搜索

[13021] 2018-08-04_Emotet的演变：从银行木马到网络威胁分销商

文档创建者：s7ckTeam
浏览次数：27
最后更新：2025-01-18
2018-08-04_Emotet的演变：从银行木马到网络威胁分销商 E m o t e t 的 演 变 ： 从 银 行 木 马 到 网 络 威 胁 分 销 商 H y d r a l a b   F r e e B u f   2 0 1 8 - 0 8 - 0 4 有 证 据 表 明 ， 有 证 据 表 明 ， E m o t e t 背 后 的 运 营 团 队 背 后 的 运 营 团 队 M e a l y b u g 已 经 从 维 护 自 己 的 自 定 义 银 行 木 马 发 展 成 为 了 其 他 组 织 的 恶 意 软 已 经 从 维 护 自 己 的 自 定 义 银 行 木 马 发 展 成 为 了 其 他 组 织 的 恶 意 软 件 的 分 销 商 。 件 的 分 销 商 。 M e a l y b u g 是 一 个 网 络 犯 罪 组 织 ， 自 2 0 1 4 年 以 来 一 直 保 持 活 跃 。 我 们 可 以 通 过 其 使 用 的 自 定 义 恶 意 软 件 T r o j a n . E m o t e t 来 识 别 它 。 近 几 年 来 ， M e a l y b u g 似 乎 已 经 改 变 了 其 商 业 模 式 ， 从 针 对 欧 洲 的 银 行 客 户 转 变 为 了 使 用 其 基 础 设 施 为 全 球 其 他 威 胁 行 为 者 提 供 恶 意 软 件 包 装 和 交 付 服 务 。 由 于 E m o t e t 可 以 自 我 传 播 ， 因 此 它 给 受 害 者 组 织 带 来 了 额 外 的 挑 战 。 网 络 蠕 虫 已 经 经 历 了 一 次 复 兴 ， 这 里 有 一 些 众 所 周 知 的 例 子 ， 如 W a n n a C r y （ R a n s o m . W a n n a c r y ） 和 P e t y a / N o t P e t y a （ R a n s o m . P e t y a ） 。 通 过 网 络 传 播 还 意 味 着 受 害 者 能 够 在 不 点 击 恶 意 链 接 或 下 载 恶 意 附 件 的 情 况 下 受 到 感 染 。 一 旦 降 落 到 受 害 者 组 织 的 设 备 上 ， E m o t e t 会 下 载 并 执 行 一 个 包 含 一 个 密 码 列 表 的 扩 展 模 块 ， 用 于 暴 力 访 问 同 一 网 络 上 的 其 他 设 备 。 E m o t e t 的 自 我 传 播 以 及 暴 力 访 问 有 可 能 会 给 受 害 者 组 织 带 来 更 大 的 麻 烦 ， 因 为 它 可 能 会 产 生 多 次 失 败 的 登 录 尝 试 ， 进 而 导 致 用 户 被 锁 定 在 他 们 的 网 络 账 户 之 外 。 这 也 产 生 了 对 I T 服 务 台 的 需 求 增 加 以 及 一 般 生 产 力 下 降 的 连 带 反 应 ， 而 这 正 是 臭 名 昭 著 的 C o n f i c k e r 蠕 虫 （ W 3 2 . D o w n a d u p ） 的 一 个 代 表 性 标 志 ， 在 经 历 了 十 年 之 后 ， 引 起 类 似 问 题 的 始 作 俑 者 换 成 了 E m o t e t 。 除 了 通 过 暴 力 访 问 之 外 ， E m o t e t 还 可 以 通 过 在 受 感 染 设 备 上 安 装 的 垃 圾 电 子 邮 件 模 块 来 传 播 到 其 他 设 备 上 去 。 该 模 块 生 成 的 电 子 邮 件 使 用 了 标 准 的 社 会 工 程 技 术 ， 其 主 题 通 常 包 含 类 似 于 “ I n v o i c e ” 这 样 的 单 词 。 一 些 主 题 还 包 含 了 被 泄 露 的 电 子 邮 件 账 户 所 有 者 的 名 字 ， 以 使 它 看 起 来 并 不 像 是 垃 圾 电 子 邮 件 。 这 些 电 子 邮 件 通 常 包 含 恶 意 链 接 或 恶 意 附 件 ， 如 果 被 打 开 ， 受 害 者 的 设 备 将 会 被 T r o j a n . E m o t e t 所 感 染 。 最 近 ， M e a l y b u g 似 乎 已 经 扩 大 了 其 业 务 ， 主 要 成 为 了 其 他 攻 击 组 织 的 恶 意 软 件 分 销 商 。 E m o t e t 成 为 全 球 威 胁 成 为 全 球 威 胁 当 M e a l y b u g 于 2 0 1 4 年 首 次 被 发 现 时 ， 它 正 在 使 用 E m o t e t 来 传 播 银 行 木 马 ， 并 专 注 于 针 对 德 国 的 银 行 客 户 。 当
