搜索

[14507] 2019-08-24_委内瑞拉军方遭受Machete组织攻击

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2019-08-24_委内瑞拉军方遭受Machete组织攻击 委 内 瑞 拉 军 方 遭 受 M a c h e t e 组 织 攻 击 K r i s t o n   F r e e B u f   2 0 1 9 - 0 8 - 2 4 概 述 概 述 M a c h e t e 是 一 个 由 西 班 牙 语 组 织 开 发 的 网 络 间 谍 工 具 集 ， 自 是 一 个 由 西 班 牙 语 组 织 开 发 的 网 络 间 谍 工 具 集 ， 自 2 0 1 0 年 以 来 一 直 处 于 活 动 之 中 。 该 组 织 持 续 为 其 恶 年 以 来 一 直 处 于 活 动 之 中 。 该 组 织 持 续 为 其 恶 意 软 件 开 发 新 功 能 。 他 们 长 期 攻 击 的 重 点 在 拉 丁 美 洲 国 家 ， 多 年 来 一 直 收 集 目 标 国 家 情 报 并 改 进 他 们 的 攻 击 策 意 软 件 开 发 新 功 能 。 他 们 长 期 攻 击 的 重 点 在 拉 丁 美 洲 国 家 ， 多 年 来 一 直 收 集 目 标 国 家 情 报 并 改 进 他 们 的 攻 击 策 略 。 近 期 研 究 人 员 发 现 了 一 项 持 续 的 ， 针 对 性 很 强 的 攻 击 活 动 ， 其 中 大 多 数 目 标 都 是 军 事 组 织 。 略 。 近 期 研 究 人 员 发 现 了 一 项 持 续 的 ， 针 对 性 很 强 的 攻 击 活 动 ， 其 中 大 多 数 目 标 都 是 军 事 组 织 。 在 2 0 1 9 年 ， 已 超 过 5 0 台 计 算 机 被 M a c h e t e 攻 击 。 其 中 约 7 5 ％ 属 于 拉 美 各 国 的 军 事 力 量 ， 其 中 一 半 以 上 属 于 委 内 瑞 拉 军 队 。 M a c h e t e 组 织 使 用 鱼 叉 式 钓 鱼 技 术 。 他 们 很 了 解 自 己 的 目 标 ， 如 何 与 目 标 进 行 沟 通 ， 以 及 哪 些 文 件 最 有 价 值 。 M a c h e t e 不 仅 可 以 处 理 常 见 的 办 公 文 档 ， 还 可 以 处 理 地 理 信 息 系 统 （ G I S ） 使 用 的 专 用 文 件 。 该 组 织 对 导 航 路 线 的 文 件 也 很 感 兴 趣 。 M a c h e t e 组 织 处 于 不 断 的 发 展 之 中 。 主 要 的 后 门 是 基 于 P y t h o n 编 写 的 ， 发 展 过 程 中 增 加 了 几 个 新 功 能 ， 例 如 更 具 兼 容 性 的 C ＆ C 通 信 机 制 ， 利 用 M o z i l l a 位 置 服 务 来 对 受 感 染 的 计 算 机 进 行 地 理 定 位 ， 以 及 盗 取 可 移 动 存 储 设 备 上 的 文 件 。 该 组 织 非 常 活 跃 。 在 一 些 案 例 中 攻 击 者 盗 取 文 件 ， 并 在 同 一 天 将 该 文 件 与 恶 意 软 件 捆 绑 使 用 。 简 介 简 介 2 0 1 9 年 上 半 年 委 内 瑞 拉 成 为 人 们 关 注 的 焦 点 。 从 反 对 总 统 的 起 义 到 军 队 的 密 谋 ， 委 内 瑞 拉 的 局 势 一 直 受 到 国 际 关 注 。 同 时 针 对 委 内 瑞 拉 军 方 的 网 络 间 谍 案 也 受 到 了 关 注 。 首 先 由 卡 巴 斯 基 在 2 0 1 4 年 发 布 报 告 及 后 来 由 C y l a n c e 在 2 0 1 7 年 发 布 报 告 ， M a c h e t e 攻 击 行 为 被 发 现 ， 该 组 织 主 要 针 对 拉 丁 美 洲 国 家 知 名 人 士 和 组 织 。 2 0 1 8 年 M a c h e t e 重 新 出 现 并 添 加 了 新 代 码 和 新 功 能 。 截 至 2 0 1 9 年 6 月 ， 已 发 现 超 过 5 0 名 受 害 者 被 其 监 视 ， 其 中 一 半 以 上 是 属 于 委 内 瑞 拉 军 队 的 计 算 机 。 以 G B 为 单 位 的 机 密 文 件 和 私 人 信 息 已 被 泄 露 到 攻 击 者 控 制 的 服 务 器 上 。 