搜索

[14935] 2020-01-03_APT29分析报告

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-01-03_APT29分析报告 A P T 2 9 分 析 报 告 原 创   L o r d C a s s e r   F r e e B u f   2 0 2 0 - 0 1 - 0 3 简 介 简 介 A P T 2 9 是 威 胁 组 织 ， 已 被 归 于 俄 罗 斯 政 府 情 报 组 织 ， 是 威 胁 组 织 ， 已 被 归 于 俄 罗 斯 政 府 情 报 组 织 ， A P T 2 9 至 少 从 至 少 从 2 0 0 8 年 开 始 运 作 ， 具 有 年 开 始 运 作 ， 具 有 Y T T R I U M 、 、 T h e D u k e s 、 、 C o z y   D u k e 、 、 C o z y   B e a r 、 、 O f f i c e   M o n k e y s 等 别 名 。 主 要 攻 击 目 标 为 美 国 和 东 欧 的 一 些 国 家 。 攻 击 目 的 等 别 名 。 主 要 攻 击 目 标 为 美 国 和 东 欧 的 一 些 国 家 。 攻 击 目 的 是 为 了 获 取 国 家 机 密 和 相 关 政 治 利 益 ， 包 括 但 不 限 于 政 党 内 机 密 文 件 ， 操 控 选 举 等 。 与 是 为 了 获 取 国 家 机 密 和 相 关 政 治 利 益 ， 包 括 但 不 限 于 政 党 内 机 密 文 件 ， 操 控 选 举 等 。 与 A P T 2 8 ， 同 属 于 俄 罗 斯 ， 同 属 于 俄 罗 斯 政 府 的 政 府 的 A P T 2 8 相 互 独 立 ， 但 在 某 种 程 度 上 会 联 合 行 动 。 相 互 独 立 ， 但 在 某 种 程 度 上 会 联 合 行 动 。 A P T 2 9 是 东 欧 地 区 最 为 活 跃 的 是 东 欧 地 区 最 为 活 跃 的 A P T 组 织 之 一 。 该 组 织 之 一 。 该 A P T 的 的 许 多 组 件 均 通 过 伪 造 的 许 多 组 件 均 通 过 伪 造 的 I n t e l 和 和 A M D 数 字 证 书 进 行 签 名 。 数 字 证 书 进 行 签 名 。 活 动 分 析 活 动 分 析 2 0 1 4 年 3 月 ， 位 于 华 盛 顿 特 区 的 一 家 私 人 研 究 机 构 的 内 部 网 络 被 发 现 感 染 了   C o z y   d u k e （ T r o j a n . C o z e r ） 。 然 后 ， C o z y B e a r 发 起 了 一 项 鱼 叉 式 钓 鱼 邮 件 攻 击 行 动 ， 试 图 诱 使 受 害 者 点 击 内 容 为 办 公 室 猴 子 的 F l a s h 视 频 ， 其 中 也 包 含 恶 意 可 执 行 文 件 。 到 7 月 ， 该 小 组 已 经 攻 陷 了 部 分 了 政 府 网 络 ， 并 控 制 受   C o z y   d u k e 病 毒 感 染 的 系 统 将   M i n i   d u k e   安 装 到 了 被 攻 陷 的 网 络 上 。 同 年 夏 天 ， 荷 兰 通 用 情 报 和 安 全 局 的 特 工 反 向 渗 透 了 C o z y   B e a r ， 发 现 该 组 织 将 美 国 民 主 党 ， 美 国 国 务 院 ， 白 宫 作 为 目 标 。 F B I 开 始 对 该 组 织 展 开 调 查 。 2 0 1 5 年 4 月 卡 巴 斯 基 首 次 发 布 关 于 “ 舒 适 熊 ” 黑 客 活 动 的 公 告 ， 指 出 该 组 织 正 有 目 的 地 对 美 国 部 分 国 家 机 关 发 动 网 络 攻 击 ， 其 中 可 能 包 括 美 国 白 宫 和 国 务 院 。 在 2 0 1 6 年 1 2 月 美 国 D H S 关 于 A P T 2 8 ， A P T 2 9 组 织 在 同 年 针 对   民 主 党 全 国 委 员 会   的 攻 击 事 件 以 及 干 扰 美 国 大 选 活 动 发 布 了 相 关 调 查 报 告 ， 并 将 其 恶 意 攻 击 活 动 称 为 G R I Z Z L Y   S T E P P E ， 并 直 指 俄 罗 斯 情 报 部 门 。 2 0 1 6 年 6 月 ， C o z y   B e a r 与 黑 客 组 织 F a n c y   B e a r 都 牵 涉 到 连 到   民 主 党 全 国 委 员 会   网 络 攻 击 事 件 中 。 他 们 同 时 出 现 在 民 主 党 全 国 委 员 会 的 服 务 器 中 但 是 他 们 似 乎 没 有 意 识 到 对 方 的 存 在 ， 并 且 各 自 独 立 地 窃 取 了 相 同 的 密 码 。 一 个 C r o w d S t r i k e 的 取 证 小 组 判 定   C o z y   B e a r   的 后 门   在   民 主 党 全 国 委 员 会   的 服 务 器 上 存 在 了 长 达 一 年 的 时 间 ， 而   F a n c y B e a r   的 后 门 只 存 在 的 几 周 。 C o z y   B e a r   更 先 进 的 交 易 手 段 和 对 传 统 长 期 间 谍 活 动 的 兴 趣 表 明 了 C o z y   B e a r 起 源 于 独 立 的 俄 罗 斯 情 报 机 构 在 2 0 1 6 年 总 统 大 选 之 后 ， C o z y   B e a r 对 总 部 设 立 于 美 国 的 智 囊 团 和 非 政 府 组 织 进 行 了 一 系 列 经 过 精 心 协 调 和 计 划 的 鱼 叉 式 网 络 钓 鱼 攻 击 2 0 1 7 年 2 月 3 日   挪 威 警 察 安 全 局 报 告 ， C o z y   B e a r 通 过 钓 鱼 邮 件 攻 击 了 挪 威 外 交 部 ， 挪 威 外 交 部 和 挪 威 工 党 的 九 个 人 。 目 标 包 括 挪 威 辐 射 防 护 局 ， 挪 威 警 察 安 全 局 部 门 负 责 人 ， 和 一 所 大 学 。 2 0 1 7 年 2 月   挪 威 报 告 ， C o z y   B e a r 和 F a n c y   B e a r   在 过 去 的 六 个 月 中 曾 经 多 次 尝 试 入 侵 荷 兰 总 务 部 等 政 府 部 门 试 图 获 取 机 密 文 件
