Het licht staat uit, maar de nachtcamera staat aan. We hebben geen vallen gezet, maar de nodige bewegingssensoren zijn actief. Je kunt je misschien afvragen waarom we de digitale rat niet direct vangen als we de malware gevonden hebben. Door een rat en andere malware in een digitaal lab vrij, maar gecontroleerd, te laten bewegen, kunnen we zien welke sporen het achterlaat. Waar het heen wil lopen, waar het aan gaat knagen. Met deze digitale sporen, in vakjargon Indicators of Compromise, afgekort IOCs, kan het cybersecurity experts vervolgens bij zorginstellingen kijken of ze misschien last hebben van ratten in hun netwerk.
In de vorige blogpost hebben we gezien dat zowel het voorbeeld van AsyncRAT als het voorbeeld van ResolverRAT de handigheid van hun pootjes proberen te verbergen om detectie te voorkomen. In deze blogpost gaan we zien wat er valt waar te nemen wanneer we er bewust voor kiezen om ons te laten infecteren. Hierbij is het belangrijk dat ons digitale lab goed afgesloten is en we, net als in een museum, digitaal terug in de tijd kunnen, door middel van snapshots, om een aantal keer voor en na de infectie te kijken naar wat er veranderd is.
Pad afsluiten
Wanneer wij ons door AsyncRAT laten infecteren krijgen we iets bijzonders te zien. De rat gaat eerst een pad in waarbij de rat zijn originele programma direct afsluit. Hiermee kun je sommige geautomatiseerde detectie in de weg zitten die enkel kijken zolang het originele programma draait. De rat gaat daarna verder met een nieuwe versie van zichzelf om 'geheel onverdacht' bij de computer op te halen wat de taalsetting is van de gebruiker, zoals EN:US, om daarna bijvoorbeeld het programma op te starten wat de gebruiker verwacht te zien.
Uitzonderingsregel aanmaken
Maar ondertussen heeft de rat ook op de achtergrond PowerShell opgestart, zonder dat dit zichtbaar wordt voor de gebruiker op het scherm. PowerShell is een heel krachtig instrument om opdrachten te geven aan Windows computers. Het wordt ook standaard gebruikt door Windows systeembeheerders. Door hetzelfde gereedschap te gebruiken als systeembeheerders valt de rat natuurlijk weer minder op. Met PowerShell wordt er vervolgens een riskante opdracht gegeven aan de Windows computer. Namelijk de opdracht om een uitzonderingsregel aan te maken in Microsoft Defender voor de locatie waar de rat zich op de computer heeft genesteld. Dit is een bekende truc om het populaire antivirusproduct te omzeilen. Het antivirusproduct uitzetten zou opvallen, maar wat nu als je het de opdracht kunt geven om ergens NIET naar te kijken, net zo effectief!
DLL-bestand
Ondertussen is in de map vanuit waar we het malafide programma hebben opgestart een DLL-bestand aangemaakt. Een DLL-bestand (Dynamic link library) is een soort van instructieboek dat gebruikt kan worden in de grote bibliotheek van instructieboeken die standaard al op Windows computers aanwezig zijn. Zo hoeven programmeurs niet voor iedere nieuwe applicatie dezelfde instructies, voor bijvoorbeeld muisinteracties, schermpjes, kleurtjes en informatie ophalen van het internet, opnieuw te schrijven. Maar kunnen ze gebruikmaken van wat er al op de computer aanwezig is qua handleidingen. Net als programmeurs maken ook digitale aanvallers graag gebruik van DLL-bestanden om kwaadaardige instructies in op te slaan.
Specifieke plek
Tot slot zien we dat de geïnfecteerde computer opeens probeert te praten naar een specifieke plek op het internet. Interessant is dat de rat niet eerst met DNS (Domain Name System) vraagt aan het internet waar het bijvoorbeeld de computer van de aanvaller kan vinden. DNS moet je zien als een groot gedistribueerd telefoonboek voor alle pakketjes die we via het internet bezorgen. Nee, de rat praat direct naar een specifieke stad, straat en huisnummer en ook niet een huisnummer dat je vaak tegenkomt in normaal gebruik van het internet. We zijn onze aanvaller op het spoor! Bij een echte infectie zouden we deze IOCs kunnen delen via het Zorg Detectie Netwerk, om ook andere aangesloten zorginstellingen te waarschuwen.
Maar welke instructies staan er dan in dat DLL-bestand? En wat wordt er dan gecommuniceerd naar die specifieke plek op het internet? En zou ResolverRAT zich op dezelfde manier gedragen in de nacht?
Er is nog zoveel te ontdekken op onze malware safari! Soms moet je gewoon even iets langer op blijven om het allemaal te kunnen zien.
Iets om over na te denken tijdens de koffiepauze.
Volgende keer in deel 5: Verder de nacht in.