搜索

[16076] 2020-11-11_GravityRAT间谍软件分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-11-11_GravityRAT间谍软件分析 G r a v i t y R A T 间 谍 软 件 分 析 K r i s t o n   F r e e B u f   2 0 2 0 - 1 1 - 1 1 2 0 1 8 年 研 究 人 员 发 布 G r a v i t y R A T 研 究 报 告 ， 印 度 计 算 机 应 急 响 应 小 组 （ C E R T - I N ） 于 2 0 1 7 年 首 次 发 现 该 木 马 。 该 软 件 被 认 定 隶 属 于 巴 基 斯 坦 的 黑 客 组 织 ， 至 少 自 2 0 1 5 年 以 来 一 直 保 持 活 跃 ， 主 要 针 对 W i n d o w s 机 器 ， 2 0 1 8 年 将 A n d r o i d 设 备 添 加 到 了 目 标 列 表 中 。 软 件 分 析 软 件 分 析 2 0 1 9 年 在 V i r u s T o t a l 发 现 一 个 A n d r o i d 间 谍 软 件 ， 经 过 分 析 它 与 G r a v i t y R A T 有 关 。 攻 击 者 在 T r a v e l   M a t e 中 增 加 了 一 个 间 谍 模 块 ， T r a v e l   M a t e 是 一 个 面 向 印 度 旅 客 的 A n d r o i d 应 用 程 序 ， 其 源 代 码 可 在 G i t h u b 上 获 得 。 攻 击 者 使 用 了 G i t h u b 上 2 0 1 8 年 1 0 月 发 布 的 版 本 ， 添 加 了 恶 意 代 码 并 更 名 为 T r a v e l   M a t e   P r o 。
木 马 的 清 单 文 件 包 括 S e r v i c e s 和 R e c e i v e r ： 木 马 a p p 中 的 c l a s s ：
间 谍 软 件 具 有 标 准 功 能 ： 它 将 设 备 数 据 ， 联 系 人 列 表 ， 电 子 邮 件 地 址 以 ， 通 话 和 文 本 日 志 发 送 到 C ＆ C 服 务 器 。 此 外 木 马 会 在 设 备 内 存 以 及 连 接 的 媒 体 上 搜 索 扩 展 名 为 . j p g ， . j p e g ， . l o g ， . p n g ， . t x t ， . p d f ， . x m l ， . d o c ， . x l s ， . x l s x   、 . p p t ， . p p t x ， . d o c x 和 . o p u s 的 文 件 ， 并 将 它 们 发 送 到 C ＆ C ， u r l 如 下 ： 木 马 使 用 的 C ＆ C 地 址 ： n o r t o n u p d a t e s [ . ] o n l i n e : 6 4 4 4 3 n o r t o n u p d a t e s [ . ] o n l i n e : 6 4 4 4 3 研 究 中 还 发 现 了 名 为 E n i g m a . p s 1 的 恶 意 P o w e r S h e l l 脚 本 ， 可 执 行 C ＃ 代 码 ， 通 过 n 3 . n o r t o n u p d a t e s [ . ] o n l i n e : 6 4 4 4 3 下 载 在 计 算 机 上 找 到 的 文 件 的 数 据 （ . d o c ， . p p t ， . p d f ， . x l s ， . d o c x ， . p p t x   、 .   x l s x ） 以 及 受 感 染 机 器 的 数 据 。 P o w e r S h e l l   s c r i p t ：
检 测 到 一 个 非 常 相 似 的 V B S 脚 本 ， 其 名 称 为 i V . d l l ， 但 没 有 指 定 的 路 径 ： 除 了 V B S 模 板 之 外 ， 还 有 W i n d o w s   T a s k   S c h e d u l e r 的 X M L 模 板 ， 名 称 为 a e S . d l l ， r s A . d l l ， e A . d l l 和 e S . d l l ： 在 主 程 序 中 ， 将 所 需 的 路 径 和 名 称 写 入 模 板 ， 并 添 加 了 计 划 任 务 ： 该 程 序 与 服 务 器 通 过 d o w n l o a d . e n i g m a . n e t [ . ] i n / 9 0 9 5 4 3 4 9 . p h p 通 信 ， 其 具 有 简 单 的 图 形 界 面 以 及 加 密 和 文 件 交 换 逻 辑 ：
除 了 E n i g m a 和 T i t a n i u m 之 外 ， 还 包 含 以 下 间 谍 木 马 程 序 ： W p d . e x e T a s k h o s t e x . e x e W C N s v c . e x e S M T P H o s t . e x e C S R P . e x e 他 们 的 C ＆ C ： w i n d o w s u p d a t e s [ . ] e u : 4 6 7 6 9 w i n d o w s u p d a t e s [ . ] e u : 4 6 7 6 9 m o z i l l a u p d a t e s [ . ] c o m : 4 6 7 6 9 m o z i l l a u p d a t e s [ . ] c o m : 4 6 7 6 9 m o z i l l a u p d a t e s [ . ] u s G r a v i t y R A T 系 列 使 用 了 相 同 的 4 6 7 6 9 端 口 ， 进 一 步 搜 索 找 到 了 P E 文 件 X r a y . e x e ： 此 版 本 收 集 数 据 并 将 其 发 送 到 n 1 . n o r t o n u p d a t e s [ . ] o n l i n e 和 n 2 . n o r t o n u p d a t e s [ . ] o n l i n e 。 