搜索

[14489] 2019-08-20_Rocke黑客组织活动分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-08-20_Rocke黑客组织活动分析 R o c k e 黑 客 组 织 活 动 分 析 K r i s t o n   F r e e B u f   2 0 1 9 - 0 8 - 2 0 概 述 概 述 网 络 犯 罪 集 团 网 络 犯 罪 集 团 R o c k e ， 主 要 针 对 目 标 为 云 服 务 。 ， 主 要 针 对 目 标 为 云 服 务 。 通 过 分 析 通 过 分 析 2 0 1 8 年 年 1 2 月 至 月 至 2 0 1 9 年 年 6 月 月 1 6 日 的 日 的 N e t F l o w 数 据 ， 我 们 发 现 调 查 目 标 中 数 据 ， 我 们 发 现 调 查 目 标 中 2 8 . 1 ％ 的 云 环 境 与 ％ 的 云 环 境 与 R o c k e 控 制 控 制 （ （ C 2 ） 域 有 过 网 络 通 信 数 据 。 其 中 一 些 还 保 持 着 日 常 联 系 。 与 此 同 时 ， ） 域 有 过 网 络 通 信 数 据 。 其 中 一 些 还 保 持 着 日 常 联 系 。 与 此 同 时 ， 2 0 ％ 保 持 每 小 时 心 跳 数 据 传 输 。 该 组 织 ％ 保 持 每 小 时 心 跳 数 据 传 输 。 该 组 织 还 发 布 了 一 个 名 为 还 发 布 了 一 个 名 为 G o d l u a 的 新 工 具 ， 该 工 具 可 以 充 当 代 理 ， 允 许 攻 击 者 执 行 其 他 脚 本 操 作 ， 如 拒 绝 服 务 的 新 工 具 ， 该 工 具 可 以 充 当 代 理 ， 允 许 攻 击 者 执 行 其 他 脚 本 操 作 ， 如 拒 绝 服 务 （ （ D o S ） 攻 击 ， 网 络 代 理 和 ） 攻 击 ， 网 络 代 理 和 s h e l l 功 能 。 功 能 。 R o c k e 组 织 概 况 组 织 概 况 R o c k e 活 动 最 初 于 2 0 1 8 年 8 月 报 道 。 R o c k e 最 初 专 注 于 L i n u x 的 X b a s h 工 具 ， 该 工 具 是 一 款 数 据 破 坏 恶 意 软 件 。   X b a s h 通 过 利 用 目 标 未 修 补 的 漏 洞 进 行 攻 击 ， 然 后 使 用 弱 密 码 进 行 横 向 扩 展 。 当 R o c k e 攻 击 一 个 组 织 时 ， 它 要 求 受 害 者 支 付 0 . 2 , 0 . 1 5 或 0 . 0 2 比 特 币 （ B T C ） 来 恢 复 丢 失 的 数 据 。 但 由 于 X b a s h 在 勒 索 赎 金 之 前 删 除 了 数 据 库 表 ， 因 此 R o c k e 无 法 恢 复 任 何 数 据 。 R o c k e 的 B T C 钱 包 包 含 4 8 笔 转 账 ， 包 含 0 . 9 6 4   B T C 。 R o c k e 攻 击 流 程 攻 击 流 程 该 组 织 的 第 一 个 加 密 脚 步 是 用 P y t h o n 编 写 的 ， 并 使 用 P a s t e b i n 、 G i t H u b 作 为 下 载 第 一 阶 段 有 效 p a y l o a d 的 平 台 。 截 至 2 0 1 9 年 3 月 1 2 日 ， R o c k e 也 开 始 使 用 G o l a n g 。 第 一 阶 段 p a y l o a d 引 导 受 害 者 连 接 到 R o c k e 域 或 I P 地 址 ， 触 发 第 二 阶 段 p a y l o a d 的 下 载 。 