搜索

[16065] 2020-11-08_MontysThree工业间谍软件分析

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-11-08_MontysThree工业间谍软件分析 M o n t y s T h r e e 工 业 间 谍 软 件 分 析 K r i s t o n   F r e e B u f   2 0 2 0 - 1 1 - 0 8 2 0 2 0 年 夏 季 发 现 了 针 对 性 较 强 的 工 业 间 谍 软 件 的 活 动 ， 工 具 集 中 包 含 未 知 的 C + + 模 块 。 恶 意 软 件 作 者 将 工 具 集 命 名 为 “ M T 3 ” ， 研 究 人 员 将 工 具 集 命 名 为 “   M o n t y s T h r e e ” 。 该 恶 意 软 件 包 括 一 组 用 于 持 久 控 制 的 C   + + 模 块 ， 使 用 隐 写 术 从 位 图 中 获 取 数 据 ， 解 密 配 置 任 务 （ 屏 幕 截 图 ， 获 取 目 标 指 纹 ， 获 取 文 件 等 ） 等 。 该 恶 意 软 件 使 用 自 定 义 隐 写 术 ， 基 于 X O R 的 自 定 义 加 密 ， 3 D E S 和 R S A 算 法 进 行 解 密 和 通 信 。 传 播 方 式 传 播 方 式 初 始 加 载 程 序 模 块 在 R A R 自 解 压 文 件 中 ， 只 有 P E 文 件 （ 伪 装 . p d f 或 . d o c 文 件 ） ，   其 中 一 个 （ M D 5 d a 4 9 f e a 2 2 9 d d 2 d e d a b 2 b 9 0 9 f 2 4 f b 2 4 a b ） 名 为 “ С п и с о к т е л е ф о н о в с о т р у д н и к о в 2 0 1 9 . d o c ” （ “ 员 工 电 话 清 单 ” ， 俄 语 ） ， 另 外 还 有 “   T e c h   t a s k . p d f ” 和 “   i n v i t r o - 1 0 6 6 5 0 1 5 2 - 1 . p d f ” 。 后 者 是 俄 罗 斯 医 学 实 验 室 的 名 称 。 S F X 脚 本 如 下 ： P a t h = % T E M P % S a v e P a t h S e t u p = r u n d l l 3 2 . e x e   “ i n v i t r o - 1 0 6 6 5 0 1 5 2 - 1 . p d f ” , O p e n S i l e n t = 1 O v e r w r i t e = 1 U p d a t e = U D e l e t e = i n v i t r o - 1 0 6 6 5 0 1 5 2 - 1 . p d f 执 行 后 ， S F X 脚 本 会 调 用 ％ T E M P ％ 目 录 中 已 解 压 缩 的 可 执 行 文 件 ， 并 将 其 删 除 。 技 术 分 析 技 术 分 析 执 行 流 程 如 下 ：
下 表 列 出 了 四 个 模 块 及 其 功 能 ，   这 些 模 块 共 享 通 用 的 通 信 规 范 。 当 处 理 诸 如 配 置 文 件 和 执 行 日 志 之 类 的 共 享 数 据 时 ， 该 恶 意 软 件 会 初 始 化 线 程 本 地 存 储 （ T L S ） 中 的 结 构 。 入 口 点 D l l E n t r y P o i n t （ ） 的 工 作 方 式 类 似 于 构 造 函 数 ， 模 块 必 须 导 出 一 个 名 为 O p e n （ ） 的 函 数 ， 该 函 数 不 带 任 何 参 数 （ 但 可 以 解 析 命 令 行 ） 并 返 回 一 个 四 字 节 的 错 误 代 码 。 加 载 程 序 模 块 加 载 程 序 模 块 将 加 密 数 据 的 位 图 文 件 名 作 为 参 数 提 供 给 加 载 程 序 ， 加 载 程 序 会 从 像 素 数 组 解 密 下 一 个 程 序 。 在 第 一 次 迭 代 中 ， 它 提 取 隐 写 参 数 数 据 。 I I D ， I P a r a m 和 I S i z e 参 数 保 存 在 像 素 阵 列 的 前 3 8 4 个 字 节 中 ， 因 此 仅 需 要 每 个 像 素 阵 列 字 节 的 最 后 一 位 。 该 模 块 使 用 这 些 字 段 收 集 4 8 个 字 节 的 配 置 结 构 ， 确 定 下 一 个 解 密 阶 段 。 