搜索

[15427] 2020-05-28_朝鲜APT组织Kimsuky的技术研究分析

文档创建者：s7ckTeam
浏览次数：20
最后更新：2025-01-18
2020-05-28_朝鲜APT组织Kimsuky的技术研究分析 朝 鲜 A P T 组 织 K i m s u k y 的 技 术 研 究 分 析 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 0 5 - 2 8 K i m s u k y A P T 介 绍 介 绍 近 期 ， 我 们 注 意 到 了 全 球 范 围 内 国 家 层 次 的 网 络 攻 击 活 动 频 率 有 着 大 幅 度 增 加 。 其 近 期 ， 我 们 注 意 到 了 全 球 范 围 内 国 家 层 次 的 网 络 攻 击 活 动 频 率 有 着 大 幅 度 增 加 。 其 中 ， 中 ， A P T 3 4 、 、 G a m a r e d o n 和 和 T r a n s p a r e n t   T r i b e 是 我 们 在 最 新 的 几 个 攻 击 活 动 中 发 现 的 样 本 。 而 在 这 篇 文 章 中 ， 是 我 们 在 最 新 的 几 个 攻 击 活 动 中 发 现 的 样 本 。 而 在 这 篇 文 章 中 ， 我 们 将 深 入 分 析 近 期 一 个 活 动 比 较 频 繁 的 朝 鲜 我 们 将 深 入 分 析 近 期 一 个 活 动 比 较 频 繁 的 朝 鲜 A P T 组 织 ， 该 组 织 名 为 组 织 ， 该 组 织 名 为 K i m s u k y ， 我 们 将 对 其 所 使 用 的 攻 击 技 术 ， 我 们 将 对 其 所 使 用 的 攻 击 技 术 以 及 样 本 进 行 深 入 分 析 。 以 及 样 本 进 行 深 入 分 析 。 技 术 分 析 技 术 分 析 跟 其 他 的 A P T 组 织 不 同 ， K i m s u k y 所 使 用 的 攻 击 链 / 感 染 链 并 不 长 ， 而 且 它 在 实 现 低 检 测 率 方 面 效 率 非 常 好 。
K i m s u k y A P T 的 感 染 开 始 于 一 个 典 型 的 可 执 行 文 件 ， 文 件 后 缀 名 为 “ s c r ” ， 而 这 种 后 缀 名 是 W i n d o w s 系 统 用 来 识 别 屏 幕 保 护 程 序 组 件 所 使 用 的 。 下 面 给 出 的 是 相 关 样 本 的 一 些 信 息 ： 执 行 之 后 ， 恶 意 软 件 会 利 用 微 软 实 用 程 序 “ r e g s v * . e x e ” 来 在 目 标 设 备 中 的 “ % A p p D a t a % L o c a l T e m p ” 路 径 下 写 入 一 个 名 为 “ . t m p . d b ” 的 文 件 。 暂 且 先 不 管 这 个 “ . d b ” 后 缀 ， 恶 意 软 件 所 写 入 的 这 个 文 件 其 实 是 一 种 特 殊 构 造 的 D L L 文 件 ， 它 可 以 作 为 恶 意 软 件 感 染 的 第 二 阶 段 P a y l o a d 。 关 于 该 D L L 文 件 的 静 态 信 息 如 下 ： 接 下 来 ， 这 个 D L L 将 会 被 拷 贝 到 “ % A p p D a t a % R o a m i n g M i c r o s o f t W i n d o w s D e f e n d e r ” 目 录 中 ， 并 重 命 名 为 “ A u t o U p d a t e . d l l ” 。 恶 意 软 件 会 通 过 设 置 “ H K C U S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n O n c e W i n d o w s D e f e n d e r ” 这 个 注 册 表 键 来 实 现 “ A u t o U p d a t e . d l l ” 库 的 持 久 化 感 染 。 在 这 里 ， 攻 击 者 所 使 用 的 文 件 名 称 以 及 路 径 非 常 狡 猾 ， 因 为 它 们 所 指 向 的 都 是 W i n d o w s   D e f e n d e r ： 除 此 之 外 ， 通 过 分 析 “ % A p p D a t a % L o c a l T e m p ” 路 径 下 的 文 件 内 容 ， 我 们 还 发 现 了 恶 意 软 件 所 创 建 的 另 一 个 临 时 文 件 - “ . t m p . b a t ” ， 这 个 文 件 被 创 建 完 成 之 后 会 立 即 被 删 除 。 通 过 分 析 该 文 件 的 内 容 ， 我 们 发 现 它 的 功 能 是 用 来 删 除 初 始 感 染 P a y l o a d （ s c r 文 件 ） 和 其 自 身 的 。 为 了 隐 藏 其 恶 意 操 作 ， 并 避 免 引 起 不 必 要 的 怀 疑 ， 恶 意 软 件 还 会 在 同 一 目 录 下 创 建 一 个 包 含 “ . s c r ” 文 件 的 合 法 文 档 ， 文 档 名 为 “ 이 력 서   양 식 . h w p ” ， 翻 译 过 来 的 话 意 思 大 概 是 “ 简 历 表 ” 。 关 于 该 文 档 的 相 关 信 息 如 下 ：
