搜索

[14444] 2019-08-08_APT15组织研究白皮书

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-08-08_APT15组织研究白皮书 A P T 1 5 组 织 研 究 白 皮 书 K r i s t o n   F r e e B u f   2 0 1 9 - 0 8 - 0 8 K e 3 c h a n g 组 织 也 被 称 为 组 织 也 被 称 为 A P T 1 5 , 该 组 织 的 攻 击 行 为 于 该 组 织 的 攻 击 行 为 于 2 0 1 2 年 第 一 次 被 曝 光 ， 该 组 织 当 时 利 用 远 程 后 门 攻 击 全 世 年 第 一 次 被 曝 光 ， 该 组 织 当 时 利 用 远 程 后 门 攻 击 全 世 界 的 高 价 值 目 标 。 该 组 织 活 动 最 早 可 以 追 溯 到 界 的 高 价 值 目 标 。 该 组 织 活 动 最 早 可 以 追 溯 到 2 0 1 0 年 ， 在 火 眼 年 ， 在 火 眼 2 0 1 3 年 报 告 中 显 示 该 组 织 当 时 针 对 目 标 为 欧 洲 外 年 报 告 中 显 示 该 组 织 当 时 针 对 目 标 为 欧 洲 外 交 组 织 。 交 组 织 。 2 0 1 2 - 2 0 1 5 年 记 录 显 示 该 组 织 攻 击 者 更 新 了 年 记 录 显 示 该 组 织 攻 击 者 更 新 了 T i d e P o o l 恶 意 软 件 ， 后 来 恶 意 软 件 ， 后 来 2 0 1 6 - 2 0 1 7 年 年 R o y a l C L I 和 和 R o y a l D N S 等 工 具 被 一 同 发 现 用 于 攻 击 英 国 政 府 。 等 工 具 被 一 同 发 现 用 于 攻 击 英 国 政 府 。 2 0 1 8 年 ， 年 ， K e 3 c h a n g 组 织 使 用 新 版 组 织 使 用 新 版 M i r a g e   R A T 以 及 精 简 版 的 以 及 精 简 版 的 M i r a g e F o x 等 工 具 。 我 们 一 直 在 跟 踪 与 该 组 织 相 关 的 恶 意 攻 击 行 为 ， 并 有 很 多 有 价 值 的 发 现 。 等 工 具 。 我 们 一 直 在 跟 踪 与 该 组 织 相 关 的 恶 意 攻 击 行 为 ， 并 有 很 多 有 价 值 的 发 现 。 我 们 在 2 0 1 5 - 2 0 1 9 年 间 发 现 了 关 于 该 组 织 使 用 的 新 版 恶 意 软 件 家 族 ， 包 括 B S 2 0 0 5 后 门 和 R o y a l D N S 恶 意 软 件 。 之 后 ， 我 们 发 现 名 为 O k r u m 的 后 门 ， 该 后 门 与 该 组 织 使 用 的 恶 意 软 件 有 很 大 关 联 。 在 2 0 1 6 年 1 2 月 第 一 次 发 现 该 后 门 ， 2 0 1 7 年 该 后 门 被 用 于 斯 洛 伐 克 ， 比 利 时 ， 智 利 ， 危 地 马 拉 和 巴 西 等 目 标 。 本 文 将 对 此 前 未 记 录 的 恶 意 软 件 家 族 和 从 2 0 1 5 年 到 2 0 1 9 年 检 测 到 的 其 他 K e 3 c h a n g 恶 意 软 件 进 行 深 入 的 技 术 研 究 。 我 们 会 从 代 码 、 运 作 方 式 、 目 标 等 方 面 分 析 O k r u m 后 门 与 K e 3 c h a n g 组 织 的 关 联 性 。 调 查 时 间 表 调 查 时 间 表 2 0 1 5 年 ： 年 ： K e t r i c a n 2 0 1 5 年 ， 我 们 在 欧 洲 国 家 发 现 了 新 的 可 疑 活 动 。 