搜索

[13875] 2019-03-16_澳大利亚议会网络攻击活动相关的恶意程序分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-03-16_澳大利亚议会网络攻击活动相关的恶意程序分析 澳 大 利 亚 议 会 网 络 攻 击 活 动 相 关 的 恶 意 程 序 分 析 c l o u d s   F r e e B u f   2 0 1 9 - 0 3 - 1 6 2 月 初 ， 澳 大 利 亚 月 初 ， 澳 大 利 亚 议 会 遭 遇 了 一 场 有 针 对 性 的 网 络 攻 击 。 据 议 会 遭 遇 了 一 场 有 针 对 性 的 网 络 攻 击 。 据 B B C 消 息 ， 澳 大 利 亚 总 理 莫 里 森 声 称 ： 黑 客 曾 试 图 入 侵 澳 大 利 亚 议 会 消 息 ， 澳 大 利 亚 总 理 莫 里 森 声 称 ： 黑 客 曾 试 图 入 侵 澳 大 利 亚 议 会 网 络 系 统 ， 且 在 国 家 联 邦 选 举 前 几 个 月 ， 就 已 秘 密 潜 伏 在 了 执 政 的 联 盟 党 和 反 对 党 工 党 的 网 络 中 ， 好 在 澳 大 利 网 络 系 统 ， 且 在 国 家 联 邦 选 举 前 几 个 月 ， 就 已 秘 密 潜 伏 在 了 执 政 的 联 盟 党 和 反 对 党 工 党 的 网 络 中 ， 好 在 澳 大 利 亚 网 络 安 全 中 心 （ 亚 网 络 安 全 中 心 （ A u s t r a l i a n   C y b e r   S e c u r i t y   C e n t r e ,   A C S C ） 及 时 对 攻 击 进 行 了 遏 制 防 范 。 另 外 ， 负 责 信 息 安 ） 及 时 对 攻 击 进 行 了 遏 制 防 范 。 另 外 ， 负 责 信 息 安 全 的 澳 大 利 亚 信 号 局 （ 全 的 澳 大 利 亚 信 号 局 （ A S D ） 将 会 与 议 会 事 务 部 （ ） 将 会 与 议 会 事 务 部 （ D P S ） 一 起 对 该 起 攻 击 事 件 进 行 调 查 。 ） 一 起 对 该 起 攻 击 事 件 进 行 调 查 。 澳 总 理 的 声 明 中 指 出 ， 攻 击 幕 后 黑 手 为 活 动 于 亚 太 地 区 的 国 家 支 持 型 A P T 黑 客 组 织 ， 但 却 未 在 官 方 声 明 中 给 出 明 显 指 向 ， 也 没 公 布 任 何 与 黑 客 组 织 相 关 的 证 据 。 只 是 澳 大 利 亚 网 络 安 全 中 心 （ A C S C ） 公 布 了 此 次 网 络 攻 击 中 黑 客 所 使 用 的 一 些 恶 意 程 序 样 本 ， 为 此 ， 安 全 公 司 C y b a z e - Y o r o i   打 算 从 这 里 入 手 ， 来 分 析 该 A P T 黑 客 组 织 的 一 些 能 力 特 点 和 攻 击 手 法 。 技 术 分 析 技 术 分 析 据 分 析 ， 所 有 给 出 的 样 本 都 为 后 渗 透 利 用 阶 段 程 序 ， 攻 击 者 利 用 这 些 恶 意 程 序 来 实 现 数 据 渗 漏 和 横 向 渗 透 。 另 外 ， 这 些 恶 意 程 序 都 不 属 于 如   M e t a s p l o i t   或   E m p i r e 的 开 源 框 架 ， 而 是 完 全 定 制 化 且 基 于 C # 和 . N E T 开 发 的 程 序 。 L a z y C a t   D L L 首 先 我 们 来 看 的 是 在 安 全 社 区 中 被 标 记 名 为 L a z y C a t 的 样 本 ， 它 属 于 渗 透 测 试 套 装 M i m i k a t z 中 的 工 具 。 从 静 态 分 析 中 可 以 看 出 ， L a z y C a t 样 本 涉 及 的 库 为 . N E T 架 构 ， 无 任 何 编 码 混 淆 ， 因 此 可 以 很 容 易 地 转 化 出 其 源 码 形 式 ：
