搜索

[12673] 2018-05-06_解码Gh0stRAT变种中的网络数据

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2018-05-06_解码Gh0stRAT变种中的网络数据 解 码 G h 0 s t   R A T 变 种 中 的 网 络 数 据 s e c i s t   F r e e B u f   2 0 1 8 - 0 5 - 0 6 在 今 年 在 今 年 3 月 份 的 一 次 取 证 调 查 中 ， 我 们 找 回 了 一 些 文 件 。 经 过 我 们 初 步 的 判 定 ， 这 些 文 件 极 有 可 能 与 一 个 知 名 组 月 份 的 一 次 取 证 调 查 中 ， 我 们 找 回 了 一 些 文 件 。 经 过 我 们 初 步 的 判 定 ， 这 些 文 件 极 有 可 能 与 一 个 知 名 组 织 织 I r o n   T i g e r 有 关 。 （ 文 件 链 接 请 点 击 有 关 。 （ 文 件 链 接 请 点 击 阅 读 原 文 阅 读 原 文 查 看 ） 查 看 ） 从 我 们 的 研 究 分 析 中 ， 我 们 认 为 攻 击 者 在 此 次 攻 击 中 并 没 有 使 用 任 何 高 级 的 攻 击 技 术 。 实 际 上 ， 攻 击 者 的 主 要 从 我 们 的 研 究 分 析 中 ， 我 们 认 为 攻 击 者 在 此 次 攻 击 中 并 没 有 使 用 任 何 高 级 的 攻 击 技 术 。 实 际 上 ， 攻 击 者 的 主 要 目 标 是 挖 掘 加 密 货 币 。 在 调 查 中 ， 我 们 还 发 现 了 一 些 攻 击 者 使 用 过 的 工 具 ， 例 如 目 标 是 挖 掘 加 密 货 币 。 在 调 查 中 ， 我 们 还 发 现 了 一 些 攻 击 者 使 用 过 的 工 具 ， 例 如 p a s s w o r d   d u m p e r s ， ， M o n e r o 加 密 货 币 矿 工 ， 可 移 动 可 执 行 （ 加 密 货 币 矿 工 ， 可 移 动 可 执 行 （ P E ） 注 入 器 ， 以 及 ） 注 入 器 ， 以 及 G h 0 s t   R A T 的 修 改 版 。 尽 管 的 修 改 版 。 尽 管 B i t d e f e n d e r 和 和 T r e n d M i c r o 已 发 已 发 布 了 对 该 组 织 使 用 的 一 些 工 具 的 详 细 描 述 报 告 布 了 对 该 组 织 使 用 的 一 些 工 具 的 详 细 描 述 报 告 [ 1 ]   [ 2 ] ， 但 我 们 却 并 没 有 找 到 对 此 特 定 修 改 版 本 ， 但 我 们 却 并 没 有 找 到 对 此 特 定 修 改 版 本 G h 0 s t   R A T 的 任 的 任 何 引 用 和 参 考 信 息 。 因 此 ， 这 篇 文 章 的 目 的 就 是 向 大 家 简 要 描 述 ， 该 组 织 所 使 用 的 何 引 用 和 参 考 信 息 。 因 此 ， 这 篇 文 章 的 目 的 就 是 向 大 家 简 要 描 述 ， 该 组 织 所 使 用 的 G h 0 s t   R A T 修 改 版 。 修 改 版 。 恶 意 恶 意 p a y l o a d 首 先 ， 一 个 位 于 C : P r o g r a m D a t a 中 的 一 个 新 文 件 夹 下 并 以 随 机 名 称 命 名 的 恶 意 可 执 行 文 件 会 被 执 行 。 该 文 件 一 旦 执 行 ， 就 会 删 除 一 个 批 处 理 文 件 （ i n s t a l l . b a t ） 和 一 个 c a b i n e t 文 件 （ d a t a . c a b ） 。 c a b i n e t 文 件 包 含 两 个 文 件 ： 部 分 加 密 的 恶 意 s h e l l c o d e 和 将 执 行 恶 意 s h e l l c o d e 的 动 态 链 接 库 （ D L L ） 。 然 后 恶 意 可 执 行 文 件 将 执 行 批 处 理 文 件 ， 该 文 件 将 解 压 缩 并 执 行 D L L 文 件 。 权 限 维 持 主 要 是 通 过 创 建 新 服 务 或 新 注 册 表 项 来 实 现 的 ， 具 体 取 决 于 恶 意 软 件 具 有 的 权 限 。 一 旦 将 执 行 传 递 给 s h e l l c o d e ， 它 将 使 用 单 个 字 节 作 为 e X c l u s i v e   O R （ X O R ） 循 环 中 的 密 钥 ， 来 解 密 其 余 的 加 密 数 据 。 解 密 后 ， 我 们 可 以 看 到 以 下 的 字 符 串 ： s h e l l c o d e 的 主 要 目 标 是 在 内 存 中 加 载 和 执 行 攻 击 者 的 插 件 。 