Wat is Bazar Loader en hoe bereid ik me voor?

Wat is Bazar Loader?

Bazar Loader is een bestandsloze aanval die downloadt via de achterdeur waardoor aanvallers extra malware kunnen installeren, vaak gebruikt voor ransomware-aanvallen. Sinds de lancering in april 2020 heeft Bazar Loader een groot aantal organisaties in Noord-Amerika en Europa aangevallen. De algemene aanname is dat Bazar Loader is ontwikkeld door een groep hackers die bekend staat als Trickbot.

Hoe Bazar Loader werkt:

De aflevermethode en het verloop van de aanval

In dit bericht geven we een voorbeeld van een recente Bazar Loader-aanval die we hebben opgevangen en analyseren we deze, waarbij we wijzen op typische Bazar Loader-werkwijzen. In dit specifieke voorbeeld werd de aanval verzonden naar een luchtvaartbedrijf. Soortgelijke aanvallen zijn echter gericht op diverse industrieën en organisaties van verschillende grootte en geografische locaties.

Bazar Loader maakt gebruik van bestaande "e-mail" correspondentie. Het "antwoordt" op een echte e-mailthread met schadelijke inhoud terwijl het social engineering-trucs gebruikt om er legitiem uit te zien en het slachtoffer te lokken.

In veel gevallen geeft de tekst in de onderwerpregel en hoofdtekst van de e-mail een gevoel van urgentie en verleidt het slachtoffer om de bijlage te openen zonder na te denken. Hier is een voorbeeld:

Meestal is het bestand bij de e-mail een ZIP-bestand waarvoor een wachtwoord nodig is. Het wachtwoord zelf staat in de body van de e-mail. Vanuit het perspectief van de aanvaller is de reden voor het gebruik van een bestand met wachtwoordbeveiliging om het moeilijker te maken voor beveiligingsoplossingen om het bestand te scannen. Een mens kan het bestand echter eenvoudig openen, omdat het wachtwoord in de e-mail zelf staat.

Het openen van het ZIP-bestand leidt naar een Microsoft Word-bestand. De .doc zelf toont een bericht waarin wordt gevraagd om een macro uit te voeren om het bestand te kunnen bekijken. Hierdoor wordt de gebruiker verleid om op 'enable content' in de bovenste balk te klikken en kan de macro worden uitgevoerd.

Zoals te zien is in de bovenstaande afbeelding, bevat het bestand kleine tekst verborgen in het wit - dit is de inhoud van het HTA-bestand (HTML-toepassing) dat is opgeslagen op de computer. Standaard worden bestanden met een HTA-extensie uitgevoerd via mshta.exe-een hulpprogramma dat al bestaat en is ondertekend door Windows. Aanvallers gebruiken mshta.exe omdat het al bestaat in Windows en geen argwaan wekt. Daarom is het erg populair onder hackers.

De HTA wordt vervolgens uitgevoerd en communiceert met de server van de slechte actoren. De server stuurt het schadelijke DLL-bestand terug, dat naar de computer wordt geschreven en in het systeem wordt uitgevoerd.

Op dit punt draait de DLL, die de achterdeur is, via regsvr32.exe en maakt communicatie mogelijk met een C2-server die berichten verzendt en ontvangt van de aangevallen computer waardoor aanvallers informatie van de slachtoffers kunnen halen of een ander aanvalsgereedschap naar de computer kunnen downloaden. Onderzoek van deze communicatie toonde aan dat DNS-verzoeken afkomstig zijn van verschillende plaatsen in de wereld, waaronder de VS, Rusland, Duitsland en Panama.

Typische ontwijkings- en anti-debuggingtechnieken

Bazar Loader gebruikt nogal wat trucs om beveiligingsoplossingen te omzeilen en het moeilijk te maken voor beveiligingsonderzoekers om het te ontmaskeren. Hier zijn enkele voorbeelden die werden gebruikt in de specifiek geanalyseerde aanval:

• Het http-verzoek naar de server die het dll-bestand terugstuurt naar de geïnfecteerde computer wordt verzonden met een user agent die geschreven is alsof het van een browser komt. Dit is een manier om beveiligingsoplossingen te omzeilen bij het downloaden van het schadelijke bestand door te communiceren met de server van de aanvaller. Door deze techniek te gebruiken kan de communicatie legitiem lijken.

• Code uitvoeren vóór het traditionele ingangspunt. Debug-software en beveiligingsonderzoekers beginnen meestal met het onderzoeken van bestanden vanaf het traditionele ingangspunt. Daarom kunnen stukjes code die voor dit ingangspunt worden uitgevoerd gemakkelijk worden gemist. Onderzoekers zullen het waarschijnlijk niet opmerken, tenzij ze de instellingen van de debugger van tevoren hebben aangepast of pas nadat de machine is geïnfecteerd.
• Het schadelijke backdoor-bestand bevat een CPU Feature Information (cpuid)-test om te verifiëren dat het een echte computer heeft bereikt in plaats van een virtuele machine. Hierdoor kan het voorkomen dat de malware wordt uitgevoerd of kan het de manier waarop het wordt uitgevoerd wijzigen om de sandbox te omzeilen. Vervolgens wordt de malware uitgevoerd zoals gepland wanneer het eindpunt wordt bereikt.

