搜索

[15260] 2020-04-16_伊组织对美发起新一轮攻击

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-04-16_伊组织对美发起新一轮攻击 伊 组 织 对 美 发 起 新 一 轮 攻 击 K r i s t o n   F r e e B u f   2 0 2 0 - 0 4 - 1 6 研 究 人 员 近 期 发 现 了 研 究 人 员 近 期 发 现 了 A P T 3 4 利 用 新 工 具 集 进 行 的 网 络 活 动 。 根 据 此 次 发 现 的 网 络 钓 鱼 文 件 ， 伊 朗 黑 客 组 织 将 美 利 用 新 工 具 集 进 行 的 网 络 活 动 。 根 据 此 次 发 现 的 网 络 钓 鱼 文 件 ， 伊 朗 黑 客 组 织 将 美 国 国 W e s t a t 员 工 或 员 工 或 W e s t a t 提 供 服 务 的 组 织 作 为 攻 击 目 标 。 提 供 服 务 的 组 织 作 为 攻 击 目 标 。 W e s t a t 是 一 家 美 国 公 司 ， 为 美 国 政 府 机 构 以 及 企 业 ， 基 是 一 家 美 国 公 司 ， 为 美 国 政 府 机 构 以 及 企 业 ， 基 金 会 以 及 州 和 地 方 政 府 提 供 研 究 服 务 。 金 会 以 及 州 和 地 方 政 府 提 供 研 究 服 务 。 A P T 3 4 背 景 背 景 A P T 3 4 （ 也 称 为 O i l R i g 或 H e l i x   K i t t e n ） 是 由 伊 朗 政 府 支 持 的 网 络 间 谍 组 织 ， 自 2 0 1 4 年 以 来 一 直 活 跃 。 该 组 织 的 目 标 多 为 国 际 组 织 ， 主 要 集 中 在 中 东 地 区 。 他 们 的 目 标 行 业 包 括 政 府 机 构 ， 金 融 服 务 ， 能 源 和 公 共 服 务 ， 电 信 以 及 石 油 和 天 然 气 。 2 0 1 9 年 4 月 ， 该 组 织 信 息 被 揭 露 ， 包 括 受 害 者 数 据 ， 黑 客 工 具 源 代 码 和 A P T 3 4 操 作 的 数 据 （ W e b   S h e l l 和 域 信 息 ） 。 最 近 ， F i r e E y e 揭 露 了 A P T 3 4 进 行 的 鱼 叉 式 网 络 钓 鱼 攻 击 ， 两 次 活 动 所 使 用 的 技 术 和 工 具 相 似 ， 够 确 定 此 次 针 对 W e s t a t 的 攻 击 也 是 同 一 个 组 织 所 为 。 初 始 攻 击 初 始 攻 击 在 2 0 2 0 年 1 月 下 旬 发 现 了 名 为 s u r v e y . x l s 的 文 件 ， 该 文 件 看 起 来 像 是 针 对 W e s t a t 员 工 或 W e s t a t 客 户 量 身 定 制 的 员 工 满 意 度 调 查 。 最 初 电 子 表 格 是 空 白 的 ， 仅 当 受 害 者 启 用 宏 后 调 查 表 才 会 显 示 给 用 户 ， 恶 意 V B A 代 码 开 始 执 行 。 V B A 将 z i p 文 件 解 压 到 临 时 文 件 夹 中 ， 提 取 “ C l i e n t   u p d a t e . e x e ” 可 执 行 文 件 并 将 其 安 装 到 “ C : U s e r s v a l s C l i e n t u p d a t e . e x e ” 。 “ C l i e n t   u p d a t e . e x e ” 是 T O N E D E A F 恶 意 软 件 修 改 版 本 ， 将 其 命 名 为 T O N E D E A F   2 . 0 。 最 后 ， c r t t 函 数 创 建 计 划 任 务 “ C h e c k U p d a t e ” 。
提 取 的 V B A 代 码 和 功 能 与 F i r e E y e 报 告 中 分 析 的 代 码 相 似 ： 此 外 还 发 现 了 一 个 类 似 的 文 件 ， 名 为 “ E m p l o y e e   s a t i s f a c t i o n   s u r v e y . x l s ” 。
