Virus / Malware onderzoek (Powershell / Chrome)

[Tadango]

Ik wil hier mijn ervaring delen met iets waarvan ik eerst dacht dat het een bug was in Chrome maar wat nu op een Virus / Malware lijkt. De laatste 2 dagen had ik het probleem dat Chrome erg vaak zelf afsloot. Soms na een paar uur, soms na 5 minuten. Soms deed ik niets anders dan een artikel lezen op Tweakers. Dit leek op een bug van eerder dit jaar maar was nu extreem. Wellicht interresant voor anderen dus daarom plaats ik hier mijn bevindingen.

Wat achtergrond info:
- Windows 11, laatste versie (vandaag net geupdate, probleem hetzelfde)
- Laatste versie Chrome
- Afsluiten leek random (geen specifieke actie die het veroorzaakte) maar redelijk regelmatig

Als eerste eens gekeken of er gekke extensies zichtbaar waren, maar ik zag niets bijzonders (initeel). Alles uitgeschakeld maar het had geen effect. Daarna allen verwijderd en instellingen gereset, cache geleegd enz. Probleem bleef uiteraard. WIndows logbook toonde geen fouten rond dat moment, dus crashte chrome wel echt? Ik ontdekte in de shortcut dat er een extensie vanaf een map in C:\Gebruikers\<naam>\allerleitekens werd ingelezen... Dus alarm ging af en het onderzoek naar die map begon.

Die map was recent gemaakt en bevatte javascript met verborgen code en deed zich voor als Google Sheets oid, dus malware of een virus. Ik zag niet direct wat het kon zijn maar zeg ergens de term die me deed denken aan een crypto mining malware dus zoiets zal het zijn. De map verdwijnen en de shortcut opschonen was van korte duur natuurlijk want na een paar minuten werd chrome afgesloten, werd de map weer aangemaakt en was de shortcut weer aangepast.

Het is duidelijk wat er gebeurd, maar waarom heeft Windows Defender niets gezien? AVG Free even gedraaid maar die zag ook geen bedreigingen.... dan maar zelf de bron achterhalen. Taakbeheer toonde 2 powershell scripts met flink wat geheugen verbruik. Deze afgesloten, chrome opgeschoond en de map bleef weg en chrome draaide prima voor een paar uur. De powershell scripts wil ik nu achterhalen, maar welke scripts draaien er? Dat toont taskmanager niet uiteraard dus dat is nu de volgende stap: Achterhalen waar die powershell scripts zich bevinden. Daarnaast draaien deze direct na het opstarten maar de bron daarvan heb ik ook niet gevonden. Via taak beheer is alles uitgeschakeld en is er niets bijzonders te zien. Ook via het registry en het start menu zijn er geen run items te zien. Dan rest nog de Task Scheduler maar ook daar zie ik niets bijzonders (en die wil ik niet direct allemaal stopzetten).

Ik hoor graag wat tips over de powershell taken welke draaien. Hoe kan ik daarvan achterhalen wat deze doen? Welke scripts ze verwerken? Is daar tooling voor?

[EricJH]

Kijk eens met Autoruns of je verdachte startup entries ziet.

[Tadango]

EricJH schreef op donderdag 10 november 2022 @ 05:38:
Kijk eens met Autoruns of je verdachte startup entries ziet.

Kijk, dat is handig. Daar zie ik 1 powershell startup (C:\Windows\System32\deea139d-1128-41e7-a982-5e182961ce9f.ps1) met vreemde base64 encode data. Die gaan we dus eens decoden en bekijken.

Helaas is de malware nu rustig. Gisteravond was ik ook aan het testen en spelen en opeens deed deze niets (ik had alleen bepaalde startup items uit en aan gezet). Ik heb nog een Antivirus tool geprobeerd maar deze vond ook 0 bedrijgingen.

[reneetjuhh1991]

Tadango schreef op donderdag 10 november 2022 @ 08:35:
[...] Ik heb nog een Antivirus tool geprobeerd maar deze vond ook 0 bedrijgingen.

Welke tool heb je geprobeerd? Je zou nog MalwareBytes kunnen proberen, of Sophos Home (vereist wel een account en is cloud-based met AI).

Helaas is niet alles altijd te traceren door een AV, het kan iets recents zijn waarbij je een van de eerste slachtoffers bent. Maar het kan ook zijn dat de 'malware' alleen maar scripts in een bepaalde map zet en je chrome URL aanpast dat deze scripts mee wordt ingeladen. Als de scripts zelf geen malicious code bevat dan zal de anti-virus er niet op triggeren. Pas op het moment dat het script malicious code aanroept vanaf het internet is er een threat.