攻 击 背 后 的 团 体 对 斯 洛 伐 克 特 别 感 兴 趣 ， 发 现 了 很 多 恶 意 软 件 样 本 ， 克 罗 地 亚 、 捷 克 共 和 国 和 其 他 国 家 也 受 到 影 响 。 我 们 对 这 些 攻 击 中 使 用 的 恶 意 软 件 分 析 显 示 ， 该 样 本 与 K e 3 c h a n g 的 B S 2 0 0 5 后 门 以 及 2 0 1 6 年 发 现 的 针 对 印 度 大 使 馆 的 恶 意 软 件 有 密 切 联 系 。 2 0 1 6 - 2 0 1 7 ： ： O k r u m 在 2 0 1 6 年 末 发 现 了 一 个 新 的 的 后 门 ， 并 将 其 命 名 为 O k r u m 。 O k r u m 恶 意 软 件 与 K e t r i c a n   2 0 1 5 后 门 专 注 于 斯 洛 伐 克 的 相 同 目 标 。 2 0 1 7 年 ： 年 ： K e t r i c a n 和 和 R o y a l D N S 工 具 工 具 我 们 发 现 O k r u m 后 门 被 用 来 放 置 2 0 1 7 年 全 新 版 本 的 K e t r i c a n 后 门 ， 这 几 种 恶 意 软 件 间 的 关 系 也 逐 渐 清 晰 明 朗 。 2 0 1 7 年 ， 受 O k r u m 恶 意 软 件 （ 以 及 2 0 1 5 年 K e t r i c a n 后 门 ） 影 响 的 相 同 群 体 再 次 成 为 攻 击 者 的 目 标 。 这 一 次 ， 攻 击 者 使 用 了 新 版 本 的 R o y a l D N S 恶 意 软 件 和 K e t r i c a n   2 0 1 7 后 门 。 2 0 1 8 年 ： 年 ： K e t r i c a n 在 2 0 1 8 年 ， 我 们 发 现 了 一 个 新 版 本 的 K e t r i c a n 后 门 ， 其 中 包 含 一 些 代 码 改 进 。 2 0 1 9 年 ： 年 ： K e t r i c a n 该 组 织 在 2 0 1 9 年 仍 然 活 跃 ， 在 2 0 1 9 年 3 月 ， 我 们 发 现 了 一 个 新 的 K e t r i c a n 样 本 ， 该 样 本 是 从 2 0 1 8 年 的 K e t r i c a n 后 门 发 展 而 来 的 。 它 攻 击 了 与 2 0 1 8 年 后 门 相 同 的 目 标 。 此 事 件 时 间 表 显 示 攻 击 者 专 注 于 相 同 类 型 的 目 标 ， 但 使 用 不 同 的 恶 意 工 具 集 来 攻 击 它 们 。 下 图 显 示 了 与 先 前 记 录 的 K e 3 c h a n g 活 动 以 及 相 关 的 E S E T 检 测 结 果 。
O k r u m 恶 意 软 件 恶 意 软 件 在 2 0 1 6 年 底 我 们 发 现 了 一 个 未 知 的 后 门 并 命 名 为 O k r u m 。 该 后 门 第 一 次 发 现 时 被 用 于 安 装 K e t r i c a n 。 最 新 版 的 K e t r i c a n 已 经 被 用 于 该 组 织 B S 2 0 0 5 恶 意 软 件 家 族 之 中 。 此 外 ， O k r u m 后 门 与 该 组 织 先 前 使 用 过 的 后 门 具 有 相 似 的 接 入 口 ， 这 也 表 明 了 他 们 属 于 同 一 个 家 族 。 O k r u m 技 术 细 节 技 术 细 节 O k r u m 后 门 的 功 能 与 K e 3 c h a n g 组 织 使 用 的 其 他 后 门 程 序 相 同 ， 允 许 攻 击 者 下 载 和 上 载 文 件 ， 执 行 二 进 制 文 件 或 运 行 s h e l l 命 令 。 