搜索

[15217] 2020-04-05_利用COVID-19发起的网络攻击分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-04-05_利用COVID-19发起的网络攻击分析 利 用 C O V I D - 1 9 发 起 的 网 络 攻 击 分 析 K r i s t o n   F r e e B u f   2 0 2 0 - 0 4 - 0 5 C h e c k   P o i n t 发 现 了 针 对 蒙 古 公 共 部 门 的 网 络 攻 击 活 动 ， 该 组 织 利 用 了 冠 状 病 毒 恐 慌 情 绪 向 目 标 发 送 恶 意 软 件 。 发 现 了 针 对 蒙 古 公 共 部 门 的 网 络 攻 击 活 动 ， 该 组 织 利 用 了 冠 状 病 毒 恐 慌 情 绪 向 目 标 发 送 恶 意 软 件 。 研 究 发 现 其 与 可 与 在 研 究 发 现 其 与 可 与 在 2 0 1 6 年 进 行 的 其 他 网 络 活 动 联 系 起 来 。 多 年 来 ， 这 些 行 动 的 目 标 是 多 个 国 家 年 进 行 的 其 他 网 络 活 动 联 系 起 来 。 多 年 来 ， 这 些 行 动 的 目 标 是 多 个 国 家 / 地 区 的 不 同 部 地 区 的 不 同 部 门 ， 例 如 乌 克 兰 ， 俄 罗 斯 ， 门 ， 例 如 乌 克 兰 ， 俄 罗 斯 ，   和 白 俄 罗 斯 。 和 白 俄 罗 斯 。 在 本 报 告 中 将 对 整 个 活 动 中 使 用 的 T T P ， 基 础 设 施 以 及 发 现 的 新 工 具 进 行 全 面 分 析 。 诱 饵 文 件 诱 饵 文 件 确 定 了 发 送 给 蒙 古 公 共 部 门 的 两 份 可 疑 文 件 ，   这 些 文 件 用 蒙 古 文 写 成 ， 其 中 之 一 来 自 蒙 古 外 交 部 ：
这 些 文 件 是 使 用 名 为 R o y a l R o a d （ a k a   8 . t ） 的 工 具 进 行 处 理 。 该 工 具 使 攻 击 者 可 以 创 建 带 有 嵌 入 式 对 象 的 自 定 义 文 档 ， 从 而 利 用 W o r d 的 E q u a t i o n   E d i t o r 漏 洞 。 感 染 链 感 染 链 受 害 者 打 开 特 制 的 文 档 并 触 发 W o r d 漏 洞 后 ， 将 名 为 i n t e l . w l l 的 文 件 放 入 W o r d 启 动 文 件 夹 ： ％ A P P D A T A ％ M i c r o s o f t W o r d S T A R T U P 。 每 次 启 动 W o r d 时 ， W o r d   S t a r t u p 文 件 夹 中 所 有 带 有 W L L 扩 展 名 的 D L L 文 件 也 将 启 动 ， 从 而 触 发 感 染 链 ： 该 技 术 手 段 可 以 进 行 持 久 控 制 ， 还 可 以 防 止 其 在 沙 箱 中 运 行 时 被 分 析 ， 因 为 要 完 全 执 行 该 恶 意 软 件 ， 必 须 重 新 启 动 W o r d 。 恶 意 i n t e l . w l l   D L L 加 载 后 ， 会 继 续 从 服 务 器 ： 9 5 . 1 7 9 . 2 4 2   [ . ]   6 下 载 并 解 密 下 一 阶 段 。 下 一 阶 段 也 是 D L L 文 件 ， 它 是 恶 意 软 件 框 架 的 主 要 加 载 程 序 。 它 使 用 R u n d l l 3 2 执 行 ， 并 另 一 台 C ＆ C 服 务 器 （ 9 5 . 1 7 9 . 2 4 2   [ . ]   2 7 ） 通 信 接 收 其 他 功 能 。 攻 击 者 每 天 仅 在 线 几 个 小 时 操 作 C ＆ C 服 务 器 ， 使 得 分 析 和 访 问 感 染 链 的 高 级 部 分 变 得 更 加 困 难 。
