搜索

[14818] 2019-11-15_Winnti黑客组织MSSQL后门分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-11-15_Winnti黑客组织MSSQL后门分析 W i n n t i 黑 客 组 织 M S S Q L 后 门 分 析 K r i s t o n   F r e e B u f   2 0 1 9 - 1 1 - 1 5 一 段 时 间 以 来 ， 一 段 时 间 以 来 ， E S E T 的 研 究 人 员 一 直 在 跟 踪 的 研 究 人 员 一 直 在 跟 踪 W i n n t i 的 活 动 ， 该 组 织 从 的 活 动 ， 该 组 织 从 2 0 1 2 年 起 就 开 始 活 跃 ， 并 针 对 视 频 游 戏 年 起 就 开 始 活 跃 ， 并 针 对 视 频 游 戏 和 软 件 行 业 供 应 链 进 行 攻 击 。 最 近 ， 发 现 了 一 个 以 前 未 经 记 录 的 后 门 ， 其 目 标 是 和 软 件 行 业 供 应 链 进 行 攻 击 。 最 近 ， 发 现 了 一 个 以 前 未 经 记 录 的 后 门 ， 其 目 标 是 M i c r o s o f t   S Q L （ （ M S S Q L ） 。 ） 。 这 个 后 门 与 这 个 后 门 与 P o r t R e u s e 后 门 有 多 处 相 似 之 处 ， 后 门 有 多 处 相 似 之 处 ， P o r t R e u s e 是 是 W i n n t i   G r o u p 使 用 的 另 一 个 工 具 ， 于 使 用 的 另 一 个 工 具 ， 于 2 0 1 9 年 年 1 0 月 首 月 首 次 记 录 。 次 记 录 。 今 年 检 测 到 了 一 个 新 后 门 的 样 本 ， s k i p - 2 . 0 ， 作 者 是 w i n n t i 组 织 成 员 。 这 个 后 门 程 序 以 M S S Q L 服 务 器 1 1 和 1 2 为 目 标 ， 攻 击 者 可 以 使 用 m a g i c 密 码 连 接 到 任 何 M S S Q L 帐 户 ， 同 时 自 动 将 这 些 连 接 隐 藏 在 日 志 中 。 后 门 允 许 攻 击 者 复 制 、 修 改 或 删 除 数 据 库 内 容 ， 可 以 用 来 操 纵 游 戏 中 的 货 币 以 获 取 经 济 利 益 。 据 了 解 ， s k i p - 2 . 0 是 第 一 个 公 开 记 录 的 m s s q l 服 务 器 后 门 。 本 文 将 重 点 介 绍 m s s q l 服 务 器 后 门 的 技 术 细 节 和 功 能 ， 以 及 s k i p . 2 - 0 与 w i n n t i 已 知 武 器 库 （ 特 别 是 p o r t r e u s e 后 门 和 s h a d o w p a d ） 的 技 术 相 似 性 。 v m p r o t e c t e d 启 动 程 序 启 动 程 序 我 们 在 查 找 v m p r o t e c t e d 启 动 程 序 时 找 到 了 s k i p - 2 . 0 ， 其 有 效 负 载 通 常 是 p o r t r e u s e 或 s h a d o w p a d 。 嵌 入 式 有 效 载 荷 嵌 入 式 有 效 载 荷 与 加 密 的 p o r t r e u s e 和 s h a d o w p a d 有 效 负 载 一 样 ， s k i p - 2 . 0 嵌 入 到 v m p r o t e c t e d 启 动 程 序 中 ， 如 图 1 所 示 ： 加 密 加 密 有 效 负 载 加 密 与 其 他 v m p r o t e c t e d 启 动 程 序 中 使 用 的 相 同 。 它 是 R C 5 加 密 的 ， 密 钥 来 自 v o l u m e I D 和 字 符 串 f @ u k d ！ R C T O   R $ 。 持 久 性 持 久 性 与 p o r t r e u s e 和 s h a d o w p a d 的 一 样 ， 启 动 程 序 可 能 会 通 过 利 用 d l l 劫 持 而 持 续 存 在 ， 方 法 是 将 其 安 装 在 c : w i n d o w s s y s t e m 3 2 t s v i p s r v . d l l 。 这 将 导 致 标 准 W i n d o w s   S e s s i o n E n v 服 务 在 系 统 启 动 时 加 载 D L L 。 打 包 器 打 包 器 一 旦 解 密 ， 嵌 入 的 有 效 负 载 实 际 上 是 w i n n t i   g r o u p 的 自 定 义 打 包 程 序 。 这 个 打 包 器 与 我 们 在 白 皮 书 中 记 录 的 代 码 是 相 同
