搜索

[8847] 2015-04-18_揭秘：黑客反击战APT-on-APT分析报告（含视频）

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-17
2015-04-18_揭秘：黑客反击战APT-on-APT分析报告（含视频） 揭 秘 ： 黑 客 反 击 战 A P T - o n - A P T 分 析 报 告 （ 含 视 频 ） F r e e B u f   2 0 1 5 - 0 4 - 1 8 微 信 号 ： 微 信 号 ： f r e e b u f 电 影 《 古 惑 仔 》 中 ， 我 们 常 常 看 到 黑 社 会 团 体 之 间 的 暴 力 冲 突 。 而 在 网 络 空 间 里 ， 你 见 过 电 影 《 古 惑 仔 》 中 ， 我 们 常 常 看 到 黑 社 会 团 体 之 间 的 暴 力 冲 突 。 而 在 网 络 空 间 里 ， 你 见 过 A P T （ 高 级 持 续 性 威 胁 ） （ 高 级 持 续 性 威 胁 ） 黑 客 组 织 互 掐 吗 ？ 黑 客 组 织 互 掐 吗 ？ 黑 客 组 织 黑 客 组 织 N a i k o n N a i k o n 是 活 跃 在 中 国 南 海 地 区 的 黑 客 组 织 ， 其 主 要 目 标 是 菲 律 宾 、 越 南 、 新 加 坡 、 马 来 西 亚 等 国 的 政 府 和 军 方 领 导 人 。 当 然 这 次 故 事 的 主 角 就 是 黑 客 组 织 N a i k o n ， 而 另 外 一 个 主 角 先 留 点 神 秘 感 ， 后 面 会 详 细 介 绍 。 N a i k o n 因 其 惯 用 的 后 门 R A R S T O N E 而 著 名 ， 趋 势 科 技 的 研 究 员 曾 详 细 介 绍 过 。 而 N a i k o n 这 个 名 字 则 来 源 于 后 门 中 " N O K I A N 9 5 / W E B " 字 符 串 。 细 数 N a i k o n 发 动 过 的 攻 击 活 动 ， 最 大 的 一 起 可 能 要 数 2 0 1 4 年 的 3 月 份 了 ， 导 火 索 是 马 航 客 机 M H 3 7 0 事 件 。 3 月 1 1 日 ， N a i k o n 对 很 多 参 与 搜 索 失 事 客 机 的 国 家 组 织 机 构 展 开 了 大 规 模 渗 透 攻 击 ， 以 获 取 M H 3 7 0 相 关 信 息 。 被 渗 透 的 组 织 包 括 ： 总 统 办 公 室 军 方 内 阁 秘 书 办 公 室 国 家 安 全 委 员 会 检 察 长 办 公 室
国 家 情 报 协 调 局 民 航 管 理 局 司 法 局 国 家 警 察 局 总 统 管 理 职 员 N a i k o n 向 所 有 的 目 标 组 织 发 送 钓 鱼 邮 件 ， 附 件 文 件 中 被 植 入 了 C V E - 2 0 1 2 - 0 1 5 8 漏 洞 利 用 程 序 ， 当 然 里 面 也 肯 定 植 入 了 N a i k o n 的 标 志 性 后 门 。 这 种 攻 击 手 段 在 许 多 组 织 上 屡 试 不 爽 ， 但 就 有 一 个 组 织 比 较 例 外 ， 他 们 对 此 邮 件 表 示 很 是 怀 疑 ， 展 开 了 一 系 列 的 研 究 ， 于 是 就 有 了 下 面 的 反 钓 鱼 攻 击 。 第 一 幕 ： 当 黑 客 收 到 钓 鱼 邮 件 第 一 幕 ： 当 黑 客 收 到 钓 鱼 邮 件 如 果 你 收 到 了 一 封 来 历 不 明 的 邮 件 ， 你 会 怎 么 办 ？ 如 果 你 收 到 了 一 封 来 历 不 明 的 邮 件 ， 你 会 怎 么 办 ？ 1 . 打 开 附 件 文 档 ？ 2 . 不 打 开 ？ 3 . 用 M a c 打 开 （ 因 为 M a c 不 会 中 病 毒 ） ？ 4 . 在 L i n u x 虚 拟 机 上 打 开 ？ 相 信 您 可 能 会 回 答 2 、 3 、 4 中 的 一 个 ， 很 少 会 有 人 选 择 直 接 打 开 … … 估 计 会 对 此 莫 名 邮 件 进 行 分 析 的 人 则 更 少 了 。 不 过 这 次 的 事 件 有 些 蹊 跷 。 当 N a i k o n 像 往 常 一 样 群 发 钓 鱼 邮 件 时 ， 一 个 收 件 人 不 仅 没 有 直 接 打 开 ， 而 是 回 复 了 一 封 邮 件 ， 回 件 内 容 如 下 ： 你 发 的 信 息 是 真 的 ？ 从 回 件 的 内 容 上 看 ， 他 们 是 在 向 发 件 人 确 认 邮 件 信 息 的 真 实 性 。 可 想 而 知 嘛 ， N a i k o n 肯 定 百 分 之 百 的 回 答 ： 当 然 ！ N a i k o n 毫 不 犹 豫 的 称 邮 件 信 息 完 全 属 实 ， 对 其 组 织 的 内 部 结 构 也 非 常 的 熟 悉 ， 并 称 他 们 在 该 组 织 的 秘 书 处 工 作 ， 受 命 发 送 这 封 邮 件 。
