搜索

[15704] 2020-08-08_DarkCrewFriends黑客组织攻击分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-08-08_DarkCrewFriends黑客组织攻击分析 D a r k C r e w F r i e n d s 黑 客 组 织 攻 击 分 析 K r i s t o n   F r e e B u f   2 0 2 0 - 0 8 - 0 8 C h e c k   P o i n t 研 究 人 员 最 近 发 现 黑 客 组 织 “ D a r k C r e w F r i e n d s ” 发 起 的 攻 击 活 动 ， 其 主 要 目 的 是 利 用 存 在 漏 洞 的 P H P 服 务 器 组 建 僵 尸 网 络 。 攻 击 主 要 利 用 文 件 上 传 漏 洞 ， 上 传 恶 意 P H P   w e b   s h e l l 并 使 用 I R C 通 道 与 C & C 服 务 器 通 信 。 攻 击 者 可 以 利 用 植 入 的 恶 意 软 件 发 起 D D o S 攻 击 或 远 程 执 行 命 令 。 攻 击 分 析 攻 击 分 析 攻 击 链 攻 击 链 示 意 图 如 下 ： 分 析 中 发 现 受 害 者 服 务 器 上 有 一 个 P H P 后 门 ， 攻 击 者 向 存 在 漏 洞 的 目 标 服 务 器 发 送 请 求 ， 绕 过 服 务 器 的 文 件 扩 展 名 检 查 的 同 时 上 传 任 意 文 件 ， 最 终 可 在 目 标 系 统 上 执 行 任 意 代 码 ， 其 中 一 个 漏 洞 就 是 由 D a r k C r e w F r i e n d s 创 建 并 发 布 ， 如 下 图 。 P H P 后 门 攻 击 者 在 受 害 者 的 服 务 器 上 传 了 以 下 w e b   s h e l l 。
代 码 定 义 了 名 为 o s c 的 参 数 ， 执 行 解 压 缩 后 的 b a s e 6 4 字 符 串 ， 另 一 个 版 本 的 P H P 后 门 中 定 义 了 名 为 a n o n 的 参 数 。 成 功 上 传 文 件 后 返 回 值 如 下 ： 解 码 后 程 序 如 下 ： 恶 意 文 件 下 载 后 门 初 始 化 后 ， 攻 击 者 调 用 o s c 的 参 数 ， 执 行 以 下 代 码 ： 解 码 字 符 串 后 发 现
了 下 载 和 执 行 两 个 . a f f 文 件 的 命 令 ， 最 后 会 删 除 所 有 . a f f 文 件 。 解 码 后 命 令 如 下 ： 下 载 了 这 两 个 . a f f 文 件 发 现 实 际 上 是 P H P 和 P e r l 文 件 ， 攻 击 者 隐 藏 文 件 扩 展 名 避 免 被 检 测 。 从 攻 击 日 志 中 获 得 了 攻 击 者 的 源 I P 地 址 1 9 0 . 1 4 5 . 1 0 7 . 2 2 0 ， 相 关 联 域 名 为 l u b r i s a n a [ . ] c o m 。 研 究 人 员 还 调 查 了 p k a l e x e i v i c [ . ] c o m 域 的 历 史 记 录 ， 该 域 曾 用 于 存 储 恶 意 的 . a f f 文 件 ， 并 发 现 时 间 上 存 在 相 似 之 处 。 恶 意 软 件 分 析 恶 意 软 件 分 析 攻 击 者 使 用 的 恶 意 软 件 具 有 如 下 功 能 ： 1 、 同 时 开 启 多 个 进 程 2 、 暂 停 脚 本 执 行 ， 避 免 被 检 测 3 、 远 程 执 行 命 令 4 、 提 取 主 机 上 所 有 正 在 运 行 的 服 务 5 、 下 载 上 传 F T P 文 件 6 、 扫 描 端 口 7 、 发 起 多 种 类 型 D D O S 攻 击 8 、 执 行 多 个 I R C 命 令 恶 意 软 件 使 用 I R C 协 议 进 行 通 信 ， 攻 击 者 可 在 I R C 信 道 中 执 行 各 种 命 令 。 D D o S 攻 击 类 型 会 通 过 P R I V M S G （ I R C 用 户 之 间 传 输 的 私 人 消 息 ） 发 送 给 攻 击 者 ， 并 从 C & C 回 复 中 获 取 所 需 的 操 作 。
攻 击 者 利 用 以 下 函 数 下 载 并 执 行 文 件 ， 在 目 标 系 统 上 执 行 代 码 ： 攻 击 者 还 可 以 在 受 影 响 的 计 算 机 上 执 行 s h e l l 命 令 ， 命 令 由 C & C 服 务 器 发 送 ：
上 传 下 载 代 码 如 下 ： 分 析 中 发 现 恶 意 软 件 变 种 在 网 上 广 泛 传 播 ：
G i t h u b 源 码 ： 攻 击 者 调 查 攻 击 者 调 查 根 据 代 码 和 情 报 分 析 ， 这 次 攻 击 与 黑 客 组 织 D a r k C r e w F r i e n d s 有 关 。 以 下 是 一 些 线 索 ：
D a r k C r e w F r i e n d s 在 w e b   s h e l l 代 码 中 的 签 名 ： b o t   a d m i n 中 的 r e a l n a m e 字 段 ： 该 组 织 曾 与 一 家 意 大 利 新 闻 网 站 的 黑 客 攻 击 活 动 有 关 ： 在 黑 客 论 坛 中 进 行 了 更 深 入 的 搜 索 后 找 到 名 为 “   S O U L D R K ” 的 用 户 ， 该 用 户 公 开 了 该 组 织 的 漏 洞 利 用 情 况 。 在 查 看 黑 客 论 坛 中 该 用 户 的 帖 子 时 ， 推 测 该 用 户 使 用 的 可 能 是 意 大 利 语 。 该 组 织 提 供 不 同 的 服 务 ， 所 有 的 服 务 都 有 明 确 定 价 ， 付 款 仅 以 B T C 为 单 位 。 这 些 帖 子 发 布 于 2 0 1 3 年 至 2 0 1 5 年 之 间 ， 2 0 1 9 年 9 月 发 现 以 下 最 新 帖 子 ：
I O C s C & C   s e r v e r 1 8 2 [ . ] 5 3 . 2 2 0 . 8 1 D o m a i n s p k a l e x e i v i c [ . ] c o m F i l e s   h a s h e s 5 2 f e d 9 5 c 6 4 2 8 c e c a 3 9 8 d 6 0 1 a 0 f 0 a 6 a 3 6 d e d b 5 1 7 9 9 a e 2 8 f 5 6 f 4 e 7 8 9 9 1 7 2 2 6 d d 8 4 0 f 3 0 6 2 e 2 2 d 8 f a c f a 0 5 e 6 e 6 a 1 2 9 9 b 3 4 d 6 b c b f 7 c 2 2 a a 6 5 2 4 1 f 6 e 3 3 2 b 7 1 d c c 8 0 e 1 5 参 考 来 源 参 考 来 源 c h e c k p o i n t 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理