搜索

[13135] 2018-09-02_DarkHydrus使用Phishery在中东地区窃取凭证

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2018-09-02_DarkHydrus使用Phishery在中东地区窃取凭证 D a r k H y d r u s 使 用 P h i s h e r y 在 中 东 地 区 窃 取 凭 证 H y d r a l a b   F r e e B u f   2 0 1 8 - 0 9 - 0 2 在 上 周 ， 在 上 周 ， U n i t   4 2 发 表 了 一 个 篇 关 于 介 绍 一 个 名 为 发 表 了 一 个 篇 关 于 介 绍 一 个 名 为 D a r k H y d r u s 的 新 威 胁 组 织 的 博 文 ， 我 们 观 察 到 该 组 织 的 目 标 是 位 于 的 新 威 胁 组 织 的 博 文 ， 我 们 观 察 到 该 组 织 的 目 标 是 位 于 中 东 地 区 的 政 府 实 体 。 在 这 篇 文 章 中 ， 我 们 对 通 过 鱼 叉 式 网 络 钓 鱼 传 播 的 被 我 们 称 之 为 中 东 地 区 的 政 府 实 体 。 在 这 篇 文 章 中 ， 我 们 对 通 过 鱼 叉 式 网 络 钓 鱼 传 播 的 被 我 们 称 之 为 R o g u e R o b i n 的 的 P o w e r S h e l l p a y l o a d 进 行 了 讨 论 。 并 且 ， 我 们 还 知 道 进 行 了 讨 论 。 并 且 ， 我 们 还 知 道 D a r k H y d r u s 在 在 2 0 1 8 年 年 6 月 实 施 了 一 次 凭 证 窃 取 攻 击 。 另 外 ， 这 似 乎 还 是 一 场 仍 月 实 施 了 一 次 凭 证 窃 取 攻 击 。 另 外 ， 这 似 乎 还 是 一 场 仍 在 继 续 进 行 中 的 活 动 ， 因 为 我 们 有 证 据 表 明 使 用 相 同 基 础 设 施 的 凭 证 窃 取 尝 试 可 以 追 溯 到 在 继 续 进 行 中 的 活 动 ， 因 为 我 们 有 证 据 表 明 使 用 相 同 基 础 设 施 的 凭 证 窃 取 尝 试 可 以 追 溯 到 2 0 1 8 年 秋 季 ， 而 这 些 攻 击 年 秋 季 ， 而 这 些 攻 击 所 针 对 的 目 标 均 是 位 于 中 东 地 区 的 政 府 实 体 和 教 育 机 构 。 所 针 对 的 目 标 均 是 位 于 中 东 地 区 的 政 府 实 体 和 教 育 机 构 。 凭 据 窃 取 攻 击 使 用 了 包 含 恶 意 M i c r o s o f t   O f f i c e 文 档 的 鱼 叉 式 网 络 钓 鱼 电 子 邮 件 ， 这 些 文 档 利 用 “ a t t a c h T e m p l a t e ” 技 术 从 远 程 服 务 器 加 载 模 板 。 当 尝 试 加 载 这 个 远 程 模 板 时 ， M i c r o s o f t   O f f i c e 将 显 示 一 个 身 份 验 证 对 话 框 ， 要 求 用 户 输 入 登 录 凭 证 。 在 输 入 之 后 ， 这 些 凭 证 将 被 发 送 到 C 2 服 务 器 ， D a r k H y d r u s 便 是 通 过 这 种 方 式 来 窃 取 用 户 帐 户 凭 证 的 。 基 于 U n i t   4 2 的 分 析 ， D a r k H y d r u s 使 用 开 源 P h i s h e r y 工 具 创 建 了 两 个 用 于 凭 证 窃 取 攻 击 的 W o r d 文 档 。 正 如 我 们 在 之 前 的 博 文 中 所 讨 论 的 那 样 ， 这 进 一 步 突 显 了 D a r k H y d r u s 对 开 源 攻 击 工 具 的 依 赖 。 