打 开 该 文 件 后 ， 我 们 会 发 现 它 貌 似 真 的 是 一 份 简 历 表 （ 空 的 ） ： 绕 过 反 病 毒 检 测 绕 过 反 病 毒 检 测 有 意 思 的 是 ， 为 了 避 免 被 反 病 毒 产 品 检 测 到 ， “ A u t o U p d a t e . d l l ” 还 会 对 “ e x p l o r e r . e x e ” 进 程 执 行 注 入 操 作 。 通 过 分 析 其 恶 意 代 码 ， 我 们 识 别 出 了 执 行 该 操 作 的 方 法 代 码 。 首 先 ， 恶 意 软 件 会 设 置 其 正 确 的 权 限 ， 如 下 图 所 示 ：
一 旦 获 取 到 了 必 要 的 权 限 ， 恶 意 软 件 就 可 以 继 续 完 成 注 入 了 。 正 如 E l a s t i c 所 发 布 的 分 析 描 述 ， 恶 意 软 件 可 以 通 过 “ V i r t u a l A l l o c E x ” 函 数 将 其 恶 意 D L L 的 路 径 写 入 另 一 进 程 的 虚 拟 地 址 空 间 。 在 本 文 所 分 析 的 样 本 中 ， 恶 意 软 件 的 注 入 目 标 为 “ e x p l o r e r . e x e ” 进 程 ， 它 可 以 通 过 在 其 中 创 建 远 程 线 程 来 确 保 远 程 进 程 成 功 加 载 恶 意 代 码 。 为 了 成 功 执 行 这 些 操 作 ， 恶 意 软 件 首 先 需 要 知 道 目 标 进 程 的 进 程 I D ， 这 一 步 可 以 通 过 遍 历 进 程 树 来 实 现 ， 即 通 过 C r e a t e T o o l h e l p 3 2 S n a p s h o t ( ) 、 P r o c e s s 3 2 F i r s t ( ) 和 P r o c e s s 3 2 N e x t ( ) 这 几 种 W i n d o w s   A P I 来 实 现 。 接 下 来 ， 恶 意 软 件 将 会 调 用 V i r t u a l A l l o c E x ( ) 函 数 来 分 配 一 个 空 间 并 将 恶 意 D L L 的 路 径 写 入 进 去 ， 完 成 后 它 将 会 调 用 W r i t e P r o c e s s M e m o r y ( ) 函 数 来 将 恶 意 D L L 的 路 径 地 址 写 入 到 分 配 的 内 存 中 。 最 后 ， 恶 意 软 件 将 调 用 C r e a t e R e m o t e T h r e a d ( )   A P I 来 将 新 创 建 的 线 程 链 接 到 主 机 进 程 （ e x p l o r e r . e x e ） 。 所 述 逻 辑 的 部 分 如 下 图 所 示 ：
在 注 入 过 程 中 ， 恶 意 软 件 会 向 “ e x p l o r e r . e x e ” 进 程 中 植 入 两 个 组 件 ， 下 面 显 示 的 是 我 们 从 中 提 取 出 的 两 个 D L L 文 件 信 息 ： 通 过 对 比 两 个 D L L 文 件 的 S s d e e p 数 据 ， 我 们 会 发 现 这 两 个 库 有 一 些 重 复 的 地 方 ， 而 且 它 们 两 个 之 间 存 在 高 度 相 似 的 情 况 。 下 面 显 示 的 是 哈 希 的 不 同 部 分 ： 3 0 7 2 : A F S Y A y j u 5 J p k C 7 x f Y Z o 9 c P q v T V + q l 4 y F a + z + K + H / k o c F A n R G 5 R : A F J 0 q C 7 x A Z l i T 0 0 4 + p   0 f k o e   * R G 5 没 错 ， 在 执 行 了 简 单 的 二 进 制 差 异 分 析 之 后 ， 我 们 会 发 现 这 两 个 D L L 之 间 仅 存 在 非 常 细 微 的 差 别 。 考 虑 到 这 两 个 D L L 之 间 的 差 异 ， 我 们 决 定 继 续 对 其 中 一 个 D L L 进 行 分 析 。 深 入 到 D L L 中 ， 我 们 注 意 到 每 当 恶 意 软 件 必 须 执 行 某 个 函 数 时 ， 它 都 依 赖 于 一 个 递 归 的 解 密 程 序 ， 而 这 个 解 密 程 序 将 负 责 对 包 含 了 实 际 指 令 的 字 符 串 进 行 解 密 ， 并 执 行 其 中 包 含 的 命 令 。 下 面 给 出 的 是 解 密 程 序 的 样 本 ：
我 们 发 现 ， 每 隔 1 5 分 钟 ， 恶 意 软 件 都 会 跟 其 C 2 服 务 器 （ s u z u k i . ] d a t a s t o r e . ] p e . ] h u ） 进 行 一 次 通 信 ， 并 将 受 感 染 主 机 的 相 关 信 息 发 送 至 服 务 器 端 。 在 这 里 ， 恶 意 软 件 所 发 送 的 三 个 H T T P 请 求 使 用 的 都 是 不 同 的 U R L 路 径 以 及 U s e r - A g e n t 。