M a c h e t e 主 要 以 拉 丁 美 洲 为 目 标 ， 由 一 个 西 班 牙 语 小 组 开 发 ， 利 用 鱼 叉 式 钓 鱼 进 行 攻 击 活 动 。 传 播 方 式 传 播 方 式 M a c h e t e 依 靠 鱼 叉 式 钓 鱼 来 渗 透 目 标 。 这 些 电 子 邮 件 包 含 下 载 的 链 接 （ 或 附 件 ） ， 附 件 中 为 带 有 恶 意 软 件 的 压 缩 文 件 和 用 作 诱 饵 的 文 档 。 图 1 是 M a c h e t e 向 潜 在 受 害 者 发 送 的 P D F 文 件 。 图 1 是 一 份 军 事 文 件 ， 生 成 日 期 为 2 0 1 9 年 5 月 2 1 日 ， 在 同 一 天 该 文 件 被 用 作 钓 鱼 附 件 发 送 给 目 标 。
主 要 目 标 主 要 目 标 M a c h e t e 是 一 个 非 常 有 针 对 性 的 组 织 ， 多 年 来 一 直 处 于 活 跃 状 态 。 该 组 织 用 真 实 文 档 作 诱 饵 ， 因 此 受 害 者 从 未 意 识 到 他 们 受 到 了 攻 击 。 自 从 3 月 底 到 2 0 1 9 年 5 月 底 ， 有 超 过 5 0 台 受 害 计 算 机 正 在 与 C ＆ C 服 务 器 进 行 通 信 ， 每 周 上 传 的 千 兆 字 节 数 据 。 通 过 分 析 确 定 超 过 一 半 的 受 感 染 计 算 机 属 于 委 内 瑞 拉 军 队 ， 包 括 委 内 瑞 拉 的 几 个 旅 和 部 门 。 其 他 受 到 攻 击 的 计 算 机 与 教 育 ， 警 察 和 外 交 事 务 部 门 有 关 。 厄 瓜 多 尔 军 队 是 另 一 个 被 M a c h e t e 攻 击 的 军 方 组 织 。 被 攻 击 国 家 如 图 所 示 。 技 术 分 析 技 术 分 析
在 2 0 1 4 年 至 2 0 1 7 年 之 间 ， 恶 意 软 件 以 N S I S 打 包 文 件 形 式 传 播 。 提 取 文 件 后 会 执 行 M a c h e t e 的 p y 2 e x e 组 件 ，   p y 2 e x e   是 将 P y t h o n 转 换 为 W i n d o w s 可 执 行 文 件 的 工 具 ， 这 些 可 执 行 文 件 运 行 不 需 要 P y t h o n 环 境 。 新 版 本 M a c h e t e 首 次 出 现 在 2 0 1 8 年 4 月 ， 第 一 阶 段 使 用 了 下 载 器 ， 将 M a c h e t e 的 后 门 组 件 安 装 在 被 攻 击 的 系 统 上 。 从 上 图 可 知 ， 下 载 器 是 一 个 自 解 压 文 件 （ 由 7 z   S F X   B u i l d e r 制 作 ） 。 打 开 一 个 P D F 或 M i c r o s o f t   O f f i c e 文 件 用 作 诱 饵 ， 然 后 下 载 可 执 行 文 件 ， 包 含 实 际 的 下 载 程 序 二 进 制 文 件 （ p y 2 e x e 组 件 ） 和 一 个 配 置 文 件 ， 下 载 程 序 的 目 标 U R L 作 为 加 密 字 符 串 。 所 有 下 载 网 址 都 是 D r o p b o x 或 G o o g l e 文 档 。 这 些 U R L 上 的 文 件 都 是 自 解 压 （ R A R   S F X ） 存 档 ， 包 含 加 密 配 置 和 恶 意 p y 2 e x e 组 件 。 下 载 器 下 载 器 下 图 显 示 了 7 z 自 解 压 下 载 器 的 配 置 文 件 示 例 。 r a r 里 包 含 的 . e x e 文 件 ， 其 结 构 与 最 终 的 M a c h e t e 有 效 p a y l o a d 非 常 相 似 。 包 含 一 个 p y 2 e x e 可 执 行 文 件 和 一 个 配 置 文 件 ， 配 置 文 件 中 包 含 用 于 下 载 M a c h e t e 的 U R L 。 配 置 文 件 名 为 m s w e ， 是 A E S 加 密 字 符 串 的 b a s e 6 4 编 码 文 本 。 