搜索

[12363] 2018-02-15_“奇幻熊”（APT28）组织最新攻击

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2018-02-15_“奇幻熊”（APT28）组织最新攻击 “ 奇 幻 熊 ” （ A P T 2 8 ） 组 织 最 新 攻 击 腾 讯 电 脑 管 家   F r e e B u f   2 0 1 8 - 0 2 - 1 5 近 日 腾 讯 御 见 威 胁 情 报 中 心 在 监 测 近 日 腾 讯 御 见 威 胁 情 报 中 心 在 监 测 F a n c y   B e a r “ 奇 幻 熊 奇 幻 熊 ” 组 织 的 攻 击 活 动 过 程 中 ， 发 现 了 其 使 用 的 最 新 攻 击 样 组 织 的 攻 击 活 动 过 程 中 ， 发 现 了 其 使 用 的 最 新 攻 击 样 本 。 下 文 将 详 细 披 露 该 组 织 的 攻 击 手 法 ， 和 各 企 业 一 起 共 同 抵 御 此 类 高 级 攻 击 。 本 。 下 文 将 详 细 披 露 该 组 织 的 攻 击 手 法 ， 和 各 企 业 一 起 共 同 抵 御 此 类 高 级 攻 击 。 0 x 1   概 况 概 况 “ 奇 幻 熊 ” （ F a n c y   B e a r ， T - A P T - 1 2 ） 组 织 ， 也 被 称 作 A P T 2 8 ,   P a w n   S t o r m ,   S o f a c y   G r o u p ,   S e d n i t 或 S T R O N T I U M ， 是 一 个 长 期 从 事 网 络 间 谍 活 动 并 与 俄 罗 斯 军 方 情 报 机 构 相 关 的 A P T 组 织 ， 从 该 组 织 的 历 史 攻 击 活 动 可 以 看 出 ， 获 取 国 家 利 益 一 直 是 该 组 织 的 主 要 攻 击 目 的 。 据 国 外 安 全 公 司 报 道 ， 该 组 织 最 早 的 攻 击 活 动 可 以 追 溯 到 2 0 0 4 年 至 2 0 0 7 年 期 间 。 （ 图 1 ： 攻 击 活 动 时 间 轴 ） 腾 讯 御 见 威 胁 情 报 中 心 近 日 检 测 到 该 组 织 利 用 英 国 信 息 服 务 提 供 商 I H S   M a r k i t 公 司 的 邮 箱 账 号 向 罗 马 尼 亚 外 交 部 发 送 钓 鱼 邮 件 进 行 定 向 攻 击 。 在 攻 击 技 术 利 用 方 面 ， 该 组 织 使 用 了 最 新 的 白 利 用 技 术 ， 白 利 用 程 序 为 证 书 管 理 程 序 c e r t u t i l . e x e 。 此 外 ， 该 组 织 还 使 用 了 最 新 的 后 门 技 术 ， 利 用 U s e r I n i t M p r L o g o n S c r i p t 注 册 表 键 值 来 实 现 开 机 自 启 动 。 本 次 攻 击 中 使 用 的 木 马 为 C a r b e r p 银 行 木 马 的 变 种 ， 在 隐 藏 网 络 行 为 及 保 护 胜 利 果 实 方 面 做 出 了 优 化 。 此 前 ， 该 组 织 也 曾 使 用 钓 鱼 邮 件 及 C a r b e r p 变 种 木 马 对 美 国 政 府 机 构 进 行 攻 击 。
（ 图 2 ： 攻 击 流 程 图 ） 0 x 2   荷 载 投 递 荷 载 投 递 此 次 攻 击 使 用 了 钓 鱼 邮 件 进 行 定 向 攻 击 ， 诱 饵 邮 件 主 题 为 《 U p c o m i n g   E v e n t s   F e b r u a r y   2 0 1 8 》 ， 邮 件 附 件 名 U p c o m i n g E v e n t s   F e b r u a r y   2 0 1 8 . x l s ， 邮 件 内 容 如 下 图 所 示 。 当 打 开 邮 件 附 件 中 的 e x c e l 表 格 时 ， 会 发 现 表 格 中 大 部 分 内 容 为 空 ， 同 时 会 弹 出 “ 启 用 宏 ” 的 醒 目 提 示 。 （ 图 3 ： 邮 件 内 容 ） （ 图 4 ： 启 用 宏 的 提 示 及 表 格 内 容 为 空 ）