具 体 如 下 图 所 示 ： 入 侵 威 胁 指 标 入 侵 威 胁 指 标 I o C 哈 希 ： 哈 希 ： 7 5 7 d f e a c a b f 4 c 2 f 7 7 1 1 4 7 1 5 9 d 2 6 1 1 7 8 1 8 3 5 4 a f 1 4 0 5 0 e 6 b a 4 2 c c 0 0 f 4 a 3 d 5 8 e 5 1 f c a a 2 4 c 4 6 0 8 9 c 8 9 5 3 b 2 a 5 4 6 5 4 5 7 a 6 c 2 0 2 e c f a 8 3 a b b c e 7 a 9 d 3 2 9 9 a d e 5 2 e c 8 3 8 2 c 2 b b a d 6 5 1 3 6 d 7 3 c b d 5 2 6 2 b c 8 8 5 7 1 6 7 7 b 5 4 3 4 c e b 5 4 f c 1 1 0 3 f 2 1 3 3 7 5 7 d a e 2 e c 4 b 4 7 b 8 1 7 e f 0 d 9 d 3 5 8 4 9 7 7 d 1 1 1 4 b 7 e 9 2 0 1 2 b 6 5 3 d 3 3 9 4 3 4 a 9 0 9 6 7 c b e 8 0 1 6 8 9 9 8 0 1 f 3 7 5 1 C 2 ： ： 持 久 化 感 染 ： 持 久 化 感 染 ： Y a r a 规 则 规 则 s u z u k i . ] d a t a s t o r e . ] p e . ] h u H K C U S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n O n c e W i n d o w s D e f e n d e r i m p o r t   " p e " r u l e   l o a d e r   {         m e t a :             d e s c r i p t i o n   =   " Y a r a   r u l e   f o r   t h e   i n i t i a l   l o a d e r   S R C "             a u t h o r   =   " Y o r o i   -   Z L a b "             l a s t _ u p d a t e d   =   " 2 0 2 0 - 0 3 - 0 2 "             t l p   =   " w h i t e "             c a t e g o r y   =   " i n f o r m a t i o n a l "
            c a t e g o r y   =   " i n f o r m a t i o n a l " s t r i n g s :                     $ a 1   =   "   g o t o   R e p e a t 1 "                 $ a 2   =   { 8 4   5 8   4 3   F 4   3 9   1 B   9 6   3 2   E 4   2 D   6 3 }                 $ a 3   =   { 8 9   0 4   4 D   3 0   7 A   0 5   1 0   4 1   E B   E 8   8 B }                 $ a 4   =   { 8 0   A 1   B 2   F 7   1 5   D E   F 0   7 E   3 5   7 5 }                 $ a 5   =   { 9 C   0 E   5 7   4 C   7 7   B 1   0 E   0 6   0 8   5 E }         c o n d i t i o n :             u i n t 1 6 ( 0 )   = =   0 x 5 A 4 D   a n d   p e . n u m b e r _ o f _ s e c t i o n s   = =   5   a n d   3   o f   ( $ a * ) } i m p o r t   " p e " r u l e   A u t o U p d a t e _ d l l   {         m e t a :             d e s c r i p t i o n   =   " Y a r a   r u l e   f o r   t h e   A u t o U p d a t e _ d l l "             a u t h o r   =   " Y o r o i   -   Z L a b "             l a s t _ u p d a t e d   =   " 2 0 2 0 - 0 3 - 0 2 "             t l p   =   " w h i t e "             c a t e g o r y   =   " i n f o r m a t i o n a l " s t r i n g s :                     $ a 1   =   { 4 8   8 B   3 F   4 8   8 3   7 8   1 8   1 0   7 2 }                 $ a 2   =   { 3 6   4 2   3 5   4 5   3 5   4 1   4 2   3 3   4 2   4 1   3 9 }                 $ a 3   =   {   D D   E 7   F E   D A   C 6   F 7   F 9   8 D   7 D   F 9   }                 $ a 4   =   " 1 # S N A N "                 $ a 5   =   " d $ 4 D 9 L $ t "                 $ a 6   =   " D l l R e g i s t e r S e r v e r "                 $ a 7   =   " D l l U n r e g