下 载 程 序 的 执 行 流 程 可 归 纳 如 下 ： 下 载 程 序 的 工 作 目 录 为 ： ％ A P P D A T A ％   G o o D o w n 创 建 计 划 任 务 （ C h r o m e D o w ） 以 每 三 到 六 分 钟 执 行 一 次 下 载 从 m s w e 配 置 文 件 中 读 取 和 解 密 （ A E S ） 下 载 U R L 下 载 M a c h e t e 下 载 的 数 据 被 解 密 （ A E S ） 并 重 命 名 为 S e c u r i t y . e x e 执 行 M a c h e t e 删 除 下 载 程 序 任 务 混 淆 设 置 混 淆 设 置
自 2 0 1 8 年 8 月 以 来 ， 所 有 主 要 M a c h e t e 后 门 组 件 已 被 混 淆 ， 使 用 p y m i n i f i e r 的 - g z i p 参 数 生 成 的 混 淆 。 部 分 混 淆 代 码 如 图 所 示 。 在 解 混 淆 之 后 ， 仍 然 存 在 混 淆 的 代 码 ， 包 括 变 量 的 随 机 名 称 和 大 量 垃 圾 代 码 。 利 用 p y o b f u s c a t e 再 一 次 解 除 混 淆 ， 混 淆 代 码 的 示 例 如 图 所 示 。 后 门 组 件 后 门 组 件 M a c h e t e 的 后 门 内 含 三 个 p y 2 e x e 组 件 ： G o o g l e C r a s h . e x e ， C h r o m e . e x e 和 G o o g l e U p d a t e . e x e 。 首 先 执 行 G o o g l e C r a s h . e x e 再 启 动 另 外 两 个 。 G o o g l e C r a s h . e x e 是 恶 意 软 件 的 主 要 组 成 部 分 ， 负 责 执 行 其 他 两 个 组 件 并 创 建 W i n d o w s 任 务 计 划 任 务 以 实 现 持 久 控 制 。 创 建 如 下 任 务 ： S p y   c o m p o n e n t   3 分 钟 运 行 一 次 S C H T A S K S   / c r e a t e   / S T   0 0 : 0 0 : 0 1   / S C   M I N U T E   / M O   0 3   / T R   “ C : U s e r s % U S E R N A M E % A p p D a t a R o a m i n g C h r o m e G o o g l e C h r o m e . e x e ”   / T N   C h r o m e C o m m u n i c a t i o n   1 0 分 钟 运 行 一 次 S C H T A S K S   / c r e a t e   / S T   0 0 : 0 0 : 0 1   / S C   M I N U T E   / M O   1 0   / T R   “ C : U s e r s % U S E R N A M E %   A p p D a t a R o a m i n g C h r o m e G o o g l e G o o g l e U p d a t e . e x e ”   / T N   G o o g l e C r a s h
P e r s i s t e n c e   c o m p o n e n t   3 0 分 钟 运 行 一 次 S C H T A S K S   / c r e a t e   / S T   0 0 : 0 0 : 0 1   / S C   M I N U T E   / M O   3 0   / T R   “ C : U s e r s % U S E R N A M E %   A p p D a t a R o a m i n g G c h r o m e G o o g l e C r a s h . e x e ”   / T N   G o o g l e u p d a t e 3 2 创 建 完 定 时 任 务 后 可 执 行 文 件 会 被 复 制 到 如 下 路 径 ： % A P P D A T A % C h r o m e G o o g l e % A P P D A T A % G c h r o m e C h r o m e . e x e 该 组 件 负 责 收 集 受 害 者 的 数 据 。 