搜索

[15220] 2020-04-06_Turla利用水坑攻击植入后门

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-04-06_Turla利用水坑攻击植入后门 T u r l a 利 用 水 坑 攻 击 植 入 后 门 K r i s t o n   F r e e B u f   2 0 2 0 - 0 4 - 0 6 研 究 人 员 发 现 了 针 对 研 究 人 员 发 现 了 针 对 A r m e n i a n 知 名 网 站 的 水 坑 攻 击 。 它 依 靠 假 的 知 名 网 站 的 水 坑 攻 击 。 它 依 靠 假 的 A d o b e   F l a s h 更 新 ， 欺 骗 目 标 下 载 两 个 以 前 未 更 新 ， 欺 骗 目 标 下 载 两 个 以 前 未 记 录 的 恶 意 软 件 记 录 的 恶 意 软 件 N e t F l a s h 和 和 P y F l a s h 。 这 次 行 动 由 活 跃 了 十 多 年 间 谍 组 织 。 这 次 行 动 由 活 跃 了 十 多 年 间 谍 组 织 T u r l a 发 起 ， 其 主 要 目 标 包 括 政 府 和 军 发 起 ， 其 主 要 目 标 包 括 政 府 和 军 事 组 织 ， 之 前 曾 报 道 过 该 小 组 的 多 个 活 动 ， 包 括 事 组 织 ， 之 前 曾 报 道 过 该 小 组 的 多 个 活 动 ， 包 括 M o s q u i t o 和 和 L i g h t N e u r o n 。 。 目 标 网 站 目 标 网 站 T u r l a 至 少 破 坏 了 四 个 A r m e n i a n 网 站 ， 其 中 包 括 两 个 政 府 网 站 。 因 此 ， 目 标 可 能 包 括 政 府 官 员 和 政 客 。 以 下 网 站 遭 到 入 侵 ： a r m c o n s u l   [ . ]   r u ： 俄 罗 斯 亚 美 尼 亚 大 使 馆 领 事 处 m n p . n k r   [ . ]   a m ： A r t s a k h 共 和 国 自 然 保 护 和 自 然 资 源 部 a i i s a   [ . ]   a m ： 亚 美 尼 亚 国 际 和 安 全 事 务 研 究 所 a d g f   [ . ]   a m ： 亚 美 尼 亚 存 款 担 保 基 金 这 些 网 站 至 少 从 2 0 1 9 年 初 就 遭 到 了 入 侵 。 T u r l a 利 用 非 法 访 问 向 网 站 中 插 入 恶 意 J a v a S c r i p t 代 码 。 例 如 ， 对 于 m n p . n k r   [ . ] a m ， 在 j q u e r y - m i g r a t e . m i n . j s （ 常 见 的 J a v a S c r i p t 库 ） 的 末 尾 附 加 了 混 淆 的 代 码 ， 如 图 1 所 示 : 改 代 码 会 从 ' s k a t e g i r l c h i n a [ . ] c o m / w p - i n c l u d e s / d a t a f r o m d b _ t o p . p h p . ' 下 载 额 外 的 J a v a S c r i p t 脚 本 。 从 2 0 1 9 年 1 1 月 开 始 发 现 该 网 站 不 再 传 播 恶 意 脚 本 , T u r l a 组 织 似 乎 是 暂 停 了 他 们 的 活 动 。 用 户 指 纹 与 传 播 链 用 户 指 纹 与 传 播 链 访 问 受 感 染 的 网 页 后 ， s k a t e g i r l c h i n a   [ . ] c o m 会 植 入 第 二 阶 段 的 恶 意 J a v a S c r i p t ， 并 为 访 问 者 的 浏 览 器 添 加 指 纹 。 图 2 显 示 了 此 脚 本 的 主 要 功 能 。 如 果 这 是 用 户 浏 览 器 第 一 次 执 行 该 脚 本 ， 它 将 添 加 一 个 e v e r c o o k i e ， 该 c o o k i e 具 有 由 服 务 器 提 供 的 随 机 M D 5 值 ， 该 值 在 每 次 执 行 脚 本 时 都 不 同 。 e v e r c o o k i e 是 基 于 G i t H u b 代 码 实 现 的 。 它 使 用 多 个 存 储 位 置 （ 例 如 本 地 数 据 库 ， F l a s h c o o k i e ， S i l v e r l i g h t 存 储 等 ） 来 存 储 c o o k i e 值 。 与 常 规 C o o k i e 相 比 ， 它 的 持 久 性 更 高 ， 如 果 用 户 只 是 删 除 浏 览 器 的 C o o k i e ， 它 不 会 被 删 除 。 该 e v e r c o o k i e 将 用 于 识 别 用 户 是 否 再 次 访 问 了 受 感 染 的 网 站 。 当 用 户 第 二 次 访 问 时 ， 先 前 存 储 的 M D 5 值 可 以 用 来 识 别 第 二 次 访 问 行 为 。
