搜索

[10164] 2016-06-03_揭秘最新APT组织StealthFalcon，疑似属于阿联酋政府

文档创建者：s7ckTeam
浏览次数：23
最后更新：2025-01-18
2016-06-03_揭秘最新APT组织StealthFalcon，疑似属于阿联酋政府 揭 秘 最 新 A P T 组 织 S t e a l t h   F a l c o n ， 疑 似 属 于 阿 联 酋 政 府 饭 团 君   F r e e B u f   2 0 1 6 - 0 6 - 0 3 近 日 多 伦 多 大 学 的 公 民 实 验 室 揭 示 了 一 个 新 的 近 日 多 伦 多 大 学 的 公 民 实 验 室 揭 示 了 一 个 新 的 A P T 组 织 ， 下 面 就 一 起 来 看 一 下 吧 。 组 织 ， 下 面 就 一 起 来 看 一 下 吧 。 该 组 织 被 怀 疑 与 阿 联 酋 政 府 有 关 该 组 织 被 怀 疑 与 阿 联 酋 政 府 有 关 该 A P T 组 织 代 号 是 S t e a l t h   F a l c o n ， 主 要 通 过 恶 意 软 件 以 及 社 工 方 式 来 获 取 阿 联 酋 的 记 者 、 活 动 家 、 持 不 同 政 见 者 。 据 之 前 消 息 称 ，   阿 联 酋 一 直 是 H a c k i n g   T e a m 的 客 户 之 一 ， 但 出 现 了 上 次 的 泄 露 数 据 事 件 之 后 ， 据 称 H a c k i n g   T e a m 失 去 了 不 少 的 客 户 。 而 例 如 F i n f i s h e r 、 C e l l e b r i t e 以 及 N S O   G r o u p 却 获 得 了 新 的 市 场 ， 在 最 近 的 一 次 攻 击 中 该 组 织 通 过 发 送 邮 件 以 及 社 工 方 式 来 获 取 目 标 设 备 信 息 ， 而 在 通 常 情 况 下 主 要 是 通 过 推 特 的 方 式 来 吸 引 目 标 ， 然 后 感 染 目 标 设 备 ， 而 这 两 种 方 式 主 要 针 对 的 就 是 阿 联 酋 不 同 政 见 者 。 攻 击 最 早 可 以 追 溯 到 2 0 1 2 年 ， 目 前 更 有 消 息 称 该 组 织 与 阿 联 酋 政 府 有 联 系 ， 在 这 些 攻 击 事 件 中 发 现 了 发 布 的 3 1 推 文 ， 同 时 有 2 7 个 受 害 者 遭 到 攻 击 ， 而 这 里 面 有 2 4 名 相 关 人 员 的 照 片 以 及 地 理 信 息 等 数 据 遭 到 泄 露 ， 一 旦 有 用 户 点 击 到 相 关 链 接 ， 那 就 悲 剧 了 ， 而 根 据 公 民 实 验 室 收 集 的 4 0 2 个 链 接 信 息 ， 其 中 有 7 3 % 的 链 接 都 直 接 与 阿 联 酋 有 关 。 最 后 发 现 这 些 都 是 在 6 7 个 服 务 器 上 部 署 的 ， 并 且 那 些 电 子 邮 件 已 经 诱 使 4 0 0 多 人 点 击 链 接 ， 在 毫 不 知 情 的 情 况 下 将 恶 意 软 件 安 装 在 了 自 己 的 电 脑 上 。 多 纳 吉 （   D o n a g h y ） 是 追 踪 阿 联 酋 践 踏 人 权 情 况 的 独 立 组 织 阿 联 酋 人 权 中 心 ( E m i r a t e s   C e n t e r   f o r   H u m a n   R i g h t s ) 的 创 始 人 。 他 请 马 尔 恰 克 检 查 他 从 一 个 虚 构 的 名 叫 “ 斗 争 的 权 利 ” ( R i g h t   t o   F i g h t ) 的 组 织 收 到 的 可 疑 电 子 邮 件 。 那 些 邮 件 让 他 点 击 和 一 个 人 权 委 员 会 有 关 的 链 接 。 而 后 来 调 查 发 现 2 4 个 阿 联 酋 人 成 为 攻 击 目 标 。 至 少 其 中 三 人 在 监 控 开 始 不 久 后 被 捕 ； 另 一 人 后 来 被 缺 席 判 定 ， 侮 辱 阿 联 酋 统 治 者 的 罪 名 成 立 。