后 门 还 可 以 自 更 新 、 调 整 配 置 中 的 休 眠 时 间 。 后 门 本 身 是 一 个 动 态 链 接 库 ， 可 以 安 装 和 加 载 组 件 。 在 我 们 的 调 查 过 程 中 发 现 这 两 个 组 成 部 分 会 经 常 发 生 变 化 。 每 隔 几 个 月 ， 作 者 就 会 改 变 加 载 器 和 安 装 程 序 的 实 现 代 码 ， 以 避 免 被 检 测 。 在 本 文 发 布 时 ， E S E T 系 统 已 检 测 到 7 个 版 本 的 加 载 器 和 2 个 版 本 的 安 装 程 序 。 我 们 无 法 找 到 恶 意 软 件 的 原 始 攻 击 媒 介 和 删 除 程 序 ， 但 我 们 确 定 了 O k r u m 恶 意 软 件 中 使 用 的 几 个 组 件 ： 1 、 可 选 择 的 0 号 加 载 器 2 、 1 号 加 载 器 3 、 安 装 程 序 4 、 p n g 后 门 下 图 列 举 了 O k r u m 的 后 门 组 件 ：
加 载 器 加 载 器 尽 管 1 号 加 载 一 直 在 发 生 变 化 但 其 功 能 都 是 为 了 安 装 O k r u m 后 门 。 0 号 加 载 器 是 可 选 择 ， 它 可 以 把 1 号 加 载 器 加 载 到 内 存 之 中 。 早 期 版 本 早 期 版 本 1 号 加 载 器 号 加 载 器 早 期 1 号 加 载 器 与 后 门 捆 绑 在 文 件 末 尾 。 最 后 4 字 节 为 后 门 大 小 ， 后 门 是 利 用 R C 4 算 法 加 密 ， 秘 钥 为 硬 编 码 。 以 下 两 个 秘 钥 为 分 析 样 本 时 的 秘 钥 ： 0 x 4 5 4 0 D C A 3 F E 0 5 2 E B A 0 1 8 3 D 9 F A 3 6 D A 7 F 9 8 0 x C D A B D C A 3 F E 2 9 3 4 B 1 0 8 9 3 D F A 1 F A 7 D 3 6 9 8 程 序 加 载 时 会 去 确 认 自 身 没 有 处 在 被 分 析 或 者 是 沙 盒 之 中 。 程 序 设 置 了 4 个 检 测 ， 如 下 图 所 示 ：
1 、 两 次 调 用   G e t T i c k C o u n t ， 两 次 调 用 间 隔 为 2 0 s 的 睡 眠 。 如 果 时 间 没 有 发 生 变 化 ， 程 序 就 会 终 止 。 2 、 两 次 调 用   G e t C u r s o r P o s ， 如 果 x - a x i s 标 志 位 发 生 变 化 ， 程 序 终 止 。 3 、 调 用 G e t G l o b a l M e m o r y S t a t u s E x ， 如 果 实 际 物 理 内 存 不 足 1 . 5 G ， 程 序 终 止 。 4 、 只 有 当 鼠 标 左 键 点 击 超 过 三 次 后 p a y l o a d 才 会 执 行 。 如 果 所 有 的 检 测 都 通 过 了 ， 加 载 器 就 会 解 密 后 门 并 运 行 。 后 期 版 本 后 期 版 本 1 号 加 载 器 号 加 载 器 后 期 1 号 加 载 器 与 早 期 版 本 有 所 不 同 ， 它 不 会 与 加 密 的 后 门 文 件 绑 定 在 一 起 ， 后 门 文 件 会 隐 藏 在 p n g 图 片 中 。 如 果 图 片 被 浏 览 ， 前 端 显 示 的 为 I E 浏 览 器 图 片 ， 加 载 器 会 在 去 定 位 加 密 后 门 。 所 有 的 加 载 器 都 假 定 图 片 已 经 存 储 在 C : p r o g r a m f i l e s 或 其 子 文 件 夹 。
