搜索

[14600] 2019-09-18_巴尔干半岛上的双重网络攻击分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-09-18_巴尔干半岛上的双重网络攻击分析 巴 尔 干 半 岛 上 的 双 重 网 络 攻 击 分 析 K r i s t o n   F r e e B u f   2 0 1 9 - 0 9 - 1 8 近 期 在 巴 尔 干 地 区 发 现 了 正 在 进 行 网 络 攻 击 行 动 ， 攻 击 中 使 用 了 两 个 具 有 相 似 目 的 的 工 具 ： 近 期 在 巴 尔 干 地 区 发 现 了 正 在 进 行 网 络 攻 击 行 动 ， 攻 击 中 使 用 了 两 个 具 有 相 似 目 的 的 工 具 ： 一 个 后 门 和 一 个 木 一 个 后 门 和 一 个 木 马 我 们 分 别 命 名 为 马 我 们 分 别 命 名 为 B a l k a n D o o r 和 和 B a l k a n R A T 。 。 B a l k a n R A T 使 攻 击 者 能 够 通 过 图 形 界 面 远 程 控 制 受 感 染 的 计 算 使 攻 击 者 能 够 通 过 图 形 界 面 远 程 控 制 受 感 染 的 计 算 机 机 ;   B a l k a n D o o r 使 攻 击 者 能 够 通 过 命 令 行 远 程 控 制 受 感 染 的 计 算 机 。 使 攻 击 者 能 够 通 过 命 令 行 远 程 控 制 受 感 染 的 计 算 机 。 概 述 概 述 此 攻 击 活 动 中 使 用 恶 意 电 子 邮 件 作 为 其 传 播 方 式 ， 最 终 在 目 标 计 算 机 上 种 植 这 些 工 具 ， 每 个 工 具 都 能 够 完 全 控 制 受 影 响 的 计 算 机 。 这 种 攻 击 方 式 使 攻 击 者 可 以 选 择 最 合 适 的 方 法 在 计 算 机 上 执 行 操 作 。 该 攻 击 活 动 中 邮 件 主 要 以 税 收 为 核 心 。 电 子 邮 件 包 含 的 链 接 和 诱 饵 P D F 都 涉 及 税 收 ， 可 以 看 出 攻 击 者 目 标 为 巴 尔 干 地 区 组 织 的 财 务 部 门 。 因 此 ， 定 此 次 攻 击 活 动 主 要 是 以 经 济 利 益 为 主 要 目 的 。 该 活 动 从 2 0 1 6 年 1 月 至 今 一 直 很 活 跃 ， 该 活 动 在 2 0 1 6 年 由 塞 尔 维 亚 安 全 分 析 和 2 0 1 7 年 的 克 罗 地 亚 C E R T 简 要 描 述 。 这 些 分 析 中 都 只 包 含 此 两 种 工 具 中 的 一 个 ， 并 且 只 是 针 对 单 一 国 家 。 然 而 ， 我 们 的 研 究 表 明 ， 此 次 新 发 现 攻 击 活 动 中 的 目 标 、 使 用 策 略 ， 利 用 技 术 和 编 程 代 码 与 之 前 分 析 中 提 到 的 有 大 量 相 似 之 处 。 研 究 结 果 表 明 ， 攻 击 活 动 是 经 过 精 心 策 划 的 ， 这 是 一 场 跨 越 克 罗 地 亚 ， 塞 尔 维 亚 ， 黑 山 和 波 斯 尼 亚 和 黑 塞 哥 维 那 的 长 期 攻 击 渗 透 行 为 。 在 本 文 中 ， 我 们 将 描 述 B a l k a n D o o r 和 B a l k a n R A T 的 一 些 显 着 特 征 。 我 们 的 分 析 表 明 ， 前 者 作 为 W i n d o w s 服 务 运 行 ， 它 可 以 远 程 解 锁 W i n d o w s 登 录 屏 幕 ， 无 需 密 码 启 动 具 有 最 高 权 限 的 进 程 。 后 者 利 用 合 法 的 远 程 桌 面 软 件 （ R D S ） 和 其 他 工 具 、 脚 本 隐 藏 窗 口 ， 托 盘 图 标 ， 进 程 等 。 目 标 和 分 布 目 标 和 分 布 B a l k a n R A T 和   B a l k a n D o o r 都 分 布 在 克 罗 地 亚 、 塞 尔 维 亚 、 黑 山 和 波 斯 尼 亚 和 黑 塞 哥 维 那 。 据 数 据 显 示 ， 网 络 攻 击 活 动 自 2 0 1 6 年 以 来 一 直 在 进 行 ， 最 近 检 测 到 的 是 在 2 0 1 9 年 7 月 进 行 。 攻 击 者 一 直 通 过 恶 意 电 子 邮 件 传 播 工 具 ， 邮 件 中 包 含 指 向 恶 意 文 件 的 链 接 ， 链 接 模 仿 了 官 方 机 构 的 合 法 网 站 。

