搜索

[28126] 2020-02-04_WinntiHackersGroup通过供应链攻击启动新的恶意软件，以在Windows中注入后门程序

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2020-02-04_WinntiHackersGroup通过供应链攻击启动新的恶意软件，以在Windows中注入后门程序 W i n n t i   H a c k e r s   G r o u p 通 过 供 应 链 攻 击 启 动 新 的 恶 意 软 件 ， 以 在 W i n d o w s 中 注 入 后 门 程 序 O t s 安 全   2 0 2 0 - 0 2 - 0 4 研 究 人 员 从 W i n n t i 威 胁 小 组 发 现 了 一 个 新 的 恶 意 软 件 活 动 ， 该 活 动 利 用 供 应 链 攻 击 和 一 组 新 的 工 件 将 新 的 后 门 注 入 W i n d o w s 计 算 机 。 自 2 0 1 3 年 以 来 ， 对 W i n n t i   集 团 的 活 动 进 行 了 监 控 ， 从 那 时 起 ， 它 就 一 直 针 对 居 住 在 亚 洲 的 各 个 私 营 部 门 ， 包 括 航 空 ， 游 戏 ， 制 药 ， 软 件 开 发 ， 电 信 和 技 术 。 E S E T 的 研 究 人 员 发 现 了 一 个 V M P r o t e c t e d 打 包 程 序 ， 该 打 包 程 序 用 于 使 用 密 码 和 密 钥 生 成 技 术 来 传 送 称 为 P o r t R e u s e 的 后 门 程 序 ， 并 且 还 传 送 了 另 一 个 称 为 S h a d o w p a d 的 恶 意 软 件 。 在 这 项 研 究 中 发 现 了 各 种 工 件 ， 并 发 现 它 使 用 相 同 的 技 术 ， 事 件 关 系 和 各 种 针 对 性 攻 击 的 代 码 。
W i n n t i 小 组 被 认 为 是 近 来 具 有 不 同 威 胁 参 与 者 的 别 名 ， 包 括 W i n n t i 伞 ， A x i o m ， 7 2 组 ， A P T 4 1 ， B l a c k f l y 和 S u c k f l y 。 此 外 ， 它 还 负 责 最 近 发 现 的 一 项 名 为 S h a d o w H a m m e r 的 操 作 ， 该 操 作 针 对 的 是 华 硕 计 算 机 软 件 更 新 工 具 以 注 入 后 门 。   这 项 新 的 研 究 揭 露 了 W i n n t i   G r o u p 的 工 具 库 和 方 法 ， 后 者 可 以 在 目 标 组 织 网 络 中 部 署 的 W i n d o w s 计 算 机 上 提 供 P o r t R e u s e 后 门 。 P o r t R e u s e 后 门 活 动 后 门 活 动 研 究 人 员 更 深 入 地 研 究 了 上 一 份 报 告 中 未 发 现 的 自 定 义 打 包 程 序 ， 该 程 序 发 现 了 更 多 可 执 行 文 件 ， 并 被 认 为 可 用 于 使 用 受 损 软 件 的 供 应 链 攻 击 。 但 是 实 际 上 ， 他 们 发 现 了 一 个 新 的 侦 听 模 式 模 块 化 P o r t R e u s e 后 门 ， 该 后 门 将 注 入 到 已 经 在 T C P 端 口 上 进 行 侦 听 的 正 在 运 行 的 进 程 中 。 攻 击 者 在 首 次 启 动 时 使 用 了 以 下 格 式 ， 并 且 仅 将 一 个 文 件 写 入 磁 盘 以 启 动 P o r t R e u s e ： 1 .   嵌 入 到 . N E T 应 用 程 序 中 ， 启 动 初 始 W i n n t i   P a c k e r   S h e l l c o d e   2 .     在 反 序 列 化 并 调 用 启 动 外 壳 代 码 的 . N E T 对 象 的 V B 脚 本 中  
3 .   在 直 接 在 入 口 点 具 有 s h e l l c o d e 的 可 执 行 文 件 中   模 块 化 体 系 结 构 积 分 ： 模 块 化 体 系 结 构 积 分 ： E S E T 后 来 ， 自 定 义 打 包 程 序 解 密 并 启 动 了 第 一 个 组 件 I n n e r L o a d e r （ I n n e r L o a d e r . d l l ） ， 研 究 人 员 也 能 够 提 取 打 包 程 序 元 数 据 。 “ 来 自 打 包 程 序 的 元 数 据 ， 包 括 打 包 时 的 绝 对 文 件 路 径 ” 。 根 据 E S E T   报 告 ， “ 对 于 . N E T 注 入 器 ， I n n e r L o a d e r 的 目 标 进 程 是 G a m e S e r v e r _ N e w P o k e r . e x e ， 对 于 V B S 注 入 器 ， 它 会 寻 找 侦 听 端 口 5 3 （ D N S ） 的 进 程 。 同 样 ， 这 些 有 效 负 载 使 用 相 同 的 打 包 程 序 打 包 ， 根 据 打 包 程 序 配 置 分 别 称 为 N e t A g e n t 和 S K 3 。 ” P o r t R e u s e 后 门 针 对 不 同 的 常 用 端 口 ， 包 括 5 3 （ T C P 上 的 D N S ） ， 8 0 、 4 4 3 、 3 3 8 9 （ R D P ） 和 5 9 8 5 （ W i n d o w s 远 程 管 理 ） 。 为 了 对 目 标 受 害 者 进 行 网 络 挂 接 ， 后 门 最 初 需 要 注 入 正 在 运 行 的 进 程 中 。 E S E T 研 究 人 员 能 够 解 密 使 用 此 自 定 义 V M P r o t e c t e d 打 包 程 序 打 包 的 多 个 有 效 负 载 ， 他 们 认 为 有 效 负 载 是 P o r t R e u s e 后 门 程 序 或 S h a d o w P a d 恶 意 软 件 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理