"<\/a><\/figure>\n\n\n

El malware demostr\u00f3 la capacidad de recuperar solo informaci\u00f3n residente del firewall, que puede haber incluido:<\/p>\n\n\n