搜索

[15931] 2020-10-05_透明部落：发展历程分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-10-05_透明部落：发展历程分析 透 明 部 落 ： 发 展 历 程 分 析 K r i s t o n   F r e e B u f   2 0 2 0 - 1 0 - 0 5 透 明 部 落 （ 又 称 P R O J E C T M 和 M Y T H I C   L E O P A R D ） 是 一 个 十 分 活 跃 的 A P T 组 织 ， 其 活 动 可 以 追 溯 到 2 0 1 3 年 。 背 景 和 主 要 发 现 背 景 和 主 要 发 现 P r o o f p o i n t 在 2 0 1 6 年 发 表 了 一 篇 有 关 透 明 部 落 的 分 析 报 告 ， 在 过 去 的 四 年 中 ， 该 A P T 小 组 一 直 保 持 活 跃 状 态 ， 其 目 标 通 常 是 印 度 军 方 和 政 府 人 员 。 该 小 组 不 断 更 新 他 们 的 程 序 工 具 ， 使 用 嵌 入 式 宏 恶 意 文 档 感 染 目 标 。 他 们 的 主 要 恶 意 软 件 是 自 定 义 的 . N E T   R A T （ 公 开 称 为 C r i m s o n   R A T ） ， 另 外 还 发 现 了 其 他 自 定 义 . N E T 恶 意 软 件 和 基 于 P y t h o n 的 R A T   P e p p y   R A T 。 在 过 去 的 一 年 中 ， 该 组 织 加 强 了 攻 击 活 动 ， 开 始 了 大 规 模 的 感 染 攻 击 ， 开 发 了 新 的 工 具 并 加 强 了 对 阿 富 汗 的 攻 击 渗 透 。 近 期 有 以 下 主 要 发 现 ： 1 、 发 现 C r i m s o n   S e r v e r 组 件 ， T r a n s p a r e n t   T r i b e 用 来 管 理 受 感 染 机 器 和 攻 击 渗 透 。 2 、 透 明 部 落 持 续 传 播 C r i m s o n   R A T ， 感 染 了 多 个 国 家 （ 主 要 是 印 度 和 阿 富 汗 ） 。 3 、 发 现 U S B W o r m 组 件 ， 并 且 已 在 数 百 个 系 统 上 检 测 到 它 。 C r i m s o n   S e r v e r C r i m s o n 是 透 明 部 落 从 事 间 谍 活 动 的 主 要 工 具 。 该 工 具 由 各 种 组 件 组 成 ， 攻 击 者 使 用 这 些 组 件 在 受 感 染 的 计 算 机 上 执 行 各 种 操 作 ： 远 程 文 件 管 理 系 统 上 传 下 载 文 件 截 图 使 用 麦 克 风 进 行 音 频 监 控 记 录 摄 像 头 设 备 视 频 流 截 图 窃 取 可 移 动 设 备 中 的 文 件 执 行 任 意 命 令 键 盘 记 录 窃 取 保 存 在 浏 览 器 中 的 密 码 利 用 可 移 动 存 储 设 备 在 系 统 中 传 播 在 分 析 过 程 中 发 现 了 一 个 . N E T 文 件 ， 该 文 件 被 标 识 为 C r i m s o n   R A T ， 攻 击 者 通 过 向 服 务 器 端 植 入 恶 意 软 件 从 而 管 理 客 户 端 组 件 。 发 现 了 两 个 不 同 的 服 务 器 版 本 ， 其 中 包 括 安 装 U S B W o r m 组 件 ， 执 行 命 令 的 功 能 ， 两 个 版 本 仍 在 开 发 中 。 C r i m s o n   S e r v e r   v e r s i o n   “ A ” 主 面 板 主 面 板 主 面 板 提 供 了 受 感 染 机 器 的 列 表 ， 并 显 示 受 害 者 系 统 的 基 本 信 息 。
利 用 I P 地 址 ， 使 用 在 线 网 站 检 索 地 理 位 置 信 息 ： h t t p : / / i p - a p i . c o m / x m l / 顶 部 工 具 栏 可 用 于 管 理 服 务 器 或 启 动 某 些 操 作 ， 底 部 输 出 控 制 台 包 含 服 务 器 在 后 台 执 行 的 操 作 的 列 表 。 服 务 器 会 使 用 “ 设 置 ” 类 中 指 定 的 配 置 ： 该 类 包 含 每 个 恶 意 软 件 组 件 使 用 的 T C P 端 口 值 ， 默 认 文 件 名 和 安 装 路 径 。 它 们 需 要 手 动 放 置 在 特 定 的 预 定 义 文 件 夹 中 。 B o t 面 板 面 板 B o t 面 板 具 有 十 二 个 选 项 卡 ， 可 用 于 管 理 远 程 系 统 和 收 集 信 息 。 1 、 更 新 模 块 用 于 检 查 客 户 端 配 置 ， 上 传 C r i m s o n 组 件 并 在 远 程 系 统 上 执 行 。
