搜索

[12025] 2017-11-19_PaloAltoNetworks：新型恶意软件家族Reaver与SunOrcal存在一定联系

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-11-19_PaloAltoNetworks：新型恶意软件家族Reaver与SunOrcal存在一定联系 P a l o   A l t o   N e t w o r k s ： 新 型 恶 意 软 件 家 族 R e a v e r 与 S u n O r c a l 存 在 一 定 联 系 米 雪 儿   F r e e B u f   2 0 1 7 - 1 1 - 1 9 概 要 概 要 U n i t   4 2 安 全 小 组 已 经 发 现 了 一 种 新 的 恶 意 软 件 家 族 ， 并 将 其 命 名 为 安 全 小 组 已 经 发 现 了 一 种 新 的 恶 意 软 件 家 族 ， 并 将 其 命 名 为 “ R e a v e r ” 。 研 究 人 员 表 示 ， 这 一 新 型 恶 意 软 。 研 究 人 员 表 示 ， 这 一 新 型 恶 意 软 件 与 在 件 与 在 2 0 1 6 年 针 对 中 国 台 湾 地 区 的 黑 客 攻 击 活 动 中 所 使 用 的 恶 意 软 件 年 针 对 中 国 台 湾 地 区 的 黑 客 攻 击 活 动 中 所 使 用 的 恶 意 软 件 S u n O r c a l 存 在 一 定 的 联 系 。 存 在 一 定 的 联 系 。 根 据 记 录 在 案 的 证 据 显 示 ， S u n O r c a l 恶 意 软 件 至 少 从 2 0 1 3 年 便 已 经 开 始 活 动 。 而 根 据 某 些 C 2 元 数 据 显 示 ， 该 恶 意 软 件 甚 至 可 能 早 在 2 0 1 0 年 就 已 经 开 始 活 跃 。 而 到 了 2 0 1 6 年 下 半 年 ， 新 的 恶 意 软 件 家 族 开 始 呈 现 疯 狂 发 展 状 态 。 经 过 对 R e a v e r 进 行 了 全 面 分 析 后 ， 我 们 共 发 现 了 属 于 三 种 不 同 版 本 恶 意 代 码 的 十 个 完 全 不 同 的 恶 意 软 件 样 本 。 分 析 还 发 现 ， R e a v e r 背 后 的 黑 客 组 织 会 在 攻 击 中 提 供 恶 意 软 件 W i n d o w s 控 制 面 板 （ C P L ） 文 件 ， 到 目 前 为 止 ， 我 们 发 现 在 所 有 的 恶 意 软 件 中 只 有 0 . 0 0 6 ％ 的 会 使 用 这 种 技 术 ， 这 表 明 它 实 际 上 相 当 罕 见 。 U n i t   4 2 安 全 研 究 人 员 在 对 该 黑 客 组 织 所 使 用 的 基 础 设 施 进 行 分 析 后 发 现 ， 其 与 之 前 使 用 恶 意 软 件   S u n O r c a l 的 黑 客 组 织 存 在 一 定 的 联 系 。 研 究 发 现 ， 攻 击 者 从 2 0 1 6 年 下 半 年 到 2 0 1 7 年 1 1 月 期 间 ， 同 时 使 用 了 两 个 恶 意 软 件 系 列 （ R e a v e r 和 S u n O r c a l 恶 意 软 件 ） ， 并 且 在 两 个 系 列 的 恶 意 软 件 攻 击 中 使 用 了 相 同 的 C 2 基 础 架 构 。 以 下 是 对 R e a v e r 恶 意 软 件 的 深 入 分 析 ： R e a v e r 恶 意 软 件 分 析 恶 意 软 件 分 析 截 至 目 前 ， P a l o   A l t o   N e t w o r k s   U n i t   4 2 安 全 小 组 已 经 在 R e a v e r 恶 意 软 件 的 三 种 不 同 变 体 中 确 定 了 十 个 完 全 不 同 的 恶 意 软 件 样 本 。 这 三 种 不 同 的 变 体 ， 我 们 将 其 标 识 为 R e a v e r . v 1 、 R e a v e r . v 2 和 R e a v e r . v 3 。 分 析 发 现 ， R e a v e r . v 1 提 供 使 用 H T T P 进 行 网 络 通 信 的 有 效 载 荷 ； 而 R e a v e r . v 2 和 R e a v e r . v 3 则 使 用 通 过 原 始 T C P 连 接 进 行 通 信 的 有 效 负 载 。 R e a v e r 恶 意 软 件 的 流 程 图 如 下 所 示 ：