从 N a i k o n 的 回 件 中 可 以 看 出 ： 英 语 太 渣 了 ， 这 种 水 平 完 全 骗 不 了 人 啊 ！ 第 二 幕 ： 黑 吃 黑 第 二 幕 ： 黑 吃 黑 “ 受 害 者 受 害 者 ” 更 加 坚 定 的 决 定 不 能 打 开 这 一 文 件 ， 而 且 他 们 还 决 定 要 进 一 步 的 了 解 攻 击 者 （ 此 处 气 氛 开 始 有 点 不 更 加 坚 定 的 决 定 不 能 打 开 这 一 文 件 ， 而 且 他 们 还 决 定 要 进 一 步 的 了 解 攻 击 者 （ 此 处 气 氛 开 始 有 点 不 对 对 … … ） ） 很 快 ， “ 受 害 者 ” 就 向 N a i k o n 发 送 了 一 封 电 子 邮 件 ， 内 容 如 下 ： 好 吧 ， 那 请 查 收 附 件 。 附 件 中 是 一 个 带 有 密 码 的 压 缩 文 件 ， 同 时 可 以 绕 过 恶 意 程 序 扫 描 器 的 扫 描 。 打 开 附 件 会 发 现 里 面 包 含 了 2 个 P D F 文 件 和 1 个 S C R 文 件 。 令 人 大 吃 一 惊 的 是 ， 这 个 令 人 大 吃 一 惊 的 是 ， 这 个 S C R 文 件 居 然 是 一 个 后 门 文 件 居 然 是 一 个 后 门 — — 而 这 正 是 而 这 正 是 “ 受 害 人 受 害 人 ” 为 为 N a i k o n 精 心 准 备 的 ！ 精 心 准 备 的 ！ " D i r e c t o r y   o f   . . .   M a r   3 1 ,   2 0 1 4 . s c r " （ m d 5 :   1 9 8 f c 1 a f 5 c d 2 7 8 0 9 1 f 3 6 6 4 5 a 7 7 c 1 8 f f a ） 文 件 会 释 放 一 个 空 白 文 档 和 一 个 后 门 模 块 （ m d 5 : 5 8 8 f 4 1 b 1 f 3 4 b 2 9 5 2 9 b c 1 1 7 3 4 6 3 5 5 1 1 3 f ） 。 该 后 门 会 连 接 到 p h i l i p p i n e n e w s [ . ] m o o o [ . ] c o m 的 命 令 服 务 器 上 。 后 门 会 执 行 以 下 操 作 ： 后 门 会 执 行 以 下 操 作 ：
下 载 文 件 上 传 文 件 自 我 更 新 自 我 卸 载 黑 客 组 织 黑 客 组 织 H e l l s i n g 上 文 中 的 上 文 中 的 “ 受 害 者 受 害 者 ” 是 一 个 名 为 是 一 个 名 为 H e l l s i n g 黑 客 组 织 ， 其 使 用 的 恶 意 程 序 叫 做 黑 客 组 织 ， 其 使 用 的 恶 意 程 序 叫 做 m s g e r 。 这 个 组 织 的 名 字 可 能 和 日 本 的 一 部 。 这 个 组 织 的 名 字 可 能 和 日 本 的 一 部 同 名 动 漫 有 关 ， 动 漫 讲 述 的 是 对 抗 吸 血 鬼 、 食 尸 鬼 等 超 自 然 生 物 的 故 事 ， 可 能 该 组 织 觉 得 这 种 行 为 和 他 们 很 像 ， 故 同 名 动 漫 有 关 ， 动 漫 讲 述 的 是 对 抗 吸 血 鬼 、 食 尸 鬼 等 超 自 然 生 物 的 故 事 ， 可 能 该 组 织 觉 得 这 种 行 为 和 他 们 很 像 ， 故 选 择 了 这 个 名 字 。 选 择 了 这 个 名 字 。 H e l l s i n g   A P T 组 织 活 跃 在 亚 太 地 区 ， 主 要 目 标 是 马 来 西 亚 、 菲 律 宾 和 印 度 尼 西 亚 。 其 攻 击 活 动 相 对 较 小 ， 所 以 不 容 易 被 察 觉 到 。 据 据 K S N 的 数 据 显 示 ， 的 数 据 显 示 ， H e l l s i n g 的 活 动 范 围 主 要 在 ： 的 活 动 范 围 主 要 在 ： 马 来 西 亚 — — 政 府 网 络 菲 律 宾 — — 政 府 网 站 印 度 尼 西 亚 — — 政 府 网 站 美 国 — — 外 交 机 构 印 度 另 外 还 有 一 些 东 盟 的 企 业
