搜索

[16381] 2021-01-30_Lazarus针对COVID-19发起攻击

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2021-01-30_Lazarus针对COVID-19发起攻击 L a z a r u s 针 对 C O V I D - 1 9 发 起 攻 击 K r i s t o n   F r e e B u f   2 0 2 1 - 0 1 - 3 0 随 着 C O V I D - 1 9 影 响 持 续 升 级 ， 攻 击 者 正 在 试 图 通 过 任 何 手 段 加 速 疫 苗 研 发 。 有 证 据 表 明 ， L a z a r u s 正 在 通 过 攻 击 与 C O V I D - 1 9 研 究 有 关 的 实 体 来 获 取 此 类 情 报 。 他 们 在 9 月 底 攻 击 了 一 家 制 药 公 司 和 C O V I D - 1 9 有 关 的 政 府 部 门 。 本 文 会 介 绍 两 次 攻 击 事 件 。 第 一 个 是 针 对 政 府 卫 生 部 的 攻 击 ： 2 0 2 0 年 1 0 月 2 7 日 ， 卫 生 部 的 两 台 W i n d o w s 服 务 器 遭 到 破 坏 。 攻 击 者 在 服 务 器 上 安 装 了 复 杂 的 恶 意 软 件 “ w A g e n t ” 。 它 主 要 在 内 存 中 工 作 ， 并 从 远 程 服 务 器 获 取 有 效 负 载 。 第 二 起 事 件 涉 及 一 家 制 药 公 司 。 这 家 公 司 在 2 0 2 0 年 9 月 2 5 日 被 攻 破 。 L a z a r u s 通 过 一 家 韩 国 软 件 公 司 ， 在 供 应 链 攻 击 中 部 署 了 E S E T 先 前 报 告 的 B o o k c o d e 恶 意 软 件 。 w A g e n t 恶 意 软 件 恶 意 软 件 恶 意 软 件 具 有 复 杂 的 感 染 方 案 ： 目 前 无 法 获 得 此 攻 击 中 使 用 的 启 动 模 块 。 该 模 块 使 用 特 定 参 数 执 行 w A g e n t 。 恶 意 软 件 是 通 过 调 用 T h u m b s   e x p o r t 函 数 直 接 从 命 令 行 在 受 害 者 机 器 上 执 行 ， 参 数 为 ： 1 6 字 节 的 字 符 串 参 数 用 作 A E S 密 钥 来 解 密 嵌 入 的 负 载 — W i n d o w s   D L L 。 负 载 加 载 到 内 存 中 时 ， 它 使 用 给 定 的 解 密 密 钥 对 配 置 信 息 进 行 解 密 。 配 置 包 括 C 2 服 务 器 地 址 ， 以 及 文 件 路 径 。 该 配 置 指 定 了 两 个 C 2 服 务 器 ， 为 同 一 个 C 2 服 务 器 。 C 2 地 址 ： 恶 意 软 件 第 一 次 被 执 行 时 ， 它 会 生 成 标 识 符 ， 使 用 随 机 值 的 散 列 来 区 分 每 个 受 害 者 。 它 还 生 成 一 个 1 6 字 节 的 随 机 值 并 反 转 ， 使 用 “ @ ” 作 为 分 隔 符 与 哈 希 值 连 接 。 例 如 ， 8 2 U K x 3 v n j Q 7 9 1 P L 2 @ 2 9 3 1 2 6 6 3 9 8 8 9 6 9 恶 意 软 件 将 生 成 的 标 识 符 编 码 为 b a s e 6 4 发 送 到 C 2 。 最 后 ， 代 理 从 C 2 服 务 器 获 取 有 效 负 载 ， 并 将 其 直 接 加 载 到 内 存 中 。 利 用 内 存 后 门 ， 恶 意 软 件 执 行 了 许 多 s h e l l 命 令 来 收 集 受 害 者 信 息 ： w A g e n t 持 久 控 制 持 久 控 制 c : w i n d o w s s y s t e m 3 2 r u n d l l 3 2 . e x e     C : P r o g r a m d a t a O r a c l e j a v a c . d a t ,   T h u m b s   8 I Z - V U 7 - 1 0 9 - S 2 M Y c m d . e x e   / c   p i n g   - n   1   - a   1 9 2 . [ r e d a c t e d ] c m d . e x e   / c   p i n g   - n   1   - a   1 9 2 . [ r e d a c t e d ] c m d . e x e   / c   d i r   1 9 2 . [ r e d a c t e d ] c $ c m d . e x e   / c   q u e r y   u s e r c m d . e x e   / c   n e t   u s e r   [ r e d a c t e d ]   / d o m a i n c m d . e x e   / c   w h o a m i
