搜索

[14827] 2019-11-17_Sednit组织最新研发的恶意软件组件

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-11-17_Sednit组织最新研发的恶意软件组件 S e d n i t 组 织 最 新 研 发 的 恶 意 软 件 组 件 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 1 1 - 1 7 写 在 前 面 的 话 写 在 前 面 的 话 S e d n i t 组 织 ， 也 被 称 为 组 织 ， 也 被 称 为 A P T 2 8 、 、 F a n c y   B e a r 、 、 S o f a c y 或 或 S T R O N T I U M ， 从 ， 从 2 0 0 4 年 起 该 组 织 一 直 活 跃 至 今 ， 而 且 年 起 该 组 织 一 直 活 跃 至 今 ， 而 且 只 要 该 组 织 参 与 的 网 络 攻 击 活 动 一 般 都 会 上 报 纸 头 条 。 在 只 要 该 组 织 参 与 的 网 络 攻 击 活 动 一 般 都 会 上 报 纸 头 条 。 在 2 0 1 9 年 年 8 月 月 2 0 日 ， 该 组 织 又 发 动 了 一 波 新 的 网 络 攻 击 活 日 ， 该 组 织 又 发 动 了 一 波 新 的 网 络 攻 击 活 动 ， 而 这 一 波 攻 击 活 动 针 对 的 也 是 动 ， 而 这 一 波 攻 击 活 动 针 对 的 也 是 S e d n i t 组 织 的 老 组 织 的 老 “ 对 象 对 象 ” ： 东 欧 和 中 亚 国 家 的 大 使 馆 和 外 交 部 。 ： 东 欧 和 中 亚 国 家 的 大 使 馆 和 外 交 部 。 接 下 来 ， 我 们 一 起 跟 随 E S E T 的 研 究 人 员 看 一 看 ， S e d n i t 的 攻 击 者 们 又 往 Z e b r o c y 恶 意 软 件 家 族 中 增 添 了 哪 些 新 型 的 攻 击 组 件 。 分 析 概 述 分 析 概 述 此 次 这 一 波 新 型 的 网 络 攻 击 由 一 封 包 含 了 恶 意 附 件 的 网 络 钓 鱼 邮 件 作 为 攻 击 开 始 的 起 点 ， 其 中 的 恶 意 附 件 可 以 启 动 一 系 列 恶 意 组 件 下 载 器 ， 并 最 终 作 为 后 门 执 行 。 研 究 人 员 目 前 已 经 在 2 0 1 9 年 8 月 2 2 日 向 V i r u s T o t a l 上 传 过 一 份 恶 意 邮 件 样 本 了 ， T e l s y   T R T 也 对 活 动 的 攻 击 向 量 进 行 了 分 析 。 正 如 其 他 研 究 人 员 预 测 的 那 样 ， S e d n i t 组 织 在 他 们 的 恶 意 软 件 组 件 中 新 增 了 一 种 开 发 语 言 支 持 ， 更 准 确 的 来 说 ， 是 他 们 针 对 恶 意 P a y l o a d 下 载 器 增 加 了 N i m 语 言 支 持 。 不 过 ， S e d n i t 的 攻 击 者 仍 在 努 力 完 善 他 们 的 G o l a n g 下 载 器 ， 并 且 将 之 前 采 用 D e l p h i 开 发 的 后 门 用 G o l a n g 重 构 。 复 杂 的 入 侵 活 动 复 杂 的 入 侵 活 动 下 图 显 示 的 攻 击 者 一 步 一 步 实 现 成 功 入 侵 的 过 程 ， 即 从 一 开 始 目 标 用 户 在 收 件 箱 中 收 到 恶 意 电 子 邮 件 ， 到 最 终 在 目 标 用 户 的 设 备 上 部 署 后 门 ：
当 目 标 用 户 受 到 Z e b r o c y 感 染 之 后 ， 整 个 攻 击 链 会 比 较 复 杂 ， 因 为 攻 击 者 会 在 最 终 的 P a y l o a d 被 执 行 之 前 ， 在 目 标 设 备 上 安 装 至 少 六 个 恶 意 软 件 组 件 。 因 此 ， 这 种 类 型 的 攻 击 活 动 非 常 容 易 被 安 全 产 品 标 记 。 研 究 人 员 发 现 ， 钓 鱼 邮 件 中 携 带 的 附 件 文 档 其 实 是 一 份 空 白 文 档 ， 但 这 个 恶 意 文 档 引 用 了 一 个 托 管 在 D r o p b o x 上 的 远 程 模 板 ： w o r d D a t a . d o t m 。 使 用 W o r d 打 开 这 个 文 档 之 后 ， 它 将 会 下 载 w o r d D a t a . d o t m ， 并 将 其 合 并 到 相 关 文 档 的 工 作 环 境 中 ， 其 中 还 包 括 模 板 中 隐 藏 的 内 容 ， 具 体 情 况 如 下 图 所 示 ：
