搜索

[14646] 2019-09-30_StealthFalcon黑客组织无文件后门分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-09-30_StealthFalcon黑客组织无文件后门分析 S t e a l t h   F a l c o n 黑 客 组 织 无 文 件 后 门 分 析 K r i s t o n   F r e e B u f   2 0 1 9 - 0 9 - 3 0 S t e a l t h   F a l c o n 黑 客 组 织 ， 自 黑 客 组 织 ， 自 2 0 1 2 年 以 来 一 直 活 跃 ， 其 主 要 目 标 是 中 东 的 政 治 活 动 家 和 记 者 。 年 以 来 一 直 活 跃 ， 其 主 要 目 标 是 中 东 的 政 治 活 动 家 和 记 者 。 c i t i z e n   l a b 机 构 在 机 构 在 2 0 1 6 年 发 表 了 一 份 针 对 某 一 网 络 攻 击 的 分 析 报 告 。 年 发 表 了 一 份 针 对 某 一 网 络 攻 击 的 分 析 报 告 。 2 0 1 9 年 年 1 月 ， 路 透 社 发 表 了 一 份 关 于 月 ， 路 透 社 发 表 了 一 份 关 于 “ R a v e n 计 划 计 划 ” 的 调 查 报 的 调 查 报 告 ， 该 计 划 目 标 与 告 ， 该 计 划 目 标 与 S t e a l t h   F a l c o n 相 同 。 根 据 这 两 份 关 于 同 一 目 标 和 攻 击 的 报 告 可 以 看 出 相 同 。 根 据 这 两 份 关 于 同 一 目 标 和 攻 击 的 报 告 可 以 看 出 S t e a l t h   F a l c o n 和 和 R a v e n 计 划 实 际 上 是 同 一 个 群 体 。 计 划 实 际 上 是 同 一 个 群 体 。 c i t i z e n   l a b 报 告 中 记 录 的 攻 击 中 关 键 组 件 是 一 个 基 于 p o w e r s h e l l 的 后 门 ， 该 后 门 通 过 一 个 包 含 在 恶 意 电 子 邮 件 中 的 附 件 文 档 进 行 传 播 。 近 期 发 现 了 一 个 以 前 未 报 告 的 二 进 制 后 门 ， 我 们 命 名 为 w i n 3 2 / s t e a l t h f a c o n 。 在 本 文 中 ， 我 们 将 分 析 介 绍 新 二 进 制 后 门 和 p o w e r s h e l l 脚 本 之 间 的 相 似 之 处 。 这 些 相 似 之 处 证 明 了 w i n 3 2 / s t e a l t h f e l c o n 属 于 S t e a l t h   F a l c o n 黑 客 组 织 。 W i n 3 2 / S t e a l t h F a l c o n 后 门 是 在 2 0 1 5 年 创 建 的 ， 允 许 攻 击 者 远 程 控 制 受 损 的 计 算 机 。 在 阿 联 酋 、 沙 特 、 泰 国 和 荷 兰 发 现 了 该 后 门 。 C & C 通 信 通 信 在 与 C & C 服 务 器 的 通 信 中 ， W i n 3 2 / S t e a l t h F a l c o n 使 用 标 准 的 W i n d o w s 组 件 B a c k g r o u n d   I n t e l l i g e n t   T r a n s f e r S e r v i c e （ B I T S ） 。 B I T S 的 设 计 目 的 是 在 不 消 耗 大 量 网 络 带 宽 的 情 况 下 传 输 大 量 数 据 ， 从 而 不 影 响 其 他 应 用 程 序 的 带 宽 需 求 。 它 通 常 用 于 更 新 程 序 、 信 使 和 其 他 设 计 为 在 后 台 运 行 的 应 用 程 序 。 与 传 统 的 通 过 a p i 函 数 的 通 信 相 比 ， B I T S 机 制 是 通 过 c o m 接 口 ， 因 此 安 全 产 品 很 难 检 测 到 。 传 输 因 网 络 中 断 、 用 户 注 销 或 系 统 重 新 启 动 等 原 因 中 断 后 会 自 动 恢 复 。 此 外 ， 由 于 B I T S 根 据 可 用 带 宽 调 整 文 件 传 输 速 率 ， 因 此 不 会 让 用 户 产 生 怀 疑 。 w i n 3 2 / s t e a l t h f a l c o n 可 以 在 两 个 c & c 服 务 器 之 间 切 换 通 信 ， 这 两 个 服 务 器 的 地 址 与 其 他 配 置 值 一 起 存 储 在 注 册 表 项 中 ，