加 载 器 会 寻 找 特 定 结 构 的 文 件 ： 1 、 图 片 签 名 头 4 个 字 节 为 ： 0 x 8 9 5 0 4 E 4 7 2 、 图 片 z T X t 头 部 ： 0 x 7 A 5 4 5 8 7 4 3 、 图 片 I E N D 头 部 :   0 x 4 9 4 5 4 E 4 4 4 、   0 x 0 1 跟 在 I E N D 头 部 后 加 密 的 p a y l o a d 都 嵌 入 在 z T X t 块 中 。 根 据 P N G 格 式 规 范 ， 这 个 块 中 应 包 含 压 缩 文 本 ， 例 如 许 可 信 息 等 。 但 是 ， z T X t 块 对 于 显 示 图 像 并 不 重 要 ， 因 此 P N G 解 析 器 可 以 在 格 式 错 误 时 忽 略 它 。 因 此 ， 图 像 即 使 存 在 损 坏 的 z T X t 部 分 ， 也 可 以 正 确 呈 现 。 使 用 带 有 硬 编 码 密 钥 的 T i n y 加 密 算 法 （ T E A ） 对 有 效 载 荷 进 行 解 密 并 加 载 。 在 所 有 加 载 器 中 硬 编 码 具 有 相 同 的 解 密 密 钥 ： 0 x 3 E 6 A 1 2 5 F 2 3 8 7 5 4 1 2 9 6 A 3 D C 5 6 0 C 6 9 A D 1 E 已 发 现 的 五 个 加 载 器 具 有 完 全 相 同 的 功 能 ， 但 实 现 不 同 。 其 中 一 个 名 为 N t m s s v c 的 服 务 ， 需 要 服 务 安 装 程 序 ， 其 他 服 务 是 独 立 可 执 行 文 件 。 其 中 两 个 加 载 器 强 制 进 行 异 常 处 理 来 隐 藏 其 有 效 负 载 。 但 是 ， 所 有 加 载 器 都 可 以 定 位 ， 解 密 和 加 载 后 门 。 安 装 程 序 安 装 程 序 S H A - 1 :   A 4 2 6 B C C 6 3 1 7 F 0 D 4 9 F 0 F 0 B 6 8 0 9 1 E 8 1 6 1 C 5 1 2 E 2 2 C 3 我 们 检 测 到 的 第 一 个 安 装 程 序 是 N t m s s v c 服 务 安 装 程 序 。 因 为 具 有 相 同 服 务 名 称 和 P E 时 间 戳 ， 推 测 此 组 件 与 1 号 加 载 器 同 时 使 用 。 组 件 有 两 种 模 式 ， 由 命 令 行 参 数 安 装 或 卸 载 。 它 会 创 建 或 删 除 一 个 名 为 N t m s s v c 的 服 务 ， 该 服 务 会 模 仿 合 法 的 R e m o v a b l e 存 储 服 务 ， 但 实 际 上 ， 它 在 系 统 启 动 时 会 加 载 O k r u m 。 S H A - 1 :   F 0 E 2 C 3 A F 0 2 9 7 C 8 0 C 0 A 1 4 E 9 5 E 1 5 1 F C 7 D C 3 1 9 A C F C 3 该 安 装 程 序 与 1 号 加 载 器 中 的 一 个 版 本 具 有 相 同 的 时 间 戳 ， 因 此 推 测 该 两 个 组 件 需 要 组 合 使 用 。 该 安 装 程 序 会 在 系 统 运 行 前 执 行 特 定 文 件 。 程 序 有 两 个 模 行 ， 执 行 时 需 要 三 个 参 数 ： m d 、 t n 、 f p 。 m d 1 ： 新 建 一 个 隐 藏 t n 任 务 ， 该 任 务 可 以 在 用 户 登 录 时 执 行 f p 文 件 m d 2 ： 在 启 动 文 件 夹 下 创 建 t n 快 捷 方 式 ， 快 捷 方 式 指 向 f p 文 件 后 门 实 现 后 门 实 现 O k r u m 后 门 是 一 个 d l l 文 件 ， 有 三 个 导 出 功 能 。 