搜索

[15243] 2020-04-12_在Linux上狩猎NetwireRAT

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-04-12_在Linux上狩猎NetwireRAT 在 L i n u x 上 狩 猎 N e t w i r e   R A T A v e n g e r   F r e e B u f   2 0 2 0 - 0 4 - 1 2 如 今 攻 击 者 可 以 选 择 多 种 如 今 攻 击 者 可 以 选 择 多 种   R A T ， 现 在 的 这 些 ， 现 在 的 这 些   R A T   不 仅 针 对 不 仅 针 对   W i n d o w s   而 是 跨 平 台 的 （ 如 而 是 跨 平 台 的 （ 如   C r o s s R A T 、 、 P u p y   与 与 N e t w i r e ） 。 尽 管 此 前 有 大 量 的 研 究 针 对 ） 。 尽 管 此 前 有 大 量 的 研 究 针 对   W i n d o w s   与 与   m a c O S   版 本 的 版 本 的   N e t w i r e ， 但 是 ， 但 是   L i n u x   版 本 的 版 本 的   N e t w i r e   却 却 鲜 为 人 知 。 鲜 为 人 知 。 N e t w i r e   简 介 简 介 N e t w i r e   是 由   W o r l d   W i r e d   L a b s   开 发 并 销 售 的   R A T 。 它 支 持 远 程 访 问   W i n d o w s 、 m a c O S 、 L i n u x   和   S o l a r i s   系 统 ， 可 以 用 多 种 方 式 传 输 文 件 与 系 统 管 理 。 其 中 也 有 许 多 功 能 会 被 滥 用 ， 被 滥 用 时 这 些 功 能 没 有 看 起 来 那 么 好 了 ： 键 盘 记 录 使 用 浏 览 器   U s e r - A g e n t   伪 装 网 络 流 量 捕 获 屏 幕 截 图 在   W e b   浏 览 器 中 访 问 凭 据 N e t w i r e   允 许 通 过 代 理 转 发 流 量 、 监 听 接 收 加 密 命 令 控 制 的 任 何 端 口 。 文 章 的 末 尾 表 格 列 出 了   N e t w i r e   使 用 的   A T T & C K   概 述 情 况 ， 特 定 在   L i n u x   中 的 技 术 以 粗 体 显 示 。 L i n u x   版 特 性 版 特 性 N e t w i r e   大 多 数 功 能 在 各 个 平 台 上 都 是 相 同 的 ， 只 有 少 数 功 能 不 同 。 比 如   W i n d o w s   平 台 的 持 久 化 依 赖   W i n d o w s   注 册 表 ， 但 在 非   W i n d o w s   系 统 中 不 存 在 注 册 表 需 要 更 改 持 久 化 方 法 。 另 外 ， 不 同 平 台 的 可 执 行 格 式 也 不 相 同 ， W i n d o w s 和   m a c O S   版 本 分 别 使 用   P E   与   M a c h - O   格 式 ， 而   L i n u x   与   S o l a r i s   使 用   E L F   格 式 。 持 久 化 机 制 也 有 变 化 ， 提 供 了 使 用   X D G   自 启 动 项 与   c r o n t a b s   定 时 任 务 进 行 持 久 化 。 之 前 ， 我 们 介 绍 过   c r o n t a b s   但 是 没 有 详 细 探 讨 过   X D G   自 启 动 项 ， 这 类 似 于   W i n d o w s   中 的 开 始 菜 单 启 动 项 。 在 任 何 使 用 与   F r e e d e s k t o p . o r g   的   X D G   兼 容 的 类   U n i x   桌 面 操 作 系 统 中 ， 都 可 以 添 加 自 启 动 项 在 桌 面 加 载 时 执 行 程 序 或 脚 本 。 这 些 文 件 通 常 在 以 下 文 件 夹 中 ， 也 可 以 通 过 环 境 变 量 对 路 径 进 行 更 改 ： / e t c / x d g / a u t o s t a r t ~ / . c o n f i g / a u t o s t a r t 自 启 动 项 本 身 的 文 件 扩 展 名 通 常 为   . d e s k t o p ， 其 内 容 如 下 所 示 ： 当 然 ， N e t w i r e   不 是 唯 一 一 个 使 用 这 种 方 法 的   R A T （ F y s b i s 、 P u p y 、 j R A T 、 C r o s s R A T ） 。 详 细 分 析 详 细 分 析 我 们 在   V i r u s T o t a l   上 查 看 了   N e t w i r e   的 样 本 ， 我 们 将 其 下 载 下 来 进 行 详 细 地 分 析 。 [ D e s k t o p   E n t r y ] T y p e = A p p l i c a t i o n E x e c = / h o m e / u s e r / . c o n f i g / d b u s - n o t i f i e r / d b u s - i n o t i f i e r N a m e = s y s t e m   s e r v i c e   d - b u s   n o t i f i e r
