搜索

[10564] 2016-10-03_RottenTomatoAPT组织仍在行动

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2016-10-03_RottenTomatoAPT组织仍在行动 R o t t e n   T o m a t o   A P T 组 织 仍 在 行 动 亚 信 安 全   F r e e B u f   2 0 1 6 - 1 0 - 0 3 尽 管 C V E - 2 0 1 5 - 1 6 4 1 和 C V E - 2 0 1 5 - 2 5 4 5 已 经 成 为 O f f i c e 系 列 最 受 黑 客 青 睐 的 漏 洞 ， 但 是 一 个 看 似 老 旧 的 C V E - 2 0 1 2 - 0 1 5 8 仍 然 在 被 黑 客 利 用 。   据 国 外 安 全 公 司 S o p h o s 统 计 ， 最 近 的 A P T 行 动 中 所 用 到 的 O f f i c e 漏 洞 ， C V E - 2 0 1 5 - 1 6 4 1 占 6 6 % ， C V E - 2 0 1 5 - 2 5 4 5 占 1 7 % ， C V E - 2 0 1 2 - 0 1 5 8 占 1 2 % 。 据 亚 信 安 全 病 毒 监 测 中 心 监 控 数 数 据 ， 8 月 份 以 来 C V E - 2 0 1 2 - 0 1 5 8 漏 洞 利 用 有 抬 头 之 势 ， 漏 洞 利 用 携 带 的 攻 击 载 荷 主 要 为 监 控 类 或 账 号 窃 取 类 木 马 ， 攻 击 目 标 针 对 企 业 ， 以 制 造 业 、 金 融 业 和 医 疗 行 业 居 多 。 S o p h o s 曾 经 报 道 过 曾 经 报 道 过 R o t t e n   T o m a t o 攻 击 行 动 ， 组 合 攻 击 攻 击 行 动 ， 组 合 攻 击 C V E - 2 0 1 2 - 0 1 5 8 和 和 C V E - 2 0 1 4 - 1 7 6 1 漏 洞 ， 携 带 漏 洞 ， 携 带 Z b o t 攻 击 载 荷 。 最 近 ， 我 攻 击 载 荷 。 最 近 ， 我 们 发 现 这 一 组 织 仍 然 在 活 跃 ， 并 利 用 被 攻 陷 的 网 站 作 为 木 马 更 新 的 地 址 。 们 发 现 这 一 组 织 仍 然 在 活 跃 ， 并 利 用 被 攻 陷 的 网 站 作 为 木 马 更 新 的 地 址 。 事 件 时 间 线 事 件 时 间 线 到 达 系 统 的 方 式 到 达 系 统 的 方 式 攻 击 者 通 常 使 用 邮 件 的 方 式 ， 携 带 含 有 漏 洞 攻 击 的 附 件 ， 我 们 监 控 到 的 发 件 者 I P 定 位 均 在 美 国 。 这 种 方 式 以 电 子 邮 件 为 诱 饵 ， 正 文 内 容 通 常 是 清 单 、 通 知 、 快 递 信 息 等 等 ， 诱 使 接 收 者 点 击 。 一 旦 点 击 之 后 ， 精 心 构 造 好 的 恶 意 文 档 会 利 用 O f f i c e 套 件 的 漏 洞 执 行 指 定 命 令 ， 向 系 统 内 植 入 木 马 等 恶 意 程 序 。
以 下 是 截 获 到 的 R T F 格 式 文 档 的 信 息 基 本 信 息 基 本 信 息
S h e l l c o d e C V E - 2 0 1 2 - 0 1 5 8 漏 洞 利 用 分 析 漏 洞 利 用 分 析 C V E - 2 0 1 2 - 0 1 5 8 是 一 个 位 于 微 软 O f f i c e 系 列 软 件 中 的 B u f f e r   O v e r f l o w 的 漏 洞 ， 漏 洞 所 在 的 模 块 是 M S C O M C T L   A c t i v e X   d l l 。 L i s t V i e w ,   T r e e V i e w 等   A c t i v e X 控 件 都 要 用 到 这 一 组 件 ， 也 就 是 说 所 有 调 用 这 一 d l l 的 软 件 都 受 到 该 漏 洞 的 影 响 。 通 常 该 漏 洞 的 利 用 以 恶 意 的 . r t f 文 档 形 式 出 现 。 有 漏 洞 的 函 数 如 下 由 于 软 件 作 者 错 误 判 断 了 拷 贝 字 节 的 大 小 ， 导 致 可 以 向 目 标 数 组 拷 贝 超 长 字 节 ， 最 终 形 成 溢 出 ， 溢 出 的 字 节 复 制 循 环 如 下 ，
复 制 完 成 ， 函 数 返 回 时 栈 底 的 返 回 地 址 已 经 被 覆 盖 为 j m p   e s p ， 函 数 返 回 时 将 直 接 转 到 S h e l l c o d e 执 行 。 这 个 样 本 的 S h e l l c o d e 如 下 ， 大 致 流 程 是 获 取 T E B - > P E B - > k e r n e l 3 2 . d l l 的 基 地 址 - > I A T 获 取 G e t P r o c A d d r e s s 和 L o a d L i b r a r y 函 数 地 址 调 用 U R L D o w n l o a d T o F i l e 从 指 定 U R L 下 载 文 件
