Conferencia en donde explico algunas de las técnicas mas avanzadas utilizadas por el malware para Ocultarse

1. Técnicas Avanzadas
De Ocultamiento de Malware
David F. Pereira

2. David F. Pereira
CEH, ECSA/LPT, CHFI, ENSA, ECSS, ECVP, CEI,
QGSS, ECIH, EDRP, NFS, OPSEC.
• 18+ Años de experiencia en Seguridad
Informática y DFIR
• Hácker Etico – Pentester en diversas Entidades
en el mundo, de ambitos como el Financiero,
Energético, Militar, Inteligencia, Diplomatico,
Minero, entre otros.
• Instructor / Consultor de Fuerzas de
Ciberdefensa, Fuerzas Militares y Policía, en
varios Países.
• CEO de SecPro

3. Agenda
• Glosario de Malware
• Técnicas de Detección de Malware
• Análisis Estático de Malware
• Análisis Dinámico de Malware
• Técnicas Avanzadas de Ocultamiento:
• Extensiones VBE
• Powershell
• Redes TOR / I2P
• Técnicas Mixtas (twitter,GitHub,etc)
• 404
• Encripción / Descripción on Runtime
Análisis de Entorno
• WMI

4. Agenda
• Glosario de Malware
• Técnicas de Detección de Malware
• Análisis Estático de Malware
• Análisis Análisis Dinámico de Malware
• Técnicas Avanzadas de Ocultamiento:
• Extensiones VBE
• Powershell
• Redes TOR / I2P
• Técnicas Mixtas (twitter,GitHub,etc)
• 404
• Encripción / Descripción on Runtime
Análisis de Entorno
• WMI

5. Glosario de Malware
• Stub
• Subprograma que desencripta temporalmente el código viral para su
carga y ejecución en RAM y posteriormente lo encripta de nuevo.
• Mutex
• Cadena de caracteres que permite al malware identificar una victima con
diferentes objetivos: Inmunizarla, Firmarla,etc.
• FUD
• Fully Undetectable (Crypters)
• Crypter
• Aplicación que encripta el malware para dificultar la detección antiviral.
• Cabby/Downloader
• Programa que se descarga primero sin dispara el antivirus y luego
descarga el malware.
• PE
• Portable Executable; formato de los Archivos EXE que determina su Func.

6. Agenda
• Glosario de Malware
• Técnicas de Detección de Malware
• Análisis Estático de Malware
• Análisis Dinámico de Malware
• Técnicas Avanzadas de Ocultamiento:
• Extensiones VBE
• Powershell
• Redes TOR / I2P
• Técnicas Mixtas (twitter,GitHub,etc)
• 404
• Encripción / Descripción on Runtime
Análisis de Entorno
• WMI

7. • Detección de Firmas
• Detección de Patrones / Cadenas
• Heurística en Disco (Comportamiento)
• Heurística en Memoria
• Heurística en FileSystems/Archivos
• Heurística en Conectividad
• Sandboxing (Detección Zero Day)
Técnicas de Detección de Malware

8. Agenda
• Glosario de Malware
• Técnicas de Detección de Malware
• Análisis Estático de Malware
• Análisis Dinámico de Malware
• Técnicas Avanzadas de Ocultamiento:
• Extensiones VBE
• Powershell
• Redes TOR / I2P
• Técnicas Mixtas (twitter,GitHub,etc)
• 404
• Encripción / Descripción on Runtime
Análisis de Entorno
• WMI

9. Tipos de Análisis de Malware
Análisis Estático
que se realiza por medio de herramientas que
“desensamblan” los componentes del malware, detectan
los encabezados PE, archivos y librerias que invocan, SIN
EJECUTARLO.
• Extracción de Cadenas de Texto
• Detección de Compresión (PE32, UPX, etc)
• Información de Formato PE (Portable Ejecutable)
• text: Código Ejecutable
• .rdata: Datos globales de solo lectura
• .data: Datos que son accedidos en la
ejecución
• .rsrc: Recursos Necesarios para el
ejecutable
• Dependencias
• Vista Hexadecimal
• Vista en Assembler
• TimeStamps

