搜索

[16013] 2020-10-26_IAmTheKing恶意软件家族分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-10-26_IAmTheKing恶意软件家族分析 I   A m   T h e   K i n g 恶 意 软 件 家 族 分 析 K r i s t o n   F r e e B u f   2 0 2 0 - 1 0 - 2 6 2 0 2 0 年 1 0 月 1 日 ， D H S   C I S A 发 布 了 S l o t h f u l M e d i a 恶 意 软 件 家 族 信 息 ； 2 0 1 8 年 6 月 ， 研 究 人 员 基 于 未 知 家 庭 恶 意 软 件 样 本 中 的 字 符 串 发 ， 布 了 名 为 I A m T h e K i n g 家 族 的 第 一 份 报 告 。 本 文 主 要 对 I A m T h e K i n g 恶 意 软 件 家 族 进 行 分 析 。 I A m T h e K i n g K i n g O f H e a r t s 这 是 一 个 C + + 后 门 ， 它 具 有 E X E 或 D L L 变 体 ， 该 家 族 可 追 溯 到 2 0 1 4 年 。 它 是 通 过 恶 意 W o r d 文 档 的 鱼 叉 式 网 络 钓 鱼 电 子 邮 件 传 播 的 ， 目 前 无 法 获 取 其 中 的 样 本 。 它 通 过 P o w e r S h e l l 脚 本 对 目 标 进 行 渗 透 ， 该 脚 本 从 远 程 服 务 器 下 载 隐 藏 在 镜 像 文 件 中 的 有 效 负 载 。 K i n g O f H e a r t s 基 本 功 能 ： 任 意 命 令 执 行 文 件 系 统 操 作 ： 列 出 驱 动 器 和 文 件 ， 删 除 ， 上 传 和 下 载 数 据 等 列 出 正 在 运 行 的 进 程 ， 并 可 终 止 其 中 任 何 一 个 捕 获 屏 幕 截 图 恶 意 软 件 开 发 人 员 没 有 开 发 复 杂 的 功 能 ， 后 门 每 秒 通 过 向 C 2 发 送 心 跳 （ “   H E A R T ” 命 令 ， 因 此 命 名 ） 来 寻 找 新 命 令 。 目 前 确 定 了 两 个 主 要 的 开 发 分 支 ： 一 个 是 发 送 u r l 编 码 的 P O S T 数 据 ， 另 一 个 是 发 送 J S O N 数 据 ， 两 者 同 时 使 用 。 Q u e e n O f H e a r t s Q u e e n O f H e a r t s 出 现 在 2 0 1 7 年 ， 由 E S E T 判 定 其 隶 属 于 P o w e r P o o l 家 庭 。 Q u e e n O f H e a r t s 通 过 H T T P 与 C 2 服 务 器 进 行 交 互 。 它 发 送 简 单 的 G E T 请 求 ， 其 中 包 含 后 门 标 识 符 和 可 选 的 受 害 机 器 信 息 ， 然 后 读 取 位 于 答 复 C o o k i e 头 中 的 命 令 。 命 令 采 用 两 字 母 代 码 形 式 （ 例 如 ： “   x e ” 列 出 驱 动 器 ） 。 目 前 该 系 列 仍 处 于 开 发 中 ， 已 经 观 察 到 代 码 重 构 以 及 2 0 2 0 年 代 码 升 级 。 Q u e e n O f C l u b s 调 查 过 程 中 发 现 另 一 种 恶 意 软 件 与 Q u e e n O f H e a r t s 扮 演 着 相 同 的 角 色 。   此 C   + + 后 门 还 提 供 与 K i n g O f H e a r t s 类 似 的 功 能 ， 并 具 有 执 行 P o w e r s h e l l 脚 本 的 功 能 。   区 别 在 于 截 图 捕 获 功 能 直 接 嵌 入 在 程 序 中 ， 而 不 是 由 单 独 的 程 序 处 理 。 与 Q u e e n O f H e a r t s 关 联 点 ： 两 种 恶 意 软 件 中 都 可 以 找 到 相 同 的 硬 编 码 文 件 名 许 多 命 令 和 控 制 服 务 器 同 时 处 理 来 自 两 个 系 列 的 流 量 Q u e e n O f H e a r t s 和 Q u e e n O f C l u b s 有 时 会 同 时 部 署 在 受 感 染 的 计 算 机 上 J a c k O f H e a r t s J a c k O f H e a r t s 是 Q u e e n O f H e a r t s 的 植 入 程 序 ： 其 作 用 是 将 恶 意 软 件 写 入 磁 盘 上 的 某 个 位 置 （ 例 如 ： % A p p D a t a % m e d i a p l a y e r . e x e ） ， 并 创 建 指 向 该 恶 意 软 件 的 W i n d o w s 服 务 以 及 启 动 文 件 夹 快 捷 方 式 。 植 入 程 序 在 ％ T E M P ％ 文 件 夹 中 创 建 一 个 自 我 删 除 程 序 ， 将 其 自 身 从 文 件 系 统 中 删 除 。 截 至 2 0 2 0 年 ， J a c k O f H e a r t s 仍 用 于 部 署 Q u e e n O f H e a r t s 。 P o w e r s h e l l 后 门 后 门 I A m T h e K i n g 还 利 用 P o w e r s h e l l 脚 本 。 