Недавно мы опубликовали пресс-релиз по PokerAgent, который вкратце описывал возможности этого вредоносного ПО. Теперь же мы хотим представить его детальное исследование, рассказать о преследуемых им целях, а также описать возможности, которые он открывает злоумышленникам.
PokerAgent направлен на компрометацию социальной сети Facebook и ее пользователей. Мы отслеживали ботнет начиная с 2012 года и выяснили, что вредоносный код был разработан для:
● похищения регистрационных данных аккаунтов пользователей Facebook;
● похищения информации о кредитных картах, связанных с аккаунтом Facebook;
● кражи статистики (набранных очков) пользователя в игре Zynga Poker (подробнее о ней можно узнать здесь).
Наша исследовательская лаборатория обнаружила этот вредоносный код около года назад. В процессе его анализа стало очевидно, что мы имеем дело с чем-то интересным, поскольку увидели в этом коде следующие особенности:
● ссылки на Facebook и приложение Zynga Poker;
● имя исполняемого файла — “PokerAgent”;
● некоторые особенности ботнета — троян запрашивал инструкции с командного C&C сервера.
ESET определяет различные варианты этого трояна как MSIL/Agent.NKY. После первичного обнаружения одной из его модификаций, мы вскоре обнаружили и другие – как более старые, так и более новые, – а также получили статистику распространения, согласно которой наиболее пострадавшей страной оказался Израиль.
Мы провели глубокий анализ исходного кода трояна (что оказалось несложной задачей, поскольку он был написан на удобном для декомпиляции C#).
Основной функционал
Можно с уверенностью сказать, что авторы этого вредоносного кода (или занимавшиеся его распространением хакеры) обладали обширной базой похищенных регистрационных данных, т. е. логинов и паролей от Facebook-аккаунтов. В начале расследования мы не могли понять, каким образом злоумышленники могли получить подобные сведения, однако в со временем этот момент прояснился.
Схема заключается в следующем: когда бот (зараженный компьютер) соединяется с C&C сервером, он запрашивает задачи для выполнения. Одна такая задача компрометирует одного пользователя Facebook. Вредоносный код выполняет операцию входа в аккаунт (log in) этого пользователя и собирает его статистику в игре Zynga Poker и информацию о сохраненных в аккаунте кредитных картах. Заметьте, что в такой схеме не обязательно, чтобы зараженный PokerAgent компьютер пользователя имел аккаунт в Facebook. Задача выбора аккаунта для компрометации решается на стороне C&C сервера, в данном случае зараженный компьютер выступает скорее как proxy.
Получение статистики Zynga Poker выполняется через разбор ответа на специальный посылаемый запрос hxxp://facebook2.poker.zynga.com/poker/inc/ajax/profile_popup.
php?zid=1:%_FACEBOOK_ID%&signed_request=%_SIGNATURE% &platform=1. Этот возвращаемый ответ (рис. 1) содержит различную персональную информацию: имя пользователя, пол, фото профиля, игровой рейтинг и очки, а также количество друзей.
Рис. 1. Данные о пользователе, возвращаемые Facebook по специальной ссылке, которую использует вредоносный код.
Далее интересующая PokerAgent информация (пол пользователя, игровой рейтинг и очки) отправляется на C&C сервер злоумышленников.
Стоит отметить, что для отправки запроса преступнику нужны Facebook ID жертвы и специальный “signed request” параметр для приложения Zynga Poker (позволяет приложению быть уверенным, что данный запрос был послан именно Facebook). Мы выяснили, что разные версии бота используют различный набор параметров.
Для определения количества способов оплаты, связанных с аккаунтом (рис. 2), бот выполняет операцию входа (log in) в аккаунт (с помощью логина и пароля пользователя, которые уже находятся у злоумышленника). Затем он осуществляет переход по ссылке hxxps://secure.facebook.com/settings?tab=payments§ion=methods и просто выполняет разбор ответа от Facebook. Вредоносный код интересует содержимое тега в предложении “You have X payment methods saved.”.
Рис. 2. Интересующая вредоносный код страница, содержащая количество способов онлайн-оплаты.
Полученная информация также отправляется на сервер злоумышленников и сохраняется в базе данных.
PokerAgent обладает возможностью публикации фишинговых ссылок на стене пользователя, под аккаунтом которого он вошел. Такая техника является основным способом сбора регистрационных данных (логинов и паролей) аккаунтов пользователей. Дело в том, что главной целью фишинга в такой схеме является перенаправление пользователя на страницу с поддельной формой ввода логина и пароля. Таким образом, если пользователь вводит в эту форму свои данные, они оказываются в руках злоумышленников.
