搜索

[15438] 2020-05-31_NaikonAPT组织分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-05-31_NaikonAPT组织分析 N a i k o n   A P T 组 织 分 析 K r i s t o n   F r e e B u f   2 0 2 0 - 0 5 - 3 1 近 期 近 期 C h e c k   P o i n t 发 现 发 现 N a i k o n   A P T 组 织 正 在 对 亚 太 地 区 （ 组 织 正 在 对 亚 太 地 区 （ A P A C ） 国 家 政 府 进 行 网 络 攻 击 活 动 ， 使 用 了 名 为 ） 国 家 政 府 进 行 网 络 攻 击 活 动 ， 使 用 了 名 为 A r i a - b o d y 的 新 后 门 控 制 受 害 者 的 网 络 。 本 报 告 将 详 细 分 析 的 新 后 门 控 制 受 害 者 的 网 络 。 本 报 告 将 详 细 分 析 N a i k o n   A P T 组 织 在 过 去 组 织 在 过 去 5 年 中 使 用 的 战 术 ， 技 术 ， 程 年 中 使 用 的 战 术 ， 技 术 ， 程 序 和 基 础 设 施 。 序 和 基 础 设 施 。 目 标 分 析 目 标 分 析 过 去 的 十 年 中 ， N a i k o n   A P T 一 直 目 标 锁 定 同 一 地 区 ， 包 括 澳 大 利 亚 ， 印 度 尼 西 亚 ， 菲 律 宾 ， 越 南 ， 泰 国 ， 缅 甸 和 文 莱 ， 使 用 了 名 为 A r i a - b o d y 的 后 门 。 目 标 实 体 包 括 外 交 部 ， 科 学 技 术 部 以 及 政 府 所 有 的 部 门 ， 攻 击 者 会 利 用 已 被 攻 陷 的 政 府 组 织 发 动 攻 击 ， 来 试 图 感 染 其 他 目 标 ， 利 用 受 信 任 的 已 知 联 系 人 渗 透 到 新 的 组 织 中 并 扩 展 网 络 。 该 小 组 目 的 是 收 集 情 报 并 监 视 该 国 政 府 ， 攻 击 者 会 从 政 府 部 门 内 受 感 染 的 计 算 机 和 网 络 中 查 找 和 收 集 特 定 文 档 ， 从 可 移 动 驱 动 器 中 提 取 数 据 ， 屏 幕 截 图 和 键 盘 记 录 。 该 组 织 将 受 感 染 的 内 部 服 务 器 用 作 攻 击 和 控 制 服 务 器 ， 防 止 被 目 标 发 现 。 感 染 链 感 染 链 研 究 过 程 中 发 现 几 种 不 同 的 感 染 链 用 于 传 播 A r i a - b o d y 。 最 开 始 时 发 现 从 亚 太 地 区 政 府 使 馆 发 送 给 澳 大 利 亚 州 政 府 的 恶 意 电 子 邮 件 ， 该 电 子 邮 件 名 为 T h e   I n d i a n s   W a y . d o c ， 含 有 恶 意 软 件 R o y a l R o a d ， 加 载 程 序 尝 试 从 s p o o l . j t j e w i f y n . c o m 下 载 并 执 行 下 一 阶 段 的 有 效 负 载 。 观 察 到 了 几 种 不 同 的 感 染 方 法 ： 1 、 R o y a l R o a d 漏 洞 利 用 的 R T F 文 件 2 、 包 含 合 法 可 执 行 文 件 和 恶 意 D L L 的 存 档 文 件 ， 利 用 O u t l o o k 和 A v a s t 代 理 加 载 恶 意 D L L 3 、 直 接 通 过 可 执 行 文 件 加 载 程 序
基 础 设 施 基 础 设 施 最 近 的 行 动 中 ， 攻 击 者 C ＆ C 服 务 器 使 用 了 相 同 的 托 管 和 D N S 服 务 ， 在 多 个 域 中 重 用 了 相 同 的 I P 地 址 ： 域 名 使 用 情 况 ：
工 具 分 析 工 具 分 析 加 载 程 序 分 析 加 载 程 序 分 析 自 2 0 1 7 年 以 来 ， A r i a - b o d y 加 载 程 序 功 能 未 发 生 重 大 变 化 ， 加 载 程 序 负 责 以 下 任 务 ： 1 、 通 过 启 动 文 件 夹 或 注 册 表 建 立 持 久 性 2 、 将 自 身 注 入 到 另 一 个 进 程 ， 例 如 r u n d l l 3 2 . e x e 和 d l l h o s t . e x e 3 、 解 密 两 个 B l o b ： “ 导 入 表 ” 和 “ 加 载 器 配 置 ” 4 、 使 用 D G A 算 法 5 、 与 C ＆ C 地 址 通 信 ， 检 索 下 一 阶 段 有 效 载 荷 6 、 解 密 收 到 的 有 效 载 荷 D L L （ A r i a - b o d y 后 门 ） 7 、 加 载 并 执 行 D L L 的 导 出 功 能
C o n f i g u r a t i o n   &   D G A 加 载 程 序 配 置 经 过 加 密 ， 包 含 以 下 信 息 ： C ＆ C 域 ， 端 口 ， 用 户 代 理 和 域 生 成 算 法 （ D G A ） 种 子 。 如 果 种 子 不 为 零 ， 加 载 程 序 将 根 据 种 子 和 通 信 日 期 使 用 D G A 生 成 C ＆ C 域 。 加 载 程 序 的 配 置 使 用 以 下 算 法 解 密 ： d e f   d e c r y p t b u f ( b u f ) :   k   =   8   j   =   5   f o r   i   i n   r a n g e ( l e n ( b u f ) ) :   x o r b y t e   =   ( k   +   j )   %   0 x f f   b u f [ i ]   =   b u f [ i ]   ^   x o r b y t e   j   =   k   k   = x o r b y t e C & C 服 务 器 获 取 C ＆ C 域 后 ， 加 载 程 序 会 与 下 载 下 一 阶 段 程 序 。 