搜索

[6086] 2019-08-10_黑客大曝光某恶意软件即服务(MaaS)平台的黑客网络ID曝光

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2019-08-10_黑客大曝光某恶意软件即服务(MaaS)平台的黑客网络ID曝光 黑 客 大 曝 光   |   某 恶 意 软 件 即 服 务 ( M a a S ) 平 台 的 黑 客 网 络 I D 曝 光 E 安 全   2 0 1 9 - 0 8 - 1 0 以 下 文 章 来 源 于 安 恒 信 息   ， 作 者 猎 影 安 恒 信 息 安 恒 信 息   . 杭 州 安 恒 信 息 技 术 股 份 有 限 公 司 （ D B A P P S e c u r i t y ） ， 科 创 板 ： 6 8 8 0 2 3 ， 全 球 网 络 安 全 创 新 5 0 0 强 。 以 自 主 可 控 的 专 利 技 术 ， 提 供 W e b 应 用 安 全 、 数 据 库 安 全 、 网 站 安 全 监 测 产 品 与 服 务 、 态 势 感 知 大 数 据 中 心 及 智 慧 城 市 云 安 全 运 营 整 体 解 决 方 案 。
近 期 ， 安 恒 猎 影 威 胁 分 析 团 队 监 测 发 现 多 个 伪 装 为 “ D H L 快 递 中 国 快 递 中 国 ” 的 钓 鱼 邮 件 在 展 开 网 络 钓 鱼 活 动 。 钓 鱼 邮 件 会 携 带 恶 意 程 序 或 打 包 恶 意 程 序 的 压 缩 包 ， 点 击 运 行 用 户 电 脑 就 可 被 远 程 控 制 。 经 过 一 系 列 关 联 分 析 ， 发 现 了 诸 多 隐 匿 在 网 络 中 的 个 人 黑 客 或 组 织 ， 这 些 个 人 黑 客 或 组 织 通 常 会 购 买 兜 售 的 恶 意 软 件 工 购 买 兜 售 的 恶 意 软 件 工 具 包 、 漏 洞 利 用 工 具 套 件 、 租 用 恶 意 软 件 服 务 或 使 用 开 放 使 用 的 恶 意 软 件 或 漏 洞 利 用 工 具 进 行 网 络 攻 击 行 为 具 包 、 漏 洞 利 用 工 具 套 件 、 租 用 恶 意 软 件 服 务 或 使 用 开 放 使 用 的 恶 意 软 件 或 漏 洞 利 用 工 具 进 行 网 络 攻 击 行 为 。 1 分 析 分 析 通 过 对 D H L - # A W B 1 3 0 5 0 1 9 2 3 0 9 6 . e x e （ M D 5 : 5 6 8 9 e 3 1 d 7 6 b a 6 0 6 3 8 b a a a b 8 8 3 a c d b a 2 8 ） 进 行 分 析 ， 其 C 2 地 址 为 1 6 0 [ . ] 2 0 2 [ . ] 1 6 3 [ . ] 2 4 0 ， 通 过 对 该 C 2 进 行 关 联 分 析
可 以 关 联 到 许 多 样 本 ， 如 1 7 D H L - A W B 1 3 0 5 0 1 9 2 3 0 9 6 P D F . e x e （ M D 5 ： 8 3 f b 9 c 6 9 8 2 c e 1 6 6 e 8 1 b a f a 0 8 4 8 9 c f 1 1 c ） 这 个 样 本 ， 其 P D B 信 息 为 C : x a m p p h t d o c s A s p i r e f i l e s n o n s o o k e k e 8 4 @ y a h o o . c o m _ v H L Z j e k r L V c y E S F U v H L Z j e k r L V c y E S F U m a . p d b 这 条 P D B 信 息 非 常 奇 特 ， 中 间 包 含 n o n s o o k e k e 8 4 @ y a h o o [ . ] c o m 这 样 一 个 邮 箱 ， 猜 测 这 是 一 个 用 户 名 ， 通 过 威 胁 分 析 平 台 关 联 性 搜 索 ， 可 以 发 现 更 多 这 类 P D B 信 息 ， 如 : C : x a m p p h t d o c s A s p i r e f i l e s d a b a d a b a 2 1 2 _ C V I J d S i E D S Q p n Q F w C V I J d S i E D S Q p n Q F w m a . p d b c : x a m p p h t d o c s A s p i r e f i l e s p o l o l o c o _ m F S L v k L x N E H A e F E K m F S L v k L x N E H A e F E K . p d b C : x a m p p h t d o c s A s p i r e f i l e s s y s c o r e _ N K v Q F C l S b B X R k A e v N K v Q F C l S b B X R k A e v _ p a c k e d . p d b C : x a m p p h t d o c s A s p i r e f i l e s s h a d o w m e k s _ A P u Z C G Y l J z u t g j p h A P u Z C G Y l J z u t g j p h _ p a c k e d . p d b C : x a m p p h t d o c s A s p i r e f i l e s j o h n c l a r k _ a K a T I t Y b x x n M A S P n a K a T I t Y b x x n M A S P n _ p a c k e d . p d b c : x a m p p h t d o c s A s p i r e f i l e s k e n t e x _ D G q q h z Y g E T x G v x h k D G q q h z Y g E T x G v x