搜索

[11787] 2017-09-16_利用威胁情报数据平台拓展APT攻击线索一例

文档创建者：s7ckTeam
浏览次数：21
最后更新：2025-01-18
2017-09-16_利用威胁情报数据平台拓展APT攻击线索一例 利 用 威 胁 情 报 数 据 平 台 拓 展 A P T 攻 击 线 索 一 例 3 6 0 天 眼 实 验 室   F r e e B u f   2 0 1 7 - 0 9 - 1 6 当 我 们 说 起 当 我 们 说 起 A P T 攻 击 线 索 的 发 现 ， 似 乎 是 一 个 挺 神 秘 的 事 ， 安 全 厂 商 往 往 说 得 云 山 雾 罩 ， 如 果 现 在 你 问 如 何 知 攻 击 线 索 的 发 现 ， 似 乎 是 一 个 挺 神 秘 的 事 ， 安 全 厂 商 往 往 说 得 云 山 雾 罩 ， 如 果 现 在 你 问 如 何 知 道 某 件 事 情 的 时 侯 ， 得 到 的 回 答 往 往 是 ： 道 某 件 事 情 的 时 侯 ， 得 到 的 回 答 往 往 是 ： ” 嗯 ， 我 们 用 了 机 器 学 习 嗯 ， 我 们 用 了 机 器 学 习 ” ， 行 业 外 的 人 除 了 觉 得 高 端 以 外 基 本 得 不 到 ， 行 业 外 的 人 除 了 觉 得 高 端 以 外 基 本 得 不 到 有 用 的 信 息 。 然 而 ， 发 现 高 级 的 定 向 攻 击 是 否 一 定 需 要 高 级 的 分 析 手 段 ？ 答 案 是 ： 未 必 。 今 天 我 们 就 举 一 个 简 有 用 的 信 息 。 然 而 ， 发 现 高 级 的 定 向 攻 击 是 否 一 定 需 要 高 级 的 分 析 手 段 ？ 答 案 是 ： 未 必 。 今 天 我 们 就 举 一 个 简 单 的 例 子 ， 分 析 对 象 还 是 我 们 的 老 朋 友 ： 海 莲 花 单 的 例 子 ， 分 析 对 象 还 是 我 们 的 老 朋 友 ： 海 莲 花 A P T 团 伙 。 团 伙 。 线 索 线 索 2 0 1 7 年 5 月 1 4 日 F i r e E y e 公 司 发 了 一 个 揭 露 A P T 3 2 （ 海 莲 花 ） 团 伙 新 近 活 动 的 分 析 ， 描 述 了 攻 击 过 程 的 细 节 和 一 些 工 具 及 网 络 相 关 的 I O C 。 这 些 信 息 当 然 已 经 收 录 到 3 6 0 威 胁 情 报 中 心 数 据 平 台 里 ， 搜 索 一 下 其 中 一 个 C & C 域 名 ：   h i g h . v p h e l p . n e t ， 我 们 得 到 如 下 的 输 出 页 面 ： 右 下 角 的 可 视 化 分 析 已 经 把 F i r e E y e 报 告 中 涉 及 的 所 有 I O C 都 做 了 关 联 展 示 。 在 左 边 的 相 关 安 全 报 告 ， 也 理 所 当 然 地 提 供 了 F i r e E y e 文 章 的 原 始 链 接 ， 除 此 以 外 我 们 还 发 现 了 另 外 一 个 指 向 到 著 名 沙 箱 P a y l o a d   S e c u r i t y 上 的 某 个 样 本 执 行 沙 箱 结 果 信 息 链 接 ， 相 应 的 文 件 S H A 2 5 6 为 e 5 6 9 0 5 5 7 9 c 8 4 9 4 1 d c d b 2 b 2 0 8 8 d 6 8 d 2 8 1 0 8 b 1 3 5 0 a 4 e 4 0 7 f b 3 d 5 c 9 0 1 f 8 e 1 6 f 5 e b c 。 点 击 过 去 看 一 下 细 节 ：
嗯 ， 一 个 越 南 语 文 件 名 的 样 本 ， 这 很 海 莲 花 。 看 一 下 它 的 网 络 行 为 ： 可 以 看 到 样 本 涉 及 一 组 4 个 的 C & C 域 名 ： p u s h . r e l a s i g n . o r g s e r i . v o l v e r i . n e t h i g h . v p h e l p . n e t 2 4 . d a t a t i m e s . o r g 这 也 是 海 莲 花 相 关 样 本 的 风 格 ， 一 般 会 在 同 一 天 注 册 4 - 5 个 域 名 用 于 C & C 通 信 。 我 们 知 道 P a y l o a d S e c u r i t y 上 存 储 了 大 量 样 本 的 沙 箱 行 为 日 志 数 据 ， 那 么 我 们 是 不 是 可 以 在 上 面 找 找 更 多 类 似 的 样 本 呢 ？ 这 个 值 得 一 试 。 怎 么 做 呢 ？ 试 试 最 简 单 的 关 键 字 匹 配 。
