搜索

[6839] 2020-07-28_疑似某芬兰背景黑客组织借疫情对欧亚地区展开攻击

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-17
2020-07-28_疑似某芬兰背景黑客组织借疫情对欧亚地区展开攻击 疑 似 某 芬 兰 背 景 黑 客 组 织 借 疫 情 对 欧 亚 地 区 展 开 攻 击 E 安 全   2 0 2 0 - 0 7 - 2 8 以 下 文 章 来 源 于 安 恒 信 息   ， 作 者 Z i o n L a b 背 景 背 景 近 日 安 恒 信 息 威 胁 情 报 中 心 在 日 常 网 络 安 全 巡 检 过 程 中 捕 获 了 一 个 恶 意 L N K 文 件 ， 通 过 关 联 分 析 ， 锁 定 了 一 个 具 有 芬 兰 背 景 的 黑 客 组 织 ， 该 组 织 主 要 攻 击 带 有 域 控 机 制 的 机 构 （ 如 大 型 公 司 ） 。 根 据 已 知 信 息 ， 已 有 俄 罗 斯 ， 乌 克 兰 等 地 多 家 企 业 被 攻 陷 。 该 黑 客 组 织 自 研 的 特 马 通 过 主 机 信 息 判 断 和 字 符 的 拼 接 、 解 密 等 操 作 ， 具 有 较 强 的 免 杀 特 性 。 一 样 本 分 析 样 本 在 攻 击 过 程 中 主 要 采 用 7 z 加 密 窃 密 的 数 据 （ T 1 5 6 0 . 0 0 2 ） ， 并 将 其 回 传 到 各 种 支 持 远 程 挂 载 的 网 盘 ， 同 时 后 续 载 荷 的 下 发 也 是 通 过 定 期 检 测 下 载 网 盘 指 定 文 件 夹 实 现 。 安 恒 信 息 安 恒 信 息   . 杭 州 安 恒 信 息 技 术 股 份 有 限 公 司 （ D B A P P S e c u r i t y ） ， 科 创 板 ： 6 8 8 0 2 3 ， 全 球 网 络 安 全 创 新 5 0 0 强 。 以 自 主 可 控 的 专 利 技 术 ， 提 供 W e b 应 用 安 全 、 数 据 库 安 全 、 网 站 安 全 监 测 产 品 与 服 务 、 态 势 感 知 大 数 据 中 心 及 智 慧 城 市 云 安 全 运 营 整 体 解 决 方 案 。
第 一 阶 段 第 一 阶 段 第 一 阶 段 第 一 阶 段 一 个 l n k 文 件 作 为 初 始 诱 饵 ， 以 疫 情 为 内 容 ， 采 用 俄 语 内 容 ， 因 此 判 断 本 次 捕 捉 到 的 攻 击 针 对 俄 罗 斯 ： 执 行 l n k 文 件 后 会 上 传 本 地 基 本 信 息 （ s y s t e m i n f o 获 取 ） ， 然 后 从 w e b d a v . m y d r i v e . c h 网 盘 下 载 后 续 载 荷 ， 下 载 的 载 荷 是 一 个 d l l ， 使 用 r u n d l l 3 2 加 载 后 调 用 r F U K X v M G d g z x 函 数 ： 第 二 阶 段 第 二 阶 段 第 二 阶 段 第 二 阶 段 主 要 负 责 载 荷 的 释 放 和 权 限 维 持 。
内 部 字 符 串 加 密 并 采 用 b a s e 6 4 存 放 ： 第 三 阶 段 第 三 阶 段 第 三 阶 段 第 三 阶 段 此 阶 段 分 为 三 个 子 组 件 ， 分 别 使 用 三 方 c r u l 程 序 、 S M B 协 议 、 H T T P 协 议 实 现 了 利 用 网 盘 的 信 息 回 传 ， 载 荷 下 发 等 基 本 功 能 。 -   三 方 程 序 三 方 程 序 C u r l 组 件 组 件  
0 1 一 个 启 动 器 ， 由 第 二 阶 段 的 定 时 任 务 启 动 ， 主 要 用 来 解 密 执 行 下 一 阶 段 载 荷 ： 对 计 算 机 域 名 和 用 户 名 长 度 进 行 了 判 断 ， 不 在 域 中 则 不 进 行 操 作 ： 该 阶 段 还 采 用 了 多 级 文 本 拼 接 解 密 处 理 技 术 ， 并 且 由 于 沙 箱 一 般 是 非 域 环 境 ， 使 得 查 杀 率 非 常 之 低 ：