的 。 它 被 用 来 打 包 p o r t r e u s e 后 门 以 及 嵌 入 在 受 损 视 频 游 戏 中 的 负 载 。 配 置 配 置 打 包 程 序 配 置 包 含 打 包 二 进 制 文 件 的 解 密 密 钥 及 其 原 始 文 件 名 、 大 小 和 执 行 类 型 （ e x e 或 d l l ） 。 有 效 载 荷 配 置 如 表 1 所 示 。 打 包 器 配 置 可 以 看 出 ， 有 效 负 载 称 为 内 部 装 载 器 。 内 部 加 载 程 序 是 一 个 注 入 器 的 名 称 ， 它 是 w i n n t i 集 团 的 武 库 的 一 部 分 ， 用 于 将 p o r t r e u s e 后 门 注 入 监 听 特 定 端 口 的 进 程 。 内 部 加 载 器 内 部 加 载 器 这 是 一 种 内 部 加 载 程 序 的 变 体 ， 不 是 像 注 入 p o r t r e u s e 后 门 时 那 样 寻 找 监 听 特 定 端 口 的 进 程 ， 而 是 寻 找 名 为 s q l s e r v . e x e 的 进 程 ， 这 是 m s s q l   s e r v e r 的 常 规 进 程 名 。 如 果 找 到 ， 则 内 部 加 载 程 序 会 将 有 效 负 载 注 入 此 进 程 。 此 有 效 负 载 还 与 自 定 义 打 包 程 序 打 包 在 一 起 ， 该 有 效 负 载 的 打 包 程 序 配 置 如 表 2 所 示 。 此 注 入 负 载 的 原 始 文 件 名 为 s k i p - 2 . 0 . d l l 。 s k i p - 2 . 0 在 被 内 部 加 载 程 序 注 入 并 启 动 之 后 ， s k i p - 2 . 0 首 先 检 查 它 是 否 在 s q l s e r v . e x e 进 程 中 执 行 ， 如 果 是 ， 则 检 索 s q l l a n g . d l l 的 句 柄 ， 该 句 柄 由 s q l s e r v . e x e 加 载 。 然 后 继 续 从 该 d l l 中 查 找 并 挂 接 多 个 函 数 。 图 2 描 述 了 s k i p - 2 . 0 的 运 行 过 程 。
H o o k i n g   s q l l a n g . d l l s k i p - 2 . 0 使 用 的 h o o k 过 程 与 n e t a g e n t 非 常 相 似 ， n e t a g e n t 是 负 责 安 装 网 络 h o o k 的 p o r t r e u s e 模 块 。 这 个 h o o k 库 基 于 d i s t o r m 开 源 反 汇 编 程 序 ， 该 反 汇 编 程 序 由 多 个 开 源 挂 接 框 架 使 用 。 需 要 一 个 反 汇 编 库 来 正 确 计 算 要 h o o k 的 指 令 的 大 小 。 在 下 图 中 可 以 看 到 ， N e t A g e n t 和 S k i p - 2 . 0 使 用 的 h o o k 过 程 几 乎 相 同 。
图 3 H e x - R a y s   o u t p u t   c o m p a r i s o n   b e t w e e n   t h e   N e t A g e n t   ( l e f t )   a n d   s k i p - 2 . 0   ( r i g h t )   h o o k i n g   p r o c e d u r e s 有 一 个 显 著 的 区 别 就 是 s k i p - 2 . 0 中 的 h o o k i n g 函 数 将 要 安 装 的 钩 子 的 地 址 作 为 参 数 ， 而 对 于 n e t a g e n t ， 要 安 装 的 钩 子 的 地 址 是 硬 编 码 的 。 这 是 因 为 s k i p - 2 . 0 必 须 h o o k s q l l a n g . d l l 中 的 多 个 函 数 才 能 正 常 运 行 ， 而 n e t a g e n t 只 针 对 一 个 函 数 。 要 定 位 h o o k 的 每 个 s q l l a n g . d l l 函 数 ， s k i p - 2 . 0 首 先 通 过 解 析 p e 头 来 检 索 加 载 到 内 存 中 的 d l l 的 大 小 （ 即 其 虚 拟 大 小 ） 。 然 后 初 始 化 s q l l a n g . d l l 中 要 匹 配 的 字 节 数 组 ， 如 图 4 所 示 。 一 旦 找 到 与 字 节 数 组 匹 配 的 第 一 个 匹 配 项 的 地 址 ， 就 会 使 用 图 3 所 示 的 过 程 安 装 钩 子 。 然 后 ， 钩 子 安 装 成 功 后 会 在 c l e a r t e x t 中 记 录 ， 该 文 件 位 于 硬 编 码 路 径 c :   w i n d o w s t e m p t s u   2 c e 1 . t m p 中 ， 如 图 5 所 示 。
如 果 找 不 到 目 标 函 数 ， 钩 子 安 装 程 序 将 搜 索 具 有 不 同 字 节 模 式 集 的 回 退 函 数 。 通 过 匹 配 字 节 序 列 来 定 位 目 标 函 数 的 地 址 ， 而 不 是 使 用 静 态 偏 移 量 ， 再 加 上 使 用 字 节 的 回 退 序 列 ， s k i p - 2 . 0 可 以 更 灵 活 地 适 应 m s s q l 更 新 ， 并 可 针 对 多 个 s q l l a n g . d l l 更 新 。 密 码 控 制 密 码 控 制 s k i p - 2 . 0 的 目 标 函 数 与 身 份 验 证 和 事 件 日 志 记 录 相 关 。 目 标 功 能 包 括 ： 其 中 最 有 趣 的 函 数 是 第 一 个 函 数 （ c p w d p o l i c y m a n a g e r ： ： v a l i d a t e p w d f o r l o g i n ） ， 它 负 责 验 证 为 给 定 用 户 提 供 的 密 码 。 此 函 数 的 钩 子 检 查 用 户 提 供 的 密 码 是 否 与 m a g i c 密 码 匹 配 ； 如 果 是 ， 则 不 会 调 用 原 始 函 数 ， 钩 子 将 返 回 0 ， 从 而 允 许 连 接 。 