提 取 隐 写 参 数 后 ， 使 用 两 步 算 法 对 下 一 个 程 序 进 行 解 密 。 首 先 ， I P a r a m 算 法 从 像 素 阵 列 的 字 节 中 选 择 b i t s 。 如 果 I I D 等 于 2 ， 则 对 收 集 到 的 字 节 使 用 四 字 节 轮 回 密 钥 ， 前 四 个 字 节 解 密 的 初 始 密 钥 硬 编 码 为 0 x 2 3 0 4 1 9 2 0 。 下 一 个 字 节 的 X O R 公 式 为 ： k e y   ^ =   8   *   ( k e y   ^   ( k e y   < <   2 0 ) ) 解 密 结 果 并 未 注 入 到 某 个 进 程 内 存 中 ， 而 是 生 成 名 为 m s g s l a n g 3 2 . d l l 的 文 件 放 到 磁 盘 上 。 加 载 程 序 使 用 W i n d o w s   A P I 函 数 L o a d L i b r a r y W （ ） 和 G e t P r o c A d d r e s s （ ） 来 运 行 下 一 个 阶 段 的 O p e n （ ） 函 数 。 K e r n e l 模 块 模 块
内 核 模 块 包 含 三 个 用 于 配 置 解 密 和 C 2 通 信 的 加 密 密 钥 。 公 用 和 专 用 R S A 密 钥 分 别 以 P U B L I C K E Y B L O B 和 P R I V A T E K E Y B L O B 的 形 式 存 储 在 . d a t a 节 中 ， 用 于 加 密 C 2 通 信 、 解 密 3 D E S 密 钥 。 第 三 个 3 D E S 密 钥 也 以 加 密 形 式 存 储 在 . d a t a 节 中 。 此 密 钥 用 于 解 密 包 含 X M L 配 置 的 . c a b 文 件 ， 该 模 块 使 用 W i n d o w 的 标 准 程 序 “   e x p a n d . e x e ” 解 压 缩 . c a b 。 X M L 配 置 包 含 恶 意 软 件 的 各 种 “ 任 务 ” ， 例 如 对 目 标 进 行 指 纹 识 别 ， 捕 获 屏 幕 截 图 ， 从 % U S E R P R O F I L E % 、 % A P P D A T A % 、 % A P P D A T A % M i c r o s o f t O f f i c e П о с л е д н и е   ф а й л ы 中 最 新 目 录 中 获 取 扩 展 名 为 . d o c ， . d o c x ， . x l s ， . x l s x ， . r t f ， . p d f ， . o d t ， . p s w ， . p w d 的 文 档 列 表 。 П о с л е д н и е ф а й л ы 翻 译 成 俄 语 为 “ 最 近 文 件 ” 。 C o n f i g 包 含 任 务 计 划 （ 屏 幕 截 图 ） ， 访 问 令 牌 ， 感 兴 趣 的 目 录 和 扩 展 ： 发 现 俄 语 字 符 串 ， 例 如 “ С н и м о к р а б о ч е г о с т о л а ” （ 桌 面 快 照 ） ， “ С и с т е м н а я и н ф о р м а ц и я ” （ 系 统 信 息 ） ， “ В р е м я в ы х о д а ” （ 退 出 时 间 ） 。 解 密 后 的 配 置 结 构 如 下 ： 处 理 指 令 的 主 要 类 是 C T a s k 。 C T a s k 的 I o C o n t r o l （ ） 方 法 负 责 处 理 相 应 的 任 务 ， 并 可 运 行 以 下 方 法 ：
通 信 模 块 通 信 模 块 H t t p T r a n s p o r t 存 在 于 内 核 模 块 . t e x t 部 分 中 的 四 个 加 密 数 据 块 。 当 内 核 需 要 通 信 时 ， 它 会 解 密 该 模 块 ， 并 运 行 O p e n （ ） 函 数 ， 传 递 命 令 行 参 数 。 根 据 从 内 核 模 块 传 输 的 参 数 ， 该 模 块 可 以 使 用 R D P ， W e b D A V ， C i t r i x 和 H T T P 协 议 上 传 或 下 载 内 容 。 H t t p T r a n s p o r t 也 实 现 了 使 用 用 户 令 牌 从 G o o g l e 和 D r o p b o x 公 共 服 务 下 载 数 据 。 