搜索

[14615] 2019-09-22_Bitter盗取巴基斯坦警察部门签名进行攻击活动分析

文档创建者：s7ckTeam
浏览次数：20
最后更新：2025-01-18
2019-09-22_Bitter盗取巴基斯坦警察部门签名进行攻击活动分析 B i t t e r 盗 取 巴 基 斯 坦 警 察 部 门 签 名 进 行 攻 击 活 动 分 析 f u c k g o d   F r e e B u f   2 0 1 9 - 0 9 - 2 2 概 述 概 述 B i t t e r 团 伙 是 一 个 长 期 针 对 中 国 、 巴 基 斯 坦 等 国 家 进 行 攻 击 活 动 的 团 伙 是 一 个 长 期 针 对 中 国 、 巴 基 斯 坦 等 国 家 进 行 攻 击 活 动 的 A P T 组 织 ， 该 组 织 主 要 针 对 政 府 、 军 工 业 、 组 织 ， 该 组 织 主 要 针 对 政 府 、 军 工 业 、 电 力 、 核 等 单 位 进 行 攻 击 ， 窃 取 敏 感 资 料 ， 具 有 强 烈 的 政 治 背 景 。 电 力 、 核 等 单 位 进 行 攻 击 ， 窃 取 敏 感 资 料 ， 具 有 强 烈 的 政 治 背 景 。 最 近 ， 在 上 班 摸 鱼 闲 逛 某 不 存 在 网 站 的 时 候 ， 发 现 红 雨 滴 大 佬 披 露 的 b i t t e r 盗 用 巴 基 斯 坦 某 警 察 部 门 数 字 签 名 的 攻 击 事 件 遂 在 免 费 沙 箱 a n y r u n 上 找 到 该 样 本 进 行 分 析 学 习 样 本 分 析 样 本 分 析 先 从 诱 饵 文 档 开 始 分 析 M D 5 2 2 6 d 3 3 f 0 2 a c b 6 b 8 d 0 a 1 b 9 e c f 4 f 7 a 1 7 5 2 样 本 来 源 h t t p s : / / a p p . a n y . r u n / t a s k s / 8 1 7 3 c 9 2 7 - 2 c 4 d - 4 4 1 5 - a 5 a 0 - 6 a 9 c 8 b c 3 4 4 3 0 / 该 样 本 采 取 模 板 注 入 的 方 式 获 取 执 行 后 续 p a y l o a d ， 此 类 方 式 可 以 起 到 极 好 的 免 杀 效 果 。
V T   目 前 5 7 家 杀 软 也 仅 仅 只 有 1 1 家 报 毒 执 行 后 ， 从 模 板 外 链 地 址 h t t p : / / w 3 2 i n f i n i t i s u p p o r t s . n e t / w i n /   c t f d   获 取 文 件 执 行 。 此 类 方 式 缺 点 也 比 较 明 显 ， 执 行 时 会 有 明 显 的 从 服 务 器 获 取 文 件 的 界 面 ， 如 下 所 示 模 板 注 入 的 文 件 模 板 注 入 的 文 件 文 件 名 文 件 名 C t f d M D 5 f a 6 d 2 7 a 7 d f 1 a 4 7 f e 9 f c 2 f 6 5 9 5 f 7 a b 7 0 0 文 件 来 源 h t t p : / / w 3 2 i n f i n i t i s u p p o r t s . n e t / w i n /   c t f d 模 板 注 入 加 载 的 文 件 是 公 式 编 辑 器 漏 洞 利 用 文 档 ， o l e t o o l s 查 看 如 下 通 过 执 行 命 令 r t f o b j . e x e   c f t d   – s   a l l 将 文 档 中 的 o l e 对 象 d u m p 出 来 ， 用 1 6 进 制 查 看 器 进 行 分 析 。 在 末 尾 可 看 到 执 行 的 s h e l l c o d e 。