关 联 组 织 关 联 组 织 Y T T R I U M T h e   D u k e s C o z y   D u k e C o z y   B e a r O f f i c e   M o n k e y s 攻 击 目 标 攻 击 目 标 美 国 和 东 欧 国 家 政 府 机 构 美 国 一 些 知 名 智 囊 团 、 研 究 组 织 和 非 盈 利 组 织 （ 主 要 是 政 治 上 ） 攻 击 目 的 攻 击 目 的 获 取 政 治 上 的 利 益 或 为 俄 罗 斯 相 关 部 门 提 供 情 报 支 持 采 用 技 术 采 用 技 术 利 用 利 用 W i n d o w s 辅 助 功 能 执 行 后 门 辅 助 功 能 执 行 后 门 W i n d o w s 辅 助 功 能 包 含 以 下
屏 幕 键 盘 ： C : W i n d o w s S y s t e m 3 2 o s k . e x e 放 大 镜 ： C : W i n d o w s S y s t e m 3 2 M a g n i f y . e x e 讲 述 人 ： C : W i n d o w s S y s t e m 3 2 N a r r a t o r . e x e 显 示 切 换 器 ： C : W i n d o w s S y s t e m 3 2 D i s p l a y S w i t c h . e x e 应 用 切 换 器 ： C : W i n d o w s S y s t e m 3 2 A t B r o k e r . e x e 这 些 功 能 可 以 在 用 户 登 录 之 前 通 过 某 些 组 合 键 启 动 ， 攻 击 者 通 过 修 改 这 些 程 序 的 二 进 制 可 执 行 文 件 来 获 取 命 令 提 示 符 或 者 启 动 后 门 程 序 ， 而 无 需 登 陆 系 统 。 比 较 常 见 的 是 粘 滞 键 C : W i n d o w s S y s t e m 3 2 s e t h c . e x e   （ 按 住 s h i f t 键 5 次 启 动 ） 和 C : W i n d o w s S y s t e m 3 2 u t i l m a n . e x e （ 在 按 W i n d o w s   +   U 组 合 键 时 启 动 ） 在 W i n d o w s 的 较 新 版 本 中 ， 对 于 x 6 4 系 统 ， 需 要 对 替 换 的 二 进 制 文 件 进 行 数 字 签 名 ， 且 二 进 制 文 件 必 须 位 于 % s y s t e m d i r %   ， 由 W i n d o w s 文 件 或 资 源 保 护 （ W F P   /   W R P ） 保 护 。 权 限 提 升 ： 对 于 W i n d o w s   X P 和 更 高 版 本 以 及 W i n d o w s   S e r v e r   2 0 0 3   /   R 2 和 更 高 版 本 上 的 简 单 二 进 制 替 换 ， 可 以 将 程 序 （ 例 如 C : W i n d o w s S y s t e m 3 2 u t i l m a n . e x e   ） 替 换 为   c m d . e x e （ 或 其 他 后 门 程 序 ） 。 通 过 这 种 方 式 启 动 的 程 序 将 获 得 S Y S T E M   权 限 对 于 W i n d o w s   V i s t a 和 更 高 版 本 以 及 W i n d o w s   S e r v e r   2 0 0 8 和 更 高 版 本 上 ， 可 以 通 过   d e b u g g e r   m e t h o d   的 方 法 绕 过 签 名 保 护 。 通 过 修 改 注 册 表 将 c m d . e x e 或 提 后 门 程 序 配 置 为   d e b u g g e r 的 注 册 表 项 。 修 改 注 册 表 后 ， 在 键 盘 上 或 与 R D P 连 接 时 在 登 录 屏 幕 上 相 应 的 组 合 键 将 使 配 置 的   d e b u g g e r   程 序 以 S Y S T E M 特 权 执 行 。 U A C 绕 过 绕 过   ( W i n d o w s   U s e r   A c c o u n t   c o n t r o l   B y p a s s ) W i n d o w s 用 户 帐 户 控 制 （ U A C ） 允 许 程 序 通 过 弹 出 提 示 来 引 导 用 户 进 行 确 认 ， 用 于 用 户 授 予 应 用 程 序 S Y S T E M   权 限 。 如 果 计 算 机 的 U A C 保 护 等 级 没 有 设 置 为 最 高 级 别 ， 则 某 些 W i n d o w s 程 序 将 被 允 许 提 升 权 限 或 执 行 某 些 可 以 提 升 权 限 的 C O M 对 象 ， 而 无 需 通 过 U A C 弹 出 提 示 框 提 示 用 户 ， 例 如 ： 使 用 r u n d l l 3 2 . e x e 加 载 特 制 的 D L L 文 件 ， 该 D L L 文 件 会 加 载 自 动 提 升 的 C O M 对 象 ， 并 于 没 有 弹 出 提 示 的 情 况 下 在 ， 高 权 限 的 受 保 护 目 录 中 执 行 文 件 操 作 。 恶 意 程 序 也 可 能 被 注 入 到 受 信 任 的 进 程 中 ， 以 在 不 提 示 用 户 的 情 况 下 获 得 高 级 别 的 权 限 。 如 果 目 标 进 程 不 受 保 护 ， 则 攻 击 者 可 以 使 用 这 些 技 术 提 升 到 管 理 员 权 限 。 已 经 发 现 了 很 多 U A C 绕 过 的 方 法 ， 大 部 分 方 法 已 经 收 录 于   U A C M E )   ， 但 是 仍 然 不 断 有 新 的 绕 过 方 法 被 发 现 。 如 果 已 经 掌 握 管 理 员 权 限 帐 户 的 凭 据 ， 则 可 以 通 过 某 些 横 向 移 动 技 术 进 行 另 一 种 绕 过 ， 因 为 U A C 是 单 一 的 系 统 安 全 机 制 ， 并 且 在 一 个 系 统 上 运 行 的 进 程 的 权 限 或 者 完 整 性 在 横 向 系 统 上 是 未 知 的 ， 并 且 默 认 其 为 高 度 可 信 的 。 利 用 周 知 端 口 进 行 流 量 混 淆 利 用 周 知 端 口 进 行 流 量 混 淆
