搜索

[14738] 2019-10-25_xHunt：针对科威特的网络攻击分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-10-25_xHunt：针对科威特的网络攻击分析 x H u n t ： 针 对 科 威 特 的 网 络 攻 击 分 析 K r i s t o n   F r e e B u f   2 0 1 9 - 1 0 - 2 5 在 在 2 0 1 9 年 年 5 月 至 月 至 6 月 期 间 ， 发 现 有 以 前 未 知 的 工 具 被 用 于 针 对 科 威 特 的 运 输 和 航 运 组 织 。 月 期 间 ， 发 现 有 以 前 未 知 的 工 具 被 用 于 针 对 科 威 特 的 运 输 和 航 运 组 织 。 攻 击 活 动 中 已 知 的 第 一 目 标 是 科 威 特 一 家 运 输 和 航 运 公 司 ， 在 这 家 公 司 里 ， 攻 击 者 安 装 了 一 个 名 为 H i s o k a 的 后 门 工 具 。 此 外 工 具 被 下 载 到 系 统 中 ， 以 便 执 行 后 期 攻 击 渗 透 。 所 有 这 些 工 具 都 是 由 同 一 研 发 人 员 开 发 。 目 前 已 经 收 集 了 几 种 不 同 的 工 具 ， 其 中 一 种 可 以 追 溯 到 2 0 1 8 年 7 月 。 收 集 工 具 包 括 后 门 工 具 S a k a b o t a 、 H i s o k a 、 N e t e r o 和 K i l l u a 。 这 些 工 具 不 仅 将 h t t p 用 于 执 行 命 令 和 控 制 （ c 2 ） 通 道 ， 还 使 用 d n s 隧 道 或 电 子 邮 件 与 c 2 通 信 。 除 了 上 述 后 门 工 具 外 ， 还 发 现 名 为 g o n 和 e y e 的 工 具 ， 它 们 提 供 后 门 访 问 和 命 令 执 行 的 功 能 。 攻 击 综 述 攻 击 综 述 2 0 1 9 年 5 月 1 9 日 ， 在 科 威 特 运 输 和 航 运 部 门 的 系 统 上 发 现 了 一 个 名 为 i n e t i n f o . s y s 的 恶 意 文 件 。 i n e t i n f o . s y s 是 h i s o k a 的 后 门 的 变 体 。 在 通 过 H i s o k a 访 问 系 统 的 两 小 时 内 ， 攻 击 者 r 部 署 了 另 外 两 个 名 为 g o n 和 e y e 的 工 具 。 g o n 工 具 允 许 参 与 者 扫 描 远 程 系 统 上 的 开 放 端 口 、 上 传 和 下 载 文 件 、 截 图 、 查 找 网 络 上 的 其 他 系 统 、 远 程 执 行 命 令 以 及 创 建 r d p 会 话 ， 工 具 如 图 1 所 示 。
攻 击 者 在 远 程 登 录 到 系 统 时 使 用 e y e 工 具 作 为 保 护 ， 该 工 具 可 以 杀 死 攻 击 者 创 建 的 所 有 进 程 ， 并 在 用 户 登 录 时 移 除 其 他 标 识 。 在 收 集 到 的 数 据 集 中 进 行 搜 索 ， 能 够 确 定 同 该 组 织 针 对 的 第 二 个 目 标 也 是 科 威 特 运 输 和 航 运 业 中 的 组 织 。 2 0 1 9 年 6 月 1 8 日 至 3 0 日 期 间 ， 攻 击 者 安 装 了 H i s o k a 工 具 。 其 中 包 含 文 件 名 n e t i s o . s y s ， v 0 . 9 版 。 6 月 1 8 日 ， 发 现 此 文 件 通 过 S M B 协 议 从 内 部 帐 户 传 输 到 另 一 个 系 统 。 之 后 ， 一 个 名 为 o t c . d l l 的 文 件 被 以 同 样 的 方 式 传 输 。 o t c . d l l 文 件 是 一 个 名 为 k i l l u a 的 后 面 工 具 ， 允 许 攻 击 者 通 过 使 用 d n s 隧 道 通 信 。 基 于 字 符 串 比 较 ， 可 以 看 出 由 同 一 个 开 发 人 员 同 时 开 发 了 k i l l u a 和 h i s o k a 。 