搜索

[14055] 2019-05-01_浅析某针对乌克兰国防和经济部门的大规模钓鱼事件

文档创建者：s7ckTeam
浏览次数：21
最后更新：2025-01-18
2019-05-01_浅析某针对乌克兰国防和经济部门的大规模钓鱼事件 浅 析 某 针 对 乌 克 兰 国 防 和 经 济 部 门 的 大 规 模 钓 鱼 事 件 小 河 西 村 研 究 所   F r e e B u f   2 0 1 9 - 0 5 - 0 1 前 言 前 言 石 楠 花 开 前 ， 小 河 西 村 检 测 到 多 起 针 对 乌 克 兰 国 防 和 经 济 部 门 的 攻 击 事 件 。 在 短 暂 的 分 析 之 后 ， 我 们 惊 讶 地 发 石 楠 花 开 前 ， 小 河 西 村 检 测 到 多 起 针 对 乌 克 兰 国 防 和 经 济 部 门 的 攻 击 事 件 。 在 短 暂 的 分 析 之 后 ， 我 们 惊 讶 地 发 现 这 是 一 起 持 续 且 大 规 模 的 网 络 间 谍 活 动 ， 乌 克 兰 是 主 要 的 受 害 国 。 现 这 是 一 起 持 续 且 大 规 模 的 网 络 间 谍 活 动 ， 乌 克 兰 是 主 要 的 受 害 国 。 在 早 起 的 公 开 报 告 中 P a l o   A l t o 和 E S E T 分 别 在 2 0 1 8 年 1 月 和 7 月 对 其 进 行 揭 露 ， 小 河 西 村 编 写 本 文 前 两 天 ， F i r e E y e 再 次 揭 露 一 起 网 络 钓 鱼 活 动 。 我 们 想 各 家 报 告 或 多 或 少 存 在 重 叠 、 不 尽 人 意 的 地 方 。 由 于 各 种 原 因 ， 小 河 西 村 在 惊 叹 之 余 一 拖 再 拖 ， 重 新 提 笔 亦 是 行 文 仓 促 。 为 了 避 免 误 导 ， 我 们 力 争 对 以 下 全 部 样 本 进 行 人 工 判 读 ， 小 心 求 证 之 后 ， 也 对 无 法 笃 定 的 事 件 本 身 进 行 大 胆 假 设 。 令 人 鼓 舞 的 是 ， F i r e E y e 的 核 心 观 点 与 关 键 证 据 多 与 小 河 西 村 不 谋 而 合 ， 经 过 劳 作 ， 最 终 行 文 于 此 。 《 维 摩 诘 经 》 有 云 ： “ 有 所 饶 益 , 欢 喜 无 悔 ” 。 我 们 认 同 F i r e E y e 的 观 点 ， 小 河 西 村 同 样 认 为 攻 击 来 源 可 能 来 自 卢 甘 斯 克 或 其 相 同 、 相 邻 时 区 的 政 治 、 经 济 关 切 实 体 。 攻 击 活 动 最 早 可 以 追 溯 到 2 0 1 4 年 底 或 2 0 1 5 年 初 。 该 组 织 最 近 异 常 活 跃 ， 除 了 国 防 ， 证 据 显 示 乌 克 兰 经 济 部 门 同 样 遭 到 该 组 织 攻 击 。 团 伙 成 员 使 用 俄 、 乌 两 种 语 言 ， 活 动 范 围 在 U T C   + 2 到 U T C   + 3 时 区 。 该 团 伙 以 鱼 叉 钓 鱼 邮 件 为 主 ， 针 对 政 府 部 门 特 定 人 员 定 向 投 递 ， 在 多 起 邮 件 攻 击 中 ， 他 们 自 称 来 自 合 作 伙 伴 或 内 部 人 员 ， 要 求 收 件 人 员 阅 读 附 件 内 容 。 这 些 诱 饵 包 括 ： 行 政 文 件 、 人 员 名 单 、 货 物 清 单 等 等 。 附 件 多 以 压 缩 文 件 进 行 投 递 ， 包 括 l z h 、 z i p 、 r a r 等 ， 攻 击 载 荷 多 以 l n k 、 j s 、 e x e 和 s c r 为 主 。 该 组 织 成 员 注 册 了 大 量 域 名 用 于 R A T 的 下 载 和 C 2 服 务 。 虽 然 根 据 诱 饵 内 容 和 收 件 人 地 址 明 确 判 定 为 定 向 投 递 ， 仍 然 让 小 河 西 村 惊 讶 的 是 如 此 长 时 间 、 大 规 模 、 高 频 次 的 鱼 叉 钓 鱼 会 有 多 少 成 功 率 ？ 乌 克 兰 政 府 有 没 有 投 入 足 够 的 安 全 设 施 以 及 开 展 安 全 意 识 培 训 ？ 除 了 一 本 正 经 的 胡 说 八 道 我 们 也 可 以 聊 聊 八 卦 、 带 上 小 板 凳 吃 瓜 、 脑 补 入 侵 现 场 。 开 始 调 查 开 始 调 查 此 处 我 们 以 近 期 该 组 织 针 对 乌 克 兰 某 国 防 部 门 的 一 封 鱼 叉 钓 鱼 邮 件 进 行 切 入 ， 收 件 日 期 是 2 0 1 9 年 3 月 1 9 日 ( U T C   + 2 ) 。 邮 件 内 容 大 概 是 说 需 要 支 付 某 项 商 品 的 费 用 。 正 文 醒 目 地 标 识 出 来 这 封 邮 件 已 经 使 用 最 新 版 本 的 E S E T   N O D 3 2 进 行 扫 描 ， 没 有 发 现 威 胁 。