下 图 包 含 代 码 基 于 计 时 器 执 行 的 操 作 。 被 盗 数 据 根 据 数 据 类 型 （ 屏 幕 截 图 ， 击 键 日 志 ， 新 存 储 设 备 ， 浏 览 器 存 储 信 息 ， 地 理 位 置 信 息 ， w i f i 信 息 等 ） 存 储 在 不 同 的 子 文 件 夹 中 。 然 后 ， 通 信 组 件 将 数 据 发 送 到 远 程 服 务 器 。 G o o g l e U p d a t e . e x e 该 组 件 负 责 与 远 程 服 务 器 通 信 。 从 j e r . d l l 文 件 中 读 取 远 程 连 接 配 置 ： 域 名 ， 用 户 名 和 密 码 。 M a c h e t e 主 要 通 过 F T P 进 行 通 信 ， H T T P 通 信 是 在 2 0 1 9 年 实 现 的 。 该 组 件 的 主 要 功 能 是 将 文 件 夹 中 的 加 密 文 件 上 载 到 C ＆ C 服 务 器 上 的 不 同 子 目 录 。 下 图 显 示 了 如 何 处 理 文 件 夹 并 上 传 文 档 。 该 组 件 还 有 列 目 录 、 更 新 组 件 、 文 件 分 类 等 功 能 。 2 0 1 9 新 组 件 新 组 件 在 2 0 1 9 年 6 月 ， M a c h e t e 结 构 发 生 了 几 处 变 化 ， 但 功 能 保 持 不 变 。 此 版 本 的 恶 意 软 件 分 为 六 个 组 件 ， 不 再 是 p y 2 e x e 可 执 行 文 件 。 恶 意 组 件 的 P y t h o n 脚 本 ， 原 始 可 执 行 文 件 以 及 所 有 使 用 的 库 都 打 包 到 一 个 名 为 p y t h o n 2 7 . e x e 的 自 解 压 文 件 中 。 下 图 显 示 了 p a y l o a d 的 自 提 取 。
h a s h l b i . p y w 此 组 件 设 置 恶 意 软 件 文 件 夹 并 以 计 划 任 务 运 行 其 他 组 件 。 文 件 夹 和 文 件 在 C ：   P y t h o n 2 . 7 下 创 建 ， 其 名 称 与 普 通 P y t h o n 中 的 名 称 相 同 。 下 图 为 该 组 件 创 建 的 计 划 任 务 及 其 设 置 循 环 时 间 ： 此 组 件 还 将 O f f i c e 文 件 ， . p d f ， . j p g   /   . j p e g 和 . r a r   /   . z i p 文 件 从 每 个 驱 动 器 复 制 到 ％ L O C A L A P P D A T A ％   M i c r o s o f t   D r o p b o x     C r a s h p a d ， 并 在 C ：   P y t h o n 2 . 7     D L L s     h h d 中 创 建 名 称 基 于 S H A - 2 5 6 哈 希 值 的 目 录 文 件 。 部 分 代 码 如 图 所 示 _ c l y p e s . p y w 该 组 件 检 查 正 在 运 行 的 进 程 （ 每 三 或 四 个 小 时 ） ， 从 中 查 找 W e b 浏 览 器 。 它 会 生 成 一 个 . z i p 文 件 ， 其 中 包 含 每 个 浏 览 器 的 文 件 数 据 ： C h r o m e ， F i r e f o x ， O p e r a 和 I n t e r n e t   E x p l o r e r ， 每 个 浏 览 器 的 文 件 名 都 不 同 。 这 些 文 件 保 存 在 ％ L O C A L A P P D A T A ％   M i c r o s o f t     D r o p b o x     a v a t a r _ c a c h e   中 。
