搜索

[13550] 2018-12-19_tRat：一种出现在多起垃圾电子邮件活动中的新型模块化RAT

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2018-12-19_tRat：一种出现在多起垃圾电子邮件活动中的新型模块化RAT t R a t ： 一 种 出 现 在 多 起 垃 圾 电 子 邮 件 活 动 中 的 新 型 模 块 化 R A T A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 1 2 - 1 9 概 述 概 述 T A 5 0 5 是 是 P r o o f p o i n t 研 究 团 队 一 直 在 跟 踪 的 一 个 活 动 非 常 频 繁 的 网 络 犯 罪 组 织 ， 根 据 目 前 收 集 到 的 数 据 ， 该 组 织 研 究 团 队 一 直 在 跟 踪 的 一 个 活 动 非 常 频 繁 的 网 络 犯 罪 组 织 ， 根 据 目 前 收 集 到 的 数 据 ， 该 组 织 操 作 过 始 于 操 作 过 始 于 2 0 1 4 年 的 上 百 次 年 的 上 百 次 D r i d e x 恶 意 活 动 ， 以 及 恶 意 活 动 ， 以 及 2 0 1 6 年 和 年 和 2 0 1 7 年 的 大 规 模 年 的 大 规 模 L o c k y 攻 击 活 动 ， 而 且 其 中 的 很 多 攻 击 活 动 ， 而 且 其 中 的 很 多 攻 击 活 动 涉 及 到 了 全 世 界 数 以 亿 计 的 恶 意 消 息 。 近 期 ， 该 组 织 又 开 始 传 播 各 种 远 程 访 问 木 马 （ 攻 击 活 动 涉 及 到 了 全 世 界 数 以 亿 计 的 恶 意 消 息 。 近 期 ， 该 组 织 又 开 始 传 播 各 种 远 程 访 问 木 马 （ R A T ） ， 以 及 各 ） ， 以 及 各 类 信 息 提 取 、 加 载 和 网 络 侦 侦 查 工 具 了 ， 其 中 就 包 括 我 们 之 前 没 介 绍 过 的 类 信 息 提 取 、 加 载 和 网 络 侦 侦 查 工 具 了 ， 其 中 就 包 括 我 们 之 前 没 介 绍 过 的 t R a t 。 。 t R a t 是 一 款 采 用 D e l p h i 开 发 的 模 块 化 R A T ， 这 款 R A T 在 今 年 9 月 份 和 1 0 月 份 的 恶 意 活 动 中 首 次 出 现 。 那 么 在 这 篇 文 章 中 ， 我 们 将 对 这 款 R A T 进 行 简 单 的 分 析 。 恶 意 活 动 恶 意 活 动 在 2 0 1 8 年 9 月 2 7 日 ， P r o o f p o i n t 检 测 到 了 一 次 恶 意 邮 件 活 动 ， 该 活 动 中 的 恶 意 M i c r o s o f t   W o r d 文 档 使 用 了 宏 功 能 来 下 载 t R a t 。 这 份 恶 意 文 档 中 标 记 了 N o r t o n 杀 毒 引 擎 的 字 样 ， 并 且 通 过 文 档 名 称 和 嵌 入 的 图 片 告 诉 用 户 这 份 文 件 是 受 卡 巴 斯 基 安 全 产 品 保 护 的 。 邮 件 的 主 题 栏 包 含 了 “ 安 全 共 享 文 件 ” 的 字 样 ， 这 里 同 样 也 使 用 了 社 工 技 术 来 安 装 t R a t ：
在 2 0 1 8 年 1 0 月 1 1 日 ， 我 们 还 观 察 到 了 另 一 个 传 播 t R A T 的 恶 意 活 动 。 这 次 活 动 背 后 的 攻 击 者 就 是 T A 5 0 5 ， 而 且 这 一 活 动 比 之 前 的 更 加 复 杂 ， 他 们 使 用 了 M i c r o s o f t 和 M i c r o s o f t   P u b l i s h e r 文 件 ， 并 且 丰 富 了 主 题 栏 和 发 送 方 的 内 容 。 通 过 分 析 来 看 ， 此 次 活 动 似 乎 针 对 的 是 商 业 银 行 机 构 的 用 户 。 在 这 一 活 动 中 ， 带 有 恶 意 M i c r o s o f t   P u b l i s h e r 文 档 的 消 息 会 标 记 上 “ 计 费 单 ” 和 “ 收 货 单 ” 等 字 样 。 比 如 说 ， 有 的 恶 意 邮 件 主 题 为 “ 呼 叫 通 知 - [ 随 机 数 字 ] - [ 随 机 数 字 ] ” ， 携 带 的 附 件 名 为 “ R e p o r t . d o c ” ： 其 中 ， 邮 件 附 件 会 包 含 恶 意 宏 ， 启 用 之 后 ， 便 会 下 载 t R a t ：
恶 意 文 件 分 析 恶 意 文 件 分 析 在 对 恶 意 软 件 样 本 进 行 了 分 析 之 后 ， 我 们 发 现 t R a t 会 通 过 将 代 码 拷 贝 到 下 列 位 置 来 实 现 持 续 性 感 染 ： 接 下 来 ， t R a t 会 在 启 动 目 录 中 创 建 一 个 L N K 文 件 ， 然 后 目 标 设 备 会 在 系 统 启 动 时 执 行 恶 意 代 码 ： t R a t 中 大 多 数 的 重 要 字 符 串 都 会 加 密 存 储 ， 并 使 用 了 十 六 进 制 转 码 。 这 里 给 大 家 提 供 了 一 个 P y t h o n 脚 本 来 对 这 些 字 符 串 进 行 解 密 。 【 脚 本 下 载 】 t R a t 使 用 T C P （ 端 口 8 0 ） 来 与 远 程 C 2 服 务 器 进 行 通 信 ， 数 据 进 行 了 加 密 并 以 十 六 进 制 形 式 发 送 。 