搜索

[12206] 2018-01-06_深度报告揭秘朝鲜黑客组织LazarusGroup对加密货币的窃取手段

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-01-06_深度报告揭秘朝鲜黑客组织LazarusGroup对加密货币的窃取手段 深 度 报 告   |   揭 秘 朝 鲜 黑 客 组 织 L a z a r u s   G r o u p 对 加 密 货 币 的 窃 取 手 段 c l o u d s   F r e e B u f   2 0 1 8 - 0 1 - 0 6 当 前 ， 世 界 各 地 安 全 公 司 、 执 法 机 关 和 情 报 机 构 都 把 当 前 ， 世 界 各 地 安 全 公 司 、 执 法 机 关 和 情 报 机 构 都 把 L a z a r u s   G r o u p 归 因 于 朝 鲜 的 国 家 支 持 黑 客 组 织 ， 随 着 归 因 于 朝 鲜 的 国 家 支 持 黑 客 组 织 ， 随 着 L a z a r u s G r o u p 自 身 网 络 攻 击 工 具 的 进 化 发 展 ， 它 们 可 以 轻 松 实 施 自 身 网 络 攻 击 工 具 的 进 化 发 展 ， 它 们 可 以 轻 松 实 施 D D o S 僵 尸 网 络 攻 击 和 数 据 擦 除 攻 击 ， 达 到 破 坏 性 目 的 ， 也 能 顺 僵 尸 网 络 攻 击 和 数 据 擦 除 攻 击 ， 达 到 破 坏 性 目 的 ， 也 能 顺 利 开 展 特 定 公 司 网 络 和 银 行 利 开 展 特 定 公 司 网 络 和 银 行 S W I F T 系 统 入 侵 ， 使 各 种 内 部 资 料 和 大 量 资 金 唾 手 可 得 。 系 统 入 侵 ， 使 各 种 内 部 资 料 和 大 量 资 金 唾 手 可 得 。 本 报 告 中 ， 我 们 着 重 对 本 报 告 中 ， 我 们 着 重 对 L a z a r u s   G r o u p 从 未 被 外 界 披 露 的 一 个 加 密 货 币 攻 击 工 具 集 进 行 分 析 ， 该 工 具 集 被 从 未 被 外 界 披 露 的 一 个 加 密 货 币 攻 击 工 具 集 进 行 分 析 ， 该 工 具 集 被 L a z a r u s   G r o u p 广 泛 用 于 全 球 加 密 货 币 组 织 、 个 人 和 相 关 机 构 的 入 侵 攻 击 。 广 泛 用 于 全 球 加 密 货 币 组 织 、 个 人 和 相 关 机 构 的 入 侵 攻 击 。 这 个 被 称 为 P o w e r R a t a n k b a 的 新 工 具 集 包 括 使 用 链 接 和 附 件 的 高 针 对 性 钓 鱼 攻 击 ， 以 及 针 对 加 密 货 币 个 人 和 公 司 的 大 规 模 普 遍 性 电 邮 钓 鱼 攻 击 ， 在 分 析 中 ， 我 们 还 发 现 P o w e r R a t a n k b a 的 恶 意 变 体 支 持 销 售 终 端 系 统 （ P O S ） 的 信 息 卡 数 据 窃 取 框 架 ， 这 可 能 是 首 个 具 备 该 种 功 能 的 国 家 支 持 型 恶 意 软 件 实 例 。 简 介 简 介 L a z a r u s   G r o u p 的 攻 击 日 趋 以 经 济 利 益 为 目 的 ， 似 乎 对 当 前 价 格 疯 涨 的 加 密 货 币 表 现 出 了 极 大 兴 趣 。 我 们 在 大 量 的 多 级 攻 击 中 发 现 了 感 染 相 关 组 织 和 个 人 的 ， 以 加 密 货 币 攻 击 为 目 的 的 各 种 复 杂 控 制 后 门 和 恶 意 软 件 ， 除 此 之 外 ， 攻 击 者 为 实 现 比 特 币 和 其 它 电 子 货 币 窃 取 ， 还 使 用 G h 0 s t 远 控 木 马 来 收 集 受 害 者 加 密 货 币 钱 包 和 交 易 数 据 。 众 所 周 知 ， L a z a r u s   G r o u p 曾 成 功 对 几 家 知 名 电 子 货 币 公 司 和 交 易 所 实 施 了 数 据 窃 取 ， 根 据 这 些 攻 击 行 为 ， 相 关 执 法 机 构 判 断 L a z a r u s   G r o u p 目 前 估 计 积 累 了 价 值 近 1 亿 美 元 的 加 密 货 币 资 产 。 在 2 0 1 6 年 底 和 2 0 1 7 年 初 ， L a z a r u s   G r o u p 针 对 几 家 银 行 和 金 融 机 构 的 入 侵 中 ， 其 第 一 阶 段 下 载 植 入 恶 意 软 件 名 为 R a t a n k b a ， 它 被 攻 击 者 主 要 用 于 前 期 渗 透 侦 察 ， 趋 势 科 技 公 司 甚 至 把 它 形 容 为 “ 地 形 测 绘 工 具 ” 。 