搜索

[28258] 2020-04-18_GamaredonAPT集团在活动中使用Covid-19诱饵

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2020-04-18_GamaredonAPT集团在活动中使用Covid-19诱饵 G a m a r e d o n   A P T 集 团 在 活 动 中 使 用 C o v i d - 1 9 诱 饵 原 创   趋 势 科 技   O t s 安 全   2 0 2 0 - 0 4 - 1 8 G a m a r e d o n 是 一 个 高 级 持 续 威 胁 （ A P T ） 小 组 ， 自 2 0 1 3 年 以 来 一 直 活 跃 。 他 们 的 竞 选 活 动 通 常 以 乌 克 兰 政 府 机 构 为 目 标 而 闻 名 。 从 2 0 1 9 年 下 半 年 到 今 年 2 月 ， 研 究 人 员 在 加 玛 瑞 登 发 表 了 几 份 报 告 ， 追 踪 了 该 组 织 的 活 动 。 3 月 ， 我 们 收 到 了 一 封 电 子 邮 件 ， 其 中 包 含 使 用 G a m a r e d o n 小 组 的 策 略 的 恶 意 软 件 附 件 。 一 些 电 子 邮 件 以 冠 状 病 毒 大 流 行 为 主 题 ， 以 诱 使 受 害 者 打 开 电 子 邮 件 和 附 件 。 这 些 运 动 针 对 欧 洲 国 家 和 其 他 国 家 的 受 害 者 。 2 0 1 5 年 ， L o o k i n g G l a s s 的 研 究 人 员 发 表 了 有 关 G a m a r e d o n   的 第 一 份 报 告 。 根 据 该 报 告 ， 早 期 的 活 动 使 用 了 M i c r o s o f t   W o r d 文 档 ， 该 文 档 经 过 检 查 后 显 示 ， 其 最 新 用 户 使 用 的 名 字 是 A r m a g e d o n （ 拼 写 错 误 的 “   A r m a g e d d o n ” ） ， 该 名 字 成 为 该 组 织 同 名 的 基 础 。 该 报 告 还 描 述 了 加 玛 雷 登 的 政 治 开 端 ， 尤 其 是 它 与 2 0 1 4 年 乌 克 兰 革 命 的 联 系 。 革 命 之 前 ， 他 们 瞄 准 了 乌 克 兰 政 府 官 员 ， 反 对 党 成 员 和 新 闻 工 作 者 。 革 命 后 ， 他 们 移 居 到 乌 克 兰 政 府 机 构 。 2 0 1 8 年 ， C E R T - U A   发 布 了 针 对 该 组 织 据 称 使 用 的 恶 意 软 件 P t e r o d o 的 公 告 。 该 小 组 保 持 活 跃 ， 并 于 2 0 2 0 年 2 月 报 告 了 几 次 与 G a m a r e d o n 相 关 的 活 动 。 3 月 ， 他 们 被 确 认 为 利 用 冠 状 病 毒 大 流 行 诱 骗 目 标 的 威 胁 小 组 。 G a m a r e d o n 和 C o v i d - 1 9 相 关 的 封 面 电 子 邮 件 图 1 .   G a m a r e d o n 运 动 的 感 染 链 我 们 发 现 此 案 例 是 通 过 包 含 文 档 文 件 （ d o c x 格 式 ） 的 目 标 电 子 邮 件 到 达 的 。 打 开 文 档 会 启 动 模 板 注 入 技 术 ， 用 于 从 I n t e r n e t 加 载 文 档 模 板 。 下 载 的 文 档 模 板 包 含 恶 意 宏 代 码 ， 该 宏 代 码 执 行 V B S c r i p t （ V B S ） 。 我 们 找 到 了 一 种 从 C ＆ C 服 务 器 解 密 ， 执 行 和 下 载 附 加 有 效 负 载 的 机 制 。 但 是 ， 在 分 析 期 间 ， C ＆ C 服 务 器 不 可 访 问 ， 这 使 我 们 无 法 获 取 其 他 有 效 负 载 。 我 们 发 现 所 有 攻 击 都 是 通 过 有 针 对 性 的 电 子 邮 件 （ M I T R E   A T T ＆ C K 框 架 I D   T 1 1 9 3 ） 到 达 的 。 