搜索

[14697] 2019-10-13_Glupteba恶意软件变种分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-10-13_Glupteba恶意软件变种分析 G l u p t e b a 恶 意 软 件 变 种 分 析 K r i s t o n   F r e e B u f   2 0 1 9 - 1 0 - 1 3 最 近 发 现 了 恶 意 软 件 最 近 发 现 了 恶 意 软 件 g l u p t e b a 的 网 络 攻 击 行 为 。 它 是 一 个 旧 的 恶 意 软 件 ， 曾 在 名 为 的 网 络 攻 击 行 为 。 它 是 一 个 旧 的 恶 意 软 件 ， 曾 在 名 为 “ w i n d i g o ” 的 行 动 中 出 现 过 ， 并 通 过 漏 洞 传 播 给 的 行 动 中 出 现 过 ， 并 通 过 漏 洞 传 播 给 w i n d o w s 用 用 户 。 户 。 2 0 1 8 年 ， 一 家 安 全 公 司 报 告 说 ， g l u p t e b a 已 经 独 立 于 w i n d i g o 行 动 ， 并 转 向 按 安 装 付 费 的 广 告 软 件 服 务 。 G l u p t e b a 活 动 目 的 各 不 相 同 ： 提 供 代 理 服 务 ， 利 用 漏 洞 进 行 挖 矿 活 动 等 。 在 研 究 了 近 期 发 现 的 g l u p t e b a 变 体 之 后 ， 我 们 发 现 g l u p t e b a 恶 意 软 件 之 外 的 两 个 未 经 记 录 的 组 件 ： 1 、 浏 览 器 窃 取 程 序 ， 它 可 以 从 浏 览 器 中 窃 取 敏 感 数 据 ， 例 如 浏 览 历 史 记 录 、 网 站 c o o k i e s 、 帐 户 名 和 密 码 ， 并 将 信 息 发 送 到 远 程 服 务 器 。 2 、 利 用 C V E - 2 0 1 8 - 1 4 8 4 7 漏 洞 攻 击 本 地 网 络 中 M i k r o t i k 路 由 器 。 它 将 被 盗 的 管 理 员 凭 据 上 传 到 服 务 器 。 路 由 器 将 被 作 为 代 理 中 继 使 用 。 此 外 ， 我 们 在 G l u p t e b a 中 发 现 他 可 以 从 比 特 币 交 易 中 检 索 最 新 的 C & C 域 名 。 我 们 将 在 下 一 节 中 进 一 步 解 释 此 功 能 。 攻 击 者 仍 在 改 进 他 们 的 恶 意 软 件 ， 并 试 图 将 他 们 的 代 理 网 络 扩 展 到 物 联 网 设 备 。 G l u p t e b a 下 载 分 析 下 载 分 析 下 载 的 二 进 制 文 件 由 一 个 自 定 义 打 包 程 序 打 包 ， 用 g o 编 程 语 言 编 写 ， 并 编 译 为 可 执 行 文 件 。 首 先 通 过 获 取 当 前 应 用 程 序 信 息 、 操 作 信 息 、 硬 件 信 息 以 及 一 些 二 进 制 硬 编 码 的 信 息 来 初 始 化 配 置 信 息 。 它 创 建 注 册 表 项 h k e y _ u s e r s < s i d > s o f t w a r e m i c r o s o f t t e s t a p p 以 存 储 所 有 获 取 的 信 息 。 运 行 初 始 化 函 数 的 结 果 如 下 图 所 示 。
s e n d p a r e n t p r o c e s s s 函 数 从 注 册 表 中 获 取 m a c h i n e _ g u i d ， 并 从 文 件 名 、 p i d 和 父 进 程 的 名 称 中 获 取 分 发 服 务 器 i d 和 活 动 i d 。 它 将 信 息 嵌 入 p o s t 请 求 中 ， 使 用 a e s 密 码 对 其 进 行 加 密 ， 并 上 传 到 c & c 服 务 器 。 之 后 检 查 进 程 是 否 被 提 升 并 作 为 系 统 用 户 运 行 。 如 果 进 程 没 有 提 升 ， 它 将 尝 试 利 用 f o d h e l p e r 方 法 来 提 升 权 限 。 如 果 它 不 是 作 为 系 统 用 户 运 行 ， 那 么 它 将 使 用 “ 作 为 受 信 任 的 安 装 程 序 运 行 ” 方 式 启 动 。 有 以 下 主 要 命 令 ： 函 数 m a i n s t a l l 检 查 已 安 装 的 防 病 毒 程 序 ， 添 加 防 火 墙 规 则 ， 并 添 加 D e f e n d e r 排 除 项 。 函 数 m a i n p o l l 定 期 轮 询 c & c 服 务 器 获 取 新 命 令 。 p o s t 参 数 如 下 所 示 （ a e s 加 密 前 ） ： 最 后 ， 函 数 h a n d l e c o m m a n d 实 现 后 门 功 能 。 c h a l l e n g e = e 9 4 e 3 5 4 d a f 5 f 4 8 c a & c l o u d n e t _ f i l e = 1 & c l o u d n e t _ p r o c e s s = 1 & l c o m m a n d = 0 & m r t = 1 & p g d s e = 0 & s b = 1 & s c = 0 & u u i d = & v e r s i o n = 1 4 5 & w u p _ p r o c e s s = 1 & w u p v = 0 .