而 在 该 报 告 中 ， 我 们 详 细 分 析 了 一 种 基 于 P o w e r S h e l l ， 与 R a t a n k b a 相 似 且 名 为 P o w e r R a t a n k b a 的 新 型 恶 意 植 入 软 件 。 我 们 认 为 ， 基 于 R a t a n k b a 在 今 年 早 些 时 候 被 公 开 曝 光 披 露 ， 而 P o w e r R a t a n k b a 很 可 能 会 成 为 L a z a r u s   G r o u p 继 续 以 经 济 利 益 为 攻 击 目 标 的 升 级 迭 代 利 用 工 具 。
P o w e r R a t a n k b a   D o w n l o a d e r 在 本 节 中 ， 我 们 将 详 细 介 绍 攻 击 者 实 现 P o w e r R a t a n k b a 部 署 运 行 的 不 同 入 侵 途 径 和 行 为 ， 总 的 来 说 ， 我 们 发 现 了 攻 击 者 使 用 的 6 种 不 同 入 侵 向 量 ： 一 种 名 为 P o w e r S p r i t z 的 新 型 W i n d o w s 执 行 程 序 ； 一 种 恶 意 W i n d o w s 快 捷 方 式 L N K 文 件 ； 使 用 两 种 不 同 的 技 术 的 多 个 恶 意 H T M L 帮 文 件 助 （ C H M ） ； 多 个 J a v a S c r i p t （ J S ） 下 载 程 序 ； 两 个 基 于 宏 的 O f f i c e 文 档 ； 用 来 诱 骗 受 害 者 ， 且 托 管 在 国 际 化 域 名 基 础 设 施 上 的 两 个 后 门 化 加 密 货 币 流 行 应 用 程 序 。 P o w e r R a t a n k b a 攻 击 时 间 线 攻 击 时 间 线 据 我 们 掌 握 的 数 据 显 示 ， P o w e r R a t a n k b a 的 最 早 利 用 时 间 为 2 0 1 7 年 6 月 3 0 号 左 右 ， 它 在 针 对 某 家 加 密 货 币 机 构 高 管 的 钓 鱼 邮 件 攻 击 中 被 我 们 发 现 ， 在 其 它 攻 击 活 动 中 各 种 P o w e r R a t a n k b a 变 体 被 陆 续 使 用 。 攻 击 者 通 过 包 含 比 特 币 黄 金 （ B T G ） 或 E l e c t r u m 钱 包 主 题 的 钓 鱼 邮 件 附 件 或 链 接 来 部 署 P o w e r R a t a n k b a 。 以 下 为 其 攻 击 时 间 线 ： P o w e r S p r i t z P o w e r S p r i t z 是 一 个 W i n d o w s 可 执 行 程 序 ， 它 使 用 少 见 的 S p r i t z 加 密 算 法 来 隐 蔽 其 攻 击 载 荷 （ P a y l o a d ） 和 恶 意 P o w e r S h e l l 命 令 ，
另 据 观 察 ， 攻 击 者 通 过 使 用 T i n y C C 短 链 接 服 务 来 跳 转 和 托 管 P o w e r S p r i t z 攻 击 载 荷 。 早 在 2 0 1 7 年 7 月 初 ， T w i t t e r 上 有 人 分 享 了 他 们 发 现 的 利 用 假 冒 S k y p e 更 新 来 诱 骗 用 户 点 击 的 攻 击 证 据 ， 该 假 冒 更 新 为 短 链 接 h x x p s : / / s k y p e . 2 [ . ] v u / 1 ， 点 击 之 后 链 接 会 重 定 向 到 托 管 攻 击 载 荷 的 服 务 器 h x x p : / / 2 0 1 . 2 1 1 . 1 8 3 [ . ] 2 1 5 : 8 0 8 0 /   u p d a t e . p h p ? t = S k y p e & r = u p d a t e ， 由 此 实 现 P a y l o a d 运 行 。 之 后 ， 我 们 还 发 现 了 多 个 传 播 P o w e r S p r i t z 的 短 地 址 跳 转 ， 如 假 冒 T e l e g r a m 的 ： h x x p : / /   t e l e g r a m u p d a t e . 2 [ . ] v u / 5   - >   h x x p : / / 1 2 2 . 2 4 8 . 3 4 [ . ] 2 3 / l n d e x . p h p ? t = T e l e g r a m & r = 1 . 