搜索

[11157] 2017-03-22_钓鱼引发的APT攻击回溯C&C服务器位于韩国，whois注册却在中国上海

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-03-22_钓鱼引发的APT攻击回溯C&C服务器位于韩国，whois注册却在中国上海 钓 鱼 引 发 的 A P T 攻 击 回 溯   |   C & C 服 务 器 位 于 韩 国 ， w h o i s 注 册 却 在 中 国 上 海 b i m e o v e r   F r e e B u f   2 0 1 7 - 0 3 - 2 2 一 位 日 本 的 安 全 研 究 者 M a l w a r e M u s t D i e 发 现 一 种 基 于 P o i s o n   I v y 的 新 型 A P T 攻 击 ， 经 过 他 的 逆 向 分 析 ， 发 现 了 一 些 关 于 攻 击 厂 商 的 有 趣 发 现 。 本 文 将 介 绍 他 是 如 何 发 现 这 种 隐 匿 极 深 的 A P T 攻 击 回 溯 之 旅 。 一 次 普 通 的 钓 鱼 攻 击 ？ 一 次 普 通 的 钓 鱼 攻 击 ？ 和 所 有 A P T 攻 击 的 开 头 一 样 ， 一 个 受 感 染 的 W o r d 文 档 ， 一 次 看 似 普 通 的 钓 鱼 攻 击 。 但 是 如 果 我 们 注 意 到 M a l w a r e M u s t D i e 长 文 分 析 的 开 头 ， 可 以 发 现 一 些 普 通 邮 件 的 图 片 ， 虽 然 还 是 那 种 普 通 、 b o r i n g 的 受 感 染 的 W o r d 文 档 ， 毫 无 新 意 。 奇 怪 的 是 ， 可 疑 文 档 似 乎 是 由 一 个 名 为 G e o c i t i e s 的 公 共 博 客 网 站 提 供 了 一 个 多 层 嵌 套 的 b a s e 6 4 编 码 的 V B S c r i p t 脚 本 ， 下 图 是 手 工 解 码 的 结 果 ：   图 1 .   “ p o w e r s h e l l . e x e ”   命 令 编 码 得 到 的 V B S c r i p t  
通 常 V B S c r i p t 的 “ c r e a t e b j e c t ” 指 令 都 会 跟 在   P o w e r s h e l l   命 令 “ p o w e r s h e l l . e x e   - w   h i d d e n   - i p   b y p a s s   - E n c   w i t h   l o n g   e n c o d e d   c o d e d ” 之 后 P o w e s h e l l ?   嵌 入 命 令 嵌 入 命 令 ?   “ 绕 过 绕 过 ”   的 目 的 是 什 么 的 目 的 是 什 么 ? 经 过 M a l w a r a r e M u s t D i e 的 调 查 ， 那 些 不 那 么 “ 普 通 、 无 聊 ” 的 东 西 从 阴 影 中 浮 现 出 来 ， 随 着 分 析 的 步 步 深 入 ， 他 发 现 了 更 加 有 趣 且 惊 人 的 东 西 。 下 图 是 b a s e   6 4 手 动 解 码 的 代 码 示 例 ， 其 揭 示 了 另 一 嵌 套 的 b a s e   6 4 编 码 代 码 。   在 图 片 中 表 示 的 功 能 是 自 我 解 释 。 显 而 易 见 ， 那 台 受 感 染 的 计 算 机 已 经 “ 吃 下 ” 什 么 不 好 的 东 西 。 图 2 .   V B S c r i p t   b a s e   6 4 解 码 代 码 在 多 层 循 环 解 码 b a s e   6 4 编 码 后 ， 结 果 很 明 显 的 ： 附 加 于 W o r d 附 件 文 档 ， 隐 藏 在 V B S c r i p t 文 件 中 ， 存 在 一 个 长 且 危 险 的 脚 本 ， 随 时 可 由 P o w e r s h e l l 执 行 。 但 M a l w a r e M u s t D i e 表 示 “ 我 已 经 发 现 它 的 源 代 码 ” 。 