并 且 可 以 通 过 后 门 命 令 进 行 更 新 。 如 果 后 门 无 法 联 系 到 C & C 服 务 器 ， 后 门 会 在 多 次 失 败 后 将 自 己 从 受 损 系 统 中 移 除 。 后 门 功 能 后 门 功 能 w i n 3 2 / s t e a l t h f a l c o n 是 一 个 d l l 文 件 ， 在 执 行 之 后 ， 它 将 自 己 设 置 为 用 户 登 录 时 运 行 。 它 只 支 持 基 本 的 命 令 。 后 门 程 序 的 关 键 功 能 ， 下 载 和 执 行 文 件 ， 是 通 过 定 期 检 查 执 行 恶 意 软 件 的 目 录 中 名 为 “ w i n * . d l l ” 或 “ s t d * . d l l ” 的 库 并 加 载 这 些 库 来 实 现 的 。 此 外 ， w i n 3 2 / s t e a l t h f a l c o n 通 过 在 临 时 文 件 夹 中 存 储 一 个 带 有 硬 编 码 前 缀 的 加 密 副 本 来 收 集 文 件 并 进 行 过 滤 。 后 门 会 定 期 检 查 这 些 文 件 ， 并 自 动 过 滤 它 们 。 在 文 件 成 功 地 被 过 滤 后 ， 恶 意 软 件 删 除 所 有 日 志 文 件 和 收 集 的 文 件 ， 在 删 除 文 件 之 前 ， 它 用 随 机 数 据 重 写 它 们 ， 以 防 止 被 分 析 和 恢 复 删 除 的 数 据 。 配 置 值 存 储 在 h k e y _ c u r r e n t _ u s e r s o f t w a r e m i c r o s o f t w i n d o w s c u r r e n t v e r s i o n s h e l l   e x t e n s i o n s 注 册 表 项 中 。 所 有 值 的 前 缀 都 是 恶 意 软 件 的 文 件 名 （ 不 带 扩 展 名 ） 。 在 任 何 恶 意 有 效 载 荷 启 动 之 前 会 有 3 0 0 多 个 引 用 ， 但 根 本 不 使 用 它 们 ， 它 总 是 返 回 并 继 续 执 行 有 效 载 荷 ， 并 且 没 有 条 件
检 查 。   与 与 S t e a l t h   F a l c o n 的 联 系 的 联 系 C i t i z e n   L a b 分 析 中 描 述 的 w i n 3 2 / S t e a l t h F a l c o n 和 基 于 p o w e r s h e l l 的 后 门 共 享 同 一 个 C & C 服 务 器 ： 在 C i t i z e n   L a b 分 析 的 后 门 中 ， 地 址 w i n d o w s e a r c h c a c h e [ . ] c o m 被 用 作 “ 第 二 阶 段 C 2 服 务 器 域 ” ， 在 一 个 版 本 的 w i n 3 2 / S t e a l t 中 也 是 如 此 。 这 两 个 后 门 在 代 码 上 都 显 示 出 显 著 的 相 似 性 — — 尽 管 它 们 是 用 不 同 的 语 言 编 写 的 ， 但 底 层 逻 辑 是 相 同 的 。 两 者 都 使 用 硬 编 码 标 识 符 （ 很 可 能 是 活 动 I D / 目 标 I D ） 。 在 这 两 种 情 况 下 ， 来 自 目 标 主 机 的 所 有 网 络 通 信 都 以 标 识 符 为 前 缀 ， 并 使 用 硬 编 码 密 钥 用 r c 4 加 密 。 对 于 c & c 服 务 器 通 信 都 使 用 h t t p s ， 并 为 连 接 设 置 特 定 的 标 志 以 忽 略 服 务 器 证 书 。 结 论 结 论 我 们 发 现 并 分 析 了 一 个 后 门 ， 它 采 用 了 一 种 罕 见 的 C & C 通 信 技 术 ， 使 用 W i n d o w s   B I T S 以 及 一 些 先 进 的 技 术 来 阻 碍 检 测 和 分 析 ， 代 码 和 基 础 框 架 与 S t e a l t h   F a l c o n 先 前 已 知 的 恶 意 软 件 相 似 。 以 上 可 知 ， w i n 3 2 / S t e a l t h F a l c o n 后 门 归 属 于 该
