搜索

[11285] 2017-04-27_利用企业邮件系统构造命令控制（C&C）和数据窃取（Exfiltration）通道的思路探讨

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-04-27_利用企业邮件系统构造命令控制（C&C）和数据窃取（Exfiltration）通道的思路探讨 利 用 企 业 邮 件 系 统 构 造 命 令 控 制 （ C & C ） 和 数 据 窃 取 （ E x f i l t r a t i o n ） 通 道 的 思 路 探 讨 c l o u d s   F r e e B u f   2 0 1 7 - 0 4 - 2 7 本 文 通 过 对 高 度 安 全 环 境 中 ， 渗 透 入 侵 完 成 后 ， 传 统 的 基 于 W e b 和 D N S 管 理 控 制 目 标 系 统 不 可 行 条 件 下 ， 利 用 企 业 网 页 邮 箱 系 统 进 行 命 令 控 制 （ C & C ） 和 数 据 窃 取 （ E x f i l t r a t i o n ） 的 一 种 思 路 分 享 探 讨 。 假 设 场 景 假 设 场 景 我 们 假 设 目 标 企 业 组 织 内 设 置 了 这 样 一 种 安 全 措 施 ： 内 部 用 户 工 作 站 电 脑 不 能 直 接 连 接 互 联 网 ， 只 能 通 过 其 中 架 设 的 代 理 服 务 器 执 行 外 部 W e b 请 求 和 D N S 查 询 ， 而 且 代 理 服 务 器 又 设 置 了 流 量 监 控 功 能 ， 由 其 产 生 的 H T T P 和 D N S 请 求 流 量 都 能 被 监 测 发 现 。 由 于 从 某 种 程 度 上 来 说 ， 代 理 服 务 器 “ 打 破 ” 了 内 部 用 户 机 与 外 部 服 务 器 之 间 点 对 点 连 接 模 式 ， 包 括 H T T P S 方 式 ， 所 以 像 D o m a i n   f r o n t i n g 这 种 隐 蔽 攻 击 方 式 一 样 可 以 被 监 测 到 ， 所 以 只 有 一 些 白 名 单 网 站 可 以 被 放 行 通 过 。 这 种 环 境 下 ， 企 业 的 大 部 分 内 部 服 务 器 都 被 设 置 了 联 网 限 制 ， 当 然 也 就 不 存 在 服 务 暴 露 情 况 ， 因 为 所 有 企 业 相 关 网 站 或 博 客 等 服 务 可 能 都 被 部 署 在 谷 歌 云 存 储 平 台 ， 只 有 网 站 管 理 员 以 相 应 的 企 业 社 交 网 络 账 号 从 其 它 隔 离 的 工 作 站 电 脑 上 登 录 进 入 管 理 面 板 ， 才 能 进 行 内 容 更 新 修 改 操 作 。 在 这 种 场 景 下 ， 传 统 的 通 过 W e b 或 D N S 方 式 进 行 的 C & C （ 命 令 控 制 ） 和 数 据 窃 取 操 作 貌 似 不 可 行 ， 此 时 ， 我 们 可 以 尝 试 使 用 另 外
一 种 奇 技 淫 巧 ： 利 用 企 业 网 页 邮 件 系 统 。 利 用 思 路 利 用 思 路 如 今 ， 灵 活 便 捷 的 企 业 邮 箱 登 录 是 办 公 手 段 的 必 需 ， 如 果 不 考 虑 所 有 安 全 措 施 ， 抽 象 意 义 上 来 说 ， 邮 箱 系 统 是 所 有 内 网 环 境 （ 如 员 工 电 脑 ） 和 各 式 外 网 终 端 ， 如 公 司 配 发 的 具 有 邮 箱 登 录 入 口 A P P 的 智 能 手 机 和 平 板 、 通 过 浏 览 器 方 式 以 I B M   i N o t e s 或 M i c r o s o f t O W A 访 问 登 录 的 电 脑 等 。 很 多 情 况 下 ， 这 种 联 网 的 企 业 网 页 邮 件 系 统 大 多 都 不 具 备 双 因 素 认 证 （ 2 F A ） 和 V P N 集 中 器 等 安 全 机 制 。 