其 中 一 个 甚 至 主 题 为 “ 冠 状 病 毒 （ 2 0 1 9 - n C o V ） ” 。 对 于 希 望 使 电 子 邮 件 和 文 档 更 具 诱 惑 力 的 攻 击 者 ， 使 用 与 社 会 相 关 的 主 题 是 一 种 常 见 的 做 法 。 使 用 冠 状 病 毒 相 关 主 题 的 电 子 邮 件 带 有 附 件 文 档 文 件 。 打 开 此 文 件 （ M I T R E   A T T ＆ C K 框 架 I D   T 1 2 0 4 ） 将 执 行 模 板 注 入 方 法 （ M I T R E   A T T ＆ C K 框 架 I D   T 1 2 2 1 ） 。
图 2 . 用 于 下 载 带 有 恶 意 宏 的 文 档 模 板 的 代 码 根 据 每 次 下 载 ， 下 载 的 文 档 模 板 （ 点 格 式 ） 可 能 会 略 有 不 同 。 但 是 ， 其 E x i f 信 息 或 元 数 据 保 持 一 致 ， 并 共 享 以 下 详 细 信 息 ： 标 识 ： W o r d   8 . 0 语 言 代 码 ： 俄 语 系 统 ： W i n d o w s 作 者 ： А Д М И Н （ 俄 语 中 的 “ 管 理 员 ” ） 代 码 页 ： W i n d o w s 西 里 尔 文 图 3 . 下 载 的 模 板 文 档 中 的 恶 意 宏 示 例 如 前 所 述 ， 模 板 包 含 恶 意 宏 （ M I T R E   A T T ＆ C K 框 架 I D   T 1 0 6 4 ） ， 该 宏 会 导 出 V B S （ M I T R E   A T T ＆ C K 框 架 I D   T 1 0 6 4 ） 以 执 行 自 身 。 更 具 体 地 说 ， 它 将 删 除 在 宏 中 进 行 硬 编 码 的 “ ％ U S E R P R O F I L E ％   D o c u m e n t s     M e d i a P l a y e r     P l a y L i s t . v b s ” ， 然 后 在 “ w s c r i p t . e x e   / /   b ％ U S E R P R O F I L E ％   D o c u m e n t s     M e d i a P l a y e r     P l a y L i s t . v b s ” 中 执 行 。 图 4 . 恶 意 宏 删 除 的 V B S 内 容 示 例 P l a y L i s t . v b s 包 含 混 淆 后 的 代 码 （ M I T R E   A T T ＆ C K 框 架 I D   T 1 1 4 0 ） ， 它 在 解 密 混 淆 后 执 行 。 这 种 特 殊 行 为 与 先 前 报 道 的 G a m a r e d o n 攻 击 略 有 不 同 ， 后 者 没 有 使 用 此 技 术 。
图 5 . 执 行 的 V B S 示 例 图 5 显 示 了 由 E x e c u t e 函 数 执 行 的 V B S 的 代 码 段 。 下 面 列 出 了 它 所 遵 循 的 例 程 。 在 下 面 的 注 册 表 中 注 册 R U N 密 钥 ， 以 便 每 次 计 算 机 启 动 时 都 执 行 V B S 文 件 （ M I T R E   A T T ＆ C K 框 架 I D   T 1 0 6 0 ） 1 .   注 册 表 ： H K E Y _ C U R R E N T _ U S E R     S o f t w a r e     M i c r o s o f t     W i n d o w s     C u r r e n t V e r s i o n     R u n O n c e     M e d i a P l a y e r   w s c r i p t . e x e   / / b ％ U S E R P R O F I L E ％   D o c u m e n t s     M e d i a P l a y e r     P l a y L i s t . v b s 2 .   与 “   h x x p ： / /   k r i s t o m   [ 。 ]   h o p t o   [ 。 ]   o r g   /   { 计 算 机 名 }   _   { 十 六 进 制 的 严 重 数 字 }   /   h e l p _ 0 5 _ 0 3   [ 。 ]   p h p ” （ M I T R E   A T T ＆ C K 框 架 I D T 1 0 4 3 ， T 1 0 7 1 ， T 1 0 8 2 ） 连 接 3 .   如 果 第 一 步 中 下 载 的 文 件 大 小 超 过 1 0 , 4 8 5 字 节 ， 则 该 文 件 将 另 存 为 “ ％ A P P D A T A ％   M i c r o s o f t     W i n d o w s   C o o k i e s . t x t ” （ M I T R E   A T T ＆ C K 框 架 I D   T 1 1 0 5 ） 4 .   对 第 二 步 保 存 的 文 件 使 用 X O R ， 其 中 将 从 其 自 己 的 十 六 进 制 卷 序 列 号 转 换 的 A S C I I 码 用 作 键 。 解 密 结 果 保 存 为 “ ％ A P P D A T A ％   M i c r o s o f t     W i n d o w s     C o o k i e s . e x e ” （ T 1 0 0 1 ） 5 .   如 果 “ ％ A P P D A T A ％   M i c r o s o f t     W i n d o w s     C o o k i e s . e x e ” 的 文 件 大 小 超 过 4 , 4 8 5 字 节 ， 则 将 执 行 该 文 件 。 6 .   然 后 删 除 “ ％ A P P D A T A ％   M i c r o s o f t     W i n d o w s     C o o k i e s . t x t ” 和 “ ％ A P P D A T A ％   M i c r o s o f t     W i n d o w s     C o o k i e s . e x e ” （ M I T R E A T T ＆ C K 框 架 I D   T 1 1 0 7 ） 7 .   该 V B S 的 常 规 例 程 与 G a m a r e d o n 上 发 布 的 其 他 报 告 （ 例 如 S e n t i n e l O n e 的 报 告 ） 密 切 相 关 。 但 是 ， 在 这 种 情 况 下 ， 宏 生 成 的 V B S 被 混 淆 了 ， 这 可 能 是 一 种 附 加 的 规 避 策 略 。
有 趣 的 是 ， 在 对 V B S 进 行 解 码 之 后 ， 我 们 发 现 攻 击 者 似 乎 是 编 程 错 误 。 图 6 中 的 第 5 3 和 5 4 行 用 于 关 闭 已 下 载 和 解 码 的 T X T 和 E X E 文 件 ， 这 些 文 件 是 在 I F 语 句 之 前 定 义 的 变 量 。 但 是 ， 如 果 这 些 行 未 通 过 此 I F 语 句 ， 则 会 发 生 错 误 。 它 表 明 此 恶 意 软 件 未 经 充 分 测 试 ， 可 能 仍 在 开 发 中 。 我 们 的 分 析 发 现 了 用 于 模 板 注 入 和 V B S 的 几 个 网 络 目 标 U R L 。 在 将 它 们 解 析 为 I P 地 址 以 了 解 其 攻 击 基 础 时 ， 我 们 还 发 现 它 们 都 链 接 到 以 下 I P 地 址 。 模 板 注 入 的 网 络 目 标 ： 1 7 6   [ . ]   1 1 9   [ . ]   1 4 7   [ . ]   2 2 5 V B S 的 网 络 目 标 ： 1 7 6   [ . ]   5 7   [ . ]   2 1 5   [ . ]   1 1 5 这 些 I P 地 址 来 自 俄 罗 斯 托 管 公 司 。 攻 击 者 很 可 能 租 用 了 虚 拟 专 用 服 务 器 （ V P S ） 作 为 攻 击 基 础 。 他 们 针 对 V B S 的 U R L （ 如 下 所 示 ） 可 能 包 括 他 们 进 行 攻 击 时 的 数 据 。 