复 制 、 粘 贴 复 制 、 粘 贴   P o w e r s p l o i t / C o d e E x e c u t i o n   P o C 运 行 P o w e r s h e l l 命 令 的 V B S c r i p t 存 在 一 处 代 码 ， 该 代 码 就 是 基 于 臭 名 昭 著 的 恶 意 软 件 P o w e r s h e l l   P o w e r S p l o i t / C o d e E x e c u t i o n   P o C 代 码 的 “ c o p y   p a s t a ” ， 你 可 以 在 G i t H u b 上 可 以 得 到 一 模 一 样 的 文 件 和 . p s 1 扩 展 。 这 里 它 是 文 档 以 及 利 用 方 式 的 网 页 ： 图 3 . G i t H u b 页 面 上 的 P o w e r S p l o i t   /   C o d e E x e c u t i o n 漏 洞 的 文 档 说 明 ： “ 将 s h e l l c o d e 插 入 到 您 选 择 的 进 程 I D 中 或 在 运 行 P o w e r S h e l l 进 程 中 ” 。
M a l w a r e M u s t D i e 表 示 ： 这 也 就 是 我 为 什 么 反 对 公 众 在 G i t H u b 上 放 出 这 种 开 源 代 码 。 G i t H u b 上 到 处 都 是 这 种 开 源 项 目 。 S h e l l c o d e   分 析 分 析 但 是 让 我 们 来 看 看 S h e l l c o d e ， 因 为 现 在 最 重 要 的 任 务 是 对 它 进 行 逆 向 分 析 ， 并 且 明 白 它 的 使 用 的 主 要 目 的 是 什 么 ， 为 什 么 注 入 计 算 机 受 害 者 ， 采 用 哪 些 技 术 和 机 制 来 做 什 么 ， 连 接 在 哪 里 ？ 同 样 S h e l l c o d e 使 用 的 是 b a s e   6 4 编 码 。 当 解 码 时 ， 它 如 下 图 所 示 ： 图 4 . S h e l l c o d e . 逆 向 之 旅 似 乎 还 有 很 长 的 路 要 走 ， 我 们 再 一 次 为 M a l w a r e M u s t D i e 的 技 巧 所 惊 叹 ， 他 成 功 地 编 译 了 s h e l l c o d e 并 获 得 了 一 个 可 安 全 执 行 的 文 件 。 M a l w a r e M u s t D i e 在 博 客 中 写 道 ： 将 s h e l l c o d e 数 据 保 存 在 汇 编 文 件 的 . t e x t 部 分 和 入 口 点 （ E P ） 中 将 在 编 译 过 程 中 由 编 译 器 “ 调 整 ” ， 这 样 你 可 以 将 此 s h e l l c o d e 作 为 二 进 制 P E 文 件 执 行 。   此 方 法 在 分 析 s h e l l c o d e 时 非 常 有 用 。   通 过 U n i x 环 境 ， 你 可 以 创 建 这 种 P E ， 而 不 会 有 感 染 的 风 险 。 下 图 就 是 他 采 用 的 过 程 ：
图 5 .   操 作   s h e l l c o d e   来 创 建 一 个   . e x e   文 件 我 们 在 恶 意 软 件 运 行 时 发 现 ： 它 从 受 害 者 的 计 算 机 提 取 信 息 回 调 其 C 2 服 务 器 与 目 标 执 行 所 有 的 恶 意 行 为 。 最 后 ， 我 们 可 以 确 定 ， 它 就 是 臭 名 昭 着 的 P o i s o n   I v y 。 P o i s o n   I v y 计 划 计 划 运 行 S h e l l c o d e 有 可 能 观 察 到 它 使 用 了 大 量 涉 及 D L L 的 系 统 调 用 ， 这 些 D L L 主 要 与 系 统 的 内 核 相 关 ： 在 S h e l l c o d e 的 t r a c e - a s s e m b y 的 第 一 个 阶 段 提 供 了 一 个 名 为 u s e r i n t . e x e 的 假 进 程 ， 用 于 注 入 恶 意 代 码 。 这 里 来 自 M a l w a r e M u s t D i e 博 客 的 图 片 ： 图 6 .   伪 造 的 进 程   u s e r i n i t . e x e   创 建 后 被 注 入 他 说 ， 某 些 D L L 的 使 用 的 组 合 “ 也 显 示 了 威 胁 的 典 型 模 式 。   此 外 ， M U T E X 名 称 中 标 注 的 日 期 大 多 由 P o i s o n   I v y 使 用 。 然 后 其 他 操 作 由 恶 意 软 件 执 行 ：
