搜索

[11857] 2017-10-04_针对巴西商业公司财务的攻击事件分析

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2017-10-04_针对巴西商业公司财务的攻击事件分析 针 对 巴 西 商 业 公 司 财 务 的 攻 击 事 件 分 析 3 6 0 天 眼 实 验 室   F r e e B u f   2 0 1 7 - 1 0 - 0 4 概 述 概 述 9 月 月 1 4 日 到 日 到 9 月 月 2 0 日 （ 特 别 是 日 （ 特 别 是 9 月 月 1 9 、 、 2 0 日 两 天 ） ， 日 两 天 ） ， 3 6 0 威 胁 情 报 中 心 发 现 一 批 具 有 相 似 特 征 的 钓 鱼 邮 件 ， 这 些 钓 威 胁 情 报 中 心 发 现 一 批 具 有 相 似 特 征 的 钓 鱼 邮 件 ， 这 些 钓 鱼 邮 件 的 语 言 均 为 葡 萄 牙 语 ， 投 递 目 标 为 巴 西 的 商 业 公 司 ， 使 用 的 鱼 邮 件 的 语 言 均 为 葡 萄 牙 语 ， 投 递 目 标 为 巴 西 的 商 业 公 司 ， 使 用 的 p a y l o a d 主 要 由 主 要 由 p o w e r s h e l l 和 和 A u t o I t 编 写 ， 这 编 写 ， 这 引 起 了 我 们 分 析 人 员 的 注 意 。 经 过 分 析 ， 确 定 这 是 一 起 针 对 巴 西 境 内 商 业 公 司 财 务 人 员 的 定 向 攻 击 ， 攻 击 目 标 引 起 了 我 们 分 析 人 员 的 注 意 。 经 过 分 析 ， 确 定 这 是 一 起 针 对 巴 西 境 内 商 业 公 司 财 务 人 员 的 定 向 攻 击 ， 攻 击 目 标 为 盗 取 银 行 账 户 。 为 盗 取 银 行 账 户 。 目 标 目 标 a .   葡 萄 牙 语 b .   巴 西 商 业 公 司 的 人 力 资 源 、 财 务 人 员 c .   邮 件 内 容 通 常 如 下 ： 翻 译 ： 亲 爱 的 先 生   确 定 你 没 有 收 到 我 的 第 一 封 电 子 邮 件 ， 我 会 按 照 约 定 寄 给 你 我 的 简 历 。   所 需 的 其 他 信 息 包 含 在 附 件 课 程 的 第 二 张 表 中 。
翻 译 ： 此 消 息 是 指 服 务 提 供 商 的 电 子 服 务 税 务 说 明 -   N F S - e 号 5 1 5 2 3 2 4 5 ： 公 司 名 称 ： P A Y P A L   D O   B R A S I L S E R V I C O S   D E   P A G A M E N T O S   L T D A 电 子 信 箱 ： n o t i f i c a c o e s @ p a y p a l . c o m C C M ： 3 , 9 3 2 , 1 2 8 - 2 C N P J ： 1 0 , 8 7 8 , 4 4 8   / 0 0 0 1 - 6 6 我 们 建 议 您 在 M i l l i o n   N o t e S y s t e m 中 注 册 一 个 安 全 短 语 ， 将 出 现 在 发 送 给 您 的 所 有 消 息 中 。 安 全 短 语 保 证 该 消 息 由 圣 保 罗 市 发 送 ， 并 阻 止 收 件 人 打 开 可 能 包 含 计 算 机 病 毒 的 邮 件 。 附 上 是 发 票 n f   =   5 1 5 2 3 2 4 5 ＆ c o d   = M I J 6 B F F P … … 分 析 分 析 将 邮 件 中 的 附 件 解 压 后 ， 是 一 个 h t m l 的 快 捷 方 式 ， 该 快 捷 方 式 的 链 接 目 标 如 下 ， 双 击 快 捷 方 式 后 ， 会 以 b a s e 6 4 编 码 后 的 恶 意 代 码 作 为 参 数 启 动 p o w e r s h e l l . e x e 执 行 ， 然 后 再 启 动 i e x p l o r e . e x e 迷 惑 受 害 人 。 P o w e r s h e l l 启 动 后 ， 会 从 h x x p : / / 9 1 3 5 3 1 7 9 2 [ . ] r . s - c d n [ . ] n e t / v 2 / g l . p h p ? a H R 0 c D o v L z k x M z U z M T c 5 M i 5 y L n M t Y 2 R u L m 5 l d C 9 2 M n x w V E p Z 下 载 一 段 代 码 ， 如 下 ：
