搜索

[13889] 2019-03-20_一次命中可疑威胁情报的分析探索

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-03-20_一次命中可疑威胁情报的分析探索 一 次 命 中 可 疑 威 胁 情 报 的 分 析 探 索 s i 1 e n c e   F r e e B u f   2 0 1 9 - 0 3 - 2 0 0 x 0   背 景 背 景 由 于 最 近 一 段 时 间 里 由 于 最 近 一 段 时 间 里 ” 驱 动 人 生 驱 动 人 生 ” 这 个 病 毒 还 挺 热 门 ， 最 近 发 现 通 过 一 些 安 全 厂 商 的 设 备 发 现 内 网 里 面 有 大 量 的 这 个 病 毒 还 挺 热 门 ， 最 近 发 现 通 过 一 些 安 全 厂 商 的 设 备 发 现 内 网 里 面 有 大 量 的 主 机 都 中 了 这 个 病 毒 瞬 间 吓 哭 了 。 后 续 通 过 对 主 机 进 行 检 查 ， 居 然 没 有 发 现 什 么 问 题 ， 后 续 发 现 是 安 全 设 备 命 主 机 都 中 了 这 个 病 毒 瞬 间 吓 哭 了 。 后 续 通 过 对 主 机 进 行 检 查 ， 居 然 没 有 发 现 什 么 问 题 ， 后 续 发 现 是 安 全 设 备 命 中 了 一 个 威 胁 情 报 的 中 了 一 个 威 胁 情 报 的 I P ， 通 过 对 ， 通 过 对 I P 的 分 析 发 现 这 还 有 这 种 操 作 。 的 分 析 发 现 这 还 有 这 种 操 作 。 0 x 1   过 程 过 程 然 后 我 登 录 上 了 安 全 设 备 去 查 看 I P 地 址 ， 安 全 设 备 提 示 为 ： 1 2 0 . 5 2 . 5 1 . 1 3 ， 作 为 安 全 小 白 通 过 各 种 收 集 定 位 到 了 f r e e b u f 的 一 篇 文 章 结 尾 公 布 出 来 的 I O C 里 面 ， 同 样 的 也 有 大 佬 在 质 疑 这 个 I P 是 否 真 的 有 问 题 了 。 然 后 这 边 直 接 访 问 这 个 I P 返 回 如 下 界 面 ， 看 起 来 是 缺 了 某 一 个 参 数 感 觉 也 没 有 什 么 大 问 题 ， 看 起 来 也 没 有 什 么 应 用 ， 就 先 借 助 于 威 胁 情 报 查 询 一 下 了 。
通 过 对 该 I P 的 查 询 ， 提 示 为 联 通 的 I D C 机 房 使 用 位 于 河 北 廊 坊 ， 威 胁 情 报 提 示 为 僵 尸 主 机 。 通 过 对 微 步 在 线 的 威 胁 情 报 进 行 查 询 提 示 未 知 。 再 一 次 通 过 V T 进 行 一 下 分 析 ， 这 里 面 的 内 容 就 要 丰 富 一 些 了 ， 可 以 看 到 关 联 到 了 很 多 奇 奇 怪 怪 的 U R L 和 一 些 病 毒 样
本 ， 大 多 数 时 间 点 还 是 2 0 1 9 年 2 月 到 3 月 之 间 的 信 息 。 在 这 些 奇 奇 怪 怪 的 U R L 当 中 可 以 还 发 现 很 多 知 名 大 公 司 的 域 名 看 着 想 是 i q i y i 的 c d n , 还 是 a d o b e 的 m s p 文 件 ， 看 起 来 应 该 是 的 的 确 确 的 白 域 名 才 对 。 在 白 域 名 的 同 时 也 发 现 了 一 些 黑 的 域 名 比 如 a 4 6 . b l u e h e r o . i n / d o w n l o a d . e x e 。 该 样 本 为 蠕 虫 病 毒 b u l e h e r o 详 细 分 析 结 果 可 以 参 考 ： h t t p s : / / s . t e n c e n t . c o m / r e s e a r c h / r e p o r t / 5 1 4 . h t m l 。
