搜索

[11960] 2017-11-01_样本分析当“网络冲突”中的诱饵文件被用于真实的攻击事件

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-18
2017-11-01_样本分析当“网络冲突”中的诱饵文件被用于真实的攻击事件 样 本 分 析   |   当 “ 网 络 冲 突 ” 中 的 诱 饵 文 件 被 用 于 真 实 的 攻 击 事 件 C o v f e f e   F r e e B u f   2 0 1 7 - 1 1 - 0 1 C i s c o   T a l o s 最 近 发 现 了 知 名 黑 客 组 织 最 近 发 现 了 知 名 黑 客 组 织 7 4 （ 又 名 （ 又 名 T s a r   T e a m ， ， S o f a c y ， ， A P T 2 8 ， ， F a n c y   B e a r … ） 的 一 种 新 型 恶 意 ） 的 一 种 新 型 恶 意 行 动 ， 具 有 讽 刺 意 味 的 是 ， 这 次 行 动 中 的 使 用 的 诱 饵 文 件 是 一 份 有 关 美 国 网 络 冲 突 会 议 的 行 动 ， 具 有 讽 刺 意 味 的 是 ， 这 次 行 动 中 的 使 用 的 诱 饵 文 件 是 一 份 有 关 美 国 网 络 冲 突 会 议 的 W o r d 文 档 。 文 档 。 美 国 网 络 美 国 网 络 冲 突 会 议 由 美 国 军 事 科 学 院 ， 军 事 网 络 研 究 所 与 北 约 的 网 络 军 事 学 院 和 网 络 防 御 中 心 合 作 而 共 同 开 展 ， 所 以 从 冲 突 会 议 由 美 国 军 事 科 学 院 ， 军 事 网 络 研 究 所 与 北 约 的 网 络 军 事 学 院 和 网 络 防 御 中 心 合 作 而 共 同 开 展 ， 所 以 从 这 个 文 档 的 性 质 出 发 ， 我 们 认 为 这 次 行 动 主 要 针 对 网 络 安 全 从 业 人 员 或 者 是 感 兴 趣 的 人 。 与 之 前 发 起 的 行 动 不 这 个 文 档 的 性 质 出 发 ， 我 们 认 为 这 次 行 动 主 要 针 对 网 络 安 全 从 业 人 员 或 者 是 感 兴 趣 的 人 。 与 之 前 发 起 的 行 动 不 同 ， 这 次 的 文 档 不 包 含 同 ， 这 次 的 文 档 不 包 含 O f f i c e   e x p l o i t ， 也 不 包 含 ， 也 不 包 含 0 d a y ， 只 有 一 个 恶 意 的 ， 只 有 一 个 恶 意 的 V i s u a l   B a s i c 应 用 程 序 （ 应 用 程 序 （ V B A ） 宏 。 ） 宏 。 这 个 V B A 执 行 了 S e d u p l o a d e r 的 新 变 种 ， 而 S e d u p l o a d e r 是 一 个 恶 意 侦 察 软 件 ， 它 已 经 被 7 4   G r o u p 使 用 了 多 年 。 S e d u p l o a d e r 由 两 个 文 件 组 成 ： 一 个 d r o p p e r （ 一 种 木 马 ） 和 一 个 载 荷 。 d r o p p e r 和 载 荷 与 之 前 的 版 本 非 常 相 似 ， 但 作 者 修 改 了 一 些 公 开 信 息 （ 如 M U T E X 名 称 ， 混 淆 密 钥 等 ） ， 我 们 认 为 行 动 参 与 者 之 所 以 修 改 这 些 信 息 ， 是 因 为 想 要 避 免 基 于 公 共 I O C 的 检 测 。 本 文 介 绍 了 恶 意 文 件 和 S e d u p l o a d e r 恶 意 侦 察 软 件 ， 特 别 是 其 与 之 前 版 本 的 区 别 。 恶 意 恶 意 O f f i c e 文 档 文 档 诱 饵 文 件 诱 饵 文 件 该 诱 饵 文 件 的 主 题 是 美 国 网 络 冲 突 会 议 ， 文 件 名 为 C o n f e r e n c e _ o n _ C y b e r _ C o n f l i c t . d o c ， 文 件 一 共 有 两 页 ， 包 含 组 织 者 的 标 志 及 其 赞 助 商 。
