搜索

[9313] 2015-09-06_“Carbanak”回来了

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-17
2015-09-06_“Carbanak”回来了 “ C a r b a n a k ” 回 来 了 F r e e B u f   2 0 1 5 - 0 9 - 0 6 就 在 最 近 ， 国 际 战 略 研 究 中 心 就 在 最 近 ， 国 际 战 略 研 究 中 心 ( C S I S ) 进 行 了 取 证 分 析 ， 发 现 进 行 了 取 证 分 析 ， 发 现 W i n d o w s 客 户 端 有 被 破 坏 的 危 险 ， 并 企 图 对 网 上 银 行 交 易 客 户 端 有 被 破 坏 的 危 险 ， 并 企 图 对 网 上 银 行 交 易 进 行 欺 诈 。 作 为 取 证 分 析 工 作 的 一 部 分 ， 我 们 成 功 的 分 离 出 一 个 带 有 数 字 签 名 的 二 进 制 文 件 ， 这 就 是 后 来 我 们 所 确 进 行 欺 诈 。 作 为 取 证 分 析 工 作 的 一 部 分 ， 我 们 成 功 的 分 离 出 一 个 带 有 数 字 签 名 的 二 进 制 文 件 ， 这 就 是 后 来 我 们 所 确 定 的 新 的 定 的 新 的 " C a r b a n a k " 样 本 。 样 本 。 1 0 亿 美 元 大 劫 案 亿 美 元 大 劫 案 C a r b a n a k （ 又 名   A n u n a k ） 已 经 存 在 了 好 几 年 ， 卡 巴 斯 基 的 研 究 人 员 在 2 0 1 5 年 二 月 份 发 布 的 标 题 为 “ 银 行 大 劫 案 ： C a r b a n a k 网 络 团 伙 从 1 0 0 家 全 球 金 融 机 构 窃 取 了 1 0 亿 美 元 ” 的 报 告 中 强 调 过 它 。 正 如 预 期 的 那 样 ， 这 样 一 个 吸 人 眼 球 的 标 题 会 迅 速 引 起 国 际 媒 体 的 注 意 ， 并 在 几 天 后 占 领 了 媒 体 头 条 。 而 此 时 ， 在 C a r b a n a k 的 故 事 闯 入 媒 体 的 时 候 ， 一 些 来 自 国 际 战 略 研 究 中 心 的 研 究 人 员 正 在 参 加 在 墨 西 哥 举 办 的 “ 卡 巴 斯 基 安 全 分 析 峰 会 ( T h e S A S 2 0 1 5 ) ” 。 很 快 我 们 就 忙 于 回 答 关 注 此 事 件 的 客 户 的 各 种 问 题 。 正 如 我 们 在 那 段 时 间 的 调 查 的 进 展 ， 事 实 证 明 ， 我 们 的 客 户 并 没 有 受 到 C a r b a n a k 攻 击 。 不 幸 的 是 ， 这 不 会 永 远 持 续 下 去 。 如 前 面 所 述 ， 在 上 一 周 我 们 发 现 了 C a r b a n a k 的 新 变 种 。 从 我 们 的 分 析 来 看 ， 很 明 显 ， C a r b a n a k 回 来 了 ， 并 且 已 被 证 实 它 瞄 准 了 在 欧 洲 和 美 国 的 大 公 司 。 攻 击 方 法 是 网 络 钓 鱼 。 第 一 个 新 变 种 第 一 个 新 变 种 前 面 已 经 提 到 过 ， C a r b a n a k 的 新 变 种 进 行 数 字 签 名 。 在 被 感 染 的 W i n d o w s   7 主 机 上 ， 安 装 位 置 如 下 ： C : / / P r o g r a m / / D a t a M o z i l l a / / s v c h o s t . e x e 在 W i n d o w s   X P 中 的 位 置 为 ： C : / / D o c u m e n t s   a n d   S e t t i n g s / / A l l   U s e r s / / A p p l i c a t i o n   D a t a / / M o z i l l a s v c h o s t . e x e 与 此 同 时 ， 它 增 加 了 一 个 系 统 启 动 项 的 注 册 表 ， 以 便 在 系 统 重 新 启 动 后 代 码 被 执 行 。 在 对 代 码 逆 向 之 后 ， 我 们 能 够 确 认 文 件 夹 和 文 件 名 都 是 在 对 代 码 逆 向 之 后 ， 我 们 能 够 确 认 文 件 夹 和 文 件 名 都 是 “ 硬 编 码 硬 编 码 ” 的 ， 因 此 这 个 可 以 作 为 它 的 一 个 特 征 指 示 符 。 的 ， 因 此 这 个 可 以 作 为 它 的 一 个 特 征 指 示 符 。 C a r b a n a k 将 自 身 注 入 到 将 自 身 注 入 到 s v c h o s t . e x e 进 程 中 ， 通 过 这 种 方 式 ， 可 以 在 内 存 中 隐 藏 自 己 。 进 程 中 ， 通 过 这 种 方 式 ， 可 以 在 内 存 中 隐 藏 自 己 。 至 于 其 他 一 些 高 级 的 数 据 窃 取 技 术 ， C a r b a n a k 是 利 用 插 件 来 实 现 的 。 该 插 件 使 用 C a r b a n a k 自 身 的 协 议 ， 并 与 通 过 硬 编 码 的 I P 地 址 的 4 4 3 端 口 进 行 通 信 。 在 我 们 的 分 析 过 程 中 有 两 个 插 件 下 载 安 装 了 ， 分 别 为 “ w i . e x e ” 和 “ k l g c o n f i g . p l u g ” 。 他 们 都 已 经 在 卡 巴 斯 基 报 告 被 提 到 过 。 当 与 C & C 服 务 器 进 行 通 信 时 ， B O T I D 为 一 个 预 定 义 的 字 符 串 “ y a m o t a 0 ” 和 后 面 紧 跟 着 的 一 个 1 6 字 节 的 随 机 生 成 的 字 符 串 组 成 。 如 下 图 ：
新 的 变 种 和 以 前 观 察 到 的 C a r b a n a k 样 本 之 间 存 在 如 下 一 些 差 异 ： -   新 的 地 理 目 标 -   新 的 专 有 协 议 -   使 用 随 机 文 件 （ 即 主 要 部 分 是 静 态 的 ） 和 互 斥 -   预 定 义 的 I P 地 址 （ 以 前 的 样 本 使 用 域 名 ） 对 于 新 的 样 本 ， C ＆ C 服 务 器 连 接 到 了 一 个 知 名 的 托 管 公 司 — — B u l l e t p r o o f 。 已 签 名 的 已 签 名 的 C a r b a n a k 恶 意 软 件 恶 意 软 件 如 下 图 所 示 ， C a r b a n a k 的 这 个 新 变 种 使 用 了 C o m o d o ( 俗 称 毛 豆 ) 进 行 数 字 签 名 ：

