搜索

[15533] 2020-06-25_伊朗ChaferAPT组织全面分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-06-25_伊朗ChaferAPT组织全面分析 伊 朗 C h a f e r   A P T 组 织 全 面 分 析 K r i s t o n   F r e e B u f   2 0 2 0 - 0 6 - 2 5 C h a f e r A P T 组 织 隶 属 于 伊 朗 ， 自 组 织 隶 属 于 伊 朗 ， 自 2 0 1 4 年 以 来 一 直 处 于 活 跃 状 态 ， 专 注 于 网 络 间 谍 活 动 。 年 以 来 一 直 处 于 活 跃 状 态 ， 专 注 于 网 络 间 谍 活 动 。 B i t d e f e n d e r 发 现 该 组 织 发 现 该 组 织 2 0 1 8 年 开 始 针 对 中 东 关 键 基 础 设 施 进 行 攻 击 ， 攻 击 中 使 用 了 多 种 工 具 、 定 制 后 门 等 。 年 开 始 针 对 中 东 关 键 基 础 设 施 进 行 攻 击 ， 攻 击 中 使 用 了 多 种 工 具 、 定 制 后 门 等 。 其 攻 击 主 要 针 对 航 空 运 输 和 政 府 部 门 ， 攻 击 者 多 在 周 末 进 行 攻 击 。 在 针 对 科 威 特 的 攻 击 中 ， 攻 击 者 创 建 了 自 己 的 用 户 帐 户 ， 针 对 沙 特 的 攻 击 主 要 依 靠 社 会 工 程 学 ， 两 种 攻 击 的 最 终 目 标 都 是 窃 取 数 据 。 攻 击 链 分 析 攻 击 链 分 析 科 威 特 科 威 特 最 初 发 现 了 一 些 反 向 T C P 文 件 和 P o w e r S h e l l 命 令 ， 攻 击 者 可 能 使 用 恶 意 文 档 攻 击 受 害 者 ， 并 利 用 鱼 叉 式 电 子 邮 件 进 行 传 播 。 攻 击 者 会 在 目 标 上 使 用 侦 察 工 具 进 行 网 络 扫 描 （ “   x n e t . e x e ” ， “   s h a r e o . e x e ” ） 和 凭 证 收 集 （ 如 “   m n l . e x e ” 或 “ m i m i 3 2 . e x e ” ） 或 其 他 功 能 工 具 ， 例 如 C r a c k M a p E x e c （ 用 于 用 户 枚 举 ， 共 享 列 表 ， 凭 据 收 集 等 ） 。 这 些 工 具 可 帮 助 攻 击 者 在 网 络 内 部 横 向 移 动 。 攻 击 者 使 用 p s e x e c 或 使 用 R D P 协 议 进 行 远 程 服 务 安 装 ， 一 旦 攻 击 成 功 便 开 始 安 装 自 定 义 模 块 ： 经 过 修 改 的 P l i n k （ w e h s v c . e x e ） 以 及 后 门 （   i m j p u e x a . e x e ） 。 攻 击 者 会 在 受 害 者 的 计 算 机 上 创 建 用 户 ， 并 使 用 该 用 户 在 网 络 内 部 执 行 恶 意 操 作 。
大 多 数 活 动 发 生 在 周 五 和 周 六 ， 与 中 东 的 周 末 相 吻 合 。 观 察 到 以 下 顺 序 ： 在 其 中 一 台 机 器 上 部 署 修 改 后 的 P u T T Y 工 具 （ “   w e h s v c . e x e ” ） ； 四 天 后 在 同 一 系 统 上 创 建 一 个 特 定 用 户 ； 除 了 上 述 工 具 外 ， 在 该 用 户 下 还 发 现 了 r d p w i n s t （ r d p 会 话 管 理 ） ， S m a r t f t p   P a s s w o r d   D e c r y p t o r （ 安 装 程 序 ） 和   N a v i c a t   P r e m i u m 等 。 攻 击 者 通 过 代 理 工 具 （ “   m f e v t p s e . e x e ” 和 “   m i n i . e x e ” ） 或 后 门 与 受 害 者 保 持 通 信 ， 其 中 一 次 攻 击 时 间 线 如 下 所 示 。 沙 特 阿 拉 伯 攻 击 链 沙 特 阿 拉 伯 攻 击 链 攻 击 者 最 初 是 通 过 社 会 工 程 学 攻 击 目 标 。 R A T 组 件 位 于 ％ D o w n l o a d ％ 文 件 夹 中 ， R A T 执 行 了 两 次 ， 两 次 执 行 相 隔 三 分 钟 ， 使 用 不 同 的 名 称 （ “   d r i v e r s . e x e ” 和 “   d r i v e r s _ x 6 4 . e x e ” ） 。 使 用 “   e t b l s c a n n e r . e x e ” 进 行 内 部 网 络 侦 察 。 另 外 还 发 现 了 三 种 不 同 的 R A T 组 件 ， 其 中 一 个 组 件 “   s n m p . e x e ” 也 以 “   i m j p u e x a . e x e ” 出 现 在 科 威 特 的 某 些 受 害 者 身 上 ， 攻 击 时 间 线 如 下 ：
工 具 分 析 工 具 分 析 攻 击 者 使 用 “ t h e   N o n - S u c k i n g ” 服 务 管 理 器 来 确 保 其 关 键 组 件 （ 例 如 代 理 或 R A T ） 已 启 动 运 行 。 他 们 还 使 用 S y s i n t e r n a l s 工 具 （ 例 如 p s e x e c ） 在 受 害 者 网 络 中 横 向 移 动 ， 使 用 “   s c h t a s k s . e x e ” 确 保 持 久 性 ， “   t a s k l i s t ” 用 于 测 试 持 久 性 ， “ n s l o o k u p ” 用 于 D N S 通 信 ， 查 询 T X T 记 录 。 发 现 了 不 同 阶 段 使 用 的 黑 客 工 具 ， 如 M i m i k a t z 、 S a f e t y K a t z 或 定 制 工 具 。 