H e l l s i n g 发 送 的 钓 鱼 邮 件 中 均 包 含 有 恶 意 程 序 的 压 缩 文 件 ， 类 似 于 反 N a i k o n 攻 击 时 发 送 的 钓 鱼 邮 件 。 攻 击 者 惯 用 的 压 缩 文 件 格 式 为 攻 击 者 惯 用 的 压 缩 文 件 格 式 为 R A R 、 、 Z I P 、 、 7 Z I P ， 其 中 配 有 密 码 的 ， 其 中 配 有 密 码 的 7 Z I P 压 缩 文 件 可 以 绕 过 压 缩 文 件 可 以 绕 过 G m a i l 上 的 安 全 防 护 功 能 。 上 的 安 全 防 护 功 能 。 每 一 个 后 门 均 有 C & C 服 务 器 、 版 本 号 、 活 动 或 者 受 害 者 身 份 标 识 符 ， 例 如 ：
据 卡 巴 斯 基 安 全 实 验 室 对 据 卡 巴 斯 基 安 全 实 验 室 对 H e l l s i n g 使 用 的 指 令 控 制 架 构 分 析 显 示 ， 它 与 其 他 的 使 用 的 指 令 控 制 架 构 分 析 显 示 ， 它 与 其 他 的 A P T 组 织 如 组 织 如 P l a y f u l D r a g o n 、 、 M i r a g e 和 和 V i x e n   P a n d a 有 着 一 定 得 关 联 。 有 着 一 定 得 关 联 。 火 眼 （ F i r e E y e ） 的 安 全 研 究 员 分 析 发 现 P l a y f u l D r a g o n 的 X s l c m d 后 门 （ m d 5 :   6 c 3 b e 9 6 b 6 5 a 7 d b 4 6 6 2 c c a a e 3 4 d 6 e 7 2 c c ） 连 接 的 C & C 服 务 器 位 于   c d i . i n d i a d i g e s t [ . ] i n : 5 3 ， 而 H e l l s i n g 的 某 个 后 门 （ m d 5 :   0 c b e f d 8 c d 4 b 9 a 3 6 c 7 9 1 d 9 2 6 f 8 4 f 1 0 b 7 b ） 连 接 的 C & C 服 务 器 位 于 w e b m m [ . ] i n d i a d i g e s t [ . ] i n 。 主 机 名 显 然 不 一 样 ， 但 从 一 级 域 名 中 可 以 看 出 二 者 必 定 存 在 某 种 关 系 。 另 外 研 究 员 还 发 现 某 个 H e l l s i n g 后 门 （ m d 5 :   a 9 1 c 9 a 2 b 1 b c 4 0 2 0 5 1 4 c 6 c 4 9 c 5 f f 8 4 2 9 8 ） 会 与 w e b b [ . ] h u n t i n g t o m i n g a l l s [ . ] c o m 的 服 务 器 进 行 通 信 ， 并 且 使 用 的 是   C y c l d e k   后 门 专 用 协 议 。 这 是 不 是 更 加 的 证 明 了 C y c l d e k 和 H e l l s i n g 有 着 说 不 清 的 关 系 。 H e l l s i n g 的 工 具 箱 的 工 具 箱 H e l l s i n g 入 侵 了 受 害 者 的 机 器 之 后 会 继 续 释 放 其 他 的 工 具 ， 用 以 进 一 步 的 搜 集 信 息 或 者 执 行 进 一 步 的 活 动 。 工 具 一 ： 工 具 一 ： t e s t . e x e 该 工 具 主 要 用 于 搜 集 信 息 ， 测 试 并 寻 找 可 用 的 代 理 服 务 器 ； 另 外 该 工 具 上 还 包 含 H e l l s i n g 的 调 试 路 径 （ d e b u g   p a t h ） ： 工 具 二 ： 工 具 二 ： x r a t . s y s x r a t . s y s 是 一 个 文 件 系 统 驱 动 ， 也 被 称 之 为   " d i s k f i l t e r . s y s " 。 2 0 1 3 年 被 广 泛 应 用 ， 之 后 可 能 是 由 于 W i n d o w s   7 驱 动 签 名 的 要 求 就 被 攻 击 者 舍 弃 了 。 工 具 三 ： 工 具 三 ： x k a t . e x e
