搜索

[9871] 2016-03-03_深度剖析幽灵电子书一双窥视安全人员的无形之眼

文档创建者：s7ckTeam
浏览次数：24
最后更新：2025-01-18
2016-03-03_深度剖析幽灵电子书一双窥视安全人员的无形之眼 深 度 剖 析 幽 灵 电 子 书   |   一 双 窥 视 安 全 人 员 的 无 形 之 眼 B f i s h 、 C h r i s   F r e e B u f   2 0 1 6 - 0 3 - 0 3 0 x 0 1   事 件 经 过 事 件 经 过 2 0 1 6 年 2 月 2 6 日 ， 一 个 网 络 安 全 相 关 的 Q Q 群 内 ， 一 名 用 户 分 享 了 一 份 名 为 “ 网 络 安 全 宝 典 . c h m ” 的 电 子 书 供 大 家 下 载 ， 瑞 星 网 络 安 全 工 程 师 B f i s h 自 然 地 下 载 了 这 本 电 子 书 ， 打 算 简 单 翻 阅 后 决 定 是 否 收 藏 。 当 B f i s h 打 开 这 个 才 1 2 K 大 小 的 电 子 书 时 ， 感 知 到 了 计 算 机 的 异 常 行 为 ， 这 让 他 意 识 到 ： 这 本 电 子 书 有 问 题 。 在 解 开 这 份 C H M 文 档 后 ， 瑞 星 网 络 安 全 工 程 师 在 一 个 h t m l 页 面 中 找 到 了 原 因 ： 这 个 电 子 书 中 的 某 个 H T M L 页 面 内 ， 嵌 入 了 一 段 恶 意 代 码 ， 它 可 以 下 载 一 个 P o w e r S h e l l 脚 本 并 执 行 。 顺 藤 摸 瓜 ， B f i s h 最 终 确 认 了 这 是 一 个 针 对 特 定 人 群 ， 以 盗 取 用 户 帐 号 密 码 、 文 档 资 料 为 目 的 恶 意 攻 击 事 件 。 这 段 C H M 恶 意 代 码 如 同 幽 灵 一 样 被 执 行 并 作 恶 ， 故 将 此 称 之 为 幽 灵 电 子 书 （ C h m G h o s t ） 。 0 x 0 2   主 要 危 害 主 要 危 害 通 过 电 子 书 散 播 ， 攻 击 受 众 有 很 强 的 群 体 性 ， 对 特 定 人 群 发 起 攻 击 简 直 易 如 反 掌 ， 而 且 电 子 书 “ 诱 饵 ” 更 容 易 迷 惑 大 众 。 目 前 看 到 的 攻 击 代 码 ， 主 要 的 危 害 为 窃 取 用 户 隐 私 ： W i n d o w s 账 户 信 息 和 密 码 、 各 类 应 用 程 序 的 密 码 、 计 算 机 基 本 信 息 、 屏 幕 截 图 、 网 络 配 置 和 W i - F i 信 息 、 各 类 文 档 ， 造 成 用 户 敏 感 信 息 和 资 料 泄 漏 。 这 些 资 料 的 泄 漏 伴 随 着 商 业 机 密 泄 漏 的 风 险 ， 后 续 或 造 成 更 大 的 损 失 。 另 外 ， 攻 击 时 所 用 的 恶 意 代 码 ， 无 论 是 二 进 制 还 是 脚 本 ， 几 乎 都 来 自 网 络 下 载 ， 攻 击 可 以 随 时 开 启 和 关 闭 ， 攻 击 手 法 、 攻 击 目 的 也 都 可 以 变 化 ， 这 个 “ 后 门 ” 的 潜 在 危 害 也 相 当 之 大 。 2 月 2 6 日 发 现 的 C H M 的 标 题 是 网 络 安 全 相 关 的 ， 并 且 在 网 络 安 全 相 关 的 Q Q 群 内 散 播 ， 表 明 攻 击 者 的 目 标 是 网 络 安 全 从 业 和 对 网 络 安 全 感 兴 趣 的 、 有 一 定 计 算 机 安 全 基 础 的 群 体 ， 但 就 算 如 此 ， 仅 一 天 时 间 就 已 经 有 多 名 受 害 者 ， 如 果 攻 击 者 转 到 其 他 领 域 ， 受 众 群 体 应 该 会 更 没 有 感 知 能 力 ， 危 害 也 将 更 大 。 0 x 0 3   攻 击 实 施 纵 览 攻 击 实 施 纵 览