通 常 ， 指 向 可 执 行 文 件 的 链 接 被 伪 装 成 指 向 P D F 的 链 接 。 可 执 行 文 件 是 一 个 W i n r a r 自 解 压 器 ， 其 名 称 和 图 标 更 改 为 P D F 文 件 。 当 执 行 时 ， 解 压 其 内 容 ， 打 开 P D F 并 静 默 执 行   B a l k a n R A T 和   B a l k a n D o o r 。 在 2 0 1 9 年 检 测 到 的 B a l k a n D o o r 的 样 本 中 ， 恶 意 软 件 利 用 w i n r a r   a c e 漏 洞 （ C V E - 2 0 1 8 - 2 0 2 5 0 ） 伪 装 成 r a r 存 档 以 a c e 存 档 的 形 式 传 播 ， 该 漏 洞 已 在 2 0 1 9 年 2 月 2 8 日 发 布 的 5 . 7 0 版 中 得 到 修 复 。 基 于 漏 洞 的 B a l k a n d o o r 比 以 前 版 本 的 恶 意 软 件 更 隐 蔽 ， 因 为 它 不 需 要 执 行 下 载 文 件 ， 下 载 文 件 可 能 会 引 起 目 标 受 害 者 的 怀 疑 。 技 术 分 析 技 术 分 析 - B a l k a n D o o r B a l k a n d o o r 是 一 个 简 单 的 后 门 ， 有 少 量 的 命 令 （ 下 载 并 执 行 一 个 文 件 ， 创 建 一 个 远 程 s h e l l ， 截 图 ） 。 它 可 用 于 自 动 执 行 任 务 ， 或 同 时 自 动 控 制 多 台 计 算 机 。 从 2 0 1 6 年 开 始 已 经 发 现 六 个 版 本 的 后 门 及 支 持 命 令 。 初 始 的 D r o p p e r 解 压 所 有 组 件 ， 打 开 一 个 诱 饵 P D F ， 并 执 行 一 个 批 量 安 装 脚 本 ， 以 确 保 后 门 的 持 久 性 。 后 门 以 合 法 的 服 务 名 称 （ 例 如 w i n d o w s s v c 、 w i n d o w s p r n t 、 w i n d o w s c o n n 或 w i n d o w s e r r ） 将 自 己 注 册 为 服 务 ， 附 带 的 批 处 理 脚 本 可 以 通 过 注 册 表 运 行 或 启 动 文 件 夹 进 一 步 确 保 持 久 控 制 。 安 装 后 门 后 ， 计 算 机 连 接 到 C & C 服 务 器 ， 通 过 计 算 机 名 称 标 识 自 身 并 请 求 命 令 。 后 门 可 以 从 硬 编 码 列 表 中 连 接 到 任 何 一 个 C & C 服 务 器 。 它 通 过 H T T P 或 H T T P S 协 议 连 接 ； 如 果 使 用 H T T P S ， 则 忽 略 服 务 器 证 书 。 如 果 连 接 不 成 功 ， 后 门
可 以 使 用 受 害 者 计 算 机 上 用 户 配 置 的 代 理 并 重 复 连 接 尝 试 。 后 门 命 令 以 i n i 文 件 的 格 式 存 在 ， 其 属 性 决 定 命 令 、 命 令 参 数 和 目 标 收 件 人 。 指 定 接 收 者 列 表 允 许 攻 击 者 一 次 将 其 命 令 发 送 到 多 台 受 攻 击 的 计 算 机 ， 例 如 自 动 截 图 所 有 受 攻 击 的 计 算 机 。 在 B a l k a n D o o r 中 ， 最 值 得 注 意 的 是 无 密 码 屏 幕 解 锁 。 当 登 录 用 户 锁 定 计 算 机 时 ， 此 功 能 对 攻 击 者 很 有 用 。 “ 锁 屏 ” 只 是 系 统 的 另 一 个 桌 面 ， 因 此 任 何 具 有 权 限 的 恶 意 软 件 都 可 以 通 过 命 令 切 换 到 真 正 的 桌 面 ， 执 行 此 操 作 不 需 要 密 码 。