可 以 看 见 这 段 代 码 的 功 能 很 简 单 ， 从 h x x p : / / 9 1 3 5 3 1 7 9 2 [ . ] r . s - c d n [ . ] n e t / v 2 / g d . p h p 下 载 并 异 或 0 x 6 A 解 密 出 一 个 名 为 L o a d e r 的 d l l ， 然 后 将 其 加 载 ， 接 着 通 过 L o a d e r 的 G o 方 法 ( 参 数 为 ” h x x p : / / 9 1 3 5 3 1 7 9 2 [ . ] r . s - c d n [ . ] n e t / v 2 ” , ” p T J Y ” ) 开 始 下 一 步 流 程 ， 最 后 生 成 一 个 v b s 脚 本 用 于 启 动 L o a d e r 中 指 定 的 文 件 ， 并 生 成 指 向 该 v b s 脚 本 的 快 捷 方 式 ， 打 开 快 捷 方 式 启 动 v b s 脚 本 。 由 于 L o a d e r 中 下 载 的 文 件 已 经 无 法 下 载 ， 而 我 们 目 前 只 知 道 该 样 本 是 一 个 d o w n l o a d e r ， 更 具 体 的 恶 意 行 为 无 法 获 得 ， 也 就 不 能 确 定 攻 击 者 的 最 终 目 的 ， 通 常 的 分 析 到 这 里 就 只 能 终 止 了 。 应 付 这 种 情 况 的 一 个 常 用 方 法 是 寻 找 同 源 样 本 ， 无 论 是 历 史 样 本 还 是 更 新 的 存 活 样 本 ， 都 能 够 对 样 本 的 行 为 进 行 有 效 的 还 原 ， 而 且 在 寻 找 同 源 样 本 时 获 取 的 其 他 信 息 也 能 进 一 步 对 攻 击 者 的 画 像 进 行 勾 勒 。 通 过 3 6 0 威 胁 情 报 中 心 ( t i . 3 6 0 . n e t ) 搜 索 9 1 3 5 3 1 7 9 2 . r . s - c d n . n e t , 我 们 找 到 了 更 多 的 样 本 ， 以 及 该 域 名 曾 解 析 到 的 i p 地 址 4 6 . 2 3 1 . 1 7 8 . 3 8 、 8 7 . 2 3 8 . 1 6 5 . 1 0 0 、 4 6 . 2 3 1 . 1 7 8 . 5 1 、 3 7 . 2 2 0 . 3 4 . 2 4 7 等 信 息 。 进 一 步 搜 索 这 些 I P 地 址 的 信 息 ， 发 现 另 一 个 作 为 C & C 的 域 名 h i c t i p . r . w o r l d s s l . n e t 及 其 关 联 样 本 ：
其 中 有 一 个 M D 5 为 b 5 e f 9 c 4 c 8 2 b 2 b e f 4 7 4 3 b 3 0 4 8 1 2 3 2 e c c 8 的 A u t o I t 样 本 ， 对 其 的 分 析 让 我 们 得 到 了 更 多 的 结 果 。 该 样 本 会 从 h x x p s : / / g i t h u b [ . ] c o m / f l 2 0 1 7 7 / F l a s h / r a w / U p d a t e / f l . e x e 下 载 一 个 文 件 ， 然 后 访 问 h x x p : / / 9 4 [ . ] 2 2 9 . 7 8 . 1 5 6 / c d / c o n t r o l l e r . p h p 。 下 载 回 来 的 f l . e x e 也 是 一 个 A u t o I t 编 译 成 P E 的 可 执 行 程 序 ， 其 反 编 译 后 的 代 码 正 是 前 面 提 到 过 的 p o w e r s h e l l 调 用 代 码 。 那 么 现 在 我 们 得 到 了 关 于 攻 击 者 的 一 些 新 的 信 息 ， 一 个 g i t h u b 地 址 和 一 个 i p ： 访 问 攻 击 者 在 G i t h u b 上 的 账 号 h t t p s : / / g i t h u b . c o m / f l 2 0 1 7 7 ， 可 以 发 现 这 个 账 号 是 攻 击 者 特 地 为 这 次 攻 击 注 册 的 ， 在 9 月 5 日 注 册 。
