搜索

[16386] 2021-01-31_如何通过pDNS寻找SUNBURST后门的受害者

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-01-31_如何通过pDNS寻找SUNBURST后门的受害者 如 何 通 过 p D N S 寻 找 S U N B U R S T 后 门 的 受 害 者 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 1 - 3 1 概 述 概 述 S u n b u r s t D o m a i n D e c o d e r 工 具 现 在 已 经 可 以 识 别 S U N B U R S T 后 门 的 受 影 响 用 户 了 ， 只 需 要 给 该 工 具 提 供 针 对 a v s v m c l o u d . c o m 子 域 名 的 被 动 D N S （ p D N S ） 数 据 ， 即 可 识 别 用 户 是 否 受 到 了 攻 击 者 的 S U N B U R S T 感 染 。 如 果 公 司 和 组 织 的 计 算 机 设 备 安 装 了 包 含 S U B U R S T 后 门 的 S o l a r W i n d s   O r i o n 更 新 ， 那 么 设 备 将 会 向 a v s v m c l o u d . c o m 子 域 名 发 送 看 似 随 机 的 D N S 查 询 请 求 。 其 中 的 某 些 D N S 请 求 将 会 包 含 目 标 设 备 的 内 部 A D 域 ， 并 会 将 其 编 码 至 子 域 名 中 。 S U B U R S T 后 门 的 三 个 操 作 阶 段 后 门 的 三 个 操 作 阶 段 大 多 数 S U B U R S T 后 门 的 受 害 者 其 实 都 是 幸 运 的 ， 因 为 攻 击 者 并 没 有 对 他 们 展 开 实 际 性 的 攻 击 。 这 也 就 意 味 着 ， 大 多 数 的 S U B U R S T 后 门 永 远 都 没 有 执 行 通 过 感 染 过 程 的 第 一 个 阶 段 。 尽 管 如 此 ， 攻 击 者 还 是 会 对 某 些 目 标 用 户 执 行 到 感 染 的 第 二 个 阶 段 。 在 这 个 阶 段 中 ， 攻 击 者 会 使 用 “ C 2 协 调 器 ” ， 并 通 过 响 应 一 个 指 向 下 列 I P 地 址 范 围 的 D N S   A 记 录 来 进 行 下 一 个 阶 段 的 感 染 和 攻 击 ： 已 经 进 入 第 二 个 感 染 阶 段 的 S U N B U R S T 后 门 将 允 许 D N S 响 应 中 的 C N A M E 记 录 用 作 新 的 C 2 域 。 我 们 通 过 研 究 发 现 ， S U N B U R S T 后 门 实 际 上 使 用 了 查 询 a v s v m c l o u d . c o m 网 站 子 域 请 求 中 的 一 个 位 来 标 记 它 已 进 入 感 染 的 第 二 个 阶 段 ， 并 正 在 接 受 C N A M E 记 录 中 的 新 C 2 域 。 该 位 在 恶 意 S U N B U R S T 植 入 后 门 中 被 称 为 f l a g 、 e x t 或 d n s s e c ， 这 些 数 据 可 以 从 带 有 已 编 码 时 间 戳 的 D N S 查 询 中 提 取 ， 比 如 说 那 些 指 示 安 装 了 哪 些 安 全 产 品 的 查 询 。 检 测 感 染 第 二 阶 段 的 检 测 感 染 第 二 阶 段 的 D N S 请 求 请 求 我 们 的 S u n b u r s t D o m a i n D e c o d e r 工 具 现 在 已 经 更 新 ， 并 在 输 出 中 引 入 了 一 个 “ S T A G E 2 ” 标 签 来 标 记 包 含 这 个 第 二 阶 段 的 f l a g 的 D N S 查 询 。 这 也 就 意 味 着 ， 像 C E R T s 这 种 专 门 执 行 安 全 事 件 响 应 协 调 和 客 户 通 知 的 国 家 性 质 的 组 织 ， 现 在 就 可 以 使 用 S u n b u r s t D o m a i n D e c o d e r 来 识 别 和 通 知 已 经 进 入 第 二 阶 段 感 染 的 目 标 S U N B U R S T 受 害 者 。 在 下 面 的 样 例 中 ， 我 们 使 用 B a m b e n e k 的 u n i q - h o s t n a m e s . t x t 被 动 D N S 数 据 来 运 行 S u n b u r s t D o m a i n D e c o d e r ， 并 只 会 显 示 1 8 . 1 3 0 . 0 . 0 / 1 6 9 9 . 7 9 . 0 . 0 / 1 6 1 8 4 . 7 2 . 0 . 0 / 1 5