10. Tipos de de Malware
Análisis Dinámico
Análisis que se realiza por medio de herramientas que
monitorean y controlan la operación de la máquina
infectada con el fin de entender y detectar que hace el
malware, una vez se ejecuta.
• Registros en Procesador
• Registros en la Memoria
• Uso de Archivos (Lectura, Escritura, Creación)
• Conectividad de Red
• Cambios en el Registro (Windows (Lectura,
Escritura, Creación)
• Kernel

11. Agenda
• Glosario de Malware
• Técnicas de Detección de Malware
• Análisis Estático de Malware
• Análisis Análisis Dinámico de Malware
• Técnicas Avanzadas de Ocultamiento:
• Extensiones VBE
• Powershell
• Redes TOR / I2P
• Técnicas Mixtas (twitter,GitHub,etc)
• 404
• Encripción / Descripción on Runtime
Análisis de Entorno
• WMI

12. Técnicas Avanzadas de Ocultamiento
(Ofuscación)
• Uso de VBE (Visual Basic Extensions) Caso: AutoIT –Banco Trj.
• Uso de Powershell (Malware sin Archivos) Caso: Vawtrak
• Uso de Redes de Ocultamiento (TOR / I2P) Caso: CTB Locker
• Uso de Twitter, GitHub y Esteganografia; Caso: Hammertoss
• Uso del 404 para ocultar tráfico; Caso: W32/Foreign.LXES!tr
• Detección de Entorno de Ejecución; Caso: Carbanak/Anunak
• WMI (Windows Manage. Instrument.); Caso: Troj_Wmighost.A

13. Agenda
• Glosario de Malware
• Técnicas de Detección de Malware
• Análisis Estático de Malware
• Análisis Dinámico de Malware
• Técnicas Avanzadas de Ocultamiento:
• Extensiones VBE
• Powershell
• Redes TOR / I2P
• Técnicas Mixtas (twitter,GitHub,etc)
• 404
• Encripción / Descripción on Runtime
Análisis de Entorno
• WMI

14. Scripts Ofuscados de VBE
Caso: AutoIT Banco Trojan
El Archivo Base es: Contrato Assinar.VBE
MD5: 4bb9a041ab9cdd8398f95c0dd8a364b0
Se puede decodificar con las mismas Herramientas Microsoft:
https://gallery.technet.microsoft.com/Encode-and-Decode-a-VB-
a480d74c

15. Scripts Ofuscados de VBE; Caso: AutoIT Banco Trojan
El Archivo Base es: Contrato Assinar.VBE - MD5: 4bb9a041ab9cdd8398f95c0dd8a364b0

16. Scripts Ofuscados de VBE; Caso: AutoIT Banco Trojan
El Archivo Base es: Contrato Assinar.VBE - MD5: 4bb9a041ab9cdd8398f95c0dd8a364b0
http://5.175.145.181/ljurbg/btieste.zip

17. Scripts Ofuscados de VBE; Caso: AutoIT Banco Trojan
El Archivo Base es: Contrato Assinar.VBE - MD5: 4bb9a041ab9cdd8398f95c0dd8a364b0

18. Scripts Ofuscados de VBE; Caso: AutoIT Banco Trojan
El Archivo Base es: Contrato Assinar.VBE - MD5: 4bb9a041ab9cdd8398f95c0dd8a364b0

19. AutoIT Scripting
https://www.autoitscript.com/site/autoit/

20. Agenda
• Glosario de Malware
• Técnicas de Detección de Malware
• Análisis Estático de Malware
• Análisis Dinámico de Malware
• Técnicas Avanzadas de Ocultamiento:
• Extensiones VBE
• Powershell
• Redes TOR / I2P
• Técnicas Mixtas (twitter,GitHub,etc)
• 404
• Encripción / Descripción on Runtime
• Análisis de Entorno
• WMI

21. Uso de Powershell (Malware sin Archivos)
Caso: Vawtrak
El Archivo Base es: Spam de FedEx, American Airlines,
o Similar con Archivo de Word.
Archivo: Receipt number 4345677
MD5: 07BB7A3C3EC68A0734B67D2F9A47098E