攻 击 者 通 过 利 用 周 知 端 口 （ 通 过 攻 击 者 控 制 下 的 正 常 网 站 ） 做 跳 板 来 进 行 和 被 攻 击 计 算 机 的 通 信 ， 或 者 自 己 搭 建 完 全 不 同 的 协 议 但 是 运 行 在 周 知 端 口 上 ， 并 通 过 与 正 常 的 网 络 活 动 相 似 来 混 淆 ， 减 少 后 门 被 发 现 的 概 率 。 D o m a i n   F r o n t i n g   绕 过 技 术 绕 过 技 术 这 个 绕 过 技 术 是 用 于 攻 击 者 的 恶 意 后 门 程 序 突 破 域 防 火 墙 的 检 查 ， 与 攻 击 者 的 服 务 器 进 行 通 信 。 攻 击 者 可 以 在 T L S 头 部 的 S N I 字 段 和 H T T P   头 部 的 H o s t 字 段 设 置 不 同 的 域 名 ， 如 在 S N I 字 段 设 置 为 某 正 常 网 站 的 域 名 ， 而 在 H o s t 字 段 设 置 为 攻 击 者 的 服 务 器 ， 最 终 请 求 会 被 导 向 攻 击 者 的 服 务 器 。 另 外 有 一 种   D o m a i n l e s s   F r o n t i n g 技 术 ， 如 果 C D N 服 务 器 尝 试 检 验 S N I 字 段 和 H o s t 字 段 是 否 匹 配 ， 攻 击 者 可 以 将 S N I 字 段 设 置 为 空 。 这 样 如 果 C D N 服 务 器 检 验 的 时 候 忽 略 了 空 的 S N I 字 段 ， 就 可 以 成 功 导 向 攻 击 者 的 服 务 器 。 例 如 ， 如 果 d o m a i n - x 和 d o m a i n - y 是 同 一 C D N 的 客 户 ， 则 可 以 将 d o m a i n - x 放 在 T L S 标 头 中 ， 而 d o m a i n - y 放 在 H T T P 标 头 中 。 流 量 似 乎 将 流 向 y 域 ， 但 是 C D N 会 将 其 路 由 到 x 域 。 入 侵 痕 迹 清 除 入 侵 痕 迹 清 除 文 件 清 除 文 件 清 除 攻 击 者 在 被 入 侵 的 计 算 机 上 创 建 或 者 丢 弃 一 些 恶 意 软 件 ， 利 用 工 具 ， 或 者 其 他 非 本 机 文 件 时 ， 可 能 会 留 下 关 于 网 络 内 执 行 的 操 作 和 操 作 方 式 的 痕 迹 。 一 般 的 文 件 删 除 操 作 只 是 系 统 认 为 硬 盘 中 存 放 文 件 的 数 据 段 被 接 触 占 用 ， 可 以 写 入 别 的 文 件 ， 这 样 删 除 的 文 件 在 实 际 储 存 区 域 被 覆 写 前 时 可 以 恢 复 的 。 而 攻 击 者 显 然 希 望 他 的 攻 击 痕 迹 不 会 被 任 何 形 式 追 踪 和 发 现 。 对 于 文 件 覆 写 ， W i n d o w s 系 统 有 自 带 的 一 些 命 令 可 以 用 ， 例 如 c m d 的   D E L   命 令 ， W i n d o w s   S y s i n t e r n a l s S D e l e t e   工 具 。 同 时 攻 击 者 也 可 以 利 用 其 他 的 第 三 方 文 件 删 除 工 具 。 日 志 清 除 日 志 清 除 攻 击 者 会 对 入 侵 的 痕 迹 进 行 清 除 或 更 改 ， 包 括 系 统 日 志 和 被 捕 获 隔 离 的 恶 意 文 件 。 日 志 的 存 储 位 置 和 格 式 在 不 同 的 系 统 中 会 有 所 不 同 ， 比 如 W i n d o w s 会 将 日 志 做 为 W i n d o w s   e v e n t s   而   L i n u x / m a c O S   会 将 其 以 文 件 的 形 式 记 录 ( B a s h H i s t o r y   或   / v a r / l o g / * ) 通 过 对 日 志 或 者 系 统 活 动 记 录 等 信 息 进 行 清 除 ， 会 让 入 侵 检 测 、 取 证 分 析 和 应 急 响 应 变 得 更 加 困 难 ， 但 是 被 清 除 的 日 志 本 身 也 是 一 种 痕 迹 。 W i n d o w s 事 件 日 志 事 件 日 志 W i n d o w s 事 件 日 志 是 计 算 机 警 报 和 通 知 的 记 录 。 M i c r o s o f t 将 事 件 定 义 为 “ 系 统 或 程 序 中 任 何 需 要 通 知 用 户 或 将 条 目 添 加 到 日 志 的 重 大 事 件 ” 。 有 三 个 系 统 定 义 的 事 件 源 ： 系 统 ， 应 用 程 序 和 安 全 性 。 进 行 与 帐 户 管 理 ， 帐 户 登 录 和 目 录 服 务 访 问 等 相 关 的 操 作 的 攻 击 者 可 以 选 择 清 除 事 件 以 隐 藏 其 活 动 。 攻 击 者 可 以 使 用 以 下 实 用 程 序 命 令 清 除 事 件 日 志 ： w e v t u t i l   c l   s y s w e v t u t i l   c l   a p p l i c a t i o n w e v t u t i l   c l   s e c u r i t y L i n u x 事 件 日 志 事 件 日 志 L i n u x 日 志 一 般 以 文 件 的 形 式 存 放 ， 不 同 的 L i n u x 发 行 版 系 统 存 放 日 志 的 目 录 可 能 不 一 样 ， 不 同 的 b a s h 类 程 序 使 用 的 命 令 行 记 录 也 可 能 不 一 样 。 找 到 具 体 日 志 文 件 的 位 置 可 以 通 过 r m 命 令 删 除 。