R e a v e r . v 1 R e a v e r 恶 意 软 件 最 早 的 变 体 ， 首 先 ， R e a v e r . v 1 会 尝 试 为 正 在 运 行 的 进 程 启 用 S e D e b u g P r i v i l e g e 特 权 。 如 果 成 功 ， 恶 意 软 件 将 使 用 以 下 路 径 来 存 储 任 何 丢 失 的 文 件 ： % C O M M O N P R O G R A M F I L E S % s e r v i c e s 如 果 不 成 功 ， 则 使 用 下 述 替 代 路 径 ： ％ A P P D A T A ％ 微 软   M M C   随 后 ， 它 将 继 续 加 载 、 解 密 并 潜 入 位 图 资 源 文 件 ， 这 些 解 密 完 成 的 数 据 被 写 入 以 下 位 置 中 ： % T E M P % W U p d a t e . ~ t m p 然 后 将 这 个 “ W U p d a t e . ~ t m p ” 的 文 件 复 制 到 一 个 名 为 “ A p p l e t . c p l ” 的 文 件 中 ， 该 文 件 位 于 之 前 识 别 的 文 件 路 径 中 。 恶 意 软 件 随 后 就 可 以 根 据 “ 是 否 获 得 S e D e b u g P r i v i l e g e 权 限 ” 来 识 别 “ c o m m o n   s t a r t u p 文 件 夹 ” 或 “ 用 户 的 启 动 文 件 夹 ” 的 文 件 路 径 。 如 果 获 得 此 特 权 ， 则 可 以 通 过 阅 读 以 下 注 册 表 项 （ r e g i s t r y   k e y ） 来 查 询 c o m m o n   s t a r t u p 文 件 夹 ： H K L M     S o f t w a r e     M i c r o s o f t     W i n d o w s   C u r r e n t V e r s i o n     E x p l o r e r     S h e l l   F o l d e r s     C o m m o n   S t a r t u p 相 反 ， 如 果 没 有 获 得 权 限 ， R e a v e r . v 2 将 通 过 查 询 以 下 注 册 表 项 来 获 取 用 户 的 启 动 文 件 夹 ： H K C U S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n E x p l o r e r S h e l l F o l d e r s S t a r t u p 之 后 ， R e a v e r   会 编 写 一 个 快 捷 方 式 文 件 到 “ % T E M P % ~ W U p d a t e . l n k ” 中 ， 然 后 将 该 文 件 复 制 到 文 件 名 为 “ W i n d o w s U p d a t e . l n k ” 的 文 件 中 ， 该 文 件 同 样 位 于 之 前 标 识 的 启 动 路 径 中 。 此 快 捷 方 式 文 件 指 向 以 前 编 写 的 “ A p p l e t . c p l ” 文 件 的 路
径 。 最 后 ， R e a v e r . v 1 将 在 一 个 新 的 进 程 中 执 行 “ 〜 W U p d a t e . l n k ” 文 件 ， 从 而 加 载 最 近 丢 失 的 恶 意 C P L 文 件 。 R e a v e r . v 2 R e a v e r . v 2 首 先 也 会 尝 试 为 正 在 运 行 的 进 程 启 用 S e D e b u g P r i v i l e g e 特 权 。 如 果 成 功 ， 恶 意 软 件 将 使 用 以 下 路 径 来 存 储 任 何 丢 弃 的 文 件 ： % C O M M O N P R O G R A M F I L E S % s e r v i c e s 如 果 不 成 功 ， 则 使 用 如 下 替 代 路 径 ： % A P P D A T A % m i c r o s o f t m m c 随 后 ， R e a v e r . v 2 会 使 用 一 个 简 单 的 X O R 混 淆 程 序 解 密 一 个 嵌 入 式 文 件 ， 并 将 该 文 件 写 入 到 以 下 文 件 路 径 中 ： %   T E M P % U p d a t e . ~ t m p 写 入 文 件 后 会 将 其 复 制 到 最 初 选 择 的 目 录 中 名 为 “ w i n h e l p . c p l ” 的 文 件 中 。 复 制 完 成 后 ， 原 来 的 “ U p d a t e . ~ t m p ” 文 件 会 被 删 除 。 