从 以 上 代 码 中 可 以 看 出 ， D u m p M e m o r y   函 数 通 过 利 用 属 于 D b g H e l p 库 的 M i n i D u m p W r i t e D u m p 方 法 ， 来 监 测 和 收 集 任 意 进 程 内 存 的 内 容 ， 其 执 行 结 果 将 被 储 存 在 利 用 “ O u t p u t ” 参 数 命 名 的 一 个 文 件 中 ： 而 且 ， 该 样 本 还 可 以 启 动 一 个 名 为 “ T c p R e l a y ” 的 服 务 ， 目 的 可 能 想 在 攻 击 者 端 和 受 害 者 网 络 之 间 建 立 一 条 路 由 ， 以 便 后 续 的 横 向 深 入 渗 透 ， 其 中 的 S t a r t T c p R e l a y 函 数 如 下 ：
仔 细 查 看 源 码 ， 可 见 一 个 名 为   “ R o t t e n P o t a t o ”   的 特 殊 模 块 ， 它 其 中 包 含 了 很 多 有 意 思 的 函 数 ， 如 与   M S   W i n d o w s 环 境 中 后 渗 透 阶 段 相 关 的   “ f i n d N T L M B y t e s ”   和   “ H a n d l e M e s s a g e A u t h ” 。 关 联 分 析 后 发 现 ， 该 模 块 来 自 于 G i t H u b 上 的 一 个 开 源 攻 击 框 架 -   h t t p s : / / g i t h u b . c o m / f o x g l o v e s e c / R o t t e n P o t a t o 。 其 中 的 f i n d N T L M B y t e s 函 数 如 下 ： 通 过 d i f f 比 对 分 析 发 现 ， 这 里 的 恶 意 R o t t e n P o t e t o 模 块 比 G i t H u b 上 原 版 的 R o t t e n P o t e t o 中 多 出 了 一 些 方 法 函 数 ， 由 此 可 见 ， 为 了 符 合 自 身 目 的 ， 攻 击 者 已 经 对 开 源 的 R o t t e n P o t e t 做 过 武 器 化 改 装 。 这 种 开 源 工 具 的 改 装 应 用 ， 加 大 了 调 查 取 证 中 的 溯 源 和 归 因 难 度 。 L a z y C a t 恶 意 程 序 还 设 置 了 一 个 专 门 的 痕 迹 清 理 模 块 “ L o g E r a s e r ” ： “ L o g E r a s e r ” 模 块 中 最 主 要 的 方 法 函 数 为   “ R e m o v e E T W L o g ” ， 其 功 能 在 于 删 除 W i n d o w s 系 统 下 的 事 件 日 志 跟 踪 记 录 （ E T W ） 文 件 ， 以 此 来 对 攻 击 环 境 执 行 清 扫 。 以 下 为 删 除 W i n d o w s 系 统 E T W 文 件 的 代 码 ：
由 上 图 代 码 可 以 看 出 ， 恶 意 程 序 会 检 查 所 有 和 W i n d o w s 日 志 相 关 的 记 录 ， 如 果 某 条 记 录 I D 与 特 定 I D 相 符 ， 则 会 执 行 删 除 。 在 我 们 的 分 析 过 程 中 ， 可 能 由 于 其 引 用 了 开 源 代 码 的 原 因 ， 该 恶 意 样 本 具 备 了 一 个 中 低 的 检 出 率 。 以 下 是 V i r u s T o t a l 的 检 测 结 果 ： P o w e r k a t z   D L L 样 本 样 本 这 个 P o w e r k a t z 程 序 有 两 个 样 本 ， 其 属 性 分 别 如 下 ：
尽 管 这 两 个 D L L 样 本 之 间 的 H A S H 值 不 同 ， 但 其 功 能 基 本 一 致 ， 攻 击 者 只 是 稍 微 对 其 中 的 一 些 字 符 串 和 变 量 名 做 了 修 改 ， 目 的 估 计 是 为 了 免 杀 处 理 。 两 个 样 本 之 间 仅 存 在 少 许 不 同 ， 且 都 具 备 有 效 的 整 体 功 能 ， 样 本 对 比 如 下 图 所 示 ： 两 个 样 本 的 主 类 反 编 译 源 码 中 也 显 示 了 相 同 的 功 能 ， 例 如 ， 从 两 样 本 的 A s y n c T a s k 类 比 较 来 看 ， 其 具 备 基 本 一 致 的 特 征 ， 因 此 ， 下 文 中 我 们 将 会 统 一 把 它 看 做 是 一 个 样 本 。