n * . n o r t o n u p d a t e s [ . ] o n l i n e 解 析 为 2 1 3 . 1 5 2 . 1 6 1 [ . ] 2 1 9 ， 在 P a s s i v e   D N S 数 据 库 中 发 现 了 可 疑 的 域 u 0 1 . m s o f t s e r v e r [ . ] e u 。 通 过 对 该 域 的 搜 索 找 到 了 应 用 Z W . e x e ， 该 应 用 程 序 由 P y t h o n 编 写 并 使 用 P y I n s t a l l e r 打 包 ， Z W . e x e 调 用 的 C ＆ C 地 址 ： m s o f t s e r v e r [ . ] e u : 6 4 4 4 3 m s o f t s e r v e r [ . ] e u : 6 4 4 4 3 m s o f t s e r v e r [ . ] e u : 6 4 4 4 3 m s o f t s e r v e r [ . ] e u : 6 4 4 4 3 间 谍 软 件 从 服 务 器 接 收 命 令 ： 获 取 系 统 信 息 搜 索 扩 展 名 为 . d o c ， . d o c x ， . p p t ， . p p t x ， . x l s ， . x l s x ， . p d f ， . o d t ， . o d p 和 . o d s 的 文 件 ， 并 将 其 上 传 到 服 务 器 获 取 正 在 运 行 的 进 程 的 列 表 键 盘 记 录 截 屏 执 行 任 意 的 s h e l l 命 令 录 制 音 频 （ 此 版 本 未 实 现 ） 扫 描 端 口 该 代 码 是 多 平 台 的 ：
特 征 路 径 确 认 了 新 版 本 的 G r a v i t y R A T ： 其 他 版 本 的 其 他 版 本 的 G r a v i t y R A T l o l o m y c i n & C o G r a v i t y R A T 的 较 旧 版 本 W h i s p e r 也 包 含 在 组 件 w h i s p e r . e x e 中 ， 字 符 串 “   l o l o m y c i n ＆ C o ” 为 Z I P 文 件 密 码 ： 通 过 此 字 符 串 ， 在 应 用 程 序 中 找 到 了 较 新 的 . N E T 版 本 的 G r a v i t y R A T ： W e S h a r e T r u s t X C l i c k 2 C h a t B o l l y w o o d 新 版 本 的 新 版 本 的 G r a v i t y R A T . N E T 版 本 版 本 S h a r i f y M e l o d y M a t e   ( s i g n e d   b y   E - C r e a   L i m i t e d   o n   1 1 . 0 5 . 2 0 1 9 )
P y t h o n 版 本 版 本 G o Z a p E l e c t r o n 版 本 版 本 A n d r o i d 版 本 版 本 S a v i t a B h a b i

I o C s M D 5 T r a v e l   M a t e   P r o   —   d f 6 e 8 6 d 8 0 4 a f 7 0 8 4 c 5 6 9 a a 8 0 9 b 2 e 2 1 3 4 i V . d l l   —   c 9 2 a 0 3 b a 8 6 4 f f 1 0 b 8 e 1 f f 7 f 9 7 d c 4 9 f 6 8 e n i g m a . e x e   —   b 6 a f 1 4 9 4 7 6 6 f d 8 d 8 0 8 7 5 3 c 9 3 1 3 8 1 a 9 4 5 T i t a n i u m   —   7 b d 9 7 0 9 9 5 a 1 6 8 9 b 0 c 0 3 3 3 b 5 4 d f f b 4 9 b 6 W p d . e x e   —   0 c 2 6 e b 2 a 6 6 7 2 e c 9 c d 5 e b 7 6 7 7 2 5 4 2 e b 7 2 T a s k h o s t e x . e x e   —   0 c 1 0 3 e 5 d 5 3 6 f b d 9 4 5 d 9 e d d e a e 4 d 4 6 c 9 4 W C N s v c . e x e   —   c c e c a 8 b c a 9 8 7 4 5 6 9 e 3 9 8 d 5 d c 8 7 1 6 1 2 3 c S M T P H o s t . e x e   —   7 b b f 0 e 9 6 c 8 8 9 3 8 0 5 c 3 2 a e f f a a 9 9 8 e d e 4 C S R P . e x e   —   e 7 3 b 4 b 2 1 3 8 a 6 7 0 0 8 8 3 6 c b 9 8 6 b a 5 c e e 2 f C h a t 2 H i r e . e x e   —   9 d 4 8 e 9 b f f 9 0 d d c a e 6 9 5 2 b 6 5 3 9 7 2 4 a 8 a 3 A p p U p d a t e r . e x e   —   2 8 5 e 6 a e 1 2 e 1 c 1 3 d f 3 c 5 d 3 3 b e 2 7 2 1 f 5 c d X r a y . e x e   —   1 f 4 8 4 c d f 7 7 a c 6 6 2 f 9 8 2 2 8 7 f b a 6 e d 0 5 0 d Z W . e x e   —   c 3 9 e d 8 c 1 9 4 c c f 6 3 a a b 1 d b 2 8 a 4 f 4 a 3 8 b 9 R W . e x e   —   7 8 5 0 6 a 0 9 7 d 9 6 c 6 3 0 * 5 b d 3 d 8 f a 9 2 3 6 3 T W . e x e   —   8 6 c 8 6 5 a 0 f 0 4 b 1 5 7 0 d 8 4 1 7 1 8 7 c 9 e 2 3 b 7 4