时 ， M e a l y b u g 使 用 T r o j a n . E m o t e t 作 为 C r i d e x 银 行 木 马 的 一 个 修 改 版 本 W 3 2 . C r i d e x . B 的 加 载 程 序 组 件 。 在 2 0 1 5 年 ， M e a l y b u g 开 始 瞄 准 瑞 士 银 行 客 户 ， 并 将 E m o t e t 升 级 为 更 具 模 块 化 的 恶 意 软 件 。 新 版 本 的 E m o t e t 为 其 加 载 程 序 、 银 行 数 据 窃 取 、 电 子 邮 件 凭 证 窃 取 、 分 布 式 拒 绝 服 务 （ D D o S ） 攻 击 和 恶 意 电 子 垃 圾 邮 件 提 供 了 单 独 的 模 块 。 M e a l y b u g 主 要 致 力 于 使 用 E m o t e t 来 交 付 银 行 木 马 。 在 2 0 1 7 年 ， 它 成 为 了 第 一 个 交 付 I c e d I D （ T r o j a n . I c e d I D ） 银 行 木 马 的 组 织 。 同 样 在 2 0 1 7 年 ， 它 还 被 观 察 到 交 付 了 T r o j a n . T r i c k y b o t 和 R a n s o m . U m b r e C r y p t 勒 索 软 件 。 经 过 多 年 的 发 展 ， M e a l y b u g 已 经 提 升 了 自 己 的 能 力 ， 现 在 似 乎 提 供 了 一 种 “ 端 到 端 ” 的 恶 意 软 件 交 付 服 务 。 它 不 仅 交 付 了 恶 意 软 件 ， 而 且 还 对 它 们 进 行 了 混 淆 以 减 少 被 检 出 的 机 率 ， 并 提 供 了 一 个 扩 展 模 块 来 允 许 恶 意 软 件 自 我 传 播 。 E m o t e t 通 过 发 送 包 含 能 够 导 致 文 档 被 下 载 的 恶 意 链 接 或 附 有 恶 意 文 档 的 电 子 邮 件 ， 在 受 害 者 的 设 备 或 网 络 上 获 得 初 步 立 足 点 。 至 少 从 2 0 1 5 年 开 始 ， E m o t e t 就 拥 有 了 反 分 析 技 术 。 在 2 0 1 8 年 ， E m o t e t 的 有 效 载 荷 包 含 了 一 个 含 有 其 主 要 组 件 和 一 个 反 分 析 模 块 的 压 缩 文 件 。 反 分 析 模 块 会 执 行 多 次 检 查 以 确 保 它 并 不 是 运 行 在 用 于 恶 意 软 件 研 究 的 设 备 上 ， 然 后 才 会 加 载 主 要 组 件 。 P o w e r S h e l l 或 J a v a S c r i p t 都 用 于 下 载 这 个 木 马 ， 该 木 马 会 将 一 个 经 打 包 的 有 效 载 荷 文 件 交 付 到 受 害 者 的 设 备 上 。 一 旦 降 落 到 受 害 者 的 设 备 上 ， 最 新 版 本 的 E m o t e t 将 执 行 以 下 操 作 ： 将 自 身 移 动 到 其 首 选 目 录 在 启 动 文 件 夹 中 创 建 指 向 自 身 的 L N K 文 件 收 集 受 害 者 的 设 备 信 息 并 将 其 发 送 到 C ＆ C 服 务 器 然 后 ， 它 可 以 从 C ＆ C 服 务 器 下 载 新 的 有 效 载 荷 ， 并 执 行 它 们 。 E m o t e t 可 以 下 载 自 身 的 更 新 版 本 或 任 何 其 他 恶 意 软 件 。 现 有 版 本 的 E m o t e t 将 从 C ＆ C 服 务 器 下 载 模 块 ， 包 括 ： 银 行 业 务 模 块 ： 此 模 块 用 于 拦 截 来 自 浏 览 器 的 网 络 流 量 ， 以 窃 取 用 户 输 入 的 银 行 详 细 信 息 。 这 就 是 T r o j a n . E m o t e t 被 分 类 为 银 行 木 马 的 原 因 。 电 子 邮 件 客 户 端 信 息 窃 取 模 块 ： 此 模 块 用 于 窃 取 电 子 邮 件 客 户 端 软 件 中 的 电 子 邮 件 凭 证 。 