像 这 样 目 的 在 于 窃 取 凭 证 的 网 络 钓 鱼 攻 击 并 不 是 什 么 新 鲜 事 ： U S - C E R T   在 2 0 1 7 年 就 曾 发 出 警 告 ， 称 有 不 同 的 威 胁 组 织 使 用 了 与 此 类 似 的 攻 击 技 术 。 值 得 注 意 的 是 ， D a r k H y d r u s 使 用 开 源 工 具 对 这 些 实 体 进 行 有 针 对 性 的 攻 击 ， 这 与 他 们 对 开 源 工 具 的 依 赖 相 吻 合 ， 而 这 些 攻 击 与 我 们 上 周 报 道 的 目 标 也 一 致 。 基 于 此 ， 我 们 可 以 合 理 地 推 测 ， 在 不 久 的 将 在 ， 该 组 织 有 极 大 可 能 会 继 续 在 中 东 地 区 针 对 此 类 目 标 发 起 攻 击 。 凭 证 窃 取 攻 击 凭 证 窃 取 攻 击 在 2 0 1 8 年 6 月 2 4 日 ， U n i t   4 2 观 察 到 D a r k H y d r u s 对 位 于 中 东 地 区 的 一 个 教 育 机 构 实 施 了 凭 证 窃 取 攻 击 。 在 这 起 攻 击 中 ， 涉 及 到 一 封 以 “ P r o j e c t   O f f e r （ 项 目 邀 请 函 ） ” 为 主 题 的 鱼 叉 式 网 络 钓 鱼 电 子 邮 件 以 及 一 个 恶 意 的 W o r d 文 档 附 件 ( S H A 2 5 6 : d 3 9 3 3 4 9 a 4 a d 0 0 9 0 2 e 3 d 4 1 5 b 6 2 2 c f 2 7 9 8 7 a 0 1 7 0 a 7 8 6 c a 3 a 1 f 9 9 1 a 5 2 1 b f f 6 4 5 3 1 8 ) 。 在 打 开 恶 意 W o r d 文 档 时 ， 会 显 示 一 个 验 证 对 话 框 ， 要 求 用 户 输 入 凭 证 ， 如 图 1 所 示 。 图 1 . 在 打 开 文 档 时 向 用 户 展 示 的 “ 身 份 验 证 ” 对 话 框 如 图 1 所 示 ， 在 验 证 对 话 框 上 有 这 样 一 行 文 字 “ C o n n e c t i n g   t o   < 这 里 对 域 名 进 行 了 屏 蔽 > .   0 u t l 0 0 k [ . ] n e t ” ， 它 实 际 上 是 D a r k H y d r u s 的 一 个 C 2 服 务 器 。 如 果 用 户 在 此 对 话 框 中 输 入 了 自 己 的 凭 证 并 按 下 “ O K ” 按 钮 ， 凭 证 则 将 通 过 U R L   h t t p s : / / <   这 里 对 域 名 进 行 了 屏 蔽 > . 0 u t l 0 0 k [ . ] n e t / d o w n l o a d / t e m p l a t e . d o c x 发 送 到 这 个 C 2 服 务 器 。 在 验 证 对 话 框 消 失 之 后 ， W o r d 文 档 将 呈 现 它 的 内 容 。 在
我 们 展 示 的 这 个 样 本 中 ， 它 的 内 容 是 空 白 的 。 D a r k H y d r u s 在 创 建 他 们 C 2 域 时 似 乎 也 进 行 了 仔 细 思 考 ， 试 图 进 一 步 诱 使 目 标 用 户 输 入 他 们 的 凭 证 。 0 u t l 0 0 k [ . ] n e t 域 看 上 去 非 常 像 是 微 软 提 供 免 费 电 子 邮 件 服 务 的 合 法 “ o u t l o o k . c o m ” 域 ， 这 种 相 似 性 更 加 不 容 易 引 起 用 户 的 怀 疑 ， 进 而 使 他 们 更 有 可 能 输 入 自 己 的 凭 证 。 