w o r d D a t a . d o t m 文 件 中 还 包 含 恶 意 宏 ， 文 档 被 打 开 后 恶 意 宏 也 将 被 执 行 ， 不 过 具 体 将 取 决 于 目 标 设 备 中 M i c r o s o f t   W o r d 的 版 本 ， 有 的 版 本 默 认 会 禁 用 V B A 宏 功 能 ， 如 果 被 禁 用 的 话 ， 恶 意 软 件 还 会 提 示 用 户 启 用 宏 功 能 。 除 此 之 外 ， 恶 意 文 档 中 还 包 含 一 个 嵌 入 的 Z I P 压 缩 文 件 （ 恶 意 宏 在 执 行 之 后 会 对 其 进 行 解 压 提 取 操 作 ） 。 如 第 一 张 截 图 所 示 ， w o r d D a t a . d o t m 中 的 宏 会 打 开 另 一 个 文 档 ： l m s s . d o c ， 而 l m s s . d o c 文 件 需 要 恶 意 宏 从 w o r d D a t a . d o t m 中 提 取 出 来 。 l m s s . d o c 中 的 恶 意 宏 辉 执 行 l m s s . e x e ， 也 就 是 Z e b r o c y 最 新 的 N i m 下 载 器 ， 它 同 样 是 从 w o r d D a t a . d o t m 中 提 取 出 来 的 ， 而 且 w o r d D a t a . d o t m 并 不 会 直 接 执 行 下 载 器 。 需 要 注 意 的 是 ， l m s s . d o c 中 包 含 的 V B A 代 码 可 以 执 行 新 型 的 N i m 下 载 器 ， 而 且 它 还 嵌 入 了 一 个 B a s e 6 4 编 码 的 可 执 行 程 序 ， 根 据 其 文 档 属 性 ， l m s s . d o c 创 建 于 2 0 1 9 年 1 月 份 ， 并 且 在 8 月 2 0 日 进 行 过 修 改 ， 也 就 是 此 次 攻 击 活 动 开 始 前 的 几 个 小 时 ： l m s s . d o c 中 嵌 入 的 可 执 行 程 序 是 一 个 A u t o l t 下 载 器 （ S H A - 1 :   6 b 3 0 0 4 8 6 d 1 7 d 0 7 a 0 2 3 6 5 d 3 2 b 6 7 3 c d 6 6 3 8 b d 3 8 4 f 3 ） ， 这 个 下 载 器 在 这 里 没 啥 作 用 ， 也 就 是 让 文 档 变 得 更 大 了 些 ， 很 可 能 是 因 为 攻 击 者 忘 记 把 它 删 掉 了 ， 反 正 S e d n i t 的 人 也 经 常 干 这 种 事 情 。 下 载 器 分 析 下 载 器 分 析 S e d n i t 的 攻 击 者 曾 使 用 过 多 种 采 用 不 同 语 言 开 发 的 下 载 器 ， 在 此 次 活 动 中 使 用 他 们 使 用 的 是 最 新 的 一 款 ， 即 采 用 N i m 语 言 开 发 的 下 载 器 。 他 们 在 这 个 下 载 器 中 新 增 了 两 个 特 性 ， 第 一 个 就 是 反 沙 箱 技 术 ， 并 且 检 测 可 执 行 文 件 的 第 一 个 字 母 （ 十 六 进 制 0 x 6 c ） 是 否 被 篡 改 过 。 另 一 个 特 性 就 是 代 码 混 淆 ， 攻 击 者 使 用