记 者 的 回 忆 记 者 的 回 忆 下 面 这 封 邮 件 主 要 就 是 针 对 记 者 多 纳 吉 ， 在 2 0 1 5 年 的 1 1 月 该 记 者 收 到 这 封 邮 件 ， 邮 件 的 附 件 是 一 个 w o r d 文 档 ， 而 文 档 中 带 着 宏 病 毒 （ 后 门 ） ， 后 来 该 记 者 将 邮 件 进 行 转 发 并 交 给 实 验 室 进 行 分 析 ， 经 过 分 析 之 后 在 邮 件 中 发 现 一 个 链 接 ( h t t p : / / a a x . m e / d 0 d d e )   ， 如 果 打 开 链 接 会 发 现 跳 转 到 半 岛 电 视 台 网 站 ， 在 跳 转 前 ， 还 会 利 用 J a v a S c r i p t 获 取 目 标 计 算 机 配 置 信 息 。 下 面 是 记 者 回 复 的 邮 件 ， 询 问 其 运 营 商 一 次 意 外 的 事 件 导 致 链 接 出 现 问 题 ， 记 者 以 此 为 借 口 询 问 新 的 链 接 ， 回 复 如 下
新 链 接 （ h t t p : / / a a x . m e / a 6 f a a ） ， 可 以 重 新 跳 转 （ H T T P   3 0 2 ） h t t p s : / / c l o u d . o p e n m a i l b o x . o r g / i n d e x . p h p / s / u j D N W M m g 8 p d G 3 A L / a u t h e n t i c a t e 最 后 分 析 得 到 相 关 的 恶 意 文 件 ， 下 面 就 是 文 件 信 息 文 件 名 称 :     r i g h t 2 f i g h t . d o c m M D 5 :               8 0 e 8 e f 7 8 b 9 e 2 8 0 1 5 c d e 4 2 0 5 a a a 6 5 d a 9 7 S H A 1 :             f 2 5 4 6 6 e 4 8 2 0 4 0 4 c 8 1 7 e a f 7 5 8 1 8 b 7 1 7 7 8 9 1 7 3 5 8 8 6 S H A 2 5 6 :         5 a 3 7 2 b 4 5 2 8 5 f e 6 f 3 d f 3 b a 2 7 7 e e 2 d e 5 5 d 4 a 3 0 f c 8 e f 0 5 d e 7 2 9 c f 4 6 4 1 0 3 6 3 2 d b 4 0 f 如 果 你 打 开 这 个 文 件 就 会 出 现 下 面 的 图 片 ， 并 出 现 消 息 来 自 “ p r o o f p o i n t ” 以 及 一 个 合 法 的 安 全 解 决 方 案 提 供 商 的 提 示 （ O f f i c e 3 6 5 . 1 6 ） ， 最 后 会 出 现 文 件 安 全 的 提 示 ， 并 要 求 用 户 继 续 使 用 “ 宏 ” 进 行 运 行 文 档 。
如 果 按 照 提 示 继 续 运 行 ， 就 会 出 现 下 面 的 文 档 信 息 这 就 是 之 前 提 到 的 “ 斗 争 的 权 利 ” ( R i g h t   t o   F i g h t ) 打 开 文 档 之 后 ， 就 开 始 收 集 计 算 机 上 面 的 相 关 资 料 ， 而 这 些 主 要 是 通 过 P o w e r S h e l l 实 现 的 （ B a s e 6 4 编 码 ） ， 收 集 信 息 过 程 中 并 确 认 计 算 机 是 否 安 装 了 最 新 版 本 的   . N E T 运 行 环 境 。 收 集 到 的 信 息 数 据 ， 会 保 存 到 收 集 到 的 信 息 数 据 ， 会 保 存 到 h t t p : / / a d h o s t i n g c a c h e . c o m / e h h e / e h 4 g 4 / a d c a c h e . t x t ， 服 务 器 的 响 应 也 是 ， 服 务 器 的 响 应 也 是 P o w e r S h e l l 实 现 的 ， 实 现 的 ， 之 前 网 站 之 前 网 站 I P （ （   9 5 . 2 1 5 . 4 4 . 