搜索

[14970] 2020-02-03_恶意软件远程管理配置分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-02-03_恶意软件远程管理配置分析 恶 意 软 件 远 程 管 理 配 置 分 析 K r i s t o n   F r e e B u f   2 0 2 0 - 0 2 - 0 3 过 去 一 年 中 C 2 服 务 器 分 布 在 攻 击 活 动 中 ， 攻 击 者 和 在 攻 击 活 动 中 ， 攻 击 者 和 A P T 组 经 常 利 用 远 程 配 置 控 制 恶 意 软 件 。 此 类 配 置 通 常 包 含 命 令 和 控 制 （ 组 经 常 利 用 远 程 配 置 控 制 恶 意 软 件 。 此 类 配 置 通 常 包 含 命 令 和 控 制 （ C 2 ） 服 务 ） 服 务 器 、 服 务 器 通 信 密 码 、 活 动 标 识 符 、 互 斥 锁 、 安 装 位 置 等 。 器 、 服 务 器 通 信 密 码 、 活 动 标 识 符 、 互 斥 锁 、 安 装 位 置 等 。 研 究 分 析 不 同 的 恶 意 软 件 配 置 ， 例 如 主 机 地 理 位 置 和 D N S 首 选 项 可 以 深 入 的 了 解 攻 击 者 和 组 织 的 内 部 工 作 情 况 。 研 究 过 程 中 收 集 的 大 量 恶 意 软 件 可 以 将 不 同 样 本 的 数 据 关 联 起 来 ， 并 识 别 出 新 的 攻 击 者 与 攻 击 活 动 。 随 着 高 级 可 持 续 性 攻 击 和 A P T 小 组 的 不 断 增 加 ， 此 工 作 对 于 确 认 攻 击 和 提 供 威 胁 情 报 至 关 重 要 。 R e v e r s i n g L a b s   T i t a n i u m 平 台 支 持 从 4 0 多 个 不 同 的 R A T s 、 后 门 、 键 盘 记 录 器 、 下 载 程 序 、 勒 索 软 件 和 P O S 恶 意 软 件 中 提 取 配 置 ， 每 天 收 集 和 分 析 超 过 2 0 0 0 个 样 本 ， 后 续 将 简 要 介 绍 它 们 的 配 置 。 恶 意 软 件 样 本 主 要 是 远 程 管 理 工 具 （ R A T ） 。 R A T s 为 攻 击 者 提 供 了 一 系 列 功 能 ， 如 远 程 桌 面 访 问 、 键 盘 记 录 功 能 、 文 件 系 统 和 网 络 摄 像 头 访 问 ， 所 有 这 些 通 可 以 通 过 图 形 界 面 供 攻 击 者 使 用 。
D a r k C o m e t 是 一 个 功 能 丰 富 、 易 于 部 署 的 R A T ， 由 法 国 开 发 人 员 J e a n - P i e r r e   L e s u e u r 创 建 。 它 以 前 是 通 过 官 方 网 站 免 费 分 发 的 。 远 程 管 理 工 具 和 密 钥 记 录 器 对 个 人 和 组 织 构 成 严 重 威 胁 ， 它 们 会 窃 取 和 篡 改 敏 感 信 息 。 它 们 被 反 复 用 于 针 对 政 府 组 织 的 攻 击 和 对 公 司 的 网 络 钓 鱼 活 动 ， 每 天 都 有 新 的 威 胁 被 发 现 。 此 外 ， 恶 意 行 为 体 常 常 通 过 打 包 可 执 行 文 件 来 避 免 检 测 ， 隐 藏 恶 意 代 码 并 逃 避 传 统 的 基 于 签 名 的 检 测 。 通 过 加 密 和 / 或 压 缩 原 始 代 码 ， 使 它 只 有 在 执 行 二 进 制 文 件 时 才 可 读 。 通 过 静 态 分 析 引 擎 解 压 了 文 件 ， 并 对 嵌 入 的 文 件 执 行 隐 写 检 测 和 提 取 可 从 恶 意 软 件 中 检 测 和 提 取 配 置 。 在 本 次 分 析 的 样 本 中 只 有 1 4 % 未 被 混 淆 ， 最 常 见 的 第 一 层 检 测 规 避 是 U P X 打 包 程 序 。 一 旦 所 有 规 避 混 淆 方 式 都 被 攻 破 ， 就 可 以 更 深 入 地 研 究 恶 意 软 件 配 置 ， 检 查 其 安 装 位 置 、 启 动 密 钥 、 密 码 、 互 斥 、 C 2 域 和 I P 地 址 ， 通 过 地 理 定 位 来 确 定 可 能 的 攻 击 源 。