使 用 w A g e n t 后 门 ， 攻 击 者 安 装 了 具 有 持 久 控 制 功 能 的 w A g e n t 有 效 负 载 。 提 取 此 D L L 后 ， 使 用 以 下 命 令 ： 此 w A g e n t 安 装 程 序 的 工 作 原 理 与 上 述 w A g e n t   l o a d e r 恶 意 软 件 类 似 。 它 负 责 在 使 用 命 令 行 中 的 1 6 字 节 密 钥 解 密 后 加 载 嵌 入 的 有 效 负 载 。 在 解 密 的 有 效 载 荷 中 ， 恶 意 软 件 生 成 文 件 以 继 续 感 染 ， 路 径 为 ： 此 文 件 伪 装 成 名 为 S a g e T h u m b s   S h e l l   E x t e n s i o n 的 合 法 工 具 。 创 建 文 件 时 ， 安 装 程 序 模 块 用 随 机 数 据 填 充 它 以 增 加 它 的 大 小 。 恶 意 软 件 还 会 复 制 创 建 时 间 ， 以 使 其 不 易 被 发 现 。 恶 意 软 件 将 信 息 存 储 在 第 二 个 参 数 中 （ 本 例 中 为 c : p r o g r a m d a t a o r a c l e ~ T M P 7 3 9 . T M P ） 。 此 日 志 文 件 包 含 时 间 戳 和 有 关 感 染 过 程 的 信 息 ， 攻 击 者 会 使 用 W i n d o w s 命 令 手 动 检 查 此 文 件 。 随 后 ， 恶 意 软 件 解 密 其 嵌 入 的 配 置 。 此 配 置 数 据 的 结 构 与 上 述 w A g e n t 恶 意 软 件 类 似 。 它 还 包 含 相 同 格 式 的 C 2 地 址 ： 恶 意 软 件 对 配 置 数 据 进 行 加 密 ， 并 将 其 存 储 为 注 册 表 项 ： 设 置 启 动 项 ： 最 后 启 动 [ r a n d o m   2 个 字 符 ]   s v c . d r v 文 件 。 它 搜 索 第 一 个 s v c h o s t . e x e 进 程 并 执 行 D L L 注 入 。 注 入 的 [ r a n d o m   2 个 字 符 ]   s v c . d r v 恶 意 软 件 包 含 用 于 解 密 和 加 载 有 效 负 载 的 恶 意 程 序 。 最 终 的 有 效 负 载 是 w A g e n t ， 它 负 责 从 C 2 中 获 取 其 他 有 效 负 载 ， 并 将 其 加 载 到 内 存 中 。 B o o k c o d e L a z a r u s 的 B o o k c o d e 恶 意 软 件 主 要 针 对 制 药 公 司 正 在 开 发 的 C O V I D - 1 9 疫 苗 。 L a z a r u s 用 B o o k c o d e 恶 意 软 件 攻 击 韩 国 一 家 软 件 公 司 ， 目 标 可 能 是 该 公 司 的 源 代 码 或 供 应 链 。 无 法 确 定 这 起 事 件 确 切 的 初 始 感 染 媒 介 。 尽 管 没 有 找 到 部 署 加 载 程 序 及 其 加 密 的 B o o k c o d e 负 载 ， 但 能 够 识 别 一 个 加 载 程 序 ， 此 文 件 负 责 加 载 名 为 g m s l o g m g r . d a t 。 解 密 有 效 负 载 后 ， 加 载 程 序 找 到 主 机 使 用 w i n m g m t 、 P r o f S v c 或 A p p i n f o 参 数 ， 并 将 有 效 负 载 注 入 其 中 。 B o o k c o d e 恶 意 软 件 读 取 配 置 文 件 C _ . N L S ， 此 B o o k c o d e 示 例 的 功 能 与 韩 国 互 联 网 安 全 局 （ K I S A ） 最 近 发 布 报 告 中 描 述 的 恶 意 软 件 几 乎 相 同 。 一 旦 恶 意 软 件 启 动 ， 它 就 会 将 受 害 者 的 信 息 发 送 到 攻 击 者 的 基 础 设 施 。 感 染 阶 段 感 染 阶 段 L a z a r u s 使 用 B o o k c o d e 的 活 动 有 其 独 特 的 T T P ， 在 这 次 攻 击 中 使 用 了 相 同 的 手 法 。 从 注 册 表 s a m 中 提 取 受 感 染 的 主 机 信 息 ， 包 括 密 码 哈 希 使 用 W i n d o w s 命 令 检 查 网 络 连 接 使 用 W a k e M e O n L a n 工 具 扫 描 同 一 网 络 中 的 主 机 安 装 B o o k c o d e 之 后 ， 恶 意 软 件 手 机 受 害 者 系 统 和 网 络 等 信 息 ： 横 向 移 动 阶 段 ， 恶 意 软 件 获 取 帐 户 信 息 后 ， 使 用 “ n e t ” 命 令 连 接 到 另 一 个 主 机 ， 并 使 用 “ w m i c ” 命 令 执 行 复 制 的 有 效 负 载 。 