被 修 改 的 被 修 改 的 G h 0 s t   R A T 在 分 析 以 前 的 文 件 时 ， 我 们 发 现 了 一 个 名 为 ’ P l u g i n s ’ 的 文 件 夹 ， 里 面 有 一 些 有 趣 的 D L L 和 两 个 需 要 执 行 密 码 的 文 件 （ 如 下 图 所 示 ） 。 逆 向 分 析 后 ， 我 们 发 现 密 码 没 有 被 硬 编 码 。   相 反 ， 密 码 基 于 当 前 的 年 份 和 月 份 。 例 如 ， 2 0 1 8 年 3 月 份 的 密 码 是 ’ 2 0 1 8 0 3 ’ 。 第 一 个 名 为 ’ N o o d l e s ’ 的 文 件 ， 似 乎 是 基 于 编 译 日 期 和 功 能 的 G h 0 s t   R A T 旧 的 修 改 版 本 。 名 为 ’ M o z i l l a ’ 的 第 二 个 文 件 是 用 于 此 次 攻 击 的 主 要 工 具 。 我 们 可 以 在 下 面 看 到 两 个 面 板 的 外 观 ： 目 前 ， 这 两 种 工 具 都 可 以 侦 听 任 何 给 定 的 端 口 ， 但 只 有 ’ M o z i l l a ’ 可 以 连 接 到 绑 定 端 口 。 支 持 的 协 议 包 括 安 全 套 接 字 层 （ S S L ） 和 传 输 控 制 协 议 （ T C P ） 。 列 表 中 其 中 一 个 协 议 被 命 名 ， 但 目 前 还 不 支 持 ， 并 显 示 错 误 消 息 。 这 可 能 表 明 这 个 工 具 仍 在 开 发 中 ， 并 且 计 划 增 加 额 外 的 功 能 。 另 外 ， 对 M o z i l l a 工 具 的 分 析 确 定 了 二 进 制 内 的 程 序 数 据 库 （ P D B ） 路 径 ： K : M o z i l l a M o z i l l a v 6 . 0 . x _ d l l W o r k A c t i v e R e l e a s e M o z i l l a . p d b 该 工 具 严 重 依 赖 于 插 件 。   当 有 新 的 受 害 者 连 接 时 ， 攻 击 者 可 以 使 用 P l u g i n M a n a g e r 将 新 插 件 加 载 到 受 感 染 的 机 器 。 M i c r o s o f t . W i n d o w s . B N G | [ C & C   I P   a d d r e s s ] : 4 4 3 ; | 1 ; 1 ; 1 ; 1 ; 1 ; 1 ; 1 ; | 0 0 - 2 4 ; | 1
大 多 数 可 用 的 插 件 都 基 于 G h 0 s t   R A T 源 码 ， 并 且 可 以 在 下 面 找 到 它 们 的 摘 要 ： 网 络 通 信 网 络 通 信 受 害 者 和 攻 击 者 之 间 的 网 络 流 量 使 用 R i v e s t   C i p h e r   4 （ R C 4 ） 加 密 。 密 钥 对 于 每 个 请 求 都 是 唯 一 的 ， 并 且 使 用 ’ X O R ’ 和 ’ A N D ’ 指 令 进 行 加 密 。 密 钥 存 储 在 请 求 的 前 2 8 个 字 节 中 。 我 们 编 写 了 一 个 P y t h o n 脚 本 ， 将 网 络 捕 获 （ P C A P ） 作 为 输 入 并 对 其 进 行 解 密 ， 你 可 以 在 我 们 的 G i t h u b 存 储 库 中 找 到 它 ： h t t p s : / / g i t h u b . c o m / n c c g r o u p / C y b e r - D e f e n c e / t r e e / m a s t e r / S c r i p t s / g h 0 s t _ v a r i a n t _ c 2 例 如 ， 下 面 我 们 可 以 在 名 为 s e n t 的 机 器 上 看 到 受 害 者 和 C 2 服 务 器 之 间 的 初 始 连 接 ， 数 据 到 服 务 器 . . 并 且 在 P E 文 件 的 独 特 开 头 下 面 可 以 看 到 ， 因 为 插 件 已 被 传 送 到 客 户 端 。 数 据 到 客 户 端 . . I O C s 命 令 和 控 制 （ C & C )   I P ： 2 3 . 2 2 7 . 2 0 7 . 1 3 7 8 9 . 2 4 9 . 6 5 . 1 9 4 恶 意 文 件 目 录 ： C : P r o g r a m D a t a H I D M g r C : P r o g r a m D a t a R a s c o n C : P r o g r a m D a t a T r k S v r 恶 意 服 务 名 称 ： H I D M g r R a s c o n M a n T r k S v r 用 于 持 久 性 的 注 册 表 项 ： 文 件 名 和 哈 希 ： [ i ]   F o u n d   k e y :   C 8 4 1 0 0 6 1 4 4 0 A 0 1 c 7 6 2 F A 9 0 0 0 0 0 0 0 0 0 0 0 :   0 5 0 1 5 7 0 0 4 9 0 0 4 E 0 0     2 D 0 0 5 1 0 0 4 7 0 0 4 F 0 0     . . W . I . N . - . Q . G . O . 