文 件 和 信 息 混 淆 （ 隐 写 ） 文 件 和 信 息 混 淆 （ 隐 写 ） 攻 击 者 可 能 试 图 通 过 加 密 ， 编 码 或 其 他 方 式 混 淆 可 执 行 文 件 或 文 件 在 系 统 中 或 传 输 中 的 内 容 ， 从 而 使 其 难 以 发 现 或 分 析 。 这 种 手 段 可 以 跨 不 同 的 平 台 和 网 络 使 用 ， 用 以 逃 避 防 御 和 检 测 手 段 。 有 效 载 荷 可 能 被 压 缩 ， 归 档 或 加 密 ， 以 避 免 被 域 防 火 墙 之 类 的 防 御 措 施 检 测 到 。 有 效 负 载 也 可 能 被 拆 分 为 看 似 良 性 的 单 独 文 件 ， 这 些 文 件 仅 在 重 新 组 合 后 才 会 显 示 恶 意 功 能 。 混 淆 的 另 一 个 例 子 是 通 过 使 用 隐 写 术 ， 这 是 一 种 将 消 息 或 代 码 隐 藏 在 图 像 ， 音 轨 ， 视 频 剪 辑 或 文 本 文 件 中 的 技 术 。 例 如 D u q u 恶 意 软 件 对 从 受 害 者 系 统 中 收 集 到 的 信 息 进 行 了 加 密 ， 并 将 其 隐 藏 到 一 个 i m g 映 像 文 件 中 ， 然 后 将 该 映 像 传 输 到 C 2 服 务 器 。 攻 击 者 也 使 用 I n v o k e - P S I m a g e 将 P o w e r S h e l l 命 令 隐 藏 在 图 像 文 件 （ p n g ） 中 ， 并 在 受 害 者 的 系 统 上 解 析 成 执 行 代 码 。 多 跳 代 理 多 跳 代 理 一 种 反 追 踪 的 手 段 。 攻 击 者 可 以 通 过 设 置 将 多 个 代 理 服 务 器 链 接 在 一 起 作 为 跳 板 机 ， 通 常 ， 防 御 者 只 能 够 确 定 在 进 入 其 网 络 之 前 经 过 的 最 后 一 个 代 理 服 务 器 。 攻 击 者 通 过 此 技 术 来 混 淆 恶 意 流 量 的 来 源 来 掩 盖 自 己 的 身 份 或 者 信 息 ， 达 到 反 追 踪 的 目 的 。 横 向 域 渗 透 横 向 域 渗 透 W M I ( W i n d o w s   M a n a g e m e n t   I n s t r u m e n t a t i o n )   利 用 利 用 W M I 是 W i n d o w s 的 一 项 管 理 功 能 ， 它 为 本 地 和 远 程 访 问 W i n d o w s 系 统 组 件 提 供 了 统 一 的 环 境 。 它 依 靠 W M I 服 务 进 行 本 地 和 远 程 访 问 ， 并 依 靠 S M B (   服 务 器 消 息 块   ) 和 R P C S (   远 程 过 程 调 用 服 务   ) 进 行 远 程 访 问 。 R P C S 通 过 端 口 1 3 5 运 行 。 攻 击 者 可 以 使 用 W M I 与 本 地 和 远 程 系 统 进 行 交 互 ， 并 将 其 用 作 执 行 许 多 攻 击 方 式 的 手 段 ， 例 如 信 息 收 集 以 进 行 域 主 机 探 测 和 远 程 执 行 恶 意 程 序 。 如 使 用 W M I 的 功 能 订 阅 事 件 并 在 事 件 触 发 时 执 行 任 意 代 码 ， 从 而 在 系 统 上 设 置 持 久 化 后 门 。 攻 击 者 可 能 会 通 过 将 W M I 脚 本 编 译 到 W i n d o w s 管 理 对 象 （ M O F ） 文 件 （ 扩 展 名 为 . m o f ） 中 来 逃 避 对 此 技 术 的 检 测 。 攻 击 者 订 阅 的 事 件 是 一 般 是 挂 钟 时 间 或 计 算 机 的 正 常 运 行 时 间 。 P a s s   t h e   T i c k e t K e r b e r o s 是 一 种 网 络 认 证 协 议 ， 其 设 计 目 标 是 通 过 密 钥 系 统 为   客 户 机   /   服 务 器   的 应 用 程 序 提 供 强 大 的 认 证 服 务 。 主 要 用 于 ， 一 个 用 户 在 域 内 访 问 多 台 服 务 器 都 需 要 进 行 身 份 认 证 ， 但 是 没 必 要 将 用 户 的 用 户 名 密 码 储 存 于 每 台 提 供 服 务 的 服 务 器 中 。 于 是 采 用 将 用 户 认 证 相 关 信 息 储 存 于 一 台 中 央 认 证 服 务 器 上 ， 用 户 于 中 央 认 证 服 务 器 获 取 凭 证 后 即 可 访 问 域 内 的 其 他 服 务 器 提 供 的 服 务 ， 而 不 需 要 额 外 的 身 份 认 证 。 P t T 一 种 利 用 微 软 的 K e r b e r o s 票 据 来 窃 取 受 害 者 身 份 进 行 身 份 验 证 的 攻 击 手 段 ， 而 无 需 知 道 用 户 的 帐 户 密 码 。 这 种 技 术 可 以 将 有 效 帐 户 的 有 效 K e r b e r o s 票 据 由 凭 证 转 储 捕 获 。 基 于 攻 击 者 已 经 获 得 的 权 限 等 级 ， 可 以 获 取 用 户 的 服 务 票 据 ( S e r v i c e   T i c k e r s ) 或 者 票 据 授 予 票 据 ( T i c k e t   G r a n t i n g   T i c k e t )   ， 取 得 的 服 务 票 据 可 以 用 来 访 问 该 票 据 特 定 的 资 源 ， 而   票 据 授 予 票 据 可 以 用 于 伪 装 成 正 常 用 户 从 票 据 授 予 服 务 器   请 求 服 务 票 据 以 进 一 步 访 问 需 要 授 权 的 域 内 资 源 。 主 要 有 以 下 两 种 攻 击 手 段 ： 可 以 为 使 用 K e r b e r o s 作 为 身 份 验 证 机 制 的 服 务 获 取 白 银 票 据 ( S i l v e r   T i c k e t s ) ， 并 用 于 生 成 票 证 以 访 问 该 域 下 的 特 定 资 源 和 托 管 该 资 源 的 系 统 （ 例 如 ： S h a r e P o i n t ） 。 可 以 通 过 获 取 密 钥 分 发 服 务 帐 户 K R B T G T 的 帐 户 N T L M 哈 希 获 得 该 域 的 黄 金 票 据 ( G o l d e n   T i c k e t s ) ， 这 可 以 为 同 一 个 域 活 动 目 录 ( A c t i v e   D i r e c t o r y ) 中 的 任 何 帐 户 生 成 票 据 授 予 票 据   。