D l l E n t r y P o i n t R e f l e c t i v e   l o a d e r   ( _ x y z / _ R l d ) M a i n   p a y l o a d   ( _ a b c / _ s p a c e ) 1 号 加 载 程 序 使 用 异 常 处 理 方 法 解 密 并 加 载 后 门 。 后 门 具 有 有 效 的 可 执 行 文 件 D O S 标 头 ， 但 也 可 以 理 解 为 是 s h e l l c o d e 。 这 允 许 第 1 阶 段 组 件 将 后 门 D L L 加 载 到 其 地 址 空 间 ， 并 执 行 J M P 或 C A L L 指 令 执 行 s h e l l c o d e 。 s h e l l c o d e 首 先 调 用 反 射 加 载 器 导 出 功 能 ( r e f l e c t i v e   l o a d e r   e x p o r t e d ) 来 重 定 位 和 解 析 ，   然 后 执 行 后 门 。
文 件 P E 头 是 有 效 的 ， 因 此 可 以 执 行 很 多 通 用 的 指 令 方 法 。 在 原 始 的 未 加 密 的 版 本 中 ， 后 门 也 可 以 直 接 执 行 任 何 可 执 行 文 件 加 载 D L L 。 也 可 以 使 用 D L L 导 出 的 反 射 加 载 器 将 其 直 接 注 入 另 一 个 进 程 。 这 些 技 术 有 可 能 被 使 用 在 一 些 旧 版 本 的 恶 意 软 件 ， 在 研 究 过 程 中 我 们 只 发 现 D O S 头 中 s h e l l c o d e 的 执 行 行 为 。 后 门 总 体 情 况 后 门 总 体 情 况 O k r u m 可 以 通 过 模 拟 登 录 用 户 调 用 I m p e r s o n a t e L o g g e d O n U s e r   A P I ， 以 获 得 管 理 员 权 限 。 它 会 自 动 收 集 有 关 受 感 染 计 算 机 的 以 下 信 息 ： 计 算 机 名 字 、 用 户 名 、 i p 地 址 、 d n s 、 系 统 版 本 信 息 、 架 构 、 用 户 代 理 信 息 以 及 本 地 信 息 （ 如 语 言 、 国 家 等 ） 。 通 信 开 始 时 它 会 与 C ＆ C 服 务 器 进 行 通 信 ， 并 协 商 用 于 进 一 步 通 信 的 A E S 密 钥 。 如 果 不 成 功 则 使 用 硬 编 码 密 钥 。 然 后 ， 它 发 送 收 集 到 的 p c 信 息 并 在 服 务 端 进 行 登 记 注 册 。 最 后 ， 它 启 动 一 个 循 环 ， 受 感 染 的 计 算 机 会 查 询 后 门 命 令 然 后 在 本 地 解 析 它 。 后 门 通 信 方 式 后 门 通 信 方 式 O k r u m 利 用 h t t p 协 议 与 服 务 器 通 信 ： h t t p   h e a d   请 求 协 商 a e s 秘 钥 h t t p   g e t   请 求 命 令 或 下 载 文 件 h t t p   p o s t   请 求 上 传 文 件 如 果 在 受 感 染 的 系 统 上 配 置 了 任 何 代 理 服 务 器 ， O k r u m 就 能 够 识 别 并 使 用 它 们 他 们 发 出 H T T P 请 求 。
