搜索

[11541] 2017-07-07_FireEye发布调查报告，混淆技术成为了2017年攻击者最喜欢用的技术之一

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-07-07_FireEye发布调查报告，混淆技术成为了2017年攻击者最喜欢用的技术之一 F i r e E y e 发 布 调 查 报 告 ， 混 淆 技 术 成 为 了 2 0 1 7 年 攻 击 者 最 喜 欢 用 的 技 术 之 一 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 0 7 - 0 7 在 在 2 0 1 7 年 上 半 年 ， 我 们 发 现 使 用 命 令 行 逃 逸 技 术 和 混 淆 技 术 的 攻 击 者 数 量 正 在 显 著 增 加 ， 网 络 间 谍 组 织 和 专 门 年 上 半 年 ， 我 们 发 现 使 用 命 令 行 逃 逸 技 术 和 混 淆 技 术 的 攻 击 者 数 量 正 在 显 著 增 加 ， 网 络 间 谍 组 织 和 专 门 针 对 金 融 领 域 的 黑 客 组 织 仍 在 继 续 采 用 最 先 进 的 应 用 白 名 单 绕 过 技 术 和 新 型 混 淆 技 术 来 攻 击 他 们 的 目 标 （ 包 括 针 对 金 融 领 域 的 黑 客 组 织 仍 在 继 续 采 用 最 先 进 的 应 用 白 名 单 绕 过 技 术 和 新 型 混 淆 技 术 来 攻 击 他 们 的 目 标 （ 包 括 企 业 和 用 户 ） 。 这 些 技 术 通 常 可 以 绕 过 静 态 和 动 态 分 析 方 法 ， 并 且 很 好 地 解 释 了 为 什 么 基 于 签 名 的 检 测 技 术 通 企 业 和 用 户 ） 。 这 些 技 术 通 常 可 以 绕 过 静 态 和 动 态 分 析 方 法 ， 并 且 很 好 地 解 释 了 为 什 么 基 于 签 名 的 检 测 技 术 通 常 都 会 比 那 些 创 新 型 的 攻 击 者 要 慢 一 步 。 常 都 会 比 那 些 创 新 型 的 攻 击 者 要 慢 一 步 。 2 0 1 7 年 初 ， 黑 客 组 织 F I N 8 开 始 使 用 环 境 变 量 配 合 P o w e r S h e l l 通 过 S t d I n （ 标 准 输 入 ） 来 躲 避 基 于 命 令 行 参 数 处 理 的 安 全 检 测 方 法 。 在 2 0 1 7 年 2 月 份 ， F I N 8 在 钓 鱼 文 档 “ C O M P L A I N T   H o m e r   G l y n n . d o c ” （ M D 5 : c c 8 9 d d a c 1 a f e 6 9 0 6 9 e b 1 8 b a c 5 8 c 6 a 9 e 4 ） 中 包 含 了 一 个 恶 意 宏 ， 这 个 宏 文 件 可 以 在 一 个 环 境 变 量 （ _ M I C R O S O F T _ U P D A T E _ C A T A L O G ） 中 设 置 需 要 运 行 的 P o w e r S h e l l 命 令 ， 然 后 在 另 一 个 环 境 变 量 （ M I C R O S O F T _ U P D A T E _ S E R V I C E ） 中 设 置 字 符 串 “ p o w e r s h e l l   - ” ， 接 下 来 P o w e r S h e l l 将 会 运 行 它 通 过 S t d I n 接 收 到 的 命 令 了 。 下 图 显 示 的 是 我 们 使 用 F I N 8 宏 解 码 器 < 点 击 阅 读 原 文 查 看 链 接 > 从 恶 意 宏   “ C O M P L A I N T H o m e r G l y n n . d o c ”   中 提 取 出 来 的 F I N 8 环 境 变 量 命 令 。 