Microsoft heeft digitaal zijn goedkeuring gegeven aan een rootkit die alle versleutelde communicatie heeft gedecodeerd en naar door de aanvaller beheerde servers heeft gestuurd. Deze kwaadaardige driver is verspreid in gameomgevingen. De driver staat bekend als "Netfilter" en fungeert als rootkit die communiceert met Chinese command-and-control (C2) IP-adressen.
De reis van mijn leven
Karsten Hahn, onderzoeker bij beveiligingsbedrijf G Data, ontdekte deze driver met behulp van het malwaredetectiesysteem van zijn bedrijf. De eerste waarneming werd als vals alarm beschouwd, omdat Microsoft Netfilter digitaal had ondertekend in het kader van het Windows Hardware Compatibility Program. Na verder testen en onderzoek concludeerde Karsten dat het geen vals alarm of positieve melding was. Hij en zijn collega-onderzoekers ontdekten dat "de kernfunctionaliteit lijkt te bestaan uit het afluisteren van SSL-verbindingen. Naast de component voor IP-omleiding installeert en beschermt het ook een rootcertificaat in het register" [1] (door reverse engineer Johann Aydinbas op Twitter).
Wat is een rootkit?
Een rootkit is een type malware dat is geschreven om te voorkomen dat het wordt weergegeven in bestandsmappen, andere standaard besturingssysteemfuncties en taakmonitors. Een rootcertificaat wordt meestal gebruikt om verkeer te verifiëren dat wordt verzonden via verbindingen die worden beschermd door het Transport Layer Security-protocol. Dit helpt bij het versleutelen van de gegevens tijdens de overdracht en zorgt ervoor dat de server kan vaststellen of een verbonden gebruiker authentiek is of een bedrieger.
Doorgaans worden deze TLS-certificaten uitgegeven door een door Windows vertrouwde certificeringsinstantie (CA). Door deze rootcertificaten in Windows te installeren, kunnen hackers de CA-vereiste omzeilen.
Origin Story
De Netfiler-driver communiceerde met in China gevestigde C&C-IP's zonder enige legitieme functionaliteit, wat tot verdere verdenkingen leidde. Rond deze tijd deelde Karsten Hahn, malware-analist bij G Data, de handtekeninginformatie openbaar op Twitter en nam hij contact op met Microsoft.
Volgens Hahn moet alle code die in de kernelmodus draait, worden getest en ondertekend voordat deze openbaar wordt gemaakt om de stabiliteit van het besturingssysteem te garanderen. BleepingComputer begon in die tijd ook het gedrag van C2-URL's te observeren en nam contact op met Microsoft om een geldige reden of uitleg te krijgen.
De eerste paar C2 URL's retourneren een set van meer routes gescheiden door het pijpsymbool ("|"):
Elk van deze dient een doel:
- De URL die eindigt op “/p” betekent dat deze gekoppeld is aan proxy-instellingen
- “/s” duidt op gecodeerde omleidings-IP-adressen.
- “/h?” wordt gebruikt om de CPU-ID weer te geven.
- “/c” gaf een rootcertificaat
- “/v?” geeft de zelf-updatefunctionaliteit van de malware aan.
Volgens BleepingComputer leverde het pad “/v?” de URL op naar de betreffende kwaadaardige Netfilter-driver (op “/d3”):
De G Data-onderzoeker Hahn heeft de driver uitgebreid geanalyseerd en concludeerde dat deze over een zelfupdatefunctie beschikt. Volgens hem heeft het voorbeeld een zelfupdatefunctie die zijn MD5-hash naar de server stuurt via “ hxxp://110.42.4.180:2081/v?v=6&m=”.
De server antwoordt vervolgens met de URL van het meest recente voorbeeld en "OK" als het model up-to-date is, waarna de malware het bestand dienovereenkomstig vervangt.
Beveiligingsfout
Microsoft heeft aangegeven dat ze onderzoek doen naar een kwaadwillende partij die deze negatieve drivers (Netfilter) binnen gameomgevingen heeft verspreid. Deze partij heeft drivers ter certificering ingediend via het Windows Hardware Compatibility Program. Deze drivers zijn ontwikkeld door een derde partij, dus Microsoft heeft hun account geschorst en hun inzendingen gecontroleerd op aanvullende tekenen van malware. Het bedrijf (Microsoft) kon geen bewijs vinden dat het ondertekeningscertificaat van het Windows Hardware Compatibility Program of de WHCP-ondertekeningsinfrastructuur gecompromitteerd was. Daarom hebben ze sindsdien Netfilter-detecties toegevoegd aan de Windows Defender AV-engine die in Windows is ingebouwd en deze detectie aan andere AV-leveranciers verstrekt.
Update over de malware [2]
- 26 juni, 12:26 uur ET: Verduidelijkt dat BleepingComputer de DoD-lijst niet expliciet heeft gezien met de vermelding van het vermeende Chinese bedrijf, in tegenstelling tot de details in het rapport van de onderzoeker. Ook contact opgenomen met Hahn voor opheldering.
- 27 juni, 04:58 uur ET: Een eerdere versie van het blogbericht vermeld een andere onderzoeker, @cowonaut, waarin wordt beweerd dat het bovengenoemde bedrijf eerder door het Amerikaanse Ministerie van Defensie (DoD) was aangemerkt als een "communistisch Chinees militair" bedrijf. Deze bewering is inmiddels ingetrokken uit de oorspronkelijke blogpost en we hebben ons artikel bijgewerkt om dit te benadrukken. BleepingComputer heeft Ningbo Zhuo Zhi Innovation Network Technology Co., Ltd. echter niet aangetroffen op een van de beschikbare DoD-lijsten.
Conclusie
Ondanks de beperkingen was deze beveiligingsfout ernstig. Het certificeringsprogramma van Microsoft was ontworpen om precies het soort aanval te blokkeren dat G Data als eerste ontdekte. Microsoft heeft nog niet bekendgemaakt hoe het de malware digitaal heeft ondertekend; vertegenwoordigers van het bedrijf weigerden ook uitleg te geven.