执 行 样 本 后 ， 注 意 到 样 本 将 自 身 复 制 到 一 个 隐 藏 文 件 夹 中 ， 并 从 该 隐 藏 文 件 夹 中 启 动 。 这 是 将 自 己 隐 藏 起 来 的 第 一 步 ， 用 以 将   R A T   的 副 本 安 装 到 本 地 文 件 夹 以 便 长 期 潜 伏 。 接 下 来 现 实 了   N e t w i r e   使 用 . d e s k t o p   进 行 持 久 化 的 机 制 与 其 他 两 个 文 件 的 创 建 。 文 件   / t m p / . r O u Y X z d O F   可 能 是 用 于 确 保   N e t w i r e   只 运 行 一 次 的 互 斥 量 。 接 下 来 的 文 件   . d e f a u l t . c o n f   是 一 个 配 置 文 件 ， 用 于 存 储   N e t w i r e   与   C & C   服 务 器 通 信 所 需 的 配 置 数 据 。 在   W i n d o w s   中 该 信 息 存 储 在 注 册 表 中 。 最 后 ， N e t w i r e 会 建 立 网 络 连 接 以 供 攻 击 者 进 行 远 程 控 制 。 归 因 到 归 因 到   N e t w i r e 为 了 归 因 到   N e t w i r e ， 我 们 提 供 了 多 方 证 据 。 首 先 ， V i r u s T o t a l   上 的 反 病 毒 引 擎 的 检 测 率 与 家 族 分 类 信 息 可 以 提 供 可 信 支 撑 。 接 下 来 ， 根 据   P a t r i c k   W a r d l e   对   m a c O S   的   N e t w i r e   变 体 的 分 析 文 章 中 从   m a c O S   版   N e t w i r e   样 本 中 提 取 的 字 符 串 。 将 这 些 字 符 串 与   L i n u x   版   N e t w i r e   进 行 比 较 可 以 发 现   1 4   个 相 同 的 字 符 串 。 如   U s e r - A g e n t 、 网 络 配 置 发 现 、 可 能 是 会 话   I D   或 密 码 的 特 殊 字 符 串 ： / b i n / b a s h / b i n / s h / t m p / . % s A c c e p t - L a n g u a g e :   e n - U S , e n ; q = 0 . 8 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , i m a g e / w e b p , * / * ; q = 0 . 8 C O N N E C T   % s : % d   H T T P / 1 . 0 C u r r e n t   I P   A d d r e s s : G E T   /   H T T P / 1 . 1
最 后 ， 我 们 将 其 余 字 符 串 与   N e t w i r e   在 线 用 户 手 册 的 功 能 进 行 了 比 较 。 N e t w i r e   较 新 版 本 的 发 行 说 明 中 提 到 了 对 c r o n t a b   持 久 化 的 支 持 ， 并 且 我 们 观 察 到 一 个 字 符 串 暗 示 该 程 序 可 能 使 用 了   c r o n t a b   - l   命 令 ， 尽 管 在 执 行 过 程 中 我 们 并 未 发 现 该 命 令 执 行 。 我 们 还 观 察 到 了   N e t w i r e   用 户 手 册 中 描 述 的   H T T P   和   S O C K S   代 理 的 字 符 串 。 据 此 ， 我 们 可 以 非 常 肯 定 地 说 该 样 本 是   N e t w i r e   的 变 体 ， 而 且 是 较 新 的 版 本 。 希 望 本 文 能 够 对 检 测 、 阻 止 环 境 中 的   R A T   提 供 一 些 帮 助 ！ N e t w i r e   使 用 的 使 用 的   A T T & C K   技 术 项 技 术 项 A T T & C K   I D 战 术 战 术 描 述 描 述 注 释 注 释 X D G   自 启 动 项 N / A N e t w i r e   可 能 会 在   L i n u x   系 统 上 使 用   X D G   自 启 动 项 来 进 行 持 久 化 可 由 用 户 在 编 译 时 配 置 数 据 压 缩 （ T 1 0 0 2 ） 数 据 外 带 N e t w i r e   可 以 将 捕 获 的 屏 幕 压 缩 应 用 窗 口 发 现 （ T 1 0 1 0 ） 发 现 N e t w i r e   可 以 发 现 并 关 闭 受 控 主 机 上 的 窗 口 系 统 网 络 配 置 发 现 （ T 1 0 1 6 ） 发 现 N e t w i r e   与 外 部 通 信 发 现 其 公 共   I P   地 址 N e t w i r e   使 用 域 名   c h e c k i p . d y n d n s . o r g 数 据 加 密 （ T 1 0 2 2 ） 数 据 外 带 N e t w i r e   将 捕 获 的 击 键 记 录 存 储 在 加 密 的 日 志 文 件 中 标 准 加 密 协 议 （ T 1 0 3 2 ） 命 令 控 制 N e t w i r e   使 用   A E S   加 密 来 传 输 数 据 系 统 用 户 发 现 （ T 1 0 3 3 ） 发 现 N e t w i r e   可 以 发 现 已 登 录 的 用 户 伪 装 （ T 1 0 3 6 ） 防 御 逃 避 N e t w i r e   伪 装 成 其 他 软 件 ， 网 络 流 量 伪 装   U s e r - A g e n t N e t w i r e   模 拟 了   T e a m V i e w e r 、 m a c O S   F i n d e r   与 其 他 软 件 的 流 量 ， 通 常 使 用   M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 3 ;   W O W 6 4 ;   T r i d e n t / 7 . 