Для публикации ссылок злоумышленники также используют технику отправки команд с C&C сервера. Боту посылается специальная команда и информация, содержащая логин и пароль аккаунта, на стене которого будет публиковаться фишинговая ссылка, а также сама ссылка – зашифрованный URL. После получения этой информации вредоносный код входит в Facebook-аккаунт и публикует уже расшифрованную ссылку на стене пользователя. Пример такой ссылки:
Рис. 3. Фишинговая ссылка, которую PokerAgent размещает на стене пользователя для получения регистрационных данных его друзей или подписчиков.
Ссылка ведет на страницу, которая представлена на рисунке 4. В процессе исследования ботнета мы наблюдали целый ряд подобных страниц, с которых пользователь перенаправлялся на поддельную форму ввода логина и пароля. Наша система телеметрии показывает, что атака в подавляющем большинстве случаев была направлена на израильских пользователей.
Рис. 4. Страница, с которой пользователь перенаправляется на поддельную форму входа Facebook при клике на одном из активных элементов.
Вне зависимости от тем этой страницы (рис. 4), она преследует одну цель — перенаправить пользователя на поддельную форму ввода своих регистрационных данных.
Рис. 5. Поддельная форма входа на Facebook, воспользовавшись которой, пользователь передает в руки злоумышленников свои логин и пароль.
Анализ кода бота показывает интересную его особенность (рис. 6). Мы обнаружили функцию под названием ShouldPublish, которая определяет, надо ли размещать фишинговую ссылку на стене пользователя, или нет. Одной из причин опубликовать ссылку может стать отсутствие привязанных к аккаунту кредитных карт. Другой – если у пользователя мало игровых очков или недостаточный игровой рейтинг.
Рис. 6. Функция, которая “решает”, публиковать ли фишинговую ссылку на стене пользователя.
Атака
Следует отметить, что PokerAgent не использует Facebook для распространения – в этом его отличие от других троянских программ. Акцент злоумышленников в данной угрозе был сделан именно на похищение информации, так как сам вредоносный код не содержит функций самораспространения.
Нацеленность на Facebook объясняется стремлением злоумышленников получить доступ к аккаунтам и платежным средствам пользователей самой популярной соцсети. Впрочем, бот лишь исполняет команды злоумышленников через C&C сервер, который может отдавать команды не только по Facebook. В конечном счете, зараженный ботом компьютер пользователя может даже не иметь аккаунта социальной сети, просто его компьютер будет использован для осуществления этих мошеннических действий в качестве прокси.
В результате нашего расследования удалось установить, что основное назначение ботнета заключается в постоянном расширении или пополнении базы украденных логинов и паролей Facebook, сохраненных кредитных карт, а также в сборе статистики игроков в Zynga Poker. Мы можем лишь догадываться, для чего злоумышленники хотели использовать эту информацию – она могла быть продана другим киберпреступникам, либо атакующий мог использовать ее для каких-то личных целей.
Код бота
Проанализированные нами экземпляры вредоносного кода были написаны на C#, поэтому такой код может быть декомпилирован в исходный с минимальными потерями смысла и логики. На рисунке 7 показана структура исходных текстов. Не вникая в детали других классов, можно сказать, что основной вредоносный код находится в классах Popup и Publish. Popup отвечает за получение идентификатора Facebook ID и возвращает статистику Zynga Poker этого аккаунта. Publish отвечает за публикацию фишинговой ссылки на стене пользователя.
Рис. 7. Структура исходного кода PokerAgent.
Взаимодействие с командным C&C сервером
Взаимодействие с C&C сервером осуществляется с использованием протокола SOAP. Вредоносный код содержит два зашитых в код массива с URL-адресами на основные C&C, которые зашифрованы с использованием DES (URL различаются в различных модификациях троянской программы):
● первый массив служит хранилищем адресов C&C серверов, куда боту необходимо обращаться за обновлениями, конфигурационным файлом и т. д.;
● второй используется для исполнения задач, связанных с похищенными логинами и паролями аккаунта Facebook.
Основные URL-адреса управляющих C&C серверов уже находятся в файле вредоносного кода; по существу, эти URL представляют собой ссылки, по которым бот будет запрашивать настоящие ссылки на C&C. Т. е. мы видим двухуровневый метод организации обращений к C&C, который, безусловно, добавляет гибкости для перехода к нужным ссылкам C&C, меняющимся время от времени. Ниже в таблице представлены возможные команды, поддерживаемые C&C сервером:
Пример сообщения сервера GetNextTask:
Рис. 8. Сообщение сервера GetNextTask.