而 且 ， 很 多 移 动 端 A P P 都 缺 乏 O A u t h 或 “ 应 用 密 码 ” 等 授 权 认 证 机 制 ， 只 需 用 户 名 密 码 就 可 对 接 入 系 统 进 行 直 接 登 录 配 置 。 因 此 ， 如 果 我 们 通 过 网 络 攻 击 方 式 或 从 一 些 泄 露 数 据 库 中 ， 获 取 到 目 标 机 构 运 行 于 互 联 网 上 的 有 效 企 业 邮 箱 系 统 用 户 登 录 凭 据 （ 用 户 名 / 密 码 ） 后 ， 可 以 藉 此 为 突 破 口 控 制 利 用 该 企 业 用 户 电 子 邮 箱 ， 感 染 内 网 用 户 主 机 ， 渗 透 进 入 企 业 内 网 。 之 后 ， 针 对 我 们 植 入 的 恶 意 软 件 ， 可 以 构 造 这 样 一 种 C & C 通 道 ： C & C 通 道 在 该 企 业 用 户 电 子 邮 箱 的 垃 圾 箱 文 件 夹 内 设 置 特 殊 格 式 消 息 文 件 ， 恶 意 软 件 通 过 读 取 这 种 消 息 文 件 信 息 ， 执 行 我 们 的 控 制 命 令 ； 当 然 ， 也 可 以 构 造 一 种 类 似 的 数 据 窃 取 （ e x f i l t r a t i o n ） 通 道 ： 植 入 的 恶 意 软 件 把 从 企 业 机 构 内 部 窃 取 的 文 档 数 据 ， 上 传 存 储 到 该 企 业 用 户 电 子 邮 箱 的 垃 圾 箱 文 件 夹 内 （ 这 些 文 档 数 据 可 以 是 加 密 或 其 它 方 式 的 存 在 ） 之 后 ， 我 们 可 以 远 程 登 录 进 入 网 页 邮 件 系 回 收 这 些 文 档 数 据 ， 并 且 可 以 不 留 痕 迹 地 删 除 这 些 存 储 数 据 。 尽 管 技 术 上 看 似 简 单 ， 但 很 难 从 所 有 合 法 网 络 流 量 中 识 别 出 C & C 和 E x f i l t r a t i o n 方 式 流 量 。 例 如 ， 企 业 用 户 在 1 9 : 0 0 下 班 ， 我 们 可 以 在 已 经 渗 透 控 制 的 目 标 企 业 用 户 主 机 上 ， 在 1 8 : 3 0 时 刻 （ 下 班 前 繁 忙 的 网 络 流 量 中 很 难 被 发 觉 是 有 规 律 的 访 问 行 为 ） ， 通 过 植 入 木 马 把 窃 取 文 档 数 据 上 传 至 被 控 制 电 子 邮 箱 的 垃 圾 文 件 夹 内 ， 之 后 ， 在 2 0 : 3 0 时 刻 ， 通 过 W e b m a i l 或 移 动 终 端 A P I 回 收 窃 取 数 据 ， 因 为 该 时 段 很 难 区 分 出 到 底 是 在 员 工 家 中 还 是 企 业 手 机 端 的 访 问 行 为 。 由 于 我 们 不 是 把 消 息 或 数 据 发 送 到 外 部 地 址 ， 而 是 通 过 邮 箱 自 动 发 送 或 向 特 定 文 件 夹 内 上 传 消 息 文 件 ， 所 以 ， 这 种 操 作 行 为 ， 在 所 有 进 出 的 S M T P 流 量 中 也 很 难 被 发 现 。 另 外 ， 还 可 以 通 过 其 它 手 段 来 增 加 检 测 发 现 难 度 ： 当 被 渗 透 控 制 的 企 业 用 户 主 机 启 动 邮 箱 客 户 端 程 序 时 ， 运 行 植 入 的 恶 意 程 序 ， 通 过 企 业 内 网 非 黑 名 单 I P 接 入 W e b m a i l 端 ， 使 用 与 目 标 企 业 机 构 相 同 的 移 动 运 营 商 、 程 序 终 端 、 操 作 系 统 或 浏 览 器 等 。 概 念 性 验 证 攻 击 展 示 概 念 性 验 证 攻 击 展 示