在 向 服 务 端 发 送 数 据 时 ， 数 据 被 嵌 入 在 头 部 c o o k i e 中 ， 在 服 务 端 向 客 户 端 发 送 数 据 时 ， 数 据 被 嵌 入 在 头 部 的 S e t - C o o k i e 字 段 中 。 如 上 图 所 示 。 数 据 通 常 是 由 一 系 列 的 参 数 和 数 值 组 成 ， 比 如 ： 通 信 过 程 中 传 递 的 参 数 与 请 求 类 型 也 有 关 系 。 在 从 客 户 端 向 服 务 端 发 送 数 据 时 ， 参 数 用 来 标 记 受 感 染 电 脑 身 份 和 查 询 行 为 ； 在 其 他 的 通 信 联 系 中 可 以 用 来 确 定 执 行 的 命 令 和 其 他 数 据 格 式 。 同 时 发 现 K e 3 c h a n g 行 动 名 称 会 作 为 请 求 的 一 部 分 发 送 到 服 务 器 ， 以 帮 助 攻 击 者 跟 踪 操 作 。 在 分 析 的 O k r u m 样 本 中 ， 我 们 遇 到 了 三 个 系 列 名 称 ： f i n a n c e g r e e n 7 r e h a k e 通 信 数 据 经 常 会 利 用 a e s - c b c 和 b a s e 6 4 加 密 ， 秘 钥 会 由 双 方 协 商 决 定 。 此 外 ， 恶 意 软 件 为 了 隐 蔽 自 己 与 C & C 服 务 器 的 通 信 行 为 和 数 据 ， 攻 击 者 会 注 册 一 些 看 似 合 法 的 域 名 。 例 如 ， 用 于 斯 洛 伐 克 目 标 的 样 本 模 仿 与 斯 洛 伐 克 地 图 门 户 （ s u p p o r t . s l o v a k m a p s   [ 。 ]   c o m ） 的 域 名 进 行 通 信 。 后 门 命 令 后 门 命 令 后 门 命 令 由 嵌 入 在 远 程 服 务 器 的 消 息 中 的 c t 参 数 确 定 。 计 算 此 值 的 哈 希 并 与 硬 编 码 表 进 行 比 较 。 在 解 释 命 令 之 后 ， O k r u m 会 睡 眠 一 段 时 间 。 O k r u m 后 门 仅 支 持 基 本 命 令 ， 这 表 明 它 是 第 一 阶 段 的 后 门 ， 之 后 可 由 攻 击 者 手 动 执 行 更 复 杂 的 命 令 。 下 图 为 后 台 命 令 的 完 整 列 表 。 O k r u m 使 用 的 辅 助 使 用 的 辅 助 t m = 0 1 / 0 9 / 2 0 1 8   1 2 : 3 0 : 0 0 & h n = M y - C o m p u t e r & u n = J o h n D o e & d m = m y . d n s . s u f f i x & i p = 1 2 7 . 0 . 0 . 1 & o s = W i n d o w s   S e r v e r   2 0 1 6 & f g = f i n a n c e
工 具 工 具 由 于 O k r u m 后 门 在 技 术 上 并 不 复 杂 ， 因 此 大 多 数 恶 意 活 动 必 须 是 通 过 手 动 输 入 s h e l l 命 令 或 利 用 其 他 工 具 和 软 件 来 执 行 ， 这 是 K e 3 c h a n g 常 用 做 法 。 并 不 是 所 有 使 用 的 工 具 都 是 恶 意 软 件 ， 其 中 一 些 是 常 见 的 程 序 ， 如 R A R 等 。 我 们 在 研 究 中 发 现 了 用 于 转 储 密 码 ， 枚 举 网 络 会 话 等 恶 意 工 具 。 下 图 列 出 了 到 O k r u m 恶 意 软 件 使 用 的 程 序 。 K e 3 c h a n g 组 织 在 组 织 在 2 0 1 5 - 2 0 1 9 年 活 动 情 况 年 活 动 情 况 从 2 0 1 5 年 到 2 0 1 9 年 ， 我 们 检 测 到 来 自 K e 3 c h a n g 的 新 版 本 K e t r i c a n 以 及 R o y a l D N S 的 恶 意 软 件 。 通 过 这 些 新 发 现 的 样 本 ， 把 它 们 与 之 前 属 于 K e 3 c h a n g 的 恶 意 软 件 系 列 进 行 比 较 归 纳 。 