在 感 染 链 的 最 后 阶 段 ， 接 收 到 命 令 后 恶 意 加 载 程 序 会 以 D L L 的 形 式 下 载 并 解 密 R A T 模 块 ， 将 其 加 载 到 内 存 中 。 被 入 侵 目 标 除 了 收 到 的 有 效 载 荷 外 还 可 能 存 在 其 他 模 块 。 R A T 模 块 是 自 定 义 恶 意 软 件 ， 它 还 包 含 一 些 通 用 的 核 心 功 能 ， 如 下 所 示 ： 截 屏 列 出 文 件 和 目 录 创 建 和 删 除 目 录 移 动 和 删 除 文 件 下 载 执 行 新 进 程 获 取 所 有 服 务 的 列 表 技 术 分 析 技 术 分 析 在 研 究 之 初 ， 攻 击 者 的 一 台 服 务 器 （ 用 于 下 一 阶 段 的 恶 意 软 件 ） 在 限 定 时 间 内 启 用 了 目 录 列 表 。 这 样 一 来 就 可 以 下 载 所 有 托 管 文 件 ， 并 深 入 了 解 操 作 时 间 表 和 攻 击 者 的 工 作 时 间 。 服 务 器 上 的 所 有 文 件 都 已 加 密 ， 通 过 使 用 感 染 链 中 相 同 的 加 密 方 案 ， 能 够 解 密 服 务 器 上 存 储 的 大 多 数 文 件 。 能 够 解 密 的 十 二 个 文 件 可 以 分 为 四 个 主 要 的 恶 意 软 件 家 族 。 它 们 的 嵌 入 式 内 部 名 称 和 核 心 功 能 如 下 所 述 ： 1 、 h t t p _ d l l . d l l （ I n t e l . w l l ） ： 第 一 阶 段 加 载 程 序 ，   解 密 C ＆ C 地 址 ， 下 载 并 解 密 下 一 阶 段 的 D L L ， 然 后 通 过 R u n d l l 3 2 执 行 它 。 2 、 p p d o w n . d l l ： 下 载 解 密 服 务 器 上 存 储 的 . r a r 文 件 。 从 服 务 器 读 取 a c c e s s . t x t 文 件 ， 对 其 进 行 解 密 ， 然 后 将 结
果 分 为 3 部 分 ： 下 一 个 要 下 载 的 阶 段 的 名 称 ； 调 用 下 一 个 导 出 功 能 ； 下 一 阶 段 的 解 密 密 钥 。 3 、 R u n d l l 3 2 T e m p l e t e . d l l ： 用 作 下 一 阶 段 有 效 负 载 的 加 载 和 解 密 。 有 效 负 载 在 . s e c t 节 中 加 密 。 4 、 M i n i s d l l p u b . d l l ： 第 二 阶 段 的 加 载 程 序 ， 下 面 会 进 行 详 细 描 述 。 加 载 其 他 D L L 插 件 。 获 得 其 他 解 密 文 件 的 访 问 权 限 后 可 以 寻 找 类 似 的 样 本 。 通 过 内 部 名 称 （ h t t p _ d l l ， R u n d l l 3 2 T e m p l e t e 和 m i n i s d l l p u b ） ， 导 出 函 数 （ E n g d i c ， W S S e t 和 M S C h e c k ） 和 代 码 相 似 性 （ 解 密 方 法 ， 通 信 模 式 等 ） 搜 索 相 似 文 件 ， 能 够 找 到 与 攻 击 者 有 关 的 更 多 示 例 ： 样 本 （ 9 2 d e 0 a 8 0 7 c f b 1 a 3 3 2 a a 0 d 8 8 6 a 6 9 8 1 e 7 d e e 1 6 d 6 2 1 ） 找 到 了 一 篇 类 似 初 始 感 染 链 的 文 章 ， 其 目 标 为 乌 克 兰 。 另 一 个 样 本 （ 9 e f 9 7 f 9 0 d c d f e 1 2 3 c c b 7 d 9 b 4 5 e 6 f a 9 e c e b 2 4 4 6 f 0 ） 针 对 俄 罗 斯 联 邦 ， 发 生 在 2 0 1 8 年 末 。 基 础 设 施 基 础 设 施 分 析 新 发 现 的 样 本 后 ， 发 现 了 攻 击 者 使 用 的 大 部 分 基 础 设 施 以 及 一 个 常 见 的 T T P ： 所 有 C ＆ C 服 务 器 都 托 管 在 V u l t r 服 务 器 上 ， 域 则 通 过 G o D a d d y 服 务 商 注 册 。