然 后 设 置 一 个 全 局 标 志 ， 该 标 志 将 由 负 责 事 件 日 志 记 录 的 其 他 h o o k 函 数 进 行 检 查 。 相 应 的 反 编 译 过 程 如 图 6 所 示 。 在 设 置 此 全 局 标 志 的 情 况 下 ， h o o k 的 日 志 记 录 函 数 将 静 默 返 回 ， 而 不 调 用 其 对 应 的 原 始 函 数 ， 因 此 不 会 记 录 操 作 。 如 果 使 用 m a g i c 密 码 登 录 ， r e p o r t l o g i n s a c c e s s 和 i s s u e l o g i n s u c c e s s r e p o r t 挂 钩 将 不 会 调 用 原 始 函 数 。 同 样 的 行 为 也 适 用 于 f e e x e c u t e l o g o n t r i g g e r s 。 其 他 日 志 记 录 功 能 ， 如 x e s q l p k g ： ： s q l _ c o m p l e t e d ： ： p u b l i s h 或 x e s q l p k g ： ： s q l _ b a t c h _ c o m p l e t e d ： ： p u b l i s h ， 在 用 户 使 用 魔 法 密 码 登 录 的 情 况 下 也 将 被 禁 用 。 还 禁 用 了 多 个 审 核 事 件 ， 包 括 s e c a u d i t p k g ： ： a u d i t _ e v e n t ： ： p u b l i s h 、 x e s q l p k g ： ： l o g i n ： ： p u b l i s h 和 x e s q l p k g ： ： u a u   i n s t r u m e n t _ c a l l e d ： ： p u b l i s h 。 这 一 系 列 h o o k 不 仅 允 许 攻 击 者 通 过 特 殊 密 码 在 受 害 者 的 m s s q l 服 务 器 中 获 得 持 久 控 制 ， 而 且 使 用 该 密 码 时 禁 用 了 多 个 日 志 ， 因 此 无 法 检 测 到 攻 击 者 。 研 究 人 员 对 多 个 M S S Q L   S e r v e r 版 本 测 试 了 S k i p - 2 . 0 ， 发 现 能 够 使 用 M S S Q L   S e r v e r   1 1 和 1 2 的 密 码 成 功 登 录 。 为 了 检 查 s k i p - 2 . 0 是 否 针 对 特 定 的 s q l l a n g . d l l 版 本 ， 创 建 了 一 个 y a r a 规 则 ， 该 规 则 可 以 在 g i t h u b 库 中 找 到 。 C P w d P o l i c y M a n a g e r : : V a l i d a t e P w d F o r L o g i n C S E C A u t h e n t i c a t e : : A u t h e n t i c a t e L o g i n I d e n t i t y R e p o r t L o g i n S u c c e s s I s s u e L o g i n S u c c e s s R e p o r t F E x e c u t e L o g o n T r i g g e r s X e S q l P k g : : s q l _ s t a t e m e n t _ c o m p l e t e d : : P u b l i s h X e S q l P k g : : s q l _ b a t c h _ c o m p l e t e d : : P u b l i s h S e c A u d i t P k g : : a u d i t _ e v e n t : : P u b l i s h X e S q l P k g : : l o g i n : : P u b l i s h X e S q l P k g : : u a l _ i n s t r u m e n t _ c a l l e d : : P u b l i s h
与 与 W i n n t i 的 联 系 的 联 系 s k i p - 2 . 0 和 来 自 w i n n t i 的 其 他 工 具 有 很 多 相 似 之 处 。 v m p r o t e c t e d 启 动 程 序 、 自 定 义 打 包 程 序 、 内 部 加 载 程 序 和 h o o k 框 架 是 w i n n t i 工 具 集 的 一 部 分 。 总 结 总 结 s k i p - 2 . 0 后 门 是 w i n n t i 的 工 具 集 之 一 ， 它 与 该 组 织 已 知 的 工 具 集 有 很 多 相 似 之 处 ， 并 允 许 攻 击 者 在 m s s q l 服 务 器 上 实 现 持 久 控 制 。 安 装 钩 子 需 要 管 理 权 限 ， 所 以 必 须 在 已 经 被 攻 陷 的 m s s q l 服 务 器 上 使 用 s k i p - 2 . 0 来 实 现 持 久 控 制 和 隐 蔽 。 * 参 考 来 源 ： 参 考 来 源 ： w e l i v e s e c u r i t y ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理