（ 图 5 ： 启 用 宏 后 ， 表 格 内 容 显 示 出 来 ） 一 旦 点 击 “ 启 用 内 容 ” 按 钮 ， 电 脑 就 会 执 行 宏 代 码 。 分 析 宏 代 码 时 ， 发 现 代 码 被 加 密 保 护 ， 破 解 密 码 后 ， 可 看 到 宏 代 码 的 主 要 功 能 是 从 表 格 中 取 出 加 密 的 p e 文 件 ， 再 利 用 微 软 的 签 名 程 序 c e r t u t i l . e x e 解 密 此 p e 文 件 ， 最 后 再 执 行 此 解 密 的 p e 文 件 。 （ 图 6 ： 分 析 宏 代 码 时 ， 弹 出 输 入 密 码 的 提 示 ）
（ 图 7 ： 宏 代 码 ， 功 能 解 释 ） （ 图 8 ： 宏 代 码 ， 功 能 解 释 ） （ 图 9 ： 表 格 中 存 储 的 b a s e 6 4 加 密 的 p e 文 件 ） 上 文 表 格 中 存 储 的 b a s e 6 4 加 密 的 p e 文 件 ， 会 被 宏 代 码 存 储 为 N 9 A 6 C 5 T 3 . t x t 文 件 ， 之 后 宏 代 码 会 利 用 微 软 的 签 名 程 序 c e r t u t i l . e x e 对 释 放 的 N 9 A 6 C 5 T 3 . t x t （ 文 件 名 随 机 生 成 ） 文 件 进 行 b a s e 6 4 解 密 从 而 得 到 木 马 e x e ， 解 密 时 命 令 行 为 ” c e r t u t i l   - d e c o d e   C : P r o g r a m d a t a N 9 A 6 C 5 T 3 . t x t   C : P r o g r a m d a t a C 3 E 4 U 3 B 1 . e x e ” （ 图 1 0 ： 释 放 的 文 件 ） c 3 e 4 u 3 b 1 . e x e 执 行 后 会 释 放 c d n v e r . d l l 和 c d n v e r . b a t 到 “ C : U s e r s A d m i n i s t r a t o r A p p D a t a L o c a l ” 目 录 ， 接 着 会 修 改 U s e r I n i t M p r L o g o n S c r i p t 注 册 表 的 键 值 为 “ C : U s e r s A d m i n i s t r a t o r A p p D a t a L o c a l c d n v e r . b a t ” ， 从 而 实 现 开 机 自 启 动 。 修 改 完 注 册 表 后 会 利 用 r u n d l l 3 2 . e x e   来 执 行 c d n v e r . d l l ， 命 令 行 为 ” C : W i n d o w s S y s t e m 3 2 r u n d l l 3 2 . e x e ” “ C : U s e r s A d m i n i s t r a t o r A p p D a t a L o c a l c d n v e r . d l l ” , # 1
（ 图 1 1 ： b a t 中 的 内 容 ） （ 图 1 2 ： 修 改 的 注 册 表 ） 0 x 3   R A T 分 析 分 析 木 马 的 主 要 功 能 都 集 中 在 c d n v e r . d l l 中 ， 此 功 能 主 要 包 括 信 息 收 集 、 上 传 与 下 载 文 件 、 下 载 与 执 行 p e 、 截 屏 等 。 在 此 d l l 的 导 出 函 数 c d n v e r _ 1 中 会 创 建 一 个 线 程 ， 木 马 的 主 要 功 能 都 是 从 此 线 程 开 始 。 （ 图 1 3 ： 导 出 函 数 c d n v e r _ 1 ） P e 中 的 关 键 明 文 字 符 串 同 样 使 用 了 简 单 的 异 或 算 法 加 密 。
（ 图 1 4 ： 字 符 串 解 密 函 数 ） 木 马 运 行 后 会 创 建 名 为 “ v g e k W 8 b 1 s t 6 y j z P A 9 f e w B 7 0 o 7 K C ”   的 互 斥 对 象 ， 还 会 创 建 名 为 “ S N F I R N W ”   的 F i l e M a p 对 象 ， 方 便 后 续 进 行 进 程 间 通 信 。 在 读 写 F i l e M a p 对 象 时 ， 会 对 t a g 进 行 验 证 ， 主 要 t a g 有 0 x 1 2 3 4 A B C D 、 0 x 0 D C B A 4 3 2 1 、 0 x 9 8 7 6 1 2 3 4 、 0 x 4 3 2 1 6 7 8 9 （ 图 1 5 ： 创 建 互 斥 对 象 ） （ 图 1 6 ： F i l e M a p 对 象 ）
