Od dwóch dni serwisy zajmujące się bezpieczeństwem komputerowym donoszą o pojawieniu się nowego robaka sieciowego nazwanego Morto. Atakuje on źle zabezpieczone systemy Microsoft Windows wykorzystując do tego celu protokół RDP (Remote Desktop Protocol) wykorzystywany przez tzw. zdalny pulpit. Morto nie eksploituje żadnej luki w oprogramowaniu, a atak polega na próbie odgadnięcia nazwy użytkownika i hasła. Po infekcji robak szuka w sieci kolejnych komputerów z uruchomioną usługą RDP i próbuje je zainfekować. Powoduje to znaczący wzrost ruchu sieciowego na typowym dla tej usługi porcie 3389/TCP. Masową propagację Morto od jej początku obserwujemy dzięki systemowi ARAKIS.

Obserwacje systemu ARAKIS

Regularny wzrost ruchu na porcie 3389/TCP pojawił się 15.08.2011, natomiast 24.08 nastąpił nagły i wyraźny skok, który utrzymywał się do 26.08.

28.08 aktywność na porcie wróciła do normy sprzed masowej propagacji Morto.

Skanowania RDP widziane były zarówno w honeynecie (wykresy powyżej), jak i w darknecie (poniżej).

Poniżej próbka surowego ruchu sieciowego – pakiet „connection request” komponentu X.224 służący do nawiązania połączenia (faza inicjacji połączenia RDP). Widać w nim ustawione „user cookie” (rozpoczynające się od ”mstshash”), które zawiera nazwę użytkownika.

Specjaliści zajmujący się analizą robaka Morto twierdzą, że próbuje się łączyć zawsze na konto „administrator” z użyciem zestawu predefiniowanych haseł. Do honeypotów ARAKIS-a trafiały jednakże próby połączeń zawierające nazwę nie tylko tego użytkownika (chociaż w znacznej większości). Nie wiemy, czy próby połączeń RDP na konta innych użytkowników są też efektem działania tego robaka, czy raczej jest to inne zagrożenie. Stosowane w systemie ARAKIS niskointeraktywne pułapki nie pozwalają nawiązać pełnej sesji z atakującymi (usługa Remote Desktop nie jest w pełni symulowana), przez co nie możemy stwierdzić, czy za wszystkimi próbami włamań stoi Morto.

Uwaga! Z powodu ogromnej ilości danych w dalszych analizach wykorzystaliśmy pełny zapis ruchu sieciowego z pięciu najczęściej atakowanych sond systemu ARAKIS od 20.08 do 28.08.

Poniżej przedstawiamy listę najczęściej wykorzystywanych nazw użytkowników:

Interesujący ciąg znaków znajduje się na piątej pozycji – jest to znak drukowalny („a”) poprzedzony dwoma niedrukowalnymi („FF” i „FE” w kodzie szesnastkowym). Ciekawe wydaje się także użycie „NCRACK_USER” – najprawdopodobniej ktoś nieumiejętnie skorzystał z automatycznego skanera (najprawdopodobniej był to ncrack) – lamerka w wykonaniu script kiddie. Wśród nazw użytkowników znalazły się także słowa w wielu innych niż angielski językach, np. „usuario” (hiszpański), „skannata” (fiński), „administrateur” (francuski), czy „Verwalter” (niemiecki).

Poniżej znajduje się lista sieci (grupowanie po numerach AS), z których widzianych było najwięcej prób połączeń RDP (ataków). Proszę pamiętać, że choć w liście uwzględniono tylko połączenia w których przesłana była nazwa użytkownika (odrzuciliśmy sprawdzania otwartości portu 3389/TCP), to jak wspomniane było wyżej nie mamy pewności, czy wszystkie połączenia związane są z robakiem Morto. Ponadto istnieje prawdopodobieństwo, że źródłowe adresy IP nie są jednoznacznie źródłem ataku – mogą być to pośrednicy, za którymi ukrywa się prawdziwy atakujący. W celu odzwierciedlenia adresu IP na ASN i państwo użyliśmy serwisu IP to ASN Team Cymru.

Przyjrzymy się liczbie unikalnych adresów IP (nie liczbie połączeń). Adres IP, który łączył się wiele razy będzie w tym przypadku miał wartość 1. Ta statystyka ukaże sieci, które miały najwięcej różnych atakujących. Należy pamiętać, że większe sieci z racji „efektu skali” mogą być wyżej.

Lista państw bez podziału na AS-y – całkowita liczba ataków (niezależnie ile unikalnyh adresów IP skanowało):

Lista państw bez podziału na AS-y – liczba unikalnych adresów IP (znowu należy uwzględnić „efekt skali” – kraje z większą liczbą podłączonych do sieci komputerów – potencjalnie więcej zarażonych – mogą być wyżej):

Zarówno aktywność robaka Morto, jak i pozostałe skanowania RDP mogą zostać wykryte za pomocą reguł Snort. W systemie ARAKIS najczęściej dopasowywaną reguła na porcie 3389/TCP jest:

• „ET POLICY RDP connection request” (sid:2001329),
• „ET POLICY MS Remote Desktop Administrator Login Request” (sid:2012709),
• „MISC MS Terminal server request” (sid:1448)
• „ET SCAN Behavioral Unusually fast Terminal Server Traffic, Potential Scan or Infection” (sid:2001972)

Aktywność robaka Morto ma odzwierciedlenie w statystykach reguł snortowych w systemie ARAKIS:

Inne serwisy

Większość znanych serwisów zajmujących się bezpieczeństwem odnotowały pojawienie się robaka Morto. Wzmożona aktywność sieciowa została zauważona przez specjalistów z Internet Storm Center SANS Institute:

• Increased Traffic on Port 3389 (2011-08-25)
• Internet Worm in the Wild (2011-08-29)

Poniżej przedstawiamy wykres aktywności na porcie 3389 obserwowanej przez ISC SANS

Na blogu firmy F-secure znajduje się analiza Morto: Windows Remote Desktop worm „Morto” spreading (2011-08-28). Udostępniona jest lista haseł, które robak używa w celu dostania się do systemu. Jest ona dostępna także w Microsoft Malware Protection Center wraz z dokładnym opisem zagrożenia, w tym co robi na zaatakowanym systemie. Poniżej publikujemy listę haseł z serwisu Microsoft:

Jak donoszą specjaliści z firmy Microsoft, po udanej infekcji robak próbuje łączyć się do następujących serwerów. Listę tą można użyć do wykrycia zainfekowanych systemów we własnej sieci:

W zainfekowanym systemie Morto zabija procesy, które uznaje (po nazwach) za aplikacje związane z bezpieczeństwem. Jest to bardzo popularne działanie wykonywane po infekcji przez złośliwe oprogramowanie.

Niedługo na naszym blogu przedstawimy wyniki dalszych analiz i obserwacji. Stay tuned 😉 .

Aktualizacja!

Zapraszamy do zapoznania się z dokładniejszą analizą aktywności Morto widzianą w systemie ARAKIS: Wizualizacja aktywności Morto