搜索

[5796] 2019-03-28_威胁预警丨华硕软件供应链攻击调查

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2019-03-28_威胁预警丨华硕软件供应链攻击调查 威 胁 预 警 丨 华 硕 软 件 供 应 链 攻 击 调 查 E 安 全   2 0 1 9 - 0 3 - 2 8 以 下 文 章 来 源 于 安 恒 信 息   ， 作 者 安 恒 应 急 响 应 中 心 1 . 前 言 前 言 3 月 2 5 日 ， 国 外 安 全 厂 家 卡 巴 斯 基 在 一 篇 博 客 文 章 曝 光 了 去 年 有 黑 客 攻 击 了 华 硕 实 时 软 件 更 新 工 具 的 服 务 器 ， 向 其 植 入 了 木 马 ， 由 于 自 动 更 新 机 制 ， 无 意 间 导 致 千 台 华 硕 电 脑 上 被 安 装 了 恶 意 后 门 ， 针 对 这 一 情 况 安 恒 威 胁 情 报 分 析 团 队 展 开 了 调 查 。 2 . 样 本 调 查 样 本 调 查 安 恒 安 全 研 究 团 队 第 一 时 间 拿 到 其 中 一 个 攻 击 样 本 （ M D 5 ： 5 5 a 7 a a 5 f 0 e 5 2 b a 4 d 7 8 c 1 4 5 8 1 1 c 8 3 0 1 0 7 ） ， 该 样 本 包 含 有 正 常 的 数 字 签 名 “ A S U S T e K   C o m p u t e r   I n c . ” ， 其 证 书 的 时 间 是 6 月 2 0 日 以 后 ， 说 明 攻 击 者 应 该 是 在 2 0 1 8 年 6 月 2 0 日 开 始 进 行 恶 意 代 码 下 发 。 通 过 对 代 码 进 行 逆 向 分 析 ， 发 现 在 运 行 时 函 数 _ c r t E x i t P r o c e s s 中 被 植 入 了 恶 意 的 代 码 。 安 恒 信 息 安 恒 信 息   . 杭 州 安 恒 信 息 技 术 股 份 有 限 公 司 （ D B A P P S e c u r i t y ） ， 科 创 板 ： 6 8 8 0 2 3 ， 全 球 网 络 安 全 创 新 5 0 0 强 。 以 自 主 可 控 的 专 利 技 术 ， 提 供 W e b 应 用 安 全 、 数 据 库 安 全 、 网 站 安 全 监 测 产 品 与 服 务 、 态 势 感 知 大 数 据 中 心 及 智 慧 城 市 云 安 全 运 营 整 体 解 决 方 案 。
在 该 函 数 中 包 含 大 量 解 密 操 作 后 ， 在 内 存 解 密 出 S h e l l c o d e 代 码 ， 动 态 计 算 出 所 需 函 数 的 a p i 地 址 。 样 本 会 获 取 电 脑 的 m a c 地 址 并 对 其 进 行 M D 5 加 密
将 加 密 的 M D 5 与 程 序 中 内 置 了 一 堆 硬 编 码 的 M D 5 字 符 串 进 行 比 较 ， 判 断 是 不 是 黑 客 攻 击 的 目 标 。 由 于 物 理 地 址 是 程 序 内 置 硬 编 码 的 地 址 ， 所 以 可 以 确 定 攻 击 者 已 经 提 前 知 道 了 需 要 攻 击 目 标 的 电 脑 的 m a c 地 址 。 很 显 然 ， 这 是 一 次 目 标 很 强 的 攻 击 。 对 于 不 符 合 黑 客 攻 击 的 目 标 的 电 脑 ， 该 恶 意 程 序 将 在 其 用 户 目 录 下 面 生 产 i d x . i n i 的 文 件 并 退 出 ， 不 进 行 任 何 恶 意 操 作 。
C : U s e r s i d x . i n i 对 于 符 合 攻 击 目 标 的 用 户 ， 其 从 如 下 格 式 的 服 务 器 下 载 恶 意 程 序 ： " h t t p s : / / a s u s h o t f i x . c o m / l o g o 2 . j p g ? { M D 5 ( m a c 地 址 ) } " 通 过 文 件 威 胁 分 析 平 台 的 域 名 查 询 功 能 发 现 ， 该 域 名 已 经 在 2 0 1 8 年 1 0 月 就 修 改 了 域 名 解 析 。
由 于 不 能 下 载 到 第 二 个 链 接 ， 后 续 分 析 不 继 续 。 但 是 通 过 静 态 观 察 可 以 判 断 ， 它 会 将 接 受 的 数 据 当 代 码 执 行 。 3 . 