搜索

[14946] 2020-01-05_奇幻熊（APT28）样本分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-01-05_奇幻熊（APT28）样本分析 奇 幻 熊 （ A P T 2 8 ）   样 本 分 析 C A S I C   F r e e B u f   2 0 2 0 - 0 1 - 0 5 一 、 一 、   背 景 背 景 奇 幻 熊 组 织 又 被 人 们 称 为 奇 幻 熊 组 织 又 被 人 们 称 为 A P T 2 8 ， 他 是 俄 罗 斯 的 间 谍 组 织 ， ， 他 是 俄 罗 斯 的 间 谍 组 织 ， 2 0 1 9 年 ， 奇 幻 熊 组 织 的 活 动 异 常 频 繁 。 年 ， 奇 幻 熊 组 织 的 活 动 异 常 频 繁 。 从 今 年 年 初 从 今 年 年 初 的 智 囊 团 入 侵 事 件 ， 到 随 后 的 大 小 攻 击 ， 都 有 的 智 囊 团 入 侵 事 件 ， 到 随 后 的 大 小 攻 击 ， 都 有 A P T 2 8 的 身 影 。 奇 幻 熊 的 历 史 已 经 非 常 悠 久 ， 的 身 影 。 奇 幻 熊 的 历 史 已 经 非 常 悠 久 ， 2 0 1 6 年 ， 该 组 织 因 年 ， 该 组 织 因 为 入 侵 美 国 民 主 党 全 国 委 员 会 的 电 子 邮 件 ， 试 图 影 响 美 国 总 统 大 选 而 闻 名 于 世 。 鱼 叉 式 网 络 钓 鱼 、 为 入 侵 美 国 民 主 党 全 国 委 员 会 的 电 子 邮 件 ， 试 图 影 响 美 国 总 统 大 选 而 闻 名 于 世 。 鱼 叉 式 网 络 钓 鱼 、 0 D a y 攻 击 是 攻 击 是 该 组 织 惯 用 的 攻 击 方 法 ， 并 且 他 们 使 用 的 工 具 非 常 迅 速 的 更 新 。 在 该 组 织 惯 用 的 攻 击 方 法 ， 并 且 他 们 使 用 的 工 具 非 常 迅 速 的 更 新 。 在 2 0 1 5 年 一 年 中 ， 使 用 了 不 少 于 年 一 年 中 ， 使 用 了 不 少 于 6 种 不 同 的 种 不 同 的 0 D a y 漏 洞 ， 这 是 一 个 相 当 大 的 工 程 ， 需 要 大 量 安 全 人 员 在 常 用 的 软 件 中 寻 找 大 量 的 未 知 漏 洞 。 漏 洞 ， 这 是 一 个 相 当 大 的 工 程 ， 需 要 大 量 安 全 人 员 在 常 用 的 软 件 中 寻 找 大 量 的 未 知 漏 洞 。 本 次 样 本 分 析 的 样 本 来 自 于 我 单 位 捕 获 到 的 样 本 数 据 ， 经 过 分 析 为 Z e p a k a b 下 载 器 。 在 此 做 一 个 简 单 的 分 析 ， 以 窥 探 Z e p a k a b 的 技 术 秘 密 。 二 、 样 本 分 析 二 、 样 本 分 析 首 先 ， 我 们 对 样 本 稍 作 分 析 就 可 以 知 道 ， 该 样 本 使 用 了 U P X 加 了 一 层 壳 ， 不 过 并 没 有 做 更 多 的 处 理 。 使 用 U P X 即 可 以 正 常 将 其 解 压 ， 生 成 正 常 的 样 本 。 在 解 压 后 的 样 本 中 ， 我 们 可 以 从 资 源 R C D a t a / S C R I P T 中 看 到 ” A U 3 ! ” 的 字 样 ， 并 且 在 其 代 码 中 可 以 看 到 一 系 列 的 证 据 ， 都 可 以 表 明 ， 该 样 本 是 由 A u t o I t 编 译 而 来 。 A u t o I t 是 使 用 类 似 B A S I C 的 语 言 ， 主 要 用 于 设 计 和 W i n d o w s 图 形 界 面 自 动 化 交 互 的 程 序 。 使 用 这 样 的 语 言 来 开 发 恶 意 程 序 ， 可 以 很 容 易 的 躲 避 杀 毒 软 件 的 检 测 。