0 x 0 4   详 细 技 术 分 析 详 细 技 术 分 析 首 先 ， C H M 中 使 用 了 一 种 古 老 的 方 法   —   利 用 I n t e r n e t . H H C t r l 对 象 来 运 行 任 意 命 令 行 。 d o c 1 . h t m l 中 定 义 了 一 个 I n t e r n e t . H H C t r l 对 象 ， 再 通 过 后 续 脚 本 触 发 其 C l i c k 事 件 ， 调 用 I n t e r n e t . H H C t r l . I t e m 2 定 义 的 命 令 行 。   完 整 命 令 行 如 下 ： 命 令 行 以 隐 藏 方 式 启 动 P o w e r S h e l l ， 并 执 行 下 载 攻 击 者 托 管 于 G i t h u b 上 的 攻 击 脚 本 — — s t a r t . p s 1 。 s t a r t . p s 1 首 先 向 1 0 6 . 8 0 . 3 6 . 1 6 5 发 起 一 个 H T T P 请 求 ， 下 载 的 内 容 为 一 段 P o w e r S h e l l 脚 本 字 符 串 ， 通 过 I n v o k e - E x p r e s s i o n 直 接 调 用 ， 脚 本 内 容 如 下 ：
根 据 脚 本 中 指 明 的 方 法 ， 对 其 中 的 B A S E 6 4 编 码 串 进 行 解 码 、 解 压 缩 ， 又 获 得 一 段 P o w e r S h e l l 脚 本 ， 内 容 如 下 ： 按 照 脚 本 中 指 明 的 方 法 对 B A S E 6 4 串 解 码 ， 获 得 一 段 二 进 制 数 据 ， 为 3 2 位 x 8 6 指 令 的 s h e l l c o d e 。 脚 本 在 解 码 这 段 s h e l l c o d e 后 ， 将 其 拷 贝 到 通 过 V i r t u a l A l l o c 分 配 的 一 块 R W X （ P r o t e c t 为 0 x 4 0 ） 的 内 存 中 ， 并 通 过 C r e a t e T h r e a d 创 建 一 个 线 程 来 执 行 ， 如 下 ： 这 段 s h e l l c o d e 并 没 有 经 过 任 何 加 密 处 理 ， 功 能 也 非 常 简 单 ： 连 接 到 指 定 的 I P 地 址 ， 获 取 一 段 新 的 s h e l l c o d e ， 再 次 执 行 。 虽 然 简 单 ， 但 是 这 中 动 态 执 行 来 自 网 络 代 码 的 功 能 ， 危 害 却 是 相 当 之 大 ， 因 为 攻 击 者 随 时 可 以 下 发 新 的 代 码 ， 完 成 新 的 攻 击 ， 并 且 没 有 痕 迹 可 循 。 主 流 程 如 下 表 所 示 ：
  接 下 来 是   M i m i k a t z   2 . 0 的 实 现 部 分 ， 这 部 分 代 码 占 据 了 整 个 s t a r t . p s 1 文 件 的 绝 大 多 数 内 容 。 M i m i k a t z 是 一 个 抓 取 本 机 登 录 账 户 密 码 的 神 器 ， 更 多 信 息 可 以 从 项 目 主 页 h t t p s : / / g i t h u b . c o m / g e n t i l k i w i / m i m i k a t z 了 解 。 接 着 便 是 调 用   M i m i k a t z   的   D u m p c r e d s   来 获 取 当 前 登 陆 用 户 的 密 码 ， 如 图 所 示 ：
  完 成 后 生 成 的 D u m p P a s s . t x t 中 的 内 容 如 下 ， 截 图 来 自 真 实 受 害 者 的 数 据 ： 接 着 ， 收 集 当 前 用 户 桌 面 上 的 几 类 文 档 ， 根 据 扩 展 名 判 断 ， 扩 展 名 分 别 为 ： t x t ， d o c ， d o c x ， x l s ， x l s x ， 早 期 版 本 中 还 有 s q l 。 非 常 明 显 ， 攻 击 者 收 集 目 标 是 重 要 的 文 档 资 料 ， 这 对 受 害 者 可 能 造 成 很 大 的 损 失 。 从 2 月 2 6 号 抓 取 的 上 报 邮 箱 中 的 资 料 来 看 ， 扩 展 名 还 不 限 于 此 （ 攻 击 者 持 续 更 新 代 码 中 ） 。 接 着 ， 下 载 并 执 行 一 个 名 为 G e t P a s s . p s 1 的 P S 脚 本 ， 如 下 图 所 示 ： 顾 名 思 义 ， 该 脚 本 的 目 的 ， 依 然 是 收 集 密 码 。 脚 本 执 行 后 ， 下 载 两 个 文 件 ， 分 别 为 G e t . e x e 和 C o m m a n d . b a t ， 然 后 执 行 C o m m a n d . b a t 调 用 G e t . e x e ， 将 获 取 的 密 码 保 存 到 用 户 目 录 下 的 D : G e t P a s s . t x t 中 。