浏 览 器 信 息 窃 取 模 块 ： 此 模 块 用 于 窃 取 浏 览 历 史 记 录 和 已 保 存 的 密 码 等 信 息 。 P S T 信 息 窃 取 模 块 ： 此 模 块 用 于 读 取 O u t l o o k 的 电 子 邮 件 存 档 ， 并 提 取 电 子 邮 件 的 发 件 人 姓 名 和 电 子 邮 件 地 址 ， 可 能 用 于 发 送 垃 圾 电 子 邮 件 。 由 这 些 模 块 窃 取 的 所 有 信 息 都 将 被 发 送 到 C ＆ C 服 务 器 。 E m o t e t 还 有 一 个 D D o S 模 块 ， 可 以 将 受 感 染 的 设 备 添 加 到 僵 尸 网 络 中 ， 以 执 行 D D o S 攻 击 。 图 1 . T r o j a n . E m o t e t 主 要 关 注 位 于 美 国 的 目 标 多 年 来 ， E m o t e t 的 地 理 目 标 也 在 显 著 增 加 。 在 经 历 了 2 0 1 5 年 以 来 相 对 平 静 的 一 段 时 期 之 后 ， 在 2 0 1 7 年 下 半 年 ， E m o t e t 的 检 出 率 开 始 激 增 。 而 在 那 一 年 ， M e a l y b u g 的 目 标 包 括 了 位 于 加 拿 大 、 中 国 、 英 国 和 墨 西 哥 的 受 害 者 。 然 而 ， 根 据 赛
门 铁 克 2 0 1 8 年 上 半 年 的 遥 测 数 据 显 示 ， 其 关 注 的 焦 点 目 前 主 要 集 中 在 位 于 美 国 的 目 标 身 上 。 图 2 . 按 地 理 区 域 划 分 的 T r o j a n . E m o t e t 检 出 率 Q a k b o t 木 马 木 马 自 2 0 1 8 年 2 月 以 来 ， E m o t e t 已 被 用 于 传 播 W 3 2 . Q a k b o t ， 这 是 一 个 以 网 络 蠕 虫 行 为 而 闻 名 的 银 行 木 马 家 族 。 就 像 E m o t e t 一 样 ， Q a k b o t 也 可 以 自 我 传 播 。 Q a k b o t 试 图 通 过 暴 力 访 问 来 实 现 跨 网 络 传 播 ， 同 时 也 使 用 “   l i v i n g - o f f - t h e - l a n d （ 靠 山 吃 山 靠 水 吃 水 ） ” 工 具 进 行 传 播 。 它 使 用 P o w e r S h e l l 来 下 载 并 运 行 M i m i k a t z （ H a c k t o o l . M i m i k a t z ） ， 这 是 一 个 开 源 的 凭 证 窃 取 工 具 ， 允 许 攻 击 者 在 建 立 初 始 立 足 点 之 后 ， 就 可 以 在 网 络 上 快 速 移 动 。 事 实 上 ， E m o t e t 和 Q a k b o t 都 具 有 自 我 传 播 的 能 力 ， 这 意 味 着 一 旦 它 们 进 入 到 你 的 网 络 中 ， 就 会 迅 速 蔓 延 。 两 者 都 试 图 通 过 暴 力 访 问 在 网 络 上 传 播 ， 这 也 增 加 了 用 户 被 锁 定 在 其 设 备 之 外 的 风 险 。 在 2 0 1 8 年 2 月 ， Q a k b o t 检 出 率 的 飙 升 表 明 这 种 威 胁 的 “ 双 重 传 播 ” 正 在 发 生 ， 这 意 味 着 M e a l y b u g 正 在 使 用 E m o t e t 在 网 络 上 传 播 Q a k b o t ， 而 Q a k b o t 同 时 也 在 使 用 自 己 的 自 我 传 播 能 力 。 帐 户 锁 定 场 景 是 一 种 非 常 现 实 的 威 胁 ， 对 于 组 织 来 说 是 一 个 潜 在 的 大 问 题 。 图 3 .   2 0 1 8 年 1 月 1 日 至 5 月 2 8 日 期 间 的 W 3 2 . Q a k b o t 检 测 率 赛 门 铁 克 的 分 析 表 明 ， E m o t e t 和 Q a k b o t 使 用 了 相 同 的 打 包 程 序 ， 但 有 多 种 因 素 表 明 ， M e a l y b u g 仅 为 Q a k b o t 背 后 的 威 胁 行 为 者 提 供 E m o t e t 作 为 交 付 服 务 ， 并 没 有 直 接 操 控 木 马 。