由 此 看 来 ， 我 们 认 为 本 次 的 目 标 是 一 些 网 络 安 全 相 关 从 业 人 员 或 仅 仅 是 对 其 感 兴 趣 的 人 。 文 件 的 全 部 内 容 可 以 在 会 议 网 站 上 查 看 ， 攻 击 者 可 能 将 其 复 制 并 粘 贴 到 了 恶 意 文 档 里 。 V B A 这 个 O f f i c e 文 档 包 含 一 个 V B A 脚 本 ， 以 下 是 代 码 ： 此 代 码 的 目 标 是 文 档 的 属 性 （ “ t h e m e ” ， “ c o m p a n y ” ， “ t y p e ” ， “ c o m m e n t ” 以 及 “ H y b e r l i n k   b a s e ” ） ， 通 过 查 看 文 件 的 属 性 ， 这 些 信 息 可 以 直 接 从 W i n d o w s 资 源 管 理 器 中 提 取 。 而 “ H y b e r l i n k   b a s e ” 必 须 通 过 另 一 个 工 具 提 取 ， 注 意 这 些 字 段 的
内 容 ， 它 们 是 b a s e 6 4 编 码 。 提 取 的 信 息 被 组 合 在 一 起 形 成 一 个 变 量 ， 其 使 用 b a s e 6 4 编 码 以 获 取 被 写 入 磁 盘 的 W i n d o w s 库 。 这 个 文 件 被 命 名 为 n e t w f . d a t 。 之 后 该 文 件 就 会 由 r u n d l l 3 2 . e x e 通 过 K i p S v c 导 出 执 行 。 另 外 我 们 会 看 到 两 个 额 外 文 件 ： n e t w f . b a t 和 n e t w f . d l l 。 V B A 脚 本 的 最 后 部 分 显 示 这 两 个 文 件 的 属 性 被 设 置 为 “ 隐 藏 ” 。 此 外 ， 我 们 也 可 以 看 到 两 个 V B A 变 量 名 ： P a t h P i d （ 可 能 是 有 效 载 荷 的 路 径 ） ， P a t h P i d B t （ 可 能 用 于 批 处 理 ） 。 S E D U P L O A D E R 变 种 变 种 d r o p p e r 分 析 分 析 与 之 前 发 起 的 行 动 相 反 ， 最 新 版 本 没 有 提 权 功 能 ， 它 仅 仅 执 行 了 有 效 载 荷 并 配 置 持 久 性 机 制 。 d r o p p e r 会 安 装 两 个 文 件 ： n e t w f . b a t ： 执 行 n e t w f . d l l n e t w f . d l l ： 有 效 载 荷 它 还 会 实 现 两 个 持 久 性 机 制 ： H K C U E n v i r o n m e n t U s e r I n i t M p r L o g o n S c r i p t 执 行 n e t w f . b a t 文 件 C O M 对 象 劫 持 以 下 C L S I D ： { B C D E 0 3 9 5 - E 5 2 F - 4 6 7 C - 8 E 3 D - C 4 5 7 9 2 9 1 6 9 2 E } ， M M D e v i c e E n u m e r a t o r 类 的 C L S I D 。 要 注 意 的 是 ， 这 两 种 技 术 此 前 已 经 被 使 用 过 。 最 后 有 效 载 荷 会 由 r u n d l l 3 2 . e x e 执 行 ， 如 果 进 行 了 C O M 对 象 劫 持 ， 则 由 e x p l o r e r . e x e 执 行 。 若 为 后 者 ， e x p l o r e r . e x e 会 实 例 化 M M D e v i c e E n u m e r a t o r . a s p x ) 类 并 执 行 载 荷 。
载 荷 分 析 载 荷 分 析 载 荷 的 功 能 与 之 前 版 本 的 S e d u p l o a d e r 类 似 ， 我 们 可 以 将 其 与 2 0 1 7 年 5 月 份 使 用 的 样 本 e 3 3 8 d 4 9 c 2 7 0 b a f 6 4 3 6 3 8 7 9 e 5 e e c b 8 f a 6 b d d e 8 a d 9 进 行 比 较 。 在 新 样 本 的 1 9 5 个 函 数 中 ， 1 4 9 个 完 全 相 同 ， 1 6 个 9 0 ％ 匹 配 ， 2 个 8 0 ％ 匹 配 ： 在 之 前 的 行 动 中 ， 参 与 者 利 用 O f f i c e 文 档 漏 洞 进 行 感 染 ， 所 以 此 前 载 荷 是 在 O f f i c e   w o r d 进 程 中 执 行 的 ， 但 此 次 不 同 ， 参 与 者 没 有 利 用 任 何 漏 洞 ， 相 反 ， 有 效 载 荷 被 r u n d l l 3 2 . e x e 以 独 立 模 式 执 行 。 参 与 者 也 改 变 了 一 些 常 量 ， 如 前 一 版 本 中 使 用 的 X O R   k e y ， 现 版 本 为 ： M U T E X 名 也 不 一 样 ： F G 0 0 n x o j V s 4 g L B n w K c 7 H h m d K 0 h 以 下 是 S e d u p l o a d e r 的 一 些 功 能 ：