它 会 收 集 浏 览 器 插 件 列 表 ， 屏 幕 分 辨 率 和 各 种 操 作 系 统 信 息 ， 由 P O S T 发 送 到 C ＆ C 服 务 器 。 如 果 有 答 复 ， 则 认 为 它 是 J a v a S c r i p t 代 码 ， 并 使 用 e v a l 函 数 执 行 。 如 果 攻 击 者 对 感 染 目 标 感 兴 趣 ， 服 务 器 会 用 一 段 J a v a S c r i p t 代 码 进 行 答 复 。 此 活 动 中 T u r l a 只 对 非 常 有 限 的 访 问 网 站 目 标 感 兴 趣 。 之 后 会 向 用 户 显 示 假 的 A d o b e   F l a s h 更 新 警 告 ， 如 图 3 所 示 ， 目 的 是 诱 使 他 们 下 载 恶 意 的 F l a s h 安 装 程 序 。
没 有 观 察 到 任 何 浏 览 器 漏 洞 的 利 用 技 术 ， 活 动 中 仅 依 靠 社 会 工 程 技 巧 。 如 果 用 户 手 动 启 动 了 该 可 执 行 文 件 ， 则 会 安 装 T u r l a 恶 意 软 件 和 合 法 的 A d o b e   F l a s h 程 序 。 图 4 是 从 最 初 访 问 受 感 染 的 亚 美 尼 亚 网 站 后 恶 意 负 载 的 传 递 过 程 。
恶 意 软 件 恶 意 软 件 一 旦 用 户 执 行 了 伪 造 的 安 装 程 序 ， 它 将 同 时 执 行 T u r l a 恶 意 软 件 和 合 法 的 A d o b e   F l a s h 安 装 程 序 。 因 此 ， 用 户 可 能 认 为 更 新 警 告 是 合 法 的 。 S k i p p e r 在 2 0 1 9 年 8 月 前 ， 受 害 人 将 收 到 一 个 R A R - S F X ， 其 中 包 含 一 个 合 法 的 A d o b e   F l a s h   v 1 4 安 装 程 序 和 另 一 个 R A R - S F X 。 后 者 包 含 后 门 的 各 种 组 件 。 最 新 版 本 是 由 T e l s y 在 2 0 1 9 年 5 月 记 录 。 S k i p p e r 通 讯 模 块 使 用 的 远 程 J a v a S c r i p t 和 恶 意 文 件 服 务 器 为 C ＆ C 服 务 器 ， S k a t e g i r l c h i n a   [ . c o m   /   w p - i n c l u d e s   /   m s - l o c a l e . p h p 。 N e t F l a s h   a n d   P y F l a s h
8 月 末 发 现 了 新 的 恶 意 负 载 ， 新 的 恶 意 负 载 是 一 个 . N E T 程 序 ， 它 在 ％ T E M P ％   a d o b e . e x e 中 删 除 了 A d o b e   F l a s h   v 3 2 的 安 装 程 序 ， 在 ％ T E M P ％   w i n h o s t . e x e 中 删 除 了 N e t F l a s h （ . N E T 下 载 程 序 ） 。 根 据 编 译 时 间 戳 记 ， 恶 意 样 本 是 在 2 0 1 9 年 8 月 底 和 2 0 1 9 年 9 月 初 编 译 的 。 N e t F l a s h 负 责 从 硬 编 码 U R L 下 载 其 第 二 阶 段 恶 意 软 件 ， 并 使 用 W i n d o w s 计 划 任 务 建 立 持 久 性 。 图 5 显 示 了 N e t F l a s h 功 能 ， 下 载 名 为 P y F l a s h 的 第 二 阶 段 恶 意 软 件 。 还 发 现 另 一 个 N e t F l a s h 样 本 ， 该 样 本 在 2 0 1 9 年 8 月 底 编 译 ， 具 有 不 同 的 硬 编 码 C ＆ C 服 务 器 ： 1 3 4 . 2 0 9 . 2 2 2   [ . ]   2 0 6 : 1 5 3 6 3 。 第 二 阶 段 后 门 是 p y 2 e x e 可 执 行 文 件 。 p y 2 e x e 是 一 个 P y t h o n 扩 展 ， 用 于 将 P y t h o n 脚 本 转 换 为 W i n d o w s 可 执 行 文 件 。 