凭 证 转 储 凭 证 转 储 ( C r e d e n t i a l   D u m p i n g ) 凭 据 转 储 是 从 操 作 系 统 和 软 件 中 获 取 身 份 凭 证 （ 包 括 帐 户 登 录 名 和 密 码 信 息 和 其 他 凭 证 文 件 ） 的 过 程 ， 通 常 以 哈 希 或 明 文 密 码 的 形 式 。 然 后 可 以 使 用 凭 证 执 行 横 向 渗 透 并 获 取 域 内 受 权 限 访 问 控 制 的 敏 感 信 息 。 攻 击 者 和 专 业 安 全 测 试 人 员 都 可 以 使 用 以 下 的 几 种 工 具 。 或 者 其 他 自 制 工 具 。 W i n d o w s S A M   ( S e c u r i t y   A c c o u n t s   M a n a g e r ) S A M 是 一 个 数 据 库 文 件 ， 其 中 包 含 主 机 的 本 地 帐 户 ， 通 常 是 使 用 “   n e t   u s e r ” 命 令 能 找 到 的 那 些 帐 户 。 要 枚 举 S A M 数 据 库 ， 需 要 S Y S T E M 级 别 的 访 问 权 限 。 可 使 用 多 种 工 具 通 过 转 储 并 检 索 内 存 的 技 术 来 检 索 内 存 中 的 S A M 文 件 ， 如 ： p w d u m p x . e x e g s e c d u m p M i m i k a t z 、 M i m i k a t z 2 s e c r e t s d u m p . p y 也 可 以 使 用 R e g 命 令 从 注 册 表 中 提 取 ： r e g   s a v e   H K L M s a m   s a m r e g   s a v e   H K L M s y s t e m   s y s t e m 然 后 ， 可 以 使 用 C r e d d u m p 7 在 本 地 处 理 S A M 数 据 库 以 检 索 用 户 凭 证 哈 希 如 N T L M 哈 希 。 被 缓 存 的 凭 证 （ C a c h e d   C r e d e n t i a l s ） W i n d o w s   V i s t a 和 更 高 版 本 使 用 的 D C C 2 （ D o m a i n   C a c h e d   C r e d e n t i a l s   v e r s i o n   2 ）   会 在 域 控 (   d o m a i n   c o n t r o l l e r )   不 可 访 问 时 缓 存 凭 证 ， 以 防 在 网 络 出 现 某 些 故 障 的 时 候 影 响 正 常 服 务 。 默 认 可 缓 存 凭 据 的 数 量 各 不 相 同 ， 不 同 系 统 可 以 自 己 更 改 该 设 置 。 缓 存 下 来 的 哈 希 凭 据 不 能 用 于 使 用 p a s s - t h e - h a s h 攻 击 。 可 以 使 用 多 种 工 具 通 过 转 储 并 检 索 内 存 的 技 术 来 检 索 内 存 中 的 S A M 文 件 来 获 取 该 凭 据 。 如 ： p w d u m p x . e x e g s e c d u m p M i m i k a t z 、 M i m i k a t z 2 同 样 可 以 通 过 使 用 R e g 命 令 从 注 册 表 中 提 取 凭 据 文 件 ， 然 后 使 用 C r e d d u m p 7 在 处 理 来 获 取 凭 证 。 本 地 安 全 授 权 密 钥 L o c a l   S e c u r i t y   A u t h o r i t y   ( L S A )   S e c r e t s 通 过 对 本 地 主 机 S Y S T E M   权 限 的 接 入 ， L S A 通 常 允 许 从 本 地 用 户 账 户   到 域 用 户 账 户 的 一 般 性 访 问 。 注 册 表 被 用 于 存 储   L S A   S e c r e t s   ， 在 用 户 在 本 地 用 户 账 户 或 者 域 用 户 账 户   的 环 境 下 运 行 服 务 的 时 候 ， 其 密 码 将 储 存 在 注 册 表 中 。 用 户 是 否 启 用 了 自 动 登 录 的 信 息 也 会 储 存 在 注 册 表 中 。 以 下 工 具 可 以 从 内 存 中 尝 试 获 取 该 密 钥 ： p w d u m p x . e x e g s e c d u m p M i m i k a t z 、 M i m i k a t z 2 s e c r e t s d u m p . p y
可 以 通 过 使 用 R e g 命 令 从 注 册 表 中 提 取 凭 据 文 件 ， 然 后 使 用 C r e d d u m p 7 在 处 理 来 获 取 凭 证 。 备 注 ： 这 种 方 式 提 取 出 来 的 用 户 密 钥 是 通 过 U T F - 1 6 进 行 编 码 的 ， 并 未 加 密 ， 这 意 味 着 可 以 获 取 明 文 用 户 密 码 。 W i n d o w s   1 0   新 增 了 这 方 面 的 安 全 保 护 。 N T D S   f r o m   D o m a i n   C o n t r o l l e r 域 活 动 目 录 ( A c t i v e   D i r e c t o r y ) 存 储 有 关 域 成 员 （ 包 括 设 备 、 应 用 程 序 和 用 户 ） 的 信 息 ， 以 验 证 凭 据 和 定 义 访 问 权 限 。 域 活 动 目 录 ( A c t i v e   D i r e c t o r y ) 数 据 库 存 储 在 N T D S . d i t 文 件 中 。 默 认 情 况 下 ， N T D S 文 件 将 位 于 域 控 (   d o m a i n c o n t r o l l e r ) 计 算 机 的 ％ S y s t e m R o o t ％ N T D S N t d s . d i t 中 。 