Ik kan echter niet verklaren waarom de AV niet getriggerd wordt op dat moment. Want daar zou zeker Defender wél op moeten triggeren. (Tenzij het een CVE is die nog bekend is of waar nog geen oplossing voor is.) Voor Chrome heb je echter wel de Defender extension nodig om 100% gebruik te kunnen maken van alle beveiligingsfuncties die Defender biedt.

Verder wat betreft het powershell script: je zou de vermoedelijke boosdoener kunnen hernoemen naar iets randoms, zorg er wel voor dat je ook de file-extension aanpast dan. Dan ben je er snel genoeg achter wat het was. Mocht het dan toch iets systemcritical zijn dan kun je het ook weer snel herstellen.

Als je wil uitzoeken welk script er draait kun je het beste even werken met procmon (https://learn.microsoft.c...ternals/downloads/procmon)

Via het menu Options > Select Columns... de optie "Command line" aanvinken
Filter toepassen op type "process name" met als string "powershell.exe" (vergeet niet op Add te drukken).
Vervolgens kun je in de command line zien welk script er uitgevoerd wordt door welk powershell process.

Op basis van het PID kun je in Task Manager onder het detail tab het process ook killen. Let wel; procmon werkt meer als een logboek dan real-time monitoring van processen, dus je blijft het proces zien in je overzicht in procmon. Eerste keer dat ik er op deze manier mee gewerkt heb schrok ik me de t****g omdat ik dacht dat het process zichzelf weer herstart had en ik het niet gekilled kreeg, met een herinstallatie als gevolg.

Uiteraard is een full wipe en herinstallatie wel het raadzame remedie om 100% zeker te zijn dat er geen resten/backdoors achterblijven

[Voor 12% gewijzigd door reneetjuhh1991 op 10-11-2022 09:30. Reden: Aanvulling]

[Tadango]

Windows Defender, TotalAV, AVG Free edg heb ik geprobeerd aangezien deze gratis te gebruiken zijn.

Procmon is een goede tip, ga ik noteren.

Op dit moment wordt Chrome niet meer aangevallen. Het zou kunnen dat er malware draait wat wacht op instructies en dat de control server tijdelijk de chrome aanval uitvoerde maar omdat chrome continu wordt afgesloten viel dat teveel op en hebben ze dat gestopt? De chrome extensie bestanden waren van 3-11 terwijl het powershell script al van 19-9 is.

Powershell wordt ik ook niet veel wijzer uit, maar het is zeker malware gezien deze opzet:

code:

$fname = 'V';
$fname += 'i';
$fname += 'r';
$fname += 't';
$fname += 'u';
$fname += 'a';
$fname += 'l';
$fname += 'A';
$fname += 'l';
$fname += 'l';
$fname += 'o';
$fname += 'c';
$func = Get-Func 'Kernel32.dll' $fname @([IntPtr], [IntPtr], [uint32], [uint32]) ([IntPtr]);

$dat = [Convert]::FromBase64String($dat);
$patch = $func.Invoke(0, 8208, 12288, 64);
[Runtime.InteropServices.Marshal]::Copy($dat, 0, $patch, 8208);

Waarbij $dat een stuk base64 encoded data is. Deze geeft weinig info als ik het decode. Ik zie wel op het eind:

code:

<?xml version='1.0' encoding='UTF-8' standalone='yes'?>
<assembly xmlns='urn:schemas-microsoft-com:asm.v1' manifestVersion='1.0'>
  <trustInfo xmlns="urn:schemas-microsoft-com:asm.v3">
    <security>
      <requestedPrivileges>
        <requestedExecutionLevel level='asInvoker' uiAccess='false' />
      </requestedPrivileges>
    </security>

Momenteel draaien er 3 powershell processen dus ik ga met procmon deze bekijken. 1 van die 3 zal het gevonden proces zijn wat gestart wordt via de Taak planner.

Ah, 1 van de andere powershell processen maakt elke minuut een verbinding naar ip-93-115-20-78-76030.vps.hosted-by-mvps.net Dat klinkt als een control server check.

[Voor 4% gewijzigd door Tadango op 10-11-2022 09:48]

[reneetjuhh1991]

Dat script ziet er niet heel erg zuiver uit, al heb ik te weinig inhoudelijke kennis van PS-scripts om er een logisch oordeel over te doen. Een rename er van zal het uitsluiten. Het script kan uiteraard ook iets anders zijn wat nu verdacht lijkt maar er niets mee van doen heeft.

Een theorie:
Het zou ook nog kunnen dat het script zichzelf verwijderd na uitvoeren. Het past immers de snelkppelingen naar Chrome aan om de malware mee op te laten starten met Chrome.