在 分 析 时 发 现 ， 在 某 个 时 候 C ＆ C 服 务 器 9 5 . 1 7 9 . 2 4 2 [ . ] 6 停 止 提 供 服 务 。 几 天 后 ， d w . a d y b o h [ . ] c o m 开 始 提 供 目 录 服 务 ： 表 明 攻 击 者 在 其 中 一 台 有 效 负 载 交 付 服 务 器 处 于 活 动 状 态 时 正 在 启 用 目 录 列 表 。 溯 源 分 析 溯 源 分 析 从 恶 意 文 档 的 角 度 来 看 ， i n t e l . w l l 的 命 名 方 案 （ R o y a l R o a d 的 7 . x 版 本 已 将 其 删 除 ） 不 足 以 对 其 做 出 明 确 的 归 属 ， 因 为 许 多 攻 击 者 使 用 相 同 的 名 称 。 另 一 方 面 ， 从 有 效 载 荷 的 角 度 来 看 ， 发 现 了 其 他 相 关 样 本 可 将 其 归 属 到 已 知 的 组 织 。 在 上 面 提 到 的 N W C W o r k s t a t i o n . d l l 中 ， 发 现 字 符 串 ： “   V 0 9 S S 0 1 0 ” ， 这 与 P a l o   A l t o   N e t w o r k s 在 2 0 1 7 年 发 表 的 “ 威 胁 行 动 者 是 白 俄 罗 斯 的 目 标 政 府 ” 相 似 ， 其 中 描 述 了 利 用 名 为 B Y E B Y 的 R A T 攻 击 。 还 与 一 篇 2 0 1 6 年 的   文 章 相 关 ， 该 文 章 指 出 在 针 对 蒙 古 政 府 的 攻 击 中 使 用 了 相 同 的 工 具 。 通 过 将 其 与 2 0 1 7 年 攻 击 中 的 I O C 进 行 比 较 ， 发 现 了 一 些 相 似 之 处 ：
基 础 架 构 相 似 基 础 架 构 相 似 2 0 1 7 年 的 服 务 器 与 调 查 中 发 现 的 样 本 示 例 部 署 在 相 同 的 基 础 架 构 上 ， 并 利 用 V u l t r 和 G o D a d d y 服 务 。 代 码 相 似 代 码 相 似 分 析 （ b f 9 e f 9 6 b 9 d c 8 b d b c 6 9 9 6 4 9 1 d 8 1 6 7 a 8 e 1 e 6 3 2 8 3 f e ） 文 件 时 ， 它 解 密 并 加 载 了 一 个 名 为 w i n c o r e . d l l 的 D L L 。 将 其 与 2 0 1 7 年 的 B Y E B Y 样 本 进 行 关 联 分 析 ： 字 符 串 相 似 性 ： 功 能 相 似 性 ：
全 局 调 用 图 和 X - R e f 图 相 似 ： 即 使 两 个 示 例 中 都 存 在 混 淆 ， 仍 然 能 够 验 证 它 们 具 有 相 似 调 用 图 和 X - R e f 图 ， 这 意 味 着 可 执 行 文 件 的 核 心 功 能 是 相 同 的 。 有 效 负 载 分 析 有 效 负 载 分 析 攻 击 链 中 第 二 阶 段 有 效 载 荷 是 m i n i s d l l p u b . d l l 的 加 密 D L L 文 件 。 从 9 5 . 1 7 9 . 2 4 2   [ . ]   6 下 载 的 D L L 是 其 他 负 载 的 下 载 器 。 