OilRig versteckt C2-Konfigurationen in Google Drive-Bildern mittels LSB-Steganographie

Sicherheitslage und Risiko

Der gesamte Angriff verknüpfte GitHub, Google Drive und Telegram zu einer nahtlosen Pipeline für die Payload-Zustellung, die Konfigurationsabrufung und die laufende Kommandoübermittlung.

Indem OilRig die bösartige Aktivität durch vertrauenswürdige und weit verbreitete Plattformen leitete, wurde es für Sicherheitstools viel schwieriger, den Datenverkehr als verdächtig zu kennzeichnen.

Im LSB Steganography Attack Chain Der Infektionsmechanismus in dieser Kampagne wurde sorgfältig aufgebaut, um bei jedem Schritt die Auslösung.

Technischer Hintergrund

Als das Opfer die Makros in der Excel-Datei aktivierte, dekodierte der eingebettete VBA-Code lautlos C#-Quellcode, der im CustomXMLParts-Abschnitt des Dokuments gespeichert war, und verwendete dann den legitimen Windows-Compiler csc.exe, um einen funktionierenden bösartigen Loader auf der Maschine des Opfers zu erstellen, der als AppVStreamingUX_Multi_User.dll gespeichert wurde.

Der Loader verband sich dann mit einem GitHub-Repository unter dem Konto „johnpeterson1304“ und zog eine Textdatei mit dem Namen „tamiManager.txt“. Nach der Dekodierung seines Base64-Inhalts erhielt der Loader einen Google Drive Link, der auf ein Bild mit dem Namen „MIO9.png“ zeigte.

OilRig Steganographic PNG (Quelle – 360) Dieses Bild sah völlig normal aus, enthielt aber heimlich verschlüsselte C2-Konfigurationsdaten, die in seinen am wenigsten signifikanten Pixelbits eingebettet waren.

Mithilfe eines benutzerdefinierten LSB-Extraktionsalgorithmus, gefolgt

Mithilfe eines benutzerdefinierten LSB-Extraktionsalgorithmus, gefolgt von Base64 plus XOR-Entschlüsselung, recuperierte der Loader die vollständige C2-Einrichtung, die einen Telegram Bot Token, eine Chat ID und fünf Modul-Download-Adressen mit den Bezeichnungen m1 bis m5 enthielt.

Diese Module handhabten Persistenz (pr), Datei-Upload (up), Datei-Download (do), Befehlsausführung (cm) und Anwendungsstart (runApp), und jedes wurde direkt im Speicher geladen, um zu vermeiden, dass Dateien auf der Festplatte verblieben, die könnten.

Um nach einem Neustart den Zugriff zu behalten, nutzte OilRig geplante Aufgaben, um die Malware auf der kompromittierten Maschine persistent laufen zu lassen, und die Malware sendete bei jeder Aktivierung eine „ist online“-Heartbeat-Nachricht über die Telegram Bot API, was dem Angreifer eine Echtzeitbestätigung gab, dass das System weiterhin unter ihrer Kontrolle blieb.

Moegliche Anwendungen

Sicherheitsteams sollten die Makroausführung in Office-Dateien, die aus nicht vertrauenswürdigen Quellen stammen, deaktivieren und Netzwerküberwachungsregeln einrichten, um ungewöhnlichen ausgehenden Datenverkehr, der an GitHub oder Google Drive gerichtet ist, abzufangen.

Organisationen wird außerdem dringend geraten, Endpunkterkennungs-Lösungen einzusetzen, die in-Memory-DLL-Laden, DLL-Side-Loading und Prozessinjektionsaktivitäten erkennen können, da dies alles Schlüsselkomponenten der während dieser Kampagne verwendeten Angriffstechnik waren.