黑 客 组 织 。 I o C s S H A - 1 3 1 B 5 4 A E B D A F 5 F B C 7 3 A 6 6 A * * 1 C C B 3 5 9 4 3 C C 9 B 7 F 7 2 5 0 9 7 3 A 3 F C 5 7 D 7 0 C 7 9 1 1 F 7 A 9 5 2 3 5 6 1 8 8 B 9 9 3 9 E 5 6 B 2 4 4 E B 6 2 B 9 A C 3 0 9 3 4 0 9 8 C A 4 2 0 4 4 4 7 4 4 0 D 6 F * * E 2 5 9 5 C 8 F 8 3 C * * F F 5 7 E 7 C 6 7 9 2 5 D F 4 D 9 D A A B E 5 D 0 C C 0 7 E 2 R * *   k e y s 2 5 8 A 4 A 9 D 1 3 9 8 2 3 F 5 5 D 7 B 9 D A 1 8 2 5 D 1 0 1 1 0 7 F B F 8 8 6 3 4 A 8 7 0 D E 9 8 0 0 5 8 0 D A D 5 5 6 B A 3 2 5 1 9 D B 0 F F E C 6 0 4 D 6 C 9 A 6 5 5 C F 5 6 B 9 8 E D C E 1 0 4 0 5 D E 3 6 8 1 0 B C 3 D C F 1 2 5 C D E 3 0 B A 5 A 2 3 E D B 6 E A 7 7 C D 0 9 8 7 6 6 8 B 3 6 0 3 6 5 D 5 F 3 9 F D C F 6 B 3 6 6 D 0 D E A C 9 E C E 5 A D C 6 F F D 2 0 2 2 7 F 6 8 D F F D E 7 7 A 3 9 F 3 A F 4 6 D 0 C E 0 B 8 4 A 1 8 9 D B 2 5 A 2 A 0 F E F D 7 1 A 0 C D 0 0 5 4 D 8 E 0 D 6 0 A B 0 8 D E M a l w a r e   f i l e   n a m e s I m a g e I n d e x e r . d l l W i n d o w s B a c k u p . d l l W i n d o w s S e a r c h C a c h e . d l l J a v a U s e r U p d a t e r . d l l L o g   f i l e   n a m e   p a t t e r n s % T E M P % d s c * % T E M P % s l d * % T E M P % p l x * R e g i s t r y   k e y s / v a l u e s H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n S h e l l   E x t e n s i o n s X - M R U L i s t X - M R U D a t a X - F o n t D i s p o s i t i o n X - I c o n D i s p o s i t i o n X - I c o n P o s i t i o n X - P o p u p P o s i t i o n
X   i s   t h e   m a l w a r e ’ s   f i l e n a m e   ( w i t h o u t   e x t e n s i o n ) M I T R E   A T T & C K
* 参 考 来 源 ： 参 考 来 源 ： w e l i v e s e c u r i t y ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理