3 7 ） ， 而 该 域 名 在 ） ， 而 该 域 名 在 2 0 1 5 年 年 1 1 月 月 3 0 日 已 经 被 删 除 了 ， 而 一 个 新 的 域 名 日 已 经 被 删 除 了 ， 而 一 个 新 的 域 名 a d h o s t i n g c a c h e s . c o m 却 在 却 在 1 2 月 份 的 时 候 被 注 册 了 ， 但 它 使 用 的 是 同 一 个 月 份 的 时 候 被 注 册 了 ， 但 它 使 用 的 是 同 一 个 I P 。 。 而 有 关 服 务 器 的 回 馈 信 息 都 是 P o w e r S h e l l 来 完 成 的 ， 并 在 硬 盘 上 调 用 I E W e b C a c h e . v b s 脚 本 ， 并 创 建 一 个 名 为 I E   W e b   C a c h e 的 可 执 行 文 件 ， 而 最 后 运 行 I E W e b C a c h e . v b s 脚 本 （   P o w e r S h e l l 命 令 ） ， 最 后 按 之 前 说 明 连 接 服 务 器 ， 这 样 做 不 会 出 现 异 常 情 况 。 一 旦 连 接 到 服 务 器 之 后 就 会 允 许 攻 击 者 在 目 标 计 算 机 上 安 装 一 些 其 它 的 恶 意 软 件 ， 在 计 算 机 与 服 务 器 之 间 的 信 息 都 是 由 r c 4 加 密 算 法 加 密 的 ， 所 以 一 旦 子 密 钥 序 列 出 现 了 重 复 ， 密 文 就 有 可 能 被 破 解 ， 这 个 后 门 程 序 看 起 来 像 是 E m p i r e （ 一 种 后 门 程 序 ） ， 但 却 又 不 是 ， 所 以 我 们 有 理 由 相 信 这 个 是 定 制 的 。 而 这 里 我 们 研 究 了 捕 获 到 的 文 件 （ h t t p : / / a a x . m e / r e d i r e c t . j s ） ， 虽 然 这 个 文 件 可 以 帮 助 用 户 了 解 计 算 机 配 置 信 息 ， 但 也 可 以 被 利 用 来 获 取 用 户 的 文 件 信 息 。 这 个 文 件 在 2 0 1 3 年 7 月 之 后 就 再 也 没 有 升 级 过 ， 对 于 可 执 行 的 操 作 对 象 包 括 ： I n t e r n e t   E x p l o r e r 、 非 I E 浏 览 器 （ 可 以 通 过 N a v i g a t o r   对 象 对 象 来 获 取 信 息 ） 。
就 浏 览 器 来 说 ， 可 以 获 取 c o o k i e 是 否 启 用 、 时 区 、 浏 览 器 窗 口 大 小 等 信 息 ， 甚 至 还 有 收 集 旧 版 本 T o r 浏 览 器 信 息 。 然 而 我 们 并 不 熟 悉 a a x . m e ， 所 以 没 有 深 入 调 查 ， 该 网 站 称 是 P H P 开 源 框 架 ， 可 以 看 下 面 信 息 目 前 值 得 注 意 的 是 其 （ a a x . m e ） 还 可 以 收 集 目 标 设 备 的 杀 毒 软 件 信 息 ， 为 了 验 证 这 一 点 ， 我 们 开 始 进 行 深 挖 ， 但 这 个 还 没 有 出 现 在 最 新 版 本 的 W i n d o w s 系 统 ， 以 及 最 新 版 的 C h r o m e 、 F i r e f o x 以 及 I E 浏 览 器 。 这 里 值 得 注 意 的 是 可 扩 展 超 文 本 传 输 请 求 ， X M L H t t p R e q u e s t 对 象 可 以 在 不 向 服 务 器 提 交 整 个 页 面 的 情 况 下 ， 实 现 局 部 更 新 网 页 。 当 页 面 全 部 加 载 完 毕 后 ， 客 户 端 通 过 该 对 象 向 服 务 器 请 求 数 据 ， 服 务 器 端 接 受 数 据 并 处 理 后 ， 向 客 户 端 反 馈 数 据 ， 这 里 是 向   1 2 7 . 0 . 0 . 1 发 出 请 求 ， 端 口 ： 1 2 9 9 3 、 4 4 0 8 0 、 2 4 9 6 1 、 1 1 1 0 、 6 6 4 6 、 6 9 9 9 、 3 0 6 0 6 。 