M i n i s d l l p u b . d l l 首 先 创 建 名 称 为 A f x ： D V 3 C o n t r o l H o s t 的 互 斥 锁 。 然 后 定 义 大 小 为 0 x 5 f 8 的 结 构 来 存 储 系 统 和 环 境 信 息 ， 例 如 正 在 运 行 的 计 算 机 的 名 称 ， I P 地 址 ， 用 户 名 和 O S 版 本 。 接 下 来 ， 创 建 一 个 大 小 为 0 x 3 F C 的 结 构 ， 存 储 指 向 加 载 的 D L L 和 A P I 函 数 以 及 C & C   I P 地 址 （ 9 5 . 1 7 9 . 2 4 2   [ . ]   2 7 ） 和 端 口 （ 4 4 3 ） 的 指 针 。 设 置 好 这 些 结 构 后 创 建 一 个 新 线 程 ， 获 取 A P I 函 数 列 表 ， 动 态 加 载 它 们 。 每 个 列 表 都 由 一 个 库 的 名 称 组 成 ， 然 后 从 库 中 加 载 的 一 系 列 A P I 函 数 。 然 后 将 这 些 函 数 的 指 针 添 加 到 先 前 的 结 构 中 ， 在 需 要 时 动 态 调 用 它 们 。 第 二 阶 段 有 效 负 载 建 立 H T T P 或 H T T P S 通 信 ， 在 新 线 程 中 与 其 远 程 控 制 进 行 通 信 。 服 务 器 回 复 后 ， 会 使 用 密 钥 0 x 5 1 将 X O R 编 码 的 D L L 发 送 给 恶 意 软 件 。 然 后 ， M i n i s d l l p u b . d l l 解 码 并 将 新 的 P E 动 态 加 载 到 内 存 中 。 加 载 后 ， 它 将 搜 索 名 称 为 e 的 导 出 函 数 。 恶 意 软 件 会 继 续 监 听 来 自 服 务 器 的 命 令 ， 在 收 到 命 令 后 将 其 传 递 给 新 加 载 的 有 效 负 载 的 “ e ” 功 能 。 第 二 阶 段 充 当 了 C ＆ C 和 最 终 有 效 载 荷 的 中 间 人 。
至 此 已 在 受 害 者 计 算 机 上 加 载 了 模 块 ， M i n i s d l l p u b . d l l 是 最 初 由 h t t p _ d l l . d l l （ i n t e l . w l l ） 使 用 R u n d l l 3 2 加 载 的 ， R A T 不 直 接 从 C ＆ C 接 收 命 令 而 是 通 过 中 介 M i n i s d l l p u b . d l l 接 收 控 制 命 令 。 除 了 要 执 行 的 命 令 外 ， M i n i s d l l p u b . d l l 还 将 结 构 体 传 递 给 最 终 的 有 效 负 载 ， R A T 使 用 这 些 存 储 结 构 调 用 A P I 函 数 并 将 数 据 传 递 到 C ＆ C 服 务 器 ， 重 复 使 用 先 前 模 块 中 加 载 的 功 能 指 针 的 方 法 使 得 在 没 有 上 一 阶 段 的 情 况 下 很 难 进 行 R A T 分 析 。 最 终 有 效 负 载 支 持 功 能 及 其 接 收 和 发 送 的 相 应 命 令 如 下 ：
总 结 总 结 这 项 特 定 的 网 络 活 动 利 用 了 C O V I D - 1 9 大 流 行 来 诱 使 受 害 者 触 发 感 染 链 。 攻 击 者 利 用 带 有 宏 和 较 旧 的 R T F 漏 洞 文 档 ， 并 更 新 了 其 工 具 集 ， 在 野 外 观 察 到 “   R o y a l R o a d ”   R T F 漏 洞 生 成 器 的 最 新 版 本 。 这 个 组 织 的 真 正 意 图 仍 然 不 清 楚 ， 但 是 显 然 他 们 会 一 直 活 跃 下 去 ， 更 新 工 具 ， 并 尽 一 切 努 力 攻 击 新 的 受 害 者 。 附 录 附 录 F i l e s   o n   t h e   s e r v e r I O C s