包 含 了 “ S T A G E 2 ” 的 相 关 内 容 ： 上 述 绝 大 多 数 的 子 域 名 都 已 经 记 录 在 了 F i r e E y e 提 供 的 I n d i c a t o r _ R e l e a s e _ N B I s . c s v 文 件 中 ， 其 中 包 含 了 指 向 其 他 S U N B U R S T   C 2 域 名 的 C N A M E 指 针 ， 比 如 说 f r e e s c a n o n l i n e [ . ] c o m 、 d e f t s e c u r i t y [ . ] c o m 和 t h e d o c c l o u d [ . ] c o m 等 等 ， 但 第 一 个 域 名 （ G U I D   2 2 3 3 4 A 7 2 2 7 5 4 4 B 1 E ） 其 实 并 不 属 于 F i r e E y e 的 入 侵 威 胁 指 标 数 据 。 通 过 分 析 其 他 被 动 D N S 资 源 （ 例 如 R o h i t   B a n s a l 在 p a s t e b i n 上 的 被 动 D N S 转 储 ） ， 我 们 将 可 以 找 到 更 多 的 S T A G E 2 域 和 G U I D 值 。 在 删 除 F i r e E y e 的 I o C 文 件 中 已 经 存 在 的 域 和 几 个 伪 造 的 域 之 后 ， 我 们 得 到 了 S U N B U R S T 后 门 在 S T A G E 2 中 请 求 的 以 下 F Q D N ： 能 够 访 问 更 多 被 动 D N S 资 源 的 公 司 和 组 织 将 有 望 使 用 S u n b u r s t D o m a i n D e c o d e r 来 识 别 更 多 已 发 展 到 第 二 阶 段 的 目 标 S u n b u r s t D o m a i n D e c o d e r . e x e   <   u n i q - h o s t n a m e s . t x t   |   f i n d s t r   S T A G E 2 2 2 3 3 4 A 7 2 2 7 5 4 4 B 1 E   2 0 2 0 - 0 9 - 2 9 T 0 4 : 0 0 : 0 0 . 0 0 0 0 0 0 0 Z , S T A G E 2   5 q b t j 0 4 r c b p 3 t i q 8 b o 6 t F C 0 7 E B 5 9 E 0 2 8 D 3 E E   2 0 2 0 - 0 6 - 1 3 T 0 9 : 0 0 : 0 0 . 0 0 0 0 0 0 0 Z , S T A G E 2   6 a 5 7 j k 2 b a 1 d 9 k e g 1 5 c b g 1 D 7 1 0 1 1 E 9 9 2 C 3 D 6 8   2 0 2 0 - 0 6 - 1 1 T 2 2 : 3 0 : 0 0 . 0 0 0 0 0 0 0 Z , S T A G E 2   7 s b v a e m s c s 0 m c 9 2 5 t b 9 9 F 9 0 B D D B 4 7 E 4 9 5 6 2 9   2 0 2 0 - 0 6 - 1 3 T 0 8 : 3 0 : 0 0 . 0 0 0 0 0 0 0 Z , S T A G E 2   g q 1 h 8 5 6 5 9 9 g q h 5 3 8 a c q n D B 7 D E 5 B 9 3 5 7 3 A 3 F 7   2 0 2 0 - 0 6 - 2 0 T 0 2 : 3 0 : 0 0 . 0 0 0 0 0 0 0 Z , S T A G E 2   i h v p g v 9 p s v q 0 2 f f o 7 7 e t 3 C 3 2 7 1 4 7 8 7 6 E 6 E A 4   2 0 2 0 - 0 7 - 2 2 T 1 7 : 0 0 : 0 0 . 0 0 0 0 0 0 0 Z , S T A G E 2   k 5 k c u b u a s s l 3 a l r f 7 g m 3 3 C 3 2 7 1 4 7 8 7 6 E 6 E A 4   2 0 2 0 - 0 7 - 2 3 T 1 8 : 3 0 : 0 0 . 0 0 0 0 0 0 0 Z , S T A G E 2   m h d o s o k s a c c f 9 s n i 9 i c p 1 D 7 1 0 1 1 E 9 9 2 C 3 D 6 8   c e n t r a l . p i m a . g o v , S T A G E 2 D B 7 D E 5 B 9 3 5 7 3 A 3 F 7   c o x n e t . c o x . c o m , S T A G E 2 , W i n d o w s D e f e n d e r F 9 0 B D D B 4 7 E 4 9 5 6 2 9   c e n t r a l . p i m a . g o v , S T A G E 2 c u r l   - s   h t t p s : / / p a s t e b i n . c o m / r a w / 6 E D g C K x d   |   S u n b u r s t D o m a i n D e c o d e r . e x e   |   f i n d s t r   S T A G E 2 E 2 5 8 3 3 2 5 2 9 8 2 6 7 2 1   2 0 2 0 - 0 7 - 1 8 T 0 5 : 0 0 : 0 0 . 