搜索

[15396] 2020-05-20_攻击者正在向云端转移

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-05-20_攻击者正在向云端转移 攻 击 者 正 在 向 云 端 转 移 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 0 5 - 2 0 最 近 研 究 最 近 研 究 L e g i o n   L o a d e r 恶 意 软 件 时 ， 研 究 人 员 偶 然 发 现 了 一 个 下 载 装 置 ， 从 云 服 务 下 载 执 行 恶 意 有 效 负 载 。 在 恶 意 软 件 时 ， 研 究 人 员 偶 然 发 现 了 一 个 下 载 装 置 ， 从 云 服 务 下 载 执 行 恶 意 有 效 负 载 。 在 寻 找 其 他 类 似 的 样 本 发 现 ： 寻 找 其 他 类 似 的 样 本 发 现 ： 8 , 0 0 0 个 个 U R L ， ， 1 0 , 0 0 0 个 样 本 ， 个 样 本 ， N a n o c o r e ， ， L o k i b o t ， ， R e m c o s ， ， P o n y   S t e a l e r 等 。 可 等 。 可 以 看 出 云 服 务 是 整 个 黑 客 产 业 的 新 方 向 ， 可 取 代 打 包 程 序 和 加 密 程 序 。 如 果 恶 意 软 件 网 络 活 动 只 与 云 通 联 ， 就 以 看 出 云 服 务 是 整 个 黑 客 产 业 的 新 方 向 ， 可 取 代 打 包 程 序 和 加 密 程 序 。 如 果 恶 意 软 件 网 络 活 动 只 与 云 通 联 ， 就 很 有 可 能 逃 过 系 统 检 测 ， 研 究 人 员 也 无 法 快 速 分 辨 恶 意 软 件 。 很 有 可 能 逃 过 系 统 检 测 ， 研 究 人 员 也 无 法 快 速 分 辨 恶 意 软 件 。 谷 歌 对 这 种 攻 击 手 段 也 有 防 御 措 施 ， 如 果 尝 试 从 G o o g l e 云 下 载 恶 意 软 件 ， 通 常 会 看 到 以 下 消 息 ： 调 查 分 析 调 查 分 析 在 查 看 近 期 从 云 中 加 载 恶 意 软 件 的 攻 击 事 件 时 ， 通 常 可 以 发 现 带 有 附 件 的 垃 圾 邮 件 ， 附 件 是 包 含 恶 意 可 执 行 文 件 的 . I S O 文 件 。 攻 击 者 诱 骗 目 标 点 击 I S O 并 运 行 文 件 ， 从 G o o g l e 云 等 云 端 下 载 恶 意 软 件 ， 然 后 执 行 ， 有 效 载 荷 会 伪 装 成 图 片 。 在 云 中 文 件 已 加 密 ， 在 目 标 机 器 上 会 使 用 “ X O R ” 解 密 ， 密 钥 长 度 在 2 0 0 到 1 0 0 0 字 节 之 间 。 从 根 本 上 不 同 于 “ 打 包 ” 或 “ 加 密 ” 恶 意 软 件 ， 打 包 恶 意 软 件 会 在 执 行 过 程 中 展 示 其 功 能 和 行 为 ， 没 有 解 密 的 恶 意 软 件 就 会 保 持 混 淆 状 态 。 下 图 为 攻 击 示 例 图 片 ：
每 个 有 效 负 载 都 使 用 唯 一 的 加 密 密 钥 进 行 加 密 ， 植 入 程 序 还 具 有 一 个 内 置 选 项 ， 允 许 系 统 重 启 后 下 载 有 效 负 载 。 攻 击 流 程 图 如 下 ：
因 为 G o o g l e 和 安 全 厂 商 都 在 查 看 恶 意 文 件 的 签 名 和 哈 希 ， 有 效 载 荷 仅 停 留 在 内 存 中 ， 不 会 以 任 何 形 式 保 存 到 硬 盘 。 安 全 人 员 通 常 会 使 用 沙 盒 环 境 分 析 恶 意 有 效 负 载 及 其 恶 意 行 为 。 但 是 ， 如 果 沙 盒 无 法 在 互 动 过 程 中 记 录 整 个 互 动 过 程 ， 在 攻 击 活 动 结 束 后 攻 击 者 会 从 云 中 删 除 加 密 的 恶 意 样 本 ， 会 给 安 全 人 员 追 溯 恶 意 软 带 来 很 大 的 难 题 。 通 常 ， 受 害 者 的 计 算 机 上 也 不 会 留 下 任 何 痕 迹 ， 恶 意 文 件 仅 停 留 在 内 存 中 ， 当 分 析 人 员 查 看 机 器 时 ， 恶 意 代 码 早 已 被 清 除 。 在 少 数 情 况 下 ， 加 密 的 恶 意 有 效 载 荷 会 托 管 在 已 被 攻 陷 的 合 法 网 站 上 ， 调 查 中 发 现 的 主 要 托 管 方 式 ：