1 . 9 假 冒 S k y p e 的 ： h x x p : / / s k y p e u p d a t e . 2 [ . ] v u / 1   - >   h x x p : / / 1 2 2 . 2 4 8 . 3 4 [ . ] 2 3 / l n d e x . p h p ? t = S k y p e S e t u p & r = m a i l _ n e w h x x p : / / s k y p e . 2 [ . ] v u / k   - >   u n k n o w n P o w e r S p r i t z 利 用 S p r i t z 加 密 算 法 并 以 “ Z n x k a i @   i f 8 q a 9 w 9 4 8 9 ” 为 密 码 加 密 有 效 的 S k y p e 或 T e l e g r a m 安 装 程 序 ， 之 后 以 句 柄 G e t T e m p P a t h A 获 取 程 序 安 装 目 录 ， 程 序 安 装 后 会 执 行 一 个 假 冒 更 新 ， 最 终 ， 会 以 相 同 的 加 密 密 码 执 行 P o w e r S h e l l 命 令 ， 下 载 P o w e r R a t a n k b a 的 初 始 阶 段 部 署 程 序 ：
上 图 中 可 以 看 到 ，   P o w e r S p r i t z 还 会 从 地 址 h x x p : / / d o g e c o i n .   d e a f t o n e [ . ] c o m : 8 0 8 0 / m a i n l s . c s 获 取 一 个 B a s e 6 4 加 密 脚 本 ， 脚 本 执 行 后 ， 又 会 从 另 一 地 址   h x x p : / / v i e t c a s i n o . l i n k p c [ . ] n e t : 8 0 8 0 / s e a r c h . j s p 实 现 P o w e r R a t a n k b a 的 C & C 命 令 控 制 ： 恶 意 恶 意 W i n d o w s 快 捷 方 式 （ 快 捷 方 式 （ L N K ） 文 件 ） 文 件 我 们 在 一 个 名 为 “ “ S c a n n e d   D o c u m e n t s . z i p ” 的 压 缩 包 中 发 现 了 恶 意 L N K 文 件 ， 它 使 用 A p p L o c k e r 绕 过 方 式 ， 从 T i n y U R L 短 地 址 h x x p : / / t i n y u r l [ . ] c o m / y 9 j b k 8 c g   获 取 P a y l o a d :
恶 意 恶 意 H T M L 帮 助 文 件 （ 帮 助 文 件 （ C H M ） ） 据 我 们 数 据 发 现 ， 在 1 0 月 、 1 1 月 和 1 2 月 期 间 ， 受 害 者 曾 将 多 个 恶 意 C H M 文 件 上 传 到 了 多 家 防 病 毒 扫 描 服 务 中 ， 这 些 恶 意 C H M 文 件 包 括 ： 一 个 写 得 相 当 混 乱 的 ， 用 来 创 建 浪 漫 意 味 网 站 的 帮 助 指 南 文 件 来 自 O r i e n t   E x c h a n g e   C o 交 易 公 司 名 为 A L C H A I N 区 块 链 技 术 的 文 档 开 发 首 次 代 币 发 行 平 台 （ I C O ） 的 协 助 要 求 F a l c o n 加 密 货 币 首 次 代 币 发 行 平 台 （ I C O ） 白 皮 书 加 密 货 币 交 易 平 台 的 开 发 应 用 要 求 电 子 邮 件 营 销 软 件 协 助 要 求 这 些 恶 意 C H M 文 件 都 使 用 了 短 地 址 来 执 行 相 应 恶 意 代 码 ， 并 配 合 两 种 技 术 方 式 来 获 取 远 程 P a y l o a d 。 第 一 种 方 式 为 使 用 V B 脚 本 和 B I T S A d m i n 工 具 ， 首 先 从 远 程 地 址   h x x p : / / w w w . b u s i n e s s h o p [ . ] n e t / h i d e . g i f   获 取 下 载 脚 本 ， 之 后 ， 该 下 载 脚 本 被 保 存 为 C : w i n d o w s t e m p   P o w e r O p t . v b s ， 一 旦 此 脚 本 被 执 行 ， 将 会 从 远 程 地 址 h x x p : / / 1 5 8 . 6 9 . 5 7 [ . ] 1 3 5 / t h e m e . g i f 下 载 P o w e r S h e l l 命 令 ， 并 保 存 为   C : U s e r s P u b l i c P i c t u r e s o p t . p s 1 ， 以 实 现 P o w e r R a t a n k b a 加 载 。 下 图 为 C H M 文 件 中 的 P o w e r R a t a n k b a   d o w n l o a d e r   V B 脚 本 ：