该 组 织 有 1 2 步 操 作 的 特 点 ， 自 R o c k e 首 次 报 道 以 来 ， 该 风 格 保 持 一 致 ： 1 、 攻 击 者 将 第 一 个 有 效 负 载 上 传 到 第 三 方 站 点 （ 例 如 ， P a s t e b i n ， G i t H u b ） 2 、 引 诱 受 害 者 导 航 到 P a s t e b i n   /   G i t H u b （ 例 如 ， 鱼 叉 式 网 络 钓 鱼 ） 3 、 利 用 已 知 漏 洞 （ 例 如 ， O r a c l e   W e b L o g i c ， A d o b e   C o l d F u s i o n ， A p a c h e   S t r u t s ） 4 、 受 害 者 下 载 后 门 （ 例 如 ， S h e l l   S c r i p t s ， J a v a S c r i p t   B a c k d o o r ） 5 、 受 害 者 通 过 P y t h o n 或 G o l a n g 脚 本 运 行 第 一 个 p a y l o a d 并 连 接 到 C 2 服 务 器 6 、 下 载 并 执 行 第 二 个 p a y l o a d ， 获 得 对 系 统 的 管 理 访 问 权 限 7 、 通 过 c r o n 作 业 命 令 建 立 持 久 控 制 8 、 搜 索 并 杀 死 以 前 安 装 的 加 密 进 程 9 、 添 加 “ I P t a b l e s ” 规 则 以 阻 止 未 来 进 行 的 加 密 过 程 1 0 、 卸 载 基 于 代 理 的 云 安 全 工 具 （ 例 如 ， 腾 讯 云 ， 阿 里 云 ） 1 1 、 下 载 并 安 装 M o n e r o 挖 矿 软 件 1 2 、 隐 藏 进 程 R o c k e 基 础 架 构 基 础 架 构
R o c k e 通 过 硬 编 码 I P 地 址 ， U R L 地 址 、 域 名 注 册 与 受 害 人 进 行 连 接 ， 将 8 个 域 与 R o c k e   C 2 操 作 联 系 起 来 。   下 图 列 出 了 域 和 R o c k e 基 础 架 构 （ 参 见 表 1 ） 。
R o c k e 新 攻 击 新 攻 击 在 分 析 G o d l u a 之 前 ， 研 究 表 明 R o c k e 恶 意 软 件 在 受 到 破 坏 的 云 系 统 上 执 行 单 一 操 作 功 能 。   但 是 G o d l u a 的 报 告 引 用 了 包 含 类 似 于 R o c k e 的 T T P 的 恶 意 软 件 样 本 。 经 过 进 一 步 研 究 ， 确 定 不 仅 T T P 匹 配 ， 而 且 还 有 硬 编 码 域 ， U R L 和 I P 地 址 与 先 前 报 告 的 R o c k e 恶 意 软 件 硬 编 码 值 相 同 。 研 究 人 员 分 析 了 R e d d i t ( 致 力 于 减 少 网 络 恶 意 软 件 的 白 帽 组 织 ) 中 的 四 个 二 进 制 文 件 ， 并 确 认 了 样 本 中 包 含 的 硬 编 码 R o c k e 域 s y s t e m t e n   [ . ]   o r g 。 样 本 还 包 含 与 已 知 R o c k e 报 告 的 P a s t e b i n   U R L 的 硬 编 码 链 接 ：
h x x p s : / / p a s t e b i n [ . ] c o m / r a w / H W B V X K 6 H h x x p s : / / p a s t e b i n [ . ] c o m / r a w / 6 0 T 3 u C c b h x x p s : / / p a s t e b i n [ . ] c o m / r a w / r P B 8 e D p u h x x p s : / / p a s t e b i n [ . ] c o m / r a w / w R 3 E T d b i h x x p s : / / p a s t e b i n [ . ] c o m / r a w / V a 8 6 J Y q w h x x p s : / / p a s t e b i n [ . ] c o m / r a w / V a 8 6 J Y q w 正 如 G o d l u a 分 析 报 告 中 所 见 ， I P 地 址 1 0 4 . 2 3 8 . 1 5 1   . 