搜索

[13195] 2018-09-17_国外安全研究者爆料中国黑客组织针对越南政府的APT攻击样本

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2018-09-17_国外安全研究者爆料中国黑客组织针对越南政府的APT攻击样本 国 外 安 全 研 究 者 爆 料 中 国 黑 客 组 织 针 对 越 南 政 府 的 A P T 攻 击 样 本 c l o u d s   F r e e B u f   2 0 1 8 - 0 9 - 1 7 近 日 ， 法 国 安 全 研 究 者 兼 近 日 ， 法 国 安 全 研 究 者 兼 B o t C o n f 和 和 F a s t I R 公 司 创 始 人 公 司 创 始 人 S e b a s t i e n   L a r i n i e r ， ， * * 针 对 R T F 文 档 相 关 的 C V E - 2 0 1 7 – 1 1 8 8 2 漏 洞 利 用 专 门 制 作 了 一 条 Y A R A 规 则 ， 来 捕 获 攻 击 线 索 。 * * 经 过 海 量 数 据 比 对 ， 他 发 现 了 一 个 用 来 执 行 经 过 海 量 数 据 比 对 ， 他 发 现 了 一 个 用 来 执 行 A P T 攻 击 的 恶 意 攻 击 的 恶 意 R T F 文 档 样 本 ， 其 中 的 内 容 和 越 南 岘 港 市 海 洲 郡 的 建 设 项 目 相 关 ， 文 档 标 题 为 《 文 档 样 本 ， 其 中 的 内 容 和 越 南 岘 港 市 海 洲 郡 的 建 设 项 目 相 关 ， 文 档 标 题 为 《 C h ư ơ n g   t r ì n h   h o ạ t đ ộ n g   c n i t   2 0 1 8 》 。 据 》 。 据 S e b a s t i e n   L a r i n i e r 声 称 ， 按 照 该 恶 意 文 档 表 现 出 来 的 各 项 行 为 指 标 和 特 征 值 ， 他 怀 疑 该 声 称 ， 按 照 该 恶 意 文 档 表 现 出 来 的 各 项 行 为 指 标 和 特 征 值 ， 他 怀 疑 该 A P T 攻 击 文 档 的 幕 后 使 用 者 为 中 国 的 黑 客 组 织 攻 击 文 档 的 幕 后 使 用 者 为 中 国 的 黑 客 组 织 1 9 3 7 C N 。 。 本 文 中 ， 本 文 中 ， S e b a s t i e n   L a r i n i e r 着 重 描 述 了 该 恶 意 文 档 的 感 染 攻 击 机 制 、 网 络 攻 击 架 构 以 及 攻 击 者 采 用 的 相 关 着 重 描 述 了 该 恶 意 文 档 的 感 染 攻 击 机 制 、 网 络 攻 击 架 构 以 及 攻 击 者 采 用 的 相 关 T T P s 技 术 。 技 术 。 感 染 攻 击 链 感 染 攻 击 链 J o e   s a n d b o x   在 线 沙 盒 分 析 网 站 对 该 文 档 的 详 细 感 染 行 为 给 出 了 很 好 的 描 述 ：
该 恶 意 R T F 文 档 利 用 漏 洞 会 向 目 标 操 作 系 统 中 写 入 以 下 两 个 文 件 ： 一 个 名 为   R a s T l s . d l l   的 d l l 文 件 一 个 名 为 d a s c g o s r k y . e x e 的 可 执 行 文 件 R T F 文 档 分 析 文 档 分 析 在 P y t h o n 的 R T F 分 析 工 具 r t f o b j 帮 助 下 ， 可 以 发 现 恶 意 R T F 文 档 中 的 三 个 o l e 对 象 ： 一 个 类 名 为 p a c k a g e 的 o l e 对 象 ， 以 及 另 两 个 不 良 结 构 的 o l e 对 象 。 在 名 为 p a c k a g e 的 o l e 对 象 中 ， 存 在 一 个 8 . t 文 件 的 加 载 路 径 ：