从 w 3 2 i n f i n i t i s u p p o r t s . n e t w i n c t f 获 取 文 件 保 存 到 C : I n f d w m . e x e 路 径 ， 并 执 行 D o w n l o a d e r 文 件 名 文 件 名 D w m . e x e M d 5 5 9 6 e c 0 f 9 0 c 2 5 f d b e 3 d 8 a d e 3 f 4 e a 4 c d 3 8 文 件 来 源 w 3 2 i n f i n i t i s u p p o r t s . n e t w i n c t f C 2 b l t h 3 2 s e r v . n e t P d b C : U s e r s A s t e r i x D o c u m e n t s V i s u a l   S t u d i o   2 0 0 8 P r o j e c t s 2 5 J u l y 2 0 1 9 D N R e l e a s e 2 5 J u l y 2 0 1 9 D N . p d b 该 文 件 的 主 要 功 能 为 与 c 2 进 行 通 信 获 取 其 他 插 件 执 行 ， 入 口 处 一 股 b i t t e r 味
运 行 后 创 建 目 录 c : D r i v e r ， 并 将 自 身 拷 贝 到 该 目 录 下 重 命 名 为 n s d t c v . e x e 之 后 将 n s d t c v . e x e 设 为 启 动 项 实 现 持 久 化 之 后 获 取 计 算 机 信 息 加 密 处 理 和 与 c 2 ： h t t p : / / b l t h 3 2 s e r v . n e t / o u r t y a z / q w f . p h p ? 进 行 通 信
从 c 2 获 取 数 据 ， 判 断 数 据 前 几 位 是 否 为 ” W I T :   # ， 若 ” W I T :   # 后 跟 了 字 符 串 内 容 ， 则 下 载 执 行 该 插 件 在 分 析 的 过 程 中 未 获 取 到 其 他 插 件 同 源 样 本 同 源 样 本 根 据 红 雨 滴 大 佬 的 线 索 ， 另 一 个 具 有 相 同 c 2 的 样 本 信 息 如 下 M d 5 d 8 b 2 c d 8 e b b 8 2 7 2 f c c 8 d d a c 8 d a 7 e 4 8 e 0 1 C 2 b l t h 3 2 s e r v . n e t p d b c : U s e r s A s t e r i x D o c u m e n t s V i s u a l S t u d i o 2 0 0 8 P r o j e c t s 2 5 J u l y 2 0 1 9 D N R e l e a s e 2 5 J u l y 2 0 1 9 D N . p d b 该 样 本 与 D o w n l o a d e r 功 能 c 2 全 部 一 致 ， 而 该 样 本 甚 至 具 有 数 字 签 名 ， 如 下 所 示 ：
通 过 数 字 签 名 邮 箱 @ s i n d h p o l i c e . g o v . p k 可 以 得 知 该 签 名 属 于 巴 基 斯 坦 信 德 警 察 局 信 德 地 区 处 于 巴 基 斯 坦 与 印 度 交 界 处 ， e m m m ， 你 懂 得
在 某 不 存 在 的 网 站 ， @ b l a c k o r b i r d 大 佬 推 测 是 攻 击 者 获 取 签 名 生 成 器 与 与 b i t t e r 的 关 联 的 关 联 D o w n l o a d e 与 之 前 公 开 报 告 中 b i t t e r 的 下 载 马 基 本 一 致
P d b 与 之 前 b i t t e r 使 用 的 p d b 基 本 相 似 结 合 上 述 信 息 ， 此 次 进 行 盗 取 警 察 签 名 这 种 嚣 张 行 为 的 组 织 应 该 是 来 自 b i t t e r 团 伙 。 I o c : M d 5 : 2 2 6 d 3 3 f 0 2 a c b 6 b 8 d 0 a 1 b 9 e c f 4 f 7 a 1 7 5 2 f a 6 d 2 7 a 7 d f 1 a 4 7 f e 9 f c 2 f 6 5 9 5 f 7 a b 7 0 0 d 8 b 2 c d 8 e b b 8 2 7 2 f c c 8 d d a c 8 d a 7 e 4 8 e 0 1 c c : b l t h 3 2 s e r v . n e t * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： f u c k g o d ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理