K e 3 c h a n g 在 在 2 0 1 5 年 的 活 动 情 况 年 的 活 动 情 况 — — K e r t i c a n 后 门 后 门 所 有 分 析 的 K e t r i c a n   2 0 1 5 后 门 样 本 都 支 持 K e 3 c h a n g 中 使 用 的 基 本 命 令 集 ， 例 如 下 载 和 上 载 文 件 ， 执 行 程 序 和 s h e l l 命 令 ， 以 及 在 配 置 时 间 内 休 眠 。 每 个 文 件 都 有 一 个 硬 编 码 ， C ＆ C 服 务 器 域 名 和 U R I 。 从 2 0 1 5 年 发 现 的 K e t r i c a n 样 本 中 提 取 的 I o C 列 表 可 以 在 下 表 中 找 到 。
工 作 目 录 工 作 目 录 B S 2 0 0 5 和 2 0 1 5   K e t r i c a n 样 本 中 共 同 特 征 是 它 们 会 在 工 作 目 录 中 创 建 W i n d o w s 命 令 提 示 符 的 副 本 ， 然 后 利 用 它 来 解 析 后 门 命 令 。 B S 2 0 0 5 和 K e t r i c a n 后 门 都 使 用 类 似 的 命 令 行 模 式 ， 使 用 命 令 提 示 符 副 本 执 行 文 件 或 s h e l l 命 令 ， 并 将 其 输 出 重 定 向 到 文 件 ， 如 图 所 示 。 恶 意 软 件 创 建 的 工 作 目 录 文 件 存 储 在 W i n d o w s 特 殊 文 件 夹 下 （ 例 如 L o c a l   S e t t i n g s ） 。 特 殊 文 件 夹 位 置 在 不 同 版 本 后 门 中 会 有 所 不 同 ， 但 始 终 可 以 通 过 访 问 以 下 注 册 表 项 来 检 索 文 件 夹 的 路 径 ： [ H K E Y _ C U R R E N T _ U S E R     S o f t w a r e   M i c r o s o f t     W i n d o w s     C u r r e n t V e r s i o n     E x p l o r e r     S h e l l   F o l d e r s ] S h e l l   F o l d e r s 注 册 表 项 受 W i n d o w s 支 持 以 实 现 向 后 兼 容 性 ， 但 不 是 访 问 这 些 文 件 夹 的 推 荐 方 法 。 该 技 术 在 当 时 并 不 是 常 用 的 方 法 。 反 调 试 反 沙 盒 技 术 反 调 试 反 沙 盒 技 术 样 本 之 间 共 同 点 还 有 用 于 检 测 模 拟 环 境 或 沙 箱 的 启 发 式 算 法 。 G e t T i c k C o u n t 函 数 在 循 环 之 前 和 之 后 调 用 并 迭 代 9 9 9 , 9 9 9 , 9 9 0 次 。 如 果 返 回 值 在 调 用 前 后 没 有 变 化 ， 则 检 测 到 模 拟 仿 真 环 境 或 沙 箱 ， 并 自 行 终 止 。 根 据 F i r e E y e 报 告 ， 来 自 K e 3 c h a n g 的 B S 2 0 0 5 样 本 中 的 至 少 一 个 具 有 完 全 相 同 的 启 发 算 法 。 在 所 有 发 现 的 K e t r i c a n 后 门 中 也 找 到 相 同 的 启 发 式 算 法 。 如 图 所 示 ： 网 络 通 信 网 络 通 信 与 B S 2 0 0 5 系 列 一 样 ， 2 0 1 5   K e t r i c a n 样 本 使 用 I W e b B r o w s e r 2   C O M 接 口 控 制 I n t e r n e t   E x p l o r e r 浏 览 器 进 程 ， 使 其 网 络 通 信 看 起 来 合 法 。 