Meeste mensen krijgen geen argwaan als Chrome 1x crasht en kijken er daarna niet meer naar om terwijl er dan gewoon malware mee draait zonder weten van en omdat Chrome via een shortcut wordt aangroepen die de malware mee op start is het script niet meer nodig is.

Maar om daar achter te komen zou je iedere beweging door je systeem moeten volgen en monitoren, dat is geen doen en achteraf ook niet meer te herleiden.

[Tadango]

reneetjuhh1991 schreef op donderdag 10 november 2022 @ 10:03:
Dat script ziet er niet heel erg zuiver uit, al heb ik te weinig inhoudelijke kennis van PS-scripts om er een logisch oordeel over te doen. Een rename er van zal het uitsluiten. Het script kan uiteraard ook iets anders zijn wat nu verdacht lijkt maar er niets mee van doen heeft.

Een theorie:
Het zou ook nog kunnen dat het script zichzelf verwijderd na uitvoeren. Het past immers de snelkppelingen naar Chrome aan om de malware mee op te laten starten met Chrome.

Meeste mensen krijgen geen argwaan als Chrome 1x crasht en kijken er daarna niet meer naar om terwijl er dan gewoon malware mee draait zonder weten van en omdat Chrome via een shortcut wordt aangroepen die de malware mee op start is het script niet meer nodig.

Maar om daar achter te komen zou je iedere beweging door je systeem moeten volgen en monitoren, dat is geen doen en achteraf ook niet meer te herleiden.

Klopt. De chrome aanpassing is nu ook gestopt maar kwam duidelijk door de powershell scripts zag ik gisteren. Dit zal 1 van de vele aanvallen zijn geweest via deze malware. Ik heb 2 IP's gevonden waarmee een connectie werdt gemaakt. 1 continu verbinding en een 2e verbinding die elke minuut er kort was. Beiden http. Dat IP heeft een aantal poorten open waaronder RDP.

Ik scan nu alles op http verbindingen gezien virussen en malware vaak geen https gebruiken Niets bijzonders tot nu toe. Het powershell script is uitgeschakeld dus ik verwacht geen problemen verder.

[MrMonkE]

Weet je hoe het is binnen gekomen?
Ik had laatst een narrow mis.
Blueray gedownload... iso.. doucble click.
Mounted ik double click de file .. extensie.. .SCR oops.
Gelukkig zat ik in linux

[Voor 70% gewijzigd door MrMonkE op 10-11-2022 10:18]

[Tadango]

MrMonkE schreef op donderdag 10 november 2022 @ 10:17:
Weet je hoe het is binnen gekomen?

Nee, geen idee. Het lijkt er al lang op te staan. De symtomen begonnen 2 dagen geleden toen chrome erg vaak afsloot.

[reneetjuhh1991]

Tadango schreef op donderdag 10 november 2022 @ 10:11:
[...]
Ik heb 2 IP's gevonden waarmee een connectie werdt gemaakt. 1 continu verbinding en een 2e verbinding die elke minuut er kort was. Beiden http. Dat IP heeft een aantal poorten open waaronder RDP.

Zou een hijack kunnen zijn van iemand die op zijn eigen PC/thuisserver RDP open heeft staan naar het netwerk. Genoeg hobbyisten die dat doen zonder additional security. Dan fungeert dat apparaat nu mooi als de bron en de boosdoener kan hem mooi via RDP benaderen om zijn 'beheer' te doen.

Kun je een land van herkomst herleiden aan de IP's?

[Tadango]

reneetjuhh1991 schreef op donderdag 10 november 2022 @ 10:45:
[...]


Zou een hijack kunnen zijn van iemand die op zijn eigen PC/thuisserver RDP open heeft staan naar het netwerk. Genoeg hobbyisten die dat doen zonder additional security. Dan fungeert dat apparaat nu mooi als de bron en de boosdoener kan hem mooi via RDP benaderen om zijn 'beheer' te doen.

Kun je een land van herkomst herleiden aan de IP's?

ip-93-115-20-78-76030.vps.hosted-by-mvps.net is waar elke minuut een verbinding naar wordt gemaakt, en deze heeft een RDP open staan (en 4 web apps). Is cloud hosting dus kan iedereen van overal zijn.

De continue verbinding naar 192.64.119.130 is wat interesanter. Is van Namecheap, Inc., een USA hosting bedrijf. Als je verder kijkt heeft op dat IP al wat meer discutable websites gedraaid. Ik zal hun eens emailen, ben benieuwd naar de reactie.