22. Uso de Powershell (Malware sin Archivos) Caso: Vawtrak
CON MACROS
SIN MACROS

23. Uso de Powershell (Malware sin Archivos) Caso: Vawtrak

24. Uso de Powershell (Malware sin Archivos) Caso: Vawtrak

25. Uso de Powershell (Malware sin Archivos) Caso: Vawtrak

26. Uso de Powershell (Malware sin Archivos) Caso: Vawtrak

27. Agenda
• Glosario de Malware
• Técnicas de Detección de Malware
• Análisis Estático de Malware
• Análisis Dinámico de Malware
• Técnicas Avanzadas de Ocultamiento:
• Extensiones VBE
• Powershell
• Redes TOR / I2P
• Técnicas Mixtas (twitter,GitHub,etc)
• 404
• Encripción / Descripción on Runtime
Análisis de Entorno
• WMI

28. Uso de Redes de Ocultamiento (TOR / I2P)
Caso: CTB Locker
El Archivo Base es: Spam con supuesta factura o similar
Archivo: endowments.zip / scr
MD5: b155a95104b42e6bd83fd741d562d2a1
Cuando el usuario ejecuta el .scr, se abre un archivo .rtf asi:

29. Uso de Redes de Ocultamiento (TOR / I2P) Caso: CTB Locker
Datos del usuario, Nombre de máquina y lo
mas importante: Llave de Encripción
VICTIMA Red de
Ocultamiento
Ciberdelincuente en
algún lugar del mundo

30. Uso de Redes de Ocultamiento (TOR / I2P) Caso: CTB Locker

31. Uso de Redes de Ocultamiento (TOR / I2P) Caso: CTB Locker

32. Uso de Redes de Ocultamiento (TOR / I2P) Caso: CTB Locker

33. Uso de Redes de Ocultamiento (TOR / I2P) Caso: CTB Locker

34. Uso de Redes de Ocultamiento I2P
http://thehackerway.com/2011/11/28/preservando-el-anonimato-y-extendiendo-su-uso-conceptos-basicos-sobre-el-uso-de-i2p-parte-xxii/

35. Uso de Redes de Ocultamiento (TOR / I2P) Caso: Dyre
https://www.bluecoat.com/sites/default/files/i2p-dyre.png

36. Uso de Redes de Ocultamiento (TOR / I2P) Caso: Dyre
cowpuncher.drollette.com
i2p-netdb.innovatio.no
i2p.mooo.com
ieb9oopo.mooo.com
link.mx24.eu
netdb.i2p2.no
reseed.i2p-projekt.de
ssl.webpack.de
uk.reseed.i2p2.no
us.reseed.i2p2.no
URL I2P a las que se conecta el Dyre

37. Agenda
• Glosario de Malware
• Técnicas de Detección de Malware
• Análisis Estático de Malware
• Análisis Dinámico de Malware
• Técnicas Avanzadas de Ocultamiento:
• Extensiones VBE
• Powershell
• Redes TOR / I2P
• Técnicas Mixtas (twitter,GitHub,etc)
• 404
• Encripción / Descripción on Runtime
Análisis de Entorno
• WMI

38. Uso de Twitter, GitHub y Esteganografia para recibir
Instrucciones del C2 o C&C; Caso: Hammertoss
El Archivo Base es: Variante tDiscover
Es un tipo de APT creada por el grupo de Hackers Rusos “APT29”; su
función de comunicación se divide en 5 etapas:
Etapa 1: Comunicación con Twitter
El malware busca, de acuerdo a
una agenda de conexión diversas
cuentas en Twitter por su url; Ej.
@d4v1dp3r31r4 y le agrega la
principio y al final caracteres
CRC32, generando una conexión
similar a:
https://www.twitter.com/2bcD4v1
dp3r31r41a
El Ciberdelincuente posee el
mismo algoritmo para generar las
cuentas.
Si el HAMMERTOSS no
encuentra el username:
https://www.twitter.com/2bcD
4v1dp3r31r41a espera a la
siguiente fecha de conexión
para buscarlo y de esa forma
recibir instrucciones.
Utiliza Alta Latencia.