恶 意 文 档 中 包 含 伪 装 为 W o r d 文 档 的 L N K 文 件 ， 单 击 这 些 链 接 将 执 行 P o w e r s h e l l 后 门 ， 后 门 会 隐 藏 在 自 定 义 W i n d o w s 事 件 日 志 中 ， 通 过 H T T P S ， D N S ， P O P 3 S 检 索 其 他 脚 本 。 C 2 服 务 器 提 供 P N G 文 件 ， 其 中 包 含 其 他 的 P o w e r s h e l l 脚 本 ， 此 代 码 来 自 开 源 项 目 I n v o k e - P S I m a g e 。 攻 击 者 可 以 在 受 害 机 器 上 安 装 组 件 ： 信 息 窃 取 组 件 ： 收 集 在 受 害 者 计 算 机 上 的 所 有 文 档 ， 通 过 电 子 邮 件 发 送 回 攻 击 者 。 命 令 执 行 组 件 ： 可 从 D N S   T X T 记 录 获 取 命 令 。 信 息 收 集 组 件 ： 负 责 通 过 W M I 查 询 收 集 正 在 运 行 的 进 程 ， 磁 盘 驱 动 器 和 已 安 装 的 程 序 。 它 还 会 窃 取 C h r o m e 浏 览 器 保 存 的 密 码 。 扩 展 程 序 组 件 ： 列 出 连 接 到 域 的 计 算 机 ， 并 尝 试 在 每 个 计 算 机 上 打 开 共 享 ， 复 制 二 进 制 文 件 并 创 建 远 程 计 划 任 务 。 键 盘 记 录 组 件 攻 击 者 通 过 上 述 任 何 工 具 获 得 了 对 计 算 机 的 访 问 权 限 就 会 进 行 横 向 渗 透 。 受 害 者 受 害 者 I A m T h e K i n g 一 直 专 注 于 从 俄 罗 斯 收 集 情 报 。   受 害 者 包 括 政 府 机 构 和 国 防 承 包 商 ， 公 共 发 展 机 构 ， 能 源 部 门 、 大 学 和 公 司 。 K i n g O f H e a r t s ， Q u e e n O f H e a r t s 最 新 版 本 的 J a c k O f H e a r t s 都 包 含 专 门 针 对 俄 语 字 符 集 的 代 码 ：
2 0 2 0 年 在 中 亚 和 东 欧 国 家 发 现 了 涉 及 I A m T h e K i n g 的 攻 击 事 件 。   D H S   C I S A 还 报 告 了 其 在 乌 克 兰 和 马 来 西 亚 的 活 动 。   但 是 数 据 表 明 ， 俄 罗 斯 是 I A m T h e K i n g 的 主 要 攻 击 目 标 。 总 结 总 结 尽 管 最 近 才 发 现 I A m T h e K i n g 的 活 动 ， 但 其 已 经 活 跃 了 几 年 。 根 据 I A m T h e K i n g 所 获 取 的 信 息 类 型 ， 我 们 认 为 它 是 由 国 家 赞 助 研 发 的 。 它 的 工 具 集 正 在 迅 速 发 展 ， 并 且 在 尝 试 使 用 非 标 准 的 通 信 渠 道 。 该 组 织 精 通 传 统 的 渗 透 测 试 方 法 和 P o w e r s h e l l 脚 本 渗 透 。 Y A R A   r u l e s r u l e   a p t _ I A m T h e K i n g _ K i n g O f H e a r t s   { m e t a : d e s c r i p t i o n   =   “ M a t c h e s   I A m T h e K i n g ’ s   K i n g O f H e a r t s   C + +   i m p l a n t ” a u t h o r   =   “ K a s p e r s k y   L a b ” c o p y r i g h t   =   “ K a s p e r s k y   L a b ” v e r s i o n   =   “ 1 . 0 ” t y p e   =   “ A P T ” f i l e t y p e   =   “ P E ” l a s t _ m o d i f i e d   =   “ 2 0 2 0 - 0 1 - 2 0 ” s t r i n g s : $ p a y l o a d _ f m t   =   “ c o o k i e = % s ; t y p e = % s ; l e n g t h = % s ; r e a l d a t a = % s e n d ”   a s c i i $ c m d 1   =   “ H E A R T ”   a s c i i $ c m d 2   =   “ C M D I N F O ”   a s c i i $ c m d 3   =   “ P R O C E S S I N F O ”   a s c i i $ c m d 4   =   “ L I S T D R I V E ”   a s c i i $ c m d 5   =   “ L I S T F I L E ”   a s c i i $ p a y l o a d _ f m t   o r   a l l   o f   ( $ c m d * ) ) } r u l e   a p t _ I A m T h e K i n g _ K i n g O f H e a r t s _ j s o n   { m e t a : d e s c r i p t i o n   =   “ M a t c h e s   I A m T h e K i n g ’ s   K i n g O f H e a r t s   J S O N   C + +   i m p l a n t ” a u t h o r   =   “ K a s p e r s k y   L a b ” c o p y r i g h t   =   “ K a s p e r s k y   L a b ” v e r s i o n   =   “ 1 . 