C r i m s o n 框 架 由 七 个 组 件 组 成 ： ①   T h i n 客 户 端 用 于 识 别 受 害 者 系 统 版 本 ， 它 包 含 功 能 有 ： 收 集 受 感 染 系 统 信 息 截 图 远 程 文 件 管 理 下 载 上 传 文 件 获 取 进 程 清 单 终 止 进 程 执 行 文 件 ②   M a i n 客 户 端 功 能 齐 全 的 R A T ， 可 以 用 于 ： 安 装 其 他 恶 意 软 件 组 件 捕 获 网 络 摄 像 头 图 像 使 用 电 脑 麦 克 风 进 行 窃 听 向 受 害 者 发 送 消 息 用 C O M S P E C 执 行 命 令 并 接 收 输 出 。 ③   U S B 驱 动 程 序 U S B 模 块 组 件 ， 用 于 从 连 接 到 受 感 染 系 统 的 可 移 动 设 备 中 窃 取 文 件 。 ④   U S B 蠕 虫 这 是 U S B W o r m 组 件 ， 用 于 从 可 移 动 设 备 中 窃 取 文 件 ， 感 染 可 移 动 存 储 介 质 并 在 整 个 系 统 中 传 播 ， 可 从 远 程 C r i m s o n 服 务 器 下 载 并 执 行 “ T h i n   C l i e n t ” 组 件 。 ⑤   P a s s   L o g g e r 凭 证 窃 取 程 序 ， 用 于 窃 取 存 储 在 C h r o m e ， F i r e f o x 和 O p e r a 浏 览 器 中 的 凭 证 。 ⑥   K e y L o g g e r 用 于 记 录 键 盘 记 录 的 恶 意 软 件 。 ⑦   R e m o v e r 可 以 使 用 “ 删 除 用 户 ” 按 钮 将 其 自 动 上 传 到 受 感 染 的 计 算 机 ， 研 究 中 没 有 获 得 该 组 件 ， 无 法 对 其 描 述 。 透 明 部 落 通 过 配 置 服 务 器 来 阻 止 某 些 供 应 商 的 安 全 工 具 ， 防 止 在 受 卡 巴 斯 基 产 品 保 护 的 系 统 上 安 装 某 些 恶 意 软 件 组 件 ， 特 别 是 “ U S B 驱 动 程 序 ” 和 “ 密 码 记 录 器 ” ， 还 阻 止 在 受 E S E T 保 护 的 系 统 上 安 装 “   P a s s   L o g g e r ” 。 2 、 文 件 管 理 器 和 自 动 下 载 选 项 卡
文 件 管 理 器 允 许 攻 击 者 远 程 管 理 文 件 ， 执 行 程 序 ， 下 载 ， 上 传 和 删 除 文 件 。 3 、 屏 幕 和 网 络 摄 像 头 监 控 选 项 卡 S c r e e n   m o n i t o r i n g ： S c r e e n   m o n i t o r i n g ： 4 、 其 他 选 项 卡 音 频 监 视 ： 恶 意 软 件 使 用 N A u d i o 库 与 麦 克 风 进 行 交 互 并 管 理 音 频 流 。 该 库 存 储 在 服 务 器 端 ， 攻 击 者 使 用 特 殊 命 令 推 送 到 受 害 者 的 计 算 机 上 。 发 送 消 息 ： 攻 击 者 可 以 向 受 害 者 发 送 消 息 。 键 盘 记 录 器 ： 收 集 键 盘 数 据 ， 包 括 受 害 者 使 用 的 进 程 名 称 和 键 盘 记 录 ， 可 以 保 存 数 据 或 清 除 远 程 缓 存 。 密 码 记 录 器 ： 该 恶 意 软 件 包 括 窃 取 浏 览 器 凭 据 的 功 能 。 进 程 管 理 器 ： 攻 击 者 可 以 获 得 特 定 进 程 列 表 ， 并 将 其 终 止 。 命 令 执 行 ： 该 选 项 卡 允 许 攻 击 者 在 计 算 机 上 执 行 任 意 命 令 。 C r i m s o n   S e r v e r   v e r s i o n   “ B ” 此 版 本 与 先 前 的 版 本 非 常 相 似 ， 在 “ B ” 版 本 中 ， 图 形 用 户 界 面 是 不 同 的 。 U p d a t e   B o t 选 项 卡 中 缺 少 “ U p d a t e   U S B   W o r m ” ， 因 此 不 提 供 U S B   W o r m 功 能 。