39. Uso de Twitter, GitHub y Esteganografia para recibir Instrucciones del C2 o C&C;
Caso: Hammertoss
El Archivo Base es: Variante tDiscover
Es un tipo de APT creada por el grupo de Hackers Rusos “APT29”; su función de
comunicación se divide en 5 etapas:
Etapa 2: Tweet de una URL
El Tweet da instrucciones a la víctima para
que descargue el contenido de una URL,
incluyendo cualquier imagen; el hashtag le
indica que el offset de los datos es 303 bytes
en la imagen y que los caracteres para
desencriptarla son: “test”
@d4v1dp3r31r4; sigue a
www.archivo1.github.com # 303test

40. Etapa 3: Ir a GitHub y descargar una imagen
Hammertoss utiliza el
Internet Explorer
Application COM para
visitar la URL y
descargar la imagen al
cache del IExplorer
Uso de Twitter, GitHub y Esteganografia para recibir Instrucciones del C2 o C&C;
Caso: Hammertoss
El Archivo Base es: Variante tDiscover
Es un tipo de APT creada por el grupo de Hackers Rusos “APT29”; su función de
comunicación se divide en 5 etapas:

41. Etapa 4: Esteganografia
El HAMMERTOSS descarga la imagen al
Cache de Iexplorer y de allí la toma para
Desencriptarla basándose en la
información del Hashtag previamente
recibido, para obtener la instrucciones del
Ciberatacante.
Uso de Twitter, GitHub y Esteganografia para recibir Instrucciones del C2 o C&C;
Caso: Hammertoss
El Archivo Base es: Variante tDiscover
Es un tipo de APT creada por el grupo de Hackers Rusos “APT29”; su función de
comunicación se divide en 5 etapas:

42. Etapa 5: Ejecución de Comandos y Exfiltración
El atacante utiliza PowerShell:
powershell –ExecutionPolicy bypass -WindowStyle hidden –
encodedCommand
para ejecutar comandos y subir la información a un Cloud y luego
la descarga.
Uso de Twitter, GitHub y Esteganografia para recibir Instrucciones del C2 o C&C;
Caso: Hammertoss
El Archivo Base es: Variante tDiscover
Es un tipo de APT creada por el grupo de Hackers Rusos “APT29”; su función de
comunicación se divide en 5 etapas:

43. Agenda
• Glosario de Malware
• Técnicas de Detección de Malware
• Análisis Estático de Malware
• Análisis Dinámico de Malware
• Técnicas Avanzadas de Ocultamiento:
• Extensiones VBE
• Powershell
• Redes TOR / I2P
• Técnicas Mixtas (twitter,GitHub,etc)
• 404
• Encripción / Descripción on Runtime
Análisis de Entorno
• WMI

44. Uso del 404 para ocultar tráfico;
Caso: W32/Foreign.LXES!tr
El Archivo Base es: SYADIBJUUFYK.EXE
MD5: e9e90316682cca0cb2c0d7c9a846c05c
Lo interesante de este malware no es su proceso de infección que
es relativamente común: Crea procesos en el registro, lee algunos
archivos, etc; lo interesante comienza cuando se conecta con su
C&C; Utiliza Ping y Pong para saber si su C&C esta disponible……

45. El Archivo Base es:: SYADIBJUUFYK.EXE
Una vez detecta a su C&C al alcance, el Servidor de control le responde el tráfico
escondido dentro de mensajes de Error HTTP 404:
Uso del 404 para ocultar tráfico;Caso: W32/Foreign.LXES!tr
Mensaje Encriptado del C&C

46. El Archivo Base es:: SYADIBJUUFYK.EXE
Al desencriptar el contenido del trafico, podemos ver las instrucciones:
Uso del 404 para ocultar tráfico;Caso: W32/Foreign.LXES!tr

47. Agenda
• Glosario de Malware
• Técnicas de Detección de Malware
• Análisis Estático de Malware
• Análisis Dinámico de Malware
• Técnicas Avanzadas de Ocultamiento:
• Extensiones VBE
• Powershell
• Redes TOR / I2P
• Técnicas Mixtas (twitter,GitHub,etc)
• 404
• Encripción / Descripción on Runtime
Análisis de Entorno
• WMI

48. Detección de Entorno; Caso: Carbanak –
Anunak / W32/Foreign.LXES!tr
Dentro de la Evolución del malware, los desarrolladores en su
búsqueda de la evasión antimalware, implementan nuevas
técnicas;

