搜索

[13686] 2019-01-23_疑似MuddyWater最新攻击活动分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-01-23_疑似MuddyWater最新攻击活动分析 疑 似 M u d d y W a t e r 最 新 攻 击 活 动 分 析 f u c k g o d   F r e e B u f   2 0 1 9 - 0 1 - 2 3 简 介 简 介 M u d d y W a t e r 是 疑 似 来 自 伊 朗 的 是 疑 似 来 自 伊 朗 的 A P T 组 织 ， 主 要 攻 击 目 标 为 中 东 地 区 政 府 机 构 ， 但 在 近 期 的 公 开 报 告 中 显 组 织 ， 主 要 攻 击 目 标 为 中 东 地 区 政 府 机 构 ， 但 在 近 期 的 公 开 报 告 中 显 示 ， 示 ， 1 8 年 后 ， 中 东 以 外 的 地 区 也 陆 续 出 现 了 年 后 ， 中 东 以 外 的 地 区 也 陆 续 出 现 了 M u d d y w a t e r 的 活 动 迹 象 ， 比 如 土 耳 其 ， 巴 基 斯 坦 等 地 。 的 活 动 迹 象 ， 比 如 土 耳 其 ， 巴 基 斯 坦 等 地 。 该 组 织 最 早 于 2 0 1 7 年 9 月 被 M a l w a r e B y t e s 公 开 披 露 ， 同 年 1 1 月 p a l o a l t o 披 露 针 对 中 东 的 攻 击 ， 并 将 该 组 织 命 名 为 M u d d y W a t e r ， 之 后 活 动 踪 迹 开 始 被 国 内 外 安 全 机 构 公 开 披 露 ， 详 情 请 看 参 考 链 接 。 M u d d y W a t e r 使 用 诱 惑 性 的 鱼 叉 文 档 作 为 攻 击 入 口 ， 引 导 用 户 启 用 宏 ， 利 用 宏 释 放 后 续 后 续 P y l o a d 进 行 攻 击 ， 在 早 期 报 道 中 ， M u d d y W a t e r 主 要 使 用 p o w e r s h e l l 后 门 。 最 近 卡 巴 称 已 发 现 有 V B S , V B A ,   P o w e r S h e l l ,   V B S ,   V B A ,   P y t h o n , c # 等 脚 本 后 门 以 及 R A T 木 马 。 简 单 简 单 T T P 根 据 公 开 情 报 ， 绘 制 M u d d y W a t e r 简 单 T T P 如 下 ： 项 目 类 型 项 目 类 型 内 容 内 容 组 织 名 称 M u d d y W a t e r 攻 击 目 标 中 东 政 府 机 构 ， 土 耳 其 ， 巴 基 斯 坦 等 曝 光 时 间 2 0 1 7 年 9 月 国 外 安 全 公 司 M a l w a r e B t t e s 披 露 ， 1 1 月 p a l o a l t o 正 式 命 名 为 M u d d y W a t e r 。 攻 击 平 台 P C 攻 击 入 口 鱼 叉 邮 件 ， 主 要 是 带 宏 的 o f f i c e 文 档 恶 意 代 码 实 现 主 要 以 p o w e r s h e l l 后 门 为 主 样 本 分 析 样 本 分 析 前 几 日 ， 3 6 0 威 胁 情 报 中 心 披 露 疑 似 M u d d y W a t e r 的 新 攻 击 样 本
到 目 前 还 没 有 该 样 本 的 具 体 分 析 报 告 ， 所 以 笔 者 在 网 上 找 到 了 该 样 本 并 予 以 分 析 。 样 本 信 息 样 本 信 息 2 - M e r v e C o o p e r a t i o n C V . d o c 样 本 名 称 ： 2 - M e r v e C o o p e r a t i o n C V . d o c 样 本 M D 5 : 8 8 9 9 c 0 d a c 9 f 6 b b 7 3 c e 7 5 0 a e 7 b 3 2 5 0 d b d 样 本 来 源 ： 公 开 网 络 来 源 分 析 环 境 分 析 环 境 调 试 工 具 ： d n s p y 分 析 环 境 ： w i n 7   3 2   虚 拟 机 样 本 分 析 样 本 分 析 2 - M e r v e C o o p e r a t i o n C V . d o c 与 M u d d y W a t e r 之 前 的 样 本 类 似 ， 该 样 本 也 是 宏 利 用 样 本 ， 并 带 有 模 糊 的 图 片 ， 不 过 似 乎 该 样 本 在 编 写 时 有 些 问 题 ， 导 致 无 法 运 行 ， 会 显 示 宏 编 译 过 程 过 大 ， 无 法 运 行 。