C & C 更 新 能 力 更 新 能 力
后 门 有 大 部 分 标 准 功 能 ， 该 恶 意 软 件 可 以 通 过 d i s c o v e r d o m a i n 功 能 通 过 区 块 链 更 新 其 c & c 服 务 器 地 址 。 d i s c o v e r d o m a i n 函 数 可 以 通 过 发 送 后 门 命 令 运 行 ， 也 可 以 由 自 动 运 行 。 d i s c o v e r d o m a i n 首 先 使 用 公 开 列 表 枚 举 e l e c t r u m 比 特 币 钱 包 服 务 器 ， 然 后 尝 试 使 用 硬 编 码 哈 希 查 询 历 史 记 录 。 浏 览 器 窃 取 信 息 组 件 浏 览 器 窃 取 信 息 组 件 g l u p t e b a 变 体 中 发 现 组 件 称 为 “ u p d a t e p r o f i l e ” ， 它 是 一 个 浏 览 器 配 置 文 件 、 c o o k i e s 和 密 码 提 取 程 序 。 c o o k i e s 、 h i s t o r y 和 其 他 配 置 文 件 被 压 缩 并 上 传 到 信 息 收 集 服 务 器 。 此 组 件 也 用 g o 编 写 ， 编 译 为 可 执 行 的 ， 并 用 u p x 打 包 。 浏 览 器 窃 取 程 序 的 另 一 个 版 本 称 为 “ v c . e x e ” 。 它 的 目 标 是 提 取 浏 览 器 密 码 和 c o o k i e s ， 并 将 提 取 的 数 据 发 送 到 信 息 收 集 服 务 器 。 路 由 器 攻 击 组 件 路 由 器 攻 击 组 件 我 们 发 现 的 另 一 个 组 件 是 路 由 器 攻 击 组 件 ， 它 也 是 用 g o 语 言 开 发 的 。 它 可 以 查 看 受 害 者 网 络 的 默 认 网 关 并 通 过 调 用 w m i 命 令 “ s e l e c t   d e f a u l t i p g a t e w a y f r o m   w i n 3 2 _ n e t w o r k a d a p t e r c o n f i g u r a t i o n   w h e r e   i p e n a b l e d = t r u e ” 获 得 默 认 i p 网 关 的 列 表 。 除 了 这 些 地 址 ， 还 添 加 了 以 下 三 个 默 认 地 址 ： 1 9 2 . 1 6 8 . 8 8 . 1 1 、 1 9 2 . 1 6 8 . 0 . 1 、 1 9 2 . 1 6 8 . 1 . 1 。 一 旦 组 件 成 功 连 接 到 监 听 端 口 8 2 9 1 的 设 备 ， 它 就 会 试 图 利 用 C V E - 2 0 1 8 - 1 4 8 4 7 漏 洞 攻 击 该 设 备 ， 该 漏 洞 会 影 响 M i k r o t i k 路 由 器 上 使 用 的 R o u t e r o s 系 统 。 它 允 许 攻 击 者 从 未 修 补 的 路 由 器 获 取 管 理 员 凭 据 。 获 取 的 帐 户 名 和 密 码 存 储 在 j s o n 对 象 中 ， 经 过 加 密 ， 并 发 送 到 c & c 服 务 器 。 成 功 获 取 凭 据 后 ， 将 向 路 由 器 的 计 划 程 序 添 加 任 务 。 添 加 调 度 器 任 务 有 三 种 实 现 方 法 ： 使 用 w i n b o x 协 议 、 使 用 s s h 或 使 用 a p i 。 路 由 器 流 量 中 继 路 由 器 流 量 中 继 在 上 述 设 置 之 后 ， 路 由 器 成 为 攻 击 者 中 继 流 量 的 S O C K S 代 理 。 通 过 s o c k s 代 理 路 由 的 第 一 个 远 程 连 接 来 自 服 务 器 ， 该 服 务 器 可 能 属 于 攻 击 者 。 此 服 务 器 查 询 返 回 当 前 S O C K S 代 理 服 务 器 的 I P 地 址 。 此 查 询 被 重 复 发 送 ， 可 能 是 为 了 监 视 S O C K S 代 理 服 务 。 在 第 一 次 检 查 路 由 器 状 态 之 后 ， 有 两 种 类 型 的 流 量 连 接 到 代 理 的 不 同 服 务 器 。 第 一 个 是 垃 圾 邮 件 流 量 。 远 程 服 务 器 通 过 路 由 器 的 s o c k s 代 理 连 接 到 不 同 邮 件 服 务 器 的 s m t p 。 如 果 邮 件 服 务 器 接 受 了 连 接 ， 则 该 远 程 服 务 器 将 开 始 发 送 垃 圾 邮 件 。
除 了 垃 圾 邮 件 流 量 ， 还 有 一 组 远 程 服 务 器 的 其 他 流 量 ， 这 些 服 务 器 反 复 连 接 到 i n s t a g r a m 。 但 是 发 送 的 流 量 受 h t t p s 加 密 保 护 ， 不 清 楚 这 些 连 接 到 底 是 用 来 做 什 么 的 。 有 可 能 是 针 对 i n s t a g r a m 的 密 码 重 用 攻 击 。 安 全 建 议 安 全 建 议 恶 意 软 件 是 一 种 广 泛 存 在 的 威 胁 ， 会 影 响 用 户 和 企 业 。 从 网 关 、 端 点 、 网 络 和 服 务 器 ， 多 层 的 安 全 方 法 非 常 重 要 。 在 设 置 路 由 器 时 ， 安 全 性 应 该 是 首 要 考 虑 的 问 题 ， 因 为 大 多 数 家 庭 和 办 公 室 的 设 备 都 连 接 到 这 些 设 备 上 。 用 户 和 企 业 可 以 采 用 良 好 的 安 全 措 施 来 抵 御 威 胁 。 此 外 ， 部 署 相 关 工 具 为 家 庭 网 络 和 与 其 连 接 的 设 备 提 供 额 外 的 安 全 性 ， 进 一 步 加 强 防 御 。 * 参 考 来 源 ： 参 考 来 源 ： t r e n d m i c r o ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理