这 种 技 术 看 似 是 用 来 执 行   . s c t   格 式 文 件 ， 以 向 网 络 下 载 一 个 可 执 行 程 序 ， 植 入 到 目 标 操 作 系 统 中 。 M c A f e e 安 全 实 验 室 曾 用   . s c t 文 件 为 样 本 对 这 种 技 术 进 行 过 分 析 。 这 种 技 术 由 于 简 单 有 效 ， 并 且 支 持 O f f i c e 相 关 文 档 ， 屡 次 被 很 多 攻 击 者 进 行 了 在 野 利 用 。 这 以 上 路 径 中 ， 可 以 看 到 ， R T F 文 档 会 从 系 统 % T M P %   目 录 中 加 载 一 个   8 . t   文 件 。 经 分 析 ， 8 . t   文 件 为 一 个 加 密 文 件 ：
经 检 查 ， 另 两 个 不 良 结 构 的 o l e 对 象 为 涉 及 “ E q u a t i o n   N a t i v e ” 流 的 o l e 公 式 对 象 ， 其 中 可 以 看 到 C V E - 2 0 1 7 – 1 1 8 8 2 漏 洞 利 用 的 影 子 ：
o l e 对 象 末 尾 ， 能 看 到 很 多 A P I 接 口 的 r u n P E 技 术 调 用 ， 这 样 恶 意 程 序 会 挂 起 一 个 系 统 进 程 ， 并 在 其 中 注 入 恶 意 执 行 代 码 。 另 外 ， 还 发 现 了 对 象 开 始 处 的 有 意 思 的 字 符 串 ：   7 e 0 7 9 a 2 5 2 4 f a 6 3 a 5 5 f b c f e ： 该 字 符 串 曾 在 “ 响 尾 蛇 ” A P T 攻 击 的 o l e 公 式 对 象 中 出 现 过 ， 可 能 攻 击 者 都 使 用 了 同 一 套 恶 意 程 序 组 装 工 具 。 现 在 有 了 加 载 文 件 8 . t   ， 以 及 r u n P E 技 术 的 确 定 。 接 下 来 ， 需 要 来 做 更 深 入 的 s h e l l c o d e 分 析 。 逆 向 逆 向 S h e l l C o d e 在 分 析 伊 始 ， S e b a s t i e n 认 为   W i n w o r d . e x e   会 调 用   C r e a t e P r o c e s s   函 数 来 创 建 E Q N E D T 3 2 . e x e 进 程 ， 所 以 他 决 定 在 C r e a t e P r o c e s s   函 数 的 调 用 处 设 置 一 个 断 点 。 但 是 ， 后 来 发 现 ， E Q N E D T 3 2 . e x e   进 程 是 由 W i n w o r d . e x e 利 用 C O M   O b j e c t 对 象 调 用 的 ， 并 不 是 由   C r e a t e P r o c e s s   函 数 来 创 建 的 ， 而 且 W i n w o r d . e x e 也 不 是 E Q N E D T 3 2 . e x e 的 父 进 程 。 所 以 ， 只 好 在 E Q N E D T 3 2 . e x e 启 动 时 附 加 上 调 试 器 。 为 此 ， 可 以 采 用 映 像 劫 持 （ I m a g e   F i l e   E x e c u t i o n   O p t i o n s , I F E O ） 方 法 来 进 行 分 析 。
所 谓 的 映 像 劫 持 （ I F E O ） 就 是 I m a g e   F i l e   E x e c u t i o n   O p t i o n s ， 位 于 注 册 表 的 H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n I m a g e   F i l e   E x e c u t i o n O p t i o n s   由 于 这 个 项 主 要 是 用 来 调 试 程 序 用 的 ， 对 一 般 用 户 意 义 不 大 。 默 认 是 只 有 管 理 员 和 l o c a l   s y s t e m 有 权 读 写 修 改 。 