拓 展 拓 展 注 意 到 上 面 那 个 已 知 样 本 连 接 C & C   I P 的 进 程 名 了 吗 ？ 多 年 从 事 恶 意 代 码 分 析 的 经 验 告 诉 我 们 ， 这 个 s i g v e r i f . e x e 进 程 在 恶 意 代 码 的 活 动 中 并 不 常 见 。 所 以 我 们 可 以 用 s i g v e r i f . e x e 作 为 关 键 词 尝 试 搜 索 ， 不 必 用 P a y l o a d S e c u r i t y 网 站 自 己 的 搜 索 选 项 ， 其 实 G o o g l e 提 供 的 全 文 搜 索 功 能 更 为 强 大 ， 用 ” s i t e : ” 指 定 目 标 网 站 并 指 定 关 键 字 ” s i g v e r i f . e x e ” ， G o o g l e 给 我 们 的 结 果 只 有 2 页 ， 下 面 是 第 1 页 的 结 果 ： 这 里 输 出 的 命 中 列 表 中 最 后 一 项 就 是 我 们 已 知 会 连 接 h i g h . v p h e l p . n e t   C & C 域 名 的 海 莲 花 样 本 。 由 于 条 目 总 命 中 数 并 不 多 ， 所 以 我 们 可 以 逐 一 检 查 每 个 命 中 样 本 与 已 知 样 本 的 相 似 度 。 查 看 列 表 中 的 第 一 个 样 本 ， 文 件 S H A 2 5 6 为 2 b b f f b c 7 2 a 5 9 e f a f 7 4 0 2 8 e f 5 2 f 5 b 6 3 7 a a d a 5 9 6 5 0 d 6 5 7 3 5 7 7 3 c c 9 f f 3 a 9 e d f f c a 5 ， 相 应 的 恶 意 行 为 判 定 如 下 ：
往 前 翻 一 下 我 们 线 索 样 本 的 行 为 判 定 （ 进 程 调 用 关 系 和 字 符 串 ） ， 可 以 确 认 两 者 几 乎 是 完 全 相 同 的 ， 这 应 该 就 是 另 一 个 相 同 功 能 的 海 莲 花 样 本 。 接 下 来 检 查 这 个 样 本 连 接 的 C & C 域 名 和 I P ： 在 这 里 我 们 发 现 了 另 外 4 个 从 前 未 知 的 C & C 域 名 ： n e w s . s i t e c o n t e n t s . o r g c d n . m e d i a s t a t i c s . n e t i m a g e . l a s t a p i . o r g t i m e . s y n z o n e . o r g 域 名 注 册 于 2 0 1 6 年 8 月 1 0 日 ， 并 做 了 隐 私 保 护 ， 海 莲 花 团 伙 的 惯 用 操 作 ， 在 各 种 威 胁 情 报 平 台 上 还 查 不 到 这 些 域 名 的 标 签 信 息 。 它 们 都 曾 解 析 到 I P   8 1 . 9 5 . 7 . 1 2   ， 域 名 与 I P 与 已 知 的 其 他 海 莲 花 的 攻 击 活 动 没 有 关 联 ， 在 基 础 设 施 方 面 隔 离 比 较 彻 底 ， 这 也 是 近 期 海 莲 花 活 动 的 趋 势 。 根 据 3 6 0 威 胁 情 报 中 心 对 这 几 个 域 名 的 监 控 ， 国 内 没 有 发 现 连 接 的 迹 象 ， 所 以
相 关 的 样 本 极 有 可 能 被 用 于 针 对 中 国 以 外 目 标 的 攻 击 。 如 此 ， 我 们 就 从 一 个 已 知 的 域 名 出 发 ， 通 过 关 联 的 样 本 ， 提 取 其 静 态 特 征 搜 索 到 同 类 样 本 ， 最 终 挖 掘 到 以 前 我 们 所 未 知 的 样 本 和 C & C 基 础 设 施 。 启 示 启 示 A P T 活 动 事 件 层 面 的 分 析 本 质 上 寻 找 关 联 点 并 利 用 关 联 点 基 于 数 据 进 行 拓 展 的 游 戏 ， 下 面 是 3 6 0 威 胁 情 报 中 心 整 理 的 基 于 洛 马 C y b e r   K i l l   C h a i n 模 型 关 联 点 ： A P T 的 攻 防 最 终 会 落 到 人 和 数 据 的 对 抗 ， 很 多 时 候 数 据 就 在 那 儿 ， 在 了 解 对 手 T T P 类 的 攻 防 细 节 并 且 对 数 据 敏 感 度 高 的 分 析 人 员 手 里 ， 通 过 层 层 剖 析 就 能 得 到 拓 展 视 野 获 取 更 多 的 威 胁 情 报 。   3 6 0 威 胁 情 报 中 心 基 于 自 己 的 判 定 对 大 量 的 数 据 打 了 标 签 ， 部 分 标 签 是 对 外 输 出 的 ， 这 些 标 签 其 实 就 是 威 胁 情 报 ， 用 户 所 要 做 的 就 是 问 对 的 问 题 。 I O C 海 莲 花 团 伙 新 挖 掘 到 的 威 胁 情 报 海 莲 花 团 伙 新 挖 掘 到 的 威 胁 情 报 域 名 域 名 说 明 说 明 n e w s . s i t e c o n t e n t s . o r g C & C c d n . m e d i a s t a t i c s . n e t C & C i m a g e . l a s t a p i . o r g C & C t i m e . s y n z o n e . o r g C & C 文 件 文 件 H A S H 2 b b f f b c 7 2 a 5 9 e f a f 7 4 0 2 8 e f 5 2 f 5 b 6 3 7 a a d a 5 9 6 5 0 d 6 5 7 3 5 7 7 3 c c 9 f f 3 a 9 e d f f c a 5 * 本 文 作 者 ： 3 6 0 天 眼 实 验 室 ， 转 载 请 注 明 来 自   F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理