0 ;   r v : 1 1 . 0 )   l i k e   G e c k o .   作 为   U s e r - A g e n t 加 壳 （ T 1 0 4 5 ） 防 御 逃 避 一 些 文 件 使 用   . N E T   加 壳 工 具 进 行 检 测 逃 避 计 划 任 务 （ T 1 0 5 3 ） 执 行 、 持 久 化 、 权 限 提 升 使 用 计 划 任 务 保 持   N e t w i r e 的 持 久 化 N e t w i r e   并 未 内 置 计 划 任 务 ， 通 常 由 部 署   N e t w i r e   的 另 一 种 机 制 实 现 进 程 注 入 （ T 1 0 5 5 ） 防 御 逃 避 、 权 限 提 升 使 用 进 程 注 入 逃 避 检 测 代 码 注 入 系 统 进 程 如   n o t e p a d . e x e 、 s v c h o s t . e x e   和   v b c . e x e   中 输 入 捕 获 （ T 1 0 5 6 ） 信 息 收 集 、 凭 据 访 问 N e t w i r e   可 以 执 行 键 盘 记 录 进 程 发 现 （ T 1 0 5 7 ） 发 现 N e t w i r e   可 以 发 现 并 中 止 受 控 主 机 上 的 进 程 命 令 行 界 面 （ T 1 0 5 9 ） 执 行 N e t w i r e   可 以 使 用   c m d . e x e   和 s h   执 行 命 令 注 册 表 运 行 / 启 动 文 件 夹 （ T 1 0 6 0 ） 持 久 化 N e t w i r e   创 建 一 个 注 册 表 启 动 项 维 持 持 久 化 可 以 在 编 译 时 配 置 本 地 计 划 任 务 （ T 1 1 6 8 ） 持 久 化 、 执 行 N e t w i r e   通 过   c r o n   定 时 任 务 实 现 的 能 力 文 件 中 的 凭 据 （ T 1 0 8 1 ） 凭 据 访 问 N e t w i r e   可 以 从 邮 件 客 户 端 程 序 中 检 索 密 码 支 持 的 程 序 包 括   W i n d o w s   L i v e   M e s s e n g e r 、 P i d g i n 、 M o z i l l a   T h u n d e r b i r d   和 M i c r o s o f t   O u t l o o k G E T   /   H T T P / 1 . 1 H o s t :   % s : % d H o s t :   c h e c k i p . d y n d n s . o r g U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 3 ;   W O W 6 4 ;   T r i d e n t / 7 . 0 ;   r v : 1 1 . 0 )   l i k e   G e c k o c h e c k i p . d y n d n s . o r g e x i t h y d 7 u 5 j d i 8
系 统 信 息 发 现 （ T 1 0 8 2 ） 发 现 N e t w i r e   可 以 发 现 并 收 集 失 陷 主 机 信 息 连 接 代 理 （ T 1 0 9 0 ） 命 令 控 制 、 防 御 逃 避 N e t w i r e   可 以 代 理 系 统 的 网 络 流 量 进 程 H o l l o w i n g （ T 1 0 9 3 ） 防 御 逃 避 使 用 该 技 术 逃 避 检 测 远 程 文 件 复 制 （ T 1 1 0 5 ） 命 令 控 制 、 横 向 平 移 N e t w i r e   将 文 件 传 输 至 远 端 系 统 修 改 注 册 表 （ T 1 1 1 2 ） 防 御 逃 避 N e t w i r e   将 配 置 存 储 在 W i n d o w s   注 册 表 中 配 置 信 息 通 常 存 储 在   H K C U : S o f t w a r e N e t w i r e 屏 幕 截 图 （ T 1 1 1 3 ） 信 息 收 集 N e t w i r e   可 以 捕 获 失 陷 主 机 的 屏 幕 数 字 签 名 （ T 1 1 1 6 ） 防 御 逃 避 N e t w i r e   使 用 伪 造 或 无 效 的 数 字 证 书 启 动 代 理 （ T 1 1 5 9 ） 防 御 逃 避 N e t w i r e   包 含 启 动 代 理 的 m a c O S   启 动 选 项 可 在 编 译 时 进 行 配 置 登 录 （ T 1 1 6 2 ） 持 久 化 N e t w i r e   包 含 用 于 登 录 的 m a c O S   启 动 项 可 在 编 译 时 进 行 配 置 W e b   浏 览 器 凭 据 （ T 1 5 0 3 ） 凭 据 访 问 N e t w i r e   从 众 多   W e b   浏 览 器 检 索 密 码 支 持 的 浏 览 器 包 括   M o z i l l a   F i r e f o x 、 I n t e r n e t   E x p l o r e r 、 O p e r a 、 C h r o m i u m   和 S e a M o n k e y A T T & C K   I D 战 术 战 术 描 述 描 述 注 释 注 释 * 参 考 来 源 ： 参 考 来 源 ： R e d C a n a r y ， ， F B   小 编 小 编   A v e n g e r   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理