本 文 开 头 的 动 画 描 绘 了 过 去 一 年 中 C 2 服 务 器 的 地 理 位 置 。 土 耳 其 仍 然 是 恶 意 服 务 器 最 流 行 的 国 家 ， 但 近 几 个 月 来 ， 源 自 俄 罗 斯 的 恶 意 服 务 器 数 量 显 著 增 加 。 动 态 D N S （ d y n a m i c d n s ） 服 务 在 寻 址 方 面 仍 然 是 最 常 见 的 选 择 ， 隧 道 服 务 也 越 来 越 流 行 。
大 多 数 C 2 服 务 器 位 于 土 耳 其 、 美 国 和 俄 罗 斯 ， 如 图 所 示 ， 后 者 在 最 近 几 个 月 有 显 著 增 长 。 攻 击 者 可 以 频 繁 、 动 态 地 更 改 D N S 记 录 指 向 的 I P 地 址 ， D D N S 服 务 被 大 量 用 于 解 析 命 令 和 控 制 服 务 器 的 I P 地 址 。 如 果 一 个 C 2 服 务 器 被 关 闭 ， 攻 击 者 可 以 快 速 更 新 D N S 记 录 指 向 新 服 务 器 ， 恢 复 连 接 。 最 常 被 滥 用 的 域 名 服 务 提 供 商 是 d u c k d n s . o r g 和 n o - i p . c o m ， 其 中 d u c k d n s . o r g 在 土 耳 其 特 别 受 欢 迎 。 另 一 种 常 见 的 寻 址 方 法 使 用 n g r o k . c o m 和 p o r t m a p . i o 等 服 务 ， 此 方 法 用 于 隐 藏 攻 击 者 的 真 实 位 置 和 身 份 。 下 表 列 出 了 被 滥 用 最 多 的 服 务 供 应 商 。

密 码 、 活 动 标 识 符 的 提 取 和 收 集 可 更 好 的 检 测 恶 意 活 动 ， 并 分 析 在 同 一 攻 击 活 动 中 多 个 不 同 恶 意 软 件 之 间 的 关 系 。 研 究 发 现 ， 攻 击 者 经 常 在 整 个 活 动 中 重 用 相 同 的 密 码 。 最 后 举 一 个 在 分 析 中 发 现 的 实 例 ： 几 个 月 来 遇 到 许 多 使 用 密 码 “ c r o c r o 3 5 ” 的 恶 意 样 本 ， 它 们 都 是 C y b e r G a t e 或 X e n a 远 程 管 理 工 具 。 如 密 码 所 示 ， 攻 击 源 于 克 罗 地 亚 ， C 2 服 务 器 已 经 关 闭 。 恶 意 文 件 通 过 电 子 邮 件 分 发 ， 其 被 伪 装 成 电 子 邮 件 附 件 。 其 中 大 多 数 是 定 制 的 . N e t 文 件 ， 带 有 W i n R A R 或 G m a i l 图 标 并 诱 使 用 户 打 开 它 们 。 文 件 打 开 后 ， 会 显 示 J P E G 图 片 ， 同 时 R A T 会 在 后 台 启 动 。 其 常 用 域 名 为 ： h a s o . d d n s . n e t m u j o . d d n s . n e t k o k o 3 5 . d d n s . n e t
v u l i n . d d n s . n e t b r o b r o 5 5 . d d n s . n e t e t o t a k o . d d n s . n e t m a n i p u l a c i j a . d d n s . n e t * 参 考 来 源 ： 参 考 来 源 ： r e v e r s i n g l a b s ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理