下 图 为 用 B I T S A d m i n 工 具 通 过 H T T P 获 取 P a y l o a d 的 方 式 ： J a v a S c r i p t   D o w n l o a d e r 在 1 1 月 ， 攻 击 者 以 加 密 货 币 交 易 所 C o i n b a s e 、 B i t h u m b 和 F a l c o n   C o i n 为 主 题 的 恶 意 Z I P 文 件 ， 感 染 攻 击 特 定 目 标 人 物 。 这 些 恶 意 文 件 中 都 包 含 了 通 过 J a v a S c r i p t 加 密 混 淆 器 编 码 的 一 个 J a v a S c r i p t   d o w n l o a d e r 程 序 ， 程 序 逻 辑 非 常 简 单 ， 首 先 ， 从 h x x p : / / 5 1 . 2 5 5 . 2 1 9 [ . ] 8 2 /   t h e m e . g i f 获 取 一 个 P o w e r R a t a n k b a . B 下 载 脚 本 ， 然 后 保 存 到   C : U s e r s P u b l i c P i c t u r e s o p t . p s 1 中 等 待 执 行 。 下 图 为 编 码 混 淆 的   f a l c o n c o i n . j s 脚 本 ： 下 图 为 解 密 后 的   f a l c o n c o i n . j s 和 其 P D F 附 属 诱 饵 下 载 链 接 ：
上 述 脚 本 运 行 后 ， 会 随 即 从   h x x p : / / 5 1 . 2 5 5 . 2 1 9 [ . ] 8 2 / f i l e s / d o w n l o a d / f a l c o n c o i n . p d f 下 载 P D F 诱 饵 文 档 ： 基 于 宏 的 基 于 宏 的 O f f i c e 恶 意 文 档 恶 意 文 档 我 们 发 现 基 于 宏 的 一 个 W o r d 文 档 和 一 个 E x c e l 电 子 表 格 ， 其 中 W o r d 文 档 是 名 为 “ r e p o r t   p h i s h i n g . d o c ” 的 美 国 国 税 局 （ I R S ） 内 容 的 主 题 附 件 ， 该 钓 鱼 邮 件 假 冒 “ 钓 鱼 攻 击 警 告 ” 邮 件 ， 并 以 @ m a i l . c o m 地 址 发 送 。 比 较 搞 笑 的 是 ， 发 件 人 地 址 被 伪 造 为 p h i s h i n g @ i r s . g o v ， 且 邮 件 内 容 也 像 是 从 I R S 官 网 网 页 复 制 过 来 的 ：
手 段 类 似 ， 从 h x x p : / / 1 9 8 . 1 0 0 . 1 5 7 [ . ] 2 3 9 / h i d e . g i f   下 载 脚 本 ， 保 存 为   C :   U s e r s P u b l i c P i c t u r e s o p t . v b s ， 然 后 通 过 h x x p : / / 1 9 8 . 1 0 0 . 1 5 7 [ . ] 2 3 9 / t h e m e . g i f ， 获 取 P o w e r s h e l l 脚 本 ， 并 保 存 为 C : U s e r s P u b l i c P i c t u r e s o p t . p s 1 。 另 一 个 恶 意 宏 文 档 为 b i t h u m b . x l s ， 它 伪 装 为 比 特 币 交 易 公 司 B i t h u m b 的 内 部 文 档 ， 该 文 档 被 压 缩 在   B i t h u m b . z i p 中 ， 并 和 名 为 “ A b o u t   B i t h u m b . p d f “ 的 诱 饵 文 档 一 起 被 发 送 ：