_ b s d b d . p y w 此 组 件 执 行 任 务 时 使 用 的 库 不 同 于 我 们 之 前 描 述 的 库 。 它 使 用 c t y p e s 库 访 问 剪 贴 板 ， 并 将 内 容 保 存 到 a v a t a r c a c h e 文 件 夹 中 的 w w a n c g f . h t m l 。 屏 幕 截 图 也 保 存 在 该 文 件 夹 下 。 _ e l e m e n t r e e . p y w 此 组 件 会 收 集 地 理 定 位 等 信 息 。 _ m s s i . p y w 键 盘 记 录 控 件 ， 所 有 的 文 件 都 会 保 存 到 a v a t a r _ c a c h e 文 件 夹 中 的   v p r . h t m l 。 _ m u l t i p r o c c e s s i n g . p y w 该 控 件 负 责 进 行 通 信 ， 从 d a t e . d l l 配 置 文 件 中 读 取 两 个 C ＆ C 服 务 器 ： 一 个 是 主 服 务 器 另 一 个 是 备 用 服 务 器 。 每 台 受 害 计 算 机 都 在 服 务 器 上 有 一 个 文 件 夹 ， 格 式 为 ： f o l d e r _ c a m p a i g n   /   M A C a d d r - H O S T N A M E 。 并 不 是 每 个 文 档 都 发 送 到 服 务 器 ， 只 有 2 0 个 最 新 文 档 从 C r a s h R e p o r t s 复 制 到 e v e n t s 文 件 夹 准 备 传 输 。
文 件 加 密 使 用 A E S ， b a s e 6 4 编 码 ， R O T 1 3 应 用 于 文 件 名 。 在 实 际 发 送 之 前 ， 文 件 会 从 e v e n t s 文 件 夹 复 制 到 i n s t a n c e _ d b 文 件 夹 。 通 过 H T T P 协 议 P O S T 请 求 发 送 文 件 ， 文 件 夹 名 称 会 被 更 改 ， 如 图 所 示 。
域 名 域 名 最 初 ， 我 们 在 M a c h e t e 的 配 置 文 件 中 看 到 了 三 个 域 名 。 在 2 0 1 9 年 它 们 都 指 向 相 同 的 I P 地 址 ， 但 D N S 查 询 显 示 在 2 0 1 8 年 期 间 还 有 两 个 其 他 I P 地 址 处 于 活 动 状 态 。 下 图 显 示 了 有 关 这 些 域 名 的 信 息 。 在 2 0 1 9 年 6 月 ， M a c h e t e 停 止 使 用 F T P 通 信 ， 并 开 始 为 主 要 通 过 h t t p 与 C ＆ C 服 务 器 通 信 。 域 名   t o b a b e a n [ . ] e x p e r t 指 向 I P 地 址 1 4 2 . 4 4 . 2 3 6 . 2 1 5 。 另 一 个 服 务 器 是 u 9 2 9 4 8 9 3 5 5 . h o s t i n g e r a p p [ . ] c o m ， I P 地 址 是 1 5 6 . 6 7 . 2 2 2   . 8 8 。 总 结 过 去 针 对 拉 丁 美 洲 的 A P T 攻 击 通 常 被 忽 视 ， 但 是 这 几 年 中 有 一 些 攻 击 收 到 了 广 泛 关 注 ， 例 如 针 对 墨 西 哥 银 行 和 智 利 银 行 攻 击 活 动 。 即 使 在 研 究 人 员 发 布 了 针 对 此 恶 意 软 件 解 决 方 案 后 ， M a c h e t e 组 织 仍 设 法 继 续 进 行 攻 击 渗 透 。 M a c h e t e 通 过 对 代 码 和 基 础 架 构 进 行 更 改 提 升 ， 已 可 以 绕 过 多 款 安 全 产 品 。 与 此 同 时 ， 目 标 组 织 也 在 提 高 安 全 防 范 意 识 和 应 用 安 全 策 略 ， 因 此 目 标 组 织 不 会 第 一 时 间 被 攻 击 成 功 。
关 于 M a c h e t e 组 织 研 究 白 皮 书 更 多 内 容 请 见 ： h t t p s : / / w w w . w e l i v e s e c u r i t y . c o m / w p - c o n t e n t / u p l o a d s / 2 0 1 9 / 0 8 / E S E T _ M a c h e t e . p d f * 参 考 来 源 ： 参 考 来 源 ： W e L i v e S e c u r i t y ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理