0 0 0 0 0 0 1 0 :   3 4 0 0 4 3 0 0 5 1 0 0 4 E 0 0     4 9 0 0 4 F 0 0 4 E 0 0 3 5 0 0     4 . C . Q . N . I . O . N . 5 . [ i ]   F o u n d   k e y :   C 8 4 1 0 0 6 8 0 4 E C 0 8 9 c 8 4 E A 9 0 2 0 0 0 0 0 0 0 0 0 :   4 D 5 A 9 0 0 0 0 3 0 0 0 0 0 0     0 4 0 0 0 0 0 0 F F F F 0 0 0 0     M Z . . . . . . . . . . . . . . 0 0 0 0 0 0 1 0 :   B 8 0 0 0 0 0 0 0 0 0 0 0 0 0 0     4 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0     . . . . . . . . @ . . . . . . . 0 0 0 0 0 0 2 0 :   0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0     0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0     . . . . . . . . . . . . . . . . 0 0 0 0 0 0 3 0 :   0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0     0 0 0 0 0 0 0 0 F 0 0 0 0 0 0 0     . . . . . . . . . . . . . . . . 0 0 0 0 0 0 4 0 :   0 E 1 F B A 0 E 0 0 B 4 0 9 C D     2 1 B 8 0 1 4 C C D 2 1 5 4 6 8     . . . . . . . . ! . . L . ! T h 0 0 0 0 0 0 5 0 :   6 9 7 3 2 0 7 0 7 2 6 F 6 7 7 2     6 1 6 D 2 0 6 3 6 1 6 E 6 E 6 F     i s   p r o g r a m   c a n n o 0 0 0 0 0 0 6 0 :   7 4 2 0 6 2 6 5 2 0 7 2 7 5 6 E     2 0 6 9 6 E 2 0 4 4 4 F 5 3 2 0     t   b e   r u n   i n   D O S 0 0 0 0 0 0 7 0 :   6 D 6 F 6 4 6 5 2 E 0 D 0 D 0 A     2 4 0 0 0 0 0 0 0 0 0 0 0 0 0 0     m o d e . . . . $ . . . . . . . ‘ r u n d l l 3 2 . e x e _ m a l i c i o u s _ D L L _ p a t h ’   i n   ‘ H K C U S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n ’
文 件 名 文 件 名 H a s h ( S H A - 2 5 6 ) M o z i l l a . e x e E E 0 4 B 3 2 4 F 7 E 2 5 B 5 9 D 3 4 1 2 2 3 2 A 7 9 D 1 8 7 8 6 3 2 D 6 8 1 7 C 3 B B 4 9 5 0 0 B 2 1 4 B F 1 9 A F A 4 E 2 C U p d a t e p r o x y . d l l 0 B A 4 9 F E B 7 7 8 4 E 6 D 3 3 D 8 2 1 B 3 6 C 5 C 6 6 9 D 0 9 E 5 8 B 6 7 9 5 A C A 3 E E B B F 1 0 4 B 7 6 3 B 3 B 3 C 2 0 T e l n e t . d l l 3 3 B 7 4 0 7 E 5 3 4 B 4 6 B F 8 E C 0 6 D 9 F 4 5 E C D 2 D 3 C 7 D 9 5 4 3 4 0 6 6 9 E 9 4 C D 7 C E D C B A E 5 B A D 2 D D S o c k s . d l l 6 1 6 0 A F 3 8 3 7 9 4 2 1 2 B 6 A D 8 A B 9 D 6 D 1 0 4 B B E 7 A E F B 2 2 4 1 0 F 3 A B 8 E A 2 3 8 F 9 8 D A B F C 4 8 B 7 S h e l l . d l l C 6 3 B 0 1 C 4 0 0 3 8 C A 0 7 6 0 7 2 A 3 5 9 1 3 F 5 6 D 8 2 E 3 