该 恶 意 X L S 文 档 宏 中 包 含 了 一 个 B a s e 6 4 编 码 的 P o w e r R a t a n k b a 下 载 脚 本 ， 它 会 从 h x x p : / / w w w . e n e r g y d o n a t e [ . ] c o m / i m a g e s / c h a r a c t e r . g i f 获 取 脚 本 ， 并 保 存 为   C :   U s e r s P u b l i c D o c u m e n t s P r o x y A u t o U p d a t e . p s 1 。 以 下 为 b i t h u m b . x l s 中 的 B a s e 6 4 加 密 d o w n l o a d e r 脚 本 ： 后 门 化 加 密 货 币 应 用 安 装 程 序 后 门 化 加 密 货 币 应 用 安 装 程 序 最 近 ， 大 量 钓 鱼 邮 件 以 假 冒 加 密 货 币 程 序 下 载 更 新 或 网 站 页 面 为 手 段 发 起 攻 击 ， 假 冒 页 面 的 大 多 版 本 更 新 下 载 都 指 向 官 网 地 址 ， 只 有 W i n d o w s 版 本 下 载 更 新 指 向 架 设 在 攻 击 者 网 站 的 恶 意 程 序 ， 这 些 程 序 都 是 后 门 化 的 恶 意 更 新 ， 其 中 内 置 了 下 载 P o w e r R a t a n k b a 植 入 体 的 P y t h o n 代 码 命 令 。 其 中 一 例 攻 击 样 本 为 ， 伪 装 为 比 特 币 黄 金 （ B T G ） 钱 包 应 用 ， 和 假 冒 恶 意 网 站 h x x p s : / / x n — b i t c o i n g l d - l c b [ . ] o r g / ， 邮 件 内 容 中 又 内 置 了 一 个 与 合 法 比 特 币 黄 金 官 网 （ h t t p s : / / b i t c o i n g o l d . o r g / ） 相 似 的 恶 意 网 站 h x x p s : / / b i t c o i n g ö l d [ . ] o r g ， 注 意 后 面 网 站 字 母 o 上 多 了 两 点 ö 。 钓 鱼 邮 件 发 件 地 址 为   i n f o @ x n — b i t c o i n g o d - 8 y b [ . ] c o m 、 i n f o @ x n — b i t c o i g o l d - o 1 b [ . ] c o m   和 t e c h @ x n — b i t c o i n g l d - l c b [ . ] o r g 。
点 击 该 链 接 后 ， 会 自 动 从 恶 意 网 站 b i t c o i n g ö l d 下 载 h x x p s : / / b i t c o i n g ö l d [ . ] o r g / b i t c o i n g o l d . e x e 的 P a y l o a d ， 另 外 ， 我 们 还 从 第 三 方 病 毒 检 测 服 务 中 发 现 了 其 它 伪 装 为 E l e c t r o n G o l d - 1 . 1 . 1 . e x e   和   E l e c t r o n G o l d - 1 . 1 . e x e   恶 意 P a y l o a d 程 序 。 另 一 例 攻 击 样 本 为 ， 伪 装 为 E l e c t r u m 的 假 冒 更 新 ， 并 会 指 向 与 E l e c t r u m 合 法 官 网 （ h t t p s : / / e l e c t r u m . o r g / ） 相 似 的 假 冒 网 站 （ h t t p s : / / e l e c t r ü m . o r g / ） ， 如 下 图 所 示 ： 当 受 害 者 点 击 主 题 为 “ N e w   E l e c t r u m   W a l l e t   R e l e a s e d “ 的 钓 鱼 邮 件 链 接 之 后 ， 会 跳 转 到 假 冒 网 站 h t t p s : / / e l e c t r ü m . o r g / 显 示 钱 包 程 序 更 新 下 载 ， 上 图 红 框 下 载 链 接 最 终 会 从 另 一 恶 意 网 站 下 载 h x x p s : / / x n — e l e c t r m s 2 a [ . ] o r g / e l e c t r u m - 3 . 0 . 3 . e x e ， 其 为 后 门 化 的 P o w e r R a t a n k b a 下 载 程 序 。 下 图 为 假 冒 网 站 h t t p s : / / e l e c t r ü m . o r g 的 H T M L 页 面 信 息 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理