了 代 码 混 淆 技 术 来 重 构 恶 意 组 件 的 U R L 地 址 字 符 串 ， 以 增 加 静 态 分 析 工 具 的 分 析 难 度 ： 随 后 ， N i m 下 载 器 会 从 中 获 取 动 态 链 接 库 （ D L L ）   P a y l o a d ： o s p s v c . d l l ， 然 后 拷 贝 到 “ C : P r o g r a m D a t a J a v a O r a c l e ” ， 最 后 通 过 r e g s v * * *   / s 将 其 以 服 务 的 形 式 执 行 。 o s p s v c . d l l 是 一 个 采 用 G o l a n g 编 写 的 下 载 器 ， 它 跟 此 前 S e d n i t 使 用 过 的 下 载 器 有 很 大 不 同 。 S e d n i t 之 前 使 用 的 G o l a n g 下 载 器 会 收 集 大 量 目 标 设 备 的 信 息 ， 并 将 其 发 送 至 C 2 服 务 器 。 但 这 一 个 下 载 器 在 数 据 收 集 方 面 轻 量 化 了 很 多 。 它 的 m a i n _ i n i t ( ) 函 数 包 含 的 库 会 初 始 化 下 列 函 数 ， 下 列 函 数 的 功 能 和 作 用 想 必 大 家 可 以 直 接 看 得 出 来 ：
由 于 D L L   P a y l o a d 是 以 服 务 的 形 式 运 行 的 ， 所 以 我 们 需 要 仔 细 看 看 m a i n _ D l l R e g i s t e r S e r v e r ( ) 函 数 ： 在 攻 击 的 下 一 个 阶 段 ， 恶 意 软 件 会 获 取 目 标 设 备 桌 面 的 屏 幕 截 图 ， 并 执 行 攻 击 者 通 过 C 2 服 务 器 发 送 过 来 的 命 令 。 截 图 操 作 自 下 载 器 执 行 之 后 开 始 ， 每 3 5 秒 截 图 一 次 ， 然 后 以 B a s e 6 4 编 码 形 式 发 送 至 C 2 服 务 器 。 C 2 服 务 器 的 响 应 信 息 格 式 如 下 ： 新 型 后 门 分 析 新 型 后 门 分 析 新 型 的 Z e b r o c y 后 门 采 用 的 是 G o l a n g 开 发 ， 不 过 这 种 后 门 的 特 性 跟 之 前 采 用 D e l p h i 开 发 的 后 门 基 本 一 致 。 通 过 分 析 m a i n _ i n i t ( ) 函 数 的 库 初 始 化 代 码 ， 我 们 可 以 看 到 新 的 入 口 点 ， 即 一 个 使 用 了 十 六 进 制 编 码 的 A E S 算 法 ： < s p a c e s > | < c m d   t o   e x e c u t e > | < n a m e   o f   t h e   b i n a r y   t o   d r o p > | < b i n a r y   t o   d r o p >
其 中 ， i m a g e j p e g i n i t 方 法 被 替 换 成 了 i m a g e p n g i n i t ， 可 能 是 因 为 P N G 格 式 的 图 片 更 合 适 吧 。 下 面 的 P y t h o n 代 码 段 介 绍 的 是 恶 意 软 件 所 使 用 的 解 密 算 法 ： 新 增 的 后 门 功 能 ： 新 增 的 后 门 功 能 ： 1 、 文 件 属 性 篡 改 ， 例 如 创 建 、 修 改 和 删 除 属 性 ； k e y   =   a r g [ - 6 : ] . d e c o d e ( ' h e x ' )         e n c   =   a r g [ : - 6 ] . d e c o d e ( ' h e x ' )         ' ' . j o i n ( c h r ( o r d ( i )   ^   o r d ( j ) )   f o r   i ,   j   i n   z i p ( i t e r t o o l s . c y c l e ( k e y ) ,   e n c ) )