0 x 3   测 试 测 试 仔 细 看 了 这 些 u r l 发 现 有 个 特 点 跟 在 这 个 域 名 后 的 根 目 录 的 ， 都 是 网 页 路 径 于 是 大 胆 的 猜 想 这 个 应 该 是 实 现 了 一 个 基 础 的 跳 转 功 能 ， 原 理 应 该 类 似 U R L 的 R e d i r e c t 这 种 操 作 。 大 概 的 原 理 可 能 是 这 样 至 于 为 什 么 要 这 样 玩 ， 猜 测 原 因 可 能 如 下 ： 1 .   绕 过 一 些 威 胁 情 报 的 检 测 2 .   C D N 的 一 些 多 节 点 加 速 下 载 访 问 之 类 的 优 化 3 .   流 量 代 理 或 者 劫 持 之 类 的 鉴 于 很 多 知 名 厂 商 都 有 这 种 行 为 ， 猜 测 C D N 优 化 或 者 流 量 代 理 的 可 能 性 大 一 些 。 但 是 这 些 对 于 很 多 安 全 来 说 的 也 的 确 存 在 一 些 绕 过 的 可 能 。 毕 竟 这 个 I P 服 务 器 自 己 是 没 有 什 么 问 题 的 。 大 致 原 理 如 下 ：
后 续 找 了 一 台 主 机 自 己 测 试 一 下 访 问 ， 结 果 的 确 是 直 接 返 回 类 似 与 R e d i r e c t ， 直 接 在 浏 览 器 当 中 返 回 了 后 续 的 网 址 的 路 径 。 输 入 w w w . b a i d u . c o m 当 前 界 面 就 直 接 跳 转 到 百 度 。 本 地 抓 包 也 看 了 一 下 发 现 本 主 机 也 是 仅 只 与 1 2 0 . 5 2 . 5 1 . 1 9 建 立 了 H T T P 连 接 。
通 过 对 同 网 段 的 I P 进 行 测 试 发 现 都 是 存 在 同 样 的 情 况 ： 0 x 4   抓 包 检 查 抓 包 检 查 由 于 没 有 拿 到 此 w e b 的 具 体 实 现 的 一 些 源 码 很 多 猜 想 也 无 法 得 到 证 实 ， 于 是 在 网 关 处 进 行 抓 包 想 看 一 下 具 体 请 求 的 U R L 定 位 到 如 下 2 个 ： 通 过 对 内 存 进 行 检 查 最 后 定 位 到 趋 势 科 技 的 产 品 的 进 程 ， 看 起 来 应 该 是 升 级 包 一 类 的 操 作 吧 。 1 2 0 . 5 2 . 5 1 . 1 3 - - - - -   1 2 0 . 5 2 . 5 1 . 2 0 1 2 0 . 5 2 . 5 1 . 1 3 : 8 0 / o s c e 1 1 - i l s p n 3 0 - p . a c t i v e u p d a t e . t r e n d m i c r o . c o m : 8 0 / a c t i v e u p d a t e / p a t t e r n / i t b l d i f f _ 1 9 1 4 2 0 1 8 0 0 _ 1 9 1 4 2 0 1 9 0 0 . z i p 1 2 0 . 5 2 . 5 1 . 1 3 : 8 0 / o s c e 1 1 - i l s p n 3 0 - p . a c t i v e u p d a t e . t r e n d m i c r o . c o m : 8 0 / a c t i v e u p d a t e / p a t t e r n / c r c z d i f f _ 1 9 1 4 0 0 2 0 0 0 _ 1 9 1 4 2 0 0 4 0 0 . z i p
0 x 5   总 结 总 结 通 过 一 些 查 询 发 现 还 是 不 少 这 样 的 I P 服 务 器 因 为 安 全 经 验 不 足 一 时 间 也 搞 不 清 楚 背 后 的 套 路 ， 始 终 觉 得 有 点 诡 异 或 者 是 什 么 新 姿 势 ， 但 是 对 主 机 进 行 检 查 又 没 有 发 现 其 他 异 常 初 步 认 为 此 次 行 为 这 就 是 个 误 报 就 算 结 案 了 还 好 是 虚 惊 一 场 ， 不 然 又 得 加 班 几 点 搞 了 最 近 已 经 快 吃 不 消 了 ， 祝 愿 各 位 I T 大 佬 们 少 加 班 吧 。 * 本 文 作 者 ： 本 文 作 者 ： s i 1 e n c e ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理