搜索

[10302] 2016-07-14_攻击中东欧的间谍工具集

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2016-07-14_攻击中东欧的间谍工具集 攻 击 中 东 欧 的 间 谍 工 具 集 f e l i x   F r e e B u f   2 0 1 6 - 0 7 - 1 4 图 1 在 过 去 的 一 年 里 ， 在 过 去 的 一 年 里 ， E S E T 检 测 并 分 析 了 若 干 有 针 对 性 的 进 行 间 谍 活 动 的 恶 意 软 件 ， 被 称 作 检 测 并 分 析 了 若 干 有 针 对 性 的 进 行 间 谍 活 动 的 恶 意 软 件 ， 被 称 作 S B D H 工 具 集 。 它 使 用 了 强 大 的 过 工 具 集 。 它 使 用 了 强 大 的 过 滤 器 ， 多 种 通 信 方 式 以 及 非 常 有 意 思 的 驻 留 技 术 。 滤 器 ， 多 种 通 信 方 式 以 及 非 常 有 意 思 的 驻 留 技 术 。 它 的 目 的 是 从 政 府 或 公 共 研 究 机 构 中 窃 取 特 定 类 型 的 文 件 ， 主 要 与 中 东 欧 的 经 济 增 长 和 合 作 相 关 。
这 个 工 具 集 将 双 扩 展 名 的 可 执 行 文 件 附 加 到 钓 鱼 邮 件 中 （ 指 望 W i n d o w s 默 认 隐 藏 扩 展 名 ） ， 以 这 种 方 式 进 行 传 播 。 为 了 增 加 让 接 收 者 运 行 的 机 会 ， 它 使 用 了 一 些 正 常 的 微 软 应 用 程 序 或 者 W o r d 文 档 的 图 标 。
一 旦 成 功 运 行 ， 恶 意 软 件 访 问 一 个 远 程 地 址 ， 下 载 工 具 集 中 其 它 两 个 重 要 的 组 件 ： 一 个 后 门 和 一 个 数 据 窃 取 工 具 。 这 些 模 块 互 相 组 合 ， 攻 击 者 不 仅 可 以 远 程 控 制 被 攻 下 的 机 器 ， 也 可 以 高 效 地 盗 取 数 据 。 使 用 文 件 扩 展 名 ， 创 建 日 期 ， 文 件 大 小 以 及 其 它 条 件 ， 强 大 的 过 滤 器 可 以 指 定 要 窃 取 的 数 据 的 详 细 信 息 。 这 些 条 件 可 以 通 过 恶 意 软 件 的 配 置 文 件 来 修 改 。 由 于 这 个 间 谍 工 具 集 里 的 所 有 组 件 都 要 与 C & C 服 务 器 建 立 连 接 ， 恶 意 软 件 严 重 依 赖 于 网 络 通 信 。 为 了 增 加 通 信 的 机 会 ， 它 使 用 了 多 种 连 接 方 法 。 首 先 ， 它 尝 试 使 用 H T T P 协 议 。 如 果 失 败 了 ， S B D H 恶 意 软 件 会 选 择 第 二 种 方 法 ， 尝 试 通 过 S M T P 协 议 访 问 免 费 的 外 部 网 关 。
最 后 的 手 段 ， 它 可 以 通 过 向 M i c r s o f t   O u t l o o k   E x p r e s s 注 入 一 个 构 造 的 邮 件 来 通 信 。 在 这 种 方 式 下 ， 会 以 当 前 登 录 用 户 的 身 份 发 送 注 入 的 邮 件 。 恶 意 软 件 可 以 绕 过 安 全 防 护 措 施 （ 假 设 用 户 有 权 限 发 送 和 接 受 邮 件 ） 。 为 了 避 免 被 发 现 ， 恶 意 软 件 产 生 的 恶 意 消 息 会 在 发 送 之 后 直 接 移 动 到 受 害 者 的 发 件 箱 中 。 为 了 避 免 被 发 现 ， 恶 意 软 件 产 生 的 恶 意 消 息 会 在 发 送 之 后 直 接 移 动 到 受 害 者 的 发 件 箱 中 。 在 接 收 命 令 时 。 恶 意 软 件 搜 索 受 害 者 的 收 件 箱 ， 识 别 特 定 主 题 的 邮 件 。 如 果 工 具 集 找 到 了 这 样 的 邮 件 ， 他 们 解 析 并 检 查 恶 意 软 件 的 命 令 。 最 后 ， 修 改 这 些 邮 件 的 主 题 ， 防 止 被 恶 意 软 件 再 次 检 查 到 。 