下 列 工 具 和 技 术 可 用 于 枚 举 N T D S 文 件 和 整 个 A c t i v e D i r e c t o r y 哈 希 的 内 容 ： 卷 影 复 制   V o l u m e   S h a d o w   C o p y ： 用 于 在 无 法 转 储 或 访 问 N T D S 文 件 的 情 况 下 s e c r e t s d u m p . p y 使 用 W i n d o w s 内 置 的 工 具 n t d s u t i l . e x e I n v o k e - N i n j a C o p y 组 策 略 首 选 项 （ 组 策 略 首 选 项 （ G r o u p   P o l i c y   P r e f e r e n c e ） 文 件 ） 文 件 组 策 略 首 选 项 （ G P P ） 是 允 许 管 理 员 创 建 带 有 嵌 入 式 凭 据 的 域 策 略 的 工 具 。 这 些 策 略 允 许 域 管 理 员 对 本 地 用 户 帐 户 进 行 设 置 。 这 些 组 策 略 存 储 在 域 控 (   d o m a i n   c o n t r o l l e r ) 上 的 S Y S V O L 中 ， 这 意 味 着 任 何 域 用 户 都 可 以 查 看 S Y S V O L 共 享 并 解 密 密 码 （ A E S 私 钥 已 经 在 域 内 被 泄 露 ） 。 以 下 工 具 和 脚 本 可 用 于 从 组 策 略 首 选 项 X M L 文 件 收 集 和 解 密 密 码 文 件 ： M e t a s p l o i t 的 后 渗 透 模 块 ： “   p o s t   /   w i n d o w s   /   g a t h e r   /   c r e d e n t i a l s   /   g p p ” G e t - G P P P a s s w o r d g p p r e f d e c r y p t . p y 备 注 ： 可 以 通 过 d i r   /   s   *   . x m l 在 S Y S V O L 共 享 上 美 剧 潜 在 的 G P P 文 件 。 明 文 凭 证 获 取   P l a i n t e x t   C r e d e n t i a l 用 户 登 录 到 系 统 后 ， 将 生 成 各 种 凭 证 并 将 其 存 储 在 内 存 中 的 本 地 安 全 授 权 子 系 统 服 务 （ L S A S S ） 的 进 程 中 。 这 些 凭 据 可 以 由 管 理 员 权 限 或 S Y S T E M 权 限 访 问 。 以 下 工 具 可 用 于 枚 举 凭 据 ： W i n d o w s   C r e d e n t i a l   E d i t o r M i m i k a t z 、 M i m i k a t z 2 与 内 存 转 储 技 术 一 样 ， L S A S S 进 程 内 存 也 可 以 从 目 标 主 机 中 转 储 并 在 本 地 系 统 上 进 行 分 析 。 例 如 ， 在 目 标 主 机 上 使 用 p r o c d u m p ： p r o c d u m p   - m a   l s a s s . e x e   l s a s s _ d u m p 在 本 地 ， 可 以 运 行 m i m i k a t z ： s e k u r l s a : : M i n i d u m p   l s a s s d u m p . d m p s e k u r l s a : : l o g o n P a s s w o r d s D C S y n c D C S y n c 是 凭 据 转 储 的 一 种 变 体 ， 可 用 于 从 域 控 (   d o m a i n   c o n t r o l l e r ) 获 取 敏 感 信 息 。 该 操 作 不 是 执 行 可 识 别 的 恶 意 代 码 ， 而 是 通 过 滥 用 域 控 (   d o m a i n   c o n t r o l l e r ) 的 应 用 程 序 编 程 接 口 （ A P I ）   ， 以 模 拟 来 自 远 程 域 控 制 器 的 复 制 过 程 来 获
取 敏 感 信 息 。 域 控 (   d o m a i n   c o n t r o l l e r ) 上 的 A d m i n i s t r a t o r s ， D o m a i n   A d m i n s ， E n t e r p r i s e   A d m i n 组 ， 或 计 算 机 帐 户 的 任 何 成 员 都 可 以 运 行 D C S y n c 从 A c t i v e   D i r e c t o r y 中 提 取 密 码 数 据 ， 其 中 可 能 包 括 潜 在 有 用 帐 户 （ 例 如 K R B T G T 和 管 理 员 ） 。 然 后 ， 这 些 H a s h 又 可 以 用 于 创 建 黄 金 票 据 ( G o l d e n   T i c k e t s ) ， 以 用 于 P a s s   t h e   T i c k e t 技 术 或 更 改 帐 户 密 码 。 可 以 通 过 ： M i m i k a t z 的 l s a d u m p 模 块 中 已 包 含 D C S y n c 功 能 。 L s a d u m p 还 包 括 N e t S y n c ， 它 通 过 旧 版 复 制 协 议 执 行 D C S y n c 。 L i n u x p r o c 文 件 系 统 文 件 系 统 L i n u x 上 的 / p r o c 文 件 系 统 包 含 有 关 正 在 运 行 的 操 作 系 统 状 态 等 大 量 信 息 。 以 r o o t 特 权 运 行 的 进 程 可 以 使 用 此 功 能 来 抓 取 其 他 正 在 运 行 的 程 序 的 实 时 内 存 。 如 果 这 些 程 序 中 的 任 何 一 个 以 明 文 形 式 存 储 密 码 或 在 内 存 中 存 储 密 码 哈 希 ， 则 可 以 分 别 获 取 这 些 值 以 用 于 使 用 或 暴 力 破 解 用 户 密 码 。 M i m i P e n g u i n 工 具 可 用 于 转 储 进 程 内 存 ， 然 后 通 过 查 找 文 本 字 符 串 和 正 则 表 达 式 模 式 来 收 集 密 码 和 哈 希 ， 以 了 解 给 定 的 应 用 程 序 （ 例 如 G n o m e   K e y r i n g ， s s h d 和 A p a c h e ） 如 何 使 用 内 存 来 存 储 此 类 身 份 验 证 工 件 。 