搜索

[13973] 2019-04-11_MuddyWater新攻击活动样本分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-04-11_MuddyWater新攻击活动样本分析 M u d d y W a t e r 新 攻 击 活 动 样 本 分 析 f u c k g o d   F r e e B u f   2 0 1 9 - 0 4 - 1 1 简 介 简 介 M u d d y W a t e r 是 疑 似 来 自 伊 朗 的 是 疑 似 来 自 伊 朗 的 A P T 组 织 ， 主 要 攻 击 目 标 为 中 东 地 区 政 府 机 构 ， 但 在 近 期 的 公 开 报 告 中 显 组 织 ， 主 要 攻 击 目 标 为 中 东 地 区 政 府 机 构 ， 但 在 近 期 的 公 开 报 告 中 显 示 ， 示 ， 1 8 年 后 ， 中 东 以 外 的 地 区 也 陆 续 出 现 了 年 后 ， 中 东 以 外 的 地 区 也 陆 续 出 现 了 M u d d y w a t e r 的 活 动 迹 象 ， 比 如 土 耳 其 ， 巴 基 斯 坦 等 地 。 的 活 动 迹 象 ， 比 如 土 耳 其 ， 巴 基 斯 坦 等 地 。 近 日 ， 国 外 安 全 厂 商 披 露 了 三 个 新 的 M u d d y W a t e r 攻 击 样 本 ： 但 并 未 写 相 关 分 析 文 章 ， 笔 者 就 用 以 分 析 学 习 ^ _ ^ 。 样 本 信 息 样 本 信 息 样 本 样 本 m d 5 a 0 6 6 f 5 b 9 3 f 4 a c 8 5 e 9 a d f e 5 f f 3 b 1 0 b c 2 8
作 者 信 息 作 者 信 息 G l a d i a t o r 样 本 来 源 样 本 来 源 h t t p s : / / a p p . a n y . r u n / t a s k s / 4 c 6 2 f 5 3 f - 2 6 8 f - 4 6 6 9 - a a 7 8 - 7 b 0 1 f 5 5 f a 1 5 e 样 本 样 本 m d 5 a 0 6 6 f 5 b 9 3 f 4 a c 8 5 e 9 a d f e 5 f f 3 b 1 0 b c 2 8 分 析 环 境 分 析 环 境 分 析 环 境 分 析 环 境 W i n 7   3 2   虚 拟 机 虚 拟 机 调 试 工 具 调 试 工 具 P o w e r s h e l l   i s e 样 本 分 析 样 本 分 析 样 本 似 乎 采 用 了 模 板 注 入 ， 运 行 后 ， 即 从 h t t p : / / c o r p l i n k . c o m . p k / w p - c o n t e n t / t h e m e s / b u i s s o n / 1 6 4 3 3 . j p g 下 载 一 个 宏 样 本 ： 此 类 利 用 方 法 可 以 有 效 的 绕 过 一 些 杀 软 检 测 ， V T 5 9 家 杀 软 仅 4 家 报 毒 ： 之 后 便 是 M u d d y W a t e r 组 织 一 贯 的 老 套 路 ， 利 用 模 糊 的 诱 饵 性 图 片 诱 导 用 户 启 用 宏 ：
当 受 害 者 启 用 宏 后 ， 恶 意 宏 代 码 即 会 执 行 ， 部 分 宏 代 码 隐 藏 在 窗 体 中 ： 攻 击 者 很 鸡 贼 的 故 意 弹 出 错 误 提 示 ， o f i i c e 版 本 不 对 ， 以 误 导 受 害 者 ， e m m m … 这 也 是 M u d d y W a t e r 的 老 套 路 了 。 宏 代 码 后 续 指 令 写 入 注 册 表 H K E Y _ C U R R E N T _ U S E R S o f t w a r e C l a s s e s C L S I D { * } S h e l l M a n a g e c o m m a n d ， 并 在 启 动 项 下 写 入 该 数 据 ， 也 就 是 只 有 当 受 害 者 重 启 或 者 重 新 登 录 后 续 的 恶 意 行 为 才 会 执 行 ， 这 可 能 是 为 了 绕 过 某 些 沙 箱 。