0 0 0 0 0 0 0 Z , S T A G E 2   1 d b e c f d 9 9 k u 6 f i 2 e 5 f j b 2 0 3 9 A F E 1 3 E 5 3 0 7 A 1   2 0 2 0 - 0 5 - 3 0 T 1 4 : 3 0 : 0 0 . 0 0 0 0 0 0 0 Z , S T A G E 2   4 n 4 v t e 5 g m o r 7 j 9 l p e g s f 2 2 3 3 4 A 7 2 2 7 5 4 4 B 1 E   2 0 2 0 - 0 9 - 2 9 T 0 4 : 0 0 : 0 0 . 0 0 0 0 0 0 0 Z , S T A G E 2   5 q b t j 0 4 r c b p 3 t i q 8 b o 6 t F C 0 7 E B 5 9 E 0 2 8 D 3 E E   2 0 2 0 - 0 6 - 1 3 T 0 9 : 0 0 : 0 0 . 0 0 0 0 0 0 0 Z , S T A G E 2   6 a 5 7 j k 2 b a 1 d 9 k e g 1 5 c b g 1 D 7 1 0 1 1 E 9 9 2 C 3 D 6 8   2 0 2 0 - 0 6 - 1 1 T 2 2 : 3 0 : 0 0 . 0 0 0 0 0 0 0 Z , S T A G E 2   7 s b v a e m s c s 0 m c 9 2 5 t b 9 9 1 D 7 1 0 1 1 E 9 9 2 C 3 D 6 8   2 0 2 0 - 0 6 - 1 1 T 2 2 : 3 0 : 0 0 . 0 0 0 0 0 0 0 Z , S T A G E 2   7 s b v a e m s c s 0 m c 9 2 5 t b 9 9 F 9 0 B D D B 4 7 E 4 9 5 6 2 9   2 0 2 0 - 0 6 - 1 3 T 0 8 : 3 0 : 0 0 . 0 0 0 0 0 0 0 Z , S T A G E 2   g q 1 h 8 5 6 5 9 9 g q h 5 3 8 a c q n F 9 0 B D D B 4 7 E 4 9 5 6 2 9   2 0 2 0 - 0 6 - 1 3 T 0 8 : 3 0 : 0 0 . 0 0 0 0 0 0 0 Z , S T A G E 2   g q 1 h 8 5 6 5 9 9 g q h 5 3 8 a c q n D B 7 D E 5 B 9 3 5 7 3 A 3 F 7   2 0 2 0 - 0 6 - 2 0 T 0 2 : 3 0 : 0 0 . 0 0 0 0 0 0 0 Z , S T A G E 2   i h v p g v 9 p s v q 0 2 f f o 7 7 e t D B 7 D E 5 B 9 3 5 7 3 A 3 F 7   2 0 2 0 - 0 6 - 2 0 T 0 2 : 3 0 : 0 0 . 0 0 0 0 0 0 0 Z , S T A G E 2   i h v p g v 9 p s v q 0 2 f f o 7 7 e t 3 C 3 2 7 1 4 7 8 7 6 E 6 E A 4   2 0 2 0 - 0 7 - 2 3 T 1 8 : 3 0 : 0 0 . 0 0 0 0 0 0 0 Z , S T A G E 2   m h d o s o k s a c c f 9 s n i 9 i c p 1 d b e c f d 9 9 k u 6 f i 2 e 5 f j b . a p p s y n c - a p i . u s - e a s t - 1 . a v s v m c l o u d . c o m 4 n 4 v t e 5 g m o r 7 j 9 l p e g s f . a p p s y n c - a p i . e u - w e s t - 1 . a v s v m c l o u d . c o m 5 q b t j 0 4 r c b p 3 t i q 8 b o 6 t . a p p s y n c - a p i . u s - e a s t - 1 . a v s v m c l o u d . c o m
S U N B U R S T 受 害 者 。 下 载 下 载 S u n b u r s t D o m a i n D e c o d e r 【 点 击 底 部 阅 读 原 文 】 下 载 和 使 用 S u n b u r s t D o m a i n D e c o d e r 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理