2 、 截 图 功 能 ； 3 、 驱 动 器 枚 举 ； 4 、 命 令 执 行 （ 通 过 c m d . e x e ） 实 现 ； 5 、 计 划 任 务 ； 网 络 数 据 网 络 数 据 C 2 服 务 器 的 通 信 数 据 包 样 本 请 求 如 下 ： 总 结 总 结 新 型 的 后 门 表 明 S e d n i t 组 织 目 前 仍 处 于 活 跃 状 态 ， 而 且 攻 击 者 似 乎 正 在 使 用 其 他 语 言 来 重 构 他 们 的 恶 意 软 件 ， 这 样 可 以 尽 可 能 地 避 免 被 安 全 产 品 检 测 到 。 入 侵 威 胁 标 识 符 入 侵 威 胁 标 识 符 I o C 网 络 地 址 网 络 地 址 h t t p s : / / w w w . d r o p b o x [ . ] c o m / s / f o u g h x 3 1 5 f l j 5 1 u / w o r d D a t a . d o t m ? d l = 1 1 8 5 . 2 2 1 . 2 0 2 [ . ] 3 5 参 考 资 料 参 考 资 料 1 、 h t t p s : / / u n i t 4 2 . p a l o a l t o n e t w o r k s . c o m / s o f a c y - c r e a t e s - n e w - g o - v a r i a n t - o f - z e b r o c y - t o o l / 2 、 h t t p s : / / s e c u r e l i s t . c o m / a - z e b r o c y - g o - d o w n l o a d e r / 8 9 4 1 9 / 3 、 h t t p s : / / w w w . v k r e m e z . c o m / 2 0 1 8 / 1 2 / l e t s - l e a r n - d i s s e c t i n g - a p t 2 8 s o f a c y . h t m l 4 、 h t t p s : / / w w w . v k r e m e z . c o m / 2 0 1 8 / 1 2 / l e t s - l e a r n - d i s s e c t i n g - a p t 2 8 s o f a c y . h t m l * 参 考 来 源 ： 参 考 来 源 ： w e l i v e s e c u r i t y ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 P O S T   [ R E D A C T E D   U R I ]   H T T P / 1 . 1         H o s t :   [ R E D A C T E D   I P ]         U s e r - A g e n t :   G o - h t t p - c l i e n t / 1 . 1         C o n t e n t - L e n g t h :   2 9 7         C o n t e n t T y p e :   m u l t i p a r t / f o r m d a t a ;   b o u n d a r y = b 1 1 6 f 1 e 0 a 9 4 e f f 1 b b 4 0 6 5 3 1 e 7 4 b b 0 f e b a 6 5 6 8 7 c f 9 0 e c 8 a 6 4 f c 4 0 9 f 2 3 0 f b d         A c c e p t - E n c o d i n g :   g z i p         – b 1 1 6 f 1 e 0 a 9 4 e f f 1 b b 4 0 6 5 3 1 e 7 4 b b 0 f e b a 6 5 6 8 7 c f 9 0 e c 8 a 6 4 f c 4 0 9 f 2 3 0 f b d         C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = ” f i l e n a m e ” ;   f i l e n a m e = ” [ R E D A C T E D ] ”         C o n t e n t - T y p e :   a p p l i c a t i o n / o c t e t - s t r e a m         1         – b 1 1 6 f 1 e 0 a 9 4 e f f 1 b b 4 0 6 5 3 1 e 7 4 b b 0 f e b a 6 5 6 8 7 c f 9 0 e c 8 a 6 4 f c 4 0 9 f 2 3 0 f b d –

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理