证 书 有 效 日 期 为 2 0 1 4 / 1 0 / 0 2 至 2 0 1 5 / 1 0 / 0 3 . 经 过 一 些 调 查 之 后 ， 我 们 定 位 到 一 些 与 “ B L I K ” 公 司 相 关 的 信 息 。 公 司 注 册 登 记 日 期 ： 2 0 1 4 年 4 月 3 日 董 事 长 ： C h u n y a e v a   S v e t l a n a   A l e x a n d r o v a 公 司 地 址 ： 1 2 3 2 9 8 ,   M o s c o w ,   s t r e e t .   B e r z a r i n a ,   7 ,   1 该 公 司 的 注 册 信 息 表 明 ， “ 其 他 批 发 ” 为 “ B L I K ” 公 司 的 主 要 业 务 活 动 。 该 组 织 还 经 营 以 下 非 核 心 业 务 ： -   木 材 和 建 材 批 发 业 -   食 品 ， 饮 料 和 烟 草 的 批 发 贸 易 -   水 果 和 蔬 菜 批 发 市 场 -   肉 ， 禽 ， 产 品 的 批 发 和 肉 类 罐 头 -   奶 制 品 ， 鸡 蛋 和 食 用 油 脂 批 发 -   酒 类 和 其 他 饮 料 批 发 在 进 一 步 的 搜 索 之 后 ， 我 们 设 法 找 到 一 个 与 此 公 司 相 关 的 域 名 ： b l i k s c o . c o m 更 新 日 期 ： 2 0 1 5 - 0 4 - 0 1   1 7 : 5 5 : 1 8 . 2 7 4 4 6 9
创 建 日 期 ： 2 0 1 4 年 1 0 月 1 日 注 册 名 称 ： S v e t l a n a   C h u n y a e v a 注 册 机 构 ： B L I K 注 册 街 道 ： B e r z a r i n a ， 7 ， 1 注 册 城 市 ： 莫 斯 科 注 册 人 邮 编 ： 1 2 3 2 9 8 注 册 国 家 ： 俄 罗 斯 联 邦 注 册 电 话 ：   + 7 . 4 9 9 7 0 3 0 3 4 5 注 册 邮 箱 ： a d m i n @ b l i k s c o . c o m 一 个 有 趣 的 问 题 是 ， 因 为 它 有 时 的 确 存 在 这 样 的 情 况 ： “ 为 什 么 一 个 公 司 的 业 务 领 域 内 的 工 作 永 远 需 要 一 个 代 码 签 名 证 书 ？ ” 。 这 让 我 们 有 了 一 些 看 法 ： 这 让 我 们 有 了 一 些 看 法 ： -   公 司 注 册 和 颁 发 证 书 的 日 期 之 间 的 时 间 内 表 明 犯 罪 分 子 可 能 使 用 了 被 盗 的 假 身 份 证 或 护 照 注 册 了 自 己 的 公 司 。 -   这 一 次 ， 犯 罪 分 子 明 显 注 册 了 一 个 真 实 的 公 司 ， 而 不 是 使 用 偷 来 的 证 书 进 行 代 码 签 名 ， 因 为 他 们 以 前 曾 被 卡 巴 斯 基 报 告 披 露 。 -   我 们 推 测 ， 这 家 公 司 的 主 要 目 的 是 从 事 欺 诈 交 易 。 正 如 卡 巴 斯 基 报 告 中 所 指 出 的 ， C a r b a n a k 的 转 移 金 额 是 相 当 巨 大 的 。 也 许 ， 他 们 已 经 注 册 了 一 个 公 司 ， 并 开 设 了 银 行 账 户 ， 以 转 移 他 们 的 赃 款 ， 同 时 对 转 移 的 过 程 具 有 完 全 的 控 制 权 。 结 论 结 论 C a r b a n a k 就 是 我 们 定 义 的 一 个 金 融 A P T 。 它 非 常 有 针 对 性 ， 感 染 数 量 较 少 。 另 外 ， 我 们 观 察 到 它 至 少 有 四 种 不 同 的 新 变 种 ， 并 且 瞄 准 了 大 型 国 际 企 业 的 个 人 财 务 。 我 们 打 算 发 布 我 们 的 C a r b a n a k 分 析 报 告 。 同 时 样 本 也 已 共 享 给 信 任 的 伙 伴 ， 以 确 保 检 测 工 作 的 展 开 ， 杜 绝 各 种 安 全 解 决 方 案 的 威 胁 。 *   参 考 来 源 ： C S I S , 译 者 / 丝 绸 之 路 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 ( F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理