为 了 躲 避 那 些 基 于 父 进 程 - 子 进 程 关 系 的 检 测 技 术 ， F I N 8 所 制 作 的 这 个 宏 使 用 了 W M I 来 生 成 c m d . e x e 的 执 行 。 因 此 ， W i n W o r d . e x e 将 不 会 生 成 子 进 程 ， 但 系 统 将 会 生 成 如 下 进 程 树 ： w m i p r v s e . e x e   >   c m d . e x e   >   p o w e r s h e l l . e x e 。 F I N 8 经 常 会 使 用 混 淆 技 术 配 合 W M I 来 远 程 执 行 他 们 的 恶 意 软 件 - P O S 机 内 存 提 取 工 具 （ P U N C H T R A C K ） ， 而 F I N 8 在 2 0 1 7 年 所 进 行 的 这 些 恶 意 活 动 只 是 这 种 逃 逸 技 术 在 网 络 入 侵 领 域 应 用 的 早 期 阶 段 。 随 着 技 术 的 不 断 发 展 ， 新 型 应 用 白 名 单 绕 过 技 术 也 在 不 断 涌 现 出 来 ， 而 攻 击 者 也 会 在 他 们 的 攻 击 活 动 中 迅 速 采 用 这 些 技 术 ， 再 配 合 上 新 型 的 混 淆 技 术 ， 他 们 就 总 是 能 够 领 先 于 安 全 防 护 产 品 了 。 很 多 黑 客 组 织 都 会 利 用 r e g s v r 3 2 . e x e 来 实 现 应 用 白 名 单 绕 过 ， 包 括 A P T 1 9 在 2 0 1 7 年 针 对 法 律 事 务 所 的 攻 击 活 动 在 内 。 著 名 的 网 络 间 谍 组 织 A P T 2 在 他 们 所 开 发 的 后 门 和 攻 击 脚 本 中 也 使 用 了 混 淆 技 术 ， 在 2 0 1 7 年 4 月 份 ， 安 全 研 究 人 员 发 现 A P T 3 2 在 其 所 采 用 的 额 外 命 令 参 数 中 也 使 用 了 混 淆 技 术 。 A P T 3 2 使 用 了 c m d . e x e 混 淆 技 术 来 尝 试 绕 过 基 于 签 名 的 安 全 检 测 技 术 ， 而 并 非 像 之 前 一 样 使 用 参 数 “ / i : h t t p ” 来 实 现 r e g s v r 3 2 . e x e 绕 过 。 F i r e E y e 的 研 究 人 员 还 发 现 ， A P T 3 2 在 其 攻 击 规 则 中 还 使 用 了 “ / i : ^ h ^ t ^ t ^ p ” 和 “ / i : h ” t ” t ” p ” 这 两 个 参 数 。 下 图 显 示 的 是 A P T 3 2 在 实 现 r e g s v r 3 2 . e x e 应 用 白 名 单 绕 过 时 所 使 用 的 命 令 混 淆 方 法 ： 与 此 同 时 ， 黑 客 组 织 F I N 7 在 2 0 1 7 年 也 一 直 保 持 着 针 对 酒 店 和 金 融 服 务 行 业 的 攻 击 热 情 。 为 了 确 保 自 己 的 黑 客 武 器 库 没 有 与 时 代 脱 节 ， F I N 7 在 2 0 1 7 年 4 月 开 始 使 用 w s c r i p t . e x e 来 运 行 J a v a S c r i p t   P a y l o a d ， 并 通 过 这 个 J S   P a y l o a d 来 获 取 隐 藏 在 钓 鱼 文 件 （ W o r d . A p p l i c a t i o n   C O M 对 象 所 使 用 的 钓 鱼 文 件 ） 中 的 额 外 P a y l o a d 。