Взаимодействие с Facebook
Код PokerAgent написан таким образом, чтобы обеспечить его максимальную надежность при выполнении злонамеренных функций, связанных с социальной сетью Facebook. В частности, он отслеживает состояние выполняемой в данный момент задачи и посылает статус выполнения этой операции на сервер. Вредоносный код использует экземпляры запущенного браузера для перехода по страницам Facebook, тем самым имитируя действия самого пользователя. Затем он осуществляет разбор HTML, заполняет текст и осуществляет клики по мере необходимости.
PokerAgent имеет возможность обрабатывать специальные сценарии входа на Facebook – например, если в аккаунте пользователя упомянуто о допуске входа с лишь определенного устройства (иначе пользователь будет предупрежден о попытке входа). Фрагмент кода ниже выполняет эти действия:
Рис. 9. Код PokerAgent, осуществляющий взаимодействие с Facebook.
Для публикации фишинговых ссылок на стене пользователя вредоносный код использует один из двух методов, представленных ниже. Файл конфигурации определяет, какой из них использовать.
Первый метод публикации ссылки заключается в использовании следующего URL hxxp://www.facebook.com/sharer/sharer.php?u=.
Рис. 10. Один из способов публикации фишинговой ссылки, которым пользуется PokerAgent.
Другой способ заключается в использовании формы Update статуса, которым делится пользователь (HTML элемент с id=”pagelet_composer”).
Рис. 11. Способ публикации фишинговой ссылки с использованием обновления статуса.
Распространения угрозы
Что касается непосредственно распространения PokerAgent, то эта активность значительно снизилась, начиная с марта 2012 года. Нам известно, что эта троянская программа загружается на компьютер пользователя с использованием другой вредоносной программы – специального загрузчика/даунлоадера, несколько версий которого были нами обнаружены.
Этот загрузчик также наблюдался в сети и распространялся с использованием фишинга. Учитывая характер и методы, используемые трояном, мы предполагаем, что загрузчик PokerAgent распространялся через Facebook с применением методов социальной инженерии.
Мы детектируем PokerAgent как MSIL/Agent.NKY с декабря 2011 года. Благодаря нашим generic-обнаружениям, мы смогли выявить как более ранние, так и более поздние версии этого вредоносного кода. В общей сложности было обнаружено 36 различных версий «PokerAgent» с временными метками (timestamp) от сентября 2011 по март 2012. Таким образом, мы могли отслеживать активное развитие проекта PokerAgent.
Наша система отслеживания ботнета показала, что минимум 800 компьютеров были заражены PokerAgent, и что злоумышленники получили доступ, по меньшей мере, к 16 194 аккаунтам Facebook.
Благодаря статистике, полученной с помощью ESET Live Grid, мы зафиксировали, что автор вредоносного кода перестал активно распространять PokerAgent с середины февраля 2012 года.
Рис. 12. Динамика распространения PokerAgent.
В соответствии с нашими системами телеметрии, 99% всех обнаружений MSIL/Agent.NKY приходилось именно на Израиль, и именно в этой стране было зафиксировано большинство атак. Собрав необходимую информацию по этому делу, мы обратились к израильским правоохранительным органам. Подробности этого расследования не могут быть разглашены по причинам конфиденциальности. Мы также известили администрацию Facebook, которая приняла необходимые меры для устранения последствий атаки.
Заключение и рекомендации
Инцидент “PokerAgent” представляет собой успешную атаку против пользователей крупнейшей социальной сети и игроков крупнейшего покерного сайта. Однако существуют методы безопасности, соблюдение которых позволит обезопасить себя от подобных нападений.
• Проявляйте бдительность – это основная мера, с помощью которой можно обезопасить себя от атак с использованием социальной инженерии. Не переходите по сомнительным ссылкам и обращайте внимание на адресную строку браузера, открывая страницу с формой аутентификации.
• Facebook имеет целый ряд механизмов для повышения безопасности своих пользователей – в частности, механизм двухфакторной аутентификации. Рассмотрите возможность его использования.
• Также советуем тщательно подумать, прежде чем разрешить браузеру или другим приложениям запоминать введенные пароли.
• И, наконец, рекомендуем использовать ESET Social Media Scanner – приложение для Facebook, которое позаботиться о безопасности вашего аккаунта в социальной сети.
Автор: esetnod32