G o o g l e   D r i v e 和 O n e D r i v e 并 不 是 唯 一 载 体 。 每 周 大 约 可 以 发 现 8 0 0 个 新 样 本 。 技 术 分 析 技 术 分 析 下 载 流 程 下 载 流 程 以 L e g i o n   L o a d e r 恶 意 软 件 为 例 ， 被 分 析 的 样 本 非 常 小 ， 因 此 必 须 要 去 下 载 和 执 行 恶 意 软 件 。 流 程 如 下 ： 混 淆 与 加 密 混 淆 与 加 密 样 本 中 使 用 了 混 淆 跳 转 等 反 调 试 技 术 ， 需 要 花 费 大 量 人 力 来 弄 清 楚 执 行 流 程 ：
经 过 分 析 ， 它 将 解 密 并 执 行 s h e l l c o d e ， 该 s h e l l c o d e 位 于 文 件 的 其 他 位 置 （ 通 常 位 于 资 源 或 代 码 部 分 ） ： 其 秘 钥 恢 复 为 ： p l a i n t e x t _ p r e f i x   =   0 x 0 2 0 0 E C 8 1 ; k e y   =   ( ( D W O R D   * ) c i p h e r t e x t ) [ 0 ]   ^   p l a i n t e x t _ p r e f i x ; s h e l l c o d e S h e l l c o d e 也 被 混 淆 ， I D A 无 法 自 动 分 析 。 攻 击 者 非 常 了 解 沙
箱 ， s h e l l c o d e 包 含 许 多 技 术 来 检 查 其 是 否 在 沙 箱 中 运 行 。 样 本 检 查 了 窗 口 的 数 量 ， 如 果 小 于 1 2 ， 则 静 默 退 出 。 动 态 地 解 析 A P I 函 数 地 址 ： 解 析 A P I 函 数 地 址 后 ， 将 在 挂 起 状 态 下 启 动 另 一 个 进 程 ， 将 解 密 的 S h e l l c o d e 复 制 到 内 存 中 ， 然 后 执 行 。 文 件 下 载 文 件 下 载 S h e l l c o d e 从 硬 编 码 U R L 下 载 加 密 的 有 效 负 载 。 在 7 2 ％ 的 样 本 中 ， 使 用 d r i v e . g o o g l e . c o m 下 载 有 效 负 载 ： 使 用 硬 编 码 u s e r -
a g e n t ： M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 1 ;   W O W 6 4 ;   T r i d e n t / 7 . 0 ;   r v : 1 1 . 0 )   l i k e   G e c k o 程 序 会 检 查 下 载 文 件 的 一 致 性 ， 将 其 大 小 与 硬 编 码 值 进 行 比 较 。 如 果 出 现 文 件 大 小 不 一 样 的 情 况 ， 程 序 会 反 复 尝 试 下 载 有 效 负 载 ， 直 到 下 载 的 文 件 大 小 等 于 硬 编 码 值 为 止 。 常 见 文 件 命 名 规 则 为 ： e n c r y p t e d < 7   h e x   d i g i t s > . b i n 诱 骗 图 像 诱 骗 图 像 还 观 察 到 了 包 含 两 个 U R L 的 样 本 ，   第 二 个 U R L 用 于 下 载 图 像 ： 下 载 的 图 像 以 硬 编 码 名 称 保 存 到 用 户 配 置 文 件 中 。 下 面 是 其 中 的 一 些 示 例 ：
已 发 现 的 图 片 下 载 地 址 ： 延 迟 下 载 延 迟 下 载 恶 意 软 件 可 在 用 户 重 启 后 下 载 有 效 负 载 。
程 序 将 复 制 到 % U S E R P R O F I L E % s u b f o l d e r 1 f i l e n a m e 1 . e x e ， 并 创 建 V B S 脚 本 ( C : { U S E R P R O F I L E P A T H } s u b f o l d e r 1 f i l e n a m e 1 . v b s ) ， 其 内 容 如 下 ： S e t   W   =   C r e a t e O b j e c t ( “ W S c r i p t . S h e l l ” ) S e t   C   =   W . E x e c   ( “ C : U s e r s U s e r s u b f o l d e r 1 f i l e n a m e 1 . e x e ” ) 操 作 系 统 重 启 后 将 自 动 执 行 下 载 程 序 。 