接 着 发 现 其 g i t h u b 上 的 项 目 h t t p s : / / g i t h u b . c o m / f l 2 0 1 7 7 / F l a s h   中 还 有 一 个 新 的 样 本 ： z e r . e x e 。 下 载 回 来 反 编 译 后 如 下 ， 注 释 部 分 是 对 代 码 功 能 的 说 明 ： 该 样 本 首 先 修 改 注 册 表 项 修 改 H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n I n t e r n e t S e t t i n g s A u t o C o n f i g U R L ， 这 个 注 册 表 项 对 应 的 是 I E 的 自 动 代 理 配 置 ， 可 以 指 定 一 个 脚 本 让 I E 对 符 合 条 件 的 域 名 使 用 指 定 的 代 理 。 这 里 的 指 定 的 代 理 配 置 脚 本 为 h x x p : / / w w w [ . ] v i j f h e e r e n l a n d e n d i g i t a a l . n l / e c / t f i l e s . t x t ,   内 容 如 下 ， 其 指 定 了 当 访 问 桑 坦 德 银 行 、 巴 西 布 拉 德 斯 科 银 行 、 花 旗 银 行 、 巴 西 联 邦 储 蓄 银 行 等 网 址 时 ， 使 用 代 理 服 务 器 9 4 . 2 2 9 . 7 8 . 1 5 6 ， 攻 击 者 获 取 到 受 害 者 的 访 问 流 量 后 ， 可 以 返 回 伪 造 的 钓 鱼 页 面 获 取 受 害 者 的 银 行 账 号 密 码 。
同 时 ， 样 本 还 从 h x x p s : / / w w w [ . ] y o u r l i f e i n t h e s u n . c o m / m a n i f e s t . z i p 下 载 一 个 c h r o m e 的 扩 展 插 件 ， 并 替 换 掉 c h r o m e 的 快 捷 方 式 ， 为 其 加 上 “ — l o a d - e x t e n s i o n = ” 的 启 动 参 数 ， 让 c h r o m e 启 动 时 默 认 加 载 这 个 插 件 ， 插 件 主 要 作 用 是 当 受 害 人 用 c h r o m e 访 问 上 面 提 到 的 银 行 网 址 时 ， 禁 用 掉 使 其 不 可 访 问 ， 从 而 诱 导 受 害 人 使 用 I E 浏 览 器 进 行 访 问 。 而 且 样 本 还 会 下 载 并 替 换 掉 A p l i c a t i v o   B r a d e s c o . e x e ( 巴 西 布 拉 德 斯 科 银 行 的 P C 客 户 端 软 件 ) 、 i t a u a p l i c a t i v o . e x e （ 巴 西 伊 塔 乌 投 资 银 行 的 P C 客 户 端 软 件 ） ， 替 换 后 的 软 件 点 击 后 只 会 弹 出 窗 口 提 示 ： “ 系 统 不 可 用 ， 请 通 过 浏 览 器 登 录 您 的 帐 号 。 ” ， 这 也 是 一 种 诱 导 受 害 人 通 过 浏 览 器 登 录 银 行 账 号 的 手 段 。