在 这 个 过 程 中 ， R e a v e r . v 2 将 使 用 与 R e a v e r . v 1 中 相 同 的 技 术 来 识 别 正 确 的 启 动 路 径 。 在 以 下 路 径 中 生 成 一 个 快 捷 方 式 文 件 ： % T E M P % ~ U p d a t e . l n k 然 后 将 这 个 “ 〜 U p d a t e . l n k ” 文 件 复 制 到 一 个 名 为 “ W i n d o w s h e l p . l n k ” 的 文 件 中 ， 该 文 件 位 于 之 前 标 识 的 启 动 路 径 中 。 该 快 捷 方 式 文 件 指 向 之 前 编 写 的 “ w i n h e l p . c p l ” 文 件 的 路 径 。 它 将 通 过 调 用 内 置 的 M i c r o s o f t   W i n d o w s “ c o n t r o l . e x e ” 实 用 程 序 来 专 门 加 载 此 C P L 文 件 。 最 后 ， R e a v e r . v 2 将 在 一 个 新 的 进 程 中 执 行 “ 〜 U p d a t e . l n k ” 文 件 ， 从 而 加 载 最 近 丢 失 的 恶 意 C P L 文 件 。 R e a v e r . v 3 像 R e a v e r . v 2 一 样 ， R e a v e r . v 3 首 先 会 尝 试 为 正 在 运 行 的 进 程 启 用 S e D e b u g P r i v i l e g e 特 权 。 如 果 成 功 ， 恶 意 软 件 将 使 用 以 下 路 径 来 存 储 任 何 丢 弃 的 文 件 ： ％ C O M M O N P R O G R A M F I L E S ％   S E R V I C E S   如 果 不 成 功 ， 将 使 用 如 下 替 代 路 径 ： ％ A P P D A T A ％ 微 软 证 书 随 后 ， R e a v e r . v 3 会 编 写 一 个 嵌 入 式 M i c r o s o f t   C a b i n e t （ C A B ） 文 件 到 以 下 位 置 ： % T E M P % w i n h e l p . d a t 之 后 ， 这 个 C A B 文 件 会 被 提 取 到 以 前 识 别 的 文 件 路 径 中 ， 该 c a b 文 件 的 内 容 包 含 一 个 文 件 名 为 “ w i n h e l p . c p l ” 的 M i c r o s o f t 控 制 面 板 项 目 。 就 像 之 前 两 个 版 本 的 R e a v e r 一 样 ， R e a v e r . v 3 也 将 查 询 必 要 的 注 册 表 项 来 确 定 正 确 的 启 动 路 径 。 同 样 ， 将 一 个 快 捷 方 式 文 件 写 入 到 名 为 “ 〜 U p d a t e . l n k ” 的 ％ T E M P ％ 路 径 中 ， 该 文 件 随 后 又 被 复 制 到 之 前 标 识 的 一 个 文 件 名 为 “ W i n d o w s h e l p . l n k ” 的 启 动 路 径 中 。 然 后 ， 该 快 捷 方 式 文 件 调 用 内 置 的 “ c o n t r o l . e x e ” 实 用 程 序 ， 依 次 加 载 之 前 丢 弃 的 “ w i n h e l p . c p l ” 恶 意 C P L 文 件 。
最 后 ， 恶 意 软 件 通 过 以 下 命 令 在 新 进 程 中 调 用 “ w i n h e l p . c p l ” 文 件 ： c o n t r o l   [ p a t h _ p r e v i o u s l y _ i d e n t i f i e d ] w i n h e l p . c p l R e a v e r   H T T P 负 载 负 载 R e a v e r 的 恶 意 C P L 负 载 具 有 以 下 两 个 导 出 函 数 ： C P l A p p l e t D l l E n t r y P o i n t 加 载 C P l A p p l e t 函 数 后 ， R e a v e r 将 首 先 确 定 是 否 可 以 获 取 S e D e b u g P r i v i l e g e 权 限 。 随 后 ， 该 恶 意 软 件 会 使 用 简 单 的 X O R 例 程 来 解 密 和 嵌 入 1 2 8 字 节 的 配 置 。 