搜索

[11770] 2017-09-11_西方红玫瑰和辣条先生黑产组织深度分析报告

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-09-11_西方红玫瑰和辣条先生黑产组织深度分析报告 西 方 红 玫 瑰 和 辣 条 先 生 黑 产 组 织 深 度 分 析 报 告 天 际 友 盟   F r e e B u f   2 0 1 7 - 0 9 - 1 1 * 本 文 原 创 作 者 ： 天 际 友 盟 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 1 .   报 告 摘 要 报 告 摘 要 近 期 ， 神 州 网 云 依 靠 高 级 威 胁 检 测 引 擎 并 结 合 天 际 友 盟 的 威 胁 情 报 ， 精 确 发 现 了 多 起 高 级 威 胁 组 织 的 攻 击 ， 通 近 期 ， 神 州 网 云 依 靠 高 级 威 胁 检 测 引 擎 并 结 合 天 际 友 盟 的 威 胁 情 报 ， 精 确 发 现 了 多 起 高 级 威 胁 组 织 的 攻 击 ， 通 过 快 速 有 效 的 一 键 溯 源 确 定 了 攻 击 行 为 及 影 响 。 过 快 速 有 效 的 一 键 溯 源 确 定 了 攻 击 行 为 及 影 响 。 S t r u t s 2 的 安 全 漏 洞 从 2 0 1 0 年 开 始 陆 续 被 披 露 存 在 远 程 代 码 执 行 漏 洞 ， 从 2 0 1 0 年 的 S 2 - 0 0 5 、 S 2 - 0 0 9 、 S 2 - 0 1 3   S 2 - 0 1 6 、 S 2 - 0 1 9 、 S 2 - 0 2 0 、 S 2 - 0 3 2 、 S 2 - 0 3 7 、 d e v M o d e 、 及 2 0 1 7 年 3 月 初 S t r u t s 2 披 露 的 S 0 4 5 漏 洞 ， 每 一 次 的 漏 洞 爆 发 随 后 互 联 网 都 会 出 现 S t r u t s 2 扫 描 攻 击 活 动 。 近 期 发 现 并 确 认 了 两 个 威 胁 组 织 利 用 S t r u t s 2 的 安 全 漏 洞 攻 击 行 为 ， 下 载 并 执 行 不 同 的 木 马 程 序 进 行 攻 击 获 利 。 “ 西 方 红 玫 瑰 ” 利 用 一 个 位 于 欧 洲 的 I S P 网 络 进 行 S t r u t s 2 攻 击 ， 主 要 针 对 L i n u x 平 台 来 下 载 执 行 比 特 币 挖 矿 程 序 进 行 获 利 。 “ 辣 条 先 生 ” 至 少 拥 有 5 年 左 右 的 黑 产 活 动 经 历 ， 利 用 中 国 江 西 电 信 网 络 长 期 进 行 各 种 威 胁 活 动 。 本 次 活 动 利 用 S t r u t s 2 漏 洞 进 行 攻 击 ， 主 要 针 对 W i n d o w s 平 台 下 载 安 装 D D o S 木 马 ， 并 通 过 控 制 的 大 量 服 务 端 来 进 行 D D o S 攻 击 。 2 .   西 方 红 玫 瑰 挖 矿 组 织 西 方 红 玫 瑰 挖 矿 组 织 通 过 网 镜 高 级 威 胁 检 测 系 统 自 身 的 检 测 能 力 结 合 威 胁 情 报 发 现 了 俄 罗 斯 & 保 加 利 亚 ( 备 注 ： I P 区 域 地 址 库 多 个 源 不 统 一 ) 的 一 个 W e s t V P S 运 营 商 的 多 个 I P 地 址 S t r u t s 2 - 0 4 5 攻 击 行 为 ， 结 合 与 情 报 分 析 、 样 本 分 析 判 断 为 挖 矿 攻 击 行 为 。 根 据 该 组 织 的 特 点 我 们 命 名 次 组 织 为 “ 西 方 红 玫 瑰 ” 组 织 。 该 组 织 通 过 S t r u t s 2 - 0 4 5 漏 洞 批 量 对 互 联 网 的 W E B 应 用 服 务 器 发 起 攻 击 ， 并 下 载 恶 意 脚 本 执 行 下 载 进 行 比 特 币 挖 矿 程 序 ， 主 要 感 染 L i n u x 服 务 器 。 2 . 1 .   I P   5 . 1 8 8 . 1 0 . 2 5 0 俄 罗 斯 俄 罗 斯 & 保 加 利 亚 的 溯 源 分 析 保 加 利 亚 的 溯 源 分 析 检 测 到 多 起 恶 意 I P 地 址 频 繁 对 某 数 据 中 心 发 起 S t r u t s 2 - 0 4 5 攻 击 行 为 。