相 关 说 明 相 关 说 明 该 样 本 被 涉 及 的 被 攻 击 m a c 的 M D 5 哈 希 值 包 含 如 下 ： 0 0 B 0 0 6 C 7 D A B 6 A C E 6 C 2 5 C 3 7 9 9 E B 2 B 6 E 1 4 5 9 7 7 B A A 3 F 8 C E 0 C A 1 C 9 6 D 6 A C 9 A 4 0 C 9 A 9 1 0 0 B 0 0 6 C 7 D A B 6 A C E 6 C 2 5 C 3 7 9 9 E B 2 B 6 E 1 4 4 0 9 D 8 E E B C E 8 5 4 6 E 5 6 A 0 A D 7 4 0 6 6 7 A A D B D 7 D A 4 2 D D 3 4 5 7 4 D 4 E 1 A 7 E A 0 E 7 0 8 E 7 B C 9 A 6 A D E 6 2 A 2 5 7 A D F 1 1 8 4 1 8 C 5 B 2 9 1 3 2 6 7 5 4 3 E 4 2 6 8 A E D 6 4 A A 5 F F F 2 0 2 0 D 2 4 4 7 7 9 0 D 7 D 3 2 7 B 1 4 C 5 3 F D 3 6 0 4 C C 1 E B C A 5 A F 4 4 1 5 A F E D 5 3 A 8 E A 6 2 E 3 2 B 4 E C B E 3 3 D F 5 0 0 A 2 8 E B C 8 7 3 C C 1 6 9 5 6 C 9 5 0 6 C D 2 B B 3 8 9 A 7 D 7 D A 2 4 3 3 B D F E 4 C C C 6 4 1 5 9 2 5 3 A 6 0 1 9 3 0 4 F 1 7 1 0 2 8 8 6 D F 2 4 1 C 3 0 7 3 A 5 7 7 7 7 4 2 C 3 4 1 4 7 2 E 2 D 4 3 E E C 4 E C 2 5 6 4 A C E 9 8 2 D C 5 8 C 1 0 3 9 B F 6 D 6 E A 8 3 C
A B 0 C E F 9 E 5 9 5 7 1 2 9 E 2 3 F B A 1 7 8 1 2 0 F A 2 0 B F 7 5 8 0 2 4 E 7 3 4 0 7 7 C 7 0 5 3 2 E 9 0 2 5 1 C 5 D F 0 2 F 3 5 A 6 0 6 1 7 A B 3 3 6 D E 4 D A A C 7 9 9 6 7 6 D 0 7 B 6 6 A 6 2 E A D 8 0 1 8 0 2 A 5 C 9 E C 8 2 8 D 0 C 1 E D B B 5 B 6 0 0 C 7 B 5 2 E 7 F 8 0 8 3 2 E 3 C E E 8 4 F C E C 8 8 B 9 D 6 E 7 5 B 2 D 7 4 7 0 E 9 8 6 4 D 1 9 E 4 8 C B 3 6 0 C A F 6 4 F B 5 5 9 B C D 1 0 3 E E 0 F C B 0 C F 4 1 6 1 B 0 F A F B 1 9 6 9 0 A D 6 1 E C 7 8 5 9 A 0 9 6 4 2 1 6 B 6 6 B 5 D 3 3 B 1 A 0 9 D A 9 D F 3 A 0 5 0 A F A D 0 D F 0 E F 9 6 3 B 4 1 B 6 E 2 F A E 3 B 0 6 A B 2 7 F 2 B 0 F 7 C 2 9 B F 7 F 2 B 0 3 F 8 3 F D 4 B 9 5 8 6 7 1 F 4 7 B F 5 D C D 0 8 7 0 5 D 8 0 D E 9 A 5 3 备 注 ： 由 于 样 本 不 全 ， 可 能 还 有 其 他 m a c 地 址 的 情 况 4 . 应 对 措 施 应 对 措 施 目 前 华 硕 已 发 布 版 本 更 新 和 检 测 工 具 ， 参 见 ： h t t p s : / / w w w . a s u s . c o m / N e w s / h q f g V U y Z 6 u y A y J e 1 （ 可 通 过 点 击 阅 读 原 文 的 方 式 前 往 华 硕 官 网 查 看 更 新 和 检 测 工 具 ） 5 . 参 考 链 接 参 考 链 接 h t t p s : / / s e c u r e l i s t . c o m / o p e r a t i o n - s h a d o w h a m m e r / 8 9 9 9 2 / 本 文 转 自 安 恒 应 急 响 应 中 心 h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： C 语 言 居 然 占 据 最 不 安 全 语 言 榜 首 ！ 哪 种 语 言 最 安 全 ？ 攻 击 最 大 铝 业 供 应 商 的 勒 索 病 毒 存 在 漏 洞 ， 学 会 利 用 它 ！ 供 应 链 攻 击 ｜ A S U S   L i v e   U p d a t e 感 染 后 门 ， 影 响 1 0 0 多 万 用 户 有 俄 罗 斯 是 否 干 预 2 0 1 6 年 美 国 大 选 调 查 报 告 的 完 整 版 ？ 假 的 ！ 美 国 举 办 大 学 黑 客 马 拉 松 ， 促 进 学 生 、 安 全 行 业 的 发 展 白 帽 黑 客 在 P w n 2 O w n 竞 赛 中 赢 得 特 斯 拉 汽 车
▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理