该 工 具 拥 有 强 大 的 文 件 删 除 和 进 程 清 理 功 能 ， 而 且 还 可 清 理 并 删 除 竞 争 对 手 的 恶 意 程 序 。 二 进 制 中 包 含 的 调 试 路 径 （ d e b u g   p a t h ） 有 ： e : H e l l s i n g r e l e a s e c l a r e . p d b e : H e l l s i n g r e l e a s e i r e n e i r e n e . p d b d : h e l l s i n g s y s i r e n e o b j c h k _ w i n 7 _ x 8 6 i 3 8 6 i r e n e . p d b d : h e l l s i n g s y s x k a t o b j c h k _ w i n 7 _ x 8 6 i 3 8 6 x K a t . p d b d : H e l l s i n g r e l e a s e m s g e r m s g e r _ i n s t a l l . p d b d : H e l l s i n g r e l e a s e m s g e r m s g e r _ s e r v e r . p d b d : h e l l s i n g s y s x r a t o b j c h k _ w i n 7 _ x 8 6 i 3 8 6 x r a t . p d b D : H e l l s i n g r e l e a s e e x e e x e t e s t . p d b 点 击 最 下 方 的 点 击 最 下 方 的 “ 阅 读 原 文 阅 读 原 文 ” 观 看 视 频 观 看 视 频 总 结 总 结 事 件 起 因 是 黑 客 事 件 起 因 是 黑 客 N a i k o n 发 送 钓 鱼 邮 件 攻 击 ， 接 着 发 送 钓 鱼 邮 件 攻 击 ， 接 着 H e l l s i n g   A P T 组 织 实 施 反 钓 鱼 入 侵 组 织 实 施 反 钓 鱼 入 侵 — — 这 类 带 感 的 黑 客 互 掐 事 件 其 实 这 类 带 感 的 黑 客 互 掐 事 件 其 实 在 现 在 并 不 少 见 。 在 过 去 ， 我 们 见 过 一 些 在 现 在 并 不 少 见 。 在 过 去 ， 我 们 见 过 一 些 A P T 组 织 在 从 被 害 者 那 里 窃 取 通 讯 录 的 时 意 外 误 伤 到 了 别 的 组 织 。 但 是 ， 组 织 在 从 被 害 者 那 里 窃 取 通 讯 录 的 时 意 外 误 伤 到 了 别 的 组 织 。 但 是 ， 从 攻 击 的 时 间 和 分 析 来 看 ， 最 近 这 次 事 件 看 起 来 更 像 是 一 次 从 攻 击 的 时 间 和 分 析 来 看 ， 最 近 这 次 事 件 看 起 来 更 像 是 一 次 A P T - o n - A P T 攻 击 ， 而 不 是 误 伤 。 攻 击 ， 而 不 是 误 伤 。 面 对 面 对 H e l l s i n g 上 文 中 实 现 的 攻 击 手 段 ， 我 们 建 议 普 通 用 户 采 用 以 下 安 全 措 施 ： 上 文 中 实 现 的 攻 击 手 段 ， 我 们 建 议 普 通 用 户 采 用 以 下 安 全 措 施 ： 1 . 不 要 打 开 可 疑 的 邮 件 附 件 2 . 格 外 小 心 加 密 形 式 的 压 缩 文 件 3 . 如 果 不 确 定 附 件 是 否 安 全 ， 最 好 在 沙 箱 中 打 开 4 . 确 保 操 作 系 统 已 更 新 到 最 新 版 本 5 . 及 时 更 新 第 三 方 应 用 程 序 ， 如 M i c r o s o f t   O f f i c e 、 J a v a 、 A d o b e   F l a s h   P l a y e r 和   A d o b e   R e a d e r 卡 巴 斯 基 实 验 室 检 测 的 卡 巴 斯 基 实 验 室 检 测 的   H e l l s i n g   后 门 版 本 为 ： 后 门 版 本 为 ： H E U R : T r o j a n . W i n 3 2 . G e n e r i c ,   T r o j a n - D r o p p e r . W i n 3 2 . A g e n t . k b u j ,   T r o j a n - D r o p p e r . W i n 3 2 . A g e n t . k z q q
参 考 链 接 参 考 链 接 h t t p s : / / s e c u r e l i s t . c o m / f i l e s / 2 0 1 5 / 0 4 / I n d i c a t o r s _ o f _ C o m p o r m i s e _ H e l l s i n g . p d f *   参 考 来 源 s e c u r e l i s t . c o m ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理