W h i s p e r   —   3 1 f 6 4 a a 2 4 8 e 7 b e 0 b e 9 7 a 3 4 5 8 7 e c 5 0 f 6 7 W e S h a r e   — e 2 0 2 b 3 b b b 8 8 b 1 d 3 2 d d 0 3 4 e 6 c 3 0 7 c e b 9 9 T r u s t X   —   9 f 6 c 8 3 2 f d 8 e e 8 d 8 a 7 8 b 4 c 8 a 7 5 d c b f 2 5 7 C l i c k 2 C h a t   —   d e f c d 7 5 1 0 5 4 2 2 7 b c 2 d d 3 0 7 0 e 3 6 8 b 6 9 7 d B o l l y w o o d   —   c 0 d f 8 9 4 f 7 2 f d 5 6 0 c 9 4 0 8 9 f 1 7 d 4 5 c 0 d 8 8 S h a r i f y   —   2 b 6 e 5 e e f c 7 c 1 4 9 0 5 c 5 e 8 3 7 1 e 8 2 6 4 8 8 3 0 M e l o d y M a t e   —   e e 0 6 c f a 7 d f b 6 d 9 8 6 e e f 8 e 0 7 f b 1 e 9 5 0 1 5 G o Z a p   —   6 6 8 9 e c f 0 1 5 e 0 3 6 c c f 1 4 2 4 1 5 d d 5 e 4 2 3 8 5 S t r o n g B o x   —   3 0 3 3 a 1 2 0 6 f c a b d 4 3 9 b 0 d 9 3 4 9 9 d 0 b 5 7 d a   ( W i n d o w s ) ,   f 1 e 7 9 d 4 c 2 6 4 2 3 8 a b 9 c c d 4 0 9 1 d 1 a 2 4 8 c 4   ( M a c ) T e r a S p a c e   —   e e 3 f 0 d b 5 1 7 f 0 b b 3 0 0 8 0 a 0 4 2 d 3 4 8 2 c e e e   ( W i n d o w s ) ,   3 0 0 2 6 a f f 2 3 b 8 3 a 6 9 e b f e 5 b 0 6 c 3 e 5 e 3 f d   ( M a c ) O r a n g e V a u l t   —   f 8 d a 7 a a e f c e 3 1 3 4 9 7 0 d 5 4 2 b 0 e 4 e 3 4 f 7 b   ( W i n d o w s ) ,   5 7 4 b d 6 0 a b 4 9 2 8 2 8 f a d a 4 3 e 8 8 4 9 8 e 8 b d 2   ( M a c ) C v S t y l e r   —   d f 1 b f 7 d 3 0 a 5 0 2 e 6 3 8 8 e 2 5 6 6 a d a 4 f e 9 c 8 S a v i t a B h a b i   —   0 9 2 e 4 e 2 9 e 7 8 4 3 4 1 7 8 5 c 8 e d 9 5 0 2 3 f b 5 a c   ( W i n d o w s ) ,   c 7 b 8 e 6 5 e 5 d 0 4 d 5 f f b c 4 3 e d 7 6 3 9 a 4 2 a 5 f ( A n d r o i d ) U R L s d a i l y . w i n d o w s u p d a t e s [ . ] e u n i g h t l y . w i n d o w s u p d a t e s [ . ] e u d a i l y b u i l d . m o z i l l a u p d a t e s [ . ] c o m n i g h t l y b u i l d . m o z i l l a u p d a t e s [ . ] c o m u 0 1 . m s o f t s e r v e r [ . ] e u u 0 2 . m s o f t s e r v e r [ . ] e u u 0 3 . m s o f t s e r v e r [ . ] e u u 0 4 . m s o f t s e r v e r [ . ] e u n 1 . n o r t o n u p d a t e s [ . ] o n l i n e n 2 . n o r t o n u p d a t e s [ . ] o n l i n e n 3 . n o r t o n u p d a t e s [ . ] o n l i n e n 4 . n o r t o n u p d a t e s [ . ] o n l i n e s a k e . m o z i l l a u p d a t e s [ . ] u s g y z u . m o z i l l a u p d a t e s [ . ] u s c h u k i . m o z i l l a u p d a t e s [ . ] u s z e n . m o z i l l a u p d a t e s [ . ] u s
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理