U S B W o r m 分 析 表 明 ， U S B W o r m 不 仅 仅 是 U S B 感 染 器 。 实 际 上 ， 攻 击 者 可 以 使 用 它 来 完 成 ： 下 载 并 执 行 C r i m s o n “ t h i n 客 户 机 ” 使 用 U S B W o r m 本 身 的 副 本 感 染 可 移 动 设 备 从 可 移 动 设 备 （ 例 如 U S B   S t e a l e r ） 窃 取 感 兴 趣 的 文 件 默 认 情 况 下 ， 该 程 序 充 当 下 载 程 序 ， 感 染 程 序 和 U S B 窃 取 程 序 。 通 常 ， 该 组 件 由 C r i m s o n “ m a i n 客 户 端 ” 安 装 ， 在 启 动 时 会 检 查 其 执 行 路 径 是 否 为 配 置 中 指 定 的 执 行 路 径 ， 以 及 系 统 是 否 已 感 染 了 C r i m s o n 。 如 果 满 足 这 些 条 件 ， 它 将 开 始 监 视 可 移 动 设 备 。 感 染 过 程 中 将 列 出 所 有 目 录 ， 在 每 个 目 录 中 ， 它 会 使 用 相 同 的 目 录 名 称 在 驱 动 器 根 目 录 中 创 建 其 自 身 的 副 本 ， 并 将 目 录 属 性 更 改 为 “ 隐 藏 ” 。 U S B W o r m 会 模 仿 W i n d o w s 目 录 图 标 ， 诱 使 用 户 执 行 恶 意 软 件 。 U S B W o r m 图 标 ： 数 据 盗 窃 过 程 会 列 出 设 备 上 存 储 的 所 有 文 件 ， 并 复 制 扩 展 名 与 预 定 义 列 表 匹 配 ： 感 兴 趣 的 文 件 扩 展 名 ： . p d f ， . d o c ， . d o c x ， . x l s ， . x l s x ， . p p t ， . p p t x ， . p p s ， . p p s x ， . t x t 攻 击 方 式 攻 击 方 式 去 年 1 月 开 始 调 查 T r a n s p a r e n t   T r i b e 发 起 网 络 攻 击 活 动 ， 攻 击 始 于 恶 意 M i c r o s o f t   O f f i c e 文 档 ， 这 些 文 档 通 过 钓 鱼 邮 件 发 送 给 受 害 者 。
这 些 文 档 通 常 嵌 入 了 恶 意 V B A 代 码 ， 有 时 还 会 使 用 密 码 保 护 。 宏 将 Z I P 文 件 放 到 在 ％ A L L U S E R P R O F I L E ％ 下 创 建 的 新 目 录 中 ， 并 在 同 一 位 置 提 取 内 容 。 目 录 名 称 可 以 不 同 ， 具 体 取 决 于 示 例 ： % A L L U S E R S P R O F I L E % M e d i a - L i s t t b v r a r t h s a . z i p % A L L U S E R S P R O F I L E % M e d i a - L i s t t b v r a r t h s a . e x e V B A 代 码 ：
可 执 行 文 件 是 C r i m s o n 的 “ t h i n 客 户 端 ” ， 攻 击 者 可 以 获 取 受 感 染 机 器 的 基 本 信 息 ， 收 集 屏 幕 截 图 ， 操 纵 文 件 系 统 ， 下 载 或 上 传 任 意 文 件 。 目 标 分 析 目 标 分 析 感 染 目 标 分 布 ： 感 染 目 标 分 布 ： 检 测 组 件 种 类 分 布 ： 检 测 组 件 种 类 分 布 ：