邮 件 附 件 是 一 个 名 为 < з а д о л ж н о с т ь   9 1 0   г р н   р а х у н о к   з а   1 9 . 0 3 . 2 0 1 9 р . . l z h > 的 压 缩 文 件 。 其 中 包 含 一 份 作 为 欺 骗 诱 饵 的 x l s x 文 档 和 一 份 用 于 攻 击 的 j s 脚 本 。 这 个 j s 脚 本 经 过 相 当 程 度 的 混 淆 ， 其 主 要 的 功 能 是 访 问 h t t p : / / g r a v i r o n a l l c . i c u / p r i c e u w e b / p r i c e . e x e 下 载 R A T 。 在 我 们 获 样 时 ， 域 名 g r a v i r o n a l l c . i c u 成 功 解 析 到 I P 地 址 6 2 . 1 7 3 . 1 3 8 . 2 1 1 。 p r i c e . e x e 包 含 P D B 路 径 C : M a g a l h a e R e l e a s e S t o r e . p d b 。 对 p r i c e . e x e 进 行 分 析 之 后 ， 小 河 西 村 认 定 这 是 新 版 的 S m o k e B o t   L o a d e r 。 根 据 样 本 回 溯 ， 在 2 0 1 8 年 中 旬 ， 该 组 织 以 及 启 用 S m o k e B o t   L o a d e r 。 这 款 木 马 的 执 行 流 程 非 常 复 杂 。 首 先 在 内 存 中 解 密 一 片 s h e l l c o d e ， 该 s h e l l c o d e 经 过 严 重 的 混 淆 和 乱 序 ， 样 本 通 过 动 态 方 法 获 取 a p i 函 数 地 址 ， 检 查 虚 拟 机 环 境 ， 校 验 特 定 的 键 盘 布 局 之 后 ， 解 压 一 段 代 码 并 将 其 注 入 到 e x p l o r e r 进 程 当 中 。
在 注 入 的 e x p l o r e r 进 程 中 ， 样 本 首 先 会 开 启 两 个 线 程 进 行 反 调 试 ， 然 后 解 密 字 符 串 ， 并 且 通 过 获 取 的 计 算 机 名 、 用 户 名 、 磁 盘 序 列 号 等 信 息 通 过 计 算 生 成 互 斥 提 名 称 以 及 拷 贝 自 身 用 作 持 久 化 功 能 的 木 马 名 称 。 创 建 l n k 放 入 S t a r t u p 路 径 ， 并 且 创 建 计 划 任 务 。 利 用 控 制 台 启 动 自 身 拷 贝 。 连 接 C 2 接 收 指 令 等 等 。 在 我 们 分 析 这 例 S m o k e B o t   L o a d e r 连 接 的 C 2 服 务 器 地 址 是 ： a n o t h e r b l o c k . b i t 和 a v i a t o r s s m . b i t 。 D o u b l e   K i l l 在 小 河 西 村 的 调 查 中 我 们 发 现 除 了 以 j s 作 为 载 体 外 ， 该 组 织 同 样 利 用 l n k ( f a c k D o c ) 和 e x e ( f a c k R a r ) 作 为 下 载 者 进 行 攻 击 。 再 以 近 期 一 封 邮 件 为 例 。 在 该 组 织 的 攻 击 惯 例 中 ， j s 包 含 在 l z h 文 件 中 。 而 l n k 和 e x e 通 常 在 r a r 和 z i p 文 件 中 ， 且 同 时 存 在 ， 它 们 的 主 要 功 能 都 是 下 载 和 执 行 下 一 阶 段 的 p a y l o a d 。 l n k 包 含 在 一 堆 钓 鱼 文 档 之 中 。 它 们 访 问 的 u r l 同 为 ： s i n o p t i k . w e b s i t e / f N X I j o K p 查 看 l n k 文 件 属 性 可 以 清 楚 地 看 到 该 快 捷 方 式 调 用 p o w e r s h e l l 执 行 下 载 操 作 。