总 结 总 结 服 务 器 维 护 的 重 担 已 经 转 移 到 云 供 应 商 身 上 ， 面 对 云 端 威 胁 ， 许 多 安 全 解 决 方 案 是 不 够 的 。 恶 意 软 件 运 行 完 毕 不 会 留 下 任 何 痕 迹 ， 给 分 析 人 员 带 来 很 大 的 难 题 ， 他 们 需 要 面 对 一 系 列 的 反 分 析 措 施 以 及 云 端 安 全 功 能 。 I O C s M D 5 E m b e d d e d   U R L s d 6 2 1 b 3 9 e c 6 2 9 4 c 9 9 8 5 8 0 c c 2 1 f 3 3 b 2 f 4 6 h t t p s : / / d r i v e . g o o g l e . c o m / u c ? e x p o r t = d o w n l o a d & i d = 1 d w H Z N c b 0 h i s P k U I R t e E N U i X p _ A T O A m 4 y e 6 3 2 3 2 b a 2 3 f 4 d a 1 1 7 e 2 0 8 d 8 c 0 b f 9 9 3 9 0 h t t p s : / / d r i v e . g o o g l e . c o m / u c ? e x p o r t = d o w n l o a d & i d = 1 Q 3 P y G H m A r V G h s e o c K K 5 K c Q A K P Z 9 O a c Q z a d 9 c 9 e 0 a 1 9 2 f 7 6 2 0 a 0 6 5 b 0 f a 0 1 f f 2 d 8 1 h t t p s : / / o n e d r i v e . l i v e . c o m / d o w n l o a d ? c i d = F B 6 0 7 A 9 9 9 4 0 C 7 9 9 A & r e s i d = F B 6 0 7 A 9 9 9 4 0 C 7 9 9 A % 2 1 1 2 4 & a u t h k e y = A H _ r d d w 8 J O J m N A I a d 4 1 9 a 3 9 7 6 9 2 5 3 2 9 7 b 9 2 f 0 9 e 8 8 e 9 7 a 0 7 h t t p s : / / c d n . f i l e s e n d . j p / p r i v a t e / 9 g B e 6 z z N R a A J T A A l 1 A 3 V R a 8 _ G s 0 y w 1 V i O u p o Q M 8 N 7 n j T T X N K T B o Z T T l c X m y g v e W F / i g i n e % 2 0 % 2 8 2 % 2 9 _ e n c r y p t e d _ 8 D 1 8 5 F F . b i n d f 6 e 0 b c 9 e 9 a 9 8 7 1 8 2 1 3 7 4 d 9 b b 1 e 1 2 5 4 2 h t t p s : / / f m g l o g i s t i c s - m y . s h a r e p o i n t . c o m / : u : / g / p e r s o n a l / c f s - h p h _ f m g l o b a l l o g i s t i c s _ c o m / E X 3 0 c S O - F x V E v m g m 8 O 7 X H L 4 B y K e 1 5 g h V U 8 2 9 D m S I W n g 6 J g ? e = B F R t S N & d o w n l o a d = 1 2 3 2 d a 2 7 6 5 b b f 7 9 e a 4 a 5 1 7 2 6 2 8 5 c b 6 5 d 1 h t t p s : / / c d n - 1 2 . a n o n f i l e . c o m / R d O 1 l c d a o d / 7 7 8 1 4 b d f - 1 5 8 2 7 8 5 1 7 8 / m a k a v e @ p o p e o r i g i n 6 _ e n c r y p t e d _ 4 4 0 7 D D 0 . b i n * 参 考 来 源 ： 参 考 来 源 ： c h e c k p o i n t ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理