网 镜 高 级 威 胁 检 测 系 统 检 测 到 S t r u t s 2 - 0 4 5 攻 击 针 对 攻 击 I P 地 址 5 . 1 8 8 . 1 0 . 2 5 0   进 行 溯 源 分 析 通 过 一 键 点 击 恶 意 I P 进 行 溯 源 分 析 发 现 此 I P 地 址 为 扫 描 器 类 型 ， 且 I P 地 址 的 信 誉 值 较 高 ， 证 明 长 期 活 跃 还 在 对 互 联 网 进 行 恶 意 扫 描 活 动 。 S t r u t s 2 - 0 4 5 攻 击 原 始 数 据 包 分 析 攻 击 数 据 包 ， 发 现 S t r u t s 2 漏 洞 攻 击 的 命 令 利 用 w g e t 下 载 一 个 文 件 并 执 行 ， 地 址 ： h t t p : / / 9 1 . 2 3 0 . 4 7 . 4 0 / c o m m o n / l o g o . j p g 下 载 下 来 l o g o . j p g 文 件   是 伪 装 成 图 片 的 b a s h 脚 本 ， 内 容 如 下 ：
对 于 对 于 l o g o . j p g 脚 本 文 件 分 析 如 下 ： 脚 本 文 件 分 析 如 下 ： l o g o . j p g 是 在 l i n u x 环 境 下 执 行 一 系 列 命 令 ， 前 面 p s 一 些 命 令 强 制 杀 掉 一 些 进 程 ， p s   - f e | g r e p   | g r e p   - v   g r e p — 检 查 e u l y j b c f e w 进 程 是 否 存 在 ， i f   [   $ ?   - n e   0   ] — - 如 果 没 有 找 到 自 己 的 木 马 进 程 ， 即 不 等 于 0 ， 则 执 行 下 载 配 置 文 件 k w o r k e r . c o n f 。 根 据 c p u   是 否 支 持 a e s 加 密 指 令 集 下 载 不 同 的 木 马 程 序 ， 即 i f   [   $ ?   - n e   1   ] — 并 且 不 等 于 1 则 下 载 k w o r k e r 文 件 ， 若 不 等 于 0 也 不 不 等 于 1 ， 则 下 载 k w o r k e r _ n a 文 件 为 木 马 添 加 执 行 权 限 并 执 行 ， 最 后 判 断 有 几 个 物 理 C P U 核 ， 充 分 利 用 受 害 者 的 服 务 器 C P U 资 源 。 下 载 的 文 件 列 表 K w o r k e r . c o n f 内 容 2 . 2 .   k w o r k e r 样 本 分 析 样 本 分 析 k w o r k e r 样 本 信 息 ： e c h o   $ i d 2
通 过 各 类 杀 软 的 结 果 可 以 认 定 此 样 本 为 比 特 币 挖 矿 客 户 端 ， 见 下 图 ： 通 过 矿 机 的 类 型 进 行 比 对 此 类 型 应 该 属 于 第 一 种 ， 利 用 主 机 C P U 资 源 进 行 挖 矿 ， 这 从 样 本 的 分 析 证 实 了 此 行 为 。 挖 矿 样 本 运 行 过 程 如 下 ： 挖 矿 样 本 运 行 过 程 如 下 ： 通 过 调 用 挖 矿 客 户 端 以 u r l （ j s o n 格 式 ） 作 为 参 数 与 矿 池 通 信 并 登 记 。 当 矿 池 与 挖 矿 客 户 端 连 接 以 后 ， 挖 矿 客 户 端 向 矿 池 请 求 任 务 订 阅 ， 矿 池 给 挖 矿 客 户 端 返 回 任 务 。 当 挖 矿 客 户 端 找 到 s h a r e 节 点 时 ， 即 可 向 矿 池 提 交 任 务 。 并 且 发 现 样 本 有 上 传 受 害 者 服 务 器 信 息 的 嫌 疑 。