在 这 一 周 ， F i r e E y e 发 现 F I N 又 引 入 了 针 对 J a v a S c r i p t 和 c m d . e x e 的 新 型 混 淆 技 术 ， 这 些 技 术 的 实 现 依 赖 于 F I N 7 以 往 最 喜 欢 使 用 的 技 术 ， 即 在 初 始 感 染 阶 段 所 使 用 的 D O C X 和 R T F 钓 鱼 文 件 中 隐 藏 快 捷 方 式 文 件 （ L N K 文 件 ） < 点 击 阅 读 原 文 查 看 链 接 > 。 在 本 文 发 稿 时 ， 市 面 上 还 没 有 任 何 反 病 毒 产 品 可 以 检 测 到 采 用 了 这 种 技 术 的 恶 意 文 件 。 在 J a v a S c r i p t 方 面 ， F I N 7 并 没 有 选 择 在 O C M 对 象 实 例 化 时 定 义 “ W o r d . A p p l i c a t i o n ” ， 而 采 用 的 是 链 接 字 符 串 “ W o r ” + “ d . A p p l i c a t i o n ” 的 形 式 。 除 此 之 外 ， J a v a S c r i p t 的 “ e v a l ” 字 符 串 也 被 转 换 成 了 “ t h i s [ S t r i n g . f r o m C h a r C o d e ( 1 0 1 ) + ’ v a ’ + ’ l ’ ] ” 。 最 后 ， 他 们 还 使 用 了 一 个 c m d . e x e 支 持 的 字 符 替 换 功 能 ， 而 这 个 功 能 几 乎 很 少 有 人 知 道 。 w s c r i p t . e x e 命 令 也 被 设 置 在 了 一 个 进 程 级 环 境 变 量 “ x ” 之 中 ， 但 使 用 了 字 符 “ @ ” 来 进 行 混 淆 处 理 。 当 “ x ” 变 量 在 脚 本 结 尾 输 出 之 后 ， 字 符 “ @ ” 会 被 语 句 “ % x : @ = % ” 替 换 。 下 图 显 示 的 是 F I N 7 在 L N K 钓 鱼 文 件 中 所 使 用 的 命 令 混 淆 技 术 : 在 这 个 样 本 中 ， F I N 7 使 用 了 F I N 8 通 过 S t d I n 传 递 命 令 的 技 术 ， 但 这 一 次 F I N 7 并 没 有 将 命 令 发 送 给 p o w e r s h e l l . e x e ， 而 是 发 送 给 了 c m d . e x e ， 不 过 两 种 方 式 的 逃 逸 效 果 是 一 样 的 。 这 种 技 术 会 暴 露 前 三 个 c m d . e x e 的 命 令 执 行 参 数 ， 如 果 这 些 环 境 变 量 设 置 在 L N K 或 宏 文 件 中 并 通 过 S t d I n 传 递 到 了 c m d . e x e 之 中 ， 那 么 命 令 行 界 面 将 不 会 出 现 任 何 数 据 。 总 结 总 结 就 此 看 来 ， 网 络 攻 击 者 仍 然 会 继 续 在 恶 意 宏 文 件 和 命 令 行 代 码 中 采 用 这 种 新 型 的 绕 过 技 术 和 混 淆 技 术 。 除 此 之 外 ， 攻 击 者 此 后 很 可 能 还 会 利 用 新 型 的 混 淆 技 术 来 监 控 目 标 组 织 的 网 络 通 信 数 据 和 终 端 节 点 ， 而 作 为 网 络 防 御 方 我 们 也 不 能 再 依 赖 于 单 一 的 方 法 来 检 测 这 些 威 胁 了 。 F i r e E y e 的 i S I G H T 威 胁 情 报 服 务 还 提 供 了 关 于 这 类 攻 击 者 的 更 多 详 细 信 息 ， 以 及 很 多 其 他 网 络 间 谍 组 织 和 金 融 犯 罪 组 织 所 使 用 的 恶 意 软 件 和 攻 击 策 略 ， 感 兴 趣 的 用 户 可 以 点 击 < 阅 读 原 文 > 了 解 详 情 。 *   参 考 来 源 ： f i r e e y e ，   F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理