技 术 分 析 技 术 分 析 - B a l k a n R A T B a l k a n R A T 比 其 后 门 更 复 杂 ， 其 目 标 是 在 目 标 机 器 上 部 署 远 程 程 序 软 件 ， 该 软 件 是 俄 罗 斯 供 应 商 R e m o t e U t i l i t i e s ， L L C 提 供 的 商 业 软 件 ， 用 于 远 程 访 问 计 算 机 或 进 行 远 程 管 理 。 B a l k a n R A T 还 向 攻 击 者 提 供 远 程 访 问 所 需 的 凭 证 。 B a l k a n R A T 有 几 个 额 外 的 组 件 来 帮 助 加 载 、 安 装 和 隐 藏 R D S 。 它 们 可 以 向 防 火 墙 添 加 新 规 这 ， 隐 藏 R D S 窗 口 及 其 托 盘 图 标 ， 并 在 任 务 管 理 器 中 隐 藏 相 关 进 程 。 1 、 D r o p p e r 首 先 解 包 所 有 组 件 ； 一 个 配 置 文 件 、 远 程 桌 面 软 件 和 安 装 它 的 核 心 组 件 、 一 个 u s e r l a n d   r o o t k i t 、 一 个 g u i   h i d e r 和 一 个 d e c o y   p d f 文 件 。 2 、 打 开 P D F 文 件 ， 以 免 引 起 用 户 的 怀 疑 。 3 、 在 安 装 模 式 下 执 行 核 心 组 件 （ 3 2 位 ） 。
4 、 核 心 组 件 （ 3 2 位 ） 自 安 装 以 便 在 每 次 启 动 时 执 行 ， 并 为 R D S 的 防 火 墙 添 加 特 例 。 它 执 行 配 置 文 件 中 指 定 的 指 令 i n s t 1 和 i n s t 2 ， 然 后 再 次 执 行 自 己 处 于 隐 藏 模 式 。 5 、 在 这 种 模 式 下 ， 核 心 组 件 就 是 一 个 键 盘 记 录 器 。 6 、 核 心 组 件 （ 3 2 位 ） 以 注 入 模 式 执 行 自 身 的 6 4 位 版 本 。 7 、 核 心 组 件 （ 6 4 位 ） 将 u s e r l a n d   r o o t k i t （ 6 4 位 ） 注 入 到 任 务 管 理 器 进 程 中 。 然 后 ， u s e r l a n d   r o o t k i t 会 隐 藏 任 务 管 理 器 中 存 在 的 恶 意 进 程 。 8 、 核 心 组 件 （ 3 2 位 ） 执 行 R D S 。 它 反 复 监 视 和 隐 藏 R D S 窗 口 （ 因 为 它 是 一 个 G U I 应 用 程 序 ） 。 9 、 核 心 组 件 （ 3 2 位 ） 将 u s e r l a n d   r o o t k i t （ 3 2 位 ） 注 入 到 任 务 管 理 器 进 程 中 。 然 后 ， u s e r l a n d   r o o t k i t 会 隐 藏 任 务 管 理 器 中 存 在 的 恶 意 进 程 。 1 0 、 核 心 组 件 （ 3 2 位 ） 执 行 配 置 文 件 中 指 定 的 命 令 c m d 1 和 c m d 2 。 其 中 一 个 命 令 是 执 行 一 个 G U I 隐 藏 程 序 ， 这 是 一 个 隐 藏 R D S 托 盘 图 标 脚 本 。 B a l k a n R A T 的 配 置 文 件 采 用 i n i 文 件 格 式 （ 类 似 于 B a l k a n d o o r ， 它 将 此 格 式 用 于 后 门 命 令 ） ， 其 中 一 个 部 分 名 为 [ c f g ] 。 i n i 文 件 由 恶 意 软 件 的 核 心 组 件 和 u s e r l a n d   r o o t k i t 使 用 。 B a l k a n R A T 的 核 心 是 一 个 多 用 途 组 件 （ 有 3 2 位 和 6 4 位 版 本 ） ， 它 可 以 在 各 种 模 式 下 执 行 命 令 。 最 重 要 的 是 ， 它 用 于 安 装 B a l k a n r a t 后 门 ， 启 动 u s e r l a n d   r o o t k i t ， 并 为 防 火 墙 中 的 r d s 组 件 添 加 特 例 。