1 0 1 和 U R L   d . h e h e d a . t k ， c . h e h e d a . t k 和 d d . h e h e d a . t k 为 硬 编 码 。   发 布 到 R e d d i t 的 与 R o c k e 组 织 有 关 的 恶 意 软 件 中 也 发 现 C 2 连 接 被 发 送 到 三 个 h e h e d a .   t k 域 ， 这 些 域 已 解 析 为 I P 地 址 1 0 4 . 2 3 8 . 1 5 1 . 1 0 1 。   另 外 ， 样 本 包 含 已 知 的 R o c k e 域 s o w c a r [ . ] c o m ,   z 9 l s [ . ] c o m ,   b a o c a n g w h [ . ] c n ,   g w j y h s [ . ] c o m , 和 w 2 w z [ . ] c n . 的 硬 编 码 值 。 有 关 如 何 将 已 知 的 R o c k e 域 与 从 G o d l u a 和 R e d d i t   I o C 报 告 中 提 取 请 参 见 图 1 。 该 报 告 提 供 的 证 据 表 明 ， R o c k e 已 经 添 加 了 第 三 阶 段 恶 意 软 件 组 件 ， 该 组 件 向 c . h e h e d a . t k 或 c . c l o u d a p p c o n f i g .   c o m 执 行 第 三 个 C 2 请 求 ， 从 而 下 载 名 为 G o d l u a 的 L U A 脚 本 。   该 恶 意 软 件 为 R o c k e 的 操 作 提 供 了 模 块 化 功 能 。   除 D o S 功 能 外 ， 恶 意 软 件 还 引 入 了 以 下 新 功 能 ： H A N D S H A K E H E A R T B E A T L U A S H E L L U P G R A D E Q U I T S H E L L 2 P R O X Y G o d l u a 报 告 还 提 供 了 R o c k e 已 添 加 L U A 切 换 功 能 。   报 告 指 出 ， 攻 击 者 对 域 名 w w w . l i u x i a o b e i . c o m 进 行 了 D o S 攻 击 。   此
域 名 无 法 解 析 为 任 何 已 知 系 统 ， 目 前 尚 不 清 楚 第 三 阶 段 恶 意 软 件 还 实 现 了 哪 些 功 能 。   但 是 ， 通 过 “ S h e l l ” ， “ S h e l l 2 ” ， “ 升 级 ” 和 “ 代 理 ” 等 选 项 ， 恶 意 软 件 可 能 是 模 块 化 系 统 代 理 的 开 始 ， 它 允 许 R o c k e   利 用 新 添 加 功 能 模 块 更 灵 活 的 加 密 和 破 坏 数 据 。 N e t F l o w 中 的 发 现 中 的 发 现 通 过 在 云 端 捕 获 N e t F l o w 通 信 研 究 人 员 发 现 ， 2 8 . 1 ％ 的 被 调 查 云 环 境 至 少 与 已 知 的 R o c k e   C 2 域 进 行 了 一 次 活 动 通 信 会 话 。   从 2 0 1 8 年 1 2 月 至 今 ， 其 中 一 些 还 保 持 着 日 常 联 系 。 通 过 分 析 R o c k e 的 T T P 模 式 ， 在 指 定 时 间 范 围 内 将 已 知 的 R o c k e 域 解 析 为 I P 地 址 ， 并 根 据 这 些 I P 地 址 以 及 与 R o c k e 链 接 的 硬 编 码 I P 地 址 查 询 网 络 流 量 ， 从 中 发 现 了 R o c k e 通 信 。 硬 编 码 I P 地 址 为 受 害 目 标 提 供 了 明 确 的 连 接 。   在 撰 写 本 文 时 ， 已 知 自 2 0 1 9 年 1 月 1 日 起 ， 1 0 4 . 2 3 8 . 1 5 1 . 