详 细 分 析 ： 1 )   矿 机 采 用 s t r a t u m 协 议 是 目 前 最 常 用 的 矿 机 和 矿 池 之 间 的 T C P 协 议 进 行 通 信 2 )   矿 机 通 过 指 定 u r l 与 矿 池 连 接 。 3 )   当 矿 机 启 动 后 首 相 向 矿 池 订 阅 任 务 ， 然 后 矿 池 立 即 以 m i n i n g . n o t i f y 形 式 返 回 订 阅 号 4 )   当 矿 机 在 矿 池 中 登 记 后 ， 矿 池 就 会 立 即 以 m i n i n g . n o t i f y 返 回 上 述 订 阅 的 任 务 。 5 )   矿 机 登 录 ： 矿 机 登 录 前 必 须 进 行 上 述 步 骤 的 初 始 化 连 接 否 则 矿 机 接 不 到 任 务 . 根 据 k w o r k e r . c o n f 的 内 容 可 以 进 行 判 定 疑 似 矿 池 地 址 ： 9 1 . 1 2 1 . 2 . 7 6 : 8 0
6 )   当 矿 机 找 到 合 法 的 s h a r e 后 就 会 就 会 进 行 结 果 的 提 交 7 )   上 传 用 户 信 息 2 . 3 .   k w o r k e r _ n a 样 本 分 析 样 本 分 析 通 过 各 类 杀 软 的 结 果 可 以 认 定 此 样 本 为 比 特 币 挖 矿 客 户 端 ， 与 k w o r k e r 样 本 的 结 果 一 直 ， 见 下 图 ：
通 过 对 恶 意 脚 本 文 件 中 的 i f - e l s e 的 内 容 判 断 条 件 的 分 析 。 对 k w o r k e r _ n a 样 本 分 析 ， 可 以 确 定 k w o r k e r _ n a 与 k w o r k e r 作 用 相 同 ， 不 同 点 在 于 K w o r k e r _ n a   无 符 号 调 试 信 息 ， 所 示 大 小 比 k w o r k e r   文 件 小 。 2 . 4 .   I P   5 . 1 8 8 . 1 0 . 1 0 4 的 溯 源 分 析 的 溯 源 分 析 通 过 网 镜 高 级 威 胁 检 测 系 统 利 用 相 同 的 方 法 还 发 现 在 5 . 1 8 8 . 1 0 . x 网 段 还 有 一 个 I P 地 址 5 . 1 0 8 . 1 0 . 1 0 4 也 在 进 行 相 同 的 攻 击 ， 同 样 利 用 S t r u t s 2 - 0 4 5 漏 洞 ， 执 行 相 同 的 攻 击 命 令 ， 传 播 相 同 的 挖 矿 样 本 。 所 以 我 们 把 这 两 个 I P 攻 击 归 属 为 一 个 组 织 。
网 镜 高 级 威 胁 检 测 系 统 检 测 到 5 . 1 0 8 . 1 0 . 1 0 4 同 样 进 行 S t r u t s 2 - 0 4 5 攻 击 5 . 1 8 8 . 1 0 . 1 0 4   利 用 S t r u t s 2 - 0 4 5 漏 洞 攻 击 数 据 包 从 攻 击 请 求 的 内 容 上 看 ， 跟 5 . 1 8 8 . 1 0 . 1 0 4 攻 击 行 为 没 有 什 么 区 别 ， 也 是 下 载 一 个 相 同 U R L 地 址 的 l o g o . j p g 文 件 ， 所 以 判 断 两 个 地 址 的 攻 击 行 为 一 致 ， 且 是 相 同 的 组 织 所 为 。 3 .   辣 条 先 生 辣 条 先 生 D D o S 组 织 组 织 通 过 某 节 点 神 州 网 云 网 镜 高 级 威 胁 检 测 系 统 自 身 的 检 测 能 力 、 天 际 友 盟 威 胁 情 报 能 力 发 现 了 多 个 I P 地 址 的 S t r u t s 2 - 0 4 5 行 为 ， 结 合 与 情 报 分 析 、 样 本 分 析 判 断 为 D D o S 行 为 。 