B a l k a n R A T 的 主 要 部 分 是 远 程 访 问 程 序 的 副 本 。 B a l k a n R A T 没 有 使 用 官 方 版 本 ， 而 是 部 署 了 一 个 有 攻 击 者 证 书 签 名 的 副 本 。 在 受 害 者 计 算 机 上 运 行 的 R D S 的 客 户 端 必 须 知 道 唯 一 的 I D 和 密 码 ， 这 两 者 都 是 在 服 务 器 端 生 成 才 能 连 接 到 服 务 器 。 B a l k a n r a t 部 署 的 r d s 的 配 置 方 式 是 让 所 有 受 害 者 的 密 码 都 相 同 ， 生 成 的 唯 一 I D 由 工 具 本 身 发 送 到 攻 击 者 的 电 子 邮 件 地 址 。 攻 击 者 利 用 获 得 到 的 凭 证 ， 通 过 远 程 控 制 软 件 访 问 受 损 计 算 机 。 该 工 具 可 以 通 过 屏 幕 来 监 视 用 户 的 活 动 ， 并 手 动 管 理 计 算 机 。 为 了 保 持 隐 蔽 ， B a l k a n R A T 使 用 了 图 形 用 户 界 面 隐 藏 功 能 。 在 大 多 数 样 例 中 （ 有 些 旧 的 样 例 是 例 外 情 况 ） ， 隐 藏 功 能 为 一 个 自 动 热 键 脚 本 ， 并 编 译 成 一 个 可 执 行 文 件 以 便 在 计 算 机 上 运 行 。 这 个 脚 本 的 目 的 是 隐 藏 R D S 客 户 机 的 托 盘 图 标 。
B a l k a n R A T 用 来 隐 藏 的 另 一 个 功 能 是 能 够 对 用 户 隐 藏 进 程 。 为 了 实 现 这 一 点 ， 用 户 和 r o o t k i t 库 被 注 入 到 进 程 中 。 u s e r l a n d   r o o t k i t   勾 住 了 进 程 中 的 n t q u e r y s y s t e m i n f o r m a t i o n 函 数 。 如 果 S y s t e m P r o c e s s I n f o r m a t i o n 被 调 用 ， 它 将 筛 选 出 与 配 置 文 件 中 名 称 相 同 的 进 程 。 因 此 ， 任 务 管 理 器 不 会 显 示 攻 击 者 想 要 对 用 户 隐 藏 的 进 程 。 被 隐 藏 的 进 程 都 属 于 B a l k a n R A T ， 在 列 表 中 看 到 了 诸 如 “ w e a t h e r . e x e ” 或 “ p r e s e r v e . e x e ” 之 类 的 名 称 ， 它 们 属 于 B a l k a n D o o r 后 门 。 这 一 发 现 表 明 这 两 种 工 具 确 实 是 一 起 使 用 的 。 总 结 总 结 B a l k a n D o o r 和 B a l k a n R A T 对 受 害 者 构 成 了 巨 大 的 风 险 。 如 果 将 它 们 一 起 用 作 工 具 集 ， 它 们 将 成 为 一 种 更 强 大 的 武 器 。 为 了 确 保 安 全 ， 企 业 用 户 应 遵 守 基 本 的 网 络 安 全 规 则 ： 谨 慎 对 待 电 子 邮 件 ， 仔 细 检 查 其 附 件 和 链 接 ， 更 新 软 件 并 使 用 信 誉 良 好 的 安 全 解 决 方 案 。 I o C s 请 点 击 底 部 阅 读 原 文 查 看
* 参 考 来 源 ： 参 考 来 源 ： w e l i v e s e c u r i t y ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理