1 0 1 已 解 析 为 以 下 U R L ： c . c l o u d a p p c o n f i g [ . ] c o m d . c l o u d a p p c o n f i g [ . ] c o m f . c l o u d a p p c o n f i g [ . ] c o m i m g 0 . c l o u d a p p c o n f i g [ . ] c o m i m g 2 . c l o u d a p p c o n f i g [ . ] c o m v . c l o u d a p p c o n f i g [ . ] c o m c . h e h e d a [ . ] t k d . h e h e d a [ . ] t k d d . h e h e d a [ . ] t k 这 些 U R L 与 G o d l u a 和 R e d d i t 报 告 中 的 U R L 一 致 ， 与 此 I P 地 址 任 何 连 接 都 应 被 视 为 恶 意 连 接 。   研 究 人 员 确 定 了 来 自 四 个 受 监 控 组 织 的 4 1 1 个 连 接 ， 这 些 组 织 与 I P 地 址 1 0 4 . 2 3 8 . 1 5 1 . 1 0 1 建 立 了 八 个 或 更 多 的 网 络 连 接 。   组 织 1 中 ， 第 一 次 看 到 的 连 接 和 最 后 看 到 的 连 接 之 间 的 最 长 时 间 是 五 天 ， 单 个 连 接 的 最 短 时 间 为 组 织 4 的 一 小 时 （ 见 表 2 ） 。 从 1 0 4 . 2 3 8 . 1 5 1 . 1 0 1 推 断 ， 这 四 个 组 织 也 与 其 他 已 知 的 R o c k e 域 相 关 联 。   组 织 1 在 2 0 1 9 年 4 月 1 2 日 至 5 月 3 1 日 期 间 连 接 到 三 个 R o c k e 域 ， 有 2 9 0 个 连 接 。   组 织 4 在 2 0 1 9 年 3 月 2 0 日 至 5 月 1 5 日 期 间 连 接 到 7 个 域 ， 具 有 8 , 2 3 1 个 连 接 。   如 表 3 所 示 ， 四 个 组 织 在 与 R o c k e d e 的 硬 编 码 I P 地 址 1 0 4 . 2 3 8 . 1 5 1 . 1 0 1 连 接 的 时 间 段 内 连 接 到 七 个 已 知 R o c k e 域 中 的 一 个 或 多 个 。

R o c k e 通 信 模 式 通 信 模 式 研 究 人 员 试 图 确 定 是 否 可 以 使 用 N e t F l o w 数 据 识 别 从 P a s t e b i n 下 载 的 初 始 有 效 负 载 。 研 究 人 员 发 现 ， 共 有 5 0 个 组 织 与 P a s t e b i n 建 立 了 网 络 连 接 。 在 这 5 0 个 组 织 中 ， 有 8 个 组 织 在 与 R o c k e 域 的 连 接 的 同 一 小 时 内 与 P a s t e b i n 建 立 了 网 络 连 接 。 由 于 N e t F l o w 流 量 最 小 粒 度 为 一 小 时 ， 且 缺 乏 完 整 的 数 据 包 来 确 认 网 络 连 接 的 性 质 ， 因 此 无 法 准 确 地 确 定 组 织 被 攻 击 破 坏 的 时 间 。
在 查 看 N e t F l o w 数 据 中 的 R o c k e 网 络 流 量 时 ， 会 出 现 一 种 截 然 不 同 的 模 式 （ 参 见 图 2 ） 。 首 先 ， 使 用 P a s t e b i n 建 立 连 接 ， 然 后 连 接 到 R o c k e 域 。 从 图 像 中 可 以 看 出 ， 该 模 式 每 小 时 重 复 一 次 。 此 外 ， 图 2 显 示 了 连 接 到 P a s t e b i n ， 然 后 连 接 到 已 知 的 R o c k e 域 ， z 9 l s . c o m 和 s y s t e m t e n . o r g ， 在 同 一 时 间 内 连 接 到 硬 编 码 的 I P 地 址 1 0 4 . 2 3 8 . 1 5 1 . 1 0 1 。 此 模 式 为 第 三 阶 段 恶 意 软 件 活 动 功 能 特 点 ， 表 示 信 标 或 心 跳 样 式 的 活 动 。 