通 俗 来 说 ， 就 是 比 如 我 想 运 行 a . e x e ， 结 果 运 行 的 却 是 b . e x e ， 也 就 是 说 在 这 种 情 况 下 ， a 程 序 被 b 给 劫 持 了 ， 即 你 想 运 行 的 程 序 被 另 外 一 个 程 序 代 替 了 。 先 在 I m a g e   F i l e   E x e c u t i o n   O p t i o n s 的 注 册 表 荐 中 创 建 了 一 个 名 为 E Q N E D T 3 2 . e x e 的 键 值 ： 然 后 ， 为 它 设 置 一 个 E Q N E D T 3 2 . e x e 执 行 是 启 动 调 试 器 的 变 量 串 值 ， 以 此 把 调 试 器 附 加 到 E Q N E D T 3 2 . e x e 进 程 中 去 。 当 打 开 恶 意 R T F 文 档 后 ， W i n w o r d . e x e 和 E Q N E D T 3 2 . e x e 两 个 进 程 同 时 启 动 。 在 E Q N E D T 3 2 . e x e 进 程 的 入 口 点 处 ， 调 试 器 被 附 加 进 入 ： 现 在 ， 检 查 文 件 8 . t 是 否 在   % T M P %   目 录 中 创 建 生 成 ， 果 然 8 . t 被 d r o p 到 了   % T M P %   目 录 中 ： 然 后 ， 在 函 数 C r e a t e F i l e 处 设 置 断 点 ， 查 看 漏 洞 利 用 的 s h e l l c o d e 是 否 会 读 取 文 件 8 . t 。 在 c a l l   e q n e d t 3 2 . 4 1 E 5 E E 处 ， 函 数 C r e a t e F i l e 被 调 用 。 文 件 路 径 的 参 数 在 堆 栈 执 行 p u s h   d w o r d   p t r   s s : [ e b p - 4 ] 操 作 被 压 入 堆 栈 ， 也 即 把 内 存 s s : [ e b p - 4 ] 处 存 放 的 双 字 压 入 堆 栈 。 S h e l l c o d e 使 用 函 数
C r e a t e F i l e 把 文 件 8 . t 创 建 生 成 到 % T M P %   目 录 下 ， 现 在 ， 可 以 在 调 用 函 数 处 返 回 用 户 代 码 。 深 入 分 析 之 后 ， 进 入 s h e l l c o d e 区 域 ， 其 地 址 空 间 已 经 发 生 改 变 。 以 下 即 为 漏 洞 利 用 代 码 的 s h e l l c o d e 段 ： 在 函 数 C r e a t e F i l e 调 用 之 后 ,   函 数 G e t F i l e S i z e 被 调 用 以 获 取 文 件 大 小 ： 之 后 就 是 一 个 V i r t u a l A l l o c 函 数 。 V i r t u a l A l l o c 是 一 个 W i n d o w s   A P I 函 数 ， 该 函 数 的 功 能 是 在 调 用 进 程 的 虚 地 址 空 间 , 预 定 或 者 提 交 一 部 分 页 ， 也 可 理 解 为 申 请 内 存 空 间 。 这 里 的 V i r t u a l A l l o c 函 数 在 1 F D 0 0 0 0   ( e a x   v a l u e ) 处 申 请 创 建 了 一 个 内 存 页 面 ， 用 它 来 加 载 文 件 8 . t ： V i r t u a l A l l o c 函 数 之 后 ， 创 建 的 内 存 页 面 由 E A X 操 作 指 向 ： 分 配 的 内 存 页 面 ： 然 后 ， 用 函 数 R e a d F i l e 去 读 取 文 件 8 . t ：
