搜索

[6271] 2019-11-08_魔芋行动（OperationNinikachu）针对韩国某大型集团的定向攻击

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-17
2019-11-08_魔芋行动（OperationNinikachu）针对韩国某大型集团的定向攻击 魔 芋 行 动 （ O p e r a t i o n   N i n i k a c h u   ） 针 对 韩 国 某 大 型 集 团 的 定 向 攻 击 E 安 全   2 0 1 9 - 1 1 - 0 8 以 下 文 章 来 源 于 安 恒 信 息   ， 作 者 猎 影 近 日 ， 安 恒 安 全 研 究 院 猎 影 威 胁 分 析 团 队 在 文 件 威 胁 分 析 平 台 上 监 测 到 了 一 起 针 对 韩 国 大 型 公 司 的 高 级 可 持 续 攻 击 。 经 过 深 入 分 析 ， 发 现 攻 击 者 可 能 来 自 南 亚 国 家 ， 通 过 样 本 中 的 关 键 词 汇 将 该 起 攻 击 命 名 为 魔 芋 行 动 （ O p e r a t i o n   N i n i k a c h u ） 。 样 本 分 析 样 本 分 析 攻 击 者 投 递 了 多 个 高 度 伪 装 的 文 档 ， 文 档 示 例 展 示 如 下 ： 安 恒 信 息 安 恒 信 息   . 杭 州 安 恒 信 息 技 术 股 份 有 限 公 司 （ D B A P P S e c u r i t y ） ， 科 创 板 ： 6 8 8 0 2 3 ， 全 球 网 络 安 全 创 新 5 0 0 强 。 以 自 主 可 控 的 专 利 技 术 ， 提 供 W e b 应 用 安 全 、 数 据 库 安 全 、 网 站 安 全 监 测 产 品 与 服 务 、 态 势 感 知 大 数 据 中 心 及 智 慧 城 市 云 安 全 运 营 整 体 解 决 方 案 。
文 档 利 用 形 式 相 同 ， 都 使 用 了 相 似 的 恶 意 宏 代 码 ， 我 们 拿 出 其 中 一 个 进 行 分 析 ， 如 “ 가 격 정 책 _ 1 9 1 0 3 0 . x l s ” 文 档 。 文 档 中 包 含 恶 意 宏 代 码
宏 代 码 的 功 能 为 远 程 下 载 文 件 ， 其 地 址 如 下 ：
h x x p s : / / 2 1 8 . * . * . 1 8 7 / a s / * * * / * * * / s k c c . c o m / R e p o r t S V C . e x e 保 存 到 “ c : P r o g r a m D a t a R e p o r t S V C . e x e ” 并 执 行 。 R e p o r t S V C . e x e 程 序 为 加 过 密 的 p y t h o n 打 包 程 序 , 将 该 程 序 进 行 解 包 并 反 编 译 还 原 如 下 ： 可 以 得 到 a g e n t 主 程 序 ， 并 可 以 通 过 A E S 算 法 使 用 加 密 k e y ： “ X M B c i * * * 8 H Q G P D H ” 解 密 被 加 密 的 一 些 模 块 :
如 解 密 c o n f i g . p y c . e n c r y p t e d 文 件 解 密 出 c o n f i g 模 块 ： 内 部 包 含 程 序 执 行 所 需 要 的 各 种 配 置 信 息 ， 如 回 连 地 址 信 息 “ h x x p s : / /   2 1 8 . * . * . 1 8 7 ” ， 服 务 前 缀 “ s k c c [ . ] c o m ” ， 帮 助 信 息 等 等 。 接 下 来 分 析 反 编 译 出 的 a g e n t . p y 程 序 ， 发 现 其 就 是 一 个 p y t h o n   远 程 控 制 程 序 。 包 含 多 个 功 能 指 令 。
程 序 会 先 进 行 初 始 化 ， 从 配 置 文 件 中 获 取 各 类 配 置 信 息 ， 以 及 收 集 本 机 计 算 中 的 各 类 信 息 ， 如 获 取 系 统 版 本 信 息 ： 获 取 u i d 信 息 ： 获 取 H o s t n a m e 信 息 ：
获 取 U s e r n a m e 信 息 ： 然 后 回 连 C 2 ， 发 送 信 息 并 通 过 指 令 进 行 交 互
几 个 关 键 功 能 包 括 ：
函 数 G e t d o c p a t h s ： 获 取 指 定 路 径 下 的 d o c * , x l s * , p p t * 路 径 信 息 函 数 U p l o a d ： 上 传 本 地 文 件 到 服 务 器 。 函 数 D o w n l o a d ： 从 远 程 服 务 器 通 过 h t t p ( s ) 下 载 文 件 。 函 数 P o w e r s h e l l ： 运 行 p o w e r s h e l l 程 序 或 命 令 。
函 数 P y t h o n ： 运 行 p y t h o n 命 令 或 p y t h o n 程 序 。 函 数 G e t p w ( N i n i k a c h u ) ： 通 过 使 用 E m p i r e 的 I n v o k e - M i m i k a t z . p s 1 来 获 取 系 统 密 码 。  
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理