然 而 ， 最 后 一 个 方 法 只 用 到 了 2 0 0 6 年 ， 那 年 ， 新 的 W i n d o w s   M a i l   a p p l i c a t i o n 代 替 了 o u t l o o k   E x p r e s s 。 在 那 之 后 ， 工 具 集 的 开 发 者 将 注 意 力 集 中 到 了 改 进 H T T P 通 信 方 法 上 ， 开 始 使 用 伪 造 的 图 像 文 件 承 载 数 据 ， 来 掩 饰 与 C & C 服 务 器 的 通 信 。 以 防 C & C 服 务 器 的 不 能 访 问 ， 后 门 组 件 还 有 另 外 一 个 备 选 方 案 ， 一 个 硬 编 码 的 指 向 图 片 的 U R L ， 图 片 包 含 了 C % C 服 务 器 的 地 址 。
这 个 工 具 的 一 些 样 本 使 用 了 一 个 有 趣 的 驻 留 方 法 ， 恶 意 软 件 替 换 了 W o r d 文 档 的 处 理 程 序 ， 当 感 染 的 系 统 尝 试 打 开 或 编 辑 W o r d 文 档 的 时 候 ， 恶 意 软 件 就 会 执 行 。 最 后 ， 这 个 工 具 集 的 名 称 的 来 源 。 在 下 载 者 的 编 译 路 径 中 发 现 了 “ S B D H ” 字 符 串 ， 而 且 “ B 6 4 S B D H ” 字 符 串 作 为 一 个 触 发 器 ， 会 触 发 从 远 程 服 务 器 下 载 其 它 剩 下 的 组 件 。 S B D H 间 谍 工 具 集 说 明 ， 即 便 是 高 级 威 胁 任 然 使 用 简 单 的 攻 击 向 量 进 行 传 播 ， 比 如 恶 意 的 邮 件 附 件 。 当 然 ， 经 过 适 当 培 训 的 员 工 可 以 认 出 这 个 危 险 行 为 ， 通 过 实 现 一 个 多 层 次 的 安 全 解 决 方 案 可 以 避 免 被 攻 击 的 危 险 。 哈 希 哈 希 1 3 4 5 B 6 1 8 9 4 4 1 C D 1 E D 9 0 3 6 E F 0 9 8 A D F 1 2 7 4 6 E C F 7 C B 1 5 B 9 5 6 F E E E 0 F A 4 2 F 8 9 C 6 7 C A 5 6 8 A 1 8 2 C 3 4 8 E 2 0 E A D
F 2 A 1 E 4 B 5 8 C 9 4 4 9 7 7 6 B D 6 9 F 6 2 A 8 F 2 B A 7 A 7 2 5 8 0 D A 2 7 F 3 2 C A E 8 D 6 8 2 1 F D 5 0 D E 5 7 1 C 4 0 A 8 3 4 2 A C A F 8 5 8 5 4 1 5 D D B D D 3 C F 6 3 2 F 7 3 2 5 D 6 C 2 6 1 B C C 5 1 6 6 2 7 D 7 7 2 3 8 1 A 4 B 9 4 E 8 A 1 0 C 5 B C A 4 3 7 9 7 2 8 3 E C D 2 4 D F 2 4 4 2 1 E 4 1 1 D 2 D 2 E 9 E B 2 6 F 3 2 1 2 D 9 6 E 3 4 1 E 4 C B A 7 4 8 3 E F 4 6 D F 8 A 1 B E 0 9 C 5 6 B 1 4 D B 3 7 8 5 0 3 3 C 8 F D E C 4 1 F 7 E A 9 4 9 7 3 5 0 E D A E * 本 文 翻 译 自 h t t p : / / w w w . w e l i v e s e c u r i t y . c o m / 2 0 1 6 / 0 7 / 0 1 / e s p i o n a g e - t o o l k i t - t a r g e t i n g - c e n t r a l - e a s t e r n - e u r o p e - u n c o v e r e d / ， 译 者 ： f e l i x ， 转 载 须 注 明 来 自 F r e e B u f （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理