Concluderend gebruiken Bazar Loader-aanvallen een interessante mix van technieken, van social engineering en het verbergen van het schadelijke bestand achter een met een wachtwoord beveiligde ZIP tot ontwijktechnieken, waardoor het geavanceerde beveiligingsoplossingen en beveiligingsonderzoekers kan omzeilen.

Hoe te verdedigen tegen Bazar Loader?

Bazar Loader wordt steeds populairder en er wordt verwacht dat er meer varianten van Bazar Loader zullen verschijnen, waardoor het traditionele beveiligingsoplossingen kan omzeilen en organisaties kan schaden. Hier zijn enkele tips om je te helpen op je hoede te zijn voor deze aanval en te weten wanneer je twee keer moet nadenken voordat je klikt:

• Is dit echt wie het lijkt te zijn? Trap niet in de val van social engineering, zelfs niet als de e-mail afkomstig is van iemand die je kent of als de e-mailwisseling je bekend voorkomt. Als je deze specifieke e-mail niet verwachtte, als hij op een vreemd tijdstip is aangekomen of als hij andere verdachte kenmerken vertoont, klik dan niet op links of bijgevoegde bestanden.
• Een met een wachtwoord beveiligd bestand zou je argwaan moeten wekken. Hackers weten dat bestanden met een wachtwoordbeveiliging moeilijker te scannen zijn door beveiligingsoplossingen en maken er daarom vaak gebruik van om schadelijke inhoud te versturen. Mocht u zo’n bestand ontvangen (bijvoorbeeld een ZIP-, PDF- of ander bestandstype), wees dan op uw hoede en controleer het zorgvuldig voordat u erop klikt. Is het waarschijnlijk dat de afzender u dit soort bestand zou sturen? Is het logisch dat dit bestand met een wachtwoord is beveiligd? Heeft u deze e-mail verwacht?
• Gebruik geavanceerde beveiligingsoplossingen die geen „snelkoppelingen“ nemen. De meeste e-mailbeveiligingsoplossingen die momenteel op de markt zijn, baseren zich op reputatie of patronen en hebben de neiging om gerenommeerde afzenders te “vertrouwen” in plaats van alle e-mails die van hen binnenkomen grondig te scannen. Op deze manier vermijden deze oplossingen “onnodige” scans van e-mails die als laag risico worden beschouwd. Zoals we al weten, maakt Bazar Loader meestal gebruik van bestaande e-mailthreads die als veilig worden beschouwd. Daardoor zullen veel e-mailbeveiligingsoplossingen deze kwaadaardige e-mails niet eens scannen. In het hier beschreven voorbeeld was de e-mail afkomstig van een vertrouwde bron en zou deze daarom gemakkelijk beveiligingsoplossingen die op reputatie vertrouwen, hebben omzeild. Om u te beschermen tegen Bazar Loader en andere aanvallen die gebruikmaken van vergelijkbare technieken, dient u een geavanceerde oplossing voor bedreigingsbeveiliging in te zetten die alle e-mails scant voordat deze de organisatie binnenkomen, inclusief alle links en bijlagen, en die gespecialiseerd is in het identificeren van het schadelijke onderdeel (in plaats van gespecialiseerd te zijn in het herkennen van patronen). Lees hier meer over Datto SaaS Defense.
• Waarom zou je mshta.exe gebruiken als dat niet nodig is?! Het wordt aanbevolen om het gebruik van mshta.exe binnen de hele organisatie zoveel mogelijk te blokkeren, aangezien mshta.exe het onderdeel is waarmee Bazar Loader het schadelijke bestand kan uitvoeren. Gelukkig heeft mshta.exe in de meeste gevallen geen wezenlijke functie in het dagelijkse werk, dus is het beter om het uit te schakelen.
• Wat moet je doen als je geïnfecteerd bent? Je kunt een Bazar Loader-aanval herkennen door de DNS-verzoeken in de gaten te houden. Verzoeken voor domeinen die eindigen op .bazar wijzen erop dat de computer geïnfecteerd is. Door het domein op dat moment te blokkeren, voorkom je dat de ransomware gegevens verstuurt of zelfs de bestanden versleutelt.

Voor meer informatie over hoe de producten van Datto u kunnen helpen bescherming te bieden tegen ransomware, en met name tegen Bazar Loader, kunt u een kijkje nemen bij Datto SaaS Defense en Datto RMM.