为 了 隐 藏 和 欺 骗 ， 该 e x e 伪 装 成 r a r 压 缩 包 。 一 旦 收 件 人 不 小 心 执 行 起 来 ， 该 下 载 者 木 马 会 下 载 下 一 阶 段 木 马 。 并 且 向 受 害 者 显 示 " А р х и в   и м е е т   н е п о д д е р ж и в а е м ы й   ф о р м а т   и л и   п о в р е ж д е н ! " ( 不 支 持 的 文 档 格 式 或 已 损 坏 ) 。 人 设 坍 塌 人 设 坍 塌 主 动 溯 源 方 面 ， 我 们 从 已 知 的 发 件 人 邮 箱 进 行 分 析 ， 在 使 用 邮 箱 进 行 关 联 没 有 明 显 线 索 的 情 况 下 ， 转 向 木 马 下 载 地 址 s i n o p t i k . w e b s i t e 。 最 初 的 想 法 是 从 开 源 情 报 、 w h o i s 信 息 以 及 P D N S 建 立 画 像 。 幸 运 地 是 ， 我 们 看 到 O p t i D a t a 关 联 的 一 批 恶 意 域 名 ， 直 接 加 快 了 我 们 的 调 查 进 度 。
在 这 些 信 息 中 ， 我 们 获 取 到 P a l o   A l t o 和 E S E T 的 公 开 报 告 ， 掌 握 了 历 史 攻 击 背 景 。 针 对 手 中 其 它 相 关 钓 鱼 邮 件 进 行 分 析 之 后 ， 我 们 通 过 攻 击 意 图 、 攻 击 手 法 、 代 码 特 征 、 网 络 基 础 设 施 重 叠 、 历 史 P D N S 解 析 、 S O A 记 录 等 等 关 键 信 息 ， 找 到 最 薄 弱 的 突 破 口 ， 疑 似 该 组 织 某 成 员 的 电 子 邮 箱 ： r e 2 a 1 e r 1 @ y a n d e x . r u 。 根 据 掌 握 的 关 联 域 名 ， 多 个 域 名 的 w h o i s 信 息 直 指 名 为 R a i s a   C h i l i k i n a 的 域 名 所 有 人 ， 注 册 人 联 系 邮 箱 为 ： r e 2 a 1 e r 1 @ y a n d e x . r u 。
根 据 历 史 P D N S 记 录 ， O p t i D a t a 和 F i r e E y e 列 举 出 来 的 关 联 域 名 已 经 远 远 超 过 小 河 西 村 掌 握 的 资 料 。 为 什 么 认 定 r e 2 a 1 e r 1 @ y a n d e x . r u 是 组 织 成 员 ？ 我 们 通 过 交 叉 关 联 配 合 意 图 、 特 征 以 及 历 史 攻 击 活 动 可 以 很 快 锁 定 嫌 疑 人 。 例 如 ： c d n 1 1 8 6 . s i t e 于 2 0 1 8 年 1 0 月 2 5 日 首 次 解 析 I P 地 址 为 9 4 . 1 5 8 . 3 4 . 2 r s t . w e b s i t e 于 2 0 1 9 年 2 月 1 1 日 首 次 解 析 I P 地 址 为 9 4 . 1 5 8 . 3 4 . 2 o l x . w e b s i t e 于 2 0 1 9 年 3 月 2 9 日 首 次 解 析 I P 地 址 为 9 4 . 1 5 8 . 3 4 . 2 c e n s o r . w e b s i t e 于 2 0 1 8 年 0 6 月 0 1 日 首 次 解 析 I P 地 址 为 9 4 . 1 5 8 . 3 4 . 2 还 有 ： c n d 1 1 8 6 . s i t e 于 2 0 1 9 年 2 月 7 日 首 次 解 析 I P 地 址 为 8 8 . 