为 了 生 成 解 密 密 钥 ， t R a t 会 连 接 三 个 字 符 串 ， 并 生 成 一 个 大 写 的 十 六 进 制 编 码 字 符 串 ， 我 们 解 码 出 的 样 本 字 符 串 如 下 ： 目 前 我 们 还 不 知 道 不 同 恶 意 软 件 样 本 的 这 些 字 符 串 会 不 会 变 化 。 为 了 生 成 密 钥 ， t R a t 会 在 解 密 过 程 中 使 用 一 个 1 5 3 6 字 节 的 密 码 表 ， 虽 然 我 们 现 在 还 没 弄 清 楚 这 个 密 码 表 中 所 有 元 素 的 明 确 含 义 ， 但 是 我 们 发 现 代 码 会 进 行 异 或 计 算 ， 而 且 算 法 中 的 部 分 值 是 从 加 密 数 据 中 获 取 的 。 【 密 码 表 获 取 】 t R a t 的 初 始 网 络 请 求 为 “ A T U H _ I N F ” ， 解 密 样 本 如 下 ： 这 个 字 符 串 包 含 了 两 个 子 字 符 串 ， 由 “ : ” 分 隔 。 第 一 个 子 字 符 串 是 一 个 硬 编 码 的 标 识 符 （ 加 密 字 符 串 ） ， 第 二 个 子 字 符 串 包 含 了 加 密 的 系 统 数 据 ， 样 本 如 下 ： 这 些 数 据 中 会 包 含 受 感 染 主 机 的 名 称 、 系 统 用 户 名 和 t R a t   b o t   I D 。 C : U s e r s < u s e r > A p p D a t a R o a m i n g A d o b e F l a s h P l a y e r S e r v i c e s F r a m e   H o s t f h o s t . e x e C : U s e r s < u s e r > A p p D a t a R o a m i n g M i c r o s o f t W i n d o w s S t a r t M e n u P r o g r a m s S t a r t u p b f h o s t . l n k " F x @ % g J _ 2 o K " " A C 8 F F F 3 3 D 0 7 2 2 9 B F 8 4 E 7 A 4 2 9 C A D C 3 3 B F E A E 7 A C 4 A 8 7 A E 3 3 A C E A A C 8 1 9 2 A 6 8 C 5 5 A 6 " " & L m c F # 7 R 2 m " M f B 5 a V 1 d y b x Q N L f g : D 2 9 A 7 9 D 6 C D 2 F 4 7 3 8 9 A 6 6 B B 5 F 2 8 9 1 D 6 4 C 8 A 8 7 F 0 5 A E 3 E 1 C 6 C 5 C B A 4 A 7 9 A A 5 E C A 2 9 F 8 E 8 C 8 F F C A 6 A 2 8 9 2 B 8 B 6 E F A S H Y E O H A L / n X A i D Q W d G w O R z t : 3 A 1 7 6 D 1 3 0 C 2 6 6 A 4 D
目 前 ， 我 们 还 没 观 察 到 t R a t 的 远 程 C 2 服 务 器 发 送 任 何 新 的 功 能 模 块 ， 所 以 我 们 现 在 还 无 法 确 定 新 版 本 恶 意 软 件 会 增 加 哪 些 功 能 。 入 侵 威 胁 指 标 入 侵 威 胁 指 标 I o C I o C 类 型 ： S H A 2 5 6 I o C 描 述 ： t R a t 样 本 哈 希 ， 9 月 2 7 日 活 动 I o C 类 型 ： S H A 2 5 6 I o C 描 述 ： t R a t 样 本 哈 希 ， 1 0 月 1 日 活 动 I o C 类 型 ： I P I o C 描 述 ： C & C 参 考 资 料 参 考 资 料 1 . h t t p s : / / g i t h u b . c o m / E m e r g i n g T h r e a t s / t h r e a t r e s e a r c h / b l o b / m a s t e r / t R a t / d e c r y p t _ s t r . p y 2 . h t t p s : / / g i t h u b . c o m / E m e r g i n g T h r e a t s / t h r e a t r e s e a r c h / b l o b / m a s t e r / t R a t / t a b l e 3 . h t t p s : / / g i t h u b . c o m / E m e r g i n g T h r e a t s / t h r e a t r e s e a r c h / b l o b / m a s t e r / t R a t / d e c r y p t _ c o m m s . p y * 参 考 来 源 ： p r o o f p o i n t ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文 I o C ： c d 0 f 5 2 f 5 d 5 6 a a 9 3 3 e 4 c 2 1 2 9 4 1 6 2 3 3 b 5 2 a 3 9 1 b 5 c 6 f 3 7 2 c 0 7 9 e d 2 c 6 e a c a 1 b 9 6 b 8 5 I o C ： c d b 8 a 0 2 1 8 9 a 8 7 3 9 d b e 5 2 8 3 f 8 b c 4 6 7 9 b f 2 8 9 3 3 a d b e 5 6 b f f 6 d 0 5 0 b a d 3 4 8 9 3 2 3 5 2 b I o C ： 5 1 . 1 5 . 7 0 [ . ] 7 4
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理