6 月 3 0 日 ， 攻 击 者 使 用 第 三 方 从 内 部 账 户 将 文 件 复 制 到 网 络 中 的 其 他 系 统 上 ， 传 输 了 另 一 个 H i s o k a   v 0 . 9 文 件 ， 然 后 在 3 0 分 钟 内 传 输 两 个 不 同 的 K i l l u a 文 件 。 基 于 电 子 邮 件 基 于 电 子 邮 件 C 2 在 分 析 中 确 定 了 H i s o k a 的 两 个 不 同 版 本 ， 特 别 是 v 0 . 8 和 v 0 . 9 ， 它 们 都 安 装 在 两 个 科 威 特 组 织 的 网 络 上 。 两 个 版 本 都 包 含 允 许 攻 击 者 控 制 目 标 系 统 的 命 令 集 。 在 这 两 个 版 本 中 ， 攻 击 者 可 以 通 过 使 用 h t t p 或 d n s 隧 道 和 服 务 器 进 行 通 信 。 然 而 ， v 0 . 9 增 加 了 基 于 电 子 邮 件 的 c 2 能 力 。
基 于 电 子 邮 件 的 C 2 通 信 功 能 依 赖 于 E x c h a n g e   W e b 服 务 （ E W S ） ， 攻 击 者 通 过 E x c h a n g e 服 务 器 上 的 合 法 帐 户 与 H i s o k a 通 信 。 同 时 ， H i s o k a 恶 意 软 件 和 攻 击 者 通 过 创 建 电 子 邮 件 草 稿 交 换 数 据 。 使 用 电 子 邮 件 草 稿 以 及 相 同 的 合 法 交 换 帐 户 进 行 通 信 ， 将 不 会 检 测 到 出 站 或 入 站 收 到 的 电 子 邮 件 。 为 了 启 用 基 于 电 子 邮 件 的 C 2 通 道 ， 攻 击 者 执 行 命 令 ： – E   E W S ， 并 提 供 如 下 数 据 ： 为 了 启 动 通 信 ， H i s o k a 创 建 一 个 初 始 电 子 邮 件 草 稿 ， 通 知 攻 击 者 它 已 经 准 备 好 接 收 命 令 。 初 始 电 子 邮 件 草 稿 包 含 主 题 “ p r e s e n t ” ， 邮 件 正 文 为 空 ， 在 “ t o ” 字 段 中 有 一 个 电 子 邮 件 地 址 ， 该 地 址 的 标 识 符 是 目 标 系 统 的 唯 一 标 识 符 （ 在 我 们 的 测 试 中 为 “ a b c d e f ” ） 。 图 2 显 示 了 H i s o k a 通 过 O u t l o o k W e b 登 录 帐 户 查 看 初 始 草 稿 电 子 邮 件 。 要 发 出 命 令 时 攻 击 者 将 登 录 到 同 一 帐 户 ， 并 创 建 主 题 为 “ p r o j e c t ” 的 草 稿 和 精 心 编 制 的 消 息 正 文 ， 其 中 包 含 加 密 字 符 串 的 命 令 。 通 过 分 析 代 码 确 定 了 此 邮 件 正 文 的 结 构 ， 电 子 邮 件 必 须 包 含 字 符 串 和 b a s e 6 4 编 码 的 密 文 。 攻 击 者 将 对 每 个 字 符 使 用 8 3 （ 0 x 5 3 ） x o r 操 作 并 进 行 b a s e 6 4 编 码 来 加 密 命 令 。 图 3 显 示 了 用 于 测 试 C 2 通 道 的 电 子 邮 件 草 稿 ， 该 C 2 通 道 发 出 命 令 c - g e t   c :   w i n d o w s   t e m p   t e s t . t x t ， H i s o k a 将 解 析 该 命 令 并 将 其 视 为 上 传 文 件 的 命 令 ， 路 径 为 c : w i n d o w s t e m p t e s t . t x t 。 在 解 析 并 运 行 草 稿 电 子 邮 件 中 获 得 的 命 令 之 后 ， h i s o k a 将 创 建 另 一 个 电 子 邮 件 草 稿 以 将 命 令 的 结 果 发 送 给 参 与 者 。 < u s e r n a m e > ； < p a s s w o r d > ； < d o m a i n   f o r   e x c h a n g e   s e r v e r > ； < e x c h a n g e 版 本 （ 2 0 1 0   2 0 1 3 ） >