解 密 配 置 示 例 如 下 所 示 ： 正 如 我 们 所 见 ， 在 这 个 配 置 中 包 含 以 下 信 息 ： 远 程 命 令 和 控 制 （ C 2 ） 服 务 器 ； 远 程 端 口 ； 休 眠 定 时 器 （ S l e e p   t i m e r ） ； R e a v e r 会 从 受 害 者 设 备 中 收 集 如 下 相 关 的 信 息 ： C P U 运 行 速 度 ； 计 算 机 名 称 ； 用 户 名 ； I P 地 址 ； 物 理 和 虚 拟 机 的 内 存 信 息 ； W i n d o w s 版 本 ； 随 后 ， 该 恶 意 软 件 会 通 过 H T T P   G E T 和 P O S T 请 求 与 远 程 服 务 器 进 行 通 信 。 发 送 的 数 据 会 在 放 入 请 求 之 前 被 压 缩 ， 然 后 进 行 b a s e 6 4 编 码 。 深 入 观 察 后 我 们 发 现 ， 该 有 效 载 荷 具 备 如 下 功 能 ： 获 取 驱 动 器 信 息 ； 读 取 文 件 ； 写 入 文 件 ； 删 除 文 件 ； 移 动 文 件 ； 生 成 进 程 ； 创 建 目 录
R e a v e r   T C P 负 载 负 载 R e a v e r 的 恶 意 C P L 有 效 载 荷 有 以 下 三 个 导 出 函 数 ： S e r v i c e M a i n ； C P l A p p l e t ； D l l E n t r y P o i n t ； 当 该 恶 意 软 件 被 最 初 加 载 时 会 调 用 D l l E n t r y P o i n t ， 随 后 ， D l l E n t r y P o i n t 会 调 用 一 个 负 责 解 压 数 据 块 的 函 数 ， 解 压 后 的 数 据 由 R e a v e r 使 用 的 重 要 字 符 串 的 各 种 键 / 值 对 组 成 。 下 面 是 一 个 解 压 数 据 的 例 子 ： 当 恶 意 软 件 希 望 检 索 这 些 解 码 字 符 串 中 的 一 个 时 ， 它 将 简 单 地 调 用 一 个 负 责 提 供 它 的 整 型 参 数 （ i n t e g e r   a r g u m e n t ） 的 函 数 。 例 如 ， 调 用 提 供 参 数 “ 1 0 0 0 1 ” 的 函 数 将 检 索 一 个 “ o l e 3 2 . d l l ” 字 符 串 。 随 后 ， D l l E n t r y P o i n t 函 数 会 尝 试 获 取 S e D e b u g P r i v i l e g e 特 权 ， 并 调 用 W S A S t a r t u p 以 供 将 来 的 网 络 活 动 使 用 。 加 载 C P l A p p l e t 函 数 时 ， 将 使 用 先 前 使 用 的 相 同 压 缩 算 法 对 嵌 入 式 配 置 进 行 解 压 。 下 面 是 一 个 解 压 配 置 的 例 子 ： 【 解 压 R e a v e r 配 置 】 该 配 置 包 含 以 下 内 容 ： 网 络 端 口 ； 网 络 请 求 之 间 的 睡 眠 定 时 器 ； 远 程 命 令 与 控 制 （ C 2 ） 服 务 器 ；
服 务 名 称 ； 服 务 说 明 ； 服 务 显 示 名 称 ； 硬 编 码 字 符 串 ， 也 可 能 是 广 告 系 列 标 识 符 ， 也 可 能 是 恶 意 软 件 版 本 控 制 字 符 串 。 随 后 ， 恶 意 软 件 会 检 查 是 否 存 在 原 始 丢 弃 的 恶 意 软 件 文 件 。 如 果 发 生 这 种 情 况 ， R e a v e r 将 把 这 个 文 件 移 动 到 “ ％ T E M P ％ 〜 F J I O W . t m p ” 并 删 除 这 个 新 文 件 。   这 个 过 程 可 以 简 单 地 理 解 为 清 理 ， 以 确 保 原 始 文 件 a r t i f a c t 不 再 驻 留 在 受 感 染 的 机 器 上 。 然 后 ， R e a v e r 将 在 以 S e D e b u g P r i v i l e g e 权 限 运 行 时 ， 将 其 自 身 安 装 为 一 项 服 务 。 该 服 务 配 置 了 上 述 配 置 内 容 中 提 供 的 名 称 ， 说 明 和 显 示 名 称 等 信 息 。 之 后 ， R e a v e r 便 会 从 受 害 者 设 备 上 收 集 如 下 信 息 ： 计 算 机 名 称 ； 盘 卷 序 列 号 ； M i c r o s o f t   W i n d o w s 版 本 ； C P U 速 度 ； A N S I 代 码 页 ； 操 作 系 统 的 O E M 代 码 页 标 识 符 ； 物 理 和 虚 拟 机 内 存 信 息 ； R e a v e r 会 使 用 增 量 X O R 密 钥 对 这 些 数 据 进 行 加 密 ， 并 将 其 上 传 到 指 定 端 口 上 配 置 的 远 程 服 务 器 中 。 