数 据 经 过 加 密 和 编 码 ， 并 使 用 H T T P 协 议 发 送 。 来 自 服 务 器 的 响 应 是 一 个 H T T P 页 面 ， 其 后 门 命 令 和 参 数 包 含 在 隐 藏 的 输 入 字 段 中 。 不 同 样 本 的 数 据 具 有 的 特 定 格 式 ， 但 模 式 相 同 ， 如 图 所 示 。
数 据 传 输 数 据 传 输 在 B S 2 0 0 5 恶 意 软 件 样 本 中 ， 在 将 数 据 发 送 到 远 程 服 务 器 之 前 对 数 据 使 用 特 定 的 两 步 转 换 。 首 先 ， 数 据 使 用 自 定 义 算 法 加 密 ， 然 后 是 U b a s e 6 4 编 码 。 在 其 中 一 个 样 本 中 ， 使 用 以 下 加 密 算 法 ： 每 个 字 节 都 用 0 x 2 7 加 上 它 的 位 置 索 引 字 节 每 个 字 节 字 节 与 其 位 置 索 引 字 节 进 行 异 或 除 了 常 量 之 外 ， 其 他 样 本 中 也 使 用 相 同 的 变 换 。 在 2 0 1 5 年 发 现 的 样 本 中 ， 恶 意 软 件 仍 然 采 用 这 种 方 法 ， K e t r i c a n   2 0 1 5 后 门 只 是 改 变 了 加 密 算 法 ， 其 他 的 数 据 转 方 法 换 并 未 改 变 。 在 一 些 样 本 中 ， 有 的 也 使 用 类 似 的 弱 加 密 算 法 ， 有 的 加 密 算 法 已 更 改 为 A E S 。 其 他 方 面 其 他 方 面 我 们 在 2 0 1 5 年 发 现 的 关 于 后 门 的 判 定 在 后 来 的 P a l o   A l t o 报 告 中 得 到 了 证 实 。 该 报 告 是 关 于 对 T i d e P o o l 恶 意 软 件 家 族 的 研 究 ， 其 中 包 括 我 们 分 析 的 两 个 样 本 。 P a l o   A l t o   的 研 究 人 员 称 ， T i d e P o o l 恶 意 软 件 家 族 是 B S 2 0 0 5 恶 意 软 件 的 变 种 ， 这 也 符 合 我 们 的 研 究 结 果 。 但 是 ， 仅 凭 这 一 事 实 并 不 足 以 判 定 2 0 1 5 年 检 测 到 的 恶 意 软 件 样 本 属 于 K e 3 c h a n g ， 因 为 我 们 必 须 考 虑 不 同 A P T 组 织 之 间 恶 意 软 件 重 用 的 可 能 性 。 正 如 F i r e E y e 报 告 中 所 述 ， K e 3 c h a n g 使 用 的 源 代 码 可 能 在 不 同 的 开 发 人 员 或 开 发 团 队 之 间 共 享 。 因 此 ， 我 们 不 能 假 设 使 用 此 恶 意 软 件 的 任 何 人 都 隶 属 于 K e 3 c h a n g 组 织 。 然 而 ， 我 们 可 以 确 认 2 0 1 5 年 发 现 的 样 本 具 有 相 同 的 目 标 ， 并 与 K e 3 c h a n g 组 织 的 目 标 类 型 相 同 ， 都 是 针 对 外 交 组 织 。 因 此 可 以 判 断 ， 在 2 0 1 5 年 发 现 的 K e t r i c a n 样 本 确 实 归 属 于 K e 3 c h a n g 组 织 。 K e 3 c h a n g 在 在 2 0 1 7 年 的 活 动 情 况 年 的 活 动 情 况 — — K e r t i c a n
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理