代 码 分 析 代 码 分 析 在 分 析 发 生 在 科 威 特 组 织 的 恶 意 活 动 时 ， 分 析 了 H i s o k a 和 与 其 他 工 具 的 代 码 与 字 符 串 。 分 析 了 数 十 个 样 本 后 确 定 了 两 个 独 立 的 活 动 — — 一 个 在 2 0 1 8 年 中 后 期 使 用 S a k a b o t a ， 另 一 个 在 2 0 1 9 年 中 期 使 用 H i s o k a 。 H i s o k a 后 门 工 具 共 享 S a k a b o t a 大 量 代 码 ， 可 确 定 H i s o k a 是 从 S a k a b o t a 进 化 而 来 的 。 我 们 还 观 察 到 了 S a k a b o t a 和 2 0 1 9 年 攻 击 活 动 中 其 他 工 具 的 共 享 代 码 。 除 了 这 些 代 码 重 用 之 外 ， 在 H i s o k a 内 部 还 多 次 观 察 到 “ S a k a b o t a ” 字 符 串 。 如 图 7 所 示 。 2 0 1 9 年 攻 击 中 的 g o n p o s t - e x p l o i t a t i o n 工 具 其 扫 描 输 出 日 志 中 还 包 含 “ s a k a b o t a ” 字 符 串 ， 这 表 明 它 也 与 s a k a b o t a 工 具 相 关 。 图 8 是 g o n 在 扫 描 中 成 功 找 到 另 一 个 系 统 后 写 入 s c a n _ r e s u l t . t x t 文 件 的 输 出 示 例 。 与 与 2 0 1 8 年 活 动 关 联 年 活 动 关 联 在 确 定 了 H i s o k a 和 S a k a b o t a 之 间 的 关 系 之 后 ， 搜 索 并 找 到 了 几 个 S a k a b o t a 样 本 ， 所 有 这 些 样 本 都 使 用 域 p a s t a 5 8 [ . ] c o m 作 为 其 C 2 服 务 器 。
与 p a s t a 5 8 [ . ] c o m 相 关 的 识 别 域 如 下 ： 根 据 开 放 源 代 码 信 息 ， A l f o r a S y s t e m [ . ] c o m 域 托 管 了 Z I P ， 其 中 包 含 L N K 快 捷 方 式 文 件 ， 用 于 执 行 基 于 P o w e r s h e l l 和 V B s c r i p t 的 恶 意 木 马 。 其 中 一 个 z i p 包 含 一 个 可 执 行 文 件 ， 该 文 件 被 连 接 到 f i r e w a l l s u p p o r t s [ . ] c o m 。 在 分 析 期 间 还 确 定 了 s a k a b o t a [ . ] c o m 域 ， 该 域 的 w e b 服 务 器 提 供 了 标 题 为 “ o u t l o o k   w e b   a p p ” 的 页 面 。 该 域 名 是 在 第 一 次 检 测 到 S a k a b o t a 样 本 之 后 注 册 的 。 链 接 分 析 链 接 分 析 H i s o k a 和 S a k a b o t a 活 动 以 及 O i l r i g   I s m a g e n t 活 动 和 D N S 劫 持 活 动 之 间 基 础 框 架 存 在 重 复 利 用 。 以 下 链 接 分 析 图 显 示 了 观 察 到 的 基 础 框 架 复 用 情 况 ：
结 论 结 论 虽 然 在 针 对 科 威 特 组 织 、 域 名 命 名 结 构 和 所 使 用 的 基 本 工 具 集 方 面 存 在 相 似 之 处 ， 但 目 前 尚 不 清 楚 这 两 项 活 动 （ 2 0 1 8 年 7 月 至 1 2 月 和 2 0 1 9 年 5 月 至 6 月 ） 是 否 由 出 自 同 一 组 织 。 历 史 基 础 框 架 分 析 ， 如 链 接 分 析 图 （ 图 9 ） 所 示 ， 显 示 了 H i s o k a 和 S a k a b o t a 基 础 框 架 之 间 的 密 切 关 系 。 I O C s 以 及 文 中 所 述 工 具 分 析 可 见 原 文 。 * 参 考 来 源 ： 参 考 来 源 ： u n i t 4 2 ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理