h k . p d b C : x a m p p h t d o c s A s p i r e f i l e s B a n d i t o c l a s s i c _ P P G r L Q e s a H U z a M i X P P G r L Q e s a H U z a M i X m a . p d b C : x a m p p h t d o c s A s p i r e f i l e s A s p e e d p _ u f s Z w p c Z s t b R U H O G u f s Z w p c Z s t b R U H O G m a . p d b   … … 具 体 可 以 看 下 文 “ 附 1 ： P D B 泄 露 不 完 全 统 计 表 ” ， 已 统 计 出 5 0 多 个 不 同 用 户 名 I D , 其 可 视 化 效 果 如 下 ：
C : x a m p p h t d o c s A s p i r e f i l e s 看 上 去 疑 似 一 个 网 络 化 的 服 务 ， 这 非 常 像 一 个 M a a S （ 恶 意 软 件 即 服 务 ） ， 然 后 会 根 据 注 册 用 户 生 成 相 应 的 P D B ， 显 而 易 见 的 是 用 户 名 被 泄 露 了 。 怎 么 得 知 中 间 这 部 分 就 是 用 户 名 呢 ， 其 实 我 们 可 以 在 各 大 黑 客 论 坛 找 到 这 些 用 户 名 I D ， 如 A s p e e d p ：
拥 有 这 类 P D B 的 恶 意 软 件 大 多 数 为 . n e t 平 台 的 N a n o b o t 恶 意 软 件 ， 也 包 含 有 A g e n t T e s l a 、 A z o r u l t 、 Z e g o s t 、 Q u a s a r 等 恶 意 软 件 。 另 外 通 过 这 些 样 本 可 以 获 取 更 多 关 联 信 息 如 挂 马 地 址 、 C 2 地 址 ， 如 t f v n   [ . ]   c o m   [ . ]   v n 这 个 挂 马 地 址 ， 曾 被 披 露 为 H a w k E y e 新 版 本 和 漏 洞 利 用 文 档 的 挂 马 地 址 ， 这 里 也 有 许 多 样 本 关 联 向 该 地 址 ， 如 h x x p s : / / t f v n [ . ] c o m [ . ] v n / n n o / b t j [ . ] e x e （ M D 5 ： 3 5 a 0 d a d f 0 a 2 6 8 6 2 6 6 a c 9 a 5 2 3 5 8 e d f b 1 5 ） P D B 为 C : x a m p p h t d o c s A s p i r e f i l e s t o n y 8 2 _ T V V Y b n e s N R r p x C h y T V V Y b n e s N R r p x C h y m a . p d b h x x p s : / / t f v n [ . ] c o m [ . ] v n / d m i / j m / d j [ . ] e x e （ M D 5 ： 3 5 5 3 0 8 d 9 6 1 f 1 b 4 f 8 3 6 6 5 4 4 8 8 1 b 3 4 2 b 1 1 ） P D B 为 c : x a m p p h t d o c s A s p i r e f i l e s g l o r i a 1 3 0 3 _ I L t e Y a g M o P p T q w t D I L t e Y a g M o P p T q w t D m a . p d b 这 两 个 用 户 名 为 t o n y 8 2 、 g l o r i a 1 3 0 3 的 黑 客 使 用 该 域 名 进 行 网 络 攻 击 活 动 ， 该 域 名 下 还 关 联 有 非 常 多 的 漏 洞 利 用 文 档 和 恶 意 软 件 ， 可 以 猜 测 和 以 上 两 位 黑 客 有 极 强 的 关 联 性 。
同 理 可 以 应 用 于 其 他 样 本 关 联 的 挂 马 地 址 和 C 2 地 址 。 这 类 地 址 所 进 行 的 网 络 攻 击 活 动 很 大 程 度 上 和 泄 露 出 的 这 些 用 户 I D 有 关 。 这 一 类 的 恶 意 文 件 和 文 档 ， 被 用 在 监 控 的 威 胁 中 非 常 常 见 的 到 处 都 在 投 递 的 钓 鱼 邮 件 ， 如 ：
2 防 御 建 议 与 总 结 防 御 建 议 与 总 结 企 业 应 当 注 重 培 养 人 员 安 全 意 识 ， 不 轻 易 打 开 未 知 来 源 的 邮 件 及 附 件 ， 不 随 意 点 击 未 知 链 接 ， 不 随 意 打 开 未 验 证 可 靠 来 源 的 不 随 意 点 击 未 知 链 接 ， 不 随 意 打 开 未 验 证 可 靠 来 源 的 文 档 ， 及 时 为 信 息 系 统 打 好 补 丁 文 档 ， 及 时 为 信 息 系 统 打 好 补 丁 。 部 署 安 恒 A P T 预 警 平 台 ， 发 现 已 知 或 未 知 的 威 胁 。 A P T 预 警 平 台 的 实 时 监 控 能 力 能 够 捕 获 并 分 析 邮 件 附 件 投 递 文 档 或 程 序 的 威 胁 性 ， 并 能 够 对 邮 件 投 递 、 漏 洞 利 用 、 安 装 植 入 、 回 连 控 制 等 各 个 阶 段 做 强 有 力 的 监 测 。 结 合 安 恒 威 胁 情 报 系 统 ， 可 将 国 内 外 的 威 胁 数 据 进 行 汇 总 ， 并 分 析 整 个 攻 击 演 进 和 联 合 预 警 。 猎 影 威 胁 分 析 团 队 将 持 续 关 注 网 络 安 全 动 态 。 附 1 ： P D B 泄 露 不 完 全 统 计 表



回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理