我 们 以 I B M   L o t u s   N o t e s 邮 件 系 统 为 例 ， 作 一 个 概 念 性 验 证 展 示 。 企 业 如 果 架 设 了 I B M   L o t u s   N o t e s 邮 件 系 统 ， 则 对 企 业 内 网 用 户 来 说 ， 可 以 使 用 N o t e s 的 邮 件 客 户 端 ， 而 外 网 用 户 则 可 以 通 过 W e b m a i l 方 式 或 该 邮 件 系 统 的 I B M   V e r s e 移 动 A P P 终 端 进 行 访 问 。 另 外 ， 有 意 思 的 是 ， L o t u s   N o t e s 还 提 供 了 对 邮 件 客 户 端 的 邮 件 定 制 开 发 A P I ， 其 中 具 有 一 个 C O M 组 件 方 法 N o t e s . N o t e s S e s s i o n ， 我 们 可 以 利 用 它 来 进 行 方 法 调 用 和 定 制 语 言 选 择 。 在 这 里 ， 我 们 使 用 P o w e r S h e l l 脚 本 作 为 P o C 验 证 。 在 我 们 控 制 利 用 的 企 业 用 户 电 子 邮 箱 中 ， 包 含 可 以 定 期 执 行 我 们 控 制 命 令 的 简 单 P o w e r S h e l l 脚 本 。 我 们 向 企 业 内 网 植 入 的 恶 意 程 序 ， 将 以 预 期 任 务 、 W M I 或 其 它 复 杂 技 巧 来 请 求 这 些 脚 本 来 实 现 命 令 控 制 。 在 此 ， 如 果 N o t e s 邮 件 客 户 端 正 常 运 行 的 情 况 下 ， 我 们 将 只 利 用 其 C O M 组 件 方 法 来 对 邮 件 作 一 些 定 制 调 用 ， 因 为 这 样 可 以 避 免 一 些 用 户 端 的 报 警 警 告 ： 如 果 N o t e s 邮 件 客 户 端 没 有 运 行 ， 我 们 可 以 初 始 化 C O M 组 件 ， 并 打 开 默 认 配 置 的 数 据 库 和 服 务 器 ： 之 后 ， 我 们 可 以 定 义 数 据 窃 取 E x f i l t r a t e （ ） 方 法 ， 来 存 储 窃 取 文 档 并 上 传 到 被 控 制 利 用 的 企 业 用 户 电 子 邮 箱 垃 圾 文 件 夹 内 ： 在 以 上 代 码 中 ， 可 以 看 到 ， 我 们 通 过 实 例 化 方 法 $ d b . c r e a t e d o c u m e n t ( ) 创 建 了 一 个 新 文 档 ， 并 把 文 档 附 加 第 一 个 参 数 中 ， 以 $ d o c . s a v e ( ) 方 法 进 行 保 存 ， 之 后 调 用 $ d o c . r e m o v e ( ) 方 法 把 文 件 删 除 到 电 子 邮 箱 的 垃 圾 文 件 夹 内 （ P S : 如 果 我 们 不 调 用 r e m o v e ( ) 方 法 ， 则 新 建 文 档 将 会 存 储 在 一 个 未 知 文 件 夹 内 ， 不 会 出 现 在 收 件 箱 内 ， 只 能 通 过 选 择 “ 所 有 附 件 ” 按 钮 才 能 看 到 ， 这 也 算 是 另 外 一 种 隐 蔽 消 息 的 方 法 ） 。 最 终 ， 可 以 构 造 形 如 以 下 的 C & C 命 令 脚 本 ， 让 植 入 的 恶 意 程 序 进 行 读 取 执 行 ：
首 先 ， 我 们 打 开 $ S o f t D e l e t i o n s 方 法 查 看 N o t e s 邮 箱 数 据 库 ， 并 以 此 方 式 调 用 电 子 邮 箱 的 垃 圾 文 件 夹 ， 以 $ t r a s h . g e t f i r s t d o c u m e n t ( ) 方 法 查 看 所 有 垃 圾 文 件 夹 内 的 文 件 ， 如 果 其 涉 及 主 题 为 “ p o w e r s h e l l ” 字 符 串 ， 我 们 将 进 一 步 读 取 其 邮 件 主 体 信 息 ， 一 旦 执 行 完 内 置 该 P o w e r s h e l l 的 P a y l o a d 之 后 ， 将 调 用 $ d o c . r e m o v e p e r m a n e n t l y ( ) 方 法 进 行 永 久 删 除 。 