两 种 木 马 的 C ＆ C 基 础 设 施 之 间 似 乎 没 有 任 何 重 叠 ， 分 析 还 揭 示 了 它 们 主 要 组 件 的 代 码 和 反 分 析 技 术 存 在 差 异 。 M e a l y b u g 使 用 了 两 种 不 同 的 传 播 机 制 也 是 令 人 惊 讶 的 ， 因 为 如 上 所 述 ， 两 种 尝 试 暴 力 破 解 密 码 的 木 马 都 可 以 触 发 帐 户 锁 定 并 阻 断 木 马 的 传 播 。 如 果 两 种 木 马 都 是 由 M e a l y b u g 操 控 的 ， 那 么 该 组 织 不 太 可 能 同 时 使 用 两 种 不 同 的 传 播 技 术 。 出 于 这 些 原 因 ， 我 们 认 为 E m o t e t 和 Q a k b o t 是 由 两 个 独 立 的 组 织 操 控 的 ， 而 M e a l y b u g 正 在 提 供 E m o t e t 作 为 其 他 恶 意 软 件 的 交 付 机 制 。 E m o t e t 的 进 化 的 进 化 M e a l y b u g 似 乎 已 经 找 到 了 自 己 的 定 位 ： 为 其 他 威 胁 行 为 者 提 供 恶 意 软 件 交 付 服 务 。 T r o j a n . E m o t e t 的 主 要 组 件 被 用 作 一 个 加 载 程 序 ， 理 论 上 可 以 支 持 任 何 有 效 载 荷 。 虽 然 它 仍 然 主 要 用 于 分 发 银 行 木 马 ， 但 从 理 论 上 讲 ， 它 可 以 传 播 任 何 恶 意 软 件 ， 并 且 有 报 道 称 它 已 经 交 付 了 R a n s o m . U m b r e C r y p t 勒 索 软 件 。 M e a l y b u g 大 概 是 通 过 从 使 用 其 服 务 的 威 胁 行 为 者 那 里 获 取 利 润 来 赚 钱 的 。 根 据 我 们 所 观 察 到 的 ， M e a l y b u g 似 乎 一 次 同 时 服 务 于 多 个 攻 击 组 织 ， 我 们 也 没 有 证 据 能 够 表 明 它 是 某 个 组 织 的 “ 专 属 ” 分 销 商 。 在 2 0 1 7 年 1 1 月 ， M e a l y b u g 被 观 察 到 在 多 起 活 动 中 同 时 将 T r o j a n . T r i c k y b o t 和 W 3 2 . Q a k b o t 交 付 到 了 同 一 台 设 备 上 ， 而 这 是 在 几 分 钟 之 内 完 成 的 。 M e a l y b u g 从 将 自 己 的 银 行 木 马 交 付 给 相 对 较 少 的 目 标 到 主 要 作 为 其 他 威 胁 行 为 者 的 全 球 分 销 商 的 转 变 很 有 意 思 。 我 们 观 察 到 M e a l y b u g 正 在 不 断 发 展 并 改 进 他 们 的 技 术 和 商 业 模 式 ， 以 最 大 化 利 润 。 看 来 ， M e a l y b u g 似 乎 已 经 决 定 通 过 担 任 经 销 商 这 一 角 色 ， 以 最 大 限 度 地 提 高 其 收 益 。 这 可 能 来 源 于 M e a l y b u g 发 现 ， 仅 通 过 银 行 木 马 赚 钱 已 经 变 得 非 常 困 难 ， 所 以 他 们 不 得 不 改 变 了 自 己 的 策 略 。 随 着 银 行 对 双 因 素 身 份 验 证 （ 2 F A ） 的 普 及 和 使 用 ， 使 得 通 过 窃 取 凭 证 来 破 坏 帐 户 变 得 更 加 困 难 ， 并 且 随 着 网 上 银 行 业 务 的 成 熟 ， 人 们 的 安 全 意 识 和 保 护 措 施 也 得 到 了 改 善 。 组 织 面 临 的 挑 战 组 织 面 临 的 挑 战 M e a l y b u g 的 活 动 为 组 织 带 来 了 许 多 挑 战 ， 这 包 括 ： 它 的 像 蠕 虫 一 样 的 能 力 意 味 着 它 可 以 在 组 织 中 迅 速 传 播 。 E m o t e t 的 网 络 传 播 能 力 意 味 着 设 备 可 以 在 没 有 任 何 用 户 交 互 的 情 况 下 受 到 感 染 。 暴 力 访 问 增 加 了 受 害 者 组 织 中 的 用 户 被 锁 定 在 设 备 之 外 的 可 能 性 ， 并 给 I T 团 队 带 来 麻 烦 并 影 响 工 作 效 率 。 * 本 文 作 者 ： H y d r a l a b ， 转 载 请 注 明 来 源   F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理