在 H T T P   G E T   /   P O S T 请 求 下 ， 该 恶 意 软 件 将 使 用 W i n d o w s   A P I   H T T P 功 能 从 U R L 接 收 隐 写 位 图 图 片 。 上 述 通 信 协 议 本 身 并 未 在 模 块 内 部 实 现 。 恶 意 软 件 利 用 计 算 机 上 已 安 装 的 W i n d o w s 程 序 （ 例 如 R D P ， C i t r i x 客 户 端 和 I n t e r n e t   E x p l o r e r ） 进 行 操 作 。 可 通 过 剪 贴 板 将 U R L 粘 贴 到 浏 览 器 中 ； 等 待 并 再 次 通 过 剪 贴 板 接 收 结 果 。 D r o p b o x 和 G o o g l e 数 据 的 上 传 和 下 载 依 赖 于 另 一 个 原 理 ： 使 用 自 定 义 类 C S i m p l e H t t p 进 行 身 份 验 证 并 发 送 H T T P 请 求 。 总 结 总 结 通 常 恶 意 软 件 主 要 针 对 政 府 实 体 ， 外 交 官 和 电 信 运 营 商 ， 像 M o n t y s T h r e e 这 样 的 工 业 间 谍 少 见 很 多 。 就 传 播 方 式 ， 持 续 性 控 制 方 法 而 言 ， 其 复 杂 性 无 法 与 顶 尖 A P T 相 提 并 论 。 恶 意 软 件 开 发 方 面 （ 同 时 登 录 R A M 和 文 件 ， 将 加 密 密 钥 保 留 在 同 一 文 件 中 ， 在 远 程 R D P 主 机 上 运 行 不 可 见 的 浏 览 器 ） 还 不 成 熟 。 M o n t y s T h r e e 中 的 代 码 量 以 及 投 入 的 精 力 是 巨 大 的 ： 在 R S A 加 密 下 存 储 3 D E S 密 钥 ， 规 避 I D S 的 自 定 义 隐 写 术 以 及 使 用 合 法 的 云 存 储 隐 藏 C 2 流 量 。 I O C s L o a d e r 1 B 0 E E 0 1 4 D D 2 D 2 9 4 7 6 D F 3 1 B A 0 7 8 A 3 F F 4 8 0 9 7 6 * 4 2 A 0 6 D 2 D 8 A 3 4 E 9 B 6 D 3 8 D 4 5 A E 4 2 A 2 A A 4 1 4 B 3 0 9 3 4 8 9 3 8 6 4 A 9 6 1 B 7 1 F 9 1 D 9 8 K e r n e l A 2 2 1 6 7 1 E D 8 C 3 9 5 6 E 0 B 9 A F 2 A 5 E 0 4 B D E E 3 3 A 8 8 5 0 6 2 D A A 3 6 A E 3 2 2 7 F 1 6 7 1 8 A 5 B 2 B D B 3 A F A 4 3 E 1 B C 5 7 8 4 6 0 B E 0 0 2 E B 5 8 F A 7 C 2 D E H t t p T r a n s p o r t
0 1 7 5 3 9 B 3 D 7 4 4 F 7 B 6 C 6 2 C 9 4 C E 4 B C A 4 4 4 F 5 0 1 E 9 1 B A 1 C E 1 5 3 2 D 9 7 9 0 F C D 1 2 2 9 C B B D A D 6 F B 7 8 D 1 6 D F E 7 3 E 6 D D 4 1 6 4 8 3 A 3 2 E 1 D 7 2 D o m a i n s   a n d   I P s a u t o s p o r t - c l u b . t e k c i t i e s [ . ] c o m d l 1 0 - w e b - s t o c k [ . ] r u d l 1 6 - w e b - e t i c k e t [ . ] r u d l 1 6 6 - w e b - e t i c k e t [ . ] r u d l 5 5 - w e b - y a c h t b o o k i n g [ . ] x y z 原 文 链 接 原 文 链 接 h t t p s : / / s e c u r e l i s t . c o m / m o n t y s t h r e e - i n d u s t r i a l - e s p i o n a g e / 9 8 9 7 2 / 精 彩 推 荐 精 彩 推 荐

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理