解 决 方 案 解 决 方 案 要 在 云 环 境 中 解 决 R o c k e 入 侵 问 题 ， 建 议 执 行 以 下 操 作 ： 1 、 使 用 最 新 的 修 补 程 序 和 版 本 更 新 更 新 所 有 云 系 统 模 板 。 2 、 使 用 最 新 的 修 补 和 更 新 的 云 模 板 循 环 配 置 所 有 云 系 统 。 3 、 购 买 并 配 置 云 监 控 产 品 ， 包 括 对 合 规 性 ， 网 络 流 量 和 用 户 行 为 的 检 查 。 4 、 查 看 云 网 络 配 置 ， 安 全 策 略 和 组 ， 以 确 保 它 们 符 合 当 前 的 合 规 性 要 求 。 5 、 使 用 云 容 器 漏 洞 扫 描 程 序 。 6 、 更 新 所 有 威 胁 情 报 源 。 7 、 调 查 云 网 络 流 量 连 接 到 已 知 的 恶 意 域 或 I P 。 8 、 调 查 组 织 云 环 境 中 出 口 流 量 的 云 网 络 流 量 。
总 结 总 结 R o c k e 组 织 持 续 发 展 其 工 具 ， 并 利 用 2 0 1 6 年 和 2 0 1 7 年 发 布 的 漏 洞 攻 击 配 置 不 当 的 云 基 础 架 构 。 该 组 织 使 用 隐 藏 状 态 下 的 恶 意 软 件 获 得 对 云 系 统 的 管 理 访 问 权 限 。 可 根 据 恶 意 软 件 通 信 模 式 以 及 硬 编 码 i p 和 u r l 对 其 进 行 防 护 。 I O C s D o m a i n s s o w c a r [ . ] c o m t h y r s i [ . ] c o m w 2 w z [ . ] c n b a o c a n g w h [ . ] c n z 9 l s [ . ] c o m g w j y h s [ . ] c o m h e h e d a [ . ] t k c l o u d a p p c o n f i g [ . ] c o m s y s t e m t e n [ . ] o r g I P s 4 3 . 2 2 4 . 2 2 5 [ . ] 2 2 0 6 7 . 2 1 . 6 4 [ . ] 3 4 1 0 3 . 5 2 . 2 1 6 [ . ] 3 5 1 0 4 . 2 4 8 . 5 3 [ . ] 2 1 3 1 0 4 . 2 3 8 . 1 5 1 [ . ] 1 0 1 1 9 8 . 2 0 4 . 2 3 1 [ . ] 2 5 0 2 0 5 . 1 8 5 . 1 2 2 [ . ] 2 2 9 H a s h e s 1 6 0 8 8 9 9 f f 3 b d 9 9 8 3 d f 3 7 5 f d 8 3 6 4 6 4 5 0 0 f 1 6 0 f 6 3 0 5 f c c 3 5 c f b 6 4 a b b e 9 4 6 4 3 c 9 6 2 2 8 f 9 2 f 3 6 8 8 3 b 6 9 e 2 8 1 8 8 2 f 1 9 f e c 1 d 8 9 1 9 0 e 9 1 3 a 4 e 3 0 1 b f c 5 d 8 0 2 4 2 b 7 4 f c b a 6 f e a 8 4 2 8 3 0 9 5 e 0 c 4 0 0 c 3 c 4 f e 6 1 2 8 3 e c a 6 c 1 3 d d 0 a 6 1 5 7 a 5 7 a d f 9 5 a e 1 d c e c 4 9 1 e c 5 1 9 6 7 9 7 0 1 8 a 6 f 2 9 c e 3 d 4 4 7 b d 3 5 0 3 3 7 2 f 7 8 f 9 5 1 3 d 4 6 4 8 e 5 c d 3 a b 5 a b 1 9 4 a 5 0 c 7 2 b 9 c 4 * 本 文 作 者 ： 本 文 作 者 ： K r i s t o n ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
精 彩 推 荐 精 彩 推 荐
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理