之 后 将 配 置 文 件 释 放 到 c : w i n d o w s t e m p 下 ， 其 中 i c o n . i c o 主 要 用 于 启 动 后 续 p o w e r s h e l l 指 令 ： P o w e r s h e l l 命 令 经 b a s e 6 4 编 码 ， 解 码 后 如 下 ： 获 取 配 置 文 件 p i c t u r e . j p g 的 内 容 ， b a s e 6 4 解 码 后 ， 再 经 解 密 后 执 行 ， 接 下 的 工 作 就 是 漫 长 的 去 混 淆 的 过 程 ， 将 i e x 命 令 替 换 为 输 出 等 命 令 ， 解 了 2 3 层 混 淆 （ 想 哭 ， 各 位 大 佬 有 没 有 快 速 的 方 法 ， 谢 谢 告 知 ） ， 最 后 解 混 淆 的 代 码 如 下 ：
解 密 后 的 文 件 是 m u d d y w a t e r 常 用 的 P O W E R S T A T S 后 门 。 首 先 获 取 系 统 基 本 信 息 ， 计 算 机 系 统 名 、 计 算 机 名 、 用 户 名 以 及 I P ， 公 网 I P 等 信 息 ：
之 后 以 “ * * ” 将 这 些 信 息 格 式 化 成 字 符 串 ， 并 使 用 m d 5 对 格 式 化 的 字 符 串 进 行 加 密 。 再 次 获 取 系 统 基 本 信 息 ， 加 密 信 息 ， 加 密 方 法 如 下 ：
与 c 2 ： h t t p : / / g l a d i y a t o r . t k / N o n e 通 信 ， 发 送 通 信 数 据 ， 若 返 回 “ d o n e ” 则 继 续 后 续 ： 之 后 将 m d 5 加 密 的 数 据 发 往 c 2 获 取 功 能 命 令 执 行 ：
将 返 回 的 指 令 以 ! ! 分 割 后 ， 进 入 命 令 分 发 ， 命 令 分 发 函 数 如 下 ： 命 令 命 令 功 能 功 能 U p l o a d 从 给 定 地 址 下 载 文 件 保 存 到 c : p r o g r a m d a t a C m d 利 用 c m d 执 行 命 令 ， 返 回 结 果 B 6 4 利 用 I E X 执 行 b a s e 6 4 解 码 后 的 指 令 ， 返 回 结 果 其 他 直 接 利 用 i e x 执 行 命 令 ， 返 回 结 果 之 后 将 执 行 结 果 发 往 c 2 。 关 联 溯 源 关 联 溯 源
外 国 大 佬 都 说 M u d d y W a t e r 了 ， 应 该 就 石 锤 了 ， 就 假 装 关 联 一 下 ， 此 次 样 本 利 用 了 M u d d y W a t e r 常 用 的 手 法 ， 模 糊 图 片 诱 导 用 户 启 用 宏 ， 只 是 加 了 一 次 模 板 注 入 用 以 绕 过 杀 软 ， 手 法 更 厉 害 了 。 后 续 木 马 是 M u d d y W a t e r 组 织 常 用 的 P O W E R S T A T S 后 门 ： 和 之 前 相 同 的 加 密 k e y ： I o c M d 5 c c h t t p : / / g l a d i y a t o r . t k 参 考 连 接 参 考 连 接 h t t p s : / / t i . 3 6 0 . n e t / b l o g / a r t i c l e s / s u s p e c t e d - m u d d y w a t e r - a p t - o r g a n i z a t i o n - l a t e s t - a t t a c k - a c t i v i t y - a n a l y s i s - a g a i n s t - i r a q i - m o b i l e - o p e r a t o r - k o r e k - t e l e c o m / h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / n e t w o r k / 1 9 9 0 0 8 . h t m l * 本 文 原 创 作 者 ： f u c k g o d ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 推 荐 阅 读 推 荐 阅 读 a 0 6 6 f 5 b 9 3 f 4 a c 8 5 e 9 a d f e 5 f f 3 b 1 0 b c 2 8 8 a 0 0 4 e 9 3 d 7 e e 3 b 2 6 d 9 4 1 5 6 7 6 8 b c 0 8 3 9 d f 1 2 b a b 5 5 4 1 a 7 d 8 e f 4 b b c a 8 1 f 6 f c 8 3 5 a 3
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理