0 ” t y p e   =   “ A P T ” f i l e t y p e   =   “ P E ” l a s t _ m o d i f i e d   =   “ 2 0 2 0 - 0 1 - 2 0 ” s t r i n g s : $ u s e r _ a g e n t   =   “ M o z i l l a / 4 . 0   ( c o m p a t i b l e ;   ) ”   a s c i i $ e r r o r   =   “ w r i t e   i n f o   f a i l ! ! !   G e t L a s t E r r o r → % u ”   a s c i i $ m u l t i p a r t   =   “ C o n t e n t - T y p e :   m u l t i p a r t / f o r m - d a t a ;   b o u n d a r y = — M U L T I - P A R T S - F O R M - D A T A - B O U N D A R Y x 0 D x 0 A ”   a s c i i c o n d i t i o n : u i n t 1 6 ( 0 )   = =   0 x 5 A 4 D   a n d   f i l e s i z e   <   1 M B   a n d   a l l   o f   t h e m } r u l e   a p t _ I A m T h e K i n g _ Q u e e n O f H e a r t s _ 2 0 2 0   { m e t a : a u t h o r   =   “ K a s p e r s k y ” c o p y r i g h t   =   “ K a s p e r s k y ” v e r s i o n   =   “ 1 . 0 ” t y p e   =   “ A P T ” f i l e t y p e   =   “ P E ” d e s c r i p t i o n   =   “ F i n d   I A m T h e K i n g ’ s   Q u e e n O f H e a r t s   2 0 2 0   v a r i a n t s ” l a s t _ m o d i f i e d   =   “ 2 0 2 0 - 0 9 - 2 9 ” s t r i n g s : $ s 1   =   “ w w w . y a h o o . c o m “   f u l l w o r d   w i d e
“ 8 A A A A H i c J Y 9 H D s I w F A X n M m Q H I s G U L K K I U P Z w A 0 S N q C E I c X w G I + v L 7 8 1 v d k n N j R 1 7 P v Q 4 8 e L K h Z K G l s J M w o E 7 T 2 n B i p S K N Q t p y 0 P S l S S q R r 0 j 1 2 0 8 W V R p r N q a 6 V s 3 j u 6 s ” a s c i i “ k g A A A H i c H Y y 7 D o J A E E X P p 2 x M K J V E e h o K S w s L S q M L C R h 5 B D T K 3 3 v W T H b u z p k 7 N z L Q E M i J 9 p m J D y 0 L K 5 3 6 t A 7 q 1 x f Y c V J f 7 K * 6 j l z 5 y G J s i C t d N + 8 X J 1 q 9 y M F R 6 7 y S f / M ” a s c i i “ 2 g A A A H i c H Y / J D o J A E A X r Z + S m E U S U A y E u e N c / M O B C V F w w x s + 3 n E w 6 / V 7 1 l i l p 6 W g 4 8 G X E m T c 3 r p Q 8 6 S m s R B y 5 8 5 I W b I l Z s q O S 9 j w k Q 0 m k e q o b c t 3 e l w Q V h 6 7 a y t i + W X A X ” a s c i i $ s 5   =   “ M y S c r e e n . j p g ”   f u l l w o r d   w i d e $ s 6   =   “ b e g i n   m a i n t h r e a d ”   f u l l w o r d   w i d e $ s 7   =   “ b e g i n   m a i n t h r e a d   o k ”   f u l l w o r d   w i d e $ s 8   =   “ g e t c o m m a n d   e r r o r ”   f u l l w o r d   w i d e $ s 9   =   “ q u e r y c o d e   e r r o