2 F C E E 3 5 6 7 6 5 0 F 3 3 9 2 B 5 C 5 D A 0 0 0 4 5 4 8 S e s s i o n . d l l D 5 1 E C 4 A C E A F A 9 7 1 E 7 A B D 0 C F 4 D 2 7 5 3 9 A 4 2 1 2 A 4 4 8 2 6 8 E F 1 D B 2 8 5 C D 9 C E 9 0 2 4 D 6 E B 3 S c r e e n . d l l B D 8 0 8 6 D E 4 4 E 1 6 E F D D 3 8 0 E 2 3 E 4 9 C 4 0 5 8 D 9 5 6 5 3 8 B 0 1 E 1 A E 9 9 9 B 6 7 9 B 6 B 7 6 B 6 4 3 C 7 D P o r t . d l l B 4 4 A 9 5 4 5 B 6 9 7 B 4 D 4 6 D 5 B 9 6 8 6 2 A 6 F 1 9 E A 7 2 F 8 9 F E D 2 7 9 F 5 6 3 0 9 B 2 F 2 4 5 A C 8 3 8 0 B E 0 F i l e . d l l F 4 D F 9 7 1 0 8 F 1 8 6 5 4 0 8 9 C F B 8 6 3 F 2 A 4 5 A A 4 1 D 1 7 A 3 C E 8 A 4 4 C C C C 4 7 4 F 2 8 1 A 2 0 1 2 3 4 3 6 C o n E m u . e x e D 3 1 D 3 8 4 0 3 E 0 3 9 F 5 9 3 8 A E 8 A 5 2 9 7 F 3 5 E B 5 3 4 3 B B 9 3 6 2 D 0 8 4 9 9 B 1 E 0 7 F A D 3 9 3 6 C E 6 F 7 N o o d l e s . e x e A 5 9 1 D 4 D 5 B 8 D 2 3 F F 1 2 E 4 4 A 3 0 1 C E 5 D 4 D 9 B F 9 6 6 E B A 0 F C 0 0 6 8 0 8 5 B 4 B 4 E C 3 C E 3 5 2 9 6 3 C o a l . e x e   ( M a l i c i o u s   e x e c u t a b l e ) E E B F F 2 1 D E F 4 9 A F 4 E 8 5 C 2 6 5 2 3 A F 2 A D 6 5 9 1 2 5 A 0 7 A 0 9 D B 5 0 A C 0 6 B D 3 7 4 6 4 8 3 C 8 9 F 9 D A b g . e x e   ( M a l i c i o u s   e x e c u t a b l e ) 9 7 B 9 D 7 E 1 6 C D 6 B 7 8 A 0 9 0 E 9 F A 7 8 6 3 B D 9 A 5 7 E A 5 B B E 6 A E 4 4 3 F A 7 8 8 6 0 3 E E E 5 D A 0 B F C 3 2 3 d . e x e   ( M a l i c i o u s   e x e c u t a b l e ) B 6 C 2 1 C 2 6 A E F 7 5 A D 7 0 9 F 6 C 9 C F A 8 4 B F A 1 5 B 7 E E 7 0 9 5 8 8 3 8 2 C E 4 B C 3 5 4 4 A 0 4 B C E B 6 6 1 8 9 d . e x e   ( M a l i c i o u s   e x e c u t a b l e ) D B 9 B 9 F A 9 E F A 5 3 6 6 2 E C 2 7 F 4 B 7 4 B 7 9 E 7 4 5 F 5 4 B 6 C 3 0 C 5 4 7 A 4 E 5 B D 2 7 5 4 E 9 F 6 3 5 F 6 D B 参 考 参 考 h t t p s : / / w w w . e r a i . c o m / C u s t o m U p l o a d s / c a / w p / 2 0 1 5 _ 1 2 _ w p _ o p e r a t i o n _ i r o n _ t i g e r . p d f h t t p s : / / l a b s . b i t d e f e n d e r . c o m / w p - c o n t e n t / u p l o a d s / d o w n l o a d s / o p e r a t i o n - p z c h a o - i n s i d e - a - h i g h l y - s p e c i a l i z e d - e s p i o n a g e - i n f r a s t r u c t u r e / * 参 考 来 源 ： 参 考 来 源 ： n c c g r o u p ， ， F B 小 编 小 编   s e c i s t   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理