T o p 5 国 家 感 染 情 况 （ 国 家 感 染 情 况 （ 2 0 1 9 - 2 0 2 0 ） ： ） ： I o C 5 1 5 8 C 5 C 1 7 8 6 2 2 2 5 A 8 6 C 8 A 4 F 3 6 F 0 5 4 A E 2   –   E x c e l   d o c u m e n t   –   N H Q _ N o t i c e _ F i l e . x l s D 2 * 0 7 C 0 7 C B 5 D C 1 0 3 C D 1 1 2 8 0 4 4 5 5 C 0 D E   –   Z i p   a r c h i v e   –   t b v r a r t h s a . z i p 7 6 C A 9 4 2 0 5 0 A 9 A A 7 E 6 7 6 A 8 D 5 5 3 A E B 1 F 3 7   –   Z i p   a r c h i v e   –   u l h t a g n i a s . z i p 0 8 7 4 5 5 6 8 F E 3 B * 2 5 6 4 A 9 F A B D 2 A 9 D 1 8 9 F   –   C r i m s o n   S e r v e r   V e r s i o n   “ A ” 0 3 D C D 4 A 7 B 5 F C 1 B A E E 7 5 F 9 4 2 1 D C 8 D 8 7 6 F   –   C r i m s o n   S e r v e r   V e r s i o n   “ B ” 0 7 5 A 7 4 B A 1 D 3 A 5 A 6 9 3 E E 5 E 3 D D 9 3 1 E 1 B 5 6   –   C r i m s o n   K e y l o g g e r 1 C D 5 C 2 6 0 * F 4 0 2 6 4 6 F 8 8 C 1 4 1 4 A D B 1 6   –   C r i m s o n   K e y l o g g e r C A C 1 F F C 1 A 9 6 7 C D 4 2 8 8 5 9 B B 8 B E 2 E 7 3 C 2 2   –   C r i m s o n   T h i n   C l i e n t E 7 B 3 2 B 1 1 4 5 E C 9 E 2 D 5 5 F D B 1 1 1 3 F 7 E E E 8 7   –   C r i m s o n   T h i n   C l i e n t F 5 3 7 5 C B C 0 E 6 E 8 B F 1 0 E 1 B 8 0 1 2 E 9 4 3 F E D 5   –   C r i m s o n   M a i n   C l i e n t 4 B 7 3 3 E 7 A 7 8 E B D 2 F 7 E 5 3 0 6 F 3 9 7 0 4 A 8 6 F D   –   C r i m s o n   M a i n   C l i e n t 1 4 0 D 0 1 6 9 E 3 0 2 F 5 B 5 F B 4 B B 3 6 3 3 D 0 9 B 4 8 F   –   C r i m s o n   U S B   D r i v e r 9 D D 4 A 6 2 F E 9 5 1 3 E 9 2 5 E F 6 B 6 D 7 9 5 B 8 5 8 0 6   –   C r i m s o n   U S B   D r i v e r 1 E D 9 8 F 7 0 F 6 1 8 0 9 7 B 0 6 E 6 7 1 4 2 6 9 E 2 A 7 6 F   –   C r i m s o n   U S B   W o r m F 2 1 9 B 1 C D E 4 9 8 F 0 A 0 2 3 1 5 F 6 9 5 8 7 9 6 0 A 1 8   –   C r i m s o n   U S B   W o r m 6 4 . 1 8 8 . 2 5 . 2 0 6   –   C r i m s o n   C 2 1 7 3 . 2 1 2 . 1 9 2 . 2 2 9   –   C r i m s o n   C 2 4 5 . 7 7 . 2 4 6 . 6 9   –   C r i m s o n   C 2 n e w s b i z u p d a t e s . n e t   –   C r i m s o n   C 2
1 7 3 . 2 4 9 . 2 2 . 3 0   –   C r i m s o n   C 2 u r o n l i n e s t o r e s . n e t   –   C r i m s o n   C 2 参 考 链 接 参 考 链 接 s e c u r e l i s t 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理