其 中 ， G e t . e x e 为 跨 平 台 密 码 检 索 利 器   — —   L a Z a g n e ， 可 以 去 项 目 主 页 h t t p s : / / g i t h u b . c o m / A l e s s a n d r o Z / L a Z a g n e   获 取 更 多 信 息 。 L a Z a g n e 支 持 W i n d o w s 和 L i n u x 平 台 下 多 种 类 型 软 件 保 存 的 密 码 获 取 ， 功 能 可 谓 相 当 之 强 大 ， 具 体 支 持 列 表 如 下 ：   C o m m a n d . b a t 则 是 多 次 启 动 G e t . e x e 获 取 密 码 ， 并 将 结 果 保 存 至 G e t P a s s . t x t ， 代 码 如 下 ： 可 以 看 出 ， 攻 击 者 意 图 收 集 包 括 数 据 库 、 浏 览 器 、 电 子 邮 件 、 源 代 码 管 理 、 W I - F I 等 在 内 的 5 大 类 账 户 密 码 。 下 图 为 来 自 真 实 受 害 者 的 G e t P a s s . t x t 文 件 ， 其 中 包 含 了 C h r o m e 浏 览 器 保 存 密 码 的 站 点 和 相 应 用 户 名 、 密 码 ， 第 一 条 便 是 淘 宝 的 用 户 名 和 密 码 ， 由 此 可 以 看 出 ， 后 果 是 相 当 严 重 的 。
接 下 来 ， G e t P a s s . p s 1 将 G e t P a s s . t x t 作 为 电 子 邮 件 附 件 ， 采 用 S T M P 协 议 发 送 至 电 子 邮 箱   x x x x x x x x x x @ e m a i l . c t b u . e d u . c n 。 该 收 件 箱 为 某 高 校 校 园 邮 箱 ， 登 陆 后 跳 转 至 Q Q 企 业 邮 箱 。 最 后 ， G e t P a s s . p s 1 清 理 痕 迹 ， 至 此 执 行 完 毕 。 s t a r t . p s 1 继 续 收 集 受 害 者 计 算 机 的 各 类 基 本 信 息 。 主 要 手 法 为 通 过 调 用 W M I 对 象 对 系 统 的 基 本 信 息 ， 硬 件 信 息 、 用 户 信 息 、 已 安 装 的 程 序 、 用 户 文 档 以 及 网 络 信 息 进 行 收 集 ， 并 将 这 些 信 息 保 存 到 一 个 名 为 C o m p u t e r I n f o . h t m l 的   H T M L 文 件 中 ， 代 码 如 下 ：
以 下 为 一 份 来 自 真 实 受 害 者 的 C o m p u t e r I n f o . h t m l 内 容 截 图 ：
在 信 息 收 集 完 毕 后 ， 该 脚 本 会 对 当 前 计 算 机 现 实 屏 幕 进 行 截 屏 。 从 真 实 受 害 者 上 报 的 数 据 来 看 ， 该 功 能 是 无 效 的 ， 因 为 截 屏 的 图 片 全 部 为 黑 色 。 然 后 再 将 之 前 产 生 的 D u m p P a s s . t x t ， 收 集 的 用 户 桌 面 上 的 文 档 文 件 、 产 生 的 计 算 机 信 息 文 件 、 屏 幕 截 图 等 ， 打 包 成 名 为 R e p o r t . z i p 的 压 缩 包 ， 并 通 过 电 子 邮 件 发 送 至 指 定 的 邮 箱 。
使 用 代 码 中 留 下 的 账 号 和 密 码 登 录 邮 箱 后 ， 我 们 发 现 有 一 定 数 量 的 受 害 者 发 送 的 邮 件 （ 登 录 于 2 0 1 6 / 2 / 2 7 ， 1 5 : 2 9 ） ， 邮 箱 内 的 邮 件 一 段 时 间 之 后 会 被 删 除 ， 2 7 号 登 录 时 ， 2 6 号 晚 的 邮 件 已 经 被 彻 底 删 除 。 打 开 邮 件 并 下 载 附 件 R e p o r t . z i p ， 解 压 后 可 以 看 到 以 下 文 件 和 目 录 ， 这 些 文 件 和 之 前 描 述 的 脚 本 行 为 相 吻 合 ， 例 如 ， 打 开 D o c 目 录 后 ， 可 以 看 到 收 集 自 受 害 者 桌 面 的 几 类 文 档 ， 在 2 5 号 抓 取 的 多 封 邮 件 中 ， 还 不 乏 各 类 工 作 报 告 ， 甚 至 个 人 工 资 单 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理