利 用 所 获 得 的 凭 据 与 p s e x e c 工 具 获 取 对 特 定 计 算 机 的 访 问 权 。 一 些 受 感 染 的 系 统 还 包 含 M e t a s p l o i t 框 架 的 s h e l l c o d e 片 段 ， 例 如 r e v e r s e _ t c p ， 连 接 到 不 同 的 内 部 I P 地 址 。 另 一 个 工 具 C r a c k M a p E x e c ， 具 有 网 络 扫 描 等 功 能 ； 发 现 P L I N K 修 改 版 本 ， 它 可 以 作 为 W i n d o w s 服 务 运 行 或 卸 载 ； 发 现 了 一 个 用 C + + 编 写 的 命 令 行 工 具 ， 可 作 为 代 理 使 用 。 在 攻 击 过 程 中 还 观 察 到 P y t h o n （ 可 能 是 3 . 4 版 ） 编 写 的 R A T 。 该 工 具 具 有 两 种 通 信 类 型 （ “   D N S ” 和 “   H T T P ” ） ， 工 具 的 文 件 名 是 “   s n m p . e x e ” ， “   i m j p u e x a . e x e ” 和 “   d r i v e r _ x 8 6 . e x e ” ， 硬 编 码 的 标 头 可 如 下 ： H T T P 通 信 请 求 标 头 “   G E T   /   o w a   H T T P   /   1 . 1     r     n H o s t ： l i v e . c o m ” 和 响 应 标 头 “   H T T P   /   1 . 1   2 0 0   O K ” 。 此 攻 击 中 使 用 的 另 一 个 命 令 行 工 具 “   x n e t . e x e ” ， 它 与 n b t s c a n 工 具 非 常 相 似 ， 可 从 计 算 机 上 网 络 适 配 器 获 取 要 扫 描 的 I P 范 围 。 还 观 察 到 C # 工 具 （ “ s h a r e o . e x e ” ） ， 该 工 具 可 获 得 指 定 I P 范 围 内 每 台 计 算 机 的 N e t B I O S 名 称 。 发 现 名 为 “   m a s . d l l ” 的 后 门 ， 此 文 件 与 “ x n e t . e x e ” 之 间 存 在 联 系 ： “ F : P r o j e c t s 9 4 - 0 6 R C E b i n R e l e a s e x 6 4 m a s . p d b ”   –   “ m a s . d l l ” “ F : P r o j e c t s 9 4 - 0 8 X N e t b i n R e l e a s e W i n 3 2 X N e t . p d b ” )   –   “ x n e t . e x e ”
M I T R E   m a t r i x   T T P s 持 久 化 持 久 化 T 1 0 5 0   “ N e w   S e r v i c e ” : “ w e h s v c . e x e ”   创 建   “ i m j p u e x a . e x e ”   修 改 注 册 表   “ H K L M s y s t e m c o n t r o l s e t 0 0 1 s e r v i c e s m i c r o s o f t u p d a t i n g p a r a m e t e r s a p p l i c a t i o n ” T 1 0 5 3   “ S c h e d u l e d   T a s k ” : “ M S C S e r v i c e . e x e ”   、 “ D B X S e r v i c e . e x e ” T 1 1 3 6   “ C r e a t e   A c c o u n t ” : 创 建 用 户 内 网 探 测 内 网 探 测 T 1 0 1 6   “ S y s t e m   N e t w o r k   C o n f i g u r a t i o n   D i s c o v e r y ” : “ x n e t . e x e ” C & C T 1 0 9 0   “ C o n n e c t i o n   P r o x y ” : “ m i n i . e x e ” 、 “ m f e v t p s e . e x e ” 、 “ m f e v t p s . e x e ” 以 及 修 改 的 P l i n k 防 御 检 测 防 御 检 测 T 1 0 4 5   “ S o f t w a r e   p a c k i n g ” “ m f e v t p s e . e x e ” T 1 0 3 6   “ M a s q u e r a d i n g ” “ D B X S e r v i c e . e x e ” 、   “ M S C S e r v i c e . e x e ” 命 令 执 行 命 令 执 行 T 1 0 5 9   “ C o m m a n d   l i n e   i n t e r f a c e ” 凭 证 访 问 凭 证 访 问 T 1 0 0 3   “ C r e d e n t i a l   D u m p i n g ” M i m i k a t z 附 录 附 录
参 考 来 源 参 考 来 源 h t t p s : / / w w w . b i t d e f e n d e r . c o m / f i l e s / N e w s / C a s e S t u d i e s / s t u d y / 3 3 2 / B i t d e f e n d e r - W h i t e p a p e r - C h a f e r - c r e a t 4 4 9 1 - e n - E N - i n t e r a c t i v e . p d f * 本 文 作 者 ： 本 文 作 者 ： K r i s t o n ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理