我 们 利 用 0 u t l 0 0 k   [ . ] n e t 域 找 到 了 另 外 两 个 用 于 窃 取 凭 证 的 W o r d 文 档 ， 如 表 1 所 示 。 我 们 首 次 发 现 这 两 个 文 档 的 时 间 分 别 是 在 2 0 1 7 年 9 月 和 1 1 月 ， 这 表 明 D a r k H y d r u s 几 乎 一 直 在 进 行 这 种 凭 证 窃 取 活 动 。 表 1 . 用 于 窃 取 凭 证 的 另 外 两 个 W o r d 文 档 这 两 个 文 档 都 使 用 了 a t t a c h m e n t T e m p l a t e 技 术 ， 通 过 将 凭 证 发 送 到 U R L   h t t p s : / / 0 u t l 0 0 k [ . ] n e t / d o c s 来 对 其 进 行 窃 取 。 与 2 0 1 8 年 6 月 的 文 档 不 同 ， 在 凭 证 被 窃 取 之 后 ， 这 两 个 文 档 都 呈 现 了 与 目 标 受 害 者 相 关 的 内 容 。 其 中 ， 2 0 1 7 年 9 月 的 文 档 呈 现 的 是 一 份 员 工 调 查 表 ， 如 图 2 所 示 。 图 2 . 凭 证 被 窃 取 后 显 示 的 员 工 调 查 表 2 0 1 7 年 1 1 月 的 文 档 呈 现 的 是 一 份 密 码 移 交 表 ， 如 图 3 所 示 。 我 们 没 有 能 够 在 已 公 开 的 研 究 中 找 到 相 同 的 文 档 ， 这 可 能 表 明 这 份 密 码 移 交 表 是 攻 击 者 在 其 以 前 的 活 动 中 收 集 到 的 。
图 3 . 凭 证 被 窃 取 后 显 示 的 密 码 移 交 表 在 这 些 凭 证 窃 取 攻 击 中 使 用 的 基 础 设 施 都 使 用 了 0 u t l 0 0 k   [ . ] n e t 域 ， 在 攻 击 中 解 析 为 1 0 7 . 1 7 5 . 1 5 0 [ . ] 1 1 3   a n d   1 9 5 . 1 5 4 . 4 1 [ . ] 1 5 0 。 在 之 前 关 于 介 绍 这 场 活 动 的 博 文 中 ， 我 们 已 经 就 对 相 同 的 基 础 架 构 进 行 了 讨 论 。 P h i s h e r y 工 具 工 具 在 分 析 了 三 个 恶 意 W o r d 文 档 之 后 ， 我 们 确 定 其 中 两 个 文 档 是 使 用 名 为 P h i s h e r y 的 开 源 工 具 创 建 的 。 P h i s h e r y 工 具 包 含 了 以 下 功 能 ： 1 . 通 过 注 入 远 程 模 板 U R L 来 创 建 恶 意 W o r d 文 档 ； 2 . 在 尝 试 获 取 远 程 模 板 时 ， 托 管 的 C 2 服 务 器 会 收 集 输 入 到 身 份 验 证 对 话 框 中 的 凭 证 。 我 们 能 够 确 认 的 是 ， D a r k H y d r u s 的 确 使 用 了 开 源 的 P h i s h e r y 来 创 建 这 些 W o r d 文 档 ， 并 连 接 到 自 己 的 C 2 服 务 器 。 在 2 0 1 8 年 6 月 攻 击 中 ， D a r k H y d r u s 所 使 用 的 恶 意 W o r d 文 档 就 添 加 了 一 个 远 程 模 板 U R L ， 如 图 4 所 示 。