基 础 设 施 基 础 设 施 r u n d l l 3 2 . e x e   c : p r o g r a m d a t a o r a c l e j a v a c . i o ,   S a g e P l u g   4 G O - R 1 9 - 0 T Q - H L 2 A   c : p r o g r a m d a t a o r a c l e ~ T M P 7 3 9 . T M P C : W i n d o w s s y s t e m 3 2 [ r a n d o m   2   c h a r a c t e r s ] s v c . d r v h x x p s : / / i s k i . s i l o g i c a [ . ] n e t / e v e n t s / s e r i a l . j s p @ W F R F o r m s . j s p @ i m p o r t . j s p @ v i e w . j s p @ c o o k i e . j s p h x x p : / / s i s t e m a . c e l l l a b [ . ] c o m . b r / w e b r u n / N a v b a r / a u t h . j s p @ c a c h e . j s p @ l e g a c y . j s p @ c h o o s e I c o n . j s p @ c u s t o m Z o o m . j s p h x x p : / / w w w . b y t e c o r t e x . c o m [ . ] b r / e l e t r o n i c o s / d i g i t a l . j s p @ e x i t . j s p @ h e l p f o r m . j s p @ m a s k s . j s p @ F u n c t i o n s . j s p h x x p s : / / s a c . n a j a t e l e c o m . c o m [ . ] b r / s a c / D a d o s / n t l m . j s p @ l o a d i n g . j s p @ a c c e s s . j s p @ l o c a l . j s p @ d e f a u l t . j s p H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t s e r v i c e s e v e n t l o g A p p l i c a t i o n E m u l a t e   –   [ r a n d o m   2   c h a r a c t e r s ] s v c H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l L s a   –   S e c u r i t y   P a c k a g e s   :   k e r b e r o s   m s v 1 _ 0   s c h a n n e l   w d i g e s t   t s p k g   p k u 2 u   [ r a n d o m   2   c h a r a c t e r s ] s v c . d r v e x e   / c   “ r e g . e x e   s a v e   h k l m s a m   % t e m p % ~ r e g _ s a m . s a v e   >   “ % t e m p % B D 5 4 E A 8 1 1 8 A F 4 6 . T M P ~ ”   2 > & 1 ″ e x e   / c   “ r e g . e x e   s a v e   h k l m s y s t e m   % t e m p % ~ r e g _ s y s t e m . s a v e   >   “ % t e m p % 4 0 5 A 7 5 8 F A 9 C 3 D D . T M P ~ ”   2 > & 1 ″ e x e   / c   “ n e t s t a t   - a o n   |   f i n d   “ E S T A ”   >   % t e m p % ~ 4 3 1 F . t m p e x e   / c   “ n e t   u s e   1 7 2 . [ r e d a c t e d ]   “ [ r e d a c t e d ] ”   / u : [ r e d a c t e d ]   >   % t e m p % ~ D 9 4 . t m p ”   2 > & 1 ″ w m i c   / n o d e : 1 7 2 . [ r e d a c t e d ]   / u s e r : [ r e d a c t e d ]   / p a s s w o r d : ” [ r e d a c t e d ] ”   p r o c e s s   c a l l   c r e a t e   “ % t e m p % e n g t a s k . e x e ”   >   % t e m p % ~ 9 D C 9 . t m p ”   2 > & 1 ″