r ”   f u l l w o r d   w i d e $ s 1 0   =   “ { ‘ s e s s i o n ’ : [ { ‘ n a m e ’ : ’ a d m i n _ 0 0 1 ’ , ’ i d ’ : 2 1 , ’ t i m e ’ : 1 2 8 3 6 1 2 3 } ] , ’ j p g ’ : ”   f u l l w o r d   a s c i i $ s 1 1   =   “ c o o k i e   s i z e   : % d ”   f u l l w o r d   w i d e $ s 1 2   =   “ s e n d   r e q u e s t   e r r o r : % d ”   f u l l w o r d   w i d e $ s 1 3   =   “ A A B B C C D D E E F F G G H H ”   f u l l w o r d   w i d e $ s 1 4   =   “   i n f l a t e   1 . 2 . 8   C o p y r i g h t   1 9 9 5 - 2 0 1 3   M a r k   A d l e r   “   f u l l w o r d   a s c i i $ s 1 5   =   “   T y p e   D e s c r i p t o r ’ ”   f u l l w o r d   a s c i i $ s 1 6   =   “   c o n s t r u c t o r   o r   f r o m   D l l M a i n . ”   f u l l w o r d   a s c i i $ s 1 7   =   “   B a s e   C l a s s   D e s c r i p t o r   a t   ( “   f u l l w o r d   a s c i i $ e x   =   “ p i n g   1 2 7 . 0 . 0 . 1 ”   a s c i i   f u l l w o r d c o n d i t i o n : (   u i n t 1 6 ( 0 )   = =   0 x 5 A 4 D   )   a n d (   f i l e s i z e   >   7 0 K B   a n d   f i l e s i z e   <   3 M B   )   a n d (   1 2   o f   t h e m   )   a n d (   n o t   $ e x   ) } I O C 0 0 E 4 1 5 E 7 2 A 4 F C 8 6 3 4 D 4 D 3 8 1 5 6 8 3 C E 8   K i n g O f H e a r t s   ( u r l e n c o d e   v a r i a n t ) 4 E 2 C 2 E 8 2 F 0 7 6 A D 0 B 5 D 1 F 2 5 7 7 0 6 A 5 D 5 7 9   K i n g O f H e a r t s   ( J S O N   v a r i a n t ) A B 9 5 6 6 2 3 B 3 A 6 C 2 A C 5 B 1 9 2 E 0 7 B 7 9 C B B 5 B   Q u e e n O f H e a r t s 4 B B D 5 8 6 9 A A 3 9 F 1 4 4 F A D D A D 8 5 B 5 E E C A 1 2   Q u e e n O f H e a r t s 4 0 7 6 D D A F 9 5 5 5 0 3 1 B 3 3 6 B 0 9 E B A B 4 0 2 B 9 5   Q u e e n O f H e a r t s 0 9 6 F 7 0 8 4 D 2 7 4 1 6 6 4 6 2 D 4 4 5 A 7 6 8 6 D 1 E 5 C   Q u e e n O f H e a r t s 2 9 A A 5 0 1 4 4 7 E 6 E 2 0 7 6 2 8 9 3 A 2 4 B F C E 0 5 E 9   Q u e e n O f C l u b s 9 7 c 6 c f a 1 8 1 c 8 4 9 e b 8 7 7 5 9 5 1 8 e 2 0 0 8 7 2 f   J a c k O f H e a r t s 7 D B 4 F 1 5 4 7 D 0 E 8 9 7 E F 6 E 6 F 0 1 E C 8 4 3 1 4   S c r e e n s h o t   c a p t u r e   u t i l i t y 6 0 D 7 8 B 3 E 0 D 7 F F E 1 4 A 5 0 4 8 5 A 1 9 4 3 9 2 0 9 B   M a l i c i o u s   L N K 9 0 E F 5 3 D 0 2 5 E 0 4 3 3 5 F 1 A 7 1 C B 9 A A 6 D 6 5 9 2   K e y l o g g e r 原 文 链 接 原 文 链 接 h t t p s : / / s e c u r e l i s t . c o m / i a m t h e k i n g - a n d - t h e - s l o t h f u l m e d i a - m a l w a r e - f a m i l y / 9 9 0 0 0 / 精 彩 推 荐 精 彩 推 荐

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理