以 下 P y t h o n 代 码 示 例 演 示 了 如 何 进 行 加 密 的 过 程 ： 数 据 渗 漏 完 成 后 ， 该 恶 意 软 件 需 要 包 含 两 个 D W O R D 的 8 个 字 节 的 数 据 ， 这 些 D W O R D 包 含 一 个 主 命 令 和 一 个 子 命 令 。 深 入 分 析 后 我 们 发 现 ， 该 有 效 载 荷 具 备 如 下 功 能 ： 获 取 驱 动 器 信 息 ； 修 改 文 件 ； 修 改 目 录 ； 修 改 注 册 表 ； 生 成 进 程 ； 终 止 进 程 ； 修 改 服 务 ； 自 我 删 除 ； 与 与 S u n O r c a l 的 联 系 的 联 系
研 究 人 员 分 析 后 发 现 ， 在 过 去 一 年 中 （ 从 2 0 1 6 年 下 半 年 - 2 0 1 7 年 1 1 月 ） ， R e a v e r 恶 意 软 件 与 S u n O r c a l 同 时 在 使 用 。 研 究 人 员 证 实 ， 两 个 R e a v e r 恶 意 软 件 样 本 所 在 的 z i p 文 件 ， 与 S u n O r c a l   C 2 服 务 器 所 托 管 的 域 名 （ w w w . f y o u t s i d e [ . ] c o m ） 一 致 。 此 外 ， 两 款 恶 意 软 件 C 2 服 务 器 的 被 动 D N S （ p a s s i v e   D N S ） 也 存 在 重 叠 现 象 。 具 体 来 说 ， 到 目 前 为 止 ， R e a v e r 恶 意 软 件 已 经 开 始 为 其 C 2 服 务 器 使 用 w w w . t a s h d q d x p [ . ] c o m 的 域 名 ， 该 域 名 与 同 一 时 间 段 内 S u n O r c a l 所 使 用 的 另 一 个 C 2 服 务 器 域 名 w w w . w e r y h s t u i [ . ] c o m 存 在 重 叠 现 象 。 因 为 ， 两 个 域 名 都 被 解 析 为 9 8 . 1 2 6 . 1 5 6 [ . ] 2 1 0 。 详 细 重 叠 现 象 如 下 图 所 示 ： 【 R e a v e r 和 S u n O r c a l 重 叠 的 部 分 】 S u n O r c a l 恶 意 软 件 背 后 的 黑 客 组 织 以 使 用 S u r t r R A T 而 闻 名 ， S u r t r   R A T 被 绑 定 到 名 为 H o m e K i t 和 F o u r   E l e m e n t   S w o r d 的 武 器 化 文 档 生 成 器 。 结 论 结 论 S u n O r c a l 背 后 的 黑 客 组 织 至 少 从 2 0 1 3 年 起 就 已 经 存 在 ， 且 根 据 进 一 步 的 调 查 显 示 ， 黑 客 组 织 起 源 于 更 早 ， 可 能 是 2 0 1 0 年 。 目 前 ， 该 黑 客 组 织 仍 在 开 发 新 的 定 制 恶 意 软 件 来 针 对 其 目 标 组 织 实 施 攻 击 。 新 的 恶 意 软 件 R e a v e r 自 2 0 1 6 年 年 底 开 始 一 直 处 于 疯 狂 发 展 状 态 ， 已 经 在 三 个 恶 意 软 件 变 体 中 发 现 了 十 多 种 已 知 恶 意 软 件 样 本 。 其 在 攻 击 中 提 供 恶 意 软 件 W i n d o w s 控 制 面 板 （ C P L ） 文 件 ， 到 目 前 为 止 ， 我 们 只 在 0 . 0 0 6 ％ 的 恶 意 软 件 中 发 现 了 这 种 技 术 ， 这 表 明 它 实 际 上 相 当 罕 见 。 此 外 ， 我 们 还 发 现 ， 攻 击 者 从 去 年 下 半 年 到 2 0 1 7 年 1 1 月 ， 同 时 使 用 了 R e a v e r 和 S u n O r c a l 这 两 个 恶 意 软 件 家 族 ， 且 两 个 家 庭 之 间 有 一 些 C 2 基 础 设 施 重 叠 。 我 们 将 继 续 监 视 这 些 攻 击 者 的 新 活 动 并 进 行 跟 踪 报 告 。 点 击 查 看 完 整 报 告 。 * 参 考 来 源 ： 参 考 来 源 ： p a l o a l t o n e t w o r k s ， 米 雪 儿 编 译 ， 转 载 请 注 明 来 自 ， 米 雪 儿 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理