然 后 ， 我 们 将 Z e p a k a b 中 的 A u t o I t 代 码 反 编 译 ， 提 取 出 其 中 的 源 码 。 可 以 看 到 ， ” m a i n ” 函 数 是 Z e p a k a b 的 主 要 例 程 。 Z e p a k a b 的 主 要 功 能 是 不 断 的 在 一 个 循 环 中 获 取 系 统 信 息 ， 截 取 屏 幕 快 照 ， 发 送 给 服 务 器 。 并 且 在 需 要 的 时 候 下 载 恶 意 样 本 驻 留 在 系 统 中 。 系 统 信 息 的 收 集 是 在 ” i n f o ” 函 数 内 完 成 的 ， i n f o 调 用 了 ” c o m p u t e r g e t o s s ” 函 数 。 ” c o m p u t e r g e t o s s ” 使 用 了 W i n d o w s 管 理 规 范 ( W M I ) 的 A u t o I t 接 口 ， 使 用 了 查 询 语 句 ” S E L E C T   *   F R O M   W i n 3 2 _ O p e r a t i n g S y s t e m ” 来 查 询 系 统 信 息 。
该 恶 意 软 件 通 过 下 面 的 s c r 函 数 将 桌 面 屏 幕 快 照 保 存 到 ” ％ T E M P ％   t m p . j p g ” 中 。 在 从 服 务 器 上 下 载 了 有 效 负 载 后 ， Z e p a k a b 会 将 它 同 过 ” c r o c o d i l e ” 函 数 保 存 到 ” C : P r o g r a m D a t a W i n d o w s M i c r o s o f t S e t t i n g s s r h o s t . e x e ” 中 。 除 了 上 述 的 一 些 主 要 功 能 外 ， Z e p a k a b 还 有 一 些 比 较 只 能 化 的 功 能 。 例 如 反 虚 拟 机 ， 它 会 查 找 一 些 当 前 比 较 重 要 的 虚 拟 机 文 件 、 进 程 以 及 通 过 特 别 算 法 计 算 的 标 识 ， 从 而 实 现 虚 拟 机 逃 逸 。 此 外 ， ” _ s o f w a r e ” 函 数 通 过 注 册 表
" H K E Y L O C A L M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n U n i n s t a l l " 解 析 已 安 装 的 软 件 。 同 时 通 过 s y s t e m i n f o 系 统 命 令 输 出 系 统 信 息 ， 并 检 索 进 程 并 将 其 纳 入 到 系 统 信 息 中 。 这 份 代 码 ， 并 没 有 使 用 复 杂 的 混 淆 技 术 ， 所 以 可 以 轻 松 的 看 到 D o w n l o a d e r 的 服 务 器 地 址 是 1 8 5 . 2 3 6 . 2 0 3 . 5 3 ， u r i 是 ” l o c a l e / p r o t o c o l / v o l u m e . p h p ” 。 D o w n l o a d e r 使 用 H T T P 方 式 和 服 务 器 通 信 ， 并 且 使 用 b a s e 6 4 编 码 和 加 密 的 方 式 发 送 和 接 受 数 据 。 三 、 总 结 三 、 总 结 Z e p a k a b 在 整 个 2 0 1 9 年 是 异 常 活 跃 的 ， 虽 然 其 开 发 方 式 非 常 简 单 ， 但 是 其 危 害 程 度 并 不 低 ， 而 且 A P T 2 8 组 织 也 异 常 快 速 地 更 新 他 们 的 武 器 。 正 因 为 简 单 的 开 发 方 式 ， 其 更 新 速 度 才 得 以 更 快 。 奇 幻 熊 仍 然 更 多 地 使 用 他 们 惯 用 的 方 法 ， 鱼 叉 式 攻 击 ， 0 D a y 漏 洞 等 等 。 在 这 种 低 成 本 的 开 发 方 式 下 ， 奇 幻 熊 组 织 得 以 更 有 效 地 进 行 他 们 的 网 络 攻 击 。
* 本 文 作 者 ： 本 文 作 者 ： 北 京 计 算 机 技 术 及 应 用 研 究 所 ， 转 载 请 注 明 来 自 北 京 计 算 机 技 术 及 应 用 研 究 所 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理