i s t e r S e r v e r "         c o n d i t i o n :             u i n t 1 6 ( 0 )   = =   0 x 5 A 4 D   a n d   p e . n u m b e r _ o f _ s e c t i o n s   = =   6   a n d   ( 4   o f   ( $ a * ) ) } i m p o r t   " p e " r u l e   i n j e c t e d D L L   {         m e t a :             d e s c r i p t i o n   =   " Y a r a   r u l e   f o r   t h e   i n j e c t e d   D L L "             a u t h o r   =   " Y o r o i   -   Z L a b "             l a s t _ u p d a t e d   =   " 2 0 2 0 - 0 3 - 0 2 "             t l p   =   " w h i t e "             c a t e g o r y   =   " i n f o r m a t i o n a l " s t r i n g s :                     $ a 1   =   { 4 1   8 0   3 E   5 E   8 9   4 5   A 4   7 5   0 8   4 9 }                 $ a 2   =   { 6 0   0 3   5 0   0 2   3 0   5 8   6 8   0 1   0 0   7 0 }                 $ a 3   =   { 9 8   F 7   0 2   0 0   7 B   4 4   0 0   0 0   9 1   4 4 }                 $ a 4   =   " / ? m = b & p 1 = "                 $ a 5   =   " & p 2 = b "                 $ a 6   =   " / ? m = a & p 1 = "
*   参 考 来 源 ： 参 考 来 源 ： y o r o i ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐                 $ a 7   =   " A U A V A W H "         c o n d i t i o n :             u i n t 1 6 ( 0 )   = =   0 x 5 A 4 D   a n d   p e . n u m b e r _ o f _ s e c t i o n s   = =   6   a n d   ( 4   o f   ( $ a * ) ) } r u l e   l e g i t _ D O C   {         m e t a :             d e s c r i p t i o n   =   " Y a r a   r u l e   f o r   t h e   L e g i t   D O C "             a u t h o r   =   " Y o r o i   -   Z L a b "             l a s t _ u p d a t e d   =   " 2 0 2 0 - 0 3 - 0 2 "             t l p   =   " w h i t e "             c a t e g o r y   =   " i n f o r m a t i o n a l " s t r i n g s :                     $ a 1   =   " H W P   D o c u m e n t   F i l e "                 $ a 2   =   " U P c f Z r c "                 $ a 3   =   { D 1   A 9   3 0   1 A   5 D   C 1   1 6   4 1   1 5   D A   D F   5 4 }                 $ a 4   =   { B 4   D 5   3 1   1 B   F 9   6 6   7 C   5 6   5 A   1 5 }                 $ a 5   =   { 3 0   3 0   F 8   1 8   1 8   F 8   0 0   0 0   E 0   0 0   0 0   C 8 }                 $ a 6   =   { D C   6 6   4 3   0 C   5 3   0 0   6 5   0 0   6 3   0 0 }                 $ a 7   =   { 0 5   0 0   4 8   0 0   7 7   0 0   7 0   0 0   5 3   0 0   7 5   0 0   6 D   0 0   6 D }         c o n d i t i o n :             a l l   o f   t h e m }
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理