8 5 . 8 6 . 2 2 9 1 u a . e u 于 2 0 1 9 年 2 月 2 5 日 首 次 解 析 I P 地 址 为 8 8 . 8 5 . 8 6 . 2 2 9 u a t o d a y . w e b s i t e 于 2 0 1 8 年 1 2 月 1 3 日 首 次 解 析 I P 地 址 为 8 8 . 8 5 . 8 6 . 2 2 9 u k r n e w s . w e b s i t e 于 2 0 1 8 年 1 2 月 0 3 日 首 次 解 析 I P 地 址 为 8 8 . 8 5 . 8 6 . 2 2 9 还 有 同 时 间 段 同 A S N 域 等 等 交 叉 信 息 ， 本 次 我 们 不 做 可 视 化 展 示 。 根 据 检 索 ， 我 们 在 2 0 1 5 年 初 一 段 有 关 “ 卢 甘 斯 克 ” 的 政 治 话 题 讨 论 中 看 到 该 关 键 字 。
同 样 地 ， 某 社 交 媒 体 用 户 r e 2 a 1 e r 1 在 2 0 1 5 年 初 留 下 唯 一 的 黑 客 画 像 。 其 配 图 常 常 出 现 在 " 乌 克 兰 、 顿 涅 茨 克 、 卢 甘 斯 克 、 领 土 、 军 队 、 D P R 、 L P R " 相 关 的 俄 、 乌 语 言 新 闻 中 。 经 过 比 对 ， 图 片 出 处 可 能 来 自 顿 巴 斯 战 争 。 攻 击 频 度 攻 击 频 度 统 计 显 示 该 组 织 的 攻 击 活 动 持 续 活 跃 ， 最 近 三 月 持 续 对 外 输 出 钓 鱼 邮 件 。 ( p s . 其 它 维 度 的 统 计 懒 得 写 了 )
番 外 篇 番 外 篇 本 来 准 备 在 番 外 一 聊 聊 r e 2 a 1 e r 1 是 一 位 勤 劳 的 矿 主 ， 讲 讲 区 块 链 的 故 事 。 由 于 小 编 没 有 完 成 美 美 的 数 据 可 视 化 配 图 ， 实 在 没 有 心 思 编 故 事 。 我 们 来 讲 番 外 二 ： 如 此 长 时 间 、 大 规 模 、 高 频 次 的 鱼 叉 钓 鱼 你 烦 不 烦 ？ 除 了 杀 软 大 厂 对 该 组 织 活 动 进 行 报 道 意 外 。 小 河 西 村 关 注 到 恶 意 代 码 论 坛 、 在 线 沙 箱 上 存 在 不 少 该 组 织 的 恶 意 代 码 样 本 。 也 检 索 到 乌 克 兰 本 地 安 全 厂 商 出 具 的 样 本 分 析 报 告 。 我 们 也 看 到 政 府 内 部 用 户 发 转 发 给 C E R T - U A 的 邮 件 ， 大 概 意 思 是 财 政 部 的 同 事 收 到 了 一 封 携 带 附 件 的 陌 生 邮 件 ， 请 求 对 附 件 进 行 检 查 。 更 多 地 ， 我 们 也 看 到 针 对 乌 克 兰 某 国 防 部 门 进 行 攻 击 的 钓 鱼 邮 件 详 细 分 析 的 内 部 报 告 ， 在 此 不 再 一 一 截 图 。 鉴 于 此 ， 不 玩 点 儿 新 鲜 花 样 也 没 什 么 意 思 。
总 结 总 结 总 地 来 讲 ， 从 攻 击 目 标 和 攻 击 意 图 来 说 ， 这 是 一 场 A P T 攻 击 事 件 。 深 入 了 解 背 景 后 ， 这 次 事 件 与 “ 领 土 ” 、 “ 战 争 ” 等 关 键 字 紧 密 相 连 ， 有 证 据 显 示 ， 对 其 目 标 也 可 能 存 在 经 济 意 图 。 正 如 标 题 所 示 ， 此 文 仅 仅 做 浅 析 ， 颇 有 不 求 甚 解 的 精 神 ， 所 以 ， 非 常 多 的 维 度 小 河 西 村 只 是 做 了 不 合 格 的 开 端 ， 我 会 怪 自 己 ？ 不 存 在 的 。 