创 建 一 个 名 为 “ P l u g 1 . d a t ” 的 文 件 为 之 后 的 工 作 创 建 一 个 套 接 字 通 过   “ H K E Y _ L O C A L _ M A C H I N E S Y S T E M S e t u p ” 查 询 P C 信 息 毫 无 疑 问 就 是 P o i s o n   I v y 那 么 问 题 来 了 那 么 问 题 来 了 C & C 服 务 器 在 何 地 ？ 服 务 器 在 何 地 ？ 我 来 仔 细 观 察 一 下 W S 2 _ 3 2 . D L L 文 件 ， 可 以 看 到 一 些 有 意 思 的 东 西 s o c k e t ( ) , g e t h o s t b y n a m e ( ) c o n n e c t ( ) . 由 C & C 服 务 器 回 传 的 主 机 名 和 I P 地 址 可 知 ， 该 服 务 器 位 于 韩 国 首 尔 韩 国 首 尔 。 图 7 . C & C 服 务 器 位 于 韩 国 N e t w o r k / B G P   I n f o r m a t i o n → 「 6 1 . 9 7 . 2 4 3 . 1 5 | | 4 7 6 6   |   6 1 . 9 7 . 2 4 3 . 0 / 2 4   |   K I X S - A S   |   K R   |   k i s a . o r . k r   |   K R N I C 」 但 是 我 们 发 现 主 机 名 是 但 是 我 们 发 现 主 机 名 是 w e b . o u t l o o k s y s m . n e t ， 这 里 可 以 用 ， 这 里 可 以 用 W H O I S 来 获 得 额 外 的 信 息 ， 知 道 谁 是 幕 后 主 使 ， 结 果 该 公 司 来 自 来 获 得 额 外 的 信 息 ， 知 道 谁 是 幕 后 主 使 ， 结 果 该 公 司 来 自 上 海 。 上 海 。
图 8 . 对   P o i s o n   I v y   恶 意 软 件 的 C & C 服 务 器 W H O I S 结 论 结 论 这 个 A P T 攻 击 使 用 了 多 种 变 体 ， 它 先 是 欺 骗 受 害 者 下 载 一 个 恶 意 V B S c r i p t ， 让 这 个 V B S c r i p t 去 下 载 一 个 . d o c 文 件 并 打 开 它 。   完 成 这 些 操 作 之 后 ， 它 会 悄 悄 的 地 执 行 P o w e r S h e l l （ P o w e r S p l o i t ） 攻 击 ， 使 得 受 害 者 在 运 行 内 存 中 的 进 程 时 感 染 P o i s o n   I v y 。 这 个 实 例 很 好 地 展 示 了 这 种 攻 击 的 潜 在 危 险 ， 攻 击 者 在 一 次 A P T 感 染 中 使 用 修 改 过 的 P o w e r S p l o i t   P o C 代 码 ， 这 种 做 法 很 独 特 。 P o i s o n   I V Y 恶 意 软 件 是 在 P o w e r S p l o i t 使 用 s h e l l c o d e 创 建 或 准 备 的 恶 意 进 程 u s e r i n i t . e x e 的 过 程 中 注 入 的 。 这 种 不 感 染 文 件 的 攻 击 有 效 地 避 免 了 多 个 编 码 和 包 装 检 测 的 已 知 签 名 ， 并 且 1 0 0 ％ 避 免 了 原 始 攻 击 者 的 工 作 区 域 被 发 现 的 可 能 性 。   这 将 使 目 前 的 A P T 活 动 有 更 好 的 机 会 成 功 由 类 似 有 效 载 荷 造 成 的 其 他 情 况 。 最 近 的 A P T 攻 击 很 有 可 能 也 是 利 用 类 似 的 p a y l o a d 在 其 它 地 方 成 功 施 展 攻 击 。 为 了 避 免 更 多 的 受 害 者 ， 我 真 的 希 望 G e o c i t i e s . j p 上 的 v b i a y a y 1 帐 户 尽 快 将 恶 意 软 件 删 除 。 希 望 我 的 分 析 能 够 帮 助 调 查 和 打 击 这 种 威 胁 。 * 参 考 来 源 ： 0 d a y . j p ， s e c u r i t y a f f a i r s ， F B 小 编 b i m e o v e r 编 译 ， 转 载 请 注 明 来 自 F r e e b u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理