这 个 样 本 由 多 个 类 和 函 数 组 成 ， 我 们 可 以 把 “ S t a r t N e w ” 函 数 作 为 分 析 入 口 ， 顾 名 思 义 ， 如 其 名 称 所 示 ， 该 函 数 可 以 在 受 害 者 系 统 中 启 动 一 个 新 的 异 步 任 务 ， 且 把 _ a p p 当 做 任 务 对 象 参 数 传 递 。 这 个 异 步 任 务 一 旦 启 动 ， 该 函 数 会 用 重 复 1 秒 ( 1 0 0 0 m s ) 的 休 眠 周 期 等 待 任 务 执 行 完 成 ， 然 后 向 函 数 调 用 返 回 一 个 有 效 的 状 态 码 。 这 个 样 本 模 块 可 能 会 与 其 它 恶 意 植 入 程 序 一 起 配 合 使 用 ， 隐 秘 地 在 后 台 执 行 任 务 。 以 下 为 S t a r t N e w 函 数 代 码 ： 该 样 本 名 称 虽 和 G i t h u b 上 的 P o w e r s h e l l 工 具 h t t p s : / / g i t h u b . c o m / d i g i p e n g u i n / p o w e r k a t z 同 名 ， 但 两 者 代 码 完 全 不 同 。 与 前 一 个 样 本 类 似 ， 该 样 本 在 V i r u s T o t a l 上 检 出 率 也 不 算 太 高 ， 2 8 / 7 0 ， 如 下 ：
攻 击 侦 查 模 块 （ 攻 击 侦 查 模 块 （ R e c o n   M o d u l e ） ） 该 模 块 程 序 中 的 端 口 扫 描 样 本 属 性 如 下 ： 和 前 面 样 本 类 似 ， 该 样 本 也 是 C # 编 写 的 ， 主 要 包 含 了 “ P o r t S c a n n e r ” 和 “ R e c o n C o m m o n F u n c s ” 两 个 主 类 ， 通 过 该 样 本 ， 攻 击 者 的 植 入 程 序 才 能 开 展 下 一 步 动 作 。 该 样 本 的 两 个 主 类 ： 从 反 映 出 的 代 码 来 看 ， 实 际 上 ， “ p o r t S c a n ” 函 数 中 内 置 了 一 个 整 型 数 组 ， 其 中 包 含 了 一 系 列 常 见 的 网 络 端 口 ， 涵 盖 了 主 要 的 本 地 网 络 服 务 ， 如 H T T P , T E L N E T ,   R D P ,   P O P ,   I M A P ,   S S H ,   S Q L . . . 等 等 。 如 下 ：
对 于 “ p o r t S c a n ” 函 数 中 声 明 的 每 个 端 口 ， 样 本 都 会 执 行 一 个 尝 试 连 接 的 T C P 扫 描 。 如 果 连 接 成 功 ， 证 明 开 启 了 相 应 的 服 务 和 端 口 ， 然 后 会 把 返 回 响 应 的 服 务 b a n n e r 信 息 存 储 在 一 个 名 为 “ S t r i n g B u i l d e r ” 的 对 象 中 。 样 本 程 序 会 把 所 有 扫 描 端 口 的 响 应 进 行 连 接 ， 最 后 会 把 它 写 入 到 一 个 用 “ R e c o n C o m m o n F u n c s ”   类 定 义 的 文 件 中 去 。 以 下 为 执 行 端 口 扫 描 的 具 体 代 码 ： 以 下 是 样 本 中 调 用 C # 的 T c p C l i e n t 执 行 扫 描 ：