接 着 ， 文 件 8 . t 被 读 取 加 载 到 了 分 配 的 内 存 页 面   1 F D 0 0 0 0   处 ， 以 下 为 文 件 8 . t 在 内 存 页 面 中 的 样 式 ： 在 0 0 6 6 C 8 2 A 内 存 处 ， s h e l l c o d e 会 对 文 件 8 . t 进 行 编 码 解 密 ， 解 密 循 环 是 围 绕 解 密 密 钥 进 行 的 一 系 列 异 或 （ X O R ） 操 作 ， 解 密 开 始 ， 解 密 密 钥 被 设 置 到 了 7 B F 4 8 E 6 3 中 。 以 下 为 解 密 循 环 ： 之 后 ， 执 行 异 或 （ X O R ） 操 作 ， 解 密 密 钥 被 设 置 到 了 E A X 寄 存 器 中 ： 如 果 检 查 异 或 （ X O R ） 操 作 的 目 的 地 d s : [ e d x + e b x ] ， 可 以 发 现 ， 在 0 1 F D 0 0 0 0 处 发 生 了 文 件 8 . t 加 载 行 为 ， 两 步 执 行 解 密 之 后 ， 终 于 可 以 在 内 存 区 开 头 看 到 神 奇 的 字 符 串 “ M Z ” 了 ， M Z 为 w i n d o w 的 P E 文 件 标 志 。 解 密 循 环 结 束 之 后 ， 我 们 会 在 内 存 0 1 F D 0 0 0 0 处 得 到 一 个 P E 程 序 ， 到 此 ， 文 件 8 . t 被 解 密 了 ： 接 下 来 ， s h e l l c o d e 使 用 V i r t u a l A l l o c 函 数 在
0 2 0 7 0 0 0 0 处 创 建 了 一 个 内 存 页 面 ： 之 前 ， 在 内 存 0 1 F D 0 0 0 0 处 解 密 得 到 的 P E 程 序 被 拷 贝 到 了 这 个 地 址 处 ： 在 E Q N E D T 3 2 . e x e 运 行 过 程 中 ， s h e l l c o d e 调 用 G e t M o d u l e F i l e N a m e A 函 数 来 获 取 自 身 文 件 的 完 整 路 径 。 之 后 ， s h e l l c o d e 将 正 常 的 E Q N E D T 3 2 . e x e 进 程 进 行 分 支 ， 创 建 出 另 一 个 独 立 的 E Q N E D T 3 2 . e x e 进 程 ， 并 把 它 执 行 挂 起 状 态 ： 然 后 在 地 址 0 2 0 7 0 0 0 0 处 把 该 进 程 进 行 覆 盖 ： 以 下 为 N T W r i t e V i r t u a l M e m o r y 写 入 内 存 时 涉 及 的 堆 栈 ： 之 后 ， s h e l l c o d e 会 把 挂 起 状 态 的 进 程 重 启 ， 以 此 执 行 新 注 入 的 P E 程 序 。 所 以 ， 可 以 发 现 在 O L E 对 象 开 头 处 存 在 所 有 的 A P I 调 用 ， 并 且 存 在 r u n P E 方 法 来 启 动 新 注 入 的   E Q N E D T 3 2 . e x e   程 序 。 E Q N E D T 3 2 . e x e 独 立 进 程 的 分 支 创 建 分 析 独 立 进 程 的 分 支 创 建 分 析 前 面 提 过 ， 被 注 入 覆 盖 的 新 进 程 E Q N E D T 3 2 . e x e 会 在 目 标 操 作 系 统 中 写 入 以 下 两 个 文 件 ： 一 个 名 为   R a s T l s . d l l   的 d l l 文 件 一 个 名 为 d a s c g o s r k y . e x e 的 可 执 行 文 件 如 果 把 E Q N E D T 3 2 . e x e 进 程 剥 离 出 来 ， 把 它 放 到 I D A 中 分 析 ， 可 以 发 现 该 进 程 在 s u b _ 0 0 4 0 1 1 5 0 处 释 放 文 件 的 方 法 函 数 ， 把 它 命 名 为 d r o p F i l e s 。
在 该 方 法 开 始 ， 存 在 一 个 x o r 循 环 ： 之 后 ， 会 调 用 压 缩 方 法 函 数 z l i b : 在 s u b _ 4 0 1 2 D 0 处 ， 文 件 释 放 函 数 d r o p F i l e s 会 被 两 次 调 用 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理