Rundum-Erneuerung der NetTraveler APT zum 10-jährigen Jubiläum

Über NetTraveler haben wir bereits HIER und HIER berichtet.

Früher in diesem Jahr beobachteten wir eine Zunahme der Angriffe gegen uigurische und tibetanische Aktivisten und Unterstützer unter Verwendung einer aktualisierten Version der NetTraveler-Backdoor.

Hier ein Beispiel für eine zielgerichtete Spearphishing-E-Mail, die im März 2014 an uigurische Aktivisten gesendet wurde.

Die Mail enthält zwei Anhänge – eine nicht schädliche JPG-Datei und eine 373 KB große MS Word .DOC-Datei.

Die .DOC-Datei, die in Wahrheit ein “Single File Web Page”-Container ist, auch bekannt als “Web Archive Datei”, scheint auf einem System erstellt worden zu sein, das MS-Office vereinfachtes Chinesisch verwendet.

Sie enthält ein Exploit für die Sicherheitslücke CVE-2012-0158, das von Kaspersky Lab-Produkten als Exploit.MSWord.CVE-2012-0158.db detektiert wird.

Wird dieses Exploit auf einer angreifbaren Version von MS-Office ausgeführt, transportiert es das Hauptmodul “net.exe” (von Kaspersky Lab-Produkten detektiert als Trojan-Dropper.Win32.Agent.lifr) auf das System, welches wiederum eine Reihe von anderen Dateien installiert. Das wichtigste C&C-Modul wird unter “%SystemRoot%system32Windowsupdataney.dll” abgelegt, (von Kaspersky als Trojan-Spy.Win32.TravNet.qfr detektiert).

Es wird durch eine Windows Batch-Datei mit dem Namen “DOT.BAT” (von Kaspersky Lab-Produkten als Trojan.BAT.Tiny.b detektiert) als Service (unter der Bezeichnung “Windowsupdata”) registriert:

Um sicher zu gehen, dass die Malware nicht mehrfach ausgeführt wird, verwendet sie den Mutex “SD_2013 Is Running!”, um die Anwesenheit im System zu markieren. In älteren und aktuellen Varianten wurden unter anderem die folgenden Mutexes verwendet:

• Boat-12 Is Running!
• DocHunter2012 Is Running!
• Hunter-2012 Is Running!
• NT-2012 Is Running!
• NetTravler Is Running!
• NetTravler2012 Is Running!
• SH-2011 Is Running!
• ShengHai Is Running!
• SD2013 is Running!

Die Konfigurationsdatei der Malware ist in den “SYSTEM”-Ordner geschrieben (anstatt in den Ordner SYSTEM32) und hat gegenüber den „älteren“ NetTraveler-Samples ein leicht verändertes Format:

Für die Akten: So sieht eine ältere Konfigurationsdatei von NetTraveler aus:

Offensichtlich haben die Entwickler von NetTraveler Maßnahmen ergriffen, in dem Versuch, die Konfiguration der Malware zu verbergen. Glücklicherweise lässt sich die Verschlüsselung recht leicht knacken.

Der Algorithmus sieht folgendermaßen aus:

for (i=0;i<string_size;i++)
decrypted[i]=encrypted[i] – (i + 0xa);

Entschlüsselt erhalten wir die folgende neue Konfigurationsdatei:

Problemlos kann man den Command-und-Control-Server (C&C) mit der Adresse “uyghurinfo[.]com” in dem oben stehenden Screenshot herauslesen.

Wir haben mehrere Samples identifiziert, die dieses neue Verschlüsselungsschema benutzen. Es folgt eine Liste aller erkannten C&C-Server:

Wir empfehlen, alle diese Hosts in der Firewall zu blockieren.

Fazit

In diesem Jahr begehen die Cyberkriminellen, die hinter NetTraveler stehen, ihr 10jähriges „Dienst-Jubiläum“. Obgleich es so aussieht, als wären die frühsten Samples, die uns bekannt sind, im Jahr 2005 kompiliert, gibt es untrügliche Anzeichen dafür, dass die Aktivität der NetTraveler-Verbrecher bereits im Jahr 2004 ihren Anfang nahm.

Zehn Jahre lang hat NetTraveler verschiedene Sektoren angegriffen, wobei der Fokus auf Zielen in den Bereichen Diplomatie, Regierung und Militär lag.

NetTraveler-Opfer nach Branchen

In letzter Zeit dreht sich das Hauptinteresse der Cyberspionage-Aktivtät um Weltraumforschung, Nano-Technologie, Energieproduktion, Nuklearenergie, Laser, Medizin und Kommunikation.

Die Angriffe auf uigurische und tibetische Aktivisten sind eine Standardkomponente der NetTraveler-Aktivität, und wir gehen davon aus, dass sich das auch in den kommenden 10 Jahren nicht ändern wird.