当 停 止 之 前 提 到 的 脚 本 程 序 之 后 ， 会 发 现 延 迟 2 0 m s ， 即 向 服 务 器 提 交 数 据 时 候 ， 但 根 据 同 源 策 略 ， 会 对 响 应 信 息 造 成 缺 失 （ C O R S 3 2 ） 。 而 对 于 浏 览 器 发 送 当 前 状 态 ， X M L H t t p R e q u e s t 的 r e a d y S t a t e 状 态 ， 1 表 示   S Y N ， 即 在 客 户 机 和 服 务 器 之 间 建 立 正 常 的 T C P 网 络 连 接 时 ， 客 户 机 首 先 发 出 一 个 S Y N 消 息 ，   4 就 是 终 止 状 态 。 在 远 程 主 机 进 行 T C P 连 接 测 试 时 ， 我 们 可 以 看 到 下 面 的 信 息 ， 之 前 提 及 的 S Y N   消 息 ~ 5 0 0 m s ， 第 三 次 S Y N 消 息   ~ 5 0 0 m s 之 前 的 r e a d y S t a t e 状 态 不 会 在 发 出 请 求 后 的 1 0 0 0 m s 之 后 进 行 终 止 状 态 （ 之 前 的 “ 4 ” 状 态 ） ， 而 这 个 之 前 的 那 个 脚 本 可 以 躲 避 a v a s t 、 小 红 伞 、 E S E T 、 卡 巴 斯 基 等 杀 毒 软 件 的 查 杀 。 而 我 们 也 不 能 确 定 是 否 是 利 用 2 4 9 6 1 端 口 的 漏 洞 方 式 来 躲 避 查 杀 ， 但 是 这 个 脚 本 可 以 躲 避 A v a s t 最 新 版 本 的 查 杀 ， 已 开 通 T C P 端 口 1 2 9 9 3 ， 同 时 屏 蔽 电 子 邮 箱 的 安 全 插 件 ， 但 没 有 具 体 指 明 躲 避 哪 一 款 杀 毒 软 件 。 后 来 我 们 又 收 集 到 了 另 外 一 个 记 者 的 邮 件 ， 这 封 邮 件 时 间 是 2 0 1 3 年 ， 记 者 A n d r e w   D w i g h t 的 邮 件
邮 件 链 接 h t t p : / / g o o . g l / 6 0 H A q J ， 打 开 后 可 以 跳 转 到 h t t p : / / a a x . m e / 0 b 1 5 2 ， 甚 至 最 后 追 溯 链 接 （ a a x . m e ） 之 后 发 现 跳 转 到 赫 芬 顿 邮 报 。 后 来 在   D o n a g h y 对 于 此 消 息 回 复 不 久 之 后 ， A n d r e w 也 做 出 了 回 复 ： 我 们 在 做 出 研 究 之 后 ， 为 了 确 认 A n d r e w 情 况 ， 后 来 收 集 了 推 特 信 息   后 来 对 于 推 特 以 及 链 接 的 规 律 以 及 情 况 做 出 列 出 了 一 个 表 格
a 7 r a r e l e m a r a t . c o m 曾 是 讨 论 阿 联 酋 政 府 的 论 坛 ， 但 是 现 在 已 经 没 有 了 ， 发 现 下 面 类 似 的 推 特 都 有 过 类 似 链 接 推 特 应 用 程 序 记 录 的 时 间 S u n   O c t   2 1   0 5 : 0 5 : 4 1   + 0 0 0 0   2 0 1 2 我 们 还 收 集 了 链 接 （   g o o . g l ） 统 计 信 息 ， 发 现 推 文 出 现 之 前 的 链 接 时 间 2 0 1 2 - 1 0 - 2 1 T 0 5 : 0 3 : 4 5 . 5 8 5 + 0 0 : 0 0 第 二 次 发 布 推 文 时 间 以 及 后 来 统 计 信 息 的 时 间 W e d   O c t   0 3   0 6 : 5 4 : 3 3   + 0 0 0 0   2 0 1 2 2 0 1 2 - 1 0 - 0 3 T 0 6 : 5 3 : 4 5 . 1 5 1 + 0 0 : 0 0