综 上 所 述 ， 3 6 0 威 胁 情 报 中 心 认 为 此 次 事 件 其 攻 击 目 标 为 巴 西 的 商 业 公 司 财 务 人 员 ， 目 的 为 盗 取 目 标 银 行 账 号 密 码 ， 是 一 起 限 定 范 围 内 的 定 向 攻 击 事 件 ， 而 不 是 针 对 特 定 行 业 人 员 以 窃 取 资 料 为 目 的 的 A P T 事 件 。 I O C D o m a i n 9 1 3 5 3 1 7 9 2 . r . s - c d n [ . ] n e t h i c t i p . r . w o r l d s s l [ . ] n e t w w w . y o u r l i f e i n t h e s u n [ . ] c o m I P U R L h x x p : / / 9 1 3 5 3 1 7 9 2 . r . s - c d n [ . ] n e t / v 2 h x x p : / / 9 1 3 5 3 1 7 9 2 . r . s - c d n [ . ] n e t / v 2 / g d . p h p h x x p : / / 9 1 3 5 3 1 7 9 2 . r . s - c d n [ . ] n e t / v 2 / g l . p h p h x x p s : / / h i c t i p . r . w o r l d s s l [ . ] n e t / v 2 h x x p s : / / h i c t i p . r . w o r l d s s l [ . ] n e t / v 2 / g l . p h p h x x p s : / / h i c t i p . r . w o r l d s s l [ . ] n e t / v 2 / g d . p h p h x x p : / / w w w . v i j f h e e r e n l a n d e n d i g i t a a l [ . ] n l / e c / t f i l e s . t x t h x x p : / / 9 4 . 2 2 9 . 7 8 [ . ] 1 5 6 / c c / c o n t r o l l e r . p h p h x x p : / / 9 4 . 2 2 9 . 7 8 [ . ] 1 5 6 / c d / c o n t r o l l e r . p h p h x x p s : / / w w w . y o u r l i f e i n t h e s u n [ . ] c o m / i t a u a p l i c a t i v o . e x e h x x p s : / / w w w . y o u r l i f e i n t h e s u n [ . ] c o m / D e v W a r n i n g P a t c h . b a t h x x p s : / / w w w . y o u r l i f e i n t h e s u n [ . ] c o m / m a n i f e s t . z i p h x x p s : / / w w w . y o u r l i f e i n t h e s u n [ . ] c o m / A p l i c a t i v o B r a d e s c o . e x e 9 4 . 2 2 9 . 7 8 [ . ] 1 5 6
h x x p s : / / g i t h u b [ . ] c o m / f l 2 0 1 7 7 / F l a s h / r a w / U p d a t e / f l . e x e M D 5 5 b 9 e 5 e 2 7 2 d 4 e 5 6 b 8 4 f 8 3 c 9 1 6 c 7 e e f b 8 f 4 f 4 8 f 6 1 8 f c 3 2 4 7 d 1 c 0 1 3 5 6 2 a 2 e 3 4 d c 4 e 5 d c 7 4 2 9 d 9 1 5 2 8 9 b 5 8 8 8 0 7 2 1 a 7 d 1 d c 3 5 c b 6 1 5 3 e d 6 c 5 e c a c 7 f c 3 8 c 7 3 1 6 0 5 7 f 5 d d 5 7 b 7 f 1 8 f 8 e c 6 4 1 c e 0 9 3 0 a 7 5 0 7 1 c a e 0 a 8 f * 本 文 作 者 ： 本 文 作 者 ： 3 6 0 天 眼 实 验 室 ， 转 载 请 注 明 来 自 天 眼 实 验 室 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理