该 文 档 的 “ 代 码 页 ” 字 段 是 阿 语 ， 可 见 阿 语 是 文 档 作 者 M i c r o s o f t   E x c e l 版 本 上 安 装 的 首 选 语 言 ： T O N E D E A F   2 . 0 “ C l i e n t   u p d a t e . e x e ” 看 起 来 是 一 个 全 新 的 后 门 恶 意 软 件 ， 进 一 步 的 检 查 显 示 它 是 一 个 修 改 版 本 。 T O N E D E A F 后 门 通 过 H T T P 与 命 令 和 控 制 服 务 器 通 信 ， 接 收 和 执 行 命 令 。 F i r e E y e 最 近 的 报 告 中 提 到 了 该 工 具 是 A P T 3 4 组 织 定 制 工 具 之 一 。 T O N E D E A F   2 . 0 与 原 始 版 本 的 目 的 相 同 ， 但 是 它 有 一 个 经 过 改 进 的 C 2 通 信 协 议 和 代 码 库 。 与 原 来 的 T O N E D E A F 不 同 ， T O N E D E A F   2 . 0 只 包 含 s h e l l 执 行 功 能 ， 不 支 持 任 何 预 定 义 的 命 令 。 它 还 包 含 了 动 态 导 入 、 字 符 串 解 码 和 目 标 欺 骗 等 新 方 法 。 在 执 行 时 程 序 会 检 查 是 否 以 “ … ” 作 为 参 数 执 行 ， 如 果 在 没 有 正 确 参 数 ， 例 如 通 过 双 击 启 动 它 。 它 将 向 用 户 显 示 一 个 空 白 的 窗 口 ， 使 恶 意 软 件 看 起 来 像 一 个 合 法 的 应 用 程 序 。
T O N E D E A F   2 . 0 还 隐 藏 A P I ， a p i 名 称 以 及 d l l 被 存 储 为 字 符 串 ， 在 运 行 时 按 需 解 码 和 解 析 。 C 2 通 信 通 信 后 门 使 用 H T T P 进 行 C 2 通 信 ， 具 有 自 定 义 编 码 和 通 信 机 制 。 后 门 发 送 的 消 息 包 含 H T T P 查 询 参 数 “ ? s e r = < 6   d i g i t s > ” 作 为 标 识 符 。 前 三 位 是 ， 后 三 位 是 。 消 息 格 式 ： 1 、 G E T   / d o w ? s e r =   请 求 消 息 ， 用 于 从 服 务 器 获 取 要 执 行 的 命 令 。 2 、 P O S T   / u p l ? s e r = =   回 复 命 令 消 息 ， 将 执 行 的 命 令 结 果 发 送 到 服 务 器 。 在 分 析 过 程 中 C 2 处 于 活 动 状 态 ， 但 不 断 向 请 求 回 复 4 0 3   F o r b i d d e n   H T T P 错 误 代 码 。 C 2 可 能 正 在 过 滤 目 标 ， 分 析 中 发 送 的 c l i e n t _ i d 参 数 与 目 标 受 害 者 参 数 不 匹 配 。 如 果 C 2 接 受 了 I D ， 将 使 用 和 后 门 需 要 执 行 的 命 令 的 编 码 消 息 进 行 回 复 。
该 恶 意 软 件 将 在 命 令 前 添 加 “   c m d   U   c ” 来 执 行 该 命 令 ， 并 使 用 P O S T 回 复 消 息 将 命 令 结 果 发 送 回 C 2 。 当 通 过 浏 览 器 访 问 C 2 时 ， 该 站 点 尝 试 模 仿 h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / ， 由 于 C S S 配 置 错 误 无 法 正 确 显 示   ： 还 发 现 最 近 已 生 成 与 C 2 域 匹 配 的 S S L 证 书 ：