h x x p ： / /   { { F Q D N }   /   { 计 算 机 名 }   _   { 十 六 进 制 卷 序 列 号 }   /   h e l p _   { d a y }   _   { m o n t h }   [ 。 ]   p h p 结 论 结 论 G a m e r a d o n 不 是 第 一 个 利 用 C o v i d - 1 9 主 题 的 团 体 。 一 些 网 络 犯 罪 分 子 已 采 取 间 接 营 利 手 段 ， 例 如 针 对 那 些 在 组 织 转 而 从 家 中 工 作 后 变 得 越 来 越 流 行 的 通 信 平 台 。 在 这 种 情 况 下 ， 他 们 使 用 C o v i d - 1 9 作 为 其 相 对 典 型 的 A P T 程 序 的 封 面 。 我 们 建 议 采 取 以 下 对 策 来 防 止 将 来 发 生 类 似 的 A P T 攻 击 ： 在 下 载 和 打 开 电 子 邮 件 附 件 之 前 ， 请 检 查 电 子 邮 件 发 件 人 ， 主 题 和 正 文 是 否 存 在 可 疑 内 容 。 尤 其 要 警 惕 来 自 未 知 发 件 人 的 未 经 请 求 的 电 子 邮 件 。 检 查 附 件 的 文 件 扩 展 名 ， 并 确 保 它 是 预 期 的 文 件 格 式 。 避 免 为 任 何 附 加 的 M i c r o s o f t   O f f i c e 文 件 激 活 宏 ， 尤 其 是 对 于 使 用 打 开 的 文 件 正 文 的 图 像 或 不 显 示 任 何 内 容 的 图 像 请 求 宏 激 活 的 电 子 邮 件 。 在 打 开 电 子 邮 件 之 前 ， 请 注 意 电 子 邮 件 中 嵌 入 的 欺 骗 性 域 。 对 常 用 U R L 的 细 微 更 改 可 能 是 恶 意 内 容 的 一 种 指 标 。 除 了 这 些 操 作 ， 用 户 还 可 以 实 施 多 层 方 法 并 利 用 这 些 解 决 方 案 。 趋 势 科 技 ™ 智 能 防 护 套 件 和     企 业 安 全 无 忧 版     通 过 检 测 恶 意 文 件 和 垃 圾 邮 件 以 及 阻 止 所 有 相 关 的 恶 意 U R L ， 来 保 护 用 户 和 企 业 免 受 类 似 威 胁 。 趋 势 科 技 威 胁 发 现 设 备     具 有 电 子 邮 件 检 查 层 ， 可 以 通 过 检 测 恶 意 附 件 和 U R L 来 保 护 企 业 。 趋 势 科 技 ™ 托 管 电 子 邮 件 安 全 是 一 种 无 需 维 护 的 云 解 决 方 案 ， 可 提 供 不 断 更 新 的 保 护 ， 以 阻 止 垃 圾 邮 件 ， 恶 意 软 件 ， 鱼 叉 式 网 络 钓 鱼 ， 勒 索 软 件 和 高 级 针 对 性 攻 击 ， 防 止 它 们 进 入 网 络 。 它 保 护 M i c r o s o f t   E x c h a n g e ，     M i c r o s o f t   O f f i c e   3 6 5 ， G o o g l e A p p s 和 其 他 托 管 和 本 地 电 子 邮 件 解 决 方 案 。 具 有 X G e n ™     端 点 安 全 性 的 趋 势 科 技 O f f i c e S c a n ™ 与     其 他 检 测 技 术 和 全 球 威 胁 情 报 融 合 在 一 起 ， 提 供 高 保 真 机 器 学 习 功 能 ， 以 全 面 防 御 高 级 恶 意 软 件 。 在     趋 势 科 技 T M   X D R     解 决 方 案 有 效 地 保 护 连 接 电 子 邮 件 ， 终 端 ， 服 务 器 ， 云 工 作 负 载 和 网 络 。 趋 势 科 技 X D R 使 用 功 能 强 大 的 A I 和 专 家 安 全 分 析 来 关 联 数 据 ， 并 提 供 更 少 但 更 高 保 真 度 的 警 报 以 进 行 早 期 威 胁 检 测 。 在 单 个 控 制 台 中 ， 它 提 供 了 企 业 系 统 的 更 广 阔 视 野 ， 同 时 提 供 了 更 加 集 中 和 优 化 的 警 报 集 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理