解 密 出 一 段 p o w e r s h e l l ， 使 用 S e c u r e S t r i n g 解 密 同 路 径 下 x m l 的 文 件 内 容 ， 很 明 显 可 以 看 到 揭 秘 出 来 的 东 西 应 该 是 一 段 p o w e r s h e l l ：   0 2 第 三 段 p o w e r s h e l l ， 使 用 第 三 方 程 序 c u r l 实 现 了 基 本 信 息 获 取 、 指 令 执 行 等 功 能 。 时 区 判 断 ， 不 对 西 8 区 （ 美 国 ） 和 东 1 区 （ 欧 洲 ） 的 电 脑 进 行 操 作 ， 目 的 是 避 开 美 国 和 黑 客 所 在 欧 洲 国 家 ： 检 查 是 否 在 虚 拟 机 中 ： 重 命 名 本 地 名 称 是 ” 7 z a . e x e ” 和 ” c u r l . e x e ” 的 文 件 ：
释 放 S M B 协 议 组 件 和 H T T P 协 议 组 件 ： 获 取 基 本 信 息 并 上 传 ： 指 令 拉 取 和 执 行 ： -   S M B 协 议 组 件 协 议 组 件 该 组 件 被 释 放 到 路 径 ： “ $ { e n v : a p p d a t a } M i c r o s o f t W i n U p d a t e ” 。
同 样 的 套 路 ， d l l 解 密 p o w e r s h e l l ， 然 后 p o w e r s h e l l 解 密 同 路 径 下 的 某 个 文 件 ， 最 终 执 行 执 行 p o w e r s h e l l ， 因 此 只 讨 论 最 终 解 密 后 的 p o w e r s h e l l ： 这 个 最 终 的 p o w e r s h e l l 脚 本 和 上 面 的 基 本 相 似 ， 但 是 使 用 了 不 同 的 协 议 ， 因 此 判 断 为 为 了 兼 容 性 而 做 的 冗 余 系 统 ： -   H T T P 协 议 组 件 协 议 组 件 该 组 件 被 释 放 到 路 径 ： “ $ { e n v : a p p d a t a } W C M S V C ” 。 套 路 相 同 ， 该 组 件 同 样 最 终 执 行 p o w e r s h e l l ， 实 现 数 据 回 传 和 载 荷 拉 取 ： 第 四 阶 段 第 四 阶 段 第 四 阶 段 第 四 阶 段 我 们 在 其 中 的 一 个 下 发 载 荷 用 途 的 网 盘 上 发 现 了 一 个 针 对 俄 罗 斯 某 公 司 的 攻 击 载 荷 ， 该 载 荷 主 要 功 能 是 进 一 步 收 集 用 信 息 ， 尤 其 是 共 享 资 源 和 域 相 关 信 息 ：
在 搜 集 信 息 过 程 中 ， 密 码 窃 取 部 分 使 用 了 p y t h o n 脚 本 实 现 ， 该 脚 本 使 用 “ h t t p s : / / g i t h u b . c o m / d a s h i n g s o f t / p y a r m o r ” 进 行 混 淆 处 理 ， 确 认 是 L a Z a g n e   P r o j e c t 最 新 版 本 密 码 恢 复 工 具 ：
二 关 联 分 析 我 们 统 计 了 部 分 网 盘 信 息 ， 发 现 网 盘 提 供 商 使 用 的 语 言 包 括 法 语 、 英 语 、 德 语 等 。
对 网 盘 的 登 录 I P 做 分 析 ， 确 认 早 期 的 一 些 I P 都 归 属 于 芬 兰 ： 芬 兰 语 属 于 乌 拉 尔 语 系 芬 兰 - 乌 戈 尔 语 族 ， 是 一 种 黏 着 语 。 由 于 和 其 他 欧 洲 语 言 的 语 系 都 不 同 ， 词 根 和 绝 大 部 分 其 他 欧 洲 语 言 差 别 很 大 ， 所 以 经 常 被 欧 美 人 认 为 是 比 较 难 学 的 语 言 。 也 因 为 如 此 ， 以 芬 兰 语 为 母 语 的 人 民 往 往 会 学 习 两 三 种 其 它 语 言 ， 以 利 交 流 。 综 上 我 们 判 断 该 黑 客 组 织 归 属 于 芬 兰 。 进 一 步 追 踪 ， 网 盘 中 所 有 关 联 到 的 邮 箱 域 名 全 部 都 解 析 到 了 4 5 . 5 5 . 1 0 4 . 2 0 3 这 个 I P ， 观 察 该 I P 的 活 动 记 录 ， 攻 击 实 施 可 能 是 从 2 0 2 0 年 3 月 2 5 日 左 右 开 始 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理