表 明 攻 击 者 正 在 过 渡 到 H T T P S 通 信 ， 提 高 其 O P S E C 功 能 并 避 免 检 测 。 原 始 原 始 T O N E D E A F 痕 迹 痕 迹 通 过 对 更 改 和 新 增 部 分 的 分 析 ， 有 足 够 证 据 可 将 T O N E D E A F   2 . 0 与 T O N E D E A F 聚 类 在 一 起 。 虽 然 大 部 分 代 码 已 被 修 改 ， 但 总 体 流 程 和 功 能 相 似 。 C 2 通 信 不 同 ， 但 仍 然 与 T O N E D E A F 相 似 ， 例 如 对 受 害 者 和 服 务 器 使 用 三 位 数 字 标 识 符 。 此 外 ， 两 种 恶 意 软 件 中 都 在 W i n d o w s 状 态 栏 中 创 建 了 一 个 通 知 图 标 。
V A L U E V A U L T   2 . 0 目 前 无 法 下 载 其 他 模 块 ， 但 是 可 以 确 认 活 动 中 使 用 了 V A L U E V A U L T 。 它 是 G o l a n g 中 内 置 的 浏 览 器 凭 证 盗 窃 工 具 ， 是 F i r e E y e 在 分 析 A P T 3 4 操 作 时 发 现 的 。 用 户 上 传 的 V A L U E V A U L T 和 T O N E D E A F   2 . 0 ， 与 同 一 用 户 上 载 到 V i r u s T o t a l 的 S u r v e y . x l s 文 件 仅 相 隔 几 分 钟 ， 表 明 这 些 恶 意 软 件 属 于 攻 击 的 一 部 分 。 与 以 前 的 版 本 相 比 ， 此 V A L U E V A U L T 采 用 了 更 为 简 化 的 方 法 ， 舍 弃 了 许 多 功 能 和 字 符 串 ，   现 在 仅 支 持 C h r o m e 密 码 转 储 。 此 外 ， V A L U E V A U L T   2 . 0 是 6 4 位 二 进 制 文 件 ， 而 V A L U E V A U L T   1 . 0 是 3 2 位 二 进 制 文 件 。 总 结 总 结 上 个 月 A P T 3 4 的 最 后 一 次 操 作 是 由 F i r e E y e 揭 露 的 ， 从 目 前 的 调 查 结 果 来 看 ， 本 次 针 对 美 国 公 司 的 网 络 攻 击 行 为 也 是 该 组 织 所 为 。 对 恶 意 软 件 变 种 技 术 分 析 显 示 ， 该 组 织 已 投 入 大 量 精 力 来 升 级 其 工 具 集 ， 逃 避 检 测 。 I O C s m a n y g o o d n e w s [ . ] c o m c 1 0 c d 1 c 7 8 c 1 8 0 b a 6 5 7 e 3 9 2 1 e e 9 4 2 1 b 9 a b d 5 b 9 6 5 c 4 c d f a a 9 4 a 5 8 e 3 8 3 b 4 5 b b 7 2 c a 4 c 3 2 3 b c 1 1 9 8 2 b 9 5 2 6 6 7 3 2 c 0 1 6 4 5 c 3 9 6 1 8 5 5 0 e 6 8 f 2 5 c 3 4 f 6 d 3 d 7 9 2 8 8 e a e 7 d 4 3 7 8 a 8 9 7 1 6 4 e 3 5 4 7 f 0 c e 3 a a a 4 7 6 b 0 3 6 4 a 2 0 0 7 6 9 e 8 c 0 7 c e 8 2 5 b c f d c 4 3 9 3 9 d d 1 3 1 4 b b 1 2 0 b 3 d 0 4 6 e d 6 1 7 b 7 3 3 6 1 5 6 a 6 4 a 0 5 5 0 d 4 1 6 a f d d 8 0 a 2 c 3 2 c e 3 3 2 b e 6 b b f d 4 8 2 9 8 3 2 c d 6 1 e e c d 7 4 9 2 d f a 4 6 1 3 4 4 0 7 6 a 9 3 f c 2 6 6 8 d c 2 8 9 4 3 7 2 4 1 9 0 f a f 3 d 9 3 9 0 f 8 4 0 3 b 6 4 1 1 * 参 考 来 源 ： 参 考 来 源 ： i n t e z e r ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理