攻 击 者 每 天 在 有 限 的 窗 口 期 操 作 C ＆ C 服 务 器 ， 每 天 仅 在 线 几 个 小 时 。 加 载 程 序 的 最 后 一 个 阶 段 ， 接 收 X O R 密 钥 对 下 载 的 R A T 进 行 解 密 。 A r i a - b o d y   R A T 分 析 分 析 下 载 的 有 效 负 载 是 一 个 自 制 R A T ， 称 为 A r i a - b o d y ， 有 3 2 位 和 6 4 位 两 种 。 R A T 功 能 包 括 ： 1 、 创 建 / 删 除 文 件 / 目 录 2 、 截 屏 3 、 搜 索 文 件 4 、 使 用 S h e l l E x e c u t e 启 动 文 件 5 、 枚 举 进 程 6 、 收 集 文 件 的 元 数 据
7 、 收 集 T C P 和 U D P 表 状 态 列 表 8 、 关 闭 T C P 会 话 9 、 收 集 操 作 系 统 信 息 1 0 、 使 用 c h e c k i p . a m a z o n a w s . c o m 验 证 位 置 A r i a - b o d y 的 变 体 还 包 括 其 他 模 块 ， 例 如 ： 1 、 U S B 数 据 采 集 模 块 2 、 键 盘 记 录 器 模 块 3 、 反 向 代 理 模 块 4 、 加 载 扩 展 模 块 特 征 分 析 特 征 分 析 初 始 化 初 始 化 后 门 包 含 一 个 导 出 的 函 数 ， 执 行 程 序 后 ， 它 将 初 始 化 一 个 名 为 M y D e r i v e d 的 结 构 以 及 用 于 H T T P 和 T C P 连 接 的 结 构 。 信 息 收 集 信 息 收 集 A r i a - b o d y 首 先 在 受 害 者 的 机 器 上 收 集 数 据 ， 包 括 ： 主 机 名 ， 计 算 机 名 ， 用 户 名 ， 域 名 ， W i n d o w s 版 本 ， 处 理 器 M H z ， M a c h i n e G u i d ， 公 共 I P 。
C ＆ ＆ C 通 信 通 信 通 过 H T T P 或 T C P 协 议 与 C ＆ C 服 务 器 进 行 通 信 。 恶 意 软 件 通 过 程 序 配 置 标 志 来 决 定 使 用 哪 种 协 议 。 收 集 的 数 据 与 X O R e d 密 码 和 X O R 密 钥 一 起 送 到 C ＆ C 域 ： O u t l o o k   D L L 研 究 中 发 现 了 非 常 独 特 的 A r i a - b o d y 变 体 ， 变 体 D L L 名 为 o u t l l i b . d l l ， 它 是 O f f i c e . r a r 的 一 部 分 。 它 没 有 从 加 载 程 序 获 得 任 何 配 置 ， 在 变 体 中 包 含 了 硬 编 码 配 置 。 有 效 负 载 具 有 两 个 不 同 的 C ＆ C 域 ： b l o g . t o p t o g e a r   [ . ]   c o m 、 2 0 2 . 9 0 . 1 4 1   [ . ]   2 5 ， 如 果 无 法 解 析 第 一 个 C ＆ C 域 ， 将 使 用 I P 地 址 。
归 属 分 析 归 属 分 析 字 符 串 相 似 字 符 串 相 似 A r i a - b o d y 后 门 具 有 几 个 描 述 恶 意 软 件 功 能 的 调 试 字 符 串 。 这 些 调 试 字 符 串 也 可 以 在 X s F u n c t i o n 后 门 中 找 到 ：
散 列 函 数 相 似 散 列 函 数 相 似 X s F u n c t i o n 和 A r i a - b o d y 加 载 程 序 都 使 用 相 同 的 哈 希 算 法 d j b 2 。 在 X s F u n c t i o n 中 ， 该 函 数 的 名 称 为 X S 0 2 ， 在 A r i a - b o d y 中 ， 其 名 称 为 A z M a n a g e r 。 代 码 相 似 代 码 相 似 A r i a - b o d y 后 门 中 的 某 些 功 能 与 旧 X s F u n c t i o n 后 门 中 的 功 能 相 同 。
基 础 设 施 重 叠 基 础 设 施 重 叠 四 台 C ＆ C 服 务 器 与 m o p o 3   [ . ]   n e t 域 共 享 I P ， 该 域 解 析 I P 为 与 卡 巴 斯 基 报 告 中 提 到 的 域 m y a n m a r t e c h . v i c p   [ . ]   n e t 相 同 。 总 结 总 结 从 这 次 活 动 中 发 现 了 N a i k o n   A P T 组 织 针 对 亚 太 地 区 政 府 的 最 新 工 具 ， 攻 击 者 利 用 了 R o y a l R o a d   R T F 等 通 用 工 具 集 和 特 制 的 后 门 A r i a - b o d y 。 N a i k o n   A P T 组 织 过 去 5 年 中 一 直 处 于 活 动 中 ， 通 过 利 用 新 服 务 器 ， 不 断 变 化 加 载 程 序 ， 无 文 件 加 载 以 及 新 后 门 程 序 阻 止 自 身 被 发 现 分 析 追 溯 。
附 录 附 录 A r i a - b o d y 支 持 命 令 集 支 持 命 令 集 D G A
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理