< 点 击 文 末 的 阅 读 原 文 查 看 下 载 链 接 > , 下 载 完 成 后 调 用 W i n E x e c 运 行 。 攻 击 载 荷 分 析 攻 击 载 荷 分 析 w w w . p g a t h a i l a n d . c o m 这 个 域 名 解 析 到 的 I P 是 1 2 8 . 1 9 9 . 1 2 7 . 7 ， 该 网 站 属 于 泰 国 高 尔 夫 球 协 会 。 据 历 史 监 控 ， 该 网 站 目 录 下 曾 监 测 到 大 量 恶 意 软 件 样 本 ， 疑 似 被 黑 。 目 前 恶 意 软 件 已 清 除 。
黑 客 用 已 经 入 侵 好 的 服 务 器 作 为 木 马 更 新 源 ， 增 加 了 对 攻 击 源 头 的 追 溯 难 度 。 这 个 木 马 的 基 本 信 息 如 下 。 M D 5 5 e 9 2 5 3 e 7 8 5 2 7 e 6 d b 7 d 2 f 1 a 1 c 0 e 4 f 7 2 8 4 文 件 类 型 a p p l i c a t i o n / x - r a r
文 件 大 小 2 0 0 9 3 3 编 译 时 间 2 0 1 4 - 0 5 - 0 6   1 2 : 0 7 : 1 2 该 文 件 是 一 个 自 解 压 型 程 序 ， 运 行 之 后 释 放 出 文 件 % T E M P % R a r S F X 0 H n m s i y . e x e 并 执 行 。 这 是 一 个 T R O J _ F a r e i t 木 马 的 变 种 。 能 够 窃 取 用 户 账 号 密 码 ， 并 下 载 和 执 行 Z b o t 家 族 木 马 。 获 取 以 下 文 件 ， 威 胁 登 录 账 号 安 全 。 % A P P D A T A % M o z i l l a F i r e f o x P r o f i l e s 4 t h z a c 8 r . d e f a u l t k e y 3 . d b % A P P D A T A % M o z i l l a F i r e f o x P r o f i l e s 4 t h z a c 8 r . d e f a u l t c e r t 8 . d b % A P P D A T A % M o z i l l a F i r e f o x P r o f i l e s 4 t h z a c 8 r . d e f a u l t s e c m o d . d b % A P P D A T A % M o z i l l a F i r e f o x p r o f i l e s . i n i % A P P D A T A % M o z i l l a F i r e f o x P r o f i l e s 4 t h z a c 8 r . d e f a u l t s i g n o n s . s q l i t e % A P P D A T A % M o z i l l a F i r e f o x P r o f i l e s 4 t h z a c 8 r . d e f a u l t s i g n o n s 2 . t x t 这 些 文 件 能 添 加 系 统 自 启 动 项 ， 并 注 入 自 身 傀 儡 进 程 逃 避 检 测 。 该 木 马 会 连 接 到 C & C 服 务 器 ， 地 址 为 h t t p : / / 2 0 9 . 1 3 3 . 2 2 1 . 6 2 / % 7 E f i f a r e g i / i f e o m a / g a t e . p h p ， 这 是 一 个 典 型 的 木 马 C & C 服 务 器 U R L   p a t t e r n 。
我 们 用 交 叉 关 联 的 方 法 发 现 这 个 2 0 9 . 1 3 3 . 2 2 1 . 6 2 的 I P 还 与 其 他 恶 意 软 件 传 播 活 动 有 关 ， 其 在 9 月 1 8 日 对 外 发 送 过 钓 鱼 邮 件 。 整 个 行 动 的 流 程 示 意 图 整 个 行 动 的 流 程 示 意 图
目 标 地 理 分 布 目 标 地 理 分 布 目 标 行 业 分 布 目 标 行 业 分 布
受 感 染 操 作 系 统 受 感 染 操 作 系 统 总 结 总 结 虽 然 该 案 例 看 似 旧 瓶 装 新 酒 ， 但 对 一 些 中 小 企 业 还 是 有 比 较 大 的 杀 伤 力 。 由 于 软 件 版 本 过 旧 以 及 补 丁 不 及 时 ， 往 往 给 漏 洞 利 用 留 下 通 道 。 加 上 企 业 内 部 人 员 安 全 意 识 参 差 不 齐 ， 防 病 毒 和 入 侵 检 测 系 统 部 署 不 到 位 ， 容 易 一 封 鱼 叉 式 钓 鱼 邮 件 即 可 直 达 内 网 ， 严 重 威 胁 企 业 信 息 安 全 ， 造 成 重 要 信 息 外 流 。 未 来 的 企 业 信 息 安 全 要 着 眼 于 构 建 多 层 防 护 体 制 ， 同 时 也 要 加 强 员 工 信 息 安 全 培 训 ， 养 成 良 好 的 安 全 意 识 ， 不 随 意 打 开 陌 生 来 源 的 邮 件 附 件 ， 定 期 更 新 系 统 和 应 用 软 件 补 丁 ， 定 期 升 级 安 全 软 件 特 征 库 。 本 文 涉 及 到 的 样 本 哈 希 值 和 相 关 域 名 / I P 信 息 如 下 。 文 件 M D 5 ： 9 7 b d 5 1 b 6 6 5 0 2 2 f 4 8 e e 5 4 4 2 e c 3 3 0 e d a a 9
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理