这 是 T u r l a 开 发 人 员 第 一 次 在 后 门 使 用 P y t h o n 语 言 。 后 门 通 过 H T T P 与 硬 编 码 的 C ＆ C 服 务 器 通 信 。 在 脚 本 的 开 头 指 定 了 C ＆ C   U R L 以 及 用 于 加 密 网 络 通 信 的 其 他 参 数 （ 例 如 A E S 密 钥 和 I V ） ， 如 图 6 所 示 。 该 脚 本 的 主 要 功 能 （ 如 图 7 所 示 ） 将 机 器 信 息 发 送 到 C ＆ C 服 务 器 ， 还 包 括 与 O S 相 关 的 命 令 （ s y s t e m i n f o ， t a s k l i s t ） 和 与 网 络 相 关 的 命 令 （ i p c o n f i g ， g e t m a c ， a r p ） 的 输 出 结 果 。
C ＆ C 服 务 器 还 可 以 以 J S O N 格 式 发 送 后 门 命 令 。 命 令 有 ： 1 、 从 给 定 的 H T T P （ S ） 链 接 下 载 其 他 文 件 。 2 、 使 用 P y t h o n 函 数 s u b p r o c e s s 3 2 . P o p e n 执 行 W i n d o w s 命 令 。 3 、 修 改 W i n d o w s 任 务 ， 定 期 （ 每 X 分 钟 ； 默 认 为 5 分 钟 ） 启 动 恶 意 软 件 。 4 、 杀 死 （ 卸 载 ） 恶 意 软 件 。 为 了 确 认 此 指 令 ， 恶 意 软 件 使 用 以 下 字 符 串 将 P O S T 请 求 发 送 到 C ＆ C 服 务 器 ： 总 结 总 结 T u r l a 仍 将 水 坑 攻 击 作 为 其 初 始 入 侵 目 标 的 策 略 之 一 。 此 活 动 依 社 交 工 程 学 技 巧 ， 利 用 虚 假 的 A d o b e   F l a s h 更 新 警 告 来 诱 使 用 户 下 载 并 安 装 恶 意 软 件 。 另 一 方 面 ， 有 效 载 荷 发 生 了 变 化 ， 可 能 是 为 了 逃 避 检 测 ， 恶 意 负 载 为 N e t F l a s h ， 并 安 装 名 为 P y F l a s h 的 后 门 ， 该 后 门 是 使 用 P y t h o n 语 言 开 发 的 。 I o C s w e b s i t e h t t p : / / w w w . a r m c o n s u l [ . ] r u / u s e r / t h e m e s / a y e p s / d i s t / j s / b u n d l e . 0 e b 0 f 2 c b 2 8 0 8 b 4 b 3 5 a 9 4 . j s h t t p : / / m n p . n k r [ . ] a m / w p - i n c l u d e s / j s / j q u e r y / j q u e r y - m i g r a t e . m i n . j s h t t p : / / a i i s a [ . ] a m / j s / c h a t e m / j s r A 9 b o 8 O 3 P n w 5 w J X E x N h t k U M d f B Y C i f T J c t E J 8 C M g . j s a d g f [ . ] a m
C & C   s e r v e r s h t t p : / / s k a t e g i r l c h i n a [ . ] c o m / w p - i n c l u d e s / d a t a f r o m d b _ t o p . p h p h t t p : / / s k a t e g i r l c h i n a [ . ] c o m / w p - i n c l u d e s / m s - l o c a l e . p h p h t t p : / / 3 7 . 5 9 . 6 0 [ . ] 1 9 9 / 2 0 1 8 / . c o n f i g / a d o b e h t t p : / / 1 3 4 . 2 0 9 . 2 2 2 [ . ] 2 0 6 : 1 5 3 6 3 h t t p : / / 8 5 . 2 2 2 . 2 3 5 [ . ] 1 5 6 : 8 0 0 0 样 本 M I T R E   A T T & C K   t e c h n i q u e s
* 参 考 来 源 ： 参 考 来 源 ： w e l i v e s e c u r i t y ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理