根 据 该 组 织 的 C 2 通 信 域 名 特 点 我 们 命 名 此 组 织 为 “ 辣 条 先 生 ” 组 织 。 该 组 织 通 过 S t r u t s 2 - 0 4 5 漏 洞 批 量 对 互 联 网 的 W E B 应 用 服 务 器 发 起 攻 击 ， 并 下 载 恶 意 脚 本 进 行 D D o S 木 马 植 入 ， 主 要 感 染 W i n d o w s 服 务 器 。 3 . 1 .   I P   1 1 1 . 7 3 . 4 5 . 1 8 8 的 溯 源 分 析 的 溯 源 分 析 通 过 网 镜 高 级 威 胁 检 测 系 统 的 高 级 恶 意 行 为 检 测 及 情 报 匹 配 检 测 到 多 起 恶 意 I P 地 址 频 繁 对 某 数 据 中 心 发 起 S t r u t s 2 - 0 4 5 攻 击 行 为 。 网 镜 高 级 威 胁 检 测 系 统 检 测 到 1 1 1 . 7 3 . 4 5 . 1 8 8   的 S t r u t s 2 - 0 4 5 攻 击
针 对 攻 击 I P 地 址 1 1 1 . 7 3 . 4 5 . 1 8 8   进 行 溯 源 分 析 通 过 一 键 点 击 恶 意 I P 进 行 溯 源 分 析 ， 发 现 此 I P 地 址 恶 意 行 为 包 含 扫 描 器 及 恶 意 软 件 节 点 等 多 个 威 胁 类 型 。 且 I P 地 址 的 信 誉 值 较 高 ， 证 明 长 期 活 跃 还 在 对 互 联 网 进 行 恶 意 活 动 。 S t r u t s 2 - 0 4 5 攻 击 原 始 数 据 包 执 行 的 恶 意 命 令 代 码 如 下 ： 通 过 v b s c r i p t 代 码 实 现 文 件 下 载 功 能 ， 主 要 是 使 用 了 A D O D B . S t r e a m 来 执 行 如 下 行 为 ： 创 建 v b s 下 载 者 下 载 — 保 存 到 c 盘 ， 调 用 c s c r i p t 运 行 v b s 下 载 者 ， 然 后 删 除 自 身 。 网 址 h t t p : / / 1 1 1 . 7 3 . 4 5 . 1 8 8 : 5 2 8 7 5 打 开 以 后 ， 界 面 如 下 ： 发 现 S e r v e r . e x e 点 击 量 达 到 了 7 3 5 次 ， 证 明 已 经 被 下 载 安 装 了 7 3 5 次 。
攻 击 者 的 木 马 文 件 列 表 此 下 载 者 木 马 首 先 通 过 s e r v e r . e x e 隐 藏 自 身 进 程 为 c o n i m e . e x e ， 然 后 通 过 指 定 连 接 下 载 2 0 2 2 . e x e 、 3 5 9 7 . e x e 及 7 0 2 1 . e x e 三 个 D d o S 攻 击 的 木 马 服 务 端 。 接 下 来 可 以 通 过 与 C 2 进 行 通 信 ， 根 据 接 收 到 的 黑 客 命 令 进 行 拒 绝 式 服 务 攻 击 。 3 . 2 .   下 载 者 木 马 下 载 者 木 马 s e r v e r . e x e 样 本 分 析 样 本 分 析 通 过 溯 源 平 台 关 联 分 析 利 用 威 胁 情 报 平 台 溯 源 能 力 对 样 本 （ d 7 3 8 a f e b 7 a 1 d 8 b c 6 5 c e 4 7 2 6 e d 2 8 c 2 2 b 4 ） 进 行 溯 源 分 析 ， 发 行 多 家 杀 毒 厂 商 认 定 样 本 为 木 马 下 载 器 ， 并 且 通 过 可 视 化 的 关 联 出 样 本 的 恶 意 网 络 行 为 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理