在 “ R e c o n C o m m o n F u n c s ” 类 中 ， 提 供 了 一 些 能 用 得 到 的 实 用 函 数 ， 如 “ A p p e n d ” 和 “ G Z i p A n d B a s e 6 4 ” ， 这 些 函 数 意 图 一 目 了 然 。 以 下 为 “ R e c o n C o m m o n F u n c s ” 类 包 括 的 函 数 ： P o w e r s h e l l 客 户 端 （ 客 户 端 （ A g e n t ） ） 该 样 本 主 要 属 性 如 下 ： 该 样 本 名 称 为 “ O f f i c e C o m m u . d l l ” ， 攻 击 者 可 能 想 把 它 和 正 常 的 O f f i c e 通 信 模 块 混 淆 ， O f f i c e 通 信 模 块 在 大 多 W i n d o w s 系 统 中 都 具 备 。 并 且 ， 该 样 本 就 是 一 个 用 于 后 渗 透 阶 段 的 应 用 型 程 序 ， 目 的 在 于 创 建 一 个 P o w e r s h e l l 客 户 端 （ P o w e r s h e l l A g e n t ） ， 用 它 作 为 攻 击 者 植 入 程 序 解 析 脚 本 和 执 行 P o w e r s h e l l 命 令 的 组 件 。 以 下 为 P o w e r s h e l l 客 户 端 的 主 要 函 数 代 码 ：
总 结 总 结 从 分 析 结 果 来 看 ， 攻 击 者 选 择 了 多 模 块 方 法 来 开 发 他 们 自 身 的 网 络 入 侵 工 具 ， 并 且 利 用 程 序 库 生 态 下 的 某 些 函 数 功 能 封 装 了 深 入 且 具 备 入 侵 性 质 的 攻 击 ， 成 功 实 现 了 复 杂 的 恶 意 程 序 植 入 。 尽 管 这 些 利 用 到 的 函 数 和 库 没 有 0 d a y 漏 洞 利 用 和 相 关 技 术 ， 而 且 从 澳 大 利 亚 议 会 提 供 的 恶 意 程 序 样 本 来 看 ， 其 检 出 率 也 相 对 较 高 ， 但 也 恰 恰 说 明 ， 攻 击 者 倾 向 于 对 开 源 工 具 进 行 包 装 利 用 ， 再 进 行 入 侵 工 具 的 二 次 定 制 化 开 发 ， 这 样 一 方 面 可 以 缩 短 入 侵 程 序 的 “ 上 市 时 间 ” ， 也 不 会 对 资 源 的 有 效 性 和 危 险 性 形 成 影 响 。 这 种 对 已 知 技 术 的 二 次 包 装 开 发 ， 也 能 在 某 种 程 度 上 绕 过 某 些 杀 软 ， 突 破 传 统 安 全 边 界 ， 实 现 隐 秘 植 入 。 I O C - h a s h e s 1 c 1 1 3 d c e 2 6 5 e 4 d 7 4 4 2 4 5 a 7 c 5 5 d a d c 8 0 1 9 9 a e 9 7 2 a 9 e 0 e c b d 0 c 5 c e d 5 7 0 6 7 c f 7 5 5 b 0 8 a 8 5 f 5 f e 8 7 1 4 b 4 8 4 2 1 8 0 c 1 2 c 4 d 1 9 2 b d 1 8 6 5 0 0 a f 0 1 e e 3 9 8 2 5 f 6 d 5 1 0 0 a 2 0 1 9 e b c a 9 5 c 9 f e 2 9 a 8 a e 0 f 6 1 8 5 3 6 f d f 4 8 7 4 e d e 5 4 1 2 2 8 1 e 8 d f b 3 8 0 b f 1 3 7 0 a 8 d 8 7 9 4 f 7 8 7 a b 6 3 a e 4 5 5 f 3 d e a c a 2 9 7 b 6 1 6 d d 3 3 5 6 0 6 3 1 1 2 c f d a 6 e 6 c 5 4 3 4 c 4 0 7 7 8 1 4 6 1 a e 6 9 3 6 1 f 1 0 8 7 a 2 1 4 e b e 6 1 d e d 9 f 6 1 d e 8 1 9 9 9 8 6 8 f 3 9 9 a 1 1 0 5 1 8 8 4 6 7 e 4 e 4 4 1 8 2 c 0 2 e e 2 6 4 a 1 9 * 参 考 来 源 ： 参 考 来 源 ： y o r o i ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理