R u n d l l 3 2   绕 过 防 护 绕 过 防 护 在 W i n d o w s 系 统 中 ， 为 了 节 省 内 存 和 实 现 代 码 重 用 ， 微 软 在 W i n d o w s 操 作 系 统 中 实 现 了 一 种 共 享 函 数 库 的 方 式 。 这 就 是 D L L （ D y n a m i c   L i n k   L i b r a r y ） 文 件 ， 即 动 态 链 接 库 ， 这 种 库 包 含 了 可 由 多 个 程 序 同 时 使 用 的 代 码 和 数 据 。 R u n d l l . e x e   和   R u n d l l 3 2 . e x e   的 命 令 行 实 用 程 序 ， 通 过 这 两 个 程 序 可 调 用 从 1 6 位 或 3 2 位 D L L 导 出 的 函 数 。 现 在 R u n d l l . e x e   基 本 被 淘 汰 ， r u n d l l 3 2 . e x e 格 式 为 ： R U N D L L 3 2 . E X E 。 在 一 些 情 况 下 ， 计 算 机 上 的 杀 毒 软 件 或 者 防 火 墙 之 类 的 软 件 会 检 测 运 行 中 的 程 序 来 防 御 恶 意 程 序 。 攻 击 者 可 以 通 过 调 用 系 统 的 r u n d l l 3 2 . e x e 程 序 来 执 行 恶 意 软 件 ， 并 借 此 避 开 防 护 程 序 的 检 测 。 主 要 利 用 方 式 有 以 下 几 种 ： 通 过 反 汇 编 分 析 微 软 系 统 自 带 的 D L L 文 件 并 找 出 可 利 用 的 函 数 ， 通 过 r u n d l l 3 2 . e x e 调 用 来 执 行 恶 意 操 作 ， 如 通 过 调 用 r u n d l l 3 2 . e x e 修 改 注 册 表 ， 例 如 ： 先 写 一 个 r e g . i n f 文 件 ， 用 于 增 加 注 册 表 启 动 项 ： 然 后 用 r u n d l l 3 2 . e x e 运 行 就 可 以 增 加 一 个 键 为 K * * R u n ， 值 为 c : / m u m a . e x e 的 注 册 表 项 。 通 过 调 用 r u n d l l 3 2 . e x e 开 启 一 个 服 务 ， 例 如 ： r u n d l l 3 2   u r l . d l l ,   O p e n U R L   f i l e : / / c : w i n d o w s s y s t e m 3 2 c a l c . e x e r u n d l l 3 2   u r l . d l l ,   O p e n U R L A   f i l e : / / c : w i n d o w s s y s t e m 3 2 c a l c . e x e r u n d l l 3 2   u r l . d l l ,   F i l e P r o t o c o l H a n d l e r   c a l c . e x e [ V e r s i o n ] S i g n a t u r e = " $ W I N D O W S   N T $ " [ D e f a u l t I n s t a l l ] A d d R e g = M y _ A d d R e g _ N a m e D e l R e g = M y _ D e l R e g _ N a m e [ M y _ A d d R e g _ N a m e ] H K L M , S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n , K * * R u n , 0 x 0 0 0 0 0 0 0 0 , c : / m u m a . e x e r u n d l l 3 2 . e x e   s e t u p a p i , I n s t a l l H i n f S e c t i o n   D e f a u l t I n s t a l l   1 2 8   c : / r e g . i n f
先 写 一 个 s r v . i n f 文 件 ， 用 于 开 启 新 服 务 ： 其 中 ： 1 .   S e r v i c e T y p e 表 示 服 务 类 型 ： 0 × 1 0 为 独 立 进 程 服 务 ， 0 × 2 0 为 共 享 进 程 服 务 （ 比 如 s v c h o s t ） ； 2 .   S t a r t T y p e 表 示 启 动 类 型 ： 0   系 统 引 导 时 加 载 ， 1   O S 初 始 化 时 加 载 ， 2   由 S C M （ 服 务 控 制 管 理 器 ） 自 动 启 动 ， 3   手 动 启 动 ， 4   禁 用 。 3 .   E r r o r C o n t r o l 表 示 错 误 控 制 ： 0   忽 略 ， 1   继 续 并 警 告 ， 2   切 换 到 L a s t K n o w n G o o d 的 设 置 ， 3   蓝 屏 。 4 .   S e r v i c e B i n a r y 里 的 服 务 程 序 位 置 ： % 1 1 % 表 示 s y s t e m 3 2 目 录 ， % 1 0 % 表 示 系 统 目 录 ( W I N N T 或 W i n d o w s ) ， % 1 2 % 为 驱 动 目 录 s y s t e m 3 2 d r i v e r s 。 其 他 取 值 参 见 D D K 。 你 也 可 以 不 用 变 量 ， 直 接 使 用 全 路 径 。 这 四 项 是 必 须 要 有 的 。 然 后 用 r u n d l l 3 2 . e x e 运 行 ， 会 增 加 一 个 名 字 为 i n e t s v r 的 服 务 ： 任 务 计 划 相 关 功 能 利 用 任 务 计 划 相 关 功 能 利 用   S c h e d u l e d   T a s k 攻 击 者 可 以 使 用 任 务 计 划 设 定 在 系 统 启 动 执 行 后 门 程 序 ， 或 者 定 期 运 行 恶 意 程 序 ， 作 为 横 向 渗 透 的 一 部 分 常 被 利 用 于 远 程 执 行 代 码 、 获 得 S Y S T E M 权 限 ， 或 在 指 定 用 户 的 环 境 下 运 行 恶 意 程 序 。 