[reneetjuhh1991]

Ik ben, met jou, heel benieud wat daar uit komt.
Let us know

[Tadango]

Btw, Malware bytes ook eens gedownload en die zag een PowerShell Tasker trojan, en een Bitcoin Miner in de Chrome / Edge extensie. Gek genoeg vond die het powershell script wat ik onderzoek niet verdacht..... Dus nu ben ik benieuwd of the Tasker trojan het andere Powershell script had toegevoegd of andersom.

[reneetjuhh1991]

Zou uiteraard ook nog kunnen dat het andere script gewoon iets van Microsoft is, aangezien er ook een trust verwijzing in staat naar MS. Desalniettemin gelukkig ziet malwarebytes het wel en ruimt die het netjes op.

[EricJH]

Je kunt als gratis second opinion scanner ook Emsisoft Emergency Kit en Hitman Pro draaien.

Edit:
Mogelijk heb je met een fileless malware te maken: https://www.trellix.com/e...-is-fileless-malware.html .

[Voor 45% gewijzigd door EricJH op 10-11-2022 20:42]

[reneetjuhh1991]

Nog een toevoeging waar ik gisteren op stuite omdat ik zelf ook eens verder ging denken en onderzoeken wat voor middelen er allemaal zijn om malware te bestrijden.

Microsoft heeft een tooltje MSERT afgekort: https://learn.microsoft.c...nload?view=o365-worldwide

Wellicht dat die nog wat dingen opvist, zo kwam ik er achter dat ik op een van m'n gamebakken een stukje malware had zitten die MS Defender steeds op disabled zet, opzich niet zo'n ramp aangezien ik gebruik maak van 3rd party anti-virus, maar wel bijzonder dat deze niet werdt opgepikt door de betreffende AV.

[Tadango]

reneetjuhh1991 schreef op vrijdag 11 november 2022 @ 09:56:
Nog een toevoeging waar ik gisteren op stuite omdat ik zelf ook eens verder ging denken en onderzoeken wat voor middelen er allemaal zijn om malware te bestrijden.

Microsoft heeft een tooltje MSERT afgekort: https://learn.microsoft.c...nload?view=o365-worldwide

Wellicht dat die nog wat dingen opvist, zo kwam ik er achter dat ik op een van m'n gamebakken een stukje malware had zitten die MS Defender steeds op disabled zet, opzich niet zo'n ramp aangezien ik gebruik maak van 3rd party anti-virus, maar wel bijzonder dat deze niet werdt opgepikt door de betreffende AV.

Die tool heb ik ook gedraaid.... duurt ruim 2 uur, zegt dat er iets verwijderd is en sluit dan? Waar is mijn overzicht van verwijderde bestanden???? Het "overzicht" met problemen toonde 1 trojan zonder enige detail). Er waren ruim 270 geinfecteerde bestanden waarvan een hoop false positives (ik zag welke mappen hij scande op dat moment) maar nergens een lijst....

Ik raad deze tool af omdat ik geen idee heb wat het doet en hij wellicht meer kapot maakt dan oplost.

[reneetjuhh1991]

In principe is het zo dat als het meer kapot maakt dan oplost dat je OS zo corrupt is dat een herinstallatie het enige remedie is.

Er is wel een mogelijkheid om de details te zien maar die zijn ook nog enigzins beperkt.
Is een linkje naast het schildje aan het einde

[Tadango]

Ja, en daar stond 1 regel met een trojan naam en een link naar internet. Geen enkele indicatie welk bestand deze in zat... (was een defender disabler btw )

[F_J_K]

Ik verplaats even van Windows clients naar de P&B-buren

Staat het detail-log niet in C:\Windows\Debug\msert.log ?

Welk trojan? Maar inderdaad: als je besmet bent met trojan is m.i. de enige werkwijze: backup, format, herinstallatie, beveiliging weer op orde, backup heel voorzichtig restoren.

[Tadango]

F_J_K schreef op vrijdag 11 november 2022 @ 15:46:
Ik verplaats even van Windows clients naar de P&B-buren

Staat het detail-log niet in C:\Windows\Debug\msert.log ?

Welk trojan? Maar inderdaad: als je besmet bent met trojan is m.i. de enige werkwijze: backup, format, herinstallatie, beveiliging weer op orde, backup heel voorzichtig restoren.

Ah ja, daar staat iets logging.

Threat Detected: VirTool:Win32/DefenderTamperingRestore and Removed!
Action: Remove, Result: 0x00000000
regkeyvalue://hklm\software\microsoft\windows defender\\DisableAntiSpyware
SigSeq: 0x0000055555C57273

Maar... er waren 270 infected files..... en niets in de log daarover?