49. Malware como el Anunak y similares, leen parámetros de ejecución y
variables de entorno de la máquina a fin de detectar si están siendo
ejecutados dentro de un Sandbox, Emulación o Virtualización.
También Pueden usar técnicas de Runtime Control.
Algunos parámetros son:
• Dirección MAC de la Tarjeta de Red
• de las tablas de descripción
• Llaves de Registro que son únicas en Máquinas Virtuales
• Búsqueda de Procesos y Servicios Específicos
• Búsqueda de Herramientas como VMware Tools
• Comportamiento de los Puertos de Red
• Comparación de Valores almacenados
Detección de Entorno; Caso: Carbanak – Anunak /
W32/Foreign.LXES!tr

50. Comportamiento del W32/Foreign.LXES!tr al ser ejecutado:
Detección de Entorno; Caso: Carbanak – Anunak /
W32/Foreign.LXES!tr
API Invocados:
• IsDebuggerPresent
• CheckRemoteDebuggerPresent
Strings Presentes en el API GetUserNameA: Busca estos DLL y los invoca:
Valida que exista el API :
• Wine_get_unix_file_name
Dentro de:
• Kernel32.dll
https://blog.fortinet.com/post/hiding-malicious-traffic-under-the-http-404-error

51. Comportamiento del W32/Foreign.LXES!tr al ser ejecutado:
Detección de Entorno; Caso: Carbanak – Anunak /
W32/Foreign.LXES!tr
Busca estas llaves de registro:
https://blog.fortinet.com/post/hiding-malicious-traffic-under-the-http-404-error

52. Agenda
• Glosario de Malware
• Técnicas de Detección de Malware
• Análisis Estático de Malware
• Análisis Dinámico de Malware
• Técnicas Avanzadas de Ocultamiento:
• Extensiones VBE
• Powershell
• Redes TOR / I2P
• Técnicas Mixtas (twitter,GitHub,etc)
• 404
• Encripción / Descripción on Runtime
Análisis de Entorno
• WMI

53. WMI (Windows Manage. Instrument.); Caso:
Troj_Wmighost.A
Que es WMI – Windows management
instrumentation?
• El WMI es un repositorio, del cual se pueden
leer parámetros de la máquina.
• El WMI puede entregar información tan
importante como usuarios, registro, sistema,
drivers, etc.
• El WMI de Microsoft es el equivalente a WBEM:
Web Based Enterprise Management(java).

54. WMI (Windows Manage. Instrument.); Caso:
Troj_Wmighost.A
Arquitectura WMI
http://blogs.technet.com/b/plataformas/archive/2009/04/12/introducci-n-a-la-soluci-n-de-problemas-de-wmi.aspx

55. WMI (Windows Manage. Instrument.); Caso:
Troj_Wmighost.A
Correlación de Instancias de Clases WMI del Troj_Wmighost.A
http://la.trendmicro.com/media/misc/understanding-wmi-malware-research-paper-en.pdf

56. WMI (Windows Manage. Instrument.); Caso:
Troj_Wmighost.A
http://la.trendmicro.com/media/misc/understanding-wmi-malware-research-paper-en.pdf
Filemonitor_Consumer

57. WMI (Windows Manage. Instrument.); Caso:
Troj_Wmighost.A
http://la.trendmicro.com/media/misc/understanding-wmi-malware-research-paper-en.pdf
Filetrans_Consumer

58. WMI (Windows Manage. Instrument.); Caso:
Troj_Wmighost.A
http://la.trendmicro.com/media/misc/understanding-wmi-malware-research-paper-en.pdf
WMIScriptKids_consumer

59. WMI (Windows Manage. Instrument.); Caso:
Troj_Wmighost.A
http://la.trendmicro.com/media/misc/understanding-wmi-malware-research-paper-en.pdf
ProbeScriptKids_Consumer

60. El Futuro… Ya Está Aquí
http://la.trendmicro.com/media/misc/understanding-wmi-malware-research-paper-en.pdf
• Malware de Diseño Individual
• Malware Hecho a la Medida; (Spear)
Tipo APT
• Malware Modular
• Ultra Alta Latencia (Sparse)
• Explotación de Herramientas de
Automatización de Usuario y de S.O.

61. Preguntas?
David F. Pereira Q.
david.pereira@secpro.org
@d4v1dp3r31r4