C 2 服 务 器 ： 其 中 一 个 C 2 服 务 器 启 用 了 目 录 列 表 ： 发 现 了 几 个 日 志 文 件 和 一 个 脚 本 ， 这 是 一 个 “ 第 一 阶 段 ” C 2 服 务 器 。 它 接 收 后 门 连 接 ， 充 当 到 “ 第 二 阶 段 ” 服 务 器 的 代 理 。 C u s t o m e r _ S e s s i o n . a s p 是 第 一 阶 段 的 C 2 脚 本 ， 负 责 传 递 命 令 ， 并 获 得 命 令 执 行 结 果 。 以 下 是 为 特 定 受 害 者 发 送 数 据 过 程 ： C 2 脚 本 还 具 有 其 他 功 能 ， 例 如 更 新 下 一 阶 段 C 2 服 务 器 地 址 、 将 植 入 的 标 识 符 发 送 到 下 一 阶 段 服 务 器 或 删 除 日 志 文 件 。 归 属 分 析 归 属 分 析 根 据 之 前 的 研 究 ， 这 两 起 事 件 中 使 用 的 恶 意 软 件 归 属 于 L a z a r u s 。 首 先 ， 针 对 卫 生 部 使 用 的 w A g e n t 恶 意 软 件 与 L a z a r u s 先 前 在 攻 击 加 密 货 币 业 务 时 使 用 的 恶 意 软 件 具 有 相 同 的 感 染 方 案 。 两 个 案 例 都 使 用 了 类 似 的 恶 意 软 件 命 名 方 案 ， 随 机 生 成 两 个 字 符 ， 并 在 其 中 添 加 “ s v c ” 生 成 有 效 负 载 植 入 的 路 径 。 这 两 个 恶 意 程 序 都 使 用 S e c u r i t y   S u p p o r t   P r o v i d e r 作 为 持 久 控 制 机 制 。 两 个 恶 意 程 序 的 调 试 消 息 几 乎 相 同 。 以 下 是 卫 生 部 事 件 中 使 用 的 恶 意 软 件 与 加 密 货 币 业 务 攻 击 中 使 用 的 恶 意 软 件 （ 4 0 8 8 9 4 6 6 3 2 e 7 5 4 9 8 d 9 c 4 7 8 d a 7 8 2 a a 8 8 0 ） 的 比 较 ： h x x p s : / / w w w . k n e . c o [ . ] k r / u p l o a d / C u s t o m e r / B B S . a s p h x x p : / / w w w . k - k i o s k [ . ] c o m / b b s / n o t i c e _ w r i t e . a s p h x x p s : / / w w w . g o n g i m [ . ] c o m / b o a r d / a j a x _ W r i t e . a s p h x x p : / / w w w . c o m e t n e t [ . ] b i z / f r a m e w o r k / c o m m o n / c o m m o n . a s p
I O C w A g e n t w A g e n t   I n s t a l l e r 4 8 1 4 b 0 6 d 0 5 6 9 5 0 7 4 9 d 0 7 b e 2 c 7 9 9 e 8 d c 2 % p r o g r a m d a t a % o r a c l e j a v a c . i o ,   % a p p d a t a % n t u s e r . d a t w A g e n t   C 2   s e r v e r s w A g e n t   f i l e   p a t h w A g e n t   r e g i s t r y   p a t h B o o k c o d e   i n j e c t o r B o o k c o d e   f i l e   p a t h B o o k c o d e   C 2   s e r v e r s M I T R E   A T T & C K d c 3 c 2 6 6 3 b d 9 a 9 9 1 e 0 f b e c 7 9 1 c 2 0 c b f 9 2   % p r o g r a m d a t a % o r a c l e j a v a c . d a t 2 6 5 4 5 f 5 a b b 7 0 f c 3 2 a c 6 2 f d a b 6 d 0 e a 5 b 2 % p r o g r a m d a t a % o r a c l e j a v a c . d a t 9 c 6 b a 9 6 7 