实 际 利 用 实 际 利 用 我 们 如 何 来 操 作 这 段 简 单 的 P o C 呢 ？ 前 提 是 我 们 获 得 了 能 登 录 W e b m a i l 端 的 企 业 员 工 有 效 用 户 名 密 码 ， 并 向 企 业 内 网 某 主 机 植 入 了 窃 取 数 据 的 恶 意 程 序 。 攻 击 者 从 互 联 网 登 录 进 入 该 企 业 员 工 被 控 制 利 用 的 W e b m a i l 端 ， 并 以 P o w e r s h e l l 方 式 向 其 邮 箱 内 自 动 发 送 消 息 邮 件 的 大 致 方 式 如 下 ： 该 消 息 邮 件 被 删 除 之 后 ， 进 入 邮 箱 垃 圾 文 件 夹 ： 我 们 植 入 的 恶 意 程 序 在 内 网 主 机 运 行 之 后 ， 可 以 设 置 其 检 索 该 邮 箱 垃 圾 文 件 夹 内 的 以 上 P o w e r s h e l l 消 息 邮 件 ， 通 过 读 取 该 邮 件 体 中 内 置 的 内 容 执 行 命 令 。 如 以 上 邮 件 消 息 中 设 置 把 窃 取 文 件 存 储 到 c : w i n d o w s t e m p p s . t x t 文 件 内 ， 并 通 过 邮 件 上 传 附 件 实 现 e x f i l t r a t e 方 法 的 文 档 外 传 窃 取 。 当 然 ， 如 果 攻 击 者 通 过 互 联 网 方 式 登 录 进 入 W e b m a i l 端 后 ， 将 会 在 邮 箱 垃 圾 文 件 夹 发 现 以 下 存 储 的 窃 取 文 件 ：
我 们 可 以 看 到 ， 邮 箱 垃 圾 文 件 夹 的 该 消 息 邮 件 ， 没 有 任 何 主 题 （ s u b j e c t ） 和 来 源 （ f r o m ） 信 息 ， 并 具 有 一 个 名 为 p s . t x t 的 附 件 ： 最 终 ， 攻 击 者 只 需 简 单 地 下 载 该 文 件 并 删 除 垃 圾 文 件 夹 内 信 息 ， 就 能 以 这 种 “ 暗 度 陈 仓 ” 的 方 式 实 现 C & C 命 令 控 制 和 数 据 窃 取 （ E x f i l t r a t i o n ） 。 以 下 为 该 过 程 中 利 用 的 完 整 P o w e r s h e l l 脚 本 ： 如 果 目 标 企 业 机 构 使 用 的 是 其 它 架 构 邮 箱 系 统 ， 如 M i c r o s o f t   ( E x c h a n g e / O u t l o o k / O W A ) 等 ， 这 其 中 相 关 的 消 息 、 收 件 箱 、 文 件 夹 和 命 令 等 属 性 操 作 可 以 直 接 应 用 到 植 入 的 恶 意 程 序 配 置 内 。 如 何 检 测 此 类 可 疑 行 为 ？
对 企 业 邮 箱 系 统 设 置 双 因 素 认 证 机 制 ； 监 测 邮 箱 内 奇 怪 的 附 件 信 息 ， 如 P o w e r S h e l l 脚 本 、 加 密 数 据 、 混 淆 数 据 ， 监 测 对 邮 箱 的 异 常 访 问 和 操 作 行 为 ； 企 业 邮 箱 系 统 访 问 I P 限 制 ， 如 T o r 、 V P N 、 国 家 或 黑 名 单 等 ； 限 制 与 企 业 移 动 运 营 商 不 同 的 其 它 移 动 运 营 商 A P P 会 话 访 问 ； 监 测 邮 件 自 动 消 息 发 送 行 为 ； 监 测 识 别 企 业 用 户 主 机 登 录 访 问 企 业 邮 箱 行 为 … … * 参 考 来 源 ： s e c u r i t y a r t w o r k ， f r e e b u f 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e b u f . c o m 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理