S e r v e r s ： 9 5 . 1 7 9 . 2 4 2 [ . ] 6 9 5 . 1 7 9 . 2 4 2 [ . ] 2 7 1 9 9 . 2 4 7 . 2 5 [ . ] 1 0 2 9 5 . 1 7 9 . 2 1 0 [ . ] 6 1 9 5 . 1 7 9 . 1 5 6 [ . ] 9 7 d w . a d y b o h [ . ] c o m w y . a d y b o h [ . ] c o m f e b . k k o o p p t [ . ] c o m c o m p d a t e . m y 0 3 [ . ] c o m j o c o l y . e s v n p e [ . ] c o m b m y . h q o o h o a [ . ] c o m b u r . v u e l e s l i e [ . ] c o m w i n d . w i n d m i l l d r o p s [ . ] c o m R T F s : 2 3 4 a 1 0 e 4 3 2 e 0 9 3 9 8 2 0 b 2 f 4 0 b f 6 1 2 e d a 9 2 2 9 d b 7 2 0 7 5 1 1 5 5 c 4 2 e 0 1 8 3 7 f 0 b 1 7 e 3 b 8 6 1 5 b e 2 a 9 1 8 9 c 9 9 7 a a e 0 4 2 e c 9 1 a c 6 6 1 f d c 0 2 3 0 b d d d a a f d c 3 8 6 f b 4 4 2 a 3 d 7 f 6 9 f 7 b d 7 f c 9 6 d 8 4 2 f c a c 0 5 4 e 8 7 6 8 f d 1 e c a a 8 8 a d b a 2 f a 7 5 6 2 6 3 5 4 9 9 4 8 f a c 6 9 3 5 9 1 1 c 3 e 0 d 4 d 1 f a 1 f D L L s : 0 e 0 b 0 0 6 e 8 5 e 9 0 5 5 5 5 c 9 0 d f c 0 c 0 0 b 3 0 6 b c a 0 6 2 e 7 b d d e 7 d d 8 1 e b 9 5 2 7 b 7 e f 9 9 e b e e f a 8 2 1 b 1 1 5 8 1 b 9 8 e 0 f c 9 c 3 8 7 1 8 e 4 d 2 c 7 5 a 8 b a 8 9 4 3 5 2 f a 2 b 3 c 9 3 4 8 c 3 d 7 6 0 1 a 0 8 e 7 7 c c b 8 3 f f c d 4 a 3 9 1 4 2 8 6 b b 0 0 e 9 b 1 9 2 c d 6 2 7 a 0 2 9 c 8 6 4 b b 3 9 9 1 0 3 0 4 d 7 f f 2 c a 1 3 9 6 f 2 2 a a 3 2 a 2 8 b 1 2 1 b c 5 b d 9 3 8 2 d f d f 1 4 3 1 9 8 7 a 5 1 3 1 5 7 6 3 2 1 a e f b b f 9 e f 9 6 b 9 d c 8 b d b c 6 9 9 6 4 9 1 d 8 1 6 7 a 8 e 1 e 6 3 2 8 3 f e f c f 7 5 e 7 c a d 4 5 0 9 9 b f 9 7 7 f e 7 1 9 a 8 a 5 f c 2 4 5 b d 6 6 b 8 0 b e d d 8 0 b f 6 2 4 1 7 7 6 0 d 2 5 c e 8 7 d e a 0 c e 9 a 0 8 4 c 1 6 3 c 5 e e e 7 a 6 5 a e 5 b 5 1 7 1 b f 2 9 c 3 2 9 6 8 3 a a c c 7 e b 9 9 e e 0 c
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理