图 4 . 在 2 0 1 8 年 6 月 的 文 档 中 发 现 的 远 程 模 板 U R L 我 们 利 用 P h i s h e r y 创 建 了 一 个 用 于 测 试 的 文 档 ， 并 使 用 了 图 4 中 的 远 程 模 板 U R L 。 图 5 展 示 了 这 个 过 程 ， P h i s h e r y 能 够 将 这 个 U R L 注 入 到 我 们 所 创 建 的 名 为 “ g o o d _ t e s t . d o c x ” 的 文 件 中 ， 我 们 将 生 成 的 文 件 保 存 为 “ b a d _ t e s t . d o c x ” 。 图 5 . 利 用 P h i s h e r y 创 建 测 试 文 档 为 了 验 证 恶 意 文 档 的 功 能 ， 我 们 使 用 了 P h i s h e r y 的 C 2 服 务 器 ， 并 打 开 了 D a r k H y d r u s 在 2 0 1 8 年 6 月 的 攻 击 中 使 用 的 W o r d 文 档 。 当 出 现 验 证 对 话 框 时 ， 我 们 输 入 “ f a k e n a m e ” 和 “ f a k e p a s s ” 作 为 凭 证 ， 如 图 6 所 示 ， 然 后 按 回 车 键 。
图 6 . 在 身 份 验 证 对 话 框 中 输 入 虚 假 的 凭 证 在 C 2 服 务 器 上 ， 我 们 观 察 到 P h i s h e r y 收 到 了 入 站 请 求 并 获 取 到 了 凭 证 ， 如 图 7 所 示 。 具 体 来 讲 ， 当 我 们 打 开 D a r k H y d r u s 的 W o r d 文 档 时 ， C 2 服 务 器 能 够 获 取 到 我 们 在 身 份 验 证 对 话 框 中 输 入 的 “ f a k e n a m e ” 和 “ f a k e p a s s ” 。 图 7 .   P h i s h e r y C 2 获 取 到 的 凭 证 结 论 结 论 D a r k H y d r u s 是 一 个 新 发 现 的 威 胁 组 织 ， 以 中 东 地 区 的 组 织 为 目 标 开 展 攻 击 活 动 。 我 们 发 现 ， D a r k H y d r u s 使 用 恶 意 W o r d 文 档 来 实 施 凭 据 窃 取 攻 击 ， 并 通 过 鱼 叉 式 网 络 钓 鱼 电 子 邮 件 将 这 些 文 档 发 送 给 政 府 实 体 和 教 育 机 构 。 恶 意 文 档 是 使 用 P h i s h e r y 工 具 创 建 的 ， D a r k H y d r u s 使 用 了 自 己 的 C 2 服 务 器 来 窃 取 凭 证 。 对 于 P h i s h e r y 的 使 用 进 一 步 表 明 ， D a r k   H y d r u s 主 要 依 赖 于 开 源 工 具 来 开 展 活 动 。 I o C s 样 本 ： d 3 9 3 3 4 9 a 4 a d 0 0 9 0 2 e 3 d 4 1 5 b 6 2 2 c f 2 7 9 8 7 a 0 1 7 0 a 7 8 6 c a 3 a 1 f 9 9 1 a 5 2 1 b f f 6 4 5 3 1 8 9 e a c 3 7 a 5 c 6 7 5 c d 1 7 5 0 c d 5 0 b 0 1 f c 0 5 0 8 5 c e 0 0 9 2 a 1 9 b a 9 7 0 2 6 2 9 2 a 6 0 b 1 1 b 4 5 b f 4 9 0 b 1 d 5 e 1 7 4 4 3 f 0 8 9 6 c 9 5 9 d 2 2 f a 1 5 d a d c a e 5 a b 0 8 3 a 3 5 b 3 f f 6 c b 4 8 c 7 f 9 6 7 6 4 9 e c 8 2 基 础 设 施 ： 0 u t l 0 0 k [ . ] n e t
1 0 7 . 1 7 5 . 1 5 0 [ . ] 1 1 3 1 9 5 . 1 5 4 . 4 1 [ . ] 1 5 0 * 本 文 作 者 ： 本 文 作 者 ： H y d r a l a b ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理