W i n d o w s W i n d o w s   T a s k   S c h e d u l e r L i n u x c r o n t a b 快 捷 方 式 劫 持 快 捷 方 式 劫 持 快 捷 方 式 或 符 号 链 接 是 引 用 其 他 文 件 或 程 序 的 方 法 ， 这 些 文 件 或 程 序 在 系 统 启 动 过 程 中 单 击 或 执 行 快 捷 方 式 时 将 被 调 用 、 打 开 或 执 行 。 攻 击 者 可 以 利 用 快 捷 方 式 来 执 行 其 持 久 性 后 门 程 序 。 例 如 ， 创 建 一 个 新 的 快 捷 方 式 ， 以 一 种 间 接 的 方 式 ， 在 快 捷 方 式 调 用 恶 意 程 序 并 执 行 的 同 时 打 开 正 常 应 打 开 的 文 件 ， 使 其 可 以 伪 装 成 合 法 程 序 。 另 外 ， 攻 击 者 还 可 以 通 过 编 辑 正 常 程 序 的 快 捷 方 式 的 目 标 路 径 来 将 其 劫 持 到 恶 意 程 序 上 。 软 件 加 壳 技 术 软 件 加 壳 技 术 [ V e r s i o n ] S i g n a t u r e = " $ W I N D O W S   N T $ " [ D e f a u l t I n s t a l l . S e r v i c e s ] A d d S e r v i c e = i n e t s v r , , M y _ A d d S e r v i c e _ N a m e [ M y _ A d d S e r v i c e _ N a m e ] D i s p l a y N a m e = W i n d o w s   I n t e r n e t   S e r v i c e D e s c r i p t i o n = 提 供 对   I n t e r n e t   信 息 服 务 管 理 的 支 持 。 S e r v i c e T y p e = 0 x 1 0 S t a r t T y p e = 2 E r r o r C o n t r o l = 0 S e r v i c e B i n a r y = % 1 1 % m u m a . e x e r u n d l l 3 2 . e x e   s e t u p a p i , I n s t a l l H i n f S e c t i o n   D e f a u l t I n s t a l l   1 2 8   c : / s r v . i n f
软 件 加 壳 是 一 种 压 缩 或 加 密 可 执 行 文 件 的 方 法 。 对 可 执 行 文 件 加 壳 会 更 改 文 件 签 名 为 伪 造 或 盗 用 的 合 法 签 名 ， 以 尝 试 避 免 基 于 签 名 的 检 测 。 大 多 数 解 压 缩 技 术 都 在 内 存 中 将 可 执 行 代 码 解 压 缩 。 这 种 技 术 会 使 取 证 人 员 在 捕 获 到 恶 意 程 序 后 很 难 分 析 恶 意 程 序 的 目 的 和 来 源 。 社 会 工 程 学 攻 击 社 会 工 程 学 攻 击 “ 安 全 的 最 大 漏 洞 就 是 人 ， 有 人 的 地 方 就 有 安 全 漏 洞 ” ， 攻 击 者 进 行 攻 击 的 第 一 步 一 般 都 是 尝 试 对 目 标 或 者 目 标 相 关 的 个 体 或 组 织 进 行 社 会 工 程 学 攻 击 。 包 括 但 不 限 于 ： 钓 鱼 邮 件 攻 击 钓 鱼 邮 件 攻 击 攻 击 者 一 般 都 会 利 用 人 的 好 奇 心 或 者 缺 乏 安 全 意 识 ， 向 目 标 发 送 包 含 能 引 起 目 标 兴 趣 的 内 容 的 电 子 邮 件 来 诱 骗 受 害 者 点 击 或 者 下 载 攻 击 者 的 恶 意 程 序 并 执 行 。 A P T 2 9 就 曾 使 用 命 名 为 《 办 公 室 猴 子 》 的 搞 笑 F l a s h ( 内 嵌 攻 击 程 序 ) ， 当 用 户 执 行 该 F l a s h 视 频 文 件 的 同 时 攻 击 程 序 就 会 启 动 。 一 般 常 见 的 文 件 格 式 包 括 ： M i c r o s o f t   O f f i c e 文 档 、 可 执 行 文 件 、 P D F 或 归 档 文 件 。 钓 鱼 链 接 攻 击 钓 鱼 链 接 攻 击 攻 击 者 在 这 种 攻 击 中 不 将 恶 意 程 序 以 附 件 的 形 式 添 加 到 邮 件 中 ， 而 是 诱 骗 受 害 者 点 击 下 载 恶 意 软 件 ， 以 此 避 开 对 电 子 邮 件 附 件 做 检 查 的 防 御 措 施 。 通 常 ， 这 些 链 接 将 伴 随 欺 骗 性 的 文 本 ， 并 要 求 用 户 主 动 单 击 或 复 制 U R L 并 将 其 粘 贴 到 浏 览 器 中 。 访 问 的 网 站 可 能 会 利 用 漏 洞 利 用 W e b 浏 览 器 ， 或 者 首 先 提 示 用 户 下 载 应 用 程 序 ， 文 档 ， z i p 文 件 甚 至 可 执 行 文 件 ， 具 体 取 决 于 电 子 邮 件 中 如 何 进 行 的 欺 骗 。 攻 击 者 还 可 能 包 含 旨 在 直 接 与 电 子 邮 件 阅 读 器 进 行 交 互 的 链 接 ， 包 括 旨 在 直 接 利 用 终 端 系 统 或 验 证 电 子 邮 件 的 接 收 （ 即 W e b 错 误 /   W e b 信 标 ） 的 嵌 入 式 图 像 。 链 接 还 可 以 将 用 户 定 向 到 旨 在 窃 取 应 用 程 序 访 问 令 牌 （ 例 如 O A u t h 令 牌 ） 的 恶 意 程 序 ， 以 获 取 对 受 保 护 的 应 用 程 序 和 信 息 的 访 问 权 限 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： L o r d C a s s e r ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理