（ 图 1 7 ： 进 程 间 通 信 时 验 证 t a g ） 该 木 马 配 置 了 两 个 c 2 地 址 ， 一 真 一 假 ， 第 一 个 c 2 的 域 名 为 ” g o o g l e . c o m ” 。 第 二 个 c 2 为 “ c d n v e r i f y . n e t ” ， 在 传 输 数 据 中 途 会 不 断 地 切 换 两 个 c 2 ， 从 而 达 到 隐 藏 通 信 的 目 的 。 如 果 通 信 失 败 ， 还 会 将 自 身 注 入 进 f i r e f o x . e x e 或 i e x p l o r e . e x e 等 浏 览 器 进 程 ， 直 接 在 这 些 进 程 里 将 收 集 的 信 息 上 传 到 c 2 ， 木 马 还 会 将 c 2 信 息 加 密 后 存 储 在 注 册 表 下 H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n I n t e r n e t   S e t t i n g s S e r v e r s 的 D o m a i n 项 中 。 （ 图 1 8 ： 解 密 出 两 个 c 2 ）
（ 图 1 9 ： 存 储 c 2 ） 在 通 信 过 程 中 会 读 取 f i r e f o x 的 配 置 文 件 p r e f s . j s 中 的 “ n e t w o r k . p r o x y . h t t p ” 和 ” n e t w o r k . p r o x y . h t t p _ p o r t ” 字 段 来 获 取 本 地 代 理 的 地 址 ， 进 而 方 便 将 收 集 的 信 息 成 功 传 送 出 去 。 （ 图 2 0 ： 从 p r o f i l e s . i n i 中 获 取 p r e f s . j s 文 件 的 路 径 ） （ 图 2 1 ： 查 找 p r e f s . j s 中 的 p r o x y 相 关 字 段 ） 注 入 d l l 时 先 使 用 Z w W r i t e V i r t u a l M e m o r y 等 函 数 将 p e 文 件 写 进 目 标 进 程 ， 再 创 建 远 线 程 将 注 入 d l l 依 赖 的 d l l 全 部 加 载 ， 最 后 再 创 建 远 线 程 开 启 进 程 间 通 信 功 能 。
（ 图 2 2 ： 注 入 ） 在 查 找 待 注 入 的 进 程 时 ， 直 接 比 较 的 是 进 程 名 的 h a s h 值 ， 而 不 是 直 接 的 明 文 字 符 串 。 H a s h 进 程 名 进 程 名 0 x 0 C D C B 4 E 5 0 i e x p l o r e . e x e 0 x 7 0 2 9 7 9 3 8 f i r e f o x . e x e 0 x 7 2 3 F 0 1 5 8 h C h r o m e . e x e （ 图 2 3 ： 根 据 进 程 名 h a s h 值 进 行 查 找 ） 该 木 马 会 使 用 H t t p S e n d R e q u e s t A 等 函 数 进 行 网 络 发 包 ， 在 发 上 线 包 时 会 将 当 前 所 有 进 程 名 及 计 算 机 截 屏 等 信 息 上 传 。 截 屏 时 使 用 模 拟 p r i n t s c r e e n 按 键 进 行 截 屏 ， 再 从 剪 贴 板 取 出 图 像 数 据 。
（ 图 2 4 ： 发 包 ） （ 图 2 5 ： 截 屏 ） 在 进 行 发 包 时 ， 会 将 收 集 的 内 容 存 储 在 “ d i s k ” 、 “   b u i l d ” 、 “ i m g ” 、 “ i d ” 等 标 签 中 ， 主 要 标 签 如 下 表 所 示 ， 之 后 进 行 加 密 后 ， 再 随 机 生 成 u r l 后 进 行 p o s t 发 包 。 标 签 名 标 签 名 含 义 含 义 I D 硬 盘 序 列 号 ， d w o r d d i s k 磁 盘 名 称 b u i l d 木 马 版 本 号 0 x 9 1 0 4 f 0 0 0 I m g 加 密 成 字 符 串 后 的 截 屏 b m p 文 件
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理