8 f f 9 8 6 b c f 8 5 8 d e 1 8 a 3 1 1 4 e f 3 % p r o g r a m d a t a % g r o u p p o l i c y P o l i c y . D A T h t t p : / / c l i e n t . l i v e s i s t e m a s [ . ] c o m / L i v e / p o s t o / s y s t e m . j s p @ p u b l i c . j s p @ j e n k i n s . j s p @ t o m a s . j s p @ s t o r y . j s p h x x p s : / / i s k i . s i l o g i c a [ . ] n e t / e v e n t s / s e r i a l . j s p @ W F R F o r m s . j s p @ i m p o r t . j s p @ v i e w . j s p @ c o o k i e . j s p h x x p : / / s i s t e m a . c e l l l a b [ . ] c o m . b r / w e b r u n / N a v b a r / a u t h . j s p @ c a c h e . j s p @ l e g a c y . j s p @ c h o o s e I c o n . j s p @ c u s t o m Z o o m . j s p h x x p : / / w w w . b y t e c o r t e x . c o m [ . ] b r / e l e t r o n i c o s / d i g i t a l . j s p @ e x i t . j s p @ h e l p f o r m . j s p @ m a s k s . j s p @ F u n c t i o n s . j s p h x x p s : / / s a c . n a j a t e l e c o m . c o m [ . ] b r / s a c / D a d o s / n t l m . j s p @ l o a d i n g . j s p @ a c c e s s . j s p @ l o c a l . j s p @ d e f a u l t . j s p % S y s t e m R o o t % s y s t e m 3 2 [ r a n d o m   2   c h a r a c t e r s ] s v c . d r v H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t s e r v i c e s e v e n t l o g A p p l i c a t i o n E m u l a t e   -   [ r a n d o m   2   c h a r a c t e r s ] s v c 5 9 8 3 d b 8 9 6 0 9 d 0 d 9 4 c 3 b c c 8 8 c 6 3 4 2 b 3 5 4         % S y s t e m R o o t % s y s t e m 3 2 s c a c c e s s s e r v i c e . e x e ,   r a s p r o c s e r v i c e . e x e % S y s t e m R o o t % s y s t e m 3 2 C _ 2 8 7 0 5 . N L S % S y s t e m R o o t % s y s t e m 3 2 g m s l o g m g r . d a t h x x p s : / / w w w . k n e . c o [ . ] k r / u p l o a d / C u s t o m e r / B B S . a s p h x x p : / / w w w . k - k i o s k [ . ] c o m / b b s / n o t i c e _ w r i t e . a s p h x x p s : / / w w w . g o n g i m [ . ] c o m / b o a r d / a j a x _ W r i t e . a s p h x x p : / / w w w . c o m e t n e t [ . ] b i z / f r a m e w o r k / c o m m o n / c o m m o n . a s p h x x p s : / / w w w . l o c k n l o c k m a l l [ . ] c o m / c o m m o n / p o p u p _ l e f t . a s p
精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理