这 儿 笔 者 直 接 将 宏 拷 贝 出 来 ， 静 态 分 析 ， 由 于 样 本 无 法 进 行 调 试 ， 笔 者 只 能 猜 测 大 概 行 为 ， 看 这 个 l k i 数 组 有 大 量 数 据 ， 猜 测 是 会 执 行 该 段 数 据 。 经 分 析 发 现 ， 该 段 数 据 以 5 0   4 B 开 头 ， 正 好 是 压 缩 包 的 头 ， 故 将 数 组 数 据 保 存 ， 用 7 z 解 压 ， 得 到 如 下 所 示 文 件 G o o g l e U p d a t e . e x e 该 可 执 行 文 件 是 一 个 c # 后 门 ， 后 续 主 要 功 能 已 包 括 ， 所 以 主 要 分 析 该 文 件 在 % a p p d a t a % 目 录 下 创 建 W i n d o w s M i c r o s o f t F r a m e W o r k 4 目 录 获 取 计 算 机 用 户 名 ， 磁 盘 虚 拟 号 ， 经 b a s e 6 4 编 码 后 ， 把 编 码 后 的 数 据 去 除 “ = ” “ + ” 生 成 受 害 者 唯 一 i d
之 后 开 始 进 入 死 循 环 上 线 流 程 首 先 通 过 g o o g l e 检 测 网 络 的 连 接 性 之 后 从 t e m p g h 1 2 . d a t 读 取 解 码 出 网 络 地 址 ， 从 该 地 址 下 获 取 之 后 的 c 2
之 后 以 " c 2 ? r o o t = 随 机 字 符 "   形 式 连 接 获 取 字 符 串 ， 若 从 c 2 获 取 的 字 符 与 硬 编 码 的 ” w Y b a e j 5 a v Y r F b ” 相 等 ， 则 将 该 c 2 作 为 后 续 c 2 解 码 执 行 执 行 一 段 p o w e r s h e l l 代 码 获 取 计 算 机 用 户 ， 用 户 所 在 的 组 ， 已 安 装 应 用 ， i p 等 信 息 获 取 计 算 机 i d ， 用 户 名 , i p 等 信 息 ， b a s e 6 4 加 密 后 保 存 到 % a p p d a t a % W i n d o w s M i c r o s o f t F r a m e W o r k 4 i d _ b W 1 f R D I y M 0 I 1 Q j I " 中 ， 并 将 该 文 件 上 传 到 c 2
若 c 2 返 回 为 t r u e ， 则 退 出 第 一 轮 上 线 死 循 环 ， 进 入 后 续 命 令 分 发 死 循 环 中
该 样 本 只 支 持 上 传 文 件 ， 下 载 文 件 两 种 功 能 I O C h t t p s : / / w w w . j s o n s t o r e . i o / 4 d e 4 d 6 d 8 4 d 1 7 6 3 8 b 3 c d 0 e a f 1 8 8 5 7 7 8 4 a f f 2 7 5 0 1 b e 7 d 3 d d 8 9 f a d 2 b 7 a c 2 1 3 4 f 5 2 e " h t t p : / / s h o p c l o t h s . d d n s . n e t / u s e r s . p h p ? h t t p : / / g e t g o o o g l e . h o p t o . o r g / u s e r s . p h p ? 联 联 虽 然 这 次 宏 利 用 样 本 后 续 是 c # 后 门 ， 不 是 M u d d d y W a t e r 常 用 的 p o w e r s h e l l 后 门 ， 但 根 据 其 宏 代 码 ， 以 及 诱 饵 文 档 内 容 等 都 与 M u d d y W a t e r 手 法 类 似 ， 且 3 6 0 威 胁 情 报 中 心 都 披 露 了 ， 那 应 该 是 没 跑 了 。 以 下 是 一 些 与 M u d d y W a t e r 相 似 的 代 码 设 置 启 动 项 ： 宏 代 码 ：
总 结 总 结 近 年 来 ， 威 胁 情 报 越 发 的 火 爆 ， 各 类 A P T 组 织 也 陆 续 被 国 内 外 安 全 厂 商 披 露 ， M u d d y W a t e r 作 为 1 7 年 就 被 披 露 的 组 织 ， 非 但 没 有 停 止 攻 击 ， 反 而 越 发 的 动 作 频 繁 ， 从 最 初 的 针 对 中 东 地 区 ， 到 现 在 的 各 个 地 区 都 出 现 了 该 组 织 的 活 动 迹 象 ， 且 该 组 织 似 乎 异 常 高 调 ， 在 卡 巴 斯 基 的 年 度 报 告 下 ， m u d d y w a t e r 似 乎 嫌 卡 巴 将 其 排 名 放 在 后 面 ， 还 在 报 告 下 评 论 ， 如 下 图 所 示 参 考 ： 参 考 ： h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / w e b / 1 6 5 0 6 1 . h t m l h t t p s : / / w w w . c o l a b u g . c o m / 4 9 0 2 8 6 2 . h t m l h t t p s : / / s e c u r e l i s t . c o m / m u d d y w a t e r / 8 8 0 5 9 / * 本 文 作 者 ： 本 文 作 者 ： f u c k g o d ， 本 文 属 ， 本 文 属   F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理