参 考 资 料 参 考 资 料 1 . V E R M I N :   Q u a s a r   R A T   a n d   C u s t o m   M a l w a r e   U s e d   I n   U k r a i n e 2 . Q U A S A R ,   S O B A K E N   A N D   V E R M I N :   A   d e e p e r   l o o k   i n t o   a n   o n g o i n g   e s p i o n a g e   c a m p a i g n 3 . S p e a r   P h i s h i n g   C a m p a i g n   T a r g e t s   U k r a i n e   G o v e r n m e n t   a n d   M i l i t a r y ;   I n f r a s t r u c t u r e   R e v e a l s   P o t e n t i a l   L i n k   t o   S o - C a l l e d   L u h a n s k   P e o p l e ' s   R e p u b l i c I O C s P D B D O M A I N   &   U R L （ 不 全 的 自 己 去 （ 不 全 的 自 己 去 F i r e E y e 的 报 告 看 一 下 ） 的 报 告 看 一 下 ） C : M a g a l h a e R e l e a s e S t o r e . p d b C : o f f l o a d F R e l e a s e O S B e n c h . p d b C : B B M ? C e R e l e a s e u p k e e p . p d b C : c a s t s L a R e l e a s e C h e c k . p d b C : D o n a t e r R e l e a s e b r i g h t e r . p d b g r a v i r o n a l l c . i c u a n o t h e r b l o c k . b i t a v i a t o r s s m . b i t s i n o p t i k . w e b s i t e
M D 5 i n g o m a n u l i c . i c u p o m u l a n i o p . i c u c d n 1 1 8 6 . s i t e g o o d p l a c e j e e p . r u c a v a n a s i p o n t u m . r u c h u b a n o m a n i a . i c u d i s t r i c o p e r a v . i c u v a r a n a s i c l i c k . r u m u s i c a u s t r i a l l c . r u c e r o n a m t i n c l u b e . i c u t e l e m a g i s t r a l i n c . i n f o c a r e t a s e l l i n g . r u u m i l e n i u m k k . r u u n i c f e r e n d o c a s . i c u m a d a g a s c a r f o m e n t . r u a b i t w i n d o c . r u j e p o n a u t o p a r t s . r u x y z . x y z / e x s f 2 2 e 4 5 d 8 d 6 7 5 f b f 6 a 9 5 9 3 b 5 4 2 5 9 5 5 1 f 8 1 2 5 c d 6 8 7 f a 3 3 f d c f e f 1 5 5 e d 8 f 0 3 d f 1 9 3 d f f e 8 2 8 d 9 0 1 8 1 6 8 9 1 1 b 2 0 2 b 4 f d 2 5 2 9 0 0 3 9 6 f e 1 9 8 e 9 0 8 1 3 c 5 e e 1 c f d 9 5 e d c e 5 2 4 1 e 2 5 0 3 1 f b 7 3 d c 1 6 4 b 0 e 2 f a 0 7 c e 2 f d 0 0 0 b 8 7 3 1 5 b 9 2 6 9 d 6 1 f 3 e 2 1 a 6 9 9 0 9 6 9 f 5 4 a 1 5 8 d 5 c 4 5 6 6 9 4 4 4 8 a 5 0 8 8 e 6 b 6 a 8 9 c 5 c 0 8 f 0 5 b d
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理