而 重 新 定 向 的 网 址 是 h t t p s : / / w w w . a 7 r a r e l e m a r a t . c o m / v b / s h o w t h r e a d . p h p ? p = 3 4 2 3 # p o s t 3 4 2 3 ， 而 这 里 可 以 被 看 做 是 使 用 g o o . g l 短 网 址 服 务 来 掩 饰 真 实 链 接 a a x . m e 。 后 来 根 据 服 务 器 的 情 况 ， 并 追 溯 网 址 a d h o s t i n g c a c h e . c o m   ， 最 后 发 现 了 1 4 个 活 跃 的 I P 地 址 以 及 1 1 个 常 用 域 名 ， 后 来 在 2 0 1 6 年 5 月 将 可 疑 文 件 提 交 到 V i r u s T o t a l ， 下 面 就 是 文 件 信 息 文 件 名 称 :     m e s s a g e _ 0 3 2 4 5 6 9 4 4 3 4 3 . d o c m M D 5 :               8 7 e 1 d f 6 f 3 6 b 9 6 b 5 6 1 8 6 4 4 4 e 3 7 e 2 a 1 e f 5 S H A 1 :             1 c 3 7 5 7 0 0 6 f 9 7 2 c a 9 5 7 d 9 2 5 a c c f 8 b b b 3 0 2 3 5 5 0 d 1 b S H A 2 5 6 :         4 3 2 0 2 0 4 d 5 7 7 e f 8 b 9 3 9 1 1 5 d 1 6 1 1 0 e 9 7 f f 0 4 c b 4 f 7 d 1 e 7 7 b a 5 c e 0 1 1 d 4 3 f 7 4 a b c 7 b e 下 面 就 来 看 看 有 关 推 特 的 攻 击 ， 我 们 注 意 到 下 面 的 a a x . m e 链 接 问 题 ， 点 开 后 你 会 发 现 跳 转 到 h t t p : / / v e l o c i t y f i l e s . c o m / d o w n l o a d . p h p ? i d = a 8 1 a b d d 8 a 0 c 0 c d 1 d 5 d 3 b 6 b a a d c c 9 e b 1 8 ， 但 在 今 年 二 月 再 次 访 问 的 时 候 ， 发 现 相 关 网 站 已 经 没 有 了 。 之 前 这 个 网 站 称 可 以 让 用 户 自 由 上 传 或 下 载 文 件 ， 我 们 怀 疑 这 就 是 一 个 利 用 网 站 的 钓 鱼 攻 击 。 而 在 这 里 我 们 注 意 到 了 网 站 的 网 址 信 息 a 8 1 a b d d 8 a 0 c 0 c d 1 d 5 d 3 b 6 b a a d c c 9 e b 1 8 ， 怀 疑 是 一 个 文 件 的 M D 5   h a s h 值 ， 但 是 没 有 找 到 相 关 文 件 。
而 后 来 出 现 了 一 个 新 的 网 址 h t t p s : / / c a l l 4 u a e f r e e d o m . c o m / v b ， 注 册 时 间 2 0 1 3 年 ， 截 止 时 间 2 0 1 5 年 ， 我 们 一 直 没 有 找 到 此 网 站 相 关 信 息 ， 后 来 在 “ c a l l 4 u a e f r e e d o m ” 博 客 上 看 到 了 该 网 站 的 注 册 时 间 信 息 ， 后 来 我 们 找 到 了 类 似 的 网 站 域 名 u a e f r e e d o m . c o m ， 该 网 站 论 坛 在 2 0 0 9 年 成 立 ， 如 下 信 息 ： 后 来 又 上 传 了 有 关 T o r 的 截 图 信 息 ， 并 为 研 究 人 员 提 供 了 非 敏 感 资 料 。 虽 然 目 前 有 一 些 信 息 提 到 了 阿 联 酋 ， 但 是 没 有 直 接 证 据 表 明 该 A P T 组 织 与 阿 联 酋 有 关 ， 而 且 在 这 次 事 件 中 不 难 发 现 社 会 工 程 已 经 开 始 突 显 其 重 要 性 了 。 * 参 考 来 源 ： s o f t p e d i a 、 c i t i z e n l a b ， 饭 团 君 投 递 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）  
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理