屏 幕 捕 获 （ 使 用 G D I   A P I ） 数 据 / 配 置 窃 取 代 码 执 行 文 件 下 载 分 析 样 本 中 的 C & C 服 务 器 是 【 m y i n v e s t g r o u p [ . ] c o m 】 ， 在 研 究 期 间 ， 服 务 器 没 有 向 受 感 染 的 机 器 发 送 任 何 命 令 。 根 据 O f f i c e 文 档 和 P E 文 件 的 元 数 据 ， 我 们 发 现 攻 击 者 在 1 0 月 4 日 创 建 了 该 文 件 。 而 且 在 C i s c o   U m b r e l l a 上 可 以 看 到 ， 活 动 量 在 三 天 后 （ 1 0 月 7 日 ） 其 到 达 了 一 个 顶 峰 。 总 结 总 结 在 对 这 一 次 的 行 动 进 行 分 析 过 后 ， 我 们 发 现 攻 击 者 是 很 有 创 意 的 ， 此 次 行 动 可 能 是 为 了 针 对 网 络 安 全 从 业 人 员 或 仅 仅 是 对 其 感 兴 趣 的 人 ， 因 此 这 些 人 对 网 络 威 胁 更 为 敏 感 。 在 这 种 情 况 下 ， 7 4   G r o u p 反 倒 没 有 利 用 嵌 入 的 M S   O f f i c e 漏 洞 或 任 何 0 d a y 漏 洞 ， 而 仅 仅 使 用 了 简 单 的 脚 本 语 言 。 对 于 这 种 变 化 ， 我 们 需 要 知 道 其 最 基 本 的 入 侵 机 制 是 不 同 的 ， 因 为 这 次 有 效 载 荷 是 在 独 立 模 式 中 执 行 的 。 至 于 他 们 为 何 要 使 用 此 种 方 式 ， 我 们 至 今 未 知 ， 不 过 我 们 猜 想 有 一 个 可 能 的 原 因 ： 是 为 了 避 免 研 究 人 员 最 终 会 找 到 漏 洞 的 修 补 方 法 而 使 攻 击 者 的 武 器 化 平 台 失 效 。 此 外 ， 作 者 会 更 新 其 工 具 ， 对 于 一 些 老 练 的 攻 击 者 来 说 ， 这 也 是 很 常 见 的 ， 一 旦 他 们 的 平 台 被 曝 光 ， 就 需 要 修 改 工 具 以 确 保 更 好 地 回 避 ， 例 如 本 次 对 于 X O R   k e y 和 M U T E X 名 称 的 修 改 。 我 们 认 为 这 些 修 改 是 为 了 避 免 基 于 公 共 I O C 的 检 测 。 文 件 文 件 O f f i c e 文 件 ： 文 件 ： c 4 b e 1 5 f 9 c c f e c f 7 a 4 6 3 f 3 b 1 d 4 a 1 7 e 7 b 4 f 9 5 d e 9 3 9 e 0 5 7 6 6 2 c 3 f 9 7 b 5 2 f 7 f a 3 c 5 2 f e 5 5 1 1 b 2 2 2 4 5 e 2 6 a 0 0 3 9 2 3 b a 4 7 6 d 7 c 3 6 0 2 9 9 3 9 b 2 d 1 9 3 6 e 1 7 a 9 b 3 5 b 3 9 6 4 6 7 1 7 9 a e e f b 2 3 5 7 7 6 8 5 1 5 0 2 6 7 2 d b a 5 e f 4 5 d 9 6 c c 6 5 c b 9 e b b a 1 b 4 9 9 4 9 3 9 3 a 6 a 8 5 b 9 c 8 2 2 f 5 2 S e d u p l o a d e r   D r o p p e r ： ： 5 2 2 f d 9 b 3 5 3 2 3 a f 5 5 1 1 3 4 5 5 d 8 2 3 5 7 1 f 7 1 3 3 2 e 5 3 d d e 9 8 8 c 2 e b 4 1 3 9 5 c f 6 b 0 c 1 5 8 0 5 S e d u p l o a d   载 荷 ： 载 荷 ： e f 0 2 7 4 0 5 4 9 2 b c 0 7 1 9 4 3 7 e b 5 8 c 3 d 2 7 7 4 c c 8 7 8 4 5 f 3 0 c 4 0 0 4 0 b b e b b c c 0 9 a 4 e 3 d d 1 8 网 络 网 络 【 m y i n v e s t g r o u p [ . ] c o m 】 * 参 考 来 源 ： t a l o s i n t e l l i g e n c e ， C o v f e f e 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理